Классификация компьютерных вирусов и антивирусных программ. Классификация антивирусов Антивирусные программы классификация

Антивирусная программа (антивирус) -- программа для выявления и удаления компьютерных вирусов и других вредоносных программ, предотвращения их распространения, а также восстановления программ зараженных ими.

Основные задания современных антивирусных программ:

-- Сканирование файлов и программ в режиме реального времени.
-- Сканирование компьютера по требованию.
-- Сканирование интернет-трафика.
-- Сканирование электронной почты.
-- Защита от атак опасных веб-узлов.
-- Восстановление поврежденных файлов (лечение).

Классификация антивирусных программ:

· программы-детекторы обеспечивают поиск и обнаружение вирусов в оперативной памяти и на внешних носителях, и при обнаружении выдают соответствующее сообщение. Различают детекторы:
- 1. универсальные - используют в своей работе проверку неизменности файлов путем подсчета и сравнения с эталоном контрольной суммы
- 2. специализированные - выполняют поиск известных вирусов по их сигнатуре (повторяющемуся участку кода). Недостаток таких детекторов состоит в том, что они неспособны обнаруживать все известные вирусы.

Детектор, позволяющий обнаруживать несколько вирусов, называют полидетектором. Недостатком таких антивирусных про грамм является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.

· Программы-доктора (фаги) не только находят зараженные вирусами файлы, но и "лечат" их, т.е. удаляют из файла тело программы вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к "лечению" файлов. Среди фагов выделяют полифаги, т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов. Учитывая, что постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление их версий.
· Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран монитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры.
· Программы-фильтры (сторожа) представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:
- 1. попытки коррекции файлов с расширениями СОМ и ЕХЕ;
- 2. изменение атрибутов файлов;
- 3. прямая запись на диск по абсолютному адресу;
- 4. запись в загрузочные сектора диска;

Программы-вакцины (иммунизаторы) - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. Существенным недостатком таких программ является их ограниченные возможности по предотвращению заражения от большого числа разнообразных вирусов.

Функции антивирусных программ

Защита от вирусов в реальном времени

Большинство антивирусных программ предлагает защиту в режиме реального времени. Это означает, что антивирусная программа ежесекундно защищает ваш компьютер от всех поступающих угроз. Таким образом, даже если вирус не заразил ваш компьютер, вы должны рассмотреть установку антивирусной программы с режимом защиты в реальном времени с целью предотвращения дальнейшего распространения инфекции.

Обнаружение угроз

Антивирусные программы могут сканировать весь компьютер в поисках вирусов. Прежде всего сканируются наиболее уязвимые области, системные папки, оперативная память. Вы также можете сами выбирать сектора сканирования, или выбрать, например, проверку конкретного жесткого диска. Однако, не все антивирусы одинаковы в своих алгоритмах, и некоторые антивирусные программы имеют более высокий уровень обнаружения, чем другие.

Автоматические обновления

Новые вирусы создаются и появляются каждый день. Поэтому, крайне важным для антивирусных программ является возможность обновления антивирусных баз (списка всех известных вирусов, как старых, так и новых). Автоматическое обновление является необходимым, потому что устаревший антивирус не может обнаруживать новые вирусы и угрозы. Кроме того, если антивирусная программа предлагает только ручное обновление вы можете забывать обновлять антивирусные определения, а ваш компьютер может заразиться новым вирусом. Постарайтесь выбрать антивирус с автоматическим обновлением.

Оповещения

Антивирус предупредит вас, когда какая-либо программа попытается получить доступ к вашему компьютеру. Примером могут служить Интернет-приложения. Многие программы, которые пытаются получить доступ к вашему ПК, безвредны или же вы загрузили их добровольно и, таким образом, антивирусные программы дают вам возможность принять решение самим - разрешать или блокировать их установку или работу.

Антивирусная защита - наиболее распространенная мера для обеспечения информационной безопасности ИТ-инфраструктуры в корпоративном секторе. Однако только 74% российских компаний применяют антивирусные решения для защиты, показало исследование, проведенное «Лабораторией Касперского» совместно с аналитической компанией B2B International (осень 2013 года).

В отчете также говорится, что на фоне взрывного роста киберугроз, от которых компании защищаются простыми антивирусами, российский бизнес начинает все чаще использовать комплексные инструменты защиты. Во многом по этой причине на 7% увеличилось применение средств шифрования данных на съемных носителях (24%). Кроме того, компании стали охотнее разграничивать политики безопасности для съемных устройств. Возросло и разграничение уровня доступа к различным участкам ИТ-инфраструктуры (49%). При это компании малого и среднего бизнеса уделяют большее внимание контролю съемных устройств (35%) и контролю приложений (31%).

Исследователи также обнаружили, что несмотря на постоянное обнаружение новых уязвимостей в программном обеспечении, российские компании все еще не уделяют должного внимания регулярному обновлению программного обеспечения. Более того, количество организаций, занимающихся установкой исправлений, снизилось по сравнению с прошлым годом, и составило всего лишь 59%.

Современные антивирусные программы способны эффективно обнаруживать вредоносные объекты внутри файлов программ и документов. В некоторых случаях антивирус может удалить тело вредоносного объекта из зараженного файла, восстановив сам файл. В большинстве случаев антивирус способен удалить вредоносный программный объект не только из программного файла, но и из файла офисного документа, не нарушив его целостность. Использование антивирусных программ не требует высокой квалификации и доступно практически любому пользователю компьютера .

Большинство антивирусных программ сочетает в себе функции постоянной защиты (антивирусный монитор) и функции защиты по требованию пользователя (антивирусный сканер).

Рейтинг антивирусов

2019: Две трети антивирусов для Android оказались бесполезными

В марте 2019 года австрийская лаборатория AV-Comparatives, специализирующаяся на тестировании антивирусного софта, опубликовала результаты исследования, которые показали бесполезность большинство подобных программ для Android .

Лишь 23 антивируса, размещенного в официальном каталоге Google Play Store , точно распознают вредоносные программы в 100% случаев. Остальной софт либо не реагирует на мобильные угрозы, либо принимает за них абсолютно безопасные приложения.

Специалисты изучили 250 антивирусов и сообщили, что только 80% из них могут выявлять более 30% зловредов. Таким образом, 170 приложений провалили тест. В число продуктов, которые справились с испытаниями, вошли в основном решения крупных производителей, включая Avast , Bitdefender , ESET , F-Secure , G-Data, «Лабораторию Касперского» , McAfee , Sophos , Symantec , Tencent , Trend Micro и Trustwave .

В рамках эксперимента исследователи установили каждое антивирусное приложение на отдельное устройство (без эмулятора) и автоматизировали аппараты на запуск браузера, загрузку и последующую установку вредоносного ПО. Каждое устройство было протестировано на примере 2 тыс. наиболее распространенных в 2018 году Android-вирусов.

Согласно расчетам AV-Comparatives, большинство антивирусных решений для Android являются подделками. Десятки приложений имеют практически идентичный интерфейс, а их создателей явно больше интересует показ рекламы, чем в написание работающего антивирусного сканера.

Некоторые антивирусы «видят» угрозу в любом приложении, которое не внесено в их «белый список». Из-за этого они, в ряде совсем уж анекдотичных случаев, поднимали тревогу из-за своих собственных файлов, так как разработчики забыли упомянуть их в «белом списке».

2017: Microsoft Security Essentials признан одним из самых худших антивирусов

В октябре 2017 года немецкая антивирусная лаборатория AV-Test опубликовала результаты комплексного тестирования антивирусов. По данным исследования, фирменное программное обеспечение Microsoft , предназначенное для защиты от вредоносной активности, почти хуже всех справляется со своими обязанностями.

По результатам испытаний, проведенных в июле-августе 2017 года, эксперты AV-Test назвали лучшим антивирусом для Windows 7 решение Kaspersky Internet Security , которое получило 18 баллов при оценке уровня защиты, производительности и удобства использования.

В тройку лидеров вошли программы Trend Micro Internet Security и Bitdefender Internet Security , заработавшие по 17,5 балла. О положении продуктов других антивирусных компаний, которые попали в исследование, можно узнать из иллюстраций ниже:

Во многих сканерах используются также алгоритмы эвристического сканирования, т.е. анализ последовательности команд в проверяемом объекте, набор некоторой статистики и принятие решения для каждого проверяемого объекта.

