Зміст
Введення. 1
Комп'ютерні віруси. 2
Історія розвитку вірусів. 2
Небезпечні та безпечні віруси. 3
Заражаєте об'єкти. 3
Особливі види вірусів. 4
Методи маскування вірусів. 5
Як уберегтися від вірусу. 6
Антивірусні програми. 7
AIDSTEST 8
DOCTOR WEB 9
AVSP 10
Microsoft Antivirus 11
ADINF 12
AVP 14
Антивірусна перевірка електронної пошти. 15
Захист від вірусів, що розповсюджуються поштою. 15
Антивіруси для поштових серверів. 15
Doctor Web для UNIX-систем. 16
«Антивірус Касперського» для перевірки електронної пошти. 16
Висновок. 17
Список літератури. 19
Введення.
Під час роботи з сучасним персональним комп'ютером користувача (аособливо початківця) може підстерігати безліч неприємностей: втратаданих, зависання системи, вихід з ладу окремих частин комп'ютера іінші. Однією з причин цих проблем поряд з помилками в програмномузабезпеченні та невмілими діями самого оператора ПЕОМ можуть бутипроникли в систему комп'ютерні віруси.
Віруси - чи не головні вороги комп'ютера. Ці програми подібнобіологічним вірусам розмножуються, записуючись в системні області дискаабо приписуючи до файлів, і виробляють різні небажані дії,які, найчастіше, мають катастрофічні наслідки. Ще два роки томуздавалося, що з пануванням вірусів покінчено - зі смертю DOS і DOS -сумісних програм неминуче повинні були зникнути і паразитують наних віруси. Адже якщо вірус під DOS, що заражає виконувані файли *. com і
*. exe-файли, може написати кожен, хто хоч трохи розбирається впрограмуванні, то створити повноцінний вірус для Windows набагато важче.
Однак віруси залишилися, хоча і дещо видозмінилися. Сьогодні самоїпоширеною групою вірусів стали макровіруси, що заражають НЕпрограми, а документи, створені в Microsoft Word та Microsoft Excel.
Шляхів розповсюдження вірусів існує безліч. Вірус можепотрапити на комп'ютер користувача разом з дискетою, піратських компакт -диск або повідомленням електронної пошти. Щоб не стати жертвою цієїнапасті, кожному користувачеві слід добре знати принципи захисту відкомп'ютерних вірусів. Адже немає жодної надії на те, що з приходом новоготисячоліття віруси зникнуть. Так само як і немає надії впоратися з нимиостаточно в якісь доступні для огляду терміни, тому що таланту авторівантивірусних програм протистоїть фантазія комп'ютерних графоманів.
З давніх часів відомо, що до будь-якого яду рано чи пізно можна знайтипротиотруту. Таким протиотрутою у комп'ютерному світі стали програми,звані антивірусними.
Комп'ютерні віруси.
Історія розвитку вірусів.
Комп'ютерний вірус - це спеціально написана, як правило, невеликаза розмірами програма, яка може записувати свої копії в комп'ютерніпрограми, розташовані в здійснимих файлах, системних областях дисків,драйверах, документах і т.д., причому ці копії зберігають можливість до
«Розмноження». Процес впровадження вірусом своєї копії в іншу програму
(системну область диска і т.д.) називається зараженням, а програма абоінший об'єкт, що містить вірус - зараженим.
Сьогодні науці відомо близько 30 тисяч комп'ютерних вірусів. Як ізвичайним вірусам, комп'ютерним вірусам для «розмноження» потрібен «носій» --здорова програма або документ, в яких вони ховають ділянки свогопрограмного коду. Сам вірус невеликий, його розмір рідко вимірюєтьсякілобайтами. Однак накоїти ця «малюк» може чимало. У той момент, коликористувач, нічого не підозрюючи, запускає на своєму комп'ютерізаражену програму або відкриває документ, вірус активізується ізмушує комп'ютер слідувати його, вірусу, інструкцій. Це призводить довидалення будь-якої інформації, причому найчастіше - безповоротно. Крімцього сучасні віруси можуть зіпсувати не лише програми, а й
«Залізо». Наприклад, знищують вміст BIOS материнської плати абоушкоджують жорсткий диск.
Віруси з'явилися приблизно 30 років тому. Саме тоді, в кінці 60 --х, коли про ПК можна було прочитати лише у фантастичних романах, вкількох «великих» комп'ютерах, розташованих у великихдослідницьких центрах США, виявилися дуже незвичайні програми.
Незвичайні вони були тим, що не виконували розпорядження людини, як іншіпрограми, а діяли самі по собі. Причому, своїми діями вони сильносповільнювали роботу комп'ютера, але при цьому нічого не псували і нерозмножувалися.
