Все программное обеспечение можно условно подразделить на полезное и вредоносное. Во втором случае речь, конечно же, идет о компьютерных вирусах, первые из которых появились еще в 70-80-х годах прошлого века. С тех пор эти программы-вредители очень сильно эволюционировали, но даже сейчас они имеют много общих черт со своими прародителями.
Как вы, возможно, догадались, эта статья посвящена истории компьютерных вирусов. Так, вы узнаете, кто придумал эти злосчастные программы и какой путь они прошли с момента своего становления по сегодняшний день.
История названия
Начать стоит с того, почему вообще вирусы были названы именно так, а не как-либо иначе. Ведь можно же было придумать название, больше связанное с компьютерной тематикой. А все дело в том, что эти программы очень схожи по способу своего распространения с биологическими вирусами. Как одни, так и другие постоянно репродуцируют себя, постепенно захватывая все новые и новые участки организма. Более того, и компьютерные, и не ограничиваются одним носителем, а постоянно заражают все большее количество жертв.
К сожалению, точно неизвестно, кто является автором этого устоявшегося термина. Правда, многие эксперты утверждают, что словосочетание "компьютерный вирус" первым употребил писатель-фантаст Грегори Бенфорд. В его произведении «Человек в шрамах», написанном в 1970 году, именно вирусом называется программа, наносящая вред компьютерам.
Теория
Если говорить о появлении различных новых технологий, то, как это часто бывает, сначала зарождается теория, и лишь потом дело доходит до практики. Вирусы не стали исключением из этого правила.
Еще в 1949 году американский математик Джон фон Нейман читал курс о сложных автоматических устройствах. Затем, уже в 1951 году, он издал научный труд, названный «Теория самовоспроизводящихся устройств», где подробно была описана возможность создания компьютерной программы, обладающей способностью к самокопированию.
Много позже, в 1972 году, Вейт Ризак развил теорию американца. Он подробно описал механизм работы полноценного приложения, по сути являвшегося вирусом, для системы Siemens 4004/35. Ну и, наконец, в 1980 году Юрген Краус, будучи выпускником Дортмундского университета, впервые сравнил такую программу с биологической инфекцией.
Конечно же, все описанное выше оказало огромное влияние на историю компьютерных вирусов. Но, как вы могли заметить, все труды ученых были посвящены исключительно безвредным программам, способным к самовоспроизведению.
От теории к практике
Вдохновившись трудами Джона сотрудники Bell Laboratories решили испытать его теории на практике. Они создали игру для 7090. Проект получил название Darwin.
Суть этой игрушки заключалась в том, что некоторое количество ассемблерных программ (они были названы организмами) помещалось в память компьютера. При этом организмы были примерно поровну разделены между двумя игроками. Затем программы начинали процесс самокопирования, поглощая как дисковое пространство, так и вражеские организмы. Соответственно, победителем считался тот игрок, чьи «подопечные» полностью поглощали всю отведенную память, уничтожая при этом организмы оппонента.
Как видите, механизм работы Darwin весьма схож с современными вредоносными программами. Даже несмотря на то что игра фактически не влияла на какие-либо функции компьютера, именно она считается прототипом всех вирусов.
Creeper и Reaper
На волне успеха Darwin разработчики начали создавать все больше приложений с похожим функционалом, но отдельно среди них стоит выделить Creeper. Это экспериментальный вирус, появление которого датировано 1970 годом. Программа заражала компьютеры DEC PDP-10, находящиеся под управлением операционной системы Tenex, и выводила на их экраны сообщение: I`m the creeper! Catch me if you can («Я Creeper! Поймай меня, если сможешь!»). Несмотря на такое поведение, приложение так и не вышло за пределы тестового стенда, поэтому оно и не считается первым компьютерным вирусом.
Что более интересно, так это программа Reaper, сделанная все той же группой разработчиков. Как ни странно, это была единственная задача которой заключалась в том, чтобы найти и уничтожить Creeper. И надо сказать, что она успешно с этим справлялась. С тех пор, конечно, утекло много времени, но именно Creeper и Reaper положили начало извечной борьбе вирусов и антивирусов. Что же было дальше?
С наступлением 1980-х годов началась эра развития персональных компьютеров, а также дискет в качестве носителей информации. Это то самое время, когда появился первый компьютерный вирус. Так, 15-летний школьник Ричард Скрента разработал в 1981 году программу для Apple II, способную поражать операционную систему DOS, загружающуюся с дискеты. Вирус получил название Elk Cloner и, что очень важно, он мог копировать себя на «здоровые» носители, путешествуя таким образом с одного компьютера на другой.
В принципе, программа не сильно вредила ПК. Вирус для Apple II лишь выводил на экран компьютера сообщение. Написано оно было в стихотворной форме. Однако Elk Cloner был для пользователей неприятной неожиданностью. Ведь ни с чем подобным они до этого не сталкивались. Кроме того, программе удалось заразить немало компьютеров, что по меркам того времени вполне сошло за первую вирусную эпидемию.
Brain
Следующее важное событие случилось в 1986 году. Программисты Амджад и Базит Алви создали первый компьютерный вирус для систем IBM, который был назван Brain. По словам самих разработчиков, они хотели при помощи своего детища наказать местных пиратов, но ситуация вышла у них из-под контроля. Верить им или нет - это уже личное дело каждого.
