Муниципальное общеобразовательное учреждение средняя общеобразовательная школа №1 Курского муниципального района Ставропольского краяКомпьютерные и биологические вирусыэкзаменационный реферат по информатике ученицы 11 класса Шаралаповой Анны руководитель: учитель информатики Переверзева Елена ГеннадьевнаСт. Курская 2008 год Введение 31. История вирусов 51.1 История открытия биологических вирусов 51.2 История возникновения компьютерного вируса 6^ 2. Вред, наносимый вирусами 82.1 Действия биологических вирусов 82.2 Вред, нанесенный компьютерным вирусом. Последствия 92.2.1 Черви 92.2.2 Трояны 153 Признаки заражения биологическими вирусами 223.1 Заражение биологическими вирусами 223.2 Признаки заражения компьютерным вирусом 224 Методы борьбы с вирусами 244.1 Методы борьбы с биологическим вирусом 244.2 Методы борьбы с компьютерным вирусом 264.3 На что способны компьютерные вирусы. 274.3.1 Вирусы для автомобилей 274.3.2 Вирусы для мобильных телефонов 274.3.3 Вирусы блокируют банкоматы, избирательные системы 284.3.4 Вирусы могут уничтожить человечество 28Заключение. 29Список литературы 33Приложение 34 Введение Идея создания проекта возникла не случайно. Я, ежедневно работая с компьютером, неоднократно встречалась с вирусами, атакующими мой компьютер. Поэтому я решила больше узнать о вирусах и создать проект, цель которого изучить особенности компьютерных вирусов и их влияние на работу компьютера. Для этого мне нужно было решить следующие задачи: • дать общую характеристику вирусам • узнать причину их появления • рассмотреть и проанализировать методы защиты от вирусов • изучить антивирусные программы и их работу • сравнить компьютерные вирусы с биологическими. Начиная свой проект, передо мной стал ряд вопросов, которые я включила в анкету, состоящую из 22 вопросов (см. приложение). Проанализировав ответы учеников, я была удивлена их статистикой, больше 87% ответов были таковы: (1 вопрос) я часто использую компьютер, так как нынешняя школьная программа обучения стала строиться так, чтобы лучшим помощником ученика стал персональный компьютер, большинство творческих и домашних работ должны быть оформлены в печатном или электронном варианте. Ведь действительно в нем много интересной информации и можно работать с множеством программ, помогающих в индивидуальном развитии ребенка. (2 – 3 вопросы) работая с ПК, я очень часто встречалась с вирусами. (4 – 5 вопросы) встречаясь с вирусами, чаще всего я не обращала на них никакого внимания, тем более на их название и как часто они атаковали мой компьютер. (6 вопрос) Мне хотелось бы узнать историю возникновения вирусов, но чаще всего не хватает времени на это. (7 – 22) на последующие 16 вопросов конкретных ответов не последовало, это означает что ученики, работающие с компьютером, мало информированы о компьютерных вирусах, даже не знают самых элементарных вещей, таких как: «Что такое вирус и с чем его едят?», о методах защиты безопасности. Поэтому анкета стала начальным этапом, подтолкнувшим меня к созданию данного проекта, чтобы познакомить учеников с компьютерными вредителями, и ответить на основной вопрос: какие сходства и различия между компьютерными вирусами и биологическими, какой они приносят вред и как с ними бороться? ^ 1. История вирусов 1.1 История открытия биологических вирусов Вирусы представляют собой автономные генетические структуры, неспособные, однако, развиваться вне клетки. Полагают, что вирусы и бактериофаги – обособившиеся генетические элементы клеток, которые эволюционировали вместе с клеточными формами жизни. Первые упоминания о самой грозной вирусной инфекции прошлого — оспе найдены в древнеегипетских папирусах. Эпидемия оспы в Египте за 12 веков до нашей эры описана древними арабскими учеными. На коже мумии фараона Рамзеса V (1085 г. до н.э.) обнаружены типичные оспенные поражения. Другую вирусную болезнь описал основоположник научной медицины древнегреческий врач Гиппократ (460—370 г. до н.