Массовое распространение вирусов, серьезность последствий их воздействия на ресурсы КС вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения. Антивирусные средства применяются для решения следующих задач:

Обнаружение вирусов в КС;

Блокирование работы программ-вирусов;

Устранение последствий воздействия вирусов.

Обнаружение вирусов желательно осуществлять на стадии их внедрения или, по крайней мере, до начала осуществления деструктивных действий вирусов. Не существует антивирусных средств, гарантирующих обнаружение всех возможных вирусов.

При обнаружении вируса необходимо сразу же прекратить работу программы-вируса, чтобы минимизировать ущерб от его воздействия на систему.

Устранение последствий воздействия вирусов ведется в двух направлениях:

Удаление вирусов;

Восстановление (при необходимости) файлов, областей памяти.

Восстановление системы зависит от типа вируса, а также от момента времени обнаружения вируса по отношению к началу деструктивных действий. Восстановление информации без использования дублирующей информации может быть невыполнимым, если вирусы при внедрении не сохраняют информацию, на место которой они помещаются в память, а также, если деструктивные действия уже начались, и они предусматривают изменения информации.

Для борьбы с вирусами используются программные и аппаратно-программные средства, которые применяются в определенной последовательности и комбинации, образуя методы борьбы с вирусами, подразделяемые на:

Методы обнаружения вирусов;

Методы удаления вирусов.

Методы обнаружения вирусов:

- сканирование (осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса – сигнатуры. Программа фиксирует наличие уже известных вирусов, за исключением полиморфных вирусов, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. Программы-сканеры могут хранить не сигнатуры известных вирусов, а их контрольные суммы. Программы-сканеры часто могут удалять обнаруженные вирусы. Такие программы называют полифагами). Пример – Aidstest Дмитрия Лозинского;

- обнаружение изменений (базируется на использовании программ-ревизоров, которые определяют и запоминают характеристики всех областей на дисках, в которых обычно размещаются вирусы. При периодическом выполнении программ-ревизоров сравниваются хранящиеся характеристики и характеристики, получаемые при контроле областей дисков, по результата которых программа выдает сообщение о предположительном наличии вирусов. Недостатки метода – с помощью программ-ревизоров невозможно определить вирус в файлах, которые поступают в систему уже зараженными; вирусы будут обнаружены только после размножения в системе);

- эвристический анализ (позволяет определить неизвестные вирусы, но не требует предварительного сбора, обработки и хранения информации о файловой системе. Сущность метода – проверка возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов (команды создания резидентных модулей в ОП, команды прямого обращения к дискам, минуя ОС);

- использование резидентных сторожей (основан на применении программ, которые постоянно находятся в ОП ЭВМ и отслеживают все действия остальных программ: при выполнении каких-либо подозрительных действий (обращение для записи в загрузочные сектора, помещение в ОП резидентных модулей, попытки перехвата прерываний и т.п.) резидентный сторож выдает сообщение пользователю. Недостаток – значительный процент ложных тревог, что мешает работе и вызывает раздражение пользователя);

- вакцинирование программ (создание специального модуля для контроля ее целостности. В качестве характеристики целостности файла обычно используется контрольная сумма. При заражении вакцинированного файла, модуль контроля обнаруживает изменение контрольной суммы и сообщает об этом пользователю. Метод позволяет обнаруживать все вирусы, в т.ч. и незнакомые, за исключением «стелс»-вирусов);

- аппаратно-программная защита от вирусов (самый надежный метод защиты. В настоящее время используются специальные контроллеры и их программное обеспечение. Контроллер устанавливается в разъем расширения и имеет доступ к общей шине, что позволяет ему контролировать все обращения к дисковой системе. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах работы не допускается. Можно устанавливать защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.).

Достоинства программно-аппаратных средств перед программными:

Работают постоянно;

Обнаруживают все вирусы, независимо от механизма их действия;

Блокируют неразрешенные действия, являющиеся результатом работы вируса или неквалифицированного пользователя.

Недостаток у этих средств один – зависимость от аппаратных средств ПЭВМ, изменение которых ведет к необходимости замены контроллера.

Методы удаления последствий заражения вирусами:

Существует два метода удаления последствий воздействия вирусов антивирусными программами:

первый – предполагает восстановление системы после воздействия известных вирусов (разработчики программы-фага, удаляющей вирус, должен знать структуру вируса и его характеристики размещения в среде обитания);

второй – позволяет восстанавливать файлы и загрузочные сектора, зараженные неизвестными вирусами (для восстановления файлов программа восстановления должна заблаговременно создать и хранить информацию о файлах, полученную в условиях отсутствия вирусов. Имея информацию о незараженном файле и используя сведения об общих принципах работы вирусов, осуществляется восстановление файлов. Если вирус подверг файл необратимым изменениям, то восстановление возможно только с использованием резервной копии или с дистрибутива. При их отсутствии существует только один выход – уничтожить файл и восстановить его вручную).

Практически каждый человек за свою жизнь много раз слышит слово «вирус» и даже сталкивается с ним на практике. Вирусы поражают организм человека, населяя его и активно размножаясь. Уже много веков человек ищет способы борьбы с вирусами. Однако полностью изжить их не удаётся. Стоит ли пытаться сделать это?

