Вирусы и антивирусы

  Вирусами может быть заражен  даже текстовый документ или  электронная таблица. Документы современного текстового или табличного редактора (например, Microsoft Word и Excel) могут иметь собственные наборы макрокоманд – маленькие программки, некоторые из которых запускаются при загрузки файла в редактор и выполняют полезные действия по оформлению документа. В эти макрокоманды файла чаще всего и попадает вирус, который так и называют макровирус.

Трояны и шпионы

   У интернетовских вирусов помимо обычной цели – уничтожить файлы, затереть диск или испортить BIOS – может быть совсем особая цель: проникнуть в компьютер и начать шпионить за его хозяином. Например, такая программа может разузнать пароли и логины для доступа в сеть и пользоваться ими вместо хозяина. Злоумышленник сможет следить за изменениями информации на данной машине, оперативно получая ее от своего «агента», может управлять компьютером, причем у него может быть даже больше возможностей это делать, чем у самого хозяина машины.

 Часто зараженные компьютеры  используются для массированной  рассылки спама: тысячи зараженных  компьютеров без устали рассылают рекламу, а их хозяева ничего не замечают. Вирусы такого рода называются троянскими. Этот вирус часто выдает себя за полезную программу – за утилиту для ускорения Интернета или для просмотра картинок.

   Отдельная опасность, которую несут с собой трояны, - это так называемый фишинг – подмена адресов веб-страниц.

Очень близки к Троянам программы-шпионы, которые не преследуют целей выкрасть пароль и не заражают другие компьютеры, а потому обычные антивирусы их не находят. Эти программы, чаще всего, преследуют цели коммерческие: следя за тем, какие сайты посещал пользователь, на каких регистрировался, что покупал в интернет-магазинах, передавая своим хозяевам эту и некоторую другую конфиденциальную информацию. А те ее продают «третьим фирмам».

 

 

Вирусы в письмах  и заплатки от них

  Самую серьезную опасность представляют файлы, присланные малознакомыми людьми. Это может быть электронное письмо с вложением, файл, присланный по ICQ или с помощью иного интернетовского вида связи.

Злоумышленники всячески маскируют свои намерения, стараются придать файлу самый безобидный вид. Так, прославившийся в 2000 году разрушительный вирус I Love you рассылал в электронных письмах в виде вложения зараженный файл с безопасным на взгляд неспециалиста расширением vbs (visual basic script). А вирус Goner(2001-2002), который помимо почты распространялся также и через ICQ присылал зараженный файл с расширением scr – якобы экранную заставку (screen saver), кроме com, exe и bat-файлов следует опасаться также файлов с не совсем очевидными расширениями scr, cmd, vbe, vbs, js, jse, wsf, wsh и т. д.

Черви почтовые и сетевые

   Особое место среди почтовых вирусов занимают черви (warms). Червь существо бесполое – размножается почтовым путем. Заразивший компьютер червяк лезет в адресную книжку, берет там адреса и высылает им свои копии, приложенные к письмам.

Заголовка у письма может не быть вовсе, он может содержать какие-то завлекательные фразы, чаще на английском языке, но некоторые червяки умеют  утаскивать темы и из реальных писем вашего почтового ящика. Тогда тема окажется не только осмысленная, но и на русском языке.

В 2001 году появились и очень широко распространились по миру вирусы нового типа. Подцепить Aliz, Klez, Nimda, Mydoom, Mytob, Sober и другие подобные инфекции можно, даже не открывая файла, приложенного к письму.

   В 2004 году поступили сообщения о том, что даже безобиднейшие графические файлы формата BMP или JPEG могут нести в себе вирусы. Причем заработать этот вирус можно не только при просмотре вложенного файла, но и при разглядывании рисунка на веб-странице. А в 2005 году стало известно, что дырки в защите программных плееров QickTime и iTunes позволяли заразится даже при закачивании музыкальных файлов.

Чтобы успешно со всем этим бороться, нужно, прежде всего, следить за обновлениями Windows и своевременно их устанавливать, чтобы не попасть под какую-то новую, пока еще не известную вашей системе вирусную атаку. Не запрещать виндам обновляться. Установить один из брандмауэров (межсетевых экранов). Реже посещать зоны бесплатного риска.

Скрипт-вирусы

   Чистые html-файлы, без программок-скриптов на языке Java или VB Script, не могут нести в себе вирус, но при наличии скриптов (сценариев) вирус возможен.

   В защите Internet Explorer, а также некоторых служебных программах Windows (например, Microsoft Internet Information Server, применяемой в   Windows 2000 для создания интернет-сервера) обнаружились дырки, незамеченные разработчиками, а авторами вирусов очень даже замеченные. Из-за этого скрипт с хакерской веб-страницы может скачать вирус и запустить ее на компьютере.

