Компьютерl= 5;ые вирусы

Компьютерl= 5;ые вирусы. Антивируснm= 9;е программы. Правовая охрана программ и данных.

Вр= яд ли стоит напоминать, что компьютеры = 89;тали настоящими помощникамl= 0; человека и без них уже не может обойтись ни коммерческk= 2;я фирма, ни гос&#= 1091;дарственна= я организациn= 3;. Однако в свя= 079;и с этим особенно обостриласn= 0; проблема за = 97;иты информации.

Ви= русы, получившие широкое распростраl= 5;ение в компьютернl= 6;й технике, взбудоражиl= 3;и весь мир. Многие пользоватеl= 3;и компьютероk= 4; обеспокоенm= 9; слухами о том, что с помощью компьютернm= 9;х вирусов злоумышленl= 5;ики взламывают сети, грабят банки, краду= 090; интеллектуk= 2;льную собственноl= 9;ть...

Сегодня массовое применение персональнm= 9;х компьютероk= 4;, к сожалению, оказалось связанным с появлением самовоспроl= 0;зводящихся программ-ви = 88;усов, препятствуn= 2;щих нормальной работе комп= 00;ютера, разрушающиm= 3; файловую структуру д = 80;сков и наносящих ущерб храни = 84;ой в компьютер = 77; информации.

Компьют = 77;рный вирус – это небольшая программа,= имеющая специфичесl= 2;ий алгоритм= ; суть которого в тиражироваl= 5;ии своей копии или её модификациl= 0; и выполнени= 02; какого-либо действия.

Те= м или иным способом вирусная программа п = 86;падает в компьютер (в системную область дис = 82;а, в исполняемыk= 7; файлы, в драйверы устройств) и «заражает» их. Чаще всего источникамl= 0; заражения являются компьютернm= 9;е &#= 1080;гры, приобретёнl= 5;ые «неофициалn= 0;ным» путём. Программа, внутри которой находится вирус, называется «зара= жённой». Когда такая программа начинает работу, то сн&#= 1072;чала &#= 1091;правление получает вирус. Вирус находит и «заражает» другие программы, а также выпол = 85;яет другие несанкционl= 0;рованные действия, по= сле чего передаёт управление той программе, в которой он находится, а она работае = 90; так же, как обычно. Поэт= 086;му далеко не сразу пользо= ;ватель узнаёт о присутствиl= 0; вируса в машине.

К числу наиболее характерныm= 3; признаков з = 72;ражени&= #1103; компьютера вирусами относятся с = 83;едующие:=

§ = не&= #1082;оторые ранее исполнявшиk= 7;ся программы перестают запускатьсn= 3; или внезапн = 86; остана&= #1074;ливаются в процессе работы;

§ = ув= еличиваетсn= 3; длина исполняемыm= 3; файлов = (особенно важно проконтролl= 0;ровать длину = файла command.com, наиболее часто используемого и в первую очередь страдающегl= 6; от вирусных атак);<= o:p>

§ = быстр= о сокращаетсn= 3; объём свободной диско= вой памяти;

§по&= #1103;вляются дополнителn= 0;ные плохие кла= стеры, в которых вирусы прячут свои фрагменты или «выкушенныk= 7;» части повреждённm= 9;х файлоk= 4;;

§ = за= медляется работа некоторых программ;

§ = в текстовых файлах появляются бессмысленl= 5;ые фрагменты;=

§ = наблю&= #1076;аются попытки записи на защищённую дискету (вирусы с «малым интеллектоl= 4;» не догадыва= 02;тся при этом подавить соотве&#= 1090;ствующее «красное» предупреждk= 7;ние ms= -do= s;

§ = на экране появляются странные сообщения, которые вы раньше не наблюдали;=

§ = появл&= #1103;ются файлы со странными датами и временем создания (несуществу= 02;щие дни несуще = 89;твующих месяцев, год= 099; из следующего столет&= #1080;я, часы, минуты и секунды, не укладывающl= 0;еся в общепринятm= 9;е интервалы);

§ = оп&= #1077;рационная система перестаёт загру&= #1078;аться с винчестер = 72;;

§ = появл= яются сообщения об отсутствии винчес&#= 1090;ера.

Класс= ификация компьютернm= 9;х вирусов:

а — по среде обитания; б — по способу заражения;=

в — по степени воздействиn= 3;; г — по особенностn= 3;м алгоритмов=

Ре&= #1079;ультаты действий вирусов могут быть различны, например;

§ = не= которые программы могут перестать работать;= =

§ = на экране могут появиться посто= ;ронние сообщения;=

§ = ра&= #1073;ота на ПК может существеннl= 6; замедлитьсn= 3;;=

§ = не&= #1082;оторые данные на диске могут быть испорч = 77;ны.=

i= 7;етевые вирусы распростр= 072;няются по различны = 84; компьютернm= 9;м сетям. Файловые вирусы внедряются главным обр = 72;зом в исполняемыk= 7; модули, т. е. В файлы, имеющ= 080;е расширения COM и EXE. Файловые вирусы могу = 90; внедряться = 80; в другие тип= 099; файлов, но, как правило, записанные = 74; таких файла = 93;, они никогда не получают управление = 80;, следователn= 0;но, теряют способностn= 0; к размножениn= 2;. Загру= 079;очные вирусы внедряются = 74; загрузочныl= 1; сектор диск = 72; (Boot-сектор) или = 074; сектор, соде= 088;жащий программу загрузки системного диска (Master Boot Re-cord). Фай= ;лово-загруз= 086;чные вирусы зара = 78;ают как файлы, так и загрузочныk= 7; сектора дисков.

i= 6;езидентный вирус при заражении (инфицирова = 85;ии) компьютера = 86;ставляет в оперативн = 86;й памяти свою резидентнуn= 2; часть, котор= 072;я потом перехватывk= 2;ет обращение операционнl= 6;й системы к объектам заражения (файлам, загрузочныl= 4; секторам дисков и т. п.) l= 0; внедряется = 74; них. Резидентныk= 7; вирусы нахо = 76;ятся в памяти и яв&#= 1083;яются активными вплоть до выключения или перезагрузl= 2;и компьютера. Нерез= 080;дентные вирусы не заражают память компьютера = 80; являются ак = 90;ивными ограниченнl= 6;е время.

i= 3;еопасные вирусы не мешают работе компьютера, но уменьшаю = 90; объем свобо = 76;ной оперативноl= 1; памяти и памяти на ди= 089;ках, действия таких вирусов про= 03;вляются в каких-либо графическиm= 3; или звуковых эффектах. Опасные вирусы могу = 90; привести к различным нарушениям = 74; работе комп= 00;ютера. Воздействиk= 7; очень опасных вирусов может привести к потере программ, ун= 080;чтожению данных, стиранию информации = 74; системных областях ди = 89;ка.

Вс&= #1090;речаются безобидные вирусы, создающие лишь звуковые ил = 80; видеоэффекm= 0;ы. Простей= ;шие вирусы - паразитичеl= 9;кие, они изменяю = 90; содержимое файлов и секторов диска и могу= 090; быть достат = 86;чно легко обнаружены = 80; уничтожены. Можно отметить вирусы-реп= 083;икаторы, называемые червя= 084;и, которые распростраl= 5;яются по компьютернm= 9;м сетям, вычисляют адреса сетевых компьютероk= 4; и записываю = 90; по этим адресам сво = 80; копии.

Известн= ;ы вирусы-неви = 76;имки, называемые сте= ;лс-вирусами, которые очень трудн = 86; обнаружить = 80; обезвредитn= 0;, так как они перехватывk= 2;ют обращения операционнl= 6;й системы к пораженным файлам и сек= 090;орам дисков и подставляюm= 0; вместо своего тела незараженнm= 9;е участки дис = 82;а. Наиболее трудно обнаружить вирус= 099;-мутанты, содержащие алгоритмы шифровки-ра = 89;шифровки, благодаря которым копии одног = 86; и того же вируса не имеют ни одной повторяющеl= 1;ся цепочки бай = 90;ов. Имеются и та= 082; называемые квази= 074;ирусные или «троянские&raqu= o; программы, к= 086;торые хотя l= 0; не способны = 082; самораспроl= 9;транению, но очень опасны, так как, маскиру= 103;сь под полезну= 02; программу, разрушают з = 72;грузочный сектор и файловую систему дис = 82;ов.

Хо&= #1095;ется сразу заметить, чт= 086; слишком уж бояться вир = 91;сов не стоит, особенно если компьютер приобретен совсем неда = 74;но, и много информации на жестком диске еще не накопилось. Вирус компьютер н = 77; взорвет. Нын= 077; известен только один вирус (Win95.CIH), который способен испортить "железо" ком= ;пьютера. Другие же мо= 075;ут лишь уничто = 78;ить информацию, не более того.

Загрузо= ;чные вирусы

Р= ;ассмотрим схему функционирl= 6;вания очень простого загрузочноk= 5;о вируса, заражающегl= 6; дискеты.

Ч= ;то происходиm= 0;, когда вы включаете к = 86;мпьютер? Первым дело = 84; управление передается прогр= 072;мме начальной загрузки, которая хранится в постоянно запоминающk= 7;м устройстве (ПЗУ) т.е. ПН= ;З ПЗУ.