э.). Эта болезнь приводила к укорочению и деформации ног («сухая нога», «конская стопа») и пожизненной хромоте. В 1874 г. она получила современное название — полиомиелит. Гиппократ считал, что «каждая болезнь имеет свою естественную причину». В 1892 году русский ученый Д. И. Ивановский описал необычные свойства возбудителя болезни табака — так называемой табачной мозаики. Этот возбудитель проходил через бактериальные фильтры. Таким образом, здоровые растения табака можно заразить бесклеточным фильтратом сока больного растения. Через несколько лет Ф. Леффлер и П. Фрош обнаружили, что возбудитель ящура — болезни, нередко встречающейся у домашнего скота, также проходит через бактериальные фильтры. Наконец, в 1917 г. канадский бактериолог Ф. де Эрелль открыл бактериофаг — вирус, поражающий бактерии. Так были открыты вирусы растений, животных и микроорганизмов. Эти три события положили начало новой науке - вирусологии, изучающей неклеточные формы жизни. Вирусы играют большую роль в жизни человека. Они являются возбудителями ряда опасных заболеваний - оспы, гепатита, энцефалита, краснухи, кори, бешенства, гриппа и др. Вирусы обитают только в клетках, это внутриклеточные паразиты. В свободно живущем, активном состоянии они не встречаются и не способны размножаться вне клетки. Если у всех клеточных организмов обязательно имеются две нуклеиновые кислоты — ДНК и РНК, то вирусы. На этом основании все вирусы делят на две большие группы — ДНК-содержащие и РНК-содержащие. В отличие от клеточных организмов у вирусов отсутствует собственная система, синтезирующая белки. Вирусы вносят в клетку только свою генетическую информацию. С матрицы — вирусной ДНК или РНК — синтезируется информационная РНК, которая и служит основой для синтеза вирусных белков рибосомами инфицированной клетки. Итак, за первые 25 лет было открыто 13 вирусов, поражающих человека, животных, растения и бактерии. Вспомним, что тогда еще не существовало современных методов культивирования и микроскопии вирусов, поэтому все эти открытия делались на основе принципов, разработанных основоположником вирусологии Д. И. Ивановским. В следующие 25 лет было открыто еще около 30 вирусов и доказана вирусная природа гриппа, свинки, энцефаломиелита лошадей, клещевого и японского энцефалитов, рака молочных желез мышей и других болезней.^ 1.2 История возникновения компьютерного вируса Считается, что автором первой программы – вируса является американец Фред Коэн. В 1983, будучи студентом, он в рамках работы над диссертацией написал программу, которую назвал «вирусом» за ее способность к саморазмножению. 10 ноября этого же года Фред продемонстрировал своё творение, тогда же впервые использован термин «компьютерный вирус». По результатам демонстрации студенту запретили проводить исследования и эксперименты в области этих программ далее. Однако первый вирус появился в 1974. На мейнфреймах этого времени появляется программа, получившая название "кролик" (Rabbit). Это имя она получила потому, что кроме размножения и распространения по носителям информации она ничего не делала. Правда, скорость ее размножения вполне оправдывала название. Эта программа клонировала себя, занимала системные ресурсы и таким образом снижала производительность системы. Достигнув определенного уровня распространения на зараженной машине "кролик" нередко вызывал сбой в ее работе. 1988 год В пятницу 13-го мая 1988-го года сразу несколько фирм и университетов нескольких стран мира “познакомились” с вирусом “Jerusalem” - в этот день вирус уничтожал файлы при их запуске. Это, пожалуй, один из первых MS-DOS-вирусов, ставший причиной настоящей пандемии - сообщения о зараженных компьютерах поступали из Европы, Америки и Ближнего Востока. Название, кстати, вирус получил по месту одного из инцидентов - университета в Иерусалиме. Ноябрь 1988: повальная эпидемия сетевого вируса Морриса (другое название - Internet Worm). Вирус заразил более 6000 компьютерных систем в США (включая NASA Research Institute) и практически парализовал их работу. По причине ошибки в коде вируса он, как и вирус-червь “Cristmas Tree”, неограниченно рассылал свои копии по другим компьютерам сети и, таким образом, полностью забрал под себя ее ресурсы. Общие убытки от вируса Морриса были оценены в 96 миллионов долларов. Затем вирусы начинают новый «виток» в своем распространении и до сих пор создаются все более новые виды. Например, сейчас вирусы мутируют. Полиморфизм - мутация вирусов. Первый полиморфик-вирус появился в начале 90-х кодов - "Chameleon", но по-настоящему серьезной проблема полиморфик-вирусов стала лишь год спустя - в апреле 1991-го, когда практически весь мир был охвачен эпидемией полиморфик-вируса "Tequila" (эта эпидемия практически не затронула Россию). Первая Российская эпидемия, вызванная полиморфик-вирусом, произошла три года спустя - год 1994, это был вирус "Phantom1".