Существует класс программ, которые были изначально написаны с целью уничтожения данных на чужом компьютере, похищения чужой информации, несанкционированного использования чужих ресурсов и т. п., или же приобрели такие свойства вследствие каких-либо причин. Такие программы несут вредоносную нагрузку и соответственно называются вредоносными. Все вредоносные программы в соответствии со способами распространения и вредоносной нагрузкой можно разделить на четыре основных типа — компьютерные вирусы, черви, трояны и прочие программы.
Компьютерный вирус — это программа, способная создавать свои дубликаты и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению. Основные цели любого компьютерного вируса — это распространение на другие ресурсы компьютера и выполнение специальных (нередко вредоносных) действий при определенных событиях или действиях пользователя, специальные действия. Активация вируса может происходить несколькими путями и в соответствии с выбранным методом вирусы делятся на загрузочные вирусы, файловые вирусы, макровирусы, скрипт-вирусы. В зависимости от используемых методов маскировки от антивирусов, вирусы можно делить на шифрованные, метаморфные (при применении этого метода вирусные копии создаются путем замены некоторых команд на аналогичные, перестановки местами частей кода) и полиморфные, использующие комбинацию двух типов маскировки.
Как быстро удалить дубликаты файлов?
Червь (сетевой червь) — это вредоносная программа, распространяющаяся по сетевым каналам и способная к самостоятельному преодолению систем защиты компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не обязательно совпадающих с оригиналом. В зависимости от способа проникновения в систему черви делятся на сетевые, почтовые, IM-черви, IRC-черви, P2P-черви. По методу активации все черви можно разделить на две большие группы — на тех, которые требуют активного участия пользователя и тех, кто его не требует.
Троян (троянский конь) — программа, основной целью которой является вредоносное воздействие по отношению к компьютерной системе путем выполнения несанкционированных пользователем действий: кражи, порчи или удаления конфиденциальных данных, нарушения работоспособности компьютера или использования его ресурсов в неблаговидных целях. Трояны классифицируются по типу вредоносной нагрузки: клавиатурные шпионы, похитители паролей, утилиты скрытого удаленного управления, анонимные SMTP-сервера и прокси-сервера, утилиты дозвона, модификаторы настроек браузера, логические бомбы, организаторы DDoS-атак.
Среди других вредоносных программ, можно выделить:
riskware — утилиты удаленного управления, которыми часто пользуются администраторы больших сетей, клиенты IRC, программы для загрузки файлов из Интернет, утилиты восстановления забытых паролей и другие;
adware — условно-бесплатные программы, которые в качестве платы за свое использование демонстрируют пользователю рекламу, чаще всего в виде графических баннеров;
Поиск и удаление файлов дубликатов | PC-Lessons.ru
pornware — к этому классу относятся утилиты, так или иначе связанные с показом пользователям информации порнографического характера; утилиты для взлома — к этому виду программ относятся программы скрытия кода зараженных файлов от антивирусной проверки, конструкторы вирусов и подобные утилиты;
злые шутки — программы, которые намеренно вводят пользователя в заблуждение путем показа разного рода уведомлений или угроз.
Антивирусные программы — это программы, основной задачей которых является защита от вредоносных программ. Из всех методов антивирусной защиты можно выделить две основные группы: сигнатурные методы и эвристические методы.
Сигнатурные методы — точные методы обнаружения вирусов, основанные на сравнении файла с известными образцами вирусов. Сигнатурой вируса считается совокупность черт, позволяющих однозначно идентифицировать наличие вируса в файле (включая случаи, когда файл целиком является вирусом). Все вместе сигнатуры известных вирусов составляют антивирусную базу.
Задачу выделения сигнатур, как правило, решают люди — эксперты в области компьютерной вирусологии, способные выделить код вируса из кода программы и сформулировать его характерные черты в форме, наиболее удобной для поиска. Для получения сигнатуры необходимо иметь образец вируса. Следовательно, сигнатурный метод непригоден для защиты от новых вирусов, т. к. до тех пор, пока вирус не попал на анализ к экспертам, создать его сигнатуру невозможно. Именно поэтому все наиболее крупные эпидемии вызываются новыми вирусами. С момента появления вируса в сети Интернет до выпуска первых сигнатур обычно проходит несколько часов, и все это время вирус способен заражать компьютеры почти беспрепятственно.
