Exe faylini viruslardan tozalash kerak. Ularga qarshi kurash usullari nima

Ushbu maqola haqida gapiradi viruslaryuqtirish EXE fayllari. Tasnif berilgan viruslarUlarning asarlarining algoritmlari batafsil, ular o'rtasidagi qadr-qimmat va kamchiliklar o'rtasidagi farqlar hisoblanadi.

Viruslar - Bu juda yaxshi gimnastika, garchi ko'pchilik bu yozishni o'ylaydi virus Yuqori darajadagi til juda qiyin. Bu unchalik emas. Paskal tilida yozish juda oson, ammo natijada olingan kodning qiymati hurmatli hayajonga sabab bo'ladi.

Har bir tur uchun viruslar Batafsil sharhlar yozilgan manbalar matnlari. Shuningdek, ish stansiyalari va tamoyillari haqida asosiy ma'lumotlar keltirilgan. Sobiq dastur.

Som fayllari (Asosan majlisda yozilgan kichik dasturlar asta-sekin, ammo to'g'ri o'g'irlangan. Ular o'lchamlari bilan qo'rqitish uchun kelishadi EXE-"HAYVERLAR". Qanday yuqishni biladigan viruslar mavjud EXE fayllari.

Sobiq dasturni yuklash jarayoni va jarayoni

O'xshamagan Som-dasturi, Sobiq dastur Bir nechta segmentlardan (kodlar, ma'lumotlar, stack) iborat bo'lishi mumkin. Ular 64 kb dan ko'proq narsani egallashlari mumkin. Sobiq fayl Uning yuklash paytida ishlatiladigan sarlavhaga ega. Sarlavha imzo va yuklab olish uchun zarur bo'lgan ma'lumotlarni o'z ichiga olgan formatlangan qismdan iborat Exe-faylmanzillarni o'rnatish uchun jadvallar ( Qayta ko'chirish jadvali). Jadval format segmentidagi qiymatlardan iborat: Ofset. Jadvaldagi qiymatlarni ko'rsatadigan yuklash modulida, dasturni yuklagandan so'ng, dasturni xotiraga yuklab olinadigan dasturni yuklagandan so'ng, tizimga yuklab olinishi kerak.

Boshlanganda Sobiq dastur tizim yuklashi (DOS 4BH funktsiyasini chaqirish) quyidagi qadamlar:

1. Xotiradagi bo'sh joyning segment manzili aniqlanadi, hajmi

dasturni joylashtirish uchun etarli.

2. Atrof muhit o'zgaruvchilari uchun xotira bloki o'rnatilgan va to'ldirilgan.

3. PSP va dastur uchun xotira bo'limi mavjud (segmentatsiya - psp;

segment + Oyuoo - dasturi).

PSP dalalarida tegishli qiymatlar kiritiladi.

4. DTA tugmasini PSP: 0080h-ga o'rnatilgan.

5. Ishni yuvadigan ish maydonchasi formatlangan

sarlavha Exe-fayl.

6. Formula tomonidan yuklash moduli uzunligi qo'shiladi:

Si7.e \u003d ((Pagecnt * 5i2) - (HDRSAE * I6)) - PA! Tp3ig.

7. Boating Modulining joyiga almashtirish

8. Segment manzili (start_SEG) yuklab olish uchun qo'shiladi - bu psp + lo.

9. Yuklash moduli (manzildan boshlab)

Start_seg: 0000).

10. Har bir sozlash stoliga kirish uchun:

a) i_off va I_SE so'zlarini o'qing;

b) oqim ^ Seg-start ^ Seg + LSG hisoblab chiqilgan;

c) so'z Reo_seg-da o'qilgan: i_off;

d) Street_SEG o'qishga qo'shiladi:

e) natija bir xil manzil bo'yicha esda qoladi (ROLO_SEG: I_off).

11. Dasturning xotira maketiga muvofiq taqsimlanadi

12. Rejalar boshlangach, dastur bajarilmoqda:

b) ahvoli bo'yicha haydovchi identifikatorlarining to'g'riligini tekshirishning natijasi;

c) ss ° Start_seg + Sro -Os, SP-Up;

d) cs \u003d start_seg + recocs, IP \u003d Exes.

