Компьютерные вирусы и антивирусные программы

Универсальные детекторы в своей работе используют проверку неизменности файлов путем подсчета и сравнения с эталоном контрольной суммы. Недостаток универсальных детекторов связан с невозможностью определения причин искажения файлов.

Специализированные детекторы выполняют поиск известных вирусов по их сигнатуре (повторяющемуся участку кода). Недостаток таких детекторов состоит в том, что они неспособны обнаруживать все известные вирусы.

Детектор, позволяющий обнаруживать несколько вирусов, называют полидетектором.

Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.

Программы-доктора (фаги), не только находят зараженные вирусами файлы, но и "лечат" их, т.е. удаляют из файла тело программы вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к "лечению" файлов. Среди фагов выделяют полифаги, т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов.

Учитывая, что постоянно появляются новые вирусы, программы-детекторы  и программы-доктора быстро устаревают, и требуется регулярное обновление их версий.

Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран видеомонитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры.

Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже отличить изменения  версии проверяемой программы от изменений, внесенных вирусом.

Программы-фильтры (сторожа) представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

• попытки коррекции файлов с расширениями СОМ и ЕХЕ;
• изменение атрибутов файлов;
• прямая запись на диск по абсолютному адресу;
• запись в загрузочные сектора диска.
• загрузка резидентной программы.

При попытке какой-либо программы  произвести указанные действия "сторож" посылает пользователю сообщение н  предлагает запретить или разрешить  соответствующее действие. Программы-фильтры  весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако они не "лечат" файлы  и диски. Для уничтожения вирусов  требуется применить другие программы, например фаги. К недостаткам программ-сторожей можно отнести их "назойливость" (например, они постоянно выдают предупреждение о любой попытке  копирования исполняемого файла), а  также возможные конфликты с  другим программным обеспечением.

Вакцины (иммунизаторы) - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.

Существенным недостатком таких  программ является их ограниченные возможности  по предотвращению заражения от большого числа разнообразных вирусов.

 

 

 

5. Антивирусные программы, их классификация и принципы работы

 

Самыми популярными и эффективными антивирусными программами являются антивирусные сканеры (другие названия: доктора, фаги, полифаги). Следом за ними по эффективности и популярности следуют CRC-сканеры (так-же: ревизор, checksumer, integrity checker). Часто оба приведенных  метода объединяются в одну универсальную  антивирусную программу, что значительно  повышает ее мощность. Применяются  также различного типа мониторы (фильтры, блокировщики) и иммунизаторы (детекторы).

Сканеры. Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Сканеры также можно разделить на две категории - "универсальные" и "специализированные". Универсальные сканеры рассчитаны на поиск и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов. Специализированные сканеры, рассчитанные только на макро-вирусы, часто оказываются наиболее удобным и надежным решением для защиты систем документооборота в средах MS Word и MS Excel. Сканеры также делятся на "резидентные", производящие сканирование "на лету", и "нерезидентные", обеспечивающие проверку системы только по запросу.

CRC-сканеры. Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.

Мониторы. Антивирусные мониторы - это резидентные программы, перехватывающие "вирусо-опасные" ситуации и сообщающие об этом пользователю. К "вирусо-опасным" относятся вызовы на открытие для записи в выполняемые файлы, запись в загрузочные сектора дисков, попытки программ остаться резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты из размножения.

Иммунизаторы. Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение каким-либо типом вируса. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, что он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и мониторы, практически не используются в настоящее время.

 

6. Краткий обзор антивирусных программ.

При выборе антивирусной программы  необходимо учитывать не только процент  обнаружения вирусов, но и способность  обнаруживать новые вирусы, количество вирусов в антивирусной базе, частоту  ее обновления, наличие дополнительных функций.

В настоящее время серьезный  антивирус должен уметь распознавать не менее 25000 вирусов. Это не значит, что все они находятся "на воле". На самом деле большинство из них  или уже прекратили свое существование  или находятся в лабораториях и не распространяются. Реально можно  встретить 200-300 вирусов, а опасность  представляют только несколько десятков из них.

Существует множество антивирусных программ. Рассмотрим наиболее известные  из них.

 

Norton AntiVirus 4.0 и 5.0 (производитель: «Symantec»).

 

Один из наиболее известных и  популярных антивирусов. Процент распознавания  вирусов очень высокий (близок к 100%). В программе используется механизм, который позволяет распознавать новые неизвестные вирусы.

Состоит из одного модуля, который  постоянно находится в памяти компьютера и осуществляет такие  задачи как мониторинг памяти и сканирование файлов на диске. Доступ к элементам  управления и настройкам программы  выполняется с помощью соответствующих  закладок и кнопок.

Автозащита должна быть всегда включенной, чтобы обеспечить защиту ПК от вирусов. Автозащита работает в фоновом режиме, не прерывая работу ПК.

 

Автозащита автоматически:

Обнаруживает и защищает ПК от всех типов вирусов, включая макро-вирусы, вирусы загрузочных секторов, вирусы резидента памяти и троянских  коней, червей и других вредоносных  вирусов.

Защищает компьютер от вирусов, которые передаются через сеть Интернет, проверяя все файлы, которые загружаются  из Интернета.