Э= ;та программа тестирует оборудованl= 0;е и при успешном завершении проверок пытается найти дискету в дисководе А:

В= ;сякая дискета размечена н = 72; т.н. секторы и дорожки. Секторы объединяютl= 9;я в кластеры, но это для нас несущес = 90;венно.

С= ;реди секторов есть несколько служебных, и= 089;пользуемых операционнl= 6;й системой дл= 03; собственны&= #1093; нужд (в этих секторах не могут размещатьсn= 3; ваши данные). Среди служе = 73;ных секторов на = 89; интересует сект= ;ор начальной загрузки (boot-sector).

В секторе начальной загрузки хранится ин = 92;ормация о дискете - количество поверхностk= 7;й, количество дорожек, количество секторов и пр. Но нас сейчас инте = 88;есует не эта информация, = 072; небольшая п = 88;ограмма начальной загрузки (ПНЗ), которая должна загрузить саму операц = 80;онную систему и передать ей управление.

Т= ;аким образом, нормальная схема начальной загрузки следующая:

ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

Т= ;еперь рассмотрим вирус. В загрузочныm= 3; вирусах выделяют дв = 77; части:       голову и т.н. хвост. Хвост может быть пустым.

П= ;усть у вас имеютс= 103; чистая дискета и зараженный компьютер, под которым мы понимаем = 082;омпьютер с активным резидентныl= 4; вирусом. Как только этот = 074;ирус обнаружит, что в дисководе появилась п = 86;дходящая жертва - в нашем случа = 77; не защищенная от записи и еще не зараженная = 76;искета, он приступает = 82; заражению. Заражая дискету, вирус производит следующие действия:

·         выделя&#= 1077;т некоторую область диска и поме= 095;ает ее как недоступнуn= 2; операционнl= 6;й системе, это можно сделать по-разному, в простейшем = 80; традиционнl= 6;м случае занятые вирусом секторы помечаются как сбойные (bad)

·         копиру&#= 1077;т в выделенну= 02; область диска свой х= 074;ост и оригинальнm= 9;й (здоровый) загрузочныl= 1; сектор

·         замеща&#= 1077;т программу начальной загрузки в з= 072;грузочном секторе (настоящем) своей голов = 86;й

·         органи&#= 1079;ует цепочку передачи управления = 89;огласно схеме.

Т= ;аким образом, голова вируса теперь перв = 86;й получает управление, вирус устан = 72;вливается в память и передает управление оригинальнl= 6;му загрузочноl= 4;у сектору. В цепочке

ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

п= оявляется новое звено:

ПНЗ (ПЗУ) - ВИРУС - ПН&#= 1047; (диск) - СИСТЕМА

Мы рассмотрелl= 0; схему функционирl= 6;вания простого бутового вируса, живу= 097;его в загрузочныm= 3; секторах дискет. Как п&#= 1088;авило, вирусы способны заражать не только загрузочныk= 7; секторы дискет, но и &= #1079;агрузочные секторы винчестероk= 4;. При этом в отличие от дискет на винчестере имеются два типа загруз = 86;чных секторов, содержащих программы начальной з = 72;грузки, которые получают управление. При загрузк = 77; компьютера = 89; винчестера = 87;ервой берет на себ= 103; управление программа н = 72;чальной загрузки в MBR (Master Boot Record - главная загрузочнаn= 3; запись). Если ваш жесткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочныl= 1; (boot). Программа начальной загрузки в MBR находит загрузочныl= 1; раздел винчестера = 80; передает управление на программ = 91; начальной загрузки этого раздела. Код последней с = 86;впадает с кодом программы начальной загрузки, содержащейl= 9;я на обычных дискетах, а с&#= 1086;ответствую= щие загрузочнm= 9;е секторы отличаются только таблицами параметров. Таким образом, на винчестере имеются два объекта атаки загрузочныm= 3; вирусов - программа начальной з = 72;грузки в MBR и программа начальной загрузки в бут-секто= 088;е загрузочноk= 5;о диска.

Файловые вирусы

Р= ;ассмотрим теперь схем = 91; работы простого фа = 81;лового вируса. В отличие от загрузочныm= 3; вирусов, которые практическl= 0; всегда р = 77;зидентны, файловые вирусы совсем не обязательнl= 6; резидент = 85;ы. Рассмотрим схему функционирl= 6;вания нерезидентl= 5;ого файлового вируса. Пуст= 100; у нас имеетс= 103; инфицироваl= 5;ный исполняемыl= 1; файл. При запуске такого файл = 72; вирус получ = 72;ет управление, производит некоторые действия и передает управление «хозяину»

К= ;акие же действия выполняет вирус? Он ищет новый объект для заражения - подходящий по типу файл, который еще не заражен. Заражая фай = 83;, вирус внедр= 03;ется в его код, чтобы получ = 80;ть управление при запуске этого файла. Кроме своей основной функции - размножениn= 3;, вирус вполн = 77; может сделать что-нибудь замысловатl= 6;е (сказать, спросить, сыграть) - это уже зависит от фантазии автора виру = 89;а. Если файловый вирус резидентныl= 1;, то он устано= 074;ится в память и получит возможностn= 0; заражать файлы и проявлять прочие способностl= 0; не только во время работ = 99; зараженногl= 6; файла. Заражая исполняемыl= 1; файл, вир = 91;с всегда изменяет ег = 86; код - следователn= 0;но, заражение исполняемоk= 5;о файла всегд = 72; можно обнар = 91;жить. Но, изменяя код файла, вирус не обя= 079;ательно вносит другие изменения:

·         он не обязан менять длин = 91; файла

·         неиспо&#= 1083;ьзуемые участки код = 72;

·         не о&#= 1073;язан менять начало файл = 72;

Н= ;аконец, к файловым вирусам часто относят вир = 91;сы, которые «имеют неко = 90;орое отношение к файлам», но н&#= 1077; обязаны внедряться = 74; их код.

Т= ;аким образом, при запуске любого файл = 72; вирус получает управление (операционн = 72;я система запускает его сама), рез&= #1080;дентно устанавливk= 2;ется в память и передает управление = 74;ызванному файлу.

Загрузочно= -файловые вирусы

М= ;ы не станем рассматривk= 2;ть модель загрузочно- = 92;айлового вируса, ибо н&#= 1080;какой новой информации вы при этом не узнаете. Но здесь представляk= 7;тся удобный случай кратко обсудить крайне «популярныl= 1;» в последнее время загрузочно- = 92;айловый вирус OneHalf, заражающий главный заг = 88;узочный сектор (MBR) и исполняем = 99;е файлы. Основное разрушителn= 0;ное действие - шифрование секторов винчестера. При каждом запуске вирус шифрует очередную порцию секторов, а, зашифровав половину жесткого диска, радостно сообщает об этом. Основная пр = 86;блема при лечении данного вируса состоит в том, что недо&#= 1089;таточно просто удал = 80;ть вирус из MBR= и файлов, надо расшифроваm= 0;ь зашифрованl= 5;ую им информац = 80;ю.

Полиморфны= е вирусы

Б= ;ольшинство вопросов связано с термином «п = 86;лиморфный вирус». Этот вид компьютернm= 9;х вирусов представляk= 7;тся на сегодняшниl= 1; день наиболее оп = 72;сным. Объясним ж = 77;, что это такое.

П= ;олиморфные вирусы - вирусы, модифицируn= 2;щие свой код в зараженных программах таким образ = 86;м, что два экземпляра одного и тог= 086; же вируса могут не совпадать н = 80; в одном бите.
Т= ;акие вирусы не только шифруют сво = 81; код, использ= 091;я различные пути шифров = 72;ния, но и содержа= 090; код генерации шифровщика = 80; расшифровщl= 0;ка, что отличае = 90; их от обычны= 093; шифровальнm= 9;х вирусов, кот= 086;рые также могут шифровать участки сво = 77;го кода, но имеют при этом постоянный = 82;од шифровальщl= 0;ка и расшифров = 97;ика.

П= ;олиморфные вирусы - это вирусы с самомодифиm= 4;ирующимися расшифровщl= 0;ками. Цель такого шифрования: имея зараже = 85;ный и оригинальнm= 9;й файлы, вы все равно не сможете проанализиl= 8;овать его код с пом&#= 1086;щью обычного дизассемблl= 0;рования. Этот код зашифрован и представляk= 7;т собой бессмысленl= 5;ый набор коман = 76;. Расшифровкk= 2; производитl= 9;я самим вирусом уже непосредстk= 4;енно во время вып= 086;лнения. При этом возможны варианты: он может расшифроваm= 0;ь себя всего сразу, а може&#= 1090; выполнить такую расшифровкm= 1; «по ходу дела», может вновь шифровать уже отработ = 72;вшие участки. Все это делаетс= 03; ради затруднениn= 3; анализа код = 72; вируса.

Стелс-вирусm= 9;

В ходе проверки компьютера антивируснm= 9;е программы считывают данные - файлы и сист= 077;мные области с жестких дисков и дискет, поль= 079;уясь средствами операционнl= 6;й системы и базовой системы ввода/вывод = 72; BIOS. Ряд вирусов, после запуска оставляют в оперативноl= 1; памяти компьютера специальныk= 7; модули, перехватывk= 2;ющие обращение программ к дисковой подсистеме компьютера. Если такой модуль обна = 88;уживает, что программа пытается прочитать зараженный файл или системную область диска, он на ходу подменяет читаемые данные, как будто вирус = 72; на диске нет. <= /p>
Стелс-вир= 091;сы обманывают антивируснm= 9;е программы и = 074; результате остаются незамеченнm= 9;ми. Тем не менее, существует простой способ отключить м = 77;ханизм маскировки стелс-вир= 091;сов. Достаточно загрузить компьютер с не зараженн = 86;й системной дискеты и сразу, не запуская др = 91;гих программ с диска компьютера (которые также могут оказаться зараженнымl= 0;), проверить компьютер антивируснl= 6;й программой.

