А,В,Соколов, 0,М, Степанюк - Скачать документы

104
торам дисков и «подставляют» вместо себя незараженные участки информации. Кроме
этого, такие вирусы при обращении к файлам используют достаточно оригинальные
алгоритмы, позволяющие обманывать резидентные антивирусные программы.
Способов маскировки вирусов существует великое множество, но все они основаны
на перехвате вирусами прерываний BIOS и операционной системы. Перехватив
прерывания, вирусы контролируют доступ к зараженным объектам. Например, при
просмотре зараженного объекта они могут «подсунуть» вместо него здоровый. Кроме
того, вирусы искажают информацию DOS (например, возвращают неверное значения
длины файла, скрывая свое присутствие в нем). Для большинства антивирусных программ
вирусы, использующие стелс-технологию, являются серьезной проблемой.
Полиморфик-вирусы — это достаточно трудно обнаруживаемые вирусы, не имеющие
сигнатур, то есть не содержащие ни одного постоянного участка кода. В большинстве
случаев два образца одного и того же полиморфик-вируса не будут иметь ни
одного совпадения. Это достигается шифрованием основного тела вируса и модификациями
программы-расшифровщика.
Вирусы, шифрующие свой код, известны довольно давно. Однако сами процедуры
дешифрования достаточно легко выявить, в частности, потому, что далеко не все авторы
вирусов имеют достаточно знаний для написания собственных процедур шифрования
и дешифрования, поэтому многие вирусы используют для этих целей один и тот
же код. Теперь сканеры вирусов ищут определенные процедуры дешифрования. Хотя
обнаружение такой процедуры еще ничего не говорит о том, какой именно вирус присутствует
в зашифрованном виде, но уже сигнализирует о наличии вируса.
Поэтому последней уловкой злоумышленников становится полиморфизм. В прежние
времена обнаружение вирусов было простым делом: каждый вирус создавал точную
копию самого себя при тиражировании и инфицировании новых файлов и загрузочных
секторов, поэтому антивирусным программам требовалось только знать
последовательность байтов, составляющих вирус. Для каждого вируса специалисты
выявляли уникальную последовательность байтов — его сигнатуру. Наличие такой
сигнатуры служило высоконадежным индикатором присутствия нежелательного кода,
что и заставило авторов вирусов попытаться скрывать любую последовательность
байтов, способную выдать присутствие их творений. Они стали делать это посредствам
шифрования вирусов.
Первые полиморфные вирусы Tequila и Maltese Amoeba появились в 1991 году.
Все бы ничего, но в 1992 году автор, известный под псевдонимом Dark Avenger, написал
своего рода комплект «Сделай сам» для мутационного механизма, который он
сделал частью вируса Maltese Amoeba.
До 1992 года вирусописатели старались на самом деле зря. Совершенно ясно, что
квалификация профессионалов в сфере антивирусной безопасности никак не ниже их
собственной и, следовательно, все их многомесячные усилия стоили в крайнем случае
лишних часов работы для специалистов. Ведь все зашифрованные вирусы обязательно
содержали некий незашифрованный фрагмент: сам расшифровщик или некоторую его
часть, по которым можно было построить сигнатуру данного вируса и затем уже бороться
с ним обычными способами.
Ситуация изменилась, когда были придуманы алгоритмы, позволяющие не только
шифровать код вируса, но и менять расшифровщики. Сама постановка такой задачи