I. Введення
II. Захист від комп'ютерних вірусів
а) Що таке комп'ютерний вірус?
б) Зіпсовані і заражені файли:
1) виконані файли
2) Завантажувач операційної системи і головна
завантажувальний запис жорсткого диска
3) Драйвери пристроїв
4) INTERNET-віруси
4.1 Вкладені файли.
4.2 троянські програми.
4.3 HTML-віруси.
4.4 Java-віруси.
в) Віруси, що змінюють файлову систему
г) "Невидимі" і самомодіфіцірующіеся віруси:
1) "Невидимі" віруси
2) Самомодіфіцірующіеся віруси
д) Що можуть і чого не можуть комп'ютерні віруси
е) Основні методи захисту від комп'ютерних вірусів
ж) дії при зараженні комп'ютерним вірусом
з) Лікування комп'ютера
и) Профілактика проти зараження вірусом:
1) Копіювання інформації та розмежування
доступу
2) Перевірка що надходять ззовні даних
3) Підготовка "ремонтного набору"
4) Захист від завантажувальних вірусів
5) Періодична перевірка на наявність вірусів
III. Висновок
IV. Список джерел інформації
а) літературні видання
б) компьюторние джерела
Введення.
Розділ "комп'ютерні віруси" в інформаційній пресі в настою-
ний час буквально рясніє різноманітними повідомленнями про поява
ванні нових різновидів вірусних інфекцій (надалі - просто
"віруси"). Але поряд з такими повідомленнями завжди малюється реклама
засобів активної і пасивної боротьби з вірусами, наводяться реко-
мендаціі по запобіганню від зараження і моторошні описи
наслідків і симптомів "захворювання". Поширення комп'ютер-
них вірусів набуло таких масштабів, що практично будь-якому
користувачеві хоч раз в житті довелося зіткнутися з вірусом на
своєму комп'ютері. Кількість відомих вірусів обчислюється тисячі-
ми (за підрахунками експертів в даний час існує близько 3
тисяч вірусів), а хакери постійно пишуть нові, самоутверждаясь в
своїх очах. Треба зауважити, що такий спосіб самоствердження
сильно нагадує звичку писати на парканах, досить поширеною-
ненную в певних колах. Але це питання більше етики, ніж техно-
логії.
Борці з вірусами йдуть по п'ятах їх розробників. Ринок антіві-
вірусні програм в даний час виходить на перше місце з обсягів по-
му, принаймні за кількістю проданих копій програм. Саме
тому фірми стали включати антивірусні засоби в комлекти
програм або операційних систем.
Захист від комп'ютерних вірусів.
Що таке комп'ютерний вірус?
Комп'ютерний вірус - це спеціально складена невелика за
розмірами програма, яка може "приписувати" себе до інших
програм, файлів (тобто "заражати" їх), а також виконувати раз-
особисті небажані дії на комп'ютері (видавати небажану-
тільні повідомлення, псувати дані на дисках, "засмічувати" пам'ять
комп'ютера, розмножуватися і т.д.). Програма, всередині якої зна-
диться вірус, називається "зараженої". Коли така програма починають
нает роботу, то спочатку управління отримує вірус. Він знаходить і
"заражає" інші програми, а також виконує які-небудь шкоду-
ные дії (наприклад, псує файли або таблицю розміщення фай-
лов на диску, "засмічує" оперативну пам'ять і т.д.). Для маскує-
ки вірусу дії по зараженню інших програм і нанесення шкоди
можуть виконуватися не завжди, а, скажімо, при виконанні визначено-
них умов. Після того, як вірус виконає потрібні йому дії,
він передає управління тій програмі, в якій він знаходиться, і
вона працює також, як звичайно. Тим самим зовні робота заражений-
ної програми виглядає також, як і незараженою.
Всі дії вірусу можуть виконуватися достатньо швидко і без
видачі будь-яких повідомлень, тому користувачеві дуже важко за-
мітити, що в комп'ютері відбувається щось незвичайне.
Поки на комп'ютері заражене відносно мало програм, наявність
вірусу може бути практично непомітно. Проте після не-
якого часу на комп'ютері діється щось дивне,
наприклад:
? робота на комп'ютері істотно сповільнюється;
? деякі файли виявляються зіпсованими;
? деякі програми перестають працювати або починають працювати
неправильно;
? на екран (або принтер) виводяться сторонні повідомлення, симво-
ли, і т.д. Наприклад при виконанні вірусу, званого Fantom-1,
на екрані може відобразитися щось, дуже схоже на череп ... Або
ж вірус може відобразити на екрані яке-небудь вірш,
як, наприклад, наступне:
Четвертої кафедрі радіофізики присвячується.
