Совершенствовать исследовательскую и собственную информационную культуру.
Мое исследование состоит из двух глав.
В первой главе освещаются теоретические вопросы. А во второй главе - технологический процесс защиты персональных компьютеров от вирусов, состоящих из двух взаимосвязанных шагов: обнаружение компьютерного вируса и его лечение.
1. Теоретические основы компьютерной вирусологии
.1 Понятие «Компьютерный вирус»
Компьютерный вирус - это специально написанная небольшая по размерам программа, которая может «приписывать» себя к другим программам (т.е. «заражать» их), а также выполнять нежелательные различные действия на компьютере. Программа, внутри которой находится вирус, называется «заражённой». Когда такая программа начинает работу, то сначала управление получает вирус. Вирус находит и «заражает» другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения файлов на диске, «засоряет» оперативную память и т.д.).
Для маскировки вируса, действия по заражению других программ и нанесению вреда могут выполняться не всегда, а скажем, при выполнении определённых условий. После того, как вирус выполнит нужные ему действия, он передаёт управление той программе, в которой он находится, и она работает так же, как обычная. Тем самым внешне работа заражённой программы выглядит так же, как и не заражённой.
Многие разновидности вирусов устроены так, что при запуске заражённой программы вирус остаётся резидентно, то есть до перезагрузки DOS, в памяти компьютера и время от времени заражает программы и выполняет вредные действия на компьютере.
Следует заметить, что тексты программ и документов, информационные файлы без данных, таблицы, табличные процессоры и другие аналогичные файлы не могут быть заражены вирусом, он может их только испортить.
1.2 История компьютерной вирусологии и причины появления вирусов
История компьютерной вирусологии представляется сегодня постоянной «гонкой за лидером», причём, не смотря на всю мощь современных антивирусных программ, лидерами являются именно вирусы.
О появлении первого компьютерного вируса много разных мнений. Доподлинно только известно, что на машине Чарльза Бэббиджа, считающегося изобретателем первого компьютера, его не было, а на Univax 1108 и IBM 360/370, в середине 1970-х годов они уже были. Интересно, что идея компьютерных вирусов появилась намного раньше самих персональных компьютеров. Точкой отсчёта можно считать труды известного учёного Джона фон Неймана по изучению самовоспроизводящихся математических автоматов, о которых стало известно в 1940-х годах. В 1951 году он предложил способ создания таких автоматов. А в 1959 году журнал Scientific American опубликовал статью Л.С.Пенроуза, посвящённую самовоспроизводящимся механическим структурам. В ней была описана простейшая двумерная модель самовоспроизводящихся механических структур, способных к активации, размножению, мутациям, захвату. Позднее другой учёный Ф.Ж.Шталь реализовал данную модель на практике с помощью машинного кода на IBM 650.
Среди тысяч вирусов лишь несколько десятков являются оригинальными разработками, использующими действительно принципиальные идеи. Все остальные - «вариации на тему». Но каждая оригинальная разработка заставляет создателей антивирусов приспосабливаться к новым условиям, догонять вирусную технологию. Но последнее можно оспорить. Например, в 1989 году американский студент сумел создать вирус, который вывел из строя около 6000 компьютеров Министерства обороны США. Или примером может быть эпидемия известного вируса Dir-II, разразившаяся в 1991 году. Вирус использовал действительно оригинальную, принципиально новую технологию и на первых порах сумел широко распространиться за счёт несовершенства традиционных антивирусных средств.
Или всплеск компьютерных вирусов в Великобритании: Кристоферу Пайну удалось создать вирусы Pathogen и Queeq, а также вирус Smeg. Именно последний был самым опасным, его можно было накладывать на первые два вируса, и из-за этого после каждого прогона программы они меняли конфигурацию. Поэтому их было невозможно уничтожить. Чтобы распространить вирусы, Пайн скопировал компьютерные игры и программы, заразил их, а затем отправил обратно в сеть. Пользователи загружали в свои компьютеры, заражённые программы и инфицировали диски. Ситуация усугубилась тем, что Пайн умудрился занести вирусы и в программу, которая с ними борется. Запустив её, пользователи вместо уничтожения вирусов уничтожили файлы множества фирм, убытки составили миллионы фунтов стерлингов. Широкую известность получил американский программист Моррис. Он известен как создатель вируса, который в ноябре 1988 года заразил порядка 7000 персональных компьютеров, подключённых к Internet.
