П рограммное обеспечение бывает разным: полезным и не очень. В последнем случае речь идёт о пресловутых компьютерных вирусах. Компьютерный вирус - вредоносная программа, которая умеет воспроизводить копии самой себя и самостоятельно проникать (внедрять свои копии) в код других программ, базы данных, загрузочные секторы жёсткого диска и т. д. Причём только «проникновением» этот вид программного обеспечения не ограничивается. Конечная цель большинства компьютерных вирусов - нанесение определённого вреда реципиенту. Вредоносность компьютерных вирусов сводится к удалению файлов, захвату части дискового пространства компьютера, блокированию работы его пользователей, взлому персональных данных и т. п.
О днако, не все вирусы для компьютеров столь враждебны. Некоторые из них просто выводят на экран монитора безобидные сообщения юмористического, рекламного или политического содержания. Никакого вреда для компьютера при этом не наблюдается. Чего не скажешь о пользователе, нервная система которого подвергается определённому испытанию. Испытанию, с которым далеко не все из нас могут справиться. Оторванные мышки, изуродованные клавиатуры и разбитые мониторы в роликах - тому яркое подтверждение.
К ак вы уже, наверное, догадались, об истории компьютерных вирусов наш сегодняшний разговор и пойдёт.
Почему именно «вирус»?
Э кскурс в историю начну с происхождения названия «компьютерный вирус». Почему «вирус», а не, скажем, «болезнь» или «травма»? Ответ прост - всё дело в разительном сходстве механизма распространения биологических и компьютерных вирусов. Подобно тому как биологический вирус захватывает клетку организма, репродуцирует себя в ней и затем оккупирует новую клетку, так же действует и компьютерный вирус. Проникнув в ту или иную программу, создав энное количество копий себя, вредоносное программное обеспечение начинает захватывать другие области компьютера, а затем перемещается на следующее устройство. Согласитесь, аналогия более чем очевидна. Собственно, поэтому и «вирус». Правда, не биологический, а компьютерный.
Д остоверно неизвестно, кто и когда первым употребил это словосочетание. Посему, не претендуя на истину в последней инстанции, озвучу имя человека, который чаще всего упоминается в этом контексте. Это (на фото справа) - астрофизик и, по совместительству, писатель-фантаст из США. Многие считают, что именно в его рассказе «Человек в шрамах» (1970) слово «вирус» было впервые использовано по отношению к компьютерной программе.
Нет теории - нет вирусов!
К ак это часто бывает, слово и дело заметно расходятся во времени. В нашем случае подтверждением этого может служить то обстоятельство, что обоснование теоретических основ создания и функционирования самовоспроизводящихся компьютерных программ (вирусов) состоялось за десятилетия до возникновения самой фразы.
Е щё в 1949 году в Университете штата Иллинойс американский математик венгерского происхождения Джон фон Нейман преподавал курс лекций на тему «Теория и организация сложных автоматических устройств». Впоследствии известный учёный обобщил свои лекционные материалы и издал в 1951 году научный труд с похожим названием «Теория самовоспроизводящихся автоматических устройств». В работе Джон фон Нейман детально описал механизм создания компьютерной программы, которая в процессе функционирования могла бы сама себя воспроизводить.
Н аучные исследования фон Неймана послужили главным толчком к практическому созданию компьютерных вирусов в будущем, а сам учёный по праву считается отцом-теоретиком компьютерной вирусологии.
Р азвивая теорию американца, немецкий исследователь Вейт Ризак в 1972 году публикует статью «Самовоспроизводящиеся автоматические устройства с минимальным обменом информации». В ней учёный описывает механизм работы полноценного вируса, написанного на языке Ассемблер для компьютерной системы SIEMENS 4004/35.
Е щё одним важным научным трудом в этой области считается диплом выпускника Дортмундского университета Юргена Крауса . В 1980 году в своей выпускной работе «Самовоспроизводящиеся программы» молодой исследователь раскрыл вопросы теории, описал уже существующие в то время самовоспроизводящиеся программы для компьютера SIEMENS и первым акцентировал внимание на том, что компьютерные программы похожи на биологические вирусы.
Н аблюдательный читатель может заметить, что упомянутые выше научные изыскания касались разработки исключительно «миролюбивых» компьютерных программ, способных к воспроизводству самих себя. О вредоносности своих «пациентов» теоретики даже не помышляли. За них это сделали другие лица, вовремя распознавшие огромный потенциал этого рода программ для «повреждения» компьютеров и другой техники. Но это было потом, а пока от теории перейдём к практике.
Первые ласточки
У своив то, о чём говорил и писал Джон фон Нейман, группа сотрудников американской компании Bell Laboratories в 1961 году создала для компьютеров IBM 7090 оригинальную игру Darwin . Во время этой игры энное число ассемблерных программ («организмов») загружалось в память компьютера. Организмы, принадлежащие одному игроку, должны были поглотить организмы другого игрока, захватывая при этом всё больше и больше игрового пространства. Победу праздновал тот игрок, организмы которого захватывали всю игровую память.
Т ем из вас, уважаемые читатели, кто хочет детально ознакомиться с хронологией возникновения известных компьютерных вирусов на планете, могу порекомендовать в англоязычной . Там вы найдёте многочисленные любопытные факты о «правирусах» (скажем, Jerusalem/1987 или Morris worm/1988) и обновите свои знания о свежем вредоносном ПО (к примеру, «троянском коне» Game Over/2013). Конечно, если с английским вы на ты.
Вирус вирусу - рознь!
З а годы, прошедшие с момента появления первого компьютерного вируса, сформировались главные типы (виды) вредоносного программного обеспечения. Кратко остановлюсь на каждом из них.
Классификация компьютерных вирусов:
- Сетевой червь - вид «враждебного» ПО, который способен самостоятельно распространяться с помощью локальных или глобальных компьютерных сетей. Первым представителем является уже упомянутый Morris worm.
- Троянский конь , троян - вид компьютерного вируса, распространяемого (загружаемого в ПК) непосредственно человеком. В отличие от червя, троян не может самопроизвольно захватывать тот или иной компьютер. Первым «троянским конём» в 1989 году стал компьютерный вирус AIDS.
- Полиморфный компьютерный вирус - вредоносное ПО, имеющее повышенный уровень защиты от обнаружения его . Другими словами, это компьютерный вирус, созданный при помощи особой техники программирования, позволяющей ему дольше оставаться необнаруженным. Первым полиморфным вирусом был Chameleon (1990).
