Компьютерные вирусы и антивирусные средства

Компьютерный вирус — это программа, ориентированная на существование и размножение в файле за счет его несанкционированного изменения, т.е. заражения, а также выполнения нежелательных действий на компьютере. Она может размножаться, внедряясь в другие программы во время запуска инфицированной программы на выполнение. Действие вируса может быть разрушительным или проявляться в виде помехи.

Вирус начинает вредить или сразу же после внедрения (загрузки в память инфицированной программы), или при наступлении определенного события.

Первые случаи заражения были обнаружены в 1987 г., и в настоящее время насчитываются сотни тысяч вирусов.

Действия вирусов могут проявляться следующим образом:

уменьшается объем доступной оперативной памяти;

изменяются размеры, содержание и количество файлов;

изменяется дата и время модификации файлов;

замедляется работа компьютера;

на экран выводятся непредусмотренные сообщения и изображения или подаются непредусмотренные звуковые сигналы;

неправильно работают прикладные программы;

происходят частые «зависания» и сбои компьютера;

и др.

Компьютерные вирусы можно классифицировать по различным признакам.

По среде обитания вирусы делятся на следующие:

сетевые — распространяются по компьютерным сетям (в настоящее время это наиболее распространенный тип вирусов, которые передаются чаще всего в виде присоединенных файлов почтовых сообщений);

файловые — заражают программные файлы;

загрузочные — внедряются в загрузочный сектор диска или в сектор, содержащий программу загрузки системного диска;

файлово-загрузочные — заражают как файлы, так и загрузочные сектора дисков;

макровирусы — заражают файлы документов офисных пакетов (в частности, Microsoft Office), которые используют возможности макроязыков.

Макровирусы являются разновидностью скрипт-вирусов, которые привязаны к каким-либо «встроенным» языкам программирования.

По способу запуска (заражения) вирусы делятся на следующие:

резидентные, остающиеся после завершения выполнения инфицированной программы в оперативной памяти до выключения или перезагрузки компьютера, выполняя при этом разрушительные действия и многократно заражая программные файлы;

нерезидентные, запускающиеся на выполнение после загрузки инфицированной программы однократно (активные непродолжительное время) и не заражающие память компьютера.

По степени воздействия вирусы делятся на следующие:

неопасные — уменьшают память, дают звуковые или графические эффекты, но не мешают работе компьютера;

опасные — приводят к нарушениям в работе компьютера;

очень опасные — уничтожают данные, стирают информацию в системной области диска.

По способу маскировки вирусы делятся на следующие:

самошифрующиеся — имеют большую часть вируса в зашифрованном виде;

невидимые («стелс-вирусы») — присутствуют в оперативной памяти или в программах, но обнаружить и обезвредить их очень трудно, так как они перехватывают обращения операционной системы к пораженным файлам и секторам дисков и подставляют вместо своего тела незараженные участки диска. Эти вирусы могут удалить свое тело из файла-вирусоносителя при его чтении с диска или вместо истинного размера файла, увеличенного вследствие внедрения вируса в этот файл, выдать уменьшенный (оригинальный) размер инфицированного файла;

мутирующие — со временем автоматически видоизменяются (мутируют), что затрудняет их поиск, обнаружение и разработку антивирусных средств;

не маскирующиеся.

Существуют также квазивирусные программы, которые так же, как и вирусы, наносят вред, но отличаются способом распространения. К ним можно отнести троянские программы и программы репликаторы («черви»).

Троянские программы («трояны», «троянцы», «троянские кони») маскируются под программы или игры, при запуске которых дополнительно производят запрограммированные в них действия. Основное отличие их от вирусов в том, что вирусы самодостаточны, а трояны должны «связываться» со своим автором. Сегодняшние троянцы воруют пароли для доступа в Интернет и другую конфиденциальную информацию (пароли, номера кредитных карт и т.п.) и пересылают ее «хозяину» либо устанавливают различные сервера для удаленного доступа. В Интернете легко подцепить «троянские звонилки», которые автоматически звонят на номера, за «разговор» по которым абонент платит дополнительные деньги.