Але тривало це недовго. Вже в 70-х роках були зареєстрованіперші справжні віруси, здатні до розмноження і отримали власніімена: великий комп'ютер Univac 1108 «захворів» вірусом Pervading Animal, акомп'ютери з сімейства IBM-360/370 були заражені вірусом Christmas tree.
До 80-х років число активних вірусів вимірювався вже сотнями. Апоява та поширення ПК породило справжню епідемію - рахуноквірусів пішов на тисячі. Правда, термін «комп'ютерний вірус» з'явився тільки в 1984 р. - вперше його використав у своїй доповіді наконференції з інформаційної безпеки співробітник Лехайскогоуніверситету США Ф. Коуен.
Перші комп'ютерні віруси були простими і невибагливими - відкористувачів не ховалися, «скрашували» свою руйнівну дію
(видалення файлів, руйнування логічної структури диска) виведеними наекран картинками і «жартами» ( «Назвіть точну висоту гори Кіліманджаро вміліметрах! При введенні неправильного відповіді всі дані на вашомувінчестері будуть знищені! "). Виявити такі віруси було неважко - вони
«Приклеювалися» до виконуваним (*. com або *. exe) файлів, змінюючи їхоригінальні розміри.
Пізніше віруси стали ховати свій програмний код так, що жоденантивірус не міг його виявити. Такі віруси називалися «невидимками»
(stealth).
У 90-і роки віруси стали «мутувати» - постійно змінювати свійпрограмний код, при цьому ховаючи його в різних ділянках жорсткого диска.
Такі віруси-мутанти стали називатися «поліморфними».
Вагомий внесок у розповсюдження вірусів вніс Internet. Впершеувагу громадськості до проблеми Internet-вірусів було залучено післяпояви знаменитого «хробака Морріса» - відносно невинногоекспериментального вірусу, в результаті необережності його творцяпоширився по всій світовій Мережі. А до 1996-1998 рр.. Internet ставголовним постачальником вірусів. Виник навіть цілий клас Internet-вірусів,названих «троянськими». Ці програми не завдавали шкоди комп'ютера іщо зберігається в ньому, зате з легкістю могли «вкрасти» пароль ілогін для доступу до Мережі, а також іншої важливої інформації.
У 1995р., після появи операційної системи Windows 95, булизареєстровані віруси, що працюють під Windows 95. Приблизно через піврокубули виявлені віруси, які діяли на документах, підготовлених упопулярні програми з комплекту Microsoft Office. Справа в тому, що втекстовий редактор Microsoft Word і в табличний редактор Microsoft Excelбув вбудований мова програмування - Visual Basic for Applications (VBA),призначений для створення спеціальних додатків до редакторів --макросів. Ці макроси зберігалися в тілі документів Microsoft Office ілегко могли бути замінені вірусами. Після відкриття зараженого файлу вірусактивувався і заражав всі документи Microsoft Office. Спочаткумакровіруси наносили шкоду тільки текстовим документам, пізніше вони стализнищувати інформацію.
Протягом 1998-1999 рр.. світ потрясли кілька руйнівних віруснихатак: в результаті діяльності вірусів Melissa, Win95.CIH і Chernobyl булививедені з ладу близько мільйона комп'ютерів у всіх країнах світу. Вірусипсували жорсткий диск і знищували BIOS материнської плати.
Не сумніву, що вірусні атаки буду тривати й надалі. Томукористувачам комп'ютерів залишається тільки обзавестися гарною антивірусноїпрограмою.
Небезпечні та безпечні віруси.
Більшість вірусів не виконує будь-яких дій, крім свогорозповсюдження (зараження інших програм, дисків і т.д.) і, іноді,видачі будь-яких повідомлень чи інших ефектів, придуманих автором вірусу:ігор, музики, перезавантаження комп'ютера, видачі на екран різних малюнків,блокування або зміни функцій клавіш клавіатури, уповільнення роботикомп'ютера і т.д. Однак свідомого псування інформації ці віруси нездійснюють. Такі віруси умовно називаються безпечними. Втім, і цівіруси здатні заподіяти великі неприємності (наприклад, перезавантаженнякожні кілька хвилин взагалі не дадуть вам працювати).
Однак близько третини всіх видів псують дані на дисках - абосвідомо, або через що містяться у вірусах помилок, скажімо, через нецілком коректного виконання деяких дій. Якщо псування данихвідбувається лише епізодично і не призводить до тяжких наслідків, товіруси називаються небезпечними. Якщо ж псування даних відбувається часто абовіруси завдають значних руйнувань (форматування жорсткого диска,систематичне зміна даних на диску і т.д.), то віруси називаютьсядуже небезпечними.
