Шкідливе
програмне забезпечення
Введення
Про чудових можливості комп'ютерів чули
все. Та й самі вони вже давно не в дивину. Звичайно, всім хочеться
познайомитися з ними ближче. І в першу чергу навчитися застосовувати комп'ютер
для вирішення різноманітних життєвих завдань, яким немає числа.
Кожен шкільний
предмет пропонує свій підхід до вирішення таких завдань: проблеми охорони природи
можна обговорювати і на уроках математики, і на уроках хімії, і на уроках
літератури, і на уроках біології.
Є свій підхід до
вирішення завдань і в інформатики. Суть його - у використанні персональних
комп'ютерів. ПК можна застосовувати для вирішення завдань практично з усіх областей
життя. Але для того, щоб робити це ефективно, потрібно вміти користуватися
програмним забезпеченням, встановленим на ПК.
Програм,
встановлених на комп'ютері нескінченну безліч. В обсязі одного реферату неможливо
про них розповісти. Я вибрала один клас програм - службові, а з
службових - антивірусні програми, і про них написала у своєму рефераті.
Недооцінювати роль і значення антивірусних програм в сучасний час, коли
відомих вірусів вже більше 30 тисяч, просто небезпечно. Якщо користувач хоче
мати плоди своєї роботи в цілості й схоронності, якщо не хоче, щоб гроші з
його рахунку було знято недоброзичливцями і про подробиці його життя дізналися
сторонні люди, він просто зобов'язаний встановити на своєму ПК антивірусні
програми, які борються з комп'ютерними вірусами.
Шкідливе
програмне забезпечення
Клас програм, призначених
для виконання різних несанкціонованих користувачем дій, іноді
спрямованих на заподіяння шкоди (знищення або пошкодження даних,
уповільнення роботи і т. д.), називається шкідливим ПЗ.
Існують наступні основні
види шкідливого ПЗ:
троянські коні (Trojan horse);
віруси (virus);
черв'яки (worm).
троянські коні (троянські програми) - програми, що містять прихований
модуль, не пов'язаний з їх основним призначенням і здійснює несанкціоновані
дії. Прикладом може служити історія, яка відбулася у грудні 1989 р.
Зловмисник розіслав 20 тис. дискет, що містять безкоштовну систему з базою
даних про захворювання СНІДом в різні організації низки країн. Після її записи
на вінчестер користувача вся інформація вінчестера була перекодовані, а на
екрані з'являлося вимогу перерахувати суму в 378 дол для отримання
програми відновлення інформації.
Віруси - найбільш
поширений і небезпечний вид шкідливого ПЗ. Це програма, здатна до
саморозмноження (тобто відтворення своїх копій) і поширенню
(зараження) на різні запам'ятовуючі пристрої. Програму вірусу не можна
виявити в списку файлів, тому що вона впроваджується в чужі файли і всіляко
маскує своє перебування там. Як правило, вірус після активізації залишається в
пам'яті комп'ютера і продовжує роботу до кінця комп'ютерного сеансу (резидентний).
Комп'ютерні віруси можуть не
тільки приєднуватися до інших програм, а й записуватися на дискету або
жорсткий диск і виконуватися у момент запуску програми носія або завантаження
операційної системи з зараженого диску.
Віруси можуть самостійно
поширюватися і швидко вражати значну кількість програм на величезному
кількість комп'ютерів. Для цього їм не потрібен дозвіл користувачів
робочих станцій, які можуть навіть не підозрювати про віруси. Віруси можуть
містити інструкції про виконання руйнівних або ж нешкідливих дій,
що заважають, тим не менш, роботу. Віруси є серйозною проблемою,
тому що забезпечені кодом, здатним завдати шкоди, а також можуть самостійно
розповсюджуватися.
Віруси не можна назвати
таємничим явищем. Це всього лише комп'ютерні програми, які можуть
виконувати такі ж дії, що і всі інші програми. Однак, на відміну від
більшості інших програм, вони мають здатність до саморозмноження.
Програма-вірус функціонує в
два етапи. Перший етап - розмноження вірусу. На цьому етапі програмний код
вірусу відтворюється і впроваджується в різні місця вашої комп'ютерної
системи. Куди конкретно - залежить від типу вірусу. Наприклад: у виконувані файли
(СОМ, ЕХЕ, SYS тощо), в завантажувальний сектор дискети, до таблиці розділів
жорсткого диска, в сектори, позначені як пошкоджені, на додаткові
доріжки, в тимчасово вільні сектори кореневого каталогу і т. п. Деякі
віруси живуть і розмножуються в операційній системі, інші - в заражених
програмах.