Причины появления и распространения компьютерных вирусов, с одной стороны, скрываются в психологии человеческой личности и её теневых сторонах (зависти, мести, тщеславии непризнанных творцов, невозможности конструктивно применить свои способности), с другой стороны, обусловлены отсутствием аппаратных средств защиты и противодействия со стороны операционной системы персонального компьютера.
1.3 Компьютерные вирусы, их свойства и классификация
.3.1 Свойства компьютерных вирусов
Сейчас применяются персональные компьютеры, в которых пользователь имеет свободный доступ ко всем ресурсам машины. Именно это открыло возможность для опасности, которая получила название компьютерного вируса. Что такое компьютерный вирус? Формальное определение этого понятия до сих пор не придумано, и есть серьёзные сомнения, что оно вообще может быть дано. Многочисленные попытки дать «современное» определение вируса не привели к успеху. Чтобы почувствовать всю сложность проблемы, попробуйте, к примеру, дать определение понятия «редактор». Вы либо придумаете нечто очень общее, либо начнёте перечислять все известные типы редакторов. И то, и другое вряд ли можно считать приемлемым. Поэтому мы ограничимся рассмотрением некоторых свойств компьютерных вирусов, которые позволяют говорить о них как о некотором классе программ.
Прежде всего, вирус - это программа. Такое простое утверждение само по себе способно развеять множество легенд о необыкновенных возможностях компьютерных вирусов. Вирус может перевернуть изображение на вашем мониторе, но не может перевернуть сам монитор. К легендам о вирусах-убийцах, «уничтожающих операторов посредством вывода на экран смертельной цветовой гаммы 25-м кадром» также не стоит относиться серьёзно. К сожалению, некоторые авторитетные издания время от времени публикуют «самые свежие новости с компьютерных фронтов», которые, при ближайшем рассмотрении оказываются следствием не вполне ясного понимания предмета.
Вирус - программа, обладающая способностью к самовоспроизведению. Такая способность является единственным средством, присущим всем типам вирусов. Но не только вирусы способны к самовоспроизведению. Любая операционная система и ещё множество программ способны создавать собственные копии. Копии же вируса не только не обязаны полностью совпадать с оригиналом, но, и могут вообще с ним не совпадать!!!
Вирус не может существовать в «полной изоляции»: сегодня нельзя представить себе вирус, который не использует код других программ, информацию о файловой структуре или даже просто имена других программ. Причина понятна: вирус должен каким-нибудь способом обеспечит передачу себе управления.
1.3.2 Классификация вирусов
В настоящее время известно более 5000 программных вирусов, их можно классифицировать по следующим признакам:
среде обитания;
способу заражения среды обитания;
воздействию;
особенностям алгоритма.
В зависимости от среды обитания вирусы можно разделить на сетевые, файловые, файлово - загрузочные, полиморфные, макровирусы и загрузочные. Сетевые вирусы распространяются по различным компьютерным сетям. Файловые вирусы внедряются главным образом в исполняемые модули, то есть в файлы, имеющие расширение COM и EXE. Файлово-загрузочные вирусы могут внедряться в другие виды файлов, но, как правило, записанные в таких файлах, они никогда не получают управление и, следовательно, теряют способность к размножению. Полиморфные вирусы - это вирусы, модифицирующие свой код в заражённых программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите. Макро - вирусы являются программами на языках, встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.д.). Загрузочные вирусы внедряются в загрузочный сектор диска или в сектор, содержащий программу загрузки системного диска.
По способу заражения вирусы делятся на резидентные и нерезидентные. Резидентный вирус при заражении компьютера оставляет в оперативной памяти свою резидентную часть, которая потом перехватывает обращение операционной системы к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.
По степени воздействия вируса можно разделить на следующие виды:
неопасные, не мешающие работе компьютера, но уменьшающие объём свободной памяти и памяти на дисках, действия таких вирусов проявляются в каких-либо графических или звуковых эффектах;
опасные вирусы, которые могут привести к различным нарушениям в работе компьютера;
очень опасные, воздействие которых может привести к потере программ, уничтожению данных, стиранию информации в системных областях диска.