Вирус, как живой организм, принимает участие в круговороте веществ и процессов природы. Полностью истребить его – значит нарушить естественный баланс экологической системы мира. Но всё же человеку и животным он приносит достаточно серьёзные неприятности. Поэтому необходимо научиться сосуществовать с ними рядом и знать способы борьбы с размножением вируса в организме человека.

Доктор Вирус и мистер Хайд

История возникновения вируса

Вирус стал одним их первых жителей планеты Земля. Около трёх-четырёх миллионов лет назад, по мнению учёных, на Земле появились первые микроорганизмы. Ещё в те далёкие времена произошло разделение на животный и растительный мир. Однако считается, что первыми появились организмы, давшие жизнь растениям. Они более просты по своей структуре. Предполагается, что затем появились усложнённые микроорганизмы – одноклеточные животные .

Мнение учёных расходятся насчёт происхождения жизни на планете. Одни считают, что жизнь зародилась во льдах или водоёмах естественным путём, другие придерживаются мнения, что жизнь была принесена на Землю астероидами с других планет. Но достоверно знать, к сожалению, не может никто. Поэтому остаётся только рассматривать теории и выбирать ту, которая кажется наиболее достоверной. Но основной теорией появления вирусов считается мутация бактериальных клеток и усиление защитных функций этих микроорганизмов.

Иммунная система человеческого организма

Исследование вирусов человеком

Знание особенностей строения и жизнедеятельности вируса помогает найти эффективные способы борьбы с ним. Именно обнаружение вирусного организма и микроскопическое исследование его позволило человеку начать научное знакомство с этим удивительным и древним представителем фауны.

Несмотря на длительное существование вируса, человеком он был открыт относительно недавно. В конце XIX века русский учёный Ивановский Д.И., занимаясь изучением табачных растений, обнаружил микроорганизм, который вызывает табачную мозаику. Из публикации учёного видно, что в природе возникновения этого организма и его свойствах он до конца разобраться не смог. Однако он увидел связь между заболеванием растения и воздействием вируса. Он указывал, что они представляют собой «бактерии, проходящие через фильтр Шамберлана» . То есть обычная антибактериальная защита не является для них помехой.

Только через несколько лет после этих исследований голландский ботаник М. Бейеринк дал микроорганизму название «фильтрующийся вирус» . Также были обнаружены вирусы и при изучении причин ящура у крупного рогатого скота. Были проведены аналогии между возбудителями болезней растений и животных. Несколько позже были обнаружены вирусы, вызывающие болезни у человека. Первым открытым вирусом, опасным для него, стал вирус жёлтой лихорадки. Он был открыт в 1901 году. Затем в 1911 году был выявлен вирус саркомы Рауса – онкологического заболевания.

Развитие микробиологии позволило открыть множество других вирусов и изучить их свойства. Это помогло значительно повысить эффективность борьбы с ними. Сегодня учёные настолько много знают о них, что могут даже создавать их искусственно. В частности, был создан первый искусственный вирус (полиомиелита) в 2002 году. Это сделали специалисты Нью-Йоркского университета.

Структура вирусного организма

Как и любой другой представитель биологического сообщества, вирус имеет свою индивидуальную структуру. Она определяет особенности его поведения. Несмотря на различия между вирусными возбудителями разных инфекций, они имеют схожие черты, выделяющие их среди других микроорганизмов.

Примечательно, что вирус имеет гораздо меньшие размеры, чем бактерии. Потому они и способны проходить через антибактериальный фильтр. Размер вируса варьирует от нескольких десятков до трёхсот нанометров. Они недоступны для микроскопического исследования через световое оборудование. Именно это долгое время не позволяло их обнаружить даже при исследовании тканей заражённых организмов.

Место вируса в природном сообществе

В природном балансе вирусы имеют достаточно большое значение. Несмотря на вред для многих живых организмов, вирусы могут приносить и пользу своим хозяевам. Однако такая польза является побочным эффектов вирусной инфекции, но не первостепенной задачей самого микроорганизма.

Особенно в растительном мире известны случаи мирного сосуществования вирусов и . При этом вирусы могут поражать организм одного своего хозяина для облегчения жизни другого, восстанавливая природное равновесие и сохраняя обменную (пищевую) цепочку между представителями флоры и фауны.

Можно выделить несколько примеров такого поведения вирусов:

• Вирус табачной мозаики поражает не только растения табака, но и плодовую мушку, которая им питается. Таким образом, продлевая жизнь мушки и её плодовитость (принося пользу), вирус вредит растениям;
• Вирус, поражающий грибок, который размножается в траве возле геотермальных источников, позволяет растению выживать в условиях повышенной температуры. Это выгодно вирусному организму для сохранения хозяина в труднодоступных для истребления местах, где температура достигает 50 градусов по Цельсию;
• Некоторые вирусы защищают организм хозяина от проникновения и размножения в организме других вирусных агентов. Вирус охраняет свою территорию и в некоторых случаях не приносит значительного вреда хозяину для сохранения места проживания.

Пути передачи вирусов

Кожа человека обладает достаточно сложными защитными механизмами и не позволяет вирусам проникать в организм. Однако она нередко травмируется. В этом случае вирус находит входные ворота для попадания внутрь. Причём вирус может проникнуть как в момент травмы, так и позже в период снижения защитных функций повреждённой кожи. Часто происходит заражение крови при инъекциях нестерильными шприцами или укусах животных-переносчиков.