^ 2. Вред, наносимый вирусами 2.1 Действия биологических вирусов Следует отметить одно из свойств вирусов — их вездесущность. Они поражают человека, домашних и диких животных, сельскохозяйственные и дикие растения, простейших, бактерии, грибы и даже микроплазмы. И эти элементы далеко не всегда нейтральны по отношению к человеку и объектам его хозяйственной деятельности. Каждую секунду на земном шаре рождается 4 человека, в сутки—350 тыс., а за год — около 130 млн. Прирост населения за год составляет около 80 млн. Всех живущих подстерегают многочисленные болезни и в первую очередь различные инфекции, среди которых более 75% вызываются вирусами. Цифры заболеваемости по нашей стране показывают, что уже много лет первые четыре места среди всех инфекций уверенно держат четыре, уже знакомые вам вирусные болезни. Это, прежде всего, различные ОРЗ, затем грипп, далее следует гепатит и, наконец, корь. В масштабах мира эти цифры многократно увеличиваются, и поэтому, когда мы говорим о громадном вирусном бремени, которое несет современное человечество, мы не грешим против истины и не преувеличиваем опасности. Осложнения после, например, гриппа могут стать ужасными. Хронический насморк или хуже … от гриппа можно умереть(!). У вирусов паразитизм достиг вершины: для синтеза своих белков они используют белоксинтезирующие системы клеток, программируя с помощью своих нуклеиновых кислот — вирусного генетического материала — вирусоспецифические синтезы. Таким образом, паразитизм вирусов осуществляется на генетическом уровне, иными словами, вирусы являются генетическими паразитами.^ 2.2 Вред, нанесенный компьютерным вирусом. Последствия Да, компьютерные вирусы были и остаются одной из наиболее распространенных причин потери информации. Известны случаи, когда вирусы блокировали работу организаций и предприятий. Более того, несколько лет назад был зафиксирован случай, когда компьютерный вирус стал причиной гибели человека - в одном из госпиталей Нидерландов пациент получил летальную дозу морфия по той причине, что компьютер был заражен вирусом и выдавал неверную информацию. 2.2.1 Черви Определение. Червь (сетевой червь) — тип вредоносных программ, распространяющихся по сетевым каналам, способных к автономному преодолению систем защиты автоматизированных и компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не всегда совпадающих с оригиналом, и осуществлению иного вредоносного воздействия. Так же как для вирусов, жизненный цикл червей можно разделить на определенные стадии: Проникновение в систему Активация Поиск «жертв» Подготовка копий Распространение копий Стадии 1 и 5, вообще говоря, симметричны и характеризуются в первую очередь используемыми протоколами и приложениями. Стадия 4 — Подготовка копий — практически ничем не отличается от аналогичной стадии в процессе размножения вирусов. Сказанное о подготовке копий вирусов без изменений применимо и к червям. На этапе проникновения в систему черви делятся преимущественно по типам используемых протоколов: ^ Сетевые черви — черви, использующие для распространения протоколы Интернет и локальных сетей. Обычно этот тип червей распространяется с использованием неправильной обработки некоторыми приложениями базовых пакетов стека протоколов tcp/ip Почтовые черви — черви, распространяющиеся в формате сообщений электронной почты IRC-черви — черви, распространяющиеся по каналам IRC (Internet Relay Chat) P2P-черви — черви, распространяющиеся при помощи пиринговых (peer-to-peer) файлообменных сетей IM-черви — черви, использующие для распространения системы мгновенного обмена сообщениями (IM, Instant Messenger — ICQ, MSN Messenger, AIM и др.) Примеры. Классическими сетевыми червями являются представители семейства Net-Worm.Win32.Sasser. Эти черви используют уязвимость в службе LSASS Microsoft Windows. При размножении, червь