По особенностям алгоритма вирусы трудно классифицировать из-за большого разнообразия. Простейшие вирусы - паразитические, они изменяют содержимое файлов и секторов диска и могут быть достаточно легко обнаружены и уничтожены. Можно отметить вирусы - репликаторы, называемые червями, которые распространяются по компьютерным сетям, вычисляют адреса сетевых компьютеров и записывают по этим адресам свои копии. Известны вирусы-невидимки, называемые стелс - вирусами, которые очень трудно обнаружить и обезвредить, так как они перехватывают обращение операционной системы к поражённым файлом и секторам дисков и подставляют вместо своего тела незаражённые участки диска. Наиболее трудно обнаружить вирусы - мутанты, содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов. Имеются и так называемые квазивирусные или «троянские» программы, которые хотя и не способны к самораспространению, но очень опасны, так как, маскируясь под полезную программу, разрушают загрузочный сектор и файловую структуру диска.1.4. Основные виды вирусов и схемы их функционирования
1.4.1 Загрузочные вирусы
Что происходит, когда вы включаете компьютер? Первым делом управление передаётся программе начальной загрузке, которая хранится в постоянно запоминающем устройстве (ПЗУ), то есть ПНЗ ПЗУ.
Эта программа тестирует оборудование и при успешном завершении проверок пытается найти дискету в дисководе А.
Всякая дискета размечена на секторы и дорожки. Секторы объединяются в классы, но это для нас не существенно.
Среди секторов есть несколько служебных, используемых операционной системой для собственных нужд (в этих секторах не могут размещаться ваши данные). Среди служебных секторов нас пока интересует один - сектор начальной загрузки.
В секторе начальной загрузки хранится информация о дискете - количество поверхностей, количество дорожек, количество секторов и пр. Но нас сейчас интересует не эта информация, а небольшая программа начальной загрузки (ПНЗ), которая должна загрузить саму операционную систему и передать ей управление.
Таким образом, нормальная схема начальной загрузки следующая:
ПНЗ (ПЗУ) ПНЗ (диск) СИСТЕМА
Теперь рассмотрим вирус. В загрузочных вирусах выделяются две части- т.н. голову и т.н. хвост. Хвост, вообще говоря, может быть пустым.
Пусть у вас имеются чистая дискета и вирус, под которым мы понимаем компьютер с активным резидентным вирусом. Как только этот вирус обнаружит, что в дисководе появилась подходящая жертва - в нашем случае незащищённая от записи и ещё незаражённая дискета, он приступает к заражению. Заражая дискету, вирус производит следующие действия.
выделяет некоторую область диска и помечает её как недоступную операционной системе, это можно сделать по-разному, в простейшем и традиционном случае занятые вирусом секторы помечаются как сбойные;
копирует в выделенную область диска свой хвост и оригинальный загрузочный сектор;
замещает программу начальной загрузки в загрузочном секторе своей головой;
организует цепочку передачи управления согласно схеме.
Таким образом, голова вируса теперь первой получает управление, вирус устанавливается в память и передаёт управление оригинальному загрузочному сектору. В цепочке:
ПНЗ (ПЗУ) ПНЗ (диск) СИСТЕМА
Появляется новое звено:
ПНЗ (ПЗУ) ВИРУСПНЗ (диск) СИСТЕМА
Мораль ясна: никогда не оставляйте (случайно) дискету в дисководе А. Мы рассмотрели схему функционирования простого бутового вируса, живущего в загрузочных секторах дискет. Как правило, вирусы способны заражать не только загрузочные секторы дискет, но и загрузочные секторы винчестеров. При этом в отличие от дискет, на винчестере имеются два типа загрузочных секторов, содержащих программы начальной загрузки, которые получают управление. При загрузке компьютера с винчестера первой берёт на себя управление программа начальной загрузки в MBR (Master Boot Record - главная загрузочная запись). Если ваш жёсткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочный. Программа начальной загрузки в MBR находит загрузочный раздел винчестера и передаёт управление на программу начальной загрузки этого раздела. Код последней совпадает с кодом программы начальной загрузки, содержащейся на обычных дискетах, соответствующие загрузочные секторы отличаются только таблицами параметров. Таким образом, на винчестере имеются два объекта атаки загрузочных вирусов - программа начальной загрузки в MBR и программы начальной загрузки в бут - секторе загрузочного диска.
1.4.2 Файловые вирусы
Рассмотрим теперь схему работы простого файлового вируса. В отличие от загрузочных вирусов, которые практически всегда резидентны, файловые вирусы могут быть и нерезидентны. Рассмотрим схему функционирования нерезидентного файлового вируса. Пусть у нас имеется инфицированный исполняемый файл. При запуске такого файла вирус получает управление, производит некоторые действия и передаёт управление «хозяину» (хотя ещё неизвестно, кто в такой ситуации хозяин).
