Сканирование операционной системы с помощью утилиты AVZ

Размещено на http://www.allbest.ru/

Некоммерческое акционерное общество

«АЛМАТИНСКИЙ УНИВЕРСИТЕТ ЭНЕРГЕТИКИ И СВЯЗИ»

Кафедра «Электроника»

ОТЧЕТ

По дисциплине: Защита Информации

На тему: Исследование операционной системы с помощью утилиты AVZ.

Выполнил:

Горин Д.А.

Приняла:

Голубева Т.В

Алматы 2015

Содержание

Задание

Введение

1. Назначение программы и решаемые ею задачи

2. Сканирование компьютера и запуск скрипта с помощью AVZ

Заключение

Список использованной литературы

Задание

Задание: провести сканирование операционной системы с помощью утилиты AVZ, определить наличие вредоносного ПО в оперативной памяти персонального компьютера, провести поиск в реестре операционной системе по ключевым словам, провести осмотр автозагрузки операционной системы с помощью «Менеджера автозагрузки».

Цель работы: ознакомиться с методами исследования операционной системы Windows для восстановления операционной системы, защиты компьютера от вредоносного и шпионского ПО.

Введение

Антивирусная утилита AVZ предназначена для чистки компьютера от SpyWare и AdWare программ, различных Backdoor и троянских компонент и прочего вредоносного кода (загрузчиков троянских программ, Dialer и т.п.).

Утилита является прямым аналогом программ TrojanHunter и LavaSoft Ad-aware 6. Первичной задачей программы является удаление SpyWare и троянских программ.

Утилита AVZ, это не антивирус, точнее, это не постоянный антивирус, который все время работает и ищет вирусы в режиме реального времени. Это небольшая утилита, которую даже не нужно устанавливать, достаточно просто извлечь ее с архива и запустить на компьютере. Еще один большой плюс, это то, что AVZ не конфликтует с другими постоянными антивирусами.

Особенностями утилиты AVZ (помимо типового сигнатурного сканера) является:

1. Микропрограммы эвристической проверки системы. Микропрограммы проводят поиск известных SpyWare и вирусов по косвенным признакам - на основании анализа реестра, файлов на диске и в памяти;

2. Обновляемая база безопасных файлов. В нее входят цифровые подписи десятков тысяч системных файлов и файлов известных безопасных процессов. База подключена ко всем системам AVZ и работает по принципу "свой/чужой" - безопасные файлы не вносятся в карантин, для них заблокировано удаление и вывод предупреждений, база используется антируткитом, системой поиска файлов, различными анализаторами;

3. Скрипты управления. Позволяют администратору написать скрипт, выполняющий на ПК пользователя набор заданных операций. Скрипты позволяют применять AVZ в корпоративной сети, включая его запуск в ходе загрузки системы;

4. Анализатор процессов. Анализатор использует нейросети и микропрограммы анализа, он включается при включении расширенного анализа на максимальном уровне эвристики и предназначен для поиска подозрительных процессов в памяти;

5. Система AVZGuard. Предназначена для борьбы с трудноудалимыми вредоносными програмами, может кроме AVZ защищать указанные пользователем приложения, например, другие антишпионские и антивирусные программы;

6. Система прямого доступа к диску для работы с заблокированными файлами. Работает на FAT16/FAT32/NTFS, поддерживается на всех операционных системах линейки NT, позволяет сканеру анализировать заблокированные файлы и помещать их в карантин и т.д.[4]

1. Назначение программы и решаемые ею задачи

AVZ -- бесплатная антивирусная программа. Технология AVZGuard основана на KernelMode драйвере, который разграничивает доступ запущенных приложений к системе. Драйвер может функционировать в системах, основанных на платформе NT (начиная с NT 4.0). Основное назначение - борьба с трудноудаляемыми вредоносными программами, которые активно противодействуют процессу лечение компьютера. Помимо стандартных сканеров (с эвристическим анализатором) и ревизора включает в себя ряд средств автоматизации удаления вредоносного кода, часть из которых являются нетипичными (на 2007 год) и предоставляют достаточно грамотному пользователю расширенные средства контроля.[1]