запускает FTP-службу на TCP-порту 5554, после чего выбирает IP-адрес для атаки и отсылает запрос на порт 445 по этому адресу, проверяя, запущена ли служба LSASS. Если атакуемый компьютер отвечает на запрос, червь посылает на этот же порт эксплойт уязвимости в службе LSASS, в результате успешного выполнения которого на удаленном компьютере запускается командная оболочка на TCP-порту 9996. Через эту оболочку червь удаленно выполняет загрузку копии червя по протоколу FTP с запущенного ранее сервера и удаленно же запускает себя, завершая процесс проникновения и активации. В качестве примера почтового червя можно рассмотреть Email-Worm.Win32.Zafi.d. Зараженное сообщение включает в себя выбираемые из некоторого списка тему и текст, содержанием которых является поздравление с праздником (большая часть — с Рождеством) и предложение ознакомиться с поздравительной открыткой во вложении. Поздравления могут быть на разных языках. Имя находящегося во вложении файла червя состоит из слова postcard на языке, соответствующем поздравлению, и произвольного набора символов. Расширение файла червя случайным образом выбирается из списка .BAT, .COM, .EXE, .PIF, .ZIP. Для рассылки червь использует адреса электронной почты, найденные на зараженном компьютере. Чтобы получить управление, червь должен быть запущен пользователем. IRC-Worm.Win32.Golember.a является, как следует из названия IRC-червем. При запуске он сохраняет себя в каталоге Windows под именем trlmsn.exe и добавляет в раздел автозапуска реестра Windows параметр со строкой запуска этого файла. Кроме этого червь сохраняет на диск свою копию в виде архива Janey2002.zip и файл-изображение Janey.jpg. Затем червь подключается к произвольным IRC-каналам под различными именами и начинает слать определенные текстовые строки, имитируя активность обычного пользователя. Параллельно всем пользователям этих каналов отсылается заархивированная копия червя. Функциональностью распространения через P2P-каналы обладают многие сетевые и почтовые черви. Например, Email-Worm.Win32.Netsky.q для размножения через файлообменные сети ищет на локальном диске каталоги, содержащие названия наиболее популярных сетей или же слово «shared», после чего кладет в эти каталоги свои копии под различными названиями IM-черви редко пересылают зараженные файлы непосредственно между клиентами. Вместо этого они рассылают ссылки на зараженные веб-страницы. Так червь IM-Worm.Win32.Kelvir.k посылает через MSN Messenger сообщения, содержащие текст «its you» и ссылку «http://www.malignancy.us/[removed]/pictures.php?email=[email]», по указанному в которой адресу расположен файл червя. Сегодня наиболее многочисленную группу составляют почтовые черви. Сетевые черви также являются заметным явлением, но не столько из-за количества, сколько из-за качества: эпидемии, вызванные сетевыми червями зачастую отличаются высокой скоростью распространения и большими масштабами. IRC-, P2P- и IM-черви встречаются достаточно редко, чаще IRC, P2P и IM служат альтернативными каналами распространения для почтовых и сетевых червей. На этапе активации черви делятся на две большие группы, отличающиеся как по технологиям, так и по срокам жизни: Для активации необходимо активное участие пользователя Для активации участие пользователя не требуется вовсе либо достаточно лишь пассивного участия Под пассивным участием пользователя во второй группе понимается, например, просмотр писем в почтовом клиенте, при котором пользователь не открывает вложенные файлы, но его компьютер, тем не менее, оказывается зараженным. Отличие в этих подходах глубже, чем может показаться на первый взгляд. Активация сетевого червя без участия пользователя всегда означает, что червь использует бреши в безопасности программного обеспечении компьютера. Это приводит к очень быстрому распространению червя внутри корпоративной сети с большим числом станций, существенно увеличивает загрузку каналов связи и может полностью парализовать сеть. Именно этот метод активации использовали черви Lovesan и Sasser. В результате вызванной таким сетевым червем эпидемии, используемая брешь закрывается администраторами либо пользователями, и по мере уменьшения компьютеров с открытой брешью эпидемия завершается. Для повторения эпидемии разработчикам вирусов приходится эксплуатировать другую брешь. В итоге, эпидемии, вызванные активными червями, существеннее влияют на работу сети в целом, однако случаются значительно реже, чем эпидемии пассивных сетевых червей. Обязательной мерой защиты от таких эпидемий является своевременная установка заплат безопасности. Отметим также, что особенно уязвимыми для этого типа червей являются операционные системы с заложенными возможностями удаленного управления или запуска программ — это семейство Microsoft Windows NT/2000/XP/2003.