Какие же действия выполняет вирус? Он ищет новый объект для заражения - подходящий по типу файл, который ещё не заражён (в том случае, если вирус «приличный», а то попадается такие, что заражают сразу, ничего не проверяя). Заражая файл, вирус внедряется в его код, чтобы получить управление при запуске этого файла. Кроме своей основной функции - размножения, вирус вполне может сделать что-нибудь каверзное (сказать, спросить, сыграть) - это уже зависит от фантазии автора вируса. Если файловый вирус резидентный, то он установится в память и получит возможность заражать файлы и проявить прочие способности не только во время работы заражённого файла. Заражая исполняемый файл, вирус, всегда изменяет его код - следовательно, заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:
он не обязан менять длину файла;
не обязан менять неиспользуемые участки кода;
не обязан менять начало файла;
Наконец, к файловым вирусам часто относят вирусы, которые «имеют некоторое отношение к файлам», но не обязаны внедряться в их код. Рассмотрим в качестве примера схему функционирования вирусов известного семейства Dir-II. Нельзя не признать, что, появившись в 1991 году, эти вирусы стали причиной настоящей эпидемии чумы в России. Рассмотрим модель, на которой ясно видна основная идея вируса. Информация о файлах хранится в каталогах. Каждая запись каталога включает в себя имя файла, дату и время создания, некоторую дополнительную информацию, номер первого кластера файла и т.н. резервные файлы.
При запуске исполняемых файлов система считывает их записи в каталоге, первый кластер файла и далее все остальные кластеры. Вирусы семейства Dir-II производят следующую «реорганизацию» файловой системы: сам вирус записывается в некоторые свободные секторы диска, которые он помечает как сбойные. Кроме того, он сохраняет информацию о первых кластерах исполняемых файлов в резервных битах, а на место этой информации записывает ссылки на себя.
Таким образом, при запуске любого файла вирус получает управление, (операционная система запускает его сама) резидентно устанавливается в память и передаёт управление вызванному файлу.
1.4.3 Загрузочно-файловые вирусы
Мы не станем рассматривать модель загрузочно-файлового вируса, ибо никакой другой информации вы при этом не узнаете. Но здесь предоставляется удобный случай кратко обсудить крайне «популярный» в последнее время загрузочно-файловый вирус One Half, заражающий главный загрузочный сектор (MBR) и исполняемые файлы. Основное разрушительное действие - шифрование секторов винчестера. При каждом запуске вирус шифрует основную порцию секторов, а зашифровав половину жёсткого диска, радостно сообщают об этом. Основная проблема привлечения данного вируса состоит в том, что недостаточно просто удалить вирус из MBR и файлов, надо расшифровать зашифрованную им информацию. Наиболее «смертельное» действие - просто переписать новый здоровый MBR. Главное - не паникуйте. Взвесьте всё спокойно, посоветуйтесь со специалистом.
1.4.4 Сетевые вирусы
К сетевым относятся вирусы, которые для своего распространения активно используют протоколы и возможности локальных и глобальных сетей. Основным принципом сетевого вируса является возможность самостоятельно передать свой код на удалённый сервер или рабочую станцию. «Полноценные» сетевые вирусы при этом обладают ещё и возможностью запустить на выполнение свой код на удалённом компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску заражённого файла.
компьютерный вирус файловый полиморфный
1.4.5 Полиморфные вирусы
Большинство вопросов связано с термином «полиморфные вирусы». Этот вид компьютерных вирусов представляется собой на сегодняшний день наиболее опасными. Объясним же, что это такое.
Полиморфные вирусы - вирусы, модифицирующие свой код в заражённых программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном виде.
Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровка и расшифровка, что отличает их от обычных шифровальных вирусов, которые также могут шифровать участки своего кода, но имея при этом постоянный код шифровальщика и расшифровальщика.
Полиморфные вирусы - это вирусы с самомодифицирующимися расшифровальщиками. Цель такого шифрования: имея заражённый и оригинальный файлы, вы всё равно не сможете проанализировать его код с помощью дизассемблирования. Этот код зашифрован и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны варианты: он может расшифровать себя всего сразу, а может выполнить такую расшифровку «по ходу дела», может вновь шифровать уже отработавшие участки. Всё это делается ради затруднения анализа кода вирусом.
1.4.6 Макровирусы
Макровирусы (macro viruses) является программами на языках (макро-языках), встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.д.). Для своего размножения вирусы используют возможности макроязыков и при их помощи переносят себя из одного заражённого файла в другие. Наибольшее распространение получали макровирусы для Microsoft Word, Excel и Office. Существуют также макровируса заражающие документы баз данных Microsoft Access.
