Реферат: Компьютерные вирусы
/>
Компьютерныевирусы и их методы классификации
Компьютерный вирус – этонебольшая вредоносная программа, которая самостоятельно может создавать своикопии и внедрять их в программы (исполняемые файлы), документы, загрузочныесектора носителей данных.
Известно много различных способовклассификации компьютерных вирусов.
Одним из способов классификациикомпьютерных вирусов – это разделение их по следующим основным признакам:
среда обитания
особенности алгоритма
способы заражения
степень воздействия(безвредные, опасные, очень опасные)
В зависимости от средыобитания основными типами компьютерных вирусов являются:
Программные (поражаютфайлы с расширением. СОМ и.ЕХЕ) вирусы
Загрузочные вирусы
Макровирусы
Сетевые вирусы
Программные вирусы – это вредоносный программный код,который внедрен внутрь исполняемых файлов (программ). Вирусный код можетвоспроизводить себя в теле других программ – этот процесс называетсяразмножением.
По прошествииопределенного времени, создав достаточное количество копий, программный вирусможет перейти к разрушительным действиям – нарушению работы программ иоперационной системы, удаляя информации, хранящиеся на жестком диске. Этотпроцесс называется вирусной атакой.
Загрузочные вирусы – поражают не программные файлы, азагрузочный сектор магнитных носителей (гибких и жестких дисков).
Макровирусы – поражают документы, которыесозданы в прикладных программах, имеющих средства для исполнения макрокоманд. Ктаким документам относятся документы текстового процессора WORD, табличногопроцессора Excel. Заражение происходит при открытии файла документа в окнепрограммы, если в ней не отключена возможность исполнения макрокоманд.
Сетевые вирусы пересылаются с компьютера накомпьютер, используя для своего распространения компьютерные сети, электроннуюпочту и другие каналы.
По алгоритмам работыразличают компьютерные вирусы:
Черви (пересылаются скомпьютера на компьютер через компьютерные сети, электронную почту и другиеканалы)
Вирусы-невидимки(Стелс-вирусы)
Троянские программы
Программы – мутанты
Логические бомбы
И другие вирусы.
В настоящее время кнаиболее распространенным видам вредоносных программ, относятся: черви, вирусы,троянские программы.
Признакизаражения ПК вирусом
Желательно не допускатьпоявление вирусов в ПК, но при заражении компьютера вирусом очень важно егообнаружить.
Основные признаки появлениявируса в ПК:
медленная работакомпьютера
зависания и сбои в работекомпьютера
изменение размеров файлов
уменьшение размерасвободной оперативной памяти
значительное увеличениеколичества файлов на диске
исчезновение файлов икаталогов или искажение их содержимого
изменение даты и временимодификации файлов
И другие признаки.
Способызащиты от компьютерных вирусов
Одним из основныхспособов борьбы с вирусами является своевременная профилактика.
Чтобы предотвратитьзаражение вирусами и атаки троянских коней, необходимо выполнять некоторыерекомендации:
Не запускайте программы,полученные из Интернета или в виде вложения в сообщение электронной почты безпроверки на наличие в них вируса
Необходимо проверять всевнешние диски на наличие вирусов, прежде чем копировать или открывать содержащиесяна них файлы или выполнять загрузку компьютера с таких дисков
Необходимо установитьантивирусную программу и регулярно пользоваться ею для проверки компьютеров.Оперативно пополняйте базу данных антивирусной программы набором файловсигнатур вирусов, как только появляются новые сигнатуры
Необходимо регулярносканировать жесткие диски в поисках вирусов. Сканирование обычно выполняетсяавтоматически при каждом включении ПК и при размещении внешнего диска всчитывающем устройстве. При сканировании антивирусная программа ищет вируспутем сравнения кода программ с кодами известных ей вирусов, хранящихся в базеданных
создавать надежныепароли, чтобы вирусы не могли легко подобрать пароль и получить разрешенияадминистратора. Регулярное архивирование файлов позволит минимизировать ущербот вирусной атаки.