Компьютерный вирус Brain вырвался далеко за пределы Пакистана, а именно там жили его создатели, и успел навредить десяткам тысяч пользователей. Только в США от него пострадали 20 тысяч компьютеров. Конечно же, сейчас это звучит не слишком угрожающе, но тогда приравнивалось к эпидемии мирового масштаба.
Закат эры дискет
Время шло, технологии развивались, и эра дискет постепенно стала клониться к своему закату. Вместе с этим широкую популярность обрел Интернет, благодаря которому пользователи начали обмениваться информацией друг с другом. Несомненно, все это очень положительные моменты, но именно из-за них компьютерные вирусы стали гораздо опаснее.
На сегодняшний день развились настолько, что могут распространяться с ужасающей скоростью. Всего за несколько часов тот или иной вирус способен поразить миллионы компьютеров, нарушив работу даже государственных учреждений и крупных компаний. Что уж говорить о простых пользователях. Более того, сформировалось несколько различных типов вирусов, каждый из которых имеет свои особенности. О них и пойдет речь ниже.
"Черви"
Эти вредоносные программы отличаются возможностью самостоятельного распространения. Для этого они используют уязвимость приложений, поражая их как через локальные, так и через глобальные сети (Интернет). Теоретически "червь" может заразить все существующие в мире компьютеры за 15 минут, но, к счастью, в реальности это невозможно.
Первым и одним из самых известных представителей данного типа вирусов является так называемый Morris worm. Он был создан в 1988 году и в кратчайшие сроки успел заразить около 6200 компьютеров, что тогда соответствовало примерно 10% всех ПК, подключенных к Интернету.
Трояны
Что касается троянов, то они, в отличие от тех же "червей", не могут распространяться самостоятельно. Эти вирусы попадают на компьютер вследствие определенных действий самих пользователей. К примеру, вы можете установить легальную и безвредную на первый взгляд программу, но под ее видом будет скрываться вредоносное ПО.
Заразив компьютер, троян начинает выполнять всяческие несанкционированные действия. Так, он может собирать информацию, в том числе и пароли, или же просто использовать ресурсы системы для каких-либо неблаговидных целей.
Первым представителем данного типа вирусов считается AIDS, бушевавший в 1989 году. Тогда он распространялся на дискетах, подменял собой файл AUTOEXEC.BAT и начинал подсчитывать количество загрузок системы. Как только это число достигало 90, троян шифровал имена всех файлов на диске C, что делало невозможным использование ОС. Человеку, соответственно, предлагалось заплатить за то, чтобы вновь получить доступ к своей информации.
Полиморфы
Они выделяются тем, что имеют повышенный уровень защиты от обнаружения антивирусными утилитами. Проще говоря, эти вирусы, благодаря особой технике программирования, используемой при их создании, могут долго оставаться незамеченными, нанося вред системе. Первый из известных полиморфов сравнительно «молодой». Он появился в 1990 году и получил название Chameleon, а его создателем является Марк Вашбурн.
Стелс-вирусы
Стелс-вирусы, на первый взгляд, очень похожи на полиморфы. Они точно так же скрывают свое присутствие на компьютере, однако используют для этого несколько другие методы. Стелс-вирусы перехватывают обращения антивирусных программ к операционный системе, исключая тем самым возможность своего обнаружения. Первым представителем этого семейства считается программа Frodo, разработанная в Израиле в конце 1989 года, однако дебютное использование состоялось уже в 1990 году.
Немного о защите
Пока развивались вирусы, антивирусы, являющиеся лучшим средством борьбы с ними, тоже не стояли на месте. Так, помимо уже упомянутого Reaper, периодически появлялись утилиты, сделанные для защиты от нежелательного ПО. Правда, вплоть до 1981 года вирусы не представляли серьезной угрозы, поэтому и необходимости как-то противостоять им не было.
Если говорить об антивирусах в современном понимании этого термина, то первый из них начал применяться в 1985 году. Программа называлась DRProtect и предотвращала все сторонние действия, связанные с BIOS, перезапуская компьютер в случае их обнаружения.
Тем не менее разработчики вредоносного ПО постепенно научились обходить защиту, предоставляемую примитивными антивирусами того времени. Спасти ситуацию удалось лишь в 1992 году благодаря программе Евгения Касперского. В нее был встроен эмулятор системного кода, который с некоторыми изменениями используется в антивирусах и по сей день.
Кому это нужно?
Логично, что разработчики вирусов, создавая их, преследуют какие-то конкретные цели. Только вот намерения у них могут быть самыми разными, начиная от порчи оборудования конкурентов и заканчивая желанием похитить чужие денежные средства. Нередко во время атак на крупные компании жертвами вирусных эпидемий становятся самые обычные пользователи, ведь они в меньшей мере могут от них защититься.
Как бы там ни было, вы должны быть готовы к таким ситуациям. Всегда обновляйте антивирус до актуальной версии, и вы сведете вероятность заражения вашего компьютера к минимуму.
Dr.Web - один из первых антивирусов в истории
Dr.Web вряд ли был бы создан, если бы до этого не возникли первые вирусы, которые, в свою очередь, не появились бы, не будь для них среды существования - то есть, компьютеров и компьютерных сетей.