Другий етап, який можна
назвати активною фазою, характеризується активними діями вірусу, спрямованими
або на руйнування вашої комп'ютерної системи, або на виконання якихось
нешкідливих, з точки зору його автора, дій. Наприклад, вірус може:
знищити файли, відформатувати диск, знищити випадково вибрані сектора,
спотворити виведену на екран комп'ютера інформацію, відображати повідомлення,
шифрувати дату на жорсткому диску, зупиняти роботу персонального комп'ютера
і тому подібне. А можуть вивести на екран портрет президента, виконати Гімн
Радянського Союзу або США.
Деякі віруси взагалі не мають
будь-яких очевидних симптомів, вони тільки поширюються. Якщо ви вважаєте,
що нічого страшного в цьому немає, то ризикуєте повністю забити ваш гігабайтний
вінчестер копіями вірусу і нарікати на брак дискового простору.
Вірус далеко не завжди можна
виявити з яких-небудь аномальних явищ. Найкращий метод виявлення
вірусів є застосування ефективних антивірусних програмних засобів.
Як вже говорилося, на жаль
(або на щастя?), при поширенні вірусів часто повністю відсутні
будь-які очевидні симптоми. Проникаючи в операційну систему на робочій
станції, вірус може виконати будь-які інструкції, обрані його творцем. Ці
інструкції можуть передбачати активізацію вірусу після якої-небудь події
(наприклад, після певної кількості виконанні); відповідно до
певним часом (по настанні певної дати, наприклад, у п'ятницю, 13
числа або 1 квітня) або ж у будь-який довільний час.
Творець вірусу не завжди
включає в нього інструкції, які призводять до очевидної шкоди або надають
руйнівну дію. Завдана вірусом шкода може бути обумовлений його
тиражуванням, що викликає дефіцит ресурсів, наприклад, пам'яті на жорсткому
диску, часу CPU або ж мережевих з'єднань.
Поява вірусів пов'язане з
розвитком теорії самовідтворюються систем. Перші роботи в цій області
належать Джону фон Нейманом.
Розрізняють файлові віруси, які заражають окремі програми, і бутові
(завантаження), що заражають жорсткі та гнучкі
диски. Для активації вірусу необхідний запуск зараженої програми або завантаження
з зараженого диска, після цього подальше зараження може відбуватися при
будь-яких операціях з файлами.
Серед сучасних вірусів
зустрічаються:
стелс-віруси (stealth), здатні приховати від користувача зовнішні прояви
своєї діяльності. Stealth-віруси не можна виявити, просто переглядаючи файли
на диску. Автори цих вірусів застосовують вельми різноманітні способи
маскування. Припустимо, переглядаючи файл, заражений вірусом в текстовому
редакторі, ви не знайдете жодного натяку на зараження - вірус визначає, що ви
переглядаєте файл, і видаляє себе з нього. Закриваєте файл - вірус знову на
місці;
поліморфні або мутують (polymorph) віруси, що змінюють свої копії для утруднення їх пошуку.
Віруси-мутанти містять в собі алгоритми шифрування-розшифровки. Впроваджуючи свою
копію в програму, такий вірус шифрує свій програмний код, тому два
екземпляри такого вірусу, що заразив два різних файлу, не мають жодного
повторюваного ділянки коду;
макро віруси, що заражають НЕ
тільки програми, а й деякі документи.
З моменту зараження вірусом до
моменту прояву його дії може пройти досить багато часу. Багато
віруси починають діяти після настання певної події. Приклади
дій таких вірусів:
- У понеділок 1 числа
"вішає" систему.
- З лютого по листопад кожну годину
переставляє сусідні символи на екрані.
- Залежно від поточної дати
може знищити інформацію на всіх доступних дисках.
- 20 числа залишає в пам'яті
код, який виконує мелодію з фільму "Кар'єра Діми Горіна".
- поліморфний стелс-вірус 8 і 30
квітня, а також 9 травня знищує вміст випадкових секторів жорсткого диска.
- У вересні після 22 числа
знищує вміст 128 секторів кожного логічного пристрою жорсткого диска.
Черви - різновид вірусів,
призначених для розповсюдження в комп'ютерних мережах. Іноді застосовуються в
цілях шпигунства. Використання мереж в значній мірі сприяє
масового зараження програм користувачів. Наприклад, в 1988 р. вірус Морріса,
аспіранта факультету інформатики Корнеллського університету, інфікував близько
6000 комп'ютерів і 70 комп'ютерних систем (у тому числі ядерної лабораторії) --
найважливіші комп'ютерні мережі східного та західного узбережжя США. Втрати були
несуттєві (тільки робочий час).
