Компьютерный вирус и его отличие от червя: как они распространяются

Вирус в строгом смысле — программа, которая не живёт сама по себе, а встраивает свой код в другие файлы: исполняемые программы, документы с макросами, загрузочные секторы. Пока заражённый файл не запущен, вирус бездействует. Когда файл выполняют, вирус получает управление, заражает новые объекты и только потом передаёт работу оригинальному коду, чтобы человек ничего не заметил.

Отсюда аналогия с биологией: размножение возможно только внутри «клетки-хозяина». Без запуска заражённого объекта вирус не двигается.

Червь отличается способом расселения. Ему не нужен файл-носитель и участие человека. Он использует уязвимости сетевых служб, слабые пароли или почтовые адреса из адресной книги, чтобы отправить копию себя на другие компьютеры. Поэтому черви распространяются очень быстро и нагружают сеть: массовые эпидемии прошлых лет были связаны именно с ними.

Троян по определению не размножается: он притворяется полезной программой, и распространение зависит от того, что пользователь сам установит его. На практике вирус, червь и троян — три разных механизма доставки, а «нагрузка» у всех может быть похожей.

Вирусы классифицируют по тому, что именно они заражают. Файловые встраиваются в исполняемые программы, дописывая код в начало или конец файла. Загрузочные поражают загрузочный сектор или запись загрузки диска и стартуют раньше операционной системы, что делало их опасными в эпоху дискет. Макровирусы живут в документах офисных пакетов и запускаются, когда пользователь включает макросы. Скриптовые используют файлы сценариев.

Современные системы с безопасной загрузкой проверяют подпись загрузчика и ядра, и потому классические загрузочные вирусы почти не встречаются. Но идея сохранилась в виде буткитов и руткитов, прячущихся глубоко в системе. Их отличие от вирусов в цели: они не размножаются, а скрывают присутствие другой вредоносной программы и обеспечивают ей постоянное присутствие.

Классические файловые вирусы заражали программы на дискетах и в общих папках. Современные системы ограничивают права программ, проверяют подписи и запуск из недоверенных мест, а исполняемые файлы распространяются чаще через официальные каталоги. Заражать файлы стало и труднее, и невыгодно: проще выпустить троян или загрузчик, который приносит любую нагрузку.

Макровирусы в офисных документах остаются актуальными как способ первоначального запуска, но большинство офисных пакетов теперь блокируют макросы из интернета по умолчанию.

Побочные эффекты зависят от нагрузки: порча или удаление файлов, показ сообщений, замедление, открытие доступа для злоумышленника. У вирусов заметен характерный признак: рост размера или изменение хеша заражённых файлов. Некоторые вирусы шифруют собственное тело или меняют его при каждом заражении, чтобы затруднить обнаружение по сигнатурам.

Современные антивирусы поэтому используют не только сигнатуры, но и поведенческий анализ: подозрительной считается программа, которая массово изменяет другие исполняемые файлы.

Держите систему и программы обновлёнными, не запускайте файлы из непроверенных источников, отключите автозапуск со съёмных носителей и не включайте макросы в документах без веской причины. Регулярные резервные копии позволят восстановить данные.

Если подозреваете заражение, запустите полную проверку антивирусом, а при сомнениях загрузитесь со сменного носителя и проверьте диск из чистой среды: так вирус не сможет скрыться. О других классах угроз читайте на странице про вредоносное ПО.

После удаления вируса важно проверить и резервные копии: если в них попал заражённый файл, восстановление вернёт проблему, поэтому копии тоже проверяют перед использованием.

Полезное упражнение — посмотреть, что у вас включено для защиты: встроенный антивирус, проверка репутации приложений, контроль запуска неподписанных файлов. Убедитесь, что базы обновляются автоматически и что система не работает под учётной записью администратора постоянно. Разница между обычным и административным режимом — один из самых действенных барьеров для распространения вирусов.