По случаю дня рождения антивируса Dr.Web, который мы отмечаем в апреле, предлагаем вам совершить небольшой экскурс в историю и вспомнить вирусных и антивирусных «пионеров», оставивших яркий след в скоротечной и насыщенной событиями компьютеризации нашего общества. Они были первыми - в самых разных ипостасях, с самыми разными намерениями и зачастую намного опережали свое время!
Идеи витали в воздухе...
Идею самовоспроизводящихся программ изложил «отец» компьютера Джон фон Нейман. Материалы лекций на эту тему, которые он читал начиная с 1949 года, Нейман обобщил в научном труде «Теория самовоспроизводящихся автоматических устройств» более 60 лет назад - в 1951 году.
Появление термина «вирус» по отношению к компьютерной программе было неизбежно. Кто употребил его первым - сказать сложно. Есть мнение, что впервые он применен в фантастическом рассказе писателя и ученого Грегори Бенфорда «Человек в шрамах», опубликованном в 1970 году. Кстати, в этом же рассказе упоминается и программа борьбы с вирусом - «Вакцина»!
Первые вирусы
В 1961 году была создана игра Darwin, в которой несколько программ, названных «организмами», загружались в память компьютера. Организмы одного вида, созданные одним игроком, должны были уничтожать представителей другого вида и захватывать жизненное пространство.
В 1971 году появилась первая программа, которую можно считать вирусом в современном понимании - The Creeper. Она не причиняла вреда, а лишь выводила сообщение на экран:
I`M THE CREEPER: CATCH ME IF YOU CAN
Но она уже умела самостоятельно распространяться по сети, став первым сетевым вирусом в истории.
Она же породила и первый антивирус - программу Reaper, являющуюся по сути таким же сетевым вирусом. Reaper распространялась по сетям, никак себя не проявляя, а если ей удавалось найти на компьютере The Creeper - она его стирала.
Вирусы распространяются
А это уже серьезно
Первыми известными настоящими вирусами являются Virus 1,2,3 и Elk Cloner для ПК Apple II - того самого будущего «мака», вирусов для которых, якобы, не существует. Оба вируса появились в 1981 году.
Первая эпидемия
К середине 80-х годов широкое распространение получили компьютеры IBM PC, что стало одной из причин возникновения вирусных эпидемий.
Первой эпидемией компьютерных вирусов можно считать произошедшую в 1987 году эпидемию достаточно безвредного вируса Brain, который за год своего существования поразил множество компьютеров по всему миру, хотя изначально создавался для определения уровня компьютерного пиратства в Пакистане.
Исследования начинаются
В дипломной работе по теме «Самовоспроизводящиеся программы», подготовленной студентом Дортмундского университета Юргеном Краусом в 1980 году, наряду с теоретическими выкладками перечислялись и реально существовавшие на тот момент самовоспроизводящиеся программы для компьютера Siemens. Именно в этой работе впервые была проведена параллель между живой клеткой и самовоспроизводящейся компьютерной программой.
Ясное определение термина «компьютерный вирус» было дано в 1983 году Фредом Коэном, на тот момент - аспирантом Университета Южной Калифорнии:
«Мы определяем компьютерный вирус как программу, которая может “инфицировать” другую, внедряя в нее свою копию. Инфекция может распространяться через ЭВМ или сеть... Каждая инфицированная программа может вести себя как вирус, благодаря чему инфекция распространяется».
Фред Коэн, «Компьютерные вирусы, теория и эксперименты»
Незадолго до Dr.Web
В 1988 году была разработана первая версия отечественного антивируса Aidstest. Автор этой легендарной программы - Д.Н. Лозинский. Она использовалась практически на всех персональных компьютерах в СССР, а затем в странах СНГ, оставаясь вне конкуренции долгие годы. Разработка Лозинского помогла многим пользователям, в частности в государственном и коммерческом секторах, справиться с вирусной проблемой на начальном этапе ее появления. Сегодня Д.Н. Лозинский является заместителем генерального директора «Доктор Веб».
Дмитрий Николаевич Лозинский - один из тех, кто определил развитие отечественного программирования и стоял у истоков первых российских антивирусных решений.
В СССР у истоков компьютерной вирусологии (с 1989 года) стоял Н.Н. Безруков. Его семинар «Системное программирование» и электронный бюллетень «Софтпанорама» в значительной степени были посвящены вопросам компьютерной вирусологии. В нем были представлены разработчики тогдашних отечественных антивирусов, включая Д.Н. Лозинского.
Позже Н.Н. Безруков написал фундаментальный труд «Компьютерная вирусология», который вышел в 1991 году и оказал большое влияние на Игоря Данилова.
Первая версия Spider’s Web
В 1992 году была разработана первая версия антивирусной системы Spider’s Web, включавшая в себя резидентный сторож Spider и доктор (сканер по современной терминологии) Web.
В 1971 году появился на свет первый компьютерный вирус Creeper . Он является самым первым компьютерным вирусом в мире, и в этом году (2011) ему исполняется 40 лет. Данный «червь » был написан сотрудником компании в 1971 году, эта компания начинала заниматься обслуживанием ARPANET - сети, которая была создана в 1969 году Агентством министерства обороны США по перспективным исследованием и она предшествовала Интернету.
