Жанр: Учеба
Компьютерная вирусология ч. 1
...ментов по его распространению
(см. сокращенную стенограмму выступления А.А.Чижова
на семинаре, приведенную в бюллетене СОФТПАНОРАМА 90-3). В ходе
этих экспериментов автором была выявлена чрезвычайно большая скорость
распространения вируса. По материалам этого исследования в
1988 г. была опубликована первая русскоязычная статья по данной
проблематике [Чижов88] (журнал был подписан в печать 26.07.88,
т.е. во время проведения в CCСР Международного детского компьютерного
летнего лагеря — см. ниже). Хотя в ней не приводились сведения
о конкретных вирусах в MS DOS (А.А.Чижов "живыми" экземплярами
вирусов в тот момент не располагал), статья содержала полезные
сведения о механизме работы этого типа программ и предупреждала о
серьезности данной угрозы. В то же время публикация имела и отрицательные
последствия, поскольку ввела в оборот "фантомные" на тот
момент типы вирусов, которые с тех пор кочуют по отечественным
публикациям ("вирус в объектной библиотеке", "вирус в сетевом
драйвере" и др.). Кроме того, неконкретность рекомендаций исключала
принятие каких-то полезных профилактических мер, а призывы автора
к соблюдению авторских прав носили в определенной мере морализаторский
характер. Статья была замечена специалистами в Польше
(которые, кстати, отметили потенциальную опасность статьи, как пособия
по разработке новых типов вирусов) и, возможно, других странах
Восточной Европы.
Первый компьютерный вирус (С-648 по приводимой ниже классификации)
появился в СССР приблизительно в августе 1988 г. Этот вирус,
часто называемый венским вирусом (по предполагаемому месту его
разработки), вызывал перезагрузку операционной системы при запуске
некоторых из пораженных им программ. Одним из первых мест, где он
был обнаружен, являлась лаборатория Института программных систем
(Переславль-Залесский). Возможно, он попал в лабораторию во время
проведения институтом (совместно с ЮНЕСКО) Международного детского
компьютерного летнего лагеря. Поскольку этот вирус к середине
1988 г. был уже довольно распространен в странах Западной Европы,
он несомненно завозился в СССР неоднократно, c различного рода новыми
версиями программного обеспечения и компьютерными играми. В
Киеве этот вирус появился в конце 1988 г. Наибольшее распространение
он получил примерно в апреле 1989 г., после чего его эпидемия
пошла на убыль, что прежде всего связано с достаточной распространенностью
средств защиты от этого вируса. Одним из переносчиков
этого вируса в Киеве был адаптированный вариант программы SideKick
(шестерка). К сожалению, по стране распространяется реконструированный
одним венским программистом исходный текст данного вируса,
с довольно подробными комментариями. Этот текст, в частности, был
включен В.Бончевым в его так называемую "вирусную" дискету,
распространявшуюся вместе с разработанным им пакетом антивирусных
программ. Наличие исходного текста создает благоприятные условия для
появления штаммов. И, действительно, данный вирус имеет, пожалуй,
наибольшее часло штаммов из нерезидентных файловых вирусов. (см.,
например, описания вирусов С-534 и С-623).
Вторым вирусом, попавшим в СССP, был вирус RC-1701. Данный вирус
вызывал довольно интересный эффект "опадания" букв на экране монитора.
Этот вирус также имеет западноевропейское происхождение. В
СССР впервые был выделен в Институте прикладной математики имени
М.В.Келдыша АН СССР. B Киеве появился в начале 1989 г. Средства
защиты появились примерно одновременно с вирусом, поэтому существенного
вреда вирус не нанес. Первым средством защиты от данного
вируса в Киеве была немецкоязычная (австрийская) программа SERUM3,
которая могла работать как в режиме фага, так и в режиме детектора.
Среди первых отечественных программ, применявшихся на начальной
стадии эпидемии, следует отметить детектор В.Ладыгина (ИПМ АН
СССР) VIRUS_D1.
