Лаба №4 «Вирусы и антивирусы»

1. Компьютерный вирус - это программа, способная создавать свои дубликаты (не обязательно совпадающие с оригиналом) и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению.

2. Макровирусы - вирусы этого семейства используют возможности макроязыков, встроенных в системы обработки данных (текстовые редакторы, электронные таблицы и т.д.). В настоящее время наиболее распространены макровирусы заражающие текстовые документы редактора Microsoft Word.

3. Стелс-вирус (англ. stealth virus — вирус-невидимка) — вирус, полностью или частично скрывающий свое присутствие в системе, путем перехвата обращений к операционной системе, осуществляющих чтение, запись, чтение дополнительной информации о зараженных объектах (загрузочных секторах, элементах файловой системы, памяти и т. д.)

4. Полиморфизм компьютерного вируса (греч. πολυ- — много + греч. μορφή — форма, внешний вид) — специальная техника, используемая авторами вредоносного программного обеспечения для снижения уровня детектирования вредоносной программы классическими антивирусными продуктами. Полиморфы – это вирусы, содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов (сигнатуры или маски вируса).

5. Резидентный вирус - это вирус, который постоянно находится в памяти компьютера. Он способен очень эффективно заражать программы и противодействовать антивирусам и средствам защиты. Обычно активируется когда компьютер достигнет определенного состояния, например срабатывание таймера.

6. Причины появления и распространения компьютерных вирусов обусловлены отсутствием аппаратных средств защиты и противодействия со стороны операционной системы персонального компьютера.

7. Пути проникновения вирусов:

• Вирусы могут попасть в компьютер вместе с каким-либо программным обеспечением, которое пользователь сам запустит и даст вирусу возможность размножаться и наносить вред.

• Использование пиратских копий. Такие диски – среда не только для распространения, но и «надежного» сохранения вирусов.

• Электронные доски объявления ( Bulletin Board System – BBS ), серверы FTP. Это системы, которые позволяют обмениваться программным обеспечением.

• Электронная почта. Слепо доверяя электронной почте, Вы рискуете заразить свой компьютер вирусом или пострадать от вредоносной программы.

• Съемные диски ( CD - disk или DVD - disk, Flash -память, мобильный телефон).

8. Зараженный диск — это диск, в загрузочном секторе которого находится вирус.

Зараженный файл — это файл, содержащий внедренную в него программу-вирус.

9. Характерные признаки заражения:

• компьютер ведет себя странно, непривычно.

• на экране появились неожиданные сообщения или изображения;

• вы слышите неожиданные звуки, воспроизводимые в случайном порядке;

• происходит неожиданный запуск программ;

• ваш персональный сетевой экран сообщает, что некое приложение пытается соединиться с интернетом, хотя вы эту программу не запускали;ваши друзья получают от вас по электронной почте сообщения, которых вы не посылали;

• ваш компьютер часто зависает, или программы стали выполняться медленно;

• вы получаете множество системных сообщений об ошибке;

• при включении компьютера операционная система не загружается;

• вы обнаружили пропажу или изменение файлов или папок;

• загорается индикатор доступа к жесткому диску, хотя вы не запускали никаких программ;

• ваш браузер ведет себя неадекватно – например, вы не можете закрыть окно обозревателя.

10. Резиде́нтная защи́та — компонент антивирусного программного обеспечения, находящийся в оперативной памяти компьютера и сканирующий в режиме реального времени все файлы, с которыми осуществляется взаимодействие пользователя, операционной системы или других программ.

11. Полифаги. Самыми популярными и эффективными антивирусными программами являются антивирусные программы полифаги (например, Kaspersky Anti-Virus, Dr.Web). Принцип работы полифагов основан на проверке файлов, загрузочных секторов дисков и оперативной памяти и поиске в них известных и новых (неизвестных полифагу) вирусов.