Эвристические методы — приблизительные методы обнаружения, которые позволяют с определенной вероятностью предположить, что файл заражен. Эвристический анализ основывается на предположении, что новые вирусы часто оказываются похожи на какие-либо из уже известных.
Основанный на таком предположении эвристический метод заключается в поиске файлов, которые не полностью, но очень близко соответствуют сигнатурам известных вирусов. Положительным эффектом от использования этого метода является возможность обнаружить новые вирусы еще до того, как для них будут выделены сигнатуры.
Другой метод, основан на выделении основных вредоносных действий, таких как удаление файла, запись в файл, запись в определенные области системного реестра, открытие порта на прослушивание, перехват данных вводимых с клавиатуры, рассылка писем и др. Основанный на этом принципе эвристический анализатор должен постоянно следить за действиями, которые выполняют программы. Преимуществом описанного метода является возможность обнаруживать неизвестные ранее вредоносные программы, даже если они не очень похожи на известные программы. Например, новая вредоносная программа может использовать для проникновения на компьютер новую уязвимость, но после этого начинает выполнять уже привычные вредоносные действия. К отрицательным сторонам обоих подходов можно отнести:
вероятность ложного срабатывания
низкая эффективность против новаторских вирусов
Практически любой антивирус сегодня использует все известные методы обнаружения вирусов. Но одних средств обнаружения мало для успешной работы антивируса, для того, чтобы чисто антивирусные средства были эффективными, нужны дополнительные модули, выполняющие вспомогательные функции. В первую очередь, каждый антивирус должен содержать модуль обновления.
Это связано с тем, что основным методом обнаружения вирусов сегодня является сигнатурный анализ, который полагается на использование антивирусной базы. Для того чтобы сигнатурный анализ эффективно справлялся с самыми последними вирусами, антивирусные эксперты постоянно анализируют образцы новых вирусов и выпускают для них сигнатуры.
После этого главной проблемой становится доставка сигнатур на компьютеры всех пользователей, использующих соответствующую антивирусную программу. Именно эту задачу и решает модуль обновления. После того, как эксперты создают новые сигнатуры, файлы с сигнатурами размещаются на серверах компании — производителя антивируса и становятся доступными для загрузки. Модуль обновления обращается к этим серверам, определяет наличие новых файлов, загружает их на компьютер пользователя и дает команду антивирусным модулям использовать новые файлы сигнатур.
Второй важный вспомогательный модуль — это модуль планирования. Существует ряд действий, которые антивирус должен выполнять регулярно: в частности, проверять весь компьютер на наличие вирусов и обновлять антивирусную базу. Модуль обновления как раз и позволяет настроить периодичность выполнения этих действий.
Для обновления антивирусной базы рекомендуется использовать небольшой интервал — один час или три часа, в зависимости от возможностей канала доступа в Интернет. В настоящее время новые модификации вредоносных программ обнаруживаются постоянно, что вынуждает антивирусные компании выпускать новые файлы сигнатур буквально каждый час.
Если пользователь компьютера много времени проводит в Интернете, он подвергает свой компьютер большому риску и поэтому должен обновлять антивирусную базу как можно чаще. Полную проверку компьютера нужно проводить хотя бы потому, что сначала появляются новые вредоносные программы, а только потом сигнатуры к ним, а значит всегда, есть возможность загрузить на компьютер вредоносную программу раньше, чем обновление антивирусных баз.
Чтобы обнаружить эти вредоносные программы, компьютер нужно периодически перепроверять. Разумным расписанием для проверки компьютера можно считать раз в неделю. Исходя из сказанного, основная задача модуля планирования — давать возможность выбрать для каждого действия расписание, которое больше всего подходит именно для этого типа действия. Следовательно, модуль обновления должен поддерживать много различных вариантов расписания, из которых можно было бы выбирать.
