Компьютерные вирусы: понятие, история, классификация

Различные методы шифрования и упаковки вредоносных программ делают даже известные вирусы необнаруживаемыми  антивирусным программным обеспечением. Для обнаружения этих «замаскированных»  вирусов требуется мощный механизм распаковки, который может дешифровать  файлы перед их проверкой. К несчастью, во многих антивирусных программах эта  возможность отсутствует и, в  связи с этим, часто невозможно обнаружить зашифрованные вирусы.

Постоянное появление  новых вирусов даёт разработчикам  антивирусного программного обеспечения  хорошую финансовую перспективу.

Некоторые антивирусные программы  могут значительно понизить быстродействие. Пользователи могут запретить антивирусную защиту, чтобы предотвратить потерю быстродействия, в свою очередь, увеличивая риск заражения вирусами. Для максимальной защищённости антивирусное программное  обеспечение должно быть подключено всегда, несмотря на потерю быстродействия.

Иногда приходиться отключить  антивирусную защиту при установке  обновлений программ и операционной системы. Антивирусная программа, работающая во время установки обновлений, может стать причиной неправильной установки модификаций или полной отмене установки модификаций. Перед обновлением Windows лучше отключить защиту от вирусов, в противном случае процесс обновления может завершиться неудачей.

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 3. Антивирусные программы

 

§3.1 Понятие антивирусной программы

Прежде чем приступить к изучению типов антивирусных программ, следует дать определение понятия  «антивирусная программа».

Итак, антивирусная программа – это программное средство, предназначенное для борьбы с компьютерными вирусами путём выполнения следующих функций:

• препятствование проникновению вирусов в компьютер;
• обнаружение компьютерных вирусов на «заражённом» компьютере;
• устранение вируса без повреждения незаражённых файлов и минимальное изменение заражённых при их лечении;
• минимализация общего ущерба от действия вирусов.

 

 

§3.2 Типы специализированных программ для защиты от вирусов

Несмотря на то, что общие  средства защиты информации очень важны  для защиты от вирусов, все же их недостаточно. Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно  разделить на несколько видов: детекторы, доктора, ревизоры, доктора-ревизоры, фильтры и вакцины (иммунизаторы).

Программы-детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного файла комбинация символов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Многие детекторы имеют режимы лечения или уничтожения зараженных файлов. Следует подчеркнуть, что программы-детекторы могут обнаруживать только те вирусы, которые ей "известны". Таким образом, из того, что программа не опознается детекторами как зараженная, не следует, что она здорова - в ней могут сидеть какой-нибудь новый вирус или слегка модифицированная версия старого вируса, неизвестные программам-детекторам. Многие программы-детекторы не умеют обнаруживать заражение "невидимыми" вирусами, если такой вирус активен в памяти компьютера. Большинство программ-детекторов имеют функцию "доктора", т.е. они пытаются вернуть зараженные файлы или области диска в их исходное состояние. Те файлы, которые не удалось восстановить, как правило, делаются неработоспособными или удаляются.

Большинство программ-докторов умеют "лечить" только от некоторого фиксированного набора вирусов, поэтому  они быстро устаревают. Но некоторые  программы могут обучаться не только способам обнаружения, но и способам лечения новых вирусов.

Программы-ревизоры имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и операционной ситемы (загрузочного сектора и сектора с таблицей разбиения жесткого диска). Предполагается, что в этот момент программы и операционная система не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и операционной системы с исходным. О выявленных несоответствиях сообщается пользователю. Многие программы-ревизоры являются довольно "интеллектуальными" - они могут отличать изменения в файлах, вызванные, например, переходом к новой версии программы, от изменений, вносимых вирусом, и не поднимают ложной тревоги. Дело в том, что вирусы обычно изменяют файлы весьма специфическим образом и производят одинаковые изменения в разных программных файлах. Понятно, что в нормальной ситуации такие изменения практически никогда не встречаются, поэтому программа-ревизор, зафиксировав факт таких изменений, может с уверенностью сообщить, что они вызваны именно вирусом. Для проверки того, не изменился ли файл, некоторые программы-ревизоры проверяют длину файла. Но эта проверка недостаточна - некоторые вирусы не изменяют длину зараженных файлов.

В последнее время появились  очень полезные гибриды ревизоров  и докторов, т.е. доктора-ревизоры,- программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние. Такие программы могут быть гораздо более универсальными, чем программы-доктора, поскольку при лечении они используют заранее сохраненную информацию о состоянии файлов и областей дисков. Это позволяет им вылечивать файлы даже от тех вирусов, которые не были созданы на момент написания программы. Но они могут лечить не от всех вирусов, а только от тех, которые используют "стандартные", известные на момент написания программы, механизмы заражения файлов.

Существуют также программы-фильтры, которые располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователя. Пользователь может разрешить или запретить выполнение соответствующей операции. Некоторые программы-фильтры не "ловят" подозрительные действия, а проверяют вызываемые на выполнение программы на наличие вирусов. Это вызывает замедление работы компьютера. Однако преимущества использования программ-фильтров весьма значительны – они позволяют обнаружить многие вирусы на самой ранней стадии, когда вирус еще не успел размножиться и что-либо испортить. Тем самым можно свести убытки от вируса к минимуму.

Программы-вакцины, или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны.

 

§3.3 Существующие антивирусные программы

Рассмотрим и сравним некоторые антивирусные программы. Для сравнения возьмём сверхпопулярные в нашей стране антивирусы - Dr.Web, Esest NOD32, Антивирус Касперского; а также достаточно популярные McAfee Virus Scan Pro, Panda Antivirus 2009 и BitDefender Antivirus Plus v10.

