أنواع الفيروسات
فيروسات قطاع التشغيل Boot Sector
تعتبر الفيروسات التي تصيب مقطع التشغيل في الأقراص
أكثر انتشاراً في العالم، إذ تصيب المقطع التشغيلي
في الأقراص المرنة، أو مقطع نظام تشغيل "DOS" في
الأقراص الصلبة. وربما إذا عرفنا كيف تنتشر هذه الفيروسات
أمكننا أن نتقي شرها. لقد وصلك اليوم قرص مرن يحتوي
على معلومات مهمة لمشروع تعمل عليه مع عدد من الزملاء
، وربما لا يعرف زميلك الذي أرسل لك هذا القرص أنه يحتوي
على فيروس يصيب المقطع التشغيلي للقرص الصلب بالعطب.
ووضعت القرص في محرك الأقراص وبدأت العمل كالمعتاد،
وإلي الآن لم يقم الفيروس بأي نشاط يذكر، وأقفلت جهازك
بعد أن انتهيت من العمل. وفي اليوم التالي قمت بتشغيل
الكمبيوتر وما زال القرص المرن قابعاً داخل الجهاز عندها
يحاول الكمبيوتر الإقلاع من القرص المرن. وتبدأ الكارثة حيث
يقوم الفيروس بنسخ نفسه في الذاكرة بدلاً من برامج التشغيل
المعروفة ويقوم بتشغيل نفسه بعدها. وقد تنتبه إلي وجود القرص
المرن وتسحبه من الجهاز وتحاول التشغيل من القرص الصلب
وعندها يقوم الفيروس بشطب ملفات الإقلاع الموجودة أصلاً في
نظام تشغيل "DOS" ويحل محلها. وإلي هنا يبدو كل شيء
طبيعياً، إلي أن تحاول القراءة أو الكتابة من القرص الصلب
فلا يمكنك ذلك، ويقوم الفيروس بمخاطبة القرص المرن بنسخ نفسه
عليه، وتقوم بكل حسن نية بإعطاء ذلك القرص إلي صديق أو زميل
لتتكرر العملية من جديد.
فيروسات الملفات
تلصق هذه الفيروسات نفسها مع ملفات البرامج التنفيذية مثل
command.com أوwin.com .
الفيروسات المتعددة الملفات
تنسخ هذه الفيروسات نفسها في صيغة أولية ثم تتحول
إلي صيغ أخرى لتصيب ملفات أخرى.
الفيروسات الخفية (الأشباح)
وهذه فيروسات مخادعة. إذ إنها تختبئ في الذاكرة ثم
تتصدى لطلب تشخيص وفحص قطاع التشغيل ثم ترسل
تقريراً مزيفاً إلي السجل بأن القطاع غير مصاب.
الفيروسات متعددة القدرة التحولية
وهذه الفيروسات لها القدرة الديناميكية على التحول وتغيي
الشفرات عند الإنتقال من ملف إلي آخر لكي يصعب اكتشافها.
الفيروسات متعددة الأجزاء Multipartite
يجمع هذا النوع الذى يدعى الفيروس "متعدد الأجزاء" Multipartite
بين تلويث قطاع الإقلاع مع تلويث الملفات في وقت واحد.
فيروسات قطاع الإقلاع
تقبع فيروسات قطاع الإقلاع في أماكن معينة على القرص
الصلب ضمن جهازك، وهي الأماكن التي يقرؤها الكمبيوتر
وينفذ التعليمات المخزنة ضمنها عند الإقلاع. وتصيب هذه
الفيروسات منطقة قطاع الإقلاع الخاصة
بنظام DOS (DOS Boot Record) بينما تصيب فيروسات الفئة
الفرعية المسماه MBR Viruses، قطاع الإقلاع الرئيسي
للكمبيوتر Master Boot Record حيث يقرأ الكمبيوتر كلا
المنطقتين السابقتين من القرص الصلب عند الإقلاع مما يؤدي
إلي تحميل الفيروس في الذاكرة. يمكن للفيروسات أن تصيب
قطاع الإقلاع على الأقراص المرنة، لكن الأقراص المرنة النظيفة
والمحمية من الكتابة تبقى أكثر الطرق أمناً لإقلاع النظام في
حالات الطوارئ. والمشكلة التي يواجهها المستخدم بالطبع
هي كيفية التأكد من نظافة القرص المرن، أي خلوه من الفيروسات
قبل استخدامه في الإقلاع وهذا ما تحاول أن تفعله برامج
مكافحة الفيروسات.
