Компьютерные вирусы

1. История развития компьютерных вирусов

При работе с современным персональным компьютером пользователя может подстерегать множество неприятностей: потеря данных, зависание системы, выход из строя отдельных частей компьютера и другие. Одной из причин этих проблем наряду с ошибками в программном обеспечении и неумелыми действиями самого оператора ПЭВМ могут быть проникшие в систему компьютерные вирусы.

Программы вирусы подобно биологическим вирусам размножаются, записываясь в системные области диска или приписываясь к файлам, и производят различные нежелательные действия, которые, зачастую, имеют катастрофические последствия.

Компьютерный вирус - это специально написанная, как правило, небольшая по размерам программа, которая может записывать свои копии в компьютерные программы, расположенные в исполнимых файлах, системных областях дисков, драйверах, документах и т.д., причем эти копии сохраняют возможность к «размножению» [9]. Процесс внедрения вирусом своей копии в другую программу (системную область диска и т.д.) называется заражением, а программа или иной объект, содержащий вирус - зараженным.

Компьютерным вирусам, для «размножения» нужен «носитель» - здоровая программа или документ, в которых они прячут участки своего программного кода. Сам вирус невелик, его размер редко измеряется килобайтами, но натворить эта «кроха» может немало: в тот момент, когда пользователь запускает на своем ПК зараженную программу или открывает документ, вирус активизируется и заставляет компьютер следовать инструкциям вируса, что приводит к удалению какой-либо информации, чаще всего - безвозвратно. Современные вирусы могут испортить не только программы, но и «железо»: уничтожают содержимое BIOS материнской платы или повреждают жесткий диск.

Вирусы появились приблизительно в конце 60 гг. 20 века. Необычны были тем, что не выполняли распоряжения человека, а действовали сами по себе. Своими действиями они сильно замедляли работу компьютера, но при этом ничего не портили и не размножались. Уже в 70 гг. были зарегистрированы первые настоящие вирусы, способные к размножению и получившие собственные имена. К 80-м годам число активных вирусов измерялось уже сотнями и тысячами.

Термин компьютерный вирус появился только в августе 1984 г. - впервые его использовал в своем докладе на конференции по информационной безопасности сотрудник Лехайского университета США Фред Коуэн.

Первые компьютерные вирусы были простыми и неприхотливыми - от пользователей не скрывались, «скрашивали» свое разрушительное действие (удаление файлов, разрушение логической структуры диска) выводимыми на экран картинками и «шутками». Выявить такие вирусы было нетрудно - они «приклеивались» к исполняемым файлам, изменяя их оригинальные размеры. Позднее вирусы стали прятать свой программный код так, что ни один антивирус не мог его обнаружить. Такие вирусы назывались невидимками (stealth). В 90-е годы вирусы стали «мутировать» - постоянно изменять свой программный код, при этом пряча его в различных участках жесткого диска. Такие вирусы-мутанты стали называться «полиморфными».

Весомый вклад в распространение вирусов внес Internet. Впервые внимание общественности к проблеме Internet-вирусов было привлечено после появления знаменитого «червя Морриса» - относительно безобидного экспериментального вируса, в результате неосторожности его создателя распространившегося по всей мировой Сети. А к 1996-1998 гг. Internet стал главным поставщиком вирусов. Возник даже целый класс Internet-вирусов, названных «троянскими». Эти программы не причиняли вреда компьютеру и хранящейся в нем информации, зато с легкостью могли «украсть» пароль и логин для доступа к Сети, а также другую секретную информацию.

В 1995г. после появления ОС Windows 95, были зарегистрированы вирусы, работающие под Windows 95. Примерно через полгода были обнаружены вирусы, которые действовали на документах, подготовленных в популярных программах из комплекта Microsoft Office. В Microsoft Word и Microsoft Excel с помощью языка программирования - Visual Basic for Applications (VBA), можно писать макросы, которые можно легко заменить вирусами. После открытия зараженного файла вирус активировался и заражал все документы Microsoft Office. Первоначально макровирусы наносили вред только текстовым документам, позднее они стали уничтожать информацию.