По мере увеличения количества модулей в антивирусе возникает необходимость в дополнительном модуле для управления и настройки. В простейшем случае — это общий интерфейсный модуль, при помощи которого можно в удобной форме получить доступ к наиболее важным функциям.
Основные требования к такому модулю — удобный доступ к настройкам, интуитивная понятность, подробная справочная система, описывающая каждую настройку, возможность защитить настройки от изменений, если за компьютером работает несколько человек. Подобным модулем управления обладают все антивирусы для домашнего использования.
Антивирусы для защиты компьютеров в крупных сетях должны обладать несколько иными свойствами. Уже не раз говорилось, что в большой организации за настройку и правильное функционирование антивирусов отвечают не пользователи компьютеров, а специальные сотрудники. Если компьютеров в организации много, то каждому ответственному за безопасность сотруднику придется постоянно бегать от одного компьютера к другому, проверяя правильность настройки и просматривая историю обнаруженных заражений. Это очень неэффективный подход к обслуживанию системы безопасности. Поэтому, чтобы упростить работу администраторов антивирусной безопасности, антивирусы, которые используются для защиты больших сетей, оборудованы специальным модулем управления.
Среди прочих вспомогательных средств во многих антивирусах есть специальные технологии, которые защищают от возможной потери данных в результате действий антивируса. Например, легко представить ситуацию, при которой файл детектируется как возможно зараженный эвристическим анализатором и удаляется согласно настройкам антивируса.
Однако эвристический анализатор никогда не дает стопроцентной гарантии того, что файл действительно заражен, а значит, с определенной вероятностью антивирус мог удалить незараженный файл. Или же антивирус обнаруживает важный документ зараженный вирусом и пытается согласно настройкам выполнить лечение, но по каким-то причинам происходит сбой и вместе с вылеченным вирусом теряется важная информация. Разумеется, от таких случаев желательно застраховаться. Проще всего это сделать, если перед лечением или удалением файлов сохранить их резервные копии, тогда если окажется, что файл был удален ошибочно или была потеряна важная информация, всегда можно будет выполнить восстановление из резервной копии.
Источник: vuzlit.com
Вредоносные программы. Основные виды вредоносных программ и их жизненный цикл.
Вредоносная программа — это программа, наносящая какой-либо вред компьютеру, на котором она запускается, или другим компьютерам в сети. Их авторы вынуждены использовать различные обманные методы или специальные технологии для несанкционированного проникновения в систему.
Все вредоносные программы в соответствии со способами распространения и вредоносной нагрузкой можно разделить на компьютерные вирусы, черви, трояны и другие программы.
Основная черта компьютерного вируса — это способность к саморазмножению. Компьютерный вирус — это программа, способная создавать свои дубликаты (не обязательно совпадающие с оригиналом) и внедрять их в вычислительные сети или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению. Условно жизненный цикл любого компьютерного вируса можно разделить на пять стадий: проникновение на чужой компьютер; активация; поиск объектов для заражения; подготовка копий; внедрение копий.
Путями проникновения вируса могут служить фактически все каналы, по которым можно скопировать файл. После этого следует активация вируса. Это может происходить несколькими путями и в соответствии с выбранным методом вирусы делятся на такие виды:
Загрузочные вирусы заражают загрузочные сектора жестких дисков и мобильных носителей.
Файловые вирусы — заражают файлы. Отдельно по типу среды обитания в этой группе также выделяют:
· Классические файловые вирусы — они различными способами внедряются в исполняемые файлы (внедряют свой вредоносный код или полностью их перезаписывают), создают файлы-двойники, свои копии в различных каталогах жесткого диска;
· Макровирусы, которые написаны на внутреннем языке, так называемых макросах какого-либо приложения.
· Скрипт-вирусы, написанные в виде скриптов для определенной командной.
Вирусы отличаются привязанностью к операционной системе или программной оболочке, для которой каждый конкретный вирус был написан. При подготовке своих вирусных копий для маскировки от антивирусов могут применять такие технологии как:
· Шифрование — в этом случае вирус состоит из двух частей: сам вирус и шифратор.