Я Фортран би вивчив тільки за те,
що на ньому захищався декан мій.
О, хакери і програмісти, Пишіть тільки на Фортране,
пізнання коду - шлях тернистий иль назвуть вас сосунки,
і є ваш хрест. Дозвольте ж мені коли захочете ви в запалі
означити шлях вам в цій імлі. спробувати себе в Паскалі.
Пишіть з ладу, акуратніше, Від неприборканої тієї пристрасті
чим більше GO TO, тим приємніше, підуть і горе і напасті,
й боже вас оборони і не наситить вас тоді
використовувати при цьому Сі. ООП-івської нісенітниця.
ООП, рекурсії, структури Ну що ж, сидіть, тисніть кнопки,
згодяться тільки на сміх курям, очі на кольорові попки,
коли перед вами постануть коди, хоч не пізнали ви авоста,
спливуть втрачені роки ... все ж вам привіт від Еда Посту.
Є надія, що ще можна врятуватися.
Це був лише окремий випадок прояву вірусу видачею на екран
сторонніх повідомлень, у більшості ж випадків вірус себе прояв-
ляєт більш тривіально, наприклад пише щось подібне "ВИ НЕ ЧЕКАЛИ
НАС, А МИ приперлися! ".
До цього моменту, як правило, вже досить багато (або навіть
більшість) тих програм, якими Ви користуєтеся, є зара-
женнимі вірусом, а деякі файли і диски - зіпсованими. Більш
того, заражені програми з Вашого комп'ютера могли вже бути пе-
ренес за допомогою дискет або по локальній мережі на комп'ютери Ва-
ших колег або друзів.
Деякі різновиди вірусів ведуть себе ще більш підступно.
Вони спочатку непомітно заражають велику кількість програм або дисків,
а потім завдають дуже серйозні пошкодження, наприклад формати-
руют жорсткий диск на комп'ютері. А бувають віруси, які прагнуть-
ся вести себе якомога більше непомітно, але потроху псують дан-
ные на жорсткому диску комп'ютера.
Таким чином, якщо не вживати заходів щодо захисту від вірусів,
то наслідки зараження комп'ютера можуть бути дуже серйозними.
Для того, щоб програма-вірус була непомітною, вона повинна бути
невеликий. Тому, як правило, віруси пишуться на мові Ассембліт-
ра. Деякі автори таких програм створили їх з пустощів, неко-
торие - з прагнення "насолити" кому-небудь (наприклад, який їх звільнив
фірмі) або з ненависті до всього роду людського. У будь-якому разі по-
чаї створена програма-вірус може (потенційно) поширеною-
ніться на всіх комп'ютерах, сумісних з тим, для якого вона
була написана, і заподіяти руйнування.
Слід брати до уваги, що написання вірусу - не така
вже й складне завдання, цілком доступна що вивчає програмування
студенту. Тому у світі на тижні з'являються все нові і нові
віруси. І багато хто з них "зроблені" в нашій країні і в інших недос-
таточно цивілізованих країнах: Болгарії, Пакистані і т.д.
Зіпсовані і заражені файли.
Комп'ютерний вірус може зіпсувати, тобто змінити неналежним
чином, будь-який файл на що є в комп'ютері дисках. Але некот-
рие види файлів вірус може "заразити". Це означає, що вірус
може "потрапити" в ці файли, тобто змінити їх так, що вони бу-
дут містити вірус, який за певних обставин може
розпочати свою роботу.
Слід зауважити, що тексти програм і старих версій докумен-
тов (так би мовити DOS-версії), інформаційні файли баз даних,
таблиці табличних процесорів (DOS-версії) та інші аналогічні
файли не можуть бути заражені вірусом, він може їх тільки зіпсувати.
Вірусом можуть бути "заражені" наступні види файлів:
1. Здійснимих файли:
Здійснимих файли, тобто файли з розширеннями імені COM та EXE, а
також оверлейной файли, що завантажуються при виконанні інших прог-
Рамм. Віруси, що заражають файли, називаються файловими. Вірус у за-
раженних здійснимих файлах починає свою роботу під час запуску тієї
програми, в якій він знаходиться. Найбільш небезпечні ті файлові ви-
руси, які після свого запуску залишаються в пам'яті резидентної.
Ці віруси можуть заражати файли і шкодити до наступної перезавантажив-
ки комп'ютера. А якщо вони заразилися будь-яку програму, яка завантажується з
файлу AUTOEXEC.BAT або CONFIG.SYS, то і при перезавантаженні з жес-
ткого диска вірус знову почне свою роботу.
