Комп’ютерні віруси та засоби антивірусного захисту

Реферат

З інформатики

На тему: «Комп'ютерні віруси та засоби антивірусного захисту»

План реферату

1. Поняття та класифікація комп'ютерних вірусів.

2. Антивірусне програмне забезпечення.

3. Правила виживання для користувача.

4. Короткий опис деяких вірусів, що зустрічаються.

1. Поняття та класифікація комп'ютерних вірусів

Клас програм, призначених для виконання різних несанкціонованих користувачем дій, іноді спрямованих на заподіяння збитку (знищення або ушкодження даних, уповільнення роботи й т.д.), називається шкідливим ПЗ.

Існують наступні основні види шкідливого ПЗ:

троянські коні (Trojan horse);

віруси (virus);

хробаки (worm).

Троянські коні (троянські програми) -- програми, що містять схований модуль, не пов'язаний з їхнім основним призначенням і здійснюючою несанкціонованою діями. Прикладом може служити історія, що відбулася в грудні 1989 р. Зловмисник розіслав 20 тис. дискет, що містять безкоштовну систему з базою даних про захворювання СНІДом у різні організації ряду країн. Після її запису на вінчестер користувача вся інформація вінчестера була перекодована, а на екрані з'являлася вимога перелічити суму в 378 дол. для одержання програми відновлення інформації.

Віруси -- найпоширеніший і небезпечний вид шкідливого ПЗ. Це програма, здатна до саморозмноження (тобто відтворенню своїх копій) і поширенню (зараженню) на різні запам'ятовувальні пристрої. Програму вірусу не можна виявити в списку файлів, тому що вона впроваджується в чужі файли й усіляко маскує своє перебування там. Як правило, вірус після активізації залишається в пам'яті комп'ютера й продовжує роботу до кінця комп'ютерного сеансу (резидентний).

Комп'ютерні віруси можуть не тільки приєднуватися до інших програм, але й записуватися на дискету або жорсткий диск і виконуватися в момент запуску програми носія або завантаження операційної системи із зараженого диска.

Віруси можуть самостійно поширюватися й швидко вражати значну кількість програм на величезній кількості комп'ютерів. Для цього їм не потрібен дозвіл користувачів робочих станцій, які можуть навіть не підозрювати про віруси. Віруси можуть містити інструкції про виконання руйнівних або ж нешкідливих дій, що заважають, проте, роботі. Віруси являють собою серйозну проблему, тому що постачені кодом, здатним завдати шкоди, а також можуть самостійно поширюватися.

Віруси не можна назвати таємничим явищем. Це всього лише комп'ютерні програми, які можуть виконувати такої ж дії, що й всі інші програми. Однак, на відміну від більшості інших програм, вони мають здатність до саморозмноження.

Програма-вірус функціонує у два етапи. Перший етап - розмноження вірусу. На цьому етапі програмний код вірусу відтворюється й впроваджується в різні місця вашої комп'ютерної системи. Куди конкретно - залежить від типу вірусу. Наприклад: у виконувані файли (СОМ, ЕХЕ, SYS і ін.), у завантажувальний сектор дискети, у таблицю розділів жорсткого диска, у сектори, позначені як ушкоджені, на додаткові доріжки, у тимчасово вільні сектори кореневого каталогу й т.п. Деякі віруси живуть і розмножуються в операційній системі, інших - у заражених програмах.

Другий етап, якому можна назвати активною фазою, характеризується активними діями вірусу, спрямованими або на руйнування вашої комп'ютерної системи, або на виконання якихось нешкідливих, з погляду його автора, дій. Наприклад, вірус може: знищити файли, відформатувати диск, знищити випадково обрані сектори, спотворити виведену на екран комп'ютера інформацію, відображати повідомлення, шифрувати дату на жорсткому диску, припиняти роботу персонального комп'ютера тощо. А можуть вивести на екран портрет президента, виконати Гімн Радянського Союзу або США.

Деякі віруси взагалі не мають яких-небудь очевидних симптомів, вони тільки поширюються. Якщо ви вважаєте, що нічого страшного в цьому ні, то ризикуєте повністю забити ваш гігабайтний вінчестер копіями вірусу й ремствувати на недостачу дискового простору.

Вірус далеко не завжди можна виявити по яких-небудь аномальних явищах. Самим надійним способом виявлення вірусів є застосування ефективних антивірусних програмних засобів.

Як уже говорилося, на жаль (або на щастя?), при поширенні вірусів часто повністю відсутні які-небудь очевидні симптоми. Проникаючи в операційну систему на робочій станції, вірус може виконати будь-які інструкції, обрані його творцем. Ці інструкції можуть передбачати активізацію вірусу після якої-небудь події (наприклад, після певної кількості виконанні); відповідно до певного часу (по настанні певної дати, наприклад у п'ятницю 13 числа або 1 квітня) або ж у будь-який довільний час.

Творець вірусу не завжди включає в нього інструкції, що викликають очевидну шкоду або роблять руйнівну дію. Спричинена вірусом шкода може бути обумовлений його тиражуванням, що викликає дефіцит ресурсів, наприклад, пам'яті на жорсткому диску, часі CPU або ж мережних з'єднань.