Основным средством защитыинформации – это резервное копирование ценных данных, которые хранятся нажестких дисках
Существует достаточномного программных средств антивирусной защиты. Современные антивирусныепрограммы состоят из модулей:
Эвристический модуль –для выявления неизвестных вирусов
Монитор – программа,которая постоянно находится в оперативной памяти ПК
Устройство управления,которое осуществляет запуск антивирусных программ и обновление вирусной базыданных и компонентов
Почтовая программа(проверяет электронную почту)
Программа сканер –проверяет, обнаруживает и удаляет фиксированный набор известных вирусов впамяти, файлах и системных областях дисков
Сетевой экран – защита отхакерских атак
К наиболее эффективным ипопулярным антивирусным программам относятся: Антивирус Касперского 7.0, AVAST,Norton AntiVirus и многие другие.
Кто и зачем пишет вирусы
Общественноемнение таково: вирусы пишут либо аморальные хулиганы, либо студенты-дурачки. Впоследние годы к анализу проблемы подключились профессиональные социологи,психологи и юристы. И вот к каким выводам они пришли.
Всемножество авторов вирусов можно условно разделить на три большие группы.
Во-первых,это действительно так называемые студенты — молодые люди, стремящиеся ксамоутверждению. Самостоятельно разобраться в том, как работает вирус,непросто. Поэтому написание саморазмножающейся программы для«студента» сопряжено с творческим озарением и моральной победой надсобой. Студенческие вирусы, как правило, просты по устройству, неспособны кбыстрому распространению, а проявления их ограничиваются выдачей на экрансообщений типа «Профессор Иванов — дурак». «Студенты» — самый многочисленный отряд вирусописателей.
Во-вторых,это действительно хулиганы. Их цель — поскорей заявить о своей«крутизне», отомстить кому-нибудь или просто напакостить ближнему.«Творчество» этих аморальных личностей сводится к использованию давноизвестных вирусных алгоритмов, а подчас — просто автоматических вирусныхпрограмм-генераторов (есть и такие). Зато на разрушительные воздействияхулиганы не скупятся. К счастью, хулиганов на свете немного.
Наконец,третья группа — профессионалы. Это весьма квалифицированные программисты, поройи не такие уж юные. Ими движет стремление к познанию нового и азартинтеллектуального противодействия авторам антивирусных программ. Вирусы,создаваемые профессионалами, изощренны, используют малоизвестные особенностиоперационных систем, способны быстро и скрытно распространяться, а такжеболее-менее эффективно противодействовать попыткам обнаружения и удаления. Позамыслу, такие вирусы максимально незаметны, то есть безвредны. Авторыпрофессиональных вирусов часто даже и не выпускают их в «дикуюприроду», а сразу отправляют вирусологам или публикуют вспециализированных электронных журналах.
Встречаютсяи смешанные типы. Наиболее опасны для компьютерной общественностипрофессиональные хулиганы. Практически все вирусы, которые реальнораспространяются на пользовательских компьютерах, созданы представителями этойпсихологической группы. Таков, например, тайваньский студент Чен Инг Хау,написавший весной 1998 года вирус Win32.CIH.
Ксожалению, у него имеются и отечественные единомышленники. Хотя компьютерныйвирус по определению не является разрушительным, но некоторые господа, кажется,делают все, чтобы привести свои «творения» в соответствие с текстомстатьи. Ну что ж, мы с удовольствием ознакомимся с их впечатлениями олесоповале.
Чем опасен компьютерный вирус
Вопросне так прост, как может показаться на первый взгляд. Конечно, все мы прекраснопомним, к каким труднопоправимым последствиям может привести деятельность такихвирусов, как Win32.CIH (Чернобыльский). Но вместе с тем существуют вирусы,которые не несут в себе никаких деструктивных функций, а просто размножаются иперемещаются с одной машины на другую. К числу таких вирусов относятся хорошоизвестные самарским владельцам компьютеров Kaczor и OneHalf. Выходит, к нимможно относиться лояльно?
