Acasă Instagram

Ce se întâmplă când un program infectat începe să funcționeze. Virușii informatici. Ce este un virus informatic

Un virus de computer este un mic program scris special pentru a infecta alte programe (adică, „a se atribui” acestora) și pentru a efectua acțiuni nedorite de diferite tipuri pe computer. Un program infectat este un program cu un virus în interior. Când un astfel de program începe să funcționeze, virusul preia inițial controlul. Virușii de computer găsesc și infectează alte programe și, de asemenea, efectuează tot felul de acțiuni dăunătoare (de exemplu, corup tabelul de fișiere al hard diskului sau fișierele în sine, înfundă memoria RAM etc.).

În timp ce se masca, virusul nu efectuează întotdeauna nicio acțiune pentru a infecta alte programe și a le cauza rău, iar atunci când anumite acțiuni sunt efectuate pe computer, virusul își poate începe activitatea. După efectuarea manipulărilor necesare, virusul transferă controlul programului în care se află, iar acest program continuă să funcționeze ca de obicei. Deci, în exterior, activitatea programului infectat nu se arată în niciun fel și pare că nu este infectată.

Multe tipuri de viruși sunt proiectați în așa fel încât atunci când se lansează un program infectat, virusul rămâne rezident în memoria computerului (până când sistemul de operare este repornit) și, dacă este posibil, infectează programele care rulează sau efectuează acțiuni rău intenționate pe computer.

Toate acțiunile virusului sunt efectuate destul de rapid, fără a emite mesaje preliminare, astfel încât utilizatorul nu poate observa că se întâmplă ceva neobișnuit pe computerul său. Când un număr mic de programe sunt infectate pe un computer, prezența virusului poate fi aproape invizibilă. Dar, după un timp, ceva ciudat începe să se întâmple pe computer, de exemplu:

unele programe încep să funcționeze incorect sau încetează să funcționeze complet;
pe ecran apar caractere străine, mesaje etc.;
Computerul încetinește semnificativ;
unele fișiere se dovedesc a fi corupte etc.

De regulă, până în acest moment, majoritatea programelor pe care le utilizați sunt infectate cu un virus, iar unele discuri și fișiere sunt corupte. În plus, este posibil ca programele infectate să fi fost deja transferate de pe computerul dvs. pe alte computere prin rețea sau medii externe.

Unii viruși informatici și variantele lor sunt și mai insidioși. Ele infectează în liniște un număr mare de programe simultan și apoi provoacă daune destul de grave, de exemplu, formatarea întregului hard disk de pe computer. Și există viruși informatici care încearcă să se comporte cât mai neobservați, dar încetul cu încetul și treptat corupă datele stocate pe hard diskul computerului.

Din toate cele de mai sus, rezultă că dacă nu iei măsuri de protecție împotriva virușilor, consecințele unui computer infectat vor fi foarte grave. De exemplu, în 1989, studentul american Morris a scris un virus care a infectat și a dezactivat mii de computere, inclusiv cele aparținând Departamentului de Apărare al SUA. Instanța l-a amendat pe autorul virusului cu 270.000 de dolari și l-a condamnat la trei luni de închisoare. Pedeapsa ar fi putut fi mai severă, însă instanța a ținut cont de faptul că virusul doar se înmulțea și nu a avut timp să corupă datele.

Programul de virus este de dimensiuni mici și, prin urmare, invizibil. Unii autori creează astfel de programe din răutate, alții - încercând să rănească pe cineva sau să obțină acces la informații sau resurse informatice. În orice caz, programul virus creat se poate răspândi pe toate computerele compatibile cu cel pentru care a fost scris și poate provoca distrugeri foarte mari.

Trebuie remarcat faptul că scrierea unui virus nu este o sarcină atât de dificilă și este destul de accesibilă unui student care studiază programarea. Prin urmare, pe internet apar din ce în ce mai mulți viruși informatici noi în fiecare zi.

(9 voturi)

Virușii informatici

Virus informatic - concept și clasificare.

Virus de calculator este un program special scris, de dimensiuni mici (adică, un anumit set de cod executabil) care se poate „atribui” altor programe („le „infectează”)), să creeze copii ale lui însuși și să le injecteze în fișiere, zone de sistem ale computerului , etc. .d. și, de asemenea, efectuează diverse acțiuni nedorite pe computer.
Un program care conține un virus se numește „infectat”. Când un astfel de program începe să funcționeze, virusul preia mai întâi controlul. Virusul găsește și „infectează” alte programe și, de asemenea, efectuează unele acțiuni dăunătoare (de exemplu, corupă fișierele sau tabelul de alocare a fișierelor de pe disc, „înfunda” RAM etc.). Pentru a deghiza un virus, acțiunile de infectare a altor programe și de a provoca rău nu pot fi întotdeauna efectuate, ci, de exemplu, atunci când sunt îndeplinite anumite condiții.

De exemplu, virusul Anti-MIT distruge toate informațiile de pe hard disk în fiecare an la 1 decembrie, virusul Tea Time vă împiedică să introduceți informații de la tastatură de la 15:10 la 15:13, iar faimosul One Half, care are a fost „plimbat” prin orașul nostru în ultimul an, criptează în liniște datele de pe hard disk. În 1989, un student american a reușit să creeze un virus care a dezactivat aproximativ 6.000 de computere ale Departamentului de Apărare al SUA. Epidemia celebrului virus Dir-II a izbucnit în 1991. Virusul a folosit o tehnologie cu adevărat originală, fundamental nouă și la început a reușit să se răspândească pe scară largă din cauza imperfecțiunii instrumentelor antivirus tradiționale. Christopher Pyne a reușit să creeze virușii Patogen și Queeq, precum și virusul Smeg. Era ultimul care era cel mai periculos, putea fi suprapus primilor doi viruși și, din această cauză, după fiecare rulare a programului schimbau configurația. Prin urmare, a fost imposibil să le distrugi. Pentru a răspândi viruși, Pine a copiat jocuri și programe pe computer, le-a infectat și apoi le-a trimis înapoi în rețea. Utilizatorii au descărcat programe infectate pe computerele lor și și-au infectat discurile. Situația a fost agravată de faptul că Pine a reușit să introducă viruși în programul care îi combate. Prin lansarea acestuia, în loc să distrugă virușii, utilizatorii au primit încă unul. Drept urmare, dosarele multor companii au fost distruse, provocând pierderi de milioane de lire sterline.