- Стелс-вирус - компьютерный вирус, способный частично или полностью скрывать своё присутствие в месте загрузки и активации. Фактически, это вирус-невидимка, ключевым отличием которого от полиморфного вируса является способ маскировки. Механизм сокрытия присутствия стелс-вируса заключается в перехвате им обращений к операционной системе со стороны антивирусного ПО. Прародителем этой группы компьютерных вирусов принято считать Frodo (1990).
Если что-нибудь делается, значит, это кому-нибудь нужно
К акие цели преследуют создатели компьютерных вирусов? Да самые разные. В большинстве своём, если верить западным аналитикам, речь идёт о выводе из строя компьютерного оборудования конкурентов/недругов или похищении денежных средств, которые принадлежат лицам, атакованным вирусом.
В месте с тем существуют другие, порой довольно занятные, причины разработки компьютерных вирусов. Одни деятели посредством вируса распространяют политическую . Другие, преисполненные заботой об окружающих, с его помощью указывают на уязвимость определённого софта. Есть даже люди, которые, наблюдая последствия вирусной атаки, получают извращённое человеческое удовольствие. Развлекаются, одним словом.
Т акже нельзя сбрасывать со счетов и роль разработчиков в создании и распространении компьютерных вирусов. Кто-то может задаться вопросом: как же так? А вот так! Ежегодно убытки от вирусных атак в мире оцениваются в миллиарды долларов США. Миллиардами исчисляется и капитализация международного рынка платного антивирусного софта. Можно прийти к простой мысли: это же неиссякаемая золотая жила. Сперва вирус создаётся (пусть и при помощи посредников), а после эффективно лечится заказчиком. За деньги.
В подобной нет ничего нового. Особенно если вспомнить то, в чём небезразличные активисты упрекают транснациональные фармакологические компании. Тогда в моих домыслах можно найти здравое зерно. И даже не одно.
В от вкратце вся история появления компьютерных вирусов. Будьте осторожны и да пребудут с вами счастье, здоровье и три мешка денег.
Компьютерные вирусы опасны неожиданным появлением и непредсказуемыми последствиями. Они уже всесторонне исследованы и изучены, но несмотря на предпринимаемые усилия, полностью обезопасить программы и компьютеры от внедрения вирусов не удается.
Компьютерный вирус - самовоспроизводяшаяся программа, наносящая ущерб аппаратно-программному обеспечению компьютера, которая может внедрять свои клоны в файл, загрузочный сектор диска, драйверы устройств, сеть, оперативную память, прикладные программы и т.д. Компьютерный вирус поражает данные, уменьшает объем свободного дискового пространства, блокирует работу системы, несанкционированно перезагружает компьютер и т.д.
К настоящему времени специалистами зарегистрировано свыше 25 тысяч разновидностей вирусных программ, и ежедневно появляются 6-8 новых.
Возникновение компьютерных вирусов связано с идеей создания са- мовоспроизводящихся программ, которая исследовалась еще в 1951 г. американским ученым Д. фон Нейманом. Первые эксперименты в этом направлении проводились в 1962 г. при создании компьютерной игры Darwin. В 1970 году была создана саморазмножающаяся программа Creeper для одной из первых компьютерных сетей ARPANET. Для борьбы с ней была создана программа Reaper.
Одновременно с появлением в 1977 г. первых персональных компьютеров Apple II и началом их массовой продажи появились и компьютерные вирусы. В конце 1970-х гг. стали бурно развиваться сети на базе коммутируемых телефонных линий. С появлением BBS получил распространение новый вид компьютерного хулиганства - загрузка в сеть программ, уничтожающих данные на компьютерах пользователей. В начале 1980-х гг. появился первый загрузочный вирус Elk Cloner для Apple II.
В истории компьютерных вирусов переломным стал 1984 г., когда итальянские программисты Р. Черути и М. Морокути подготовили теоретическую базу для практической реализации распространения на дискетах загрузочных вирусов. Они подробно изложили свои концепции широкой общественности и опубликовали спецификацию загрузочной (бутовой) вирусной программы. Несмотря на то что Черути и Морокути отказались от дальнейших практических исследований в этом направлении, их идеи были подхвачены и широко реализованы на практике.
Еще одним исследователем в области реализации саморазмножа- ющихся программ в 1984 г. стал сотрудник Лехайского университета Ф. Коэн, который провел ряд экспериментов на системе VAX 11/750, работавшей под управлением операционной системы UNIX. Опубликованные им статьи стали руководством для разработки вирусных программ. Принято считать, что термин «компьютерный вирус» был впервые введен Ф. Коэном.
Первые попытки противодействия вирусным программам были предприняты в 1985 г. Т. Нельфом, который стал собирать список опасных загружаемых программ для MS
DOS, получивший название «чертова дюжина». В настоящее время этот список поддерживается Э. Ньюхаузом и его можно получить из сети «Интернет», там же можно получить бюллетень WildList (www. virusbtn.com), автором которого является Д. Уэльс.
В 1984 году американский программист Э. Хопкинс написал первые антивирусные программы.
Массовое распространение компьютеров нового семейства IBM PC со второй половины 1980-х гг. стало вторым этапом в развитии вирусов, и именно в это время появились так называемые хакеры.
Хакеры - это специалисты, которые занимаются исследованием прикладных областей компьютерных технологий и разработкой небольших недокументированных программ. Эти программы, как правило, представляют собой модификации программного кода уже созданных программных продуктов. Таким образом, «кромсание» (hacker) чужих программ и соответствует понятию хакер. Неформальный кодекс хакера запрещает создавать вирусные программы, тем не менее существует прослойка хакеров (технокрысы), которые обращают свои знания во вред международному компьютерному сообществу.
Кракеры - это специалисты, занимающиеся вопросами в операционную систему, снятия защиты с программного продукта, изменения атрибутов защищенной программы. Компьютерный взлом программ позволяет распространять в огромных количествах программные продукты без санкции разработчиков коммерческого программного обеспечения. Кракеры проникают и в базы данных пользователей с конфиденциальной информацией, имеющие средства защиты от незаконного доступа и копирования. Среди кракеров существуют «информационные путешественники», которые проникают по сети на удаленные компьютеры, извлекают из них коды и пароли и пользуются ими наравне с законными хозяевами.