Поява вірусів пов'язане з розвитком теорії систем, що самовідтворюються. Перші роботи в цій області належать Джону фон Нейману.

Розрізняють файлові віруси, які заражають окремі програми, і бутові (завантажувальні), що заражають тверді й гнучкі диски. Для активації вірусу необхідний запуск зараженої програми або завантаження із зараженого диска, після цього подальше зараження може відбуватися при будь-яких операціях з файлами.

Серед сучасних вірусів зустрічаються:

стелс-віруси (stealth), здатні сховати від користувача зовнішні прояви своєї діяльності. Stealth-віруси не можна виявити, просто переглядаючи файли на диску. Автори цих вірусів застосовують досить різноманітні способи маскування. Допустимо, переглядаючи файл, заражений вірусом у текстовому редакторі, ви не виявите й натяку на зараження - вірус визначає, що ви переглядаєте файл, і видаляє себе з нього. Закриваєте файл - вірус знову на місці;

поліморфні (polymorph) віруси, що змінюють свої копії для утруднення їхнього пошуку. Віруси-мутанти містять у собі алгоритми шифровки-розшифровки. Впроваджуючи свою копію в програму, такий вірус шифрує свій програмний код, тому два екземпляри такого вірусу, що заразили два різних файли, не мають жодного повторюваної ділянки коду;

макровіруси, що заражають не тільки програми, але й деякі документи.

З моменту зараження вірусом до моменту прояву його дії може пройти досить багато часу. Багато вірусів починають діяти після настання певної події. Приклади дій таких вірусів:

- У понеділок 1 числа "вішає" систему.

- З лютого по листопад щогодини переставляє сусідні символи на екрані.

- Залежно від поточної дати може знищити інформацію на всіх доступних дисках.

- 20 числа залишає в пам'яті код, що виконує мелодію з фільму "Кар'єру Дмитрика Горина".

- Поліморфний стелс-вірус 8 і 30 квітня, а також 9 травня знищує вміст випадкових секторів жорсткого диска.

- У вересні після 22 числа знищує вміст 128 секторів кожного логічного пристрою жорсткого диска.

Хробаки -- різновид вірусів, призначених для поширення в комп'ютерних мережах. Іноді застосовуються з метою шпигунства. Використання мереж у значній мірі сприяє масовому зараженню програм користувачів. Наприклад, в 1988 р. вірус Морріса, аспіранта факультету інформатики Корнельського університету, інфікував близько 6000 комп'ютерів і 70 комп'ютерних систем (у тому числі ядерної лабораторії) - найважливіші комп'ютерні мережі східного й західного узбережжя США. Втрати були несуттєві (тільки робочий час).

Віруси розрізняються й по ступені небезпеки й по характері вироблених ними дій, наприклад:

- Вірус залишає в пам'яті програму, що стирає вміст екрана.

- Безпечний вірус. Після зараження кожного файлу "обсипає" букви на екрані монітора, установивши на цей час ознаку відсутності жорсткого диска.

- Дуже небезпечний вірус, що заміщає програмний код. Заражає Ехе-файли в поточному й батьківському каталогах, а також файл ІЗ:\DOS\DOSSHELL.СОМ. Видає деякі звуки й виводить на екран текст.

- Безпечний нерезидентний вірус-хробак. Робить пошук ARJ і RAR-архівів і заражає їх, дописуючи до даних архівів власну копію у форматах цих архівних файлів.

- Небезпечний резидентний вірус. При печатці на принтері вставляє після коми одне з наступних словосполучень: ",от", ",коротше", ",таво этава".

- Небезпечний резидентний шифрований вірус. При уведенні із клавіатури досить часто повторює уведення клавіші "t".

- Робить відеоефект: всі символи на екрані, кружляючись, зникають у центрі екрана.

- Небезпечний макровірус. Записує рядок "Yohimbe" у заголовок, заражає таблиці, тощо. В 16:45 вставляє в поточну таблицю картинку й текст.

2. Антивірусне програмне забезпечення

Для боротьби з вірусами застосовують спеціальне антивірусне програмне забезпечення (антивіруси).

Повністю запобігти інфікуванню систем неможливо. Ви постійно копіюєте собі нові програми, модифікуєте існуючі програми, обмінюєтеся дискетами, загалом, ведете досить «безладний спосіб життя». Не можна також безпомилково виявити всі можливі віруси. Нові віруси з'являються, як гриби після дощу, а крім цього, модифікуються старі, добре відомі віруси. Тому в кожному разі інфікування систем не виключено. Міри запобігання інфікування необхідні, однак не менш важливо передбачити адміністративні способи стримування «епідемії» і знешкодження вірусів у випадку їхньої появи.

Дія антивірусних програм засновано або на загальних властивостях вірусів (тобто на їхній здатності до зміни файлів або завантажувальних записів), або на характеристиках окремих вірусів або класів вірусів. Найбільш сучасна версія програми при обстеженні системи намагається виявити симптоми, характерні для поводження або зовнішніх проявів окремих вірусів або класів вірусів. При виявленні подібних ознак програма може попередити користувача, спробувати запобігти поширенню вірусу й т.д. Пряма аналогія - по симптомах хвороби лікар у лікарні ставить вам діагноз - грип. Але що це - вірус грипу А або Б, або який-небудь Z - він сказати не може.