Programatorul american Morris a devenit cunoscut pe scară largă. El este cunoscut drept creatorul virusului, care în noiembrie 1988 a infectat aproximativ 7 mii de computere personale conectate la Internet.
Primele studii ale structurilor artificiale autoreplicabile au fost efectuate la mijlocul acestui secol. Termen "virus de calculator" a apărut mai târziu - oficial autorul său este considerat a fi un angajat al Universității Lehigh (SUA) F. Cohen în 1984 la a șaptea conferință privind securitatea informațiilor.

Experții consideră că astăzi numărul virușilor existenți a depășit 20 de mii, cu 6 până la 9 noi apărând în fiecare zi. În prezent, există aproximativ 260 de viruși „sălbatici”, adică de fapt circulanți.

Unul dintre cei mai autorizați „virologi” din țară, Evgeny Kaspersky, sugerează clasificarea condiționată a virușilor în funcție de următoarele criterii:

în funcție de habitatul virusului
după metoda de infectare a habitatului
conform posibilităţilor distructive
conform caracteristicilor algoritmului virusului.

O clasificare mai detaliată în cadrul acestor grupuri poate fi prezentată cam așa:

	reţea	răspândit într-o rețea de calculatoare
Habitat:	fişier	injectat în fișiere executabile
	cizme	sunt încorporate în sectorul de pornire al discului (sectorul de pornire)

Metode	rezident	sunt în memorie, active până când computerul este oprit
infectii:	non rezident	nu infectează memoria, sunt active pentru o perioadă limitată de timp

	inofensiv	practic nu afectează munca; reduce spațiul liber pe disc ca urmare a răspândirii lor
Distructiv	nepericuloase	reduceți memoria liberă, creați efecte sonore, grafice și alte efecte
posibilitati:	periculos	poate duce la defecțiuni grave
	foarte periculos	poate duce la pierderea programelor sau a datelor de sistem

	viruși „satelit”.	virușii care nu modifică fișierele creează fișiere satelit pentru fișierele EXE cu extensia COM
	virusuri de viermi	răspândite în rețea, trimit copii ale lor, calculând adresele de rețea
Particularități	"student"	primitive, conțin un număr mare de erori
virus:	viruși furtivi (invizibil)	interceptați apelurile DOS către fișiere sau sectoare infectate și înlocuiți zonele neinfectate în locul lor
	virusuri fantomă	nu au o singură bucată permanentă de cod, sunt greu de detectat, corpul principal al virusului este criptat
	macrovirusuri	sunt scrise nu în coduri de mașină, ci în WordBasic, trăiesc în documente Word, se rescriu în Normal.dot

Principalele moduri prin care virușii pătrund într-un computer sunt discurile amovibile (dischetă și laser), precum și rețelele de calculatoare. Un hard disk se poate infecta cu viruși atunci când se încarcă un program de pe o dischetă care conține un virus. O astfel de infecție poate fi, de asemenea, accidentală, de exemplu, dacă discheta nu a fost scoasă din unitatea A și computerul a fost repornit, iar discheta poate să nu fie una de sistem. Este mult mai ușor să infectați o dischetă. Un virus poate intra în el chiar dacă discheta este pur și simplu introdusă în unitatea de disc a unui computer infectat și, de exemplu, este citit cuprinsul acestuia.

Cum funcționează virusul.
Să ne uităm la funcționarea unui virus de boot foarte simplu care infectează dischetele.

Ce se întâmplă când porniți computerul? În primul rând, controlul este transferat în programul de pornire, care este stocat în memoria doar pentru citire (ROM), adică. PNZ ROM.

Acest program testează hardware-ul și, dacă testele au succes, încearcă să găsească discheta în unitatea A:

Fiecare dischetă este marcată cu așa-numitul. sectoare și piste. Sectoarele sunt combinate în clustere, dar acest lucru nu este semnificativ pentru noi.

Printre sectoare există mai multe servicii, utilizate de sistemul de operare pentru propriile nevoi (aceste sectoare nu pot conține datele dumneavoastră). Dintre sectoarele de servicii, ne interesează în prezent unul - așa-numitul. sector de boot (sector de boot).

Sectorul de boot stochează informații despre dischetă - numărul de suprafețe, numărul de piste, numărul de sectoare etc. Dar ceea ce ne interesează acum nu este această informație, ci un mic program de boot (BLP), care trebuie încărcați sistemul de operare în sine și transferați-i controlul.

Deci, schema de bootstrap normală este următoarea:

Acum să ne uităm la virus. Virușii de boot au două părți - așa-numitele. cap etc. coadă. Coada, în general, poate fi goală.

Să presupunem că aveți o dischetă curată și un computer infectat, prin care ne referim la un computer cu un virus rezident activ. De îndată ce acest virus detectează că o victimă potrivită a apărut în unitate - în cazul nostru, o dischetă care nu este protejată la scriere și nu a fost încă infectată, începe să se infecteze. Când infectează o dischetă, virusul efectuează următoarele acțiuni:

alocă o anumită zonă a discului și o marchează ca inaccesibilă pentru sistemul de operare, acest lucru se poate face în diferite moduri, în cel mai simplu și tradițional caz, sectoarele ocupate de virus sunt marcate ca rele (rele)
își copiază coada și sectorul de pornire original (sănătos) în zona selectată a discului
înlocuiește programul de boot din sectorul de boot (cel real) cu capul său
organizează lanțul de transfer al controlului conform schemei.

Astfel, șeful virusului este acum primul care primește controlul, virusul este instalat în memorie și transferă controlul în sectorul de boot original. Într-un lanț

PNZ (ROM) - PNZ (disc) - SISTEM

apare un nou link:

PNZ (ROM) - VIRUS - PNZ (disc) - SISTEM

Am examinat schema de funcționare a unui virus de boot simplu care trăiește în sectoarele de boot ale dischetelor. De regulă, virușii pot infecta nu numai sectoarele de boot ale dischetelor, ci și sectoarele de boot ale hard disk-urilor. Mai mult, spre deosebire de dischete, hard disk-ul are două tipuri de sectoare de boot care conțin programe de boot care primesc control. Când computerul pornește de pe hard disk, programul de pornire din MBR (Master Boot Record) preia controlul mai întâi. Dacă hard diskul este împărțit în mai multe partiții, atunci doar una dintre ele este marcată ca boot. Programul de pornire din MBR găsește partiția de pornire a hard disk-ului și transferă controlul către programul de pornire al acestei partiții. Codul acestuia din urmă coincide cu codul programului de boot conținut pe dischetele obișnuite, iar sectoarele de boot corespunzătoare diferă doar în tabelele cu parametri. Astfel, pe hard disk există două obiecte atacate de viruși de boot - programul de boot din MBR și programul de boot din sectorul de boot al discului de boot.

