مقاله ای کامل در مورد ویروس های کامپیوتری
مقاله ای کامل در مورد ویروس های کامپیوتری
این مقاله شامل موارد زیر است :- ویروس چیست ؟- انواع ویروس ها :- خصوصیات ویروس ها :- روش آلوده سازی ویروس ها :- مخفی شدن ویروس ها :- نحوه فعالسازی ویروس ها :- ویروس های بوت سکتور و پارتیشن :- ویروس های چند جزئی
ويروس كامپيوتري چيست؟
يک ويروس يک برنامه کوچک و انجام پذير است که قابليت آنرا دارد که کد خود را در قسمتهای مختلف يک کامپيوتر مثل هارد ديسک يا فلاش کپی کند يا به فايل های اجرائی بچسباند. اين در حالی است که کاربر از وجود ويروس و اعمالی که انجام می دهد کاملا بی اطلاع است و هنگامی متوجه می شود که سيستم يا بايد Format شود و يا سرعت سيستم به شدت پايين آمده است.
برنامه اي را برنامه ويروس می نامیم كه همه ويژگيهاي زير را داراباشد:
1) تغيير نرم افزارهايي كه به برنامه ويروس متعلق نيستند با چسباندن قسمتهايي از این برنامه به برنامه هاي ديگر
2) قابليت انجام تغيير در بعضي از برنامه ها.
3) قابليت تشخيص این نکته که برنامه قبلاً دچار تغيير شده است يا خير.
4) قابليت جلوگيري از تغيير بيشتر يك برنامه در صورت تغییراتی در آن بواسطه ی ویروس
5) نرم افزارهاي تغيير یافته ويژگيهاي 1 الي 4 را دارا هستند . اگر برنامه اي فاقد يك يا چند ویژگی از ویژگیهای فوق باشد، نمی توان به طور قاطع آنرا ویروس نامید .
متمایز کردن ویروس از نظر خصوصیات آن :
هر ويروس خصوصياتی مخصوص به خود دارد. ويروسها راههای متفاوتی برای آلوده کردن سيستمها دارند که همين خصوصيت آنها را از ديگر ويروسها متمايز می کند. در زير طريقه جدا کردن ويروسها را از همديگر شرح می دهم:
الف) حجم:
يک ويروس می تواند کوچکتر يا در حدود ۶۶ بايت باشد يا بزرگتر يا در حدود ۴۰۹۶ بايت باشد. در مقايسه با نرم افزارها يک ويروس بايد خيلی کوچک باشد.
ب) روش آلوده سازی: يک ويروس می تواند با روشهای متفاوتی برنامه ميزبان را آلوده کند. در زير سه روش که بيشتر مورد استفاده است شرح داده می شود:
ب(۱) overwriteکردن:
زمانيکه يک ويروس با اين روش برنامه ای را آلوده می کند، بسادگی يک کپی از کد خود را در بالای کد برنامه ميزبان می نويسد اين روش خيلی ساده بوده و در ويروسهای اوليه بکار گرفته می شد. در اين روش فايل ميزبان به احتمال زياد خراب می شود و از کاربر از ديسک پشتيبان فايل را فراخوانی می کند. در اين روش تاريخ تغييرات فايل عوض می شود اما حجم همانطور باقی می ماند در اين روش توابعی که برنامه بايد انجام دهد زياد می شود و سرعت اجرای برنامه اصلی (اگر خراب نشده باشد) کاهش پيدا می کند.
ب(۲) الصاق کردن:
اين روش کمی پيچيده تر است. ويروس خود را به انتهای فايل ميزبان الصاق می کند و سرخط برنامه را اصلاح می کند در هنگام اجرای برنامه، برنامه ابتدا به قسمتی که کد ويروس قرار دارد رفته، دستورات ويروس را اجرا کرده و بعد برگشته و به اجرای برنامه ميزبان می پردازد. در نظر کاربر برنامه به صورت نرمال اجرا می شود اما ايراد اين روش اين است که حجم فايل افزايش می يابد. بعضی از ويروسهای الصاقی تشخيص نمی دهند که فايل قبلا ويروسی شده است يا نه و دوباره و چندباره فايل را آلوده می کنند و اين باعث می شود که حجم فايل رشد قابل ملاحظه ای کرده و در انتها فايل ديگر غيرقابل استفادمی شود.
ب(۳) آلوده کننده های ديسک:
ويروسهای ديگر رکورد بوت (بوت سکتور) ديسک يا جدول پارتيشن را آلوده می کنند. اين رکورد قسمتی از ديسک است که هنگام راه اندازی سيستم بصورت اتوماتيک خوانده می شود اين يعنی بعد از راه اندازی سيستم ويروس در حافظه قرار می گيرد!