Программа была разработана Олегом Зайцевым. С 2007 года Олег работает в Лаборатории Касперского и остаётся единственным разработчиком AVZ. Используемые в AVZ наработки и технологии вошли в основные продукты Лаборатории Касперского -- Kaspersky Internet Security 2009/2010 и Kaspersky for Windows Workstations 6 MP4.[2]

Программу также применяют для создания логов, полезных при запросе помощи на антивирусных форумах. Утилита является прямым аналогом программ TrojanHunter и LavaSoft Ad-aware 6. Первичной задачей программы является удаление SpyWare и троянских программ.
Особенностями утилиты AVZ (помимо типового сигнатурного сканера) является:

- микропрограммы эвристической проверки системы. Микропрограммы проводят поиск известных SpyWare и вирусов по косвенным признакам - на основании анализа реестра, файлов на диске и в памяти;

- обновляемая база безопасных файлов. В нее входят цифровые подписи десятков тысяч системных файлов и файлов известных безопасных процессов. База подключена ко всем системам AVZ и работает по принципу "свой/чужой" - безопасные файлы не вносятся в карантин, для них заблокировано удаление и вывод предупреждений, база используется антируткитом, системой поиска файлов, различными анализаторами. В частности, встроенный диспетчер процессов выделяет безопасные процессы и сервисы цветом, поиск файлов на диске может исключать из поиска известные файлы (что очень полезно при поиске на диске троянских программ); антивирусный утилита компьютер автозагрузка

- встроенная система обнаружения Rootkit. Поиск RootKit идет без применения сигнатур на основании исследования базовых системных библиотек на предмет перехвата их функций. AVZ может не только обнаруживать RootKit, но и производить корректную блокировку работы UserMode RootKit для своего процесса и KernelMode RootKit на уровне системы. Противодействие RootKit распространяется на все сервисные функции AVZ, в результате сканер AVZ может обнаруживать маскируемые процессы, система поиска в реестре "видит" маскируемые ключи и т.п. Антируткит снабжен анализатором, который проводит обнаружение процессов и сервисов, маскируемых RootKit. Одной из главных на мой взгляд особенностей системы противодействия RootKit является ее работоспособность в Win9X (распространеннное мнение об отсуствии RootKit, работающих на платформе Win9X глубоко ошибочно - известны сотни троянских программ, перехватывающих API функции для маскировки своего присутствия, для искажения работы API функций или слежения за их использованием). Другой особенностью является универсальная система обнаружения и блокирования KernelMode RootKit, работоспособная под Windows NT, Windows 2000 pro/server, XP, XP SP1, XP SP2, Windows 2003 Server, Windows 2003 Server SP1;

- детектор клавиатурных шпионов (Keylogger) и троянских DLL. Поиск Keylogger и троянских DLL ведется на основании анализа системы без применения базы сигнатур, что позволяет достаточно уверенно детектировать заранее неизвестные троянские DLL и Keylogger;

- нейроанализатор. Помино сигнатурного анализатора AVZ содержит нейроэмулятор, который позволяет производить исследование подозрительных файлов при помощи нейросети. В настоящее время нейросеть применяется в детекторе кейлоггеров;

- встроенный анализатор Winsock SPI/LSP настроек. Позволяет проанализировать настройки, диагностировать возможные ошибки в настройке и произвести автоматическое лечение. Возможность автоматической диагностики и лечения полезна для начинающих пользователей (в утилитах типа LSPFix автоматическое лечение отсутствует). Для исследования SPI/LSP вручную в программе имеется специальный менеджер настроек LSP/SPI. На работу анализатора Winsock SPI/LSP распространяется действие антируткита;

- встроенный диспетчер процессов, сервисов и драйверов. Предназначен для изучения запущенных процессов и загруженных библиотек, запущенных сервисов и драйверов. На работу диспетчера процессов распространяется действие антируткита (как следствие - он "видит" маскируемые руткитом процессы). Диспетчер процессов связан с базой безопасных файлов AVZ, опознанные безопасные и системные файлы выделяются цветом;