Існують різні антивіруси:

детектори;

поліфаги;

ревізори;

сторожі;

вакцини.

Детектори -- програми, що здійснюють пошук відомих їм вірусів у файлах і на дисках. Сучасні детектори визначають кілька тисяч вірусів і використають складні евристичні алгоритми (Scan).

Фаги або поліфаги -- програми, здатні не тільки визначити, але в деяких випадках і видалити знайдений вірус (AidsTest).

Ревізори роблять періодичний контроль стану запам'ятовувальних пристроїв з метою виявити зміни, характерні для прояву вірусів. Багато ревізорів мають також анти-стелс механізм. (ADInf). Програми-ревізори обчислюють контрольні суми всіх доступних на диску програм і записують їх у спеціальний файл. При черговому завантаженні вони перевіряють, чи не піддалася яка-небудь програма змінам, і попереджають про це користувача. Програми-ревізори вміють вчасно виявляти зараження комп'ютера практично кожним з існуючих зараз вірусів, а новітні ревізори вміють видаляти навіть раніше невідомі їм віруси.

Сторожі -- програми, що контролюють операції з диском і спроби, що припиняють, вірусу до розмноження (VSafe). Спеціальні програми-сторожі приєднуються до операційної системи з метою спостереження за активністю програм, що запускають на комп'ютері. Вони постійно контролюють вірусоподібні операції, вироблені програмами з дисками або пам'яттю. Якщо з'являються підозрілі симптоми, вони блокують роботу даної програми, сповіщають про це користувачеві й очікують його рішення. Недоліком сторожів є їхня зайва настирливість, що виражається в занадто частих повідомленнях про підозрілі операції. Іноді такі програми підтримуються спеціальними електронними ключами, які фізично блокують доступ до програмних ресурсів. Найбільш відомий програмно-апаратний комплекс Sheriff.

Вакцини -- програми, що імітують зараження вірусом для припинення його поширення (NeatVac).

Створення й поширення шкідливого програмного забезпечення ставиться до розряду комп'ютерних злочинів, винні в цих злочинах несуть відповідальність відповідно до законодавства.

Розглянемо методи антивірусного захисту.

Сканування

Якщо вірус відомий і вже проаналізований, то можна розробити програму, що виявляє всі файли й завантажувальні записи, інфіковані цим вірусом. Така програма постачена «медичним» довідником, що містить характерні зразки програмного коду вірусу. Програма веде пошук комбінацій байтів, характерних для вірусу, але нетипових для звичайних програм. Програми-детектори, що ведуть пошук подібних комбінацій байтів, називаються поліфагами, або сканерами.

Для багатьох вірусів характерна проста комбінація, що представляє собою послідовність фіксованих байтів. Інші віруси використають більше складні комбінації байтів. Необхідно впевнитися, що комбінація байтів не характерна для звичайних програм, інакше програма-детектор повідомить про вірус навіть при його відсутності.

Виявлення змін

Для інфікування програм або завантажувальних записів віруси повинні їх змінити. Існують програми, які спеціалізуються на виловлюванні таких змін. Програму, що реєструє зміну файлів і завантажувальних записів, можна використати навіть для виявлення раніше невідомих вірусів. Однак зміна файлів і завантажувальних записів може бути обумовлено цілим рядом причин, які не мають ніякого відношення до вірусів. Виявлення змін саме по собі приносить не так багато користі, тому що необхідно дуже чітко розуміти, які зміни дійсно вказують на наявність вірусу.

Евристичний аналіз

Евристичний аналіз - це неясна підозра антивірусної програми про те, що щось не в порядку.

При виявленні вірусів за допомогою евристичного аналізу ведеться пошук зовнішніх проявів або ж дій, характерних для деяких класів відомих вірусів. Наприклад, у файлах можуть виявлятися операції, застосовувані вірусами, але рідко використовувані звичайними програмами. Можуть також виявлятися спроби запису на жорсткі диски або дискети за допомогою нестандартних методів.

Так само, як при використанні попереднього методу, за допомогою евристичного аналізу можна виявити цілі класи вірусів, однак необхідно впевнитися, що звичайні програми не були прийняті за інфіковані.

Верифікація

Розглянуті вище методи можуть свідчити, що програма або завантажувальний запис уражені вірусом, однак у такий спосіб не можна із упевненістю пізнати їхній вірус, що вразив, і знищити його. Програми, за допомогою яких можна ідентифікувати вірус, називаються верифікаторами. Верифікатори можна розробити тільки для вже вивчених вірусів після їхнього ретельного аналізу.

Знешкодження

Не виключено, що після виявлення вірусу його можна буде видалити й відновити вихідний стан заражених файлів і завантажувальних записів, властиве їм до «хвороби». Цей процес називається знешкодженням (дезінфекцією, лікуванням).