Конечно,нет! Прежде всего, вирус, заразив ваш компьютер, пользуется его ресурсами,«откусывая» часть оперативной памяти, замедляя работу обработчиковпрерываний и прочее. Во-вторых, даже самый аккуратно написанный безобидныйвирус не может быть полностью совместим со всеми программно-аппаратнымиконфигурациями, что может изредка приводить к неправильной работе отдельныхпрограмм, сбоям и тому подобное. (Впрочем, я лично наблюдал случаи, когда вирусжил в компьютере годами, оставаясь незамеченным.) Наконец прогресс не стоит наместе, условия меняются, и прекрасно совместимый с MsDos 3.30 и 286/40/EGAвирус, скорее всего, просто приведет к «вылету» приложения подWindows 95/98. И еще одна причина. Несколько лет назад известный болгарскийвирусолог Весселин Бончев провел полномасштабный анализ вопроса и пришел кпарадоксальному выводу. Оказывается, так называемые «безобидные»вирусы ежегодно наносят мировой экономике ущерб, исчисляемый сотнями миллионовдолларов, но в большинстве случаев потому, что пользователь, узнав о наличии усвоего компьютера вируса, начинает беспокоиться, прекращает работу и тратитмассу времени и денег на лечение. Отсюда следует очень простой вывод: вместотого чтобы лечить от вируса, лучше не допускать заражения.
Как бороться с вирусами
Существуетдва класса средств для борьбы с вирусами: организационные и технические.
Организационныеметоды направлены на предотвращение заражения компьютерным вирусом.
Можнопорекомендовать ряд простых и действенных мер. Внимательно следите запроисхождением всех новых программ и документов на вашем компьютере. Например,ни в коем случае не следует доверять таким источникам, как CD с пиратскимпрограммным обеспечением. Не секрет, что к широкому распространению в нашейстране печально знаменитого «импортного» вируса Win32.CIH (а такжевирусов TaiPan, Major, Burglar и другие) приложили свои «умелые руки»именно доморощенные пираты. Активно пользуйтесь такими возможностями, какшторка защиты от записи на дискете, режим «virus protection» в CMOSSETUP вашего компьютера и «галочка» защиты от исполнения макросов вWinWord 97. Сохранять и переносить WinWord-документы лучше в RTF-формате, еговирусы не заражают. Поставьте на файл NORMAL.DOT атрибут защиты от записи,большинство макровирусов не смогут заразить его и, значит, закрепиться на вашемкомпьютере.
Техническиеметоды направлены на обнаружение, блокирование и удаление вирусов.
Этиметоды предусматривают использование различных антивирусов. Наиболее известнытак называемые «фаги» — программы, предназначенные для поиска иизлечения известных вирусов, например DrWeb или AVP. Эффективно работают«инспектора» — программы, сохраняющие сведения о текущемпрограммно-аппаратном состоянии вашего компьютера и регулярно следящие за всемиизменениями, например AdInf. Большую пользу могут принести так называемые«мониторы», которые в резидентном режиме постоянно отслеживают иблокируют в процессе работы компьютера все вирусоподобные действия программ; кэтому классу можно отнести программу AVP Inspector. Редко встречаются ииспользуются преимущественно вирусологами «сканеры» — программы,способные анализировать код программ с целью отыскания неизвестных еще вирусов,например TBAV. Ряд антивирусных продуктов совмещает в себе различные функции,например: «фаги» DrWeb и AVP умеют также «сканировать»программы, а «монитор» AVP Inspector способен также«инспектировать» содержимое дисковой памяти.
Залогэффективной защиты от вирусов — в совместном применении организационных итехнических методов.
Какой антивирус лучше
Антивирусыпостоянно тестируются и сравниваются по различным формальным критериям. Порезультатам сравнений, выполненным различными тестовыми лабораториями, напервом месте оказывается то один, то другой антивирус. Относиться к этомуследует скептически, так как выводы типа «первый антивирус лучше второго»сильно зависят от списка критериев сравнения, номера анализируемой версииантивируса и от личных вкусов и предпочтений представителей тестовойлаборатории. Объективно же практически все имеющиеся на мировом рынкепрограммных продуктов современные антивирусы обладают примерно одинаковымипотребительскими качествами.
Однакопозволю себе поделиться мнением по вопросу, какой антивирус лучше. Мнение этовесьма субъективно, но основывается на многолетнем опыте работы с некоторымиантивирусами, на результатах самостоятельного тестирования качества их работы ина личном общении с некоторыми людьми, принимавшими участие в разработкеразличных антивирусных программ.
AidsTestДмитрия Лозинского. Имеется версия только для MsDos. Разработка и поддержкапрекращены осенью 1997 года. Морально устарел и не способен обнаруживать иизлечивать высокосложные вирусы. Обладает сверхвысокой скоростью сканированиядиска. Количество обнаруживаемых и излечиваемых вирусов невелико, но качествоих поиска и лечения очень высокое.