الفيروسات الطفيلية
تلصق الفيروسات الطفيلية Parasitic Viruses نفسها بالملفات
التنفيذية، وهي أكثر أنواع الفيروسات شيوعاً. وعندما يعمل
أحد البرامج الملوثة فإن هذا الفيروس عادة ينتظر في الذاكرة
إلي أن يشغل المستخدم برنامجاً آخر، فيسرع عندها إلي تلويثه.
وهكذا يعيد هذا النوع من الفيروس إنتاج نفسه ببساطة من خلال
استخدام الكمبيوتر بفعالية أي بتشغيل البرامج! وتوجد أنواع
مختلفة من ملوثات الملفات لكن مبدأ عملها واحد.
الفيروس المتطور Polymorphic Virus
هي فيروسات متطورة نوعاً ما تغير الشفرة كلما انتقلت من جهاز
إلي آخر. ويصعب نظرياً على مضادات الفيروسات التخلص منها
لكن عملياً ومع تطور المضادات فالخطر أصبح غير مخيف.
فيروسات الماكرو
يعتبر هذا النوع من الفيروسات أحدث ما توصلت إليه التقنية في هذ ا
المجال، وغدت تشكل تهديداً كبيراً لأسباب عديدة هي:
1-تكتب فيروسات الماكرو بلغة Word المتوفرة لكثير من المستخدمين
وهي أسهل من لغات البرمجة التقليدية.
2-أول فيروسات من نوعها تصيب ملفات البيانات أكثر من الملفات
التنفيذية وهنا يكمن الخطر، حيث أن نسبة تداول ملفات البيانات
أكبر بكثير من الملفات التنفيذية إذا أضفنا لذلك أيضاً البريد
الإلكتروني وإمكانية إلحاق ملفات البيانات معها، وكذلك الاستخدام
غير المحدود لشبكة الإنترنت. لذلك كله يكون خطر فيروسات الماكرو
أشد وأكبر من خطر الفيروسات التقليدية.
3-هذا النوع من الفيروسات لا يتقيد بنظام تشغيل معين، فهناك مثلاً
إصدارات من برنامج Word الشهير لأنظمة Windows باختلاف
نكهاتها، مما يجعل إمكانية الإصابة بهذا النوع من الفيروسات
أكبر. وليست فيروسات الماكرو حكراً على برنامج Word،
فهناك فيروسات تصيب برنامج Word Pro من Lotus ولكنها
لا تكون متعلقة بالوثيقة كما هي الحال في برنامج "Word"
وإنما في ملف منفصل. وهناك أنواع أخرى كثيرة من الفيروسات
التي تصيب نوعاً معيناً من الملفات حسب أسمائها أو أنواعها
ويضيق المجال هنا عن ذكرها وخاصة أن انتشارها بات محدوداً جداً.
أعراض الإصابة بالفيروس
تصاحب الأعراض التالية ظهور الفيروس وتعتبر علامات الإصابة به:
1-نقص شديد في الذاكرة للذاكرة ثلاث حالات.. فقبل دخول الفيروس
تكون الذاكرة في حالة طبيعية. ثم بعد أن يبدأ الفيروس في العمل
يلاحظ نقص شديد في الذاكرة. وذلك لأن الفيروس في هذه الحالة
يبدأ في تدمير الذاكرة وكذلك ملفات التبادل Swap Files عن طريق
إزالة البيانات المخزنة، مما ينتج عنه توقف البرنامج العامل
في الوقت ذاته لعدم وجود أي بيانات في الذاكرة، وإنما يستبدلها
الفيروس بمجموعة من الأصفار في مكان تعليمات التشغيل.