Вирусы могут поражать весь организм, углубляясь в ткани, а также быть причиной кожных заболеваний, образуя местные опухоли и новообразования. Например, происхождение некоторых видов бородавок имеет вирусную природу. Также известен вирусный контагиозный моллюск, поражающий кожу. Оба эти вируса передаются через микротравмы кожи и становятся причиной заболевания.

Передаваться вирусы могут также от больных животных. Часто причиной становится употребление заражённого мяса или тесный контакт с заражёнными особями. Хотя существуют и вирусы, которые не способны передаваться между видами. Такие микроорганизмы для человека и других животных относительно безопасны. Чаще всего человек заражается, употребляя мясо крупного рогатого скота и домашней птицы. Но известны вирусы, которые разносятся дикими животными, например, голубями. Кроме того, при укусах заражённых млекопитающих передаётся вирус бешенства и другие.

Несмотря на многочисленные возможности заражения вирусными инфекциями, человек научился бороться со многими из них. Поэтому в некоторых случаях удаётся предотвратить развитие эпидемии и приостановить размножение вируса.
Методы борьбы с вирусом и профилактика

Сегодня борьба с вирусами приобретает особую актуальность. В связи с изменениями состава атмосферного воздуха и организма человека, вирусы успешно мутируют в те формы, с которыми человек ещё не умеет бороться. Существует огромное количество противовирусных средств. Но даже медики часто замечают снижение эффективности этих препаратов для преодоления инфекции. Для уничтожения вируса с каждым годом нужны всё большие дозы лекарств или же новые средства. Можно отметить и то, что вирус мутирует и приспосабливается порой гораздо быстрее человека.

Однако прогрессивные технологии позволяют относительно быстро находить средства борьбы с вирусной инфекцией и вакцины против их возникновения. Кстати, вакцинация населения является одним из наиболее эффективных способов предотвращения эпидемий вирусных инфекций. Хотя качество вакцин и безопасность для человека не может быть гарантирована, так как они не так давно изобретены. Часто возникают различные побочные эффекты, аллергии и другие реакции организма.

Некоторые вирусы требуют также хирургического вмешательства для устранения очага инфекции. В частности, представителей контагиозного моллюска или папилломатозные образования (ВПЧ) необходимо удалять хирургическим путём. После удаления проводят иммуномодулирующую терапию, которая направлена на восстановление защитных функций организма. Любой вирус опасен тем, что вызывает подавление иммунной системы, подвергая организм опасности заражения любыми заболеваниями. Особенно этим отличается ВИЧ. Поэтому с ним так сложно бороться и поддерживать жизнеспособность пациента.

Вирусы являются достаточно опасными формами жизни

В связи с возможностью передачи вируса даже по воздуху или через слизистые оболочки следует укреплять свое здоровье и избегать сомнительных контактов. Беспорядочные половые связи и тесное взаимодействие с больным человеком может привести к заражению. При этом человек может даже не знать о том, что имеет заболевание, и вести самый обычный образ жизни. Поэтому лучше всегда быть осторожными в общении, а также заботиться о себе и своих близких.

Классификация компьютерных вирусов

Лекция 10. Компьютерные вирусы и механизмы борьбы с ними

Контрольные вопросы

1. Дайте определение несанкционированного доступа к информации.

2. Сравните два подхода к организации разграничения доступа.

3. Поясните принцип действия и концепцию создания системы разграничения доступа.

4. Приведите примеры современных систем защиты ПЭВМ и их возможности.

5. Поясните сущность защиты информации от копирования.

6. Какие методы применяются для защиты программных средств от исследования?

10.1. Классификация компьютерных вирусов

10.2. Методы и средства борьбы с вирусами

10.3 Профилактика заражения вирусами компьютерных систем

Литература:

1. Завгородний В.И. комплексная защита информации в компьютерных системах: Учебное пособие. – Логос, 201. – С.159-179.

Вредительские программы и, прежде всего, вирусы представляют очень серьезную опасность для информации в КС. Недооценка этой опасности может иметь серьезные последствия для информации пользователей. Вредит использованию всех возможностей КС и чрезмерное преувеличение опасности вирусов. Знание механизмов действия вирусов, методов и средств борьбы с ними позволяет эффективно организовать противодействие вирусам, свести к мини-

муму вероятность заражения и потерь от их воздействия.

Термин "компьютерный вирус" был введен сравнительно недавно - в середине 80-х годов. Малые размеры, способность быстро распространяться, размножаясь и внедряясь в объекты (заражая их), негативное воздействие на систему - все эти признаки биологических вирусов присущи и вредительским программам, получившим по этой причине название "компьютерные вирусы". Вместе с термином "вирус" при работе с компьютерными вирусами используются и другие медицинские термины: "заражение", "среда обитания", "профилактика" и др.

"Компьютерные вирусы" - это небольшие исполняемые или интерпретируемые программы, обладающие свойством распространения и самовоспроизведения (репликации) в КС. Вирусы могут выполнять изменение или уничтожение программного обеспечения или данных, хранящихся в КС. В процессе распространения вирусы могут себя модифицировать.

В настоящее время в мире насчитывается более 40 тысяч только зарегистрированных компьютерных вирусов. Так как подавляющее большинство современных вредительских программ обладают способностью к саморазмножению, то часто их относят к компьютерным вирусам. Все компьютерные вирусы могут быть классифицированы по следующим признакам :

По среде обитания;

По способу заражения;

По степени опасности деструктивных (вредительских) воздействий;

По алгоритму функционирования.