DrWebИгоря Данилова. Поддерживается и распространяется московской фирмой«ДиалогНаука». Имеются версии для MsDos и Windows. Очень популярен.Обладает удобным и красивым пользовательским интерфейсом. Содержит очень мощныймеханизм обнаружения новых вирусов, способный даже автоматически излечиватьнекоторые просто организованные новинки; вместе с тем в отдельных редкихслучаях может неправильно распознать и испортить якобы зараженную новинкойпрограмму. Количество известных и штатно излечиваемых вирусов сравнительноневелико, но набор их хорошо ориентирован на отечественную вирусную ситуацию.Отличается очень эффективными и изящными алгоритмами обнаружения и лечениявысокосложных вирусов, но может пропустить при поиске программу, заведомозараженную какой-нибудь неинтересной серостью. Обнаруженные ошибки и недостаткиисправляются с задержкой, иногда в течение нескольких месяцев (как, например, вслучае с некорректными процедурами обнаружения вирусов Kaczor и WM.Cap).Документация — каталог с описаниями излечимых вирусов — неполная. Обновлениявирусных баз происходят в среднем раз в месяц, обновления версий антивируса — несколько раз в год.
AVPЕвгения Касперского. Создается и распространяется командой «ЛабораторияКасперского». Имеются версии для MsDos и Windows. Умеренно популярен.Обладает удобным пользовательским интерфейсом. Не слишком уверенно обнаруживаетновые вирусы. Отличается сравнительно невысокой скоростью сканирования диска.Количество известных и штатно излечимых вирусов очень велико. Качество обнаруженияи излечения высокое, но бывают задержки до нескольких недель при анализе иразработке алгоритмов излечения для вновь обнаруженных вирусов. Ошибки инедостатки исправляются быстро. Документация характеризуется полнотой ивысокими потребительскими качествами (организована в виде гипертекста).Обновления вирусных баз происходят несколько раз в месяц, обновления версийантивируса — несколько раз в год.
Norton Antivirus (NAV) фирмы Symantec. Имеются версии дляWindows. Умеренно популярен. Обладает удобным пользовательским интерфейсом.Сочетает функции поиска новинок, обнаружения и удаления известных вирусов, атакже способен отслеживать подозрительные изменения в программно-аппаратнойконфигурации компьютера. Функция поиска новых вирусов весьма эффективна, но нередкоNAV видит новые вирусы там, где их нет. Количество обнаруживаемых и штатноизлечимых вирусов очень велико. Качество обнаружения и излечения высокое, нодля отдельных вирусов вместо исправления неоправданно предлагается удаление.Обновления вирусных баз происходят несколько раз в месяц.
Такжевесьма высокими потребительскими характеристиками обладают антивирусныепродукты от DrSolomon и McAffee, но в конце лета 1998 года произошло формальноеслияние этих фирм, и появится ли какая-нибудь новая антивирусная программа — пока неясно. Старые же практически не совершенствуются, хотя обновлениевирусных баз происходит регулярно.
Явысказал свое мнение по поводу ряда известных антивирусов, а выводы должнысделать сами читатели. Единственное, что я могу рекомендовать: никогда, ни прикаких условиях не пользуйтесь устаревшими (более чем на полгода) илималоизвестными антивирусами! В лучшем случае они просто ничего не найдут, вхудшем — испортят информацию на винчестере похлеще любого «троянца».
Уроки Чернобыльского вируса
Всевы, конечно, прекрасно помните, как 26 апреля 1999 года активизировался ипринес пользователям персональных компьютеров неисчислимые бедствия вирусWin32.CIH. По некоторым оценкам, в этот день вышел из строя каждый десятыйкомпьютер, на котором была установлена операционная система Windows 95/98.Можно ли было этого избежать? Конечно!
ВирусWin32.CIH получил известность еще весной 1998 года, когда тайваньский студентЧен Инг Хау разослал в ряд интернетовских эхо-конференций свое новое «творение».Вирус, живущий только в среде Windows 95/98, быстро распространился по миручерез Интернет. Россия же, как это принято у нас последние 80 лет, пошла своимпутем. У нас распространению вируса способствовали главным образом изготовителипиратских CD, которые обильно «засеяли» свою продукцию этим вирусом.Таким образом, входными воротами в Самару для этого вируса послужил нашипподром.