Semne ale virusului.

Când computerul este infectat cu un virus, este important să îl detectați. Pentru a face acest lucru, ar trebui să știți despre principalele semne ale virușilor. Acestea includ următoarele:

încetarea funcționării sau funcționarea incorectă a programelor care funcționau anterior cu succes
calculator lent
incapacitatea de a încărca sistemul de operare
dispariția fișierelor și directoarelor sau coruperea conținutului acestora
modificarea datei și orei modificării fișierului
redimensionarea fișierelor
creștere semnificativă neașteptată a numărului de fișiere de pe disc
reducerea semnificativă a dimensiunii RAM liberă
Afișarea mesajelor sau imaginilor neașteptate pe ecran
dând semnale sonore neașteptate
Înghețări și blocări frecvente în computer

Trebuie remarcat faptul că fenomenele de mai sus nu sunt neapărat cauzate de prezența unui virus, ci pot fi rezultatul altor motive. Prin urmare, este întotdeauna dificil să diagnosticați corect starea unui computer.
Metode de protecție. Antivirusuri.

Oricare ar fi virusul, utilizatorul trebuie să cunoască metodele de bază de protecție împotriva virușilor informatici.

Pentru a vă proteja împotriva virușilor puteți utiliza:

instrumente generale de protecție a informațiilor, care sunt utile și ca asigurare împotriva deteriorării fizice a discurilor, a programelor defectuoase sau acțiunilor eronate ale utilizatorului;
măsuri preventive pentru a reduce probabilitatea de a contracta virusul;
programe specializate pentru protectia impotriva virusilor.

Instrumentele generale de securitate a informațiilor sunt utile pentru mai mult decât protecția împotriva virușilor. Există două tipuri principale ale acestor fonduri:

copierea informațiilor - crearea de copii ale fișierelor și zonelor de sistem ale discurilor;
controlul accesului previne utilizarea neautorizată a informațiilor, în special, protecția împotriva modificărilor programelor și datelor de către viruși, programele defectuoase și acțiunile eronate ale utilizatorului.

Pentru a detecta, elimina și proteja împotriva virușilor informatici, au fost dezvoltate mai multe tipuri de programe speciale care vă permit să detectați și să distrugeți virușii. Se numesc astfel de programe antivirus. Există următoarele tipuri de programe antivirus:

programe de detectare
programe medicale sau fagi
programe de audit
programe de filtrare
programe de vaccinare sau de imunizare

Programe detectoare Ei caută o semnătură caracteristică unui anumit virus în RAM și fișiere și, dacă este găsită, emit un mesaj corespunzător. Dezavantajul unor astfel de programe antivirus este că pot găsi doar viruși care sunt cunoscuți de dezvoltatorii unor astfel de programe.

Programe medicale sau fagi, și programe de vaccinare nu numai că găsesc fișiere infectate cu viruși, ci și le „tratează”, adică. eliminați corpul programului virus din fișier, readucerea fișierelor la starea inițială. La începutul activității lor, fagii caută viruși în RAM, distrugându-i și abia apoi procedează la „curățarea” fișierelor. Dintre fagi se disting polifagii, adică. Programe medicale concepute pentru a căuta și distruge un număr mare de viruși. Cele mai cunoscute dintre ele: Aidstest, Scan, Norton AntiVirus, Doctor Web.

Având în vedere că apar în mod constant noi viruși, programele de detectare și programele medicale devin rapid depășite și sunt necesare actualizări regulate ale versiunilor.

Programe de auditor sunt printre cele mai fiabile mijloace de protecție împotriva virușilor. Auditorii își amintesc starea inițială a programelor, directoarelor și zonelor de sistem ale discului atunci când computerul nu este infectat cu un virus, apoi compară periodic sau la cererea utilizatorului starea actuală cu cea originală. Modificările detectate sunt afișate pe ecranul monitorului. De regulă, compararea stărilor se efectuează imediat după încărcarea sistemului de operare. La comparare, sunt verificate lungimea fișierului, codul de control ciclic (suma de verificare a fișierului), data și ora modificării și alți parametri. Programele de auditor au algoritmi destul de dezvoltați, detectează virușii ascunși și chiar pot curăța modificările versiunii programului verificat din modificările făcute de virus. Printre programele de audit se numără și programul Adinf, utilizat pe scară largă în Rusia.

Programe de filtrare sau "paznic" sunt mici programe rezidente concepute pentru a detecta acțiunile suspecte în timpul funcționării computerului, caracteristice virușilor. Astfel de acțiuni pot fi:

încearcă să corecteze fișierele cu extensii COM, EXE
modificarea atributelor fișierului
scriere directă pe disc la adresa absolută
scrierea pe sectoarele de boot de pe disc

Când orice program încearcă să efectueze acțiunile specificate, „garda” trimite un mesaj utilizatorului și se oferă să interzică sau să permită acțiunea corespunzătoare. Programele de filtrare sunt foarte utile deoarece sunt capabile să detecteze un virus în cel mai timpuriu stadiu al existenței sale înainte de replicare. Cu toate acestea, nu „curăță” fișierele și discurile. Pentru a distruge virușii, trebuie să utilizați alte programe, cum ar fi fagii. Dezavantajele programelor de supraveghere includ „intruzivitatea” lor (de exemplu, emit în mod constant un avertisment cu privire la orice încercare de a copia un fișier executabil), precum și posibilele conflicte cu alt software. Un exemplu de program de filtrare este programul Vsafe, care face parte din pachetul de utilitare MS DOS.

Vaccinuri sau imunizatoare- Acestea sunt programe rezidente care previn infectarea fișierelor. Vaccinurile sunt folosite dacă nu există programe medicale care să „trateze” acest virus. Vaccinarea este posibilă numai împotriva virusurilor cunoscute. Vaccinul modifică programul sau discul în așa fel încât să nu afecteze funcționarea acestuia, iar virusul îl va percepe ca fiind infectat și, prin urmare, nu va prinde rădăcini. În prezent, programele de vaccinare au o utilizare limitată.

