Статья посвящена исследованию методов внедрения компьютерных вирусов в исполнимый код, представленный классическими файловыми объектами. Рассматриваются особенности механизмов перехвата управления у легальной программы – контейнера размещения тела компьютерного вируса. Разработан подход к внедрению инструкций перехвата управления в код легальной программы, позволяющий снизить вероятность обнаружения факта перехвата со стороны различного рода эвристических антивирусных алгоритмов и основанный на исследовании графа потока управления программы. Предложена математическая модель описания задачи анализа графа потока управления программы-контейнера. Сформулирована задача классификации стартового кода программ, реализованных на языках высокого уровня. Формализованы стратегии внедрения инструкций перехвата управления во всех мыслимых случаях реализации легальной программы. Новизна предлагаемого подхода определяется повышением степени гарантированности перехвата управления по отношению к описанной в литературе технологии с «неизвестной» точкой входа – Entry Point Obscured (EPO) или Unknown Entry Point (UEP). Предложено решение как для случая возможной классификации окрестности корня графа потока управления, так и для случая отсутствия возможности такой классификации. Область применения предложенного подхода – разработка разрушающих программных воздействий различного назначения.
Article is devoted to a research of implementation methods of computer viruses in the executable code submitted by classical file objects. Features of mechanisms of interception of management at the licensed program – a container of placement of a body of a computer virus are considered. Approach to implementation of instructions of interception of management in the code of the licensed program allowing to reduce the probability of detection of the fact of interception from different heuristic anti-virus algorithms and based on a research of the graph of a control flow of the program is developed. The mathematical model of the description of a task of the analysis of the graph of a control flow of the program container is offered. The problem of classification of the starting code of the programs implemented in languages of the high level is formulated. The strategy of implementation of instructions of interception of management in all imaginable cases of implementation of the licensed program are formalized. The novelty of the offered approach decides by increase in degree of security of interception of management in relation to the technology described in literature on «unknown» point of entry – Entry Point Obscured (EPO) or Unknown Entry Point (UEP). The solution, as for a case of possible classification of the neighborhood of a root of the graph of a control flow, and for a case of lack of a possibility of such classification is proposed. A scope of the offered approach – development of the destroying program influences of different function.
1. Бородин А.В. Феномен компьютерных вирусов: элементы теории и экономика существования. Йошкар-Ола: Марийский государственный технический университет, 2004. 144 с.
2. Гульев И.А. Компьютерные вирусы, взгляд изнутри, М.: ДМК. 1998. 304 с.
3. Вавренюк А.Б., Зайчик А.Ю., Иванов М.А., Кутепов С.В., Прилуцкий С.О., Смирнов А.А., Тараканов О.В., Шустова Л.И. База эвристических признаков комплекса программных средств антивирусной защиты компьютерных систем, функционирующих под управлением ОС Linux // REDS: Телекоммуникационные устройства и системы. 2013. Т. 3. № 2. С. 144–147.
4. Бородин А.В. Оптимизация стоимости владения объектно-ориентированной метасистемой в условиях заданной модели угроз // Обозрение прикладной и промышленной математики. 2006. Т. 13. В. 5. С. 843–844.
5. Бойко А.А. Способ аналитического моделирования процесса распространения вирусов в компьютерных сетях различной структуры // Труды СПИИРАН. 2015. № 5 (42). С. 196–211.
6. Далингер Я.М., Бабанин Д.В., Бурков С.М. Математические модели распространения вирусов в компьютерных сетях различной структуры // Информатика и системы управления. 2011. № 4 (30). С. 3–11.
7. Климентьев К.Е. Компьютерные вирусы и антивирусы: взгляд программиста. М.: ДМК Пресс, 2013. 656 с.
8. Ахо А.В., Лам М.С., Сети Р., Ульман Дж.Д. Компиляторы: принципы, технологии и инструментарий. М.: Издательский дом «Вильямс», 2018. 1184 с.
9. Петровский А.Б. Пространства множеств и мультимножеств. М.: Едиториал УРСС, 2003. 248 с.
10. Касперски К. Записки исследователя компьютерных вирусов. СПб.: Питер, 2005. 316 с.
11. Плаксин М.А. Тестирование и отладка программ для профессионалов будущих и настоящих. М.: БИНОМ, Лаборатория знаний, 2015. 170 с.
12. Бородин А.В. Линейные конгруэнтные последовательности максимального периода в задачах обфускации программ // Кибернетика и программирование. 2016. № 6. С. 1–19. DOI: 10.7256/2306-4196.2016.6.18499.
13. Вахрамеева Т.Е., Романова А.А., Сенькова А.А., Бородин А.В. Рандомизация потока управления как дополнительный метод обфускации программ // Россия в многовекторном мире: национальная безопасность, вызовы и ответы. Двадцатые Вавиловские чтения: материалы международной междисциплинарной научной конференции. Ч. 2. Йошкар-Ола: Поволжский государственный технологический университет, 2017. С. 203–205.
14. Козлова К.А. Пул переменных программы как объект-хранилище с рандомизацией карты памяти // Инженерные кадры – будущее инновационной экономики России: материалы II Всероссийской студенческой конференции (г. Йошкар-Ола, 21–25 ноября 2016 г.). Ч. 4. Информационные технологии – основа стратегического прорыва в современной промышленности. Йошкар-Ола: Поволжский государственный технологический университет, 2016. С. 48–50.
15. Петрова Д.И. Гипотеза о возможности расширенного воспроизводства технологий компьютерных вирусов // Инженерные кадры – будущее инновационной экономики России: материалы III Всероссийской студенческой конференции (г. Йошкар-Ола, 21–24 ноября 2017 г.). Ч. 4. Информационные технологии – основа стратегического прорыва в современной промышленности. Йошкар-Ола: Поволжский государственный технологический университет, 2017. C. 82–85.