Компьютерные вирусы, защита от них

13.1. Что такое компьютерный вирус

Компьютерный вирус это программа, способная создавать свои копии, внедрять их в различные объекты или ресурсы компьютерных систем, сетей и производить определенные действия без ведома пользователя.

Программа, внутри которой находится вирус, называется зараженной (инфицированной).
Когда инфицированная программа начинает работу, то сначала управление получает вирус.
Вирус заражает другие программы, а также выполняет запланированные деструктивные
действия. Для маскировки вирус активизируется не всегда, а лишь при выполнении
определенных условий (время, действие). После того, как вирус выполнит нужные ему действия,
он передает управление той программе, в которой он находится.

Подобно настоящим вирусам, компьютерные вирусы прячутся, размножаются и ищут
возможность перейти на другие ЭВМ.

Классификация вирусов

На сегодняшний день существует сотни тысяч вирусов.

Классификация вирусов осуществляется по следующим признакам:

• средой обитания;
• способом заражения;
• действием;
• особенностями алгоритма.

В зависимости от среды обитания вирусы можно разделить на сетевые, файловые, загрузочные и файлово — загрузочные. Сетевые вирусы распространяются по различным компьютерным сетям. Файловые вирусы проникают главным образом в исполняемые модули, есть в файлы, имеющие расширения EXE и т.д. Файловые вирусы могут проникать и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не получают управление и, следовательно, теряют способность к размножению. Загрузочные вирусы проникают в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Record). Файлово — загрузочные вирусы заражают как файлы, так и загрузочные сектора дисков.

По способу заражения вирусы делятся на резидентные и нерезидентных. Резидентный вирус при заражении (инфицировании) компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т. п.) и проникает в них. Резидентные вирусы находятся в памяти и являются активными вплоть до отключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

По степени воздействия вирусы можно разделить на следующие виды:

• безопасные, такие, которые не мешают работе компьютера, но уменьшающие объем свободной оперативной памяти и памяти на дисках; действия таких вирусов проявляются в каких-либо графических или звуковых эффектах;
• опасные вирусы, которые могут привести к различным нарушениям в работе компьютера;
• очень опасные, действие которых может привести к потере программ, уничтожению данных, стиранию информации в системных областях диска.

По особенностям алгоритма вирусы трудно классифицировать из-за большого разнообразия. Простые вирусы — паразитические, они изменяют содержимое файлов и секторов диска и могут быть достаточно легко обнаружены и уничтожены. Можно отметить вирусы — репликаторы, называемые червями , которые распространяются по компьютерным сетям, находят адреса сетевых компьютеров и записывают по этим адресам свои копии.

Известны вирусы-невидимки , называемые стелс — вирусами , которые очень трудно обнаружить и обезвредить, так как они перехватывают обращения операционной системы к зараженным файлам и секторам дисков и подставляют вместо своего тела незараженные участки диска. Самое трудное, это выявить вирусы-мутанты , содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной цепочки байтов, которые повторяется. Есть и так называемые квазивирусные или «троянские»программы, которые хотя и не способны к самораспространению, но очень опасны, так как, маскируясь под полезную программу, разрушают загрузочный сектор и файловую систему дисков.

Способы и методы защиты от вредоносных программ

Защита от компьютерных вирусов базируется на технических и организационных методах. Технические методы направлены на использование средств предотвращения вирусных угроз: антивирусы, брендмауэры, антиспамы и, конечно же, своевременное обновление операционной системы. Организационные — методы, которые описывают правильное поведение пользователя за компьютером с точки зрения информационной безопасности.

Технические методы предотвращают возможность проникновения вирусов на компьютер посредством программного обеспечения.

Антивирусы — контролируют файловую систему, неустанно проверяют и выискивают следы вредоносного кода. Брендмауэр предназначен для контроля за поступающей через сетевые каналы информацией и блокировки нежелательных пакетов. Брендмауэр позволяет запретить определенный вид соединений по различным критериям: портам, протоколам, адресам и действиям.