Win32.CIHпрекрасно обнаруживался и корректно лечился практически всеми современнымиантивирусами еще с лета 1998 года. Но по древней русской традиции, «покагром не грянет», мужик не запустит антивирус. Гром грянул 26 апреля 1999года.
Чтоже делает этот вирус в день памяти Чернобыльской трагедии? Его деструктивныепроявления состоят из двух этапов.
Напервом этапе вирус через механизм VxDCall обильно записывает на винчестерслучайную информацию, уничтожая содержимое Master Boot Record, Boot-сектора,обеих таблиц FAT и отдельных фрагментов данных.
Послеэтого вирус пытается записать «мусор» в Flash BIOS компьютера. Дело втом, что если раньше BIOS намертво «прошивался» в ПЗУ, то насовременных материнских платах он содержится в перезаписываемой flash-памяти.Под ударом оказались практически все компьютеры с материнскими платами,выпущенными после 1995 года. Конечно, на большинстве таких материнских платимеется перемычка защиты от записи… но положа руку на сердце, признайтесь — точно ли вы знаете, в каком положении она находится?
Итак,26 апреля 1999 года часть компьютеров просто перестала реагировать на включениепитания, а те, кому повезло, могли полюбоваться сообщением, что«загрузочный диск не найден».
Катастрофа?Конечно! Но все-таки не стоит паниковать.
Ещелетом прошлого года фирмы-производители BIOS'ов разработали стратегию борьбы сповреждениями, наносимыми Win32.CIH и ему подобными вирусами. Большинствоflash-BIOS'ов содержат фрагмент, не перезаписываемый ни при каких условиях, такназываемый Boot-блок. Этот фрагмент позволяет компьютеру произвести загрузку соспециально подготовленной дискеты, двоичный образ которой можно скачать наИнтернет-сайте фирмы производителя, например на www.award. com. Надотолько проследить, чтобы номер версии погибшего BIOS'а точно совпадал суказанным в read.me скачиваемого файла. Загрузившись с этой дискеты и запустивспециальную перезаписывающую программу, можно восстановить содержимоеflash-BIOS. Одна тонкость — Boot-блок не умеет инициализировать современныеPCI-видеокарты, и для того чтобы хоть что-то увидеть на дисплее компьютера впроцессе восстановления, вам надо временно заменить ее на старую ISA-карту.Говорят, что некоторые компьютерные фирмы Самары проделывают эту операцию заминимальную оплату.
Есливам удалось восстановить flash-BIOS, то это еще не означает, что вы сможетенемедленно начать работу на вашем компьютере. Скорее всего, системные областивашего винчестера сильно повреждены, и машина сможет загрузиться в лучшемслучае с дискеты. Частично восстановить информацию помогут программы Fdisk иUnformat из стандартного набора MsDos и программы DiskEdit и NDD из нортоновскихутилит. Крайне желательно, чтобы программа NDD умела поддерживать длинныеимена, то есть входила в состав Norton Utilities for Windows 95/98. Так как наодну загрузочную дискетку весь этот набор явно не поместится, лучше всегозаниматься «лечением», поставив винчестер вторым в пару к«здоровому».
Первымделом восстанавливаем код Master Boot Record при помощи команды Fdisk /mbr.Затем при помощи DiskEdit переносим в сектор 0/1/1 содержимое аналогичногосектора с какого-нибудь «здорового» винчестера. Перезагрузившисьпосле этого, мы видим, что «погибший» диск уже виден в спискедоступных, хотя и не читается. Запускаем NDD c ключом /rebuild. Это позволитперестроить таблицу размещения (Partition Table) главной загрузочной записи иисправить неправильные поля в вoot-секторе. Все, диск уже «живой», нов данных наблюдается месиво, поскольку таблицы размещения файлов (FAT) все ещеиспорчены. Теперь можно поступить двояко.
Во-первых,можно при помощи DiskEdit вручную синхронизировать содержимое обеих таблиц,либо имея перед глазами список повреждаемых вирусом секторов (который можнонайти в Интернете), либо сравнивая обе копии FAT визуально. Работа это сложная,долгая, но приводит в итоге к неплохим результатам. Удается восстановить до 90%информации.
