                 1. ОЧЕРК ИСТОРИИ КОМПЬЮТЕРНЫХ ВИРУСОВ

                            1.1. Предыстория

                                                 "Vestigia semper adora"
                                                  (Всегда уважай следы)
                                                  Стаций (40-50 до н.э.)

   Компьютерные вирусы  являются одной  из разновидностей  компьютерного
вандализма, получившего  распространение в конце 80-х гг. Исторически их
возникновение связано  с идеей создания самовоспроизводящихся программ --
концепции, уходящей  своими корнями в пятидесятые годы. Идея самовоспро-
изводящихся механизмов  исследовалась еще Джоном фон Нейманом, который в
1951 г. предложил  метод создания таких механизмов. Несомненно, идея ви-
русоподобных программ неоднократно открывалась и переоткрывалась различ-
ными авторами.  Тем не менее, восстановление приоритета исследователей в
опубликовании той или иной грани концепции вирусоподобных программ явля-
ется в  какой-то мере актом восстановления справедливости по отношению к
тем, чьи работы были незаслуженно забыты или вообще проигнорированы. Это
касается прежде всего европейских исследователей, вклад которых в разра-
ботку различных  проблем системного  программирования часто игнорируется
или замалчивается в американских публикациях.

   Первой публикацией,  связанной с  рассматриваемой  концепцией,  можно
считать статью  Л.С.Пенроуза (L.S.Penrose) о самовоспроизводящихся меха-
нических структурах  [Penrose59], опубликованную  в 1959 г. американским
журналом "Scientific  American". В этой статье, наряду с примерами чисто
механических конструкций, была приведена некая двумерная модель подобных
структур, способных  к активации,  захвату и  освобождению. Под влиянием
этой статьи Ф.Ж.Шталь (F.G.Stahl) запрограммировал на машинном языке ЭВМ
IBM 650 биокибернетическую модель, в которой существа двигались, питаясь
ненулевыми словами  [Dewdney85]. При  N передвижениях  без пищи существо
умирало от голода, а после съедания определенного количества слов порож-
дало новое.  При размножении  была предусмотрена  возможность мутаций, в
ходе которых  существа могли приобретать способность пожирать себе подо-
бных и  терять возможность  к размножению.  В ходе пробного прогона один
бесплодный мутант   съел единственного, способного к размножению.


                       1.1.1. Первые эксперименты

   В 1962 г. В.А.Высотский (V.А.Vyssotsky), Г.Д.Макилрой (H.D.McIlroy) и
Роберт Моррис (Robert Morris) -- фирма Bell Telephone Laboratories, США --
изобрели достаточно  необычную игру Darwin (Дарвин), в которой несколько
ассемблерных программ,  названных "организмами",  загружались  в  память
компьютера. Организмы, созданные одним игроком (т.е. принадлежащие к од-
ному виду),  должны были уничтожать представителей другого вида и захва-
тывать жизненное пространство. Победителем считался тот игрок, чьи орга-
низмы захватывали  всю память  или набирали наибольшее количество очков.
Игра проходит на большом участке памяти, называемом ареной и управляемом
специальной программой  -- супервизором.  Вид V  состоит из  N(V) особей.
Каждая особь  (K=1,...,N(V)) имеет  размер S(K)  (K=1,...,N(V),  S(K)  <
MAXS) и  расположена в  R(K) последовательных  ячейках, начиная с головы
G(K), причем  R(V) точек со смещениями P(K,1),...,P(K,R(V)) относительно
головы являются  защищенными. Организм, который получает управление, мо-
жет использовать три вида обращения к супервизору:

   PROBE(n,loc) -- запрос  о содержании  ячейки с  адресом loc  (если эта
ячейка защищена,  то управление передается ее обладателю, а если нет, то
возвращаются три  числа -- <номер  вида  организма,  занимающего  ячейку>
(ноль, если  ячейка свободна), <начало> и <конец> (если ячейка свободна,
то начало  и конец свободного участка арены, в который она входит; нули,
если ячейка занята организмом));
   KILL(loc) -- уничтожить  организм по  адресу loc (loc должна принадле-
жать организму  другого вида  и должна  быть предварительно  исследована
PROBE любым организмом того же вида, что и нападающий);

   CLAIM(n,loc) -- размножить  организм на участок свободного пространст-
ва, включающий  loc (ячейка loc должна быть предварительно исследована с
помощью PROBE  и не  менее S(K)  ячеек должно быть свободно, возможно, в
результате предыдущего KILL).

   "Игра  для   полуночников",  возникшая   в   фирме   Bell   Telephone
Laboratories, быстро  приобрела популярность и в других учебных и иссле-
довательских центрах,  например в исследовательском центре фирмы Xerox в
Пало Альто  и в  Массачусетском институте технологии (МИТ). Отметим, что
долгое время  описание игры  существовало только  "в устном  фольклоре":
статья с  описанием игры  была опубликована  только в  1972 г. [SPEX72],
причем в  ее тексте  использовался термин "вирус" применительно к одному
из видов организмов.

  Приблизительно в 1970 г. была создана саморазмножающаяся программа для
одной из первых компьютерных сетей -- APRAnet. Программа Creeper,  кото-
рая по некоторым данным была написана Бобом Томасом (Bob Thomas) из BBN,
путешествовала по сети, обнаруживая свое появление сообщением

               "I'M THE CREEPER ... CATCH ME IF YOU CAN"
              ("Я КРИПЕР ... ПОЙМАЙ МЕНЯ, ЕСЛИ СМОЖЕШЬ").

   Для борьбы с ней была создана программа Reaper, которая также путеше-
ствовала по  сети и  уничтожала встретившиеся  экземпляры  Creeper.  Эта
идея, представляющая  собой вариацию  подхода, распространенного в среде
знахарей, --  "подобное лечится подобным", позднее неоднократно использо-
валась и  в других  программах борьбы с ранними вирусами, однако в целом
оказалась неудачной.

   В 1974 г.  была написана программа Rabbit (Кролик), которая размножа-
лась на трех соединенных между собой машинах IBM, причем появление новых
подзадач вызывало замедление реакции, а затем и полное зависание машин.

   Другим примером  вирусоподобных программ была игра Animal (Животное),
разработанная примерно в 1975 г. для Univac 1108. Суть этой игры состоя-
ла в том, что человек задумывал некоторое животное, и программа, задавая
вопросы, пыталась  определить, какое  животное загадал человек. Програм-
мист, написавший  игру, предусмотрел  в ней возможность саморазмножения.
Когда программа  угадывала неправильно, она просила пользователя предло-
жить вопрос,  который позволил  бы улучшить ее способности к отгадыванию
данного животного. Запомнив этот вопрос, программа не только модифициро-
вала себя,  но и пыталась переписать свою обновленную (улучшенную) копию
в другой  каталог. Если там уже была программа Animal, то она стиралась.
В противном случае создавалась новая копия. Оказалось, что через некото-
рое время  все каталоги  файловой системы  содержали копию Animal. Более
того, если  пользователь переходил с машины на машину, то он переносил и
свой каталог, и в результате во всех каталогах этой ЭВМ также появлялась
Animal. При  этом совокупность копий Animal занимала значительное файло-
вое пространство,  что в те времена воспринималось как проблема. В соот-
ветствии  с  фольклорной  версией  решения  проблемы,  опубликованной  в
[Dewdney85], была  разработана новая,  более "инфицирующая"  модификация
игры, которая  копировала себя  не один  раз, а дважды, тем самым быстро
вытесняя собой старую версию. По истечении заданного срока она предлага-
ла пользователю  сыграть последний раз, а затем сама стирала себя с дис-
ка. В действительности, борьба проходила на уровне операционной системы:
в версии  33 операционной системы Exec 8 для этой ЭВМ был изменен формат
таблицы файлов, и игра потеряла возможность размножаться.


               1.1.2. Романы Бруннера, Гибсона и расцвет
                      "околовирусного" направления
                          в научной фантастике

                              Лживой книжной премудрости лучше бежать.
                              Лучше с милой всю жизнь на лужайке лежать.
                                                              Омар Хайям

   В вышедшем  в 1975 г.  научно-фантастическом    романе "The Shockware
Rider" Джон  Бруннер (John  Brunner) [Brunner75]  описал "червей" -- про-
граммы, распространяющиеся  по сети.  Эта идея  в  определенной  степени
предвосхитила последующие события (см. ниже сетевой вирус Морриса), хотя
ее осуществление  находилось за  пределами возможностей компьютеров того
времени. Данная книга оказалась в числе бестселлеров и безусловно повли-
яла на ход дальнейших событий.

   В 1977 г. издательством Collier Books был опубликован еще один  науч-
но-фантастический   роман   --   "The   Adolescence   of  P-1"  ("Юность
П-1")[RyanT77],  разрабатывавший  ту  же  тему.  Его  автор,  Томас Риан
(Thomas J.Ryan), создал образ достаточно жуткого "разумного" вируса, за-
нимающегося сбором информации.

   Забегая вперед, отметим, что в 1984 г. В.Гибсон (W.Gibson)  опублико-
вал научно-фантастический роман "Neuromancer" [Gibson84] -- второй после
Бруннера бестселлер, в котором фигурируют компьютерные вирусы. Этот  ро-
ман также можно рассматривать как катализатор реальных событий. В  част-
ности, в нем впервые было введено понятие "киберпространства". Этим сло-
вом  названа  глобальная  компьютерная  коммуникационная сеть, в которой
ввод и вывод осуществляется не с  помощью клавиатуры и дисплея, а с  по-
мощью  "согласованных  галлюцинаций".  Несмотря  на фантастичность идеи,
оказалось, что "улица находит свое применение любым вещам". В  настоящее
время под киберпространством понимается система, в которой у пользовате-
ля создается трехмерное восприятие объектов некоего искусственного  мира
и иллюзия того, что он находится внутри соответствующего  искусственного
пространства, а не просто  наблюдает его изображение на  экране дисплея.
Если видеоигры -- это фильмы с участием игрока, то киберпространство  --
это парк аттракционов, где можно испытать все, что только можно  вообра-
зить. В настоящее время фирма Autodesk осуществляет проект Cyberspace, в
рамках которого разработан ряд устройств для создания  киберпространства
[Уолсер90]. К ним относятся  специальный шлем (со встроенным  дисплеем и
датчиками перемещения головы),  а также специальные  перчатки PowerGlove
фирмы Nintendo, которые позволяют оцифровывать и вводить любые перемеще-
ния пальцев руки. Недалек тот день, когда участники международного  кол-
лектива разработчиков  смогут собираться  в виртуальном  конференц-зале,
демонстрируя друг другу различные  проектные решения, обсуждая и  тут же
внося изменения. При этом каждый участник будет видеть виртуальные  тела
других участников, сможет подходить к ним и разговаривать, хотя к  сожа-
лению, при встрече со знакомой  девушкой нельзя будет ее обнять.  Но это
все в будущем. А сейчас вернемся к истории компьютерных вирусов.

   Упомянутые  выше  романы  положили  начало  литературному направлению
"околовирусного" толка,  в котором  концепция вирусов  разрабатывается с
различных точек зрения. В частности, сюжет французского "шпионского" де-
тектива "Softwar: la  guerre douce" Терри  Брентона (Thierry Brenton)  и
Дениса Бенеша  (Denis Beneich),  опубликованного в  1985 г. [Brenton85],
основан на продаже СССР американского суперкомпьютера для метеорологиче-
ской сети. Вместо блокирования сделки американская администрация, демон-
стрируя напускное нежелание продать компьютер, санкционирует его достав-
ку в СССР. В то же время в системное программное обеспечение  компьютера
заносится "логическая бомба". При определенных условиях она "взрывается"
и уничтожает все программное обеспечение в советской сети. В той мере, в
которой этот  сюжет представляет  собой реальную  возможность, это самая
настоящая война программ  с агентом-подрывником в  качестве действующего
лица. Поскольку метеорологическая сеть так или иначе связана с авиацион-
ными и ракетными системами, роман заставляет нас задуматься. Этот  поток
научно-фантастической литературы, посвященной вирусам, безусловно сыграл
определенную роль в популяризации идеи и привлечении к ней внимания сту-
денческой молодежи  (см. ниже).  Из последних  романов этого направления
следует отметить второй роман В.Гибсона "Mona Lisa Overdrive",  вышедший
в 1988 г. [Gibson88].


               1.1.3. Apple II и BBS создают условия для
              распространения троянских программ и вирусов

   Весной 1977 г. появился  первый персональный компьютер Apple  II. Эта
модель находилась в производстве с 20  апреля 1977 г. по 1 августа  1983
г. Общее количество проданных машин  составило более 3 млн. шт.,  что на
порядок превышало количество  ЭВМ других серий.  Поэтому для этих  машин
появились объективные возможности  создания реальных компьютерных  виру-
сов, и эти возможности очень быстро были осознаны и реализованы.  Неуди-
вительно, что  Apple II  послужил "рабочей  лошадкой" для  разработчиков
"доисторических" компьютерных вирусов.

   Параллельно с массовой продажей компьютеров Apple, в конце 70-х годов
на Западе отмечается  бурное развитие сетей  для передачи информации  на
базе обычных телефонных каналов.  Появляются первые банки свободно  рас-
пространяемых программ и  данных -- BBS  (Bulletin Board System  -- бук-
вально "доска объявлений" для  программ). В этот банк  любой программист
мог загрузить  (download) свою  программу, и  любой пользователь  мог ее
считать и запустить на своем компьютере. Это существенно увеличило и ус-
корило трафик программ, тем более что многие университетские  компьютер-
ные центры (традиционно  являющиеся центрами разработки  различного рода
бесплатных программ) организовали свои BBS. Позднее появились и  большие
онлайновые информационные системы, такие как CompuServe, которые охваты-
вали практически все западные страны. С появлением BBS получил распрост-
ранение и новый вид компьютерного хулиганства: загрузка в нее программы,
выводящей какие-то привлекательные картинки или претендующей на выполне-
ние какой-либо  полезной функции,  которая сразу  после запуска ("чистая"
программа-вандал) или через некоторое время, или при выполнении некоторо-
го условия (троянская программа-вандал) уничтожала данные на  компьютере
пользователя, переписавшего и запустившего ее на своем компьютере. Такие
программы-вандалы можно рассматривать как исторических  предшественников
вирусов-вандалов, тем более что их  разрабатывает по сути один и  тот же
тип патологических личностей, обычно называемый технопатами.

   В 1980 г. появилась первая и весьма примечательная европейская публи-
кация  по  компьютерным  вирусам  --  "Самовоспроизводящиеся  программы"
Й.Крауса. Ее автор --  сотрудник кафедры информатики Дортмундского  уни-
верситета --  не только  дал достаточно  точное определение компьютерных
вирусов, но и  привел в своей  работе листинги компьютерных  вирусов (на
языке  ассемблера  фирмы  Siemens  --  клона известной системы 360 фирмы
IBM). К сожалению, данная  публикация представляла собой препринт  Дорт-
мундского университета и широкого распространения не получила. По мнению
Р.Бургера, автора первой книги по компьютерным вирусам [Burger88],  уро-
вень этой  работы существенно  превосходит уровень  исследований Ф.Коэна
(см. ниже), поэтому обидно, что она практически забыта и не цитируется в
современных исследованиях по компьютерным вирусам.

   В 1981-82 гг.  появился первый, получивший некоторое распространение,
бутовый вирус  на ПЭВМ  Apple II.  Этот вирус,  получивший название  Elk
Cloner, обнаруживал  свое присутствие  сообщением, содержавшим  даже не-
большое стихотворение:

  ELK CLONER:
  THE PROGRAM WITH A PERSONALITY
  IT WILL GET ON ALL YOUR DISKS
  IT WILL INFILTRATE YOUR CHIPS
  YES, IT'S CLONER
  IT WILL STICK TO YOU LIKE GLUE
  IT WILL MODIFY RAM, TOO
  SEND IN THE CLONER!

   Поскольку винчестеров  тогда еще не было, борьба с ним состояла в ис-
пользовании защитных наклеек на дискетах.

   Другой вирус  для Apple II  был создан в 1982 г. студентом Техасского
университета. Он  был рассчитан на операционную систему DOS 3.3 для этой
ПЭВМ (не  путать с  более поздней  операционной системой  MS DOS 3.3 для
IBM PC). Не до конца отлаженная версия этого вируса "ускользнула" от ав-
тора и начала распространяться по университету. Ошибка в вирусе вызывала
подавление графики  популярной игры под названием Congo, и в течение не-
скольких недель  все ("пиратские")  копии этой  игры перестали работать.
Для исправления ситуации автор запустил новый, исправленный вирус, пред-
назначенный для "замещения" предыдущей версии. Как мы видим, идея "подо-
бное лечится подобным" открывалась и переоткрывалась многократно.


             1.1.4. Первые эксперименты с сетевыми вирусами

   В октябре  1980 г. в сети APRAnet была обнаружена программа, по неко-
торым описаниям  вызывавшая "перепутывание"  адресов посылаемых  по сети
сообщений, что  вызывало появление  множества сообщений "неверный статус
пользователя". В  результате систему пришлось выключить, и она была вос-
становлена только через три дня.

   В 1982 г.  не без влияния упоминавшегося выше романа Бруннера сотруд-
никами исследовательского центра фирмы Xerox в Пало Альто ("родине Смол-
тока") была  создана программа-червь  и проведен  ряд экспериментов, ре-
зультаты которых опубликованы в ведущем американском компьютерном журна-
ле [Shoch82]. Идея, которой руководствовались авторы программы, состояла
в том,  что программа,  требующая значительных вычислительных мощностей,
захватывала все простаивающие, но подключенные к сети ЭВМ, с тем, чтобы,
например, ночью использовать максимум подключенных вычислительных мощно-
стей, а  утром, когда  пользователи начинают  выполнять свои вычисления,
освобождать их,  сохраняя промежуточные результаты вычислений. Днем про-
грамма "перебивалась"  бы одной -- двумя машинами, а ночью опять захваты-
вала бы  все свободные вычислительные мощности. В связи с этой способно-
стью к  ночному распространению  такую программу  правильнее было бы на-
звать не  червяком, а  вампиром. При  проведении эксперимента по запуску
червяка в  сеть наблюдалось его неконтролируемое распространение и зави-
сание части  зараженных червяком машин. Поскольку эксперимент проводился
на локальной  сети Ethernet  и некоторые  комнаты с включенными машинами
следующим утром оказались закрытыми, копии червя в этих машинах заражали
другие машины.  К счастью,  авторы предусмотрели такую возможность и по-
слали по сети команду самоуничтожения всем копиям червяка.