Exe viruslarining tasnifi

Exe-virus. Shartli ravishda algoritmning xarakteristikasi yordamida belgi sifatida ajratilishi mumkin. ViruslarQayta yozish.) Bunday viruslar Allaqachon noyob narsa bo'lgan. Asosiy kamchilik juda qo'pol ish. Infektsiyalangan dasturlar bajarilmaydi, chunki virus U dastur kodining yuqori qismida uni saqlamasdan yoziladi. Boshlanganda virus Boshqa qurbonlikni qidirmoq (yoki jabrlanuvchi), asl kodni saqlamaslik uchun o'z tanasini tahrirlash va yozib olish uchun topilgan faylni ochadi va yozib oladi. Ular bilan yuqtirilgan viruslar Holatga kelmaslik dasturi amal qilmaydi.

Sun'iy yo'ldosh viruslari (sherigi)

Bular viruslar Ko'pchilik algoritm tufayli ularning ismini oldi:

fayl tuzatuvchisi har bir infektsiyalangan fayl uchun yaratilgan. Ushbu guruhning ikki turidagi viruslarni batafsil ko'rib chiqing:

Viruslar birinchi tur quyidagicha ko'paytirildi. Har bir infektsiyalangan uchun Exe-fayl Xuddi shu katalog xuddi shunday nomga ega bo'lgan virusli kod faylini yaratadi Sobiq faylAmmo kengayish bilan SOM.. Virus Agar bajariladigan faylning nomi buyruq satrida ko'rsatilgan bo'lsa, u faollashtiriladi. Agar fayl kengaytmasi ko'rsatilmasa, haqiqat shundaki, DOS. Birinchidan, joriy katalogda ko'rsatilgan ism va kengayish bilan faylni qidiradi. SOM.. Agar a So'mlik Ushbu nom topilmadi, bir xil nomni qidirish qidirilmoqda. Exe-fayl. Agar topilmasa va Sobiq fayl, DOS aniqlashga harakat qiladi Vatt. (Paket) fayl. Joriy katalogdagi bajariladigan fayl bo'lmaganda belgilangan ism Qidiruv o'zgaruvchan tomonidan mavjud bo'lgan barcha kataloglarda o'tkaziladi. Yo'l.. Boshqa so'z bilan, foydalanuvchi dasturni ishga tushirishni istaganida va buyruq satrida faqat uning ismini teradi (Asosan hamma narsa qilingan), birinchi nazorat oladi viruskimning kodi So'mlik. U yaratadi So'mlik boshqa yoki undan ko'p Exe-fayllar(amal qiladi) va keyin bajaradi Sobiq fayl buyruq satrida ko'rsatilgan nomi bilan. Foydalanuvchi faqat yugurish deb o'ylaydi Sobiq dastur.

Virus sun'iy yo'ldoshi neytrallashtiradi juda shunchaki - shunchaki o'chirish

Som fayl.

Viruslar Ikkinchi turli bir tipdagi harakat. Nomi infektsiyalangan

Exe-fayl bir xil bo'lib qoladi va kengaytma har qanday narsa bilan almashtiriladi

yana bir narsa amalda ( Bir kun, exe va vatt), Masalan,

fayl uzaytirish mumkin Data. (ma'lumotlar fayli) yoki Ovl. (pro-

gram uzatish). Keyin joyda Exe-fayl Nusxa ko'chirmoq virusli Kod. Bunday yuqumli dasturni boshlaganingizda, menejment oladi virusli kodi joylashgan Exe fayllari. Boshqa yoki undan ko'p narsani yuqtirish EXE fayllari Shu tarzda virus Qaytish asl fayl. bajariladigan kengaytma (lekin e Heh va Som, bu kabi Sobiq fayl Ushbu nom virus bilan shug'ullanadi), shundan so'ng u amalga oshiradi. Infektsiyalangan dasturning ishlashi tugagach, kengaytma teggan faylga qaytariladi. Fayllarni davolashUshbu turdagi virus bilan yuqtirilgan bo'lsa, agar qiyin bo'lishi mumkin virus- Infektsiyalangan faylning qismi yoki butun tanasi va uni dekodlashdan oldin shifrlaydi.