Вирус Creeper
Creeper не являлся полноценным вирусом, так как вреда системе не было нанесено никакого. Все что он делал, это занимался поиском по сети компьютеров, затем мог самостоятельно скопировать на них и вывести на терминале сообщение: Я Крипер, поймай меня, если сможешь! («I"m the creeper, catch me if you can!»). В том случае, если Creeper уже обнаружил на машине существующую копию самого себя, то «перепрыгивал» на другую машину.
В 1982 году появился другой опасный вирус - Elk Cloner. Данного «червя», который проникал на машины через дискеты, смог разработать 15-летний подросток. Вирус Jerusalem был создан в 1987 году, он удалял любые программы на системе, которая была заражена вирусом, каждую пятницу 13 числа.
«Червь» Melissa появился в 1999 году, он мог распространяться через зараженные документы Microsoft Word и мог отправлять себя остальным пользователям, которые находились в списке контактов почты Outlook. В то время данному «червю» удалось на небольшой период парализовать почтовые системы в Интернете, которые были популярны в то время. Я сам лично помню этот вирус. Поразил он очень многое. К счастью он меня обошел ибо уже в том время чутью на вирусы было развито на высоком уровне.
Stuxnet является одним из последних опасных вирусов, он способен нанести физический ущерб электростанциям, заводам и другим промышленным объектам. В первый раз о данном «черве» все услышали в июне прошедшего года, когда он смог заразить компьютеры на Бушерской АЭС.
Удручающая статистика вирусов и прогнозы на этот год
Прогрессия, с которой число вирусов выросло за 40 лет, является геометрической. Приведем статистику: приблизительно 1.300 в 1990 году, около 50.000 в 2000 году и больше 200 миллионов в прошлом году, данные факты приводят в статье Net Security.
Эксперты думают, что в этом году целью киберпреступников будут смартфоны, через них очень легко перевести любые электронные платежи. Кроме того, в данные устройства чаще всего встроен микрофон, несколько камер и GPS навигатор, эти «примочки» помогут злоумышленникам проследить за владельцами смартфонов.
По словам разработчиков McAfee, основная цель хакерских атак в этом году будут смартфоны (основной удар примет платформа Android), сервисы, которые занимаются сокращением длинных URL адресов, продукция корпорации Apple, социальные сети, и геолокационные сервисы.
Компьютерные вирусы
Компьютерный вирус - это небольшая программа, написанная программистом высокой квалификации, способная к саморазмножению и выполнению разных деструктивных действий. На сегодняшний день известно свыше 50 тыс. компьютерных вирусов.
Существует много разных версий относительно даты рождения первого компьютерного вируса. Однако большинство специалистов сходятся на мысли, что компьютерные вирусы, как таковые, впервые появились в 1986 году, хотя исторически возникновение вирусов тесно связано с идеей создания самовоспроизводящихся программ. Одним из "пионеров" среди компьютерных вирусов считается вирус "Brain", созданный пакистанским программистом по фамилии Алви. Только в США этот вирус поразил свыше 18 тыс. компьютеров.
Вирусы действуют только программным путем. Они, как правило, присоединяются к файлу или проникают в тело файла. В этом случае говорят, что файл заражен вирусом. Вирус попадает в компьютер только вместе с зараженным файлом. Для активизации вируса нужно загрузить зараженный файл, и только после этого, вирус начинает действовать самостоятельно.
Некоторые вирусы во время запуска зараженного файла становятся резидентными (постоянно находятся в оперативной памяти компьютера) и могут заражать другие загружаемые файлы и программы.
Другая разновидность вирусов сразу после активизации может быть причиной серьезных повреждений, например, форматировать жесткий диск. Действие вирусов может проявляться по разному: от разных визуальных эффектов, мешающих работать, до полной потери информации.
Основные источники вирусов:
дискета, на которой находятся зараженные вирусом файлы;
компьютерная сеть, в том числе система электронной почты и Internet;
жесткий диск, на который попал вирус в результате работы с зараженными программами;
вирус, оставшийся в оперативной памяти после предшествующего пользователя.
Основные ранние признаки заражения компьютера вирусом:
уменьшение объема свободной оперативной памяти;
замедление загрузки и работы компьютера;
непонятные (без причин) изменения в файлах, а также изменения размеров и даты последней модификации файлов;
ошибки при загрузке операционной системы;
невозможность сохранять файлы в нужных каталогах;
непонятные системные сообщения, музыкальные и визуальные эффекты и т.д.
Признаки активной фазы вируса:
исчезновение файлов;
форматирование жесткого диска;
невозможность загрузки файлов или операционной системы.
Существует очень много разных вирусов. Условно их можно классифицировать следующим образом:
1) загрузочные вирусы или BOOT-вирусы заражают boot-секторы дисков. Очень опасные, могут привести к полной потере всей информации, хранящейся на диске;
2) файловые вирусы заражают файлы. Делятся на:
вирусы, заражающие программы (файлы с расширением.EXE и.COM);
макровирусы вирусы, заражающие файлы данных, например, документы Word или рабочие книги Excel;
вирусы-спутники используют имена других файлов;
вирусы семейства DIR искажают системную информацию о файловых структурах;
3) загрузочно-файловые вирусы способные поражать как код boot-секторов, так и код файлов;
4) вирусы-невидимки или STEALTH-вирусы фальсифицируют информацию прочитанную из диска так, что программа, какой предназначена эта информация получает неверные данные. Эта технология, которую, иногда, так и называют Stealth-технологией, может использоваться как в BOOT-вирусах, так и в файловых вирусах;
5) ретровирусы заражают антивирусные программы, стараясь уничтожить их или сделать нетрудоспособными;
6) вирусы-черви снабжают небольшие сообщения электронной почты, так называемым заголовком, который по своей сути есть Web-адрес местонахождения самого вируса. При попытке прочитать такое сообщение вирус начинает считывать через глобальную сеть Internet свое «тело» и после загрузки начинает деструктивное действие. Очень опасные, так как обнаружить их очень тяжело, в связи с тем, что зараженный файл фактически не содержит кода вируса.