               1.1.5. Тьюринговская лекция Кена Томпсона

   В 1983 г. Кену Томпсону (Ken Thompson) -- создателю всемирно известной
операционной системы  Unix, была присуждена самая престижная в мире про-
граммирования премия --  премия имени  Тьюринга  Американской  ассоциации
компьютерной техники  (Association for computing machinery) -- самой ста-
рой и наиболее массовой организации американских программистов. Свою за-
мечательную тьюринговскую лекцию (читаемую каждым лауреатом на ежегодном
съезде общества)  Кен Томпсон посвятил не истории создания системы Unix,
а проблеме  внесения тонких ошибок в код компилятора, которые невозможно
обнаружить путем  анализа исходного текста последнего [Thompson84]. Хотя
в то время данная тема казалась чем-то незначительным, Томпсон  затронул
важную проблему, ставшую актуальной только с появлением компьютерных ви-
русов. В своем заключении -- оказавшемся в значительной мере пророческим
-- он, в частности, сказал:

         "Нельзя доверять программам, написанным не вами самими ... Ни-
     какой объем верификации исходного текста и исследований не защитит
     вас от  использования ненадежного  (untrusted) кода.  По мере того
     как уровень языка, на котором написана программа, снижается, нахо-
     дить эти ошибки становится  все труднее и труднее.  "Хорошо проду-
     манную" (well installed) ошибку в микрокоде найти почти  невозмож-
     но.
        Я хотел бы подвергнуть критике прессу за ее освещение  проблемы
     хакеров, банды 414, банды  Дальтона (Dalton gang) и  т.д. Действия
     этих ребят представляют собой в лучшем случае вандализм, а в  худ-
     шем -- возможно, правонарушение и воровство. Только несовершенство
     уголовного законодательства спасает хакеров от очень серьезных на-
     казаний. Компании, которые могут пострадать от этой активности  (а
     большинство крупных компаний являются очень уязвимыми в этом отно-
     шении), предпринимают  значительные усилия  с тем,  чтобы добиться
     изменения уголовного законодательства. Несанкционированный  доступ
     к компьютерным системам уже является серьезным преступлением в ря-
     де штатов, и соответствующие законы в настоящее время рассматрива-
     ются во многих других штатах и в Конгрессе.
        Надвигается взрывоопасная  ситуация. С  одной стороны,  пресса,
     телевидение и фильмы  делают героев из  этих вандалов, называя  их
     вундеркиндами (whiz kids). С  другой стороны, действия этих  ребят
     будут скоро наказываться годами тюрьмы.
        Я видел, как эти ребята давали показания Конгрессу. Было совер-
     шенно ясно, что они не отдают себе отчета в серьезности своих дей-
     ствий. Это,  возможно, связано  с различиями  в культурном  уровне
     (cultural gap). Проникновение в компьютерные системы должно накла-
     дывать  на  человека  такое  же  клеймо, как проникновение в чужую
     квартиру. И не имеет никакого значения, что дверь соседа оказалась
     незапертой. Пресса должна понять, что неверное использование  ком-
     пьютера ничем не лучше управления автомобилем в нетрезвом  состоя-
     нии" (перевод Н.Н.Безрукова).


                1.1.6. Игра "Бой в памяти", работы Коэна
                        и другие события 1984 г.

   1984 г. оказался  переломным в истории компьютерных вирусов -- в тече-
ние года  произошло несколько  событий "исторического  значения" с точки
зрения компьютерных вирусов.

   В  мае   1984 г.   в   журнале   "Scientific   American"   А.К.Дьюдни
(A.K.Dewdney) --  автором  колонки  "Занимательный  компьютер"  (Computer
Recreations) был  опубликован упрощенный  вариант игры Darvin, названный
"Core War" ("Бой в памяти") [Dewdney84]. Игра вызвала значительный чита-
тельский интерес,  и впоследствии  было даже  организовано международное
общество International Core War Society cо штаб-квартирой в США и филиа-
лами в  Италии, Польше, ФРГ, Японии и СССР (152140, Ярославская область,
Переславль-Залесский 5, а/я 10, Лилитко Е.П.) [Лилитко89]. В данной игре
два игрока  пишут по  одной программе  каждый на  языке  низкого  уровня
Redcode. Программы помещаются в большой циклически замкнутый участок па-
мяти. Каждая  команда занимает одну ячейку памяти. Управляющая программа
поочередно исполняет  одну команду  каждой программы, подобно простейшей
системе реального  времени. Программы атакуют друг друга и в то же время
пытаются избежать  повреждений и  восстанавливать поврежденные  области.
Простейшая атака  состоит в  использовании команды  MOV (записать  в па-
мять). Например:  MOV #0,1000 может "убить наповал" вражескую программу,
если попадет в следующую исполняемую команду (т.е. если следующая выпол-
няемая команда  "врага" расположена  по адресу  1000) или "ранить", если
это данные  или исполняемые  команды, или  наконец, "попасть мимо", если
ячейка 1000 противной стороной не используется.

   Два итальянских  программиста Р.Черути (Roberto Cerutti) и М.Морокути
(Marco Morocutti),  основываясь на  идеях игры,  попытались создать про-
грамму, обладающую  свойством саморазмножения  в реальных  условиях,  на
Apple II, получившей к этому времени распространение во всем мире (впро-
чем, наша  страна, как и некоторые другие, находилась в стороне от этого
процесса). Apple II  имел дисковод  для гибких дисков, и итальянцам уда-
лось нащупать  основную идею  бутового вируса --  перехват прерывания  по
чтению и заражение каждой вставляемой в ЭВМ дискеты. Они также сообрази-
ли, что  будучи реализованной, программа вызвала бы миниэпидемию в масш-
табах их  родного города  Брешиа. Более  того, поняв, что указанная про-
грамма является  компьютерным вирусом,  они по  аналогии с естественными
вирусами пришли  к идее  о том,  что компьютерный  вирус может  наносить
вред. Для этой цели они предложили встроить счетчик в бут-сектор и через
каждые 16  размножений (это,  по сути, первое упоминание идеи счетчика в
бут-секторе -- идеи,  которая будет открываться и переоткрываться многими
разработчиками вирусов для IBM PC) запускать переформатирование дискеты.
Однако они  во-время ужаснулись  возможным последствиям  и отказались от
реализации практически полностью специфицированной программы. Тем не ме-
нее, они  имели неосторожность  изложить свои идеи достаточно подробно в
письме в  журнал "Scientific  American", а  А.К.Дьюдни в  апрельском (за
1985 г.)  обзоре   писем  читателей   по  поводу  игры  "Бой  в  памяти"
[Dewdney85] опубликовал  их письмо.  Последнее можно  рассматривать  как
первую достаточно  полную опубликованную  спецификацию бутового  вируса.
Рассматриваемая публикация  несколько ускорила последующие события, хотя
сам их ход был уже предопределен. Поскольку журнал "Scientific American"
относится к  наиболее читаемым научно-популярным журналам как в США, так
и в других западных странах, письмо Р.Черути и М.Морокути было замечено,
и попытки повторения не заставили себя долго ждать. Так, вирус, реализо-
ванный  по  опубликованному  описанию  Р.Скрентой-младшим  из  Питсбурга
(США), быстро распространился по дискетам его знакомых и преподавателей.
Для борьбы  с ним был написан антивирус, однако он оказался не в состоя-
нии предотвратить дальнейшее распространение вируса.

   В сентябре  1984 г. была  опубликована статья  Ф.Коэна  (Fred  Cohen)
[Cohen84], в  которой автор  исследовал разновидность  файлового вируса.
Это фактически второе академическое исследование проблемы вирусов. Рабо-
та содержала  полезное, хотя и недостаточно строгое формальное определе-
ние вируса  и ряд  важных соображений  о большой потенциальной опасности
компьютерных вирусов,  а также относительно того, что для своего размно-
жения вирусу  достаточно обычных операций, реализуемых файловой системой
любой ОС. Ф.Коэн описал ряд экспериментов, проделанных 3.11.83 г. на си-
стеме VAX 11/750,  работающей под управлением ОС Unix. Вирус был имплан-
тирован в  начало утилиты  VD, которая  позволяла графически  отображать
структуру каталогов  диска. Поскольку VD была новой программой, о ее ха-
рактеристиках пользователи  представления не имели. В ходе пяти экспери-
ментов пользователю зараженной программы в течение определенного времени
(от 5  до 30 мин)  предоставлялся статус  суперпользователя. Эксперимент
показал достаточно высокую скорость размножения вируса (1/2 с на зараже-
ние) и большое количество зараженных файлов. По материалам этой статьи в
1984 г. появилась статья в журнале "Шпигель" под названием "Тайная инст-
рукция" [Spiegel84],  которая вызвала оживленную дискуссию в ФРГ. В дис-
куссии принял  участие и сам Ф.Коэн. Уже тогда обсуждались вопросы о це-
лесообразности публикаций  по данной  тематике. Как  пишет в своей книге
Р.Бургер, Джером  Лоубел -- советник  по безопасности  компьютеров  фирмы
"Honeywell Informations  Systems", возражал против публичного обсуждения
данного вопроса.  В свою  защиту Ф.Коэн  привел  следующие  соображения:
"Суть дела  заключается все же в том, что если придумать что-либо в этом
роде под  силу мне,  то это может также сделать и кто-то другой", и этот
другой может  оказаться "скверным парнем". Забегая вперед, следует отме-
тить, что в 1986 г. Ф.Коэн защитил диссертацию под названием "Компьютер-
ные вирусы".

   В 1985 г.  Р.Дирштейн (R.Dierstein)  опубликовал в  журнале KES (ФРГ)
комментированный перевод  работы Ф.Коэна  [Dierstein85], а  в 1986 г. им
был сделан  доклад "Computer  viruses: a secret threat" [Dierstein86] на
конференции Securicom  (Париж, 1986).  С 1987 г. активно работает другой
немецкий исследователь -- проф. К.Бруннштейн (K.Brunnstein) [Brunnstein87
-- Brunnstein89],  предложивший одну из первых схем классификации компью-
терных вирусов.


                 1.1.7. Первые попытки противодействия:
                    список "грязная дюжина" и первые
                         антивирусные программы

   В том же 1985 г. Том Нельф (Tom Nelf) начал распространять по различ-
ным BBS  список "Грязная  дюжина -- список  опасных загружаемых программ"
("The Dirty Dosen -- An Unloaded Program Alert List"), в котором были пе-
речислены известные  на тот  момент программы-вандалы. В дальнейшем этот
список, включающий большинство выявленных троянских программ и "взломан-
ные" или  переименованные копии  коммерческого программного  обеспечения
для MS DOS, стал широко известен и получил сокращенное название "грязная
дюжина" (dirty  dosen). В  настоящее время  список поддерживается Эриком
Ньюхаузом (Eric Newhouse) из Лос-Анжелеса и может быть получен практиче-
ски через любую сеть. В пояснениях к нему Эрик Ньюхауз отмечает, что по-
льзователи "... могут быть уверены только в одном свойстве их  винчесте-
ров -- в том, что рано или поздно они "полетят". Часто пользователь  бу-
дет винить в этом программу, хотя на самом деле проблема связана с элек-
троникой или механикой. Помните, что слухи о троянских программах  легче
запустить, чем остановить". Последний совет не мешало бы помнить и неко-
торым авторам "околовирусных" публикаций (см., например, [Основcкий90]).
Один  из  ранних  вариантов  этого  списка был опубликован в [Solomon88]
(рис.1).

   С распространением троянских программ стали создаваться программы за-
щиты, которые  можно рассматривать  и как первые антивирусные программы.
Зимой 1984 г.  Анди Хопкинс  (Andy Hopkins) написал программы Chk4Bomb и
BombSqad. Первая  из них  позволяла проанализировать  текст загрузочного
модуля и выявляла все текстовые сообщения и "подозрительные" участки ко-
да (команды прямой записи на диск и др.). Благодаря своей простоте (фак-
тически использовался только контекстный поиск) и эффективности Chk4Bomb
получила значительную  популярность.  Программа  BombSqad  перехватывает
операции записи  и форматирования, выполняемые через BIOS. При выявлении
запрещенной операции  можно разрешить ее выполнение. В начале 1985 г. Ги
Вонг (Gee  Wong) написал программу DProtect -- резидентную программу, пе-
рехватывающую попытки записи на дискеты и винчестер. Она блокировала все
операции (запись,  форматирование), выполняемые через BIOS. В случае вы-
явления такой  операции программа  требует рестарта  системы.  Несколько
позднее появилась программа FluShot, написанная R.M.Greenberg (Р.М.Грин-
берг). Более  поздняя версия этой программы -- FluShot Plus (версия 1.7),
используется и в настоящее время.

   Из европейских  программ отметим  резидентный сторож  VirBlk, который
был написан  в Вене  Михелем Фитцем,  и программу  Anti4us2,  написанную
Э.Лайтингом. Название  последней связано  с тем,  что число 4 по-немецки
звучит как "фир", что позволяет прочитать название как "антифирус2".


           Троянские программы для ПЭВМ, совместимых с IBM PC

123JOKE      - Якобы утилита для Lotus 1-2-3.
               Разрушает каталоги.
ALTCTRL.ARC  - Портит загрузочный сектор.
ARC513.EXE   - Якобы архиватор. Портит бут-сектор.
ARC514.COM   - То же самое. Архиватор всегда .EXE.
BACKALLY.COM - Через несколько месяцев портит FAT.
BACKTALK     - Случайное затирание секторов  винчестера.
BXD.ARC      - Предупреждает, потом затирает FAT.
CDIR.COM     - Якобы каталоги в цвете. Портит FAT.
CHUNKER.EXE  - Портит FAT, возможно -- ошибка.
COMPRESS.ARC - Якобы "Shareware from Borland". Портит
               FAT.
DANCERS.BAS  - Под красивые картинки портит FAT.
DEFENDER.ARC - Пишет в CMOS и форматирует диск.
DISKACHE.EXE - Вероятно ошибка, но может испортить FAT.
DISKSCAN.EXE - Якобы ищет плохие сектора,
               на деле -- создает.
DMASTER      -  -"-
DOSKNOWS.EXE -  -"-
DPROTECT     -  -"-
EGABTR       - Якобы улучшает работу EGA, портит диски.
ELEVATOR.ARC - Затирает файлы, форматирует диски.
EMMCACHE     - Портит файлы, затирает бут-сектор.
FILER.EXE    - Затирает диски.
FUTURE.BAS   - Портит FAT, затирает корневой каталог.
NOTROJ.COM   - Претендует быть антитроянской программой,
               на деле - наоборот.
TIRED        - Портит FAT.
TSRMAP       - Дает карту TSR, портит бут-сектор.
PACKDIR      - Якобы оптимизирует винчестер, портит FAT.
PCLOCK       - Портит FAT.
PCW271xx.ARC - Троянская версия PC-Write v2.71, размером
               98274 байта. Портит FAT.
PKX35B35.EXE - Портит FAT. Настоящая - PKX35A35.
RCKVIDEO     - Под картинки рок-звезды портит FAT.
SCRNSAVE.COM - Затирает винчестер.
SECRET.BAS   - Форматирует диски.
SEX-SHOW.ARC - Затирает все файлы в каталоге.
SIDEWAYS.COM - Настоящая программа обеспечивает фоновую
               печать, эта - портит бут-сектор.
SUG.ARC      - Якобы снимает защиту Softguard, портит
               FAT.
TOPDOS       - Форматирует винчестер.
VDIR.COM     - Портит файлы на диске.
VISIWORD.ARC - Портит диск.
WARDIAL1.ARC - Портит FAT.

        Рис.1. Один из ранних вариантов списка "грязная дюжина".

                 1.2. Второй этап -- компьютеры в осаде

                                      "Ох! Знобит от рассказа дотошного"
                                                              В.Высоцкий

   События 1985-86 гг.  по времени совпали с быстрым ростом производства
и резким снижением цен  на ПЭВМ серии IBM  PC (появились модели по  цене
менее 1000 долларов), которые и ознаменовали начало нового этапа  разви-
тия компьютерных вирусов (отметим, что в 1989 г. американцы имели возмо-
жность купить за ту же цену модель с процессором 80386 -- см., например,
Byte, 1989, v.14, No. 6, p.65, а в 1989 г. по крайней мере в одном  аме-
риканском университете -- Drexel University, штат Филадельфия, к  посту-
пающим предъявлялось  требование иметь  собственный компьютер).  Поэтому
второй этап в развитии вирусов связан с достижением "критической  массы"
произведенных ПЭВМ, совместимых с IBM PC -- самого массового  компьютера
в истории развития вычислительной техники. Эта "масса", по-видимому, бы-
ла достигнута в 1987 г., когда одновременно в нескольких странах произо-
шли вспышки заражения компьютеров  вирусами. Эти вспышки и  ознаменовали
начало второго этапа развития рассматриваемого класса программ, на кото-
ром они уже стали представлять собой угрозу для всех пользователей ПЭВМ.
В отличие от первого этапа, когда разработки вирусоподобных программ но-
сили исследовательский характер и авторы выполняли эксперименты, заручи-
вшись согласием  пользователей, стараясь  внести вклад  в системное про-
граммирование, второй этап  носит характер противостояния  пользователей
безответственным или уголовным элементам.


                             1.2.1. Хакеры

                                             "Можно противостоять всему,
                                              за исключением искушения"
                                                                 О.Уайлд

   Массовое распространение  клонов IBM  PC привело к резкому увеличению
количества людей,  активно занимающихся программированием на компьютере,
а следовательно,  и прослойки  компьютерных "фанатов".  Если раньше этот
тип людей встречался в основном в университетских городках и больших вы-
числительных центрах, то с распространением клонов IBM PC ситуация суще-
ственно изменилась.  Обладателями мощных и в то же время дешевых компью-
теров стали  школьники, пенсионеры,  а также другие лица, располагавшие,
помимо желания  попробовать свои  силы в  программировании, еще и значи-
тельным количеством свободного времени.