2. Завантажувач операційної системи і головна запис завантаження
жорсткого диска:
Віруси, що вражають ці області, називаються завантажувальними, чи бу-
товимі. Такий вірус починає свою роботу при початковому завантаженні
операційної системи і стає резидентним, тобто постійно на-
ходітся в пам'яті комп'ютера. Механізм розповсюдження - зараження
завантажувальних записів вставляються в комп'ютер дискет. Як правило,
такі віруси складаються з двох частин, оскільки завантажувальні записи
мають невеликий розмір і в них важко мати цілком програм-
му вірусу. Частина вірусу, що не поміщаються в них, розташовується в
іншій ділянці диска, наприклад наприкінці кореневого каталогу диска
або в кластері в області даних диску (зазвичай такий кластер
оголошується дефектним, щоб програма вірусу не була затерта при
запису даних на диск).
3. Драйвери пристроїв:
Драйвери пристроїв, тобто файли, які вказуються в пропозиції DEVICE
файла CONFIG.SYS. Вірус, що знаходиться в них, починає свою роботу
при кожному зверненні до відповідного пристрою. Віруси, зара-
лишнього драйвери пристроїв, дуже мало поширені, оскільки
драйвери рідко переписують з одного комп'ютера на інший. Те ж
саме відноситься і до системних файлів DOS (MSDOS.SYS і IO.SYS) -
зараження їх також теоретично можливо, але для розповсюдження
вірусів малоефективно.
4. Останнім часом зі збільшенням числа користувачів з'явилися
INTERNET-віруси. Ось деякі з разновіднстей цих вірусів:
4.1 Вкладені файли.
Розглянемо типову ситуацію: ви отримали електронний лист, у
вкладенні до якого знаходиться документ Microsoft WORD. Звичайно, ви
заходьте швидше познайомиться з вмістом файла, благо при ис-
користуванні більшості сучасних поштових програм для цього
достатньо клацнути мишкою на імені цього файлу. І ЦЕ - ПОМИЛКА!.
Якщо у файлі міститься дії вірус (а віруси цього типу,
заражає документи Microsoft WORD, Microsoft EXCEL і ряд інших
популярних систем докуметооборота, отримали останнім часом ог-
Ромнів розповсюдження), він негайно заразить вашу систему. Так
що ж робити з вкладеним документом?. Витратити кілька зайвих
секунд: зберегти його на диск, перевірити антивірусною програмою
останньої версії і лише потім, якщо немає вірусів, відкривати. Є
інші рішення. Наприклад, є антивірусні програми, осущес-
твляющіе автоматичну перевірку вхідної електронної пошти.
Якщо ви використовуєте програму-сторож, то при відкритті зараженого
файла обов'язково отримаєте попередження (точніше, вам просто не
дадуть відкрити заражений файл). Адже сторожу абсолютно байдужими-
але, прямо ви відкриваєте документ або "з-під" поштового програм-
ми.
4.2 троянські програми.
Відомі троянські програми, що поширюються через Інтернет,
по суті, є утиліти для віддаленого адміністрування
вання комп'ютера. Простіше кажучи, за допомогою такої програми
зловмисник може отримати доступ до вашого комп'ютера і виконан-
нитка на ньому різні операції (практично будь-які) без вашого ве-
будинку й участі.
Характерним представником описаного типу є програм BASK
ORIFICE (BO). BO є системою віддаленого адміністрування,
що дозволяє користувачеві контролювати комп'ютери за допомогою
звичайної консули чи графічної оболонки. "У локальній мережі або
через Інтернет ВО надає користувачеві більше можливості на
віддаленому WINDOWS-комп'ютері, ніж має сам користувач цього
комп'ютера ", - це текст з" рекламного "оголошення на одній їх
хакерських web-сторінок. Зрозуміло, можливість дистанційного адмініст-
трірованія вашого комп'ютера становить серйозну небезпеку, але
не такий великий як здається на перший погляд. Звичайні користува-
Чи проводять у Мережі не так багато часу (якість телефонних ли-
ний цьому сприяє), та й що такого "цікавого" з точки
зору хакера, можна зробити на вашому комп'ютері? Виявляється,
можна, тільки адмініструвати нічого не треба. Істотний інте-
рес для хакера представляють паролі, які ви використовуєте для ра-
боти з сервером продайвера. Дістати пароль, хакер може запит-
то "просадити" всі ваші грошики. На щастя, троянців, які вміють ви-
виконується зазначені функції, досить мало і всі вони успішно детек-
тіруются антивірусними програмами.