Попытки программистов организоваться для борьбы с этой новой
разновидностью системных программ относятся к началу 1989 г. Так,
12 апреля 1989 г. в Киеве в рамках семинара "Системное программирование"
было проведено первое специализированное заседание по антивирусной
тематике. В дальнейшем выступления по этой теме стали
регулярными и было проведено еще несколько специальных заседаний,
посвященных защите от вирусов. Они сыграли определенную роль в сокращении
случаев заражения компьютеров и ликвидации эпидемий вирусов
C-648, RC-1701, и в особенности RC-1813, масштаб эпидемии которого
в Киеве был наибольшим. Кстати, этот вирус хорошо прошелся
по СССР, реально показав, насколько "невооруженные" пользователи
уязвимы от этой новой для них опасности: сотни, если не тысячи часов
были потеряны на переформатирование винчестеров и выгрузки архивных
копий в надежде избежать повторного заражения. С сентября
1989 г. семинаром "Системное программирование" был организован выпуск
электронного бюллетеня СОФТПАНОРАМА, который стал важным каналом
распространения информации о появлении новых компьютерных
вирусов и бесплатных программах для борьбы с ними. Список программ,
распространявшихся через бюллетень, приведен в прил. 5. В
том же месяце начала распространяться версия 1.0 данной работы.
Первые случаи потери важных данных от компьютерных вирусов стали
известны автору в конце 1989 г., когда к нему обратился представитель
оптовой базы, у которого, как оказалось, базы данных о хранимых
запасах были повреждены вирусом RCE-1800 (Dark Avenger). Периодически
автору поступают сообщения о полностью уничтоженном содержимом
винчестера, причем характер повреждений не позволяет достоверно
установить, имеем ли мы дело с вирусом или с тщательно
замаскированной троянской программой (например, подозревается одна
версия COLORCAM со сломанной, но как видно, не до конца, защитой),
или с выходом из строя самого винчестера. При этом, однако, бросается
в глаза тот факт, что примерно у половины пользователей к моменту
потери содержимого винчестера не существует его более или
менее "свежей" копии. Вот уж действительно прав был Бернард Шоу,
сказав: "Опыт содержит самую дорогую школу, однако многие, похоже,
не способны учиться ни в какой другой". В конце 1989 г. в Донецке
была обнаружена троянская программа в составе "нелегальной" копии
известной игры FORMULA. Эта программа переписывала себя в загрузочный
сектор винчестера и через некоторое время стирала CMOS-память.
1.2.8. Отечественные антивирусные публикации
"-- Вот что, товарищи, — говорил
Паламидов, поспешая вместе
с братьями по перу в столовую, --
давайте условимся — пошлых
вещей не писать"
И.Ильф и Е.Петров.
На первой отечественной публикации, посвященной компьютерным вирусам,
мы уже останавливались. Практически по следам событий, сразу
после появления вирусов С-648 и RС-1701, был написан целый ряд
статей, однако большой срок запаздывания журнальных изданий сыграл
очень негативную роль, задержав их выход в свет настолько, что к
моменту получения читателями содержащаяся в них информация в значительной
степени устарела. Написанные еще в конце 1988 г., все
они вышли только в конце 1989 г. К этому моменту эпидемии вирусов
C-648 и RC-1701 практически закончились. Среди указанных публикаций
следует отметить статью И.Ш.Карасика [Карасик89а], в которой
впервые подробно изложены сведения о механизме работы и эффектах,
вызываемых вирусами С-648 и RС-1701. Несмотря на значительное запаздывание
(третий номер журнала "Мир ПК" был подписан в печать
11.07.89 и появился в продаже в декабре 1989 г.), уровень понимания
механизма работы вируса RС-1701 выделяет эту работу из остальных
публикаций.
В настоящее время поток публикаций по данной тематике существенно
возрос и статьи стали появляться практически ежемесячно. Следует
отметить, что сроки публикации в отечественных журналах и сегодня
остаются крайне неудовлетворительными. Например, статья
А.С.Осипенко [Осипенко90], написанная в конце 1989 г., была опубликована
только в третьем номере журнала "Мир ПК" за 1990 г., причем
этот номер поступил в продажу лишь в августе, т.е. опять же
когда эпидемии вирусов, описываемых в статье, практически закончились.