أما الحالة الثالثة بعد أن يكرر الفيروس نفسه يحتل الذاكرة.
2-بطء تشغيل النظام بصورة مبالغ فيها.
3-عرض رسائل الخطأ بدون أسباب حقيقية.
4-تغيير في عدد ومكان الملفات وكذلك حجمها بدون أي أسباب منطقية.
5-الخطأ في استخدام لوحة المفاتيح عن طريق إظهار أحرف غريبة
أو خاطئة عند النقر على حرف معين.
6-توقف النظام بلا سبب.
7-استخدام القرص الصلب بطريقة عشوائية. وتستطيع أن تلاحظ ذلك
من إضاءة لمبة القرص الصلب حتى وإن كان لا يعمل.
8-إختلاط أدلة القرص أو رفض النظام العمل منذ البداية.
إستراتيجية الهجوم للفيروس
أهداف هامة يجب عليه أن ينجزها وهي إما أن تكون برنامجاً أو ملفاً
]معيناً. وهدف الهجوم يختلف من فيروس إلي آخر
وأيضاً حسب نظام التشغيل.
أماكن الفيروس الإستقرارية
يبحث الفيروس عن أهداف يضمن وجودها في أي نظام تشغيل
وهي التي لا يستطيع أي نظام أن يعمل بدونها. وفي
نظام Windows أو أي إصدار من أي نظام تشغيل آخر يعتمد
على DOS فإن الملف المستهدف دائماً من قبل الفيروسات هو COMMAND.COM. وذلك لأن الملف موجود دائماً في الدليل
الرئيسي للفهرس الخاص بالنظام حيث أن هذا الملف هو المسئول
عن استقبال أوامر التشغيل التي تدخلها وتقرير تنفيذها إن كانت
من أوامر التشغيل الداخلية أو من أوامر التشغيل الأخرى التي تنتهي بالامتدادات COM, EXE, BAT . . وفيروسات هذا النوع أكثر تنوعاً
من فيروسات قطاع بدء التشغيل . ويمكن تصنيف فيروسات البرامج
في أربع مجموعات:
الفيروسات المتطفلة:
]وهي التي تلصق نفسها بالملفات لكي تتكاثر وتبقي
الملف الأصلي بحالة سليمة في الغالب.
الفيروسات المرافقة:
تعتمد على قاعدة الأسبقية في التنفيذ للملفات COM. وتتمكن
من نقل العدوى عن طريق إنشاء ملف جديد بدون تغيير طول الملف.
الفيروسات الرابطة:
تصيب البرامج بتغيير المعلومات في جدول مواقع الملفات FAT
بحيث تبدأ البرامج المصابة من الموقع ذاته، وهو عادة الـ Cluster
الأخير في القرص والذى يتضمن نص الفيروس، مما يضمن له
انتشاراً سريعاً كما في فيروس DIRII.
الفيروسات المستبدلة:
تقوم بالكتابة فوق جزء من البرنامج بدون تغيير حجم الملف
مما يؤدي إلي فشل البرنامج عند تنفيذه كما في
فيروس BURGER405. وهناك حيلة طريفة يلجأ إليها بعض
المبرمجين الأذكياء. بتغيير إسم هذا الملف لكي يصعب على
الفيروس ربط نفسه به. وهناك أيضاً ملفات
SYS, CONFIG, BAT, AUTOEXEC
حيث يبحث النظام عنها عند بدء التشغيل وينفذ ما بها من تعليمات
وهناك ملفات أخرى تمثل إغراء أكثر جاذبية للفيروس
وهي: IBMBIO.COM, IBMDOS.COM لأنها ملفات مخفية فبالرغم
من وجودها في الفهرس الرئيسي إلا إنه يصعب اكتشاف الفيروس
عند عرض دليل الملفات. ومن أماكن الفيروسات المفضلة
مخزن COMS. وهو مكان في الذاكرة يتم عن طريقه ضبط ساعة النظام.