   Как и  в других  областях человеческой деятельности, спектр отношения
людей к  программированию и вычислительным машинам очень широк: от нена-
висти, через  полное безразличие до патологической привязанности или за-
висимости, которую  можно квалифицировать как манию. Всякий работавший в
вычислительном центре на больших ЭВМ и видевший, как к концу второй сме-
ны некоторые  программисты наспех  вносят плохо  продуманные изменения в
свои программы  и умоляют  электронщиков дать еще минутку, чтобы посмот-
реть, что  получится, узнает  сцену, описанную  Ф.М.Достоевским в романе
"Игрок":

          "В одиннадцатом часу у игорных столов остаются настоящие,  от-
      чаянные игроки, для которых на водах существует только одна рулет-
      ка, которые и приехали для нее одной, которые плохо замечают,  что
      вокруг них происходит, и ничем не интересуются весь сезон, а толь-
      ко играют с утра до ночи  и готовы были бы играть, пожалуй,  и всю
      ночь до рассвета, если б можно было. И всегда они с досадой расхо-
      дятся, когда в двенадцать часов закрывают рулетку. И когда старший
      крупер перед закрытием рулетки около двенадцати часов, возглашает:
      "Les  trois  derniers  coups,  messieurs  !"  (Три  последних игры
      (букв.: удара),  господа --  прим. перев.),  то они  готовы иногда
      проставить на  этих трех  последних ударах  все, что  у них есть в
      кармане,  --  и  действительно  тут-то  наиболее  и проигрываются"
      [Полн. собр. соч. в 30-ти томах. -- Л.: Наука, т.5, 1973, c.292].

   Психологи отмечают, что у страстных игроков имеются определенные пси-
хологические черты, роднящие их с одержимыми программистами. Для страст-
ного игрока игра -- это все ("весь мир -- игра"). Даже выигрыш менее ва-
жен, чем сама  игра. В свою  очередь, для программиста-фаната  работа за
дисплеем -- это и есть настоящая жизнь, а все остальное -- скучная "обя-
заловка". Одержимый  программист с  трудом переносит  разлуку с машиной.
Постоянная работа с машиной накладывает определенный отпечаток на язык и
мышление таких людей. Наблюдается перенос некоторых программистских тер-
минов типа  "зациклился", "завис",  "вычислить" (например  фраза "я тебя
вычислил" используется со значением "я понял, разгадал что-то") в повсе-
дневную жизнь. Создается впечатление, что другие люди воспринимаются ими
как программы, а окружающая  среда -- как некая  "супероперационка", для
вселенского "гиперкомпьютера".

   Вместо сочетания "одержимый программист" как в разговорной речи,  так
и в литературе часто используется  термин "хакер" (от англ. Hack  -- ру-
бить, кромсать) и уже создан  определенный образ хакера. Это очень  спо-
собный молодой человек, работающий за дисплеем по 12 -- 16 ч. подряд, до
полного изнеможения, а если представляется возможность, то и ночи напро-
лет. Питается урывками. Внешний вид свидетельствует о том, что он не об-
ращает внимания на внешний мир и не слишком интересуется мнением окружа-
ющих: джинсы, мятая рубашка,  нечесанные волосы. Блестяще знает  все по-
дробности операционной системы,  языка ассемблера и  особенности перифе-
рийного оборудования.

   Основная продукция  -- маленькие  недокументированные системные  про-
граммы, ради которых, а также ценя в нем консультанта по "дебрям" опера-
ционной системы и внешних устройств, ему и разрешают работать на машине,
когда он хочет и сколько он хочет. Обычный метод их создания -- "кромса-
ние" чужих программ, что и объясняет смысл термина хакер. В  "просвещен-
ном" варианте -- это дизассемблирование подходящей программы,  модифика-
ция  ассемблерного  текста  c  удалением следов принадлежности программы
другому автору, даже если  доработка в сущности была  совсем пустяковая,
вставка  собственной  клички  (обычно  достаточно экзотической, например
SuperHunter), а затем ассемблирование. Документация, естественно, не ну-
жна, поскольку сам  хакер знает, что  послужило прототипом, да  и вообще
руководствуется принципом "умный догадается, а дураку не нужно". В  "ди-
ком" варианте кромсается непосредственно загрузочный модуль в отладчике.
Здесь отсутствует не только документация, но и исходный текст "изделия".

   Ну и  конечно, у каждого хакера есть сверхзадача, своего рода голубая
мечта (удачные  небольшие системные  программки,  благодаря  которым  он
пользуется уважением,  им самим рассматриваются как поделки): новая опе-
рационная система, алгоритмический язык, программа, выигрывающая у чело-
века в какую-нибудь сложную, интеллектуальную игру, или инструментальная
система "супер" --  облегчающая все, все, все (самая любимая задача). Ко-
нечно, статус  хакера не  является пожизненным. Это своего рода "детская
болезнь", и  из среды "нормальных" хакеров вышел ряд известных разработ-
чиков системного программного обеспечения.

   Для части хакеров, обычно называемых кракерами, в качестве сверхзада-
чи выступает  проникновение в  какую-нибудь систему,  снятие защиты про-
граммного продукта  от копирования  или что-то  аналогичное. Именно  эта
часть хакеров становится причиной "головной боли" разработчиков  коммер-
ческого программного обеспечения, снабженного средствами защиты от неза-
конного копирования, а также пользователей баз данных с конфиденциальной
информацией.

   Другая часть кракеров,  иногда называемых "информационными  путешест-
венниками", специализируется  на проникновении  в удаленные  компьютеры,
подключенные к некоторой сети. Так, студенты одного из университетов США
составили и сумели ввести в ЭВМ программу, имитирующую работу с  удален-
ными пользователями. К моменту разоблачения пользователи сумели получить
более  100  таких  паролей.  Деятельность  этой разновидности кракеров в
большинстве западных стран рассматривается или граничит с уголовной. Не-
случайно ряд кракеров на Западе были  осуждены на сроки от 6 месяцев  до
10 лет тюремного заключения.

   И наконец,  самая худшая  порода хакеров  -- это  создатели троянских
программ и компьютерных вирусов. Впрочем, их уже нельзя назвать  хакера-
ми, поскольку "неформальный кодекс" хакера запрещает использование своих
знаний операционной  системы и  оборудования во  вред пользователям. Это
своего рода "паршивые  овцы", которые бросают  тень на хакеров  в целом.
Обычно их называют техно-крысами. Поскольку жертвами вирусов обычно ста-
новятся не специалисты,  а те, кто  использует компьютер как  инструмент
своей профессиональной деятельности или как хобби, психология  разработ-
чиков вирусов сродни психологии негодяев, отбирающих деньги у школьников
младших классов, которые мать дала им на обед.


                1.2.2. Первые случаи массового заражения

                                            "До чего же нам иногда тесно
                                             в разумных пределах"
                                                     Евгений Сагаловский

   Как уже  отмечалось, в  1987 г.  в разных  местах, независимо друг от
друга были зарегистрированы три случая массового заражения клонов IBM PC
компьютерными вирусами.

   Первым Вирусом-87 был так называемый Пакистанский вирус,  разработан-
ный братьями Амджатом и Базитом Алви (Amdjat и Basit Faroog Alvi) в 1986
г. Он был обнаружен летом  1987 г. По непроверенным (и,  вероятно, завы-
шенным) данным, приведенным Маккафи (McAfee) [McAfee89b], он заразил то-
лько в США более 18 тысяч компьютеров. Этот бутовый вирус создан в осно-
вном  Амджатом  --  26-летним  выпускником отделения физики Пенджабского
университета, который, по  его заявлению, пытался  наказать американцев,
покупавших дешевые незаконные копии программ в Пакистане. Амджат утверж-
дает, что по пакистанским законам свободное копирование не является пре-
ступлением, и хотя он не одобряет такое положение вещей, вынужден с  ним
мириться и не может наказывать других. Поэтому он не продавал зараженные
вирусом незаконные копии пакистанским покупателям. Другое дело -- амери-
канцы, у которых  существуют законы, запрещающие  пиратство. Их, по  его
мнению, стоило проучить. К середине 1987 г. братья признали, что уже до-
статочно проучили  пиратов и  прекратили распространение  вируса. Однако
вирус уже сумел распространиться по США, а оттуда попал в другие страны,
в том числе и в СССР. Кроме того, начали появляться штаммы с измененными
текстовыми сообщениями и свойствами.

   Вторым Вирусом-87  стал Лехайский вирус, появившийся в ноябре 1987 г.
в одноименном  университете США.  В течение  нескольких дней  этот вирус
уничтожил содержимое нескольких сот дискет из библиотеки вычислительного
центра университета  и личных дискет студентов [Wyk89]. По данным Макка-
фи, опубликованным  в журнале  Datamation [McAfee89b],  по состоянию  на
февраль 1989 г.  только в США этим вирусом было заражено порядка четырех
тысяч компьютеров.  Следует отметить,  что, учитывая  склонность Маккафи
искажать данные в выгодную для него сторону, к приводимым им цифрам нуж-
но относиться критически, уменьшая их примерно в пять раз.

   Перед самым  Новым годом,  30 декабря  1987 г., был обнаружен вирус в
Иерусалимском Университете  (Израиль). Хотя существенного вреда этот ви-
рус не принес, он быстро распространился по всему миру (по данным Макка-
фи, более  3 тысяч  зараженных компьютеров только в США) и, по-видимому,
является первым  вирусом, распространение  которого  приобрело  характер
пандемии [Radai89].

   В том же 1987 г. в издательстве Data-Becker вышла монография Р.Бурге-
ра "Компьютерные вирусы". Она выдержала несколько переизданий, переведе-
на на  английский язык,  а в 1989 г. -- на русский язык [Burger88]. Автор
неосторожно включил  в книгу  ряд исходных текстов демонстрационных про-
грамм вирусов на разных языках и листинг так называемого венского вируса
(C-648.VEN). Такой,  чрезмерно расширенный, несмотря на изменившуюся си-
туацию, уровень  "гласности" дает  основания рассматривать  роль  данной
книги как  весьма противоречивую.  В частности, она сыграла роль распро-
странителя вируса С-648.VEN, поскольку в книге был помещен его комменти-
рованный исходный текст.

   Свой вклад в распространение вирусов внесли и некоторые журналы. Так,
журнал "C't"  в том  же году  опубликовал код  вируса "уголек"  для ПЭВМ
Atary ST  и фаг  к этому  вирусу [Krabel87].  Вскоре этот вирус проник в
компьютеры издательства  Data-Becker, а затем и на дистрибутивные диске-
ты, распространяемые  этой фирмой.  К счастью, он был быстро обнаружен и
уничтожен.

   В 1988 г.  проблема защиты программного обеспечения от заражения ком-
пьютерными вирусами  в странах  США и Западной Европы приобрела характер
приоритетной. Это  прежде всего связано с тем, что в условиях значитель-
ной зависимости различных учреждений от компьютерных систем, проникнове-
ние вирусов  представляет потенциальную  опасность и  может  привести  к
серьезным последствиям. Например, летом 1988 г. компьютерный вирус инфи-
цировал три компьютера в Мичиганском госпитале, которые обрабатывали ин-
формацию о  пациентах. Он был обнаружен в процессе анализа причин непра-
вильного функционирования  системы, заключавшейся  в том, что на дисплей
неверно вызывались расширенные диагностические сведения. По данным адми-
нистрации госпиталя,  вирус перемешал  фамилии пациентов  в базе  данных
ПЭВМ Macintosh II. Как показало расследование, вирус был занесен при ре-
монте винчестера  одного из  компьютеров. К счастью, никому из пациентов
не был поставлен неправильный диагноз или назначено неправильное лечение
в результате  перемешивания фамилий  пациентов в базе данных. Однако, по
мнению специалистов,  это был вопрос времени и вполне мог стоить кому-то
жизни. Данный  случай является  вторым случаем  вторжения в  медицинские
компьютеры (первый  был связан  с проникновением  кракеров, которые про-
сматривали базу данных, но не нанесли никакого ущерба) и первым случаем,
когда настоящие данные пациентов и диагностирования манипулировались ви-
русом [Zajac89c].

   Из компьютерных Вирусов-88 отметим вирус падающих букв и "итальянский
попрыгунчик", распространение  которых также  приняло характер эпидемии.
Особое внимание  общественности привлек  так называемый  вирус  Морриса:
2.11.88 г. Роберт  Моррис-младший, аспирант  факультета информатики Кор-
неллского Университета,  инфицировал с  помощью  написанного  им  вируса
большое  количество  компьютеров  (по  ориентировочным  оценкам  порядка
6000), подключенных к американской национальной сети Internet (не путать
c распространенной локальной сетью Ethernet) [Highland89b]. Хотя никакой
потери или  изменения данных  не произошло, многие тысячи часов рабочего
времени были потеряны пользователями Internet.

   Это событие вызвало значительную реакцию американской и мировой прес-
сы, включая советскую. Так, ведущие американские газеты, включая "Чикаго
Трибьюн", "Нью-Йорк  Таймс" и "Бостон Геральд", опубликовали репортажи с
места события.  Ими широко  освещалась динамика распространения вируса и
разработка методов  борьбы с  ним, а  также затрагивались общие проблемы
обеспечения безопасности  компьютерных систем.  Позднее в  аналитических
статьях по  этому поводу  обсуждались нерешенные проблемы, относящиеся к
вопросам безопасности  компьютерных систем, и предлагались законодатель-
ные инициативы,  направленные на предотвращение подобных случаев в даль-
нейшем. В частности, не без влияния этой серии публикаций в палате пред-
ставителей были внесены два проекта законов, предусматривающих уголовное
наказание за создание и распространение компьютерных вирусов.

   Помимо информации  типа "как  это было" и "то ли еще будет", в амери-
канской прессе  широко обсуждался  вопрос о том, как квалифицировать по-
ступок Морриса: является ли Моррис героем-хакером, который без нанесения
серьезного ущерба указал на слабые места в национальной компьютерной се-
ти, или  он является  преступником, который  должен быть сурово наказан.
При этом  характер обсуждения  и поляризация  мнений в некоторой степени
напоминали дискуссии по поводу известного всем нам случая с посадкой Ру-
ста на  Красную площадь. Вскоре Моррис был отчислен из Корнеллского уни-
верситета.

   Министерство юстиции  США довольно долго изучало вопрос о возможности
привлечения Морриса  к суду  на основе  действующего законодательства, и
только 18  января 1990 г.  в городе Сиракьюс (штат Нью-Йорк) начался су-
дебный процесс  по делу  Морриса. Нанесенный ущерб был оценен в 150 тыс.
долларов. Процесс  над Моррисом  стал возможен  в результате  принятия в
1986 г. федерального  закона об ответственности за преступления, связан-
ные с  компьютерами (1986  U.S. Computer  Fraud and  Abuse Act). Моррису
грозил штраф  в 250 тыс. долларов и тюремное заключение сроком до 5 лет.
Адвокат Морриса  утверждал, что  тот якобы  создал вирус  для проведения
эксперимента по проверке защиты компьютера. При этом он допустил ошибку,
которая и привела к нежелательным результатам. Моррис, по словам адвока-
та, не стремился нанести какой-либо ущерб компьютерным системам США. Ин-
тересно отметить,  что в  интервью репортеру одной из американских газет
мать Морриса  упомянула тот  факт, что роман "The Shockware Rider" Джона
Бруннера был  одной из наиболее зачитанных книг в комнате юного Морриса.
4 мая  1990 г. суд присяжных признал Морриса виновным. Он был приговорен
к условному  заключению сроком  на два года, 400 часам "общественных ра-
бот" (американский  аналог отечественных  15 суток) и штрафу размером 10
тыс. долларов. Осуждение Р.Морриса-младшего показывает, что американское
общество уже осознает опасность и предпринимает меры по борьбе с ней.

   В 1989 г.  панику в  США и  западноевропейских странах вызвали вирусы
DATACRIME, которые запрограммированы так, что, начиная с 12 октября, они
форматируют первые  треки винчестера,  разрушая файловую  систему, а  до
этой даты  просто размножаются.  Эта серия компьютерных вирусов, состоя-
щая, как  полагают, из трех программ ("Дейтакрайм 1, 2, 3"), начала рас-
пространяться в  Нидерландах,  США  и  Японии  приблизительно  в  начале
1989 г. и  к сентябрю  поразила, по некоторым оценкам (которым, впрочем,
не стоит  особенно доверять),  около 100 тысяч ПЭВМ только в Нидерландах
(что составляет  около 10% от их общего количества в стране). Даже фирма
IBM отреагировала  на эту угрозу, выпустив свой детектор Virscan, позво-
ляющий искать характерные для того или иного вируса строки (сигнатуры) в
файлах, хранящихся на жестком или гибком диске. Набор сигнатур может до-
полняться и  изменяться пользователем.  В нашей стране в 1989 и 1990 гг.
случаев заражения  данным вирусом не отмечалось; потенциальную опасность
представляет 12.10.91 г.

   В начале  августа 1989 г.  в Амстердаме состоялся международный съезд
хакеров, в  ходе которого  были продемонстрированы "дыры" в существующих
системах обеспечения безопасности и контроля от несанкционированного до-
ступа. В  качестве доказательства своих способностей представители одной
из групп  кракеров, подключившись к ЭВМ местного банка, получили 270 ты-
сяч франков.  Вернув на следующий день эту сумму наличными, кракеры про-
демонстрировали уязвимость системы защиты банковских компьютеров.

   Еще одной  нашумевшей историей  была так  называемая AIDS Information
Trojan -- троянская программа, распространявшаяся в декабре 1989 г. в со-
ставе пакета с базой данных о заболевании синдромом приобретенного имму-
нодефицита (СПИД). Как программа, так и база данных были записаны на ди-
скете, которая  была разослана  20 тысячам заказчиков, включая ряд меди-
цинских и  общественных организаций  США, Франции,  Великобритании, ФРГ,
Дании, Норвегии,  Швеции и  многих других стран. Затраты на рассылку со-
ставили порядка 200 тыс. долларов. Все адресаты получили по почте посыл-
ку с  упаковкой данного продукта, на которой указывалось его назначение,
а на обратной стороне крайне мелким шрифтом были набраны условия распро-
странения. Сопроводительное  письмо извещало,  что на дискете содержатся
новые сведения по проблемам СПИДа, но в письме условия использования ди-
скет не указывались. После записи на винчестер, они действительно начали
выдавать информацию  по обещанной  тематике. Однако затем вся информация
на винчестере  была перекодирована и на экранах появилось требование пе-
речислить сумму  в 378 долларов на счет незарегистрированной фирмы в Па-
наме. В  этом случае  пользователю якобы будет выслана программа восста-
новления перекодированной  информации. Среди пострадавших были как инди-
видуальные владельцы  компьютеров, так  и лаборатории,  научные  центры,
больницы. В некоторых случаях заблокированным оказался итог работы целых
научных коллективов.  Джозеф Попп,  предполагаемый распространитель этой
троянской программы, был арестован в феврале 1990 г. в американском шта-
те Огайо. Если эксперты подтвердят его психическую полноценность, ему не
миновать тюремного  заключения за проведение этой операции по "вирусному
рэкету".


