Компьютерные вирусы

     Программы  - доктора, или фаги, "лечат"  зараженные программы или диски,

"выкусывая" из зараженных  программ тело вируса, т.е. восстанавливая  программу в

том состоянии, в котором  она находилась до заражения вирусом.

     Программы  - ревизоры сначала запоминают  сведения о состоянии программ  и

системных областей дисков, а затем сравнивают их состояние  с исходным. При

выявлении несоответствий, об этом сообщается пользователю.

     Доктора - ревизоры  — это гибриды ревизоров и  докторов, т.е. программы,

которые не только обнаруживают изменения в файлах и системных  областях дисков,

но и могут автоматически  вернуть их в исходное состояние.

     Программы  - фильтры располагаются резидентно  в оперативной памяти

компьютера и перехватывают  те обращения к операционной системе, которые

используются вирусами для  размножения и нанесения вреда, и сообщают о них

пользователю. Пользователь может разрешить или запретить  выполнение

соответствующей операции.

     Программы  - вакцины, или иммунизаторы, модифицируют программы и диски

таким образом, что это  не отражается на работе программ, но вирус, от которого

производится  вакцинация, считает эти программы и диски  уже зараженными. Эти

программы крайне неэффективны и далее не рассматриваются.

     Стратегия защиты от вирусов. Ни один тип антивирусных программ по

отдельности не дает, к сожалению, полной защиты от вирусов. По этому  наилучшей

стратегией защиты от вирусов  является многоуровневая, "эшелонная" оборона.

Опишем структуру этой обороны.

Средствам разведки в "обороне" от вирусов соответствуют программы -

детекторы, позволяющие проверять  вновь полученное программное обеспечение  на

наличие вирусов.

На переднем крае обороны  находятся программы-фильтры (резидентные  программы

для защиты от вируса). Эти  программы могут первыми сообщить о вирусной атаке

и предотвратить заражение  программ и диска.

Второй эшелон обороны  составляют программы-ревизоры, программы-доктора  и

доктора-ревизоры. Ревизоры обнаруживают нападение даже тогда, когда вирус

сумел "просочиться" через  передний край обороны. Программы-доктора

применяются для восстановления зараженных программ, если ее копий  нет в

архиве. Но они не всегда лечат правильно. Доктора-ревизоры обнаруживают

нападение вируса и лечат  зараженные файлы, причем контролируют правильность

лечения.

Самый глубокий эшелон обороны  — это средства разграничения  доступа. Они не

позволяют вирусам и неверно  работающим программам, даже если они  проникли в

компьютер, испортить важные данные.

И наконец, в "стратегическом резерве" находятся архивные копии  информации и

"эталонные" дискеты  с программными продуктами. Они  позволяют восстановить

информацию при ее повреждении  на жестком диске.

Программы - детекторы  и доктора

В большинстве случаев  для обнаружения вируса, заразившего  Ваш компьютер,

можно найти уже разработанные  программы-детекторы. Эти программы  проверяют,

имеется ли в файлах на указанном  пользователем диске специфическая для

данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на

экран выводится соответствующее  сообщение. Многие детекторы имеют  режим

лечения или уничтожения  зараженных файлов.

Следует отметить, программа - детектор может обнаруживать только те вирусы,

которые ей известны (т.е. занесены в антивирусную базу данных этой программы).

Например программа AVP Касперского способна обнаружить на 10 Февраля

2000 года 33556 вирусов. Ниже  приведено диалоговое окно этой  антивирусной

программы. Все в ней  отличается удобным и понятным интерфейсом. Программа

выполнена для операционной системы Windows'95/'98/NT/3.11, что позволяет ей

работать параллельно  с другими приложениями.

    

 

Рис.1

Некоторые программы, такие  как Dr.Weber, могут с

помощью эвристического анализа  находить модифицированные вирусы. Ниже приведено

диалоговое окно антивирусной программы Dr.Weber. Программа написана под

операционную систему MS DOS.

    

 

Рис. 2

Тем не менее, невозможно разработать  такую программу, которая могла  бы

обнаруживать любой заранее  неизвестный вирус. Многие  антивирусные программы

способны находить зараженные файлы даже внутри архивов

     Лечение от вирусов. Большинство программ - детекторов имеют также и

функцию "доктора", т.е. они пытаются вернуть зараженные файлы и области диска в

их исходное состояние. Те файлы, которые не удалось восстановить, как правило

делаются неработоспособными или удаляются.

Большинство  программ докторов умеют "лечить" только от некоторого

фиксированного количества вирусов, по этому они быстро устаревают. Но некоторые

программы могут обучаться  не только способам обнаружения, но и  способам лечения

от новых вирусов. К  таким программам относится AVSP фирмы "Диалог-МГУ".

Другой перспективный  подход — восстановление файлов на основе заранее

сохраненной информации об их состоянии. Этим занимаются программы - ревизоры и

доктора - ревизоры.

Действия при  заражении вирусом

При заражении компьютера вирусом (или подозрении на это) важно  соблюдать

четыре правила.

Прежде всего не надо торопиться и принимать опрометчивых решений. Как

говорится, "семь раз отмерь, один раз отрежь" — непродуманные  действия могут

привести не только к потере части файлов, которые можно было бы восстановить,

но и к повторному заражению  компьютера.

