---

История компьютерных вирусов от древности до наших дней

конец 1960 - начало 1970-х

На мейнфреймах этого времени периодически появлялись программы, которые получили название "кролик" (the rabbit). Эти программы клонировали себя, занимали системные ресурсы и таким образом снижали производительность системы. Скорее всего "кролики" не передавались от системы к системе и являлись сугубо местными явлениями - ошибками или шалостями системных программистов, обслуживавших компьютер. Первый же инцидент, который смело можно назвать эпидемией "компьютерного вируса", произошел на системе Univax 1108. Вирус, получивший название "Pervading Animal", дописывал себя к выполняемым файлам - делал практически то же самое, что тысячи современных компьютерных вирусов.

первая половина 1970-х

Под операционную систему Tenex создан вирус "The Creeper", использовавший для своего распространения глобальные компьютерные сети. Вирус был в состоянии самостоятельно войти в сеть через модем и передать свою копию удаленной системе. Для борьбы с этим вирусом была создана программа "The Reeper" - первая известная антивирусная программа. Начало 1980-хКомпьютеры становятся все более и более попуярными. Появляется все больше и больше программ, авторами которых являются не софтверные фирмы, а частные лица, причем эти программы имеют возможность свободного хождения по различным серверам общего доступа - BBS. Результатом этого является появление большого числа разнообразных "троянских коней" - программ, которые при их запуске наносят системе какой-либо вред.

1981

Эпидемия загрузочного вируса "Elk Cloner" на компьютерах Apple II. Вирус записывался в загрузочные сектора дискет, к которым шло обращение. Проявлял он себя весьма многосторонне - переворачивал экран, заставлял мигать текст на экране и выводил разнообразные сообщения.

1986

Пандемия первого IBM-PC вируса "Brain". Вирус, заражающий 360Kб дискеты, практически мгновенно разошелся по всему миру. Причиной такого "успеха" являлась скорее всего неготовность компьютерного общества к встрече с таким явлением, как компьютерный вирус.

Вирус был написан в Пакистане братьями Basit и Amjad Farooq Alvi, оставившими в вирусе текстовое сообщение, содержащее их имена, адрес и телефонный номер. Как утверждали авторы вируса, они являлись владельцами компании по продаже программных продуктов и решили выяснить уровень пиратского копирования в их стране. К сожалению, их эсперимент вышел за границы Пакистана.

Интересно, что вирус "Brain" являлся также и первым стелс-вирусом - при попытке чтения зараженного сектора он "подставлял" его незараженный оригинал.

В том же 1986 году программист по имени Ральф Бюргер (Ralf Burger) обнаружил, что программа может делать собственные копии путем добавления своего кода к выполняемым DOS-файлам. Его первый вирус, названный "VirDem", демонстрировал эту возможность. Этот вырус был проаннонсирован в декабре 1986 на форуме компьютерного "андеграунда" - хакеров, специализировавшихся в то время на взломе VAX/VMS-систем (Chaos Computer Club in Hamburg).

1987

Появление вируса "Vienna". Копия этого вируса попадает в руки все того же Ральфа Бюргера, который дизассемблирует вирус и помещает результат в свою книгу "Computer Viruses: A High Tech Desease" (русский аналог - "Пишем вирус и антивирус" г. Хижняка). Книга Бюргера популяризовала идею написания вирусов, объясняла как это происходит и служила таким образом толчком к написению сотен или даже тысяч компьютерных вирусов, частично использовавших идеи из этой книги.

В том же году независимо друг от друга появляется еще несколько вирусов для IBM-PC. Это знаменитые в прошлом "Lehigh", заражающий только COMMAND.COM, "Suriv-1" (другое название - "April1st"), заражающий COM-файлы, "Suriv-2", заражающий (впервые) EXE-файлы, и "Suriv-3", заражающий как COM-, так и EXE-файлы. Появляются также несколько загрузочных вирусов ("Yale" в США, "Stoned" в Новой Зеландии и "PingPong" в Италии) и первый самошифрующийся файловый вирус "Cascade".

Не остались в стороне и не-IBM-компьютеры: было обнаружено несколько вирусов для Apple Macintosh, Commodore Amiga и Atari ST.

В декабре 1987 произошла первая известная повальная эпидемия сетевого вируса "Cristmas Tree", написанного на языке REXX и распрастранявшего себя в сперационной среде VM/CMS. 9-го декабря вирус был запущен в сеть Bitnet в одном из университетов Западной Германии, проник через шлюз в European Academic Research Network (EARN) и затем - в сеть IBM VNet. Через четыре дня (13 декабря) вирус парализовал сеть - она была забита его копиями (см. пример про клерка несколькими страницами выше). При запуске вирус выводил на экран изображение новогодей (вернее, рождественской) елочки и рассылал свои копии всем пользователям сети, чьи адреса присутствовали в соответствующих системных

файлах NAMES и NETLOG.

1988

В пятницу 13-го мая 1988-го года сразу несколько фирм и университетов нескольких стран мира "познакомились" с вирусом "Jerusalem" - в этот день вирус уничтожал файлы при их запуске. Это, пожалуй, один из первых MS-DOS-вирусов, ставший причиной настоящей пандемии - сообщения о зараженных компьютерах поступали из Европы, Америки и Ближнего Востока. Название, кстати, вирус получил по месту одного из инцидентов - университета в Иерусалиме.