Пример. Уязвимость в службе LSASS, впервые использованная в черве MyDoom в начале 2004 года, продолжала успешно применяться и спустя полтора года. Так Net-Worm.Win32.Mytob.be обнаруженный в июне 2005 все еще использовал эту уязвимость как один из способов распространения, в дополнение к распространению через электронную почту С другой стороны, активное участие пользователя в активации червя означает, что пользователь был введен в заблуждение методами социальной инженерии. В большинстве случаев основным фактором служит форма подачи инфицированного сообщения: оно может имитировать письмо от знакомого человека (включая электронный адрес, если знакомый уже заражен), служебное сообщение от почтовой системы или же что-либо подобное, столь же часто встречающееся в потоке обычной корреспонденции. Пользователь в суматохе просто не отличает обычное письмо от зараженного и производит запуск автоматически. Защититься заплатами от такого рода червей невозможно. Даже внесение сигнатуры сетевого червя в вирусную базу данных не решает проблему до конца. Разработчикам вируса достаточно изменить исполняемый файл так, чтобы антивирус его не обнаруживал, и незначительно поменять текст сообщения, используя в том числе и технологии спам-рассылок, применяемые для обхода фильтров. В результате, эпидемии, вызванные пассивными сетевыми червями, могут быть гораздо продолжительнее и порождать целые семейства однотипных сетевых червей. В последнее время наметилась тенденция к совмещению в червях обоих способов распространения. Многие представители семейства Mytob обладают функциями распространения через электронную почту и через уязвимость в службе LSASS. Способ поиска компьютера-жертвы полностью базируется на используемых протоколах и приложениях. В частности, если речь идет о почтовом черве, производится сканирование файлов компьютера на предмет наличия в них адресов электронной почты, по которым в результате и производится рассылка копий червя. Точно так же Интернет-черви сканируют диапазон IP адресов в поисках уязвимых компьютеров, а P2P черви кладут свои копии в общедоступные каталоги клиентов пиринговых сетей. Некоторые черви способны эксплуатировать списки контактов интернет-пейджеров, таких как ICQ, AIM, MSN Messenger, Yahoo! Messenger и др. Сказанное ранее о подготовке копий для распространения вирусов, применимо и для червей. Наиболее часто среди червей встречаются упрощенные реализации метаморфизма. Некоторые черви способны рассылать свои копии в письмах, как с внедрением скрипта приводящего к автоматической активации червя, так и без внедрения. Такое поведение червя обусловлено двумя факторами: скрипт автоматической активации повышает вероятность запуска червя на компьютере пользователя, но при этом уменьшает вероятность проскочить антивирусные фильтры на почтовых серверах. Аналогично, черви могут менять тему и текст инфицированного сообщения, имя, расширение и даже формат вложенного файла — исполняемый модуль может быть приложен как есть или в заархивированном виде. Все это нельзя считать мета- или полиморфизмом, но определенной долей изменчивости черви, безусловно, обладают.Пример вируса на моем компьютере: Email-Worm.Win32. Brontok.a. Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты. Червь является приложением Windows (PE EXE-файл). Написан на Visual Basic. Размер известных зараженных файлов данной версии червя значительно варьируется. Ниже приведена функциональность наиболее часто встречаемых вариантов данного червя. Далее червь получает путь к каталогу приложений Windows для текущего пользователя (%UserProfile%\Local Settings\Application Data) и копирует свое тело в этот каталог. Также червь копирует себя в каталог автозагрузки программ меню «Пуск» под именем Empty.pif: Червь рассылает свои копии со следующими именами во вложении к зараженным письмам. Выбирается из списка Также червь изменяет содержимое файла autoexec.bat в корневом каталоге диска C:, добавляя в него строку «pause». 