На территорию бывшего СССР компьютерные вирусы стали проникать с момента освоения рынка персональных компьютеров, т. е. с 1988 г. Первый компьютерный вирус (венский) был занесен в начале 1988 г. на компьютеры Переславль-Залесского института программных систем, в середине года этот вирус появился в Киеве. В этом же году предпринята попытка создания отечественной антивирусной программы А.А. Чижовым.
Исторически появление компьютерных вирусов связано с идеей создания самовоспроизводящихся механизмов, в частности, программы, которая возникла в 1950-х гг. Еще в 1951 г. один из отцов вычислительной техники, Дж. фон Нейман, предложил метод создания таких механизмов. Его соображения на этот счет получили дальнейшее развитие в работах других исследователей. В результате появились безобидные игровые программы, основанные на «вирусной» технологии. Воспользовавшись накопленными научными и практическими результатами, некоторые программисты (часто именуемые «технокрысами») стали разрабатывать самовоспроизводяшиеся программы с целью нанесения ущерба пользователям ПК. Авторы вирусов сосредоточили свои усилия именно в области ПК вследствие их массовости и почти полного отсутствия средств защиты, как на аппаратном уровне, так и на уровне операционной системы.
Первые случаи массового заражения вирусами ПК были отмечены в 1987 г. Сначала появился вирус, разработанный братьями Амджа- том и Базитом Алви (Пакистанский вирус). Этим они решили наказать американцев, покупавших дешевые незаконные копии программных продуктов в Пакистане; такие копии братья стали продавать, предварительно инфицировав их разработанным вирусом. В результате только в США он заразил более 18 тыс. компьютеров и, проделав поистине кругосветное путешествие, попал в тогдашний СССР.
Следующим широко известным вирусом стал Лехайский вирус (Lehigh), распространившийся в одноименном университете США. В течение несколько дней он уничтожил несколько сот дискет из библиотеки вычислительного центра университета и личных дискет многих студентов. К февралю 1989 г. только в США этим вирусом было поражено около 4 тыс. ПК.
Затем количество вирусов и число зараженных ПК стали лавинообразно увеличиваться, скорее всего, в соответствии с экспоненциальным законом. Это потребовало принятия срочных мер как технического и организационного, так и юридического характера. Появились различные антивирусные средства, и теперь ситуация до боли напоминает гонку вооружений и средств защиты от них.
Определенный сдерживающий эффект был достигнут в результате принятия рядом стран законодательных актов о компьютерных преступлениях. Имеются и конкретные результаты. Американский студент Моррис был приговорен судом к трем месяцам тюрьмы и штрафу в 270 тыс. дол. за разработку вируса, заразившего тысячи компьютеров в США, в том числе и компьютеры министерства обороны. Наказание могло быть и более строгим, но суд учел, что вирус не портил данные, а только размножался.
Сейчас в мире существует свыше 40 тыс. вирусов (включая штаммы - варианты вируса одного типа), причем арсенал их постоянно увеличивается. Для понимания способов заражения и антивирусной защиты огромное множество вирусов достаточно разбить на несколько обобщенных групп по направленности своего действия, продолжительности действия, способам маскировки.
Первые исследования саморазмножающихся искусственных конструкций проводились в середине XX столетия: в работах фон Неймана, Винера и др. Дано определение и проведен математический анализ конечных автоматов, в том числе самовоспроизводящихся. Основы теории самовоспроизводящихся механизмов заложил американец венгерского происхождения Джон фон Нейман , который в 1951 году предложил метод создания таких механизмов. С 1961 года известны рабочие примеры таких программ.
Термин "компьютерный вирус " появился позднее - официально считается, что его впервые употребил сотрудник Лехайского университета (США) Фред Коэн в 1984 году на 7-й конференции по безопасности информации, проходившей в США.
Существует много разных версий относительно даты рождения первого компьютерного вируса. Однако большинство специалистов сходятся на мысли, что компьютерные вирусы, как таковые, впервые появились в 1986 году, хотя исторически возникновение вирусов тесно связано с идеей создания самовоспроизводящихся программ.
Появление первых компьютерных вирусов, способных дописывать себя к файлам, связывают с инцидентом, который произошел в первой половине 70-х годов на системе Univax 1108 . Вирус, получивший название "Pervading Animal ", дописывал себя к выполняемым файлам – делал практически то же самое, что тысячи современных компьютерных вирусов.
ПРИМЕЧАНИЕ :Каждый вирус имеет собственное имя. Обнаружив новый вирус, антивирусные компании дают ему имена в соответствии с классификациями, принятыми в каждой конкретной компании, причем классификация у каждой фирмы своя.
Например , Worm.Win32.Nuf – это то же самое, что
Net-Worm.Win32.Mytob.c.
Часто название дается по некоторым внешним признакам:
по месту обнаружения вируса (Jerusalem);
методу подачи пользователю (AnnaKournikova);
эффекту (Black Friday).
Можно отметить, что в те времена значимые события, связанные с компьютерными вирусами, происходили один раз в несколько лет. С началом 80-х компьютеры становятся все более и более популярными. Появляется все больше и больше программ, начинают развиваться глобальные сети. Результатом этого является появление большого числа разнообразных "троянских коней" – программ, которые при их запуске наносят системе какой-либо вред.
Одним из "пионеров" среди компьютерных вирусов считается вирус "Brain ", созданный в 1986г. пакистанским программистом по фамилии Алви. Только в США этот вирус поразил свыше 18 тыс. компьютеров.
Вирус, заражающий 360Kб дискеты, практически мгновенно разошелся по всему миру. Причиной такого "успеха" являлась, скорее всего, неготовность компьютерного общества к встрече с таким явлением, как компьютерный вирус.
В начале эпохи компьютерных вирусов разработка вирусоподобных программ носила чисто исследовательский характер, постепенно превращаясь на откровенно вражеское отношение к пользователям безответственных, и даже криминальных "элементов". В ряде стран уголовное законодательство предусматривает ответственность за компьютерные преступления, в том числе за создание и распространение вирусов.
Первыми известными собственно вирусами являются Virus 1,2,3 и Elk Cloner для ПК Apple II , появившиеся в 1981 году . Зимой 1984 года появились первые антивирусные утилиты - CHK4BOMB и BOMBSQAD авторства Энди Хопкинса (англ. Andy Hopkins ).