1.5 Пути проникновения вирусов в компьютер и механизм распределения вирусных программ
Основными приёмами проникновения вирусов в компьютер являются съёмные диски (лазерные и гибкие), а также компьютерные сети. Заражение жёсткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Такое заражение может быть и случайным, например, если дискеты не вынули с дисковода А и перезагрузили компьютер, при этом дискета может быть и не системной. Заразить дискету гораздо проще. На неё вирус может попасть, даже если дискету вставили в заражённый компьютер и, например, прочитали её оглавление.
Вирус, как правило, внедряется в рабочую программу таким образом, чтобы при её запуске управление сначала передавалось ему и только после выполнения его команд снова вернулось к рабочей программе. Получив доступ к управлению вирус, прежде всего, переписывает сам в себя в другую рабочую программу и заражает её. После запуска программы, содержащей вирус, становится возможным заражение других файлов. Наиболее часто вирусами заражаются загрузочный сектор диска и исполняемые файлы, имеющие расширение EXE, COM, SYS и BAT. Крайне редко заражаются текстовые файлы.
После заражения программы вирус может выполнить какую-нибудь диверсию, не слишком серьёзную, чтобы не привлечь интереса. И, наконец, не забывает возвратить управление той программе, из которой был запущен. Каждое выполнение заражённой программы переносит вирус в следующую программу. Таким образом, заразится всё программное обеспечение.
1.6 Антивирусные программы
Способы противодействия компьютерным вирусам можно разделить на несколько групп:
.профилактика вирусного заражения и уменьшение предполагаемого ущерба от такого заражения;
.методика использования антивирусных программ, в том числе обезвреживание и удаление известного вируса;
.способы обнаружения и удаления неизвестного вируса.
С давних времен известно, что к любому яду рано или поздно можно найти противоядие. Таким противоядием в компьютерном мире стали программы, называемые антивирусными. Данные программы можно классифицировать по пяти основным группам: фильтры, детекторы, ревизоры, доктора и вакцинаторы. Антивирусы-фильтры - это резидентные программы, которые оповещают пользователя о всех попытках какой-либо программы записаться на диск, а уж тем более отформатировать его, а также о других подозрительных действиях (например о попытках изменить установки CMOS). При этом выводится запрос о разрешении или запрещении данного действия. Принцип работы этих программ основан на перехвате соответствующих векторов прерываний. К преимуществу программ этого класса по сравнению с программами-детекторами можно отнести универсальность по отношению, как к известным, так и неизвестным вирусам, тогда как детекторы пишутся под конкретные, известные на данный момент программисту виды. Это особенно актуально сейчас, когда появилось множество вирусов-мутантов, не имеющих постоянного кода. К недостаткам можно отнести частую выдачу запросов на осуществление какой-либо операции: ответы на вопросы отнимают у пользователя много времени и действуют ему на нервы. При установке некоторых антивирусов-фильтров могут возникать конфликты с другими резидентными программами, использующими те же прерывания, которые просто перестают работать.
Наибольшее распространение в нашей стране получили программы-детекторы, а вернее программы, объединяющие в себе детектор и доктор. Наиболее известные представители этого класса - Aidstest, Doctor Web, Microsoft Antivirus.
Антивирусы-детекторы рассчитаны на конкретные вирусы и основаны на сравнении последовательности кодов содержащихся в теле вируса с кодами проверяемых программ. Такие программы нужно регулярно обновлять, так как они быстро устаревают и не могут обнаруживать новые виды вирусов.
Ревизоры - программы, которые анализируют текущее состояние файлов и системных областей диска и сравнивают его с информацией, сохраненной ранее в одном из файлов данных ревизора. При этом проверяется состояние BOOT-сектора, таблицы FAT, а также длина файлов, их время создания, атрибуты, контрольная сумма. Анализируя сообщения программы-ревизора, пользователь может решить, чем вызваны изменения: вирусом или нет. К последней группе относятся самые неэффективные антивирусы вакцинаторы. Они записывают в вакцинируемую программу признаки конкретного вируса так, что вирус считает ее уже зараженной.