- встроенная утилита для поиска файлов на диске. Позволяет искать файл по различным критериям, возможности системы поиска превосходят возможности системного поиска. На работу системы поиска распространяется действие антируткита (как следствие - поиск "видит" маскируемые руткитом файлы и может удалить их), фильтр позволяет исключать из результатов поиска файлы, опознанные AVZ как безопасные. Результаты поиска доступны в виде текстового протокола и в виде таблицы, в которой можно пометить группу файлов для последующего удаления или помещения в карантин;

- встроенная утилита для поиска данных в реестре. Позволяет искать ключи и параметры по заданному образцу, результаты поиска доступны в виде текстового протокола и в виде таблицы, в которой можно отметить несколько ключей для их экспорта или удаления. На работу системы поиска распространяется действие антируткита (как следствие - поиск "видит" маскируемые руткитом ключи реестра и может удалить их);

- встроенный анализатор открытых портов TCP/UDP. На него распространяется действие антируткита, в Windows XP для каждого порта отображается использующий порт процесс. Анализатор опирается на обновляемую базу портов известных троянских/Backdoor программ и известных системных сервисов. Поиск портов троянских программ включен в основной алгоритм проверки системы - при обнаружении подозрительных портов в протокол выводятся предупреждения с указанием, каким троянских программам свойственно использование данного порта;

- встроенный анализатор общих ресурсов, сетевых сеансов и открытых по сети файлов. Работает в Win9X и в Nt/W2K/XP;

- встроенный анализатор Downloaded Program Files (DPF) - отображает элементы DPF, подключен ко всем системам AVZ;

- микропрограмы восстановления системы. Микропрограммы проводят восстановления настроек Internet Explorer, параметров запуска программ и иные системные параметры, повреждаемые вредоносными программами. Восстановление запускается вручную, восстанавливаемые параметры указываются пользователем;

- эвристическое удаление файлов. Суть его состоит в том, что если в ходе лечения удалялись вредоносные файлы и включена эта опция, то производится автоматическое исследование системы, охватывающее классы, BHO, расширения IE и Explorer, все доступные AVZ виды автозапуска, Winlogon, SPI/LSP и т.п. Все найденные ссылки на удаленный файл автоматически вычищаются с занесением в протокол информации о том, что конкретно и где было вычищено. Для этой чистки активно применяется движок микропрограмм лечения системы;

- проверка архивов. Начиная с версии 3.60 AVZ поддерживает проверку архивов и составных файлов. На настоящий момент проверяются архивы формата ZIP, RAR, CAB, GZIP, TAR; письма электронной почты и MHT файлы; CHM архивы;

- проверка и лечение потоков NTFS. Проверка NTFS потоков включена в AVZ начиная с версии 3.75;

- скрипты управления. Позволяют администратору написать скрипт, выполняющий на ПК пользователя набор заданных операций. Скрипты позволяют применять AVZ в корпоративной сети, включая его запуск в ходе загрузки системы;

- анализатор процессов. Анализатор использует нейросети и микропрограммы анализа, он включается при включении расширенного анализа на максимальном уровне эвристики и предназначен для поиска подозрительных процессов в памяти;

- система AVZGuard. Предназначена для борьбы с трудноудаляемыми вредоносными програмами, может кроме AVZ защищать указанные пользователем приложения, например, другие антишпионские и антивирусные программы;

- система прямого доступа к диску для работы с заблокированными файлами. Работает на FAT16/FAT32/NTFS, поддерживается на всех операционных системах линейки NT, позволяет сканеру анализировать заблокированные файлы и помещать их в карантин;

- драйвер мониторинга процессов и драйверов AVZPM. Предназначен для отслеживания запуска и остановки процессов и загрузки/выгрузки драйверов для поиска маскирующихся драйверов и обнаружения искажений в описывающих процессы и драйверы структурах, создаваемых DKOM руткитами;

- драйвер Boot Cleaner. Предназначен для выполнения чистки системы (удаление файлов, драйверов и служб, ключей реестра) из KernelMode. Операция чистки может выполняться как в процессе перезагрузки компьютера, так и в ходе лечения.[3]

2. Сканирование компьютера и запуск скрипта с помощью AVZ

Скачиваем архив и извлекаем с него папку «avz4» (с изменением версий имя папки может быть другое). Для запуска AVZ заходим в эту папку и запускаем «avz.exe».