Свойства компьютерных вирусов

Вирус - это программа, обладающая способностью к самовоспроизведению [2]. Такая способность является единственным средством, присущим всем типам вирусов. Но не только вирусы способны к самовоспроизведению. Любая операционная система и еще множество программ способны создавать собственные копии. Копии же вируса не только не обязаны полностью совпадать с оригиналом, но, и могут вообще с ним не совпадать!

Вирус не может существовать в «полной изоляции»: сегодня нельзя представить себе вирус, который не использует код других программ, информацию о файловой структуре или даже просто имена других программ. Причина понятна: вирус должен каким-нибудь способом обеспечить передачу себе управления.

2. Классификация вирусов

Компьютерные вирусы можно классифицировать по следующим признакам [2]:

1. среде обитания,

2. операционной системе (OC),

3. особенностям алгоритма работы,

4. деструктивным возможностям.

1. По среде обитания вирусы можно разделить на:

- файловые;

- загрузочные;

- макро;

- сетевые.

Файловые вирусы

Файловые вирусы - чтобы размножиться, используют файловую систему, внедряясь в исполняемые файлы практически любой ОС: DOS, Windows, Unix/Linix, MacOS, OS/2 etc., независимо от ее версии. Иногда это могут быть даже исходные тексты программ, библиотечные или объектные модули.

Вирус ищет новый объект для заражения - подходящий по типу файл, который еще не заражен. Заражая файл, вирус внедряется в его код, чтобы получить управление при запуске этого файла. Кроме своей основной функции - размножения, вирус вполне может сделать что-нибудь замысловатое - это уже зависит от фантазии автора вируса. Если файловый вирус резидентный, то он установится в память и получит возможность заражать файлы и проявлять прочие способности не только во время работы зараженного файла. Заражая исполняемый файл, вирус всегда изменяет его код - заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:

он не обязан менять длину файла

неиспользуемые участки кода

не обязан менять начало файла

К файловым вирусам часто относят вирусы, которые «имеют некоторое отношение к файлам», но не обязаны внедряться в их код. Т.о., при запуске любого файла вирус получает управление, резидентно устанавливается в память и передает управление вызванному файлу.

Загрузочные вирусы

Вирусы способны заражать не только загрузочные секторы дискет, но и загрузочные секторы винчестеров. При этом в отличие от дискет на винчестере имеются два типа загрузочных секторов, содержащих программы начальной загрузки, которые получают управление. При загрузке компьютера с винчестера первой берет на себя управление программа начальной загрузки в Master Boot Record. Если ваш жесткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочный. Программа начальной загрузки в MBR находит загрузочный раздел винчестера и передает управление на программу начальной загрузки этого раздела. Код последней совпадает с кодом программы начальной загрузки, содержащейся на обычных дискетах, соответствующие загрузочные секторы отличаются только таблицами параметров. На винчестере имеются два объекта атаки загрузочных вирусов - программа начальной загрузки в MBR и программа начальной загрузки в бут-секторе загрузочного диска.

Макро-вирусы заражают файлы-документы и электронные таблицы нескольких популярных редакторов.

Сетевые вирусы используют для своего распространения протоколы и возможности LAN или WAN или команды компьютерных сетей и электронной почты. Границы данного термина весьма зыбки - далеко не каждую заразу, распространяющуюся по сети, принято относить к данной категории. Основная отличительная особенность сетевых вирусов состоит в их способности самостоятельно передавать свой код на удаленную рабочую станцию или сервер.

Существует большое количество сочетаний - например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Такие вирусы имеют довольно сложный алгоритм работы, применяют оригинальные методы проникновения в систему, используют стелс и полиморфик-технологии. Другой пример такого сочетания - сетевой макро-вирус, который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте.

2. Заражаемая операционная система (вернее, ОС, объекты которой подвержены заражению) является вторым уровнем деления вирусов на классы. Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких OS - DOS, Windows, Win95/NT, OS/2 и т.д. Макро-вирусы заражают файлы форматов Word, Excel, Office. Загрузочные вирусы также ориентированы на конкретные форматы расположения системных данных в загрузочных секторах дисков.