Примеры антивирусных программ:
DOCTOR WEB
В последнее время стремительно растет популярность антивирусной программы - Doctor Web. Dr.Web так же, как и Aidstest относится к классу детекторов - докторов, но в отличие от последнего, имеет так называемый "эвристический анализатор" - алгоритм, позволяющий обнаруживать неизвестные вирусы. "Лечебная паутина", как переводится с английского название программы, стала ответом отечественных программистов на нашествие самомодифицирующихся вирусов-мутантов. Dr.Web можно назвать антивирусом нового поколения по сравнению с Aidstest и его аналогами. Тестирование винчестера Dr.Web-ом занимает на много больше времени, чем Aidstest-ом, поэтому не каждый пользователь может себе позволить тратить столько времени на ежедневную проверку всего жесткого диска. Таким пользователям можно посоветовать более тщательно (с опцией /S2) проверять принесенные извне дискеты. Если информация на дискете находится в архиве (а в последнее время программы и данные переносятся с машины на машину только в таком виде; даже фирмы-производители программного обеспечения, например Borland, пакуют свою продукцию), следует распаковать его в отдельный каталог на жестком диске и сразу же, не откладывая, запустить Dr.Web, задав ему в качестве параметра вместо имени диска полный путь к этому подкаталогу. И все же нужно хотя бы раз в две недели производить полную проверку "винчестера" на вирусы с заданием максимального уровня эвристического анализа.
Так же, как и в случае с Aidstest при начальном тестировании не стоит разрешать программе лечить файлы, в которых она обнаружит вирус, так как нельзя исключить, что последовательность байт, принятая в антивирусе за шаблон может встретиться в здоровой программе.
Microsoft Antivirus
В состав современных версий MS-DOS входит антивирусная программа Microsoft Antivirus (MSAV). Этот антивирус может работать в режимах детектора-доктора и ревизора. имеет дружественный интерфейс в стиле MS-Windows, естественно, поддерживается мышь. Хорошо реализована контекстная помощь: подсказка есть практически к любому пункту меню, к любой ситуации. Универсально реализован доступ к пунктам меню: для этого можно использовать клавиши управления курсором, ключевые клавиши (F1-F9), клавиши, соответствующие одной из букв названия пункта, а также мышь. Флажки установок в пункте меню Options можно устанавливать как клавишей ПРОБЕЛ, так и клавишей ENTER. Серьёзным неудобством при использовании программы является то, что она сохраняет таблицы с данными о файлах не в одном файле, а разбрасывает их по всем директориям.
При первой проверке MSAV создает в каждой директории, содержащей исполнимые файлы, файлы CHKLIST.MS, в которые записывает информацию о размере, дате, времени, атрибутах, а также контрольную сумму контролируемых файлов. При последующих проверках программа будет сравнивать файлы с информацией в CHKLIST.MS-файлах. Если изменились размер и дата, то программа сообщит об этом пользователю и запросит о дальнейших действиях: обновить информацию (Update), установить дату и время в соответствие с данными в CHKLIST.MS (Repair), продолжить, не обращая внимания на изменения в данном файле (Continue), прервать проверку (Stop). Если изменилась контрольная сумма, то MSAV выведет такое же окно, только вместо пункта Repair будет пункт Delete (удалить), так как программа не может восстановить содержимое файла. При обнаружении вируса в режиме Detect&Clean программа удалит этот вирус. Проверку диска в обоих режимах можно приостановить, либо полностью прервать, нажав ESC (или F3) и ответив на соответствующий вопрос программы. Во время сканирования диска выводится информация о проделанной работе: процент обработанных каталогов и процент обработанных файлов в текущем каталоге. Эта информация выдается также наглядно, в виде цветной полоски, как и при проверке памяти. В конце проверки MSAV выдает отчет в виде таблицы, в которой сообщается о количестве проверенных жестких дисков и гибких дисков, о количестве проверенных, инфицированных и вылеченных файлов. Кроме того, выводится время сканирования.
В меню Options можно сконфигурировать программу по собственному желанию. Здесь можно установить режим поиска вирусов-невидимок (Anti-Stealth), проверки всех (а не только исполнимых) файлов (Check All Files), а также разрешить или запретить создавать таблицы CHKLIST.MS (Create New Checksums). К тому же можно задать режим сохранения отчета о проделанной работе в файле. Если установить опцию Create Backup, то перед удалением вируса из зараженного файла его копия будет сохранена с расширением *.VIR
Находясь в основном меню, можно просмотреть список вирусов, известных программе MSAV, нажав клавишу F9. При этом выведется окно с названиями вирусов. Чтобы посмотреть более подробную информацию о вирусе, нужно подвести курсор к его имени и нажать ENTER. Можно быстро перейти к интересующему вирусу, набрав первые буквы его имени. Информацию о вирусе можно вывести на принтер, выбрав соответствующий пункт меню.
