
                  В И Р У С Ы      И     N E T W A R E

                                        Борис Литвинов


    При работе сети NetWare фирмы Novell для совместного использования
сетевого дискового пространства используется "прозрачный режим".
Пользователь за комьютером видит сетевые диски в виде дополнительных
винчестеров (F: G: ...). Особенностью этих винчестеров является то, что
для них поддерживаются все операции над файлами и не поддерживаются
операции пямого доступа к секторам диска. Драйвера устойств для этих
дополнительных букв не существуют и все операции над ними иммитируются
путем перехвата различных прерываний.

    Проблема поведения вирусов на сетевых дисков сразу же распадается на
две в зависимости от ответа на вопрос: выполняется ли вирус на машине
управляющей сетью (и содержащей сетевые диски) или нет.

    Если вирус выполняется на управляющей машине, то он имеет доступ в
MBR, BOOT и к секторам диска. Пока нет подтвержденной информации о
существовании вирусов знакомых со структурой диска NetWare. Попытка "не
грамотного" вируса записаться на диск NetWare и в MBR скорее всего
окончится плачевно. И не сколько для вируса, сколько для NetWare. Поэтому
для защиты от BOOT-вирусов рекомендуется сохранять 0-ю дорожку. На этой
дорожке содержется не только MBR, но и начало раздела NetWare.
Восстановление 0-й дорожки из копии не всегда, наверное, возможно, но в
ряде случаев это помогает. В случае неуспеха еще остается тонкий анализ
содержимого старой и поврежденной 0-й дорожки. Если такой анализ удастся
провести, то возможно ручное восстановление потеянной информации.

    Если на управляющей машине вместе с сетью работает DOS, то возможно
нарушение работы NetWare в памяти и, как следствие, разнообразные курьезы.
Поэтому к чистоте от вирусов управляющей машины локальной сети следует
относится особенно серьезно.

    Если вирус выполняется на другой машине, то он не имеет физического
доступа к диску. Разговор в этом случае может идти только о файловых
вирусах. При этом нужно учесть, что пользователь сети обычно не имеет
доступа на запись ко всем файлам (особенно системным). Возможность
превысить права доступа практически не возможна. Покрайней мере пока в
системе защиты нет явных проколов администратора сети и не известны "люки"
в защите NetWare.

    Поведение вирусов в NetWare распадается на три группы:
  - те кто успешно функционирует в сети;
  - те кто заражает файлы на локальных дисках, но отказывается заpажать
  файлы в сети (среди них есть такие которые самоочищаются при копировании
  в сеть зараженного файла при активном вирусе);
  - и те кто теряет работоспособность при активной сети.

    Распределение вирусов по этим группам можно обьяснить следующими
обстаятельствами. В первую группу попадают наиболее примитивные файловые
вирусы котоые законно используют функции DOS для своих целей. Такие фирусы
довольно легко отлавливаются различными сторожевыми средствами. Во вторую
группу попадают вирусы которые пытаются бороться с антивирусными
средствами. Сеть при этом они также обходят и поэтому работа с сетью для
них не видна. В эту группу попадает наверное большинство
"СТЕЛС"-вирусов. Третью группу составляют неудачно написанные вирусы из
второй группы. Они перестают работать из-за конфликтов с оболочкой
NetWare.

    Был проведен ряд экспериментов для проверки поведения вирусов в сети.
При этом были проверены вирусы имевшие место быть на весну 1991 года и
имеющие распостранение на территории бывшего СССР. При этом провеке
подвергались только файловые резидентные вирусы. Нерезидентные на
основании имеющихся данных были сразу отнесены к первой группе.

    На основании тестирования можно сделать вывод что наиболее трудные для
обнаружения вирусы не могут распространяться через локальную сеть.
Тенденчии развития вирусов таковы, что эта их особенность должна
сохраниться и укрепиться.

    Методика проверки состояла в следующем: заражался компьютер, заражался
файл, файл копировался в сеть, после перезагрузки производилось сравнение
всех этих файлов с эталонным. Тестирование производилось в автоматическом
режиме - поэтому возможны некоторые неточности. Тестирование заняло около
12 часов работы машины.


   Нижеприводятся результаты тестирования по группам:

Успешно живут в сети:

RC-  370     394     417     482     492     529     600     658     699
     830     897    1018    1023    1092    1193    1663
RCE- 920     964    1064    1069    1085    1206    1212    1339    1384
    1503    1600    1636    1689    1740    2873    2900    3103


Не заражают сетевые файлы:

RC-  707
RCE-1150    1753    1909    2756    2772    2885    2901    2932
RMCE-2343


Не заражают сетевые файлы и не копиуются в сеть:

RC-0-512
RC-  970
RCE-1049    3584    4096


Не размножаются при сети вообще:

RC- 1701     516
RCE-1024    1075    1760    1800    1805    1813    1865    1962    2000
    2048    2144    2568    2680