4.3 HTML-віруси.
Віруси даного типу зустрічаються рідко, тому що інформація про них
представляє скоріше "академічний" інтерес, ніж практичний.
Суть така: на самій мові HTML, який використовується для розмітив-
ки гіпертекстових документів, ніякі віруси, звичайно, написати
не можна. Але для створення динамічних сторінок, організації взаємодії
дії з користувачем і інших дій використовуються програм-
мное вставки (скрипти) в HTML-документи. Відомі HTML-віруси ис-
пользую скрипти, написані на мові VISUAL BASIC. З їх допомогою
знаходячи HTM і HTML-файли на локальній машині і записуються в них.
Іноді такі віруси як-небудь виявляють себе (наприклад, виводять
повідомлення). Малому поширенню вірусів даного типу (так само як
та малому їх числа) сприяє те, що при стандартних настрій-
ках браузера виконання "небезпечних" (до таких належать і ті, в ко-
торих відбувається звернення до файлів локального комп'юторі) скрип-
тов заборонено. Звичайні ж, "безпеки", скрипти не можуть вироби
водити описані маніпуляції.
4.4 Java-віруси.
В даний час відомі два віруси, написані на мові JAVA.
Небезпеки вони практично не представляють. Коротко пояснимо, в чому
суть. виконувані модулі програм, написаних на JAVA (CLASS-фай-
ли), бувають двох типів: додатки і аплети. Програми виконан-
няются під управлінням інтерпреатора і є майже звичайними
програмами (майже, бо мають все-таки деякі обмеження, напри-
заходів, в області роботи з пам'яттю). Аплети, на відміну від Програми
ний, можуть виконуватися під керуванням броузерів, але на них Накло-
диваются значно серйозніші обмеження для забезпечення
безпеки: аплети зокрема, не мають майже ніякого доступу до
па до файлової системи комп'ютера (на відміну від випадку з скрити,
відключити це обмеження в браузері неможливо). таким обра-
зом, JAVA-віруси можуть бути оформлені тільки як додатки і для
переважної більшості користувачів небезпеки не надають.
Як правило, кожна конкретна різновид вірусу може зара-
жати тільки один або два типи файлів. Найчастіше зустрічаються виру-
си, що заражають здійснимих файли. Деякі віруси заражають
тільки EXE файли, деякі - тільки COM, а більшість - і ті і
інші. На другому місці за поширеністю завантажувальні віруси.
Деякі віруси заражають і файли, і завантажувальні області дисків.
Віруси, що заражають драйвери пристроїв, зустрічаються вкрай рідко;
зазвичай такі віруси вміють заражати і виконані файли.
Віруси, що змінюють файлову систему.
Останнім часом набули поширення віруси нового типу -
віруси, що змінюють файлову систему на диску. Ці віруси зазвичай на-
ни опиняються DIR. Такі віруси ховають своє тіло в деякий ділянку
диску (зазвичай - в останній кластер диска) і позначають його в таб-
особі розміщення файлів (FAT) як кінець файлу. Для всіх COM-і
EXE-файлів містяться у відповідних елементах каталогу ука-
зателі на першу ділянку файлу замінюються посиланням на ділянку дис-
ка, що містить вірус, а правильний покажчик у закодованому ви-
де ховається в невикористаної частини елемента каталогу. Тому при
запуску будь-якої програми в пам'ять завантажується вірус, після чого він
залишається в пам'яті резидентної, підключається до програм DOS для
обробки файлів на диску і при всіх зверненнях до елементів ката-
логу видає правильні посилання.
Таким чином, при працюючому вірус файлова система на диску
здається абсолютно нормальною. При поверхневому перегляді зара-
женного диска на "чистому" комп'ютері також нічого дивного не
спостерігається. Хіба лише при спробі прочитати або скопіювати з за-
раженной дискети програмні файли з них будуть прочитані або ско-
бенкетували тільки 512 або 1024 байта, навіть якщо файл набагато довжин-
неї. А при запуску будь-якої виконані програми з зараженого таким
вірусом диска цей диск, як за помахом чарівної палички, починає здаватися ис-
правні (не дивно, адже комп'ютер при цьому стає зара-
женним).