Detectarea în timp util a fișierelor și discurilor infectate cu viruși și distrugerea completă a virușilor detectați pe fiecare computer ajută la evitarea răspândirii unei epidemii de viruși la alte computere.

Pentru a evita expunerea computerului la viruși și pentru a asigura stocarea fiabilă a informațiilor pe discuri, trebuie să respectați următoarele reguli:

echipați-vă computerul cu programe antivirus moderne, cum ar fi Aidstest, Doctor Web și actualizați-le în mod constant versiunile
Înainte de a citi informațiile stocate pe alte computere de pe dischete, verificați întotdeauna aceste dischete pentru viruși, rulând programele antivirus ale computerului dvs.
Când transferați fișiere în formă arhivată pe computer, scanați-le imediat după ce le dezarhivați pe hard disk, limitând zona de scanare doar la fișierele nou înregistrate
verificați periodic hard disk-urile computerului pentru viruși, rulând programe antivirus pentru a testa fișierele, memoria și zonele de sistem ale discurilor de pe o dischetă protejată la scriere, după ce ați încărcat sistemul de operare de pe o dischetă cu sistem protejat la scriere.
Protejați întotdeauna la scriere dischetele atunci când lucrați pe alte computere, cu excepția cazului în care informațiile vor fi scrise pe acestea
Asigurați-vă că faceți copii de rezervă pe dischete ale informațiilor care sunt valoroase pentru dvs
nu lăsați dischete în unitate Un buzunar când porniți sau reporniți sistemul de operare pentru a preveni infectarea computerului cu viruși de boot
utilizați programe antivirus pentru controlul intrării tuturor fișierelor executabile primite din rețelele de calculatoare
Pentru a asigura o mai mare securitate, Aidstest și Doctor Web trebuie combinate cu utilizarea zilnică a auditorului de disc Adinf.

Program antivirus AntiViral Toolkit Pro.

Programul antivirus AVP a fost dezvoltat de compania lider rusă Kaspersky Lab. Programul a intrat pe piața globală și este vândut destul de activ în multe țări.
Când este lansat, AVP încarcă baze de date antivirus, testează memoria RAM pentru prezența virușilor rezidenți și verifică singur pentru infecția cu virus. După o descărcare cu succes, apare un mesaj în bara de stare " Ultima actualizare: data> , cantitate> virusuri » , unde este data ultimei actualizări și este numărul de viruși cunoscuți (datele despre viruși se află în fișierele cu extensia .AVC)

Fereastra principală a programului conține patru elemente de meniu:

fişier
scanare antivirus
serviciu

cinci file:

regiune
obiecte
actiuni
setări
statistici

butoane « P usk" (" O sută P » în timpul scanării discului) și fereastra de vizualizare „Obiect - Rezultat” . La încărcare, se deschide automat o filă "Zonă" (Fig. 1.) Pentru a începe scanarea, trebuie să selectați din filă "Zonă" unitățile și/sau folderele pe care doriți să le verificați și faceți clic pe butonul « P usk" (sau element de meniu „Porniți scanarea virușilor” ). Puteți selecta discul și/sau folderele de verificat făcând dublu clic pe obiectul dorit cu butonul stâng al mouse-ului. Pentru a selecta rapid discurile, trebuie să bifați casetele corespunzătoare « L discuri locale » și/sau " CU e te discuri » și/sau „Flopp Și -unități de disc " . Dacă doriți să selectați un folder de scanat, trebuie să apăsați tasta „Selectați folderul” , după care veți vedea o casetă de dialog standard Windows 95 în care trebuie să selectați numele folderului pe care doriți să-l adăugați în zona de testare. Dacă faceți clic pe butonul „Start” fără a selecta un obiect de scanat, AVP va afișa următorul mesaj: Zona de scanare nu este specificată. Vă rugăm să marcați unitățile în fila „Zona”. Dacă doriți să opriți urgent testarea, faceți clic pe butonul " Stop " sau selectați elementul de meniu „Opriți scanarea virușilor” .
Tab "Obiecte" , specifică lista de obiecte de scanat și tipurile de fișiere care vor fi testate.

În fila Obiecte, puteți bifa următoarele casete de selectare:

Memorie- activați procedura de scanare a memoriei sistemului (inclusiv Zona de memorie ridicată)
Sectoare - include o verificare a sectoarelor de sistem în procedura de scanare
Fișiere- includeți verificarea fișierelor în procedura de scanare (inclusiv fișierele cu atributele Hidden, System, ReadOnly)
Obiecte ambalate- activați Unpack Engine, care despachetează fișierele pentru testare

Arhive- activați Extract Engine, care vă permite să căutați viruși în arhive.

"Tip fișier" conține patru comutatoare:

Programe după format - programe de scanare (formatele Files.com, .exe, .vxd, .dll și Microsoft Office). Astfel, la scanarea după format, toate fișierele care pot conține cod de virus sunt verificate.

Programe de extindere- scanați toate fișierele cu extensia *.BAT, *.COM, *.EXE, *.OV*, *.SYS, *.BIN, *PRG.

Toate filele- scanează toate fișierele.

Cu masca- scanați folosind o mască specificată de utilizator în linia de intrare.

Tab „Acțiuni” vă permite să setați acțiuni în cazul în care sunt detectate obiecte infectate sau suspecte în timpul testării.

Fila conține patru butoane și două casete de selectare.

La cererea dvs., programul fie vă va informa numai despre virușii detectați, va trata obiectul infectat după deschiderea acestuia, fie îl va trata automat. Obiectele suspecte pot fi copiate fie într-un folder pe care îl specificați, fie în folderul de lucru al programului.

Tab „Setări” vă permite să configurați programul pentru diferite moduri.

Avertismente - Activează un mecanism suplimentar de verificare.

Analizor de coduri - include un mecanism capabil să detecteze viruși încă necunoscuți în obiectele examinate.

Scanare redundantă - permite unui mecanism de scanare completă a conținutului unui fișier. Este recomandat să activați acest mod atunci când nu este detectat un virus, dar se observă fenomene ciudate în funcționarea computerului - încetiniri, reporniri spontane frecvente etc. În alte cazuri, utilizarea acestui mod nu este recomandată, deoarece există posibilitatea de fals pozitive la scanarea fișierelor curate.

