По среде обитания компьютерные вирусы классифицируют на: Презентация на тему:» Классификация компьютерных вирусов и основные методы защиты от них»

• Загрузочный сектор i nfector : Заражает мастер загрузочная запись или загрузочная запись и распространяется при загрузке системы с диска, содержащего вирус.

• F i le i nfector : Заражает файлы, операционная система или оболочка считаются исполняемыми.

• Macro v i rus : Заражает файлы код макроса, который интерпретируется приложением.

Классификация вирусов А по скрытности стратегия включает следующие категории:

Зашифрованный v i rus : Типичный подход следующий. Часть вируса творит- получает случайный ключ шифрования и шифрует остатки вируса. Ключ хранится вместе с вирусом. Когда зараженная программа вызванный, вирус использует сохраненный случайный ключ для расшифровки вирус. Когда вирус размножается, выбирается случайный ключ. Поскольку большая часть вируса зашифрована разные ключи для каждого экземпляра, нет постоянного битового шаблона для наблюдения.

• Stealth v i rus : Форма вируса, специально предназначенная для сокрытия себя от обнаружения антивирусным ПО. Таким образом, весь вирус, а не просто полезная нагрузка скрыт.

• Полиморф и c v и рус : Вирус, мутирующий при каждом заражении, производя детекцию по «сигнатуре» вируса невозможный.

• Метаморф и c v и рус : Как и полиморфный вирус, метаморфический вирус мутирует при каждой инфекции. Отличие в том, что метаморфический вирус полностью перезаписывает себя на каждой итерации, что увеличивает сложность обнаружения. Метаморфические вирусы также могут изменить свое поведение. как их внешний вид.

Пример стелса v i рус обсуждалось ранее: вирус, который использует сжатие, чтобы зараженная программа точно такой же длины, как и незараженная версия. Возможны гораздо более сложные методы. Например, вирус может разместить перехват логика в подпрограммах дискового ввода-вывода, чтобы при попытке чтения подозрительных части диска, используя эти подпрограммы, вирус представит исходную незараженную программу. Таким образом, малозаметность не является применимым термином к вирусу как таковому, а скорее относится к технике используется вирусом, чтобы избежать обнаружения.

Полиморф i c v i rus создает при репликации копии, которые функционально эквивалентны, но имеют явно разные битовые комбинации. Как и в случае с вирусом-невидимкой, цель состоит в том, чтобы победить программы, которые сканируют для вирусов. В этом случае «подпись» вирус будет меняться с каждой копией. Для достижения этой вариации вирус может случайным образом вставлять лишние инструкции или менять порядок независимых инструкций. Более эффективный подход заключается в использовании шифрования. Стратегия вируса-шифровальщика следует. Часть вируса, ответственный за генерацию ключей и выполнение шифрования/дешифрования называется мутационный двигатель . Двигатель мутаций сам изменен при каждом использовании.

Наборы вирусов

Еще одно оружие в арсенале вирусописателей это набор инструментов для создания вирусов. Такой набор инструментов позволяет относительному новичку быстро создать ряд различных вирусов. Хотя вирусы, созданные с наборы инструментов, как правило, менее сложны, чем вирусы, созданные с нуля, огромное количество новых вирусов, которые можно создать с помощью инструментарий создает проблему для антивирусных схем.

Макрос Вирусы

В середине 1990-х макровирусы стали далеко не самый распространенный тип вируса. Макровирусы особенно угрожающие по ряду причин:

1. Макровирус не зависит от платформы. Многие макровирусы заражать документы Microsoft Word или другие документы Microsoft Office документы. Любая аппаратная платформа и операционная система, поддерживающая эти приложения могут быть заражены.

2. Макровирусы заражать документы, а не исполняемые части кода. Большинство из информация, введенная в компьютер система представлена ​​в виде документа а не программа.

3. Макровирусы легко распространяются. очень распространенный метод. по электронной почте.

4. Потому что макрос вирусы заражают пользовательские документы, а не чем системные программы, традиционный доступ к файловой системе элементы управления имеют ограниченное применение в предотвращении их распространение.

Макровирусы захватывают преимущество функции, найденной в Word и других офисных приложения, такие как Microsoft Excel, а именно макрос. По сути, макрос — это исполняемая программа встроенный в текстовый документ или другой тип файла. Обычно пользователи используют макросы для автоматизации повторяющиеся задачи и тем самым сэкономить нажатия клавиш. Макроязык обычно представляет собой некоторую форму языка Basic. язык программирования. Пользователь может определить последовательность нажатий клавиш в макросе и настроить так, чтобы макрос вызывается, когда функция вводится клавиша или специальная короткая комбинация клавиш.