В силу всего изложенного каждый должен иметь программу защиты от вирусов и копии всех важных файлов на внешних носителях (дисках, компакт-дисках и т. п.). Для обнаружения и защиты от компьютерных вирусов, разработано множество видов специальных программ, которые позволяют обнаруживать и уничтожать эти вирусы, такие программы называются антивирусными. Практически все антивирусные программы обеспечивают автоматическое восстановление зараженных программ и загрузочных секторов.

 

 

 

Антивирусные программы

Антивирусные программы, конечно же, наиболее эффективны в борьбе с компьютерными вирусами, однако, сразу хотелось бы отметить, что не существует антивирусов, гарантирующих стопроцентную защиту от вирусов, и заявление о существовании таких систем можно расценивать либо как недостоверную рекламу, либо как непрофессионализм. Таких систем не существует, поскольку на любой алгоритм антивируса всегда можно предложить контр-алгоритм вируса, невидимого для этого антивируса (обратное тоже верно: на любой алгоритм вируса всегда можно создать антивирус). Более того невозможность существования абсолютного антивируса была доказана математически на основе теории конечных автоматов, автор доказательства Фред Коэн.

   Следует также обратить внимание на несколько терминов, применяемых при обсуждении антивирусных программ.

   Ложное срабатывание (False positive) – детектирование вируса в не зараженном объекте (файле, секторе или системной памяти). Обратный термин – False negative, т. е. недетектирование вируса в зараженном объекте.

   Сканирование по запросу (on-demand) – поиск вирусов по запросу пользователя. В этом режиме антивирусная программа неактивна до тех пор, пока не будет вызван пользователем из командной строки, командного файла или программы-расписания (system scheduler).

   Сканирование на лету (real-time, on-the-fly) – постоянная проверка на вирусы объектов, к которым происходит обращение (запуск, открытие, создание и. т. п.). В этом режиме антивирус постоянно активен, он присутствует в памяти «резидентно» и проверяет объекты без запроса пользователя.

 

 

 

   Качество антивирусной программы определяется по следующим позициям, приведенным в порядке убывания их важности.

Надежность  и удобство работы – отсутствие зависания антивируса и прочих технических проблем, требующих от пользователя специальной подготовки.

Качество  обнаружения вирусов всех распространенных типов, сканирование внутри файлов документов/таблиц (MS Word, Excel, Office 97), упакованных и архивированных файлов. Отсутствие «ложных срабатываний». Возможность лечения зараженных объектов. Для сканеров, как следствие, важной является также периодичность появления новых версий, т. е. скорость настройки сканера на новые вирусы.

Существование версий антивируса под все популярные платформы (DOS, Windows 95, Windows NT, Novell Net Ware, OS/2, Alpha, Linux и т. д.), присутствие не только режима «сканирование по запросу», но и «сканирование на лету», существование серверных версий с возможностью администрирования сети.

Скорость  работы и прочие полезные особенности.

   Надежность работы антивируса является наиболее важным критерием, поскольку даже абсолютный антивирус может оказаться бесполезным, если он будет не в состоянии довести процесс сканирования до конца – повиснет и не проверит часть дисков и файлов и, таким образом, оставит вирус незамеченным в системе. Если же антивирус требует специальных знаний, то он также окажется бесполезным.

   Качество детектирования вирусов стоит следующим пунктом по вполне естественной причине: антивирусные программы потому и называются антивирусными, что их прямая обязанность – ловить и лечить вирусы. Любой самый «навороченный» по своим возможностям антивирус бесполезен, если он не в состоянии ловить вирусы или делает это не вполне качественно.

Например, если антивирус не детектирует 100%  какого-либо полиморфного вируса, то при  заражении системе этим вирусом  такой антивирус обнаружит только часть (допустим, 99%) всех зараженных на диске файлов. Необнаруженными останется всего 1%, но когда вирус снова проникнет в компьютере, то антивирус опять обнаружит 99%, но уже не от всех файлов, а только от вновь зараженных.

   В результате на диске будет заражено уже 1,99% файлов. И так далее, пока все файлы на диске не будут заражены при полном молчании антивируса.

   Поэтому качество детектирования вирусов является вторым по важности критерием «качества» антивирусной программы, более важным, чем многоплатформность, наличие разнообразного сервиса и т. д. Однако если при антивирус с высоким качеством детектирования вирусов вызывает большое количество ложных срабатываний, то его уровень полезности резко поскольку, пользователь вынужден либо уничтожать незараженные файлы, либо самостоятельно производить анализ подозрительных файлов, либо привыкает к частым ложным срабатываниям – перестает обращать внимание на сообщения антивируса и в результате пропускает сообщение о реальном вирусе.

