| ويروسهاي كامپيوتري يكي از بارزترين موضوعات در زمينه امنيت شبكهها هستند. يك ويروس كامپيوتري همانند يك ويروس بيولوژيك، خود را با چسباندن به برنامههاي سالم تكثير ميكنند. بدين ترتيب با اجراي برنامهها ويروس در حافظه منتشر ميشود. علاوه بر اين برخي ويرسها قادر به آلوده كردن boot sector هستند كه اين حرف به مفهوم آلوده كردن كل سيستم در هنگام راهاندازي كامپيوتري ميباشد. در اين فصل ويروسهاي كامپيوتري و روشهاي مقابله با آنها بررسي خواهند شد.
علايم آلودگي :
مهمترين نشانههايي كه حاكي آلوده شدن يك سيستم توسط ويروس هستند، عبارتند از:
·زمان بارگذاري برنامهها طولانيتر ميشود.
·فايلها ناپديد ميشوند.
·اندازهي برنامهها يا فايلها تغيير ميكند.
·تصاوير يا متون غيرمتعارف روي صفحه ظاهر ميشوند.
·داريوها نادرست عمل ميكنند.
·عناصر سيستمی به صورت تخريبشده نشان داده ميشوند.
·فضاي ديسك بدون هيچ توضيحي زياد ميشود.
·فرامين CHK DSK يا SCAN DISK نتايجي نادرست نشان ميدهند.
·اسامي فايلها(خصوصا فايلهای dll) تغيير ميكنند.
·صداهايي عجيب از صفحه كليد به گوش ميرسد.
·ديسك سخت از كنترل خارج ميشود.
انواع ويروسها :
متداولترين ويروسها را ميتوان به صورت زير طبقهبندي كرد:
اسب تروا، ويروسهاي چند شكلي و تك شكلي، ويروسهاي پنهان، ويروس كند، ويروس پسرو، ويروسهاي چند بخشي، ويروس زررهپوش و ويروسهاي ماكرويي.
عملكرد هر ويروس با ديگري متفاوت است كه در زير به بررسي آنها ميپردازيم.
اسبهاي تراوا :
اسبهاي تراوا ويروسهايي هستند كه خود را در بدنه يك فايل اجرايي يا غير اجرايي (نظير يك فايل فشرده) پنهان ميكنند. اسب تراوا پس از عبور ايمن از سد برنامهي ويروسياب شروع به فعاليت ميكند اسبهاي تراوا معمولاً در قالب برنامههاي مفيد يا كتابخانه يك فايل فشرده جاي ميگيرند، و در عمل حاوي زير روالهاي مخرب ميباشند. شايد بهترين تعريف موجود براي اسبتراوا را دان ادوارد، هكر پيشين MIT كه براي NSA ويروسها را شكار ميكند ارائه كرده باشد. او ميگويد: «اسب تراوا يك برنامه مخرب ايمنشكن ميباشد، كه در قالب بازيها، آرشيوها و برنامههايي براي شناسايي و تخريب ويروسها عرضه ميگردد.» امروزه اكثر برنامههاي ويروس ياب، اسبهاي تراوا را شناسايي ميكنند.
اسبهاي تراوا براي اولين بار در قالب برنامهاي به نام Crackerjack شناسايي شدند. اين برنامه براي شكستن و شناسايي كلمات رمز برنامهها به كار ميرفت، اما اولين نگارش اين برنامه در واقع كاري بيش از حدس زدن كلمه رمز انجام ميداد. اين برنامه مخفيانه محتويات ذيل كلمه رمز را براي شخصي كه اسب تراوا را درون نرمافزار كار گذاشته بود ميفرستاد.
ويروسهاي چند شكلي:
اين دسته از ويروسها، بدنه ويروس را كد ميكنند. بدين ترتيب از ديد ويروسكش پنهان ميمانند. يك ويروس چند شكلي، براي سر هم كردن خود ابتدا با استفاده از يك تابع كد گشايي ويژه بخش كد شده خود را از حالت كد خارج ميكند. بدين منظور براي لحظهي كوتاهي كنترل كامپيوتر را در اختيار ميگيرد. پس از كد گشايي تابع كد گشا، كنترل كامپيوتر را در اختيار بدنهي ويروس قرار ميدهد تا ويروس منتشر شود.