وهذا المكان في منتهى الخطورة لأنه:
توجد به طاقة عن طريق البطاريات التي تستخدم في المحافظة
على توقيت النظام حتى بعد أن يتم إغلاق الكمبيوتر.
لأنها أول مكان يتم تشغيله عند بدء التشغيل. كما أن هذا المكان
لا يظهر عند عرض الملفات بالأمر DIR.
عن طريق هذا المكان يحدد الفيروس توقيت تشغيله متى حانت
ساعة الصفر. المكان الآخر الذي يمكن للفيروسات إصابته
والاستقرار فيه هو ملفات البرامج وخاصة الملفات التنفيذية
من نوع COM. و EXE. أو SYS. وغيرها .
أشكال الفيروسات
تظهر الفيروسات في عالم الكمبيوتر بأشكال عديدة أهمها:
1-السريع
بمجرد دخول هذا النوع من الفيروسات إلي الكمبيوتر يصيب كل
الملفات التي يتم تنفيذها في ذلك الوقت، وهي ليست خطيرة
كثيراً كما يمكن أن يتخيل البعض، فالتخلص منها سهل للغاية
حيث تقوم معظم برامج حماية الفيروسات بفحص الذاكرة الرئيسة
بشكل دوري ومن الطبيعي أن يكون الفيروس السريع متواجداً
هناك، إذ يصيب كل الملفات الموجودة في الذاكرة، عندها يتم
اكتشافه من قبل برنامج الحماية فإنه يتخلص منه.
2-البطيء
تتلخص فكرة هذا النوع من الفيروسات أنه كلما كان انتشاره
بطيئاً صعب اكتشافه والتخلص منه سريعاً. وهناك العديد من الطرق
التي يمكن أن يعمل بها، ولكن الأسلوب التقليدي الذي يعمل
به الفيروس البطيء هو إصابة الملفات التي كنت تنوي تعديلها
، مما يعني إنه لو كنت تشغل كاشف للتغييرات كحماية ضد
الفيروسات، يخبرك عندها أن هناك إصابة وتغيير في أحد
الملفات، ولكن بما أنك قررت عمل تغييرات في ذلك الملف أصلاً
فستوافق على ذلك، وتتقبل الفيروس بكل طيب خاطر. وعندما
تنسخ ملفاً على قرص مرن، يكون ذلك الملف معطوباً أصلاً
، وعند نسخه على كمبيوتر آخر محمي ببرامج الحماية ضد
الفيروسات وبكاشف التغييرات على الملفات الذي يحذرك من
التغيير الذي طرأ على الملف الأصلي فتؤكد له معرفتك بذلك
ظاناً أنه يعطيك تحذيراً على التغييرات التي قمت أنت بها
، وتكون النتيجة إصابة الكمبيوتر الثاني بالفيروس.
3-المتسلل
هو ذلك الفيروس الذي يختبئ في الذاكرة الرئيسية ويسيطر على
المقاطعات. يكون لكل جهاز طرفي رقم معين من قبل المعالج
الرئيسي يسمى مقاطع، مهمته تنسيق التخاطب بين الأجهزة
الطرفية المختلفة داخل الكمبيوتر. ففي حالة الفيروس الذي يصيب
مقطع التشغيل فإنه يسيطر على مقاطع القراءة/الكتابة على
القرص الصلب رقم 13h، وإن كان متسللاً فإن أي برنامج يحاول
القراءة من مقطع التشغيل يقوم الفيروس بقراءة المعلومات الأصلية
التي قام بتخزينها في مكان آخر بدلاً من المعلومات المعطوبة
في مقطع التشغيل، ولا يشعر المستخدم بأي تغيير ولا يتمكن
من لمس الفرق.