Антиспамы — контролируют поступление нежелательной почты, и при поступлении в почтовый клиент подозрительного сообщения блокируют возможность исполнения вложенных файлов, пока пользователь не выполнит их принудительно. Бытует мнение, что антиспамы — самый неэффективный способ борьбы, однако ежедневно ими блокируются десятки миллионов писем с вложенными вирусами.

Обновление операционной системы — процесс, при котором разработчики исправляют ошибки и недочеты в работе ОС, использующиеся программистами для написания вирусов.

Организационные методы описывают правила работы за персональным компьютером, обработки информации, запуска и использования программного обеспечения, базирующиеся на четырех основных принципах:

1. Запускать и открывать только те документы и файлы, которые поступили из надежных источников, и в безопасности которых есть твердая уверенность. При этом пользователь берет ответственность на себя, запуская ту или иную программу.
2. Проверять всю поступающую информацию из любых внешних источников, будь то Интернет, оптический диск или флеш-накопитель.
3. Всегда поддерживать в актуальном состоянии антивирусные базы и версию оболочки программного обеспечения по отлову и устранению угроз. Это обусловлено тем, что разработчики антивирусного ПО постоянно совершенствуют свои продукты, опираясь на появление новых вирусов;
4. Всегда соглашаться с предложениями антивирусных программ проверить флеш-накопитель или винчестер, подключенный к компьютеру.

Загрузочные вирусы

Рассмотрим схему функционирования очень простого загрузочного вируса,
заражающего дискеты. Мы сознательно обойдем все многочисленные тонкости, которые
неизбежно встретились бы при строгом разборе алгоритма его функционирования.

Что происходит, когда вы включаете компьютер? Первым делом управление передается
программе начальной загрузки (ПНЗ), которая хранится в постоянно
запоминающем устройстве (ПЗУ).

Эта программа тестирует оборудование и при успешном завершении проверок пытается
найти дискету в дисководе А:. Всякая дискета размечена на секторы и
дорожки. Секторы объединяются в кластеры, но это для нас несущественно. Среди
секторов есть несколько служебных, используемых операционной системой для
собственных нужд (в этих секторах не могут размещаться ваши данные).

Среди служебных секторов нас пока интересует один — сектор начальной загрузки
(boot-sector). В секторе начальной загрузки хранится информация о дискете
— количество поверхностей, количество дорожек, количество секторов и пр. Но нас
сейчас интересует не эта информация, а небольшая программа начальной загрузки,
которая должна загрузить саму операционную систему и передать ей управление.

Таким образом, нормальная схема начальной загрузки следующая:

ПНЗ (ПЗУ)

ПНЗ (диск)
СИСТЕМА

Теперь рассмотрим вирус. В загрузочных вирусах выделяют две части — голову и
хвост. Хвост, вообще говоря, может быть пустым. Пусть у вас имеются чистая
дискета и зараженный компьютер, под которым мы понимаем компьютер с активным
резидентным вирусом. Как только этот вирус обнаружит, что в дисководе

появилась подходящая жертва — в нашем случае не защищенная от записи и еще не
зараженная дискета, он приступает к заражению. Заражая дискету, вирус производит
следующие действия:

·

выделяет некоторую область диска и помечает ее как недоступную операционной
системе. Это можно сделать по-разному, в простейшем и традиционном случае
занятые вирусом секторы помечаются как сбойные (bad);

·

копирует в выделенную область диска свой хвост и оригинальный (здоровый)
загрузочный сектор;

·

замещает программу начальной загрузки в загрузочном секторе (настоящем) своей
головой;

·

организует цепочку передачи управления согласно схеме.

Таким образом, голова вируса теперь первой получает управление, вирус
устанавливается в память и передает управление оригинальному загрузочному
сектору.

В цепочке ПНЗ (ПЗУ)

ПНЗ (диск)

СИСТЕМА
появляется новое звено: ПНЗ (ПЗУ)

ВИРУС

ПНЗ (диск)

СИСТЕМА.