12. Ревизо́р (от лат. revisor — пересматривающий; ср. лат. revisio — пересмотр) — компьютерная программа, запоминающая состояние компьютера, следящая за изменениями файловой системы и сообщающая о важных или подозрительных изменениях пользователю.

Программа-ревизор следит за изменениями файлов на компьютере. Для этого не обязательно делать копии всех файлов. Достаточно запомнить названия файлов и папок, размеры файлов и их контрольные суммы (либо специальные хеш-функции). Эта информация занимает немного места на диске, но позволяет заметить изменение любого файла. Периодически (по расписанию) или по приказу пользователя ревизор проверяет текущее состояние файловой системы и сравнивает с прежним. О подозрительных изменениях немедленно сообщается, об остальных пользователь может узнать при желании.

13. Программы-доктора не только находят файлы, зараженные вирусами, но и лечат их, удаляя из файла тело прогаммы-вируса. Программы-доктора, которые позволяют лечить большое число вирусов, называются полифагами.

14. Сетевые вирусы используют для своего распространения протоколы или команды компьютерных сетей и электронной почты. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. Наиболее известны вирусы-репликаторы, называемые червями, которые вычисляют адреса сетевых компьютеров и рассылают по этим адре­сам свои копии, запуская их на выполнение.

В зависимости от способа проникновения в систему черви делятся на типы:

• Сетевые черви используют для распространения локальные сети и Интернет

• Почтовые черви - распространяются с помощью почтовых программ

• IM-черви используют системы мгновенного обмена сообщениями¹⁾

• IRC-черви распространяются по каналам IRC IRC (от англ. Internet Relay Chat - ретранслируемый интернет-чат) - система обмена сообщениями в режиме реального времени.

15. Загрузочные вирусы внедряются в загрузочный сектор диска (Вооt-сектор) или в сектор, содержащий программу загрузки системного диска (Маster Вооt Record), либо меняют указатель на активный bооt-сектор. Файловые вирусы либо различными способами внедряются в исполняемые модули, т.е. в файлы, имеющие расширения СОМ и ЕХЕ (самый распространенный тип вирусов), либо создают файлы двойники (вирусы компаньоны), либо используют особенности организации файловой системы. Файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков.

16. В целях борьбы со stealth-вирусами ранее рекомендовалось (и, в принципе, рекомендуется и сейчас) осуществлять альтернативную загрузку системы с гибкого диска и только после этого проводить поиск и удаление вирусных программ. В настоящее время загрузка с гибкого диска может оказаться проблематичной (для случая с win32 антивирусными приложениями запустить их не удастся). 

17. Классический антивирус – (определение приводится выше)

Антишпион (antispyware) - антивирусная программа, предназначенная для обнаружения и удаления шпионского программного обеспечения (spyware) с компьютера пользователя. Сегодня антишпионы в чистом виде практически не используются. Как правило, они включаются в состав антивирусов или комплексных средств защиты компьютеров и имеют дополнительные функции позволяющие удалять агрессивную рекламу (add-aware), номеронабиратели (scumware), кейлоггеры  (keylogger) и другие вредоносные программы.

Онлайн сканер -  антивирусное  средство  для обнаружения и удаления вирусов из файловой  системы персонального компьютера, подключенного к сети интернет. Основным преимуществом онлайн сканеров является отсутствие необходимости инсталляции приложения. К недостаткам можно отнести тот факт, что сканер только обнаруживает вирусы, которые уже проникли систему и не способен защитить компьютер от будущего заражения

Сетевой экран (firewall) - это программа, обеспечивающая безопасную работу компьютера в локальных сетях и интернете, которая позволяет блокировать нежелательный сетевой трафик, а также обеспечивает невидимость компьютера в сети, с целью предотвращения кибер атак.  Актуальность использования этого эффективного средства безопасности растет по мере лавинообразно нарастающего объёма и скорости создания вирусов и других вредоносных программ.

