Для борьбы с вирусами применяют специальное антивирусное программное обеспечение (антивирусы).
Полностью предотвратить инфицирование систем невозможно. Вы постоянно копируете себе новые программы, модифицируете существующие программы, обмениваетесь дискетами, в общем, ведете довольно «беспорядочный образ жизни». Нельзя также безошибочно выявить все возможные вирусы. Новые вирусы появляются, как грибы после дождя, а кроме этого, модифицируются старые, хорошо известные вирусы. Поэтому в любом случае инфицирование систем не исключено. Меры предотвращения инфицирования необходимы, однако не менее важно предусмотреть административные способы сдерживания «эпидемии» и обезвреживания вирусов в случае их появления.
Действие антивирусных программ основано либо на общих свойствах вирусов (т.е. на их способности к изменению файлов или загрузочных записей), либо на характеристиках отдельных вирусов или классов вирусов. Наиболее современная версия программы при обследовании системы пытается выявить симптомы, характерные для поведения или внешних проявлений отдельных вирусов или классов вирусов. При выявлении подобных признаков программа может предупредить пользователя, попытаться предотвратить распространение вируса и т.д. Прямая аналогия — по симптомам болезни врач в больнице ставит вам диагноз — грипп. Но что это — вирус гриппа А или Б, или какой-нибудь Z — он сказать не может.
Существуют различные антивирусы:
детекторы;
полифаги;
ревизоры;
сторожа;
вакцины.
Детекторы — программы, осуществляющие поиск известных им вирусов в файлах и на дисках. Современные детекторы определяют несколько тысяч вирусов и используют сложные эвристические алгоритмы (Scan).
Фаги или полифаги — программы, способные не только определить, но в некоторых случаях и удалить найденный вирус (AidsTest).
Ревизоры производят периодический контроль состояния запоминающих устройств с целью обнаружить изменения, характерные для проявления вирусов. Многие ревизоры имеют также анти-стелс механизм. (ADInf). Программы-ревизоры вычисляют контрольные суммы всех доступных на диске программ и записывают их в специальный файл. При очередной загрузке они проверяют, не подверглась ли какая-либо программа изменениям, и предупреждают об этом пользователя. Программы-ревизоры умеют своевременно обнаруживать заражение компьютера практически любым из существующих сейчас вирусов, а новейшие ревизоры умеют удалять даже ранее неизвестные им вирусы.
Сторожа — программы, контролирующие операции с диском и пресекающие попытки вируса к размножению (VSafe). Специальные программы-сторожа присоединяются к операционной системе с целью слежения за активностью запускаемых на компьютере программ. Они постоянно контролируют вирусоподобные операции, производимые программами с дисками или памятью. Если появляются подозрительные симптомы, они блокируют работу данной программы, сообщают об этом пользователю и ожидают его решения. Недостатком сторожей является их излишняя назойливость, которая выражается в слишком частых сообщениях о подозрительных операциях. Иногда такие программы поддерживаются специальными электронными ключами, которые физически блокируют доступ к программным ресурсам. Наиболее известен программно-аппаратный комплекс Sheriff.
Вакцины — программы, имитирующие заражение вирусом для прекращения его распространения (NeatVac).
Создание и распространение вредоносного программного обеспечения относится к разряду компьютерных преступлений, виновные в этих преступлениях несут ответственность в соответствии с законодательством.
Рассмотрим методы антивирусной защиты.
1. Сканирование
Если вирус известен и уже проанализирован, то можно разработать программу, выявляющую все файлы и загрузочные записи, инфицированные этим вирусом. Такая программа снабжена «медицинским» справочником, содержащим характерные образцы программного кода вируса. Программа ведет поиск комбинаций байтов, характерных для вируса, но нетипичных для обычных программ. Программы-детекторы, ведущие поиск подобных комбинаций байтов, называются полифагами, или сканерами.
Для многих вирусов характерна простая комбинация, представляющая собой последовательность фиксированных байтов. Другие вирусы используют более сложные комбинации байтов. Необходимо удостовериться, что комбинация байтов не характерна для обычных программ, иначе программа-детектор сообщит о вирусе даже при его отсутствии.
2. Выявление изменений
Для инфицирования программ или загрузочных записей вирусы должны их изменить. Существуют программы, которые специализируются на вылавливании таких изменений. Программу, регистрирующую изменение файлов и загрузочных записей, можно использовать даже для выявления ранее неизвестных вирусов. Однако изменение файлов и загрузочных записей может быть обусловлено целым рядом причин, которые не имеют никакого отношения к вирусам. Выявление изменений само по себе приносит не так много пользы, т. к. необходимо очень четко понимать, какие изменения действительно указывают на наличие вируса.