Сканеры также можно разделить на две категории - универсальные и специализированные. Универсальные сканеры рассчитаны на поисх и обезвреживание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обезвреживания ограниченного числа вирусов или только одного их класса, например макро-вирусов.

Сканеры также делятся на резидентные (мониторы), производящие сканирование на-лету, и нерезидентные, обеспечивающие проверку системы только по запросу. Как правило, резидентные сканеры обеспечивают более надежную защиту системы, поскольку они немедленно реагируют на появление вируса, в то время как нерезидентный сканер способен опознать вирус только во время своего очередного запуска.

CRC-сканеры

Принцип работы CRC-сканеров основан на подсчете CRC-сумм (контрольных сумм) для присутствующих на диске файлов/системных секторов. Эти CRC-суммы затем сохраняются в базе данных антивируса, как, впрочем, и некоторая другая информация: длины файлов, даты их последней модификации и т.д. При последующем запуске CRC-сканеры сверяют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом.

CRC-сканеры не способны поймать вирус в момент его появления в системе, а делают это лишь через некоторое время, уже после того, как вирус разошелся по компьютеру. CRC-сканеры не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, восстанавливаемых из backup или при распаковке файлов из архива), поскольку в их базах данных отсутствует информация об этих файлах. Более того, периодически появляются вирусы, которые используют эту слабость CRC-сканеров, заражают только вновь создаваемые файлы и остаются, таким образом, невидимыми для них.

Блокировщики

Антивирусные блокировщики - это резидентные программы, перехватывающие вирусо-опасные ситуации и сообщающие об этом пользователю. К вирусо-опасным относятся вызовы на открытие для записи в выполняемые файлы, запись в boot-сектора дисков или MBR винчестера, попытки программ остаться резидентно и т.д., то есть вызовы, которые характерны для вирусов в моменты из размножения.

К достоинствам блокировщиков относится их способность обнаруживать и останавливать вирус на самой ранней стадии его размножения. К недостаткам относятся существование путей обхода защиты блокировщиков и большое количество ложных срабатываний.

Иммунизаторы

Иммунизаторы делятся на два типа: иммунизаторы, сообщающие о заражении, и иммунизаторы, блокирующие заражение. Первые обычно записываются в конец файлов (по принципу файлового вируса) и при запуске файла каждый раз проверяют его на изменение. Недостаток у таких иммунизаторов всего один, но он летален: абсолютная неспособность сообщить о заражении стелс-вирусом. Поэтому такие иммунизаторы, как и блокировщики, практически не используются в настоящее время.

Второй тип иммунизации защищает систему от поражения вирусом какого-то определенного вида. Файлы на дисках модифицируются таким образом, что вирус принимает их за уже зараженные. Для защиты от резидентного вируса в память компьютера заносится программа, имитирующая копию вируса. При запуске вирус натыкается на нее и считает, что система уже заражена.

Такой тип иммунизации не может быть универсальним, поскольку нельзя иммунизировать файлы от всех известных вирусов.

Классификация антивирусов по признаку изменяемости во времени

По мнению Валерия Конявского , антивирусные средства можно разделить на две большие группы - анализирующие данные и анализирующие процессы.

Анализ данных

К анализу данных относятся ревизоры и полифаги. Ревизоры анализируют последствия от деятельности компьютерных вирусов и других вредоносных программ. Последствия проявляются в изменении данных, которые изменяться не должны. Именно факт изменения данных является признаком деятельности вредоносных программ с точки зрения ревизора. Другими словами, ревизоры контролируют целостность данных и по факту нарушения целостности принимают решение о наличии в компьютерной среде вредоносных программ.

Полифаги действуют по-другому. Они на основе анализа данных выделяют фрагменты вредоносного кода (например, по его сигнатуре) и на этой основе делают вывод о наличии вредоносных программ. Удаление или лечение пораженных вирусом данных позволяет предупредить негативные последствия исполнения вредоносных программ. Таким образом, на основе анализа в статике предупреждаются последствия, возникающие в динамике.

Схема работы и ревизоров, и полифагов практически одинакова - сравнить данные (или их контрольную сумму) с одним или несколькими эталонными образцами. Данные сравниваются с данными. Таким образом, для того чтобы найти вирус в своем компьютере, нужно, чтобы он уже сработал, чтобы появились последствия его деятельности. Этим способом можно найти только известные вирусы, для которых заранее описаны фрагменты кода или сигнатуры. Вряд ли такую защиту можно назвать надежной.

Анализ процессов

Несколько по-иному работают антивирусные средства, основанные на анализе процессов. Эвристические анализаторы, так же как и вышеописанные, анализируют данные (на диске, в канале, в памяти и т.п.). Принципиальное отличие состоит в том, что анализ проводится в предположении, что анализируемый код - это не данные, а команды (в компьютерах с фон-неймановской архитектурой данные и команды неразличимы, в связи с этим при анализе и приходится выдвигать то или иное предположение.)

Эвристический анализатор выделяет последовательность операций, каждой из них присваивает некоторую оценку опасности и по совокупности опасности принимает решение о том, является ли данная последовательность операций частью вредоносного кода. Сам код при этом не выполняется.

Другим видом антивирусных средств, основанных на анализе процессов, являются поведенческие блокираторы. В этом случае подозрительный код выполняется поэтапно до тех пор, пока совокупность инициируемых кодом действий не будет оценена как опасное (либо безопасное) поведение. Код при этом выполняется частично, так как завершение вредоносного кода можно будет обнаружить более простыми методами анализа данных.

Технологии обнаружения вирусов

Технологии, применяемые в антивирусах, можно разбить на две группы:

Технологии сигнатурного анализа
Технологии вероятностного анализа

Технологии сигнатурного анализа

Сигнатурный анализ - метод обнаружения вирусов, заключающийся в проверке наличия в файлах сигнатур вирусов. Сигнатурный анализ является наиболее известным методом обнаружения вирусов и используется практически во всех современных антивирусах. Для проведения проверки антивирусу необходим набор вирусных сигнатур, который хранится в антивирусной базе.

Ввиду того, что сигнатурный анализ предполагает проверку файлов на наличие сигнатур вирусов, антивирусная база нуждается в периодическом обновлении для поддержания актуальности антивируса. Сам принцип работы сигнатурного анализа также определяет границы его функциональности - возможность обнаруживать лишь уже известные вирусы - против новых вирусов сигнатурный сканер бессилен.

С другой стороны, наличие сигнатур вирусов предполагает возможность лечения инфицированных файлов, обнаруженных при помощи сигнатурного анализа. Однако, лечение допустимо не для всех вирусов - трояны и большинство червей не поддаются лечению по своим конструктивным особенностям, поскольку являются цельными модулями, созданными для нанесения ущерба.

Грамотная реализация вирусной сигнатуры позволяет обнаруживать известные вирусы со стопроцентной вероятностью.

Технологии вероятностного анализа

Технологии вероятностного анализа в свою очередь подразделяются на три категории:

Эвристический анализ
Поведенческий анализ
Анализ контрольных сумм

Эвристический анализ

Эвристический анализ - технология, основанная на вероятностных алгоритмах, результатом работы которых является выявление подозрительных объектов. В процессе эвристического анализа проверяется структура файла, его соответствие вирусным шаблонам. Наиболее популярной эвристической технологией является проверка содержимого файла на предмет наличия модификаций уже известных сигнатур вирусов и их комбинаций. Это помогает определять гибриды и новые версии ранее известных вирусов без дополнительного обновления антивирусной базы.

Эвристический анализ применяется для обнаружения неизвестных вирусов, и, как следствие, не предполагает лечения. Данная технология не способна на 100% определить вирус перед ней или нет, и как любой вероятностный алгоритм грешит ложными срабатываниями.

Поведенческий анализ

Поведенческий анализ - технология, в которой решение о характере проверяемого объекта принимается на основе анализа выполняемых им операций. Поведенческий анализ весьма узко применим на практике, так как большинство действий, характерных для вирусов, могут выполняться и обычными приложениями. Наибольшую известность получили поведенческие анализаторы скриптов и макросов, поскольку соответствующие вирусы практически всегда выполняют ряд однотипных действий.

