Viry a trojské koně

Většina prostých uživatelů má z virů oprávněný strach. Domnívají se, že jim virus zničí snad celý počítač a pak ho mohou jen dát do opravy. Není to tak docela pravda. Kvalitní virus sám o sobě nic škodlivého nedělá, když pomineme ztrátu místa na disku. Z toho lze usoudit, že vir není kouzelník, který nám může zničit počítač, ale (s)prostý program. Samozřejmě že se nevytvoří chybným zacházením s počítačem, ale musí se do počítače nejdříve nějak dopravit, disketa, internet …. To je možné, pokud nebude mít uživatel kvalitní antivirový program, ale to také není vždy pravdou. Viry vytvořené chytrými programátory dokáží nevídané (WIN32/CIH – Černobil).

V nynější době jsou viry vybaveny různými schopnostmi, které jim zajišťují dlouhé přežití. Využívají tzv. stealth techniky (ukrývání před antivirovými programy), nebo sami sebe zakódují, aby antivir nenašel přímo šířitelný kód, nebo textovou zprávu, kterou většina virů pododává (Heloween, Slovakia ...).

Počítačový virus je program, který zahrnuje ve svém kódu funkci přikopírovat sám sebe k jinému spustitelnému programu a jeho původní funkce zachovat a z něj se šířit dále. To vše ve většině případů bez vědomí uživatele.

Tato věta by se dala nazvat definicí počítačového viru. Jsou v počítačovém světě, ale ještě podobné programy, které jsou často mylně zaměňovány za viry. Říká se jim Trojské koně.

Trojský kůň se nijak nešíří. Je připojen na stálo k nějakému líbivému programu jako nedokumentovaná část programu. Například můžete dostat od někoho zajímavou nabídku na krásný šetřič obrazovky. Prý v něm jsou 3D efekty a krásná grafika doprovázená zvukovými efekty. To všechno bude pravda, ale už vám nepoví důležitý detail. Váš šetřič obrazovky bude ještě navíc obsahovat funkci zjištění přístupových hesel do vašeho počítače. Také vám může začít dělat problémy typu : Prosíme o nové zakoupení nové verze programu xxxx na to a to. Je totiž dost možné, že si ten program opravdu koupíte a on bude obsahovat dalšího trojského koně, oplývajícího funkcemi o kterých se vám ani nezdálo (format c:, delete *.*, … atd.).

Byli totiž tací, kteří si to zkusily a dostaly dvojku z mravu.

Šíření virů

Šíření je nejdůležitější vlastností virů, bez ní by se nemohl nazývat vir virem. Není to nic nadpřirozeného, a tak aby se zaktivovala jeho nejdůležitější funkce, musíte ho nejdříve spustit. Není se čeho bát jen při čtení. Podle způsobu spuštění se dělí na další druhy.

Programy – soubory jenž se dají spustit. Jsou to soubory s příponou EXE, COM, SYS a ojediněle BAT. Virus připojí svůj kód k programu v dříve zmíněné podobě aniž by nějak poškodil jeho funkce. Systémové oblasti. Útok právě sem umožní viru delší životnost. Napadne boot sektor pevného disku nebo diskety, nebo Partition tabulku pevného disku (Master Boot Record). V systémové oblasti jsou data, která se zpracovávají hned po spuštění počítače a prověření jeho hardwaru.

Mezi lidmi jsou různé teorie o akcích virů. Tak například prý dokážou zničit hardware. Je na tom kousek pravdy. Dříve byl hardware ochoten splnit jakékoli přání. Třeba vám chtěl vyhovět, když jste po monitoru chtěl, aby byl „100 hertzový“. Monitor to nedokázal a pak se začal přehřívat a nakonec se přehřál úplně. Nebo dokázal počítač číst z cylindru pevného disku, který má tak vysoké číslo, že se vyšroubovala hlava u harddisku. Nynější součástky jsou chytřejší a autodestrukci již nepovolí. Škoda >;->

Další co se říká docela dost pravdivé i dnes. Vir přežije teplý restart počítače (Ctrl+ALT+DEL).Je to pravda, protože vir tak zůstane načten v paměti RAM, nebo napadne systém. Ovšem vir v paměti může zůstat i bez toho aby napadl systém, kontroluje klávesnici a až se stiskne oblíbená trojkombinace zůstane rezidentní a nedovolí systému aby ho nějak poškodil. Stisk tlačítka Reset však nejde softwareově kontrolovat (to už nepřežije v paměti).

Typy virů podle způsobu napadení souboru – programu

Stále jsou pouze tři (a jejich kombinace), ale už jinak dělené.

Boot vir – vir napadající systém (boot sektor, master boot record). Dostane se do počítače nabootováním ze zavirované diskety. Původní systém obohatí o další funkce a nějaké zruší.

Souborové viry – napadají soubory se spustitelným kódem. Způsob jakým infikuje další soubory je na pochopení jednoduchý (ale těžko se uskutečňuje v praxi ;-( ).

Nejprve se vir spustí, po té vyhledá soubor vhodný k napadení a napadne ho. Napadení se uskutečňuje tak, že:

Takovým virům se říká Link viry. Jsou i viry, které dokáží pouze se nakopírovat na začátek napadaného programu a jeho původní funkce nezachová, zničí ho. Aby se uživatel moc nedivil proč mu ten program nejde, napíše mu třeba, že je nedostatek paměti ať vypne počítač a zkusí to znovu. Takové viry se jmenují viry přepisující virus. Ten nemá moc dlouhou životnost. Je velká pravděpodobnost povšimnutí si divných věcí.