После установки, откроется окно программы. Для начала обновим антивирусную базу. Для этого нажимаем на кнопку, отмеченную на скриншоте. И кликаем на кнопку «Пуск». Программа сообщит, что все обновлено, нажимаем «Ок». Эти действия представлены.

После чего, мы можем приступать к настройке и запуску сканирования компьютера на вирусы, шпионы и другие гадости.

На стартовой вкладке «Область поиска» настраиваем так: первым действием отмечаем галочками диски, которые мы хотим просканировать. В нашем случае отмечен для проверки Локальный диск (С:); вторым действием выбираем методику лечения, и сразу определяем работу самой программы, удаление, либо лечение вирусов, Hack Tool, как показано в действии три; ниже отмечаем галочками «Проверять запущенные процессы», «Эвристическая проверка системы» и «Поиск потенциальных уязвимостей». Как только заканчиваем все наши настройки, нажимаем кнопку «Пуск». Проделанный нами алгоритм, можно увидеть.

Теперь переходим на вкладку «Типы файлов» и задаем настройки. От того, как мы установим настройки в этом разделе, зависит то, как долго программа будет проверять наш компьютер. Если хотим сделать быструю проверку, то нужно оставить все как есть. Но стоит помнить, чем дольше AVZ будет сканировать компьютер, то тем больше шансов у нее найти угрозу.

Поэтому для быстрого поиска оставляем все как есть, для среднего отмечаем пункт «Все файлы», а для очень долго сканирования отмечаем «Все файлы» и снимаем галочку с «Не проверять архивы более». Эти действия показаны.

Дальше переходим к вкладке «Параметры поиска». Желательно отметить галочками два пункта, «Блокировать работу RootKit User-Mode» и «Блокировать работу RootKit Kernel-Mode», как и отмечено.

Все, настройка закончена. Нажимаем на кнопку «Старт», соглашаемся с предупреждением, и начнется сканирование. Лучше компьютер не трогать и ничего не нажимать. Тем более что утилита сама заблокирует почти все действия. После завершения сканирования, закройте программу и перезагрузите компьютер.

Заключение

В ходе данной практической работы, мы познакомились с методами исследования операционной системы Windows для восстановления операционной системы, защиты компьютера от вредоносного и шпионского ПО на примере AVZ.

Утилита AVZ сама по себе очень проста. Она может не просто искать и удалять вирусы, но и имеет в своем арсенале еще много полезных функция. Нажмите на меню «Сервис», появится список с возможностью запустить разные менеджеры, которые могут быть полезны при решении разных проблем. Например «Менеджер файла Host» выбрав его, появиться возможность удалять строки с этого файла.

Иметь в запасе такую утилиту как AVZ и иногда применять ее, это очень хорошо. Но не стоит забывать об антивирусах, которые позволяют защищать ваш компьютер на протяжении всего времени его работы.[2]

Список использованной литературы

1. Касперски К. Образ мышления - дизассемблер IDA. Том I. Описание функций встроенного языка IDA Pro. - М.: Солон, 2001. - 480 с.

2. Чирилло Д. Защита от хакеров (+ CD-ROM). - П.: Питер, 2012. - 375с.

3. Касперский К. Фундаментальные основы хакерства и сетевых атак (+ CD-ROM). - М.: Солон, 2004. - 448 с.

4. Безруков Н.Н. Компьютерные вирусы. - М.: Наука, 2008 г.

Размещено на Allbest.ru