Віруси розрізняються і за ступенем
небезпеки і за характером вироблених ними дій, наприклад:
- Вірус залишає в пам'яті
програму, прала вміст екрана.
- Безпечні вірус. Після
зараження кожного файлу "обсипає" букви на екрані монітора, встановивши
на цей час ознака відсутності жорсткого диска.
- Дуже небезпечний вірус,
заміщає програмний код. Заражає ЕХЕ-файли в поточному і батьківських
каталогах, а також файл С: DOSDOSSHELL.СОМ. Видає деякі звуки і виводить на екран текст.
- Безпечні нерезидентних
вірус-хробак. Виробляє пошук ARJ і RAR-архівів і заражає їх, дописуючи до даних архівів
власну копію у форматах цих архівних файлів.
- Небезпечний резидентний вірус. При
друку на принтері вставляє після коми одну з таких словосполучень:
", от", ", коротше", ", таво етава".
- Небезпечний резидентний
шифрований вірус. Під час введення з клавіатури досить часто повторює введення клавіші
"t".
- Виробляє відеоефекту: все
символи на екрані, кружляючи, зникають в центрі екрану.
- Небезпечний макровіруси. Записує
рядок "Yohimbe" в заголовок заражаємо таблиці. О 16:45 вставляє в
поточну таблицю зображення і текст.
Антивірусне
програмне забезпечення (антивіруси)
Для боротьби з вірусами застосовують
спеціальне антивірусне програмне забезпечення (антивіруси).
Повністю запобігти
інфікування систем неможливо. Ви постійно копіюєте собі нові програми,
вносите існуючі програми, обмінюєтеся дискетами, загалом, ведете
досить «безладний спосіб життя». Не можна також безпомилково виявити всі
можливі віруси. Нові віруси з'являються, як гриби після дощу, а крім
цього, модифікуються старі, добре відомі віруси. Тому в будь-якому разі
інфікування систем не виключено. Заходи запобігання інфікування
необхідні, однак не менш важливо передбачити адміністративні способи
стримування «епідемії» і знешкодження вірусів у разі їх появи.
Дія антивірусних програм
засноване або на загальних властивостях вірусів (тобто на їх здатності до зміни
файлів або завантажувальних записів), або на характеристиках окремих вірусів або
класів вірусів. Найбільш сучасна версія програми при обстеженні системи
намагається виявити симптоми, характерні для поведінки або зовнішніх проявів
окремих вірусів або класів вірусів. При виявленні подібних ознак
програма може попередити користувача, спробувати запобігти
поширення вірусу і т.д. Пряма аналогія - за симптомами хвороби лікар у
лікарні ставить вам діагноз - грип. Але що це - вірус грипу А або Б, або
який-небудь Z - він сказати не може.
Існують різні антивіруси:
детектори;
поліфаг;
ревізори;
сторожа;
вакцини.
Детектори - програми,
що здійснюють пошук відомих їм вірусів у файлах і на дисках. Сучасні
детектори визначають декілька тисяч вірусів і використовують складні евристичні
алгоритми (Scan).
Фаги або поліфаг - програми,
здатні не тільки визначити, але в деяких випадках і видалити знайдений
вірус (AidsTest).
Ревізори виробляють періодичний
контроль стану запам'ятовуючих пристроїв з метою виявити зміни,
характерні для виявлення вірусів. Багато ревізори мають також анти-стелс
механізм. (ADInf). Програми-ревізори обчислюють контрольні суми всіх
доступних на диску програм і записують їх у спеціальний файл. При черговій
завантаженні вони перевіряють, чи не піддалася чи будь-яка програма змін, і
попереджають про це користувача. Програми-ревізори вміють своєчасно
виявляти зараження комп'ютера практично будь-яким з існуючих зараз
вірусів, а новітні ревізори вміють видаляти навіть раніше невідомі їм віруси.
Сторожа - програми,
контролюючі операції з диском і припиняють спроби вірусу до розмноження (VSafe). Спеціальні програми-сторожа приєднуються до
операційної системи з метою спостереження за активністю запускаються на комп'ютері
програм. Вони постійно контролюють вірусоподібні операції, вироблені
програмами з дисками або пам'яттю. Якщо з'являються підозрілі симптоми, вони
блокують роботу даної програми, повідомляють про це користувачу і чекають його
рішення. Недоліком сторожів є їх надмірна настирливість, яка
виражається в дуже частих повідомленнях про підозрілі операції. Іноді такі
програми підтримуються спеціальними електронними ключами, які фізично
блокують доступ до програмних ресурсів. Найбільш відомий
програмно-апаратний комплекс Sheriff.
Вакцини - програми, що імітують
зараження вірусом для припинення його розповсюдження (NeatVac).