ViruslarDasturda amalga oshirilgan (parazitsiya) Viruslar Ushbu tur eng ko'rinmasidir: ularning kodlari infektsiyalangan dasturda qayd etiladi, bu juda zarur har tomonlama davolash infektsiyalangan fayllar. Amalga oshirish usullarini ko'rib chiqing Sobiq fayldagi EXE viruslari.

Infektsiyalashning exori fayllari

Infektsiyaning eng keng tarqalgan usuli EXE fayllari Bunday: tananing oxirida tugadi. virusva sarlavha infektsiyalangan faylni ishga tushirganda, tanlangan faylni boshlaganda virus. Infektsiyaga o'xshaydi Som fayllariAmmo o'tish kodi virus boshiga o'tish kodiga binoan dasturni ishga tushirish manzili to'g'rilanadi. Ish tugaganidan keyin virus saqlangan sarlavhadan dasturni ishga tushirishning asl manzili (virus boshlanganida olingan) komponentning asl qismini qo'shadi (virus boshlanganida olingan) va qabul qilingan manzilga qaytariladi .

Keyingi usul - virusni kod smife faylining boshiga o'tkazish

dasturlar. Infektsiya mexanizmi bu: tana infektsiyalangan dastur Xotiraga o'qing, uning joyiga yozilgan virusli kodva undan keyin - kod infektsiyalangan dasturlars. Shunday qilib, Dastur kodi virus kodi uzunligi uchun "siljigan" ko'rinadi. Shunday qilib, usulning nomi - "smenali usul". Infektsiyalangan faylni ishga tushirganda virus U boshqa yoki boshqa fayllarni yuqtiradi. Shundan so'ng, dastur kodini xotiraga o'qiydi, uni bajariladigan faylni uzaytirgan holda maxsus yaratilgan vaqtinchalik faylda yozadi ( SOM yoki EHE) va keyin ushbu faylni bajaradi. Dastur ish tugaganida vaqtincha fayl o'chiriladi. Agar virusni yaratish paytida qo'shimcha himoya usullari ishlatilmasa, infektsiyalangan faylni davolash juda oson - faqat faylning boshida virus kodini o'chirib tashlaydi va dastur yana ishga tushadi. Ushbu usulning noqulayligi shundaki, infektsiyalangan dasturning butun kodini xotirada o'qish kerak (chunki 1 MB dan ortiq holatlar mavjud).

Fayllarni infektsiya qilishning keyingi usuli - Transfer usuli - aftidan, aytilganlarning eng mukammal biridir. Virus quyidagicha ko'payadi: tanani infektsiyalangan dasturni boshlaganda virus Undan o'qiladi. Keyin kuzatilmagan dasturni qidirish topilmoqda. Boshlanishi xotirada o'qiladi, teng tananing uzunligi Virus. Tana bu joyga yozilgan. virus. Xotiradagi dasturlar fayl oxirida tugaydi. Shunday qilib, usulning nomi "O'tkazma usuli". Keyin virus Bir yoki bir nechta faylni yuqtirgan, u dasturni boshlagan dasturni bajarishni boshlaydi. Buning uchun u fayl oxirida saqlanib qolgan infektsiya dasturining boshlanishini o'qiydi va dastur faoliyatini tiklab, faylning boshlanishiga yozadi. Keyin virus Dasturning oxiridan dasturni boshlashni o'chiradi, faylning asl uzunligini tiklang va dasturni amalga oshiradi. Dastur tugagandan so'ng, virus o'z kodini faylning boshiga qaytaradi va dasturning asl boshlanishi tugashi bilan bog'liq. Ushbu usul hatto yuqtirishi mumkin antiviruskimning benuqsonligi uchun o'z kodini tekshiradigan virus Dastur infektsiyadan oldin xuddi shu kodga ega.

ViruslarDasturiy ta'minot kodini almashtirish ( Qayta yozish. ) Yuqorida aytib o'tilganidek, bu tur viruslaruzoq vaqtdan beri o'lgan. Vaqti-vaqti bilan ko'proq ko'rinadi viruslartil Majlis., lekin bu eng kichigini yozishda raqobat virusni qayta yozing. Ayni paytda mashhurlarning eng kichigi viruslarni qayta yozing yozma Eslatma (o'lim Virii ekipaj guruhi) va 22 baytni oladi.