                    1.2.3. Появление вирусов в СССР

                                       "Ой, Вань, гляди, какие клоуны...
                                        Нет, я, ей-богу, закричу!.."
                                                              В.Высоцкий

   Так или иначе, компьютерные вирусы стали частью окружающей программи-
стов, да  и не  только программистов,  действительности. Одним из свиде-
тельств этого  является тот  факт, что  новое издание  словаря  Вебстера
(Webster's Ninth  New College Dictionary) включает термин "вирус компью-
терный". И они, конечно, не миновали нашей страны, хотя массовые закупки
персональных компьютеров  типа IBM  PC у  нас в стране начались только в
середине 1988 г.  (как всегда, мы опоздали почти на десять лет). К этому
же моменту начался выпуск советских, правда довольно неудачных, клонов --
ЕС 1840, Искра 1030  и Нейрон, а также торговля "за рубли" по баснослов-
ным ценам клонами, изготовленными в странах Юго-Восточной Азии.

   Хотя исследования,  выполненные в СССР, начались довольно поздно и их
формально нельзя отнести к предыстории (автору не известны отечественные
попытки создания самовоспроизводящихся программ до 1988 г.), следует от-
метить, что  первый отечественный  вирус был разработан, по-видимому, до
появления у  нас в  стране "западных"  компьютерных вирусов. Этот вирус,
названный в  статье [Беляева91]  "чивиром", был написан в начале 1988 г.
А.А.Чижовым, который  в то  время работал в ВЦ АН СССР (Москва), якобы с
целью "попробовать  свои силы" в написании такого рода программ и заодно
определить "масштабы  копирования" его  программ. Судя по всему, это был
файловый вирус,  в который  была встроена  проверка времени с тем, чтобы
через год вирус потерял способность к размножению. Автор заразил вирусом
несколько компьютеров  в Москве  и по его данным через полгода обнаружил
вирус в  каждом втором  из проверенных им компьютеров. Следует отметить,
что в  это время  персональных компьютеров  типа PC XT в СССР было очень
мало и они, в основном, были сосредоточены в Москве.

    По  материалам этого "эксперимента" в 1988 г. была опубликована пер-
вая русскоязычная статья по данной проблеме [Чижов88] (журнал был подпи-
сан в  печать 26.07.88,  т.е. во  время проведения в CCCР Международного
детского компьютерного  летнего лагеря -- см. ниже). Хотя в ней не приво-
дились сведения  о конкретных вирусах в MS DOS (А.А.Чижов живыми экземп-
лярами "западных"  вирусов в  тот момент, видимо, не располагал), статья
содержала полезные  сведения о  механизме работы  этого типа  программ и
предупреждала о серьезности данной угрозы. В то же время публикация име-
ла и  отрицательные последствия, поскольку ввела в оборот "фантомные" на
тот момент  типы вирусов, которые с тех пор кочуют по отечественным пуб-
ликациям ("вирус  в объектной  библиотеке", "вирус в сетевом драйвере" и
др.). Кроме  того, неконкретность рекомендаций исключала принятие каких-
то полезных  профилактических мер,  а призывы автора к соблюдению автор-
ских прав  носили в  определенной мере  морализаторский характер. Статья
была замечена специалистами в Польше (которые, кстати, отметили потенци-
альную опасность  статьи, как  пособия по  разработке новых  типов виру-
сов[Kadlof89]).

   Первый компьютерный  вирус (С-648.VEN  по приводимой ниже классифика-
ции) появился  в СССР приблизительно в августе 1988 г. Этот вирус, часто
называемый венским  вирусом (по  предполагаемому месту  его разработки),
вызывал перезагрузку операционной системы при запуске некоторых из пора-
женных им программ. Одним из первых мест, где он был обнаружен, являлась
лаборатория Института программных систем (Переславль-Залесский). Возмож-
но, он  попал в  лабораторию во время проведения институтом (совместно с
ЮНЕСКО) Международного  детского компьютерного летнего лагеря. Поскольку
этот вирус  к середине  1988 г. был уже довольно распространен в странах
Западной Европы,  он несомненно завозился в СССР неоднократно, c различ-
ного рода новыми версиями программного обеспечения и компьютерными игра-
ми. В Киеве этот вирус появился в конце 1988 г. Наибольшее распростране-
ние он  получил примерно в апреле 1989 г., после чего его эпидемия пошла
на убыль,  что прежде  всего связано  с достаточной  распространенностью
средств защиты от этого вируса. Одним из переносчиков этого вируса в Ки-
еве был  адаптированный вариант программы SideKick (шестерка). К сожале-
нию, по  стране распространяется  реконструированный одним  венским про-
граммистом исходный  текст данного вируса, с довольно подробными коммен-
тариями. Этот текст, в частности, был включен В.Бончевым в его так назы-
ваемую "вирусную"  дискету, распространявшуюся вместе с разработанным им
пакетом антивирусных  программ. Наличие исходного текста создает благоп-
риятные условия  для появления  штаммов. И,  действительно, данный вирус
имеет, пожалуй, наибольшее число штаммов из нерезидентных файловых виру-
сов (см., например, описания вирусов С-534.W13 и С-623.VEN).

   Вторым вирусом,  попавшим в СССP, был вирус RC-1701.CAS. Данный вирус
вызывал довольно  интересный эффект  "опадания" букв на экране монитора.
Этот вирус  также имеет западноевропейское происхождение. В СССР впервые
был выделен в Институте прикладной математики имени М.В.Келдыша АН СССР.
B Киеве появился в начале 1989 г. Средства защиты появились примерно од-
новременно с вирусом, поэтому существенного вреда вирус не нанес. Первым
средством защиты от данного вируса в Киеве была немецкоязычная (австрий-
ская) программа  Serum3, которая могла работать как в режиме фага, так и
в режиме  детектора. Среди  первых отечественных программ, применявшихся
на начальной  стадии эпидемии,  следует отметить  детектор  В.С.Ладыгина
(ИПМ АН СССР) Virus_D1.

   Попытки программистов  организоваться для  борьбы с этой новой разно-
видностью системных  программ относятся  к началу 1989 г. Так, 12 апреля
1989 г. в Киеве в рамках семинара "Системное программирование" было про-
ведено первое  специализированное заседание  по антивирусной тематике. В
дальнейшем выступления  по этой  теме стали регулярными и было проведено
еще несколько  специальных заседаний, посвященных защите от вирусов. Они
сыграли определенную  роль в  сокращении случаев заражения компьютеров и
ликвидации эпидемий  вирусов C-648.VEN, RC-1701.CAS, и в особенности RC-
1813.IER, масштаб эпидемии которого в Киеве был наибольшим. Кстати, этот
вирус хорошо  прошелся по  СССР, реально показав, насколько "невооружен-
ные" пользователи  уязвимы от  этой новой для них опасности: сотни, если
не тысячи  часов были  потеряны на  переформатирование винчестеров и вы-
грузки архивных копий в надежде избежать повторного заражения. С сентяб-
ря 1989 г. семинаром "Системное программирование" был организован выпуск
электронного бюллетеня Софтпанорама, который стал важным каналом распро-
странения информации о появлении новых компьютерных вирусов и бесплатных
программах для  борьбы с ними. Список программ, распространявшихся через
бюллетень, приведен  в прил.  3. В том же месяце начала распространяться
редакция 1.0 данной работы.

   Первые случаи  потери важных данных от компьютерных вирусов стали из-
вестны автору  в конце 1989 г., когда к нему обратился представитель оп-
товой базы,  у которого,  как оказалось,  базы данных о хранимых запасах
были повреждены вирусом RCE-1800 (Dark Avenger). Периодически автору по-
ступают сообщения о полностью уничтоженном содержимом винчестера, причем
характер повреждений не позволяет достоверно установить, имеем ли мы де-
ло с  вирусом или  с тщательно замаскированной троянской программой (на-
пример, подозревается  одна версия  ColorCAM со сломанной, но как видно,
не до  конца, защитой),  или с  выходом из  строя самого винчестера. При
этом, однако,  бросается в глаза тот факт, что примерно у половины поль-
зователей к  моменту потери содержимого винчестера не существует его бо-
лее или менее "свежей" копии. Вот уж действительно прав был Бернард Шоу,
сказав: "Опыт  содержит самую  дорогую школу,  однако многие, похоже, не
способны учиться  ни в какой другой". В конце 1989 г. в Донецке была об-
наружена   троянская программа  в составе  "нелегальной" копии известной
игры Formula.  Эта программа переписывала себя в загрузочный сектор вин-
честера и через некоторое время стирала CMOS-память.


              1.2.4. Отечественные антивирусные публикации

                                         "- Вот что, товарищи, - говорил
                                        Паламидов, поспешая вместе
                                        с братьями по перу в столовую, -
                                        давайте условимся - пошлых
                                        вещей не писать"
                                                      И.Ильф и Е.Петров.

   На первой отечественной публикации, посвященной компьютерным вирусам,
мы уже останавливались. Практически по следам событий, сразу после появ-
ления вирусов С-648.VEN и RС-1701.CAS, был написан целый ряд статей, од-
нако большой  срок запаздывания журнальных изданий сыграл очень негатив-
ную роль,  задержав их  выход в  свет настолько, что к моменту получения
читателями содержащаяся  в них информация в значительной степени устаре-
ла. Написанные еще в конце 1988 г., все они вышли только в конце 1989 г.
К этому моменту эпидемии вирусов C-648.VEN и RC-1701.CAS практически за-
кончились. Среди  указанных публикаций следует отметить статью И.Ш.Кара-
сика [Карасик89а], в  которой впервые подробно изложены сведения о меха-
низме работы  и эффектах,  вызываемых вирусами  С-648.VEN и RС-1701.CAS.
Несмотря на значительное запаздывание (третий номер журнала "Мир ПК" был
подписан в печать 11.07.89 и появился в продаже в декабре 1989 г.), уро-
вень понимания  механизма работы  вируса RС-1701.CAS выделяет эту работу
из остальных  публикаций. В  дальнейшем И.Ш.Карасиком  опубликован  цикл
статей в журнале Интеркомпьютер [Карасик90].

   В настоящее  время поток  публикаций по  данной тематике  существенно
возрос и  статьи стали  появляться практически ежемесячно. Следует отме-
тить, что  сроки публикации  в отечественных журналах и сегодня остаются
крайне  неудовлетворительными.  Например,  статья  А.С.Осипенко [Осипен-
ко90], написанная  в конце  1989 г., была  опубликована только в третьем
номере журнала "Мир ПК" за 1990 г., причем этот номер поступил в продажу
лишь в  августе, т.е.  опять же  когда эпидемии  вирусов, описываемых  в
статье, практически закончились.

   Как обычно, среди основной массы "нормальных" публикаций, встречаются
и неудачные. К ним можно отнести брошюру [Основский90], содержащую пере-
сказ различных слухов (о вирусе, вводящем в резонанс головки винчестера,
вирусе типа "квадрат Малевича" длиной 3767 байтов, сетевом вирусе длиной
2231 байт,  самораскручивающемся в  оперативной памяти  вирусе  размером
1201 байт  и др.).  Приведенные в брошюре сведения породили новые слухи,
рассматриваемые в разделе о мифических вирусах.

   Обилием спорных  утверждений и излишней категоричностью грешит статья
Ф.Н.Шерстюка [Шерстюк90],  в которой реализация достаточно ограниченного
по своим  возможностям метода защиты от вирусов выдается за панацею. До-
стоинством статьи является то, что в ней впервые в отечественной литера-
туре описана  реализация нерезидентной  вакцины, прикрепляющейся в конец
тела программы,  подобно обычному  файловому вирусу.  Вместе  с  тем,  в
статье допущен  ряд (вполне простительных) технических ошибок, связанных
с недостаточным  пониманием механизма  использования прерывания 13h вер-
сиями 3.x  и 4.x MS DOS, а некоторые по меньшей мере спорные утверждения
выдаются за  непререкаемые истины. К числу последних, в частности, отно-
сятся:

   "вирусы ... разрабатывают даже в кругах, близких к таким крупным фир-
мам-разработчикам ПК,  как IBM,  в целях борьбы с фирмами, производящими
компьютеры-клоны";

   "практика показывает, что именно специализированные антивирусные про-
граммы (имеются в виду полифаги -- Н.Н.Безруков) чаще всего являются раз-
носчиками вирусов";

   "все имеющиеся  на сегодняшний  день методы борьбы с вирусами практи-
чески исчерпали себя, необходимо разработать принципиально новые".

   Первое утверждение,  вынесенное в  аннотацию статьи,  автор ничем  не
обосновывает. А  доказательств причастности  "кругов,  близких  к  фирме
IBM", к  разработке вирусов не существует, если, конечно, не считать та-
кими кругами  всех пользователей компьютеров, совместимых с IBM PC. Если
В.Ф.Шерстюк имел в виду особенность вируса RС-1701.CAS, состоящую в том,
что этот  вирус не должен был размножаться на оригинальных IBM PC (кста-
ти, в  этом месте автор вируса допустил ошибку и вирус успешно размножа-
ется на  таких компьютерах),  то этот факт скорее свидетельствует об об-
ратном, т.е.  о страхе  автора вируса перед такой могущественной фирмой,
как IBM.

   Второе утверждение  уже принципиально неверно, т.к. создает у читате-
лей ложное  впечатление об опасности полифагов. Во-первых, к моменту на-
писания статьи  полифаги уже стали снабжаться средствами самоконтроля на
зараженность (например, Aidstest), а во-вторых, компьютерные игры были и
остаются куда более опасным источником заражения, чем фаги.

   Особенно характерно последнее утверждение, которое можно считать сво-
его рода  лакмусовой бумажкой "детской болезни левизны в вирусологии". В
действительности предлагаемый автором метод имеет не менее серьезные не-
достатки, чем те методы защиты, которые он якобы призван заменить. В ча-
стности, принципиальными  недостатками описанного  метода вакцинирования
является потеря  дискового пространства  (размер всех выполняемых файлов
увеличивается на  размер вакцины,  который скорее всего составит порядка
512 байтов,  т.е. сектора диска), а также возможная потеря работоспособ-
ности некоторых  вакцинированных резидентных  программ или  программ  со
специальной структурой  (скрытыми оверлеями и др.). Вместе с тем, в ком-
бинации с  другими методами, этот метод безусловно полезен и имеет право
на существование.

   С другой  стороны, некоторые авторы стремятся повысить свой авторитет
за счет  пренебрежительных высказываний  о других публикациях и разрабо-
танных антивирусных  программах. Здесь  также необходимо  чувство  меры.
Критика уровня  "... -- продажная девка империализма", начинающаяся и за-
канчивающаяся утверждениями о том, что оппонент просто глуп, не утружда-
ющая себя приведением доказательств, является таким же проявлением нашей
отсталости, как и выпускаемые нашей промышленностью ПЭВМ.


                        1.2.5. Начало разработки
                  отечественных антивирусных программ,
                 первый конкурс антивирусных программ,
                       распространяемых бесплатно

                                       "Please do not shoot the pianist.
                                        He is doing his best"
                                            Надпись в американском баре;
                                          приписывается также О.Уайльду

                                                 "А борьба на всем пути
                                                   В общем равная почти"
                                                              В.Высоцкий

   Разработка первых  отечественных антивирусных  программ --  детекторов
(программ, обнаруживающих  вирус) и  фагов (программ, "выкусывающих" ви-
рус) -- началась  еще в 1988 г. Из полифагов, сыгравших значительную роль
на начальном  этапе, следует отметить программу Aidstest Д.Н.Лозинского,
Doctor А.А.Чижова  и Anti-Kot О.Г.Котика. Причем полифаг Anti-Kot быстро
стал коммерческим  продуктом и  из-за установленной  цены практически не
принимал участие  в борьбе с вирусами, начиная с осени  1989 г., а поли-
фаг Doctor по этой же причине "выпал из игры" в важный период сентября --
декабря 1989 г., а с осени 1990 г. стал неконкурентоспособным по сравне-
нию с  полифагом Aidstest.  Дольше всего бесплатно распространялась про-
грамма Aidstest,  которая с  осени 1989 по лето 1990 г. была самой попу-
лярной отечественной антивирусной программой.

   В феврале 1990 г. под руководством автора был проведен первый конкурс
антивирусных программ, распространяемых бесплатно. Организатором конкур-
са был  киевский семинар  "Системное программирование". Премиальный фонд
был образован за счет пожертвований некоторых организаций и частных лиц,
средств, собранных  за распространение  первых четырех номеров бюллетеня
Софтпанорама, а  также нескольких  лекций по  методам защиты от вирусов,
прочитанных автором.  Конкурс проводился в трех классах: фаги, детекторы
и ревизоры,  резидентные фильтры  и вакцины. В классе фагов первое место
заняла программа  Aidstest Д.Н.Лозинского,  а второе  место --  программа
Doctor А.А.Чижова.  В классе  детекторов и  ревизоров первое место занял
ревизор DLI  В.В.Герасимова, а  второе место  -- контекстный  детектор VL
А.Л.Шеховцова. И,  наконец, в классе резидентных фильтров два первых ме-
ста поделили  программы SBM  В.Е.Еременко и  Б.М.Мостового  и  программа
Check21 И.М.Двоеглазова.