Вместе с несколькими другими вирусами ("Cascade", "Stoned", "Vienna"), вирус "Jerusalem" распространился по тысячам компьютеров, оставаясь незамеченным - антивирусные программы еще не были распространены в то время так же широко как сегодня, а многие пользователи и даже профессионалы еще не верили в существование компьютерных вирусов. Показателен тот факт, что в том же году компьютерный гуру и человек-легенда Питер Нортон высказался против существования вирусов. Он объявил их несуществующим мифом и сравнил со сказками о крокодилах, живущих в канализации Нью-Йорка. Этот казус, однако, не помешал фирме Symantec через некоторое время начать собственный антивирусный проект - Norton Anti-Virus.

Начали появляться заведомо ложные сообщения о компьютерных вирусах, никакой реальной информации не содержащие, но вносившие панику в стройные ряды компьютерных пользователей. Одна из первых таких "злых шуток" (современный термин - "virus hoax") принадлежит некому Mike RoChenle (псевдоним похож на "Microchannel"), который разослал на станции BBS большое количество сообщений о якобы существующем вирусе, который передается от модема к модему и использует для этого скорость 2400 бод. Как это ни смешно, многие пользоватеили отказались от стандарта тех дней 2400 и снизили скорость своих модемов до 1200 бод. Подобные "hoax"-ы появляются и сейчас. Наиболее известны на сегодняшний день - GoodTimes и Aol4Free.

Ноябрь 1988: повальная эпидемия сетевого вируса Морриса (другое название - Internet Worm). Вирус заразил более 6000 компьютерных систем в США (включая NASA Research Institute) и практически парализовал их работу. По причине ошибки в коде вируса он, как и вирус-червь "Cristmas Tree", неограниченно рассылал свои копии по другим компьютьерам сети и, таким образом, полностью забрал под себя ее ресурсы. Общие убытки от вируса Морриса были оценены в 96 миллионов долларов.

Вирус использовал для своего размножения ошибки в операционной системе Unix для VAX и Sun Microsystems. Помимо ошибок в Unix вирус использовал несколько других оригинальных идей, например, подбор паролей пользователей. Подробнее об этом вирусе и связанным с ним инцидентом можно прочитать в достаточно подробной и интересной статье Игоря Моисеева в журнале КомпьютерПресс, 1991, N8,9.

Декабрь 1988: сезон вирусов-червей продолжается, на этот раз в сети DECNet. Вирус-червь HI.COM выводил на экран изображение елочки и извещал пользователей, что им следует "stop computing and have a good time at home!!!"

Появляются новые антивирусные программы, например, Dr.Solomon's Anti-Virus Toolkit, являющийся на сегодняшний день одним из самых мощных антивирусов.

1989

Появляются новые вирусы - "Datacrime", "FuManchu" и целые семейства - "Vacsina" и "Yankee". Первый имел крайне опасное проявление - с 13 октября по 31 декабря он форматировал винчестер. Этот вирус вырвался "на свободу" и вызвал повальную истерию в средствах массовой информации в Голландии и Великобритании.

Сентябрь 1989: на рынок выходит еще одна антивирусная программа - IBM Anti-Virus.

Октябрь 1989: в сети DECNet зафиксирована еще одна эпидемия вируса-червя - "WANK Worm".

Декабрь 1989: инцидент с "троянским конем" "Aids". Было разослано 20.000 его копий на дискетах, помеченных как "AIDS Information Diskette Version 2.0". После 90 загрузок системы "троянец" шифровал имена всех файлов на диске, делал их невидимыми (атрибут "hidden") и оставлял на диске только один читаемый файл - счет на 189 долларов, который следовало послать по адресу PO Box 7, Panama. Автор "троянца" был пойман и приговорен к тюремному заключению.

Следует отметить тот факт, что 1989 год являлся началом повальной эпидемии компьютерных вирусов в России - все те же вирусы "Cascade", "Jerusalem" и "Vienna" заполонили компьютеры российских пользователей. К счастью, российские программисты довольно быстро разобрались с принципами их работы и практически сразу появилось несколько отечественных противоядий-антивирусов.

Мое первое знакомство с вирусом (это был вирус "Cascade") произошло в октябре 1989 года - вирус оказался обнаруженным на моем рабочем компьютере. Именно это и послужило толчком для моей профессиональной переориентации на создание программ-антивирусов. Кстати, тот первый вирус я вылечил популярной в те времена антивирусной программой ANTI-KOT Олега Котика. Месяцем позже второй инцидент (вирус "Vacsina") был закрыт при помощи первой версии моего антивируса -V (который несколькими годами позже был переименован в AVP - AntiViral Toolkit Pro). К концу 1989 года на просторах России паслось уже около десятка вирусов (перечислены в порядке их появления): две версии "Cascade", несколько вирусов "Vacsina" и "Yankee", "Jerusalem", "Vienna", "Eddie", "PingPong".

1990

Этот год принес несколько довольно заметных событий. Первым из них является появление первых полиморфик-вирусов "Chameleon" (другое название - "V2P1", "V2P2" и "V2P6"). До этого момента антивирусные программы для поиска вирусов пользовались так называемыми "масками" - кусками вирусного кода. После появления вирусов "Chameleon" разработчики антивирусных программ были вынуждены искать другие методы их обнаружения.

Вторым событием являлось появление болгарского "завода по производству вирусов": огромное количество новых вирусов имели болгарское происхождение. Это были целые семейства вирусов "Murphy", "Nomenclatura", "Beast" (или "512", "Number-of-Beast"), новые модификации вируса "Eddie" и др. Особенную активность проявлял некто Dark Avenger, выпускавший в год по несколько новых вирусов, использовавших принципиально новые алгоритмы заражения и скрытия себя в системе. В Болгарии же впервые появлась и первая BBS, ориентированная на обмен вирусами и информацией для вирусописателей.