В начале 1985 года Ги Вонг (англ. Gee Wong ) написал программу DPROTE CT - первый резидентныйантивирус.
Расцвет вирусов в их классическом понимании пришелся на операционную систему MS DOS и происходил в 80-е годы и в начале 90-х. В то время вирусы заражали загрузочные области накопителей на жестких и гибких дисках и исполнимые файлы. Вирусы распространялись путем переноса с компьютера на компьютер дискет, зараженных вирусами или содержащих зараженные исполнимые файлы. В своей эволюции в тот период вирусы прошли путь от простейших вирусов до шифрованных (тело вируса было зашифровано, так что сигнатура вируса менялась от экземпляра к экземпляру).
Из вирусных технологий, разработанных в тот период, необходимо также отметить следующие :
«stealth»- технологию, обеспечивавшую «невидимость» вирусов для стандартных средств, поставляющих информацию о системе;
направленность некоторых вирусов на разрушение или блокирование работы антивирусных программ на пораженном компьютере пользователя;
разработка генераторов вирусов, позволившая малоквалифицированным пользователям автоматически создавать вирусы.
Тогда же оформились основные классы двоичных вирусов :
сетевые черви (червь Морриса , 1987),
«троянские кони » (AIDS, 1989 ),
полиморфные вирус ы (Chameleon, 1990),
стелс-вирусы (Frodo, Whale, 2-я половина 1990).
Первые вирусные эпидемии относятся к 1987-1989 годам:
Zotkin.A, (более 18 тысяч зараженных компьютеров, по данным McAfee ),
Jerusalem (проявился в пятницу 13 мая 1988 года , уничтожая программы при их запуске),
червь Морриса (свыше 6200 компьютеров, большинство сетей вышло из строя на срок до пяти суток),
DATACRIME (около 100 тысяч зараженных ПЭВМ только в Нидерландах).
В пятницу 13-го мая 1988-го года сразу несколько фирм и университетов нескольких стран мира "познакомились" с вирусом "Jerusalem" – в этот день вирус уничтожал файлы при их запуске. Вместе с несколькими другими вирусами, вирус "Jerusalem " распространился по тысячам компьютеров, оставаясь незамеченным – антивирусные программы еще не были распространены в то время так же широко как сегодня, а многие пользователи и даже профессионалы еще не верили в существование компьютерных вирусов.
Не прошло и полгода, как в ноябре 1988г. появился сетевой вирус Морриса (другое название – Internet Worm ) и в течение короткого промежутка времени парализовал работу многих хостов сети Internet. Повальная эпидемия этого вируса заразила более 6000 компьютерных систем в США и практически парализовала их работу. По причине ошибки в коде вируса он неограниченно рассылал свои копии по другим компьютерам сети и, таким образом, полностью забрал под себя ее ресурсы. Общие убытки от вируса Морриса были оценены в 96 миллионов долларов.
Червь Морриса являлся самораспространяющейся программой, которая распространяла свои копии по сети Internet, получая привилегированные права доступа на хостах сети за счет использования уязвимостей в операционной системе. Одной из уязвимостей, использованных червем Моррисона , была уязвимая версия программы Sendmail (нарушение безопасности было связано с использованием нестандартной команды), а другой - программа Fingerd (в ней содержалась ошибка переполнения буфера). Для поражения систем червь использовал также уязвимость команд rexe c и rsh, а также неверно выбранные пользовательские пароли.
Данный червь является «классикой» вредоносных программ, а механизмы нападения, разработанные автором при его написании, до сих пор используются злоумышленниками.
Параллельно оформляются организованные движения как про-, так и антивирусной направленности:
в 1990 году появляются специализированная BBS Virus Exchange,
«Маленькая чёрная книжка о компьютерных вирусах » Марка Людвига,
первый коммерческий антивирус Symantec Norton AntiVirus .
Начиная с 90-х годов проблема, приобретает глобальный характер. В 1991 году появился первый генератор вирусов- VCS v.1.0 . Теперь любой желающий за 10-15 минут мог сконструировать свой вирус.
В 1992 годупоявились :
первый конструктор вирусов для PC - VCL (для Amiga конструкторы существовали и ранее),
готовые полиморфные модули (MtE, DAME и TPE);
модули шифрования для встраивания в новые вирусы.
В 1992 году появились первые конструкторы вирусов VCL и PS-MPC , которые увеличили и без того немаленький поток новых вирусов. В конце этого года первый вирус для Windows, заражающий выполняемые файлы этой операционной системы, открыл новую страницу компьютерных вирусов.
В 1992 операционная система Windows 95 была практически готова, и её beta- версию разослали 160 тестерам. Все диски были заражены загрузочным вирусом Form , и только один тестер не поленился проверить диск антивирусом. 1993 год. Вирус Satan bug поражает сотни компьютеров в Вашингтоне.
С появлением семейства операционных системы Windows в 90-х годах ситуация изменилась. Казалось, что ситуация должна улучшиться, т.к. Windows является системой более сложной структуры, в ней присутствуют некоторые механизмы защиты, а, следовательно, создавать вирусы для данной операционной системы будет труднее, чем под MS DOS. И действительно, на некоторое время количество создаваемых вирусов уменьшилось (выросло число вирусов, поражающих загрузочную запись, т.к. данный тип MS DOS вирусов был совместим с операционной системой Windows 3.1 , но уменьшилось количество файловых вирусов).
В несколько последующих лет были :
окончательно отточены стелс- и полиморфные технологии (SMEG.Pathogen, SMEG.Queeg, OneHalf , 1994; NightFall, Nostradamus, Nutcracker, 1995),
испробованы самые необычные способы проникновения в систему и заражения файлов (Dir II - 1991, PMBS, Shadowgard, Cruncher - 1993) ,
появились вирусы, заражающиеобъектные файлы (Shifter, 1994) и исходные тексты программ (SrcVir, 1994).
В этот период появился новый фактор, вызвавший бурный рост вредоносных программ. Получили широкое распространение сложные программные пакеты (самый яркий представитель – Microsoft Office), содержащие встроенные интерпретируемые языки.
Август 1995 г. один из поворотных моментов в истории вирусов и антивирусов - обнаружен первый вирус для Microsoft Word ("Concept").
