ويروس چگونه كار مي كند ؟

[deltang]

تاريخچه

در سال 1983 در يكي از دانشكده هاي كاليفرنيا سميناري با نام حفاظت ديسك برگزار شد . شركت كنندگان در اين سمينار ادعا مي كردند كه اطلاعات روي ديسك اگر به صورت عمدي حذف نشود و آسيب فيزيكي نبينند عمري طولاني دارند . فرد كوهن كه در اين سمينار حضور داشت اين موضوع را قبول نداشت و بعد از پايان سمينار ايده خود را با استادش آدلمن در ميان گذاشت . استاد او به شباهت ايده فرد با ويروسهاي بيولوژيكي اشاره كرد . البته در همان سال ديويد جرالد نويسنده داستانهاي علمي تخيلي از نام ويروس براي كامپيوترهاي بد ذات داستانهايش استفاده كرد . فرد كوهن بعد از آن برنامه كوچكي نوشت كه بعد از چند بار اجرا به طول فايل اجرايي اضافه مي كرد و باعث آسيب رسيدن به آن مي شد . در واقع فرد نخستين ويروس كامپيوتري را نوشت .
در سال 1986 نخستين ويروس غير آزمايشي كشف شد و سال بعد يعني 1987 نام ويروس كامپيوتري بر سر زبانها افتاد . فرد كوهن در مقاله اي در نشريه كامپيوتر و ايمني چاپ كرد گفت مردم زماني ويروسهاي كامپيوتري را باور كردند كه از آن صدمه ديدند . كتابهاي او بعدها با استقبال گسترده اي رو به رو شد . او بعدا ردپاي افراد ديگري را در اين كار پيدا كرد .

عملكرد
ويروس به تنهايي فعاليت نمي كند و خود را به فايل اجرايي ضميمه مي كند . در واقع امروزه افراد عادي انواع كد مخرب را به عنوان ويروس مي شناسند . ولي ويژگي اصلي ويروس اين است كه خود را به يك فايل اجرايي ملحق مي كند . ويروسهاي اوليه بعد از الحاق اندازه واقعي فايل اجرايي را نمي توانست مخفي كند . از طرفي هر بار فايل آلوده اجرا مي شد خود را به آن ضميمه مي كرد كه باعث مي شد اندازه فايل دائما بزرگ شود .
ويروسهاي جديدتر اندازه فايل تغيير داده شده را محاسبه كرده و اندازه ويروس را از آن كم مي كردند . در نتيجه اندازه فايل در نمايش ليست فايلها تغيير نمي كرد . اين ويروسها كد مخصوصي در فايل قرار مي دادند كه متوجه شوند فايل آلوده است و دوباره به آن ضميمه نشود . به اين كد امضا ويروس گفته مي شود . يكي از روشهاي آنتي ويروسها جستجوي فايل براي اين كدها است . ويروسها از اين نظر به دو دسته تقسيم مي شوند :

جايگزين شونده
اين نوع ويروس خود را به جاي اطلاعات فايل رونويسي كرده و آن را از بين مي برد . فايلهاي آلوده شده به اين نوع ويروس بلافاصله از كار افتاده و با اجراي آن ويروس اجرا مي شود .

غير جايگزين شونده
اين نوع ويروس اطلاعات اول فايل را به انتهاي آن منتقل مي كند و روال كد كننده خود را به جاي آن رونويسي مي كند . سپس ويروس به انتهاي فايل ضميمه مي شود . با اجراي فايل آلوده روال مد كننده ويروس شروع به كار مي كند و ويروس را اجرا مي كند . بعد به فايل اصلي پرش كرده و آن را نيز اجرا مي كند . به همين دليل فايل آلوده بدون مشكل اجرا مي گردد .

چگونه متوجه شويم سيستم ويروسي شده است ؟
ويروسهاي امروزي خيلي مخفي كار شده اند و به راحتي نمي توان حضور آنها را حس كرد . با اين وجود با علائمي شبيه زير بايد به وجود ويروس شك كنيد :
- گم شدن اطلاعات
- تغيير اندازه فايلها
- رفتارهاي عجيب و غريب مانند پخش صدا و موسيقي - حركت تصاوير يا متن روي مانيتور و ... بدون اينكه كار خاصي انجام داده باشيد .
- افزايش بي دليل زمان بارگذاري فايلها
- مسدود شدن دسترسي به سايتهاي خاص و به خصوص سايتهاي امنيتي
- از كار افتادن بي دليل سرويسهاي سيستم عامل مانند Task Manager - Registry Editor و ...
- وجود اسمهاي عجيب و غريب در درايوها يا ليست پروسه ها
- قطع شدن ناگهاني دسترسي شما به فايلها