В июле 1990 произошел инцидент с компьютерным журналом PC Today (Великобретания). Он содержал флоппи-диск, зараженный вирусом "DiskKiller". Было продано более 50.000 копий журнала.

Во второй половине 1990-го появились два стелс-монстра - "Frodo" и "Whale". Оба вируса использовали крайне сложные стелс-алгоритмы, а девятикилобайтный "Whale" к тому же применял несколько уровней шифровки и анти-отладочных приемов.

Появились и первые известные мне отечественные вирусы: "Peterburg", "Voronezh" и ростовский "LoveChild".

1991

Популяция компьютерных вирусов непрерывно растет, достигая уже нескольких сотен. Растет и антивирусная активность: сразу два софтверных монстра (Symantec и Central Point) выпускают собственные антивирусные программы - Norton Anti-Virus и Central Point Anti-Virus. Следом появляются менее известные антивирусы от Xtree и Fifth Generation.

В апреле разразилась настоящая эпидемия файлово-загрузочного полиморфик-вируса "Tequila", а в сентябре подобная же "история" произошла с вирусом "Amoeba". Россию эти события практически не затронули.

Лето 1991: эпидемия вируса "Dir_II", использовавшего принципиально новые способы заражения файлов (link-вирус).

В целом, год 1991 был достаточно спокойным - этакое затишье перед бурей, разразившейся в 1992-м.

1992

Вирусы для не-IBM-PC и не-MS-DOS практически забыты: "дыры" в глобальных сетях закрыти, ошибки исправлены, и сетевые вирусы-черви потеряли возможность для распространения. Все большую и большую значимость начинают приобретать файловые, загрузочные и файлово-загрузочные вирусы для наиболее распространенной операционной системы (MS-DOS) на самом популярном компьютере (IBM-PC). Количество вирусов растет в геометрической прогрессии, различные инциденты с вирусами происходят чуть ли не ежедневно. Развиваются различные антивирусные программы, выходят десятки книг и несколько регулярных журналов, посвященных вирусам. На этом фоне выделяются несколько основных моментов:

Начало 1992: первый полиморфик-генератор MtE, на базе которого через некоторое время появляется сразу несколько полиморфик-вирусов. MtE явился также прообразом нескольких последующих полиморфик-генераторов.

Март 1992: эпидемия вируса "Michelangelo" ("March6") и связанная с этим истерия. Наверное, это первый известный случай, когда антивирусные компании раздували шумиху вокруг вируса не для того, чтобы защитить пользователей от какой-либо опасности, а для того, чтобы привлечь внимание к своему продукту, т.е. в целях извлечения коммерческой выгоды. Так одна американская антивирусная компания заявила, что 6-го марта будет разрушена информация более чем на пяти миллионах компьютеров. В результате поднявшейся после этого шумихи прибыли различных антивирусных фирм поднялись в несколько раз, а от вируса в действительности пострадали всего около 10.000 машин.

Июль 1992: появление первых конструкторов вирусов VCL и PS-MPC, которые увеличили и без того немаленький поток новых вирусов и, как и MtE в своей области, подтолкнули вирусописателей к созданию других, более мощных конструкторов.

Конец 1992: первый вирус для Windows, заражающий выполняемые файлы этой операционной системы, открыл новую страницу в вирусописательстве.

1993Вирусописатели серьезно взялись за работу: помимо сотен рядовых вирусов, принципиально не отличающихся от своих собратьев, помимо целого ряда новых полиморфик-генераторов и конструкторов, помимо новых электронных изданий врусописателей появляется все больше и больше вирусов, использующих крайне необычные способы заражения файлов, проникновения в систему и т.д. Основными примерами являются:

"PMBS", работающий в защищенном режиме процессора Intel 80386.

"Strange" (или "Hmm") - сольное выступление на тему "стелс-вирус", однако выполненное на уровне аппаратных прерываний INT 0Dh и INT 76h.

"Shadowgard" и "Carbuncle", значительно расширившие диапазон алгоритмов компаньон-вирусов;

"Emmie", "Metallica", "Bomber", "Uruguay" и "Cruncher" - использование принципиально новых приемов "спрятывания" своего кода в зараженных файлах.

Весной 1993 Microsoft выпустил свой собственный антивирус MSAV, основой которого послужил CPAV от Central Point.

1994

Все большее значение приобретает проблема вирусов на компакт-дисках. Быстро став популярными, эти диски оказались одним из основных путей распространения вирусов. Зафиксировано сразу несколько инцидентов, когда вирус попадал на мастер-диск при подготовке партии компакт-дисков. В результате на компьютерный рынок были выпущены довольно большие тиражи (десятки тысяч) зараженных дисков. Естественно, что об их лечении говорить не приходится - их придется просто уничтожить.

В начале года в Великобритании появились два крайне сложных полиморфик-вируса - "SMEG.Pathogen" и "SMEG.Queeg" (до сих пор не все антивирусные программы в состоянии достичь 100%-го результата при их детектировании). Автор вирусов помещал зараженные файлы на станции BBS, что явилось причиной настоящей эпидемии и паники в средствах массовой информации.

Еще одну волну паники вызвало сообщение о якобы существующем вирусе "GoodTimes", распространяющем себя по сети Интернет и заражающем компьютер при получении электронной почты. Накакого такого вируса на самом деле не существовало, однако через некоторое время появился обычный DOS-вирус с текстом "Good Times", вирус этот получил название "GT-Spoof".

Активизируются правоохранительные органы: летом 1994 автор SMEG был "вычислен" и арестован. Примерно в то же самое время в той же Великобритании арестована целая группа вирусописателей, называвшая себя ARCV (Assotiation for Really Cruel Viruses). Некоторое время спустя еще один автор вирусов был арестован в Норвегии.