3. Эвристический анализ
Эвристический анализ — это смутное подозрение антивирусной программы о том, что что-то не в порядке.
При выявлении вирусов с помощью эвристического анализа ведется поиск внешних проявлений или же действий, характерных для некоторых классов известных вирусов. Например, в файлах могут выявляться операции, применяемые вирусами, но редко используемые обычными программами. Могут также выявляться попытки записи на жесткие диски или дискеты с помощью нестандартных методов.
Так же, как при использовании предыдущего метода, с помощью эвристического анализа можно выявить целые классы вирусов, однако необходимо удостовериться, что обычные программы не были приняты за инфицированные.
4. Верификация
Рассмотренные выше методы могут свидетельствовать, что программа или загрузочная запись поражены вирусом, однако таким образом нельзя с уверенностью опознать поразивший их вирус и уничтожить его. Программы, с помощью которых можно идентифицировать вирус, называются верификаторами. Верификаторы можно разработать только для уже изученных вирусов после их тщательного анализа.
5. Обезвреживание
Не исключено, что после выявления вируса его можно будет удалить и восстановить исходное состояние зараженных файлов и загрузочных записей, свойственное им до «болезни». Этот процесс называется обезвреживанием (дезинфекцией, лечением).
Некоторые вирусы повреждают поражаемые ими файлы и загрузочные записи таким образом, что их успешная дезинфекция невозможна. Не исключено также, что детектор одинаково идентифицирует два различных вируса, поэтому дезинфицирующая программа будет эффективна для одного вируса, но бесполезна для другого.
Дезинфицирующие программы изменяют ваши программы, поэтому они должны быть очень надежными.
Меры профилактики
Рассмотренные выше методы могут применяться с помощью различных способов. Одним из общепринятых методов является использование программ, которые тщательно обследуют диски, пытаясь обнаружить и обезвредить вирусы. Возможно также использование резидентных программ DOS, постоянно проверяющих вашу систему на вирусы. Резидентные программы имеют следующее преимущество: они проверяют все программы на вирусы при каждом их выполнении. Резидентные программы должны быть очень тщательно разработаны, т. к. иначе они будут задерживать загрузку и выполнение программ.
Нерезидентные программы эффективны при необходимости одновременного обследования всей системы на вирусы и их обезвреживания. Они представляют собой средство, дополняющее резидентные программы.
Вы должны помнить о необходимости регулярного выполнения антивирусной программы. К сожалению, как показывает опыт, об этом часто забывают. Пренебрежение профилактическими проверками вашего компьютера увеличивает риск инфицирования не только вашей компьютерной системы, но и распространения вируса на другие компьютеры. И не только через дискеты, вирусы прекрасно распространяются и по локальным сетям.
Чтобы впоследствии избежать головной боли, лучше всего обеспечить автоматическое выполнение антивирусной программы. В этом случае программа будет защищать ваш компьютер, не требуя от вас каких-либо явных действий. Для обеспечения такой защиты можно при запуске системы установить резидентные антивирусные программы, а также использовать нерезидентные программы, выполняемые при запуске или периодически в указанное время.
Как правильно лечить?
Прежде всего, перезагрузите компьютер, нажав кнопку Reset. Такая перезагрузка называется «холодной», в отличие от «теплой», вызываемой комбинацией клавиш Ctrl-Alt-Del. Существуют вирусы, которые спокойно выживают при «теплой» перезагрузке.
Загрузите компьютер с дискеты, защищенной от записи и с установленными антивирусными программами. Необходимость хранить антивирусный пакет на отдельной защищенной дискете вызвана не только опасностью заражения антивирусных программ вирусом. Частенько вирус специально ищет на жестком диске программу-антивирус и наносит ей повреждения.
Старайтесь почаще обновлять ваши антивирусные программы. Причем как отечественные, так и импортные. Отечественные — потому что у нас пишут вирусы все кому не лень и, чтобы быстро разработать антивирусную программу, надо жить здесь. Импортные — потому что все сильнее сливаются «наше» и «их» информационные пространства, все больше западных вирусов проникает к нам по глобальным компьютерным сетям.
При обнаружении зараженного файла желательно скопировать его на дискету и лишь затем лечить антивирусом. Это делается для того, чтобы в случае некорректного лечения файла, что, к сожалению, случается, попытаться полечить файл другим антивирусом.
Если вам понадобилась программа из ваших старых архивов или резервных копий, не поленитесь проверить ее. Не рискуйте. Лучше преувеличить опасность, чем недооценить ее.