Поэтому никогда не оставляйте (случайно) дискет в дисководе А.

Мы рассмотрели схему функционирования простого бутового вируса, живущего в
загрузочных секторах дискет. Как правило, вирусы способны заражать не только
загрузочные сектора дискет, но и загрузочные сектора винчестеров. При этом в
отличие от дискет на винчестере имеются два типа загрузочных секторов,
содержащих программы начальной загрузки, которые получают управление.

При загрузке компьютера с винчестера первой берет на себя управление программа
начальной загрузки в MBR (Master Boot Record — главная загрузочная
запись). Если ваш жесткий диск разбит на несколько разделов, то лишь один из них
помечен как загрузочный (boot). Программа начальной загрузки в MBR
находит загрузочный раздел винчестера и передает управление на программу
начальной загрузки этого раздела. Код последней совпадает с кодом программы
начальной загрузки, содержащейся на обычных дискетах, а соответствующие
загрузочные сектора отличаются только таблицами параметров. Таким образом, на
винчестере имеются два объекта атаки загрузочных вирусов — программа начальной
загрузки в MBR и программа начальной загрузки в boot-секторе загрузочного диска.

Компьютерные вирусы: что это такое?

Вирус — это самостоятельная программа, которая устанавливается против воли пользователя на его компьютер. Вирус устанавливает сам себя в программное обеспечение или в операционную систему, повреждает ПО, а затем продолжает распространяться по системе. То же самое делает биологический вирус человека, вызывающий болезни, отсюда и название.

Слово «вирус» часто используется как обычными пользователями, так и профессионалами в качестве обозначения любых вредоносных программ. Однако, вирус в классическом понимании — это именно вредитель, ломающий ПК, нарушающий его нормальную работу. 

Кроме вирусов существуют и другие вредоносные программы. Так, к примеру, есть троянцы — программы, позволяющие злоумышленникам удаленно пользоваться вашим компьютером в своих целях без вашего ведома. Есть черви — размножающиеся вирусы, цель которых — установить себя на как можно большее количество компьютеров. Шпионское ПО, рекламное ПО и программы-вымогатели также относятся к категории вредоносных программ.

Вирусы могут вредить по-разному

Вирусы существуют с самых ранних этапов компьютерной истории. Когда Интернет еще не существовал, вирусы попадали на другие компьютеры путем переноса зараженных файлов на дискете с компьютера на другой компьютер. Сейчас, когда данные передаются, в основном, через Интернет, заразиться вирусом намного проще.

Компьютерный вирус можно «подхватить» по-разному. К примеру, веб-страницы и почтовые вложения могут использоваться для непосредственного запуска вируса в систему. Часто вирус бывает встроен в скачанную с Интернета программу, которая «выпускает» вирус на волю после того, как вы ее установите.

Когда вирус запускается, он заражает множество файлов, то есть копирует в них свой вредоносный код, чтобы существовать на компьютере как можно дольше. Под угрозу могут попасть как простые документы Word, так и скрипты, библиотеки программ и все другие файлы на вашем компьютере. 

Антивирусные программы

С появлением вирусов стали появляться программы, позволяющие их находить и обезвреживать. Ежедневно в мире появляются новые вирусы. Компьютерные продукты по их устранению обновляются по несколько раз в день, чтобы оставаться актуальными. Так, не затихая, идет постоянная борьба с компьютерными вирусами.

На сегодняшний день выбор антивирусных программ очень велик. На рынке то и дело появляются новые предложения, причем самые разнообразные: от полноценных программных комплексов до небольших подпрограмм, ориентированных только на один тип вирусов. Можно найти бесплатные или распространяющиеся по платной срочной лицензии решения безопасности.

