Вирусы-спутники
Как известно, в операционной системе MS-DOS существуют три типа файлов, которые пользователь может запустить на выполнение. Это командные или пакетные файлы. Командные файлы состоят из команд операционной системы и имеют расширение имени файла BAT.
В одном каталоге могут одновременно находиться несколько выполнимых файлов, имеющих одинаковое имя, но разное расширение имени. Например, в каталоге DOS записаны файлы MSD.COM и MSD.EXE. Вы можете создать в этом же каталоге командный файл MSD.BAT.
Когда вы желаете выполнить программу и вводите ее имя в системном приглашении MS-DOS, вы обычно не указываете расширение файла. Какой же файл в этом случае будет выполнен?
Оказывается, в этом случае операционная система MS-DOS будет выполнять файл, имеющий расширение COM. Если в текущем каталоге или в каталогах, указанных в переменной среды PATH, существуют только файлы с расширением EXE и BAT, то выполняться будет файл с расширением EXE.
Когда вирус-спутник заражает файл, имеющий расширение EXE или BAT, он создает в этом же каталоге еще один файл, имеющий такое же имя и расширение COM. Вирус записывает себя в этот COM-файл.
В качестве иллюстрации сказанного мы приводим содержимое каталога C:\PROGRAM. Первоначально в нем был записан один файл программы расчета CALC.EXE. После заражения этого файла вирусом-спутником в каталоге C:\PROGRAM появился файл CALC.COM:
C:\PROGRAM>DIR
Volume in drive C is LIBRARY
Volume Serial Number is 1F64-394F
Directory of C:\PROGRAM
. <DIR> 26.11.95 18:55
.. <DIR> 26.11.95 18:55
CALC COM 1 754 30.09.93 6:20
CALC EXE 29 390 30.09.93 6:20
2 file(s) 31 144 bytes
2 dir(s) 26 599 424 bytes free
Если, запуская зараженную программу CALC.EXE, вы наберете в системном приглашении ее имя без расширения, то будет запущен вирус-спутник, файл которого имеет расширение COM:
C:\PROGRAM>CALC
Получив управление, вирус может выполнять различные действия: заражать другие файлы, устанавливать резидентный модуль, и т.
д. Затем вирус может запустить саму зараженную программу, имеющую расширение EXE.
В отличие от других файловых вирусов, вирусы-спутники обычно никак не изменяют зараженные программы. Поэтому для лечения зараженных файлов достаточно просто удалить файлы вируса, имеющие расширение COM.
Для маскировки вирусы спутники обычно устанавливают для файла вируса атрибут “Скрытый”. В этом случае команда DIR не отобразит имя файла вируса.
C:\PROGRAM>DIR
Volume in drive C is LIBRARY
Volume Serial Number is 1F64-394F
Directory of C:\PROGRAM
. <DIR> 26.11.95 18:55
.. <DIR> 26.11.95 18:55
CALC EXE 29 390 30.09.93 6:20
1 file(s) 29 390 bytes
2 dir(s) 26 599 424 bytes free
Однако такая маскировка очень слаба. Достаточно указать команде DIR параметр /A и она покажет список всех файлов в текущем каталоге, включая скрытые и системные файлы.
