Сигнатура вируса — определенная последовательность байт-кода и его контрольная сумма, характерная для того или иного вируса.
Любая антивирусная программа, по сути, является автоматизированным средством для борьбы с вирусами. Для того чтобы проводить анализ алгоритма работы вирусов, требуются глубокие познания в области работы операционных систем и программирования. Разработчики современных вирусов всеми силами стараются усложнить процесс их обнаружения и применяют различные методы маскирования и защиты копий своих вирусов.
Многие вирусы создают свои копии не методом простого копирования своего тела, а применяют сложные алгоритмы, основанные на случайных числах, что позволяет им избежать появления в двух копиях вируса одинаковой последовательности байт. Вследствие чего, анализ таких вирусов становится крайне затруднительным.
Вирус, создавая свою копию, может применять следующие технологии:
• Шифрование. Вирус, использующий шифрование своего тела, состоит из двух функциональных частей: собственно тела, и шифратора. Каждая новая копия такого вируса также будет содержать шифратор, случайный ключ и вредоносного кода, зашифрованного при помощи этого ключа.
• Метаморфизм. Вирусы, которые используют метод метаморфизма, заменяют часть кода в каждой своей копии на эквивалентный. Возможна также перестановка отдельных блоков и добавление между участками кода «заглушек», которые практически ничего не выполняют.
Таким образом, сочетание этих технологий привело к появлению трех типов вирусов:
• Шифрованный вирус. Этот тип вируса использует только шифрование своего тела при помощи случайного ключа и неизменного шифратора. Такие вирусы легко поддаются обнаружению, благодаря наличию шифратора, байт-код которого одинаков во всех копиях вируса.
• Метаморфный вирус. Вирусы этого типа не используют никакого шифрования. Вместо этого они используют метаморфизм для того, чтобы не допустить появление одного и того же кода в своих копиях.
• Полиморфный вирус. Данный тип вируса уникален тем, что использует метаморфный шифратор, при помощи которого шифрует свое тело при помощи случайного ключа. Более того, создавая новые свои копии, вирус также может менять и алгоритм шифрования своего тела.
В последнее время все больший процент заражения компьютеров приходится на червей, основную часть из которых занимают почтовые. Реже встречающиеся, но более заметные интернет-черви способны вызвать целые эпидемии в сетях. Благодаря быстрому проникновению в сети, они расползаются большими масштабами по всемирной паутине. P2P и IRC черви составляют незначительную часть на общем фоне и, как правило, являются альтернативными каналами для проникновения других видов червей.
По методу активации, можно также выделить несколько групп вредоносных программ:
• К первой группе относятся вредоносные программы, для активации которых необходимо активное участие пользователя.
• Ко второй группе относятся вредоносные программы, для активации которых не требуется участие пользователя, либо оказывается вполне достаточным лишь пассивного его участия.
Группа вредоносных программ, которым для активации не требуется активное участие пользователя, используют в своей работе существующие, или искусственно созданные бреши в системе безопасности компьютера. Благодаря таким брешам, вредоносные программы способны с высокой скоростью распространяться по корпоративным или частным локальным сетям, и могут привести к существенному увеличению нагрузки на каналы связи, или даже полностью парализовать сеть.
Пассивным участием пользователя является, например, просмотр пользователем почтовой корреспонденции при помощи почтового клиента, когда пользователь не открывает приложенные к письмам файлы. Но его компьютер, тем не менее, оказывается зараженным.
К активному участию пользователя для активации червя приводит введение пользователя в заблуждение. В основном, это метод подачи текста письма, содержащего в себе червя. Это может быть письмо с адреса знакомого, компьютер которого уже заражен данным червем, сообщением почтовой службы и т.д.