Посреде обитания

Сетевые;

Файловые;

Загрузочные;

Комбинированные.

Средой обитаниясетевых вирусов являются элементы компьютерных сетей.Файловые вирусы размещаются в исполняемых файлах.Загрузочные вирусы находятся в загрузочных секторах (областях) внешних запоминающих устройств (boot-секторах). Иногда загрузочные вирусы называют бутовыми.Комбинированные вирусы размещаются в нескольких средах обитания. Примером таких вирусов служат загрузочно-файловые вирусы. Эти вирусы могут размещаться как в загрузочных секторах накопителей на магнитных дисках, так и в теле загрузочных файлов.

Поспособу заражения среды обитания компьютерные вирусы делятся на:

Резидентные;

Нерезидентные.

Резидентные вирусы после их активизации полностью или частично перемещаются из среды обитания (сеть, загрузочный сектор, файл) в оперативную память ЭВМ. Эти вирусы, используя, как правило, привилегированные режимы работы, разрешенные только операционной системе, заражают среду обитания и при выполнении определенных условий реализуют деструктивную функцию. В отличие от резидентныхнерезидентные вирусы попадают в оперативную память ЭВМ только на время их активности, в течение которого выполняют деструктивную функцию и функцию заражения. Затем вирусы полностью покидают оперативную память, оставаясь в среде обитания. Если вирус помещает в оперативную память программу, которая не заражает среду обитания, то такой вирус считается нерезидентным.

Арсенал деструктивных или вредительских возможностей компьютерных вирусов весьма обширен. Деструктивные возможности вирусов зависят от целей и квалификации их создателя, а также от особенностей компьютерных систем.

Постепени опасности для информационных ресурсов пользователя компьютерные вирусы можно разделить на:

- безвредные вирусы;

- опасные вирусы;

- очень опасные вирусы.

Безвредные компьютерные вирусы создаются авторами, которые не ставят себе цели нанести какой-либо ущерб ресурсам КС. Ими, как правило, движет желание показать свои возможности программиста. Другими словами, создание компьютерных вирусов для таких людей - своеобразная попытка самоутверждения. Деструктивное воздействие таких вирусов сводится к выводу на экран монитора невинных текстов и картинок, исполнению музыкальных фрагментов и т.п.

Однако при всей кажущейся безобидности таких вирусов они наносят определенный ущерб КС. Во-первых, такие вирусы расходуют ресурсы КС, в той или иной мере снижая ее эффективность функционирования. Во-вторых, компьютерные вирусы мо­гут содержать ошибки, вызывающие опасные последствия для информационных ресурсов КС. Кроме того, при модернизации операционной системы или аппаратных средств КС вирусы, созданные ранее, могут приводить к нарушениям штатного алгоритма работы системы.

К опасным относятся вирусы, которые вызывают существенное снижение эффективности КС, но не приводящие к нарушению целостности и конфиденциальности информации, хранящейся в запоминающих устройствах. Последствия таких вирусов могут быть ликвидированы без особых затрат материальных и временных ресурсов. Примерами таких вирусов являются вирусы, занимающие память ЭВМ и каналы связи, но не блокирующие работу сети; вирусы, вызывающие необходимость повторного выполнения программ, перезагрузки операционной системы или повторной передачи данных по каналам связи и т.п.

Очень опасными следует считать вирусы, вызывающие нарушение конфиденциальности, уничтожение, необратимую модификацию (в том числе и шифрование) информации, а также вирусы, блокирующие доступ к информации, приводящие к отказу аппаратных средств и наносящие ущерб здоровью пользователям. Такие вирусы стирают отдельные файлы, системные области памяти, форматируют диски, получают несанкционированный доступ к информации, шифруют данные и т.п.

Известны публикации, в которых упоминаются вирусы, вызывающие неисправности аппаратных средств. Предполагается, что на резонансной частоте движущиеся части электромеханических устройств, например, в системе позиционирования накопителя на магнитных дисках, могут быть разрушены. Именно такой режим и, может быть, создан с помощью программы-вируса. Другие авторы утверждают, что возможно задание режимов интенсивного использования отдельных электронных схем (например, больших интегральных схем), при которых наступает их перегрев и выход из строя.

Использование в современных ПЭВМ постоянной памяти с возможностью перезаписи привело к появлению вирусов, изменяющих программы BIOS, что приводит к необходимости замены постоянных запоминающих устройств.

Возможны также воздействия на психику человека - оператора ЭВМ с помощью подбора видеоизображения, выдаваемого на экран монитора с определенной частотой (каждый двадцать пятый кадр). Встроенные кадры этой видеоинформации воспринимаются человеком на подсознательном уровне. В результате такого воздействия возможно нанесение серьезного ущерба психике человека. В 1997 году 700 японцев попали в больницу с признаками эпилепсии после просмотра компьютерного мультфильма по телевидению. Предполагают, что именно таким образом была опробована возможность воздействия на человека с помощью встраивания 25-го кадра .

В соответствии сособенностями алгоритма функционирования вирусы можно разделить на два класса:

Вирусы, не изменяющие среду обитания (файлы и секторы) при распространении;

Вирусы, изменяющие среду обитания при распространении.

В свою очередь, вирусы,не изменяющие среду обитания, могут быть разделены на две группы:

- вирусы - "спутники" (companion);

- вирусы - "черви" (worm).