Některé viry využívají vlastností DOSu. Když napíšete jméno programu bez koncovky do příkazového řádku, spustí se program nejprve s příponou com pak exe a nakonec bat. Toho vir využije tím způsobem, že vytvoří program (sám sebe) se stejným názvem jako program „napadený“ a na konec duplikátu napíše instrukci ke spuštění původního programu. Uživatel si tak ničeho nevšimne, když se vir neozve sám. Má tak vládu nad tím co se bude dít. Nejdříve vykoná svoje plány a pak pustí váš program. Tyhle viry mají výhodu, že je nezjistí antivirový program, nepřepisují totiž soubory, nemají moc velkou popularitu. Jeho jméno je doprovodný virus. Virus přímé akce je primitivní vir, co vykoná po spuštění to co chce a pak skončí. Je to typické pro souborové viry přepisující nebo link.

Rezidentní virus se po spuštění běžně nevypne dokud nenastartujete znovu počítač. Vir si klidně sedne dolu do paměti a kontroluje vše co děláte.

Když si pustíte nějaký program, udělá pár kontrolních součtů a hned ho nakazí, nebo při spuštění třeba antivirového programu se rozčílí a třeba smaže váš antivirák, nebo rovnou vykoná známý příkaz format c:. Takový virus se šíří nejlépe a má největší popularitu. Stealth virus používá techniku maskování. Ukrývá se před antivirovým programem. Třeba po spuštění AV odviruje všechny napadené soubory a po skončení prohlížení počítače AV programem vše uvede do původního stavu, ale může Avirovi tak zmást posloupnost instrukcí, že si ho nevšimne. Virus, který se zakóduje, aby ho nenašel AV, se nazývá zakódovaný virus. Vir zakóduje sám sebe a na svůj začátek dá informace jak se rozkódovat (xor ax,bx).

Pozn. Aut.: asi se nedaj jen tak jednoduše napsat v asm.

Polymorfní virus se zakóduje pokaždé jinak (xor ax,0f0fh, xor ax,0fh …).

Dále se dělí podle rychlosti infekce. Fast infector je vir napadající všechny programy co má právě dostupné. Nemá moc dlouhou životnost, ale šíří se rychle. Jako známý vir s rychlou infekcí je vir Slovakia.

Slow infector je jeho pravý opak, a tak mají větší šanci na přežití. K jeho šíření je potřeba splnit několik podmínek.

Pak jsou viry co využívají různé kombinace předešlých virů, nazývají se multipartitní. Ovládají techniku stealth , infekci boot sektoru a jsou ve většině rezidentní. Příkladem je vir ONE_HALF je v boot sektoru kóduje disk a šíří se jako link.

Makroviry jsou zcela jiný druh virů. Nepoužívají už ty nejnižší služby dosu, ale jsou naprogramovány objektově. Ve většině ve wordbasicu. Předělají službu save na službu ulož makro a pak ulož dokument a tím se šíří. Napadají soubory s příponami doc, dot, xls a další kancelářské balíky. Teď se makroviry orientují na excel , má mnohem pestřejší rejstřík funkcí. Makroviry se nešíří necháním diskety v počítači ani jiným způsobem jako ostatní viry. Šíří se pouze v prostředí wordu nebo podobných programech.

A to není jediné zákeřné místo systému. Tak například si jistě vzpomínáte no to, když do CD mechaniky vložíte disk a za chvíli se vám na monitoru objeví reklama. Je to napsáno v souboru d:\autorun.inf na CD. To systém ví a tak si ho hned po vložení přečte. Že to nesouvisí s virama? Souvisí, v autorunu je napsáno jaký program se má spustit a není vyloučená jeho infekce.

Destrukce

Vir může způsobit destrukci dvěma způsoby. První je logická bomba – chtěná destrukce. A druhá je nechtěná, například nedohodnutí s jiným programem sídlícím na stejném místě jako vir (program je přemazán – komprese disku), nebo nedokonalostí programátora viru.

Antivirový program

To je program vyhledávající ve vašem počítači vir za účelem ho odstranit (ne vždy se to musí podařit – One_Half). Program antiviru obsahuje několik podprogramů. Antivirová kontrola – prohlíží soubory a hledá známý kód viru. Nenajde polymorfní viry. Heuristická analýza – krokuje soubory instrukci po instrukci a tak je možno najít i nový virus.

Nejlepší je kombinovat obě dvě možnosti. Občas se ovšem stane, že vir napadne i antivirový program, a pak při každé kontrole se vir roznese tam, kde ještě nikdy nebyl. AV totiž prohlíží programy a to je důvod ke vzbuzení rezidentního viru, který napadá spouštěné programy. Kvalitní AV dokáže identifikovat 80% virů. Proto tedy máte-li strach z virů, počítač zničte, jinak to udělá vir.

Tvoření virů je trestná činnost.

Ja

Maturita.cz - referát (verze pro snadný tisk)
http://www.maturita.cz/referaty/referat.asp?id=2775