2.2.2 Трояны Определение. Троян (троянский конь) — тип вредоносных программ, основной целью которых является вредоносное воздействие по отношению к компьютерной системе. Трояны отличаются отсутствием механизма создания собственных копий. Некоторые трояны способны к автономному преодолению систем защиты КС, с целью проникновения и заражения системы. В общем случае, троян попадает в систему вместе с вирусом либо червем, в результате неосмотрительных действий пользователя или же активных действий злоумышленника В силу отсутствия у троянов функций размножения и распространения, их жизненный цикл крайне короток — всего три стадии: Проникновение на компьютер Активация Выполнение заложенных функций Это, само собой, не означает малого времени жизни троянов. Напротив, троян может длительное время незаметно находиться в памяти компьютера, никак не выдавая своего присутствия, до тех пор, пока не будет обнаружен антивирусными средствами. Задачу проникновения на компьютер пользователя трояны решают обычно одним из двух следующих методов. Маскировка — троян выдает себя за полезное приложение, которое пользователь самостоятельно загружает из Интернет и запускает. Иногда пользователь исключается из этого процесса за счет размещения на Web-странице специального скрипта, который используя дыры в браузере автоматически инициирует загрузку и запуск трояна. Пример. Trojan.SymbOS.Hobble.a является архивом для операционной системы Symbian (SIS-архивом). При этом он маскируется под антивирус Symantec и носит имя symantec.sis. После запуска на смартфоне троян подменяет оригинальный файл оболочки FExplorer.app на поврежденный файл. В результате при следующей загрузке операционной системы большинство функций смартфона оказываются недоступными Одним из вариантов маскировки может быть также внедрение злоумышленником троянского кода в код другого приложения. В этом случае распознать троян еще сложнее, так как зараженное приложение может открыто выполнять какие-либо полезные действия, но при этом тайком наносить ущерб за счет троянских функций. Распространен также способ внедрения троянов на компьютеры пользователей через веб-сайты. При этом используется либо вредоносный скрипт, загружающий и запускающий троянскую программу на компьютере пользователя, используя уязвимость в веб-браузере, либо методы социальной инженерии — наполнение и оформление веб-сайта провоцирует пользователя к самостоятельной загрузке трояна. При таком методе внедрения может использоваться не одна копия трояна, а полиморфный генератор, создающий новую копию при каждой загрузке. Применяемые в таких генераторах технологии полиморфизма обычно не отличаются от вирусных полиморфных технологий. ^ Кооперация с вирусами и червями — троян путешествует вместе с червями или, реже, с вирусами. В принципе, такие пары червь-троян можно рассматривать целиком как составного червя, но в сложившейся практике принято троянскую составляющую червей, если она реализована отдельным файлом, считать независимым трояном с собственным именем. Кроме того, троянская составляющая может попадать на компьютер позже, чем файл червя. Пример. Используя backdoor-функционал червей семейства Bagle, автор червя проводил скрытую инсталляцию трояна SpamTool.Win32.Small.b, который собирал и отсылал на определенный адрес адреса электронной почты, имевшиеся в файлах на зараженном компьютере Нередко наблюдается кооперация червей с вирусами, когда червь обеспечивает транспортировку вируса между компьютерами, а вирус распространяется по компьютеру, заражая файлы. Пример. Известный в прошлом червь Email-Worm.Win32.Klez.h при заражении компьютера также запускал на нем вирус Virus.Win32.Elkern.c. Зачем это было сделано, сказать тяжело, поскольку вирус сам по себе, кроме заражения и связанных с ошибками в коде вредоносных проявлений (явно выраженных вредоносных процедур в нем нет), никаких