заражаєте об'єкти.
Комп'ютерні віруси відрізняються один від одного по тому, в які об'єктивони впроваджуються, тобто що вони заражають. Деякі віруси можуть заражативідразу кілька видів об'єктів.
Більшість вірусів поширюються, заражаючи здійснимих файли, тобтофайли з розширенням імені. COM і. EXE, а також різні допоміжніфайли, що завантажуються при виконанні інших програм. Такі віруси називаютьсяфайловими. Вірус у заражених здійснимих файлах починає свою роботу призапуску тієї програми, в якій він знаходиться.
Ще один розповсюджений вид вірусів впроваджується в початковий сектордискет або логічних дисків, де знаходиться завантажувач операційної системи,або в початковий сектор жорстких дисків, де знаходиться таблиця розбиттяжорсткого диска і невелика програма, що здійснює завантаження з одного зрозділів, зазначених у цій таблиці. Такі віруси називаються завантажувальними,або бутовими (від слова boot - завантажувач). Ці віруси починають свою роботупід час завантаження комп'ютера з зараженого диску. Завантажувальні віруси єрезидентними і заражають вставляються в комп'ютер дискети. Зустрічаютьсязавантажувальні віруси, що заражають також і медіа - файлово-завантажувальні віруси.
Деякі віруси вміють заражати драйвери, тобто файли, які вказуються впропозиції DEVICE або DEVICEHIGH файлу CONFIG.SYS. Вірус, що знаходиться вдрайвері, починає свою роботу при завантаженні цього драйвера з файлу
CONFIG.SYS при початковому завантаженні комп'ютера. Зазвичай заражають драйверивіруси заражають також виконані файли або сектору дискет, оскільки інакшеїм не вдавалося б поширюватися - адже драйвери дуже рідкопереписують з одного комп'ютера на інший.
Дуже рідко зустрічаються віруси, що заражають системні файли DOS (IO.SYSабо MSDOS.SYS). Ці віруси активізуються під час завантаження комп'ютера. Зазвичайтакі віруси заражають також завантажувальні сектори дискет, оскільки інакше їмне вдавалося б розповсюджуватися.
Дуже рідкісною різновидом вірусів є віруси, що заражаютькомандні файли. Зазвичай ці віруси формують за допомогою команд командногофайлу здійснимих файл на диску, запускають цей файл, він виконуєрозмноження вірусу, після чого цей файл стирається. Вірус у зараженихкоманди Файл починає свою роботу при виконанні командного файлу, вякому він знаходиться. Іноді виклик зараженого командного файлу вставляєтьсяу файл AUTOEXE.BAT.
Довгий час зараження вірусами файлів документів вважалосянеможливим, тому що документи не містили здійснимих програм. Однакпрограмісти фірми Microsoft вбудували а документи Word для Windows потужниймова макрокоманд WordBasic. На цьому WordBasic стало можливо писати віруси.
Запуск вірусу відбувається при відкритті на редагування зараженихдокументів. При цьому дії вірусу записуються в глобальний шаблон
NORMAL.DOT, так що за нових сеансах роботи з Word для Windows вірус будеавтоматично активовано.
Можливе зараження та інших об'єктів, що містять програми у певнійякій формі - тексти програм, електронних таблиць і т.д. Наприклад, вірус
AsmVirus.238 заражає файли програм на мові асемблера (. ASM-файли),вставляючи туди асемблерні команди, які при трансляції породжують кодвірусу. Однак число користувачів, що програмують на мові асемблера,невелика, тому широке поширення такого вірусу неможливо.
Електронні таблиці містять дії, у тому числі й дії,автоматично виконуються при відкритті таблиці. Тому для них можутьбути створені віруси, аналогічні вірусів для документів Word для Windows.
Поки що такі віруси були створені для таблиць табличного процесора Excel.
Вірус є програмою, тому об'єкти, що не містять програм іщо не підлягають перетворенню в програми, заражені вірусом бути не можуть.
Чи не містять програм об'єкти вірус може тільки зіпсувати, але незаразити. До числа таких об'єктів відносяться текстові файли (крім команднихфайлів і текстів програм), документи простих редакторів документів типу
ЛЕКСИКОНИ або Multi-Edit, інформаційні файли баз даних і т.д.
Особливі види вірусів.
Деякі види вірусів вимагають особливого ставлення, оскількистандартні методи лікування для них можуть привести до втрати інформації
(віруси сімейства DIR) або не виліковують від вірусу (для вірусів сімейства
Зараз).
Віруси сімейства DIR.