ابتداييترين ويروسهايي كه داراي بدنهي كد شده بودند، ويروسهاي تك شكلي بودند. به عبارت بهتر از تابع كد گشايي استفاده ميكردند كه همواره ثابت بود. شناسايي يك ويروس چند شكلي براي برنامههاي ويروسياب بسيار مشكل است. يك ويروس چند شكلي هر بار كه يك فايل اجرايي جديد را آلوده ميكند كل تابع كد گذاري و كد گشايي و امضاي ويروس را تغيير ميدهد.
ويروسهاي پنهان:
اين ويروسها تغييراتي كه روي فايل يا ركوردهاي راهاندازي انجام ميدهند، مخفي ميكنند. بدين ترتيب كه سيستم عامل را وادار به خواندن فايلها كرده تغييراتي روي آنها به وجود ميآورند كه طبيعي به نظر رسند و سپس آنها را نمايش ميدهند. در نتيجه كاربر متوجه تغييري نميشود. بدين ترتيب برنامه ويروس ياب نيز تا حدي فريب ميخورد.
ويروس براي محافظت خود در برابر ويروس ياب در هنگام جستجو بايد درون حافظه قرار گيرد. اولين ويروس ثبت شده از اين نوع Brain ميباشد كه يك ويروس تحت DOS است. اين ويروس اعمال ورودي و خروجي DOS را كنترل كرده و هر بار كه تقاضايي مطرح ميشود آن را به ناحيهاي از ديسك قبلاً boot سالم را در آنجا ذخيره كرده است هدايت ميكند. از ديدگاه برنامهنويسي، ويروس وقفه شمار 21H از DOS را تسخير كرده و نتايج فرامين DOS را به ناحيهاي دلخواه خود معطوف ميكند.
ويروسهاي كند رو :
شناسايي اين ويروسها هم سخت است، زيرا آنها فايلهاي مورد استفاده سيستم عامل را آلوده ميكنند به عبارت ديگر يك ويروس كند، تنها فايلي كه در حال حاضر مورد استفاده كاربر است را آلوده ميسازد. به عنوان مثال، يك ويروس كند ممكن است فقط ناحيه boot يك فلاپي را در حين اجرايي فرمانهايي نظير FORMAT يا SYS آلوده سازد. يكي از متداولترين اين ويروسها Darth - Vader ميباشد كه فقط فايلهايي از نوع COM را آن هم در هنگام نوشتن آنها توسط سيستم عامل آلوده ميسازد.
ويروسهاي پسرو :
يك ويروس پسرو با حمله مستقيم به ويروس ياب سعي ميكند از عمليات جستجو براي آشكار شدن خود عبور كند. حرفهايها از ويروس پسرو با عنوان ضد ويروسياب ياد ميكنند.
ساخت چنين ويروسي مشكل نيست. زيرا طراحان ويروس تقريباً به نام ويروسيابهاي موجود در بازار دسترسي دارند. تنها كاري كه بايد انجام گيرد اين است كه كليهي تواناييها و ويژگيهاي ويروسياب مورد بررسي قرار گرفته و با يافتن نقطه ضعف آن عمل نوشتن ويروس آغاز شود.
متداولترين روش عملكرد يك ويروس پسرو اين است كه فايل داده موجود در برنامه ضد ويروس را مورد بازبيني قرار داده و با ذخيره كردن امضاي ويروس آن فايل را پاك ميكند. بدين ترتيب ويروسياب قادر به شناسايي آن نوع ويروس خاص نيست.
ويروسهاي چند بخشي:
اين ويروسها هم فايلهاي اجرايي و هم سكتورهاي راهانداز را آلوده ميسازند. عنوان چند بخشي براي اين ويروس به خاطر توانايي آلودهسازي به روشهاي متعدد ميباشد. وقتي يك برنامهي آلوده به چنين ويروسي را اجرا ميكنيد، سكتور راهانداز ديسك سخت كامپيوتر آلوده شده و بدين ترتيب با هر بار اجراي يك برنامه آلودگي گسترش پيدا ميكند.
يكي از مشهورترين ويروسهاي اين گروه، ويروس one - Half ميباشد.
ويروسهاي زرهپوش:
ويروسهاي زره پوش خود را با قطعه برنامهاي مسلح ميكنند كه به واسطه عمل رديابي، شناسايي و تخريب بدنه ويروس مشكل ميشود. ويروس زرهپوش ممكن است با استفاده از «كد پوششي» كه حواس نظارهگر را از بدنه ويروس پرت ميكند خود را استتار نمايد. يكي از مشهورترين اين ويروسها ويروس وال است.