   В мае 1990 г. Д.Н.Лозинский настолько устал от звонков пользователей,
что решил "уйти в профессионалы". Коммерческие версии до октября 1990 г.
были достаточно  дорогими, и  значимость Aidstest  для "широких  кругов"
пользователей резко  упала. Однако,  начиная с  октября, незащищенная от
копирования версия  Aidstest стала  распространяться по  цене 3 руб. для
частных лиц (т.е. практически как Shareware) и быстро обрела былую попу-
лярность. Cреди  полифагов, распространяющихся  бесплатно, лидером стала
программа SOS  Е.Н.Сусликова (Кемерово). Конечно, положение, когда поль-
зователи предпочитают  антивирусные программы,  распространяющиеся  бес-
платно, можно  оценивать по-разному, но не учитывать его нельзя. Поэтому
было бы  целесообразно обеспечить  государственное субсидирование лучших
разработчиков, которое может и должно проводиться на конкурсной основе.

   Подобно тому,  как рост  преступности порождает  повышенный спрос  на
замки и  другие средства защиты, изготовители программного обеспечения и
компьютерного оборудования  предпринимают попытки  использовать ситуацию
для завоевания  рынка. В  настоящее время  общее количество антивирусных
средств наверное  сопоставимо с количеством известных компьютерных виру-
сов. Только  в нашей стране разработаны десятки, если не сотни коммерче-
ских программ  для этой  цели. Цены  на такого  рода продукты колеблются
примерно от  300 до нескольких тысяч рублей с типичной ценой в 1000 руб.
за пакет.  Как правило, коммерческое программное обеспечение распростра-
няется защищенным от копирования и требует для своей работы либо инстал-
ляции на  винчестер со  специальной дистрибутивной  дискеты, либо работы
непосредственно с  поставляемой оригинальной дискетой. Это создает неко-
торые неудобства при архивировании или переразметке винчестера.

   В связи  с тем, что рынок как таковой еще не сложился, цены, устанав-
ливаемые разработчиками,  как правило, совершенно не связаны с качеством
соответствующего программного  продукта (иногда  даже встречаются случаи
продажи по  принципу "толкни и убегай"). Автору известна продажа  неско-
льких бесплатно распространяемых антивирусных программ (включая програм-
мы В.Бончева  и ранней  версии полифага Aidstest) под видом пакета ANTI-
2000, настойчиво и недобросовестно рекламируемого по почте ленинградской
фирмой Информатика. Довольно часто программное обеспечение для защиты от
вирусов, распространяемое  за меньшую  цену или даже бесплатно, обладает
сопоставимыми или  лучшими характеристиками,  чем  широко  рекламируемое
коммерческое. Это,  в  частности,  касается  довольно  слабой  программы
Страж, разработанной  малым предприятием Алькор (Москва) и разрекламиро-
ванной газетой Известия [Лесков91] как панацея от любого вируса. Распро-
страненность недобросовестной  рекламы характерна как для отечественных,
так и  для зарубежных  средств защиты  от вирусов, что свидетельствует о
незрелости данной "отрасли". Кроме того, лишь немногие продукты сочетают
защиту от вирусов со средствами резервирования информации или защитой от
несанкционированного доступа,  а именно  такие  интегрированные  системы
представляют, по-видимому, наибольшую ценность для пользователей.


              1.2.6. Семинар "Системное программирование"
                        и бюллетень Софтпанорама

   Отсутствие сетей  и изолированность  отечественных программистов друг
от друга  также явилось фактором, способствовавшим распространению виру-
сов по  нашей стране.  Как уже  указывалось, первые попытки организовать
обмен информацией  по "антивирусной"  тематике и распространение антиви-
русных программ  относятся только к апрелю 1989 г. Так, в Киеве 13.04.90
состоялся тематический  семинар, полностью  посвященный проблеме компью-
терных вирусов.  Программа этого  семинара включала сообщения по четырем
типам вирусов  (С-648.VEN (Vienna),  RC-1701.CAS (Cascade), RCE-1813.IER
(Jerusalem) и  Bx1-1C.PIN (Ping-Pong))  и большую  дискуссию. Начиная  с
этого семинара,  среди участников  стали распространяться лучшие антиви-
русные программы, а с сентября 1989 г. начал выходить ежемесячный бюлле-
тень Софтпанорама.  С сентября  1990 г. с формата 360К бюллетень перешел
на формат  720К, приблизительно  треть из  которых выделяется  под новые
версии антивирусных средств и текущую информацию о компьютерных вирусах.


               1.2.7. Болгарские и польские исследования

   Из исследований, проведенных в странах Европы, следует отметить поль-
ские и  болгарские публикации. Лидером среди авторов болгарских публика-
ций на  рассматриваемую тему  является В.Бончев.  Этим, безусловно очень
способным исследователем, была опубликована одна из первых статей по ви-
русу С-648.VEN [Бончев89а], а через некоторое время большая статья [Бон-
чев89б], перевод  которой был включен во второй выпуск бюллетеня Cофтпа-
норама. Несмотря на ряд допущенных ошибок и неточностей, в ней были при-
ведены актуальные  на тот  момент сведения о вирусах группы ТР (В.Бончев
лично знаком  с техно-крысой,  разработавшей эту группу). В статье также
очень мягко  трактовался вопрос  об ответственности за разработку и рас-
пространение вирусов. Возможно, это связано с тем, что в это время автор
сам распространял  дискету с рядом вирусов и их исходными текстами. Хотя
мотивом служило, по-видимому, желание показать, что в компьютерных виру-
сах нет ничего таинственного, эта "ошибка молодости", возможно, послужи-
ла одной из причин последовавшего в 1990 г. "болгарского вирусного взры-
ва" (см.  ниже). Вместе с тем, статьи Бончева были важным источником ин-
формации о распространяющихся в СССР вирусах и несколько облегчили борь-
бу с  ними. Сейчас  уже можно  говорить о  серии "околовирусных"  статей
В.Бончева в  журнале "Компютър  за вас", причем уровень последних статей
существенно превосходит  уровень первых.  Последнее время  В.Бончев стал
активно участвовать  в электронной конференции FIDO, посвященной компью-
терным вирусам.

   Вместе с  тем, в статьях В.Бончева наблюдается определенный "перекос"
в сторону раскрытия механизма работы вирусов по сравнению с методами за-
щиты от них, что, в общем, соответствует интересам В.Бончева как ведуще-
го рубрики.  Отметим, что этот перекос несколько компенсируется тем, что
В.Бончев является  также автором  ряда бесплатно распространяемых фагов,
которые, помимо  Болгарии, получили  определенное  распространение  и  в
СССР. Однако с точки зрения влияния на читательскую аудиторию, указанная
несбалансированность редакционной  политики вызывает  сожаление. Поэтому
роль указанных  статей можно оценить как несколько противоречивую. Впро-
чем, автор сознает, что подобная критика может быть высказана и по отно-
шению к его собственной работе.

   Помимо В.Бончева,  ряд статей  по данной тематике опубликовал болгар-
ский исследователь С.Недков [Nedkov89, Недков89а -- 90b].

   Из польских  вирусологов прежде всего необходимо отметить А.Кадлофа --
автора  первой   в  Восточной  Европе  брошюры  о  компьютерных  вирусах
[Kadlof89]. В  дальнейшем он опубликовал ряд статей в журналах Komputer,
PCkurier, Enter  [Kadlof89 --  90e, Кадлоф90]. Начиная с декабря 1990 г.,
А.Кадлоф издает  ежемесячный электронный бюллетень PC Virus (на польском
языке).


             1.2.8. Законы, направленные против техно-крыс

                                             "Много ли желающих получить
                                            действительно по заслугам ?"
                                            С.Крытый. ЛГ No. 33 (16.08.89)

   Вирусы, как  и троянские  программы, создаются конкретными программи-
стами. Хотя  дальнейшее обсуждение будет в основном техническим, не сле-
дует забывать,  что ключевым аспектом проблемы является появление техно-
крыс -- новой  разновидности уголовников,  использующих для  своих  целей
возросшую степень анонимности, достижимую с появлением ПЭВМ и сетей. По-
этому важным аспектом борьбы с компьютерными вирусами становится выявле-
ние личности  преступника или преступной группы, создающей или распрост-
раняющей  компьютерные  вирусы.  Руководитель  американской  специальной
группы по изучению компьютерных преступлений Кирк Тэбби, занимающий пост
помощника прокурора  в Эн-Арборе  (шт. Мичиган), заявил: "Уголовное дело
можно возбудить всегда, когда существует человек, совершивший преступле-
ние. Незаметное внедрение вируса в программу является злонамеренным дей-
ствием, а создание подобной программы -- преступлением" (The Computer Law
and Security  Report, 1989,  v.5, No.  1.-- p.18-21). Уголовная ответствен-
ность может сочетаться с иском за нанесенный ущерб.

   К концу  1989 г. в ряде стран (США, Великобритания, ФРГ) находятся на
рассмотрении законы, предусматривающие для разработчиков и распространи-
телей компьютерных  вирусов значительные  сроки тюремного  заключения (в
США до  15 лет). Это позволит, помимо программных и организационных мер,
применять для борьбы с вирусами и правовые методы. В частности, в палате
представителей Конгресса  США внесены  билль 55 (Virus Eradiation Act) и
билль 287 (Computer Protection Act) [Crawford89].


             Выдержки из билля 287 (перевод Н.Н.Безрукова)

         (А) Любой, кто сознательно или умышленно саботирует  надлежащее
      функционирование аппаратуры компьютерной системы или связанного  с
      ней программного  обеспечения и  тем самым  вызовет потерю данных,
      затруднения при работе ЭВМ, убытки или вред владельцу  компьютера,
      должен быть оштрафован ... или подвергнут тюремному заключению  на
      срок не более 15 лет или подвергнут обоим наказаниям.
         (В) Пострадавшая сторона имеет право в судебном порядке  требо-
      вать соответствующую компенсацию понесенных убытков и судебных из-
      держек.

   Национальный институт стандартов США и Пентагон создали  Компьютерную
группу быстрого реагирования из 12 человек для борьбы с вирусами и поис-
ка преступников. Кроме того, Пентагон планирует создать свой  коммуника-
ционный центр и подразделение для отражения атак на компьютерные системы
(Comm. AСM, 1989, v.32, No. 2. p.161). В настоящее время в США  работает
ряд бесплатных BBS, позволяющих получить оперативную информацию по  ком-
пьютерным вирусам.

   В ФРГ законодательство позволяло,  в большинстве случаев, привлечь  к
ответственности изготовителей и распространителей вирусов еще в 1987  г.
Подробнее с состоянием правовой защиты от заражения компьютерными  виру-
сами в ФРГ по состоянию на 1987 г. можно познакомиться по переводу книги
Р.Бургера [Burger88, гл.6]. Этот перевод распространяется, в  частности,
через Всесоюзный центр переводов (ВЦП).

   Появление достаточно суровых законов создает в известной мере  траги-
ческую ситуацию, известную под названием "поиск козла отпущения".  Поса-
дят одного, причем не самого вредного. Остальные останутся на свободе. А
что такое для молодого способного человека в 17-18 лет получить даже год
тюремного заключения? Да  еще сознавая, что  его посадили, а  остальные,
принесшие не меньший вред, гуляют на свободе.


                  1.2.9. Этические проблемы, связанные
                 с распространением компьютерных вирусов

                                         "Копии хороши лишь тогда, когда
                                          они открывают нам смешные
                                          стороны дурных оригиналов"
                                                    Франсуа де Ларошфуко

   Конечно, общепринятые  приоритеты и  этические  принципы  [ParkerD81,
Weiss82] исследований  в программировании,  использовавшиеся  на  первом
этапе -- предыстории  компьютерных вирусов, когда проблема носила преиму-
щественно научный  характер (свободный  обмен информацией, программами и
т.д.), не применимы на втором этапе, когда проблема затрагивает интересы
практически каждого  пользователя ПЭВМ.  Сейчас как  никогда остро стоит
проблема выработки  кодекса "исследователя-вирусолога". Этот кодекс дол-
жен исключать  свободную передачу  вирусов, в  особенности  их  наиболее
опасных разновидностей (RCE-1800, RCE-2000 и др.). Здесь есть смысл при-
менить подход,  принятый в медицине, где лекарства разделены на "список-
А", "список-Б"  и т.д.,  причем в список-А попадают наиболее опасные ле-
карства, доступ  к которым  наиболее регламентирован,  в список-Б  менее
опасные, но с регламентацией доступа (рецепт с печатью) и т.д.

   Появление "коллекционеров"  вирусов, не  ведущих работу  по  созданию
средств защиты, представляет особую опасность, поскольку попадание такой
"коллекции" в руки злонамеренного и безответственного программиста может
наделать много  бед. Автор считает, что передача вирусов может осуществ-
ляться только лицам, активно ведущим разработку средств защиты, и только
на основе "соглашения о нераспространении".

   Наибольшую опасность  представляют  собой  комментированные  исходные
тексты вирусов. Уровень квалификации, требуемый для того, чтобы изменить
в ассемблерном тексте две-три команды, и заново ассемблировать текст ви-
руса намного  ниже, чем  тот, который требуется для дизассемблирования и
реконструкции логики.  Поэтому распространение  исходного текста  вируса
фактически является  подстрекательством к созданию новых вирусов. В этом
плане заслуживает осуждения поступок В.Бончева, распространявшего диске-
ту с исходными текстами вирусов, копии которой попали и в нашу страну.

   Следует подчеркнуть  необходимость особой осторожности для всех, кому
так или иначе приходится анализировать зараженные программы и реконстру-
ировать логику  вируса. Относящиеся к этому материалы желательно держать
на личных дискетах, не прибегая без необходимости к записи на винчестер.
Каталоги и архивы защищать от несанкционированного доступа паролями или,
предпочтительнее, шифровкой. Недопустимо оставлять такого рода материалы
в обычных  каталогах на "персональном компьютере коллективного пользова-
ния", поскольку есть немало любителей рыться в чужих каталогах в поисках
"чего-нибудь интересненького". Реконструированный текст следует рассмат-
ривать как  материал "для служебного пользования" и не передавать незна-
комым лицам, даже если, по их словам, они занимаются разработкой антиви-
русных средств: для создания большинства антивирусных средств, в особен-
ности фагов,  необходимые сведения  специалист может  получить самостоя-
тельно за два-три часа работы.

   В особенности  это относится к вузам, где, несмотря на нашу бедность,
талантливые ребята  все же  имеют возможность  работать на  персональных
ЭВМ. Часто  такие ребята предоставлены сами себе и не имеют поддержки со
стороны преподавателей  программирования, многие из которых давно отошли
или вообще  никогда не занимались разработкой реальных программ и просто
боятся студентов,  "знающих слишком  много". При отсутствии более конст-
руктивной цели,  заполучив какие-нибудь  листинги, такие  студенты могут
заняться разработкой  вирусов, а не антивирусов, не отдавая себе отчет в
аморальности своих действий. Поскольку обмен программами между студента-
ми обычно  весьма интенсивен,  вирус имеет определенные шансы на быстрое
распространение. Поэтому  необходимы определенные действия общественнос-
ти, чтобы  предотвратить такую  возможность. Они  могут включать награду
каждому, кто сообщит автора того или иного вируса, а также разъяснитель-
ную работу относительно этического содержания действий разработчиков ви-
русов. В  этом плане  заслуживает внимания  обращение к  авторам вирусов
американской общественной организации "Профессионалы-программисты за со-
циальную ответственность":

        "У Вас есть талант, чтобы  сделать что-то полезное в жизни.  То,
     что Вы  делаете, вредит  промышленности и  обществу, которое готово
     принять Вас и ваш  талант с распростертыми объятьями.  Удовлетворе-
     ние, которое Вы получите от сотрудничества с нами, намного выше то-
     го, которое Вы  получите при нанесении  вреда ни в  чем не повинным
     людям. Остановитесь !"

   Среди программистов существует два основных мнения относительно того,
следует ли  публиковать сведения  о конкретных  вирусах и методах атаки,
используемых ими.  Одни считают, что публикация технических подробностей
облегчит криминальным  элементам, которые,  к сожалению, имеются и среди
программистов, создание  более опасных  и разрушительных вирусов. Другие
придерживаются противоположного  мнения, полагая,  что  публикация  этих
данных будет  способствовать мобилизации  сил на создание мощных средств
борьбы с этой разновидностью компьютерного вандализма и предотвратит не-
нужное дублирование  усилий. Автор  придерживается второй точки зрения и
считает, что  создание мощных  средств защиты  позволит поднять "планку"
технической сложности разработки эффективного вируса до уровня, на поря-
док превышающего  сегодняшний, что существенно сузит круг лиц, представ-
ляющих потенциальную опасность.

   При написании  данной работы автор сознательно исключил ряд сведений,
которые могли  бы быть использованы во вред. В частности, дампы заражен-
ных программ  приводятся в  сокращенном виде.  Однако решающее значение,
по-видимому, имеет создание общественной атмосферы нетерпимости к попыт-
кам разработки или использования вирусов. Если такие попытки будут вызы-
вать не отпор, а поощрительное похлопывание по плечу в коллективе разра-
ботчика, то  в скором времени и пользователям и разработчикам антивирус-
ных программ придется бороться на два фронта: не столько против вирусов,
попадающих с Запада (или с Востока), сколько против отечественных разно-
видностей. Тем более, что первые отечественные вирусы уже появились. Си-
туация с  отечественными разработчиками  вирусов усложняется тем, что их
довольно сложно привлечь к уголовной ответственности по действующему за-
конодательству. Вместе  с тем  действующий уголовный кодекс не исключает
возможность применения  к разработчикам  вирусов  статьи  о  хулиганстве
(ст.206 Уголовного  кодекса УССР)  в случаях, если вирус разрушит важную
информацию, приведет  к нарушению действия систем, так или иначе связан-
ных с  безопасностью людей или управляющих производственными процессами,
или вызовет  другие последствия, которые можно квалифицировать как умыш-
ленные действия, выражающие явное неуважение к обществу.
   В связи с этим следует отметить полную бесперспективность попыток ис-
пользования вирусов  для защиты  программного обеспечения от незаконного
копирования. Поскольку распространение вируса не является контролируемым
процессом, то в данном случае скорее всего пострадают не лица, использо-
вавшие незаконную копию, а другие пользователи. Хотя я ни в коей мере не
оправдываю незаконное  копирование программ, но лекарство не должно быть
опаснее, чем болезнь. Не стоит бросать бомбу в магазин для наказания че-
ловека, укравшего пачку сливочного масла. Более того, установление авто-
ра вируса  будет означать полную потерю репутации разработчика и, следо-
вательно, коммерческий  крах. Этому  будет, несомненно, способствовать и
широкая огласка, включая сообщения на профессиональных семинарах, и пуб-
ликации в прессе, которые последуют за установлением автора(ов) вируса.