3. По особенностям алгоритма работы вирусов выделяются следующие пункты:

резидентность;

использование стелс-алгоритмов;

самошифрование и полиморфичность;

использование нестандартных приемов.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения операционной системы к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения компьютера или перезагрузки операционной системы. Нерезидентные вирусы не заражают память компьютера и сохраняют активность ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.

Резидентными можно считать макро-вирусы, поскольку они постоянно присутствуют в памяти компьютера на все время работы зараженного редактора. При этом роль операционной системы берет на себя редактор, а понятие «перезагрузка операционной системы» трактуется как выход из редактора.

Использование стелс-алгоритмов позволяет вирусам полностью или частично скрыть себя в системе. Вирусы-невидимки, называемые стелс-вирусами, очень трудно обнаружить и обезвредить, так как они перехватывают обращения операционной системы к пораженным файлам и секторам дисков и подставляют вместо своего тела незараженные участки диска. В случае макро-вирусов наиболее популярный способ - запрет вызовов меню просмотра макросов.

Наиболее трудно обнаружить вирусы-мутанты, содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов. Имеются и так называемые квазивирусные или «троянские» программы, которые хотя и не способны к самораспространению, но очень опасны, так как, маскируясь под полезную программу, разрушают загрузочный сектор и файловую систему дисков.

Стелс-вирусы обманывают антивирусные программы и в результате остаются незамеченными. Тем не менее, существует простой способ отключить механизм маскировки стелс-вирусов. Достаточно загрузить компьютер с не зараженной системной дискеты и сразу, не запуская других программ с диска компьютера (которые также могут оказаться зараженными), проверить компьютер антивирусной программой.

При загрузке с системной дискеты вирус не может получить управление и установить в оперативной памяти резидентный модуль, реализующий стелс-механизм. Антивирусная программа сможет прочитать информацию, действительно записанную на диске, и легко обнаружит вирус.

Самошифрование и полиморфичность используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру детектирования вируса. Полиморфик-вирусы (polymorphic) - это достаточно труднообнаружимые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

Полиморфные вирусы - вирусы, модифицирующие свой код в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите.

Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровщика и расшифровщика, что отличает их от обычных шифровальных вирусов, которые также могут шифровать участки своего кода, но имеют при этом постоянный код шифровальщика и расшифровщика.

Полиморфные вирусы - это вирусы с самомодифицирующимися расшифровщиками. Цель такого шифрования: имея зараженный и оригинальный файлы, вы все равно не сможете проанализировать его код с помощью обычного дизассемблирования. Этот код зашифрован и представляет собой бессмысленный набор команд. Расшифровка производится самим вирусом уже непосредственно во время выполнения. При этом возможны варианты: он может расшифровать себя всего сразу, а может выполнить такую расшифровку «по ходу дела», может вновь шифровать уже отработавшие участки. Все это делается ради затруднения анализа кода вируса.

Различные нестандартные приемы часто используются в вирусах для того, чтобы как можно глубже спрятать себя в ядре OC, защитить от обнаружения свою резидентную копию, затруднить лечение от вируса и т.д.

4. По деструктивным возможностям вирусы можно разделить на:

безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);

неопасные, не мешающие работе компьютера, но влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и пр. эффектами;

опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;

очень опасные, воздействие которых может привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти, и даже, как гласит одна из непроверенных компьютерных легенд, способствовать быстрому износу движущихся частей механизмов - вводить в резонанс и разрушать головки некоторых типов винчестеров.

Если в алгоритме вируса не найдено ветвей, наносящих ущерб системе, этот вирус нельзя с полной уверенностью назвать безвредным, так как проникновение его в компьютер может вызвать непредсказуемые, порой катастрофические последствия. Ведь вирус, как и всякая программа, имеет ошибки, в результате которых могут быть испорчены как файлы, так и сектора дисков. До сих пор попадаются вирусы, определяющие «COM или EXE» не по внутреннему формату файла, а по его расширению. При несовпадении формата и расширения имени файл после заражения оказывается неработоспособным. Возможно также «заклинивание» резидентного вируса и системы при использовании новых версий DOS, при работе в Windows или с другими мощными программными системами.

Опасные и неопасные вирусы.

