Компьютерные вирусы

Восстановление файлов

В подавляющем большинстве случаев  восстановление зараженных файлов является достаточно сложной процедурой, которую  невозможно произвести «руками» без  необходимых знаний — форматов выполняемых  файлов, языка ассемблера и т.д. К  тому же обычно зараженными на диске  оказываются сразу несколько  десятков или сотен файлов и для  их обезвреживания необходимо разработать  собственную программу-антивирус.

При лечении файлов следует учитывать  следующие правила:

• необходимо протестировать и вылечить все выполняемые файлы (COM, EXE, SYS, OVL) во всех каталогах всех дисков вне зависимости от атрибутов файлов (т.е. файлы read-only, системные и скрытые);
• желательно сохранить неизменными атрибуты и дату последней модификации файла;
• необходимо учесть возможность многократного поражения файла вирусом.

Лечение файла производится в большинстве случаев одним из нескольких стандартных способов, зависящих от алгоритма размножения вируса. В большинстве случаев это сводится к восстановлению заголовка файла и уменьшению его длины.

 

1.5 Антивирусная профилактика

 

Необходимо всегда иметь диск, записанный на не зараженном компьютере. На этот диск надо записать последние версии антивирусных программ-полифагов, таких как Doctor Web или Antiviral Toolkit Pro. Кроме антивирусных программ, на диск полезно записать драйверы внешних устройств компьютера, например драйвер устройства чтения компакт-дисков, программы для форматирования дисков - format и переноса операционной системы - sys, программу для ремонта  файловой системы Norton Disk Doctor или ScanDisk.

Диск будет полезен не только в случае нападения вирусов. Им можно  воспользоваться для загрузки компьютера в случае повреждения файлов операционной системы.

Необходимо периодически проверять  компьютер на заражение вирусами. Выполнять проверку не только выполняемых файлов, имеющих расширение COM, EXE, но также пакетных файлов BAT и системных областей дисков.

Если в компьютере записано много  файлов, их проверка антивирусами-полифагами, скорее всего, будет отнимать достаточно много времени. Поэтому во многих случаях предпочтительней для повседневной проверки использовать программы-ревизоры, а новые и изменившиеся файлы  подвергать проверке полифагами.

Практически все ревизоры в случае изменения системных областей диска (главной загрузочной записи и  загрузочной записи) позволяют восстановить их, даже в том случае если неизвестно, какой именно вирус их заразил.

Практически все современные антивирусы могут правильно работать даже на зараженном компьютере, когда в его  оперативной памяти находится активный вирус. Однако перед удалением вируса все же рекомендуется предварительно загрузить компьютер с диска, чтобы вирус не смог препятствовать лечению.

Когда производится загрузка компьютера с диска, следует обратить внимание на два важных момента.

Во-первых, для перезагрузки компьютера надо использовать кнопку Reset, расположенную  на корпусе системного блока, или  даже временно выключить его питание. Не использовать для перезагрузки комбинацию из трех известных клавиш. Некоторые  вирусы могут остаться в памяти даже после этой процедуры.

Во-вторых, перед перезагрузкой  компьютера с диска проверить  конфигурацию дисковой подсистемы компьютера и особенно параметры дисководов и порядок загрузки операционной системы (должна быть установлена приоритетная загрузка с диска), записанную в энергонезависимой  памяти. Существуют вирусы, ловко меняющие параметры, записанные в энергонезависимой  памяти компьютера, в результате чего компьютер загружается с зараженного  вирусом жесткого диска, в то время  как оператор думает, что загрузка происходит с чистого диска.

Обязательно проверять с помощью  антивирусных программ все диски  и все программы, поступающие  на ПК через любые носители или  через модем. Если компьютер подключен  к локальной сети, необходимо проверять  файлы, полученные через сеть от других пользователей.

С появлением вирусов, распространяющихся через макрокоманды текстового процессора Microsoft Word и электронной таблицы Microsoft Excel, необходимо особенно внимательно  проверять не только выполнимые файлы  программ и системные области  дисков, но также и файлы документов.

Крайне важно постоянно следить  за выходом новых версий применяемых  антивирусных средств и своевременно выполнять их обновления на диске  и компьютере; использовать для восстановления зараженных файлов и системных областей диска только самые последние  версии антивирусов.