У 1991 р. з'явилися віруси нового типу - віруси, що змінюють файловусистему на диску. Ці віруси зазвичай називаються DIR. Такі віруси ховаютьсвоє тіло в деякий ділянку диску (зазвичай - в останній кластер диска) іпозначають його в таблиці розміщення файлів (FAT) як кінець файлу або якдефектний ділянку. Для всіх. COM-і. EXE-файлів покажчики на першуділянка файла, що містяться у відповідних елементах каталогу,замінюються посиланням на ділянку диска, що містить вірус, а правильнийпокажчик у закодованому вигляді ховається в невикористаної частини елементакаталогу. Тому при запуску будь-якої програми в пам'ять завантажується вірус,після чого він залишається в пам'яті резидентної, підключається до програм DOSдля обробки файлів на диску і при всіх зверненнях до елементів каталогувидає правильні посилання.
Таким чином, при працюючому вірус файлова система на диску здаєтьсяабсолютно нормальною. При поверхневому перегляді зараженого диска на
«Чистому» комп'ютері також нічого дивного не спостерігається. Хіба лише заспробі прочитати або скопіювати з зараженої дискети програмні файли зних будуть прочитані або скопійовані лише 512 або 1024 байта, навіть якщофайл набагато довше. А при запуску будь-якої виконані програми ззараженого таким вірусом диска цей диск починає здаватися справним
(не дивно, адже комп'ютер при цьому стає зараженим).
Особлива небезпека вірусів сімейства DIR полягає в тому, що пошкодженняфайлової структури, зроблені цими вірусами, не слід виправлятипрограмами типу ScanDisk або NDD - при цьому диск виявиться безнадійнозіпсованим. Для виправлення треба застосовувати лише антивірусні програми.
Віруси сімейства Зараз.
Ще один незвичайний тип вірусів - це віруси, що заражають системний файл
IO.SYS. Сімейство цих вірусів зазвичай називається ЗАРАЗ, тому що першітакий вірус виводив повідомлення «У BOOT СЕКТОРІ - Зараз !».
Дані віруси є файлово-завантажувальними і використовуютьнеузгодженість між механізмом початкового завантаження DOS і звичайниммеханізмом роботи з файлами. При початковому завантаженні MS DOS перевіряється, щоімена двох перших елементів у кореневому каталозі завантажувального диска - IO.SYSі MSDOS.SYS, але атрибути цих елементів не перевіряються. Якщо іменаспівпадають, то програма початкового завантаження зчитує в пам'ять першогокластер елементу з ім'ям IO.SYS і передає йому керування. Користуючись цимнедосконалістю програми початкового завантаження, вірус зараз при зараженніжорстких дисків робить наступне:
. копіює вміст файлу IO.SYS в кінець логічного диска;
. зрушує елементи кореневого каталогу, починаючи з третього, на один елемент до кінця каталогу;
. копіює перший елемент кореневого каталогу (відповідний файлу
IO.SYS) в звільнився третій елемент кореневого каталогу і встановлює в ньому номер початкового кластера, що вказує на місце, куди було скопійовано вміст файлу IO.SYS;
. записує своє тіло в місце, де знаходиться файл IO.SYS (як правило, на початок області даних логічного диска);
. у першому елементу кореневого каталогу диска встановлює ознака
«мітка тому».
У кореневому каталозі з'являються два елементи з ім'ям IO.SYS, один зяких позначено атрибутом «мітка тому». Але при початковому завантаженні це невикликає збоїв - програма начальной завантаження, перевіривши, що перші дваелемента каталогу мають імена IO.SYS і MSDOS.SYS, завантажить кластер,зазначений у першому елементі змісту (на звичайному диску - це початок файлу
IO.SYS, а на зараженому - код вірусу), і передасть йому управління. Вірусзавантажить себе в оперативну пам'ять, після чого завантажить початок вихідногофайлу IO.SYS і передасть йому управління. Далі початкова завантаження йде, якзвичайно.
Небезпека вірусів сімейства ЗАРАЗ полягає в наступному: навіть якщозавантажити комп'ютер з "чистої" системної дискети і ввести команду SYS C:,вірус не буде вилучено з диска. Команда SYS, як і інші програми DOS,проігнорує вказує на вірус перший елемент кореневого каталогу,порахувавши його описом позначки. Перезаписаний буде лише «файл-дублер» IO.SYS,описаний в третьому елементі кореневого каталогу. Причому якщо програма SYS запише файл IO.SYS в нове місце на диску, то система перестанезавантажуватися з жорсткого диска, тому що вірус в своєму тілі зберігає адресапочаткового сектора вихідного файлу IO.SYS. Тому знезаражувати диски,інфіковані вірусами сімейства ЗАРАЗ, командою SYS не слід, це требаробити антивірусними програмами.
