A VÍRUSOK

 BEVEZETÉS

Az Internet használata lassan hozzátartozikhétköznapi tevékenységeinkhez. Ma már szintemindenkinek lehetõsége van arra, hogy vagy aziskolából, vagy a munkahelyrõl, vagy nem utolsósorban otthonról elérje a világhálót.Mindezek mellett egyre többen csatlakoznak az Internetre - napontaakár több ezren is -, ennek köszönhetõen aháló lassan mindenhová elér. A hálóracsatlakozik már minden olyan vállalat, intézmény,vállalkozás, amelyik nem akar lemaradni a fejlõdésben.Ennek köszönhetõen szinte már mindenhova el lehetjutni az Internet segítségével. Ígylehetõségünk van arra, hogy otthon akarosszékünkben ülve látogatást tegyünkegy múzeumban, sétáljunk egy város utcáin,vagy elmenjünk egy áruházba és megvegyük anekünk tetszõ árucikkeket.

Az Internet tehát kitágítja részünkreszinte az egész világot, megkönnyíti azismeretszerzést, a tanulást és természetesena szórakozásnak is ragyogó forrása. Azóriási elõnyök mellett a világhálóravaló csatlakozásnak vannak árnyoldalai is. Az Internethasználata veszélyekkel járhat, ami abból fakad,hogy a kiépített hálózaton keresztül nemcsak mi tudunk eljutni akárhova, hanem akárhonnan be isléphetnek a mi hálózatba kapcsolt gépünkre.

Erre a veszélyre sokan sajnos nem is gondolnak akkor, amikorleülnek a gépük elé. Ezért fontos felhívnia figyelmet, hogy legyünk felkészülve arra, az Internetenkeresztül nem csak az juthat el hozzánk, amit mi akarunk, hanemaz is, amit más (nem feltétlenül jóakaratú)akar eljuttatni.

Az Internet használatának a veszélyeire ésa védekezés lehetõségeire hívja fel azolvasó figyelmét ez a három részbõlálló cikksorozat.

A sorozat elsõ részének témája aszámítógépes vírusokfelépítése, csoportosítása és avírusfertõzés elkerüléséneklehetõségei.
A második részé a hálózativeszélyforrások, támadások, okozott károkés a védelem megvalósításánakkülönbözõ lehetõségei.
A harmadik részben néhány adatvédelmilehetõséget ismerhet meg az érdeklõdõ.

 
 
 A VÍRUSOK TÖRTÉNETE

A számítógép-vírusok megjelenéseegybeesik a számítógép megjelenésével,hiszen már a hetvenes években, a mai értelemben vettszámítógép kifejlesztésénekidején írtak programokat, amelyek tartalmaztak olyanutasításokat, amik szándékosan rongáltak,illetve hibákat okoztak. Az ilyen programok kifejlesztésévelaz volt a készítõk célja, hogy teszteljéka számítógép terhelhetõségét.A hétköznapi ember azonban sokáig nem találkozhatott,de még csak nem is hallott arról, hogy léteznek másvírusok is, mint a már megszokott és éventetöbb millió embert ágynak döntõ influenzavírusok. Ezen nem lehet csodálkozni, hiszen sokáig acsúcs gép a ZX Spektrum, vagy a Commodore volt, amire elégnehéz lett volna vírust telepíteni. Aszámítástechnika azonban rohamosan fejlõdött,megjelentek az Intel x86-os processzorai, és velük a nagyobbmemóriák és tároló eszközök.Ezzel felvirradt a vírusok hajnala is. Szakértõk szerintnapjainkra az ismert víruscsaládok száma meghaladjaa 10-20 ezret, és a parazita programok köre egyrebõvül.

Az elsõ - IBM-PC-re íródott - vírusokközé tartozott az 1986-ban megjelent Brain (magyarul: agy). Eza számítógép boot szektorát fertõztemeg. A boot szektorban találhatók aszámítógép alapbeállításai,ezért a fertõzés után elõfordult, hogya bekapcsolást követõen a gép nem ismerte felnémelyik meghajtót, vagy megváltoztatta a fájlokneveit, azok méretét.