действий не выполняет, т. е. не является «усилением» червя в каком бы то ни было смысле Здесь приемы те же, что и у червей: ожидание запуска файла пользователем, либо использование уязвимостей для автоматического запуска. В отличие от вирусов и червей, деление которых на типы производится по способам размножения/распространения, трояны делятся на типы по характеру выполняемых ими вредоносных действий. Наиболее распространены следующие виды троянов: ^ Клавиатурные шпионы — трояны, постоянно находящиеся в памяти и сохраняющие все данные, поступающие от клавиатуры с целью последующей передачи этих данных злоумышленнику. Обычно таким образом злоумышленник пытается узнать пароли или другую конфиденциальную информацию. Пример. В прошлом, буквально пару лет назад еще встречались клавиатурные шпионы, которые фиксировали все нажатия клавиш и записывали их в отдельный файл. Trojan-Spy.Win32.Small.b, например, в бесконечном цикле считывал коды нажимаемых клавиш и сохранял их в файле C:\SYS. Современные программы-шпионы оптимизированы для сбора информации, передаваемой пользователем в Интернет, поскольку среди этих данных могут встречаться логины и пароли к банковским счетам, PIN-коды кредитных карт и прочая конфиденциальная информация, относящаяся к финансовой деятельности пользователя. Trojan-Spy.Win32.Agent.fa отслеживает открытые окна Internet Explorer и сохраняет информацию с посещаемых пользователем сайтов, ввод клавиатуры в специально созданный файл servms.dll с системном каталоге Windows ^ Похитители паролей — трояны, также предназначенные для получения паролей, но не использующие слежение за клавиатурой. В таких троянах реализованы способы извлечения паролей из файлов, в которых эти пароли хранятся различными приложениями. Пример. Trojan-PSW.Win32.LdPinch.kw собирает сведения о системе, а также логины и пароли для различных сервисов и прикладных программ — мессенджеров, почтовых клиентов, программ дозвона. Часто эти данные оказываются слабо защищены, что позволяет трояну их получить и отправить злоумышленнику по электронной почте ^ Утилиты удаленного управления — трояны, обеспечивающие полный удаленный контроль над компьютером пользователя. Существуют легальные утилиты такого же свойства, но они отличаются тем, что сообщают о своем назначении при установке или же снабжены документацией, в которой описаны их функции. Троянские утилиты удаленного управления, напротив, никак не выдают своего реального назначения, так что пользователь и не подозревает о том, что его компьютер подконтролен злоумышленнику. Наиболее популярная утилита удаленного управления — Back Orifice. Пример. Backdoor.Win32.Netbus.170 предоставляет полный контроль над компьютером пользователя, включая выполнение любых файловых операций, загрузку и запуск других программ, получение снимков экрана и т. д. ^ Люки (backdoor) — трояны предоставляющие злоумышленнику ограниченный контроль над компьютером пользователя. От утилит удаленного управления отличаются более простым устройством и, как следствие, небольшим количеством доступных действий. Тем не менее, обычно одними из действий являются возможность загрузки и запуска любых файлов по команде злоумышленника, что позволяет при необходимости превратить ограниченный контроль в полный. Пример. В последнее время backdoor-функционал стал характерной чертой червей. Например, Email-Worm.Win32.Bagle.at использует порт 81 для получения удаленных команд или загрузки троянов, расширяющих функционал червя. Есть и отдельные трояны типа backdoor. Троян Backdoor.win32.Wootbot.gen использует IRC-канал для получения команд от «хозяина». По команде троян может загружать и запускать на выполнение другие программы, сканировать другие компьютеры на наличие уязвимостей и устанавливать себя на компьютеры через обнаруженные уязвимости ^ Анонимные smtp-сервера и прокси — трояны, выполняющие функции почтовых серверов или прокси и использующиеся в первом случае для спам-рассылок, а во втором для заметания следов хакерами. Пример. Трояны из семейства Trojan-Proxy.Win32.Mitglieder распространяются с различными версиями червей Bagle. Троян запускается червем, открывает на компьютере порт и отправляет автору вируса информацию об IP-адресе