Setările permit utilizatorului să arate numele obiectului scanat în coloana „Obiect” în timpul scanării; în fereastra „Rezultat”, va apărea un mesaj „ok” în dreptul numelui obiectului dacă obiectul este curat. De asemenea, puteți seta un semnal sonor să sune atunci când este detectat un virus, ceea ce este foarte util în practică, deoarece procesul de scanare este destul de lung și monoton. De asemenea, puteți monitoriza secvența de scanare (caseta de selectare Urmărirea rapoartelor) sau scrieți un fișier de raport, specificând numele fișierului rezultat (caseta de selectare Fişier raport). Bifând această casetă de selectare, utilizatorul are acces la două casete de selectare auxiliare:

Adăuga- noul raport va fi adăugat strict la sfârșitul celui vechi
Limitare de dimensiune- limitați dimensiunea fișierului de raport la cererea utilizatorului (implicit - 500 kiloocteți)

După verificarea obiectelor specificate, fila este activată automat "Statistici"

Această filă conține rezultatele programului. Fila este împărțită în două părți care conțin informații despre numărul de obiecte scanate, fișiere, foldere și numărul de viruși, avertismente, obiecte corupte etc. găsite.
Baza de date de semnături AVP este una dintre cele mai mari - cea mai recentă versiune a programului conține peste 25.000 de viruși. Trebuie remarcat faptul că lucrul cu programul nu provoacă dificultăți chiar și pentru un utilizator neexperimentat și puteți obține cu ușurință o nouă versiune de pe Internet.

LISTA REFERINȚELOR UTILIZATE

Akhmetov K. Cursul unui tânăr luptător. Moscova, presa computerizată, 1997.
Kaspersky E. Viruși de computer în MS-DOS. Moscova, Edel-Renaissance, 1992.
Lumea PC. Nr. 4,1998.

Caracteristicile virușilor informatici

Esența și manifestarea virușilor informatici

Utilizarea pe scară largă a computerelor personale, din păcate, s-a dovedit a fi asociată cu apariția programelor de viruși cu auto-replicare care interferează cu funcționarea normală a computerului, distrug structura de fișiere a discurilor și deteriorează informațiile stocate pe computer. Odată ce un virus de calculator pătrunde într-un computer, se poate răspândi pe alte computere. Virus de calculator este un program special scris care este capabil să se atașeze spontan la alte programe, să creeze copii ale lui însuși și să le introducă în fișiere, zone de sistem ale computerului și în rețelele de calculatoare pentru a perturba funcționarea programelor, a deteriora fișierele și directoarele și pentru a crea tot felul de interferențe cu munca pe computer.Motivele apariției și răspândirii virușilor informatici, pe de o parte, sunt ascunse în psihologia personalității umane și a părților sale umbre (invidia, răzbunarea, vanitatea creatorilor nerecunoscuți, incapacitatea de a-și folosi abilitățile în mod constructiv), pe de altă parte, din cauza lipsei de protecție hardware și a contracarării din partea sistemului de operare al unui computer personal . În ciuda legilor adoptate în multe țări pentru combaterea infracțiunilor informatice și a dezvoltării unor instrumente software speciale pentru protejează împotriva virușilor, numărul de noi viruși software este în continuă creștere. Acest lucru necesită ca utilizatorul unui computer personal să aibă cunoștințe despre natura virușilor, metodele de infectare cu viruși și protecția împotriva acestora. Principalele căi de intrare a virușilor într-un computer sunt discurile amovibile (dischetă și laser), precum și rețelele de calculatoare. . Unitatea de disc poate fi infectată cu viruși atunci când porniți computerul de pe o dischetă care conține un virus. O astfel de infecție poate fi, de asemenea, accidentală, de exemplu, dacă discheta nu a fost scoasă din unitatea A: și computerul a fost repornit, în timp ce discheta poate să nu fie cea de sistem. Este mult mai ușor să infectați o dischetă. Un virus poate intra în el chiar dacă discheta este pur și simplu introdusă în unitatea de disc a unui computer infectat și, de exemplu, este citit cuprinsul acestuia. Disc infectat- acesta este un disc în sectorul de boot al căruia există un program - un virus După rularea unui program care conține un virus, devine posibilă infectarea altor fișiere. Cel mai adesea, sectorul de boot al discului și fișierele executabile cu extensiile EXE, .COM, SYS sau BAT sunt infectate cu un virus. Este extrem de rar ca fișierele text și grafice să fie infectate. Program infectat este un program care conține un program de virus încorporat în el. Când un computer este infectat cu un virus, este foarte important să îl detectăm în timp util. Pentru a face acest lucru, ar trebui să știți despre principalele semne ale virușilor. Acestea includ următoarele:

încetarea funcționării sau funcționarea incorectă a programelor care funcționau anterior cu succes;

performanță lentă a computerului;

incapacitatea de a încărca sistemul de operare;

dispariția fișierelor și directoarelor sau coruperea conținutului acestora;

modificarea datei și orei modificării fișierului;

redimensionarea fișierelor;

creștere semnificativă neașteptată a numărului de fișiere de pe disc;

o reducere semnificativă a dimensiunii RAM liberă;

afișarea mesajelor sau imaginilor neașteptate pe ecran;

oferind semnale sonore neașteptate;

Înghețări și blocări frecvente în computer.

