Интернет-журнал "Домашняя лаборатория", 2007 №7

• управление концентраторами, маршрутизаторами и телекоммуникационными устройствами посредством SNMP.Вирусы в среде Windows, способы внедрения Каким образом создаются Windows-вирусы? Для того чтобы оставить выполняемый код в памяти Windows, существует три способа, которые (за исключением Windows NT) уже применялись различными вирусами.

Самый простой способ — зарегистрировать программу как одно из приложений, работающих в данный момент. Для этого программа регистрирует свою задачу, окно которой может быть свернутым, регистрирует свой обработчик системных событий ит. д.

Второй способ — выделить блок системной памяти при помощи DPMI-вызовов и скопировать в нем свой код (вирус Ph33r).

Третий способ — остаться резидентно как VxD-драйвер (Windows З. хх и Windows 9х) или как драйвер Windows NT.

Перехват обращений к файлам производится одним из двух способов: либо перехватываются вызовы INT 21h (Hook_V86_Int_Chain, Get/Set_V86_Int_Vtctor, Get/ Set_PM_Int_Vector), либо перехватывается системный вызов API. Затем резидентные Windows-вирусы действуют примерно так же, как и DOS-вирусы: перехватывают обращения к файлам и заражают их.

Для обнаружения уже имеющейся в памяти резидентной копии используются примерно те же способы, что описаны выше, за исключением VxD-вирусов. Известные VxD-вирусы загружаются в память при загрузке Windows. Для этого они записывают команду запуска в файл конфигурации Windows SYSTEM.INI. Если в этом файле уже есть команда запуска вирусного VxD-файла, то вирус не производит повторной регистрации VxD-файла.

Макровирусы

Макровирусы, поражающие файлы Word, Excel или Office 97, как правило, пользуются одним из трех приемов: в вирусе либо присутствует автомакрос (автофункция), либо переопределен один из стандартных системных макросов (ассоциированный с каким-либо пунктом меню), либо макрос вируса вызывается автоматически при нажатии на какую-либо клавишу или комбинацию клавиш. Существуют также полувирусы, которые не используют всех этих приемов и размножаются, только когда пользователь самостоятельно запускает их на выполнение.

Таким образом, если документ заражен, при его открытии Word вызывает зараженный автоматический макрос AutoOpen (или AutoClose при закрытии документа) и запускает код вируса, если это не запрещено системной переменной DisableAutoMacros. Если вирус содержит макросы со стандартными именами, они получают управление при вызове соответствующего пункта меню (File/Open, File/Close, File/SaveAs).

Если же переопределен какой-либо символ клавиатуры, то вирус активизируется только после нажатия на соответствующую клавишу.

Большинство макровирусов содержат все свои функции в виде стандартных макросов Word, Excel, Office 97. Существуют, однако, вирусы, скрывающие свой код и хранящие его в виде немакросов.

Известно три подобных приема, все они используют возможность макросов создавать, редактировать и исполнять другие макросы.

Как правило, подобные вирусы имеют небольшой (иногда — полиморфный) макрос — загрузчик вируса, который вызывает встроенный редактор макросов, создает новый макрос, заполняет его основным кодом вируса, выполняет и затем, как правило, уничтожает (чтобы скрыть следы присутствия вируса).

Основной код таких вирусов находится либо в самом макросе вируса в виде текстовых строк (иногда — зашифрованных), либо хранится в области переменных документа или в области Auto-text.

V. ОТКАЗЫ И НЕИСПРАВНОСТИ АППАРАТНОГО ОБЕСПЕЧЕНИЯ, РЕКОМЕНДАЦИИ ПО РЕМОНТУ

Вместо введения

IBM-совместимые ПК приобрели широкую известность и популярность и вытеснили с рынка компьютеров другие модели по двум причинам.

Первая — необозримость рынка программных продуктов. Вторая — их модульность, возможность наращивать мощность, развитие конфигурации опять-таки совместимыми модулями, модемами, контроллерами видеомониторов, звуковыми платами и т. д.

Эти обстоятельства привели к тому, что пользователь, обладая в первом и во втором — достаточной эрудицией, уже сам может устранить отдельные неполадки, а то и выявить более сложную неисправность с применением диагностических программных средств.

ПЕРВАЯ ОСОБЕННОСТЬ диагностики пользователем ПК состоит в следующем. Если в середине восьмидесятых годов упор делался на выявление неисправной «дискретной» детали и ее замене, то в последние годы ввиду превращения почти всех модулей компьютера в СБИС основная часть времени уходит на программно-аппаратную диагностику и заканчивается заменой неисправного модуля.

Другими словами, стоимость ремонта сравнялась или превосходит стоимость комплектующего модуля — его проще и дешевле заменить, чем отремонтировать. Последнее обстоятельство усугубляется тем, что, например, вышедшая из строя исполнительная микросхема чаще всего является специализированной и в продаже бывает редко. Ее поиски и приобретение резко повышают накладные расходы на ремонт.