Программы-репликаторы («черви») распространяются по компьютерным сетям, вычисляют адреса сетевых компьютеров и записывают по этим адресам свои копии. Сами они разрушительных действий не производят, но они могут размножаться без внедрения в другие программы и иметь «начинку» из компьютерных вирусов.

Основными источниками заражения вирусами и вирусоподобными программами являются электронная почта, Интернет, локальная сеть, накопители (flash, диски).

Существуют три меры защиты от компьютерных вирусов:

– профилактика — перекрытие путей проникновения, исключение возможности заражения;

– диагностика — обнаружение вирусов;

– лечение — удаление вирусов и восстановление поврежденных файлов.

Главные направления профилактики заражения вирусами:

1. Периодическая проверка дисков на наличие вирусов с использованием свежих версий антивирусных программ.

2. Проверка поступающих извне данных.

3. Копирование информации и жесткое разграничение доступа.

Для предотвращения заражения, диагностики и лечения (ликвидации последствий заражения вирусом) предназначены антивирусные программы.

Хорошая антивирусная программа должна обладать следующими возможностями:

обеспечивать эффективную защиту в режиме реального времени. Резидентная часть (монитор) программы должна постоянно находиться в оперативной памяти и производить проверку всех файловых операций (при создании, редактировании, копировании файлов, запуске их на исполнение), сообщений электронной почты, данных и программ, получаемых из Интернета;

позволять проверять все содержимое локальных дисков «по требованию», запуская проверку вручную или автоматически по расписанию;

защищать ваш компьютер даже от неизвестных вирусов: программа должна включать в себя технологии поиска неизвестных вирусов, основанные на принципах эвристического анализа;

уметь проверять и лечить архивированные файлы;

давать возможность регулярно (ежедневно!) обновлять антивирусные базы.

При обнаружении вируса антивирусная программа (в зависимости от настройки) производит следующие действия:

только выдает отчет;

лечит зараженные файлы (если вылечить невозможно, то удаляет зараженные файлы либо перемещает зараженные файлы или запрашивает пользователя о дальнейших действиях);

сразу удаляет зараженные файлы.

Рекомендуется устанавливать режим — «лечить зараженные файлы; если вылечить невозможно, запрашивать пользователя о дальнейших действиях».

Среди антивирусных средств можно отметить: MSAV фирмы Microsoft, VirusScan от фирмы McAfee, Norton Antivirus от Symantec, NOD32 от Eset, AIDSTEST Д. Лозинского, Doctor Web (Dr.Web) И. Данилова и В. Лутовинова, AntiViral Toolkit Pro (AVP) и AVP for Novell NetWare (AVPN) Е. Касперовского и другие. «Вирусные базы» этих программ постоянно обновляются.

Разрабатываются также специальные антитроянские утилиты, как, например: Trojan Remover от компании Simply Super Software и Tauscan от компании Agnitum.

В качестве примера возможностей антивирусных программ можно привести следующие.

Программа Norton AntiVirus автоматически защищает от вирусов, злонамеренных программ ActiveX, апплетов Java при пользовании Internet и работе с дискетами, CD или сетью, проверяет входящие приложения в самых распространенных программах электронной почты, обнаруживает вирусы и лечит сжатые файлы. Norton AntiVirus 2003 автоматически удаляет опасные программные коды, а также защищает от вирусов вложения в сообщениях и электронных письмах, гарантирует максимальный уровень безопасности благодаря возможности постоянного автоматического обновления антивирусных баз и созданию всесторонней защиты пользователей от проникновения опасных программных кодов.