Антивирусы хранят в своих базах сигнатур выдержки из кода огромного количества опасных для компьютерных систем объектов и во время проверки сравнивают коды документов и исполняемых файлов со своей базой. Если соответствие будет найдено, антивирус сообщит об этом пользователю и предложит один из вариантов обеспечения безопасности.

Компьютерные вирусы и антивирусные программы — неотъемлемые части друг друга. Бытует мнение, что ради коммерческой выгоды антивирусные программы самостоятельно разрабатывают опасные объекты.

Антивирусные программные утилиты делятся на несколько типов:

• Программы-детекторы. Предназначены для поиска объектов, зараженных одним из ныне известных компьютерных вирусов. Обычно детекторы только выискивают зараженные файлы, но в некоторых случаях способны заниматься лечением.
• Программы-ревизоры — эти программы запоминают состояние файловой системы, а спустя некоторое время проверяют и сверяют изменения. Если данные не соответствуют друг другу, программа проверяет, был ли подозрительный файл отредактирован пользователем. При отрицательном результате проверки пользователю выводится сообщение о возможном заражении объекта.
• Программы-лекари — предназначены для лечения программ и целых винчестеров.
• Программы-фильтры — выполняют проверку поступающей на компьютер извне информации и запрещают доступ подозрительным файлам. Как правило, выводят запрос пользователю. Программы-фильтры уже внедряются во все современные браузеры, чтобы своевременно найти компьютерный вирус. Это очень действенное решение, учитывающее сегодняшнюю степень развития Интернета.

Крупнейшие антивирусные комплексы содержат в себе все утилиты, которые объединены в один крупный защитный механизм. Яркими представителями антивирусного программного обеспечения на сегодняшний день являются: антивирус Касперского, Eset NOD32, Dr.Web, Norton Anti-Virus, Avira Antivir и Avast.

Эти программы обладают всеми основными возможностями, чтобы иметь право называться защитными программными комплексами. Некоторые из них имеют крайне ограниченные бесплатные версии, а некоторые предоставляются только за денежное вознаграждение.

Morris

«Компьютерный червь «Morris» был создан в качестве эксперимента», — настаивает Роберт Таппан Моррис, который в 1988 году был аспирантом Университета Корнелл.

Он распространил червь в попытке измерить насколько большим является интернет, но все вышло из-под контроля. Червь попал на 6000 университетских и государственных компьютеров, замедляя их работу (а иногда и вызывая падение системы). Вирус копировал сам себя бесконечное количество раз (часто несколько раз на одной и той же машине) и распространялся дальше.

Моррис был признан виновным и оштрафован, но за свой маленький исследовательский проект срок не отбывал. Сегодня он является профессором в Массачусетском Технологическом Университете. Будем надеяться, что его студенты учились на ошибках своего профессора.

Виды компьютерных вирусов и способы лечения от них

Как уже говорилось выше разнообразие вирусов в настоящий момент очень велико, причем оно растет ежедневно. Мы же разделим их на условные группы, по которым будет легко описать способы лечения компьютера.

1. Группа общих вирусов. К этой группе мы отнесем,
   те которые прямо или косвенно не влияют на работу вашего компьютера. Вы можете
   продолжать работать на нем и даже не заметите их присутствие.  Примером таких вирусов, являются:

• Кей логгеры, которые записываю данные с
  клавиатуры и передают своему разработчику;
• Ботнет, незаметный на первый взгляд вирус,
  который активируются и использует ваш компьютер во время DDoS атак;
•  Эксплойт,
  вирус, который через уязвимость в операционной системе может предоставить
  доступ к вашему компьютеру злоумышленнику;
• Руткит, незаметно передает данные с вашего
  компьютера своему владельцу;
• Рекламные вирусы, которые встраиваются в приложения,
  например, браузер и показывают рекламу своего создателя;
• Другие компьютерные вирусы.