Большинство вирусов не выполняет каких-либо действий, кроме своего распространения и, иногда, выдачи каких-либо сообщений или иных эффектов, придуманных автором вируса: игры, музыки, перезагрузки компьютера, выдачи на экран разных рисунков, блокировки или изменения функций клавиш клавиатуры, замедления работы компьютера и т.д. Однако сознательной порчи информации эти вирусы не осуществляют. Такие вирусы условно называются неопасными. Эти вирусы способны причинить большие неприятности.

Около трети всех видов портят данные на дисках - или сознательно, или из-за содержащихся в вирусах ошибок, скажем, из-за не вполне корректного выполнения некоторых действий. Если порча данных происходит лишь эпизодически и не приводит к тяжелым последствиям, то вирусы называются опасными. Если же порча данных происходит часто или вирусы причиняют значительные разрушения, то вирусы называются очень опасными.

Троянские кони, программные закладки и сетевые черви

Троянский конь - это программа, содержащая в себе некоторую разрушающую функцию, которая активизируется при наступлении некоторого условия срабатывания. Обычно такие программы маскируются под какие-нибудь полезные утилиты. Вирусы могут нести в себе троянских коней или "троянизировать" другие программы - вносить в них разрушающие функции.

«Троянские кони» представляют собой программы, реализующие помимо функций, описанных в документации, и некоторые другие функции, связанные с нарушением безопасности и деструктивными действиями. Отмечены случаи создания таких программ с целью облегчения распространения вирусов. Списки таких программ широко публикуются в зарубежной печати. Обычно они маскируются под игровые или развлекательные программы и наносят вред под красивые картинки или музыку.

Программные закладки также содержат некоторую функцию, наносящую ущерб ВС, но эта функция, наоборот, старается быть как можно незаметнее, т.к. чем дольше программа не будет вызывать подозрений, тем дольше закладка сможет работать.

Если вирусы и «троянские кони» наносят ущерб посредством лавинообразного саморазмножения или явного разрушения, то основная функция вирусов типа «червь», действующих в компьютерных сетях, - взлом атакуемой системы, т.е. преодоление защиты с целью нарушения безопасности и целостности.

В более 80% компьютерных преступлений, расследуемых ФБР, "взломщики" проникают в атакуемую систему через глобальную сеть Internet.

Этот процесс может быть автоматизирован с помощью вируса, называемого сетевой червь.

Червями называют вирусы, которые распространяются по глобальным сетям, поражая целые системы, а не отдельные программы. Это самый опасный вид вирусов, так как объектами нападения в этом случае становятся информационные системы государственного масштаба. С появлением глобальной сети Internet этот вид нарушения безопасности представляет наибольшую угрозу, т.к. ему в любой момент может подвергнуться любой из 40 миллионов компьютеров, подключенных к сети.

2.1 Пути проникновения вирусов в компьютер и механизм распределения вирусных программ

Основными путями проникновения вирусов в компьютер являются съемные диски, также компьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус. Вирус, как правило, внедряется в рабочую программу таким образом, чтобы при ее запуске управление сначала передалось ему и только после выполнения всех его команд снова вернулось к рабочей программе. Получив доступ к управлению, вирус, прежде всего, переписывает сам себя в другую рабочую программу и заражает ее. После запуска программы, содержащей вирус, становится возможным заражение других файлов.

Наиболее часто вирусом заражаются загрузочный сектор диска и исполняемые файлы, имеющие расширения EXE, COM, SYS, BAT. Крайне редко заражаются текстовые файлы. После заражения программы вирус может выполнить какую-нибудь диверсию, не слишком серьезную, чтобы не привлечь внимания. И, наконец, не забывает возвратить управление той программе, из которой был запущен. Каждое выполнение зараженной программы переносит вирус в следующую. Таким образом, заразится все программное обеспечение.

Признаки появления вирусов

При заражении компьютера вирусом важно его обнаружить. Для этого следует знать об основных признаках проявления вирусов. К ним можно отнести следующие:

- прекращение работы или неправильная работа ранее успешно функционировавших программ,

- медленная работа компьютера,

- невозможность загрузки операционной системы,

- исчезновение файлов и каталогов или искажение их содержимого,

- изменение даты и времени модификации файлов,

- изменение размеров файлов,

- существенное уменьшение размера свободной оперативной памяти,

- вывод на экран непредусмотренных сообщений или изображений, звуковых сигналов,

- частые зависания и сбои в работе компьютера и др.