Вирус Concept, первый макро-вирус (вирус, использующий интерпретатор, встроенный в прикладное программное обеспечение). Так начиналось время макровирусов. С распространением пакета Microsoft Office получили распространение макровирусы (Concept, 1995 ). С этого момента вирусы, заражающие документы Microsoft Office стали самыми популярными в мире.
В 1996 годупоявились первые вирусы для:
Windows 95 - Win95.Boza,
резидентный вирус для Win95.Boza - Win95.Punch.
После появления в 1997 году очередной версии продукта Microsoft Office, вирусы перестали быть специфичными для какого-то отдельного офисного приложения, а стали "общими" для всех продуктов семейства, вследствие внедрения в пакет встроенного интерпретируемого языка Visual Basic . Теоретически любое приложение, поддерживающее Visual Basic, может быть использовано для распространения вирусов в документах.
Таким образом, для широкого распространения макро-вирусов в настоящее имеются следующие предпосылки:
широкое распространение пакета Microsoft Office;
отсутствие механизмов защиты в макросах;
распространенность обмена информацией в файлах, созданных офисными приложениями, в почтовых вложениях между пользователями;
удобный язык для написания вирусов.
Современные макро-вирусы пытаются использовать технологии аналогичные технологиям, которые использовали вирусы для операционной системы MS DOS:
сокрытие своего тела путем перехвата обращений к пунктам меню, позволяющим просмотреть макросы в документе;
шифрование текста макроса;
борьба с антивирусным программным обеспечением.
Описанные вирусные проблемы, существовали где-то до 1998 года. А далее произошла очередная «вирусная» революция, связанная с использованием возможностей сети Internet для распространения вирусов .
На данном этапе вирусные программы начинают обладать функциями, характерными для червей, так что часто трудно четко определить, вирусом или червем является вредоносная программа.
С распространением сетей и Интернетафайловые вирусывсё больше ориентируются на Win95.Boza и Win95.Punch как на основной канал работы:
ShareFun, 1997 - макровирус MS Word , использующий MS-Mail для распространения;
Win32.HLLP.DeTroie, 1998 - семейство вирусов-шпионов ;
Melissa, 1999 - макровирус и сетевой червь, побивший все рекорды по скорости распространения
Вирус Melissa появился в мае 1999 года и поразил около 100000 хостов, подключенных к сети Internet, в том числе и в сетях, защищенных межсетевыми экранами. Вирус распространялся с помощью программы, присоединенной к почтовому сообщению. Даже если в атакуемой сети присутствовала проверка наличия вирусов в почтовых сообщениях, антивирусные средства не могли распознать сигнатуру вируса Melissa.
Кратко рассмотрим принципы работы данного вируса. Вирус Melissa нельзя классифицировать как чистый червь, т.к. для его распространения требуются действия пользователя. Для того чтобы вирус заразил атакуемый хост сети, пользователь должен был открыть присоединенный к почтовому сообщению документ с помощью программы Microsoft Word. После того, как зараженный документ открывался, вирус рассылал свою копию первым пятидесяти адресатам в книге адресов Microsoft Outlook, хранимой на хосте. Этот способ распространения являлся основным (несмотря на то, что вирус мог распространяться и в результате того, что пользователи сами передавали друг другу зараженный документ). Использование адресной книги хоста для распространения вируса увеличивало способность его распространения вследствие того, что атакуемые пользователи были склонны доверять почтовым сообщениям, поступившим к ним от известных пользователей, и открывали вложенные документы.
В январе 1999 года появился вирус Caligula, который распространялся с помощью документов Microsoft Word / 97 . Данный вирус пытался обнаружить в зараженной системе файл, содержащий информацию, используемую программой PGP. При этом для связи с нарушителем использовался сеанс ftp , инициируемый с зараженной машины, что часто позволяло обойти межсетевой экран.
Вирус Marker появился в апреле 1999 года и использовал технику аналогичную вирусу Caligula для получения информации о пользователях, работающих на зараженном хосте. Marker проверял, была ли уже заражена система, на основании проверки ключа реестра, который он устанавливал при заражении
Эру расцвета «троянских коней» открывает утилита скрытого удаленного администрирования BackOrifice (1998) и последовавшие за ней аналоги (NetBus , Phase).
Вирус Win95. CIH достиг апогея в применении необычных методов, перезаписывая FlashBIOS зараженных машин (эпидемия в июне 1998 считается самой разрушительной за предшествующие годы).
В 1998 году появились первые полиморфные Windows32-вирусы-"Win95. HPS " и "Win95. Marburg". Разработчикам антивирусных программ пришлось спешно адаптировать к новым условиям методики детектирования полиморфных вирусов, рассчитанных до того только на DOS-вирусы.
Наиболее заметной в 1998 г. была эпидемия вируса "Win95. CIH", ставшая сначала массовой, затем глобальной, а затем повальной – сообщения о заражении компьютерных сетей и домашних персональных компьютеров исчислялись сотнями, если не тысячами. Начало эпидемии зарегистрировано на Тайване, где неизвестный заслал зараженные файлы в местные Интернет-конференции.
С середины 90-х годов основным источником вирусов становится глобальная сеть Интернет.
Конец 1990-x - начало 2000-x годов ознаменовались:
усложнением ПО и системного окружения,
массовым переходом на сравнительно защищенные Windows семейства NT ,
закреплением сетей как основного канала обмена данными,
а также успехами антивирусных технологий в обнаружении вирусов, построенных по сложным алгоритмам.
В этот период вирусы стали:
1) заменять внедрение в файлы на внедрение в операционную систему (необычный автозапуск , руткиты );
2) подменять полиморфизм огромным количеством видов (число известных вирусов растет экспоненциально).
Вместе с тем, обнаружение в Windows и другом распространенном ПО многочисленных уязвимостей открыло дорогу червям-эксплоитам .
С 1999 года макровирусы начинают постепенно терять свое господство. Это связано со многими факторами. Во-первых, пользователи осознали опасность, таящуюся в простых doc - и xls-файлах. Люди стали более внимательными, научились пользоваться стандартными механизмами защиты от макровирусов, встроенными в MS Office.
В 2000 году происходят очень важные изменения на мировой "вирусной арене". На свет появляется новый тип вредных кодов – сетевые черви. В это же время появляется супервирус – "Чернобыль".