                       1.3. Современная ситуация

                                       "Эх, Эх ! -- ей Моська отвечает
                                        Вот то-то мне и духу придает
                                        Что я совсем без драки
                                        могу попасть в большие забияки!"
                                                              И.А.Крылов

   В 1990 г. поток вирусов, поступающих в нашу страну из-за рубежа, про-
должал возрастать. Основной вклад в этот поток продолжают вносить файло-
вые вирусы  из Болгарии  (Anti-Bontchev  (RCE-02000.DAV),  Murphy  (RCE-
1277.MUR) и  др.). Поскольку  за прошедший год уровень информированности
пользователей существенно  возрос, выявленные  вирусы были  сравнительно
быстро локализованы. Вместе с тем, пользователи малых и отдаленных горо-
дов нашей  страны все  еще сообщали  о случаях  заражения  вирусами  RC-
1701.CAS, M-05.STN (Stone) и других "прошлогодних" вирусах, эпидемии ко-
торых в  больших городах  уже практически  закончились.  Таким  образом,
"расползание" вирусов идет от центра к периферии, как это происходит и с
естественными вирусами, скажем, вирусом гриппа. Опыт показал, что скоро-
сть распространения  вирусов из одного города в другой не так уж велика,
и запаздывание  достигает нескольких  месяцев. Это  создает  возможность
подготовиться к появлению очередного вируса за счет оперативного распро-
странения соответствующей информации и антивирусных средств через бюлле-
тень Софтпанорама.


                1.3.1. Обстановка постепенно обостряется

   Первые два месяца 1990 г. оказались довольно спокойными и создали об-
манчивое впечатление  "затишья". Однако с марта поток быстро стал нарас-
тать. Первым появился американский вирус Sunday, или RСЕ-1636.SUN по ис-
пользуемой автором  классификации. Изучение кода показало, что его можно
рассматривать в  качестве штамма  вируса RCE-1813.IER  (Ierusalem, Black
Friday). В воскресенье RСЕ-1636.SUN удаляет все запускаемые программы. В
этом же месяце был обнаружен бутовый вирус Bx3-EB.OGR (OGRE, DiskKiller)
тайваньского происхождения.  Это первый из попавших в наших страну виру-
сов, уничтожающих информацию на всем винчестере так, что ее потом крайне
трудно, а  для специалиста, не владеющего ассемблером, -- невозможно вос-
становить. В  частности, от этого вируса пострадал ряд ВЦ в западных об-
ластях Украины.

   В апреле в Москве был обнаружен вирус RCE-02000.DAV болгарской разра-
ботки. В  мае в  Днепропетровске был обнаружен вирус RC-600.VOR -- первый
вирус, относительно  которого достоверно известно, что он был разработан
в СССР. В июне в Киеве был обнаружен вирус RCE-1277.MUR (Murphy), разра-
ботанный в  Болгарии. В этом же месяце в Москве был обнаружен вирус RCE-
1600.VOR. Приблизительно  в это  же время в Москве был обнаружен бутовый
вирус D-29.ZUK  (Den Zuk)  и бутовый вирус индийского производства -- WM-
1F.JSH (Joshy).  В июле  в нескольких  точках Москвы был обнаружен вирус
RC-492.SI. В  частности, автор  обнаружил его, находясь в командировке в
ВЦ АН СССР.

   К сентябрьскому  семинару 1990 г. было обнаружено еще шесть новых ви-
русов: С-1004.BEB  (Bebe),  RC-488.LCH  (Flu-2,  LoveChild),  RC-394.ATN
(Attention), бутовый  вирус Print  Screen, нерезидентные файловые вирусы
С-257.KEM (Kemerovo-Reboot)  и RCE-04096.FRD (Frodo). Последний является
представителем нового поколения вирусов -- так называемых стелс-вирусов и
представляет большую опасность из-за довольно скрытого характера распро-
странения и  проявлениям, похожим на сбои оборудования. Сразу после сен-
тябрьского семинара  был выявлен  еще один представитель стелс-вирусов --
RC-0-512.DAV (666), разработанный в Болгарии.

   Начиная с октября, количество обнаруживаемых в течение месяца вирусов
стало превышать  десяток и сложившаяся обстановка получила название "ви-
русный взрыв".


                    1.3.2. Болгарский вирусный взрыв

   Сначала необходимо  пояснить термин  "вирусный взрыв", который сейчас
стал модным  клише. Дело  в том,  что всякий  процесс, развитие которого
происходит по  экспоненциальному закону,  с математической  точки зрения
можно назвать "взрывом". Под вирусным взрывом следует понимать экспонен-
циальное нарастание  количества разрабатываемых в данной стране вирусов.
Другими словами,  это экспоненциальное нарастание количества техно-крыс.
Вместе с тем, количество разработанных вирусов не следует путать с коли-
чеством зараженных ими программ. Дело в том, что многие вирусы обнаруже-
ны на одной-двух программах и существуют только в "коллекциях" вирусоло-
гов (которых  в этом  смысле можно  считать основными вирусоносителями).
Поэтому следует различать динамику разработки вирусов и динамику их рас-
пространения. Это  далеко не  одно и  то же. Кстати, взрыв может быть не
таким уж  страшным. Например, если количество чего-то удваивается каждые
50 лет, то  с математической точки зрения это тоже взрыв, хотя в течении
жизни одного поколения он не заметен.

   Если говорить  о динамике  разработки вирусов, то здесь безусловно мы
имеем дело  с процессом,  аппроксимирующимся  экспоненциальным  законом,
т.е. со  взрывом. А вот динамика случаев заражения или изменения количе-
ства зараженных  программ подчиняется  более сложным законам. Смешивание
этих понятий  приводит к  некоторой путанице.  Однако запугивать  себя и
других огромным количеством вирусов не стоит: достаточно посмотреть при-
веденные в  приложении таблицы,  где приведена оценка распространенности
того или  иного вируса  -- распространение  большинства известных вирусов
было подавлено в самом начале, до достижения ими критической массы зара-
женных программ. Поэтому они представляют собой лишь потенциальную угро-
зу, как,  например, на  Украине имеется  потенциальная угроза заразиться
холерой, малярией  или другими  эпидемическими инфекциями.  Лишь десятка
два вирусов  из каждой сотни разработанных вызывали случаи массового за-
ражения программ  (т.е. распространенность 20% существующих компьютерных
вирусов оценивается цифрами 4 или 5 по приведенной в прил. 1 шкале). Во-
обще говоря, для количества зараженных программ имеют место математичес-
кие закономерности,  характерные для  эпидемий: динамика распространения
является результатом наложения нескольких случайных процессов, каждый из
которых имеет начальный восходящий участок, пик и резкий спад. Кроме то-
го, необходимо учитывать все большую распространенность и быстрое совер-
шенствование средств  защиты, а  также повышение  уровня осведомленности
пользователей. В  общем, хотя быстрый рост количества компьютерных виру-
сов --  это тревожный  симптом, следует трезво оценивать опасность: пере-
оценка так же опасна, как и недооценка.

   Как уже отмечалось, Болгария стала одним из мировых центров разработ-
ки файловых вирусов. Начиная с середины 1989 г., в СССР наблюдается "на-
плыв" вирусов  из Болгарии,  причем ряд разработанных там вирусов оказа-
лись весьма  изощренными и  опасными. Этот  поток вирусов, затронувший и
западные страны, получил название "болгарского вирусного взрыва". Это не
совсем точное  название, поскольку правильнее говорить об информационном
взрыве: многие из так называемых "болгарских" вирусов либо вообще не бы-
ли "выпущены  на свободу", либо быстро локализованы и уничтожены, не ус-
пев создать эпидемию, однако тот факт, что они были собраны В.Бончевым и
переданы западным  вирусологам в течении достаточно короткого промежутка
времени, создал иллюзию "взрыва".

   Деятельность болгарских  техно-крыс нанесла  определенный ущерб нашей
стране, поскольку из Болгарии вирусы быстро попадают в СССР. Всего к нам
попало порядка 20 болгарских вирусов, ряд из которых распространился до-
статочно широко.  Среди последних  отметим  группу  Dark  Avenger  (RCE-
1800.DAV --  Еddie, RCE-02000.DAV  -- Anti-Bontchev, RC-0-512.DAV и др.) и
группу TP-вирусов  (RСE-1206.TP, RCE-1805.TP, RCE-2885.TP и др.). Многие
сотни, если  не тысячи, часов были потрачены на анализ и дезинфекцию за-
раженных ими программ.

   Факты свидетельствуют  о том,  что, начиная с 1988 г., в Софии сложи-
лась группа лиц, активно разрабатывавшая и распространявшая компьютерные
вирусы. Общее количество разработанных ими вирусов приближается к сотне.
Первой болгарской  техно-крысой, "вышедшей  на международную арену", был
небезызвестный  TP, разработавший группу вирусов, известную под названи-
ем Yankee Doodle. Эта техно-крыса, по данным В.Бончева, закончившая свою
деятельность по созданию новых вирусов летом 1989 г., ранее была сотруд-
ником Высшего  машинно-электротехнического института  (теперь Инженерная
академия), расположенного  в Софии.  Фамилия  автора  вируса  E-1961.YSH
(В.Бочев) стала известна по попавшему в СССР на вирусной дискете Бончева
исходному  тексту  данного  вируса.   Правда,  несколько  странно,   что
болгарский   программист    использовал   в   своей  программе   мелодию
американского марша  (песни времен  войны за  независимость) "Янки Дудль
Денди"  (Yankey  Doodle  Dandy).  Этот  нерезидентный файловый вирус был
исторически  первым  болгарским  вирусом,  заражавшим  EXE-файлы   стан-
дартным  способом.  Кстати,  В.Бочев  является автором некоторых статей,
опубликованных в "Компютър за вас".

   Наиболее известной  болгарской техно-крысой на данный момент является
программист, скрывающийся под кличкой Dark Avenger, "продукция" которого
(порядка двух  десятков изощренных  вирусов) уже могла бы быть оценена в
западных странах  солидным сроком  тюремного заключения. Первым из виру-
сов, разработанных  этой техно-крысой,  в СССР  попал вирус RCE-1800.DAV
Этот вирус,  часто называемый  Eddie, по  содержащейся в  нем  текстовой
строке был  и остается одним из наиболее опасных файловых вирусов. В нем
предусмотрено разрушение секторов на диске, а также использован несколь-
ко отличный от предыдущих вирусов механизм размножения (RCE-1800.DAV за-
ражает файлы  не только при выполнении, но и при открытии), обеспечивав-
ший вирусу  более быстрое распространение. Весной 1990 г. в нашей стране
была обнаружена  новая модификация  вируса RCE-1800.DAV -- RCE-02000.DAV,
которая на  зараженной машине маскирует увеличение длины зараженных фай-
лов. Это  один из наиболее скрытно размножающихся и опасных вирусов-ван-
далов. В  тексте вируса  RCE-02000 имеется  строка "(c) 1989 by Vesselin
Bontchev", расположенная в конце тела вируса, т.е. в последнем блоке за-
раженной программы.  Подобного рода  клеветнические приемы  типичны  для
техно-крыс, и  В.Бончев не  является первым  или последним разработчиком
антивирусных программ,  которому приходится защищаться от "пиратства на-
оборот". Попытки  приписать авторство вирусов разработчикам антивирусных
программ или превратить очередные версии этих программ в троянские, т.е.
распространяющие новый  вирус, предпринимались техно-крысами неоднократ-
но, однако в случае RCE-02000.DAV вирус, являясь резидентным, еще и бло-
кирует запуск антивирусных программ В.Бончева, проверяя загружаемые про-
граммы на наличие части приведенной выше строки и вызывая зависание, ес-
ли строка  найдена. В  3-4 номере  за 1990 г.  журнала "Компютър за вас"
В.Бончевым было  опубликовано опровержение,  подтвердившее, что  автором
данного вируса  является Dark Avenger -- предположение, возникшее у боль-
шинства советских вирусологов, анализировавших код данного вируса. Более
того, в  указанном номере опубликовано и письмо самого Dark Avenger. По-
видимому, это первая публикация техно-крысы, хотя не совсем понятно, за-
чем предоставлять технопатам возможность печататься. Поскольку появление
письма Dark  Avenger по  времени совпало  с распространением вируса RCE-
02000.DAV, это  еще раз  показывает, насколько техно-крысам присущ "ком-
плекс Герострата".  Интересно отметить,  что в  письме название  журнала
"Компютър за вас" изменено на достаточно едкое "Вирус за вас", что, учи-
тывая изложенные выше факты, имеет определенные основания.


                  1.3.3. Первая Всесоюзная конференция
               "Методы и средства защиты от компьютерных
                 вирусов в операционной системе MS DOS"

   Проведенная 14--17 ноября 1990 г. в Киеве конференция стала значитель-
ным событием в развитии отечественной вирусологии. В конференции приняли
участие более  250 специалистов, включая ведущих отечественных разработ-
чиков антивирусных программ, а также специалисты Болгарии и Польши.


                     1.3.3.1. Программа конференции

   Программа конференции  была  составлена  достаточно  демократично.  В
частности, были приглашены практически все разработчики популярных в на-
шей стране антивирусных программ. Перечень докладов, включенных в конфе-
ренцию, представляет,  по мнению автора, определенный исторический инте-
рес как индикатор состояния развития отечественной вирусологии в 1990 г.
и приводится  ниже. Поскольку не все из приглашенных специалистов смогли
принять участие  в конференции,  а некоторые  доклады были  включены вне
плана, перед  названием доклада указано соответствующее условное обозна-
чение ("*" -- состоявшийся плановый доклад, звездочка стоит у фамилии ав-
тора, выступавшего с докладом); "+" -- внеплановый доклад; "-" -- несосто-
явшийся доклад).

                    Открытие конференции 14 ноября

   * Безруков Н.Н.(Киев).  Актуальные проблемы  компьютерной вирусологии
(стелс-вирусы, файлово-бутовые вирусы, LAN-вирусы).

   * Бончев В.(София). Развитие вирусологии в Болгарии; ответы на вопро-
сы участников семинара.

   + Кадлоф А.(Варшава). Развитие вирусологии в Польше.

   * Лозинский Д.Н.(Москва). Aidstest: первые два года.

   * Семенов В.А., Тарасов Г.П., (Киев, ЦНКБ ВТ ГКВТИ). Вирусная пробле-
матика в контексте задач защиты от несанкционированного доступа.


                      Вечернее заседание 14 ноября

Секция 1: Общие проблемы компьютерной вирусологии. Классификация вирусов
и методы  анализа вирусоподобных программ, инструментальные средства ви-
русолога (руководитель секции Н.Н.Безруков).

   - Водяник А.Г.(Мариуполь). Некоторые утилиты для анализа программного
обеспечения.

   - Волынский В.В.(Москва).  Использование Periscope  для анализа  про-
граммного обеспечения.

   * Карасик И.Ш.(Москва). Вирусы как продукт естественной эволюции про-
граммного обеспечения.

   + Кадлоф А.(Варшава). Идентификация компьютерных вирусов.

   * Кохманюк Д.С.(Киев). Опыт использования Quaid Analyzer для исследо-
вания программного обеспечения.

   * Свиридов И.А.(Киев). Роль BBS в борьбе с вирусами (на примере элек-
тронной конференции по вирусам FIDO).

   - Селивоненко А.Б.(Полтава). Шпион 21 прерывания.

   * Касперский Е.В.(Москва). Методика работы с дизассемблером Sourcer.

   * Круковский М.Ю.,  Грушевский Ф.Я.,  Миненко  С.М.,  Аксютенко  В.М.
Общие принципы функционирования бутовых вирусов и борьбы с ними.

   * Цал М.И.(Ленинград).  Современный уровень  написания вирусов и воз-
можность создания универсального детектора и резидентных программ.

   * Сотников С.Н.(Минск).  Некоторые статистические  закономерности по-
ступления вирусов в СССР.


                      Утреннее заседание 15 ноября

Секция 2:  Интегрированные антивирусные  системы. Полифаги (руководитель
секции Д.Н.Лозинский).

   * Грязнов Д.О.(Переславль-Залесский). Антивирусная система PC Shield.

   * Касперский Е.В.(Москва). Полифаг --V.

   - Котик О.Г.(Москва). Система Anti-Kot/Anti-Kor.
   * Свиридов И.А.(Киев).  Пакетный универсальный детектор-фаг для буто-
вых вирусов.

   - Сербиненко А.В.(Донецк). Сравнительный анализ пользовательского ин-
терфейса в полифагах.

   * Сусликов Е.Н.(Кемерово).  Незаражаемый высокоскоростной  полифаг  с
самонастройкой на детектирование новых вирусов.

   - Сысоев И.В.(Москва). Полифаг AV.

   + Цал М.И. Антивирусная система Cerber СП Диалог.

   + Юдин Г.Т.,  Биллиг И.В.(Тверь).  Интегрированная антивирусная среда
Авиценна.


                      Вечернее заседание 15 ноября

Секция 3: Вопросы конструирования детекторов, конструирование ревизоров,
контроль целостности MS DOS (руководитель секции Е.В.Касперский).

   * Ветров И.В.(Москва). Пакет программ "Ревизор".

   - Герасимов В.В.(Москва). Новая версия ревизора DLI.

   * Мостовой Д.Ю. (Москва). Некоторые аспекты реализации ревизоров.

   * Рабец  В.С.(Черноголовка).   Детектор,  интегрированный   с  Norton
Commander.

   - Румянцев М.И.(Донецк).  Spirit --  средство контроля  целостности MS
DOS.

   * Суворов И.А.(Киев).  Полидетектор с  ускоренным поиском  сигнатур и
возможностью ввода данных из таблиц "Компьютерной вирусологии".

   * Судленков Г.О.(Минск).  Ревизор с возможностью нейтрализации файло-
вых вирусов, дописывающихся в хвост файла.

   * Шеховцов А.Л.(Киев).  Полидетектор с  диалоговым интерфейсом и воз-
можностью ввода сигнатур для контекстного поиска.


                      Утреннее заседание 16 ноября

Секция 4:  Конструирование резидентных  программ защиты, методы контроля
"on the fly" (руководитель секции А.Г.Водяник).