Деякі віруси ушкоджують файли, що вражають ними, і завантажувальні записи таким чином, що їхня успішна дезінфекція неможлива. Не виключено також, що детектор однаково ідентифікує два різних віруси, тому дезінфікуюча програма буде ефективна для одного вірусу, але марна для іншого.

Дезінфікуючі програми змінюють ваші програми, тому вони повинні бути дуже надійними.

Розглянемо міри профілактики.

Розглянуті вище методи можуть застосовуватися за допомогою різних способів. Одним із загальноприйнятих методів є використання програм, які ретельно обстежують диски, намагаючись виявити й знешкодити віруси. Можливо також використання резидентних програм DOS, що постійно перевіряють вашу систему на віруси. Резидентні програми мають наступну перевагу: вони перевіряють всі програми на віруси при кожному їхньому виконанні. Резидентні програми повинні бути дуже ретельно розроблені, тому що інакше вони будуть затримувати завантаження й виконання програм.

Нерезидентні програми ефективні при необхідності одночасного обстеження всієї системи на віруси і їхні знешкодження. Вони являють собою засіб, що доповнює резидентні програми.

Ви повинні пам'ятати про необхідність регулярного виконання антивірусної програми. На жаль, як показує досвід, про цьому часто забувають. Зневага профілактичними перевірками вашого комп'ютера збільшує ризик інфікування не тільки вашої комп'ютерної системи, але й поширення вірусу на інші комп'ютери. І не тільки через дискети, віруси прекрасно поширюються й по локальних мережах.

Щоб згодом уникнути головного болю, найкраще забезпечити автоматичне виконання антивірусної програми. У цьому випадку програма буде захищати ваш комп'ютер, не жадаючи від вас яких-небудь явних дій. Для забезпечення такого захисту можна при запуску системи встановити резидентні антивірусні програми, а також використати нерезидентні програми, виконувані при запуску або періодично в зазначений час.

Як правильно лікувати?

Насамперед, перезавантажите комп'ютер, нажавши кнопку Reset. Таке перезавантаження називається «холодної», на відміну від «теплою», викликуваною комбінацією клавіш Ctrl-Alt-Del. Існують віруси, які спокійно виживають при «теплій» перезавантаженні.

Завантажите комп'ютер з дискети, захищеної від запису й із установленими антивірусними програмами. Необхідність зберігати антивірусний пакет на окремій захищеній дискеті викликана не тільки небезпекою зараження антивірусних програм вірусом. Частенько вірус спеціально шукає на жорсткому диску програма-антивірус і наносить їй ушкодження.

Намагайтеся частіше обновляти ваші антивірусні програми. Причому як вітчизняні, так і імпортні. Вітчизняні - тому що в нас пишуть віруси всі кому не лінь і, щоб швидко розробити антивірусну програму, треба жити тут. Імпортні - тому що усе сильніше зливаються «наше» і «їх» інформаційні простори, усе більше західних вірусів проникає до нас по глобальних комп'ютерних мережах.

При виявленні зараженого файлу бажано скопіювати його на дискету й лише потім лікувати антивірусом. Це робиться для того, щоб у випадку некоректного лікування файлу, що, на жаль, трапляється, спробувати полікувати файл іншим антивірусом.

Якщо вам знадобилася програма з ваших старих архівів або резервних копій, не полінуєтеся перевірити її. Не ризикуйте. Краще перебільшити небезпеку, чим недооцінити її.

Як ловили файлові віруси за старих часів?

За старих часів існував спосіб лову дурних (простих) вірусів на живця. Створювався файл, що складається з одних нулів і має розширення .СО або .ЕХЕ. Ті віруси, які заражають програми без належної перевірки, попадали в нього як мухи на мед. Переглянувши згодом такий файл, легко можна було виділити сигнатуру (програмний код вірусу) і написати антивірус.

Антивірусних програм написане хоча й набагато менше, ніж вірусів, але досить багато, щоб користувач мав вибір. Краще, якщо у вас на комп'ютері й на спеціальній дискеті буде встановлено кілька таких програм. Це підвищить імовірність виявлення модифікацій старих вірусів, а також, якщо програми використають евристичний аналіз, виявлення нових, невідомих раніше, вірусів. Не забувайте частіше обновляти версії антивірусних програм, щоб іти ніздря в ніздрю з авторами вірусів. Рекомендуємо здобувати антивірусні програми офіційно. На це є, принаймні, дві причини:

1. Якщо ви будете користуватися краденими копіями антивірусних програм, то їхнім розроблювачам прийде торгувати апельсинами на ринку, щоб заробити на життя. Хто в цьому випадку захистить вас від вірусів?

2. Вірус може бути замаскований під нормальну антивірусну програму. Якщо бути точним, така програма називається «Троянський кінь». Сподіваюся, аналогії прозорі. Ви цілком певно запускаєте антивірусну програму, а вона форматує ваш вінчестер. До речі, ціни на вітчизняні антивірусні програми досить доступні.

