А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 2. Проблемы защиты информации 109
Q вирусы, замещающие программный код (Overwrite);
G вирусы-спутники (Companion);
О вирусы, внедряющиеся в программу (Parasitic).
Вирусы, замещающие программный код, уже стали раритетом: фактически вирусы данного
вида давно мертвы. Изредка появляются еще такие вирусы, созданные на языке
Assembler, но это, скорее, соревнование в написании самого маленького overwrite-вируса.
Главный их недостаток — слишком грубая работа. Инфицированные ими программы не
исполняются, так как вирус записывается поверх программного кода, не сохраняя его.
При запуске вирус ищет очередную жертву (или жертвы), открывает найденный файл для
редактирования и записывает свое тело в начало программы, не сохраняя оригинальный
код. Инфицированные этими вирусами программы лечению не подлежат.
Вирусы-спутники получили такое название из-за алгоритма их размножения: для
каждого инфицированного файла создается файл-спутник. Рассмотрим более подробно
два типа вирусов этой группы, отличающихся методом заражения файлов:
Q путем создания СОМ-файла спутника;
Q путем переименования ЕХЕ-файла.
Инфицирование методом создания СОМ-файла спутника заключается в том, чтобы,
не трогая файл (ЕХЕ-программу), создать свою — СОМ-файл с именем ЕХЕ-про-
ПРОГРАММА
Тело программы сдвигается
ближе к концу файла,
освобождая место для вируса
Свободное
место
ПРОГРАММА
Тело вируса записывается
в начало файла, а часть вируса,
обеспечивающая восстановление
программы - в конец
ВИРУС
ПРОГРАММА
ВИРУС
Конец
ВИРУС
I
ВИРУС
л
ПРОГРАММА
ПРОГРАММА
ВИРУС
Конец
t
ВИРУС
Конец
Отработав, вирус передает
управление своему коду
в конце программы.
Восстанавливается первоначальный
вид программы - тело программы
сдвигается к адресу 01 ООН.
ПРОГРАММА
ВИРУС
Конец
J
После восстановления
вирус запускает программу
Рис. 2.21. Внедрение и работа corn-вируса, сдвигающего программу