2. Из практики борьбы с компьютерными вирусами
.1 Как мы обнаруживаем компьютерный вирус
Во-первых, мы хорошо усвоили те признаки, по которым нетрудно узнать о появлении заражения вирусом. К ним относятся следующие признаки:
прекращение работы или не правильная работа ранее функционировавших программ;
медленная работа компьютера;
невозможность загрузки операционной системы;
исчезновение файлов и каталогов или искажение их содержимого;
изменение даты и времени модификации файлов;
изменение размеров файла;
существенное уменьшение размера свободной оперативной памяти;
вывод на экран не предусмотренных сообщений или изображений;
подача непредусмотренных звуковых сигналов;
частое зависание и сбои в работе компьютера.
К данным проявлениям компьютера мы относимся с определённой долей вероятности, так как перечисленные явления не обязательно вызываются в присутствии вируса, а могут быть следствием других причин. Мы пытаемся установить диагноз как можно более точно, чтобы не ошибиться в принятии решений, пытаясь исключить другие причины нарушений персонального компьютера.
Некоторое время запущенный вирус, возможно, погуляет вволю, но рано или поздно «лафа» закончится, так как мы - обычные пользователи, всё равно сумеем заметить те или иные аномалии в поведении компьютера и избежать преград в его работе. Но всё-таки справиться с вирусной инфекцией вполне самостоятельно мы не способны.
И мы стремимся к тому, чтобы как можно скорее вирус попал в руки более грамотного специалистов. Профессионалы будут его изучать, выяснять «что он делает», «как он делает», «когда он делает» и прочее. В процессе такой работы мы знаем, необходимо собирать всю необходимую информацию о данном вирусе, в частности, выделить сигнатуру вируса - последовательность байтов, которая вполне определённо его характеризует. Для построения сигнатуры берём наиболее важные и характерные участки кода вируса. В таком случае нам становятся ясны механизмы работы вируса. В случае загрузочного вируса мы стремимся узнать, где он прячет хвост, где находится оригинальный загрузочный сектор, а в случае файлового - способ заражения файла. Полученная информация позволяет нам выяснить:
I. Как обнаружить вирус? Для этого уточняются методы поиска сигнатур в потенциальных объектах вирусной атаки - файлах и / или загрузочных секторах?
II. Как обезвредить вирус? Если это, возможно, мы разрабатываем алгоритмы удаления вирусного кода из заражённых объектов.
2.2 Как мы лечим компьютер от вирусных заражений
Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными. Различают следующие виды антивирусных программ, которые используются в нашей практике с переменным успехом. Это:
программы - детекторы;
программы доктора или фаги;
программы - ревизоры;
программы - вакцины или иммунизаторы;
Программы - детекторы осуществляют поиск характерной для конкретного вируса сигнатуры в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам данных программ.
Программы - доктора или фаги, также программы - вакцины не только находят заражённые вирусом файлы, но и «лечат» их, то есть удаляют из файла тело программы - вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов. Среди фагов выделяют полифаги, то есть программы - доктора, предназначенные для поиска и уничтожения большого количества вирусов. Наиболее известные из них: Aidstest, Scan, AntiVirus, Doctor Web. В своей практике мы отдаём предпочтение именно этим программам.
Программы - ревизоры относятся к самым надёжным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражён вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран монитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры. Программы - ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс - вирусы и могут даже очистить изменения версии проверяемой программы от изменений, внесённых вирусом. К числу программ - ревизоров относится широко распространённая в России программа Adinf.
Программы - фильтры или «сторожа» представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютере, характерных для вирусов. Такими действиями могут являться:
попытки коррекции файлов с расширениями COM, EXE;
изменение атрибутов файла;
- прямая запись на диск по абсолютному адресу;
запись в загрузочные сектора диска
загрузка резидентной программы.
При попытке какой - либо программы произвести указанные действия «сторож» посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. Программы - фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Тем не менее, они не «лечат» файлы и диски. Для уничтожения вирусов требуется применить другие программы, а также возможны конфликты с другим программным обеспечением. Примером программы - фильтра является программа Vsafe, входящая в состав пакета утилит MS DOS.
Вакцины или иммунизаторы - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы - доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их заражёнными и поэтому не внедрится. В настоящее время программы - вакцины имеют ограниченное применение.
Своевременное обнаружение заражённых вирусами файлов и дисков, полное уничтожение обнаруженных вирусов на каждом компьютере позволяют избежать распространения вирусной эпидемии на другие компьютеры.