П= ;ри загрузке с системной дискеты вирус не мож= 077;т получить управление = 80; установить = 74; оперативно&= #1081; памяти резидентныl= 1; модуль, реал= 080;зующий стелс-ме = 93;анизм. Антивируснk= 2;я программа сможет прочитать информацию, действителn= 0;но записанную на диске, и легко обнар = 91;жит вирус.

Троянские кони, программныk= 7; закладки и сетевые чер = 74;и

Троян= 089;кий конь – это программа, содержащая = 74; себе некото = 88;ую разрушающm= 1;ю функцию, которая активизируk= 7;тся при наступл = 77;нии некоторого условия ср = 72;батывания. Обычно таки = 77; программы маскируютсn= 3; под какие-нибуд= 00; полез= ;ные утилиты. Вирусы могу = 90; нести в себе троянских коней или "т= роянизировk= 2;ть" другие программы – вносить в ни= 093; разрушающиk= 7; функции.

«= ;Троянские кони» представляn= 2;т собой прогр = 72;ммы, реализующиk= 7; помимо= функций, оп= 080;санных в документацl= 0;и, и некоторые другие функции, связанные с нарушениеl= 4; безопасносm= 0;и и деструктивl= 5;ыми действиями. Отмечены случаи= создания таких прогр = 72;мм с целью облегчения распростраl= 5;ения вирусов. Списки= таких программ ши = 88;око публикуютсn= 3; в зарубежно = 81; печати. Обычно они маски= ;руются под игровые или развлекатеl= 3;ьные программы и наносят вре = 76; под красивые картинки ил = 80; музыку.

Прогр= 072;ммные закладки также содержат некоторую функцию, наносящую ущерб В= С, но эта функция, наоборот, старается быть как можно незам = 77;тнее, т.к. чем дольше программа н = 77; будет вызывать подозрений, тем дольше з= 072;кладка сможе= ;т работать.

Е= ;сли вирусы и «троянские кони» наносят уще = 88;б посредствоl= 4; лавинообраk= 9;ного саморазмноk= 8;ения или явного разрушения, то основная функция вирусов тип = 72; «червь», действующl= 0;х в компьютернm= 9;х сетях, – взлом атакуемой системы, т.е. преод= ;оление защиты с целью нарушения безопасносm= 0;и и целостностl= 0;.

В более 80% компьютернm= 9;х преступленl= 0;й, расследуемm= 9;х ФБР, "взломщики= ;" проникают в атакуемую систему через глоба = 83;ьную сеть Internet. Когда такая попытка удается, будущее компании, на создание которой ушл = 80; годы, может быть поставлено под угрозу з= 072; какие-то сек= 091;нды.

Э= ;тот процесс может быть автоматизиl= 8;ован с помощью вируса, называемогl= 6; сетевой чер = 74;ь.

Червя= 084;и называют вирусы, кото= 088;ые распростраl= 5;яются по глобальным сетям= ;, поражая целые системы, а не отдельные п = 88;ограммы. Это самый опасный вид вирусов, так как объектами нападения в этом случае становятся информациl= 6;нные системы государствk= 7;нного масштаба. С появлением глобальноl= 1; сети Internet этот вид нарушения безопасносm= 0;и представляk= 7;т наибольшуn= 2; угрозу, т. к. ему в любой момент може = 90; подвергнутn= 0;ся любой из 40 миллионов компьютероk= 4;, подключеннm= 9;х к этой сети.

В литературе весьма настойчиво пропагандиl= 8;уется, что избавиться от вирусов можно лишь при помощи сложных (и дорогостояm= 7;их) антивируснm= 9;х программ, и якобы тольк = 86; под их защитой вы можете чувствоватn= 0; себя в полно= 081; безопасносm= 0;и. Это не совсе= 084; так - знакомство = 89; особенностn= 3;ми строения и способами внедрения компьютернm= 9;х вирусов пом = 86;жет вовремя их обнаружить = 80; локализоваm= 0;ь, даже если по= 076; рукой не окажется по = 76;ходящей антивируснl= 6;й программы.=

До= статочно хорошую охрану вашего ПК может обеспечить<= /span> ежедневная проверк= 072; винчестера добротной антивируснl= 6;й программой или группой таких программ. Их вызов целесообраk= 9;но поместить в состав файл = 72; autoexec.bat <= /i>и при первон&#= 1072;чальном включении компьютера проя&#= 1074;ить небольшую выдержку до тех пор, пока не за&= #1074;ершится проверка. Пр= 080; последующиm= 3; перезагруk= 9;ках в этот же день работу антивируснm= 9;х прогр&#= 1072;мм можно преры = 74;ать. Следует помнить, что ни одна такая проверка не даёт 100-процен= тной гарантии в обнаружениl= 0; или обезвре = 78;ивании вредителей. Появляются новые вирус = 99; и боле&= #1077; изощрённые модификациl= 0; прежних, разрабатывают&= #1089;я специальныk= 7; алгоритмы обмана стандартныm= 3; приёмов диагностикl= 0; и лечения. Поэтом&= #1091; антивируснm= 9;й набор следует пер = 80;одическ&= #1080; обновлять и пополнять новыми сред = 89;твами.=

В середине 90-х гг. в России и странах ближнего зарубежъя наибольшей популярносm= 0;ью пользовалиl= 9;ь еженедельнl= 6; обновляемыk= 7; версии программы= ; aidstest.exe ( = 72;втор - Д. Н. Лозинский), добротный пакет антивируснm= 9;х средств Е. В. Касперскогl= 6; и быстро прогрессирm= 1;ющий «доктор Web»= (ав= ;тор - И. А. Данилов). Довольно надёжным средством контроля за состоянием дисков, файлов и каталогов является реk= 4;изор ADinf, раk= 9;работанный сотрудникоl= 4; Инстит&#= 1091;та прикладной математики РАН Д. Ю. Мостовым. Неплохим подспорьем являются программы-стор = 86;жа, которые предупреждk= 2;ют о записи в загрузочныk= 7; сектора. Такие средства вк = 83;ючают в состав наиболее популярных сервисных пакетов (нап= 088;имер, Norton AntiVirus) и внедря<= /span>ют в аппаратур = 91;. Для некоторых вариантов BIOS их можно задействовk= 2;ть, выбрав соответствующую установку в Setup. Правд&= #1072;, их исп&= #1086;льзование несколько замедляет работу про = 75;рамм, т. к. при каждом обращении к диску &#= 1087;риходится проводить дополнителn= 0;ные проверки.

Специал= ;изированны = 77; программы для защиты о= 090; вирусов можно разде = 83;ить на несколько видов: детекторы, доктора (фаги), ревизоры, доктора-рев = 80;зоры, фильтры и вакцины (= 080;ммунизатор&= #1099;).

i= 5;РОГРАММЫ-ДЕ&#= 1058;ЕКТОРЫ позволяют обнаруживаm= 0;ь файлы, зараженные одним из несколькиm= 3; известных вирусов. Эти программы проверяют, и= 084;еется ли в файлах на указанно = 84; пользоватеl= 3;ем диске специфичесl= 2;ая для данного вируса комбинация байтов. При ее обнаружениl= 0; в каком-либо файле на экран выводится соответствm= 1;ющее сообщ= ение. Многие детекторы имеют режим = 99; лечения или уничтожениn= 3; зараженных файлов. Следует подчеркнутn= 0;, что програм = 84;ы-детекторы могут обнаруживаm= 0;ь только те вирусы, которые ей "известны". Программа Scan фирмы McAfee Associates и Aidstest Д.Н.Лозинско= 075;о позволяют о = 73;наруживать около 9000 вирусов, но всего их бол= 077;е двадцати тысяч! Некоторые программы-д = 77;текторы, например Norton AntiVirus или AVSP фирмы "Диалог-МГУ"= ;, могут настраиватn= 0; на новые тип= 099; вирусов, им необходимо лишь указат= 00; комбинации байтов, прис= 091;щие этим вируса = 84;. Тем не мнени= 077; невозможно разра= ;ботать такую программу, которая могла бы обн= 072;руживать любой= ; заранее неизв= ;естный вирус.

Таким образом, из того, что программа н = 77; опознается детекторамl= 0; как зараженнаn= 3;, не следует, что она здорова - в не&= #1081; могут сидет= 00; какой-нибуд= 00; новый= ; вирус или слегка модифицироk= 4;анная версия старого вируса, неизвестныk= 7; программам- = 76;етекторам.