Тем не менее одно действие должно быть выполнено немедленно, — надо выключить

компьютер, чтобы вирус  не продолжал свою работу.

Все действия по обнаружению  вида заражения и л лечению компьютера следует

выполнять только после перезагрузки компьютера с защищенной от записи

"эталонной" дискеты  с операционной системой. При  этом следует пользоваться

исполняемыми файлами  находящимися только на защищенных от записи "эталонных"

дискетах. Несоблюдение этого правила может привести к очень тяжелым

последствиям, поскольку  при загрузке ОС или запуске программы  с зараженного

диска в компьютере может  быть активирован вирус, а при  работающем вирусе

лечение компьютера будет  бессмысленным, так как оно будет  сопровождаться

дальнейшим заражением дисков и программ.

Если Вы не обладаете достаточными опытом и знаниями для лечения  компьютера,

попросите о помощи более  опытных коллег или специалистов.

     Лечение компьютера. Рассмотрим случай когда вирус уже успел заразить или

испортить какие-то файлы  на дисках компьютера. При этом надо выполнить

следующие действия.

Перезагрузить ОС (Операционную Систему) с заранее подготовленной эталонной

дискеты. Эта дискета, как  и другие дискеты, используемые при  ликвидации

последствий заражения компьютерным вирусом, должна быть защищена от записи.

Заметим, что перезагрузку нельзя выполнять , используя комбинацию клавиш

<Ctrl><Alt><Del>, так как некоторые вирусы способны

анализировать это прерывание клавиатуры и продолжать работать. Они могут

сымитировать перезагрузку компьютера, а могут ответить вам  каким-то жестоким

образом. Для перезагрузки нужно использовать кнопку "RESET" на системном блоке

или вообще перезапустить  питание.

Необходимо проверить  правильность конфигурации компьютера при начальной

загрузке компьютера.

Сначала необходимо запустить  программу - детектор для определения  типа вируса

и зараженных файлов.

Далее нужно поочередно обезвредить  все диски, которые могли  подвергнуться

заражению. Если жесткий  диск разделен на несколько логических дисков, то при

перезагрузке с дискеты  будет виден только логический диск, с которого

стартует ОС. Необходимо прежде всего очистить от заражения его, а затем,

перегрузившись с жесткого диска, заняться его остальными разделами.

Теперь, когда известно, что  вирусов типа DIR на диске нет или  они успешно

вылечены можно проверить  целостность файловой системы и  поверхности диска

программой NDD или ChkDsk. Если повреждения FAT (файловой системы)

значительные, то целесообразно  попробовать сделать копии необходимой

информации, после чего отформатировать  диск. При незначительных повреждениях

можно попробовать восстановить диск также применяя программу DiskEdit из

комплекса Norton Utilities.

Если до заражения использовалась программа - ревизор, можно запустить  ее для

диагностики изменений в  файлах.

Если вы не уверены в  своих архивных копиях, проверьте  их на наличие вируса.

Удалить с диска все  файлы, которые были изменены и имеют  копии на других

дисках. Нельзя оставлять на диске .exe и .com файлы которые по мнению

ревизора были изменены. Оставлять их можно только в исключительных случаях.

Если обрабатываемый диск системный, то его систему стоит  обновить с

"эталонной" дискеты  командой SYS.

Файлы, которые доктор не смог восстановить следует уничтожить.

С помощью архивных копий  следует восстановить файлы, размещавшиеся  на диске.

Если имеется хорошая  программа - фильтр, целесообразно некоторое  время

поработать с ней.

Профилактика  против заражения вирусом

В настоящем разделе описываются  меры, которые позволяют уменьшить  вероятность

заражения компьютера вирусом, а также свести к минимуму ущерб  от заражения

вирусом, если оно все таки произойдет. Нет необходимости использовать все

описываемые средства для профилактики портив заражения вирусом.

Копирование информации и  разграничение доступа:

Неплохо бы иметь и при  необходимости обновлять архивные и эталонные копии

используемых Вами пакетов  программ и данных. Перед архивацией данных

целесообразно проверить  их на наличие вируса.

Целесообразно так же скопировать  на дискеты служебную информацию вашего диска

(FAT, загрузочные сектора)  и CMOS (энергонезависимая память  компьютера).

Копирование и восстановление подобной информации можно выполнить  с помощью

программы Rescue программного комплекса Norton Utilities.

Следует устанавливать защиту от записи на архивных дискетах.

Не следует заниматься нелицензионным и нелегальным копированием программного

обеспечения с других компьютеров. На них может быть вирус.

Все данные, поступающие  извне, стоит проверять на вирусы, особенно файлы,

"скачанные" из Интернета.

Надо заблаговременно  подготовить восстанавливающий  пакет на дискетах с

защитой от записи.

На время обычной работы, не связанной с восстановлением  компьютера, стоит

отключить загрузку с дискеты. Это предотвратит заражение загрузочным  вирусом.

Используйте программы - фильтры  для раннего обнаружения вирусов.

Периодически проверяйте диск программами -детекторами или докторами -

детекторами или ревизорами для обнаружения возможных провалов в обороне.