Вирусы и антивирусные программы

Регенеративные вирусы делят свое тело на несколько частей и сохраняют их в разных местах жесткого диска. Соответственно эти части способна самостоятельно находить друг друга и собираться для регенерации тела вируса. Программа - антивирус обнаруживает и убивает лишь тело вируса, а части этого тела не заложены в антивирусной базе, так как являются  измененными. От таких вирусов помогает целенаправленное низкоуровневое форматирование жесткого диска. Предварительно необходимо принять осторожные меры по сохранению информации.

Хитрые вирусы прячутся не только от нас, но и от антивирусных программ. Эти "хамелеоны" изменяют сами себя с помощью самых хитрых и запутанных операций, применяя и текущие данные (время создания файла) и используя чуть ли не половину всего набора команд процессора. В определенный момент они, конечно же, по хитрому алгоритму превращаются в подлый вирус и начинают заниматься нашим компьютером. Это самый трудно обнаруживаемый тип вирусов, но некоторые антивирусные программы, такие как "Dr.Weber", способны с помощью так называемого эвристического анализа обнаруживать и обезвреживать и подобные вирусы.

"Невидимые" вирусы чтобы предотвратить свое обнаружение применяют так называемый метод "Stelth". Он заключается в том, что вирус, находящийся в памяти резидентно, перехватывает обращения DOS (и тем самым прикладных программ) к зараженным файлам и областям диска и выдает их в исходном (незараженном) виде. Разумеется этот эффект наблюдается только на зараженном компьютере — на "чистом" компьютере изменения в файлах и загрузочных областях диска можно легко обнаружить. Но некоторые антивирусные программы могут обнаруживать вирусы - "невидимки" даже на зараженных компьютерах. Так, программа Adinf фирмы "Диалог-Наука" для этого выполняет чтение диска, не пользуясь услугами DOS, а программа AVSP фирмы "Диалог-МГУ" — "отключает" на время проверки вирус (последний метод работает не всегда).

Некоторые антивирусные программы (например, AVSP фирмы "Диалог-МГУ") используют для борьбы с вирусом свойство "невидимых" файловых вирусов "вылечивать" зараженные файлы. Они считывают (при работающем вирусе) информацию из зараженных файлов и записывают их на диск в файл или файлы, где эта информация хранится в неискаженном виде. Затем уже после загрузки с "чистой" дискеты, исполняемые файлы восстанавливаются в исходном виде.

В последнее время  получили распространение вирусы, изменяющую файловую систему на диске. Эти вирусы обычно называются DIR. Такие вирусы прячут свое тело в некоторый участок диска (обычно в последний кластер диска) и помечают его в таблице размещения файлов (FAT) как конец файла. Для всех .com- и .exe- файлов, содержащихся в соответствующих элементах каталога, указатели на первый участок файла заменяются ссылкой на участок диска, содержащий вирус, а правильный указатель в закодированном виде прячется в неиспользуемой части элемента каталога. По этому при запуске любой программы в память загружается вирус, после чего он остается в памяти резидентно, подключается к программам DOS для обработки файлов на диске и при всех обращениях к элементам каталога выдает правильные ссылки. Таким образом, при работающем вирусе файловая система кажется совершенно нормальной. При поверхностном осмотре на "чистом" компьютере зараженного диска также ничего странного не наблюдается. Разве что при попытке прочесть или скопировать с зараженной дискеты программные файлы из них будут прочтены или скопированы только 512 или 1024 байта, даже если файл гораздо длиннее. А при запуске любой исполняемой программы с зараженного таким вирусом диска этот диск, как по волшебству, начинает казаться исправным (неудивительно, ведь компьютер при этом становится зараженным).

При анализе на "чистом" компьютере с помощью программы ChkDsk или NDD файловая система зараженного DIR-вирусом диска кажется безнадежно испорченной. Так программа ChkDsk выдает кучу сообщений о пересечении файлов ("…cross linked on cluster…") и о цепочках потерянных кластеров ("…lost clusters found in … chains…"). Не следует исправлять эти ошибки программами ChkDsk или NDD — при этом диск окажется безнадежно испорченным. Именно так ведет себя вирус OneHalf-3544. Для исправления зараженных этими вирусами дисков надо пользоваться только специальными антивирусными программами, о которых будет рассказано далее.