Многие программы-д = 77;текторы (в том числе и = Aidstest) не умеют обнаруживаm= 0;ь заражение "невидимыми= ;" вирусами, ес= 083;и такой вирус активен в памяти комп= 00;ютера. Дело в том, что для чтения диск = 72; они используют функции DOS<= /span>, а они перехватывk= 2;ются вирусом, который гов = 86;рит, что все хорошо. Правда, Aidstest и другие детекторы пытаются выявить вирус путем просмотра оперативноl= 1; памяти, но проти= ;в некоторых "хитрых" вирусов это = 085;е помогает. Та= 082; что надежный диагн= ;оз программы- = 76;етекторы дают только при загрузк = 77; DOS с "чистой", защищенной от записи дискеты, при этом копия программы-д = 77;тектора также должн = 72; быть запуще = 85;а с этой дискеты.

Некотор= ;ые детекторы (скажем ADinf фирмы "Диалог-Науl= 2;а") умеют ловит= 00; "невидимые" вирусы, даже когда они активны. Для этого они читают= диск, не испол= ;ьзуя вызовы DOS. Правда, этот метод работ = 72;ет не на всех дисководах.

Большин= ;ство программ-де = 90;екторов имеют функц = 80;ю "доктора", т. = 77;. они пытаютс= 03; вернуть зараженные файлы или области диска в их исходное состояние. Т= 077; файлы, которые не удалось восстановиm= 0;ь, как правило, делаются неработоспl= 6;собными или удаляются.=

Большин= ;ство программ-до = 82;торов умеют "лечиm= 0;ь" только от некоторого фиксироваl= 5;ного набора вирусов, поэ= 090;ому они быстро устаревают. Но некоторы = 77; программы могут обучаться н = 77; только спос = 86;бам обнаружениn= 3;, но и способа= 084; лечения новых= ; вирусов.   К таким программам относится AVSP фирмы "Диалог-МГУ"= ;.

i= 5;РОГРАММЫ-РЕ&#= 1042;ИЗОРЫ имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей дисков (загрузочно = 75;о сектора и сектора с таблицей разбиения жесткого диска). Предполагk= 2;ется, что в этот момент программы и системные области дис = 82;ов не заражены. После этого = 089; помощью программы-р = 77;визора можно в любо= 081; момент сравнить состояние п = 88;ограмм и системных областей дисков с исходным. О выявленных несоответсm= 0;виях сообщается пользоватеl= 3;ю.

Чтобы проверка состояния программ и дисков проходила при каждой з= 072;грузке операционнl= 6;й системы, необходимо включить команду запуска программы- = 88;евизора в командный файл AUTOEXEC.BAT. Это позволяет обнаружить = 79;аражение компьютернm= 9;м вирусом, когда он еще не успел нанести большого вреда. Более того, та же программа- = 88;евизор сможет найт = 80; поврежденнm= 9;е вирусом фай = 83;ы.

Многие программы-р = 77;визоры являются довольно "интеллекту= ;альными" - они могут отличать изменения в файлах, вызв= 072;нные, например, переходом к = 085;овой версии= программы, от изменени = 81;, вносимых вирусом, и не поднимают ложной= тревоги. Дело k= 4; том, что виру&#= 1089;ы обычно изменяют файлы весьма= специфичеl= 9;ким образом и производят одинаковые = 80;зменения в разных программныm= 3; файлах. Понятно, что в нормально = 81; ситуации та = 82;ие изменения практическl= 0; никогда не встречаютсn= 3;, поэтому программа-р = 77;визор, зафиксировk= 2;в факт таких изменений, может с уверенностn= 0;ю сообщить, ч= 090;о они вызваны именно виру = 89;ом.

Другие программы часто используют различные полумеры – пытаются об = 85;аружить вирус в оперативноl= 1; памяти, треб= 091;ют вызовы= из первой строки файла= ; AUTOEXEC.BAT, надеясь работать на "чистом" компьютере, = 080; т.д. Увы, против некоторых "хитрых" вирусов все это бесполезно.

Для проверки того, не изменился ли фа= йл, некоторые программы- = 88;евизоры проверяют длину файла. Но эта прове= 088;ка недостаточl= 5;а - некоторые вирусы не изменяют длину зараж = 77;нных файлов. Боле= 077; надежная проверка - пр&#= 1086;честь весь файл l= 0; вычислить его контрольнуn= 2; сумму. Изменить файл так, чтобы его ко= 085;трольная сумма осталась прежней, практическl= 0; невозможно.

В последнее время появились очень полезные гибриды ревизоров и докторов, т.е. = ДОКТО= 056;А-РЕВИЗОРЫ, - программы, которые не только обнаруживаn= 2;т изменения в файлах и системных областях ди = 89;ков, но и могут в случае изменений автоматичеl= 9;ки вернуть их в исходное состояние. Т= 072;кие программы могут быть гораздо более универсальl= 5;ыми, чем програм = 84;ы-доктора, поскольку при лечении они использ = 91;ют заранее сохраненнуn= 2; информацию = 86; состоянии файлов и обл= 072;стей дисков. Это позволяет им вылечиватn= 0; файлы даже о= 090; тех вирусов, которые не были создан = 99; на момент на= 087;исания программы.=

Но они могут лечит= 00; не от всех вирусов, а то&#= 1083;ько от тех, которые испол= ;ьзуют "стандартны= ;е", известные н = 72; момент напи = 89;ания программы, механизмы з = 72;ражения файлов.

Существ= ;уют также ПРОГРАММЫ-Ф= 048;ЛЬТРЫ, которые располагаюm= 0;ся резидентно = 74; оперативно&= #1081; памяти компьютера = 80; перехватывk= 2;ют те обращения к опера= ;ционной системе, которые используютl= 9;я вирусами для размноженl= 0;я и нанесения вреда= ;, и сообщают о них = 87;ользовател&#= 1103;. Пользоватеl= 3;ь может разрешить или запретить выполнение = 89;оответству&#= 1102;щей операции.=

Некотор= ;ые программы-ф = 80;льтры не "ловят" пl= 6;дозрительн= 099;е действия, а прове= ;ряют вызываемые на выполнение программы, н= 072; наличие вирусов. Это вызыв= ;ает замедлениk= 7; работы компьютера.

Однако преимущестk= 4;а использоваl= 5;ия программ-фи = 83;ьтров весьма= значительl= 5;ы – они позволяют обнаружить многие виру = 89;ы на самой ранней стадии, когд= 072; вирус= ; еще не усl= 7;ел размножитьl= 9;я и что-либо испортить. Тем самым можно свест = 80; убытки от вируса к минимуму.=

ПРОГРАМ= ;МЫ-ВАКЦИНЫ, или ИММУ = 53;ИЗАТОРЫ, модифицируn= 2;т программы и диски таким образом, что это не отражается на работе пр= 086;грамм, но тот вирус, от которого производитl= 9;я вакцинация, считает эти программы и = 83;и диски уже зараженнымl= 0;. Эти программы крайне неэффективl= 5;ы.

AIDSTEST=

В нашей стране особ = 91;ю популярносm= 0;ь приобрели антивируснm= 9;е программы, совмещающиk= 7; в себе функции дет = 77;кторов и докторов. Самой известной и = 79; них являетс= 03; программа AIDSTEST Д.Н. Лозинского.

Aidstest для своего нормальногl= 6; функционирl= 6;вания требует, чтобы в памяти не было резидентныm= 3; антивирусоk= 4;, блокирующиm= 3; запись в про= 075;раммные файлы, поэтому их следует выг = 88;узить, либо, указав опцию выгрузки самой резид = 77;нтной программе, либо воспользовk= 2;ться соответствm= 1;ющей утилитой.=

Пр= ;и запуске Aids= test проверяет себя оперативнуn= 2; память на на= 083;ичие известных ему вирусов = 080; обезвреживk= 2;ет их. При этом парализуюm= 0;ся только функ = 94;ии вируса, связанные с размножениk= 7;м, а другие побочные эффекты могут остав = 72;ться. Поэтому программа после окончания обезвреживk= 2;ния вируса в памяти выда = 77;т запрос о перезагруk= 9;ке. Следует обя = 79;ательно последоватn= 0; этому совет = 91;, если оператор ПЭВМ не является системным программисm= 0;ом, занимающимl= 9;я изучением свойств вирусов. При чем следует перезагрузl= 0;ться кнопкой RESET, так как при "теплой перезагрузl= 2;е" некоторые вирусы= могут сохранятьсn= 3;. Вдобавок, лучше запустить машину и Aid= stest с защищённо = 81; от записи дискеты, так как при запу= 089;ке с зараженногl= 6; диска вирус может запис = 72;ться в память резидентом = 80; препятствоk= 4;ать лечению.

Aidstest тестирует свое тело на наличие известных в = 80;русов, а также по ис&#= 1082;ажениям в своем коде судит о свое= 084; заражении неизвестныl= 4; вирусом. При этом возможны случаи ложной тревоги, например пр = 80; сжатии антивируса упаковщикоl= 4;. Программа н = 77; имеет графическоk= 5;о интерфейса, = 080; режимы ее работы зада= 02;тся с помощью ключей. Указав путь, можно прове = 88;ить не весь диск, а отдельный подкаталог.

Как показала практика, самый оптимальныl= 1; режим для ежедневной работы задается кл= 02;чами /g (проверка всех файлов, а не только с расширениеl= 4; EXE, COM, SYS) и /s (медленная проверка). Увеличение времени при таких опция = 93; практическl= 0; не ощутимо, зато вероятностn= 0; обнаружениn= 3; на порядок в= 099;ше.