Програма-поліфаг AIDSTEST

Це програма-поліфаг. Для перевірки дисків і лікування заражених файлів переважніше використати оригінальну завантажувальну дискету, на якій поставляється Aidstest. У цьому випадку для перевірки вашого комп'ютера необхідно вставити цю дискету в дисковід А: і перезавантажити комп'ютер. Необхідно застосовувати холодне перезавантаження (нажати кнопку Reset), тому що багато вірусів уміють переживати тепле перезавантаження (Ctrl-Alt-Del) і продовжують залишатися в пам'яті. Після завантаження комп'ютера Aidstest просканує диски й, якщо знайде віруси, запитає дозволи на лікування. Можливий запуск Aidstest і з жорсткого диска. Наприклад:

D:\ANTI\Aidstest *.*/f

Щоб довідатися параметри запуску Aidstest, просто запустите його без параметрів.

Програма-ревізор ADINF

ADinf - це програма-ревізор. ADinf дозволяє виявити появу кожного з існуючих вірусів, включаючи Stealth-віруси й віруси-мутанти, а також невідомі на сьогоднішній день віруси. При установці додаткового лікуючого блоку можна видалити до 96% з них. У режимі повсякденного контролю ADinf запускається автоматично з файлу AUTOEXEC.BAT при першому включенні комп'ютера. ADinf запам'ятовує на диску інформацію про файли, що включає довжини файлів, дату й час створення, контрольні суми файлів і стежить за їхньою схоронністю. Особливо відслідковуються вирусоподібні зміни, про які негайно видається попередження. До підозрілих вірусоподібним змінам, наприклад, ставляться зміни довжини файлу або його контрольної суми без зміни дати й часу створення. Крім того, ADinf дозволяє призначати список файлів, будь-які зміни в які ставляться до підозрілого. Крім контролю за цілісністю файлів, ADinf стежить за дисковими операціями, появою збійних кластерів, за схоронністю завантажувальних секторів і ін. ADinf перевіряє диски, не використовуючи DOS, а читаючи їх по секторах, прямим обігом в BIOS.

В ADinf реалізований алгоритм пошуку Stealth-вірусів. Stealth-вірус не можна виявити простим переглядом файлу. При відкритті зараженого файлу Stealth-вірус видаляє себе з тіла програми, а після закриття - повертає себе на місце. ADinf виявляє Stealth-віруси, порівнюючи інформацію про файли, видавану DOS, з фактичної. Розбіжність інформації однозначно вказує на вірус.

ADINF CURE MODULE

ADinf Cure Module - це програма, здатна вилікувати файл від вірусу до появи програми-фага. ADinf Cure Module веде спеціальні файли, у які записує необхідну для лікування заражених файлів інформацію. Якщо відбувається зараження, ADinf повідомляє про нього ADinf Cure Module, a той намагається провести лікування.

IBM ANTIVIRUS/DOS

Програма IBM AntiVirus/DOS входить у стандартний комплект поставки PC-DOS (файл IBMAVD.EXE). IBM AntiVirus/DOS запобігає проникнення в комп'ютерну систему вірусів, а також здійснює виявлення й видалення вже наявних. IBM AntiVirus/DOS виявляє порядку 2300 відомих вірусів, а також за допомогою «невизначеного сканування» велика кількість вірусів, подібних відомим IBM AntiVirus/DOS вірусам. За допомогою евристичного аналізу виявляються також невідомі в цей момент віруси.

Програма може працювати у фоновому режимі, забезпечуючи постійний захист системи. Крім того, ви можете перевіряти дискети й жорсткі диски на віруси, запускаючи програму вручну.

При виконанні програми IBM AntiVirus/DOS на екрані комп'ютера з'являється спливаюче вікно «Перевірка на віруси». Смуга індикатора показує відсоток виконання перевірки. Крім того, відображається ім'я файлу, що перевіряє в поточний момент, і шлях до нього. Перевірку в будь-який момент можна перервати, нажавши кнопку Stop. Після закінчення перевірки відображається вікно з інформацією про її результати. При виявленні ознак вірусу з'являється спливаюче вікно «Звіт про зараження вірусами».

Гнучка система настроювань дозволяє визначити конкретні каталоги, які варто перевірити, і розширення файлів. Досить зручне меню з великою довідковою інформацією, значно полегшує користування системою.

Для перевірки ви можете вибрати або програмні файли, або всі файли. При виборі режиму Програмні файли програма IBM AntiVirus/DOS буде перевіряти звичайні виконувані файли, що, на зазначених дисках. Такі файли мають розширення ВАТ, BIN, CMD, СОМ, DOS, DLL, EXE, OS2, ОV?, PRO і SYS. При виборі режиму Всі файли програма IBM AntiVirus/DOS буде перевіряти всі файли на заданих дисках. Головний завантажувальний запис і завантажувальні записи всіх активних розділів на всіх заданих локальних жорстких дисках, включаючи завантажувальні записи Менеджера завантаження, перевіряються на віруси незалежно від обраного режиму. Якщо з якоїсь причини доступ до файлу неможливий, то цей файл пропускається, і перевірка триває.

Спливаюче вікно Автоматична перевірка дозволяє конфігурувати IBM AntiVirus/DOS для виконання автоматичної перевірки системи.

Ви можете вказати програмі IBM AntiVirus/DOS, щоб вона перевіряла DOS при її запуску - щодня, щотижня або щомісяця.