Программа Norton AntiVirus обеспечивает:

поиск и уничтожение десятков тысяч известных вирусов;

поиск и уничтожение макровирусов и полиморфных вирусов (мутантов);

обнаружение неизвестных вирусов и некоторых «троянских» модулей;

бесплатное ежемесячное обновление вирусных баз;

постоянный контроль проникновения вирусов и вирусоподобной деятельности, выполняемый в фоновом режиме работы операционной системы;

проверку на вирус сетевых и сжатых дисков;

автоматическую проверку на вирус дискет, CD и DVD дисков, Flash-накопителей и т.п. при обращении к ним;

перехват сообщений и обработку электронной почты на полпути к почтовому ящику, а также проверку исходящей почты;

и др.

Программа Norton AntiVirus распространяется и как отдельная программа и в составе известных утилитных пакетов от Symantec: Norton System Works и Norton Internet Security Professional.

Компания ESET — международный разработчик программного обеспечения в области компьютерной безопасности, предлагает антивирусные решения семейства NOD32 для защиты компьютеров, серверов и сетей от широкого круга угроз, связанных с вредоносным кодом: включая вирусы, троянские программы (трояны), черви, шпионские программы, рекламные программы, phishing-атаки, руткиты.

Среди других ведущих антивирусных пакетов NOD32 отличается малым использованием системных ресурсов. Имеет очень мощный эвристический анализатор, позволяющий с большой точностью выявлять неизвестные вирусы, а также не менее мощный и надежный встроенный виртуальный эмулятор для обнаружения полиморфных вирусов.

Некоторые производители антивирусных программ выпускают утилиты, позволяющие производить проверку и лечение без установки антивирусной программы или отдельные модули-сканеры, блокирующие подозрительные файлы на подключаемых устройствах. Например, утилита Dr.Web CureIt! на основе сканера Dr.Web — быстро и эффективно проверяет и лечит без установки антивируса Dr.Web. Она содержит самый последний набор дополнений к вирусной базе Dr.Web и обновляется один или несколько раз в час. Dr.Web CureIt! определяет и удаляет:

почтовые и сетевые черви;

файловые вирусы;

троянские программы;

стелс-вирусы;

полиморфные вирусы;

макро- и скрипт-вирусы;

программы-похитители паролей;

программы-дозвонщики;

рекламное ПО;

потенциально опасное ПО;

хакерские утилиты;

программы-шутки;

и др.

3.6 Оболочки операционных систем, их назначение,
виды, функциональные возможности

Оболочки операционных систем — это программы, облегчающие работу пользователя с файлами и папками (каталогами) и предоставляющие ему ряд дополнительных сервисных услуг. Поскольку производимые с их помощью операции являются действиями над элементами файловой системы, их иногда называют файловыми менеджерами или файловыми диспетчерами.

Основные возможности большинства оболочек ОС следующие:

просмотр содержимого папки (диска) в различных форматах;

вывод информации о скрытых файлах и папках;

сортировка и фильтрация информации о содержимом папки (диска);

просмотр структуры диска (дерева папок);

переименование, копирование, пересылка, удаление и быстрый поиск файлов;

просмотр, создание, сравнение и синхронизация каталогов;

просмотр, создание и редактирование текстовых файлов;

архивация, обновление и разархивация архивных файлов, просмотр архивов;

слияние файлов;

работа с сетью;

запуск программ и создание пользовательских меню запуска.

Примерами оболочек ОС являются следующие программы: Norton Commander, Norton Navigator, NC for Windows, DOS Navigator, PC Shell, PowerDesk, FAR, Windows Commander, Windows Explorer (Проводник), ДИСКо Командир и др. При всем многообразии эти программы можно разделить на две большие группы. В первую входят программы, подобные программе «Проводник» с добавлениями некоторых полезных функций. Вторая группа представлена программами, имитирующими интерфейс самого популярного файлового менеджера прошлых лет — Norton Commander.