Вирусы - "спутники" не изменяют файлы. Механизм их действия состоит в создании копий исполняемых файлов. Например, в MS DOS такие вирусы создают копии для файлов, имеющих расширение.ЕХЕ. Копии присваивается то же имя, что и исполняемому файлу, но расширение изменяется на.СОМ. При запуске файла с общим именем операционная система первым загружает на выполнение файл с расширением.СОМ, который является программой-вирусом. Файл-вирус запускает затем и файл с расширением.ЕХЕ.

Вирусы - "черви" попадают в рабочую станцию из сети, вычисляют адреса рассылки вируса по другим абонентам сети и осуществляют передачу вируса. Вирус не изменяет файлов и не записывается в загрузочные секторы дисков. Некоторые вирусы-"черви" создают рабочие копии вируса на диске, другие - размещаются только в оперативной памяти ЭВМ.

По сложности, степени совершенства и особенностям маскировки алгоритмов вирусы,изменяющие среду обитания, делятся на:

- студенческие;

- "стелс" - вирусы (вирусы-невидимки);

- полиморфные.

К студенческим относят вирусы, создатели которых имеют низкую квалификацию. Такие вирусы, как правило, являются нерезидентными, часто содержат ошибки, довольно просто обнаруживаются и удаляются.

"Стелс" - вирусы и полиморфные вирусы создаются квалифицированными специалистами, хорошо знающими принцип работы аппаратных средств и операционной системы, а также владеющими навыками работы с машиноориентированными системами программирования.

"Стелс" - вирусы маскируют свое присутствие в среде обитания путем перехвата обращений операционной системы к пораженным файлам, секторам и переадресуют ОС к незараженным участкам информации. Вирус является резидентным, маскируется под программы ОС, может перемещаться в памяти. Такие вирусы активизируются при возникновении прерываний, выполняют определенные действия, в том числе и по маскировке, и только затем управление передается на программы ОС, обрабатывающие эти прерывания. "Стелс"- вирусы обладают способностью противодействовать резидентным антивирусным средствам.

Полиморфные вирусы не имеют постоянных опознавательных групп - сигнатур. Обычные вирусы для распознавания факта заражения среды обитания размещают в зараженном объекте специальную опознавательную двоичную последовательность или последовательность символов (сигнатуру), которая однозначно идентифицирует зараженность файла или сектора. Сигнатуры используются на этапе распространения вирусов для того, чтобы избежать многократного заражения одних и тех же объектов, так как при многократном заражении объекта значительно возрастает вероятность обнаружения вируса. Для устранения демаскирующих признаков полиморфные вирусы используют шифрование тела вируса и модификацию программы шифрования. За счет такого преобразования полиморфные вирусы не имеют совпадений кодов.

Любой вирус, независимо от принадлежности к определенным классам, должен иметь три функциональных блока:

Блок заражения (распространения),

Блок маскирования и

Блок выполнения деструктивных действий.

Разделение на функциональные блоки означает, что к определенному блоку относятся команды программы вируса, выполняющие одну из трех функций, независимо от места нахождения команд в теле вируса.

После передачи управления вирусу, как правило, выполняются определенные функции блока маскировки. Например, осуществляется расшифрование тела вируса. Затем вирус осуществляет функцию внедрения в незараженную среду обитания. Если вирусом должны выполняться деструктивные воздействия, то они выполняются, либо безусловно, либо при выполнении определенных условий.

Завершает работу вируса всегда блок маскирования. При этом выполняются, например, следующие действия: шифрование вируса (если функция шифрования реализована), восстановление старой даты изменения файла, восстановление атрибутов файла, корректировка таблиц ОС и др.

Последней командой вируса выполняется команда перехода на выполнение зараженных файлов или на выполнение программ ОС.

Для удобства работы с известными вирусами используются каталоги вирусов. В каталог помещаются следующие сведения о стандартных свойствах вируса: имя, длина, заражаемые файлы, место внедрения в файл, метод заражения, способ внедрения в ОП для резидентных вирусов, вызываемые эффекты, наличие (отсутствие) деструктивной функции и ошибки. Наличие каталогов позволяет при описании вирусов указывать только особые свойства, опуская стандартные свойства и действия.

1. Файловые вирусы

Структура файлового вируса. Файловые вирусы могут внедряться только в исполняемые файлы: командные файлы (файлы, состоящие из команд операционной системы), саморазархивирующиеся файлы, пользовательские и системные программы в машинных кодах, а также в документы (таблицы), имеющие макрокоманды. Макрокоманды или макросы представляют собой исполняемые программы для автоматизации работы с документами (таблицами). Поэтому такие документы (таблицы) можно рассматривать как исполняемый файл.

Для IBM - совместимых ПЭВМ вирус может внедряться в файлы следующих типов: командные файлы (ВАТ), загружаемые драйверы (SYS), программы в машинных (двоичных) кодах (ЕХЕ, СОМ), документы Word (DOC) с версии 6.0 и выше, таблицы EXCEL (XLS). Макро вирусы могут внедрятся и в другие файлы, содержащие макрокоманды.

Файловые вирусы могут размещаться в начале, середине и конце заражаемого файла (рис.10.1).

Одной из главных причин уничтожения информации в настоящее время является распространение компьютерных вирусов.