Средства защиты, вшиваемые в BIOS, также можно отнести к поведенческим анализаторам. При попытке внести изменения в MBR компьютера, анализатор блокирует действие и выводит соответствующее уведомление пользователю.

Помимо этого поведенческие анализаторы могут отслеживать попытки прямого доступа к файлам, внесение изменений в загрузочную запись дискет, форматирование жестких дисков и т. д.

Поведенческие анализаторы не используют для работы дополнительных объектов, подобных вирусным базам и, как следствие, неспособны различать известные и неизвестные вирусы - все подозрительные программы априори считаются неизвестными вирусами. Аналогично, особенности работы средств, реализующих технологии поведенческого анализа, не предполагают лечения.

Анализ контрольных сумм

Анализ контрольных сумм - это способ отслеживания изменений в объектах компьютерной системы. На основании анализа характера изменений - одновременность, массовость, идентичные изменения длин файлов - можно делать вывод о заражении системы. Анализаторы контрольных сумм (также используется название ревизоры изменений) как и поведенческие анализаторы не используют в работе дополнительные объекты и выдают вердикт о наличии вируса в системе исключительно методом экспертной оценки. Подобные технологии применяются в сканерах при доступе - при первой проверке с файла снимается контрольная сумма и помещается в кэше, перед следующей проверкой того же файла сумма снимается еще раз, сравнивается, и в случае отсутствия изменений файл считается незараженным.

Антивирусные комплексы

Антивирусный комплекс - набор антивирусов, использующих одинаковое антивирусное ядро или ядра, предназначенный для решения практических проблем по обеспечению антивирусной безопасности компьютерных систем. В антивирусный комплекс также в обязательном порядке входят средства обновления антивирусных баз.

Помимо этого антивирусный комплекс дополнительно может включать в себя поведенческие анализаторы и ревизоры изменений, которые не используют антивирусное ядро.

Выделяют следующие типы антивирусных комплексов:

Антивирусный комплекс для защиты рабочих станций
Антивирусный комплекс для защиты файловых серверов
Антивирусный комплекс для защиты почтовых систем
Антивирусный комплекс для защиты шлюзов.

Облачный и традиционный настольный антивирус: что выбрать?

(По материалам ресурса Webroot.com)

Современный рынок антивирусных средств – это в первую очередь традиционные решения для настольных систем, механизмы защиты в которых построены на базе сигнатурных методов. Альтернативный способ антивирусной защиты – применение эвристического анализа.

Проблемы традиционного антивирусного ПО

В последнее время традиционные антивирусные технологии становятся все менее эффективными, быстро устаревают, что обусловлено рядом факторов. Количество вирусных угроз, распознаваемых по сигнатурам, уже настолько велико, что обеспечить своевременное 100%-ное обновление сигнатурных баз на пользовательских компьютерах – это часто нереальная задача. Хакеры и киберпреступники все чаще используют ботнеты и другие технологии, ускоряющие распространение вирусных угроз нулевого дня. Кроме того, при проведении таргетированных атак сигнатуры соответствующих вирусов не создаются. Наконец, применяются новые технологии противодействия антивирусному обнаружению: шифрование вредоносного ПО, создание полиморфных вирусов на стороне сервера, предварительное тестирование качества вирусной атаки.

Традиционная антивирусная защита чаще всего строится в архитектуре «толстого клиента». Это означает, что на компьютер клиента устанавливается объемный программный код. С его помощью выполняется проверка поступающих данных и выявляется присутствие вирусных угроз.

Такой подход имеет ряд недостатков. Во-первых, сканирование в поисках вредоносного ПО и сравнение сигнатур требует значительной вычислительной нагрузки, которая «отнимается» у пользователя. В результате продуктивность компьютера снижается, а работа антивируса иногда мешает выполнять параллельно прикладные задачи. Иногда нагрузка на пользовательскую систему бывает настолько заметна, что пользователи отключают антивирусные программы, убирая тем самым заслон перед потенциальной вирусной атакой.

Во-вторых, каждое обновление на машине пользователя требует пересылки тысяч новых сигнатур. Объем передаваемых данных обычно составляет порядка 5 Мбайт в день на одну машину. Передача данных тормозит работу сети, отвлекает дополнительные системные ресурсы, требует привлечения системных администраторов для контроля трафика.

В-третьих, пользователи, находящиеся в роуминге или на удалении от стационарного места работы, оказываются беззащитны перед атаками нулевого дня. Для получения обновленной порции сигнатур они должны подключиться к VPN -сети, которая удаленно им недоступна.

Антивирусная защита из облака

При переходе на антивирусную защиту из облака архитектура решения существенно меняется. На компьютере пользователя устанавливается «легковесный» клиент, основная функция которого – поиск новых файлов, расчет хэш-значений и пересылка данных облачному серверу. В облаке проводится полномасштабное сравнение, выполняемое на большой базе собранных сигнатур. Эта база постоянно и своевременно обновляется за счет данных, передаваемых антивирусными компаниями. Клиент получает отчет с результатами проведенной проверки.

Таким образом, облачная архитектура антивирусной защиты имеет целый ряд преимуществ:

объем вычислений на пользовательском компьютере оказывается ничтожно мал по сравнению с толстым клиентом, следовательно, продуктивности работы пользователя не снижается;
нет катастрофического влияния антивирусного трафика на пропускную способность сети: пересылке подлежит компактная порция данных, содержащая всего несколько десятков хэш-значений, средний объем дневного трафика не превышает 120 Кбайт;
облачное хранилище содержит огромные массивы сигнатур, значительно больше тех, которые хранятся на пользовательских компьютерах;
алгоритмы сравнения сигнатур, применяемые в облаке, отличаются значительно более высокой интеллектуальностью по сравнению с упрощенными моделями, которые используются на уровне локальных станций, а благодаря более высокой производительности для сравнения данных требуется меньше времени;
облачные антивирусные службы работают с реальными данными, получаемыми от антивирусных лабораторий, разработчиков средств безопасности, корпоративных и частных пользователей; угрозы нулевого дня блокируются одновременно с их распознаванием, без задержки, вызванной необходимостью получения доступа к пользовательским компьютерами;
пользователи в роуминге или не имеющие доступа к своим основным рабочим местам, получают защиту от атак нулевого дня одновременно с выходом в Интернет;
снижается загрузка системных администраторов: им не требуется тратить время на установку антивирусного ПО на компьютеры пользователей, а также обновления баз сигнатур.

Почему традиционные антивирусы не справляются

Современный вредоносный код может:

Обойти ловушки антивирусов создав специальный целевой вирус под компанию
До того как антивирус создаст сигнатуру он будет уклоняться, используя полиморфизм, перекодирование, используя динамические DNS и URL

Целевое создание под компанию
Полиморфизм
Неизвестный еще никому код – нет сигнатуры

Сложно защититься

Скоростные антивирусы 2011 года

Российский независимый информационно-аналитический центр Anti-Malware.ru опубликовал в мае 2011 года результаты очередного сравнительного теста 20 наиболее популярных антивирусов на быстродействие и потребление системных ресурсов.

Цель данного теста - показать, какие персональные антивирусы оказывает наименьшее влияние на осуществление пользователем типовых операций на компьютере, меньше "тормозят" его работу и потребляют минимальное количество системных ресурсов.

Среди антивирусных мониторов (сканеров в режиме реального времени) целая группа продуктов продемонстрировала очень высокую скорость работы, среди них: Avira, AVG, ZoneAlarm, Avast, Антивирус Касперского, Eset, Trend Micro и Dr.Web. С этими антивирусами на борту замедление копирования тестовой коллекции составило менее 20% по сравнению с эталоном. Антивирусные мониторы BitDefender, PC Tools, Outpost, F-Secure, Norton и Emsisoft также показали высокие результаты по быстродействию, укладывающиеся в диапазон 30-50%. Антивирусные мониторы BitDefender, PC Tools, Outpost, F-Secure, Norton и Emsisoft также показали высокие результаты по быстродействию, укладывающиеся в диапазон 30-50%.