Последовательные выпуски продуктов MS Office обеспечивают повышенную защиту от макровирусов. Например, Microsoft предлагает дополнительную защиту от макровирусов. инструмент, обнаруживающий подозрительные файлы Word и предупреждает клиента о потенциальном риске открытия файл с макросами. Различные поставщики антивирусных продуктов также разработаны инструменты для обнаружения и исправления макровирусы. Как и в случае с другими типами вирусов, в этой области продолжается гонка вооружений. макровирусы, но они больше не являются преобладающей вирусной угрозой.

ail Вирусы

Подробнее последние разработки вредоносных программное обеспечение — вирус электронной почты. Первые быстро распространявшиеся вирусы электронной почты, такие как Melissa, использовали макроса Microsoft Word, встроенного во вложение. Если получатель открывает вложение электронной почты, активируется макрос Word. Затем

1. Вирус электронной почты посылает себя всем в списке рассылки в личном кабинете пользователя пакет электронной почты.

2. Вирус действует локально повреждение системы пользователя.

В 1999 г. появилась более мощная версия почтового вируса. Эта более новая версия может быть активирована просто открыв электронное письмо, содержащее вирус, а не открытие вложения. Вирус использует язык сценариев Visual Basic, поддерживаемый пакетом электронной почты.

Таким образом, мы видим вредоносное ПО нового поколения, которое приходит по электронной почте и использует электронную почту программные функции для самовоспроизведения через Интернет. Вирус распространяется, как только он активируется (либо открытие вложения электронной почты или открытие электронной почты) на все адреса электронной почты, известные зараженному хосту. В результате, тогда как вирусы раньше занимали месяцы или годы для распространения, теперь они делают это за часы. программное обеспечение для реагирования до того, как будет нанесен большой ущерб. В конечном итоге большее степень безопасности должен быть построен в интернет-утилиту и прикладное программное обеспечение на ПК для противодействия растущая угроза.

Учебный материал, Лекционные заметки, Задание, Справочник, Объяснение описания Wiki, краткая информация

Принципы и практика криптографии и сетевой безопасности : Безопасность системы : Вредоносное ПО : Компьютерные вирусы: природа, классификация, наборы вирусов |

Компьютерные вирусы

Компьютерные вирусы.

Что компьютерные вирусы?

Известное определение Фреда Коэна: « компьютерный вирус это компьютер программа, которая может заразить другие компьютерные программы, изменив их таким образом как включить (возможно, развитую) копию самого себя» . Несколько других были предложены следующие определения «вируса»:
1. Компьютерный вирус – это самовоспроизводящаяся программа, содержащая код, который явно копирует себя и может «заразить» другие программы, изменив их или их окружение так, что вызов зараженной программы подразумевает вызов возможно эволюционировавшая копия вируса.

2. Вирус — это самовоспроизводящийся фрагмент кода который присоединяется к другим программам и обычно требует взаимодействия с человеком, чтобы распространять.

Классификация компьютерных вирусов (мы намеренно игнорируя макровирусы на данный момент)

Загрузочный или файловый (исполняемый) инфектор

Резидентная или нерезидентная память

Добавление/добавление или перезапись или компаньон

1. Загрузочные вирусы (в конце этого плана есть подробное объяснение загрузочный сектор ПК).

Вирусы загрузочного сектора нацелены на инструкции MBR или PBS, которые выполняется во время загрузки ПК.

Жизненный цикл загрузочного вируса

Чистый загрузочный сектор вирусы могут распространяться только при загрузке с зараженной дискеты. Ты можешь извлекать и сохранять файлы в течение всего дня на зараженную дискету, но до тех пор, пока вы не загружался с ним, вы в безопасности. В прошлом, чтобы устранить самую большую угрозу компьютерных вирусов все, что вам нужно было сделать, это не загружаться с дискеты. Загрузочный сектор вирусы заменяют обычный загрузочный код ПК и берут на себя управление во время начального этапы последовательности запуска ПК, хотя есть несколько разных мест где он может вставить себя в процесс.

Самый первый IBM Вирус для ПК, Brain, был загрузочным вирусом. под кайфом, Микеланджело, AntiEXE, пинг-понг и Monkey — всем знакомые названия загрузочных вирусов.