ج) (terminated and stay resident) يا TSR:
يک ويروس که ممکن است مقيمدر حافظه باشد يا با اجرای يک برنامه خاص در حافظه بار شود. هنگامی که ويروس مقيم در حافظه شد هر زمان و هر فايلی را که بخواهد آلوده می کند. تمام ويروسهائی که جدول پارتيشن يا بوت سکتور را آلوده می کنند جزو TSRها هستند.
د) مخفی شدن:
بعضی از ويروسهای TSR از تکنيکی ماهرانه استفاده می کنند چنانچه هيچ کار سيستم عجيب به نظر نمی رسد گويا اصلا ويروسی در سيستم نيست! موقعی که کاربر يک ليست از پوشه ها می گيرد ويروس از خوانده شدن صحيح ديسک جلوگيری می کند انگار نه انگار که چيزی در سيستم تغيير کرده چون يک کپی از محتويات ديسک را قبل از آلوده شدن به کاربر نشان می دهد. به همين دليل پيدا کردن ويروسهائی که مقيم در حافظه شده اند تقريبا غيرممکن است.
ويروسهايی که بوت سکتور را آلوده می کنند ممکن است مخفی شونده باشند. تنها راه مطمئن برای شناسائی اين ويروس ها اين است که ابتدا سيستم را با يک فلاپی (که از ويروسی نبودن آن مطمئن هستيم و در حالت محافظت شده از نوشتن است) بالا آورده و ديسک سخت را ويروس کشی کنيم.
هـ) نحوه فعال شدن و نتايج:
ديگر ناحيه برای سوا کردن ويروسها از همديگر نحوه فعال شدن، نتايج آن و نحوه غيرفعال شدن آنهاست. بعضی از آنها در تاريخ معينی فعال می شوند. بعضی ديگر با اجرا شدن برنامه ای خاص اجرا می شوند و بعضی ديگر هنگامی خود را نمايان می کنند که ديگر فايلی برای آلوده کردن نمی يابند (يعنی همه فايلها آلوده شده اند!)
هر وقت که يک ويروس فعال می شود فعاليت هايی را که برايش معين شده است انجام می دهد که اينها را نتايج فعال شدن می ناميم. نتيجه ای که ممکن است ساده و بی ضرر باشد مانند نشان دادن يک پيغام يا بدانديشانه باشد و هارد سيستم را تبديل به يک آشغال دونی بکند. بديهی است که هرکس می خواهد قبل از اينکه ويروس فعال شود آن را بيابند.
انواع ویروس :
mail virus
ويروسهايي كه از طريق E-mail وارد سيستم مي شوند معمولاً به صورت مخفيانه درون يك فايل ضميمه شده قرار دارند که با گشودن يك صفحه ی HTML يا يك فايل قابل اجراي برنامه اي (يك فايل كد شده قابل اجرا) و يا يك word document می توانند فعال شوند.
Marco virus
اين نوع ويروسها معمولاً به شکل ماکرو در فايلهايي قرار می گیرند كه حاوي صفحات متني (word document) نظير فايلهاي برنامه هاي Ms office ( همچون microsoft word و Excel )هستند .
توضيح ماكرو: نرم افزارهايي مانند microsoft word و Excel اين امکان را برای كاربر بوجود می آورند كه در صفحه متن خود ماكرويي ايجاد نماید،اين ماكرو حاوي يكسري دستور العملها، عمليات و يا keystroke ها است كه تماماً توسط خود كاربر تعيين ميگردند.
ماكرو ويروسها معمولاً طوري تنظيم شده اند كه به راحتي خود را در همه صفحات متني ساخته شده با همان نرم افزار (Excel , ms word) جاي مي دهند.
اسب تروآ:
اين برنامه حداقل به اندازه خود اسب تروآي اصلي قدمت دارد . عملكرد اين برنامه ها ساده و در عین حال خطرناك است.
در حاليكه كاربر متوجه نیست و با تصاویر گرافیکی زیبا و شاید همراه با موسیقی محسور شده ، برنامه عملیات مخرب خود را آغاز می کند.
براي مثال به خيال خودتان بازي جديد و مهيجي را از اينترنت Download كرده ايد ولي وقتي آنرا اجرا مي كنيد متوجه خواهيد شد که تمامی فايلهاي روي هارد ديسك پاك شده و يا به طور كلي فرمت گرديده است.
كرمها (worm)
برنامه كرم برنامه اي است كه با كپي كردن خود توليد مثل مي كند. تفاوت اساسي ميان كرم و ويروس اين است كه كرمها براي توليد مثل نياز به برنامة ميزبان ندارند. كرمها بدون استفاده از يك برنامة حامل به تمامي سطوح سيستم كامپيوتري <<خزيده>> و نفوذ مي كنند.