При этом Avira, AVG, BitDefender, F-Secure, G Data, Антивирус Касперского, Norton, Outpost и PC Tools в реальных условиях могут быть значительно быстрее за счет имеющейся у них оптимизации последующий проверок.

Наилучшую скорость сканирования по требованию показал антивирус Avira. Немного уступили ему Антивирус Касперского, F-Secure, Norton, G Data, BitDefender, Антивирус Касперского и Outpost. По скорости первого сканирования эти антивирусы лишь немного уступают лидеру, в тоже время все они имеют в своем арсенале мощные технологии оптимизации повторных проверок.

Еще одной важной характеристикой скорости работы антивируса является его влияние на работу прикладных программ, с которыми часто работает пользователь. В качестве таких для теста были выбраны пять: Internet Explorer, Microsoft Office Word, Microsoft Outlook , Adobe Acrobat Reader и Adobe Photoshop. Наименьшее замедление запуска этих офисных программ показали антивирусы Eset, Microsoft, Avast, VBA32, Comodo, Norton, Trend Micro, Outpost и G Data.

Пользователь современного персонального компьютера имеет свободный доступ ко всем ресурсам машины. Именно это открыло возможность для существования опасности, которая получила название компьютерного вируса.

Компьютерным вирусом называется специально написанная программа, способная самопроизвольно присоединяться к другим программам, создавать свои копии и внедрять их в файлы, системные области компьютера и в вычислительные сети с целью нарушения работы программ, порчи файлов и каталогов, создания всевозможных помех в работе на компьютере. В зависимости от среды обитания вирусы можно разделить на сетевые, файловые, загрузочные, файлово-загрузочные, макровирусы и троянские программы.

Сетевые вирусы распространяются по различным компьютерным сетям.
Файловые вирусы внедряются главным образом в исполняемые модули. Файловые вирусы могут внедряться и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не получают управление и, следовательно, теряют способность к размножению.
Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Record).
Файлово-загрузочные вирусы заражают как файлы, так и загрузочные секторы дисков.
Макровирусы написаны на языках высокого уровня и поражают файлы документов приложений, которые имеют встроенные языки автоматизации (макроязыки), такие, например, как приложения семейства Microsoft Office.
Троянские программы , маскируясь под полезные программы, являются источником заражения компьютера вирусами.

Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными. Различают следующие виды антивирусных программ :

- программы-детекторы;
- программы-доктора, или фаги;
- программы-ревизоры;
- программы-фильтры;
- программы-вакцины, или иммунизаторы.

Программы-детекторы осуществляют поиск характерной для конкретного вируса сигнатуры в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.

Программы-доктора , или фаги, а также программы-вакцины не только находят зараженные вирусами файлы, но и «лечат» их, т. е. удаляют из файла тело программы-вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов. Среди фагов выделяют полифаги , т. е. программы-доктора, предназначенные для поиска н уничтожения большого количества вирусов. Наиболее известные из них: Kaspersky Antivirus, Norton AntiVirus, Doctor Web.

В связи с тем, что постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление версий.

Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран монитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры. Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже отличить изменения версии проверяемой программы от изменений, внесенных вирусом. К числу программ-ревизоров относится широко распространенная программа Kaspersky Monitor.

Программы-фильтры или «сторожа» представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

- попытки коррекции файлов с расширениями СОМ. ЕХЕ;
- изменение атрибутов файла;
- прямая запись на диск по абсолютному адресу;
- запись в загрузочные секторы диска;

Для уничтожения вирусов требуется применить другие программы, например фаги. К недостаткам программ-сторожей можно отнести их «назойливость» (например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла), а также возможные конфликты с другим программным обеспечением.

Вакцины или иммунизаторы — это резидентные программы. предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.

Своевременное обнаружение зараженных вирусами файлов и дисков, полное уничтожение обнаруженных вирусов на каждом компьютере позволяют избежать распространения вирусной эпидемии на другие компьютеры.

Классификация вирусов

Компьютерный вирус – это небольшая по размерам программа, ориентированная на существование и размножение в файле за счет его несанкционированного изменения, т.е. заражения , а также выполнения нежелательных действий на компьютере. Признаками заражения являются: невозможность загрузки операционной системы; некоторые программы перестают работать или начинают работать неправильно; на экран выводятся посторонние символы, сообщения; работа на компьютере существенно замедляется; некоторые файлы оказываются испорченными или исчезают; изменяется размер файлов; дата и время их модификации; увеличивается количество файлов на диске и т.д.

Основными источниками заражения являются электронная почта, Интернет, локальная сеть, съемные диски (дискеты и CD-ROM). Не следует запускать на исполнение файлы, полученные из сомнительного источника и предварительно не проверенные антивирусными программами, устанавливать общий доступ к папкам и файлам компьютера, работающего в сети.

Главные направления профилактики заражения вирусами:

1. Периодическая проверка на наличие вирусов с использованием свежих версий антивирусных программ;

2. Проверка поступающих извне данных;

3. Копирование информации и жесткое разграничение доступа.

Объектами вирусной атаки являются загрузчик ОС, главная загрузочная запись диска, драйверы устройств, программы и документы.

По «среде обитания» вирусы делятся на файловые , системные , загрузочные , файлово-загрузочные, макровирусы и сетевые .

Файловые вирусы в основном заражают исполняемые файлы с расширением имени.com и.exe; системные вирусы – модули операционной системы, драйверы устройств, таблицы размещения файлов и таблицы разделов; загрузочные внедряются в сектор начальной загрузки. Многофункциональные вирусы – файлово-загрузочные – повреждают загрузочные секторы дисков и файлы.

Средой обитания сетевых вирусов являются компьютерные сети. В настоящее время это наиболее распространенный тип вирусов, которые передаются чаще всего в виде присоединенных файлов почтовых сообщений.

Очень распространены в настоящее время так называемые макровирусы , которые используют возможности макроязыков, встроенных в офисные пакеты.

По “степени воздействия” вирусы подразделяются на: безвредные, неопасные, опасные и разрушительные.

На проявление и функционирование вируса большое влияние оказывает “особенность алгоритма”, реализованного в программе-вирусе. Например, так называемые вирусы-репликаторы очень быстро размножаются и заполняют оперативную память своими копиями, причем, обычно копия не полностью соответствует оригиналу, что затрудняет нахождение и уничтожение вируса. Аналогично действуют вирусы-черви , которые обитают в компьютерных сетях и рассылают свои копии по компьютерам сети. При уничтожении вируса на каком-либо компьютере происходит его повторное заражение.

Некоторые вирусы маскируются под полезные программы, но дополнительно выполняют разрушительные действия (например, сбор конфиденциальной информации – паролей, имен) вплоть до уничтожения системы. Такие вирусы называют «троянскими конями ».

Программы-вирусы могут встраиваться в программные комплексы. Обычно они бездействуют до наступления определенного события, после чего реализуются заложенные в них функции. Такие вирусы называют логическими бомбами.

Вирусы-невидимки (стелс-вирусы ) очень трудно обнаружить и обезвредить, так как они перехватывают обращения операционной системы к пораженным файлам и секторам дисков и подставляют вместо своего тела незараженные объекты.

По способу заражения среды обитания вирусы подразделяются на резидентные и нерезидентные . Первые характеризуются тем, что вирус постоянно размещается в оперативной памяти, перехватывает обращения ОС к другим объектам и заражает их. Вторые – активны ограниченное время и память не заражают.

Широкое распространение компьютерных вирусов, вирусные атаки в глобальной сети Internet привели к развитию такого направления в разработке программного обеспечения как создание антивирусных программ.

Классификация антивирусных программ

Антивирусные программы предназначены для предотвращения заражения и ликвидации последствий заражения вирусом. Они могут контролировать обращения к жесткому диску и предупреждать пользователя о подозрительной активности, а также обеспечивают надежную защиту почтовых сообщений от вирусов.

По выполняемым функциям антивирусные программы подразделяют на следующие типы: детекторы; доктора; ревизоры; фильтры или сторожа; вакцины или иммунизаторы.

Программы-ревизоры запоминают исходное состояние программ, каталогов и системных областей до заражения компьютера и периодически его сравнивают с текущим состоянием. При обнаружении несоответствия пользователю выдается предупреждение.

