Макровирусы

В последние годы резко возросло количество вирусов на корпоративных уз­лах. Это связано преимущественно с распространением одного из новейших ти­пов вирусов — макровирусов. В конце 1999 года количество макровирусов со­ставляло две трети от общего числа компьютерных вирусов [КАВА99].

Эти вирусы являются особенно опасными по нескольким причинам.

1. Макровирусы являются независимыми от платформы. Почти все макрови­русы заражают документы, созданные в редакторе Microsoft Word. Все ап­паратные платформы и операционные системы, поддерживающие Word, подвержены заражению.

2. Макровирусы заражают не исполняемую часть кода, а документы. Боль­ шинство информации, содержащейся в компьютерной системе, находится в форме документов, а не в форме программ.

3. Макровирусы легко распространяются. Очень часто для этого применяется электронная почта.

Макровирусы используют возможность применения макросов в Microsoft Word и других офисных приложениях, таких, как Microsoft Excel. Макрос яв­ляется исполняемой программой, вставленной в электронный документ или файл другого типа. Обычно пользователи применяют макросы для автоматиза­ции повторяющихся задач и сохранения времени, которое пришлось бы затра­тить на ввод текста и команд. Как правило, основой макроязыка служит разно­видность языка программирования Basic. Пользователь может определить в макросе последовательность нажатий клавиш и настроить макрос так, чтобы он вызывался при нажатии функциональной клавиши или некоторой специальной комбинации клавиш на клавиатуре.

Возможность создания макровируса определяется наличием самозапускаю­щихся макросов, т.е. таких макросов, которые вызываются сами по себе, без ка­ких-либо явных действий со стороны пользователя. Обычно запуск таких макро­сов происходит при открытии файла, его закрытии или при запуске приложе­ния. Макрос в процессе работы может копировать себя в другие документы, удалять файлы, а также причинять другой вред пользователям системы. В при­ложении Microsoft Word существуют самозапускающиеся макросы трех видов.

• Автоматически выполняющийся (autoexecute). Если макрос в шаблоне "normal.dot" или в глобальном шаблоне, который хранится в каталоге инициализации (startup directory) приложения Word, имеет имя AutoExec, он всегда запускается при запуске Word.

• Автомакрос (automacro). Автомакрос запускается в результате наступления определенного события. Таким событием может быть открытие или закры­ тие документа, создание нового документа или выход из приложения Word.

• Командный макрос (command macro). Если имя макроса, имеющегося в глобальном файле макросов или вложенного в документ, совпадает с именем существующей команды Word, то при вызове этой команды запускает­ся такой макрос (например, FileSave).

Общепринятый метод распространения макровирусов состоит в следующем. Автомакрос, или командный макрос, вкладывается в документ Word, который передается в систему с помощью электронной почты или копирования с диске­ты. Спустя некоторое время после открытия документа начинает работать мак­рос. Он копирует сам себя в глобальный файл макросов. В начале следующего сеанса работы пользователя с приложением Word активизируется глобальный макрос. При запуске этого макроса он может размножаться и причинять вред.

Следующие один за другим выпуски приложения Word обеспечивают все более надежную защиту от макровирусов. Например, фирма Microsoft предлагает устанав­ливаемый по желанию инструмент Macro Virus Protection, который выявляет подоз­рительные файлы в формате Word и предупреждает клиента о потенциальном риске, возникающем при открытии файлов с макросами. Другие производители антивирус­ных программных продуктов также имеют в своем арсенале инструменты для выявления и устранения макровирусов. В борьбе с макровирусами происходит такая же "гонка вооружений", как и в отношении вирусов других типов.