Trebuie remarcat faptul că fenomenele de mai sus nu sunt neapărat cauzate de prezența unui virus, ci pot fi o consecință a altor motive. Prin urmare, este întotdeauna dificil să diagnosticați corect starea unui computer. Principalele tipuri de viruși În prezent, există peste 5.000 de software cunoscute virusuri, ele pot fi clasificate după următoarele criterii (Fig. 11.10): Fig. 11.10. Clasificarea virușilor informatici: a - după habitat; b - prin metoda de infectare; c - după gradul de impact; g - în funcţie de caracteristicile algoritmilor, în funcţie din habitat Virușii pot fi împărțiți în viruși de rețea, de fișiere, de pornire și de pornire a fișierelor. Viruși de rețea distribuite pe diverse rețele de calculatoare. Fișieră viruși sunt încorporate în principal în module executabile, adică la fișiere cu extensii COM și EXE. Virușii de fișiere pot fi încorporați în alte tipuri de fișiere, dar, de regulă, scrise în astfel de fișiere, nu câștigă niciodată controlul și, prin urmare, își pierd capacitatea de a se reproduce. Porniți viruși sunt încorporate în sectorul de boot al discului (Sectorul de pornire) sau în sectorul care conține programul de pornire a discului de sistem (Master Boot Record). File boot virus infecta atât fișierele, cât și sectoarele de boot ale discurilor. De metoda de infectare virusurile sunt împărțite în rezidenți și nerezidenți. Virus rezident atunci când un computer este infectat (infectat), acesta își lasă partea rezidentă în RAM, care apoi interceptează accesul sistemului de operare la obiectele infectate (fișiere, sectoare de pornire a discului etc.) și se injectează în ele. Virușii rezidenți se află în memorie și sunt activi până când computerul este oprit sau repornit. Virușii nerezidenți nu infectează memoria computerului și sunt active pentru o perioadă limitată de timp. gradul de impact Virușii pot fi împărțiți în următoarele tipuri:

nepericuloase, neinterferând cu funcționarea computerului, ci reducând cantitatea de memorie RAM liberă și memorie pe disc, acțiunile unor astfel de viruși se manifestă prin unele efecte grafice sau sonore;

periculos viruși care pot duce la diverse probleme cu computerul dvs.;

foarte periculos al căror impact poate duce la pierderea de programe, distrugerea datelor și ștergerea informațiilor din zonele de sistem ale discului.

De caracteristicile algoritmului Virușii sunt greu de clasificat datorită varietății lor mari. Cei mai simpli virusuri - parazitar, modifică conținutul fișierelor și sectoarelor de disc și pot fi detectate și distruse destul de ușor. Puteți nota virusi replicatori, numite viermi, care se răspândesc în rețelele de calculatoare, calculează adresele computerelor din rețea și își scriu copii la aceste adrese. Cunoscut viruși invizibili, numit viruși ascunși, care sunt foarte greu de detectat și neutralizat, deoarece interceptează apelurile de la sistemul de operare către fișiere infectate și sectoare de disc și înlocuiesc zonele neinfectate ale discului în locul lor. Cei mai greu de detectat sunt virușii mutanți care conțin algoritmi de criptare-decriptare, datorită cărora copiile aceluiași virus nu au un singur șir repetat de octeți. Există, de asemenea, așa-numitele cvasi-virale sau "Troian" programe care, deși nu sunt capabile de auto-propagare, sunt foarte periculoase pentru că, prefăcându-se ca un program util, distrug sectorul de boot și sistemul de fișiere al discurilor.

PROGRAME DE DETECȚIE ȘI PROTECȚIE DE VIRUS

Caracteristicile programelor antivirus Pentru a detecta, elimina și proteja împotriva virușilor informatici, au fost dezvoltate mai multe tipuri de programe speciale care vă permit să detectați și să distrugeți virușii. Se numesc astfel de programe antivirus. Există următoarele tipuri de programe antivirus (Fig. 11.11): Programe detectoare Ei caută o secvență de octeți (semnătură de virus) caracteristică unui anumit virus în RAM și fișiere și, atunci când sunt găsite, emit un mesaj corespunzător. Dezavantajul unui astfel de antivirus pro-Fig. 11.11. Tipuri de programe antivirus

gramul este că pot găsi doar viruși care sunt cunoscuți de dezvoltatorii unor astfel de programe. Programe medicale sau fagi,și programe de vaccinare nu numai că găsesc fișiere infectate cu viruși, ci și le „tratează”, adică. eliminați corpul programului virus din fișier, readucerea fișierelor la starea inițială. La începutul activității lor, fagii caută viruși în RAM, distrugându-i și abia apoi procedează la „curățarea” fișierelor. Printre fagi sunt polifage, acestea. Programe medicale concepute pentru a căuta și distruge un număr mare de viruși. Cele mai cunoscute polifage sunt programele Aidstest , Scanare, Norton AntiVirusși Doctor Web . Având în vedere că apar în mod constant noi viruși, programele de detectare și programele medicale devin rapid depășite și sunt necesare actualizări regulate ale versiunilor lor. Programul de auditor sunt printre cele mai fiabile mijloace de protecție împotriva virușilor. Auditorii își amintesc starea inițială a programelor, directoarelor și zonelor de sistem ale discului atunci când computerul nu este infectat cu un virus, apoi compară periodic sau la cererea utilizatorului starea actuală cu cea originală. Modificările detectate sunt afișate pe ecranul monitorului video. De regulă, compararea stărilor se efectuează imediat după încărcarea sistemului de operare. La comparare, sunt verificate lungimea fișierului, codul de control ciclic (suma de verificare a fișierului), data și ora modificării și alți parametri. Programele de auditor au algoritmi destul de dezvoltați, detectează virușii ascunși și chiar pot distinge modificările versiunii programului verificat de modificările făcute de virus. Printre programele de audit se numără și programul Adinf de la Dialog-Science, care este utilizat pe scară largă în Rusia. Programe de filtrare sau "paznic" sunt mici programe rezidente concepute pentru a detecta acțiunile suspecte în timpul funcționării computerului, caracteristice virușilor. Astfel de acțiuni pot fi:

încearcă să corecteze fișierele cu extensii COM și EXE;

modificarea atributelor fișierului;

scriere directă pe disc la adresa absolută;

scrierea în sectoarele de boot ale discului.