Как загрузочный вирус получает контроль

Многие вирусы, включая исходный вирус загрузки мозга, добавить дополнительный код для передачи исходного загрузочного сектора любым инструментам проверки диска ищем загрузочный сектор. Так у них больше шансов спрятаться. (скрытность). Тем не менее, любой, кто ищет правильные инструменты без вируса в память (т. е. загрузка с известной, чистой, защищенной от записи дискеты DOS) будет увидеть новый поддельный загрузочный сектор.

Последовательность загрузки ПК

На каждом ПК много процессы и проверки должны быть выполнены до того, как любая программа или пользователь смогут выполнить первую команду. Большая часть начальной последовательности загрузки, как показано ниже, предназначен для выполнения простых самопроверок оборудования и одинаков независимо от операционной системы. Как только операционная система (ОС) начнет загружаться, последовательность различается в зависимости от конкретных потребностей ОС.

Обычная последовательность загрузки ПК (независимо от операционной системы)

После того, как вы перевернете выключатель питания, блок питания выполняет быструю самопроверку и отправляет сигнал на ЦП для запуска.

ЦП инициализирует себя и запускает выполнение кода аппаратной самопроверки, расположенного в постоянная память базовая система ввода/вывода ( ROM BIOS), расположенный на материнской плате. Микросхема ПЗУ BIOS содержит инструкции, которые «вшиты» в чип и обычно не заменяются на запомнить настройки оборудования и конфигурации, а также инструкции по поиску и запустить процесс загрузки операционной системы.

Испытание системная оперативная память (ОЗУ) и дополнительный набор самопроверок ПЗУ, часто называется самотестированием питания (POST) выполняется. Любые обнаруженные ошибки, как правило, сопровождаются звуковыми сигналами об ошибках. отображать, если это возможно.

Система затем ищет первый загрузочный диск, проверяется и основная загрузочная запись (MBR) и таблица разделов. MBR сообщает процессору с какого раздела и в каком секторе продолжить процесс загрузки.

Тогда MBR сообщает ПК, где найти основной загрузочный сектор операционной системы по умолчанию. система. Этот процесс идентичен для каждого ПК, независимо от операционной системы. система. Таким образом, загрузочный вирус, находящийся на загрузочной дискете, сможет успешно заразить загрузочную область всех жестких дисков. Когда зараженный компьютер загружается, зараженный загрузочный сектор получает управление. На этом этапе загрузки процесс, вирус может повредить свою полезную нагрузку независимо от операционной система

Резиденция памяти

A без памяти резидентный (также известный как нерезидентный ) вирус выполняет, делает его бизнес, а затем уходит. Он не активируется снова до следующего зараженного хоста. файл запущен. С другой стороны, резидентных вирусов используют хост файлы в качестве отправной точки и находятся в памяти намного позже исходного хоста файл вышел. Резидентный вирус подключит себя к прерывание подпрограмм. Затем всякий раз, когда пользователь или программа запрашивает определенный service, у вируса есть первый выбор в отношении того, что он хочет сделать. Например, большинство загрузочные вирусы останутся в памяти и заразят любую дискету, к которой обращаются для какой-либо причине.

Вирусы, заражающие файлы

COM-файл

Перезапись вирусов

Простой перезаписывающий вирус

Полостные вирусы

Много исполняемых файлов содержат много свободного места, особенно большие . EXE s. Свободное пространство обычно резервируется для области буфера данных для хранения временных данных. полостные вирусы ищите программные файлы с большим количеством свободного места, и если достаточно большие, хранить себя там. Это перезаписывает часть файла хоста, но без увеличение размера или нарушение функциональности. Когда хост-файл выполняется, вирус запускается и делает то, для чего он был закодирован. Заемная буферная зона часто перезаписывается временными данными, как и было задумано хост-файлом, стирая код вируса. К тому времени вирус находится в памяти или уже на новом хосте.

Добавление/подготовка вирусы

Простой предваряющий вирус

Вирусы-компаньоны

Многосторонний вирусов используют более одного пути заражения. Типичный многопартийный вирус заражает .COM , .EXE , загрузочные сектора дискет, и MBR жесткого диска. При загрузке с дискеты, содержащей многокомпонентный вирус, часто он заражает загрузочный сектор жесткого диска и запускает для заражения исполняемых файлов. Потому что они содержат подпрограммы для заражения большего количества чем в одну сторону, их код часто бывает большим.