Якщо при роботі в текстовому процесорі Word for Windows ви раптом виявили, що не можете зберегти свій файл, знайте: у вас завівся вірус. На сьогоднішній день цим вірусом заражено 90% всіх комп'ютерів. На щастя, добрі люди написали антивірус. Він являє собою файл із розширенням DOC, у якому втримується текст посібника із застосування й спеціальна кнопка. Клацніть нею, і антивірус зробить своя справа.

IBM AntiVirus використає виявлення змін для рішення двох завдань. Насамперед, це є відправною крапкою для евристичного аналізу й виявлення нових вірусів. Крім того, це прискорює виявлення нових вірусів. Для інфікування файлів і завантажувальних записів віруси повинні їх змінити. Якщо вчора при перевірці файл не був інфікований і із учорашнього дня не змінився, то можна зробити висновок, що й сьогодні вірусу в цьому файлі немає. При стандартному використанні програми IBM AntiVirus перевіряються на вже відомі віруси тільки змінилися й нові файли. Упевнитися, що файл змінився або що це новий файл, можна набагато швидше, ніж перевірити його на вже відомі віруси. Цей метод прискорює процес перевірки.

При перевірці файлів і завантажувальних записів на відомі віруси IBM AntiVirus використає метод, називаний «невизначене сканування». Цей метод сканування, застосовуваний IBM AntiVirus, передбачає пошук послідовностей байтів, що свідчать про наявність вірусу. Саме так працює більшість сканерів. Крім того, цей метод дозволяє виявити послідовності байтів, які майже (але не повністю) збігаються із шуканими. Неточна відповідність може свідчити про наявність штаму відомого вірусу, і при відображенні звіту про зараження вірусами IBM AntiVirus повідомляє, що файл або завантажувальний запис можуть бути інфіковані. Вам буде надана можливість видалення всіх подібних вірусів. Цей спосіб дозволяє програмі IBM AntiVirus виявити й правильно ідентифікувати цілий ряд нових варіантів вірусу. Однак при відсутності додаткових заходів це «неточний збіг» може привести до помилкових сигналів тривоги. IBM AntiVirus забезпечує високу надійність ідентифікації вірусів. Для цього використається вдосконалений метод усунення помилкових сигналів тривоги.

15 лютого 1996 року компанія Microsoft оголосила, що користувачі Windows 95 повинні проявляти обережність при завантаженні на свій комп'ютер програм з Internet і он-лайнових служб, тому що з'явився перший вірус, що заражає програми для Windows'95. Дискети також можуть служити переносником вірусу. За даними компанії Symantec, вірус має австралійське походження й вражає 32-розрядні виконувані файли, що. Вірус одержав відразу два найменування: Boza і Bizateh. 7 лютого стало відомо про другий вірус для Windows'95, що получили назву Chavez.

Функції IBM AntiVirus не обмежуються виявленням уже відомих вірусів. За допомогою евристичного аналізу ця програма виявляє також і раніше невідомі віруси. Вона веде пошук комбінацій змін у файлах, а також характеристик програм, типових для більших груп відомих вірусів DOS. При виявленні факторів, що відповідають даним критеріям, IBM AntiVirus при відображенні звіту про зараження вірусами повідомляє про ці файли й завантажувальні записи як про «підозрілий». Вам буде надана можливість видалення/перезапису подібних підозрілих файлів. Якщо IBM AntiVirus виявляє об'єкт, що нагадує який-небудь відомий вірус, то перевіряється кожний релевантний байт цього вірусу. У такий спосіб визначається, що це дійсно саме цей вірус. Ця перевірка має дуже велике значення. Якщо можна із упевненістю затверджувати, що це той самий вірус, то найчастіше цей файл або завантажувальний запис можна досить надійно дезінфікувати. Якщо ж виявилося, що це інший вірус, то не виключено, що він змінив файл або завантажувальний запис самим несподіваним образом. Спроба його знешкодження може викликати ушкодження файлу або завантажувального запису. IBM AntiVirus не вживає спроб дезінфекції, якщо це може викликати ушкодження файлів або завантажувальних записів. Замість цього програма надає вам можливість видалення/перезапису інфікованих файлів і завантажувальних записів. У тих випадках, коли дезінфекція могла викликати ушкодження файлів, але цього не відбулося, IBM AntiVirus відзначає цей факт у файлі реєстрації, створюваному в ході вашого сеансу IBM AntiVirus. Потім ви можете більш ретельно обстежувати ці програми й визначити, чи треба їх відновлювати з резервних копій. Якщо програма IBM AntiVirus виявляє вірус під час початкової вибіркової перевірки, вона може обстежувати всю систему. При цьому перевіряються всі (навіть незмінені) файли на всіх локальних жорстких дисках і надається можливість знищення знайдених вірусів.

VIRUSCAN/CLEAN-UP

VIRUSCAN/CLEAN-UP- це пакет антивірусних програм компанії McAfee Associates. Програма VIRUSCAN виявляє віруси й передає докладну інформацію програмі CLEAN-UP, що здійснює лікування.