Створення та розповсюдження
шкідливого програмного забезпечення відноситься до розряду комп'ютерних
злочинів, винні в цих злочинах несуть відповідальність у
відповідно до законодавства.
Розглянемо методи антивірусної
захисту.
1. Сканування
Якщо вірус відомий і вже
проаналізований, то можна розробити програму, що виявляє всі файли та
завантажувальні записи, інфіковані цим вірусом. Така програма забезпечена
«Медичним» довідником, що містить характерні зразки програмного коду
вірусу. Програма веде пошук комбінацій байтів, характерних для вірусу, але
нетипових для звичайних програм. Програми-детектори, що шукають подібних
комбінацій байтів, називаються поліфагом, чи сканерами.
Для багатьох вірусів характерна
Проста комбінація, що представляє собою послідовність фіксованих
байтів. Інші віруси використовують більш складні комбінації байтів. Необхідно
упевнитися, що комбінація байтів не характерна для звичайних програм, інакше
програма-детектор повідомить про вірус навіть за його відсутності.
2. Виявлення
змін
Для інфікування програм або
завантажувальних записів віруси повинні їх змінити. Існують програми, які
спеціалізуються на виловлювання таких змін. Програму, що реєструють
зміна файлів і завантажувальних записів, можна використовувати навіть для виявлення
раніше невідомих вірусів. Однак зміна файлів і завантажувальних записів може бути
зумовлене низкою причин, які не мають ніякого відношення до вірусів.
Виявлення змін саме по собі приносить не так багато користі, оскільки необхідно
дуже чітко розуміти, які зміни дійсно вказують на наявність
вірусу.
3. Евристичний
аналіз
Евристичний аналіз - це
підозра антивірусної програми про те, що щось не в порядку.
При виявленні вірусів за допомогою
евристичного аналізу ведеться пошук зовнішніх проявів або ж дій,
характерних для деяких класів відомих вірусів. Наприклад, у файлах можуть
виявлятися операції, що застосовуються вірусами, але рідко використовуються звичайними
програмами. Можуть також виявлятися спроби запису на жорсткі диски або дискети
за допомогою нестандартних методів.
Так само, як при використанні
попереднього методу, за допомогою евристичного аналізу можна виявити цілі класи
вірусів, однак необхідно упевнитися, що звичайні програми не були
прийняті за інфіковані.
4. Верифікація
Розглянуті вище методи можуть
свідчити, що програма або завантажувальний записуражені вірусом,
проте таким чином не можна з упевненістю пізнати їх вразив вірус і
знищити його. Програми, за допомогою яких можна ідентифікувати вірус,
називаються верифікаторів. Верифікатори можна розробити тільки для вже
вивчених вірусів після їх ретельного аналізу.
5. Знешкодження
Не виключено, що після
виявлення вірусу його можна буде видалити і відновити початковий стан
заражених файлів і завантажувальних записів, властиве їм до «хвороби». Цей
процес називається знешкодженням (дезінфекцією, лікуванням).
Деякі віруси ушкоджують
трупи ними файли і завантажувальні записи таким чином, що їх успішна
дезинфекція неможлива. Не виключено також, що детектор однаково
ідентифікує два різних вірусу, тому дезінфікуюча програма буде
ефективна для одного вірусу, але марна для іншого.
Дезінфікуючі програми
змінюють ваші програми, тому вони повинні бути дуже надійними.
Заходи
профілактики
Розглянуті вище методи можуть
застосовуватися з допомогою різних способів. Одним із загальноприйнятих методів
є використання програм, які ретельно обстежують диски, намагаючись
виявити та знешкодити віруси. Можливо також використання резидентних
програм DOS, постійно перевіряють вашу систему на віруси. Резидентні
програми мають таке перевагу: вони перевіряють всі програми на віруси
при кожному їхньому виконанні. Резидентні програми повинні бути дуже ретельно
розроблені, тому що інакше вони будуть затримувати завантаження і виконання програм.
Нерезидентні програми
ефективні при необхідності одночасного обстеження всієї системи на віруси
та їх знешкодження. Вони являють собою засіб, що доповнює резидентні
програми.
Ви повинні пам'ятати про необхідність
регулярного виконання антивірусної програми. На жаль, як показує
досвід, про це часто забувають. Нехтування профілактичними перевірками вашого
комп'ютера збільшує ризик інфікування не тільки вашої комп'ютерної системи,
але й розповсюдження вірусу на інші комп'ютери. І не тільки через дискети,
віруси чудово поширюються і по локальних мережах.