Во-вторых,можно заново отформатировать винчестер или просто переразметить его при помощиFdisk со старыми параметрами. Данная операция очищает FAT-таблицы. После этогопрограммой Unformat в автоматизированном режиме можно попытаться восстановитьданные. Эта операция дает несколько худшие результаты, но не требует большихтрудовых затрат.
Итак,оказалось, что поражение вирусом Win32.СIH не так уж фатально, как это пытаютсяпредставить народная молва и некоторые падкие на сенсацию средства массовойинформации. Только не надо расслабляться: у вируса Win32.CIH существуют еще двемодификации (правда, гораздо меньше распространенные), которые активизируются26-го числа каждого месяца, а не только в апреле. Будьте бдительны!
Сам себе антивирус
Иногдавозникает ситуация, когда антивирус предупреждает о возможном присутствии навашем компьютере вируса, но не может его вылечить. Это обычно бывает, когда выпользуетесь слишком старой антивирусной программой. Не беда! Имея голову наплечах, в отдельных случаях можно обойтись и без антивируса. Рассмотримтипичные ситуации.
Антивируссообщает о наличии «заразы» в загрузочном секторе вашей дискеты.Просто сохраните информацию с дискеты на винчестере, отформатируйте дискету ископируйте информацию назад.
Болеесложный случай: антивирус «ругается» на загрузочный сектор вашеговинчестера. Загрузитесь с чистой дискеты и выполните команду fdisk/mbr — загрузочный сектор будет исправлен. Одно важное исключение: эту операцию ни вкоем случае нельзя производить при наличии на диске вируса OneHalf, посколькуон шифрует информацию на винчестере и, пока машина заражена, «налету» расшифровывает, так что пользователь не замечает этого. Формальноудалив вирус из загрузочного сектора без расшифровки данных, можно потерятьинформацию. Но вирус OneHalf легко опознать визуально, просмотрев нулевуюдорожку винчестера при помощи программы DiskEdit. Если несколько секторовзаполнены непонятным «мусором» и явственно выделяется надпись«Dis is one half», то лучше все-таки не рисковать.
Ещеслучай — вам прислали новый WinWord-документ, необходимо срочно работать с ним,а антивирусу он «не нравится». Выходим из Win-Word и удаляем файлNORMAL.DOT. При повторном запуске WinWord создаст новый, заведомо«здоровый». Для WinWord 6.0/7.0 в меню «Файл» выбираем«Шаблоны», потом «Организатор», потом «Закрытьфайл» и «Открыть файл». Выбираем в качестве рабочего шаблона«подозрительный» документ и, если в окошечке появляется списокмакросов, просто поочередно удаляем их всех при помощи кнопки«Удалить». Документ «здоров», с ним можно спокойноработать. Для WinWord 97 кнопку «Организатор» можно найти,последовательно выбирая пункты меню либо «Сервис»,«Макрос», «Макросы», либо «Сервис», «Шаблоныи надстройки». Дальше последовательность действий аналогична.
Выводы
Вотличие от авторов некоторых антивирусных публикаций, я не пытался напугатьчитателя или, наоборот, развлечь его. Также в мои задачи не входило склонитьчитателя к использованию какой-либо конкретной антивирусной программы.
Япопытался трезво и объективно рассмотреть проблему, показать, что вирус — этосерьезно, но не фатально, заставить читателя отнестись к компьютерным вирусамсерьезно и бороться с ними «не числом, но уменьем».
Взаключение несколько советов. Регулярно пользуйтесь свежими антивирусами. Нескапливайте на винчестере залежи старых версий антивирусных программ, они стольже опасны, как и просроченные таблетки. Если у вас есть доступ в Интернет,изредка наведывайтесь на www.avp.ru, www. dials.ru иhttp://virus.komi.ru, где можно не только прочитать достоверную информацию оновинках, но и скачать свежие обновления антивирусных баз.
Какэто ни прискорбно, хакерство и компьютерные вирусы давно стали элементоммировой культуры и объективным фактором в жизни каждого пользователя. И относитьсяк ним надо примерно так же, как и к погодным условиям — внимательно следить за«прогнозом погоды»: своевременно надевать плащ и брать зонтик, а еслипростудился, то пить правильную микстуру.
Ине надо их бояться.