При аналізі на "чистому" комп'ютері за допомогою програм ChkDsk або
NDD файлова система зараженого DIR-вірусом диска здається вдосконалення-
шенно зіпсованою. Так, програма ChkDsk видає купу повідомлень про
пересічних файлів ( "... cross linked on cluster ...") і про це-
нирках втрачених кластерів ("... lost clusters found in ...
chains "). Не слід виправляти ці помилки програмами ChkDsk або
NDD - при цьому диск виявиться абсолютно зіпсованим. Для виправлений-
ня заражених цими вірусами дисків треба використовувати тільки спе-
соціальне антивірусні програми (наприклад, останні версії
Aidstest).
"Невидимі" і самомодіфіцірующіеся віруси.
Щоб запобігти своє виявлення, деякі віруси застосовують
досить хитрі прийоми маскування. Я розповім про два з них: "не-
видимих "(Stealth) і самомодіфіцірующіхся віруси:
"Невидимі" віруси.
Багато резидентні віруси (і файлові, і завантажувальні) запобігати-
відмови від тютюну своє виявлення тим, що перехоплюють звернення DOS (і тим
самим прикладних програм) до заражених файлів і областях диска і
видають їх у початковому вигляді. Зрозуміло, цей ефект спостерігається
тільки на зараженому комп'ютері - на "чистому" комп'ютері зраді-
ня в завантажувальних областях диска можна легко виявити.
Зауважу, що деякі антивірусні програми можуть все ж вияв-
проживати "невидимі" віруси навіть на зараженому комп'ютері. Такі
програми для цього виконують читання диска, не користуючись послугами
DOS (наприклад, ADinf).
Деякі антивірусні програми (наприклад, AVSP) використовують для
боротьби з вірусами властивість "невидимих" файлових вірусів "вилікуй-
вать "заражені файли. Вони зчитують (при працюючому вірус) ін-
формацію із заражених файлів і записують їх на диск у файл або
файли, де ця інформація зберігається в неспотвореному вигляді. Потім, вже
після завантаження з "чистою" дискети, виконані файли восстанавлі-
вають в початковому вигляді.
Самомодіфіцірующіеся віруси.
Інший спосіб, який застосовується вірусами для того, щоб сховатися від
виявлення, - модифікація свого тіла. Багато вірусів зберігають
більшу частину свого тіла в закодованому вигляді, щоб з допомогою
дизассемблер не можна було розібратися в механізмі їх роботи. Са-
момодіфіцірующіеся віруси використовують цей прийом і часто змінюють па-
раметри цієї кодування, а крім того, змінюють і свою стартову
частина, що служить для розкодування інших команд вірусу.
Таким чином, в тілі подібного вірусу нема жодної пос-
тоянной ланцюжка байтів, по якій можна було б ідентифікувати
вірус. Це, звичайно, ускладнює знаходження таких вірусів прог-
Рамі-детекторами.
Однак програми-детектори все-таки навчилися ловити "прості" са-
момодіфіцірующіеся віруси. У цих віруси варіації механізму рас-
шифровки закодованою частини вірусу стосуються тільки використанням
ня тих чи інших регістрів комп'ютера, констант шифрування, добав-
лення "незначущих" команд і т.д. І програми-детектори пристосувавши-
лись виявляти команди у стартовій частини вірусу, не дивлячись на
маскуючі зміни до них. Але останнім часом з'явилися виру-
си з надзвичайно складними механізмами самомодіфікаціі. У них стар-
товая частина вірусу генерується автоматично за досить складним
алгоритмам: кожна значуща інструкція розшифровувача передається
одним із сотень тисяч можливих варіантів, при цьому використовується
більше половини всіх команд Intel-8088. Проблема розпізнання та-
ких вірусів надійного рішення поки не отримала.
Що можуть і чого не можуть комп'ютерні віруси.
У багатьох користувачів ЕОМ через незнання механізму роботи ком-
терні вірусів, а також під впливом різних чуток і такого собі-
петентних публікацій у пресі створюється своєрідний комплекс
боязні вірусів ( "вірусофобія"). Цей комплекс має два прояви:
1. Схильність приписувати будь-яке пошкодження даних або незвичайне
явище дії вірусів. Наприклад, якщо у "вірусофоба" не форма-
тіруется дискета, то він пояснює це не дефектами дискети або
дисковода, а дією вірусів. Якщо на жорсткому диску з'являється
зіпсований блок, то в цьому теж, зрозуміло, винні віруси. На са-
мом справі незвичайні явища на комп'ютері частіше викликані помилками
користувача, програм або дефектами обладнання, ніж дією
вірусів.
2. Перебільшені уявлення про можливості вірусів. Некот-
рие користувачі думають, наприклад, що досить вставити в дис-
ковод заражену дискету, щоб комп'ютер заразився вірусом. Рас-
розлогий також думка, що для комп'ютерів просто стоять в од-
ної кімнаті, зараження одного комп'ютера обов'язково відразу прива-
дит до зараження інших.
