Аппаратно-программные средства и методы защиты информации. Варлатая С.К - 198 стр.

     Файловый транзитный вирус целиком размещается в исполняемом файле,
в связи с чем он активизируется только в случае активизации вирусоносителя, а
по   выполнении   необходимых     действий      возвращает     управление   самой
программе. При этом выбор очередного файла для заражения осуществляется
вирусом посредством поиска по каталогу. Файловый резидентный вирус
отличается от нерезидентного логической структурой и общим алгоритмом
функционирования.    Резидентный     вирус      состоит   из    так   называемого
инсталлятора и программ обработки прерываний. Инсталлятор получает
управление при активизации вирусоносителя и инфицирует оперативную
память путем размещения в ней управляющей части вируса и замены адресов в
элементах вектора прерываний на адреса своих программ, обрабатывающих эти
прерывания. На так называемой фазе слежения, следующей за описанной фазой
инсталляции, при возникновении какого-либо прерывания управление получает
соответствующая подпрограмма вируса. В связи с существенно более
универсальной по сравнению с нерезидентными вирусами общей схемой
функционирования, резидентные вирусы могут реализовывать самые разные
способы инфицирования.
     Наиболее распространенными способами являются инфицирование
запускаемых программ, а также файлов при их открытии или чтении.
Отличительной     особенностью      последних       является      инфицирование
загрузочного сектора (бут-сектора) магнитного носителя. Голова бутового
вируса всегда находится в бут-секторе (единственном для гибких дисков и
одном из двух - для жестких), а хвост - в любой другой области носителя.
Наиболее безопасным для вируса способом считается размещение хвоста в так
называемых псевдосбойных кластерах, логически исключенных из числа
доступных для использования.
     Существенно, что хвост бутового вируса всегда содержит копию
оригинального     (исходного)    бут-сектора.      Механизм       инфицирования,
реализуемый бутовыми вирусами, например, при загрузке MS DOS, таков. При
загрузке операционной системы с инфицированного диска вирус, в силу своего

                                     198