Clasificarea virusurilor

[MeG@DaN]

Download


In septembrie 1989 existau cam doua duzini de virusi. Fiecare dintre
acestia avea variante: mici modificari in codul viral sau schimbarea
mesajelor afisate. De exemplu, virusul 17Y4 difera de virusul 1704 doar
cu un octet. In mai 1998 existau aproximativ 20.000 de virusi (zilnic
apar 3 noi virusi).

Acestia se impart in doua mari categorii:

1. virusi de BOOT
2. virusi de fisiere

Exista si virusi cu caracteristicile ambelor categorii (si de BOOT si de
fisiere), dar acestia sunt in numar foarte mic.

Virusii de BOOT au diferite reactii. Ei se incarca in memorie inaintea
sistemului de operare, transfera continutul de BOOT in alt sector,
amesteca datele. Infecteaza orice disc logic al hard discului si orice
discheta care se introduce in unitatea de dischete. Tot in aceasta
categorie intra si virusii care infecteaza tabela de partitii a hard
discului. Gasindu-se in tabela de partitii, ei se incarca in memorie
inaintea sectorului de BOOT.

Virusii de fisiere se fixeaza de regula pe fisierele cu extensia EXE sau
COM. Cind programul infectat este rulat, virusul se activeaza raminind
de cele mai multe ori rezident in memorie pentru a infecta orice program
se va lansa in executie. Daca ar fi numai atit, ar fi simplu ! Din
pacate virusii de fisiere sunt de mai multe tipuri. Pina acum am descris
tipul "clasic".
Cei mai multi dintre virusii de fisiere actuali sunt poliformi (se mai
numesc mutanti sau evolutivi). Ei sunt codificati, continind doar o mica
parte - modulul de decodificare - necodificata. In momentul activarii
virusului, modulul de decodificare intra in actiune si decodifica restul
virusului. Corpul virusului mai contine - evident, veti zice - si un
modul de codificare. Folosind un generator de numere pseudoaleatoare
acest modul isi schimba algoritmul de codificare la fiecare infectare a
unui fisier, modificind modulul de decodificare. Ca urmare, nu exista o
secventa comuna mai mare de citiva octeti intre doua contaminari
succesive.

Complicata e mintea si bogata imaginatia omului, veti gindi! Si nu ati
aflat inca totul! Diabolicul bulgar care-si zice Dark Avenger
(Razboinicul Intunecat) a realizat un program numit MutaTion Engine
(MtE) care poate transforma orice virus "clasic" intr-un virus poliform.

Un tip aparte de virusi de fisiere il constituie virusii Stealth (de
furisare). Acestia sunt capabili sa pacaleasca programele antivirus,
simulind toate apelurile de sistem DOS care ar duce la detectarea lor si
facindu-le sa intoarca acele informatii care s-ar obtine in lipsa
atacului. Daca un virus Stealth este rezident in memorie, el va pacali
un program antivirus care citeste un fisier infectat cu acest tip de
virus, deoarece virusul isi ascunde propriul cod, aratind numai codul
fisierului. Termenul Stealth provine de la aviatia "clandestina" a SUA
care a reusit sa evite detectarea prin radar in Razboiul din Golf.
Aceasta tehnica are o analogie biologica.

Virusii macro fac parte dintr-o noua generatie de virusi de fisiere.
Virusii macro infecteaza documente, nu programe. Ei pot infecta numai
documentele create cu programe care folosesc limbaje macro (Word,
Excel). Un exemplu de limbaj macro este WordBasic, care este inclus in
Microsoft Word 7.0.

Pachetul Microsoft Office 97 foloseste ca limbaj macro pentru programele
componente (Word 97, Excel 97, Access 97) o versiune restrinsa de
Visual Basic numita Visual Basic for Applications. Acesta este un limbaj
puternic (permite chiar si apeluri de sistem) care a determinat
aparitia virusilor macro ce infecteaza si bazele de date Access 97
(.MDB).

Deci acest tip de virusi utilizeaza limbajul de programare macro al unei
aplicatii, pentru a se distribui pe ei insisi. De obicei fisierele
document au atasate macro-uri care sunt executate automat la deschiderea
lor. Unele dintre acestea pot fi de fapt secvente virale.

Un virus macro odata activat poate redefini comenzi ale programului care
a deschis documentul, cum ar fi salvarea sau tiparirea la imprimanta.
Cel mai des acesta modifica comanda de salvare a fisierelor (Save As din
meniul File), astfel incit fisierele vor fi salvate numai ca sabloane
(template-uri - de exemplu .DOT pentru Word), dar cu extensia specifica
documentelor (in exemplul nostru .DOC). In final virusul infecteaza
fisierul sablon global (de exemplu template-ul NORMAL.DOT in cazul
programului Microsoft Word), virusind apoi prin intermediul acestuia
orice document care se va deschide.

Infectiile cu un virus macro se raspindesc mult mai rapid decit
infectiile cu virusi obisnuiti, deoarece documentele sunt des folosite
si circula mai mult decit alte tipuri de fisiere.
Programele Microsoft WordMail, saul Word Internet Assistant nu permit
transmiterea virusului. Un document infectat atasat la un mesaj
WordMail, poate fi insa transmis prim E-mail. Deci atentie la cutia
postala (electronica) !

Deoarece se scriu usor, numarul virusilor macro a crescut de la 40 in
ianuarie 1997, la peste 2000 in vara anului 1998. Multi v...