Кращим "ліками" від вірусофобіі є знання того, як ра-
ботає віруси, що вони можуть і чого не можуть. Віруси є
звичайними програмами, і вони не можуть вчиняти жодних сверх'ес-
тественних дій.
Для того, щоб комп'ютер заразився вірусом, необхідно, щоб на
ньому хоча б один раз була виконана програма, що містить вірус.
Тому первинне зараження комп'ютера вірусом може відбутися в
одному з наступних випадків:
? на комп'ютері була виконана заражена програма типу COM або
EXE або заражений модуль оверлейной програми (типу OVR або OVL);
? комп'ютер завантажувався з дискети, яка містить заражений загрузоч-
ний сектор;
? на комп'ютері була встановлена операційна система заражена
або заражений драйвер пристрою.
Звідси випливає, що немає ніяких підстав боятися зараження ком-
пьютера вірусом, якщо:
? на незараженою комп'ютері проводиться копіювання файлів з
однієї дискети на іншу. Якщо комп'ютер "здоровий", то ні він сам, ні
копійовані дискети не будуть заражені вірусом. Єдиний ва-
ріант передачі вірусу в цій ситуації - це копіювання зараження-
го файлу: при цьому його копія, зрозуміло, теж буде "заражена",
але ні комп'ютер, ні якісь інші файли заражені не будуть;
Основні методи захисту від комп'ютерних вірусів.
Для захисту від вірусів можна використовувати:
? загальні засоби захисту інформації, які корисні також і як
страховка від фізичного псування дисків, неправильно працюють прог-
Рамм або помилкових дій користувачів; профілактичні заходи,
що дозволяють зменшити ймовірність зараження вірусом;
? спеціалізовані програми для захисту від вірусів.
Загальні засоби захисту інформації корисні не тільки для захисту від
вірусу. Є дві основні різновиди цих коштів:
? копіювання інформації - створення копій файлів і системних про-
ласти дисків;
? розмежування доступу запобігає несанкціоноване ис-
користування інформації, зокрема, захист від змін прог-
Рамм і даних вірусами, неправильно працюючими програмами і
помилковими діями користувачів.
Незважаючи на те, що загальні засоби захисту інформації дуже важ-
ни для захисту від вірусів, все-таки їх одних недостатньо. Необхідний-
мо і застосування спеціалізованих програм для захисту від вірусів.
Ці програми можна розділити на кілька видів:
? Програми-детектори дозволяють виявляти файли, заражені
одним з декількох відомих вірусів.
? Програми-доктори, або "фаги", "лікують" заражені програми або
диски, "викусивая" із заражених програм тіло вірусу, тобто вос-
станавлівая програму в тому стані, в якому вона перебувала до
зараження вірусом.
? Програми-ревізори спочатку запам'ятовують відомості про стан
програм і системних областей дисків, а потім порівнюють їх сос-
тоянія з вихідним. При виявленні невідповідностей про це повідомляє-
ся користувачеві.
? Доктора-ревізори - це гібриди ревізорів і докторів, тобто прог-
Рамі, які не тільки виявляють зміни у файлах і систем-
них областях дисків, а й можуть у разі змін автоматично
повернути їх в початковий стан.
? Програми-фільтри розташовуються резидентної в оперативній пам'я-
ти комп'ютера і перехоплюють ті звернення до операційної системи,
які використовуються вірусами для розмноження і нанесення шкоди, і
повідомляють про них користувачеві. Користувач може дозволити або зап-
ретіть виконання відповідної операції.
Слід врахувати, що ні один тип антивірусних програм у від-
дельності не може повністю захистити від вірусів і тому поради
типу "вставте команду запуску Aidstest в AUTOEXEC.BAT" не будуть
достатніми. Найкращою стратегією захисту від вірусів є ком-
комплексний багаторівневий захист:
? Перед першим етапом слід розмістити програми-детектори,
що дозволяють перевіряти знову отримане програмне забезпечення на
наявність вірусів;
? На першому етапі розміщуються програми-фільтри, тому що вони перші-
ми повідомлять про роботу вірусу і запобіжать зараження програм і
дисків;
? На другому етапі розміщуються ревізори і лікаря: вони дозволяють
виявити віруси, "пробилися" через перший етап, а потім виле-
чити заражені програми, але слід враховувати, що вони не всег-
так лікують правильно і ідеальним варіантом було б мати копію нуж-
них програм в архівах на дискетах, захищених від запису.