зараженного компьютера. После этого компьютер может использоваться для рассылки спама ^ Утилиты дозвона — сравнительно новый тип троянов, представляющий собой утилиты dial-up доступа в Интернет через дорогие почтовые службы. Такие трояны прописываются в системе как утилиты дозвона по умолчанию и влекут за собой огромные счета за пользование Интернетом. Пример. Trojan.Win32.Dialer.a при запуске осуществляет дозвон в Интернет через платные почтовые службы. Никаких других действий не производит, в том числе не создает ключей в реестре, т. е. даже не регистрируется в качестве стандартной программы дозвона и не обеспечивает автозапуск ^ Модификаторы настроек браузера — трояны, которые меняют стартовую страницу в браузере, страницу поиска или еще какие-либо настройки, открывают дополнительные окна браузера, имитируют нажатия на баннеры и т. п. Пример. Trojan-Clicker.JS.Pretty обычно содержится в html-страницах. Он открывает дополнительные окна с определенными веб-страницами и обновляет их с заданным интервалом ^ Логические бомбы — чаще не столько трояны, сколько троянские составляющие червей и вирусов, суть работы которых состоит в том, чтобы при определенных условиях (дата, время суток, действия пользователя, команда извне) произвести определенное действие: например, уничтожение данных. Примеры. Virus.Win9x.CIH, Macro.Word 97.Thus Черви и вирусы могут осуществлять все те же действия, что и трояны (см.предыдущий пункт). На уровне реализации это могут быть как отдельные троянские компоненты, так и встроенные функции. Кроме этого, за счет массовости, для вирусов и червей характерны также другие формы вредоносных действий: ^ Перегрузка каналов связи — свойственный червям вид ущерба, связанный с тем, что во время масштабных эпидемий по Интернет-каналам передаются огромные количества запросов, зараженных писем или непосредственно копий червя. В ряде случаев, пользование услугами Интернет во время эпидемии становится затруднительным. Примеры : Net-Worm.Win32.Slammer ^ DDoS атаки — благодаря массовости, черви могут эффективно использоваться для реализации распределенных атак на отказ в обслуживании (DDoS атак). В разгар эпидемии, когда зараженными являются миллионы и даже десятки миллионов компьютеров, обращение всех инфицированных систем к определенному Интернет ресурсу приводит к полному блокированию этого ресурса. Так, во время атаки червя MyDoom сайт компании SCO был недоступен в течение месяца. Примеры: Net-Worm.Win32.CodeRed.a — не совсем удачная атака на www.whitehouse.gov, Email-Worm.Win32.Mydoom.a — удачная атака на www.sco.comПотеря данных — более характерное для вирусов, чем для троянов и червей, поведение, связанное с намеренным уничтожением определенных данных на компьютере пользователя. Примеры: Virus.Win9x.CIH — удаление стартовых секторов дисков и содержимого Flash BIOS, Macro.Word97.Thus — удаление всех файлов на диске C:, Email-Worm.Win32.Mydoom.e — удаление файлов с определенными расширениями в зависимости от показателя счетчика случайных чисел Нарушение работы ПО — также более свойственная вирусам черта. Из-за ошибок в коде вируса, зараженные приложения могут работать с ошибками или не работать вовсе. Примеры: Net-Worm.Win32.Sasser.a — перезагрузка зараженного компьютера ^ Загрузка ресурсов компьютера — интенсивное использование ресурсов компьютера вредоносными программами ведет к снижению производительности как системы в целом, так и отдельных приложений. Примеры: в разной степени — любые вредоносные программы Наличие деструктивных действий вовсе не является обязательным критерием для классификации программного кода как вирусного. Следует также отметить, что одним только процессом саморазмножения вирус способен причинить колоссальный ущерб. Наиболее яркий пример — Net-Worm.Win32.Slammer. ^ 3 Признаки заражения биологическими вирусами 3.1 Заражение биологическими вирусами У каждого биологического вируса свои признаки заражения. Поясню самые распространенные и известные. Так, например, для кори и краснухи характерна сыпь. Корь: После контакта с больным корь проявляется быстрее, чем краснуха. Начинается она как сильная простуда: болит голова, из носа течет, болит горло, а глаза красные, температура очень вы