· Метаморфизм — при применении этого метода вирусные копии создаются путем замены некоторых команд на аналогичные, перестановки местами частей кода, вставки между ними дополнительного, обычно ничего не делающих команд. Соответственно в зависимости от используемых методов вирусы можно делить на шифрованные, метаморфные и полиморфные, использующие комбинацию двух типов маскировки.
Черви — это вполне самостоятельные программы. Главной их особенностью является способность к саморазмножению, однако при этом они способны к самостоятельному распространению с использованием сетевых каналов.
Червь (сетевой червь) — это вредоносная программа, распространяющаяся по сетевым каналам и способная к самостоятельному преодолению систем защиты компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не обязательно совпадающих с оригиналом.
Жизненный цикл червей состоит из таких стадий: проникновение в систему; активация; поиск объектов для заражения; подготовка копий; распространение копий. В зависимости от способа проникновения в систему черви делятся на типы: Сетевые черви используют для распространения локальные сети и Интернет; Почтовые черви — распространяются с помощью почтовых программ; IM-черви используют системы мгновенного обмена сообщениями; IRC-черви распространяются по каналам IRC; P2P-черви — при помощи пиринговых файлообменных сетей.
После проникновения на компьютер, червь должен активироваться. По методу активации все черви можно разделить на две большие группы — на тех, которые требуют активного участия пользователя и тех, кто его не требует. Отличительная особенность червей из первой группы — это использование обманных методов. В последнее время наметилась тенденция к совмещению этих двух технологий — такие черви наиболее опасны и часто вызывают глобальные эпидемии.
Трояны не обязаны уметь размножаться. Это программы, написанные только с одной целью — нанести ущерб целевому компьютеру путем выполнения несанкционированных пользователем действий: кражи, порчи или удаления конфиденциальных данных, нарушения работоспособности компьютера или использования его ресурсов в неблаговидных целях. Троян (троянский конь) — программа, основной целью которой является вредоносное воздействие по отношению к компьютерной системе. Жизненный цикл троянов состоит всего из трех стадий: проникновение в систему; активация; выполнение вредоносных действий.
Проникать в систему трояны могут самостоятельно или в кооперации с вирусом или червем. После проникновения на компьютер, трояну необходима активация: либо требует активных действий от пользователя или же через уязвимости в программном обеспечении самостоятельно заражает систему.
Поскольку главная цель написания троянов — это производство несанкционированных действий, они классифицируются по типу вредоносной нагрузки: клавиатурные шпионы; а нонимные SMTP-сервера и прокси-сервера; утилиты дозвона; м одификаторы настроек браузера; логические бомбы.
Другие вредоносные программы:
· Условно опасные программы (нельзя однозначно сказать, что они вредоносны). Они обычно становятся опасными при определенных условиях или действиях пользователя. К ним относятся: Riskware — вполне легальные программы, которые сами по себе не опасны, но обладают функциями, позволяющими злоумышленнику использовать их с вредоносными целями.
Рекламные утилиты — условно-бесплатные программы, которые в качестве платы за свое использование демонстрируют пользователю рекламу, чаще всего в виде графических баннеров. После официальной оплаты и регистрации обычно показ рекламы заканчивается и программы начинают работать в обычном режиме. Проблема adware кроется в механизмах, которые используются для загрузки рекламы на компьютер. Pornware — к этому классу относятся утилиты, так или иначе связанные с показом пользователям информации порнографического характера.
· Хакерские утилиты — программы скрытия кода зараженных файлов от антивирусной проверки (шифровальщики файлов), конструкторы вирусов, наборы программ, которые используют хакеры для скрытного взятия под контроль взломанной системы.
· Злые шутки — программы, которые намеренно вводят пользователя в заблуждение путем показа уведомлений о, например, форматировании диска или обнаружении вирусов, хотя на самом деле ничего не происходит. Текст таких сообщений целиком и полностью отражает фантазию автора.