4-متعدد الأشكال
تعتبر برامج حماية الفيروسات التي تستخدم تقنية مسح الذاكرة بحثاً
عن الفيروسات هي الأكثر شيوعاً في العالم، لذلك تكون هذه البرامج
هي التحدي لكل مبرمج للفيروسات يحاول التغلب عليه. لذا وجدت
الفيروسات متعددة الأشكال، التي لو تمت مقارنة نسختين
من الفيروس نفسه معاً لم تتطابقا. وهذا يصعب مهمة برامج الحماية
ويتطلب منها القيام بأمور مختلفة أكثر تعقيداً لاكتشاف هذا النوع من الفيروسات.
الدمار الذي تخلفه الفيروسات
يمكننا تصنيف الدمار الذي تخلفه الفيروسات في ست مجموعات
وفقاً لحجم الدمار. ويمكننا أن نعرف الدمار الناتج عن الفيروسات
بأنه تلك الأمور التي كنت تتمنى لو أنها لم تحصل أبداً، كما يمكن
أن نقيس حجم الدمار بالوقت الذي تستغرقه عملية إعادة الأمور إلي
ما كانت عليه سابقاً. ولا نأخذ في الحسبان هنا الدمار الحاصلً
عن محاولات المستخدم غير السليمة في التخلص من الفيروس، خاصة
وأن الحل الذي ينصح به الكثير من قليلي الخبرة هو تهيئة القرص
الصلب كاملاً Format، وهو الغاية التي سعى إليها صانع الفيروس
ألا وهي تدمير بياناتك كاملة، أما الطريف في الأمر أن الفيروسات
التي تصيب مقطع التشغيل لا تتأثر بتلك العملية وتبقى موجودة
على القرص الصلب. وأنواع هذا الدمار كما يلى:
1-دمار تافه
وهو ما تسببه بعض الفيروسات غير ا الضار كثيراً، فمنها ما يسبب
صدور صوت عن لوحة المفاتيح في تاريخ معين، فكلما ضغطت
على زر ما في لوحة المفاتيح صدر ذلك الصوت. وكل ما يتوجب
عليك عمله هو التخلص من ذلك ا لفيروس الذى لا يستغرق دقائق.
2-دمار ثانوي
قد يكون أفضل مثال يوضح هذا الموضوع هو ما تقوم به بعض
الفيروسات من شطب أي برنامج تقوم بتشغيله بعد أن تنسخ
نفسها في الذاكرة، وفي أسوأ الاحتمالات هنا، يكون عليك
عادة تركيب بعض البرامج التي فقدتها ولا يستغرق ذلك في المجمل
أكثر من نصف ساعة عمل .
3-دمار معتدل
إذ ا قام الفيروس بتهيئة القرص الصلب أو حتى بشطبه كاملاً،
فإن حجم الدمار هنا يكون هيناً، وذلك لأننا نعرف أن ذلك
قد حدث، ويكون بإمكاننا إعادة تثبيت نظام التشغيل وإعادة
تحميل النسخ الإحتياطية التي تم نسخها بالأمس، لأنه من الطبيعي
عمل نسخ احتياطية يومياً. لذلك تكون مجمل الخسائر نصف يوم
عمل وربما ساعة من إعادة التثبيت والتحميل.
4-الدمار الكبير
عندما يصيب الفيروس القرص الصلب والنسخ الإحتياطية معاً فتلك
الطامة الكبرى، إذ تقوم بالتخلص من الفيروس من القرص الصلب
وتنسخ ملفاتك الإحتياطية لتجد أن الفيروس رجع من جديد. وتكون
المصيبة كبرى هنا إذا لم يكن لديك ورق مطبوع من عملك يمكنك
إعادة إدخاله، عندئذ عليك إعادة العمل من البداية.
موضوع: انواع الفيرسات واخطرها 
الثلاثاء أغسطس 28, 2007 3:04 pm