Обнаруженные общие вирусы в Kaspersky Free
Группа вирусов вымогателей-блокираторов. Их еще называют вирус баннер. Сюда относятся компьютерные вирусы, которые блокируют доступ к вашему компьютеру, посредствам установки баннера или изменения порядка загрузки Windows. Причем для
разблокировки создатель просит перевести деньги на свой счет или мобильный
телефон.
Вирус баннер вымогатель
Группа вирусов шифровальщиков. Сюда
относятся вирусы, которые шифруют ваши файлы и за их расшифровку просят перевести сумму денег создателю. Это на наш взгляд
самый страшный вид вирусов. Расшифровать данные самостоятельно, скорее всего,
не получится, а при переводе денег вымогателю он с большой долей вероятности не
сообщит код разблокировки.
Зашифрованные файлы вирусом

Лечение общих вирусов

Для лечения компьютера из этой группы вирусов, применяется обычный антивирус. Причем если ваша операционная система загружается, вы можете запустить проверку прямо из нее.

Однако в связи с тем, что
некоторые вирусы могут сидеть в оперативной памяти и попросту прятаться от вас,
мы рекомендуем делать это с загрузочного диска антивирусной программы.

Читать подробнее (показать подсказку / открыть статью полностью)

Удаление вирусов баннеров вымогателей

Избавиться от такого вируса нам
поможет запуск проверки с загрузочного диска антивирусной программы и штатные
средства Windows.

Читать подробнее (показать подсказку / открыть статью полностью)

Лечение от вирусов шифровальщиков

Приготовьтесь сразу, что спасти
данные после проделок этого вируса не удастся. Если с помощью антивируса вирус
не был удален, то лучшим методом борьбы с ним будет сохранение еще оставшихся
данных и переустановка операционной системы.

Читать подробнее (показать подсказку / открыть статью полностью)

13.5. Что такое антивирусная программа

Для борьбы с вирусами разрабатываются антивирусные программы.

Антивирусное средство это программный продукт или устройство, выполняющее одну, либо несколько из следующих функций: 1) защиту данных от разрушения; 2) обнаружение вирусов; 3) нейтрализацию вирусов.

Различают следующие виды:

• программы-детекторы рассчитаны на обнаружение конкретных, заранее известных программе
  вирусов и основаны на сравнении характерной последовательности байтов (сигнатур), содержащихся в теле
  вируса, с байтами проверяемых программ. Программы-детекторы снабжаются блоками эвристического анализа.
  В этом режиме делается попытка обнаружить новые или неизвестные вирусы по характерным для всех
  вирусов кодовым последовательностям.
• программы-дезинфекторы (фаги) не только находят зараженные файлы, но и лечат
  их, удаляя из файла тело программы-вируса. В России получили широкое распространение детекторы,
  одновременно выполняющие функции дезинфекторов: AVP, Aidstest, DoctorWeb.
• программы-ревизоры анализируют текущее состояние файлов и системных областей
  диска и сравнивают его с информацией, сохраненной ранее в одном из файлов ревизора.
  При этом проверяется состояние загрузочного сектора, FAT-таблицы, а также длина файлов,
  их время создания, атрибуты, контрольные суммы. (ADinf)
• программы-фильтры (мониторы) оповещают пользователя обо всех попытках
  какой-либо программы выполнить подозрительные действия. Фильтры контролируют
  обновление программных файлов и системной области диска, форматирование диска,
  резидентное размещение программ в ОЗУ.

Elk Cloner

В США во время повсеместной компьютеризации настольные машины Apple II были широко распространены в школьных классах в 1980-х. Так вот, вполне возможно, что самым первым вирусом, нацеленным на персональные компьютеры, стал «Elk». Он был написан для Apple учащимся средней школы.

В 1982 году Ричард Скрента был в девятом классе, когда он написал вирус, который заставлял зараженные компьютеры показывать стихотворение первые 50 раз при загрузке операционной системы.

Вот и все, просто стихотворение (как же мы были невинны тогда). Потому что «Elk Cloner» был вирусом загрузочного сектора. Он заражал каждую дискету, которую вставляли в компьютер, который, в свою очередь, был заражен от других ПК.