Программы первой группы популярны на Западе. Примером такой программы может служить PowerDesk, входящая в комплект утилит фирмы Mijenix. Большинство же пользователей «постсоветского пространства» отдают предпочтение файловым менеджерам второй группы. Эти программы позволяют видеть файлы и каталоги на двух панелях, которые идентичны по своим функциям, т.е. можно одновременно просматривать содержимое двух папок. Операции над файлами и каталогами в них производятся с помощью команд меню, функциональных клавиш и мыши. Кроме этого, оболочки типа «нортона» имеют командную строку, которую можно использовать для выполнения некоторых операций.

Рассмотрим функциональные возможности оболочек ОС на примере программы Total Commander (ранее Windows Commander) версии 6.50.

Total Commander — это классический двухпанельный файл-менеджер с графическим интерфейсом, выпускаемый компанией Christian Ghisler.

Кроме двух рабочих панелей, интерфейс Total Commander (рис. 3.6) содержит Панель инструментов, Панель с кнопками дисков «drive buttons», Окно выбора диска, Панель информации о выбранном диске, Строку состояния, Командную строку, Кнопки функциональных клавиш, которые при необходимости можно отключать.

Рис. 3.6. Окно программы Total Commander

Помимо основных возможностей, перечисленных выше, Total Commander выполняет следующие функции:

предоставляет возможность смены языка интерфейса;

поддерживает длинные имена файлов;

поддерживает стандартный набор архиваторов (ZIP, ARJ, LHA и RAR), а также архиваторы UC2 и ACE. Содержимое архивов показывается в виде каталогов, файлы которых можно просмотреть или даже запустить. Возможен просмотр самораспаковывающихся архивов;

поддерживает удаление в Корзину или минуя ее (при нажатой клавише <Shift>);

поддерживает Контекстное меню и технологию «Drag&Drop»;

содержит полнофункциональный встроенный FTP-клиент;

содержит программу просмотра Lister, которая позволяет не только просматривать текстовые файлы, но и работать с HTML страницами, просматривать рисунки, прослушивать аудио-файлы (для просмотра файлов других форматов можно использовать внешние программы);

позволяет производить настройку цветов (можно выбрать любые цвета палитры для панелей, текста, выделенных файлов и директорий, курсора и текста под ним) и шрифтов, используемых в рабочих и служебных панелях, а также изменить размер иконок на панелях;

предоставляет функции обмена данными между двумя компьютерами, сравнения файлов, синхронизации директорий и др.

Total Commander поддерживает как «нортоновские», так и «виндовские» комбинации «горячих клавиш» и способы проведения некоторых операций. Например, операцию копирования можно производить при помощи клавиши <F5> либо комбинациями <Ctrl>+<C> <Ctrl>+<V>. Эту же операцию можно провести используя Контекстное меню или технологию «Drag&Drop»;

Операции выделения файлов и каталогов и поиска внутри каталога также осуществляются как «нортоновскими», так и «виндовскими» методами.

Архивация

Цель архивации — обеспечение более компактного размещения информации на диске, а также сокращение времени и соответственно стоимости передачи информации по каналам связи в компьютерных сетях. Кроме того, архивация существенно упрощает перенос информации с одного компьютера на другой, сокращает время ее копирования на внешние носители, позволяет защитить информацию от несанкционированного доступа, способствует защите от заражения компьютерными вирусами.

Основная особенность архивации — это сжатие информации, т.е. преобразование ее к виду, при котором уменьшается избыточность в ее представлении и соответственно требуется меньший объем памяти для хранения.

Сжиматься могут как один, так и несколько файлов, которые в сжатом виде помещаются в один так называемый архивный файл или архив, откуда их можно извлечь в первоначальном виде.

Архивный файл (архив) — это специальным образом организованный файл, содержащий в себе один или несколько файлов в сжатом или несжатом виде и служебную информацию об именах файлов, дате и времени их создания или модификации, размерах и т.п.

Процесс записи файлов в архивный файл называется архивацией (архивированием, упаковкой), а извлечение файлов из архива — разархивацией (разархивированием, распаковкой).