Механизмы распространения вирусов

Съемный накопитель

Электронная почта и загрузка

Общие каталоги

Защита от вирусов

Антивирусное программное обеспечение Сигнатуры вирусов, эвристика, проверка целостности

Усиление конфигурации

Обучение пользователей

Вирус Защитные механизмы/самосохранение методы

Обычная жизнь цикл компьютерного вируса примерно такой:

1. Вирус создается и выпускается.

2. Вирус заражает несколько ПК и отправляется в антивирусную компанию.

3. Антивирусная компания записывает сигнатуру вируса.

4. Компания включает новую подпись в свою базу данных.

5. Его сканер теперь обнаруживает вирус, и угроза вируса уменьшилось.

Если ты вирус писатель, ваше творение не может распространиться по всему миру, если его обнаружат и очищается в течение нескольких недель после его выпуска.

Вирусописатели начали отбиваться более изощренными механизмы защиты от вирусов дольше остаются незамеченными. Итак, война вирусов. Начались писатели против производителей антивирусов. В некотором смысле, антивирусная индустрия создали больше, быстрее и умнее вирусов. Некоторые средства защиты от вирусов включают полиморфизм и скрытность

Шифрование

Вирусописатели увидели что лучший способ остановить или замедлить работу антивирусных сканеров — убедиться, что не было постоянной строки байтов, которая могла бы стать сигнатурой антивируса. Для наших целей, шифрование — это процесс Вирус перестраивает свой код так, что он больше не похож на себя прежнего в чтобы победить антивирусные сканеры (см. рис. ниже) Вирус запускается, расшифровывает себя, делает свое дело, затем перешифровывает свои байты перед сохранением вернуться к диску. Авторы вирусов на переднем крае технологий начали исследовать и использовать профессиональные методы шифрования. Чтобы иметь возможность использовать шифрование, вирус должен иметь возможность расшифровать зашифрованный код (называемый расшифровка) и шифровать себя «на лету».

Пример зашифрованного вируса

 Как мог антивирусный сканер найти хорошую подпись? Решение заключалось в поиске процедура расшифровки (иногда называемая расшифровщиком ), которая должна была быть расположена в начале каждого зашифрованного вируса. Механизм расшифровки стал подпись. Процедуры расшифровки не могут быть зашифрованы, потому что они должны оставаться неизменными. простой код для выполнения и запуска процесса расшифровки. Чтобы дать отпор, вирус писатели начали писать все меньшие и меньшие процессы дешифрования. Меньше сигнатуры расшифровки увеличивают вероятность того, что антивирусный сканер выдаст ложноположительный результат. Тем не менее, даже при постоянно сокращающихся процессах дешифрования большинство антивирусные компании смогли надежно обнаружить зашифрованные вирусы.

Хотя большинство вирусы используют шифрование, чтобы скрыться, другие вирусы используют шифрование как средство процесс удаления более сложен для антивирусных программ. Они шифруют загрузку область или файлы при первом заражении. После заражения они расшифровывают закодированные хост-файл или загрузочный сектор, когда это необходимо. Если вы удалите вирус или загрузитесь с чистой дискете файл или загрузочная область остаются зашифрованными и недоступными.

Полиморфизм

Полиморфизм шифрование вирусов сделано лучше. Некоторые умные вирусописатели решили, что единственный способ победить антивирусные компании заключался в случайном изменении шифровальная/дешифровальная часть вируса. Каждый раз, когда вирус запускается, он может изменить используемую процедуру генерации случайных чисел, длину используемого числа (называемый ключом), количество байтов зашифровано, и место, где находится подпрограмма шифрования в каждом файле. это называется полиморфизм . Как антивирусные сканеры могут найти сигнатуру когда все, включая подпрограмму шифрования, случайно изменилось? Потенциально существуют миллиарды комбинаций, которые сканерам придется перепробовать. против каждого хост-файла. Нажмите здесь для пример 1-го полиморфного вируса.

Первый полиморфный движок, Dark Avenger’s Mutation Engine (MtE или DAME), был выпущен в 1991. MtE позволил статическим, неизменяемым байтам вируса быть меньше, чем горсть. При такой малой статической сигнатуре риск ложных срабатываний антивирусные сканеры внезапно стали неприемлемо высокими. МТЭ и другие Полиморфные движки, которые последовали за ними, очень успешно справлялись с защитой от вирусов. компании за верстаком. Полиморфные движки были одними из первых вредоносных реализации, чтобы серьезно бросить вызов профессиональным командам отладчиков антивирусная индустрия.