Если не принимать меры для защиты от компьютерных вирусов, то следствия заражения могут быть очень серьезными. В ряде стран уголовное законодательство предусматривает ответственность за компьютерные преступления, в том числе за внедрение вирусов. Для защиты информации от вирусов используются общие и программные средства.
К общим средствам, помогающим предотвратить заражение вирусом и его разрушительных последствий относят:
резервное копирование информации (создание копий файлов и системных областей жестких дисков);
отказ от использования случайных и неизвестных программ. Чаще всего вирусы распространяются вместе с компьютерными программами;
ограничение доступа к информации, в частности физическая защита дискеты во время копирования файлов с нее.
К программным средствам защиты относят разные антивирусные программы (антивирусы).
Антивирус - это программа, выявляющая и обезвреживающая компьютерные вирусы. Следует заметить, что вирусы в своем развитии опережают антивирусные программы, поэтому даже в случае регулярного пользования антивирусов, нет 100% гарантии безопасности. Антивирусные программы могут выявлять и уничтожать лишь известные вирусы, при появлении нового компьютерного вируса защиты от него не существует до тех пор, пока для него не будет разработан свой антивирус. Однако, много современных антивирусных пакетов имеют в своем составе специальный программный модуль, называемый эвристическим анализатором , который способен исследовать содержимое файлов на наличие кода, характерного для компьютерных вирусов. Это дает возможность своевременно выявлять и предупреждать об опасности заражения новым вирусом.
Различают следующие типы антивирусных программ:
1) программы-детекторы : предназначены для нахождения зараженных файлов одним из известных вирусов. Некоторые программы-детекторы могут также лечить файлы от вирусов или уничтожать зараженные файлы. Существуют специализированные, то есть предназначенные для борьбы с одним вирусом детекторы и полифаги , которые могут бороться с многими вирусами;
2) программы-лекари : предназначены для лечения зараженных дисков и программ. Лечение программы состоит в изъятии из зараженной программы тела вируса. Также могут быть как полифагами, так и специализированными;
3) программы-ревизоры : предназначены для выявления заражения вирусом файлов, а также нахождение поврежденных файлов. Эти программы запоминают данные о состоянии программы и системных областей дисков в нормальном состоянии (до заражения) и сравнивают эти данные в процессе работы компьютера. В случае несоответствия данных выводится сообщение о возможности заражения;
4) лекари-ревизоры : предназначены для выявления изменений в файлах и системных областях дисков и, в случае изменений, возвращают их в начальное состояние.
5) программы-фильтры : предназначены для перехвата обращений к операционной системе, которые используются вирусами для размножения и сообщают об этом пользователя. Пользователь может разрешить или запретить выполнение соответствующей операции. Такие программы являются резидентными, то есть они находятся в оперативной памяти компьютера.
6) программы-вакцины : используются для обработки файлов и boot-секторов с целью предупреждения заражения известными вирусами (в последнее время этот метод используется все чаще).
Следует заметить, что выбор одного «наилучшего» антивируса крайне ошибочное решение. Рекомендуется использовать несколько разных антивирусных пакетов одновременно. Выбирая антивирусную программу, следует обратить внимание на такой параметр, как количество распознающих сигнатур (последовательность символов, которые гарантированно распознают вирус). Второй параметр - наличие эвристического анализатора неизвестных вирусов, его присутствие очень полезно, но существенно замедляет время работы программы.
Контрольные вопросы
Что такое компьютерный вирус?
Каким образом вирус заражает компьютер?
Каким образом действуют компьютерные вирусы?
Какие вы знаете источники заражения компьютерным вирусом?
По каким признакам можно обнаружить факт заражения компьютерным вирусом?
Какие вы знаете типы вирусов? Какие деструктивные действия они осуществляют?
Какие действия предпринимают для предотвращения заражения компьютерным вирусом?
Что такое антивирус? Какие типы антивирусов вы знаете?
Что такое эвристический анализатор? Какие функции он выполняет?
Первые исследования саморазмножающихся искусственных конструкций проводились в середине XX столетия: в работах фон Неймана, Винера и др. Дано определение и проведен математический анализ конечных автоматов, в том числе самовоспроизводящихся. Основы теории самовоспроизводящихся механизмов заложил американец венгерского происхождения Джон фон Нейман , который в 1951 году предложил метод создания таких механизмов. С 1961 года известны рабочие примеры таких программ.
Термин "компьютерный вирус " появился позднее - официально считается, что его впервые употребил сотрудник Лехайского университета (США) Фред Коэн в 1984 году на 7-й конференции по безопасности информации, проходившей в США.
Существует много разных версий относительно даты рождения первого компьютерного вируса. Однако большинство специалистов сходятся на мысли, что компьютерные вирусы, как таковые, впервые появились в 1986 году, хотя исторически возникновение вирусов тесно связано с идеей создания самовоспроизводящихся программ.
