IZONE - http://www.izcity.com/ - бесплатный софт, вэб-сервисы, ресурсы для раскрутки, свежие номера журнала "Internet Zone".

 IZONE 


Компьютерный убийца. Вирус Win95.CIH

Subfire 

Вирус – информационный убийца. Он может стереть все ваши тексты, картинки, музыку. Он может убить вашу операционную систему. Но он не может сделать неработоспособными ваши устройства. Так ли это? Нет. Вирус совершенен. Вот он, компьютерный убийца – CiH95 aka Чернобыль.

Для тех, кто с ним не знаком, немного истории. Обнаружен в живом виде вирус был где-то в июне 1998 года на Тайване, где автор монстра заразил компьютеры в местном университете. Вскоре вирус проник за пределы сети университета, плодясь и размножаясь по всему миру до 26 апреля 1999 года, когда он “грохнул” несколько сотен тысяч компов по всей земле.

А начиналось все прозаично. Некий студент некого университета Тайваня написал новый вирус, которому было даровано имя “CIH”. А дата рождения нового зверька – 26 апреля 1998 года. Пока эта зверушка довольно безобидна – все что она делает, так это только заражение файлов. Однако не все так просто. Писать вирусы под Dos и под Windows дела абсолютно разные, и кажу лишь только то, что Windows – система работающая в защищенном режиме.

Для начала нужно знать, что вирусы бывают резидентными и нерезидентными. Нерезидентные вирусы работают только тогда, когда вы запускаете зараженную программу. То есть в тот момент, когда вы запустили зараженную программу, вирус тут же заражает остальные файлы, например, все EXE и COM файлы в текущем каталоге. После чего (хотя может и до того – все зависит от автора) вирус выполняет какие-либо дополнительные функции, например, выводит текст “Ваш компьютер заражен вирусом ГРИП_2000”, или уничтожает всю информацию. Опять же все зависит от фантазии и настроения автора.

И только затем управление передается собственно зараженной программе. Вирус становится неактивным и снова начнет работать только при запуске зараженной программы. Т.е. все остальные файлы, с которыми вы будете работать далее останутся здоровыми до тех пор, пока вы не запустите нездоровый файл.

Резидентные вирусы более сложные и совершенные. При первом запуске вируса на незараженной машине вирус ее собственно заражает. Причем так, что он запускается каждый раз при запуске системы. Сделать это можно по разному – поставить его в автозагрузку (autoexec.bat, config.sys…), поразив MBR винчестера либо BOOT Record системного диска, или заразив один из системных файлов (например command.com).

Стартовав, резидентный вирус обычно не разменивается на сиюминутное заражение всяких фалов. Он просто остается РЕЗИДЕНТНЫМ. Это значит, что он передает управление следующей задаче, сам при этом оставаясь в памяти, и получает управление только при определенных условиях. Например, при выполнении любых операций с файловой системой – созданием, копированием файлов и т.д. Так что можете быть уверены: все программы, с которыми вы работали в этот день, прошли через лапы этого сторожа.

Но как вирус узнает, что вы работаете с какой-то программой? Все очень просто. Все операции ввода-вывода (в том числе и работа с файловой системой и запуск программ) выполняют путем вызова соответствующего прерыванию операционной системы (DOS) или BIOS. Dos вирусам для того, чтобы заражать программы, которые вы копируете или запускаете, требовалось перехватить соответствующие прерывание так, чтобы при каждый раз при выполнении этой процедуры также выполнялся и код заражения.

Прерывание – это вроде небольшой программки. В общем случае эти программки служат для облегчения кодирования часто повторяющихся функций, а также избавляют от необходимости разбираться в деталях работы некоторых устройств. Например, для того чтобы вывести на экран строку, можно вызвать прерывание int 21, функция 9, передав ему в качестве параметра адрес этой строки. И нам совершенно неважно, на каком оборудовании выполняется эта программа и каким образом эта строка попадает в память видеокарты.

С Windows вирусами все по-другому. Из под Windows мы не можем перехватить прерывание. Но мы можем перехватить вызов API функции файловой системы, и опять таки завладеть возможностью заражения запускаемых или копируемых программ.

Однако, для того, чтобы это все провернуть под Windows программа должна иметь специальные привилегии RING-0, в то время как обычные программы имеют привилегии 3. Обычно, пролезание на ring-0 достигается путем помещения в директорию Windows VXD файла (файл драйвера виртуального устройства) и соответствующей ссылкой на него в system.ini. Однако наш вирус делает это необычным и оригинальным способом, путем модификации таблицы дескрипторов прерываний – IDT. Таким образом, WIN CIH стал одним из первых резидентных вирусов для Windows.

Copyright © Россия-Он-Лайн (тм)
Источник: http://www.online.ru/

 


Copyright © "Internet Zone"info@izcity.com
Копирование и использование данных материалов разрешается только в случае указания на журнал "Internet Zone", как на источник получения информации. При этом во всех ссылках обязательно явное указание адреса вэб-сайта http://www.izcity.com/. При наличии у копируемого материала авторов и источника информации - их также нужно указывать, наряду со ссылкой на нас.