ويروسهاي بوت سكتور و پارتيشن :
Boot sector قسمتی از ديسك سخت و فلاپي ديسك است كه هنگام راه اندازی سيستم از روي آن به وسيله كامپيوتر خوانده مي شود. Boot Sector یا ديسك سيستم ، شامل كدي است كه براي بار كردن فايلهاي سيستم ضروري است. این ديسكها داده هایی در خود دارند و همچنین حاوي كدي هستند كه براي نمايش پيغام راه اندازی شدن کامپیوتر بوسیله ی آن لازم است .
سكتور پارتيشن اولين بخش يك ديسك سخت است كه پس از راه اندازي سيستم خوانده مي شود. اين سكتور راجع به دیسک اطلاعاتي نظیر تعداد سكتورها در هر پارتيشن و نیز موقعيت همه ی پارتيشن ها را در خود دارد.
سكتور پارتيشن، ركورد اصلي راه اندازي يا Master Boot Record -MBR نيز ناميده مي شود.
بسياري ازكامپيوترها به گونه ای پيكربندي شده اند كه ابتدا از روي درايو: A راه اندازي میشوند. (اين قسمت در بخش Setup سيستم قابل تغيير و دسترسي است) اگر بوت سكتور يك فلاپي ديسك آلوده باشد، و شما سیستم را از روي آن راه اندازي كنيد، ويروس نيز اجرا شده و ديسك سخت را آلوده مي كند.
اگر ديسكی حاوي فايلهاي سيستمي هم نبوده باشد ولي به يك ويروس بوت سكتوري آلوده باشد وقتی اشتباهاً ديسكت را درون فلاپي درايو قرار دهيد و كامپيوتر را دوباره راه اندازي كنيد پيغام زير مشاهده مي شود. ولي به هر حال ويروس بوت سكتوري پيش از اين اجرا شده و ممكن است كامپيوتر شما را نيز آلوده كرده باشد.
Non-system disk or disk error
Replace and press any key when ready
كامپيوترهاي بر پايه Intel در برابر ويروسهاي Boot Sector و Partition Table آسيب پذير هستند.
تا قبل از اینکه سیستم بالا بیاید و بتواند اجرا شود صرفنظر از نوع سیستم عامل می تواند هر کامپیوتری را آلوده سازد.
HOAX (گول زنك ها)
اين نوع ويروسها در قالب پيغامهاي فريب آميزي ، كاربران اينترنت را گول زده و به كام خود مي كشد. اين نوع ويروسها معمولاً به همراه يك نامه ضميمه شده از طريق پست الكترونيك وارد سيستم مي شوند. متن نامه مسلماً متن مشخصي نیست و تا حدودي به روحيات شخصي نويسنده ويروس بستگی دارد، پیغامها می توانند مضمونی تحدید آمیز یا محبت آمیز داشته باشند و یا در قالب هشداری ، مبنی بر شیوع یک ویروس جدید ئر اینترنت ، یا درخواستی در قبال یک مبلغ قابل توجه و یا هر موضوع وسوسه انگیز دیگر باشد . لازم به ذکر است كه همه اين نامه ها اصل نمي باشند يعني ممكن است بسیاری از آنها پيغام شخص سازنده ويروس نباشند بلكه شاید پيغام ويرايش شده يا تغيير یافته از يك كاربر معمولي و يا شخص ديگري باشد كه قبلا اين نامه ها را دريافت كرده و بدينوسيله ويروس را با پيغامي كاملاً جديد مجدداً ارسال مي كند.
نحوه تغيير پيغام و ارسال مجدد آن بسيار ساده بوده ، همين امر باعث گسترش سريع Hoax ها شده، با يك دستور Forward مي توان ويروس و متن تغيير داده شده را براي شخص ديگري ارسال كرد. اما خود ويروس چه شكلي دارد؟ ويروسي كه در پشت اين پيغامهاي فريب آميز مخفي شده مي تواند به صورت يك بمب منطقي ، يك اسب تروا و يا يكي از فايلهاي سيستمي ويندوز باشد. شيوه اي كه ويروس Magistre-A از آن استفاده کرده و خود را منتشر مي كند.
ويروسهاي چند جزئي Multipartite virus
بعضي از ويروسها، تركيبي از تكنيكها را براي انتشار استفاده کرده ، فايلهاي اجرائي، بوت سكتور و پارتيشن را آلوده می سازند. اينگونه ويروسها معمولاً تحت windows 98يا Win.Nt انتشار نمي يابند .
درباره این سایت