 

Для начала рассмотрим некоторые  функциональные особенности каждого  из антивирусов.

 

1) BitDefender Antivirus Plus v10

• функция Heuristics in Virtual Environment – эмуляция виртуальной машины,             с помощью которой проходят проверку потенциально опасные объекты с использованием эвристических алгоритмов;
• автоматическая проверка данных, передаваемых по протоколу POP3, поддержка наиболее популярных почтовых клиентов (MS Exchange, MS Outlook, MS Outlook Express, Netscape, Eudora, Lotus Notes, Pegasus, The Bat и другие);
• защита от вирусов, распространяющихся через файлообменные Peer-2-Peer сети;
• формирование личного спам-листа пользователя.

 

2) Esest NOD32

• эвристический анализ, позволяющий обнаруживать неизвестные угрозы;
• технология ThreatSense – анализ файлов для выявления вирусов, программ-шпионов (spyware), непрошенной рекламы (adware) и других угроз;
• проверка и удаление вирусов из заблокированных для записей файлов (к примеру, защищенные системой безопасности Windows библиотеки DLL);
• поверка протоколов HTTP, POP3 и PMTP.

 

3) Антивирус Касперского

• проверка трафика для входящих и исходящих сообщений, специальные плагины для Microsoft Outlook, Microsoft Outlook Express;
• предупреждение пользователя в случае обнаружения изменения как в нормальных процессах, так и при выявлении скрытых, опасных и подозрительных;
• контроль изменений, вносимых в системный реестр;
• блокирование опасных макросов Visual Basic for Applications в документах Microsoft Office.

 

4) Panda Antivirus

• сканирование всего жёсткого диска или отдельных его участков;
• расширенное меню настроек;
• поверка протоколов HTTP, POP3 и PMTP.

 

5) McAfee Virus Scan Pro

• защита от вирусов, макровирусов, троянов, Интернет-червей, вредоносных элементов управления ActiveX и Java;
• автоматическая проверка входящей и исходящей электронной почты;
• технологии ScriptStopper и WormStopper для блокирования вредоносной активности червей.

6) Dr.Web

• защита от червей, вирусов, троянов, полиморфных вирусов, макровирусов, программ-дозвонщиков, хакерских утилит и вредоносных скриптов;
• обновление антивирусных баз до нескольких раз в час, размер каждого обновления до 15 KB;
• проверка системной памяти компьютера, позволяющая обнаружить вирусы, не существующие в виде файлов (например, CodeRed или Slammer);
• эвристический анализатор, позволяющий обезвредить неизвестные угрозы до выхода соответствующих обновлений вирусных баз.

 

Для дальнейшего сравнения  возьмём результаты теста антивирусов, проведённого сайтом www.compdoc.ru

При сравнительном тестировании выявлялись следующие рабочие параметры  антивирусов:

• занимаемая оперативная память при обычном режиме работы;
• занимаемая оперативная память при проверке компьютера на наличие вирусов;
• время проверки;
• количество обнаруженных вирусов;

 

Подробнее рассмотрим каждый из тестируемых параметров.

 

1) Занимаемая оперативная память при обычном режиме работы.

    Данный параметр указывается производителем, и проводимые тесты не выявляют данный параметр, а лишь подтверждают или опровергают его.

     Результаты  тестов приведены в Диаграмме  1.

 

2) Занимаемая оперативная память при проверке компьютера на наличие

    Вирусов

При данном тесте запускается  проверка папки с большим количеством  файлов. В папке находится заранее  известное количество вирусов (созданных до и после 2000 года).

 

3) Время проверки

Данный тест проводится при  тех же условиях, что и в пункте 2). Его результаты представлены в Диаграмме 3.

 

3) Количество обнаруженных вирусов

Данный тест проводится при  тех же условиях, что и в пункте 2). Его результаты представлены в  Диаграмме 4.

Системные требования данных антивирусов приведены в Таблице 1.

 

Таблица 1. Системные требования рассмотренных антивирусов

	Системные требования
Dr.Web	Процессор Intel Pentium 150 МГц, 64 MB RAM, 110 MB свободного места на жестком диске, наличие системы Windows 98/Me/2000 Pro/XP/Vista/7
McAfee Virus Scan Pro	Процессор Intel Pentium 133 МГц, 64 MB RAM, 40 MB свободного места на жестком диске, наличие системы Windows 98/Me/2000/XP/Vista/7
Panda Antivirus	Процессор Intel Pentium 150 МГц, 64 MB RAM, 110 MB свободного места на жестком диске, наличие системы Windows 98/Me/2000 Pro/XP/Vista/7
Антивирус Касперского	Процессор Intel Pentium 133 МГц, 32 MB RAM, 50 MB свободного места на жестком диске, наличие системы Microsoft Windows 98/NT/2000/Me/XP/Vista/7
Esest NOD32	Процессор Intel Pentium, 32 MB RAM, 30 MB свободного места на жестком диске, наличие системы Windows 95/98/NT/Me/2000/XP/Vista/7
BitDefender Antivirus	Процессор Intel Pentium II 350 МГц, 128 MB RAM, 60 MB свободного места на жестком диске, наличие системы Windows 98/NT/Me/2000/XP/Vista/7

 

На основании данных Таблицы 1 можно сделать вывод, что ни одна антивирусная программа не требует  серьёзных аппаратных возможностей компьютера, но при выборе одной из программ стоит учитывать такой параметр, как количество используемой при работе оперативной памяти (см. выше пункты 1) и 2)).

 

 

 

На основе данного теста  можно и Таблицы 1 составить сводную таблицу наиболее важных параметров рассматриваемых антивирусных программ (Таблица 2).