Комплексная защита - это комплекс антивирусных программных средств, представляемый, как правило, под названием "Internet Security"  и включающий в себя все перечисленные выше средства защиты компьютера плюс дополнительные функциональные компоненты, такие как родительский контроль, защита от спама и многое другое.

18. Вирусы компаньоны не изменяют заражаемые файлы. Алгоритм работы этих вирусов состоит в том, что они создают для EXE-файлов файлы-спутники, имеющие то же самое имя, но с расширением .COM, например, для файла XCOPY.EXE создается файл XCOPY.COM. Вирус записывается в COM-файл и никак не изменяет EXE-файл. При запуске такого файла DOS первым обнаружит и выполнит COM-файл, т.е. вирус, который затем запустит и EXE-файл.

19. Паразитические - они обязательно изменяют содержимое файлов, при этом оставляя сами файлы полностью или частично работоспособными. Вирусы компаньоны создают для EXE-файлов файлы-спутники, имеющие то же самое имя, но с расширением .COM. Вирус записывается в COM-файл и никак не изменяет EXE-файл.

20. Недостатки полифагов:

Проблема 1:      Малейшие модификации вредоносной программы могут сделать его невидимым для сканера. Поскольку существует несколько десятков вариантов вируса, то почти для каждого из них антивирусным компаниям приходится выпускать отдельное обновление антивирусной базы.

Проблема 2:      Во время между появлением вредоносной программы и выходом соответствующего обновления пользователь оставался практически незащищенным от атак новых вирусов. Позднее, эксперты придумали и внедрили в сканеры оригинальный способ обнаружения неизвестных вредоносных программ – эвристический анализатор, т.е. анализ кода программы на предмет возможного присутствия в нем вредоносной программы. Однако, данный метод характеризуется высоким уровнем ложных срабатываний, недостаточной надежностью и невозможностью вылечить обнаруженное вредоносное ПО.

Проблема 3:      Антивирусный сканер проверяет файлы, только когда пользователь “попросит“ его это сделать, т.е. запустит сканер. Это требует от пользователя постоянного внимания и концентрации. Очень часто он забывает проверить сомнительный файл, загруженный, например, из Интернета и, в результате, своими руками заражает компьютер. Сканер способен определить факт заражения только уже после того, как в системе появится вредоносная программа.

21. Достоинства ревизора: высокая скорость проверки системных файлов. Недостатки ревизора: программа должна быть запущена постоянно, пока включен компьютер.

22. Мониторы – это разновидность сканеров, которые, постоянно находясь в памяти компьютера, отслеживают вирусоподобные ситуации, производимые с диском и памятью, т.е. выполняют непрерывный мониторинг выполняемых компьютером процессов. Примером таких антивирусов может быть программа Kaspersky Anti-Virus или SpIDer Guard. Недостатки мониторов: они могут конфликтовать с другим программным обеспечением. Как и у сканеров, эффективность мониторов зависит от частоты обновления антивирусных баз. Кроме этого использование мониторов не дает 100% защиты, т.к. есть вирусы, способные обманывать и обходить защиту мониторов.

23. Вакцины или иммунизаторы — это программы, блокирующие заражение каким-либо типом вируса. Вакцинация возможна только от известных вирусов. Файлы на диске моди­фицируются таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными. Для защиты от резидентного вируса в память заносится программа, имитирующая копию вируса, при запуске вирус натыкается на нее и считает, что система уже заражена.

24. Полиморфы – это вирусы, содержащие алгоритмы шифровки-расшифровки, благодаря которым копии одного и того же вируса не имеют ни одной повторяющейся цепочки байтов (сигнатуры или маски вируса). Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

Для поиска известных вирусов сканеры используют маски вируса (некоторая постоянная последовательность кода, специфичная для конкретного вируса), содержащиеся в антивирусных базах. Если же вирус не содержит постоянной маски (полиморфы), то может использоваться алгоритмический язык, описывающий все возможные варианты кода, которые могут встретиться при заражении подобного типа вирусом. Во многих сканерах используются алгоритмы эвристического сканирования.