Программы-фильтры представляют собой резидентные программы, которые обеспечивают обнаружение подозрительных действий при работе компьютера, например, попыток изменения исполняемых файлов, изменения атрибутов файлов, записи в загрузочный сектор диска и др.

Программы-детекторы настроены на обнаружение заражения одним или несколькими известными вирусами. Большинство программ-детекторов выполняют также функцию «доктора», т.е. они пытаются вернуть зараженные файлы и области диска в исходное состояние, те файлы, которые не удалось восстановить, обычно делаются неработоспособными и удаляются.

Программы-доктора обнаруживают и лечат зараженные объекты путем «выкусывания» тела вируса. Программы этого типа подразделяются на фаги и полифаги (обнаружение и уничтожение большого количества разнообразных вирусов).

Программы-вакцины выполняют модификацию файла или диска таким образом, чтобы это не отражалось на их работе, но вирус считал бы их уже зараженными. Вакцинация осуществляется только от известных вирусов.

Программа-полифаг Doctor Web (разработчик: И. Данилов ) выполняет поиск и удаление известных ему вирусов из памяти и с дисков компьютера. Наличие интеллектуального эвристического анализатора позволяет обнаружить новые, ранее неизвестные вирусы и модификации известных. Антивирус Dr.Web проверяет почту, приходящую по протоколу POP3, до обработки ее почтовым клиентом, а также проверяет почту, исходящую по протоколу SMTP. Антивирусный сторож (монитор ), работая автоматически, проверяет файлы «на лету» при обращении к ним из какой-либо программы, оповещает пользователя при обнаружении инфицированных и подозрительных файлов. В программе используется интеллектуальная технология контроля вирусной активности, заключающаяся в анализе действий, которые совершают программы. Анализ построен таким образом, что практически полностью исключает «ложную тревогу» и вместе с тем позволяет пресечь любые действия, которые может совершить вредоносная программа. Антивирусный сканер позволяет обнаруживать зараженные объекты на всех носителях и в оперативной памяти компьютера, а также обезвреживать вирусы.

AVP (AntiVirus Protect, разработчик – Лаборатория Касперского ) позволяет лечить и проверять упакованные и архивные файлы, сетевые диски. Благодаря уникальной технологии сканирования она обнаруживает и удаляет вирусы в архивированных и сжатых файлах более чем 700 различных форматов. Кроме этого в архивах формата ZIP Антивирус Касперского способен удалять из зараженного сжатого файла вредоносные коды и лечить файлы. Интегрированный модуль Office Guard™ создает максимально защищенное пространство для приложений Microsoft Office. Благодаря этому Антивирус Касперского Personal Pro обеспечивает полный контроль над всеми офисными документами и гарантирует стопроцентную защиту даже от неизвестных макровирусов.

Norton AntiVirus автоматически защищает от вирусов, злонамеренных программ ActiveX, апплетов Java при пользовании Internet и работе с дискетами, CD или сетью, проверяет входящие приложения в самых распространенных программах электронной почты, обнаруживает вирусы и лечит сжатые файлы. Беспрепятственно пропускает незараженные файлы, но задерживает файлы с вирусами еще до того, как они могут войти в вашу систему и нанести ей вред. Norton AntiVirus 2003 автоматически удаляет опасные программные коды, а также защищает от вирусов вложения в сообщениях и электронных письмах, гарантирует максимальный уровень безопасности благодаря возможности постоянного автоматического обновления антивирусных баз и созданию всесторонней защиты пользователей от проникновения опасных программных кодов. Уникальная эвристическая технология способна выявлять почтовых «червей», подобных Nimda и Badtrans, и останавливать их еще до того, как они получат возможность для дальнейшего распространения с исходящей почтой.

Профессиональная версия (Pro ) помимо всех функциональных возможностей стандартного выпуска включает еще средства восстановления данных и очистки системы, предусмотренные специально для профессионалов в области информационных технологий и предприятий малого бизнеса. Эти инструменты позволяют пользователям защищать и восстанавливать критически важные файлы, а также сохранять должный уровень конфиденциальности путем фрагментирования ненужных более файлов.

Panda Titanium Antivirus 2004 (разработчик Panda Software ) – антивирусная программа последнего поколения с улучшенной технологией обнаружения и удаления вирусов любого типа, обеспечивает защиту от любой программы, документа или электронного письма, которые могут нанести вред системе компьютера. Благодаря эффективным эвристическим технологиям программное обеспечение Panda особенно эффективно в борьбе против новых неизвестных вирусов, которые могут появиться в будущем, автоматически обнаруживает и удаляет все типы вирусов во время получения/отправки электронной почты, загрузки файлов или работы в Internet, защищает от «дозвонщиков» – программ, которые незаметно подключают модем к платным номерам, утилит скрытого управления, опасных скрытых файлов, программ с опасными скрытыми файлами и других угроз безопасности. Программа выявляет и уничтожает ошибки в программном обеспечении, установленном на компьютере, и проводит самодиагностику, чтобы гарантировать бесперебойную и продуктивную работу антивируса.

Рассмотрим работу программы Kaspersky Anti-Virus при проверке на наличие вирусов личной дискеты и папки Мои документы .

1. Загрузите программуKaspersky Anti-Virus Scanner командой Пуск Программы Kaspersky Аnti-Virus Kaspersky Anti-Virus Scanner.

2. Для отображения проверяемых объектов в окне Kaspersky Anti-Virus Scanner в левой части выберите категорию Объекты, щелкните на кнопке[Эксперт] и установите флажки для диска А : и папки Мои документы (вложенные папки можно открыть так же, как в Проводнике ).

3. В правой области окна укажите порядок действий программы в случае обнаружения вируса. Рекомендуется отметить флажками следующие пункты:

· Лечить, а если лечение невозможно, то удалять объект.

· Сканировать файлы следующих типов: все файлы.

· Сканировать составные файлы: здесь отметить все пункты.

4. Запустите сканирование, выбрав команду Сканирование Начать сканирование .

5. Для наблюдения за процессом проверки на вирусы и лечения дисков нажмите кнопку [Статистика].

Проверим на наличие вирусов личную дискету и папку Мои документы с помощью программы Norton AntiVirus Professional Edition.

1. Загрузите Norton AntiVirus Professional Edition командой Пуск Программы Norton AntiVirus Norton AntiVirus 2003 Professional Edition

2. Установите параметры проверки.

3. Перейдите на вкладку Scan for Virus для задания объектов проверки: для проверки дискеты щелкните на кнопке .

4. Внизу окна в области Actions выберите .

5. Для проверки папки Мои документы дважды щелкните на кнопке и в открывшемся окне выберите нужную папку и нажмите кнопку .

На вкладке Reports просмотрите в виде отчетов результаты проверки.

ВВЕДЕНИЕ

Мы живем на стыке двух тысячелетий, когда человечество вступило в эпоху новой научно-технической революции.

К концу двадцатого века люди овладели многими тайнами превращения вещества и энергии и сумели использовать эти знания для улучшения своей жизни. Но кроме вещества и энергии в жизни человека огромную роль играет еще одна составляющая - информация. Это самые разнообразные сведения, сообщения, известия, знания, умения.

В середине нашего столетия появились специальные устройства - компьютеры, ориентированные на хранение и преобразование информации и произошла компьютерная революция.

Сегодня массовое применение персональных компьютеров, к сожалению, оказалось связанным с появлением самовоспроизводящихся программ-вирусов, препятствующих нормальной работе компьютера, разрушающих файловую структуру дисков и наносящих ущерб хранимой в компьютере информации.

Несмотря на принятые во многих странах законы о борьбе с компьютерными преступлениями и разработку специальных программных средств защиты от вирусов, количество новых программных вирусов постоянно растет. Это требует от пользователя персонального компьютера знаний о природе вирусов, способах заражения вирусами и защиты от них. Это и послужило стимулом для выбора темы моей работы.

Именно об этом я рассказываю в своем реферате. Я показываю основные виды вирусов, рассматриваю схемы их функционирования, причины их появления и пути проникновения в компьютер, а также предлагаю меры по защите и профилактике.