Как обычно, среди основной массы "нормальных" публикаций, встречаются
и неудачные. К ним можно отнести брошюру [Основский90], содержащую
пересказ различных слухов (о вирусе, вводящем в резонанс
головки винчестера, вирусе типа "квадрат Малевича" длиной 3767
байт, сетевом вирусе длиной 2231 байт, самораскручивающемся в оперативной
памяти вирусе размером 1201 байт и др.). Приведенные в
брошюре сведения породили новые слухи, рассматриваемые в разделе
о мифических вирусах.
Обилием спорных утверждений и излишней категоричностью грешит
статья Ф.Н.Шерстюка [Шерстюк90], в которой реализация достаточно
ограниченного по своим возможностям метода защиты от вирусов, выдается
за панацею. Достоинством статьи является то, что в ней
впервые в отечественной литературе описана реализация нерезидентной
вакцины, прикрепляющейся в конец тела программы, подобно обычному
файловому вирусу. Вместе с тем, в статье допушен ряд (вполне
простительных) технических ошибок, связанных с недостаточным пониманием
механизма использования 13 прерывания версиями 3.x и 4.x MS
DOS, а некоторые по меньшей мере спорные утверждения выдаются за
непререкаемые истины. К числу последних, в частности, относятся:
"вирусы ... разрабатывают даже в кругах, близких к таким крупным
фирмам-разработчикам ПК, как IBM, в целях борьбы с фирмами, производящими
компьютеры-клоны";
"практика показывает, что именно специализированные антивирусные
программы (имеются в виду полифаги — БНН) чаще всего являются разносчиками
вирусов";
"все имеющиеся на сегодняшний день методы борьбы с вирусами
практически исчерпали себя, необходимо разработать принципиально
новые".
Первое утверждение, вынесенное в аннотацию статьи, автор ничем
не обосновывает. А доказательств причастности "кругов, близких к
фирме IBM" к разработке вирусов не существует, если, конечно, не
считать такими кругами всех пользователей компьютеров, совместимых
с IBM PC. Если В.Ф.Шерстюк имел в виду особенность вируса RС-1701,
состоящую в том, что этот вирус не должен был размножаться на оригинальных
IBM PC (кстати, в этом месте автор вируса допустил ошибку
и вирус успешно размножается на таких компьютерах), то этот
факт скорее свидетельствует об обратном, т.е. о страхе автора вируса
перед такой могущественной фирмой как IBM.
Второе утверждение уже принципиально неверно, т.к. создает у читателей
ложное впечатление об опасности полифагов. Во-первых, к
моменту написания статьи полифаги уже стали снабжаться средствами
самоконтроля на зараженность (например, Aidstest), а во-вторых,
компьютерные игры были и остаются куда более опасным источником
заражения, чем фаги.
Особенно характерно последнее утверждение, которое можно считать
своего рода лакмусовой бумажкой "детской болезни левизны в вирусологии".
В действительности предлагаемый автором метод имеет не менее
серьезные недостатки, чем те методы защиты, которые он якобы
призван заменить. В частности, принципиальными недостатками описанного
метода вакцинирования является потеря дискового пространства
(размер всех выполняемых файлов увеличивается на размер вакцины,
который скорее всего составит порядка 512 байтов, т.е. сектора
диска), а также возможная потеря работоспособности некоторых
вакцинированных резидентных программ или программ со специальной
структурой (скрытыми оверлеями и др.). Вместе с тем, в комбинации
с другими методами этот метод безусловно полезен и имеет право на
существование.
С другой стороны, некоторые авторы стремятся повысить свой авторитет
за счет пренебрежительных высказываний о других публикациях
и разработанных антивирусных программах. Здесь также необходимо
чувство меры. Критика уровня "... - продажная девка империализма",
начинающаяся и заканчивающаяся утверждениями о том, что оппонент
просто глуп, не утруждающая себя приведением доказательств является
таким же проявлением нашей отсталости, как и выпускаемые нашей
промышленностью ПЭВМ.
1.2.9. Первые отечественные антивирусные программы, начало форми-
рования рынка программных средств
защиты от вирусов
"Please do not shoot the pianist.
He is doing his best"
Надпись в американском баре;
приписывается также О.Уайльду
"А борьба на всем пути
В общем равная почти"
В.Высоцкий
Разработка первых отечественных антивирусных программ — детекторов
(программ, обнаруживающих вирус) и фагов (программ, "выкусывающих"
вирус) — началась еще в 1988 г. Из полифагов, сыгравших
значительную роль на начальном этапе, следует отметить программу
Aidstest Д.Н.Лозинского, Doctor А.А.Чижова и ANTI-KOT О.Котика.