 

 

 

 

 

 

 

2. Антивирусные средства

 

2.1 Способы противодействия компьютерным вирусам

 

Способы противодействия компьютерным вирусам можно разделить на несколько групп: профилактика вирусного заражения и уменьшение предполагаемого ущерба от такого заражения; методика использования антивирусных программ, в том числе обезвреживание и удаление известного вируса; способы обнаружения и удаления неизвестного вируса.

Наиболее эффективны в борьбе с компьютерными вирусами антивирусные программы. Однако сразу хотелось бы отметить, что не существует антивирусов, гарантирующих стопроцентную защиту от вирусов, и заявления о существовании таких систем можно расценить как либо недобросовестную рекламу, либо непрофессионализм. Таких систем не существует, поскольку на любой алгоритм антивируса всегда можно предложить контр-алгоритм вируса, невидимого для этого антивируса (обратное, к счастью, тоже верно: на любой алгоритм вируса всегда можно создать антивирус).

 

2.1.1 Антивирусные программы

 

Антивирусные  программы развивались параллельно  с эволюцией вирусов. По мере того как появлялись новые технологии создания вирусов, усложнялся и математический аппарат, который использовался  в разработке антивирусов.

Первые  антивирусные алгоритмы строились  на основе сравнения с эталоном. Речь идет о программах, в которых  вирус определяется классическим ядром  по некоторой маске. Смысл алгоритма  заключается в использовании  статистических методов. Маска должна быть, с одной стороны, маленькой, чтобы объем файла был приемлемых размеров, а с другой - достаточно большой, чтобы избежать ложных срабатываний (когда «свой» воспринимается как  «чужой», и наоборот).

Первые  антивирусные программы, построенные  по этому принципу (так называемые сканеры-полифаги), знали некоторое  количество вирусов и умели их лечить. Создавались эти программы  следующим образом: разработчик, получив  код вируса (код вируса поначалу был статичен), составлял по этому  коду уникальную маску (последовательность 10-15 байт) и вносил ее в базу данных антивирусной программы. Антивирусная программа сканировала файлы  и, если находила данную последовательность байтов, делала заключение о том, что  файл инфицирован. Данная последовательность (сигнатура) выбиралась таким образом, чтобы она была уникальной и не встречалась в обычном наборе данных.

Описанные подходы использовались большинством антивирусных программ вплоть до середины 90-х годов, когда появились первые полиморфные вирусы, которые изменяли свое тело по непредсказуемым заранее  алгоритмам. Тогда сигнатурный метод  был дополнен так называемым эмулятором процессора, позволяющим находить шифрующиеся  и полиморфные вирусы, не имеющие  в явном виде постоянной сигнатуры.

Принцип эмуляции процессора демонстрируется  рисунке 1 (см. след. страницу). Если обычно условная цепочка состоит из трех основных элементов: ЦПУ, ОС, Программа, то при эмуляции процессора в такую  цепочку добавляется эмулятор. Эмулятор как бы воспроизводит работу программы  в некотором виртуальном пространстве и реконструирует ее оригинальное содержимое. Эмулятор всегда способен прервать выполнение программы, контролирует ее действия, не давая ничего испортить, и вызывает антивирусное сканирующее ядро.

Рис.1. схема  работы эмулятора процесса

 

Второй  механизм, появившийся в середине 90-х годов и использующийся всеми  антивирусами, – это эвристический анализ. Дело в том, что аппарат эмуляции процессора, который позволяет получить выжимку действий, совершаемых анализируемой программой, не всегда дает возможность осуществлять поиск по этим действиям, но позволяет произвести некоторый анализ и выдвинуть гипотезу типа «вирус или не вирус?».

В данном случае принятие решения основывается на статистических подходах. А соответствующая  программа называется эвристическим  анализатором.

Для того чтобы размножаться, вирус должен совершать какие-либо конкретные действия: копирование в память, запись в  сектора и т.д. Эвристический анализатор (он является частью антивирусного  ядра) содержит список таких действий, просматривает выполняемый код  программы, определяет, что она делает, и на основе этого принимает решение, является данная программа вирусом  или нет.

При этом процент пропуска вируса, даже неизвестного антивирусной программе, очень мал. Данная технология сейчас широко используется во всех антивирусных программах.

