COMPUTERWORLD
Specializovaný týdeník o výpočetní technice

Seriál
o bezpečnosti
a informačním soukromí

Část 16 - CW 26/97

Viry a červi

Pavel Baudiš


Základní informace, potíže s definicemi

Počítačové viry se objevily poprvé v 80. letech. Tehdy prováděl Fred Cohen pokusy na počítačích s operačním systémem Unix pro svoji doktorskou práci a poprvé použil termín, který se od té doby vžil. V té době o virech nikdo nic nevěděl, někteří odborníci (například Peter Norton) ještě koncem 80. let dokonce tvrdili, že takové programy principiálně nemohou existovat.

Kusé zprávy o virech se tu a tam objevovaly v nedělních přílohách novin, společně se zprávami o českých učitelkách v Jugoslávii a o kanibalech v Africe.

Situace se změnila až po nástupu osobních počítačů IBM PC. Ty totiž přinesly jednoduchý operační systém, binární kompatibilitu programů a hlavně masovou výměnu dat a programů mezi uživateli. To všechno jsou totiž faktory, bez nichž by počítačové viry neznamenaly vůbec nic.

Obecně je možno říci, že virus je program, který je schopen přidat (modifikovanou) kopii sebe sama k jiným programům. Z této jednoduché (a ne úplně přesné) definice vyplývá i princip, jakým počítačové viry fungují. Aby mohly viry pracovat, musí se "napojit" na nějaký kód, který je v počítači prováděn a který je zároveň sdílen mezi různými počítači. Pro svět "pécéček" z této definice vyplývají i různé typy počítačových virů: viry, které napadají programy uložené v souborech (aplikační programy), viry, které napadají systémovou oblast disku a nově i makro viry. Z uvedené definice vyplývá i to, že vir nemusí obsahovat žádnou destrukční činnost (i když samo jeho šíření je škodlivé) a naopak -- ne všechny programy, které destrukční činnost obsahují, jsou počítačovými viry.

Krátké ohlédnutí zpět

Prvním virem, který byl vytvořen pro IBM PC, byl boot vir Brain v roce 1985. Prvním virem, který se objevil u nás, byl v roce 1988 vir Vienna, následován o rok později viry Cascade a Dark Avenger. Tehdejší viry byly velice jednoduché. Až s postupem doby se objevovaly i mnohem komplikovanější přístupy, které souvisely zejména s "bojem" autorů virů proti úspěšným antivirovým programům. Objevily se například paměťově rezidentní viry s technikami "stealth" proti jejich detekci, polymorfní viry, které jsou v každé své kopii jinak kódované, takže není možno vybrat jednoduchý vyhledávací řetězec, multipartitní viry, které napadají jak soubory, tak systémovou oblast disku a podobně. Řada virů zejména v poslední době používá techniky, které jsou přímo namířeny proti heuristické analýze.

Nejdůležitějším faktorem, který nelze přehlédnout, je však počet existujících virů. Jestliže v roce 1988 existovalo kolem deseti různých druhů virů, na konci roku 1996 jich již bylo více než deset tisíc. Ne všechny byly samozřejmě původní (velká většina je jen modifikovanou variantou jiného viru) a ne všechny se volně šíří mezi uživateli -- řada z nich toho není mimochodem vůbec schopna, protože obsahuje spoustu chyb.

Volně mezi uživateli se šíří v současné době asi 500 druhů virů. Jejich seznam, na jehož vytváření se podílí řada odborníků z celého světa, je pravidelně publikován na Internetu.

Současný stav

S nástupem nových operačních systémů typu Windows 95 a Windows NT dochází i ke změnám ve struktuře virů. Klasické souborové viry jsou částečně na ústupu (je to dáno i tím, že programy narůstají na objemu a proto se daleko méně distribuují či "vyměňují" na disketách). Také výskyt boot virů poněkud poklesl. O to větší nebezpečí mohou znamenat makroviry, které našly zejména v aplikaci MS-Word ideální prostředí pro svoje působení.

Makroviry

Makroviry využívají toho, že moderní aplikace jsou mocným nástrojem a ve svých "datových" souborech neuschovávají pouze čistá data, ale i nástroje na jejich další zpracování. Příkladem mohou být makra v MS-Wordu. Tato makra jsou bohužel uložena ve stejném dokumentu jako text (ve formátu OLE2) a řada z nich může být vyvolána automaticky -- se spuštěním Wordu, s otevřením dokumentu a podobně. Další mohou být automaticky spjaty s položkami menu, s ikonami na pracovní liště či s libovolnou klávesou.

Existuje jednoduchý způsob, jak makro zkopírovat z dokumentu do globální šablony, odkud pak vir může být aktivován při každém následujícím použití MS-Wordu. Makra jsou psána v jazyce WordBasic či nověji přímo ve VBA (Office 97). Tyto jazyky jsou velmi mocné a přitom poměrně jednoduché. Navíc díky elektronické poště si řada uživatelů vyměňuje dokumenty velmi intenzivně, a proto v posledním roce makroviry zaznamenaly neuvěřitelný nárůst výskytu. Zvyšuje se i počet nových druhů, přírůstky v posledních měsících se měří na stovky a jejich počet již přesáhl 700. Mimo jiné je to způsobeno i samotným MS-Wordem, protože za určitých podmínek může dojít k poškození maker, přičemž vir zůstává nadále funkční.