Цель работы - ознакомить пользователя с основами компьютерной вирусологии, научить обнаруживать вирусы и бороться с ними. Метод работы - анализ печатных изданий по данной теме. Передо мной встала непростая задача - рассказать о том, что еще очень мало исследовалось, и как это получилось - судить вам.

1. КОМПЬЮТЕРНЫЕ ВИРУСЫ, ИХ СВОЙСТВА И КЛАССИФИКАЦИЯ

1.1. Свойства компьютерных вирусов

Сейчас применяются персональные компьютеры, в которых пользователь имеет свободный доступ ко всем ресурсам машины. Именно это открыло возможность для опасности, которая получила название компьютерного вируса.

Что такое компьютерный вирус? Формальное определение этого понятия до сих пор не придумано, и есть серьезные сомнения, что оно вообще может быть дано. Многочисленные попытки дать «современное» определение вируса не привели к успеху. Чтобы почувствовать всю сложность проблемы, попробуйте к примеру, дать определение понятия «редактор». Вы либо придумаете нечто очень общее, либо начнете перечислять все известные типы редакторов. И то и другое вряд ли можно считать приемлемым. Поэтому мы ограничимся рассмотрением некоторых свойств компьютерных вирусов, которые позволяют говорить о них как о некотором определенном классе программ.

Прежде всего вирус - это программа. Такое простое утверждение само по себе способно развеять множество легенд о необыкновенных возможностях компьютерных вирусов. Вирус может перевернуть изображение на вашем мониторе, но не может перевернуть сам монитор. К легендам о вирусах-убийцах, «уничтожающих операторов посредством вывода на экран смертельной цветовой гаммы 25-м кадром» также не стоит относиться серьезно. К сожалению, некоторые авторитетные издания время от времени публикуют «самые свежие новости с компьютерных фронтов», которые при ближайшем рассмотрении оказываются следствием не вполне ясного понимания предмета.

Вирус - программа, обладающая способностью к самовоспроизведению. Такая способность является единственным средством, присущим всем типам вирусов. Но не только вирусы способны к самовоспроизведению. Любая операционная система и еще множество программ способны создавать собственные копии. Копии же вируса не только не обязаны полностью совпадать с оригиналом, но и могут вообще с ним не совпадать!

Вирус не может существовать в «полной изоляции»:сегодня нельзя представить себе вирус, который не использует код других программ, информацию о файловой структуре или даже просто имена других программ. Причина понятна: вирус должен каким-нибудь способом обеспечить передачу себе управления.

1.2. Классификация вирусов

В настоящее время известно более 5000 программных вирусов, их можно классифицировать по следующим признакам:

¨ среде обитания

¨ способу заражения среды обитания

¨ воздействию

¨ особенностям алгоритма

В зависимости от среды обитания вирусы можно разделить на сетевые, файловые, загрузочные и файлово-загрузочные. Сетевые вирусы распространяются по различным компьютерным сетям. Файловые вирусы внедряются главным образом в исполняемые модули, т. е. В файлы, имеющие расширения COM и EXE. Файловые вирусы могут внедряться и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не получают управление и, следовательно, теряют способность к размножению. Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Re-

cord). Файлово-загрузочные вирусы заражают как файлы, так и загрузочные сектора дисков.

По способу заражения вирусы делятся на резидентные и нерезидентные. Резидентный вирус при заражении (инфицировании) компьютера оставляет в оперативной памяти свою резидентную часть, которая потом перехватывает обращение операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т. п.) и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

По степени воздействия вирусы можно разделить на следующие виды:

¨ неопасные , не мешающие работе компьютера, но уменьшающие объем свободной оперативной памяти и памяти на дисках, действия таких вирусов проявляются в каких-либо графических или звуковых эффектах

¨ опасные вирусы, которые могут привести к различным нарушениям в работе компьютера

¨ очень опасные , воздействие которых может привести к потере программ, уничтожению данных, стиранию информации в системных областях диска.

2. ОСНОВНЫЕ ВИДЫ ВИРУСОВ И СХЕМЫ ИХ ФУНКЦИОНИРОВАНИЯ

Среди всего разнообразия вирусов можно выделить следующие основные группы:

¨ загрузочные

¨ файловые

¨ файлово-загрузочные

Теперь поподробнее об каждой из этих групп.

2.1. Загрузочные вирусы

Рассмотрим схему функционирования очень простого загрузочного вируса, заражающего дискеты. Мы сознательно обойдем все многочисленные тонкости, которые неизбежно встретились бы при строгом разборе алгоритма его функционирования.

Что происходит, когда вы включаете компьютер? Первым делом управление передается программе начальной загрузки , которая хранится в постоянно запоминающем устройстве (ПЗУ) т.е. ПНЗ ПЗУ.

Эта программа тестирует оборудование и при успешном завершении проверок пытается найти дискету в дисководе А:

Всякая дискета размечена на т.н. секторы и дорожки. Секторы объединяются в кластеры, но это для нас несущественно.

Среди секторов есть несколько служебных, используемых операционной системой для собственных нужд (в этих секторах не могут размещаться ваши данные). Среди служебных секторов нас пока интересует один - т.н. сектор начальной загрузки (boot-sector).

В секторе начальной загрузки хранится информация о дискете - количество поверхностей, количество дорожек, количество секторов и пр. Но нас сейчас интересует не эта информация, а небольшая программа начальной загрузки (ПНЗ), которая должна загрузить саму операционную систему и передать ей управление.

Таким образом, нормальная схема начальной загрузки следующая:

Теперь рассмотрим вирус. В загрузочных вирусах выделяют две части - т.н. голову и т.н. хвост . Хвост, вообще говоря, может быть пустым.

Пусть у вас имеются чистая дискета и зараженный компьютер, под которым мы понимаем компьютер с активным резидентным вирусом. Как только этот вирус обнаружит, что в дисководе появилась подходящая жертва - в нашем случае не защищенная от записи и еще не зараженная дискета, он приступает к заражению. Заражая дискету, вирус производит следующие действия:

Выделяет некоторую область диска и помечает ее как недоступную операционной системе, это можно сделать по-разному, в простейшем и традиционном случае занятые вирусом секторы помечаются как сбойные (bad)

Копирует в выделенную область диска свой хвост и оригинальный (здоровый) загрузочный сектор

Замещает программу начальной загрузки в загрузочном секторе (настоящем) своей головой

Организует цепочку передачи управления согласно схеме.

Таким образом, голова вируса теперь первой получает управление, вирус устанавливается в память и передает управление оригинальному загрузочному сектору. В цепочке

ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

появляется новое звено:

ПНЗ (ПЗУ) - ВИРУС - ПНЗ (диск) - СИСТЕМА

Мораль ясна: никогда не оставляйте (случайно) дискет в дисководе А.

Мы рассмотрели схему функционирования простого бутового вируса, живущего в загрузочных секторах дискет. Как правило, вирусы способны заражать не только загрузочные секторы дискет, но и загрузочные секторы винчестеров. При этом в отличие от дискет на винчестере имеются два типа загрузочных секторов, содержащих программы начальной загрузки, которые получают управление. При загрузке компьютера с винчестера первой берет на себя управление программа начальной загрузки в MBR (Master Boot Record - главная загрузочная запись). Если ваш жесткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочный (boot). Программа начальной загрузки в MBR находит загрузочный раздел винчестера и передает управление на программу начальной загрузки этого раздела. Код последней совпадает с кодом программы начальной загрузки, содержащейся на обычных дискетах, а соответствующие загрузочные секторы отличаются только таблицами параметров. Таким образом, на винчестере имеются два объекта атаки загрузочных вирусов - программа начальной загрузки в MBR и программа начальной загрузки в бут-секторе загрузочного диска.

2.2. Файловые вирусы

Рассмотрим теперь схему работы простого файлового вируса. В отличие от загрузочных вирусов, которые практически всегда резидентны, файловые вирусы совсем не обязательно резидентны. Рассмотрим схему функционирования нерезидентного файлового вируса. Пусть у нас имеется инфицированный исполняемый файл. При запуске такого файла вирус получает управление, производит некоторые действия и передает управление «хозяину» (хотя еще неизвестно, кто в такой ситуации хозяин).