 

2.1.1.1 Требования к антивирусным программам

 

Количество и разнообразие вирусов велико, и чтобы их быстро и эффективно обнаружить, антивирусная программа должна отвечать некоторым параметрам.

Стабильность и надежность работы. Этот параметр, без сомнения, является определяющим — даже самый лучший антивирус окажется совершенно бесполезным, если он не сможет нормально функционировать на вашем компьютере, если в результате какого-либо сбоя в работе программы процесс проверки компьютера не пройдет до конца. Тогда всегда есть вероятность того, что какие-то зараженные файлы остались незамеченными.

Размеры вирусной базы программы (количество вирусов, которые правильно определяются программой). С учетом постоянного появления новых вирусов база данных должна регулярно обновляться — что толку от программы, не видящей половину новых вирусов и, как следствие, создающей ошибочное ощущение “чистоты” компьютера. Сюда же следует отнести и возможность программы определять разнообразные типы вирусов, и умение работать с файлами различных типов (архивы, документы). Немаловажным также является наличие резидентного монитора, осуществляющего проверку всех новых файлов “на лету” (то есть автоматически, по мере их записи на диск).

Скорость работы программы, наличие дополнительных возможностей типа алгоритмов определения даже неизвестных программе вирусов (эвристическое сканирование). Сюда же следует отнести возможность восстанавливать зараженные файлы, не стирая их с жесткого диска, а только удалив из них вирусы. Немаловажным является также процент ложных срабатываний программы (ошибочное определение вируса в “чистом” файле).

Многоплатформенность (наличие версий программы под различные операционные системы). Конечно, если антивирус используется только дома, на одном компьютере, то этот параметр не имеет большого значения. Но вот антивирус для крупной организации просто обязан поддерживать все распространенные операционные системы. Кроме того, при работе в сети немаловажным является наличие серверных функций, предназначенных для административной работы, а также возможность работы с различными видами серверов.

 

2.1.1.2 Классификация антивирусных программ

 

Классифицируются  антивирусные программы на чистые антивирусы и антивирусы двойного назначения.

Чистые  антивирусы отличаются наличием антивирусного  ядра, которое выполняет функцию  сканирования по образцам. Принципиальным в этом случае является то, что возможно лечение, если известен вирус. Чистые антивирусы, в свою очередь, по типу доступа к  файлам подразделяются на две категории: осуществляющие контроль по доступу (on access) или по требованию пользователя (on demand). Обычно on access-продукты называют мониторами, а on demand-продукты - сканерами.

Оn demand-продукт  работает по следующей схеме: пользователь хочет что-либо проверить и выдает запрос (demand), после чего осуществляется проверка. On access-продукт - это резидентная программа, которая отслеживает доступ и в момент доступа осуществляет проверку.

 

Рис.2.Схема классификации антивирусных программ

 

Кроме того, антивирусные программы, так же как  и вирусы, можно разделить в  зависимости от платформы, внутри которой  данный антивирус работает. В этом смысле наряду с Windows или Linux к платформам могут быть отнесены Microsoft Exchange Server, Microsoft Office, Lotus Notes.

Программы двойного назначения - это программы, используемые как в антивирусах, так и в ПО, которое антивирусом не является. Например, CRC-checker - ревизор изменений на основе контрольных сумм - может использоваться не только для ловли вирусов. Разновидностью программ двойного назначения являются поведенческие блокираторы, которые анализируют поведение других программ и при обнаружении подозрительных действий блокируют их. От классического антивируса с антивирусным ядром, распознающего и лечащего от вирусов, которые анализировались в лаборатории и которым был прописан алгоритм лечения, поведенческие блокираторы отличаются тем, что лечить от вирусов они не умеют, поскольку ничего о них не знают. Данное свойство блокираторов позволяет им работать с любыми вирусами, в том числе и с неизвестными. Это сегодня приобретает особую актуальность, поскольку распространители вирусов и антивирусов используют одни и те же каналы передачи данных, то есть Интернет. При этом антивирусной компании всегда нужно время на то, чтобы получить сам вирус, проанализировать его и написать соответствующие лечебные модули. Программы из группы двойного назначения как раз и позволяют блокировать распространение вируса до того момента, пока компания не напишет лечебный модуль.