При обычном тестированl= 0;и не следует ставить клю = 95; /f (исправлени = 77; зараженных программ и стирание не подлежащих восстановлk= 7;нию), даже с ключо= 084; /q (выдавать запрос об удалении файла), поскольку любая программа, в том числе и антивируснk= 2;я, не застраховаl= 5;а от ошибок. Ключ /f следует использоваm= 0;ь тогда, когда Aidstest, а также другие антивирусы указывают н = 72; наличие вируса в каком-либо файле. При этом следуе = 90; перезапустl= 0;ть компьютер с защищённой от записи дискеты, так как система может быть заражена резидентныl= 4; вирусом, и тогда лечение будет неэфф = 77;ктивным, а то и просто опасным. При обнаружениl= 0; вируса в цен= 085;ом файле следует переписать его на диске= 090;у, а ещё лучше - на электронныl= 1;, диск и там попытаться вылечить с помощью указания Aidstest-у опции /f. Если попытк = 72; не увенчается успехом, то надо удалит= 00; все зараженные копии файла = 080; проверить диск снова. Если в файле содержится = 74;ажная информация, которую стирать жалко, то можно заарх = 80;вировать файл и подождать в = 99;хода новой верси = 80; Aidstest или другого антивируса, способной лечить этот тип вируса. Для ускорения процесса можно напра = 74;ить зараженный файл в качестве образца Лоз = 80;нскому.

Для создания в файле протокола работы прог = 88;аммы Aidstest служи= 090; ключ /p. Протокол оказываетсn= 3; нужным, когд= 072; пользоватеl= 3;ь не успевает просмотретn= 0; имена зараж = 77;нных файлов. Для поддержки антивируснl= 6;го программно - аппаратногl= 6; комплекса Sheriff (далее будет рассм = 86;трен подробнее), служит ключ /z.

DOCTOR WEB

В послеk= 6;нее время стремительl= 5;о растет популярносm= 0;ь другой антивируснl= 6;й программы - Doctor Web. Dr.Web так же, как и Aidstest относится к классу детекторов - докторов, но в отличие от последнеk= 5;о, имеет так называемый "эвристичес= ;кий анализатор" - алгоритм, позволяющиl= 1; обнаруживаm= 0;ь неизвестныk= 7; вирусы. "Леч = 77;бная паутина", ка = 82; переводитсn= 3; с английl= 9;кого название программы, стала ответом отечественl= 5;ых программисm= 0;ов на нашестви = 77; самомодифиm= 4;ирующихся вирусов-мут = 72;нтов. Последни= ;е при размножениl= 0; модифицирm= 1;ют свое тело та= 082;, что не остается ни одной характерноl= 1; цепочки бай = 90;, присутствоk= 4;авшей в исходной в= 077;рсии вируса. Dr.= Web можно назвать антивирусоl= 4; нового поколения п = 86; сравнению с Aidstest и его ан= алогами.

Управле= ;ние режимами также как и в <= span class=3DSpellE>Aidstest осуществляk= 7;тся с помощью кл= 102;чей. Пользоватеl= 3;ь может указать программе, тестироватn= 0; как весь диск, так и отдельные подкаталогl= 0; или группы файлов, либо же отказаться от проверки дисков и тестироватn= 0; тольк= ;о оперативнm= 1;ю память. В свою очеред= 00; можно тести = 88;овать либо только базовую пам= 03;ть, либо, вдобавок, ещ= 105; и расширеннуn= 2; (указываетс= 03; с помощью ключа /H). Как и Aidstest Doctor Web может созда = 74;ать отчет о работе (ключ /<= span class=3DSpellE>P), загружать знакогенерk= 2;тор Кириллицы (ключ /R), поддерж= ивает работу с программно- = 72;ппаратным комплексом Sheriff (ключ /Z).

Но, конечно, главной особенностn= 0;ю "Лечебной паутины" является наличие эвристичесl= 2;ого анализаторk= 2;, который подключаетl= 9;я ключом /S. Баланса между скоростью и качеством м = 86;жно добиться, указав кl= 3;ючу уровень эвристичесl= 2;ого анализа: 0 - минимальныl= 1;, 1 - оптимальны&= #1081;, 2 - максимальнm= 9;й; при этом, естественнl= 6;, скорость уменьшаетсn= 3; пропорционk= 2;льно увеличению качества. К тому же Dr.Web позволяет тестироватn= 0; файлы, вакцинировk= 2;нные CPAV, а такжk= 7; упакованныk= 7; LZEXE, PKLITE, DIET. Для этого следует указать клю = 95; /U (при этом распак = 86;вка файлов буде = 90; произведенk= 2; на текущем устройствk= 7;) или /U диск: (где диск: - устройство, на котором будет производитn= 0;ся распаковка), если дискет = 72;, с которой запущен Doctor Web з&= #1072;щищена от записи. Многие программы упакованы таким= ; способом, хотя пользоватеl= 3;ь может и не подозреватn= 0; об этом. Если ключ /U не установлен, то Doctor Web<= /span> может пропустить вирус, забравшийсn= 3; в запакован = 85;ую программу.=

Важной функцией является контроль заражения тестируемыm= 3; файлов резидентныl= 4; вирусом (клю= 095; /V). При ска= ;нировании памяти нет сm= 0;опроцентно= 081; гарантии, чт= 086; "Лечебная паутина" обнаружит все вирусы, находящиесn= 3; там. Так вот, при задании функции /V Dr.Web пытает = 89;я воспрепятсm= 0;вовать оставшимся резидентныl= 4; вирусам, заразить те = 89;тируемые файлы.

Тестиро= ;вание винчестера Dr.Web-ом занимает на много больш = 77; времени, чем Aidstest-ом, поэтому не каждый пользоватеl= 3;ь может себе позволить тратить столько времени на е= 078;едневную проверку всего жесткого диска. Таким пользоватеl= 3;ям можно посоветоваm= 0;ь более тщате = 83;ьно (с опцией /S= 2) проверять принесенныk= 7; извне дискеты. Есл= 080; информация на дискете находится в архиве (а в последнее в = 88;емя программы и данные переносятсn= 3; с машины на м&#= 1072;шину только в таком виде; даже фирмы-произ = 74;одители программноk= 5;о обеспечениn= 3;, например Borland, пакуют свою продукцию), следует распаковатn= 0; его в отдель= 085;ый каталог на жестком диске и сраз= 091; же, не откладывая, запустить Dr.Web, задав ему в качест= 074;е параметра вместо имен = 80; диска полны = 81; путь к этому подкаталогm= 1;. И все же нужно хотя б= 099; раз в две недели прои = 79;водить полную проверку "винчестера= ;" на вирусы с з&#= 1072;данием максимальнl= 6;го уровня эвристичесl= 2;ого анализа.

Так же как и в случае с Aid= stest при начальном тестироваl= 5;ии не стоит разрешать п = 88;ограмме лечить файл = 99;, в которых он= 072; обнаружит вирус, так как нельзя исключить, ч= 090;о последоватk= 7;льность байт, принятая в антивирусе = 79;а шаблон= может встретитьсn= 3; в здоровой программе. Если по завершении тестированl= 0;я Dr.Web выдасm= 0; сообщения о том, что нашел вирус = 99;, нужно запустить его с опцией /<= span class=3DSpellE>P (если эта опция не был= 072; указана) для того, чтобы посмотретn= 0;, какой файл заражен. После этого нужно скопироватn= 0; файл на диск= 077;ту или на электронныl= 1; диск и попытаться удалить, указав "Лечебной паутине" клn= 2;ч /F. При неудачном лечении следует пос = 90;упить так же, как в аналогичноl= 1; ситуации, описанной в = 99;ше для программы Aidstest.

MICROS= OFT ANTIVIRUS

В состаk= 4; современныm= 3; версий MS-DOS (например, 7.10) входит антивируснk= 2;я программа Microsoft Antivirus (MSAV). Этот антивирус может работать в режимах дет = 77;ктора-докто&= #1088;а и ревизора.

MSAV имеет дружественl= 5;ый интерфейс в стиле MS-Windows, естественнl= 6;, поддерживаk= 7;тся мышь. Хорошо реализованk= 2; конте= ;кстная помощь: подсказка есть практи = 95;ески к любому пункту меню, к любой ситу= 072;ции. Универсальl= 5;о реализован доступ к пунктам мен= 02;: для э= того можно использоваm= 0;ь клавиши упр = 72;вления курсором, ключевые клави= ;ши (F1-F9), клавиши, соо= 090;ветствующи&= #1077; одной из бук= 074; названия пункта, а также мышь. Флажки установок в пункте меню Options можно устанавливk= 2;ть как клавише = 81; ПРОБЕЛ, так и клавишей ENTER.= Серьёзным неудобствоl= 4; при использ = 86;вании программы является то, что она сохраняет таблицы с данными о файлах не в одном файле, а разбрасываk= 7;т их по всем директорияl= 4;.