опасные для работы банковских, энергетических, транспортных и других коммуникационных систем, а также систем государственного и регионального управления;
· средства подавления информационного обмена в телекоммуникационных сетях, а также навязывания ложной информации для ее передачи по каналам радио и телевидения.
Основными особенностями информационного оружия являются его атакующий характер, т. е. возможность разрушительного воздействия на информационные ресурсы и информационный потенциал противника, а также скрытность, возможность маскировки и скрытого использования, т.е. ведения необъявленной войны. Кроме того, информационное оружие является существенно более экономичным и экологически чистым по сравнению со всеми другими видами оружия. Информационное оружие характеризуется также возможностью его массового и неожиданного для противника использования. При этом оно поражает не только военные объекты, но и другие экономические и социальные институты общества.
Информационная война — это реальность. Уже сегодня информационное оружие — это не виртуальная реальность в компьютерных играх, а практический и весьма эффективный инструмент для достижения победы над вероятным противником.
Что же касается дальнейших перспектив ведения информационных войн, то нет никакого сомнения в том, что при дальнейшем развитии глобального процесса информатизации мирового сообщества такие войны будут становиться все более вероятными. Именно поэтому проблема обеспечения информационной безопасности страны от угроз информационной войны, которые уже сегодня являются вполне реальными, представляет собой одну из важнейших составляющих проблемы национальной безопасности каждой страны и в первую очередь России.
Если раньше опасность состояла в основном в краже (воровстве, копировании) секретных или конфиденциальных сведений и документов, то сейчас получило развитие незаконное оперирование компьютерными базами данных (без фактической кражи), электронными сведениями, незаконное использование электронных массивов без согласия их собственника или владельца и даже извлечение материальной выгоды из таких действий.
Источник: poisk-ru.ru
Вирусы, разновидности и антивирусные программы
Компьютерный вирус – это программа, способная создавать свои копии, внедрять их в различные объекты или ресурсы компьютерных систем, сетей и производить определенные действия без ведома пользователя. Свое название компьютерный вирус получил за некоторое сходство с биологическим вирусом (например, в зараженной программе самовоспроизводится другая программа – вирус, а инфицированная программа может длительное время работать без ошибок, как в стадии инкубации).
Программа, внутри которой находится вирус, называется зараженной программой. Когда инфицированная программа начинает работу, то сначала управление получает вирус. Вирус заражает другие программы, а также выполняет запланированные деструктивные действия. Для маскировки своих действий вирус активизируется не всегда, а лишь при выполнении определенных условий (истечение некоторого времени, выполнение определенного числа операций, наступления некоторой даты или дня недели и т.д.).
После того как вирус выполнит нужные ему действия, он передает управление той программе, в которой он находится. Внешне зараженная программа может работать так же, как и обычна программа. Подобно настоящим вирусам компьютерные вирусы прячутся, размножаются и ищут возможность перейти на другие ЭВМ.
Таким образом, вирусы должны инфицировать ЭВМ достаточно незаметно, а активизироваться лишь через определенное время (время инкубации). Это необходимо для того, чтобы скрыть источник заражения. Вирус не может распространяться в полной изоляции от других программ. Очевидно, что пользователь не будет специально запускать одинокую программу-вирус. Поэтому вирусы прикрепляются к телу других полезных программ.
Несмотря на широкую распространенность антивирусных программ, предназначенных для борьбы с вирусами, вирусы продолжают плодиться. В среднем в месяц появляется около 300 новых разновидностей. Естественно, что вирусы появляются не самостоятельно, а их создают кракеры – вандалы.
Существует большое число различных классификаций вирусов: По среде обитания они делятся на сетевые, файловые, загрузочные и файлово –загрузочные вирусы; По способу заражения – на резидентные и нерезидентные вирусы; По степени опасности – на неопасные, опасные и очень опасные вирусы; По особенностям алгоритма – на вирусы-компаньоны, паразитические вирусы, репликаторы (черви), невидимки (стелс), мутанты (призраки, полиморфные вирусы, полиморфики), макро-вирусы, троянские программы; По целостности – на монолитные и распределенные вирусы. Сетевые вирусы распространяются по различным компьютерным сетям.