Компьютерный вирус – это специальная компьютерная программа, как правило, небольшая по размерам, которая при своем запуске уничтожает или портит данные, хранящиеся на компьютере. Компьютерный вирус может выполнять следующие вредные действия:

· удаление или искажение файлов;

· изменение (порча) таблицы размещения файлов на диске, которая отвечает за целостность данных;

· засорение оперативной памяти и памяти диска пустой информацией;

· замедление работы компьютера или его полная остановка (зависание).

Компьютерный вирус может "приписывать" себя к другим программам, как говорят, "заражать" их. Такое "заражение" приводит к тому, что компьютерные вирусы могут самостоятельно распространяться и размножаться. Вследствие чего, большое число компьютеров может одновременно выйти из строя.

Программа, внутри которой находится вирус, называется "зараженной". Механизм действия зараженной программы следующий. Когда такая программа начинает работать, то в определенный момент управление получает вирус, который выполняет вредные действия, а затем заражает другие программы. После того как вирус выполнит свои вредные действия, он передает управление той программе, в которой находится. И эта программа продолжает работать так же, как обычно. Тем самым внешне работа зараженной программы выглядит так же, как и не зараженной.

Все действия вируса выполняются быстро и незаметно. Поэтому пользователю ПК бывает очень трудно заметить, что в компьютере происходит вредная работа вируса. Однако имеется ряд признаков, по которым можно сделать предположение о заражении компьютера. К ним относятся следующие:

· программы перестают работать или начинают работать неправильно (например, "виснуть", производить неправильные расчеты, терять данные и т.д.);

· на экран выводятся посторонние сообщения, символы, рисунки и т.д.;

· работа на компьютере существенно замедляется или компьютер зависает;

· происходит внезапная потеря данных на диске;

· некоторые файлы оказываются испорченными, или они полностью удаляются т. д.

При появлении таких признаков необходимо провести проверку компьютера на наличие вирусов.

Для того чтобы компьютер заразился вирусом, необходимо, чтобы этот вирус проник в компьютер. Вирус может проникнуть с помощью гибких дискет, которые используются для передачи данных между компьютерами, через локальную вычислительную сеть организации, через другие вычислительные сети (например, через Интернет).

Однако помимо проникновения вируса на компьютер существует еще одно условие заражение компьютера. Это условие заключается в том, чтобы на компьютере хотя бы один раз была выполнена программа, содержащая вирус. Поэтому непосредственное заражение компьютера вирусом может произойти в одном из следующих случаев:

· на компьютере была выполнена зараженная программа;

· компьютер загружался с дискеты, содержащей зараженный загрузочный сектор;

· на компьютере была установлена зараженная операционная система;

· на компьютере обрабатывались файлы, содержащие в своем теле зараженные макросы.

При обычном просматривании содержания гибких дискет заражения вирусом компьютера не происходит, даже если файлы на дискете заражены. Заражение компьютера произойдет только в том случае, если с дискеты будет запущена зараженная программа или открыт для просмотра зараженный файл документа (например, документ, созданный в программе Microsoft Word).

Несмотря на возможность заражения компьютера вирусом, надо знать, что вирусом могут заразиться не все файлы компьютера. Вирусной атаке подвергаются следующие компоненты файловой системы компьютера:

· исполнимые файлы, т.е. файлы с расширениями EXE , COM , BAT ;

· загрузочный сектор и главный загрузочный сектор дисков (т.е. сектора магнитных дисков, которые используются для загрузки на компьютере операционной системы);

· драйверы устройств и динамические библиотеки (обычно имеют расширение SYS и DLL) ;

· графические файлы, например, с расширением JPG ;

Текстовые файлы (с расширением TXT), файлы с растровыми рисунками (расширение BMP) и ряд других файлов, как правило, не заражаются компьютерными вирусами.

Наиболее опасны вирусы, которые после своего запуска остаются в оперативной памяти и постоянно заражают файлы компьютера до тех пор, пока он не будет выключен или перезагружен. Также опасны и те вирусы, которые заражают загрузочные сектора дисков. Так как, если будет заражен загрузочный сектор винчестера, то каждый раз при загрузке компьютера этот вирус будет вновь запускаться и заражать новые программы.

Пока неизвестны вирусы, способные выводить из строя аппаратную часть компьютера, но существуют вирусы, которые могут изменить пароль на запуск компьютера и тем самым не дать возможность приступить к работе.

Классификация компьютерных вирусов

Можно выделить три основные группы вирусов:

· файловые вирусы;

· загрузочные вирусы;

· комбинированные файлово-загрузочные вирусы.

Файловые вирусы записывают свой код в тело исполняемого (командного) файла и, соответственно, запускаются при запуске самой программы.

К файловым вирусам также можно отнести макрокомандные вирусы , которые распространяются с документами офисных приложений, таких как Microsoft Word или Microsoft Excel. Это происходит потому, что документы офисных приложений содержат в себе не только текст, таблицы, графические изображения и т.д., но и макрокоманды - программы, которые позволяют выполнять определенные действия, работая с документом. Эти макрокоманды и подвергаются атаке вирусов.

Механизм распространения макрокомандных вирусов следующий. Например, в текстовый файл с расширением DOC записывается одна или несколько вирусных макрокоманд. Когда пользователь начинает работать с данным файлом, то в определенный момент запускается макрокоманда, содержащая вирус. При этом вирус получает управление и заражает другие документы.

