Одной из разновидностей резидентных вирусов являются так называемые “бутовые” вирусы. Отличительной особенностью последних является инфицирование загрузочного (бут-сектора) магнитного носителя (гибкого или жесткого диска). При эитом инфицированными могут быть как загружаемые, так и незагружаемые дискеты. Голова бутового вируса всегда находится в бут-секторе (единственном для гибких дисков и одном из двух — для жестких), а хвост — в любой другой области носителя. Наиболее безопасным для вируса способом является размещение хвоста в так называемых псевдосбойных кластерах, логически исключенных из числа доступных для использования. Существенно, что хвост бутового вируса всегда содержит копию оригинального (исходного) бут-сектора. Механизм инфицирования, реализуемый бутовыми вирусами, таков. При загрузке операционной системы с инфицированного диска, вирус, в силу своего положения на нем (независимо от того, с дискеты или с винчестерв производится загрузка) получает управление и копирует себя в оперативную память. Затем он модифицирует вектор прерываний таким образом, чтобы прерывание по обращению к диску обрабатывалось собственным обработчиком прерываний вируса, и запускает загрузчик операционной системы. Благодаря перехвату прерываний “бутовые вирусы” могут реализовать столь же широкий набор способов инфицирования и целевых функций, сколь и файловые резидентные вирусы.

Близость механизмов функционирования бутовых и файловых резидентных вирусов сделала возможным и естественным проявление файлово-бутовых, или гибридных, вирусов, инфицирующих как файлы, так и бут-секторы.

Особенностью пакетного вируса является размещение его головы в пакетном файле. При этом голова представляет собой строку или программу на языке управления заданиями операционной системы.

Сетевые вирусы, называемые, также, автономными репликативными прграммами, или, для краткости, репликаторами, используют для размножения средства сетевых операционных систем ЛВС. Наиболее просто реализуется размножение в тех случаях, когда протоколами ЛВС предусмотрен обмен программами. Однако, как показывает опыт, размножение возможно и в тех случаях, когда указанные протоколы ориентированы только на обмен сообщениями.

Эффекты, вызываемые вирусами в процессе реализации ими целевых функций, принято делить на следующие целевые группы:

искажение информации в файлах либо таблице размещения файлов;

имитация сбоев аппаратных средств;

создание звуковых и визуальных эффектов, таких, например, как отображение сообщений, вводящих оператора в заблуждение или затрудняющих его работу;

инициирование ошибок в программах пользователей или операционной системы.

Наиболее распространенным средством нейтрализации вирусов является использование программных антивирусов. Антивирусы, исходя из реализованного в них подхода к выявлению и нейтрализации вирусов, принято делить на следующие группы: детекторы, фаги, вакцины, прививки, ревизоры и мониторы.

Детекторы обеспечивают выявление вирусов посредством просмотра исполняемых файлов и поиска так называемых сигнатур — устойчивой последовательности байтов имеющихся в телах известных вирусов. Наличие сигнатуры в каком-либо файле свидетельствует об его заражении соответствующим вирусом. Антивирус, обеспечивающий возможность поиска различных сигнатур, называют полидетектором.

Фаги выполняют функции, свойственные детекторам, но, кроме того, “излечивают” инфицированные программы посредством “выкусываеия” (“пожирания”) вирусов из их тел. По аналогии с полидетекторами, фаги, ориентированные на нейтрализацию различных вирусов, именуют полифагами.

В отличие от детекторов и фагов, вакцины, по своему принципу действия напоминают сами вирусы. Вакцина имплантируется в защищаемую программу и запоминает ряд количественных и структурных характеристик последней. Если вакцинированная программа не была к моменту вакцинации инфицированной, то при первом же после заражения запуске произойдет следующее. Активизация вирусоносителя приведет к получению управления вирусом, который, выполнив свои целевые функции, передаст управление вакцинированной программе. В последней, в свою очередь сначала управление получит вакцина, которая выполнит проверку соответствия запомненных ею характеристик аналогичным характеристикам полученным в текущий момент. Если указанные наборы характеристик не совпадают, то делается вывод об изменении вакцинированной программы вирусом. Характеристиками, используемыми вакцинами, могут быть длина программы, ее контрольная сумма и т.п

Принцип действия прививок основан на учете того обстоятельства, что любой вирус, как правило, помечает инфицируемые программы каким-либо признаком, с тем чтобы не выполнять их повторное заражение. В ином случае имело бы место многократное заражение, сопровождаемое существенным и поэтому легко обнаруживаемым увеличением программы. Прививка, не внося никаких других изменений в текст защищаемой программы, помечает ее тем же признаком что и вирус, который, таким образом, после активизации и проверки наличия укказанного признака, считает ее инфицированной и “оставляет в покое”.

Ревизоры обеспечивают слежение за состоянием файловой системы, используя для этого подход, аналогичный реализованному в вакцинах. Программа-ревизор в процессе своего функционирования выполняет применительно к каждому исполняемому файлу сравнение его текущих характеристик с аналогичными характеристиками, полученными в ходе предшествующего просмотра файлов. Если при этом обнаружится, что согласно имеющейся системной информации файл с момента предшествующего просмотра не обновлялся пользователем, а сравниваемые наборы характеристик не совпадают, то файл считается инфицированным. Характеристики исполняемых файлов, получаемые в ходе очередного просмотра, запоминаются в отдельном файле (файлах), в связи с чем увеличение длин исполняемых файлов, имеющего место при вакцинировании, в данном случае не происходит. Другое отличие ревизоров от вакцин состоит в том, что каждый просмотр исполняемых файлов ревизором требует его повторного запуска.

Монитор представляет собой резидентную программу, обеспечивающую перехват потенциально опасных прерываний, характерных для вирусов, и запрашивающую у пользователей подтверждение на выполнение операций, следующих за прерыванием. В случае запрета или отсутствия подтверждения монитор блокирует выполение пользовательской программы.

Антивирусы рассмотренных типов значительно повышают вирусозащищенность отдельных ПЭВМ и ЛВС в целом, однако, в связи со свойственными им ограничениями, естественно, не являются панацеей. Так, для разработки детекторов, фагов и прививок нужно иметь тексты вирусов, что возможно только для выявленных вирусов. Вакцины обладают потенциальной способностью защиты программ не только от известных, но и от новых вирусов, однако, обнаруживают факт заражения только в тех случаях, когда сами были имплантированы в защищаемую программу раньше вируса. Результативность применения ревизоров зависит от частоты их запуска, которая не может быть больше одного — двух раз в день в связи со значительными затратами времени на просмотр файлоф (порядка 0,5 — 1 ч применительно к жесткому диску емкостью 80 Мбайт). Мониторы контролируют процесс функционирования пользовательских программ постоянно, однако, характеризуются чрезмерной интенсивностью ложных срабатываний, которые вырабатывают у оператора “рефлекс подтверждения” и тем самым, по существу, минимизируют эффект от такого контроля. Следует, также, учитывать, что принципы действия и тексты любых антивирусов доступны разработчикам ПВ, что позволяет им создавть более изощренные вирусы, способные успешно обходить все известные способы защиты.