Какие же действия выполняет вирус? Он ищет новый объект для заражения - подходящий по типу файл, который еще не заражен (в том случае, если вирус «приличный», а то попадаются такие, что заражают сразу, ничего не проверяя). Заражая файл, вирус внедряется в его код, чтобы получить управление при запуске этого файла. Кроме своей основной функции - размножения, вирус вполне может сделать что-нибудь замысловатое (сказать, спросить, сыграть) - это уже зависит от фантазии автора вируса. Если файловый вирус резидентный, то он установится в память и получит возможность заражать файлы и проявлять прочие способности не только во время работы зараженного файла. Заражая исполняемый файл, вирус всегда изменяет его код - следовательно, заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:

à он не обязан менять длину файла

à неиспользуемые участки кода

à не обязан менять начало файла

Наконец, к файловым вирусам часто относят вирусы, которые «имеют некоторое отношение к файлам», но не обязаны внедряться в их код. Рассмотрим в качестве примера схему функционирования вирусов известного семейства Dir-II. Нельзя не признать, что появившись в 1991 г., эти вирусы стали причиной настоящей эпидемии чумы в России. Рассмотрим модель, на которой ясно видна основная идея вируса. Информация о файлах хранится в каталогах. Каждая запись каталога включает в себя имя файла, дату и время создания, некоторую дополнительную информацию, номер первого кластера файла и т.н. резервные байты . Последние оставлены «про запас» и самой MS-DOS не используются.

При запуске исполняемых файлов система считывает из записи в каталоге первый кластер файла и далее все остальные кластеры. Вирусы семейства Dir-II производят следующую «реорганизацию» файловой системы: сам вирус записывается в некоторые свободные секторы диска, которые он помечает как сбойные. Кроме того, он сохраняет информацию о первых кластерах исполняемых файлов в резервных битах, а на место этой информации записывает ссылки на себя.

Таким образом, при запуске любого файла вирус получает управление (операционная система запускает его сама), резидентно устанавливается в память и передает управление вызванному файлу.

2.3. Загрузочно-файловые вирусы

Мы не станем рассматривать модель загрузочно-файлового вируса, ибо никакой новой информации вы при этом не узнаете. Но здесь представляется удобный случай кратко обсудить крайне «популярный» в последнее время загрузочно-файловый вирус OneHalf, заражающий главный загрузочный сектор (MBR) и исполняемые файлы. Основное разрушительное действие - шифрование секторов винчестера. При каждом запуске вирус шифрует очередную порцию секторов, а зашифровав половину жесткого диска, радостно сообщает об этом. Основная проблема при лечении данного вируса состоит в том, что недостаточно просто удалить вирус из MBR и файлов, надо расшифровать зашифрованную им информацию. Наиболее «смертельное» действие - просто переписать новый здоровый MBR. Главное - не паникуйте. Взвесьте все спокойно, посоветуйтесь со специалистами.

2.4. Полиморфные вирусы

Большинство вопросов связано с термином «полиморфный вирус». Этот вид компьютерных вирусов представляется на сегодняшний день наиболее опасным. Объясним же, что это такое.

Полиморфные вирусы - вирусы, модифицирующие свой код в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите.

Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровщика и расшифровщика, что отличает их от обычных шифровальных вирусов, которые также могут шифровать участки своего кода, но имеют при этом постоянный код шифровальщика и расшифровщика.

Полиморфные вирусы - это вирусы с самомодифицирующимися расшифровщиками. Цель такого шифрования: имея зараженный и оригинальный файлы вы все равно не сможете проанализировать его код с помощью обычного дизассемблирования. Этот код зашифрован и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны варианты: он может расшифровать себя всего сразу, а может выполнить такую расшифровку «по ходу дела», может вновь шифровать уже отработавшие участки. Все это делается ради затруднения анализа кода вируса.

3. ИСТОРИЯ КОМПЬЮТЕРНОЙ ВИРУСОЛОГИИ И ПРИЧИНЫ ПОЯВЛЕНИЯ ВИРУСОВ

История компьютерной вирусологии представляется сегодня постоянной «гонкой за лидером», причем, не смотря на всю мощь современных антивирусных программ, лидерами являются именно вирусы. Среди тысяч вирусов лишь несколько десятков являются оригинальными разработками, использующими действительно принципиально новые идеи. Все остальные - «вариации на тему». Но каждая оригинальная разработка заставляет создателей антивирусов приспосабливаться к новым условиям, догонять вирусную технологию. Последнее можно оспорить. Например, в 1989 году американский студент сумел создать вирус, который вывел из строя около 6000 компьютеров Министерства обороны США. Или эпидемия известного вируса Dir-II, разразившаяся в 1991 году. Вирус использовал действительно оригинальную, принципиально новую технологию и на первых порах сумел широко распространиться за счет несовершенства традиционных антивирусных средств.

Или всплеск компьютерных вирусов в Великобритании: Кристоферу Пайну удалось создать вирусы Pathogen и Queeq, а также вирус Smeg. Именно последний был самым опасным, его можно было накладывать на первые два вируса, и из-за этого после каждого прогона программы они меняли конфигурацию. Поэтому их было невозможно уничтожить. Чтобы распространить вирусы, Пайн скопировал компьютерные игры и программы, заразил их, а затем отправил обратно в сеть. Пользователи загружали в свои компьютеры зараженные программы и инфицировали диски. Ситуация усугубилась тем, что Пайн умудрился занести вирусы и в программу, которая с ними борется. Запустив ее, пользователи вместо уничтожения вирусов получали еще один. В результате этого были уничтожены файлы множества фирм, убытки составили миллионы фунтов стерлингов.

Широкую известность получил американский программист Моррис. Он известен как создатель вируса, который в ноябре 1988 года заразил порядка 7 тысяч персональных компьютеров, подключенных к Internet.

Причины появления и распространения компьютерных вирусов, с одной стороны, скрываются в психологии человеческой личности и ее теневых сторонах (зависти, мести, тщеславии непризнанных творцов, невозможности конструктивно применить свои способности), с другой стороны, обусловлены отсутствием аппаратных средств защиты и противодействия со стороны операционной системы персонального компьютера.

4. ПУТИ ПРОНИКНОВЕНИЯ ВИРУСОВ В КОМПЬЮТЕР И МЕХАНИЗМ РАСПРЕДЕЛЕНИЯ ВИРУСНЫХ ПРОГРАММ

Основными путями проникновения вирусов в компьютер являются съемные диски (гибкие и лазерные), а также компьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Такое заражение может быть и случайным, например, если дискету не вынули из дисковода А и перезагрузили компьютер, при этом дискета может быть и не системной. Заразить дискету гораздо проще. На нее вирус может попасть, даже если дискету просто вставили в дисковод зараженного компьютера и, например, прочитали ее оглавление.

Вирус, как правило, внедряется в рабочую программу таким образом, чтобы при ее запуске управление сначала передалось ему и только после выполнения всех его команд снова вернулось к рабочей программе. Получив доступ к управлению, вирус прежде всего переписывает сам себя в другую рабочую программу и заражает ее. После запуска программы, содержащей вирус, становится возможным заражение других файлов. Наиболее часто вирусом заражаются загрузочный сектор диска и исполняемые файлы, имеющие расширения EXE, COM, SYS, BAT. Крайне редко заражаются текстовые файлы.

После заражения программы вирус может выполнить какую-нибудь диверсию, не слишком серьезную, чтобы не привлечь внимания. И наконец, не забывает возвратить управление той программе, из которой был запущен. Каждое выполнение зараженной программы переносит вирус в следующую. Таким образом, заразится все программное обеспечение.