Появляются несколько новых достаточно необычных вирусов:

Январь 1994: "Shifter" - первый вирус, заражающий объектные модули (OBJ-файлы). "Phantom1" - эпидемия первого полиморфик-вируса в Москве.

Апрель 1994: "SrcVir" - семейство вирусов, заражающих исходные тексты программ (C и Pascal).

Июнь 1994: "OneHalf" - начало повальной эпидемии вируса, до сих пор являющегося самым популярным вирусом в России.

Сентябрь 1994: "3APA3A" - эпидемия файлово-загрузочного вируса, использующего крайне необычный способ внедрения в MS-DOS. Ни один антивирус не оказался готовым к встрече с подобного типа монстром.

В 1994 году (весна) перестал существовать один из антивирусных лидеров того времени - Central Point. Он был приобретен фирмой Симантек, которая до того уже успела "проглотить" несколько небольших фирм, занимавшихся антивирусными разработками - Peter Norton Computing, Certus International и Fifth Generation Systems.

1995

Ничего действительно заметного в области DOS-вирусами не произошло, хотя появляется несколько достаточно сложных вирусов-монстров типа "NightFall", "Nostradamus", "Nutcracker" и таких забавных вирусов, как "двуполый" вирус "RMNS" и BAT-вирус "Winstart". Широкое распространение получили вирусы "ByWay" и "DieHard2" - сообщения о зараженных компьютерах были получены практически со всего мира.

Февраль 1995: произошел инцидент с Microsoft: на диске, содержащем демонстрационную версию Windows95, обнаружен вирус "Form". Копии этого диска Microsoft разослал бета-тестерам, один из которых не поленился проверить диск на вирусы.

Весна 1995: аннонсирован альянс двух антивирусных компаний - ESaSS (ThunderBYTE anti-virus) и Norman Data Defence (Norman Virus Control). Эти компании, выпускающие достаточно сильные антивирусы, объединили усилия и приступили к разработке единой антивирусной системы.

Август 1995: один из поворотных моментов в истории вирусов и антивирусов: в "живом виде" обнаружен первый вирус для Microsoft Word ("Concept"). Буквально за месяц вирус "облетел" весь земной шар, заполонил компьютеры пользователей MS-Word и прочно занял первое место в статистических исследованиях, проводимых различными компьютерными изданиями.

1996

Январь 1996: два достаточно заметных события - появился первый вирус для Windows95 ("Win95.Boza") и эпидемия крайне сложного полиморфик-вируса "Zhengxi" в Санкт-Петербурге.

Март 1996: первая эпидемия вируса для Windows 3.x. Его имя - "Win.Tentacle". Этот вирус заразил компьютерную сеть в госпитале и нескольких других учреждениях во Франции. Интересность этого события состояла в том, что это был ПЕРВЫЙ Windows-вирус, вырвавшийся на свободу. До той поры (насколько мне известно) все Windows-вирусы жили только в коллекциях и электронных журналах вирусописателей, а в "живом виде" встречались только загрузочные, DOS- и Macro-вирусы.

Июнь 1996: "OS2.AEP" - первый вирус для OS/2, корректно заражающий EXE-файлы этой операционной системы. До этого в OS/2 встречались только вирусы, которые записывались вместо файла, уничтожая его или действуя методом "компаньон".

Июль 1996: "Laroux" - первый вирус для Microsoft Excel, к тому же пойманный в "живом виде" (практически одновременно в двух нефтедобывающих компаниях на Аляске и в ЮАР). Как и у MS-Word-вирусов, принцип действия "Laroux" основывается на наличии в файлах так называемых макросов - программ на языке Basic. Такие программы могут быть включены в электронные таблицы Excel так же, как и в документы MS-Word. Как оказалось, встроенный в Excel язык Basic также позволяет создавать вирусы. Этот же вирус в апреле 1997 стал причиной эпидемии в компьютерных фирмах Москвы.

Декабрь 1996: "Win95.Punch" - первый "резидентный" вирус для Win95. Загружается в систему как VxD-драйвер, перехватывает обращения к файлам и заражает их.

В целом год 1996 можно считать началом широкомасштабного наступления компьютерного андеграунда на операционную систему Windows32 (Windows95 и Windows NT) и на приложения Microsoft Office. За этот и следующий год появилось несколько десятков вирусов для Windows95/NT и несколько сотен макро-вирусов. Во многих их них вирусописатели применяли совершенно новые приемы и методы заражения, добавляли стелс- и полиморфик-механизмы и т.п. Таким образом компьютерные вирусы вышли на новый виток своего развития - на уровень 32-битных операционных систем. За два года вирусы для Windows32 повторили примерно все те же стадии, что ровно 10 лет до того прошли DOS-вирусы, однако на совершенно новом технологическом уровне.

1997

Февраль 1997: "Linux.Bliss" - первый вирус для Linux (разновидность юникса). Так вирусы заняли еще одну "биологическую" нишу.

Февраль-апрель 1997: Макро-вирусы перебрались и в Office97. Первые из них оказались всего лишь "отконвертированными" в новый формат макро-вирусами для Word 6/7, однако практически сразу появились вирусы, ориентированные только на документы Office97.

Март 1997: "ShareFun" - макро-вирус, поражающий MS Word 6/7. Для своего размножения использует не только стандартные возможности MS Word, но также рассылает свои копии по электронной почте MS-Mail.

Апрель 1997: "Homer" - первый сетевой вирус-червь, использующий для своего размножения File Transfer Protocol (ftp).

Июнь 1997: Появление первого самошифрующегося вируса для Windows95. Вирус, имеющий российское происхождение, был разослан на несколько BBS в Москве, что стало причиной эпидемии.

