Как работает загрузочно-файловый вирус: схема заражения

11

Загрузочно-файловый вирус работает по двойной схеме: он одновременно поражает загрузочные области диска и исполняемые файлы. Это его главное отличие от «обычных» вирусов, которые выбирают только один способ атаки. Такой гибрид опаснее — он использует два канала заражения сразу, и убрать его сложнее, чем вирус одного типа.

Заражение загрузочного сектора при старте компьютера

Первый механизм связан с загрузкой системы. Когда компьютер включается, процессор считывает код из загрузочного сектора диска — это происходит до старта операционной системы. Если сектор заражён, вредоносный код выполняется первым, раньше любых антивирусных проверок и системных служб.

Вирус внедряется в загрузочную область именно в этот момент. Он перехватывает управление, прописывает себя в память и только потом передаёт управление дальше — настоящей загрузочной записи или операционной системе. Пользователь при этом не замечает ничего подозрительного: компьютер загружается как обычно, просто вместе с системой в память попадает и вирусный код.

Ещё по теме: Hosts suspicious URL — что это за вирус и опасно ли это.

Что происходит при запуске заражённого файла

Второй механизм включается позже, когда пользователь запускает заражённую программу. Вирус получает управление в момент старта исполняемого файла — то есть срабатывает не при загрузке системы, а при обращении к конкретному файлу.

Дальше сценарий похож: код вируса выполняется первым, до основной логики программы, а затем передаёт управление настоящему приложению. Внешне всё выглядит нормально — программа открывается и работает. Но за это время вирус уже успел закрепиться и подготовить дальнейшее распространение.

Два пути распространения — почему это опаснее

Ключевая особенность загрузочно-файлового вируса — сочетание обоих механизмов в одном коде. Он способен распространяться через носители (заражая загрузочные секторы съёмных дисков и других носителей) и через файлы одновременно.

Из этого вытекает практическая проблема: закрыть только один канал заражения не поможет. Если очистить исполняемые файлы, но не тронуть загрузочную область — вирус вернётся при следующей загрузке. И наоборот: вычистить загрузочный сектор, оставив заражённые программы, тоже бессмысленно — при первом же запуске такой программы вирус активируется снова.

По сути, вирус ведёт себя как два разных вредоносных объекта, упакованных в один. Это усложняет и обнаружение, и лечение — антивирусной программе нужно проверять оба типа объектов, а не один.

Почему схема из двух механизмов делает вирус живучим

Загрузочная часть кода срабатывает раньше операционной системы — а значит, раньше большинства защитных механизмов. Файловая часть, наоборот, действует внутри уже загруженной системы и маскируется под обычный запуск программы.

Такое разделение задач даёт вирусу запас прочности: если один механизм по какой-то причине не сработал (например, носитель не использовался для загрузки), у вируса остаётся второй путь — через файлы. Именно поэтому загрузочно-файловые вирусы считались одной из самых устойчивых категорий вредоносного кода в свою эпоху.

Сравнение типов вирусов по механизму заражения

Вопросы про схему работы загрузочно-файловых вирусов

Может ли такой вирус заразить компьютер без запуска файлов?

Да. Достаточно, чтобы заражённый носитель участвовал в загрузке — вирус внедрится в загрузочный сектор ещё до того, как пользователь откроет хоть одну программу. Файловая часть механизма подключится позже, при первом запуске исполняемого файла.

Почему лечение только файлов не убирает вирус полностью?

Потому что второй механизм — загрузочный — остаётся нетронутым. Вирус пропишет себя обратно в файлы при следующей загрузке системы с заражённого сектора. Нужно устранять оба очага заражения, а не один.

Чем такой вирус отличается от обычного файлового?

Обычный файловый вирус ждёт запуска программы и активируется только через неё. Загрузочно-файловый добавляет второй, более ранний путь — заражение через загрузочную область, которое срабатывает ещё при включении компьютера, независимо от того, какие программы запускал пользователь.

Может ли вирус распространяться, если компьютер не загружался с заражённого носителя?

Да — через файловый механизм. Если заражённая программа была скопирована и запущена на другом компьютере, вирус получит управление в момент её старта и продолжит распространение уже там, независимо от того, участвовал ли этот носитель в загрузке системы.

Читайте также

• 360 Total Security — вирус или нет: разбираем ситуацию
• Как проверить на вирусы компьютер, телефон или флешку
• Как удалить вирус с телефона или компьютера
• Как сделать загрузочную флешку: пошагово для установки Windows