Щоб згодом уникнути
головного болю, краще за все забезпечити автоматичне виконання антивірусної
програми. У цьому випадку програма буде захищати ваш комп'ютер, не вимагаючи від
вас будь-яких явних дій. Для забезпечення такого захисту можна при запуску
системи встановити резидентні антивірусні програми, а також використовувати
нерезидентні програми, які виконуються при запуску або періодично у вказаний
час.
Як
правильно лікувати?
Перш за все, перезавантажте
комп'ютер, натиснувши кнопку Reset. Така перезавантаження називається
«Холодної», на відміну від «теплою», що викликається комбінацією клавіш Ctrl-Alt-Del.
Існують віруси, які спокійно виживають при "теплої" перезавантаження.
Завантажте комп'ютер з дискети,
захищеної від запису і до встановлених антивірусними програмами.
Необхідність зберігати антивірусний пакет на окремій захищеної дискеті
викликана не тільки небезпекою зараження антивірусних програм вірусом. Частенько
вірус спеціально шукає на жорсткому диску програму-антивірус і завдає їй
ушкодження.
Намагайтеся частіше оновлювати ваші
антивірусні програми. Причому як вітчизняні, так і імпортні.
Вітчизняні - тому що в нас пишуть віруси всі кому не лінь і, щоб швидко
розробити антивірусну програму, треба жити тут. Імпортні - тому що всі
сильніше зливаються «наше» і «їх» інформаційні простори, все більше
західних вірусів проникає до нас з глобальних комп'ютерних мережах.
При виявленні зараженого
файлу бажано скопіювати його на дискету і лише потім лікувати антивірусом.
Це робиться для того, щоб у разі некоректного лікування файлу, що, на жаль,
трапляється, спробувати полікувати файл іншим антивірусом.
Якщо вам знадобилася програма
з ваших старих архівів або резервних копій, не полінуйтеся перевірити її. Чи не
ризикуйте. Краще перебільшити небезпеку, ніж недооцінити її.
Як
ловили файлові віруси за старих часів?
За старих часів існував спосіб
лову дурних (простих) вірусів на живця. Створювався файл, що складається з одних
нулів і має розширення. СОM або. ЕХЕ. Ті
віруси, які заражають програми без належної перевірки, потрапляли в нього як
мухи на мед. Переглянувши згодом такий файл, легко можна було виділити
сигнатуру (програмний код вірусу) і написати антивірус.
Короткий огляд антивірусних програм
Антивірусних програм написано
хоча і значно менше, ніж вірусів, але досить багато, щоб користувач
мав вибір. Краще, якщо у вас на комп'ютері і на спеціальній дискеті буде
встановлено кілька таких програм. Це підвищить імовірність виявлення
модифікацій старих вірусів, а також, якщо програми використовують евристичний
аналіз, виявлення нових, невідомих раніше, вірусів. Не забувайте частіше
оновлювати версії антивірусних програм, щоб йти ніздря в ніздрю з авторами
вірусів. Рекомендуємо купувати антивірусні програми офіційно. На це
є, принаймні, дві причини:
1. Якщо ви будете користуватися
краденими копіями антивірусних програм, то їх розробникам доведеться
апельсинами торгувати на ринку, щоб заробити на життя. Хто в цьому випадку
захистить вас від вірусів?
2. Вірус може бути замаскований
під нормальну антивірусну програму. Якщо бути точним, така програма
називається «Троянський кінь». Сподіваюся, аналогії прозорі. Ви в повній
впевненості запускаєте антивірусну програму, а вона форматує ваш вінчестер.
До речі, ціни на вітчизняні антивірусні програми вельми доступні.
1. Програма-поліфаг
AIDSTEST
Aidstest, безумовно, належить до числа
найбільш популярних антивірусних програм. Це програма-поліфаг, її версії
оновлюються, мало не раз на тиждень, поповнюючись інформацією про нові віруси.
Для перевірки дисків та лікування заражених файлів краще використовувати
оригінальну дискету, на якій поставляється Aidstest. У цьому випадку для перевірки вашого комп'ютера необхідно
вставити цю дискету в дисковод А: і перезавантажити комп'ютер. Необхідно
застосовувати холодну перезавантаження (натиснути кнопку Reset), тому що багато вірусів вміють переживати теплу перезавантаження (Ctrl-Alt-Del)
і продовжують залишатися в пам'яті. Після завантаження комп'ютера Aidstest просканує диски і, якщо знайде віруси, запитає
дозволу на лікування. Можливий запуск Aidstest і з жорсткого диска. Наприклад:
D: ANTIAidstest *.*/f
Щоб дізнатися параметри запуску Aidstest, просто запустіть його без параметрів.