Для иллюстрации процесса заражения компьютерной программы вирусом имеет смысл уподобить дисковую память старомодному архиву с папками на тесьме. В папках расположены программы, а последовательность операций по внедрению вируса будет в этом случае выглядеть следующим образом.(см. Приложение 1)

5. ПРИЗНАКИ ПОЯВЛЕНИЯ ВИРУСОВ

При заражении компьютера вирусом важно его обнаружить. Для этого следует знать об основных признаках проявления вирусов. К ним можно отнести следующие:

¨ прекращение работы или неправильная работа ранее успешно функционировавших программ

¨ медленная работа компьютера

¨ невозможность загрузки операционной системы

¨ исчезновение файлов и каталогов или искажение их содержимого

¨ изменение даты и времени модификации файлов

¨ изменение размеров файлов

¨ неожиданное значительное увеличение количества файлов на диске

¨ существенное уменьшение размера свободной оперативной памяти

¨ вывод на экран непредусмотренных сообщений или изображений

¨ подача непредусмотренных звуковых сигналов

¨ частые зависания и сбои в работе компьютера

Следует отметить, что вышеперечисленные явления необязательно вызываются присутствием вируса, а могут быть следствием других причин. Поэтому всегда затруднена правильная диагностика состояния компьютера.

6. ОБНАРУЖЕНИЕ ВИРУСОВ И МЕРЫ ПО ЗАЩИТЕ И ПРОФИЛАКТИКЕ

6.1. Как обнаружить вирус ? Традиционный подход

Итак, некий вирусописатель создает вирус и запускает его в«жизнь». Некоторое время он, возможно, погуляет вволю, но рано или поздно «лафа» закончится. Кто-то заподозрит что-нибудь неладное. Как правило, вирусы обнаруживают обычные пользователи, которые замечают те или иные аномалии в поведении компьютера. Они, в большинстве случаев, не способны самостоятельно справиться с заразой, но этого от них и не требуется.

Необходимо лишь, чтобы как можно скорее вирус попал в руки специалистов. Профессионалы будут его изучать, выяснять, «что он делает», «как он делает», «когда он делает» и пр. В процессе такой работы собирается вся необходимая информация о данном вирусе, в частности, выделяется сигнатура вируса - последовательность байтов, которая вполне определенно его характеризует. Для построения сигнатуры обычно берутся наиболее важные и характерные участки кода вируса. Одновременно становятся ясны механизмы работы вируса, например, в случае загрузочного вируса важно знать, где он прячет свой хвост, где находится оригинальный загрузочный сектор, а в случае файлового - способ заражения файла. Полученная информация позволяет выяснить:

· как обнаружить вирус, для этого уточняются методы поиска сигнатур в потенциальных объектах вирусной атаки - файлах и \ или загрузочных секторах

· как обезвредить вирус, если это возможно, разрабатываются алгоритмы удаления вирусного кода из пораженных объектов

6.2. Программы обнаружения и защиты от вирусов

Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными . Различают следующие виды антивирусных программ:

· программы-детекторы

· программы-доктора или фаги

· программы-ревизоры

· программы-фильтры

· программы-вакцины или иммунизаторы

Программы-детекторы осуществляют поиск характерной для конкретного вируса сигнатуры в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ.

Программы-доктора или фаги , а также программы-вакцины не только находят зараженные вирусами файлы, но и «лечат» их, т.е. удаляют из файла тело программы-вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов. Среди фагов выделяют полифаги, т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов. Наиболее известные из них: Aidstest, Scan, Norton AntiVirus, Doctor Web.

Учитывая, что постоянно появляются новые вирусы, программы-детекторы и программы-доктора быстро устаревают, и требуется регулярное обновление версий.

Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран монитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля (контрольная сумма файла), дата и время модификации, другие параметры. Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже очистить изменения версии проверяемой программы от изменений, внесенных вирусом. К числу программ-ревизоров относится широко распространенная в России программа Adinf.

Программы-фильтры или «сторожа» представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

· попытки коррекции файлов с расширениями COM, EXE

· изменение атрибутов файла

· прямая запись на диск по абсолютному адресу

· запись в загрузочные сектора диска

При попытке какой-либо программы произвести указанные действия «сторож» посылает пользователю сообщение и предлагает запретить или разрешить соответствующее действие. Программы-фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако, они не «лечат» файлы и диски. Для уничтожения вирусов требуется применить другие программы, например фаги. К недостаткам программ-сторожей можно отнести их «назойливость»(например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла), а также возможные конфликты с другим программным обеспечением. Примером программы-фильтра является программа Vsafe, входящая в состав пакета утилит MS DOS.

Вакцины или иммунизаторы - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.

6.3. Основные меры по защите от вирусов

Для того, чтобы не подвергнуть компьютер заражению вирусами и обеспечить надежное хранение информации на дисках, необходимо соблюдать следующие правила:

¨ оснастите свой компьютер современными антивирусными программами, например Aidstest, Doctor Web, и постоянно возобновляйте их версии

¨ перед считыванием с дискет информации, записанной на других компьютерах, всегда проверяйте эти дискеты на наличие вирусов, запуская антивирусные программы своего компьютера

¨ при переносе на свой компьютер файлов в архивированном виде проверяйте их сразу же после разархивации на жестком диске, ограничивая область проверки только вновь записанными файлами

¨ периодически проверяйте на наличие вирусов жесткие диски компьютера, запуская антивирусные программы для тестирования файлов, памяти и системных областей дисков с защищенной от записи дискеты, предварительно загрузив операционную систему с защищенной от записи системной дискеты

¨ всегда защищайте свои дискеты от записи при работе на других компьютерах, если на них не будет производится запись информации

¨ обязательно делайте архивные копии на дискетах ценной для вас информации

¨ не оставляйте в кармане дисковода А дискеты при включении или перезагрузке операционной системы, чтобы исключить заражение компьютера загрузочными вирусами

¨ используйте антивирусные программы для входного контроля всех исполняемых файлов, получаемых из компьютерных сетей

¨ для обеспечения большей безопасности применения Aidstest и Doctor Web необходимо сочетать с повседневным использованием ревизора диска Adinf

ЗАКЛЮЧЕНИЕ

Итак, можно привести массу фактов, свидетельствующих о том, что угроза информационному ресурсу возрастает с каждым днем, подвергая в панику ответственных лиц в банках, на предприятиях и в компаниях во всем мире. И угроза эта исходит от компьютерных вирусов, которые искажают или уничтожают жизненно важную, ценную информацию, что может привести не только к финансовым потерям, но и к человеческим жертвам.

Компьютерный вирус - специально написанная программа, способная самопроизвольно присоединяться к другим программам, создавать свои копии и внедрять их в файлы, системные области компьютера и в вычислительные сети с целью нарушения работы программ, порчи файлов и каталогов, создания всевозможных помех в работе компьютера.

В настоящее время известно более 5000 программных вирусов, число которых непрерывно растет. Известны случаи, когда создавались учебные пособия, помогающие в написании вирусов.

Основные виды вирусов: загрузочные, файловые, файлово-загрузочные. Наиболее опасный вид вирусов - полиморфные.

Из истории компьютерной вирусологии ясно, что любая оригинальная компьютерная разработка заставляет создателей антивирусов приспосабливаться к новым технологиям, постоянно усовершенствовать антивирусные программы.

Причины появления и распространения вирусов скрыты с одной стороны в психологии человека, с другой стороны - с отсутствием средств защиты у операционной системы.

Основные пути проникновения вирусов - съемные диски и компьютерные сети. Чтобы этого не случилось, соблюдайте меры по защите. Также для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, называемых антивирусными. Если вы все же обнаружили в компьютере вирус, то по традиционному подходу лучше позвать профессионала, чтобы тот дальше разобрался.

Но некоторые свойства вирусов озадачивают даже специалистов. Еще совсем недавно трудно было себе представить, что вирус может пережить холодную перезагрузку или распространяться через файлы документов. В таких условиях нельзя не придавать значение хотя бы начальному антивирусному образованию пользователей. При всей серьезности проблемы ни один вирус не способен принести столько вреда, сколько побелевший пользователь с дрожащими руками!

Итак, здоровье ваших компьютеров, сохранность ваших данных - в ваших руках!

Библиографический список

1. Информатика: Учебник / под ред. Проф. Н.В. Макаровой. - М.: Финансы и статистика, 1997.

2. Энциклопедия тайн и сенсаций / Подгот. текста Ю.Н. Петрова. - Мн.: Литература, 1996.

3. Безруков Н.Н. Компьютерные вирусы. - М.: Наука, 1991.

4. Мостовой Д.Ю. Современные технологии борьбы с вирусами // Мир ПК. - №8. - 1993.