ويروس بدل:
ويروسهاي بدل با ايجاد يك نسخه ديگر از يك فايل اجرايي فعاليت ميكنند. به عنوان مثال يك ويروس بدل، ممكن است خود را با عنوان winword.com ذخيره كند. بدين ترتيب با هر بار اجراي winword .exe سيستم عامل ابتدا به سراغ winword.com رفته و با اجراي ويروس سيستم را آلوده كند.
ويروسهاي Phage:
آخرين گروه از ويروسها، ويروسهاي Phage هستند كه برنامهها يا پايگاه دادهها را به شكلي غير مجاز را تخريب كرده و تغيير ميدهند. حرفهايها اين دسته از ويروسها را پس از ويروس پزشكي phage انتخاب كردهاند. در چنين ويروسي يك سلول آلوده با كد ژنتيك آن تعويض ميشود (در پزشكي) به طور مشابه ويروس Phage در كامپيوتر يك برنامه اجرايي را با بدنه خود عوض ميكند.
روشهاي آلوده سازي سيستم :
مكانهايي كه ويروس از آنجا وارد سيستم شما ميشود متنوع ميباشند. اين مكان اگر يك فايل آلوده روي فلاپي، يا يك email يا download كرن يك فايل آلوده از اينترنت باشد، نتيجه يكسان است و به آلودگي سيستم ميانجامد.
پس از آلوده شدن سرويسدهنده هر كاربري كه برنامههاي آلوده را اجرا كند باعث آلودگي درايوها و فايلهاي ناحيه خود ميشود. سرويسدهنده مكاني مناسب براي تكثير ويروسها هستند، زيرا بسياري از برنامهها و فايلهاي راهانداز در آنجا قرار ميگيرند.
شبكههاي نقطه به نقطه حتي از شبكههاي اينترنتي نيز سريعتر آلوده ميشوند، زيرا ساختار امنيتي موجود در اين شبكهها بسيار پايينتر از الگوهاي ديگر است. علاوه بر اين به خاطر معماري شبكههاي نقطه به نقطه، ويروسها بهراحتي در طول شبكه جريان پيدا ميكنند.
ويروسهاي ماكرويي :
در حال حاضر، رشد اين دسته از ويروسها نسبت به ساير ويروسها بسيار چشمگير است. اين ويروسها علاوه بر كامپيوترهاي شخصي روي هر شبكهاي قابل رشد و توسعه ميباشند. بزرگترين خطر ويروسهاي ماكرويي عدم وابستگي آنها به سختافزار و سيستم عامل ميباشد. علاوه بر اين، ويروس ماكرويي به فايلهاي اجرايي كاري ندارد بلكه مستقيماً به دادهها حمله ميكند.
تنوع و گونههاي ويروس ماكرويي بهشدت در حال افزايش هستند. در اكتبر سال 1996 تنها 100 ويروس ثبت شده از اين نوع شناسايي شدند. در ماه مه 1997 تعداد آنها به 700 عدد رسيد و اكنون اين رقم اصلاً قابل مقايسه با قبل نيست. اين ويروسها با يك زبان داخلي و در درون برنامههايي كاربردي نوشته ميشوند. نمونههايي از اين برنامهها عبارتند از: برنامههاي حروفچيني، صفحهي گسترده و گرافيكي. نويسندگان ويروس براي آلودهسازي فايلهايي كه توسط اين نوع برنامهها ايجاد ميشوند، ماكروها را طراحي ميكنند. بدين ترتيب با مبادله فايلهاي آلوده ديگر كامپيوترها نيز آلوده خواهند شد. اكثر اوقات، ماكروها طوري فايلها را پاك ميكنند كه غير قابل بازگشت باشد. هر سيستم كه قادر به خواندن اين نوع فايلهاي آلوده باشد مورد تهاجم اين ويروس خواهد بود.
زبان داخلي برنامهها، غالباً از قدرتهاي زيادي برخوردار است و ميتواند اعمالي نظير حذف و تغيير نام فايلها و شاخهها را انجام دهد. همچنين ميتواند محتويات يك فايل را عوض كد. بسياري از ويروسهاي ماكرويي با استفاده از word Basic و Visual Basic for Applicaltion نوشته ميشوند. يك ويروس ماكرويي نوشته شده در VBA قادر به آلوده سازي يك فايل Excle يك پايگاه Access يا يك طرح Power Point ميباشد. |