Вышеперечисленные явления необязательно вызываются присутствием вируса, могут быть следствием других причин.

2.2 Методы защиты от компьютерных вирусов

Каким бы не был вирус, пользователю необходимо знать основные методы защиты от компьютерных вирусов. Для защиты от вирусов можно использовать:

- общие средства защиты информации, которые полезны также и как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователя;

- профилактические меры, позволяющие уменьшить вероятность заражения вирусом;

- специализированные программы для защиты от вирусов.

Общие средства защиты информации полезны не только для защиты от вирусов. Имеются две основные разновидности этих средств:

1. копирование информации - создание копий файлов и системных областей дисков;

2. разграничение доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.

Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно разделить на несколько видов: детекторы, доктора (фаги), ревизоры, доктора-ревизоры, фильтры и вакцины (иммунизаторы).

Программы-детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов. Эти программы проверяют, имеется ли в файлах на указанном пользователем диске специфическая для данного вируса комбинация байтов. При ее обнаружении в каком-либо файле на экран выводится соответствующее сообщение. Многие детекторы имеют режимы лечения или уничтожения зараженных файлов. Программы-детекторы могут обнаруживать только те вирусы, которые ей "известны". Некоторые программы-детекторы (Norton AntiVirus) можно настраивать на новые типы вирусов, им необходимо лишь указать комбинации байтов, присущие этим вирусам. Тем не мнение невозможно разработать такую программу, которая могла бы обнаруживать любой неизвестный вирус.

Многие программы-детекторы не умеют обнаруживать заражение "невидимыми" вирусами, если такой вирус активен в памяти компьютера. Для чтения диска они используют функции DOS, они перехватываются вирусом, который говорит, что все хорошо. Надежный диагноз программы-детекторы дают только при загрузке DOS с "чистой", защищенной от записи дискеты, при этом копия программы-детектора также должна быть запущена с этой дискеты.

Некоторые детекторы умеют ловить "невидимые" вирусы, даже когда они активны. Для этого они читают диск, не используя вызовы DOS.

Большинство программ-детекторов имеют функцию "доктора", т.е. они пытаются вернуть зараженные файлы или области диска в их исходное состояние. Те файлы, которые не удалось восстановить, делаются неработоспособными или удаляются. Большинство программ-докторов умеют "лечить" только от некоторого фиксированного набора вирусов, поэтому они быстро устаревают. Но некоторые программы могут обучаться не только способам обнаружения, но и способам лечения новых вирусов (AVSP).

Программы-ревизоры имеют две стадии работы. Сначала они запоминают сведения о состоянии программ и системных областей дисков. Предполагается, что в этот момент программы и системные области дисков не заражены. После этого с помощью программы-ревизора можно в любой момент сравнить состояние программ и системных областей дисков с исходным. О выявленных несоответствиях сообщается пользователю. Программа-ревизор сможет найти поврежденные вирусом файлы.

Многие программы-ревизоры являются довольно "интеллектуальными" - могут отличать изменения в файлах, вызванные переходом к новой версии программы, от изменений, вносимых вирусом, и не поднимают ложной тревоги. Вирусы изменяют файлы весьма специфическим образом и производят одинаковые изменения в разных программных файлах.

Другие программы часто используют различные полумеры - пытаются обнаружить вирус в оперативной памяти, требуют вызовы из первой строки файла AUTOEXEC.BAT, надеясь работать на "чистом" компьютере, и т.д. Для проверки того, не изменился ли файл, некоторые программы-ревизоры проверяют длину файла. Эта проверка недостаточна - некоторые вирусы не изменяют длину зараженных файлов. Более надежная проверка - прочесть весь файл и вычислить его контрольную сумму. Изменить файл так, чтобы его контрольная сумма осталась прежней, практически невозможно.

В последнее время появились гибриды ревизоров и докторов, т.е. доктора-ревизоры,- программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние. Такие программы могут быть гораздо более универсальными, чем программы-доктора, поскольку при лечении они используют заранее сохраненную информацию о состоянии файлов и областей дисков. Это позволяет им вылечивать файлы даже от тех вирусов, которые не были созданы на момент написания программы.