De mik is azok a számítógépvírusok?Olyan parazita programok, amelyek önállóan képesekszaporodni, azaz magukat sokszorosítani. Létezésüksohasem a véletlen mûve, hanem egy elõre megfontoltprogramozói tevékenységnek a végeredménye.Általában az alapvetõ tevékenységüksaját maguk elterjesztése, de némelyikben van olyankódrészlet, amit valamilyen jelenségelõidézésére programoznak. Léteznek olyanvírusok, amelyek csak valamilyen ártalmatlan csínytkövetnek el, de vannak olyanok is - sajnos elég sokan - amelyekfeladata a teljes adatmegsemmisítés. Egy biztos, akármilyenártalmatlan is egy vírus, valamilyen kárt mindenképpenokoz.

 
 
 A VÍRUSOK FELÉPÍTÉSE

Minden vírus általában három alapvetõrészbõl áll:

 1) reprodukciós rész; 

 2) mûködésbe lépés feltétele; 

 3) utasítás sorozat (objektív rutin).

A reprodukciós rész a vírus legfontosabb része,mert ez az, ami terjed, azaz megkeres olyan programokat vagyalkalmazásokat, amelyekbe be tudja írni magát.

A mûködésbe lépés feltételeszámos dolog lehet. Például: az év megadott napja,minden hónap egy konkrét napja, a nap valamelyik órája,valamilyen alkalmazás elindítása, esetleg egybillentyûkombináció, stb.

Az utasítás sorozat, az ún. objektív rutinhatározza meg azt, hogy hogyan rongáljon a vírus.

 
 
 A VÍRUSOK CSOPORTOSÍTÁSA

A számítógépes vírusokat a szakemberektöbbféle szempont szerint szokták csoportosítani.Az egyik ilyen szempont lehet, hogy milyen a vírusok terjedésitípusa, vagyis az, hogy a rendszerünk melyik elemét szemelikki szaporodásuk közegének. A másik szempont avírusok a tulajdonságainak milyensége, vagyis az, hogyhogyan képesek magukat elrejteni, megnehezíteniazonosításukat.

A vírusok csoportosítása afertõzésközvetítõ

elem szerint

A megtámadott rendszerelemeket figyelembe véve négyvírustípust szokásmegkülönböztetni:

 - boot szektor vírus; 

 - állományvírus (file vírusok); 

 - társult (companion) vírus; 

 - makróvírus.

Ezeken kívül egyes médiákban márhírül adták, hogy megjelentek a Windows scripteketfertõzõ vírusok, és az Interneten fertõzõmunkát kifejtõ úgynevezett html férgek (worm).Ezek valószínûleg a számítógépesparaziták új csoportját fogják majd alkotni.

Boot szektor vírusok

Mint azt márt fentebb említettük, az elsõkközé számítószámítógépvírus, a Brain is ehhez a csoporthoztartozott. Ezek a vírusok a hajlékony- és a merevlemeznekazt a szektorát támadják, amely az operációsrendszerre, illetve az állományokra vonatkozóinformációkat tartalmazza. Csak akkor aktivizálódnak,amikor az operációs rendszert (DOS, OS/2, Windows), aszámítógép elindulásakor, a bootszektorból betöltjük, kiolvasni azalapbeállításokat. Fertõzött rendszerindulásakor a vírus a memóriába kerül, majdmikor hajlékony lemezt (floppy) teszünk a meghajtóba,megfertõzi annak boot szektorát.

Manapság ezek ellen a vírusok ellen elég jóltudunk védekezni, mert már csak nagyon ritkán indítjuka számítógépünket hajlékonylemezrõl,vagy a legtöbb esetben ezt ki is kapcsoljuk. Emellett aszámítógép BIOS-ábanbeállítható a boot szektor írásvédelmeis, így a fertõzõdés veszélye iskisebb.

Állományvírusok

A vírusoknak ez a csoportja a programfájlokat fertõzimeg, de elsõsorban a COM, EXE és BAT kiterjesztésûprogramokat veszik célba. Ezekbõl a vírusokbólvan a legtöbb, ezek a legelterjedtebbek. A fertõzött programfuttatásakor átmásolják önmagukat, ésképesek akár merevlemezünk tartalmánakmegsemmisítésére is.

Kezdetben csak a COM fájlokat fertõzték, de hamarosanmegjelentek az EXE és a BAT fájlokat fertõzõkis. Két fajtájuk van. Az egyik egyszerûenfelülírja az eredeti programot, vagyis tönkreteszi azt,a másik - az intelligensebb változat - a programvégéhez fûzi hozzá magát, és afájl elején található utasításokatmódosítja. Így a program indításakorõrá kerül a vezérlés. Ezek ellen tudunka legnehezebben védekezni.