Virus ishini qayta yozing Algoritm:

1. Virusni qabul qilgan faylni oching.

3. Faylni yoping.

4. Infektsiya uchun mos niqob orqali qidirish.

5. Agar fayllar endi topilmasa, 11-bosqichga o'ting.

6. Topilgan faylni oching.

7. Topilgan fayl ushbu virus bilan yuqtirilganligini tekshiring.

8. Agar fayl infektsiyalangan bo'lsa, 10-bandga o'ting.

9. Virus kodini boshiga yozib oling.

10. Faylni yoping (ixtiyoriy ravishda siz bittadan hamma narsani yuqtirishingiz mumkin)

diskda yoki diskda baliq ovlash).

11. "g'ayritabiiy dasturni tugatish" yoki "xotira emas" kabi har qanday xato xabari, - foydalanuvchi boshlanmaganidan ajablanarli emas.

12. Dasturni yakunlang.

Quyida fayllarni shu tarzda yuqtirish dasturining ro'yxati keltirilgan.

($ M 2048, 0, 0)

(DOS va tizim modullari ishlatiladi (tizim moduli avtomatik ravishda har bir kompilyatsiya dasturiga ulanadi))

(Virus nomi)

Virname \u003d 'Og'riq';

(Qayta infektsiyani tekshirish uchun satr.

Koddan keyin darhol infektsiyalangan faylni qo'shadi virus}

Virlyabel: String \u003d 'Og'riq! 1;

(Kompilyatsiya uzunligi Exe-fayl}

Muallif \u003d 'iflos natsist / stww.';

(Bir seansda yuqtirilgan fayllar soni)

(Nusxaning mavjudligini aniqlash uchun massiv virus Topilgan faylda)

Virldentifer: char masi;

(Fayllar bilan ishlash uchun fayl o'zgaruvchisi)

(Boshqa bir fayl o'zgaruvchisi - bo'lmasa ham, buni amalga oshirish mumkin edi)

(Topilgan fayl nomi uchun)

MaqsadliFile: PathRad;

(Tana buferi Virus)

Virbuf: Comray [-i.Virnen] char;

(Soatlar / vaqt fayli uchun)

(Infektsiyalangan fayllar sonini hisoblash)

Dirlnfo: qidiruvREC;

Labelbuf: char masi;

(Initsializatsiya)

Labelbuf: \u003d virlabel;

Labelbuf: \u003d virlabel;

Labelbuf: \u003d virlabel,

Labelbuf: \u003d virlabel;

Labelbuf: \u003d virlabel;

(Raqam hisoblagichini qayta o'rnating infektsiyalangan fayllar}

(Biz fayl o'zgaruvchan virusini dastur nomi bilan bog'laymiz)

Tayinlang (virual, parametr (o));

(Faylni recsee \u003d 1 bayt bilan oching)

Qayta tiklash (vir, 1);

(Tanani fayldan o'qing) Virus Virbuf hududida)

Blokring (viruraning virbuf, viril);

(Close faylini)

(Jabrlanuvchini qidiring)

protsedura pltaktet;

(Agar dastur topilgan dastur allaqachon infektsiyalangan bo'lsa, u hali bo'lmasa, u hali hisoblangan bo'lsa, funktsiya to'g'ri keladi)

viruspresent: Boolean;

Viruspresent: \u003d noto'g'ri;

(Topilgan faylni oching)

Tayinlash (maqsad, maqsadli);

Qayta tiklash (maqsad, 1);

(Tana uzunligi uchun harakatlaning virus Faylning boshidanoq)

Qidirmoq (maqsad, vint);

(5 baytni o'qing - agar fayl allaqachon infektsiyalangan bo'lsa, yorliq mavjud virus}

Blokring (Maqsad, virjalganififikasi, 5);

Agar Virldentififer \u003d Virl_Abel Gap

(Agar yorliq bo'lsa, unda va keyin bor virus}

Viruspresent: \u003d haqiqat;

(Infektsiya jarayoni)

jarayonni infektsiya qilish;

(Agar topilgan faylning o'lchami virusning uzunligidan kam bo'lsa, unda biz protsedurani tark etamiz)