"Чернобыль" исполняемый вирус под Windows, имеющий следующие особенности:
1. Во-первых , зараженный файл не меняет своего размера по сравнению с первоначальным вариантом. Такой эффект достигается благодаря структуре исполняемых файлов Windows : каждый exe-файл разбит на секции, выровненные по строго определенным границам. В результате между секциями почти всегда образуется небольшой зазор. Хотя такая структура приводит к увеличению места, занимаемого файлом на диске, она же позволяет существенно повысить скорость работы операционной системы с таким файлом. "Чернобыль" либо записывает свое тело в один такой зазор, либо дробит свой код на кусочки и копирует каждый из них в пустое место между границами. В результате антивирусу сложнее определить, заражен ли файл или нет, и еще сложнее вылечить инфицированный объект.
2. Во-вторых , "Чернобыль " стал первопроходцем среди программ, умеющих портить аппаратные средства. Некоторые микросхемы позволяют перезаписывать данные, хранящиеся в их мини ПЗУ. Этим и занимается этот вирус.
Что такое компьютерные вирусы? Компьютерные вирусы, получившие свое название благодаря способности самостоятельно распространяться по электронным сетям и, размножаясь, наносить вред вычислительным системам, также возникли на заре развития компьютерных технологий. И если проследить историю зарождения белковых вирусов с большой долей достоверности сейчас уже не представляется возможным, ответить на вопрос, кто именно и зачем придумал компьютерные вирусы, относительно несложно. Как говорится, история не забывает своих героев. Вполне естественно, что многомиллионная армия пользователей персональных компьютеров должна помнить тех людей, благодаря которым появилось на свет такое известное сегодня каждому школьнику понятие, как компьютерный вирус.
Автором идеи первого компьютерного вируса, благодаря которой значительно позже возникла технология создания программных вирусов, принято считать американского программиста Боба Томаса. В 1971 году вычислительная лаборатория компании Bolt, Beranek and Newman, в которой работал Томас, получила заказ на разработку распределенного программного комплекса для авиадиспетчерских служб, управляющих движением пассажирских самолетов. Согласно требованиям заказчиков, входящие в комплекс программы должны были автоматически передавать управление курсом самолетов с одного компьютера на другой по вычислительной сети, отображая на экранах всех подключенных к этой сети компьютеров постоянно изменяющуюся информацию о текущем положении авиалайнеров в воздухе. Экспериментируя с системами передачи данных между различными вычислительными машинами, Томас написал программу, которую назвал «Ползуном». «Ползун» самостоятельно копировал себя с одного компьютера на другой, перемещаясь таким образом по сети, и выводил на экран каждого терминала следующее сообщение: «Я - Ползун! Если сможешь, поймай меня!». Эта небольшая программа не размножалась, как современные компьютерные вирусы, а просто «ползала» с одного сетевого узла на другой, развлекая пользователей и системных администраторов. Когда другие программисты узнали об изобретении Томаса, они принялись создавать аналогичные программы, демонстрировавшие на экранах коллег по лаборатории различные забавные фразы. Когда кому-то из специалистов Bolt, Beranek and Newman надоело бороться с бесконечно отвлекающими его от работы «Ползунами», он написал другую программу, которая в точности так же самостоятельно перемещалась по сети, но с совершенно иной целью: она вылавливала и безжалостно уничтожала всех «Ползунов», которые попадались ей на пути. Задетые за живое разработчики «Ползунов» не отставали: усовершенствовав исходный код, они научили свои программы прятаться от «убийцы» в недрах операционной системы, маскируясь под ее компоненты и необходимые для нормальной работы компьютера библиотеки. Кровавая борьба между «Ползунами» и «Киллерами» продолжалась несколько месяцев, после чего это увлечение утратило свою новизну и было заброшено, так и не получив сколь либо серьезного развития.
Однако идея Боба Томаса не была забыта. В 1975 году американский писатель-фантаст Джон Браннер выпустил фантастический роман «Оседлавший Взрывную Волну», в основу которого легла несколько видоизмененная история с «Ползунами». Книга рассказывала о компьютеризированном обществе, которым управляло с помощью глобальной электронной сети правительство диктаторов и тиранов. Программист, решивший спасти мир от диктатуры, написал программу, которую автор романа назвал «глистом»; эта программа копировала себя с одного компьютера на другой, разрушая хранившуюся в них информацию. Чтобы остановить «глиста», правительство вынуждено было отключить сеть, лишившись таким образом власти. Роман быстро стал бестселлером, сделавшись поистине культовой книгой в только зарождавшейся тогда среде компьютерных хакеров. Именно благодаря этому роману в 1980 году двое сотрудников компании Xerox, которая в те времена выпускала пользовавшиеся большой популярностью персональные компьютеры, имеющие возможность объединения в локальные сети, решили создать программу, которую по аналогии с упоминавшимся в романе Браннера детищем программиста-бунтаря назвали «Червем». Собственно, «Червь» Иона Хеппа и Джона Шока должен был нести положительную миссию: по замыслу разработчиков, перемещаясь между подключенными к сети компьютерами, «Червь» был призван проверять операционную систему на наличие скрытых дефектов и по возможности устранять их. Хепп и Шок задумали еще два варианта «Червя»: один из них предназначался для распространения объявлений, которые администратор мог направлять всем пользователям вычислительной сети, второй позволил бы гибко перераспределять ресурсы между различными объединенными в сеть компьютерами. Однако на практике все получилось совсем не так, как задумали разработчики. Запустив вечером экспериментальную версию «Червя», Хепп и Шок отправились домой. Когда утром программисты вернулись на работу, они увидели, что все компьютеры, установленные в многоэтажном здании исследовательского центра Xerox, расположенного в городке Паоло-Альто, благополучно зависли. В исходном коде «Червя» была допущена незначительная ошибка, благодаря которой программа начала бесконтрольно распространяться между различными узлами сети и блокировать их работу. Перезагрузка машин не помогала: часть входящих в сеть компьютеров была установлена в закрытых комнатах, к которым Хепп и Шок не имели доступа, и как только на перезагружаемой машине запускалась операционная система, «Червь» тут же копировал себя в ее память с другого компьютера, после чего система мгновенно выходила из строя. Отключив одну из машин от локальной сети, программисты вынуждены были экстренно создать другую программу, которая уничтожила бы взбесившегося «Червя». На полную ликвидацию последствий их совместного творчества ушло несколько дней.