При запуске программа загружает собственныl= 1; знакогенерk= 2;тор и читает дерево ката = 83;огов текущего диска, после чего выходи = 90; в главное меню. Не поня&#= 1090;но, зачем читат= 00; дерево каталогов сразу при запуске: вед= 100; пользоватеl= 3;ь может и не за&#= 1093;отеть проверять текущий дис = 82;. В главном меню можно сменить дис = 82; (Select new drive), выбрат= 100; между проверкой без удалени= 03; вирусов (Det= ect) и с их удален&#= 1080;ем (Detect&Clean). При запуске проверки диска (как в р&= #1077;жиме удаления, та= 082; и без него) программа сначала сканирует память= на наличие = 080;звестных ей вирусов. При этом выводится и = 85;дикация проделанноl= 1; работы в вид= 077; цветной полоски и пр= 086;цента выполненноl= 1; работы. Посл= 077; сканированl= 0;я памяти MSAV принимаетсn= 3; за проверку непосредстk= 4;енно диска.

При первой проверке MSAV создает в каждой директории, содержащей = 80;сполнимые файлы, файлы CHKLIST.MS, в которые записывает информацию = 86; размере, дате, времени, атрибутах, а также контрольнуn= 2; сумму контролируk= 7;мых файлов. При последующиm= 3; проверках программа будет сравнивать файлы с инфо= 088;мацией в CHKLIST.MS-файла= х. Если измени = 83;ись размер и дата, то прог&#= 1088;амма сообщит об этом пользоватеl= 3;ю и запросит о дальнейших действиях: обновить ин = 92;ормацию (Update), установить дату и время в соответствl= 0;е с данными в CHKLIST.MS (Repair), продолжить, не обращая внимания на изменения = 74; данном файл = 77; (Continue), прервать проверку (Stop). Если изменилась контрольнаn= 3; сумма, то MS= AV выведет такое же окно, только вместо пункта Repair будет пункт Delete (удалит= 100;), так как программа не может восстановиm= 0;ь содержимое файла. При обнаружениl= 0; вируса в режиме Detect&= Clean программа удалит этот вирус. Проверку диска в обои= 093; режимах можно приостановl= 0;ть, либо полностью прерв= ;ать, нажав ESC (или F3) и ответив на соответствm= 1;ющий вопро= ;с программы. В= 086; время сканированl= 0;я диска= ; выводится информациn= 3; о проделанноl= 1; работе: процент обработаннm= 9;х каталогов и процент обработанl= 5;ых файлов в текущем каталоге. Эта информа = 94;ия выдается также наглядно, в виде цветно = 81; полоски, как и при проверке памяти. В конце прове = 88;ки MSAV выдает отчет в виде таблицы, в которой соо = 73;щается о количеств = 77; проверенныm= 3; жестких дис = 82;ов и гибких дисков, о количестве проверенныm= 3;, инфицироваl= 5;ных и вылеченны = 93; файлов. Кром= 077; того, выводится время скани = 88;ования.

В меню Options можно сконфигуриl= 8;овать программу п = 86; собственноl= 4;у желанию. Здесь можно установить режим поиск = 72; вирусов-нев = 80;димок (Anti-Stealth), проверки всех (а не только= исполнимыm= 3;) файлов (Check All Files), а также разре = 96;ить или запретить создавать таблицы CHKL= IST.MS (Create New Checksums). К тому же можно задать режи = 84; сохранения = 86;тчета о проделанноl= 1; работе в файле= ;. Если установить опцию Create Backup, то пере&#= 1076; удалением вируса из за= 088;аженного файла его ко= 087;ия будет сохранена с расширениеl= 4; *.VIR

Находяс= ;ь в основном меню, можно просмотретn= 0; список вирусов, известных программе MSAV, нажав клавишу F9. При этом выведется окно с названиями вирусов. Чтобы посмо = 90;реть более подробную информацию = 86; вирусе, нужн= 086; подвести курсор к его имени и нажать ENTER. Можно быстр = 86; перейти к интересующk= 7;му вирусу, набрав первые букв = 99; его имени. Информацию = 86; вирусе можн = 86; вывести на принтер, выб= 088;ав соответствm= 1;ющий пункт меню.

ADINF(Advanced Disk= infoscope)

ADinf относится к классу прог = 88;амм-ревизор&= #1086;в. Антивирус имеет высокую ско = 88;ость работы, способен с успехом противостоn= 3;ть вирусам, находящимсn= 3; в памяти. Он п&= #1086;зволяет контролироk= 4;ать диск, читая его по секторам че = 88;ез BIOS и не используя системные прерываниn= 3; DOS, которые может перехватитn= 0; вирус.

Програм= ;ма ADinf получила первый приз на Вторl= 6;м Всесоюзном конкурсе антивирусl= 5;ых программ в 1990 году, а также второй приз на конкурсе Borland Contest'93. ADinf был единственнm= 9;м антивирусоl= 4;, который лет = 86;м 1991 года обнаружил вирус= ; DIR, построенныl= 1; на принципиалn= 0;но новом способе зар = 72;жения и маскировк = 80;.

Для лечения заражённых файлов применяетсn= 3; модуль ADinf Cure Module, нk= 7; входящий в пакет ADinf l= 0; поставляющl= 0;йся отдельно. Принцип работы модуля - сохранение небольшой базы данных, описывающеl= 1; контролируk= 7;мые файлы. Работая совместно, эти програм = 84;ы позволяют обнаружить = 80; удалить око = 83;о 97% файловых вирусов и 100% вирусов в за= 075;рузочном секторе. К примеру, нашумевший вирус= ; SatanBug был легко обнаружен, и заражённые им файлы автоматичk= 7;ски восстановлk= 7;ны. Причем, даже те пользоватеl= 3;и, которые приоб= ;рели ADinf и ADinf= Cure Module за несколько месяцев до появлени= 03; этого вирус = 72;, смогли без труда от нег= 086; избавиться.

В отличие от других антивирусоk= 4; Advansed Diskinfoscope не требует загрузки с эталонной, защищённой от записи дискеты. При загрузке с винчестера надежность защиты не уменьшаетсn= 3;.

ADinf имеет хорошо выполненныl= 1; дружественl= 5;ый интерфейс, который реализован в гра= фическом режиме. Программа работает не = 87;осредствен&#= 1085;о с видеопамя = 90;ью, минуя BIOS, при этом поддерживаn= 2;тся все графическиk= 7; адаптеры. Наличие большого количества ключей= позволяет пользоватеl= 3;ю создать мак = 89;имально удобную для него конфигурацl= 0;ю системы. Можно установить, что именно нужно контр = 86;лировать: файлы с заданными расширенияl= 4;и, загрузочныk= 7; сектора, наличие сбойных кластеров, новые файлы на наличие Stealth-вирусов, фа&#= 1081;лы из списка неизменяемm= 9;х и т.д. По своему жела = 85;ию пользоватеl= 3;ь может запретить проверять некоторые каталоги (эт= 086; нужно, если каталоги яв = 83;яются рабочими и в них всё время пр= 086;исходят изменения). Имеется возможносm= 0;ь изменять с = 87;особ доступа к диску (BIOS, Int13h или Int= 25h/26h), редактировk= 2;ть список расширений проверяемыm= 3; файлов, а также назначить каждому расширению собственныl= 1; вьюер, с помощью которого будут просматривk= 2;ться файлы с этим расширениеl= 4;. В традициях современноk= 5;о программноk= 5;о обеспечениn= 3; реализованk= 2; работа с мышью. Как и вся продукция фирмы "Дl= 0;алогНаука&qu= ot;, ADinf<= span style=3D'mso-spacerun:yes'> поддерживk= 2;ет программно- = 72;ппаратный комплекс Sheriff.

При инсталляциl= 0; ADinf в систему имеется возможностn= 0; изменить им= 03; основного файла ADINF.EXE и имя таблиц, при э&#= 1090;ом пользоватеl= 3;ь может задат= 00; любое имя. Это очень полез = 85;ая функция, так как в последнее время появи = 83;ось множество вирусов, "охотящихся= ;" за анm= 0;ивирусами (например, есть вирус, к&#= 1086;торый изменяет программу Aidstest так, что она вместо заставки фирмы "Дl= 0;алогНаука&qu= ot; пишет: "i= 1;озинский - пень"), в том числе и за ADinf.

Полезно= ;й функцией является возможностn= 0; работы с DOS, не выходя из программы. Это бывает полезно, когда нужно запустить внешний антивирус д = 83;я лечения файла, если у пользоватеl= 3;я нет лечащег = 86; блока ADinf Cure Module.

Ещё однk= 2; интересная функция - запрещение = 88;аботы с системой при обнаружениl= 0; изменений н = 72; диске. Эта функция полезна, ко= 075;да за терминаламl= 0; работают пользоватеl= 3;и, не имеющие ещё большог = 86; опыта в общении с компьютероl= 4;. Такие пользоватеl= 3;и, по незнанию или по халатности, могут проиг = 85;орировать сообщение ADinf и продолжить работу, как ни в чём не бывало, что может привести к тяжёлым после= ;дствиям.

Если же установлен = 82;люч - Stop в строке вызова Adinf AUTOEXEC.BAT, то при обнаружениl= 0; изменений н = 72; диске программа потребует позвать системного программисm= 0;а, обслуживаюm= 7;его данный терминал, а если пользо = 74;атель нажмет ESC или ENTER, то система перезагрузl= 0;тся и все повтор= 080;тся снова.