Ноябрь 1997: Вирус "Esperanto". Попытка создания (к счастью, неудачная) многоплатформенного вируса, который работает не только под DOS и Windows, но в состоянии заражать и файлы Mac OS (Макинтош).

Декабрь 1997: появилась новая форма вируса - черви mIRC. Оказалось, что наиболее популярная утилита Windows IRC (Internet Relay Chat), известная как mIRC, содержала "дыру", позволяющую вирусным скриптам передавать себя по IRC-каналам. В очередной версии IRC дыра была закрыта, и mIRC-черви канули в лету.

Основным антивирусным событием в 1997 году стало, конечно же, отделение антивирусного подразделения фирмы КАМИ в независимую компанию "Лаборатория Касперского", зарекомендовавшую себя на сегодняшний день как признанный технический лидер антивирусной индустрии. Начиная с 1994 года основной продукт компании - антивирусный сканер AntiViral Toolkit Pro (AVP) - стабильно показывает высокие результаты в многочисленных тестах, проводимых различными тестовыми лабораториями всего мира. Отделение в независимую компанию позволило по началу небольшой группе разработчиков стать первой по значимости антивирусной компанией на отечественном рынке и достаточно заметной фигурой на ринке мировом. За короткие сроки были разработаны и выпущены версии для практически всех популярных платформ, предложены новые антивирусные решения, создана сеть международной дистрибуции и технической поддержки.

В октябре 1997 года было подписано соглашение о лицензировании технологий AVP финской компанией DataFellows для использования в своей новой разработке FSAV (F-Secure Anti-Virus). До этого компания DataFellows была известна как производитель антивируса F-PROT.

Год 1997 также заметен по нескольким скандалам, разразившимся между основными производителями антивирусов в США и Европе. В начале года фирма McAfee объявила о том, что ее специалисты обнаружили "закладку" в программах одного из своих основных конкурентов - в антивирусе фирмы Dr.Solomon. Заявление от McAfee гласило, что если антивирус Dr.Solomon при сканировании обнаруживает несколько вирусов различных типов, то дальнейшая его работа происходит в усиленном режима. То есть если в обычных условиях на незараженных компьютерах антивирус от Dr.Solomon работает в обычном режиме, то при тестировании коллекций вирусов переключается в усиленный режим (по терминологии McAfee "cheat mode" - "режим обмана"), позволяющий детектировать вирусы, невидимые для Dr.Solomon при сканировании в обычном режиме. В результате при тестировании на незараженных дисках антивирус от Dr.Solomon показывает хорошие скоростные результаты, а при тестировании вирусных коллекций показывает неплохие результаты детектирования.

Через некоторое время Dr.Solomon нанес ответный удар, пришедшийся на некорректно построенную рекламную кампанию McAfee. Конкретно претензии предъявлялись тексту "The Number One Choice Worldwide. No Wonder The Doctor's Left Town". Одновременно с этим компания McAfee вела юридические тяжбы с другой антивирусной компанией Trend Micro по поводу нарушения патента на технологию сканирования данных, передаваемых по Интернет и электронной почте. В этот же конфликт c Trend Micro оказалась втянута фирма Symantec. Затем Symantec предъявил иск McAfee по обвинению в использовании кодов Symantec в продуктах McAfee. Ну и т.д.

Закончился год еще одним заметным событием, связанным с именем McAfee: фирмы McAfee Associates и Network General объявили об объединении в единую компанию Network Assotiates и о позиционировании усилий не только в области антивирусных защит, но и в разработке универсальных систем компьютерной безопасности, шифрования и сетевого администрирования. Начиная с этого момента вирусной и антивирусной истории McAfee следует читать как NAI.

1998

Вирусная атака на MS Windows, MS Office и сетевые приложения не ослабевает. Появляются вирусы, использующие все более сложные приемы заражения компьютеров и новые методы проникновения через компьютерные сети. Помимо вирусов на арену выходят также многочисленные троянские программы, ворующие пароли доступа в Интернет, и несколько утилит скрытого администрирования. Зафиксированы инциденты с зараженными CD-дисками: несколько компьютерных журналов распространяли на своей обложке диски с программами, зараженными Windows-вирусами "CIH" и "Marburg".

Начало года: Эпидемия целого семейства вирусов "Win32.HLLP.DeTroie", не только заражающих выполняемые файлы Windows32, но и способные передать своему "хозяину" информацию о зараженном компьютере. По причине использования специфических библиотек, присутствующих только во французской версии Windows, эпидемия затронула только франко-говорящие страны.

Февраль 1998: обнаружен еще один тип вируса, заражающий таблицы Excel - "Excel4.Paix" (или "Formula.Paix"). Данный тип макро-вируса для своего внедрения в таблицы Excel использует не обычную для вирусов область макросов, а формулы, которые, как оказалось, также могут содержать саморазмножающийся код.

Февраль-март 1998: "Win95.HPS" и "Win95.Marburg" - первые полиморфные Windows32-вирусы, обнаруженные к тому же "в живом виде". Разработчикам антивирусных программ пришлось спешно адаптировать к новым условиям методики детектирования полиморфных вирусов, рассчитанных до того только на DOS-вирусы.

Март 1998: "AccessiV" - первый вирус для Microsoft Access. Причиной шумихи, как это было с вирусами "Word.Concept" и "Excel.Laroux", он не стал, поскольку все уже привыкли к тому, что приложения MS Office падают одно за другим.

Март 1998: Макро-вирус "Cross" - первый вирус, заражающий два различных приложения MS Office: Access и Word. Следом за ним появились еще несколько макро-вирусов, переносящих свой код из одного Office-проложения в другое.