Причем программа ANTI-KOT быстро стала коммерческой и практически
не принимала участие в борьбе с вирусами, начиная с осени 1989 г.,
а программа Doctor по этой же причине "выпала из игры" в важный
период сентября — декабря 1989 г. Дольше всего бесплатно распространялась
программа Aidstest, которая с осени 1989 по лето 1990 г.
была самой популярной отечественной антивирусной программой. Однако
к маю 1990 г. Д.Н.Лозинский настолько устал от звонков пользователей,
что решил "уйти в профессионалы", хотя, по его словам,
ему было бы достаточно секретаря, отвечавшего на непрерывные телефонные
звонки. Коммерческие версии до октября 1990 г. были достаточно
дорогими и значимость Aidstest для "широких кругов" пользователей
резко упала. Однако, начиная с октября незащищенная от копирования
версия Aidstest стала распространяться по цене 3 руб.
для частных лиц (т.е. практически как SHAREWARE) и, возможно, быстро
обретет былую популярность. Среди полифагов, распространяющихся
бесплатно, одним из лидеров стала программа Кхх Е.Сусликова
(после буквы "К" в имени этой программы обычно стоит количество
"выкусываемых" вирусов, например К41). Конечно, положение, когда
пользователи предпочитают антивирусные программы, распространяющиеся
бесплатно, можно оценивать по-разному.
Подобно тому, как рост преступности порождает повышенный спрос
на замки и другие средства защиты, изготовители программного обеспечения
и компьютерного оборудования предпринимают попытки использовать
ситуацию для завоевания рынка. В настоящее время общее количество
антивирусных средств наверное в несколько раз превышает
общее количество известных компьютерных вирусов. Только в нашей
стране разработаны десятки, если не сотни коммерческих программ
для этой цели. Цены на такого рода продукты колеблются примерно от
300 до нескольких тысяч рублей с типичной ценой в 1000 руб. за пакет.
Как правило, коммерческое программное обеспечение распространяется
защищенным от копирования и требует для своей работы либо
инсталляции на винчестер со специальной дистрибутивной дискеты,
либо работы непосредственно с поставляемой оригинальной дискетой.
Это создает некоторые неудобства при архивировании или переразметке
винчестера.
В связи с тем, что рынок как таковой еще не сложился, цены, устанавливаемые
разработчиками, как правило, совершенно не связаны с
качеством соответствующего программного продукта (иногда даже
встречаются случаи продажи по принципу "толкни и убегай"). Довольно
часто программное обеспечение для защиты от вирусов, распространяемое
за меньшую цену или даже бесплатно, обладает сопоставимыми
или лучшими характеристиками. Эта ситуация характерна как для
отечественных, так и для зарубежных средств защиты от вирусов, что
свидетельствует о незрелости данной "отрасли". Кроме того, лишь
немногие продукты сочетают защиту от вирусов со средствами
резервирования информации или защитой от несанкционированного
доступа, а именно такие интегрированные системы представляют, повидимому,
наибольшую ценность для пользователей.
1.2.10. Появление аппаратных средств
защиты от вирусов
Изготовители компьютерного оборудования не так активно включились
в "охоту на вирусы", как изготовители программного обеспечения.
Тем не менее ряд продуктов доведен до уровня коммерческих и
продается потребителям. Предлагаемые аппаратные средства защиты,
как правило, представляют собой специальные платы. Однако в конце
1988 г. фирма American Computer Security Industries, Нэшвилл, шт.
Теннеси, США, представила "первый надежно защищенный противовирусный
компьютер", класса PC AT, названный "Immune System" ("Иммунная
система"). Система якобы обладает иммунитетом от вирусной атаки, а
также полным набором средств, предохраняющих MS DOS и BIOS от несанкционированных
изменений (Computer Age, январь 1989 г., см.
также Personal Computing, 1989, • 5, р. 92).