Când orice program încearcă să efectueze acțiunile specificate, „paznicul” trimite un mesaj utilizatorului și oferă să interzică sau să permită acțiunea corespunzătoare. Programele de filtrare sunt foarte utile deoarece sunt capabile să detecteze un virus în cel mai timpuriu stadiu al existenței sale înainte de replicare. Cu toate acestea, nu „curăță” fișierele și discurile. Pentru a distruge virușii, trebuie să utilizați alte programe, cum ar fi fagii. Dezavantajele programelor de supraveghere includ „intruzivitatea” lor (de exemplu, emit în mod constant un avertisment cu privire la orice încercare de a copia un fișier executabil), precum și posibilele conflicte cu alt software. Un exemplu de program de filtrare este programul Vsafe, incluse în pachetul de utilitare pentru sistemul de operare MS DOS. Vaccinuri sau imunizatoare- Acestea sunt programe rezidente care previn infectarea fișierelor. Vaccinurile sunt folosite dacă nu există programe medicale care să „trateze” acest virus. Vaccinarea este posibilă numai împotriva virusurilor cunoscute. Vaccinul modifică programul sau discul în așa fel încât să nu afecteze funcționarea acestuia, iar virusul îl va percepe ca fiind infectat și, prin urmare, nu va prinde rădăcini. În prezent, programele de vaccinare au o utilizare limitată.Detecția în timp util a fișierelor și discurilor infectate cu viruși și distrugerea completă a virușilor detectați pe fiecare computer ajută la evitarea răspândirii unei epidemii de viruși la alte computere. Kit antivirus JSC „Dialog-Science” Dintre abundența de instrumente software moderne pentru combaterea virușilor informatici, trebuie acordată preferință kitului antivirus al Dialog-Science JSC, care include patru produse software: Aidstest și Doctor Web polyphages (Dr.Web pe scurt), ADinf disk auditor și unitatea de tratament ADinf Cure Module. Să aruncăm o scurtă privire la cum și când să folosiți aceste programe antivirus. Programul Aidstest polifagi . Aidstest - Acesta este un program care poate detecta și distruge mai mult de 1.300 de viruși informatici care sunt cel mai răspândit în Rusia. Versiuni Aidstest sunt actualizate regulat și completate cu informații despre noi viruși. A apela Aidstest ar trebui să introduceți comanda:AIDSTEST []unde cale este numele unității, numele complet sau specificația fișierului, masca grupului de fișiere:* - toate partițiile hard diskului,** - toate unitățile, inclusiv unitățile de rețea și CD ROM; opțiuni - orice combinație a următoarelor taste: /F - remediați programele infectate și ștergeți-le pe cele corupte; /G - scanați toate fișierele la rând (nu numai COM, EXE și SYS); /S - muncă lentă pentru a căuta viruși corupti; /X - ștergeți toate fișierele cu încălcări în structura de virusul; /Q - cere permisiunea de a șterge fișierele corupte; /B - nu se oferă să proceseze următoarea dischetă. Exemplul 11.27 Aidstest să verifice și să „trateze” discul ÎN:. Programele infectate detectate vor fi remediate. Toate fișierele de pe disc sunt supuse scanării. Dacă fișierul nu poate fi remediat, programul va cere permisiunea de a-l șterge: aidstest b: /f/g/q Programul polifagilor Doctor Web. Acest program este conceput în primul rând pentru a combate virușii polimorfi care au apărut relativ recent în lumea computerelor. Utilizare Dr. Web pentru a scana discurile și a elimina virușii detectați, în general similari programului Aidstest.În acest caz, practic nu există o duplicare a controalelor, deoarece AidstestȘi Dr.Web lucrează pe diferite seturi de viruși. Program Dr.Web poate lupta eficient împotriva virușilor mutanți complexi care depășesc capacitățile programului Aidstest. Spre deosebire de Aidstest program Dr.Web este capabil să detecteze modificări în propriul cod de program, să identifice în mod eficient fișierele infectate cu viruși noi, necunoscuți, să pătrundă în fișierele criptate și ambalate și, de asemenea, să depășească „acoperirea vaccinului”. Acest lucru se realizează datorită prezenței unui analizor euristic destul de puternic. În modul de analiză euristică, programul Dr.Web examinează fișierele și zonele de sistem ale discurilor, încercând să detecteze viruși noi sau necunoscuți prin secvențe de cod caracteristice virușilor. Dacă sunt găsite, este afișat un avertisment care indică faptul că obiectul poate fi infectat cu un virus necunoscut Sunt furnizate trei niveluri de analiză euristică. În modul de analiză euristică, sunt posibile false pozitive, adică detectarea fișierelor care nu sunt infectate. Nivelul „euristică” implică un nivel de analiză a codului fără prezența unor fals pozitive. Cu cât este mai mare nivelul euristicii, cu atât este mai mare procentul de erori sau fals pozitive. Sunt recomandate primele două niveluri ale analizorului euristic, al treilea nivel de analiză euristică prevede verificarea suplimentară a fișierelor pentru momentul „suspect” al creării lor. Unii viruși, atunci când infectează fișiere, stabilesc un timp de creare incorect, ca semn că fișierele sunt infectate. De exemplu, pentru fișierele infectate, secundele pot fi 62, iar anul de creare poate fi mărit cu 100 de ani. Inclus în programul antivirus Dr.Web poate include, de asemenea, fișiere suplimentare la baza de date principală de viruși a programului, extinzându-și capacitățile. Lucrați cu programul Dr. Web posibil în două moduri:

în modul de interfață pe ecran complet folosind meniuri și casete de dialog;

în modul de control al liniei de comandă.