VIRUSCAN виявляє близько 3000 відомих вірусів і їхніх модифікацій. VIRUSCAN перевіряє partition table жорсткого диска (Master Boot Record), DOS Boot Sector, виконувані файли, включаючи системні, і файли з будь-якими іншими розширеннями.

Крім того, VIRUSCAN виявляє невідомі віруси. У першу чергу VIRUSCAN перевіряє підозрілі зміни, які відбулися з файлами з моменту останньої перевірки. VIRUSCAN зберігає інформацію про контрольні суми файлів, розмірах і ін. Далі VIRUSCAN робить пошук нових класів вірусів, аналізуючи код файлів на предмет характерних для вірусів операцій. VIRUSCAN здатний знайти й вірус-мутант (шифруючий свій код), використовуючи алгоритми статистичного аналізу, евристичного аналізу й дизасемблювати код.

Інфікований файл може бути знищений, якщо VIRUSCAN запущений із ключем /D, або очищений від вірусу програмою CLEAN-UP.

3. Правила виживання для користувача

- Перед запуском переписаної десь програми на своєму комп'ютері перевірте її всіма наявними у вас антивірусними програмами.

- Якщо не виникає необхідність щось записувати на дискету - заблокуйте можливість запису на неї. Якщо при роботі із захищеною дискетою, з якої інформація тільки зчитується, на екрані з'явилося повідомлення «Write protect error writing drive А:» (Помилка захисту при записі на диск А:) - ваша машина швидше за все заражена.

- Позичайте свої програми тільки на робочій дискеті, а після її повернення - безжалісно форматуйте.

- Якщо ви хочете перевірити ваш комп'ютер на віруси, завантажитеся із захищеної дискети, що містить всі необхідні антивірусні програми.

- Регулярно робіть резервні копії ваших файлів.

- Припиняйте всі спроби скористатися дисководом вашого комп'ютера.

- Стежите за повідомленнями про незвичайні помилки - вони можуть свідчити про появу вірусу.

- Використайте тільки офіційні версії антивірусних програм.

- Використайте тільки ліцензійне програмне забезпечення.

- Звертайте особливу увагу на ігрові програми. Вони основний рознощик зарази.

Якщо ви переписали програму з піратського компакт-диску, гарантії, що вона не містить вірусу, немає. Обов'язково перевірте її антивірусною програмою.

4. Короткий опис деяких вірусів, що зустрічаються

Це просто цікава інформація. Цей параграф добре читати ввечері вдома за чашкою чаю. Почитайте, і можливо, що описані тут симптоми нагадають вам щось із дивного поводження вашого комп'ютера. Або ви організуєте партію боротьби із забрудненням комп'ютерного середовища GreenPC. Або зрозумієте, що принципово нового вірусу написати ніколи не зможете, а повторювати когось - безглуздо.

ВІРУС AIRCOP

Назва: Aircop

Класифікація: Вірус, що вражає завантажувальний запис дискети

Довжина вірусу: Завантажувальний запис і один додатковий сектор жорсткого диска або дискети

Поводження: При початковому завантаженні із заражений ний дискети вірус поміщає себе на згадку й заражає дискети, використовувані надалі в дисководах А: і В:. При зараженні приблизно кожної восьмої дискети вірус видає повідомлення «RED STATE Germ offensing - Aircop» (очевидно, це спроба сказати «Бойова готовність, вірусна атака»).

ВІРУС APRIL 1ST СОМ

Назва: April 1st СОМ

Синоніми: April 1st, sURIV 1.01

Сімейство вірусів: 1813

Класифікація: Резидентний вірус, що заражає Сомів-файли

Довжина вірусу: Приблизно 381 байт

Поводження: Коли виконується заражена програма, цей вірус завантажується на згадку, і будь-який Сом-файл, що запускає після цього, стає зараженим. Якщо поточна дата - 1-і квітня будь-якого року, то при наявності вірусу в пам'яті запуск будь-якої програми викличе появу повідомлення «APRIL 1ST НА НА НА YOU HAVE A VIRUS» і зависання машини. Якщо поточна дата- після 1 квітня 1988 р., то при запуску будь-якої програми виводиться повідомлення «YOU HAVE A VIRUS». Тому що зараження цим вірусом занадто очевидно, то, імовірно, він є вимерлим.

ВІРУС AZUSA

Назва: Azusa

Класифікація: Бутовий вірус, що вражає дискети й жорсткі диски

Довжина вірусу: Тільки завантажувальний запис

Поводження: Цей вірус вражає головний завантажувальний запис дискети й жорсткого диска. Іноді цей вірус обнуляє таблиці BIOS для Сомів-портів і портів принтера, роблячи в такий спосіб недоступними принтери й послідовні порти.

ВІРУС BOUNCING BALL

Назва: Bouncing Ball

Синоніми: Bouncing Dot, Italian, Ping-Pong, Vera Cruz

Сімейство вірусів: Bouncing Ball

Класифікація: Бутовий вірус, що вражає дискети й жорсткі диски

Довжина вірусу: Приблизно 975 байтів

Поводження: Цей вірус вражає неголовний завантажувальний запис на дискетах і розділах жорстких дисків. Іноді після початкового завантаження малює на екрані стрибучу крапку.