Из зарубежных плат, повышающих степень защищенности компьютера,
отметим плату Immunetec PC фирмы Зевс (Zeus Corp., 538 Pasadena
Dr., Akron OH 44303-1704, USA; (216) 867-8181), стоимостью 295
долларов. Эта плата тестирует бутсектор и системные файлы MS DOS
на наличие несанкционированных изменений, а также позволяет запретить
загрузку системы с дискеты, установить паспорта и уровни доступа
к винчестеру. Плата совместима с сетями Novel, 3Com и IBM
Token Ring [Personal Computing, 1989, • 5, р. 92]. Аналогичная
плата Trispan фирмы Микроникс (Micronics Inc., 1901 N Central
Expressway, Richardson, TX 75080, USA; (214)690-0595) стоит 895
долларов.
Из советских разработок интерес представляет плата PORT WATCH
CARD донецкой фирмы БИС (см. прил.5), совместимая с популярными
сетями. Работая вместе с разработанной А.Водяником резидентной
программой IWP (Intellectual Write Protector), эта плата достаточно
надежно перекрывает возможные пути инфекции, позволяя, в частности,
аппаратно блокировать загрузку, если пользователь не указал
требуемый пароль. Следует отметить, что загрузка с собственной дискеты
— стандартный прием проникновения в чужой компьютер любителей
компьютерных игр, да и не только их.
Принцип действия IWP основан на усилении присваиваемого файлам
атрибута READ_ONLY в сочетании с защитой системных блоков, включая
MBR и бутсектор. Защищаемые файлы отмечаются специальной утилитой
MAP.EXE, устанавливающей защищаемым файлам указанный атрибут и создающей
в файле _IWP_.MAP в корневом каталоге шифрованный список
элементов каталога защищаемых файлов и цепочки его кластеров в
FAT. При загрузке IWP считывает этот список, перехватывает попытки
записи через драйвер диска и анализирует их. При выявлении противоречий
выдается сообщение и опасная запись блокируется. Запись и
форматирование через прерывание 13h запрещаются, если они выполняются
не из драйвера диска, a из других программ. Вывод в порты
контроллеров дисков — если он выполняется не из BIOS по прерыванию
13h. Используя плату Port Watch Card, IWP контролирует запись
в CMOS-память (порт 71h) и опасные действия с портами контроллеров
дисководов дискет (370h..377h, 3F0h..3F7h) и винчестера
(170h..177h, 1F0h..1F7h — PC AT; 320h..32Fh — PC XT).
Недостатком существующей IWP является значительный объем используемой
оперативной памяти (порядка 30К при защите винчестера 40M).
Правда, разработчики предлагают специальный драйвер, имеющий и самостоятельное
значение, расширяющий ОЗУ на 80K, если на компьютере
установлена карта EGA (несколько больше для карт CGA и Hercules)
за счет неиспользуемой в текстовом режиме видеопамяти. Планируется
разработка новых версий платы с IWP, записанной в ROM платы.
1.2.11. Семинар "Системное программирование"
и бюллетень СОФТПАНОРАМА
Отсутствие сетей и изолированность отечественных программистов
друг от друга также явилось фактором, способствовавшим распространению
вирусов по нашей стране. Как уже указывалось, первые попытки
организовать обмен информацией по "антивирусной" тематике и распространение
антивирусных программ относятся только к апрелю
1989 г. Так, в Киеве 13.04.90 состоялся тематический семинар, полностью
посвященный проблеме компьютерных вирусов. Программа этого
семинара включала сообщения по четырем типам вирусов (С-648, RC1701,
RCE-1813 и Bx1-1C (Ping-Pong)) и большую дискуссию. Начиная
с этого семинара, среди участников стали распространяться лучшие
антивирусные программы, а с сентября 1989 г. начал выходить ежемесячный
бюллетень COФТПАНОРАМА. В настоящее время с формата 360К
бюллетень перешел на формат 720К, приблизительно треть из которых
выделяется под новые версии антивирусных средств и текущую информацию
о компьютерных вирусах.
1.2.12. Болгарские и польские исследования
Из исследований, проведенных в странах Восточной Европы, следует
отметить польские и болгарские публикации. Лидером среди авторов
болгарских публикаций на рассматриваемую тему является В.Бончев.