2. Програма-ревізор ADINF
ADinf - це програма-ревізор. ADinf дозволяє виявити поява будь-якого з існуючі
вірусів, включаючи Stealth-віруси та віруси-мутанти, а також невідомі на
сьогоднішній день віруси. При встановленні додаткового лікуючого блоку можна
видалити до 96% з них. У режимі повсякденного контролю ADinf запускається
автоматично з файлу AUTOEXEC.BAT
при першому включенні комп'ютера. ADinf запам'ятовує на диску інформацію про файли,
що включає довжини файлів, дату і час створення, контрольні суми файлів і
стежить за їх збереженням. Особливо відстежуються вірусоподібні зміни, про
яких негайно видається попередження. До підозрілим вірусоподібні
змін, наприклад, відносяться зміни довжини файлу або його контрольної суми
без зміни дати і часу створення. Крім того, ADinf дозволяє призначати
список файлів, будь-які зміни до яких відносяться до підозрілих. Крім
контролю за цілісністю файлів, ADinf стежить за дисковими операціями,
появою збійних кластерів, за збереженням завантажувальних секторів та ін ADinf
перевіряє диски, не використовуючи DOS, а читаючи їх по
секторах, прямим зверненням до BIOS.
У ADinf реалізований алгоритм
пошуку Stealth-вірусів. Stealth-вірус не можна виявити простим переглядом файлу.
При відкритті зараженого файлу Stealth-вірус видаляє себе з тіла програми, а
після закриття - повертає себе на місце. ADinf виявляє Stealth-віруси,
порівнюючи інформацію про файли, що видається DOS,
з фактичною. Розбіжність інформації однозначно вказує на вірус.
ADINF CURE MODULE
ADinf Cure Module - це
програма, здатна вилікувати оцінки від вірусу до появи програми-фага. ADinf Cure Module веде спеціальні файли, в які записує необхідну
для лікування заражених файлів інформацію. Якщо відбувається зараження, ADinf повідомляє про нього ADinf Cure Module, a той намагається провести лікування.
IBM ANTIVIRUS/DOS
Програма IBM AntiVirus/DOS входить в стандартний комплект поставки PC-DOS (файл IBMAVD.EXE). IBM AntiVirus/DOS
запобігає проникненню в комп'ютерну систему вірусів, а також
здійснює виявлення і видалення вже наявних. IBM
AntiVirus/DOS виявляє близько 2300 відомих вірусів, а також за допомогою
«Невизначеного сканування» велику кількість вірусів, подібних відомим IBM AntiVirus/DOS вірусам. За допомогою евристичного аналізу виявляються
також невідомі в даний момент віруси.
Програма може працювати в
фоновому режимі, забезпечуючи постійний захист системи. Крім того, ви можете
перевіряти дискети і жорсткі диски на віруси, запускаючи програму вручну.
При виконанні програми IBM AntiVirus/DOS на екрані комп'ютера з'являється спливаюче вікно «Перевірка
на віруси ». Смуга індикатора показує відсоток виконання перевірки. Крім
того, відображається ім'я перевіряється у поточний момент файла і шлях до нього.
Перевірку в будь-який момент можна перервати, натиснувши кнопку Stop.
Після закінчення перевірки відображається вікно з інформацією про її результати. При
виявлення ознак вірусу з'являється спливаюче вікно «Звіт про зараження
вірусами ».
Гнучка система настроювань
дозволяє визначити конкретні каталоги, які слід перевірити, і
розширення файлів. Досить зручне меню з різноманітною довідковою інформацією,
значно полегшує користування системою.
Для перевірки ви можете вибрати
або програмні файли, або всі файли. При виборі режиму Програмні файли
програма IBM AntiVirus/DOS буде перевіряти звичайні виконувані файли на зазначених
дисках. Такі файли мають розширення ВАТ, BIN,
CMD, СОМ, DOS, DLL, EXE, OS2,
ОV?, PRO і SYS.
При виборі режиму всі файли програма IBM AntiVirus/DOS буде перевіряти всі файли на
заданих дисках. Головний завантажувальний запис і завантажувальні записи всіх активних
розділів всіх заданих локальних жорстких дисках, включаючи завантажувальні записи
Менеджера завантаження, перевіряються на віруси незалежно від обраного режиму. Якщо
з якоїсь причини доступ до файлу неможливий, то цей файл пропускається, і
перевірка триває.
Спливаюче вікно Автоматична
перевірка дозволяє конфігурувати IBM AntiVirus/DOS для виконання автоматичної
перевірки системи.
Ви можете вказати програмі IBM AntiVirus/DOS, щоб вона перевіряла DOS
при її запуску - щодня, щотижня або щомісяця.