Agar Sr.Size bo'lsa< VirLen+100 Then Exit;

Agar dastur hali infektsiyalanmagan bo'lsa, uni yuqtirish

Agar virus berilmagan bo'lsa

(Faylning sanasi va vaqtini eslaymiz. Atributlarni eslay olmaymiz, chunki qidiruv arxiv atributlari bilan amalga oshiriladi va ushbu atribut baribir saqlagandan so'ng faylga o'rnatiladi)

(Infektsiya uchun ochiq)

Tayinlash (maqsad, maqsadli);

Qayta tiklash (maqsad, 1);

(Tana yozuvi virus Faylning boshiga)

Blokirovka (maqsad, virbuf, viril);

(Hozirgi holat va uzunlikdagi ko'rsatgichni o'tkazing virus Faylning boshidanoq)

Qidirmoq (maqsad, vint);

(Infektsiya belgisini kiriting)

Blokirovka (maqsad, labelbuf, 5);

(Faylning sanasi va vaqtini o'rnating)

Setftime (maqsad, vaqt);

(Yoping)

(Hisoblagichni ko'paytiring infektsiyalangan fayllar}

(FindTartet protsedurasining boshlanishi)

(Joriy katalogda niqob faylini qidirmoqdamiz * .EXE

atributlar bilan Arxiv.}

FindNirstf.exe ', Arxiv, Sr);

(Infektsiya uchun fayllar bo'lsa)

DosError \u003d 0 do

Agar SR.Name \u003d "Keyin chiqing;

(Maqsadli o'zgaruvchisidagi topilgan faylning ismini eslang)

MaqsadliFile: \u003d sr.name;

(Infektsiya qilish tartibiga qo'ng'iroq qiling)

(Agar inffauny fayllari buzilgan bo'lsa, qidiruvni yakunlang)

Agar impullar - Chiqish uchun infccowe;

(Biz quyidagi maska \u200b\u200bfaylini qidirmoqdamiz)

(Asosiy tana)

(Boshlang'ich)

(Biz qurbonlar qidirmoqdamiz va ularni yuqtiryapmiz)

(Biz ekranga xato xabarini chiqaramiz)

WRITITELN ('g'ayritabiiy dasturni tugatish.);

(Bu kompilyator vovaril va muallifning doimiy kodini kiritishi, bu holat hech qachon ko'rsatilmaydi) holatiga o'rnatiladi)

Writeln (Virnname);

WRITITELN (muallif);

Sun'iy yo'ldosh viruslari (sherigi)

Yo'ldosh viruslari Endi keng tarqalgan - sherigi va parazitsning nisbati viruslar Taxminan bir-ikkisidan. Usul yaratish Som fayl Ushbu usulning sun'iy yo'ldoshning ma'nosi "begona mushuk" ning tegishi emas ( Exe-dasturi), "O'zingiz" yaratish - So'mlik Nomi bilan Sobiq dastur. Bu ishning algoritmi virus Bu juda oddiy, chunki u keraksiz harakatlar ehtiyojini yo'qoladi (masalan, tuzilgan uzunlikning virusining tanasida saqlash Exe-fayl dan virusli kod, tana buferiga o'qing VirusIshni ishga tushirish faylidan virus qabul qilingan boshqaruv). Fayl infektsiyasini aniqlash uchun yorliqni ham saqlashning hojati yo'q.

Infektsiya buyruq protsessoridan foydalangan holda amalga oshiriladi:

1. Agar parametrlar buyruqni chaqiruvida ko'rsatilayotgan bo'lsa, ularni saqlang o'zgaruvchan tur Infektsiyalangan dasturni uzatish uchun satr.

2. kecha Sobiq fayl-verttel.

3. Topilgan holda katalogda mavjud emasligini tekshiring Exe-fayl So'mlik Jabrlanuvchining fayli sifatida bir xil nom bilan.

4.Agar bunday So'mlik mavjud, fayl allaqachon infektsiyalangan, bor

6-bandda.

5. Axborotni nusxalash uchun buyruq protsessorining yordami bilan

jabrlangan va kengaytirish fayliga olib borildi SOM..

6. Esi Boshlang'ich nomi bilan faylni yuklab oling va bajaring, ammo kengaytma bilan exe - Bu infektsiyalangan dasturni amalga oshirish uchun.