Принцип работы ADinf основан на сохранении = 74; таблице копии MASTER-BOOT и BOOT секторов, список номеров сбойных кластеров, схему дерев = 72; каталогов и информацию обо всех контролируk= 7;мых файлах. Кром= 077; того, программа запоминает = 80; при каждом запуске проверяет, = 085;е изменился л = 80; доступный DOS объем оперативноl= 1; памяти (что бывает при з= 072;ражении большинствl= 6;м загрузочныm= 3; вирусов), количество установленl= 5;ых винчестероk= 4;, таблицы параметров винчестера = 74; области переменных BIOS.

При первом запуске программа запоминает = 86;бъем оперативноl= 1; памяти, нахо= 076;ит и запоминае = 90; адрес обработчикk= 2; прерывания Int 13h в BIOS, которыl= 1; будет использоваm= 0;ься при всех последующl= 0;х проверках, = 080; строит таблицы для проверяемыm= 3; дисков. При этом проверяетсn= 3;, показывал л = 80; вектор прерывания 13h в BIOS перед загрузкой DOS.

При последующиm= 3; запусках ADinf проверяет объем оперативноl= 1; памяти, дост= 091;пной DOS, переменные BIOS, загрузочныk= 7; сектора, список номеров сбо = 81;ных кластеров (так как некоторые вирусы, записавшисn= 0; в кластер, помечают ег = 86;, как сбойный, чтобы их не затёрли дру = 75;ие данные, а также не обнаружили примитивныk= 7; антивирусы). К тому же антивирус и = 97;ет вновь созданные и уничтоженнm= 9;е подкаталогl= 0;, новые, удаленные, переименовk= 2;нные, перемещённm= 9;е и изменившиеl= 9;я файлы (проверяетс= 03; изменение длины и контрольноl= 1; суммы). Ес= 083;и ADinf обнару= ;жит, что, изменился файл из списка неиз = 84;еняемых, либо в файле произошли и = 79;менения без изменения даты и времени, а также наличие у файла странной даты (число больше 31, месяц больш = 77; 12 или год больше текущего) ил= 080; времени (минут больше= 59, часов больше 23 или секунд больше 59), то оl= 5; выдаст предупреждk= 7;ние о том, что возможно заражение вирусом.=

Ес= ;ли обнаружены изменения BOOT-секторов, тl= 6; можно в режиме диалога сравнить системные т = 72;блицы, которые был = 80; до и после изменения, и по желанию восстановиm= 0;ь прежний сектор. Посл= 077; восстановлk= 7;ния измененный = 89;ектор сохраняетсn= 3; в файле на диске для после= ;дующего анализа. Новые сбойные кластеры (ве= 088;нее информация = 86; них в FAT) могут появиться после запуска какой-либо у= 090;илиты, лечащей диск (например, NDD) или благодаря действиям вируса. Если = Adinf выдал сообщение, а пользоватеl= 3;ь не запускал никаких подобных утилит, то, скорее всег = 86; в компьютер забрался вирус. При получении такого сообщения следует про = 76;олжить проверку, внимательнl= 6; следя за все= 084;и сообщениямl= 0; об изменениях = 92;айлов и загрузочн = 99;х секторов. Если в системе действителn= 0;но вирус, то такие сообщения н = 77; заставят се = 73;я долго ждать (ведь если все тело вируса буде = 90; находиться = 74; "сбойном" кластере, ем= 091; никогда не передастся управление).

После проверки ADinf выдаёт сводную таб = 83;ицу, сообщающую об изменени= 03;х на диске. По таблице можно перемещатьl= 9;я стрелками и просматривk= 2;ть подробную информацию, нажав ENTER на интересуюm= 7;ем пункте. Суще= 089;твует возможностn= 0; перехода к л= 102;бому пункту с помощью "быстрых" клавиш. Изме= 085;ившиеся файлы можно просмотретn= 0; в классическl= 6;м режиме (шестнадцат = 77;ричный дамп / ASCII-коды) с помощью k= 4;строенного вьюера, который чит = 72;ет диск через BIOS. Можно также воспользовk= 2;ться внешним вьюером, предваритеl= 3;ьно указав к нем= 091; путь. Подключив внешний редактор, можно отред = 72;ктировать изменившиl= 1;ся файл.

Не совсем привычно выглядит форма, в которой ADin= f сообщает об обнаруженнm= 9;х подозрителn= 0;ных изменениях: вместо выдачи= сообщения = 86; конкретных изменениях он выводит красное окн = 86; со списком всех возможных и помечает галочкой пу = 85;кты, соответствm= 1;ющие измен= ;ениям, произошедшl= 0;м в настоящий момент. Если после получения такого сообщения н = 72;жать ESC, то программа з = 72;просит о дальнейши = 93; действиях: обновить ин = 92;ормацию о диске, не обновлять е= 05;, лечить (при наличии лечащего модуля ADinf Cure Module) или записат= 00; протокол. Дл= 103; лечения можно воспользовk= 2;ться внешним антивирусоl= 4;, загрузив ег = 86; из окна рабо= 090;ы с DOS,&n= bsp; которое вызываетсn= 3; комбинациk= 7;й клавиш ALT+V.

Если изменения н = 77; относятся к разряду под = 86;зрительных, то после выдачи таблицы изм = 77;нений можно нажат= 00; ESC. При этоl= 4; программа спросит, нужно ли обновлять данные о диске в таблицах ил = 80; не нужно, а также нужно ли создават= 00; файл в отчет= 077; о проделанн = 86;й работе. Посл= 077; выбора одного из пунктов программа выполняет затребованl= 5;ое действие и завершает с = 74;ою работу.

Пе= речисленныk= 7; средства могут оказать се&= #1088;ьёзную помощь в обнаружениl= 0; вирусов и во= сстановленl= 0;и повреждённm= 9;х файлов, одна= 082;о &#= 1085;е менее важно = 080; соблюдение сравнительl= 5;о простых правил. Никогда не пользуйтесn= 0; сомнительнm= 9;ми источниками получения программ; наименее оп = 72;се&= #1085; законный способ покупки фирменных п = 88;одукто&= #1074;. Нередки случаи заражения вирусами програ&#= 1084;м, распростраl= 5;яемых по электрон = 85;ым кана&#= 1083;ам связи. Особенно неприятно получить заражё&#= 1085;ную программу в составе упакованноk= 5;о архива или = 074; сжатом виде после обработки исполн&#= 1103;емого файла процедурамl= 0; pklite.exe, lzexe= .exe, diet.exe. Большин= 089;тво антивируснm= 9;х &= #1087;рограмм (одно из немногих исключений - «докт&= #1086;р Web») не может обнаружить вредителя, по= двергнувшеk= 5;ося предваритеl= 3;ьному сжатию.

Истор&= #1080;я появления программ, которые при определённm= 9;х условиях могут нанес = 90;и умышл&#= 1077;нный ущерб данны = 84; или оборудованl= 0;ю, покрыта мраком неизвестноl= 9;ти, т.к. создатели к = 86;мпьютерных вирусов, «троянских коней» и других видов «бомб&raq= uo; предпочитаn= 2;т оставаться = 74; тени. Доста= 090;очно вспомнить появление "первой ласточки", наделавшей много шума - вируса WinWord.Con= cept, поражающегl= 6; документы в формате текстового процессора Microsoft Word for Windows 6.0 и 7= .0.

В конце 70-х гг. произошла остановка сбо&#= 1088;очного конвейера н = 72; автозаводе = 74; Тольятти. Причиной послужило умышленное изменение област&#= 1080; данных в программе, управляющеl= 1; автома&= #1090;ической подачей сборочных узлов. В течение ночной смен = 99; сотрудники Вычислитеl= 3;ьного центра, сред= 080; которых находился и виновник, были вынуждены вручную подносить нужные детали к кон= 074;ейеру. После явки с повинн&#= 1086;й состоялся нашумевший судебный п = 88;оцесс, выяснивший, что причино = 81; компьютерной диверсии послужило недовольстk= 4;о подсудимоk= 5;о своей зарплатой и задержкой в оформлении места для ег= 086; ребёнка в детский сад. &#= 1042; качестве наказания новоявленнm= 9;й луддит был осуждён на 3 года принуд = 80;тельных работ с их отбыванием = 74; качестве сборщика на родном конвейере.

Др= угой случай, получивший международную огласку, связан с судебным процессом над ас&#= 1087;ирантом Кор&= #1085;уэлльского= ; университеm= 0;а Р. Моррисом, который в 1988 запустил в американскm= 1;ю компьютернm= 1;ю сеть Internet вирус, блокировавm= 6;ий на двое суто= 082; работу 6000 компьютер&#= 1086;в. Самое интересное = 74; этой истори = 80;, что о&= #1090;ец Р. Морриса руководил Отделом национальной безопасносm= 0;и компьютероk= 4; в США.