Появление первых компьютерных вирусов, способных дописывать себя к файлам, связывают с инцидентом, который произошел в первой половине 70-х годов на системе Univax 1108 . Вирус, получивший название "Pervading Animal ", дописывал себя к выполняемым файлам – делал практически то же самое, что тысячи современных компьютерных вирусов.
ПРИМЕЧАНИЕ :Каждый вирус имеет собственное имя. Обнаружив новый вирус, антивирусные компании дают ему имена в соответствии с классификациями, принятыми в каждой конкретной компании, причем классификация у каждой фирмы своя.
Например , Worm.Win32.Nuf – это то же самое, что
Net-Worm.Win32.Mytob.c.
Часто название дается по некоторым внешним признакам:
по месту обнаружения вируса (Jerusalem);
методу подачи пользователю (AnnaKournikova);
эффекту (Black Friday).
Можно отметить, что в те времена значимые события, связанные с компьютерными вирусами, происходили один раз в несколько лет. С началом 80-х компьютеры становятся все более и более популярными. Появляется все больше и больше программ, начинают развиваться глобальные сети. Результатом этого является появление большого числа разнообразных "троянских коней" – программ, которые при их запуске наносят системе какой-либо вред.
Одним из "пионеров" среди компьютерных вирусов считается вирус "Brain ", созданный в 1986г. пакистанским программистом по фамилии Алви. Только в США этот вирус поразил свыше 18 тыс. компьютеров.
Вирус, заражающий 360Kб дискеты, практически мгновенно разошелся по всему миру. Причиной такого "успеха" являлась, скорее всего, неготовность компьютерного общества к встрече с таким явлением, как компьютерный вирус.
В начале эпохи компьютерных вирусов разработка вирусоподобных программ носила чисто исследовательский характер, постепенно превращаясь на откровенно вражеское отношение к пользователям безответственных, и даже криминальных "элементов". В ряде стран уголовное законодательство предусматривает ответственность за компьютерные преступления, в том числе за создание и распространение вирусов.
Первыми известными собственно вирусами являются Virus 1,2,3 и Elk Cloner для ПК Apple II , появившиеся в 1981 году . Зимой 1984 года появились первые антивирусные утилиты - CHK4BOMB и BOMBSQAD авторства Энди Хопкинса (англ. Andy Hopkins ).
В начале 1985 года Ги Вонг (англ. Gee Wong ) написал программу DPROTE CT - первый резидентныйантивирус.
Расцвет вирусов в их классическом понимании пришелся на операционную систему MS DOS и происходил в 80-е годы и в начале 90-х. В то время вирусы заражали загрузочные области накопителей на жестких и гибких дисках и исполнимые файлы. Вирусы распространялись путем переноса с компьютера на компьютер дискет, зараженных вирусами или содержащих зараженные исполнимые файлы. В своей эволюции в тот период вирусы прошли путь от простейших вирусов до шифрованных (тело вируса было зашифровано, так что сигнатура вируса менялась от экземпляра к экземпляру).
Из вирусных технологий, разработанных в тот период, необходимо также отметить следующие :
«stealth»- технологию, обеспечивавшую «невидимость» вирусов для стандартных средств, поставляющих информацию о системе;
направленность некоторых вирусов на разрушение или блокирование работы антивирусных программ на пораженном компьютере пользователя;
разработка генераторов вирусов, позволившая малоквалифицированным пользователям автоматически создавать вирусы.
Тогда же оформились основные классы двоичных вирусов :
сетевые черви (червь Морриса , 1987),
«троянские кони » (AIDS, 1989 ),
полиморфные вирус ы (Chameleon, 1990),
стелс-вирусы (Frodo, Whale, 2-я половина 1990).
Первые вирусные эпидемии относятся к 1987-1989 годам:
Zotkin.A, (более 18 тысяч зараженных компьютеров, по данным McAfee ),
Jerusalem (проявился в пятницу 13 мая 1988 года , уничтожая программы при их запуске),
червь Морриса (свыше 6200 компьютеров, большинство сетей вышло из строя на срок до пяти суток),
DATACRIME (около 100 тысяч зараженных ПЭВМ только в Нидерландах).
В пятницу 13-го мая 1988-го года сразу несколько фирм и университетов нескольких стран мира "познакомились" с вирусом "Jerusalem" – в этот день вирус уничтожал файлы при их запуске. Вместе с несколькими другими вирусами, вирус "Jerusalem " распространился по тысячам компьютеров, оставаясь незамеченным – антивирусные программы еще не были распространены в то время так же широко как сегодня, а многие пользователи и даже профессионалы еще не верили в существование компьютерных вирусов.
Не прошло и полгода, как в ноябре 1988г. появился сетевой вирус Морриса (другое название – Internet Worm ) и в течение короткого промежутка времени парализовал работу многих хостов сети Internet. Повальная эпидемия этого вируса заразила более 6000 компьютерных систем в США и практически парализовала их работу. По причине ошибки в коде вируса он неограниченно рассылал свои копии по другим компьютерам сети и, таким образом, полностью забрал под себя ее ресурсы. Общие убытки от вируса Морриса были оценены в 96 миллионов долларов.