Társult vírusok

A társult (companion) vírusok a DOSparancs-végrehajtási láncának egyik speciálisrészletét használják fel. Abban az esetben, amikoregy programot el akarunk indítani, a legtöbb esetben csak anevét gépeljük be, a kiterjesztést csak nagyonritkán. Ekkor az operációs rendszer egy, a paranccsalazonos nevû és COM kiterjesztésû programot keres.Amennyiben ilyent nem talál, akkor elõször EXE, majd BATkiterjesztésûekkel folytatja a keresést. Amelyiketelõbb találja meg, azt futtatja le. Ezt használja kia vírus azzal, hogy COM kiterjesztéssel odamásoljamagát a megfertõzendõ - általában EXEkiterjesztésû - program elé, így az eredeti programelõtt aktivizálódik.

A társult vírusok másik típusa a PATHkörnyezeti változóban megadott könyvtárakközül valamelyikbe - a megfertõzendõ programkönyvtáránál elõbb szereplõbe -másolja be magát. A DOS ugyanis abban az esetben, amikor amegadott parancs szerinti programot nem találja az aktuáliskönyvtárban, akkor a PATH-ban megadott könyvtáraksorrendjében kezdi el a keresést. Ha a vírus elõbbvan, mint a programunk, akkor az fog lefutni.

Ezekkel a módszerekkel a megfertõzni kívántprogramhoz hozzá sem kell nyúlni, ezért sokkal továbbészrevétlen tud maradni a vírus, ami nagyonmegnehezíti az ellenük való védekezést.

Makróvírusok

A Windows '95 megjelenéséig már több ezerCOM és EXE fájlt megtámadó vírus szabadultrá a számítógépekre. A DOShasználatának fokozatos visszaszorulásával azonbanmár azt képzelték az optimistábbak, hogy aszámítógépvírusok ki fognak halni. Ekkorderült égbõl villámcsapásként értmindenkit a Microsoft Word és Excel dokumentumokat megfertõzõ,és az ott alkalmazott utasítássorozatokkal terjedõmakróvírus.

Népszerûségüket annak köszönhetik,hogy a Microsoft a programjaiba beépített egy, afelhasználókat segítõ programozási nyelvetaz un. makró nyelvet. Ezzel a programozási nyelvvel könnyentud a felhasználó valamilyen hasznos programot írni,de sajnos ez kiváló környezet a makróvírusokfejlesztésére is, sõt még egyszerûbb is,mint a hagyományos programozási nyelveken. Amakróvírusok az adatfájlokat fertõzik meg, ésez eddig ismeretlen jelenség volt. Mindezek mellet nem csak a PC-ken,hanem a Macintoshon is képesek voltak terjedni. A gyorselterjedésüket segíti az a tény, hogy a dokumentumokcseréje napjainkban sokkal gyakoribb, mint aprogramállományoké, másrészt a Microsoftpresztízs okokból sokáig nem merte elismerni, sõttagadta a makróvírusok létének tényét.Veszélyességüket növeli, hogy manapság rengeteganyag készül Word vagy Excel formátumban, amiknek azelvesztése komoly veszélyeket rejt magában.

Ezek a vírusok egy vagy több makróbólállnak, legtöbbször tartalmaznak egy autómakrót,ami arra kell, hogy aktivizálódhassanak a fertõzöttállomány megnyitásakor. Az elsõgenerációs makróvírusok kihasználtákazt a lehetõséget, hogy a Normal.dot nevûsablonállomány korlátlanul módosítható.A megváltoztatott sablonú dokumentumot egy másik gépenmegnyitva, ott is módosul a Normal.dot, ezzel beépül avírust terjesztõ mechanizmus. Készültek mártrójai faló makróvírusok is, ezek afertõzött dokumentum megnyitásakor DOS parancsokatpróbálnak meg végrehajtani, alkalmasint nekilátnakleformázni a merevlemezt.

A makróvírusok függetlenek a Wordverziójától, mert a 6.0 óta a makrónyelvszinte változatlan. Az Excel dokumentumokkal is terjedhetnek amakróvírusok. Ezek hasonlóan mûködnek, minta Word vírusai.