В наше время такое баловство считается обыденностью, но в 1982 году это считалось новаторством.

Файловые вирусы

Рассмотрим теперь схему работы простого файлового вируса. В отличие от
загрузочных вирусов, которые практически всегда резидентны, файловые вирусы совсем не обязательно резидентны. Рассмотрим схему функционирования  нерезидентного файлового вируса. Пусть у нас имеется инфицированный  исполняемый файл. При запуске такого файла вирус получает управление, производит некоторые действия и передает управление «хозяину».

Какие же действия выполняет вирус? Он ищет новый объект для заражения —
подходящий по типу файл, который еще не заражен. Заражая файл, вирус
внедряется в его код, чтобы получить управление при запуске этого файла.
Кроме своей основной функции — размножения, вирус вполне может сделать что- нибудь замысловатое (сказать, спросить, сыграть) — это уже зависит от
фантазии автора вируса. Если файловый вирус резидентный, то он установится  в память и получит возможность заражать файлы и проявлять прочие способности не только во время работы зараженного файла. Заражая
исполняемый файл, вирус всегда изменяет его код — следовательно, заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:

он не обязан менять длину файла
неиспользуемые участки кода
не обязан менять начало файла

Наконец, к файловым вирусам часто относят вирусы, которые «имеют
некоторое отношение к файлам», но не обязаны внедряться в их код.
Таким образом, при запуске любого файла вирус получает управление
(операционная система запускает его сама), резидентно устанавливается в
память и передает управление вызванному файлу.

Классификация вирусов

Классификация вирусов основана на симметрии вирусов, наличии или отсутствии внешней оболочки.

Дезоксивирусы	Рибовирусы
ДНК двухцепочечная	ДНК одноцепочечная	РНК двухцепочечная	РНК одноцепочечная
Кубический тип симметрии: – без внешних оболочек (аденовирусы); – с внешними оболочками (герпес)	Кубический тип симметрии: – без внешних оболочек (некоторые фаги)	Кубический тип симметрии: – без внешних оболочек (ретровирусы, вирусы ранковых опухолей растений)	Кубический тип симметрии: – без внешних оболочек (энтеровирусы, полиовирус) Спиральный тип симметрии: – без внешних оболочек (вирус табачной мозаики); – с внешними оболочками (гриппа, бешенства, онкогенные РНК-содержащие вирусы)
Смешанный тип симметрии (Т-парные бактериофаги)
Без определенного типа симметрии (оспы)

Проявляют жизнедеятельность вирусы только в клетках живых организмов. Их нуклеиновая кислота способна вызвать синтез вирусных частиц клетки хозяина. Вне клетки вирусы не проявляют признаков жизни и называются вирионами.

Жизненный цикл вируса состоит из двух фаз: внеклеточной (вирион), в которой он не проявляет признаков жизнедеятельности, и внутриклеточной. Вирусные частицы вне организма хозяина некоторое время не теряют способности к заражению. Например, вирус полиомиелита может сохранять инфекционную активность на протяжении нескольких суток, оспы – месяцев. Вирус гепатита В сохраняет ее даже при кратковременном кипячении.

Активные процессы одних вирусов протекают в ядре, других – в цитоплазме, у некоторых – и в ядре, и в цитоплазме.

Макро-вирусы

А к этой категории вирусов относятся программы, которые располагаются в макропрограммах. К последним относятся практически все табличные и графические редакторы, текстовые процессоры, системы проектирование и многие другие. Говоря простыми словами, даже сегодня такие вирусы вполне часто замечаются на компьютерах пользователей.

Собственно говоря, главным отличием макропрограмм является их сложная структура. Именно в этой структуре и может прятаться вирус, который также написан на макро-языке. Обычно – это тоже достаточно сложные вирусы, которые вполне могут переписать свой код и переместиться из одного файла в другой.