Можно много рассуждать о классификации вирусов. Однако стоит знать, что никогда заранее  неизвестно каким вирусом будет  атакован ваш компьютер. Соответственно нужно учитывать все возможные  типы и принимать все возможные меры для профилактики заражения. Так, например, для того, чтобы противостоять вирусу "Чернобыль" достаточно аппаратно отключить возможность перезаписывать Flash ПЗУ компьютера, а для предотвращения заражения загрузочными вирусами необходимо запретить загрузку компьютера с дискет. Но большинство вирусов не поддается правилам. Обычно вирусы пишутся как можно хитрее, и естественно, что они могут больше, чем представители одного класса.  Т.е. они сочетают в себе достоинства каждого вида, превращаясь в гибриды. Сложность обнаружения и борьбы с гибридными вирусами возрастает.

 

Глава 2. Профилактика и  борьба с компьютерными вирусами

 

Для защиты от вирусов  можно использовать:

Общие средства защиты информации, которые полезны также ка страховка  от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователей;

профилактические меры, позволяющие уменьшить вероятность  заражения вирусом;

специализированные программы  для защиты от вирусов.

Общие средства защиты информации полезны не только для защиты от вирусов. Имеются две основные разновидности этих средств:

копирование информации — создание копий файлов и системных областей дисков;

разграничение доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.

Несмотря на то, что  общие средства защиты информации очень  важны для защиты от вирусов, все  же их одних недостаточно. Необходимо применять специализированные программы для защиты от вирусов. Эти программы можно разделить на несколько видов:

Программы - детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов.

Программы - доктора, или фаги, "лечат" зараженные программы или диски, "выкусывая" из зараженных программ тело вируса, т.е. восстанавливая программу в том состоянии, в котором она находилась до заражения вирусом.

Программы - ревизоры сначала запоминают сведения о состоянии программ и системных областей дисков, а затем сравнивают их состояние с исходным. При выявлении несоответствий, об этом сообщается пользователю.

Доктора - ревизоры — это гибриды ревизоров и докторов, т.е. программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут автоматически вернуть их в исходное состояние.

Программы - фильтры располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователю. Пользователь может разрешить или запретить выполнение соответствующей операции.

Программы - вакцины, или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но вирус, от которого производится  вакцинация, считает эти программы и диски  уже зараженными. Эти программы крайне неэффективны и далее не рассматриваются.

Стратегия защиты от вирусов. Ни один тип антивирусных программ по отдельности не дает, к сожалению, полной защиты от вирусов. По этому наилучшей стратегией защиты от вирусов является многоуровневая, "эшелонная" оборона. Опишем структуру этой обороны.

Средствам разведки в "обороне" от вирусов соответствуют программы - детекторы, позволяющие проверять  вновь полученное программное обеспечение на наличие вирусов.

На переднем крае обороны  находятся программы-фильтры (резидентные  программы для защиты от вируса). Эти программы могут первыми  сообщить о вирусной атаке и предотвратить  заражение программ и диска.

Второй эшелон обороны составляют программы-ревизоры, программы-доктора и доктора-ревизоры. Ревизоры обнаруживают нападение даже тогда, когда вирус сумел "просочиться" через передний край обороны. Программы-доктора применяются для восстановления зараженных программ, если ее копий нет в архиве. Но они не всегда лечат правильно. Доктора-ревизоры обнаруживают нападение вируса и лечат зараженные файлы, причем контролируют правильность лечения.

Самый глубокий эшелон обороны  — это средства разграничения  доступа. Они не позволяют вирусам и неверно работающим программам, даже если они проникли в компьютер, испортить важные данные.

И наконец, в "стратегическом резерве" находятся архивные копии  информации и "эталонные" дискеты  с программными продуктами. Они позволяют  восстановить информацию при ее повреждении на жестком диске.

 

 

§ 2. Программы - детекторы и доктора

 

В большинстве случаев  для обнаружения вируса, заразившего  Ваш компьютер, можно найти уже  разработанные программы-детекторы. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Многие детекторы имеют режим лечения или уничтожения зараженных файлов.

Следует отметить, программа - детектор может обнаруживать только те вирусы, которые ей известны (т.е. занесены в антивирусную базу данных этой программы). Например программа AVP Касперского способна обнаружить на 10 Февраля 2000 года 33556 вирусов. Ниже приведено диалоговое окно этой антивирусной программы. Все в ней отличается удобным и понятным интерфейсом. Программа выполнена для операционной системы Windows'95/'98/NT/3.11, что позволяет ей работать параллельно с другими приложениями.

Рис.1

 

 Некоторые программы, такие как Dr.Weber, могут с помощью эвристического анализа находить модифицированные вирусы. Ниже приведено диалоговое окно антивирусной программы Dr.Weber. Программа написана под операционную систему MS DOS.

