1.2 Разновидности вирусов и способы борьбы с ними

При классификации вирусов традиционно опираются на следующие функции:

• — типы поражаемых файлов;
• — способ внедрения в файл;
• — шифрование;
• — полиморфность;
• — метод выбора жертв;
• — средства создания.

По типу поражаемых файлов вирусы делятся на.

• — загрузочные;
• — кроссплатформенные (макровирусы, Java-, Python-, PHPвирусы и так далее);
• — поражающие исполняемые файлы и разделяемые файлы библиотек (или и те и другие);
• — поражающие файлы драйверов;
• — поражающие файлы исходного кода, объектного кода и системы контроля версий.

По способам внедрения в файлы вирусы подразделяются на перезаписывающие, дописывающие себя в начало, конец или одну из секций файлов и экзотические (хранящие основную часть в файловых потоках вне файловых областей на диске и так далее).

Шифрованные вирусы затрудняют своё обнаружение и анализ путём использования обратимых преобразований криптографического характера над своим кодом. Их легче всего обнаруживать эмуляцией кода расшифровки или эвристически — путём сравнения энтропии файла (которая возрастает при шифровании) с энтропией похожих файлов данного типы.

Полиморфность основана на технологии шифрования и представляет собой тот же самый шифрованный вирус, но с тем лишь различием, что расшифровщик этого вируса не постоянный. Расшифровщик постоянно мутирует, что позволяет обманывать сигнатурные сканеры. От мутации к мутации в вирусе в идеале не должно оставаться постоянных байт. Другими словами, каждый раз мутируя, вирус полностью изменяется. Если сравнить две его различные мутации, то в идеале не должно быть никакого сходства. В отличии от обычных шифрованных вирусов обнаружение полиморфов возможно только эмуляцией (хотя она может быть затруднена) и эвристическими методами.

Метод выбора жертв сильно влияет на последствия заражения системы вирусами, однако ограничен возможностями операционной системы и полномочиями вируса. В ОС Android число файлов-жертв, доступных вирусу невелико, поэтому данная особенность вирусов подробно рассматриваться не будет.

Алгоритмы идентификации кроссплатформенных вирусов осложнены большим числом платформ, пригодных для их создания. К счастью, возможности таких вирусов ограничены, а программы, осуществляющие их выполнение как правило содержат дополнительные встроенные меры защиты. Стоит заметить, что по причинам, описываемым далее, существенная часть программ для Android являются де-факто кроссплатформенными, что делает задачу вирусописателей нетривиальной по сравнению с другими распространёнными ОС.

Значительное влияние на алгоритмы работы вируса оказывают требования, предъявляемые к нему характером полезной нагрузки. Вирусы, играющие роль дропперов для более сложного кода обычно вынуждены хранить его в секциях ресурсов, тогда как вирусы-модули ботнет-сетей нередко используют руткиты для сокрытия своей деятельности. Таким образом, наличие в антивирусном продукте хотя-бы возможности.