Червь Морриса являлся самораспространяющейся программой, которая распространяла свои копии по сети Internet, получая привилегированные права доступа на хостах сети за счет использования уязвимостей в операционной системе. Одной из уязвимостей, использованных червем Моррисона , была уязвимая версия программы Sendmail (нарушение безопасности было связано с использованием нестандартной команды), а другой - программа Fingerd (в ней содержалась ошибка переполнения буфера). Для поражения систем червь использовал также уязвимость команд rexe c и rsh, а также неверно выбранные пользовательские пароли.
Данный червь является «классикой» вредоносных программ, а механизмы нападения, разработанные автором при его написании, до сих пор используются злоумышленниками.
Параллельно оформляются организованные движения как про-, так и антивирусной направленности:
в 1990 году появляются специализированная BBS Virus Exchange,
«Маленькая чёрная книжка о компьютерных вирусах » Марка Людвига,
первый коммерческий антивирус Symantec Norton AntiVirus .
Начиная с 90-х годов проблема, приобретает глобальный характер. В 1991 году появился первый генератор вирусов- VCS v.1.0 . Теперь любой желающий за 10-15 минут мог сконструировать свой вирус.
В 1992 годупоявились :
первый конструктор вирусов для PC - VCL (для Amiga конструкторы существовали и ранее),
готовые полиморфные модули (MtE, DAME и TPE);
модули шифрования для встраивания в новые вирусы.
В 1992 году появились первые конструкторы вирусов VCL и PS-MPC , которые увеличили и без того немаленький поток новых вирусов. В конце этого года первый вирус для Windows, заражающий выполняемые файлы этой операционной системы, открыл новую страницу компьютерных вирусов.
В 1992 операционная система Windows 95 была практически готова, и её beta- версию разослали 160 тестерам. Все диски были заражены загрузочным вирусом Form , и только один тестер не поленился проверить диск антивирусом. 1993 год. Вирус Satan bug поражает сотни компьютеров в Вашингтоне.
С появлением семейства операционных системы Windows в 90-х годах ситуация изменилась. Казалось, что ситуация должна улучшиться, т.к. Windows является системой более сложной структуры, в ней присутствуют некоторые механизмы защиты, а, следовательно, создавать вирусы для данной операционной системы будет труднее, чем под MS DOS. И действительно, на некоторое время количество создаваемых вирусов уменьшилось (выросло число вирусов, поражающих загрузочную запись, т.к. данный тип MS DOS вирусов был совместим с операционной системой Windows 3.1 , но уменьшилось количество файловых вирусов).
В несколько последующих лет были :
окончательно отточены стелс- и полиморфные технологии (SMEG.Pathogen, SMEG.Queeg, OneHalf , 1994; NightFall, Nostradamus, Nutcracker, 1995),
испробованы самые необычные способы проникновения в систему и заражения файлов (Dir II - 1991, PMBS, Shadowgard, Cruncher - 1993) ,
появились вирусы, заражающиеобъектные файлы (Shifter, 1994) и исходные тексты программ (SrcVir, 1994).
В этот период появился новый фактор, вызвавший бурный рост вредоносных программ. Получили широкое распространение сложные программные пакеты (самый яркий представитель – Microsoft Office), содержащие встроенные интерпретируемые языки.
Август 1995 г. один из поворотных моментов в истории вирусов и антивирусов - обнаружен первый вирус для Microsoft Word ("Concept").
Вирус Concept, первый макро-вирус (вирус, использующий интерпретатор, встроенный в прикладное программное обеспечение). Так начиналось время макровирусов. С распространением пакета Microsoft Office получили распространение макровирусы (Concept, 1995 ). С этого момента вирусы, заражающие документы Microsoft Office стали самыми популярными в мире.
В 1996 годупоявились первые вирусы для:
Windows 95 - Win95.Boza,
резидентный вирус для Win95.Boza - Win95.Punch.
После появления в 1997 году очередной версии продукта Microsoft Office, вирусы перестали быть специфичными для какого-то отдельного офисного приложения, а стали "общими" для всех продуктов семейства, вследствие внедрения в пакет встроенного интерпретируемого языка Visual Basic . Теоретически любое приложение, поддерживающее Visual Basic, может быть использовано для распространения вирусов в документах.
Таким образом, для широкого распространения макро-вирусов в настоящее имеются следующие предпосылки:
широкое распространение пакета Microsoft Office;
отсутствие механизмов защиты в макросах;
распространенность обмена информацией в файлах, созданных офисными приложениями, в почтовых вложениях между пользователями;
удобный язык для написания вирусов.
Современные макро-вирусы пытаются использовать технологии аналогичные технологиям, которые использовали вирусы для операционной системы MS DOS:
сокрытие своего тела путем перехвата обращений к пунктам меню, позволяющим просмотреть макросы в документе;
шифрование текста макроса;
борьба с антивирусным программным обеспечением.
Описанные вирусные проблемы, существовали где-то до 1998 года. А далее произошла очередная «вирусная» революция, связанная с использованием возможностей сети Internet для распространения вирусов .
На данном этапе вирусные программы начинают обладать функциями, характерными для червей, так что часто трудно четко определить, вирусом или червем является вредоносная программа.