Май 1998: вирус "RedTeam". Заражает EXE-файлы Windows, рассылает зараженные файлы при помощи электронной почты Eudora.

Июнь: эпидемия вируса "Win95.CIH", ставшая сначала массовой, затем глобальной, а затем повальной - сообщения о заражении компьютерных сетей и домашних персональных компьютеров исчислялись сотнями, если не тысячами. Начало эпидемии зарегистрировано на Тайване, где неизвестный хакер заслал зараженные файлы в местные Интернет-конференции. Оттуда вирус пробрался в США, где по недосмотру зараженными оказались сразу несколько популярных Web-серверов - они распространяли зараженные вирусом игровые программы. Скорее всего, именно эти зараженные файлы на игровых серверах и послужили причиной повальной эпидемии вируса, не ослабевавшей в течении всего года. По результатам рейтингов "популярности" вирус "подвинул" таких вирусных суперзвезд, как "Word.CAP" и "Excel.Laroux". Следует обратить внимание также на опасное проявление вируса: в зависимости от текущей даты вирус стирал Flash BIOS, что в некоторых случаях могло привести к необходимости замены материнской платы.

Август 1998: появление нашумевшего "BackOrifice" ("Backdoor.BO") - утилиты скрытого (хакерского) администрирования удаленных компьютеров и сетей. Следом за "BackOrifice" появились несколько других аналогичных программ: "NetBus", "Phase" и прочие.

Также в августе появился первый вирус, заражающий выполняемые модули Java - "Java.StangeBrew". Данный вирус не представлял какой-либо опасности для пользователей Интернет, поскольку на удаленном компьтере невозможно использовать необходимые для размножения функции. Однако он проиллюстрировал тот факт, что атакованы вирусами также могут быть и приложения, активно используемые при просмотре Web-серверов.

Ноябрь 1998: "VBScript.Rabbit" - интернет-экспансия компьютерных паразитов продолжилась тремя вирусами, заражающими скрипты VisualBasic (VBS-файлы), которые активно применяются при написании Web-страниц. Как логическое следствие VBScript-вирусов стало появление полноценного HTML-вируса ("HTML.Internal"). Становится достаточно очевидным, что усилия вирусописателей начинают концентрироваться вокруг сетевых приложений, и дело идет к появлению полноценного сетевого вируса-червя, использующего возможности MS Windows, Office и заражающего удаленные компьютеры, Web-сервера и/или активно распростряняющегося по электронной почте.

Произошли также заметные перестановки в антивирусном мире. В мае 1998 компании Symantec и IBM объявили об объединении своих усилий на антивирусном фронте: совместный продукт при этом распространяется фирмой Symantec под той же маркой Norton Anti-Virus, а IBM Anti-Virus (IBMAV) прекращает свое существование. На это моментально отреагировали основные конкуренты: Dr.Solomon и NAI (ранее - McAfee) тут же выпустили пресс-релизы с предложениями о льготном опдейте бывших пользователей IBMAV своими собственными антивирусами.

Не прошло и месяца, как прекратил свое существование и сам Dr.Solomon. Он был куплен компанией NAI (McAfee) за 640 миллионов долларов путем обмена акций. Данное событие вызвало шок в антивирусном мире: конфликт между двумя крупнейшими игроками антивирусного бизнеса закончился куплей/продажей, в результате которой с рынка исчез один из наиболее заметных и технологически сильных производителей антивирусного программного обеспечения.

1999

Все на свете должно происходить медленно и неправильно, чтобы не сумел загордиться человек, чтобы человек был грустен и растерян. (Венедикт Ерофеев, "Москва - Петушки")

Общие сведения

Физическое расположение вируса внутри файла зависит от его формата, который в случае продуктов Microsoft чрезвычайно сложен - каждый файл-документ Word, Office97 или таблица Excel представляют собой последовательность блоков данных (каждый из которых также имеет свой формат), объединенных между собой при помощи большого количества служебных данных. Этот формат носит название OLE2 - Object Linking and Embedding. Структура файлов Word, Excel и Office97 (OLE2) напоминает усложненную файловую систему дисков DOS: "корневой каталог" файла-документа или таблицы указывает на основные подкаталоги различных блоков данных, несколько таблиц FAT содержат информацию о расположении блоков данных в документе и т.д.

Более того, система Office Binder, поддерживающая стандарты Word и Excel позволяет создавать файлы, одновременно содержащие один или несколько документов в формате Word и одну или несколько таблиц в формате Excel. При этом Word-вирусы способны поражать Word-документы, а Excel-вирусы - Excel-таблицы, и все это возможно в пределах одного дискового файла. То же справедливо и для Office97.

По причине такой сложности форматов файлов Word, Excel и Office97 представить расположение макро-вируса в файле можно лишь схематично:

Незараженный файл-докумен. Вирус в файле-документе

или таблица                     или таблице

+----------------+             +----------------+

|заголовок файла |             |заголовок файла |

|----------------|             |----------------|

|служебные данные|             |служебные данные|

|(каталоги, FAT) |             |(каталоги, FAT) |

|----------------|             |----------------|

|текст           |             |текст           |

|                |             |                |

|----------------|             |----------------|

|шрифты          |             |шрифты          |

|----------------|             |----------------|

|макросы         |             |макросы         |

|(если есть)     |             |(если есть)     |

|----------------|             | - - - - - - - -|

|прочие данные   |             |макросы вируса  |

. . .                         |----------------|

|                |             |прочие данные   |

|                |              . . .

+----------------+             +----------------+

Следует отметить, что Word версий 6 и 7 позволяет шифровать присутствующие в документе макросы. Таким образом, некоторые Word-вирусы присутствуют в зараженных документах в зашифрованном (Execute only) виде.