Степень сжатия файла при архивировании зависит от его формата. Некоторые форматы (например, графические) предполагают сжатие, выполняемое программами, создающими файлы данных типов, и поэтому при архивации не уменьшаются в размере. Лучше всего при архивации сжимаются текстовые файлы и файлы баз данных, меньше сжимаются файлы исполняемых программ и загрузочных модулей. На степень сжатия также влияет метод сжатия.

Кроме обычных архивных файлов, можно создавать непрерывные, многотомные и самораспаковывающиеся архивы, а также их комбинации, например: многотомные самораспаковывающиеся, многотомные непрерывные и т.д.

Непрерывный (Solid) архив — это архив, запакованный специальным способом, при котором все сжимаемые файлы рассматриваются как один последовательный поток данных.

Непрерывная архивация значительно увеличивает степень сжатия, особенно при добавлении большого количества маленьких похожих файлов. Однако при этом существуют и недостатки:

существующие непрерывные архивы обновляются медленнее, чем обычные;

зашифрованные непрерывные архивы невозможно изменять;

для извлечения одного файла из непрерывного архива необходимо проанализировать все предыдущие заархивированные файлы, поэтому извлечение отдельных файлов из середины непрерывного архива происходит медленнее, чем извлечение из обычного архива. Однако если из непрерывного архива извлекаются все или несколько первых файлов, то в этом случае скорость распаковки практически такая же, как и с обычными архивами;

если в непрерывном архиве какой-либо файл окажется поврежденным, то не удастся также извлечь и все файлы, следующие после него. Поэтому при сохранении непрерывного архива на ненадежном носителе рекомендуется добавлять информацию для восстановления.

Непрерывные архивы лучше использовать в тех случаях, когда:

архив редко обновляется;

нет необходимости часто извлекать из архива один или несколько файлов;

архивируется один большой файл;

степень сжатия важнее скорости сжатия.

Файлы в непрерывных архивах обычно отсортированы по расширению, однако порядок сортировки можно изменить.

Многотомные архивы — это архивы, состоящие из нескольких частей (томов). Обычно тома используются для сохранения большого архива на нескольких дискетах или других сменных носителях.

Первый том в последовательности имеет обычное стандартное расширение программы-архиватора, а расширения последующих томов — первую букву расширения архиватора и порядковый номер.

Файлы в существующих томах невозможно добавлять, обновлять или удалять.

Самораспаковывающийся (SFX, от английских слов SelF-eXtracting) архив — это архив, к которому присоединен исполнимый модуль. Этот модуль позволяет извлечь файлы, просто запустив архив как обычную программу. Таким образом, для извлечения содержимого SFX-архива не требуется дополнительных внешних программ. SFX-архивы, как и любые другие исполнимые файлы, обычно имеют расширение.EXE, но с ними можно работать так же, как и с любым другим архивом.

SFX-архивы удобны в тех случаях, когда нужно передать кому-то архив, но вы не уверены, что у адресата есть соответствующий архиватор для извлечения файлов.

Многотомные и самораспаковывающиеся архивы также могут быть непрерывными.

Программы, осуществляющие архивацию/разархивацию файлов, называют программы-архиваторы.

Программы-архиваторы можно сравнивать по следующим основным параметрам: интерфейс, методы сжатия (определяющие степень сжатия файлов), типы создаваемых архивов, скорость работы, поддержка форматов других архиваторов.

При создании архива программа-архиватор автоматически присваивает архивному файлу «свое» расширение, например, zip, rar и др.

Управление программой-архиватором осуществляется одним из следующих способов:

1. с помощью командной строки;

2. с помощью встроенной оболочки и диалоговых панелей, позволяющих вести управление с использованием меню и функциональных клавиш.

3. с помощью комбинаций функциональных клавиш в операционных оболочках, которые, как правило, могут предложить на выбор несколько DOS-программ архивации или собственный архиватор оболочки.

4. с помощью элементов графического интерфейса.

Несмотря на множество программ-архиваторов, современный пользователь, как правило, реально работает с двумя форматами архивов: ZIP и RAR.