Методи маскування вірусів.
Щоб запобігти своє виявлення, багато вірусів застосовують доситьхитрі прийоми маскування.
Багато резидентні віруси запобігають своє виявлення тим, щоперехоплюють звертання операційної системи до заражених файлів і областямдиска і видають їх у вихідному (незараженою) вигляді. Такі віруси називаютьсяневидимими, або stealth вірусами. Зрозуміло, ефект «невидимості»спостерігається тільки на зараженому комп'ютері - на «чистому» комп'ютерізміни у файлах і завантажувальних областях диска можна легко виявити.
Деякі антивірусні програми можуть виявляти «невидимі» віруси навітьна зараженому комп'ютері. Для цього вони виконують читання диска, некористуючись послугами DOS. Прикладом таких програм можуть послужити Adinf фірми
«Діалог-Наука», Norton AntiVirus та ін
Віруси часто містять всередині себе різні повідомлення, що дозволяєзапідозрити недобре при перегляді що містять вірус файлів або областейдисків. Щоб ускладнити своє виявлення, деякі віруси шифрують своєвміст, так що під час перегляду заражених ними об'єктів ніякихпідозрілих текстових рядків користувач не побачить.
Ще один спосіб, який застосовується вірусами для того, щоб сховатися відвиявлення - модифікація свого тіла. Це ускладнює знаходження такихвірусів програмами-детекторами - в тілі таких вірусів нема жодноїпостійної ланцюжка байтів, по якій можна було б ідентифікувати вірус.
Такі віруси називаються поліморфними, або самомодіфіцірующіміся. Єпрограми-детектори, здатні виявляти поліморфні віруси, наприклад,
Dr.Web фірми «Діалог-Наука».
Як уберегтися від вірусу.
При активізації зараженого вірусом файлу керування відразу передаєтьсяна вірус, який виконує свої руйнівні дії, а такожпаралельно приписується до інших програм і файлів. Потімтехнологічно відбувається повернення до тих дій, які виконувалися накомп'ютері. При високу швидкодію комп'ютера подібне «відволікання» відрегламентованого ходу робіт для користувача залишається абсолютнонепоміченим. Завдані збитки можуть виявитися не відразу. Зовнішніпрояви присутності вірусу в комп'ютері можуть бути самими різними,наприклад:
. мерехтіння екрану;
. поява на екрані непередбачуваного повідомлення;
. непередбачені вимога зняти захист записи з дискети;
. зміна дати і часу створення заражених файлів;
. зависання комп'ютера і неможливість подолати цю проблему;
. обпадання букв на екрані (іноді з музичним супроводом);
. зникнення деяких програмних файлів по п'ятницях, що припадають на 13-е число місяця;
. незвичайне аварійне завершення роботи;
. знищення інформаційних файлів або їх часткове руйнування;
. уповільнення роботи комп'ютера;
. блокування введення з клавіатури;
. звучання музики;
. поворот символів на екрані;
. блокування запису на жорсткий диск;
. інші види незвичайного «поведінки» комп'ютера.
Особливо небезпечним для користувача є така дія вірусу, якформатування жорсткого диска, що пов'язано з швидкою втратою всієїщо зберігається там інформації. Оскільки від проникнення вірусу не застрахованийні один користувач, то можна, принаймні, скоротити до мінімумуможливі наслідки від присутності в комп'ютері вірусу. Для цьогонеобхідно дотримуватися кількох простих правил:
1) Кожну свою дискету, якщо вона «побувала» на іншому комп'ютері, слід обов'язково перевірити будь-якої доступної антивірусною програмою. Програми такого роду можуть не тільки виявити вірус, але і «вилікувати» дискету. Особливо це стосується ігрових програм, тому що більшість вірусів поширюється саме через них.
2) Аналогічні перевірки необхідно влаштовувати для файлів, отриманих через мережу.
3) Антивірусна програма дуже швидко морально старіє. Тому рекомендується її періодично оновлювати новою версією. Період оновлення програм такого роду складає від одного тижня до одного кварталу.
4) Не знімати захист записи з дискети в ході повсякденних робіт, якщо це не передбачено технологією вирішення завдань.
5) При виявленні вірусу не робити необдуманих дій, тому що це може призвести до втрати тієї інформації, яку ще можна було б врятувати. Саме правильне в такій ситуації - це вимкнути комп'ютер, щоб блокувати діяльність вірусу. Потім завантажити комп'ютер з еталонної дискети операційною системою. Після цього запустити антивірусну програму, у функції якої передбачено не тільки виявлення інфікованих файлів, але і їх лікування. Далі виконати антивірусну програму повторно. Якщо всі операції з видалення вірусу були зроблені правильно, то результатом її роботи має бути інформування користувача про повну відсутність вірусів. Але слід пам'ятати, що програма не повинна бути морально застарілою.