Якщо при роботі в текстовому
процесорі Word for Windows ви раптом виявили, що не можете зберегти свій файл,
знайте: у вас завівся вірус. На сьогоднішній день цим вірусом заражено 90% всіх
комп'ютерів. На щастя, добрі люди написали антивірус. Він являє собою
файл з розширенням DOC, в якому міститься текст
посібника з застосування і спеціальна кнопка. Клацніть нею, і антивірус
зробить свою справу.
IBM AntiVirus використовує виявлення змін для вирішення двох задач.
Перш за все, це є відправною точкою для евристичного аналізу та
виявлення нових вірусів. Крім того, це прискорює виявлення нових вірусів.
Для інфікування файлів і завантажувальних записів віруси повинні їх змінити. Якщо
вчора під час перевірки файл не був інфікований і відучора не змінився, то
можна зробити висновок, що і сьогодні вірусу в цьому файлі немає. При стандартному
використанні програми IBM AntiVirus перевіряються на вже відомі віруси тільки змінилися і
нові файли. Переконатися, що файл змінився або що це новий файл, можна
набагато швидше, ніж перевірити його на вже відомі віруси. Цей метод прискорює
процес перевірки.
При перевірці файлів і
завантажувальних записів на відомі віруси IBM AntiVirus використовує метод, званий
«Невизначений сканування». Цей метод сканування, що застосовується IBM AntiVirus,
передбачає пошук послідовностей байтів, що свідчать про наявність
вірусу. Саме так працює більшість сканерів. Крім того, цей метод
дозволяє виявити послідовності байтів, які майже (але не повністю)
збігаються з шуканими. Неточне відповідність може свідчити про наявність
штаму відомого вірусу, і при відображенні звіту про зараження вірусами IBM AntiVirus повідомляє,
що файл або запис завантаження можуть бути інфіковані. Вам буде
надана можливість видалення усіх подібних вірусів. Цей спосіб дозволяє
програмі IBM AntiVirus виявити і
правильно ідентифікувати цілий ряд нових варіантів вірусу. Однак при
відсутності додаткових заходів це «неточне збіг» може призвести до помилкових
сигналами тривоги. IBM AntiVirus забезпечує високу надійність ідентифікації вірусів. Для
цього використовується удосконалений метод усунення помилкових сигналів тривоги.
15 лютого 1996 компанія Microsoft оголосила, що користувачі Windows 95 мають проявляти обережність при завантаженні на свій
комп'ютер програм з Internet і он-лайнових служб, так як
з'явився перший вірус, що заражає програми для Windows'95. Дискети також можуть передавати вірусу. За
даними компанії Symantec, вірус має австралійське
походження і вражає 32-розрядні виконувані файли. Вірус отримав одразу
два найменування: Boza і Bizateh. 7 лютого стало відомо про друге вірус для Windows'95, що отримав назву Chavez.
Опції IBM AntiVirus не обмежуються виявленням
уже відомих вірусів. За допомогою евристичного аналізу ця програма виявляє
також і раніше невідомі віруси. Вона веде пошук комбінацій змін до
файлах, а також характеристик програм, типових для великих груп відомих
вірусів DOS. При виявленні факторів, які відповідають даним критеріям,
IBM AntiVirus при
відображенні звіту про зараження вірусами повідомляє про ці файли і завантажувальних
записах як про «підозрілих». Вам буде надана можливість
видалення/перезапису подібних підозрілих файлів. Якщо IBM AntiVirus
виявляє об'єкт, що нагадує який-небудь відомий вірус, то перевіряється
кожен релевантний байт цього вірусу. Таким чином визначається, що це
дійсно саме цей вірус. Ця перевірка має дуже велике значення.
Якщо можна з упевненістю стверджувати, що це той самий вірус, то найчастіше
цей файл або завантажувальний запис можна досить надійно дезінфікувати. Якщо
ж виявилося, що це інший вірус, то не виключено, що він змінив файл або
завантажувальний запис самим несподіваним чином. Спроба його знешкодження може
викликати пошкодження файлу або завантажувального запису. IBM AntiVirus не робить спроб
дезінфекції, якщо це може викликати пошкодження файлів або завантажувальних записів.
Замість цього, програма надає вам можливість видалення/перезапису
інфікованих файлів і завантажувальних записів. У тих випадках, коли дезінфекція
могла викликати пошкодження файлів, але цього не сталося, IBM AntiVirus відзначає
цей факт у файлі реєстрації, що створюється під час вашого сеансу IBM AntiVirus. Потім ви
можете більш ретельно обстежити ці програми і визначити, чи треба їх
відновлювати з резервних копій. Якщо програма IBM AntiVirus виявляє вірус під час
початковій вибіркової перевірки, вона може обстежити всю систему. При цьому
перевіряються всі (навіть незмінені) файли на всіх локальних жорстких дисках і
надається можливість знищення знайдених вірусів.