Как это ни прискорбно, но к массовому произ= 074;одству вирусов больше других оказались = 87;ричастны страны, не достигшие каких-либо у= 089;пехов на более благородноl= 4; поприще раз = 74;ития компьютернm= 9;х технологий. Началась эт = 72; эпидемия с Болгарии, наводнившеl= 1; европейскиk= 7; страны серией «чёрных мст = 80;телей» (Dark Avenge= r, Eddie), «музыкальнm= 9;х злодеев» (Yankey<= /span> D= oodle) и др. Но, пожалуй, наибольший вклад в это занятие внесли отечественl= 5;ые хакеры. По списку из нескольких тысяч наименованl= 0;й, включаемых = 74; документацl= 0;ю по наиболее популярным антивируснm= 9;м средствам, можно изучать географию нашей стран = 99;. В отли&#= 1095;ие от «музы = 82;оедов» из Болгарии с их прист&#= 1088;астием к американскl= 0;м маршам, наши «патриоты» умеют чистить начальные сектора винчестер = 86;в на фоне исполнения государствk= 7;нного гимна СССР. Большинствm= 1; непризнаннm= 9;х компь&#= 1102;терных «гениев», похоже, не даёт покоя слава Герострата, который в 356 до н.э. сжё&= #1075; одно из семи чудес света - храм Артемиды Эфесск&= #1086;й. Других подзуживаеm= 0; возможностn= 0; доказать, что они хитрее авторов антивируснm= 9;х программ, и на каждое язвительноk= 7; замечание Д. Н. Лозинского (автора антивируснl= 6;й прог&#= 1088;аммы AIDSTEST) следует ответный залп более = 075;адких вирусов. Третьи мk= 2;ло чем отличаются от хулигано = 74;, украшающих = 89;тены наших домов = 080; заборы свои = 84; скудным лек = 89;иконом. Во многих страна&= #1093; уже действуют законы, предусматрl= 0;вающие для разработчиl= 2;ов и распростраl= 5;ителей компь&#= 1102;терных вирусов суровое наказание (в США - до 15 лет тюремного заключения). В российско = 84; законодательстве также предусмотрk= 7;ны анало= ;гичные меры. В УК России введена статья 273 предусматрl= 0;вающие наказание з = 72; подобные действия лишением свободы с наложением штрафов от 3-х месяцев до 3-х лет.

Кто и почему пише = 90; вирусы?

К&= #1090;о же пишет вирусы? На мой взгляд, основную их массу создают студенты и школьники, которые только что изучили язы = 82; ассемблера, = 093;отят попробоватn= 0; свои силы, но не могут най= 090;и для них боле= 077; достойного применения. Отраден тот факт, что значительнk= 2;я часть таких вирусов их авторами часто не распростраl= 5;яется, и вирусы через некоторое время «умирают» вместе с дискетами, н= 072; которых хранятся. Такие вирус = 99; пишутся, скорее всег = 86;, только для самоутвержk= 6;ения.

В&= #1090;орую группу составляют также молодые люд = 80; (чаще - студенты), которые еще не полность= 02; овладели искусством = 87;рограммиро&#= 1074;ания, но уже решил= 080; посвятить себя написанию и распростраl= 5;ению вирусов. Единственнk= 2;я причина, толкающая подобных людей на написание вирусов, это комплекс не = 87;олноценнос&#= 1090;и, который проявляет себя в компьютернl= 6;м хулиганствk= 7;.

И&= #1079;-под пера подобных «умельцев» часто выход= 03;т либо многочислеl= 5;ные модификациl= 0; «классичесl= 2;их» вирусов, либ= 086; вирусы крайне примитивныk= 7; и с большим ч&#= 1080;слом ошибок (таки= 077; вирусы я называю «студенчесl= 2;ими»). Значительнl= 6; облегчиласn= 0; жизнь подобных вирусописаm= 0;елей после выход = 72; конструктоl= 8;ов вирусов, при помощи которых можно создавать новые вирус = 99; даже при мин= 080;мальных знаниях об операционнl= 6;й системе и ассемблере, или даже вообще не имея об этом никакого представлеl= 5;ия. Их жизнь стала еще легче после появления макро-вирус = 86;в, поскольку в = 84;есто сложного языка Ассемблер для написан = 80;я макро-вирус = 86;в достаточно изучить довольно простой Бейсик.

С&= #1090;ав старше и опытнее, но, так и не повзрослев, многие из подобных ви = 88;усописател&#= 1077;й попадают в третью, наиболее оп = 72;сную группу, которая создает и за= 087;ускает в мир «профессиоl= 5;альные» вирусы. Эти очень тщательно продуманныk= 7; и отлаженны = 77; программы создаются профессионk= 2;льными, часто очень талантливыl= 4;и программисm= 0;ами. Такие вирус = 99; нередко исп = 86;льзуют достаточно оригинальнm= 9;е алгоритмы, недокументl= 0;рованные и мало кому известные способы проникновеl= 5;ия в системные области данных. «Профессиоl= 5;альные» вирусы част = 86; выполнены п = 86; технологии &laq= uo;стелс» и (&= #1080;ли) являются полиморфик-&= #1074;ирусами, заражают не только файл = 99;, но и загрузочныk= 7; сектора дисков, а иногда и выполняемыk= 7; файлы Windows = 080; OS/2.

Довольно значительнm= 1;ю часть в моей коллекции занимают «семейства&raqu= o; - группы из нескольких (иногда бол= 077;е десятка) вирусов. Представитk= 7;лей каждой их таких групп можно выделить по одной отличительl= 5;ой черте, которая называется «почерком»: = 074; нескольких различных вирусах встречаютсn= 3; одни и те же алгоритмы и приемы программирl= 6;вания. Часто все ил= 080; почти все представитk= 7;ли семейства принадлежаm= 0; одному автору, и иногда дово = 83;ьно забавно следить за «становленl= 0;ем пера» подобного художника - от почти «ст= 091;денческих» попыток создать хот= 00; что-нибудь, похожее на вирус, до вполне работоспосl= 6;бной реализации «профессиоl= 5;ального» вируса.

П&= #1086; моему мнени= 02;, причина, заставляющk= 2;я таких людей направлять свои способностl= 0; на такую бессмысленl= 5;ую работу все т= 072; же - комплекс неполноценl= 5;ости, иногда сочетающийl= 9;я с неуравновеm= 6;енной психикой. Показателеl= 5; тот факт, что подобное вирусописа&#= 1090;ельство часто сочетается = 89; другими пагубными пристрастиn= 3;ми. Так, весной 1997 года один из наиболее известных в мире авторо = 74; вирусов по к= 083;ичке Talon (Австралия) скончался в возрасте 21 года от лета= 083;ьной дозы героин = 72;.

Н&= #1077;сколько отдельно стоит четвертая группа авторов вирусов - «ис&#= 1089;ледователи= ». Эта группа состоит из довольно сообразитеl= 3;ьных программисm= 0;ов, которые зан = 80;маются изобретениk= 7;м принципиалn= 0;но новых методов заражения, скрытия, противодейl= 9;твия антивирусаl= 4; и т.д. Они же придумываюm= 0; способы внедрения в новые операционнm= 9;е системы, конструктоl= 8;ы вирусов и полиморфик-= генераторы. Эти программисm= 0;ы пишут вирус = 99; не ради собс= 090;венно вирусов, а скорее ради «исследоваl= 5;ия» потенциалоk= 4; «компьютерl= 5;ой фауны».

Ч&= #1072;сто авторы подобных вирусов не запускают свои творения в жизнь, однак= 086; очень активно пропагандиl= 8;уют свои идеи через многочислеl= 5;ные электронныk= 7; издания, посвященныk= 7; созданию вирусов. При этом опасность о = 90; таких «исследоваm= 0;ельских» вирусов не падает - попав в руки «профессиоl= 5;алов» из третьей группы, новы= 077; идеи очень быстро реализуютсn= 3; в новых виру= 089;ах.

О&= #1090;ношение к авторам вирусов у меня тройст = 74;енное. Во-первыm= 3;, все, кто пишет вирус = 99; или способс = 90;вует их распростраl= 5;ению, являются «кормильцаl= 4;и» антивируснl= 6;й индустрии, годовой оборот которой я оцениваю ка = 82; минимум две сотни миллионов долларов ил = 80; даже более того (при этом не стои= 090; забывать, чт= 086; убытки от вирусов составляют несколько сотен миллионов долларов ежегодно и в разы превышают расходы на антивируснm= 9;е программы). Конечно же, авторам вирусов не следует надеяться н = 72; материальнl= 6;е вознаграждk= 7;ние: как показывает практика, их труд был и остается бе = 89;платным. К тому же на сегодняшниl= 1; день предло = 78;ение (новые вирусы) вполне удовлетворn= 3;ет спрос (возможност = 80; антивируснm= 9;х фирм по обработке новых вирус = 86;в).

В&= #1086;-вторых, мне несколько жаль авторо = 74; вирусов, осо= 073;енно «профессиоl= 5;алов». Ведь для того, чтобы написать подобный вирус, необходимо: a) затратить довольно много сил и времени, при= 095;ем гораздо больше, чем требуется для того, чтобы разобратьсn= 3; в вирусе, занести его = 074; базу данных или даже написать специальныl= 1; антивирус; и б) не иметь другого, бол= 077;е привлекатеl= 3;ьного, занятия. Сле= 076;овательно, вирусопl= 0;сатели - «профессио= 085;алы» довольно работоспосl= 6;бны и одновреме = 85;но с этим ма= 02;тся от безделья - ситуация, ка= 082; мне кажется, весьма печа = 83;ьная.

И,= в третьих, к моему отношению к авторам вирусов довольно сильно подм = 77;шаны чувства нелюбви и презрения как к людям, заведомо и бесцельно тратящим себя во вред всем остальным.

Файловые вирусы

Загрузочно= -файловые вирусы

Полиморфны= е вирусы

Стелс-вирусm= 9;

Троянские кони, программныk= 7; закладки и сетевые чер = 74;и

DOCTOR WEB