Для того чтобы не подвергнуть компьютер заражению вирусами и обеспечить надёжное хранение информации на дисках, мы стремимся соблюдать следующие правила:
оснастите свой компьютер современными антивирусными программами, например:Aidstest, Doctor Web, и постоянно возобновляйте их версии;
перед считываем с дискет информации, записанной на других компьютерах, всегда проверяйте эти дискеты на наличие вирусов, запуская антивирусные программы вашего компьютера;
при переносе на свой компьютер файлов в архивированном виде проверяйте их сразу же после разархивации на жёстком диске, ограничивая область проверки только вновь записанными файлами;
периодически проверяйте на наличие вирусов, жёсткие диски компьютера, запуская антивирусные программы для тестирования файлов, памяти и системных областей дисков с защищённой от записи дискеты, предварительно загрузив операционную систему с защищённой от записи системной дискетой;
всегда защищайте свои дискеты от записи при работе на других компьютерах, если на них не будет производиться запись информации;
обязательно делайте архивные копии на дискетах ценной для вас информации;
не оставляйте в кармане дисковода А дискеты при включении или перезагрузке операционной системы, чтобы исключить заражение компьютера загрузочными вирусами;
используйте антивирусные программы для входного контроля всех исполняемых файлов, получаемых из компьютерных сетей;
для обеспечения большей безопасности применения Aidstest и Doctor Web необходимо сочетать с повседневным использованием ревизора диска Adinf.
При заражении компьютера вирусом (или при подозрении на это) мы соблюдаем четыре правила:
). Прежде всего, не надо торопиться и принимать опрометчивых решений. Непродуманные действия могут привести не только к потере части файлов, но и к повторному заражению компьютера;
). Надо немедленно выключить компьютер, чтобы вирус не продолжал своих разрушительных действий;
). Все действия по обнаружению вида заражения и лечению компьютера следует выполнять при загрузке компьютера защищённой, от записи, дискеты с ОС (обязательные правило);
). Если вы не обладаете достаточными знаниями и опытом для лечения компьютера, попросите помочь более опытных коллег.
Советуем последовать нашему примеру и быть свободным от чёрных мыслей по защите важной информации.
Заключение
Итак, можно привести массу фактов, свидетельствующих о том, что угроза информационному ресурсу возрастает с каждым днём, подвергая в панику ответственных лиц в банках, на предприятиях и в компаниях во всём мире. И угроза эта исходит от компьютерных вирусов, которые искажают или уничтожают жизненно важную информацию, что может привести к финансовым потерям.
Компьютерный вирус - специально написанная программа, способная самопроизвольно присоединятся к другим программам, создавать свои копии и внедрять их в файлы, системные области компьютера и в вычислительные сети с целью нарушения работы программ, порчи файлов и каталогов, создания возможных помех в работе компьютера.
В настоящее время известно более 5000 программных вирусов, число которых непрерывно растёт. Нам известны случаи, когда создавались учебные пособия, помогающие в написании вирусов.
Основные виды вирусов: загрузочные, файловые, загрузочно-файловые, сетевые, полиморфные, макровирусы. Наиболее опасный вид вирусов - полиморфные.
Из истории компьютерной вирусологии мы выяснили, что любая оригинальная компьютерная разработка заставляет создателей антивирусов приспосабливаться к новым технологиям, постоянно усовершенствовать антивирусные программы.
Причины появления и распространения вирусов скрыты с одной стороны в психологии человека, с другой - с отсутствием средств защиты у операционной системы.
Основные пути проникновения вирусов - съёмные диски и компьютерные сети. Чтобы этого не получилось, соблюдайте меры по защите. Если вы всё же обнаружили в компьютере вирус, то по традиционному подходу лучше позвать профессионала.
Но некоторые свойства вирусов озадачивают даже мастеров. Ещё совсем недавно трудно было себе представить, что вирус может пережить холодную перезагрузку или распространяться через файлы документов. В таких условиях нельзя не предавать значения хотя бы начальному антивирусному образованию пользователей. При всей серьезности проблемы ни один вирус не способен принести столько вреда, сколько побелевший пользователь с дрожащими руками.
Я считаю, что я справился с поставленными передо мной задачами. Я достиг той цели, которой хотел достичь и выполнил все задачи, которые необходимо было выполнить. Я считаю проведённую мной работу весьма актуальной для нашего времени. При выполнении работы мне пришлось обратиться к источникам информации из Internet. Данную работу могут использовать любые пользователи персональных компьютеров, так как компьютерные вирусы - это одна из основных проблем связанных с компьютером.