Стандартный механизм заражения такими вирусами таков: вместо программы загрузки подставляется другая программа, которая:
1. При запуске системы вначале загрузит в память резидентную часть вируса.
2. Перенаправит нужные векторы прерываний на эту резидентную часть.
3. Запустит программу загрузки так, чтобы процесс загрузки продолжался.
Все такие вирусы, как правило, работают с прерыванием 1ЗН, которое перехватывают при загрузке системы. Хитрость здесь в том, чтобы обманывать программы, просматривающие диск. При попытке просмотреть ВООТ – сектор вместо него подставляется истинный, без вируса.
Часто одного сектора недостаточно для тела вируса, и другую свою часть он прячет в свободных секторах, которые можно найти в начале, либо в секторах, которые затем он помечает как сбойные. Свободные секторы найти совсем несложно. Действительно, вся дорожка цилиндра 0 стороны 0 пустует, кроме первого сектора, где располагается Partition Table или ВООТ – сектор (для дискеты). На дискетах бутовые вирусы прячутся также в последних секторах корневого каталога. Наконец, вирусы могут содержать в себе свой загрузчик. Такие вирусы при записи в ВООТ – сектор затирают старый загрузчик. Некоторые вирусы (знаменитый вирус BRAIN) используют свободные кластеры на диске, которые ищут по FAT-таблице, помечая их как испорченные. Бутовых вирусов не так много, как файловых, и распространяются они не так быстро. Связано это с тем, что для заражения компьютера требуется попытка запуска с зараженной дискеты. Однако в последнее время начинают появляться вирусы, сочетающие в себе свойства как файловых, так и бутовых вирусов.
Другие вирусы
Существуют вирусы, встречающиеся гораздо реже, чем файловые или бутовые вирусы. К таким, в частности, относятся вирусы, которые можно назвать драйверными. Они работают на уровне загружаемых драйверов устройств, внедряясь в системную область после загрузки операционной системы либо используя для заражения файл CONFIG.SYS. Последнее довольно интересно, т. к. использование строки 'DEVICE' требует, чтобы загружаемый драйвер находился на диске в виде файла. Здесь возможны
различные уловки, например, вирус вначале активизируется через программу загрузчик, подставляет необходимую строку в CONFIG.SYS и образует соответствующий драйвер. Далее загрузка идет своим чередом, и вирус оказывается загруженным в область драйверов. После загрузки, естественно, строка в CONFIG.SYS и драйвер в конце уничтожаются. Другие вирусы внедряются непосредственно в драйвер устройства. Стандартный механизм заражения драйвера таков: вирус приписывает себя к концу драйвера и модифицирует адреса программы стратегии и программы прерываний так, чтобы при вызове драйвера обращение вначале происходило к вирусу. Определенную группу вирусов называют «червями». Эти вирусы орудуют в компьютерных сетях. Переходя от компьютера к компьютеру, они могут практически не использовать дисковое пространство и работать только на уровне оперативной памяти. Существование таких вирусов для локальных IBM-сетей пока неизвестно. До сих пор мы говорили о вирусах, «работающих» на уровне машинных команд. К таковым относятся и вирусы, написанные на языках высокого уровня (есть такие вирусы, работающие в среде MS DOS). В любом случае сам механизм встраивания в прикладную или системную программу происходит на уровне команд микропроцессора. Однако возможен совершенно иной тип вируса (автору неизвестно о существовании таких вирусов на персональных компьютерах). Такие вирусы можно назвать командными. Принципиально нет ничего, что могло бы помешать их появлению. Современные прикладные пакеты (редакторы, электронные таблицы, системы управления баз данных и т.п.) часто имеют свои языки управления заданиями. Эти языки могут быть весьма мощными и гибкими, в принципе позволяющими создавать саморазмножающиеся объекты. Похожая ситуация складывается и в среде операционных систем. В MS DOS существует возможность написания пакетных файлов – выполняемых программ, состоящих из команд операционной системы. Существенно то, что вместо команд операционной системы может стоять любая программа – обычный загрузочный модуль, выполняющийся в среде операционной системы. Таким образом, мы можем до бесконечности пополнять и совершенствовать набор стандартных команд. Не составит труда написать программу, которая бы разыскивала ВАТСН – файлы и дописывала бы к ним несколько строк.
Наконец, принципиально возможен еще один тип вирусов. Такие вирусы можно назвать транслируемыми. К тексту программы на языке высокого уровня дописывается некоторое количество строк. После трансляции вирус оказывается неотъемлемой частью программы. Процесс же дописывания строк к текстам программ будет продолжаться.