Ведущий программист компании Bell Labs Боб Морриссон по признаниям коллег был лучшим специалистом в своей области, к нему часто обращались за всевозможными консультациями, в частности - в сфере безопасности компьютерных систем. Морриссон был немногословен, но нередко доказывал оппонентам свою правоту на практике. Однажды сотрудники отдела, в котором трудился Боб, несколько месяцев подряд работали над совершенствованием системы безопасности эксплуатируемой ими компьютерной сети, изобретая все новые и новые программные модули. Когда работа была закончена, они похвастались Бобу, что теперь эта сеть защищена от возможных сбоев на все сто процентов. Пожав плечами, Морриссон молча выбросил горящий окурок в стоящее поблизости мусорное ведро с бумагами, содержимое ведра мгновенно загорелось, сработала противопожарная сигнализация и льющаяся из вмонтированных в потолок лаборатории труб вода за две секунды привела всю вычислительную систему в нерабочее состояние. Тогда, в конце восьмидесятых годов, среди программистов была очень популярна игра под названием Core Wars. Игра имела встроенный язык программирования, от игрока требовалось написать на этом языке специальную «боевую программу». Предназначение такой программы было простым: уничтожить аналогичные программы соперников, отыскивая слабые места в их коде. Побеждал тот программист, чье творение продолжало работать, когда все остальные программы были повреждены или разрушены. Виртуальные баталии «боевых программ» на несколько месяцев стали «коньком» программистов из Bell Labs; это продолжалось до тех пор, пока за дело не взялся Боб Морриссон. Его «боевая программа» оказалась непобедимой: код состоял всего лишь из 30 строк, однако этот крошечный файл не просто атаковал соперников: он анализировал методы их защиты и, соответствующим образом видоизменяясь, уничтожал файл противника «изнутри», выбирая стратегию атаки исходя из его логической структуры. После этого игра Core Wars утратила всякий смысл: изобретенный Морриссоном «полиморф» не оставлял конкурентам ни одного шанса. Вскоре Боб Морриссон оставил работу в Bell и получил должность эксперта по компьютерной защите в Национальном Агентстве Безопасности США - единственной в Америке организации, занимавшейся расследованием компьютерных преступлений.
Старший сын Боба Морриссона Роберт рос тихим и скромным мальчиком, его единственной страстью были компьютеры. Уже в четырнадцатилетнем возрасте он переписал популярную у подростков компьютерную игру The Four Corners, добавив в нее множество новых функциональных возможностей, в 16 лет он стал настоящим экспертом по системе безопасности UNIX, обнаружив в «классическом» берклиевском коде этой платформы множество ошибок, которые не замедлил исправить. Однако он и сам не брезговал пользоваться обнаруженными «дырами» в защите, время от времени подключаясь к удаленным электронным сетям в поисках интересующей его информации. Это увлечение привело к тому, что вскоре в компьютерном журнале Smitsonian появился материал, в котором Роберта называли одним из наиболее известных молодых хакеров в Америке. Именно Роберт Морриссон является автором и разработчиком одной из наиболее известных реализаций протокола передачи данных UUCP - Unix-To-Unix CoPy. Обучаясь на четвертом курсе Гарвардского университета, Роберт уже читал лекции в Национальном Агенстве Безопасности США и исследовательских лабораториях военно-морского флота по безопасности операционной системы UNIX.
В качестве эксперимента Роберт решил написать программу, которая, используя обнаруженные им недоработки в созданном для UNIX протоколе FTP и программе sendmail могла бы самостоятельно распространяться между объединенными в сеть компьютерами, подобно «Червю» Хеппа и Шока, но при этом умела бы эффективно «прятаться» в операционной системе и самостоятельно размножаться. Иными словами, «Червь» Морриссона должен был объединять в себе все достоинства предыдущих попыток создания аналогичных программ. Поскольку эта разработка была всего лишь научным экспериментом, тестом на безопасность объединенных в сети компьютерных систем, Роберт заложил в код «Червя» алгоритмы, сдерживающие его распространение, никаких модулей, разрушающих файловую систему атакованных компьютеров, также задумано не было. 2 ноября 1988 года в 18.30 Роберт Морриссон подключился к компьютерам лаборатории искусственного интеллекта MIT и запустил свою программу на исполнение. Когда спустя полчаса он снова попытался подключиться к сети, чтобы проверить ход эксперимента, удаленный компьютер не ответил: благодаря закравшейся в исходный код ошибке «Червь» начал бесконтрольно размножаться, блокируя нормальную работу вычислительных систем, и вскоре вырвался из локальной сети MIT на просторы Интернета.
Программа Морриссона-младшего стала настоящим бедствием для США, в течение нескольких дней функционирование Интернета было парализовано практически полностью. Именно тогда за способность к быстрому распространению и заражению все новых и новых узлов сети журналисты впервые окрестили творение Роберта «вирусом». По различным подсчетам эпидемия поразила порядка 6000 компьютеров - около 10% всех работавших тогда в Интернете вычислительных машин, нанесенный вирусом ущерб оценивался от скромной цифры в 150 000 до значительной суммы в 75 миллионов долларов США. Вскоре к делу подключилось ФБР, однако расследование длилось недолго: Морриссон сам признался в содеянном. Пресса раздула скандал до неимоверного масштаба, особую пикантность ситуации придавал тот факт, что отец Роберта Морриссона - Боб Морриссон был одним из ведущих экспертов отдела Агентства Национальной Безопасности, занимавшегося расследованием компьютерных преступлений.
Судебное дело Роберта Морриссона было одним из первых дел по обвинению в совершении компьютерного преступления в США, до этого по данной статье под суд попал лишь известный во всем мире хакер Кевин Митник. Морриссона признали виновным и приговорили к выплате штрафа в размере 10 000 долларов и 400 часам исправительных работ. Однако слава Роберта Морриссона, получившего широкую известность благодаря созданному им вирусу, до сих пор не дает покоя сотням и тысячам хакеров на разных континентах. Последней попыткой переплюнуть создателя первого в истории человечества вируса «массового поражения» была небезызвестная программа «Мелисса», уничтожившая в общей сложности более 30 000 компьютеров. С тех пор сотням и тысячам амбициозных молодых людей, разбирающихся в программировании, рано или поздно приходит в голову попробовать свои силы в создании программы, которая, распространяясь по сети, могла бы дестабилизировать работу различных вычислительных систем. Именно их стремление к дешевой славе приносит теперь множество бессонных ночей, проведенных пользователями за восстановлением разрушенных систем, и значительную прибыль компаниям, занимающимся разработкой антивирусных программ.