Pentru o utilizare neregulată, primul mod este mai convenabil, dar pentru utilizarea regulată în scopul controlului sistematic al introducerii dischetelor, este mai bine să utilizați al doilea mod. Când utilizați al doilea mod, comanda de pornire corespunzătoare Dr. Web trebuie incluse fie în meniul utilizator al shell-ului de operare Norton Commander, fie într-un fișier batch special. Linia de comandă pentru lansarea Dr. Web arată astfel: DrWeb [unitate: [cale] ] [chei] unde unitate:X: - un dispozitiv logic al unui hard disk sau un dispozitiv fizic al unei dischete, de exemplu F: sau A:, * - toate logice dispozitive de pe un hard disk, cale - aceasta este calea sau masca fișierelor necesare. Cele mai importante chei: /AL - diagnosticarea tuturor fișierelor de pe un dispozitiv dat; /CU[P] - „dezinfectia” discurilor și fișierelor, eliminarea virușilor detectați; P - eliminarea virușilor cu confirmarea utilizatorului; /DL - eliminarea fișierelor pentru care tratamentul corect este imposibil; /NA[level] - analiza euristică a fișierelor și căutarea de viruși necunoscuți în ele, unde nivelul poate lua valorile 0, 1, 2; /RP[nume fișier] - înregistrarea jurnalului de lucru într-un fișier (implicit în fișierul REPORT. WEB);/CL - lansarea programului în modul linie de comandă; la testarea fișierelor și a zonelor de sistem , interfața pe ecran complet nu este utilizată;/QU - ieșire în DOS imediat după testare;/? - afișarea unui scurt ajutor pe ecran.Dacă nu este specificată nicio cheie pe linia de comandă Dr.Web, atunci toate informațiile pentru lansarea curentă vor fi citite din fișierul de configurare DRWEB.INI, aflat în același director cu fișierul DRWEB.EXE . Fișierul de configurare este creat în timpul lucrului cu programul Dr.Web folosind comanda pentru a salva parametrii necesari pentru testare. Exemplul 11.28. Rularea unui program antivirus Dr.Web pentru verificarea si tratarea discului ÎN:. Fișierele infectate detectate vor fi „vindecate”. Toate fișierele de pe disc sunt supuse scanării. Dacă fișierul nu poate fi „vindecat”, programul va cere permisiunea de a-l șterge. Pentru a căuta viruși, trebuie utilizată analiza euristică nivelul 1. Programul trebuie executat numai în modul linie de comandă cu ieșire în DOS după finalizarea testării: DrWeb În: /AL /CUP /HA1 /QU / CL Tehnologie pentru lucrul cu programul Dr. Web în modul interfață ecran complet. Pentru a lansa în modul de interfață pe ecran complet, trebuie doar să introduceți doar numele programului în linia de comandă. Imediat după încărcarea programului, va începe testarea memoriei RAM a computerului, cu excepția cazului în care a fost dezactivată de setările anterioare. Progresul testării este afișat în fereastra de testare. Odată ce testul de memorie este finalizat, acesta se va opri. Puteți continua să rulați programul dacă utilizați meniul principal situat în linia de sus a ecranului. Pentru a activa meniul, apăsați tasta .Meniul principal conține următoarele moduri: Dr.WebTest Settings Add-ons Când selectați orice mod, se deschide submeniul corespunzător.Submeniu Dr.Web vă permite să ieșiți temporar în DOS, să obțineți informații succinte despre programul Dr.Web și autorul acestuia sau să părăsiți programul Submeniul Test vă permite să efectuați operațiuni de bază de testare și dezinfectare a fișierelor și discurilor, precum și vizualizarea rapoartelor privind acțiunile efectuate. Submeniul Setări este folosit pentru a instala folosind casetele de dialog pentru setările programului, setarea căilor de căutare și măștilor și salvarea parametrilor în fișierul de configurare DRWEB.INI. Pentru a conecta fișierele de completare la baza de date principală a programului, extinzând capabilitățile sale, modul Suplimente.Anti-Virus Disk Auditor ADinf. Inspectorul ADinf vă permite să detectați apariția oricărui virus, inclusiv viruși ascunși, viruși mutanți și viruși necunoscuți în prezent. Program ADinf isi aminteste:

informații despre sectoarele de boot;

informații despre clusterele eșuate;

lungimea și sumele de verificare ale fișierelor;

data și ora la care au fost create fișierele.

Pe parcursul întregii operațiuni a computerului, programul ADinf monitorizează păstrarea acestor caracteristici. În modul de control zilnic ADinf pornește automat în fiecare zi când porniți computerul pentru prima dată. Modificările asemănătoare virușilor sunt monitorizate în special și este emis un avertisment imediat. Pe lângă monitorizarea integrității fișierului ADinf monitorizează crearea și ștergerea subdirectoarelor, crearea, ștergerea, mutarea și redenumirea fișierelor, apariția de noi clustere eșuate, siguranța sectoarelor de boot și multe altele. Toate locurile posibile pentru intrarea virusului în sistem sunt blocate. Adinf verifică discurile fără a folosi DOS, citindu-le sector cu sector accesând direct BIOS-ul. Datorită acestei metode de verificare ADinf detectează viruși ascunși camuflati și oferă scanare de disc de mare viteză. Bloc de tratament Modulul ADinfCure. Modulul ADinfCure - acesta este un program care ajută la „vindecarea” computerului de un virus nou, fără a aștepta cele mai recente versiuni ale Aidstest sau Dr.Web, cui va fi cunoscut acest virus. Program Modulul ADinfCure profită de faptul că, în ciuda varietății uriașe de viruși, există foarte puține metode diferite de injectare a acestora în fișiere. În timpul funcționării normale, când auditorul Adinf este lansat în mod regulat, acesta raportează Modulul ADinf Cure despre ce fișiere s-au schimbat de la ultima lansare. Modulul Adinf Cure analizează aceste fișiere și înregistrează în tabelele sale informații care pot fi necesare pentru a recupera fișierul dacă este infectat cu un virus. Dacă a apărut o infecție, ADinf va observa modificările și va suna din nou Modulul Adinf Cure, care, pe baza analizei fișierului infectat și a comparării acestuia cu informațiile înregistrate, va încerca să restabilească starea inițială a fișierului. Măsuri de bază de protecție împotriva virușilor Pentru a evita expunerea computerului la viruși și pentru a asigura stocarea fiabilă a informațiilor pe discuri, trebuie să respectați următoarele reguli:

echipați-vă computerul cu software antivirus actualizat, cum ar fi Aidstest sau Doctor Web,și să își actualizeze în mod constant versiunile;

Înainte de a citi informațiile înregistrate pe alte computere de pe dischete, verificați întotdeauna aceste dischete pentru viruși, rulând programe antivirus pe computer;

când transferați fișiere în formă arhivată pe computer, verificați-le imediat după ce le dezarhivați pe hard disk, limitând zona de scanare doar la fișierele nou înregistrate;

verificați periodic hard disk-urile computerului dvs. pentru viruși, rulând programe antivirus pentru a testa fișierele, memoria și zonele de sistem ale discurilor de pe o dischetă protejată la scriere, după ce ați încărcat sistemul de operare și de pe o dischetă de sistem protejată la scriere;

Protejați-vă întotdeauna dischetele de scriere atunci când lucrați pe alte computere dacă informațiile nu vor fi înregistrate pe ele;

asigurați-vă că faceți copii de rezervă pe dischete ale informațiilor care sunt valoroase pentru dvs.;

nu lăsați dischete în buzunarul unității A: când porniți sau reporniți sistemul de operare pentru a preveni infectarea computerului cu virușii de boot;

utilizați programe antivirus pentru controlul intrării tuturor fișierelor executabile primite din rețelele de calculatoare;

pentru a asigura o mai mare siguranță în utilizare AidstestȘi Doctor Web trebuie combinat cu utilizarea zilnică a Disk Auditor ADinf.