В принципе, макро-вирусы можно отнести к категории, а точнее к подкатегории файловых вирусов, с тем только отличием, что их коды позволяют им находиться и на современных ПК.

Классификация вирусов по способу маскировки

При создании копий для маскировки могут применяться следующие технологии:

Шифрование — вирус состоит из двух функциональных кусков: собственно вирус и шифратор. Каждая копия вируса состоит из шифратора, случайного ключа и собственно вируса, зашифрованного этим ключом.

Метаморфизм — создание различных копий вируса путем замены блоков команд на эквивалентные, перестановки местами кусков кода, вставки между значащими кусками кода «мусорных» команд, которые практически ничего не делают.

Шифрованный вирус

Это вирус, использующий простое шифрование со случайным ключом и неизменный шифратор. Такие вирусы легко обнаруживаются по сигнатуре шифратора.

Вирус-шифровальщик

В большинстве случаев вирус-шифровальщик приходит по электронной почте в виде вложения от незнакомого пользователю человека, а возможно, и от имени известного банка или действующей крупной организации. Письма приходят с заголовком вида: «Акт сверки…», «Ваша задолженность перед банком…», «Проверка регистрационных данных», «Резюме», «Блокировка расчетного счета» и прочее. В письме содержится вложение с документами, якобы подтверждающими факт, указанный в заголовке или теле письма. При открытии этого вложения происходит моментальный запуск вируса-шифровальщика, который незаметно и мгновенно зашифрует все документы. Пользователь обнаружит заражение, увидев, что все файлы, имевшие до этого знакомые значки, станут отображаться иконками неизвестного типа. За расшифровку преступником будут затребованы деньги. Но, зачастую, даже заплатив злоумышленнику, шансы восстановить данные ничтожно малы.

Вложения вредоносных писем чаще всего бывают в архивах .zip, .rar, .7z. И если в настройках системы компьютера отключена функция отображения расширения файлов, то пользователь (получатель письма) увидит лишь файлы вида «Документ.doc», «Акт.xls» и тому подобные. Другими словами, файлы будут казаться совершенно безобидными. Но если включить отображение расширения файлов, то сразу станет видно, что это не документы, а исполняемые программы или скрипты, имена файлов приобретут иной вид, например, «Документ.doc.exe» или «Акт.xls.js». При открытии таких файлов происходит не открытие документа, а запуск вируса-шифровальщика. Вот лишь краткий список самых популярных «опасных» расширений файлов: .exe, .com, .js, .wbs, .hta, .bat, .cmd. Поэтому, если пользователю не известно, что ему прислали во вложении, или отправитель не знаком, то, вероятнее всего, в письме – вирус-шифровальщик.

На практике встречаются случаи получения по электронной почте обычного `вордовского` (с расширением .doc) файла, внутри которого, помимо текста, есть изображение, гиперссылка (на неизвестный сайт в Интернете) или встроенный OLE-объект. При нажатии на такой объект происходит незамедлительное заражение.

Вирусы-шифровальщики стали набирать большую популярность начиная с 2013 года. В июне 2013 известная компания McAfee обнародовала данные, показывающие что они собрали 250 000 уникальных примеров вирусов шифровальщиков в первом квартале 2013 года, что более чем вдвое превосходит количество обнаруженных вирусов в первом квартале 2012 года .

В 2016 году данные вирусы вышли на новый уровень, изменив принцип работы. В апреле 2016 г. в сети появилась информация о новом виде вируса-шифровальщика Петя (Petya), который вместо шифрования отдельных файлов, шифрует таблицу MFT файловой системы, что приводит к тому что операционная система не может обнаружить файлы на диске и весь диск по факту оказывается зашифрован.

Полиморфный вирус

Вирус, использующий метаморфный шифратор для шифрования основного тела вируса со случайным ключом. При этом часть информации, используемой для получения новых копий шифратора также может быть зашифрована. Например, вирус может реализовывать несколько алгоритмов шифрования и при создании новой копии менять не только команды шифратора, но и сам алгоритм.