Az igazi problémát azonban az jelenti, hogy megszülettekaz elsõ olyan szoftvercsomagok, amelyek futószalagon képesekmakróvírusokat gyártani. E programok kétszeresenis veszélyesek. Egyszer azért, mert bármiféleprogramozási tudás nélkül nagyüzemilegonthatók az új vírusok. Másodszor azért,mert az így elkészített vírusok alaposelemzésnek vethetõk alá, ami sok segítségetnyújthat egy kezdõ vírusírószámára.

Script vírusok

Ez egy új nemzetsége a vírusoktörzsfejlõdésének. A HTML oldalaknézegetésével szabadulhatnak a gépünkre.A JavaScriptek, AktivX alkalmazások, amiket HTML oldalakba szúrnakbe, azért hogy a web lapokat vonzóbbá,látványosabbá tegyék (térhatásúgrafikák, egyéb meghökkentõ megoldások).Ezek a gépünkön futnak, és hozzáférnekmerevlemezünkhöz, így alkalmasak arra, hogy rongáljanak,letöröljenek adatokat gépünkrõl, elküldjenekállományokat bizonyos címekre, stb. a tudtunkonkívül.

Internet férgek

Az elektronikus levelezéseink (e-mail) során gyakranelõfordul, hogy csatolunk a levelünkhöz valamilyenállományt. A féreg is így egy e-mail-hez csatoltfájlként érkezik hozzánk úgy, hogy alevél küldõje nem tud arról, hogy a féregis csatolta magát a levélhez. A levélhez csatoltfertõzõ melléklet végrehajtása utántelepíti magát a rendszerbe. Ezután elfogja az Internetreküldött elektronikus leveleinket, és mellékletkénthozzájuk csatolódik, így megfertõzi mindazokata rendszereket, amelyekkel levelezésben állunk.

Az elektronikus levélben létezik még egyvírusfajta, vagy inkább álvírus. Azálvírusokat tréfáskedvû Internetezõkindítják el a hálózaton. Ez nem más, mintegy kitalált vírusra való figyelmeztetés. Avírus maga nem létezik, de a felhasználók, akinektehetik, figyelmeztetõ levelet küldenek, így maga alevél válik vírussá. Hiszen vírusnak azszámít, ami önmagát tudja sokszorosítani,és terjedni képes. Ennek a károkozó hatásaabban rejlik, hogy a rengeteg feleslegesen elküldött levélterheli a levelezõ rendszert, a legrosszabb esetben azok le isállhatnak.

 
 A vírusok csoportosítása a fertõzési módszerek szerint

Memóriábanelrejtõzõ

A fertõzött program lefutásakor a vírus amemóriába írja be magát, és ott is marad,míg a gép be van kapcsolva. Ezután minden olyanállományt megfertõz, amit a memóriábavaló befészkelése után elindítanak. Azilyen parazitákat hívjuk rezidens vírusoknak.

Közvetlentevékenységû

Az ebbe a körbe tartozó vírusok azaktiválásuk után adott számúállományt fertõznek meg, majd visszaadják avezérlést a gazdaprogramnak.

Idõzítettbombák

A vírusoknak van olyan típusa, amely csak egy bizonyoslappangási idõ után kezdi el a fertõzést.Hogy mennyi ideig tart ez az inaktív idõszak, azt a vírusprogramozója határozza meg. Általában valamilyenfeltétel hatására aktivizálódik a vírus.Az ilyen feltétel sokféle dolog lehet: egy konkrétidõpont, dátum (pl. a csernobili tragédiaévfordulója, április 26-a), valamilyen esemény(pl. egy konkrét program elindítása), indításiszám, stb. Ha a feltétel teljesül, a vírusaktivizálódik, és különbözõtevékenységet folytat, ez lehet valamilyen "jópofa"program lefuttatása (pl. tûzijáték a monitorunkon),adatmegsemmisítés, adatmegrongálás, a merevlemezformázása, stb.