? Найголовніший етап захисту - розмежування доступу, що не
дозволяє що проникли вірусам і невірно працюють програмами іспор-
тіть важливі дані.
Дії при зараженні вірусом.
При зараженні комп'ютера вірусом (або при підозрі на це)
важливо дотримуватися чотири правила:
1. Перш за все не треба поспішати і приймати необачних рі-
ний: необачні дії можуть призвести не лише до втрати годину-
ти файлів, які можна було б відновити, але і до повторного
зараження комп'ютера.
2. Проте одна дія повинна бути виконана негайно -
треба вимкнути комп'ютер, щоб вірус не продовжував своїх зруйнував-
тільних дій.
3. Всі дії з виявлення последтвій зараження і лікування
комп'ютера слід виконувати тільки при перезавантаження комп'ютера з
захищеної від запису "еталонної" дискети з операційною системою.
При цьому слід використовувати тільки програми (виконані файли),
збережені на захищених від запису дискетах. Недотримання цієї
правила може призвести до дуже тяжких наслідків, оскільки при
перезавантаження DOS або запуску програми з зараженого диска в ком-
пьютере може бути активований вірус, а при працюючому вірус ле-
чення комп'ютера буде безглуздим, так як воно буде супроводжується
датися подальшим зараженням дисків і програм.
4. Якщо Ви не володієте достатніми знаннями та досвідом для ліку-
ня комп'ютера, попросіть допомогти Вам більш досвідчених колег.
Якщо Ви використовуєте резидентну програму-фільтр для захисту від
вірусу, то наявність вірусу в будь-якій програмі можна виявити
на ранньому етапі, коли вірус ще не встиг заразити інші
програми і зіпсувати будь-які файли. У цьому випадку слід пе-
резагрузіть DOS з дискети і видалити заражену програму, а потім
переписати цю програму з еталонної дискети або відновити її
з архіву. Для того, щоб з'ясувати, чи не зіпсував чи вірус ка-
ких-то інших файлів, слід запустити програму-ревізор для про-
верки змін у файлах, бажано з широким списком перевіряє-
екпортувати файлів. Щоб у процесі перевірки не продовжувати зараження ком-
пьютера, слід запускати здійснимих файл програми-ревізора, на-
що ходить на дискеті.
Лікування комп'ютера.
Розглянемо більш складний випадок, коли вірус вже встиг заразити
або зіпсувати якісь файли на дисках комп'ютера. При цьому ек-
сперте рекомендують наступні дії:
1. Перезавантажити операційну систему DOS із заздалегідь підготовлений-
ної еталонної дискети. Ця дискета, як і інші дискети, ис-
пользуемие при ліквідації наслідків зараження комп'ютерним виру-
сом, повинна бути забезпечена наклейкою для захисту від запису (пятідюй-
мовие дискети) або відкрита засувка захисту від запису (тридюймові
дискети), щоб вірус не міг заразити або зіпсувати файли на цих
дискетах. Зауважу, що перезавантаження не слід виконувати за допомогою
"Alt + Ctrl + Del", тому що деякі віруси примудряються "переживати"
таку перезавантаження.
2. Якщо для Вашого комп'ютера є програма для установки
конфігурації (для моделей IBM PC AT і PS/2 вона є завжди;
часто вона викликається при натисненні певної комбінації клавіш під
час початкового завантаження комп'ютера), слід виконати цю прог-
Рамі і перевірити, чи правильно встановлені параметри конфігур-
ції комп'ютера (вони можуть бути зіпсовані вірусом). Якщо вони уста-
новлено неправильно, їх треба перевстановити.
3. Далі йде сам процес лікування:
Якщо на диску для всіх потрібних файлів є копії в архіві,
простіше за все заново відформатувати диск, а потім відновити всі
файли на цьому диску за допомогою архівних копій. Припустимо, що на
диску є файли, копій яких немає в архіві, наприклад,
на диску D:, тоді потрібно додержуватися наступних вказівок:
? Запустити для диска програму-детектор, яка виявляє той ви-
рус, зараження яким піддався комп'ютер (якщо Ви не знаєте, ка-
кой детектор виявляє даний вірус, запускайте всі наявні
програми-детектори по черзі, поки один з них не виявить ви-
рус). Режим лікування при цьому краще не встановлювати. Якщо програм-
ма-детектор виявила завантажувальний вірус, Ви можете сміливо ис-
пользовать її режим лікування для усунення вірусу. При виявлених
нии вірусу DIR його також треба видалити за допомогою антивірусної прог-
Рамі, у жодному разі не використовуючи для цього програми типу NDD
або ChkDsk.
