Clasificarea virusilor
In septembrie 1989 existau cam doua duzini de virusi. Fiecare dintre acestia avea variante: mici modificari in codul viral sau schimbarea mesajelor afisate. De exemplu, virusul 17Y4 difera de virusul 1704 doar cu un octet. In mai 1998 existau aproximativ 20.000 de virusi (zilnic apar 3 noi virusi).
Acestia se impart in doua mari categorii:
virusi de BOOT
virusi de fisiere
Exista si virusi cu caracteristicile ambelor categorii (si de BOOT si de fisiere), dar acestia sunt in numar foarte mic.
Virusii de BOOT au diferite reactii. Ei se incarca in memorie inaintea sistemului de operare, transfera continutul de BOOT in alt sector, amesteca datele. Infecteaza orice disc logic al hard discului si orice discheta care se introduce in unitatea de dischete. Tot in aceasta categorie intra si virusii care infecteaza tabela de partitii a hard discului. Gasindu-se in tabela de partitii, ei se incarca in memorie inaintea sectorului de BOOT.
Virusii de fisiere se fixeaza de
regula pe fisierele cu extensia EXE sau COM. Cind programul infectat
este rulat, virusul se activeaza raminind de cele mai multe ori
rezident in memorie pentru a infecta orice program se va lansa in
executie. Daca ar fi numai atit, ar fi simplu ! Din pacate
virusii de fisiere sunt de mai multe tipuri. Pina acum am
descris tipul 'clasic'.
Cei mai multi dintre virusii de fisiere actuali sunt poliformi
(se mai numesc mutanti sau evolutivi). Ei sunt codificati,
continind doar o mica parte - modulul de decodificare -
necodificata. In momentul activarii virusului, modulul de
decodificare intra in actiune si decodifica restul
virusului. Corpul virusului mai contine - evident, veti zice -
si un modul de codificare. Folosind un generator de numere pseudoaleatoare
acest modul isi schimba algoritmul de codificare la fiecare infectare
a unui fisier, modificind modulul de decodificare. Ca urmare, nu
exista o secventa comuna mai mare de citiva
octeti intre doua contaminari succesive.
Complicata e mintea si bogata imaginatia omului, veti gindi! Si nu ati aflat inca totul! Diabolicul bulgar care-si zice Dark Avenger (Razboinicul Intunecat) a realizat un program numit MutaTion Engine (MtE) care poate transforma orice virus 'clasic' intr-un virus poliform.
Un tip aparte de virusi de fisiere il constituie virusii Stealth (de furisare). Acestia sunt capabili sa pacaleasca programele antivirus, simulind toate apelurile de sistem DOS care ar duce la detectarea lor si facindu-le sa intoarca acele informatii care s-ar obtine in lipsa atacului. Daca un virus Stealth este rezident in memorie, el va pacali un program antivirus care citeste un fisier infectat cu acest tip de virus, deoarece virusul isi ascunde propriul cod, aratind numai codul fisierului. Termenul Stealth provine de la aviatia 'clandestina' a SUA care a reusit sa evite detectarea prin radar in Razboiul din Golf. Aceasta tehnica are o analogie biologica.
Virusii macro fac parte dintr-o noua generatie de virusi de fisiere. Virusii macro infecteaza documente, nu programe. Ei pot infecta numai documentele create cu programe care folosesc limbaje macro (Word, Excel). Un exemplu de limbaj macro este WordBasic, care este inclus in Microsoft Word 7.0.
Pachetul Microsoft Office 97 foloseste ca limbaj macro pentru programele componente (Word 97, Excel 97, Access 97) o versiune restrinsa de Visual Basic numita Visual Basic for Applications. Acesta este un limbaj puternic (permite chiar si apeluri de sistem) care a determinat aparitia virusilor macro ce infecteaza si bazele de date Access 97 (.MDB).
Deci acest tip de virusi utilizeaza limbajul de programare macro al unei aplicatii, pentru a se distribui pe ei insisi. De obicei fisierele document au atasate macro-uri care sunt executate automat la deschiderea lor. Unele dintre acestea pot fi de fapt secvente virale.
Un virus macro odata activat poate redefini comenzi ale programului care a deschis documentul, cum ar fi salvarea sau tiparirea la imprimanta. Cel mai des acesta modifica comanda de salvare a fisierelor (Save As din meniul File), astfel incit fisierele vor fi salvate numai ca sabloane (template-uri - de exemplu .DOT pentru Word), dar cu extensia specifica documentelor (in exemplul nostru .DOC). In final virusul infecteaza fisierul sablon global (de exemplu template-ul NORMAL.DOT in cazul programului Microsoft Word), virusind apoi prin intermediul acestuia orice document care se va deschide.
Infectiile cu un virus macro se raspindesc mult mai rapid decit infectiile cu virusi obisnuiti, deoarece documentele sunt des folosite si circula mai mult decit alte tipuri de fisiere.
Programele Microsoft WordMail, saul Word Internet Assistant nu permit transmiterea virusului. Un document infectat atasat la un mesaj WordMail, poate fi insa transmis prim E-mail. Deci atentie la cutia postala (electronica) !
Deoarece se scriu usor, numarul virusilor macro a
crescut de la 40 in ianuarie 1997, la peste 2000 in vara anului 1998.
Multi virusi macro sunt variante ale altora (de exemplu exista
86 de variante ale virusului macro Wazzu).
Zilnic apar peste 10 virusi macro.
Virusii mai pot fi clasificati dupa urmatoarele criterii:
dupa modul de infectare:
virusi care infecteaza fisierele cind un program infectat este rulat;
virusi care ramin rezidenti in memorie cind un program infectat este rulat si infecteaza apoi toate programele lansate in executie.
dupa pozitia in cadrul fisierului infectat:
virusi care suprascriu fisierul, nemodificindu-i lungimea (anumiti virusi suprascriu numai zonele rezervate datelor pentru a nu impiedica functionarea programului - acestia se numesc virusi de cavitate);
virusi care isi adauga codul la sfirsitul programului;
virusi care isi adauga codul la inceputul programului.
3. dupa viteza de infectare:
virusi rapizi (fast infector), care infecteaza toate fisierele care sunt descrise (chiar prin scanare fisierele pot fi infectate);
virusi lenti, care infecteaza numai programele care sunt lansate in executie.
Exista virusi 'blindati', a caror dezasamblare este foarte dificila, ca urmare sunt aproape imposibil de studiat.
De asemenea, exista urmatoarele tipuri de programe cu comportament asemanator cu al virusilor:
caii troieni, care de fapt sunt programe ce au efecte secundare nedocumentate;
viermi - programe care se reproduc dar pot sa nu aiba efecte distructive (pot fi insa folosisi la culegerea de informatii, aflarea de parole, etc.).
Bibliografie: Programe Antivirus
Editura: Teora