Останнім часом при роботі в мережах, особливо при користуванніелектронною поштою, почастішало проникнення вірусів у комп'ютеркористувача за допомогою читання листів. Тому тут такожслід дотримуватися кількох простих правил:
1) Не відкривати прикріплені до листа файли, крім випадку, коли є попередня домовленість з відправником про їх відправки.
2) Не відкривати прикріплені до листа файли , що прийшли від антивірусних лабораторій, компанії Microsoft і інших. Компанії ніколи не займаються розсилкою файлів.
3) Не відкривати прикріплені до листа файли, якщо тема листа і сам лист порожні.
4) Видаляти всі підозрілі листи. < p> 5) При тривалій відсутності слід перервати підписку на різні електронні розсилки.
Антивірусні програми.
Класифікація антивірусних програм.
Ці програми можна класифікувати за п'ятьма основними групах:фільтри, детектори, ревізори, доктора і вакцинатори.
Антивіруси-фільтри - це резидентні програми, які сповіщаютькористувача про всі спроби будь-якої програми записатися на диск, авже тим більше відформатувати його, а також про інших підозрілих діях
(наприклад про спроби змінити установки CMOS). При цьому виводиться запит продозвіл або заборону даної дії. Принцип роботи цих програмзаснований на перехоплення відповідних векторів переривань. До перевагпрограм цього класу в порівнянні з програмами-детекторами можна віднестиуніверсальність по відношенню як до відомих, так і невідомих вірусів,тоді як детектори пишуться під конкретні, відомі на даний моментпрограмісту види. Це особливо актуально зараз, коли з'явилося безлічвірусів-мутантів, що не мають постійного коду. Однак, програми-фільтри неможуть відслідковувати віруси, які звертаються безпосередньо до BIOS, а також BOOT -віруси, що активізують ще до запуску антивірусу, в початковій стадіїзавантаження DOS, До недоліків також можна віднести часту видачу запитів наздійснення будь-які операції: по всіх питаннях забирають укористувача багато часу і діють йому на нерви. При установцідеяких антивірусів-фільтрів можуть виникати конфлікти з іншимирезидентними програмами, що використовують ті ж переривання, які простоперестають працювати.
Найбільше поширення в нашій країні отримали програми -детектори, а вірніше програми, що поєднують у собі детектор і лікар.
Найбільш відомі представники цього класу - Aidstest, Doctor Web,
MicroSoft AntiVirus далі будуть розглянуті детальніше. Антивіруси-детекторирозраховані на конкретні віруси і засновані на порівнянні послідовностікодів що містяться в тілі вірусу з кодами перевіряються програм. Багатопрограми-детектори дозволяють також «лікувати» заражені файли або диски,видаляючи з них віруси (зрозуміло, лікування підтримується тільки длявірусів, відомих програмі-детектора). Такі програми потрібно регулярнооновлювати, так як вони швидко старіють і не можуть виявляти нові видивірусів.
Ревізори - це програми, які аналізують поточний стан файліві системних областей диска і порівнюють його з інформацією, що зберігаєтьсяраніше в одному з файлів даних ревізора. При цьому перевіряється стан
BOOT-сектора, таблиці FAT, а також довжина файлів, їх час створення,атрибути, контрольна сума. Аналізуючи повідомлення програми-ревізора,користувач може вирішити, чим викликані зміни: вірусом чи ні. Привидачі такого роду повідомлень не слід піддаватися паніці, оскількипричиною змін, наприклад, довжини програми може бути зовсім і не вірус.
До останньої групи відносяться самі неефективні антивіруси --вакцинатори. Вони записують у вакцініруемую програму ознаки конкретноговірусу так, що вірус вважає її вже зараженої.
AIDSTEST
У нашій країні, як вже було сказано вище, особливу популярністьпридбали антивірусні програми, що поєднують в собі функції детекторів ідокторів. Найвідомішою з них є програма AIDSTEST Д.М.
Лозинського. Ця програма була винайдена її в 1988 р. і з тих пір вонапостійно вдосконалюється і поповнюється. У Росії практично на кожному
IBM-сумісному персональному комп'ютері є одна з версій цієї програми.
Одна з останніх версій виявлення, 1500 вірусів.
Програма Aidstest призначена для виправлення програм, зараженихзвичайними (неполіморфнимі) вірусами, не міняють свій код. Це обмеженнявикликано тим, що пошук вірусів цією програмою ведеться за розпізнавальнимкодами. Зате при цьому досягається дуже висока швидкість перевірки файлів.