Большинство известных вирусов для Word несовместимы с национальными (в том числе с русской) версиями Word, или наоборот - рассчитаны только на локализованные версии Word и не работают под английской версией. Однако вирус в документе все равно остается активным и может заражать другие компьютеры с установленной на них соответствующей версией Word.

Вирусы для Word могут заражать компьютеры любого класса, а не только IBM-PC. Заражение возможно в том случае, если на данном компьютере установлет текстовый редактор, полностью совместимый с Microsoft Word версии 6 или 7 (например, MS Word for Macintosh). То же справедливо для Excel и Office97.

Следует также отметить, что сложность форматов документов Word, таблиц Excel и особенно Office97 имеет следующую особенность: в файлах-документах и таблицах присутствуют "лишние" блоки данных, т.е. данные, которые никак не связаны с редактируемым текстом или таблицами, либо являются случайно оказавшимися там копиями прочих данных файла. Причиной возникновения таких блоков данных является кластерная организация данных в OLE2-документах и таблицах - даже если введен всего один символ текста, то под него выделяется один или даже несколько кластеров данных. При сохранении документов и таблиц в кластерах, не заполненных "полезными" данными, остается "мусор", который попадает в файл вместе с прочими данными. Количество "мусора" в файлах может быть уменьшено отменой пункта настройки Word/Excel "Allow Fast Save", однако это лишь уменьшает общее количество "мусора", но не убирает его полностью.

Следствием этого является тот факт, что при редактировании документа его размер изменяется вне зависимости от производимых с ним действий - при добавлени нового текста размер файла может уменьшится, а при удалении части текста - увеличиться. То же и с макро-вирусами: при заражении файла его размер может уменьшиться, увеличиться или остаться неизменным.

Следует также отметить тот факт, что некоторые версии OLE2.DLL содержат небольшой недочет, в результате которого при работе с документами Word, Excel и особенно Office97 в блоки "мусора" могут попасть случайные данные с диска, включая конфиденциальные (удаленные файлы, каталоги и т.д.). В эти блоки могут попасть также команды вируса. В результате после лечения зараженных документов активный код вируса удаляется из файла, но в блоках "мусора" могут остаться часть его команд. Такие следы присутствия вируса иногда видимы при помощи текстовых редакторов и даже могут вызвать реакцию некоторых антивирусных программ. Однако эти остатки вируса совершенно безвредны: Word и

Excel не обращают на них никакого внимания

Техническая реализация современных методов несанкционированного доступа к информации

К сожалению, в настоящее время имеется широкий выбор средств специальной техники, с помощью которых возможно попытаться получить несанкционированный доступ к информации. Для выбора возможных путей блокирования каналов утечки необходимо знать "противника в лицо". В Таб. 1 представлены основные технические средства ведения коммерческой разведки.

 

Таблица 1. Основные технологические средства коммерческой разведки

Радиомикрофоны (закладки)	Электронные "уши"	Средства перехвата телефонной связи	Средства скрытого наблюдения и поиска	Средства контроля копьютеров и сетей	средства приема, записи, управления и др.
С автономным питанием	Микрофоны с проводами	С непосредственным подключением	Оптические	Пассивные средства контроля монитора	Приемники для радиозакладок
С питанием от телефонной сети	Электронные стетоскопы	С индукционным датчиком	Фотографические	Активные средства контроля монитора	Устройства накопления и записи
С питанием от электросети	Направленные микрофоны	С датчиком внутри телефонного аппарата	Тепловизионные и ночного видения	Пассивные средства контроля шины (магистрали)	Средства переприема (ретрансляторы)
Управляемые дистанционно	Лазерные микрофоны	Телефонной радиотрансляции	Телевизионные	Активные средства контроля шины (магистрали)	Средства ускоренной передачи
С функцией включения по голосу	Микрофоны с передачей по электросети	Перехвата сотовой телефонной связи	Определения местоположения	Аппаратные закладки	Устройства дистанционного управления
Полуактивные	С использованием микрофона аппарата	Перехватв пейджинговых сообщений	Маркирования и целеуказания	Программные закладки	Источники питания
С накоплением и быстрой передачей	Гидроакустические микрофоны	Многоканального перехвата	Видеозакладочные	Компьютерные вирусы	Вспомогательные и другие средства

 

Характеристики каналов утечки информации, представленные в таб. 2 и таб. 3, достаточно понятны, весьма показательны и особых комментариев не требуют.

Таблица 2. Сравнительные характеристики пассивных средств получения информации

Электронное средство контроля информации	Место установки	Дальность действия	Стоимость электронного средства контроля информации	Вероятность применения Качество перехвата Вероятность обнаружения	Методы защиты информации
spanname="d">Контроль телефона, факса, модема (телефонная линия в штатном режиме)
Индуктивный или контактный датчик	Телефонная линия	Регистрирующая аппаратура рядом с датчиком	Низкая	Высокая Хорошее Не обнаруживается	Шифрование или маскирование (радиотехнических методов нет)
spanname="d">Контроль телефона (режим опущенной трубки)
Контактный датчик	Телефонная линия	Регистрирующая аппаратура рядом с датчиком	Низкая	Низкая Хорошее Не обнаруживается	Установка фильтра на вхде линии
spanname="d">Контроль радиотелефона, радиостанции
Панорамный радиоприемник	Прием из эфира	В приделах дальности станции	Средняя	Высокая Хорошее Не обнаруживается	Шифрование (маскирование)
spanname="d">Контроль сотового телефона
Устройство прослушивания сотовой сети	Прием из эфира	В пределах соты абонента	Высокая	Зависит от стандарта Хорошее Не обнаруживается	Шифрование (маскирование)
spanname="d">Контроль монитора персонального компьютера
Широкополосная антенна с регистрирующим устройством	Прием из эфира	3 .. 20м (определяется качеством экранирования монитора)	Высокая	Низкая Посредств. Не обнаруживается	Пассивная защита (экранировка помещения)
Широкополосный контактный датчик	Питающая электросеть	0 .. 50м (определяется развязкой по сети питания)	Высокая	Низкая Посредств. Не обнаруживается	Установка сетевых фильтров
spanname="d">Контроль магистрали компьютерной сети
Индуктивный или контактный датчик	Любое место на кабеле магистрали	Регистрирующая аппаратура рядом с датчиком	Высокая	Высокая   Хорошее Радиотехн. методами не обнаруживается	Шифрование, оргмероприятия (радиотехнических методов нет)