Рис. 2

 

 Тем не менее, невозможно разработать такую программу, которая могла бы обнаруживать любой заранее неизвестный вирус. Многие  антивирусные программы способны находить зараженные файлы даже внутри архивов

Лечение от вирусов. Большинство программ - детекторов имеют также и функцию "доктора", т.е. они пытаются вернуть зараженные файлы и области диска в их исходное состояние. Те файлы, которые не удалось восстановить, как правило делаются неработоспособными или удаляются.

Большинство  программ докторов умеют "лечить" только от некоторого фиксированного количества вирусов, по этому они быстро устаревают. Но некоторые программы могут обучаться не только способам обнаружения, но и способам лечения от новых вирусов. К таким программам относится AVSP фирмы "Диалог-МГУ". Другой перспективный подход — восстановление файлов на основе заранее сохраненной информации об их состоянии. Этим занимаются программы - ревизоры и доктора - ревизоры.

 

§ 3. Действия при заражении вирусом

 

При заражении компьютера вирусом (или подозрении на это) важно соблюдать четыре правила.

Прежде всего не надо торопиться и принимать опрометчивых решений. Как говорится, "семь раз  отмерь, один раз отрежь" — непродуманные  действия могут привести не только к потере части файлов, которые можно было бы восстановить, но и к повторному заражению компьютера.

Тем не менее одно действие должно быть выполнено немедленно, — надо выключить компьютер, чтобы  вирус не продолжал свою работу.

Все действия по обнаружению  вида заражения и л лечению  компьютера следует выполнять только после перезагрузки компьютера с защищенной от записи "эталонной" дискеты с операционной системой. При этом следует пользоваться исполняемыми файлами находящимися только на защищенных от записи "эталонных" дискетах. Несоблюдение этого правила может привести к очень тяжелым последствиям, поскольку при загрузке ОС или запуске программы с зараженного диска в компьютере может быть активирован вирус, а при работающем вирусе  лечение компьютера будет бессмысленным, так как оно будет сопровождаться дальнейшим заражением дисков и программ.

Если Вы не обладаете  достаточными опытом и знаниями для  лечения компьютера, попросите о  помощи более опытных коллег или  специалистов.

Лечение компьютера. Рассмотрим случай когда вирус уже успел заразить или испортить какие-то файлы на дисках компьютера. При этом надо выполнить следующие действия.

Перезагрузить ОС (Операционную Систему) с заранее подготовленной эталонной дискеты. Эта дискета, как и другие дискеты, используемые при ликвидации последствий заражения компьютерным вирусом, должна быть защищена от записи. Заметим, что перезагрузку нельзя выполнять , используя комбинацию клавиш <Ctrl><Alt><Del>, так как некоторые вирусы способны анализировать это прерывание клавиатуры и продолжать работать. Они могут сымитировать перезагрузку компьютера, а могут ответить вам каким-то жестоким образом. Для перезагрузки нужно использовать кнопку "RESET" на системном блоке или вообще перезапустить питание.

Необходимо проверить  правильность конфигурации компьютера при начальной загрузке компьютера.

Сначала необходимо запустить  программу - детектор для определения  типа вируса и зараженных файлов.

Далее нужно поочередно обезвредить все диски, которые  могли  подвергнуться заражению. Если жесткий диск разделен на несколько логических дисков, то при перезагрузке с дискеты будет виден только логический диск, с которого стартует ОС. Необходимо прежде всего очистить от заражения его, а затем, перегрузившись с жесткого диска, заняться его остальными разделами.

Теперь, когда известно, что вирусов типа DIR на диске нет или они успешно вылечены можно проверить целостность файловой системы и поверхности диска программой NDD или ChkDsk. Если повреждения FAT (файловой системы) значительные, то целесообразно попробовать сделать копии необходимой информации, после чего отформатировать диск. При незначительных повреждениях можно попробовать восстановить диск также применяя программу DiskEdit из комплекса Norton Utilities.

Если до заражения  использовалась программа - ревизор, можно  запустить ее для диагностики изменений в файлах.

Если вы не уверены  в своих архивных копиях, проверьте  их на наличие вируса.

Удалить с диска все  файлы, которые были изменены и имеют  копии на других дисках. Нельзя оставлять  на диске .exe и .com файлы которые по мнению ревизора были изменены. Оставлять их можно только в исключительных случаях.

Если обрабатываемый диск системный, то его систему стоит  обновить с "эталонной" дискеты  командой SYS.

Файлы, которые доктор не смог восстановить следует уничтожить.

С помощью архивных копий следует восстановить файлы, размещавшиеся на диске.

Если имеется хорошая  программа - фильтр, целесообразно некоторое  время поработать с ней.