   Многоплатформность антивируса является следующим пунктом в списке, поскольку только программа, рассчитанная на конкретную ОС, может полностью использовать функции этой системы. «Неродные» же антивирусы часто оказываются неработоспособными, а иногда даже разрушительными. Например, вирус OneHalf поразил компьютер с установленными на нем Windows 95 или Windows NT.

Если для расшифровки диска (данный вирус шифрует секторы диска) воспользоваться DOS-антивирусом, то результат может оказаться плачевным: информация на диске будет безнадежно испорченной, поскольку Windows 95/NT не позволит антивирусу пользоваться прямыми вызовами чтения/записи секторов при расшифровки секторов. Антивирус же, являющийся Windows-программой, справляется с этой задачей без проблем.

   Возможность проверки файлов на лету также является достаточно важной чертой антивируса. Моментальная и принудительная проверка приходящих на компьютер файлов и вставляемых дискет является практически 100%-ной гарантией от заражения вирусом, если, конечно, антивирус в состоянии детектировать этот вирус. Очень полезными являются антивирусы, способные постоянно следить за серверами – Novell NetWare, Windows NT, а в последнее время, после массового распространения макровирусов, и за почтовыми серверами, сканируя входящую/исходящую почту. Если же в серверном варианте антивируса присутствует возможность антивирусного администрирования сети, то его ценность еще более возрастает.

   Следующим по важности критерием является скорость работы. Если на полную проверку компьютера требуется несколько часов, то вряд ли большинство пользователей будут запускать его часто. При этом медленность антивируса совсем не говорит о том, что он ловит вирусов больше и делает это лучше, чем более быстрый антивирус. В разных антивирусах используются различные алгоритмы поиска вирусов, один алгоритм может оказаться более быстрым и качественным, другой – медленным и менее качественным. Все зависит от способностей и профессионализма разработчиков конкретного антивируса.

  Наличие дополнительных функций   и возможностей стоит в списке  качества антивируса на последнем  месте, поскольку очень часто  эти функции никак не сказываются  на уровне полезности антивируса.

2.1. Строение антивирусов

Современные антивирусные программы  обычно состоят из нескольких модулей, каждый из которых занимается своим  специфическим делом:

Антивирусный монитор (сторож) работает постоянно, проверяя на лету всю информацию, которую программы собираются писать на диск или просто держать в памяти. Такой модуль можно отключить, например, включить его при входе в интернет, а, отключившись от сети – выключить;

Антивирусный сканер проверяет систему только тогда, когда вы сами его об этом просите. Сканер анализирует содержимое оперативной памяти, просматривает весь диск, оттискивая вирус. Найдя его в некоторых файлах, вылечивает их или даже удаляет, если они лечению не поддаются. Закончив проверку, сканер выключается;

Модуль автоматического обновления производит обновление антивирусной базы с сервера фирмы-производителя этого антивируса;

Программа-планировщик организует обновления по расписанию – раз в день или раз в час при каждом старте системы или при каждом заходе в интернет. Иногда планировщик может по расписанию запускать также и сканер (например, раз в неделю);

Модуль защиты электронной почты проверяет все приходящие письма;

Модуль защиты документов Microsoft Office - текстов Word, таблиц Excel и презентаций Pover Point и других;

Всю работу организует обычно отдельный  модуль, который называют центром управления.

  В современных антивирусных  пакетах есть модули всех этих  типов, а иногда и какие-то  дополнительные.

2.2. Типы антивирусов

   Самыми популярными и эффективными антивирусными программами являются антивирусные сканеры (другие названия: фаги, полифаги). Следом за ними по эффективности и популярности следуют CRC-сканеры (также: ревизор, checksumer, integrity checker). Часто оба приведенных метода объединяются в одну универсальную антивирусную программу, что значительно повышает ее мощность. Применяются также различного типа мониторы (блокировщики) и иммунизаторы.

Сканеры

   Принцип работы антивирусных сканеров основан на проверке файлов, секторов и системной памяти и поиске в них известных и новых (неизвестных сканеру) вирусов. Для поиска известных вирусов используются так называемые маски. Маской вируса является некоторая постоянная последовательность кода, специфичная для этого конкретного вируса. Если вирус не содержит постоянной маски или длинна этой маски недостаточно велика, то используются другие методы. Примером такого метода является алгоритмический язык, описывающий все возможные варианты кода, которые могут встретится при заражении подобного типа вирусом. Такой подход используется некоторыми антивирусами для детектирования полиморфик-вирусов.