С распространением сетей и Интернетафайловые вирусывсё больше ориентируются на Win95.Boza и Win95.Punch как на основной канал работы:
ShareFun, 1997 - макровирус MS Word , использующий MS-Mail для распространения;
Win32.HLLP.DeTroie, 1998 - семейство вирусов-шпионов ;
Melissa, 1999 - макровирус и сетевой червь, побивший все рекорды по скорости распространения
Вирус Melissa появился в мае 1999 года и поразил около 100000 хостов, подключенных к сети Internet, в том числе и в сетях, защищенных межсетевыми экранами. Вирус распространялся с помощью программы, присоединенной к почтовому сообщению. Даже если в атакуемой сети присутствовала проверка наличия вирусов в почтовых сообщениях, антивирусные средства не могли распознать сигнатуру вируса Melissa.
Кратко рассмотрим принципы работы данного вируса. Вирус Melissa нельзя классифицировать как чистый червь, т.к. для его распространения требуются действия пользователя. Для того чтобы вирус заразил атакуемый хост сети, пользователь должен был открыть присоединенный к почтовому сообщению документ с помощью программы Microsoft Word. После того, как зараженный документ открывался, вирус рассылал свою копию первым пятидесяти адресатам в книге адресов Microsoft Outlook, хранимой на хосте. Этот способ распространения являлся основным (несмотря на то, что вирус мог распространяться и в результате того, что пользователи сами передавали друг другу зараженный документ). Использование адресной книги хоста для распространения вируса увеличивало способность его распространения вследствие того, что атакуемые пользователи были склонны доверять почтовым сообщениям, поступившим к ним от известных пользователей, и открывали вложенные документы.
В январе 1999 года появился вирус Caligula, который распространялся с помощью документов Microsoft Word / 97 . Данный вирус пытался обнаружить в зараженной системе файл, содержащий информацию, используемую программой PGP. При этом для связи с нарушителем использовался сеанс ftp , инициируемый с зараженной машины, что часто позволяло обойти межсетевой экран.
Вирус Marker появился в апреле 1999 года и использовал технику аналогичную вирусу Caligula для получения информации о пользователях, работающих на зараженном хосте. Marker проверял, была ли уже заражена система, на основании проверки ключа реестра, который он устанавливал при заражении
Эру расцвета «троянских коней» открывает утилита скрытого удаленного администрирования BackOrifice (1998) и последовавшие за ней аналоги (NetBus , Phase).
Вирус Win95. CIH достиг апогея в применении необычных методов, перезаписывая FlashBIOS зараженных машин (эпидемия в июне 1998 считается самой разрушительной за предшествующие годы).
В 1998 году появились первые полиморфные Windows32-вирусы-"Win95. HPS " и "Win95. Marburg". Разработчикам антивирусных программ пришлось спешно адаптировать к новым условиям методики детектирования полиморфных вирусов, рассчитанных до того только на DOS-вирусы.
Наиболее заметной в 1998 г. была эпидемия вируса "Win95. CIH", ставшая сначала массовой, затем глобальной, а затем повальной – сообщения о заражении компьютерных сетей и домашних персональных компьютеров исчислялись сотнями, если не тысячами. Начало эпидемии зарегистрировано на Тайване, где неизвестный заслал зараженные файлы в местные Интернет-конференции.
С середины 90-х годов основным источником вирусов становится глобальная сеть Интернет.
Конец 1990-x - начало 2000-x годов ознаменовались:
усложнением ПО и системного окружения,
массовым переходом на сравнительно защищенные Windows семейства NT ,
закреплением сетей как основного канала обмена данными,
а также успехами антивирусных технологий в обнаружении вирусов, построенных по сложным алгоритмам.
В этот период вирусы стали:
1) заменять внедрение в файлы на внедрение в операционную систему (необычный автозапуск , руткиты );
2) подменять полиморфизм огромным количеством видов (число известных вирусов растет экспоненциально).
Вместе с тем, обнаружение в Windows и другом распространенном ПО многочисленных уязвимостей открыло дорогу червям-эксплоитам .
С 1999 года макровирусы начинают постепенно терять свое господство. Это связано со многими факторами. Во-первых, пользователи осознали опасность, таящуюся в простых doc - и xls-файлах. Люди стали более внимательными, научились пользоваться стандартными механизмами защиты от макровирусов, встроенными в MS Office.
В 2000 году происходят очень важные изменения на мировой "вирусной арене". На свет появляется новый тип вредных кодов – сетевые черви. В это же время появляется супервирус – "Чернобыль".
"Чернобыль" исполняемый вирус под Windows, имеющий следующие особенности:
1. Во-первых , зараженный файл не меняет своего размера по сравнению с первоначальным вариантом. Такой эффект достигается благодаря структуре исполняемых файлов Windows : каждый exe-файл разбит на секции, выровненные по строго определенным границам. В результате между секциями почти всегда образуется небольшой зазор. Хотя такая структура приводит к увеличению места, занимаемого файлом на диске, она же позволяет существенно повысить скорость работы операционной системы с таким файлом. "Чернобыль" либо записывает свое тело в один такой зазор, либо дробит свой код на кусочки и копирует каждый из них в пустое место между границами. В результате антивирусу сложнее определить, заражен ли файл или нет, и еще сложнее вылечить инфицированный объект.
2. Во-вторых , "Чернобыль " стал первопроходцем среди программ, умеющих портить аппаратные средства. Некоторые микросхемы позволяют перезаписывать данные, хранящиеся в их мини ПЗУ. Этим и занимается этот вирус.