Самые первые вирусы были безобидными. Это были эксперименты – типа одного из первых вирусов “Creeper”, который просто выводил сообщение “I’M A CREEPER: CATCH ME IF YOU CAN”. Их распространение ограничивалось домашними сетями (Creeper существовал на TENEX ОС). Это было в 1971 году.
Сейчас существуют миллионы вирусов, распространяющихся через интернет всякими путями – файловые раздачи, e-mail, сайты. Когда всё связано со всем, вирусы распространяются быстро. Защита от вирусов – прибыльный бизнес .
Начиналось это довольно медленно и гораздо раньше, чем можно было предположить. Первые вирусы распространялись через оффлайн – они работали с дискетами и переносились на них между компьютерами. Кто же изобрёл вирус?
Первый вирус для Mac был написан в качестве подростковой шутки. Первый вирус для PC был сделан для борьбы с пиратством.
Elk Cloner
Я шутил над сверстниками, меняя копии пиратских игр, чтобы они самоуничтожались через определённое количество запусков. Я раздавал игры, на них подсаживались, а затем она вдруг переставала работать и выдавала какой-нибудь смешной комментарий на экран (чувство юмора девятиклассника).
В итоге друзья перестали подпускать Скренту к своим дискетам. Ему перестали одалживать игры, все перестали играть в его игрушки, и т.п. Но он не угомонился. Он начал штудировать инструкции и описания, пытаясь отыскать дыру в безопасности Apple II. И он придумал способ выполнять код, не притрагиваясь к дискетам.
«Я придумал оставлять определённый след в ОС на работающем школьном компьютере. Если следующий пользователь не перезагружал комп со своего диска, его диск подвергался воздействию моего кода».
Написал он код на ассемблере , и назвал его Elk Cloner. Он стал тем, что впоследствии назвали «вирусом для загрузочного сектора». Когда неинфицированный диск вставляли в дисковод инфицированного компьютера, тот заражал диск, записывая на него копию вируса в загрузочный сектор. Этот код автоматически выполнялся при загрузке. Принося заражённый диск на другой компьютер, и загружаясь с него, человек заражал и этот компьютер копией вируса.
Вирус немного мешал работе компьютера, а на 50-й запуск вместо запуска программы выводил целую поэму на экран:
Elk Cloner: программа, обладающая личностью
Пролезет на ваши диски
Проникнет на ваши чипы
Да, это Клонер!
Прилипнет, словно клей
Оперативку вашу подправит
Пришлите Клонера скорей.
Из-за отсрочки появления программу сразу нельзя было заметить, что улучшало шансы на распространение. Эпидемия продолжалась несколько недель.
Программа добралась и до компьютера учителя Скренты , обвинившего его в проникновении к нему в кабинет. Вирус подхватили и родственники Скренты из Балтимора (сам он жил в Питсбурге), а через много лет он услышал про случай заражения компьютера, принадлежавшего какому-то моряку.
Brain
Для IBM PC стал вирус Brain. Он тоже селился в загрузочном секторе. Он был написан братьями Базитом и Амжадом Фарук Альви из Пакистана в 1986 году. Им было 17 и 24 года.
У братьев была компьютерная фирма Brain Computer Services, и вирус они написали, чтобы отслеживать пиратские копии их медицинского софта. Пиратская программа отжирала оперативку, замедляла работу диска, и иногда мешала сохранить данные. По заверениям братьев, она не уничтожала данные. Программа содержала следующее сообщение:
Welcome to the Dungeon 1986 Basit & Amjad (pvt) Ltd. BRAIN COMPUTER SERVICES 730 NIZAB BLOCK ALLAMA IQBAL TOWN LAHORE-PAKISTAN PHONE:430791,443248,280530. Beware of this VIRUS… Contact us for vaccination… $#@%$@!!
Добро пожаловать в подземелье… Берегитесь этого вируса… Свяжитесь с нами для лечения…
В заголовке были указаны реальные контакты. Когда кто-либо звонил им за помощью, они могли идентифицировать пиратскую копию. Также вирус подсчитывал количество сделанных копий.
Они обнаружили, что пиратство было широко распространено, и копии их программ распространялись очень далеко. Амжад говорит, что первый их звонок поступил из США, Майами.
Братья Альви в 2011 году
Это был первый из множества звонков из США. Проблема оказалась в том, что Brain распространялся и по другим дискетам, а не только по копиям их программы. В Университете Делавера даже случилась эпидемия этого вируса в 1986 году, а затем он появлялся и во многих других местах. Исков подано не было, но в газетах про это писали много. Создателей даже упоминали в журнале Time Magazine в 1988.
New York Times писала в мае 1988 : «Дерзкая компьютерная программа, которая в этом месяце появилась на компьютерах Бюллетеня Провиденса, уничтожила файлы одного корреспондента и распространилась через дискеты по всей сети газеты. Компьютерщики считают, что это первый случай заражения компьютерной ситемы американской газеты такой дерзкой программой, которую называют компьютерным „вирусом“.
Братьям Альви пришлось сменить телефоны и убрать контакты из поздних версий вируса. Продажи программы они прекратили в 1987 году . Их компания выросла в телекоммуникационного провайдера и сейчас это – крупнейший провайдер в Пакистане. Расположена она всё по тому же адресу.
А теперь – Chaos
Скрента в 2012 году
Скрента работал в области информационной безопасности, а сейчас он CEO компании Blekko , которая занимается поисковыми технологиями.
Хотя дискет уже давно нет, вирусы в загрузочных секторах существуют. Теперь они работают с USB-флешками. Поскольку физические носители всё меньше используются для переноса данных, что дни загрузочных вирусов сочтены.
Война с вирусами переместилась в онлайн. Скрента сказал в интервью : „Грустно, что существует такая большая индустрия антивирусов. Надо делать более защищённые системы, а не организовывать многомиллионную индустрию, чтобы подчищать существующие“.
Скрента и братья Альви не чувствуют вины за то, что начали адское шествие вредоносных программ по миру. „Джин в любом случае выбрался бы из бутылки, - написал Скрента в блоге ,– мне было интересно быть первым, кто его выпустил“.