7. DOS-ga boshqarish vositasini qaytaring.

Quyidagi ro'yxat bu haqda fayl infektsiyasini ko'rsatadi.

($ M 2048, 0, 0)

(Ishlatilgan DOS va tizim modullari (tizim avtomatik ravishda moduli)

kompilyatsiya qilinganda har bir dasturga ulanadi)

(Virus nomi)

Virname \u003d 'GESF;

Muallif \u003d 'iflos natsist / stww. Faqatgina 4 pvt! ';

(Raqam kasallangan Fayllarning bir sessiyasi uchun)

(Topilgan fayl nomi uchun)

MaqsadliFile: PathRad;

Exori fayllarini infektsiya qilish usullari

Exe fayllarini yuqtirishning eng keng tarqalgan usuli quyidagicha: virusning tanasi fayl oxiriga qo'shiladi va sarlavha infektsiyalangan faylni ishga tushirganda, protsedura virusni qabul qildi. Aftidan, kom-fayllarning ifloslanishi, ammo virus boshiga o'tish kodining o'rniga, dasturni ishga tushirish manzili to'g'rilanadi. Ish tugaganidan keyin virus saqlangan sarlavhadan dasturni ishga tushirishning asl manzili (virus boshlanganida olingan) komponentning asl qismini qo'shadi (virus boshlanganida olingan) va qabul qilingan manzilga qaytariladi .

Quyidagi usul - bu fayl kodining siljishi bilan faylning boshiga virusni kiritish. Infektsiya mexanizmi quyidagi: infektsiyalangan dasturning organi xotiraga o'qiladi, virusli kod o'z joyiga, va undan keyin infektsiyalangan dasturning kodi hisoblanadi. Shunday qilib, Dastur kodi virus kodi uzunligi uchun "siljigan" ko'rinadi. Shunday qilib, usulning nomi - "smenali usul". Siz infektsiyalangan faylni boshlaganingizda, virus boshqa yoki boshqa fayllarni yuqtiradi. Shundan so'ng, dastur kodini xotiraga o'qiydi, uni bajariladigan faylni (com yoki exe) kengayishi bilan maxsus yaratilgan vaqtinchalik faylga yozadi va keyin ushbu faylni bajaradi. Dastur ish tugaganida vaqtincha fayl o'chiriladi. Agar virusni yaratish paytida qo'shimcha himoya usullari ishlatilmasa, infektsiyalangan faylni davolash juda oson - faqat faylning boshida virus kodini o'chirib tashlaydi va dastur yana ishga tushadi. Ushbu usulning noqulayligi shundaki, infektsiyalangan dasturning butun kodini xotirada o'qish kerak (chunki 1 MB dan ortiq holatlar mavjud).

Fayllarni yuqtirish uchun quyidagi usul - transfer usuli - ko'rinadigan narsalarning eng mukammal biridir. Virus quyidagicha ko'paytiriladi: infektsiyalangan dastur boshlanganda, virus tanasi undan xotiraga o'qiladi. Keyin kuzatilmagan dasturni qidirish topilmoqda. Xotirada, uning boshlanishi o'qiladi, virus uzunligi tengdir. Virus tanasi bu joyga yozilgan. Dasturning rejasining boshlanishi fayl oxiriga qo'shadi. Shunday qilib, usulning nomi "O'tkazma usuli". Virus bir yoki bir nechta faylni yuqtirganidan so'ng, u dasturni boshlagan dasturni bajarishni boshlaydi. Buning uchun u fayl oxirida saqlanib qolgan infektsiya dasturining boshlanishini o'qiydi va dastur faoliyatini tiklab, faylning boshlanishiga yozadi. Keyin virus kodni boshlashni o'chirishni o'chiradi, faylning asl uzunligini tiklang va dasturni amalga oshiradi. Dastur tugagandan so'ng, virus o'z kodini faylning boshiga qaytaradi va dasturning asl boshlanishi tugashi bilan bog'liq. Ushbu usul bilan ularning yaxlitlik kodini tekshirish mumkin bo'lgan antiviruslar hatto infektsiyalashganda dastur infektsiyadan oldin bir xil kodga ega.