VIRUSCAN/CLEAN-UP
VIRUSCAN/CLEAN-UP- це пакет антивірусних програм компанії McAfee Associates. Програма VIRUSCAN виявляє
віруси і передає детальну інформацію програмі CLEAN-UP, яка здійснює лікування.
VIRUSCAN виявляє близько 3000
відомих вірусів і їх модифікацій. VIRUSCAN перевіряє partition table жорсткого диска
(Master Boot Record), DOS Boot Sector, виконувані файли, включаючи
системні, і файли з будь-якими іншими розширеннями.
Крім того, VIRUSCAN виявляє невідомі віруси. У першу чергу VIRUSCAN перевіряє підозрілі зміни, які сталися з
файлами з моменту останньої перевірки. VIRUSCAN зберігає
інформацію про контрольні суми файлів, розміри і ін Далі VIRUSCAN здійснює пошук нових класів вірусів, аналізуючи код
файлів на предмет характерних для вірусів операцій. VIRUSCAN здатний знайти і вірус-мутант (шифрувальний свій код),
використовуючи алгоритми статистичного аналізу, евристичного аналізу та
дізассембліруя код.
Інфікований файл може бути
знищений, якщо VIRUSCAN запущений з ключем/D, або очищений від вірусу програмою CLEAN-UP.
Правила
виживання для користувача
- Перед запуском переписаної
де-то програми на своєму комп'ютері перевірте її всіма наявними у вас
антивірусними програмами.
- Якщо не виникає
необхідність щось записувати на дискету - заблокуйте можливість запису на
неї. Якщо при роботі з захищеною дискетою, з якої інформація тільки
зчитується, на екрані з'явилося повідомлення "Write protect error writing drive А:» (помилка захисту при записі на диск А:) - ваша машина
швидше за все заражена.
- позичати свої програми
тільки на робочій дискеті, а після її повернення - безжально форматуйте.
- Якщо ви хочете перевірити ваш
комп'ютер на віруси, завантажити з захищеною дискети, що містить всі
необхідні антивірусні програми.
- Регулярно робіть резервні
копії ваших файлів.
- припиняти всі спроби
скористатися дисководом вашого комп'ютера.
- Слідкуйте за повідомленнями про
незвичайних помилках - вони можуть свідчити про появу вірусу.
- Використовуйте тільки офіційні
версії антивірусних програм.
- Використовуйте тільки
ліцензійне програмне забезпечення.
- Звертайте особливу увагу на
ігрові програми. Вони основний рознощик зарази.
Якщо ви переписали програму з
піратського компакт-диска, гарантії, що вона не містить вірусу, немає.
Обов'язково перевірте її антивірусною програмою.
Короткий опис деяких часто
зустрічаються вірусів
Це просто цікава
інформація. Цей параграф добре читати ввечері вдома за чашкою чаю. Почитайте,
і можливо, що описані симптоми нагадають вам щось з дивного
поведінки вашого комп'ютера. Або ви організовуєте партію боротьби із забрудненням
комп'ютерного середовища GreenPC. Або зрозумієте, що принципово
нового вірусу написати ніколи не зможете, а повторювати когось - безглуздо.
ВІРУС
AIRCOP
Назва: Aircop
Класифікація: Вірус, що вражає
завантажувальний запис дискети
Довжина вірусу: Завантажувальна запис
і один додатковий сектор жорсткого диска або дискети
Поведінка: При початковій
завантаженні з зараженої дискети вірус поміщає себе в пам'ять і заражає дискети,
використовуються надалі в дисководах А: і В:. При зараженні приблизно кожній
восьмий дискети вірус видає повідомлення «RED STATE Germ offensing - Aircop» (мабуть, це спроба сказати «Бойова готовність,
вірусна атака »).
ВІРУС
APRIL 1ST СОМ
Назва: April 1st СОМ
Синоніми: April 1st, sURIV 1.01
Сімейство вірусів: 1813
Класифікація: Резидентний
вірус, що заражає СОМ-файли
Довжина вірусу: Приблизно 381
байт
Поведінка: Коли виконується
заражена програма, цей вірус завантажується в пам'ять, і будь-який запускається
після цього СОМ-файл стає зараженим. Якщо поточна дата - 1-е квітня
будь-якого року, то при наявності вірусу в пам'яті запуск будь-якої програми викличе
поява повідомлення «APRIL 1ST НА НА НА YOU HAVE A VIRUS» та зависання
машини. Якщо поточна