ВІРУС BRUNSWICK

Назва: Brunswick

Класифікація: Резидентний бутовий вірус, що вражає головний завантажувальний запис дискет і жорстких дисків

Довжина вірусу: Завантажувальний запис і один додатковий сектор жорсткого диска або дискети

Поводження: При завантаженні із зараженої дискети цей вірус вражає перший фізичний жорсткий диск системи. При завантаженні із зараженого жорсткого диска або дискети, вірус міститься на згадку й заражає дискети, використовувані надалі в дисководах А: і В:. При завантаженні із зараженого жорсткого диска він іноді поміщає в головний завантажувальний запис випадкові дані, роблячи в такий спосіб диск, який не завантажується. Крім того, до даних на диску після цього неможливо одержати доступ без технічного втручання. У деяких системах вірус записує поверх даних користувача й, можливо, частини таблиці розміщення файлів, коли він робить збереження вихідного завантажувального запису в області даних на жорсткому диску.

ВІРУС DataCrime II

Назва: DataCrime II

Синоніми: 1514, Columbus Day

Сімейство вірусів: DataCrime

Класифікація: Нерезидентний вірус, що заражає СОМ- і Ехе-файли IBM DOS

Довжина вірусу: 1514 байтів у заражених Сомах-файлах; кілька додаткових байтів, що заповнюють, у заражених Ехе-файлах.

Поводження: Цей вірус поширюється серед СОМ- і Ехе-файлів. Якщо заражена програма виконується між 13-м жовтня й 31-м грудня (включно) будь-якого року, вірус відображає повідомлення «* DATACRIME II VIRUS» і стирає дані із частини жорсткого диска, роблячи їх у такий спосіб недоступними.

ВІРУС KEYPRESS

Назва: Keypress

Синонім: Turku

Класифікація: Резидентний вірус для СОМ- і Ехе-файлов IBM DOS

Довжина вірусу: Приблизно 1232 байтів

Поводження: Коли виконується заражений файл, вірус поміщає себе на згадку. Якщо поточна версія DOS - 3.0 або більше пізня, то вірус заражає всі файли, виконувані надалі. Якщо поточна версія DOS - більше рання, чим 3.0, він заражає всі відчиняючі файли, що (за винятком системних) з розширеннями СОМ і ЕХЕ. Кожні десять хвилин вірус викликає імітування натискання клавіш протягом 2 секунд і ефект «залипання» клавіш.

ВІРУС MICHELANGELO

Назва: Michelangelo

Класифікація: Вірус, що вражає головний завантажувальний запис дискет і жорстких дисків

Довжина вірусу: Завантажувальний запис і один додатковий сектор жорсткого диска або дискети

Поводження: При завантаженні з дискети вірус вражає головний завантажувальний запис першого жорсткого диска (якщо такий є) і поміщає себе на згадку. При завантаженні із зараженого жорсткого диска він тільки поміщає себе на згадку. Поки вірус перебуває в пам'яті, використовувані в дисководі А: дискети стають зараженими. Якщо поточна дата - 6 березня, то при завантаженні з інфікованого диска або дискети вірус перезаписує області завантажувального диска, заповнюючи їхніми випадковими даними.

ВІРУС TEQUILA

Назва: Tequila

Класифікація: Резидентний вірус, що інфікує файли ЕХЕ й головний завантажувальний запис на жорсткому диску в системі IBM DOS.

Довжина вірусу: Приблизно 2470 байтів

Поводження: При виконанні інфікованого файлу заражається головний завантажувальний запис на першому ж жорсткому диску. При завантаженні системи з інфікованого жорсткого диска вірус поселяється в пам'яті й вражає всі виконувані згодом файли ЕХЕ. Цей вірус відображає на екрані монітора набір «Mandelbrot» з низькою розв'язною здатністю (округла колірна пляма). Цей вірус має цілий ряд складних, але, як правило, нецікавих властивостей. Наприклад, файли з певними іменами не заражаються; вірус інфікує кожний файл небагато по-різному, щоб його сутужніше було виявити й т.д. Однак виявлення цього вірусу не становить праці.

ВІРУС VACSINA

Назва: VACSINA

Сімейство: TPxxVIR вірусів

Класифікація: Резидентний вірус, що перетворить файли ЕХЕ й вражає файли СОМ у системі IBM DOS

Довжина вірусу: Приблизно 1206 байтів

Поводження: Цей вірус перетворить файли формату ЕХЕ у формат СОМ, а також інфікує файли формату СОМ. Вірус стає резидентним після виконання першого зараженого файлу й перетворить/інфікує файли, виконувані згодом. Не виключено, що при інфікуванні файлів система буде подавати звуковий сигнал

Список використаної літератури

1. Львов И. Б., Казеева Г. Г., Морев И. А. Информатика часть 2 - Владивосток 2001 г.

2. Симонович С., Евсеев Г., Алексеев А. Общая информатика. - М., 1998.

3. Степанов А. Н. Информатика 3-е издание СПб.: Питер, 2002. - 608 с.

4. Леонтьев В. Современная энциклопедия персонального компьютера 5-е издание, «Олма-Прес» , 2003 г.

5. http://www.BankReferatov.ru