U nás je situace zatím poměrně klidná, protože lokalizace MS-Wordu byla natolik důkladná, že většina makrovirů v prostředí českého Wordu nefunguje. Přesto se u nás první makroviry objevily již před rokem a půl a v posledních několika měsících se vyskytly masově některé makroviry, které jsou schopny se šířit i v lokalizované verzi (CAP, Bertik). Bohužel, s nástupem Office 97 se situace pravděpodobně výrazně zhorší, protože lokalizace proběhla poněkud jiným způsobem. Lze tak i u nás v blízké budoucnosti čekat velkou vlnu makrovirů.

MS-Word není jedinou aplikací, pro kterou existují makroviry, i když je jistě tou "nejpostiženější". Makroviry existují i pro MS-Excel, AmiPro, Lotus a podobně. Svým rozšířením a způsobem využití a bohužel i svou "podporou" zůstane ale MS-Word cílem číslo jedna i v budoucnu.

Viry, červi a Internet

Už jsme se zmínili o elektronické poště a Internetu v souvislosti s makroviry. Z jednoho hlediska může být používání Internetu velmi bezpečné: novou verzi sharewarového programu nemusím hledat na místní "BBSce", kam ji mohl nahrát kdokoli a program samotný už toho mohl mít hodně za sebou; na Internetu lze nalézt poslední verze programů pocházejících přímo od autorů. To samozřejmě nezaručuje, že se zde vir nemůže vyskytnout, ale riziko je mnohem nižší. Internet nabízí i značnou podporu ze strany antivirových firem: nejnovější informace o virech, aktualizace antivirových programů, vlastní produkty a podobně.

Na druhou stranu je možno na Internetu nalézt i velké množství virů (včetně zdrojových textů), problémy mohou způsobit viry, zaslané do diskusních skupin či například napadené dokumenty s informacemi tak, jak se to v minulosti již mnohokrát stalo.

Vlastní běh Internetu viry ovlivní jen těžko -- Internet je příliš rozmanitý, používá různé počítače s různými operačními systémy a podobně. Přesto již v minulosti k jednomu velkému útoku došlo -- jedná se o nechvalně známý program Roberta Morrise, který v roce 1988 postihl asi 6 000 počítačů. V tomto případě šlo spíše o program typu červ, který nenapadá jiné programy, ale využívá slabin sítě a šíří se z jednoho počítače na druhý.

V souvislosti s Internetem se hovoří i o celkové bezpečnosti a využití nových technologií (Java, ActiveX). Ani tady nehrozí masové vytváření virů, spíše ohrožení bezpečnosti formou trojských koní.

K Internetu je tedy nutno přistupovat opatrně a měla by se dodržovat stejná pravidla, jaká platí v "běžném počítačovém" životě.

Pohled do budoucnosti

Počítačové viry z našeho života bohužel v nejbližší době nezmizí. Nové viry se budou objevovat i nadále, nové operační systémy a technologie budou přinášet nové a nové problémy, kterým se budou muset antivirové firmy i uživatelé přizpůsobit. Zatím se však vždy našlo odpovídající řešení, a tak tomu bude jistě i v budoucnu.

Několik rad na závěr

Závěrem bych chtěl připomenout několik zásad, které je velmi užitečné dodržovat:

1. zásadně nespouštějte žádné programy s nejasným původem,

2. diskety, které v počítači používáte, zabezpečujte proti přepsání, originální diskety před instalací programu opatřete ochranou proti zápisu, zkopírujte a uložte na bezpečné místo,

3. diskety zanechávejte v jednotce jen po nezbytně nutnou dobu, po ukončení práce s ní ji okamžitě vyjměte; pokud na ní nechcete zapisovat, opatřete ji ochranou proti zápisu,

4. zkuste přehodnotit svůj postoj k nelegálně získanému programovému vybavení; jeho cesta od výrobce až na váš počítač mohla být dosti svérázná (jeho použití je navíc nezákonné!),

5. pokud to Setup vašeho počítače umožňuje, vypněte zavádění systému z disketové jednotky,

6. nikdy nepouštějte ke svému počítači cizí osoby, vhodné je používat prostředky pro řízený přístup k počítači,

7. používejte veškeré dostupné prostředky pro antivirovou prevenci, vhodně zvolené a správným způsobem používané antivirové programy mohou přítomnost virů detekovat včas a zabránit tak případným škodám,

8. pozorně sledujte chování svého počítače a včas reagujte na veškeré odchylky od normálního stavu (podivná hlášení, zvuky, chyby apod.),

9. často a pravidelně zálohujte data; pokud budete mít záložní kopie, nemůže vás nic zaskočit,

10. pokud si nejste jisti tím, co chcete udělat, nesnažte se problém s viry řešit sami. Často neodborný zásah způsobí větší škody, než samotný vir!


Zajímavé odkazy na Síti

Seznamy volně se šířících virů:
http://www.virusbtn.com/WildLists/

Virus Test Centrum University v Hamburgu:
http://agn-www.informatik.uni-hamburg.de/vtc/naveng.htm

Virus Research Unit University v Tampere:
http://www.uta.fi/laitokset/virus/

Seznam antivirových firem:
http://www.virusbtn.com/AVLinks

Seznam dalších stránek s virovou problematikou:
http://www.virusbtn.com/AVLinks/sites.html


Seriál je rovněž dostupný na www.idg.cz/computerworld/bvsk/


| COMPUTERWORLD - seriál o bezpečnosti | COMPUTERWORLD | IDG CZ homepage |