Aidstest для свого нормального функціонування вимагає, щоб упам'яті не було резидентних антивірусів, які блокують запис у програмніфайли, тому їх слід вивантажити, або, вказавши опцію вивантаження самоїрезидентної програмі, або скористатися відповідною утилітою.
При запуску Aidstest перевіряє оперативну пам'ять на наявність відомихйому вірусів і знешкоджує їх. При цьому паралізуються тільки функціївірусу, пов'язані з розмноженням, а інші побічні ефекти можутьзалишатися. Тому програма після закінчення знешкодження вірусу впам'яті видає запит про перезавантаження. Слід обов'язково наслідувати цейраді, якщо оператор ПЕОМ не є системним програмістом,що займається вивченням властивостей вірусів. При чому слід перезавантажитисякнопкою RESET, тому що при "теплою перезавантаження" деякі віруси можутьзберігатися. До того ж, краще запустити машину і Aidstest з захищеною відзапису дискетою, тому що при запуску з зараженого диска вірус можезаписатися на згадку резидентом і перешкоджати лікуванню.
Aidstest тестує своє тіло на наявність відомих вірусів, а також поперекручувань у своєму коді судить про своє зараження невідомим вірусом. Прице можливі випадки помилкової тривоги, наприклад при стисненні антивірусапакувальником. Програма не має графічного інтерфейсу, і режими їїроботи задаються за допомогою ключів. Вказавши шлях, можна перевірити не весьдиск, а окремий підкаталогу.
Недоліки програми Aidstest:
V Чи не розпізнає поліморфні віруси;
V Чи не забезпечена евристичним аналізатором, що дозволяє знаходити невідомі їй віруси;
V Не вміє перевіряти і лікувати файли в архівах;
V Чи не розпізнає віруси в програмах, оброблених пакувальниками здійснимих файлів типу EXEPACK, DIET, PKLITE і т.д. < p> Переваги Aidstest:
V Легка у використанні;
V Працює дуже швидко;
V Розпізнає значну частину вірусів;
V Добре інтегрована з програмою-ревізором Adinf;
V Працює практично на будь-якому комп'ютері.
DOCTOR WEB
Останнім часом стрімко зростає популярність інший антивіруснийпрограми - Doctor Web, яку пропонує фірма «Діалог-Наука». Цяпрограма була створена в 1994 р. І. О. Даниловим. Dr.Web так само, як і
Aidstest відноситься до класу детекторів - докторів, але на відміну відостаннього має так званий "евристичний аналізатор" - алгоритм,що дозволяє виявляти невідомі віруси. "Лікувальна павутина", якперекладається з англійської назва програми, стала відповіддю вітчизнянихпрограмістів на навалу самомодіфіцірующіхся вірусів-мутантів, якіпри розмноженні модифікують своє тіло так, що не залишається жодноїхарактерною ланцюжка байт, яка була присутня у вихідній версії вірусу. Укористь цієї програми говорить той факт, що велику ліцензію (на 2000комп'ютерів) придбало Головне управління інформаційних ресурсів при
Президентові РФ, а другого за величиною покупець "павутини" - "Інкомбанк".
Управління режимами також як і в Aidtest здійснюється за допомогоюключів. Користувач може вказати програмі тестувати як весь диск,так і окремі підкаталоги або групи файлів, або ж відмовитися відперевірки дисків і тестувати тільки оперативну пам'ять. У свою чергуможна тестувати або тільки базову пам'ять, або, до того ж, ще йрозширену. Як і Aidstest, Doctor Web може створювати звіт про роботу,завантажувати знакогенератор Кирилиці, підтримувати роботу з програмно -апаратним комплексом Sheriff.
Тестування вінчестера Dr.Web-ом займає набагато більше часу,ніж Aidstest-му, тому не кожен користувач може собі дозволитивитрачати стільки часу на щоденну перевірку всього жорсткого диска. Такимкористувачам можна порадити ретельніше перевіряти принесеніззовні дискети. Якщо інформація на дискеті знаходиться в архіві (а вОстаннім часом програми і дані переносяться з машини на машину тільки втакому вигляді; навіть фірми-виробники програмного забезпечення, наприклад
Borland, пакують свою продукцію), слід розпакувати його в окремийкаталог на жорсткому диску і одразу ж, не відкладаючи, запустити Dr.Web,задавши йому як параметр замість імені диска повний шлях до цьогопідкаталогу. І все ж потрібно хоча б раз на два тижні робити повнуперевірку "вінчестера" на віруси із завданням максимального рівняевристичного аналізу.
Так само як і у випадку з Aidstest при початковому тестуванні не вартодозволяти програмі лікувати файли, в яких вона виявить вірус, тому щоне можна виключити, що послідовність байт, прийнята в антивірусі зашаблон може зустрітися в здорової програмі.