Оказывается, что хотя полиморфные вирусы-шифровальщики каждый раз выглядели по-разному, не является настоящей случайностью в компьютерном мире, и надежная подпись может быть вычисляется даже в случайно выглядящем коде. Просто нужно больше копать. Некоторый антивирусные продукты включали сигнатуры для каждой полученной копии зараженного файла. Но так как один вирус мог создавать миллиарды разных копий, этот метод был быстро отвергнуты большинством компаний как работоспособное решение. Исследователи начали получить более быструю скорость обнаружения, изучив, как работают механизмы шифрования и декодирование каждого отсканированного файла путем обратного проектирования механизма шифрования. шаги. Это требовало времени и означало, что сканирующие механизмы потенциально должны были бы проверять каждый файл на соответствие большому количеству процедур шифрования.

Самый успешный сканеры используют механизм эмуляции , который временно загружает отсканированные файлы в защищенная область в оперативной памяти, которая имитирует рабочую среду компьютера. Вирус думает, что он работает, хотя он не может получить доступ к какой-либо части компьютер за пределами эмулируемой области и расшифровывает себя. Расшифрованный вирус код проверяется антивирусной программой. Лучше всего, это займет всего один подпись для распознавания миллиардов разных копий одного и того же вируса. Сегодня для вирусов доступны десятки полиморфных механизмов шифрования. писатели, но хорошие сканеры могут обнаружить все их варианты. Когда новый двигатель выходит, это всего лишь вопрос нескольких часов работы на антивирусе ПК исследователя, тем самым сдувая потенциально опасную процедуру шифрования на написание вируса у вирусописателя уходили недели или месяцы.

Метаморфизм

Метаморфические вирусы изменяют функциональность вируса по мере его распространения. Метаморфические вирусы не имеют дешифратора или постоянного тела вируса, но способны создавать новые поколения, которые выглядят по-другому. Вирус W32/Apparition был первый известный 32-битный вирус, который не использовал полиморфные дешифраторы для эволюции себя в новых поколениях. Скорее вирус несет свой источник и сбрасывает его всякий раз, когда он может найти компилятор, установленный на машине. Вирус внедряется и удаляет ненужный код в исходный код и перекомпилирует себя. Таким образом, новый поколение вируса будет выглядеть совершенно иначе, чем предыдущие. Этот метод еще более опасен на таких платформах, как Linux, где компиляторы C обычно устанавливаются со стандартной системой, даже если система не используется для развития.

Стелс

Вирусы, содержащие специальное кодирование, позволяющее ускользнуть от антивирусных исследователей и инструментов, считается скрытным вирусы. Первый вирус для ПК, Brain, включал стелс-код, а запросы на просмотр зараженного загрузочного сектора перенаправлялись на исходный код загрузочного сектора теперь помещается в конец дискеты. Стелс-вирусы могут использовать сотни различных рутины, чтобы спрятаться от посторонних глаз. Одна из самых распространенных процедур предназначена для вирус для удаления себя из файла при запуске антивирусного сканера. Стелс это еще одна причина, по которой вы всегда должны загружаться с чистой, защищенной от записи загрузочной системы дискету перед запуском сканирования DOS на наличие вирусов.

Если вирус находится в память, она может спрятаться. Вирусы часто скрывают увеличение размера зараженного файла за счет изменение того, что DOS возвращает пользователю. Он делает это, отслеживая DOS прерывания, которые возвращают информацию о памяти и файле. Например, если пользователь вводит в команде DIR пока вирус находится в памяти код вируса пройдет по запросу к DOS. DOS собирает запрошенную информацию и пытается вернуть его пользователю. Вирус вмешивается и производит необходимые расчеты. что контрольные признаки его заражения скрыты.

Технологии Stealth для операционной системы DOS переродились в виде руткитов технологий для операционной системы Windows 10 лет спустя. Вредоносные программы для операционной системы Windows начали использовать технологии скрытности, чтобы скрыть их присутствие в системе в первые годы нового тысячелетия. В В начале 2004 года «Лаборатория Касперского» обнаружила удивительную программу, которую нельзя было увидеть в списке процессов и файлов Windows. Для многих антивирусных экспертов это было новое начало понимания технологий стелса для вредоносных программ для Windows, и это было предвестником новой крупной тенденции в написании вирусов.