Загрузочные вирусы активизируются и распространяются в момент загрузки операционной системы. Объектом атаки загрузочных вирусов обычно являются загрузочная запись на дискете или главная загрузочная запись на винчестере.

Работа загрузочного вируса выглядит так. При загрузке компьютера с зараженного диска управление получает вирус, и затем загрузка операционной системы продолжается под контролем вируса, что затрудняет его обнаружение антивирусными программами. После загрузки операционной системы вирус начинает контролировать все обращения к дискам и дискетам. Как только пользователь вставляет дискету и обращается к ней, вирус заражает ее.

Файлово-загрузочные вирусы наиболее опасны и совершенны. Они используют методы распространения, характерные и для файловых, и для загрузочных вирусов. То есть при своей работе они заражают как файлы, так и загрузочные записи и активизируются либо при запуске файла, либо при загрузке с зараженного диска.

Среди вирусов можно также выделить следующие виды:

· простые вирусы;

· полиморфные вирусы;

· стелс-вирусы.

Простые вирусы представляют собой вирусы, обнаруживаемые по их коду, который они записывают в заражаемый файл. Антивирусные программы знают этот код и, проверяя файлы, определяют их зараженность по этому коду. Проблем с обнаружением таких вирусов нет.

Однако многие вирусы используют алгоритмы шифрования своего кода. Сложность обнаружения таких вирусов заключается в том, что при каждом новом заражении они изменяют свои коды. Но, так как процедура шифрования вируса все же известна, то его код все равно можно вычислить. Поэтому вслед за шифрующимися вирусами появились вирусы-мутанты или полиморфные вирусы .

От простых и шифрующихся вирусов они отличаются тем, что полностью изменяют процедуру расшифровки кода при создании каждой новой особи вируса, поэтому выделить их код невозможно и многие антивирусные программы не могут обнаружить такие вирусы. Т.е. каждый раз, когда вирус запускается, он создает аналогичный вирус, но уже с другим кодом, который и заражает файлы компьютера. Проблема распознавания таких вирусов довольно сложна, и полностью надежного решения пока не получила.

В процессе проверки компьютера антивирусные программы считывают данные с жестких дисков и находят зараженные файлы. Стелс-вирусы после своего запуска оставляют в оперативной памяти компьютера специальные модули, перехва­тывающие обращения программ к дискам компьютера. Если такой модуль обнаруживает, что некоторая программа пытается прочитать и проверить зараженный файл, то он на ходу подменяет читаемые данные и таким образом остается незамеченным, обманывая антивирусные программы.

Чтобы бороться с такими вирусами надо, при подозрении на наличие стелс-вирусов на компьютере, загрузится с системной дискеты, и провести диагностику компьютера, запустив антивирусную программу с этой дискеты.

Обезвреживание вирусов

Не исключено, что после выявления вируса его можно будет удалить и восстановить исходное состояние зараженных файлов и загрузочных записей, свойственное им до «болезни». Этот процесс называется обезвреживанием (дезинфекцией, лечением).

Некоторые вирусы повреждают поражаемые ими файлы и загрузочные записи таким образом, что их успешная дезинфекция невозможна. Не исключено также, что детектор одинаково идентифицирует два различных вируса, поэтому дезинфицирующая программа будет эффективна для одного вируса, но бесполезна для другого.

Дезинфицирующие программы изменяют ваши программы, поэтому они должны быть очень надежными.

Меры профилактики

Рассмотренные выше методы могут применяться с помощью различных способов. Одним из общепринятых методов является использование программ, которые тщательно обследуют диски, пытаясь обнаружить и обезвредить вирусы. Возможно также использование резидентных программ DОS, постоянно проверяющих вашу систему на вирусы. Резидентные программы имеют следующее преимущество: они проверяют все программы на вирусы при каждом их выполнении. Резидентные программы должны быть очень тщательно разработаны, т.к. иначе они будут задерживать загрузку и выполнение программ.

Нерезидентные программы эффективны при необходимости одновременного обследования всей системы на вирусы и их обезвреживания. Они представляют собой средство, дополняющее резидентные программы.

Вы должны помнить о необходимости регулярного выполнения антивирусной программы. К сожалению, как показывает опыт, об этом часто забывают. Пренебрежение профилактическими проверками вашего компьютера увеличивает риск инфицирования не только вашей компьютерной системы, но и распространения вируса на другие компьютеры. И не только через дискеты, вирусы прекрасно распространяются и по локальным сетям.

Чтобы впоследствии избежать головной боли, лучше всего обеспечить автоматическое выполнение антивирусной программы. В этом случае программа будет защищать ваш компьютер, не требуя от вас каких-либо явных действий. Для обеспечения такой защиты можно при запуске системы установить резидентные антивирусные программы, а также использовать нерезидентные программы, выполняемые при запуске или периодически в указанное время.

Как правильно лечить?

Прежде всего, перезагрузите компьютер, нажав кнопку Rеsеt. Такая перезагрузка называется «холодной», в отличие от «теплой», вызываемой комбинацией клавиш Сtrl-Аlt-Dеl. Существуют вирусы, которые спокойненько выживают при «теплой» перезагрузке.

Загрузите компьютер с дискеты, защищенной от записи и с установленными антивирусными программами. Необходимость хранить антивирусный пакет на отдельной защищенной дискете вызвана не только опасностью заражения антивирусных программ вирусом. Частенько вирус специально ищет на жестком диске программу-антивирус и наносит ей повреждения.