Существуют программы-фильтры, которые располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к ОС, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователя. Пользователь может разрешить или запретить выполнение соответствующей операции.

Программы-вакцины, или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны.

3. Антивирусные программы

Антивирус - это программа, способная распознавать и уничтожать только известные вирусы. Антивирус против конкретного вируса может быть написан только в том случае, когда у программиста есть в наличии хотя бы один экземпляр этого вируса. У создателей антивирусов есть преимущество: существует большое количество вирусов, алгоритм которых практически скопирован с алгоритма других вирусов. Такие вариации создают непрофессиональные программисты, которые по каким-то причинам решили написать вирус. Для борьбы с такими "копиями" придумано новое оружие - эвристические анализаторы. С их помощью антивирус способен находить подобные аналоги известных вирусов, сообщая пользователю, что у него, похоже, завелся вирус. Надежность эвристического анализатора не 100%, но все же его коэффициент полезного действия больше 0,5. Вирусы, которые не распознаются антивирусными детекторами, способны написать только наиболее опытные и квалифицированные программисты.

Антивирус Antiviral Toolkit Pro

Разработчик: Лаборатория Касперского. Основные функции: Antiviral Toolkit Pro - российский продукт, заслуживший популярность за рубежом и в России, благодаря широчайшим возможностям и высокой надежности. Имеются версии программы для большинства популярных операционных систем.

Существует несколько вариантов поставки - AVP Lite, AVP Gold, AVP Platinum. В наиболее полной версии поставляется три продукта - сканер, резидентный монитор и центр управления. Сканер позволяет проверять файлы и память на наличие вирусов и "троянцев". При этом проверяются упакованные программы, архивы, почтовые базы данных и осуществляется эвристический анализ для поиска новых вирусов, не занесенных в базу данных. Монитор "на лету" проверяет каждый открываемый файл на вирусы и предупреждает о вирусной опасности, одновременно блокируя доступ к зараженному файлу. Центр управления позволяет по расписанию проводить антивирусную проверку и обновлять базы данных через Интернет.

Достоинства: эффективно обнаруживает, лечит вирусы и "троянские кони", имеет русский интерфейс, удобна в настройке и использовании. Недостатки: очень "подозрительна" к инструментальным средствам системного администратора.

DOCTOR WEB

Dr. Web относится к классу детекторов-докторов, имеет так называемый "эвристический анализатор" - алгоритм, позволяющий обнаруживать неизвестные вирусы. "Лечебная паутина", как переводится с английского название программы, стала ответом отечественных программистов на нашествие самомодифицирующихся вирусов-мутантов. Разработчик: Лаборатория Данилова и Диалог Наука.

Набор функций вполне стандартный для антивируса - сканирование файлов, памяти, загрузочных секторов жестких дисков и дискет. Троянские программы, как правило, подлежат не излечению а удалению. Почтовые форматы не проверяются, сразу нельзя узнать, нет ли во вложении вируса. Поставляемый с программой резидентный монитор "Spider Guard" позволяет решить эту задачу "на лету". Dr. Web - одна из первых программ, в которой был реализован эвристический анализ, позволяющий обнаруживать вирусы, не занесенные в антивирусную базу. Анализатор обнаруживает в программе вирусоподобные инструкции и помечает такую программу как подозрительную.

Достоинства: эффективно обнаруживает и лечит вирусы и "троянские кони", имеет русский интерфейс, удобна в настройке и использовании. Недостатки: скорость сканирования могла бы быть и повыше.

Ни один тип антивирусных программ по отдельности не дает полной защиты от вирусов. Лучшей стратегией защиты от вирусов является многоуровневая, "эшелонированная" оборона. Средствам разведки в "обороне" от вирусов соответствуют программы-детекторы, позволяющие проверять вновь полученное программное обеспечение на наличие вирусов. На переднем крае обороны находятся программы-фильтры, которые могут первыми сообщить о работе вируса и предотвратить заражение программ и дисков. Второй эшелон обороны составляют программы-ревизоры, программы-доктора и доктора-ревизоры. Самый глубокий эшелон обороны - это средства разграничения доступа. Они не позволяют вирусам и неверно работающим программам, даже если они проникли в компьютер, испортить важные данные.