   - Водяник А.Г.(Мариуполь).  Intellectual Writе Protector -- гибкое со-
четание аппаратных и программных методов защиты.

   * Двоеглазов И.М.(Киев). Резидентный сторож, контролирующий 21 преры-
вание.

   * Касперский Е.В.(Москва). Резидентные сторожа --D1, --D2, --D3.

   * Катюшкин А.В.(Москва). Резидентный монитор с расширенными возможно-
стями.

   * Пономаренко В.В.(Киев). Резидентная поливакцина.


                      Вечернее заседание 16 ноября

Секция 5:  Нетрадиционные методы защиты от вирусов, незаражаемые и само-
излечивающиеся программы (руководитель секции Н.Н.Безруков).

   * Бабанин В.М.(Тверь). Универсальная антивирусная вакцина от файловых
вирусов, имплантирующихся в конец файла.
   - Волынский В.В.(Москва). Вирус против вирусов.

   * Сесса А.В. (Днепропетровск). Нейтрализация произвольных бутовых ви-
русов при загрузке ДОС.

   * Сусликов Е.Н.(Кемерово).  Эвристические методы поиска новых вирусов
в незаражаемом полидетекторе LD.

   * Рахимов А.Р., Турсунов О.О.(Ташкент). Антивирусная система Cerber.

   * Фиалков А.В.(Москва). Универсальное вакцинирование программ от фай-
ловых вирусов присоединяемым детектором-защитником.

   * Д и с к у с с и я: "Меры  воздействия и  возможные  санкции  против
разработчиков и распространителей вирусов".


                      Утреннее заседание 17 ноября

Секция 6:  Методы и алгоритмы защиты от несанкционированного копирования
коммерческого ПО (руководитель секции В.В.Герасимов).

   * Даен И.Л.,  Маковенко А.Т.(Киев).  Средства защиты  от  копирования
данных, основанные на применении ключей.

   - Герасимов В.В.(Москва). Классификация систем защиты от несанкциони-
рованного копирования и некоторые оценки сложности их вскрытия.

   - Рик А.В.(Тверь).  Метод комплексной  защиты программных  средств на
дискетах и винчестерах.


                          Закрытие конференции

   * Безруков Н.Н.  Итоги конкурса  антивирусных программ, распространя-
емых бесплатно. Награждение победителей.

   * Принятие заключительных  документов,  определение  даты  проведения
следующей конференции.


                      1.3.3.2. Хроника конференции

   Выступавший вторым  известный болгарский  вирусолог  Весселин  Бончев
кратко охарактеризовал  ситуацию с компьютерными вирусами, сложившуюся в
Болгарии, и  ответил на  многочисленные вопросы.  Поскольку значительная
часть аудитории была так или иначе знакома со статьями В.Бончева в "Ком-
пютър за  Вас", ряд  вопросов носил  "прицельный" характер. В частности,
был задан  вопрос о  причинах "болгарского  вирусного взрыва".  В.Бончев
также остановился  на известной болгарской техно-крысе, скрывающейся под
псевдонимом Dark Avenger. Отметив, что характер некоторых решений позво-
ляет предположить, что Dark Avenger в своей основной деятельности связан
с разработкой  сетевого программного  обеспечения для  IBM PC,  В.Бончев
охарактеризовал его как технопата и отметил, что в настоящее время коли-
чество разработанных  им вирусов  приближается к  двум десяткам. Касаясь
клеветнического приема,  использованного Dark Avenger при программирова-
нии вируса  RCE-02000 (часть  фразы "(c) 1989 by Vesselin Bontchev", со-
держащейся в  теле вируса, используется как ключ поиска соответствующего
текста в загружаемой программе и, если строка найдена, то вирус вызывает
зависание компьютера), В.Бончев сказал, что, помимо данного клеветничес-
кого приема, Dark Avenger несколько раз загружал в различные BBS трояни-
зированные вирусами  версии антивирусной  программы UScan, пользуясь его
фамилией при регистрации. Следует отметить, что В.Бончев продемонстриро-
вал очень хорошее владение русcким языком, что обеспечило тесный контакт
с аудиторией. Кстати, В.Бончев предпринял определенные усилия по популя-
ризации полученных в СССР результатов на Западе. В частности, им переве-
дена и  передана в  электронную конференцию по вирусам FIDO предложенная
автором классификационная  схема, в  которую он  внес некоторые полезные
добавления и уточнения.
   Последовавшее выступление  "Развитие вирусологии в Польше" известного
польского вирусолога  Анджея Кадлофа  (A.Kadlof) -- автора многочисленных
статей на эту тему в журнале Komputer (некоторые из его ранних работ бы-
ли переведены на русский язык и опубликованы в советско-польском журнале
"Компьютер" [Кадлоф90])  -- было  внеплановым, поскольку  возможность его
приезда была  до последнего момента неясна. Как и В.Бончев, А.Кадлоф вы-
ступал на русском языке, которым он владеет достаточно свободно. В своем
докладе А.Кадлоф рассказал, что первым в Польше появился "венский" вирус
(С-648.VEN), который до весны 1988 г. размножался никем незамеченный. Он
был выявлен в Варшавском политехническом институте, где сразу был создан
детектор и фаг (известные в нашей стране Diag и Cure И.Собчека). Пример-
но в  это же  время была опубликована первая статья о вирусах в польском
журнале Komputer. Другим вирусом, обнаруженным в 1988 г., был С-534.W13,
"живой" экз.  которого был  принесен  в  редакцию  журнала  Komputer.  В
1989 г. вышла  брошюра А.Кадлофа "Внимание, вирус!" (перевод которой был
сделан кем-то  из харьковских программистов и существует в виде файла на
дискете, но  не распространялся по Союзу -- Н.Н.Безруков), которая до на-
стоящего момента  является единственной  в Польше книжной публикацией по
компьютерной вирусологии.  Сейчас А.Кадлоф готовит ее переиздание. Далее
А.Кадлоф охарактеризовал  проблемы становления вирусологии в Польше, ко-
торые во многом аналогичны отечественным: в обеих странах получить госу-
дарственную поддержку для организации лаборатории весьма и весьма нелег-
ко. Что касается "польских" вирусов, то на сегодняшний момент к ним мож-
но отнести  только C-534.W13  Из разрабатываемых  антивирусных  программ
А.Кадлоф отметил известную у нас в стране программу Mks_vir Марка Селля,
Mapvir М.Филипяка и его собственную -- Paw. Между указанными специалиста-
ми налажено  тесное сотрудничество и обмен информацией. В частности, ими
начато создание "Банка информации о вирусах", а с декабря этого года из-
дательством Lurus  планируется издание  специального электронного бюлле-
теня -- PC Virus.

   Живую реакцию  аудитории вызвало  выступление Д.Н.Лозинского, который
рассказал о  возможностях текущей (на день выступления) версии Aidstest,
"выкусывающей" более  60 вирусов.  Докладчик дал  краткую характеристику
новых вирусах,  обнаруженных за последнее время, обратив внимание на по-
явление ряда отечественных компьютерных вирусов, которые, судя по всему,
написаны студентами. Интересно отметить, что один из этих вирусов, можно
рассматривать как  посвященный Д.Н.Лозинскому. Касаясь отечественных ви-
русов он, в частности, обвинил разработчиков отечественных вирусов в не-
компетентности. Вспоминая  судьбу хорошо известной фразы из документации
к его  программе Aidstest,  которую автор  вируса RCE-1600 воспринял как
"руководство к действию", и учитывая возможность присутствия в зале раз-
работчиков отечественных  вирусов, такое обвинение могло быть воспринято
кем-то слишком  близко к сердцу. По мнению автора, пусть уж разработчики
отечественных вирусов подольше остаются на существующем уровне.

   Участникам конференции были розданы две дискеты: одна с программами --
победителями конкурса  и вторая  с текстом  данной работы, которую из-за
трудностей с  бумагой не  удалось издать к началу конференции. Дискеты с
результатами конференции  комплектовались весьма  оперативно и некоторые
записанные на  них программы датированы предыдущими сутками: практически
все разработчики,  участвовавшие в  конкурсе привезли новые версии своих
программ, которые и были записаны на дискеты.

   Выступление представителя  ЦНКБ ВТ  ГКВТИ (недавно созданной государ-
ственной организации,  которой, по-видимому, будут выделены гос.средства
на программу  борьбы с  вирусами) В.А.Семенова  "Вирусная проблематика в
контексте задач  защиты от  несанкционированного доступа" было посвящено
общим вопросам  защиты информации. Отметив, что, поскольку его организа-
ция существует  сравнительно недавно  и конкретных  разработок ею еще не
выполнено, докладчик  подчеркнул, что методы и средства, предназначенные
для предупреждения  искажения, уничтожения и защиты от несанкционирован-
ного доступа, могут применяться и для защиты от вирусов.

   Второе заседание  конференции было весьма напряженным. Первый доклад,
прочитанный Иосифом  Карасиком, касался принципиальной неотличимости ви-
русов от  обычных программ.  На примере ОС Unix автор продемонстрировал,
что вирус  пользуется теми же средствами файловой системы, что и обычные
программы. Последовавшая  за докладом  дискуссия  показала,  что  многие
участники еще верят в существование "панацеи". Стоит дополнительно отме-
тить, что  с формальной точки зрения распознавание, заражена данная про-
грамма вирусом или нет, относится к NP-проблемам.

   Внеплановый доклад "Идентификация компьютерных вирусов" Анджея Кадло-
фа привлек  внимание, в  основном, разработчиков  антивирусных программ,
поскольку затрагивал достаточно специальные вопросы. Наиболее интересным
аспектом выступления  была предложенная автором схема различения штаммов
вирусов, однако  доклад по  такой тематике  очень сложно воспринимать на
слух, и  лишь немногие из сидевших в зале сумели уследить за ходом изло-
жения. Суть предложения А.Кадлофа состоит в создании так называемой схе-
мы вируса,  обеспечивающей возможность  однозначной классификации вируса
профессиональными исследователями.  Эта схема, которая, как следует под-
черкнуть, ориентирована только на профессиональных исследователей, вклю-
чает разделение  тела вируса на отдельные зоны (области) с определенными
свойствами. В  текущей версии своей классификационной схемы А.Кадлоф вы-
деляет области четырех типов:

   W-область -- рабочие  зоны вируса  (изменяющиеся от  копии  к  копии),
включая зоны самомодификации, буфера и т.д.;

   C-область -- постоянные данные, сообщения, музыка и т.д.;

   V-область -- всегда исполняемый код;

   G-область -- мертвый (никогда не исполняемый) код.

   Разделение тела вируса на области указанных типов позволяет создавать
частичные контрольные  суммы постоянных областей (С, V и G), что, по за-
мыслу автора,  обеспечивает точную  идентификацию любых  штаммов вируса.
Тем, кто  работал с дизассемблером Sourcer, это напоминает применяемую в
нем схему  разделения "код--данные"  с некоторыми уточнениями. Однако ис-
пользовать список  областей для  облегчения дизассемблирования  в рамках
данного предложения  нельзя, поскольку, например, W-области включают как
данные, так и исполняемый код. Этот недостаток можно устранить введением
дополнительных квалификаторов,  что, впрочем,  усложнит схему.  В то  же
время с  точки зрения  классификации методом  частичных контрольных сумм
предложенное разделение избыточно -- достаточно бинарного разделения типа
"изменяемые области"  -- "неизменяемые  области". Как отмечает сам автор,
метод неприменим  к вирусам, шифрующим свое тело (получается одна сплош-
ная W-область), хотя в простейших случаях "сплошной" шифровки тела виру-
са (RC-1701.CAS) классификацию можно вести на коде, полученном после его
расшифровки.

   Практическую направленность носили доклады Е.В.Касперского и Д.С.Кох-
манюка, посвященные  методике  работы  с  конкретными  инструментальными
средствами вирусолога. Приемы работы с ними и некоторые тонкие возможно-
сти вызвали  большой интерес  участников, владеющих  языком  ассемблера.
Можно сделать  вывод, что как дизассемблер Sourcer, так и отладчик Quaid
Analyzer (или  Periscope) являются профессиональными инструментами виру-
солога, и  уровень владения ними во многом определяет производительность
труда. В  ходе дискуссии были предложены дополнительные приемы использо-
вания указанных  средств, а  также инструментальные средства, повышающие
эффективность их использования (обработчик листинга Sourсer, возможность
использования редактора  Multi Edit  совместно с дизассемблером Sourcer,
как своего  рода интегрированной  среды и  др.). К сожалению, недостаток
места не дает возможности привести все высказанные идеи и замечания, од-
нако совершенно  ясно, что  доклады по данной тематике должны быть пред-
ставлены на следующей конференции более широко.

   В докладе  М.Ю.Круковского и др. был дан анализ структуры бутовых ви-
русов. Содержание  доклада во многом перекликалось с работами И.А.Свири-
дова (AVB),  Я.У.Гринфельдса (SysTest)  и А.В.  Сессы (VitaminB), однако
стиль изложения  почему-то акцентировал  личный вклад авторов. Возможно,
все изложенные в докладе выводы получены авторами самостоятельно, однако
игнорирование близких  работ, некоторые из которых были опубликованы ра-
нее (например,  AVB И.А.Свиридова), несколько снизило впечатление от до-
клада. Другим  недостатком было  отсутствие реализации излагаемых идей в
виде конкретной антивирусной программы.
   В докладе  И.А.Свиридова о  роли BBS в борьбе с вирусами было подчер-
кнуто, что,  применительно к  борьбе с  вирусами, BBS позволяют передать
для анализа  файл, получить результаты и разослать уведомление всем або-
нентам в  течении суток,  что существенно  сокращает время незамеченного
распространения нового  вируса. Тем самым снижается опасность достижения
количеством зараженных программ "критической массы", после которой можно
говорить об эпидемии.

   Доклад М.И.Цала примечателен тем, что посредине доклада погас свет. В
темноте докладчику  не удалось  определить современный уровень написания
вирусов, что, впрочем, неудивительно, так как для характеристики послед-
него больше  всего подходит  слово "разный". Следует также отметить, что
концепция "непрерывного усложнения" компьютерных вирусов, которую сейчас
многие пытаются  проповедовать, стремясь запугать пользователей, при де-
тальном разборе  не выдерживает  никакой критики.  Как показывает  опыт,
"качество" кода  вируса не  играет такой уж определяющей роли в его рас-
пространенности. Это  лишь один  из факторов.  Достаточно вспомнить RCE-
1813.IER (Иерусалимский  вирус) -- достаточно примитивный вирус, который,
тем не менее, и сейчас является, пожалуй, наиболее распространенным фай-
ловым вирусом  в мире.  Другим заблуждением  докладчика была  его вера в
возможность создания "панацеи" против любого вируса. Этот вопрос уже за-
трагивался применительно к докладу И.Ш.Карасика.

   К сожалению,  недостаток места не позволяет здесь рассказать обо всех
заседаниях. С  некоторыми из  докладов, сделанных  на других заседаниях,
можно будет  познакомиться в  трудах конференции, которые предполагается
выпустить в виде сборника.


                   1.3.3.3. Заключительное обращение
                      первой Всесоюзной конференции
               "Методы и средства защиты от компьютерных
                 вирусов в операционной системе MS DOS"

   На заключительном  заседании конференция  приняла обращение,  которое
представляет интерес  как первое  официальное упоминание о надвигающемся
советском вирусном  взрыве. Обращение  было  принято  единогласно  всеми
участниками конференции. Ниже следует текст обращения.


   Мы, представители различных республик и регионов, принявшие участие в
конференции, считаем необходимым привлечь внимание общественности страны
к проблеме компьютерных вирусов в СССР и отметить следующее:

   1. Компьютерные  вирусы, наряду  с троянскими  программами,  являются
опасными загрязнителями  информационной среды.  Поэтому борьбу с компью-
терными вирусами  следует рассматривать  как часть экологического движе-
ния. Как  и проблема  загрязнения природы, проблема компьютерных вирусов
уже вышла  за рамки  национальных границ. Локальное загрязнение какой-то
территории (например, Софии) почти всегда превращается в национальную, а
затем и  в международную проблему. Транснациональное распространение ви-
русов наносит значительный экономический ущерб.

   2. Проблема компьютерных вирусов носит долговременный характер. В на-
стоящее время для MS DOS существует несколько сотен компьютерных вирусов
и их  число продолжает  расти. Поэтому следует ожидать постепенного про-
никновения в  СССР большого  количества вирусов  разных классов, включая
стелс-вирусы.

   3. В  стране намечается "вирусный взрыв", аналогичный произошедшему в
Болгарии. Нарастающими  темпами происходит опасное вовлечение в деятель-
ность по  созданию вирусов студенческой молодежи в разных регионах стра-
ны. Без  принятия комплекса  мер противодействия  "вирусный взрыв" может
нанести  значительный   вред  отечественным  пользователям  персональных
компьютеров и экспорту отечественного программного обеспечения. Учитывая
характер деятельности  разработчиков компьютерных  вирусов,  конференция
рекомендует использовать  в литературе  для обозначения  этой  категории
компьютерных вандалов термин "техно-крыса", а также освещать их деятель-
ность, как имеющую явную антисоциальную направленность. В целях информи-
рования пользователей об основных приемах борьбы с компьютерными вируса-
ми, конференция  считает целесообразным издание монографии Н.Н.Безрукова
"Компьютерная вирусология" массовым тиражом.

   4. В  связи с  резким увеличением количества распространяющихся виру-
сов, первостепенное значение приобретает обмен информацией между пользо-
вателями и  координация усилий  между разработчиками  антивирусных  про-
грамм. Конференция  отмечает роль Киевского семинара "Системное програм-
мирование" и выпускаемого семинаром электронного бюллетеня Софтпанорама,
как неформального центра обмена информацией по данной проблеме. Посколь-
ку резкое  увеличение количества  компьютерных  вирусов  требует  нового
уровня координации между разработчиками антивирусных программ, конферен-
ция рекомендует руководителю семинара Н.Н.Безрукову продолжить работу по
организации обмена  информацией между разработчиками, координацию разра-
боток антивирусных  программ и  специального инструментария  для анализа
вирусов.