Старайтесь почаще обновлять ваши антивирусные программы. Причем как отечественные, так и импортные. Отечественные - потому что у нас пишут вирусы все кому не лень и, чтобы быстро разработать антивирусную программу, надо жить здесь. Импортные - потому что все сильнее сливаются «наше» и «их» информационные пространства, все больше западных вирусов проникает к нам по глобальным компьютерным сетям.

При обнаружении зараженного файла желательно скопировать его на дискету и лишь затем лечить антивирусом. Это делается для того, чтобы в случае некорректного лечения файла, что, к сожалению, случается, попытаться полечить файл другим антивирусом.

Если вам понадобилась программа из ваших старых архивов или резервных копий, не поленитесь проверить ее. Не рискуйте. Лучше преувеличить опасность, чем недооценить ее.

Классификация вирусов по деструктивным возможностям

По деструктивным возможностям вирусы можно разделить на следующие:

• 1. Базовые, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения).
• 2. Неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графически и пр. эффектами.
• 3. Опасные вирусы, которые могут привести к серьезным ошибкам и сбоям в работе.
• 4. Очень опасные, которые могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти.

Безвредные вирусы, как правило, производят различные визуальные или звуковые эффекты. Диапазон проявления безвредных вирусов очень широк - от простейшего стирания содержимого экрана до сложных эффектов переворачивания изображения, создания иллюзии «вращения» или «опадания» (например, вирус Саsсаdе-1701).

Выполняемые вредными вирусами деструктивные функции тоже чрезвычайно разнообразны. В процессе своего распространения некоторые вирусы повреждают или искажают некоторые выполняемые программы, дописывая в начало уничтожаемой программы некий код без сохранения исходной последовательности байт. Некоторые вирусы при определенных условиях выполняют форматирование диска, точнее его нулевой дорожки, тем самым уничтожая важную информацию о хранящихся на диске файлах. Другие через определенные (как правило, случайные) промежутки времени перезагружают компьютер, приводя к потере несохраненных данных. В последнее время появилось огромное количество вирусов, направленных на борьбу с антивирусными программами. Некоторые из них при просмотре каталогов ищут программы, в именах которых имеются фрагменты, характерные для антивирусных программ (АNTI, АIDS, SСАN), и при обнаружении таковых пытаются нанести им какой-либо вред: стереть с диска, изменить код в теле программы и др.

Антивирусные программы

Способы противодействия компьютерным вирусам можно разделить на несколько групп: профилактика вирусного заражения и уменьшение предполагаемого ущерба от такого заражения; методика использования антивирусных программ, в том числе обезвреживание и удаление известного вируса; способы обнаружения и удаления неизвестного вируса.

С давних времен известно, что к любому яду рано или поздно можно найти противоядие. Таким противоядием в компьютерном мире стали программы, называемые антивирусными. Данные программы можно классифицировать по пяти основным группам: фильтры, детекторы, ревизоры, доктора и вакцинаторы.

Антивирусы-фильтры - это резидентные программы, которые оповещают пользователя о всех попытках какой-либо программы записаться на диск, а уж тем более отформатировать его, а также о других подозрительных действиях (например о попытках изменить установки СMОS). При этом выводится запрос о разрешении или запрещении данного действия. Принцип работы этих программ основан на перехвате соответствующих векторов прерываний. К преимуществу программ этого класса по сравнению с программами-детекторами можно отнести универсальность по отношению, как к известным, так и неизвестным вирусам, тогда как детекторы пишутся под конкретные, известные на данный момент программисту виды. Это особенно актуально сейчас, когда появилось множество вирусов-мутантов, не имеющих постоянного кода. Однако, программы-фильтры не могут отслеживать вирусы, обращающиеся непосредственно к BIОS, а также BООT-вирусы, активизирующиеся еще до запуска антивируса, в начальной стадии загрузки DОS, К недостаткам также можно отнести частую выдачу запросов на осуществление какой-либо операции: ответы на вопросы отнимают у пользователя много времени и действуют ему на нервы. При установке некоторых антивирусов-фильтров могут возникать конфликты с другими резидентными программами, использующими те же прерывания, которые просто перестают работать.

Наибольшее распространение в нашей стране получили программы-детекторы, а вернее программы, объединяющие в себе детектор и доктор. Наиболее известные представители этого класса - Аidstеst, Dосtоr Wеb, MiсrоSоft АntiVirus. Антивирусы-детекторы рассчитаны на конкретные вирусы и основаны на сравнении последовательности кодов содержащихся в теле вируса с кодами проверяемых программ. Такие программы нужно регулярно обновлять, так как они быстро устаревают и не могут обнаруживать новые виды вирусов.

Ревизоры - программы, которые анализируют текущее состояние файлов и системных областей диска и сравнивают его с информацией, сохраненной ранее в одном из файлов данных ревизора. При этом проверяется состояние BООT-сектора, таблицы FАT, а также длина файлов, их время создания, атрибуты, контрольная сумма. Анализируя сообщения программы-ревизора, пользователь может решить, чем вызваны изменения: вирусом или нет. При выдаче такого рода сообщений не следует предаваться панике, так как причиной изменений, например, длины программы может быть вовсе и не вирус.

К последней группе относятся самые неэффективные антивирусы вакцинаторы. Они записывают в вакцинируемую программу признаки конкретного вируса так, что вирус считает ее уже зараженной.