Загрузочные вирусы внедряются в загрузочный сектор диска (Boot – сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Record – MBR). Некоторые вирусы записывают свое тело в свободные сектора диска, помечая их в FAT – таблице как “плохие” (Bad cluster). Файловые вирусы инфицируют исполняемые файла компьютера, имеющие расширения com и exe.
К этому же классу относятся и макровирусы, написанные помощью макрокоманд. Они заражают неисполняемые файлы. Загрузочно – файловые вирусы способны заражать и загрузочные секторы и файлы.
Резидентные вирусы оставляют в оперативной памяти компьютера свою резидентную часть, которая затем перехватывает обращения неинфицированных программ к операционной системе, и внедряются в них. Свои деструктивные действия и заражение других файлов, резидентные вирусы могут выполнять многократно. Нерезидентные вирусы не заражают оперативную память компьютера и проявляют свою активность лишь однократно при запуске инфицированной программы.
Очень опасные вирусы самостоятельно форматируют жесткий диск и этим уничтожают всю имеющуюся информацию. Компаньон-вирусы – это вирусы, не изменяющие файлы. Алгоритм работы этих вирусов состоит в том, что они создают для EXE – файлов новые файлы-спутники (дубликаты), имеющие то же самое имя, но с расширением COM, например, для файла XCOPY.EXE создается файл XCOPY.COM.
Вирус записывается в COM – файл и никак не изменяет одноименный EXE – файл. При запуске такого файла DOS первым обнаружит и выполнит COM – файл, т.е. вирус, который затем запустит и EXE – файл. Паразитические вирусы при распространении своих копий обязательно изменяют содержимое дисковых секторов или файлов.
В эту группу относятся все вирусы, которые не являются “червями” или “компаньонами”. Вирусы – черви – распространяются в компьютерной сети и, так же как и компаньон – вирусы, не изменяют файлы или секторы на дисках. Они проникают в память компьютера из компьютерной сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии.
Черви уменьшают пропускную способность сети, замедляют работу серверов. Вирусы – невидимки (стелс – Stealth) используют некоторый набор средств для маскировки своего присутствия в ЭВМ. Название вируса аналогично названию американского самолета – невидимки.
Стелс – вирусы трудно обнаружить, так как они перехватывают обращения операционной системы к пораженным файлам или секторам дисков и “подставляют” незараженные участки файлов. Вирусы, которые шифруют собственное тело различными способами, называются полиморфными.
Полиморфные вирусы (или вирусы – призраки, вирусы – мутанты, полиморфики) достаточно трудно обнаружить, так как их копии практически не содержат полностью совпадающих участков кода. Это достигается тем, что в программы вирусов добавляются пустые команды (мусор), которые не изменяют алгоритм работы вируса, но затрудняют их выявление.
Макро – вирусы используют возможности макроязыков, встроенных в системы обработки данных (текстовые редакторы и электронные таблицы). В настоящее время широко распространяются макро – вирусы, заражающие документ Word и Excel.
Троянская программа маскируется под полезную или интересную программу, выполняя во время своего функционирования еще и разрушительную работу (например, стираетFAT-таблицу) или собирает на компьютере информацию, не подлежащую разглашению. В отличии от вирусов троянские программы не обладают свойством самовоспроизводства. Троянская программа маскируется, как правило, под коммерческий продукт. Ее другое название “троянский конь”.
Для борьбы с вирусами разрабатываются антивирусные программа. Антивирусная программа — программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ вообще и восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики — предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом. Говоря медицинским языком, эти программы могут выявлять (диагностировать), лечить (уничтожать) вирусы и делать прививку “здоровым” программам. Различают следующие виды антивирусных программ: Программы – детекторы (сканеры); Программы – доктора (или фаги, дезинфекторы); Программы – ревизоры; Программы – фильтры (сторожа, мониторы); Программы – иммунизаторы.
Источник: studopedia.su