На відміну від Aidstest, програма Dr.Web:
V розпізнає поліморфні віруси;
V забезпечена евристичним аналізатором;
V вміє перевіряти і лікувати файли в архівах;
V дозволяє тестувати файли, вакциновані CPAV, а також упаковані
LZEXE, PKLITE, DIET.
Фірма «Діалог-Наука» пропонує різні версії програми DrWeb для DOS.
Як відомо, є дві версії для DOS, які традиційно називаються 16 --розрядної і 32-розрядної (остання також називається Doctor Web для
DOS/386, DrWeb386). У цих назвах (16 - і 32-розрядна) повністювідображена суть відмінності версій для DOS, проте безпосередньо з назввона очевидна лише фахівцям. Лише 32-розрядна версія має всіфункціональними можливостями, притаманними іншим сучасним версіями Doctor
Web (зокрема, версіями для Windows).
16-розрядна версія, в силу обмежень за обсягом доступної пам'яті,накладених операційною системою, не має деякі вкрай важливимина сьогоднішній день "уміннями", зокрема, до неї не включені (і в силузазначених обмежень по пам'яті, не можуть бути включені):
. модулі "обслуговування" відомих вірусів сучасних типів (зокрема, мова йде про макро-і стелс-віруси);
. модулі евристичного аналізатора для виявлення невідомих вірусів сучасних типів;
. модулі розпакування сучасних типів архівів і упакованих Windows-програм тощо.
Таким чином, хоча 16-розрядна версія використовує ту ж вірусну базу
(VDB-файли), що і 32-розрядні версії, відсутність в ній деяких модулівробить обробку відповідних вірусів неможливою.
Крім того, у силу тих же причин, 16-розрядна версія не підтримуєдеякі сучасні програмні та апаратно-технічні засоби, щоможе зробити її роботу нестійкою або некоректною.
Оскільки 32-розрядна версія є повнофункціональною і, як видноз іншого її назви - Doctor Web для DOS/386, може використовуватися прироботі в DOS на комп'ютерах з процесором не нижче 386, всім користувачам,нужденним у версії Doctor Web для DOS, краще використовувати саме її.
Що ж до 16-розрядної версії, то вона продовжує випускатися,оскільки ще існує парк старих машин на платформі 86/286, де 32 --розрядна версія працювати не може.
AVSP
(Anti-Virus Software Protection)
Цікавим програмним продуктом є антивірус AVSP. Цяпрограма поєднує в собі і детектор, і лікар, і ревізор, і навіть маєдеякі функції резидентного фільтра (заборона запису у файли з атрибутом
READ ONLY). Антивірус може лікувати як відомі, так і невідомівіруси, причому про спосіб лікування останніх програмі може повідомити самкористувач. До того ж AVSP може лікувати самомодіфіцірующіеся і Stealth -віруси (невидимки).
При запуску AVSP з'являється система вікон з меню та інформація простан програми. Дуже зручна контекстна система підказок, якадає пояснення до кожного пункту меню. Вона викликається класично, клавішею
F1, і змінюється при переході від пункту до пункту. Так само не маловажнимгідністю в наше століття Windows-ів і "піввісь" (OS/2) є підтримкамиші. Істотний недолік інтерфейсу AVSP - відсутність можливостівибору пунктів меню натисканням клавіші з відповідною буквою, хоча цедещо компенсується можливістю вибрати пункт, натиснувши ALT і цифру,відповідає номеру цього пункту.
До складу пакету AVSP входить також резидентний драйвер AVSP.SYS,який дозволяє виявляти більшість невидимих вірусів (крімвірусів типу Ghost-1963 або DIR), дезактивувати віруси на час своєїроботи, а також забороняє змінювати READ ONLY файли.
Ще одна функція AVSP.SYS - відключення на час роботи AVSP.EXEрезидентних вірусів, правда разом з вірусами драйвер відключає ідеякі інші резидентні програми. При першому запуску AVSP слідпротестувати систему на наявність відомих вірусів. При цьому перевіряєтьсяоперативна пам'ять, BOOT-сектор і файли. У ряді випадків можнавідновлювати навіть файли, зіпсовані невідомим вірусом. Можнавстановити перевірку розмірів файлів, їх контрольних сум, наявність у нихвірусів, або все це разом. Так само можна вказати, що саме перевіряти
(Boot-сектор, пам'ять, або файли). Як і в більшості антивіруснихпрограм, тут користувачеві надається можливість вибрати міжшвидкістю та якістю. Суть швидкісний перевірки полягає в тому, щопроглядається не весь файл, а тол