   5. Конференция отмечает, что низкий уровень развития телекоммуникаций
в нашей  стране является одним из факторов, способствующих распростране-
нию компьютерных  вирусов и призывает отменить двойной тариф за передачу
данных по  междугородним телефонным  линиям в  ночное время  и расширить
продажу модемов,  отменив на  год пошлину за их ввоз в СССР. Конференция
считает необходимым  создание бесплатной BBS, ориентированной на распро-
странение информации о новых вирусах и антивирусных программах для борь-
бы с  ними и  призывает государственные  и кооперативные  организации, а
также фонды оказать содействие в решении проблемы ее организации.

   6. В  сложившейся ситуации защита от компьютерных вирусов должна быть
многоуровневой, комплексной и включать хорошо отлаженную систему архиви-
рования. Конференция обращает внимание пользователей на целесообразность
налаживания сплошного входного контроля и исследования поступающего про-
граммного обеспечения.

   7. Учитывая роль пиратских копий в распространении компьютерных виру-
сов, конференция призывает ускорить введение законов, обеспечивающих ох-
рану авторских прав на программное обеспечение.

   8. Конференция отмечает важность совершенствования действующего зако-
нодательства с  целью обеспечения  возможности привлечения к администра-
тивной или уголовной ответственности разработчиков отечественных компью-
терных вирусов.

   9. Для  предотвращения растрачивания государственных средств на доро-
гостоящие и  неэффективные проекты  конференция призывает выделять фина-
нсирование по  данной тематике только на конкурсной основе, в виде гран-
тов проявившим себя исследователям и коллективам, субсидирования конкур-
сов антивирусных программ и BBS.

   10. Признать целесообразным организацию в 1991 г. очередной конферен-
ции по  данной проблеме.  Создать подготовительный  комитет  конференции
ANTIVIR-91 в  составе Н.Н.Безрукова,  Е.В.Касперского, Д.Н.Лозинского  и
Е.Н.Сусликова. Организовать  совещание подготовительного комитета в фев-
рале 1991 г.,  на котором  определить дату  и место проведения очередной
конференции, а также опубликовать информационное сообщение в электронном
бюллетене Софтпанорама.

   11. Учитывая  установленные на  конференции личные контакты, признать
целесообразным налаживание  связей с болгарскими и польскими вирусолога-
ми, систематический  обмен информацией и специалистами по данной пробле-
ме.

   Киев, 17 ноября 1990 г.


                1.3.3.4. Результаты второго Всесоюзного
                    конкурса антивирусных программ,
                       распространяемых бесплатно

   В ходе  конференции был проведен второй Всесоюзный конкурс антивирус-
ных программ, распространяемых бесплатно. Как и сама конференция, он фи-
нансировался Авиацентром  НТТМ (г.Киев). Общий размер премиального фонда
второго конкурса  составил около  10 тыс.  рублей. Конкурс  проводился в
трех классах  программ: фаги (программы, "выкусывающие" компьютерные ви-
русы из  зараженных программ), детекторы (программы, определяющие, зара-
жена ли  программа тем  или иным  компьютерным вирусом) и ревизоры (про-
граммы, определяющие,  внесены ли какие-либо изменения в текст программы
или нет),  вакцины (программы,  делающие компьютер в целом или отдельные
программы невосприимчивыми к тому или иному типу компьютерного вируса) и
сторожа (программы, выявляющие попытки выполнить "незаконные" операции с
файлами).

   Для победителей  были установлены следующие премии: по классу фагов I
премия -- 1500 руб., II -- 900 руб., III -- 600 руб; по классу детекторов и
ревизоров: I премия -- 1200 руб., II -- 750 руб., III -- 450 руб.; по клас-
су вакцин  и фильтров:  I премия  -- 1200 руб.,  II  --  750 руб.,  III  --
450 руб. Кроме  того, было  установлено несколько специальных премий: за
лучшие студенческие  работы в  каждом классе  программ  (три  премии  по
300 руб. каждая)  и премия  за наиболее  популярный антивирусный продукт
(500 руб.). Специальные  премии были  также установлены рядом совместных
предприятий (Диалог, Новинтех, Интерюнити).

   В классе  фагов первое  место присуждено  программе SOS Е.Н.Сусликова
(Кемерово), второе место -- программе -V E.В.Касперского (Москва), третье
место --  программе SysTest Я.У.Гринфельдса (Рига). В классе детекторов и
ревизоров первое место присуждено детектору с возможностью эвристическо-
го поиска  вирусов LD  Е.Н.Сусликова (Кемерово),  второе -- ревизору DINF
Д.Ю.Мостового (Москва), третье -- контекстному детектору VL А.Л.Шеховцова
(Киев). В  классе сторожей и вакцин первое место присуждено резидентному
сторожу MVT  М.Х.Купчса (Рига),  второе -- вакцине против бутовых вирусов
VitaminB A.В.Ceccы  (Днепропетровск), третье место -- резидентной вакцине
против файловых вирусов NeatVac В.В.Пономаренко (Киев).

   Специальная премия  Киевского филиала СП Новинтех присуждена И.А.Сви-
ридову (Киев)  за первую реализацию и опубликование универсального реви-
зора-фага против  бутовых вирусов AVB. Специальная премия журнала Интер-
компьютер присуждена Е.В.Касперскому за детектор -D3, обладающий возмож-
ностями анализа  выявленного вируса.  Специальные премии студентам, уча-
ствовавшим в  конкурсе, получили  И.В.Сысоев -- студент Технического Уни-
верситета им.  Баумана и  И.M.Двоеглазов, окончивший в этом году КГУ. И,
наконец, самой популярной антивирусной программой была признана програм-
ма Aidstest Д.Н.Лозинского (Москва).


                     1.3.4. Колхоз им. Герострата,
                      или советский вирусный взрыв

                                       "Скоро ваши рыжие кудри, Шура,
                                       примелькаются, и вас начнут бить"
                                                       И.Ильф и Е.Петров

   Количество персональных  компьютеров в СССР уже начинает приближаться
к миллиону. Конечно, до США, где количество персональных компьютеров со-
поставимо с  количеством телефонных аппаратов, нам еще очень и очень да-
леко, однако  и такое  количество уже представляет собой "закритическую"
массу для  создания и  распространения компьютерных  вирусов собственной
разработки. Поэтому  неудивительно, что  в этом  году появились файловые
вирусы "местного производства".

   Как известно,  в 1990 г.  мировым лидером в области разработки и рас-
пространения файловых  вирусов являлась Болгария. В частности, в 1990 г.
было выявлено  более полсотни вирусов, имеющих болгарское происхождение,
причем значительная  часть из них была обнаружена непосредственно на за-
раженных программах  в компьютерах.  Как уже указывалось, некоторые бол-
гарские вирусы,  например RCE-1800  (Eddie), вызвали настоящие эпидемии.
Социально-экономические условия СССР и Болгарии достаточно близки, а су-
ществовавшее значительное отставание в распространении персональных ком-
пьютеров сейчас  несколько сократилось. Поэтому потенциально взрывоопас-
ная ситуация,  когда многие способные программисты не находят применения
своим способностям, в сочетании с низкой правовой культурой и отсутстви-
ем законов,  позволяющих привлекать  авторов вирусов  к уголовной ответ-
ственности, сейчас  имеет место не только в Болгарии, но и в СССР. В на-
стоящее время  можно констатировать  начало советского вирусного взрыва,
причем советские  техно-крысы отличаются от болгарских не только количе-
ством, но и большей склонностью к вандализму.

   Если наметившаяся тенденция сохранится, то к концу 1991 г. СССP может
выйти на первое место среди стран-разработчиков вирусов, "оттеснив" Бол-
гарию. Тем самым будет существенно подорван наш шанс на выход на мировой
рынок программного  обеспечения. Уже сейчас можно назвать порядка десяти
городов СССР, в которых велась или ведется разработка компьютерных виру-
сов (вирусы,  место разработки  которых неизвестно,  но которые содержат
тексты на  кириллице или  русские слова, транслитерированные в латиницу,
обозначены "?";  вирусы, обнаруженные  в СССР, но не описанные в версиях
Virus Summary  List Патриции Хоффман, доступных на момент написания дан-
ной работы,  и которые с этой позиции можно отнести к разработанным оте-
чественными техно-крысами  -- "??";  вирусы, которые скорее всего не были
разработаны в СССР -- "???"):

   Москва: C-273.MGT (MGTU), CE-554.MST (MSTU), RC-830.MLT (MLTI);

   Воронеж: RC-529.VOR, RC-600.VOR, RCE-1600.VOR, RC-370.VOR;

   Киев (?): группа Words -- RCE-1069.WRD, RCE-1387.WRD, RCE-1085.WRD;

   Магнитогорск: RCE-2048.MGN, RCE-2560a.MGN, RCE-2560b.MGN;

   Нижний Новгород: группа SVC -- RCE-1689.SVC (SVC 4) и др.;

   Свердловск (?): группа "Гимн" -- RCE-1865.HMN, RCE-1962.HMN (VS), RCE-
2144.HMN (VS2);

   Кемерово (?): С-257.KEM;

   Минск (?): RCE-1075.MSK;

   Рига (?): С-448.KUK (Kuku);

   ?: C-1004.BEB (Bebe),  группа вирусов,  направленных против программы
Aidstest -- RC-1023.LOZ, RC-1018.LOZ, RC-915.LOZ и др.;

   ??: RC-417.FU (Fuck),  RC-482.MIR (Mirror),  RC-696, RC-699,  RC-707,
RE-905, RCE-948,  RCE-1024.WSH  (Best  Wishes),  RCE-1049,    RC-394.ATN
(Attention), RCE-1150,  RC-948, RC-696;

   ???: RCE-2458.VIC (Victor), RC-488.LCH (Lovechild).

   Первые три вируса отечественной разработки написаны в Воронеже, и со-
ответствующий член  колхоза им. Герострата известен в кругах вирусологов
как "Воронежский пакостник". Интересно отметить, что эта техно-крыса ра-
ботает в паре со своим отцом, специализирующимся на распространении "вы-
ращенных" вирусов.  Вот уж, действительно, ...яблоко от яблони ... Вирус
RCE-2458 "живьем"  пока не  попадался и,  возможно, разработан кем-то из
иммигрантов. К  особенностям советского  вирусного взрыва  можно отнести
наличие сравнительно  большого числа вирусов-вандалов, что, по-видимому,
связано с  низким уровнем культуры в студенческой среде (уровень написа-
ния вирусов  свидетельствует о  том, что их авторы скорее всего являются
студентами, только  начавшими осваивать программирование на языке ассем-
блера или имеющими опыт программирования менее года).

   Учитывая предупреждение  Томпсона, высказанное  им в  его  знаменитой
Тьюринговской лекции,  автор призывает продуманно подходить к упоминанию
фамилий разработчиков  вируса в  антивирусных программах, документации к
ним и публикациях на данную тему. Незачем создавать рекламу, по сути идя
на поводу у какого-то молодого балбеса или ущербной личности, страдающей
от чувства  собственной неполноценности и не способной найти своим огра-
ниченным способностям конструктивное применение.


                      1.3.5. Проблема самоизоляции

                                                   "Не так страшен черт,
                                                    как его малюют"
                                                               Пословица

   Основная проблема для пользователей ПЭВМ, возникающая в связи с появ-
лением компьютерных  вирусов, состоит в том, как защитить свои программы
и данные,  не прибегая к самоизоляции. Практика показывает, что эта про-
блема вполне разрешима. Как и против биологических вирусов, для борьбы с
компьютерными вирусами  может применяться  целый комплекс  мер: техниче-
ские, организационные, юридические. Поэтому наблюдаемая иногда тенденция
к самоизоляции  представляется автору  совершенно  неоправданной.  Такое
"сверхреагирование" в условиях нашей страны практически равносильно доб-
ровольному отказу от возможностей хоть как-то улучшить условия своей ра-
боты и  повысить ее производительность. Учитывая недоступность для боль-
шинства программистов  "фирменных" программных  продуктов,  оригинальных
иностранных журналов,  национальных сетей -- всего того, что является по-
вседневностью для программиста в США и Западной Европе, обмен информаци-
ей на  дискетах является, по сути, единственным способом получить инфор-
мацию и немного поднять собственный уровень.

   Потери данных  в результате разрушительного действия компьютерных ви-
русов в  настоящее время довольно редки и по частоте не превосходят слу-
чаев потерь данных из-за неисправности оборудования. Большинство случаев
заражения программного  обеспечения компьютерными вирусами, отмеченных к
этому времени, связаны с отсутствием входного контроля поступающего про-
граммного обеспечения.  Наиболее  серьезные  потери  данных  связаны  не
столько с  разрушительными вирусами, сколько с отсутствием систематичес-
кого архивирования.  Те, кто  наивно надеется, что все данные можно хра-
нить на  винчестере, не  утруждая себя ведением архива на дискетах, рано
или поздно убедятся, что "были глубоко неправы".

    В  то же время сама возможность попасть под разрушительную атаку ви-
руса вызывает вполне понятную тревогу. Хотя при наличии четко поставлен-
ного входного  контроля шансы пока невелики, но они, к сожалению, увели-
чиваются по мере проникновения в страну новых типов и разновидностей ви-
русов. Кроме  того, каждый понимает, что такой атаке можно подвергнуться
в самый неподходящий момент. Это беспокойство имеет свои положительные и
отрицательные стороны.  Отрицательной стороной является то, что оно тол-
кает пользователей  к самоизоляции,  когда они  начинают бояться брать и
пробовать интересующие  их программы,  хотя, как  уже отмечалось выше, в
наших условиях такой обмен информацией является основным методом повыше-
ния собственной  производительности. Положительно  то, что  пользователи
начинают уделять  адекватное внимание созданию архивных копий своих дан-
ных, а также методам повышения надежности их хранения. Следует отметить,
что, хотя  потеря содержимого  винчестера способствует быстрой выработке
привычки архивировать данные, это вряд ли можно называть приемлемым спо-
собом воспитания  такой привычки и ее лучше прибрести заблаговременно. В
любом случае  следует трезво  оценивать опасность: переоценка не намного
лучше, чем недооценка.


                 1.3.6. Осторожно! Газетные публикации

   До начала  1991 г. центральные советские газеты практически игнориро-
вали данную  проблему и  в них лишь изредка проскальзывали отдельные за-
метки, посвященные зарубежным компьютерным вирусам, вряд ли привлекавшие
внимание читателей. Однако в начале 1991 г. сразу две центральные газеты
опубликовали материалы, посвященные проблеме компьютерных вирусов, кото-
рые, к сожалению, содержали сомнительные, а то и просто неверные матери-
алы. Так,  в газете Известия [Известия91] была опубликована подборка ма-
териалов под общим названием "Черный мститель неуловим". Из трех опубли-
кованных в  этой подборке  (которую, кстати,  более  правильно  было  бы
назвать  "Уверовавший   в  свою   безнаказанность  болгарский   технопат
терроризирует пользователей  всего мира")  заметок, первые две явно дез-
ориентируют читателей.  Так, в первой заметке корреспондент В.Надеин пи-
шет из Вашингтона:

   "... Именно  в Болгарии примерно два года назад был создан знаменитый
компьютерный вирус  "Черный мститель",  против которого  не могут  найти
действенного противоядия ни в одной из развитых стран."

   "... Попытки  американских ученых войти в контакт с создателями "чер-
ного мстителя" для того, чтобы совместными усилиями выработать меры про-
тивоядия, пока  не привели  к успеху. Любомир Матеев, которому сейчас 23
года, сказал, что он минувшей осенью принимал участие в изобретении это-
го вируса,  однако ничем сейчас помочь не может, поскольку тот "вырвался
из-под влияния" своих творцов."

   Современную вариацию  на тему средневекового убеждения о том, что бо-
лезнь является  наказанием человека  за грехи,  предлагает читателям  во
второй заметке корреспондент Известий в Болгарии А.Капралов:

   "...Как считает  Август Стоянов, который посвятил этой проблеме целое
философское эссе, основные виновники распространения вирусов -- неразбор-
чивые потребители,  которые используют нефирменные программные продукты.
Вирус, считает  А.Стоянов, -- заслуженное наказание для тех, кто присваи-
вает чужую интеллектуальную собственность."

   Однако наибольший вред, по-видимому, нанесла публикация в "Комсомоль-
ской правде"  интервью с  А.A.Чижовым под  названием "Мне было интересно
попробовать" с  сенсационным подзаголовком  "Интервью с  человеком,  за-
разившим Москву  компьютерным вирусом".  Содержание  интервью,  учитывая
круг читателей  данной газеты,  можно в известной мере расценить как ре-
кламу техно-крыс.  Впрочем, читатель может сам оценить содержание публи-
кации по приводимой ниже цитате:

   "Создание вируса  требует от программиста высокой квалификации, и мне
было интересно себя попробовать. А кроме того, я знал, что мои программы
копируются (разумеется,  без моего  ведома) и "гуляют" по всей Москве. Я
не собирался  таким вот  жестоким способом наказать попирающих авторские
права --  мне просто было интересно узнать масштабы копирования... (непо-
нятно, как,  распространяя, вирус  можно оценить масштабы копирования? --
Н.Н.Безруков). Вирус прожил ровно год, никакого вреда не причинил -- ведь
представлял собой лишь опознавательную метку, с помощью которой, включив
компьютер, я видел, заражен он или нет.

   Примерно через  полгода после запуска вируса я обнаружил его в каждом
втором из проверенных мною компьютеров."

   Неудивительно, если прочитав такую публикацию, некоторые студенты ре-
шат, что им тоже "интересно себя попробовать", и начнут писать вирусы.

   Говорят, на  Западе изредка  практикуется способ, когда репортер, до-
пустивший в  своей публикации  значительные передержки, публично съедает
свою статью, покрошенную в борщ. Было бы неплохо ввести подобное правило
и для советских журналистов, освещающих "вирусную тематику".

   Конечно, это  не только  и не  столько проблема  газет "Известия" или
"Комсомольская правда"  -- это  проблема всей нашей прессы. Журналисты не
пользуются компьютерами  в повседневной работе и относятся к связанным с
ними проблемам  как к  экзотической сфере,  в которой им трудно отличить
фантастику от  действительности. Если сравнивать с американской прессой,
то в  ведущих американских  газетах информация  о проблемах, связанных с
использованием персональных компьютеров, дается почти столь же подробно,
как репортажи  по популярным видам спорта. Например, не только известный
случай вируса  Морриса, но и перипетии борьбы за рынок четырехмегабитных
чипов освещались  в американских  газетах как  важнейший экономический и
политический процесс.


 