? Тепер (коли відомо, що вірусів типу DIR на диску немає)
можна перевірити цілісність файлової системи і поверхні диска з
допомогою програми NDD: "NDD D:/C". Якщо пошкодження файлової сис-
теми значні, то доцільно скопіювати з диска всі потрібні
файли, копій яких немає в архіві, на дискеті та заново отформаті-
ровать диск. Якщо диск має складну файлову структуру, то можна
спробувати відкоригувати її за допомогою програми DiskEdit (з
комплексу Norton Utilities).
? Якщо Ви зберігали відомості про файли на диску для програми-ре-
Візор, то корисно запустити програму-ревізор для діагностики через
трансформаційних змін у файлах. Це дозволить встановити, які файли були зара-
дружини або зіпсовані вірусом. Якщо програма-ревізор виконує так-
ж функції доктора, можна довірити їй та відновлення заражених
файлів.
? Видалити з диска всі непотрібні файли, а також файли, копії кото-
яких є в архіві. Ті файли, які не були змінені вірусом
(це можна встановити за допомогою програми-ревізора), видаляти не
обов'язково.
Ні в якому разі не можна залишати на диску COM-і EXE-файли, для
яких програма-ревізор повідомляє, що вони були змінені. Ті COM-
і EXE-файли, про які невідомо, змінені вони вірусом чи ні,
слід залишати на диску лише за крайньої необхідності.
5. Якщо диск, який Ви обробляєте, є системним (тобто
з нього можна завантажити пропераціонную систему DOS), то на нього сле-
дует заново записати завантажувальний сектор і файли операційної сис-
теми (це можна зробити командою SYS з комплексу DOS).
6. Якщо ваш комп'ютер заразився файловим вірусом і Ви не вироб-
дили лікування за допомогою ревізора-доктора, слід виконати прог-
Рамі-лікар для лікування даного диска. Заражені файли, які
програма-доктор не змогла відновити, слід знищити. Разу-
розуміється, якщо на диску залишилися тільки ті файли, які не можуть
заражатися вірусом (наприклад, вихідні тексти програм і докумен-
ти), то програму для знищення вірусу для даного диска виконан-
няти не треба.
7. За допомогою архівних копій слід відновити файли, розміщував-
шіеся на диску.
8. Якщо Ви не впевнені в тому, що в архіві не було заражених фай-
лов, і у Вас є програма для виявлення або знищення то-
го вірусу, яким був заражений комп'ютер, то слід ще раз ви-
конати цю програму для диска. Якщо на диску будуть виявлені
заражені файли, то ті з них, які можна відновити з по-
міццю програми для знищення вірусу, треба скопіювати в архів,
а решта - видалити з диска та з архіву.
Такий обробці слід піддати всі диски, які могли
бути заражені або зіпсовані вірусом. Якщо у Вас є гарна
антивірусна програма-фільтр (наприклад VSafe з комплексу DOS),
доцільно хоча б якийсь час працювати тільки запустивши цю
програму. Також слід враховувати, що часто комп'ютер заражає-
ся відразу декількома вірусами, тому, знешкоджуючи один вірус,
слід перевірити всі диски на наявність іншого.
Профілактика проти зараження вірусом.
У цьому розділі описуються заходи, які дозволяють зменшити
ймовірність зараження комп'ютера вірусом, а також звести до мініма-
му збитки від зараження вірусом, якщо воно все-таки відбудеться. Ви
можете, звичайно, використовувати не всі описуються засоби для про-
філактікі проти зараження вірусом, а тільки ті, які вважаєте
необхідними.
Заходи щодо захисту від вірусів можна розділити на кілька груп.
Копіювання інформації та розмежування доступу:
1. Необхідно мати архівні або еталонні копії використовуваних Ва-
ми пакетів програм і даних і періодично архівувати ті файли,
які Ви створювали або змінювали. Перед архівацією файлів цільових перевірок
по перевірити їх на відсутність вірусів за допомогою програм-
ми-детектора (наприклад, AidsTest). Важливо, щоб інформація копір-
валась не дуже рідко - тоді втрати інформації при її випадок-
ном знищення будуть не такі великі.
2. Доцільно також скопіювати на дискети сектор з таблицею
розділення жорсткого диска, завантажувальні сектори всіх логічних
дисків та вміст CMOS (незалежній пам'яті комп'ютера).
Це можна зробити за допомогою пункту "Create rescue diskette" прог-
Рамі DiskTool з комплексу Norton Utilites. Для відновлення
цих областей испо