В интерфейсе программы Norton AntiVirus имеется функция LiveUpdate, позволяющая щелчком на одной-единственной кнопке обновлять через Web как программу, так и набор сигнатур вирусов. Мастер по борьбе с вирусами выдает подробную информацию об обнаруженном вирусе, а также предоставляет вам возможность выбора: удалять вирус либо в автоматическом режиме, либо более осмотрительно, посредством пошаговой процедуры, которая позволяет увидеть каждое из выполняемых в процессе удаления действий.

Антивирусные базы обновляются  очень часто (иногда обновления появляются несколько раз в неделю). Имеется  резидентный монитор.

Недостатком данной программы является сложность настройки (хотя базовые  настройки изменять, практически  не требуется).

 

Dr Solomon’s AntiVirus (производитель: «Dr Solomon’s Software»).

 

Считается одним из самых лучших антивирусов (Евгений Касперский как-то сказал, что это единственный конкурент  его AVP). Обнаруживает практически 100% известных  и новых вирусов. Большое количество функций, сканер, монитор, эвристика  и все что необходимо чтобы  успешно противостоять вирусам.

 

McAfee VirusScan (производитель: «McAfee Associates»).

 

Это один из наиболее известных антивирусных пакетов. Очень хорошо удаляет вирусы, но у VirusScan хуже, чем у других пакетов, обстоят дела с обнаружением новых  разновидностей файловых вирусов. Он легко  и быстро устанавливается с использованием настроек по умолчанию, но его можно  настроить и по собственному усмотрению. Вы можете сканировать все файлы  или только программные, распространять или не распространять процедуру  сканирования на сжатые файлы. Имеет  много функций для работы с  сетью Интернет.

 

Dr.Web (производитель: «Диалог Наука»)

 

Популярный отечественный антивирус. Хорошо распознает вирусы, но в его  базе их гораздо меньше чем у других антивирусных программ.

Программа Dr. Web относится к классу антивирусных программных средств, называемых полифагами. Она предназначена  для поиска и обезвреживания файловых, загрузочных и файлово-загрузочных  вирусов. Cущественной особенностью Dr. Web, которая выделяет его среди  других программ-полифагов, является использование  оригинального эвристического анализатора  наряду с традиционным методом обнаружения  вирусов по их сигнатурам (определенной последовательности байтов в теле программы, которая однозначно идентифицирует конкретный вирус). Большинство существующих в настоящее время программ-полифагов используют только метод обнаружения вирусов по сигнатурам.

Тем самым возможности таких  программ по обнаружению вирусов  ограничены строго определенным набором, который известен автору программы. Использование эвристического анализатора  позволяет выявлять также вирусы, сигнатура которых неизвестна автору программы. Алгоритмы, используемые в Dr. Web позволяют выявлять все известные  в настоящее время типы вирусов.

Программы семейства Dr. WEB выполняют  поиск и удаление известных им вирусов из памяти и с дисков компьютера, а также осуществляют эвристический  анализ файлов и системных областей дисков компьютера. Эвристический анализ позволяет с высокой степенью вероятности обнаруживать новые, ранее  неизвестные, компьютерные вирусы.

В комплект программ для Windows 95-XP входит полифаг Dr. WEB и резидентный сторож SpIDer Guard. Программа-полифаг обнаруживает и удаляет фиксированный набор  известных вирусов в памяти, файлах и системных областях дисков компьютера.

Резидентный сторож (называемый также  монитором), находясь в памяти компьютера, постоянно контролирует вирусоподобные ситуации, производимые различными программами  с диском и памятью.

Начиная с версии 4.20, в комплект программ для Windows входит Планировщик Dr. WEB, позволяющий производить запуск антивирусных программ и проверку устройств  хранения информации, а также осуществлять обновление вирусных баз и компонентов  программы по графику, задаваемому  пользователем.

Antiviral Toolkit Pro (производитель: «Лаборатория Касперского»).

 

Это антивирус признан во всем мире как один из самых надежных. Несмотря на простоту в использовании он обладает всем необходимым арсеналом для  борьбы с вирусами. Эвристический  механизм, избыточное сканирование, сканирование архивов и упакованных файлов - это далеко не полный перечень его возможностей.

Лаборатория Касперского внимательно  следит за появлением новых вирусов  и своевременно выпускает обновления антивирусных баз. Имеется резидентный  монитор для контроля за исполняемыми файлами.

Антивирус Касперского 7.0

Антивирус Касперского 7.0 – это классическая защита компьютера от вирусов, троянских и шпионских программ, а также от любого другого вредоносного ПО.

Основные функции:

Три степени защиты от известных  и новых интернет-угроз:

1) проверка по базам сигнатур,

2) эвристический анализатор,

3) поведенческий блокиратор

• Защита от вирусов, троянских программ и червей
• Защита от шпионского (spyware) и рекламного (adware) ПО
• Проверка файлов, почты и интернет-трафика в режиме реального времени
• Защита от вирусов при работе с ICQ и другими IM-клиентами
• Защита от всех типов клавиатурных шпионов
• Обнаружение всех видов руткитов
• Автоматическое обновление баз

AVAST!

Антивирусная программа avast! v. home edition 4.7 (бесплатная версия) русифицирована и имеет удобный интерфейс, содержит резидентный монитор, сканер, средства автоматического обновление баз  и т.д.