Таблица 3. Сравнительные характеристики активных средств получения информации.

Электронное средство контроля информации	Место установки	Дальность действия, м	Стоимость электронного средства контроля информации	Вероятность применения Качество перехвата Вероятность обнаружения	Методы защиты информации
spanname="dl">Контроль акустической информации
Встроенный микрофон	ПЭВМ, калькулятор, телефон, телевизор, приемник	200 ... 1000	Средняя	Высокая   Хорошее Высокая	Активные и пассивные (экранировка помещения)
Радиомикрофон с передачей по телефонной сети	Телефонный аппарат, розетка	200 ... 500	Низкая	Высокая   Хорошее Высокая	Активные и пассивные (фильтры), выжигание
Радиомикрофон длительного действия с цифровой модуляцией, кодированием и дистанционным управлением	Элементы интерьера и строительных конструкций	200 ... 1000	Высокая	Высокая   Среднее Средняя	Активные и пассивные (экранировка помещения)
То же с записью информации в память и сбросом по команде	Элементы интерьера и строительных конструкций	200 ... 1000	Высокая	Низкая   Хорошее Средняя	Активные и пассивные (экранировка помещения)
spanname="dl">Видеоконтроль помещений
Миниатюрная камера с передачей изображения по сети питания	Различные электрические устройства	10 ... 30	Высокая	Низкая   Посредст Высокая	Активные и пассивные (сетевые фильтры)
То же с передачей изображения по радиоканалу	Предметы интерьера	50 .. 200	Высокая	Средняя   Низкая Высокая	Активные и пассивные (экранировка помещения)
spanname="dl">Контроль информации с сетевой магистрали
Передатчик с контактным или индуктивным датчиком на кабеле магистрали	Кабель магистрали или сервер компьютерной сети	50 ... 200	Высокая	Средняя   Хорошее Средняя	Активные и пассивные, оргфнизационные мероприятия (контроль персонала)

Методы и средства блокирования каналов утечки информации

Анализ представленных материалов показывает, что в настоящее время номенклатура технических средств коммерческой разведки весьма обширна, что делает задачу надежного блокирования каналов утечки и несанкционированного доступа к информации исключительно сложной.

Решение подобной задачи возможно только с использованием профессиональных технических средств и с привлечением квалифицированных специалистов.

В таб. 4 сведены рассмотренные выше каналы утечки информации и возможные методы их блокирования.

Таблица 4. Основные методы и средства несанкционированного получения информации и возможная защита от них.

N п/п	Действие человека (типовая ситуация)	Каналы утечки информации	Методы и средства получения информации	Методы и средства защиты информации
1	Разговор в помещении или на улице	Акустика Виброакустика Гидроакустика Акустоэлектроника	Подслушивание, диктофон, микрофон, направленный микрофон, полуактивная система Стетоскоп, вибродатчик Гидроакустический датчик Радиотехнические спецприемники	Шумовые генераторы, поиск закладок, защитные фильтры, ограничение доступа
2	Разговор по проводному телефону	Акустика Электросигнал в линии Наводки	Аналогично п.1 Параллельный телефон, прямое подключение, электромагнитный датчик, диктофон, телефонная закладка	Аналогично п.1 Маскирование, скремблирование, шифрование Спецтехника
3	Разговор по радиотелефону	Акустика Электромагнитные волны	Аналогично п.1 Радиоприемные устройства	Аналогично п.1 Аналогично п.2
4	Документ на бумажном носителе	Наличие	Кража, визуально, копирование, фотографирование	Ограничение доступа, спецтехника
5	Изготовление документа на бумажном носителе	Наличие Паразитные сигналы, наводки	Аналогично п.4 Специальные радиотехнические устройства	Аналогично п.1 Экранирование
6	Почтовое отправление	Наличие	Кража, прочтение	Специальные методы защиты
7	Документ на небумажном носителе	Носитель	Хищение, копирование, считывание	Контроль доступа, физическая защита, криптозащита
8	Изготовление документа на небумажном носителе	Изображение на дисплее Паразитные сигналы, наводки	Визуально, копирование, фотографирование Специальные радиотехнические устройства	Контроль доступа, криптозащита
9	Передача документа по каналу связи	Электрические и оптические сигналы	Несанкционированное подключение, имитация зарегистрированного пользователя	Криптозащита
10	Производственный процесс	Отходы, излучения и т.п.	Спецаппаратура различноного назначения, оперативные мероприятия	Оргтехмероприятия, физическая защита

 

Таким образом, основным направлением противодействия утечке информации является обеспечение физической(технические средства, линии связи, персонал) и логической (операционная система, прикладные программы и данные) защиты информационных ресурсов. При этом безопасность достигается комплексным применением аппаратных, программных и криптографических методов и средств защиты, а также организационных мероприятий.