ВООТ-вирусы

Структура дискового пространства в MS DOS
ВООТ-сектор
FAT
Копия FAT
Корневой каталог
Файлы и каталоги
Параметры диска
Программа начальной загрузки
Таблица размещения файлов
Копия таблицы размещения файлов
В MS DOS 4.0 и выше может быть несколько
Массив записей о файлах и других каталогах
Пространство диска, используемое
для хранения информации

ВООТ-сектор (MS DOS 3.х)

ВООТ-сектор
(MS DOS 4 и старше)

Расширенный блок параметров BIOS

Элементы FAT

Корневой каталог

Структура BOOT-вируса
ВООТ-сектор
FAT
Копия FAT
Корневой каталог
Файлы и каталоги
Голова вируса
Текст вируса

Внедрение BOOT-вируса
Голова BOOT-вируса размещается
В BOOT-секторе дискеты и занимает всегда один сектор
В BOOT-секторе или главной загрузочной области (MBR) диска
Тело BOOT-вируса размещается
В произвольных кластерах диска, обычно помеченных как плохие или зарезервированные
В конце файлов (в этом случае BOOT-вирус при внедрении должен модифицировать запись о файле в каталоге и информацию о файле в FAT)

Содержание головы вируса
Размещение в оперативной памяти нового блока
Получение физического адреса хвоста вируса на диске
Размещение хвоста вируса в памяти
Перехват прерываний (как правило 21h, 13h – прерываний по работе с дисками)
Установка векторов перехваченных прерываний на точку входа вируса

Содержимое хвоста вируса
Вредоносные действия
Механизм размножения, основанный на изменении BOOT-секторов подключаемых дисков (за счет перехвата прерываний 13h и 21h)

Скрипт-вирусы

Основные отличия скрипт-вирусов от вирусов в байт-коде
Разрабатываются на скриптовых языках
Perl, PHP, shell и т.д.
Используют небольшой набор механизмов внедрения
Для сокрытия своего присутствия обычно используют обфускацию программного кода – использовать шифрование могут только некоторые вирусы, в основном, написанные на языке Perl

Прямое внедрение скрипт-вируса
Скрипт
Скрипт
Вирус
Внедрение в конец скрипта возможно, но это
может снизить вероятность активации вируса.
Использование GOTO для передачи
Управления не рекомендуется

Внедрение вызовом
Скрипт
script.php
Скрипт
script.php
Вирус
VIRUS.PHP
include(“virus.php”);

Макровирусы

Необходимые условия существования макровирусов
Наличие программных пакетов, имеющих возможности написания внутренних программ на встроенных языках, использующих, в первую очередь, возможности самого программного пакета - макроязыках
Возможность встраивания и/или привязки макропрограмм к файлам (документам), обрабатываемых пакетом
Возможность копирования макропрограмм из одной инсталляции пакета в другую или из одного документа в другой
Возможность автоматической активации макропрограмм

Макровирусы
являются программами на языках (макроязыках), встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.д.), а также на скрипт-языках, таких как VBA (Visual Basic for Applications), JS (Java Script)

Принципы работы макровирусов
макропрограммы привязаны к конкретному файлу (AmiPro) или находятся внутри файла (Word, Excel, Access);
макроязык позволяет копировать файлы (AmiPro) или перемещать макропрограммы в служебные файлы системы и редактируемые файлы (Word, Excel);
при работе с файлом при определенных условиях (открытие, закрытие и т.д.) вызываются макропрограммы (если таковые есть), которые определены специальным образом (AmiPro) или имеют стандартные имена (Word, Excel).

Общие принципы работы
Office-вирусов
При работе с документами программы Office выполняют большое количество стандартных макрокоманд – Open, FileSave, FileSaveAs и т.д.
При выполнении стандартных операций могут выполняться автоматические макросы – AutoSave, AutoClose, AutoExit, AutoNew и т.д.
Макровирусы используют эти возможности
Создание нового авто-макроса
Переопределение стандартного авто-макроса
Переопределение стандартного макроса (чаще всего Open)

Макровирусы для Microsoft Word
Макровирусы копируют свой код в область глобальных макросов
Использование макроса MacroCopy
Использование редактора макросов – создание нового макроса, копирование кода и сохранение
При закрытии Word автоматически сохраняет макросы в шаблоне документов NORMAL.DOT
При запуске Word автоматически загружает вредоносный код (видоизменненые макросы)
При выполнении этих макросов код записывается в обрабатываемые файлы