Этим, безусловно очень способным исследователем, была опубликована
одна из первых статей по вирусу С-648 [Бончев89а], а через
некоторое время большая статья [Бончев89б], перевод которой был
включен во второй выпуск бюллетеня COФТПАНОРАМА. Несмотря на ряд
допущенных ошибок и неточностей, в ней были приведены актуальные
на тот момент сведения о вирусах группы ТР (автор лично знаком с
техно-крысой, разработавшей эту группу). В статье также очень мягко
трактовался вопрос об ответственности за разработку и распространение
вирусов. Возможно это связано с тем, что в это время автор
сам распространял дискету с рядом вирусов и их исходными текстами.
Хотя мотивом служило, по-видимому, желание показать, что в компьютерных
вирусах нет ничего таинственного, эта "ошибка молодости"
возможно послужила одной из причин последовавшего в 1990 г. "болгарского
вирусного взрыва" (см. ниже). Вместе с тем, статьи Бончева
были важным источником информации о распространяющихся в СССР
вирусах и несколько облегчили борьбу с ними. Сейчас уже можно говорить
о серии "околовирусных" статей В.Бончева в журнале "Компютър
за вас", причем уровень последних статей существенно превосходит
уровень первых. Последнее время В.Бончев стал активно участвовать
в электронной конференции FIDO, посвященной компьютерным
вирусам.
Вместе с тем, в статьях В.Бончева наблюдается определенный "перекос"
в сторону раскрытия механизма работы вирусов по сравнению с
методами защиты от них, что, в общем, соответствует интересам
В.Бончева, как ведущего рубрики. Отметим, что этот перекос несколько
компенсируется тем, что В.Бончев является также автором
ряда бесплатно распространяемых фагов, которые помимо Болгарии,
получили определенное распространение и в СССР. Однако с точки
зрения влияния на читательскую аудиторию, указанная несбалансированность
редакционной политики вызывает сожаление. Поэтому роль
указанных статей можно оценить как несколько противоречивую. Впрочем
автор сознает, что подобная критика может быть высказана и по
отношению к его собственной работе.
Помимо В.Бончева, ряд статей по данной тематике опубликовал болгарский
исследователь С.Недков [Недков89а-Недков90а, Nedkov89] и
польский исследователь А.Кадлоф [Кадлоф90, Kadlof89].
1.2.13. Законы, направленные против техно-крыс
"Много ли желающих получить
действительно по заслугам ?"
С.Крытый. ЛГ • 33 (16.08.89)
Вирусы, как и троянские программы, создаются конкретными программистами.
Хотя дальнейшее обсуждение будет в основном техническим,
не следует забывать, что ключевым аспектом проблемы является
появление техно-крыс — новой разновидности уголовников, использующих
для своих целей возросшую степень анонимности, достижимую с
появлением ПЭВМ и сетей. Поэтому важным аспектом борьбы с компьютерными
вирусами становится выявления личности преступника или
преступной группы, создающей или распространяющей компьютерные вирусы.
Руководитель американской специальной группы по изучению
компьютерных преступлений, Кирк Тэбби, занимающий пост помощника
прокурора в Эн-Арборе (шт. Мичиган) заявил: "Уголовное дело можно
возбудить всегда, когда существует человек, совершивший преступление.
Незаметное внедрение вируса в программу является злонамеренным
действием, а создание подобной программы — преступлением" (The
Computer Law and Security Report. — 1989. — V.5. — No. 1 — H.1821).
Уголовная ответственность может сочетаться с иском за нанесенный
ущерб.
К концу 1989 г. в ряде стран (США, Великобритания, ФРГ) находятся
на рассмотрении законы, предусматривающие для разработчиков и
распространителей компьютерных вирусов значительные сроки тюремного
заключения (в США до 15 лет). Это позволит, помимо программных
и организационных мер, применять для борьбы с вирусами и правовые
методы. В частности, в палате представителей Конгресса США внесены
билль 55 (Virus Eradiation Act) и билль 287 (Computer Protection
Act) [Crawford89].
Выдержки из билля 287 (перевод Н.Н.Безрукова)
(А) Любой, кто сознательно или умышленно саботирует надлежащее
функционирование аппаратуры компьютерной системы или связанного с
ней программного обеспечения и тем самым вызовет потерю данных,
затруднения при работе ЭВМ, убытки или вред владельцу компьютера,
должен быть оштрафован — или подвергнут тюремному
...Закладка в соц.сетях