Помимо коммерческих продуктов существуют и свободные версии антивирусных программ. Рассмотрим некоторые из них.

AntiVir Personal Edition Classic

Антивирус от германской компании Avira является одним из наиболее известных в мире бесплатных продуктов данной категории. Помимо сканирования и мониторинга системы, он также позволяет проверять почтовый SMTP-трафик. Что касается проверки входящей почты, то она доступна лишь в платной Premium-версии. К несомненным преимуществам AntiVir Personal Edition Classic можно отнести тот факт, что программа защищает пользователя не только от вирусов, червей и троянов, но также от "дозвонщиков", программ-шуток, руткитов и фишинга. Поддерживается и эвристический анализ, причем пользователь может самостоятельно установить в меню уровень его глубины. Шпионские и рекламные модули эта версия обнаруживать не умеет, подобная защита имеется только в AntiVir Permium. Найденные вредоносные программы могут быть удалены немедленно, либо помещены на карантин. Разработчиками антивируса предусмотрена возможность его работы по заданному расписанию.

Avast Home Edition

Avast Home Edition - бесплатный антивирус чешского производства. Помимо мониторинга и сканирования по запросу, поддерживается сканирование архивных файлов и проверка входящей и исходящей почты. Вредоносные программы определяются не только на основе сигнатур, но и путем эвристического анализа. Для домашних пользователей антивирус бесплатен, однако требуется зарегистрировать программу и оставить свой адрес электронной почты, на который будет выслан ключ с лицензией на программу сроком на один год. Процесс настройки Avast Home Edition начинается уже в процессе инсталляции программы. Пользователь может выбрать, какие модули резидентной защиты требуется установить, а какие не нужны. В частности, предлагаются модули для мониторинга интернет-мессенджеров, P2P-трафика, почтовых клиентов Outlook и The Bat! Настройку можно продолжить уже по завершении инсталляции. В первую очередь нужно включить модуль резидентной защиты и настроить его чувствительность, а также механизм сканирования файлов. От пользователя не требуется отмечать какие типы файлов программа должны проверять, он лишь должен выбрать один из трех вариантов - экспресс-сканирование, обычное сканирование или полное сканирование. Еще одна интересная функция данной программы - наличие генератора восстановительной базы данных (VRDB). Он собирает информацию об установленных на компьютере приложениях, и в случае заражения этих приложений вирусом помогает восстановить их в первозданном состоянии. Можно возразить, что подобная возможность не очень важна, ведь в Windows имеется "Восстановление системы". Но многие пользователи в целях экономии места на жестком диске отключают "Восстановление системы", и в случае вирусного заражения остаются совершенно беззащитными. К сожалению, от рекламных модулей (adware) Avast Home Edition защищать не умеет. Программа также не может находить и блокировать вредоносные скрипты на веб-страницах, а также не поддерживает работу через командную строку. Эти функции присутствуют в Avast Professional Edition. Интерфейс программы полностью переведен на русский язык.

AVG Anti-Virus Free Edition

Чешская компания Grisoft выпускает целый ряд программных продуктов под общим брендом AVG. Специально для домашних пользователей предназначен бесплатный антивирус AVG Anti-Virus Free Edition. С помощью этого антивируса можно сканировать выбранные файлы (даже внутри архивов), отдельные директории, либо жесткие диски целиком, а также вести мониторинг системы в режиме реального времени. При сканировании программа применяет эвристические методы анализа. Найденные зараженные файлы помещаются на "карантин". Есть возможность запланировать регулярное сканирование в определенный период времени. К сожалению, в бесплатной версии отсутствует возможность проверки на наличие руткитов, но это дело поправимое. На сайте Grisoft можно найти абсолютно бесплатную утилиту, которая как раз и призвана найти и обезвредить все руткиты на жестком диске. Интерфейс AVG Anti-Virus Free Edition переведён на множество языков, однако русского языка в их числе нет. В качестве несомненных достоинств можно упомянуть небольшой размер регулярных обновлений антивирусных баз.