Lopakodó vírus

A vírusok számára a legfontosabb, hogy el tudjanakrejtõzni a felhasználó és a víruskeresõprogramok elõl. A felhasználó a programokméretváltozását, és az újállományok jelenlétét észlelheti. Ez ellena DOS könyvtárlistázó megszakításánaklecserélésével lehet védekezni. Egyvíruskeresõ program az állomány tartalmánakmegváltozását, vagy benne a vírust észlelheti.Egy lopakodó vírus képes akár egyfertõzött fájlt eredetinek feltüntetni azzal, hogylemezolvasási kéréseket figyel és fog el, majdhamis információkat szolgáltat a rendszerrõl.Ezzel a módszerrel el lehet tüntetni a lezajlottváltozásokat, a fertõzés tényétés mértékét.

Polimorf vírus

A polimorf vírus minden fertõzésekülönbözõ, ezzel azt akarja elérni, hogy avírusazonosító keresõkódalkalmazásával keresõ vírusirtókatkijátsza. Generációról generációraképesek a végrehajtási kódjukat, de sokszor méga mûködésüket is megváltoztatni. Nem ritkaaz sem, hogy akár fertõzésrõl fertõzésreis megváltozik a megjelenési kódjuk. Létezikolyan kódolást végzõ ún. generátor,ami képes a vírus megjelenését annyiraátkódolni két elõfordulás között,hogy csak egy byte marad változatlan. Ezzel eléri azt, hogynem lehet keresõmintát készíteni afelderítésére, hanem valamilyen más módszertkell alkalmazni.

Retrovírus

A retrovírus valamilyen konkrét alkalmazásra, vagyalkalmazásokra specializálódott vírus. Az ilyenalkalmazások általában az ismert vírusirtóprogramok lehetnek. A vírus azt a módszert használja,hogy megsemmisíti a kiválasztott programot, esetleglefagyasztással, vagy más módszerrel megakadályozzaannak mûködését, de gyakran átírjaaz antivírus programot úgy, hogy az ne ismerje felõt.

A vírusoknak a fenti csoportosítása nem jelentiazt, hogy egy vírust csak az egyik csoportba lehet besorolni. Avírusok saját védelmük és a miéletünk megkeserítése érdekében akülönbözõ elemek kombinációitalkalmazhatják, azaz egyszerre fertõzhetik a boot szektortés az állományokat, miközben rejtõzködnek,lopakodnak és mutálódhatnak is.

 
 
 ÖSSZEGZÉS

A sok vírustípus számbavétele utánfelvetõdik az a kérdés, hogy van-e egyáltalánellenük biztos védelem. Erre a válaszunk az, hogy nemlétezik abszolút biztonság a vírusok ellen, dea fertõzés valószínûségétsikerülhet elfogadhatóan alacsony szinten tartani. Ehhezfeltétlenül védekezésre van szükség,mert a védekezés elhanyagolása esetén szinteteljesen biztos, hogy a rendszerünk károkat fog szenvedni.

A védekezésben az elsõ számúakadálynak az operációs rendszernek kellene lennie.Sajnos a Microsoft DOS, Windos'95 és Windows'98-as operációsrendszere ezen a téren még elég fejletlen. A másikismert, és az ingyenes terjesztése miatt egyrenépszerûbb operációs rendszer a Linux, valamiveljobban ellátja ezt a feladatát. Sokáig nem is lehetetthallani olyan vírusról, ami a Linuxban terjedt volna, de most,hogy már olyan sokan használják, már vettéka fáradtságot a víruskészítõk,hogy erre az operációs rendszerre is elkészítsékaz elsõ vírusokat.

A vírusfertõzéselkerülésének alapszabályai

 1. Legyen megbízható mentési (backup) rendszerünk, amely rendszeresen elmenti az állományokat. 

 2. Lássunk el írásvédelemmel minden floppy lemezt. Így a vírus nem tudja megfertõzni a lemezt, illetve vírus fertõzés esetén képesek leszünk arról újra installálni a programjainkat.  

 3. Minden hozzánk érkezett új fájlt ellenõrizzünk vírus ellen. Az ellenõrzés terjedjen ki az Internetrõl letöltött, illetve újságmellékletben szereplõ szoftverekre is. 

 4. Még akkor is szakítsunk idõt vírusellenõrzésre, ha biztosak vagyunk abban, hogy a forrás megbízható.  

 5. Vásároljunk, vagy ha tehetjük, töltsünk le az Internetrõl jó antivírus szoftvercsomagot, és azt rendszeresen frissítsük.

• 2011 Szeptember
• 2012 Április