Антивирусные средства

Программы, защищающие от вирусов, делятся на:

• программы-детекторы, которые обнаруживают вирусы;

• программы-иммунизаторы, которые изменяют программы так, что вирусы считают их уже зараженными. Так как многие вирусы повторно файл не заражают, иммунизация позволяет защищаться от вирусов такого «однократного» действия;

• программы-фаги, которые не только обнаруживают, но и уничтожают вирусы. Если программа способна уничтожать вирусы различной природы, то ее обычно называют полифагом. Иногда после уничтожения вируса удается восстановить исходное состояние зараженного файла. В тех случаях, когда возможности восстановления нет, зараженные файлы называют неизлечимыми. Неизлечимые файлы необходимо уничтожать. Как раз в таких случаях и требуются чистые резервные копии программ, размещенные на защищенных от записи дискетах;

• программы-фильтры (сторожа, мониторы), которые после включения компьютера могут постоянно находиться в рабочем состоянии и при возникновении отклонений в нормальной работе компьютера выдавать сигнал опасности. Это позволяет обнаружить проникновение вируса на ранних стадиях и минимизировать возможный ущерб от его действий.

К наиболее популярным в настоящее время антивирусным средствам можно отнести пакеты Norton AntiVirus, AVP, Aidstest, Adinf, Doctor Web и DSAV. Пакет Norton AntiVirus (разработка фирмы Symantec), по оценкам ряда экспертов, одна из наиболее мощных программ-детекторов, в котором предусмотрены также средства иммунизации. Но он не вполне удачен с точки зрения удаления вирусов. Пакет AVP — AntiViral Toolkit Pro (разработка группы Е. Касперского, фирма «КАМИ», Москва) имеет одну из самых больших в мире обновляемых антивирусных баз данных. Программа обеспечивает высокую вероятность того, что обнаруженный сложный вирус будет корректно удален. Пакет Aidstest (автор Д. Лозинский, фирма «Диалог Наука», Москва) — одна из известнейших на территории нашей страны программа-полифаг, способна уничтожать большинство встречающихся вирусов. Однако она не в состоянии бороться с полиморфными вирусами и обнаруживать вирусоподобные действия. Пакет Adinf (автор Д. Мостовой, фирма «Диалог Наука») отличается тем, что работает с диском по секторам через BIOS. Это позволяет обнаруживать так называемые стелс-вирусы (вирусы-невидимки), в том числе ранее не известные вирусы. Пакет Doctor Web (автор И. Данилов, фирма «Диалог Наука»), как и Aidstest, — программа-полифаг. База данных о вирусах значительно мощнее, чем у Aidstest, но быстродействие ниже. Для удовлетворения различных потребностей фирма «Диалог Наука» предлагает комплект антивирусных программ DSAV (Dialogue Science Anti Virus Kit), который состоит из пакетов Aidstest, Adinf и Doctor Web.

Семейство антивирусных программ Doctor Web

Антивирусные программы семейства Doctor Web выполняют поиск и удаление известных программе вирусов из памяти и с дисков компьютера, а также осуществляют эвристический анализ файлов и системных областей дисков компьютера. Эвристический анализатор является важным отличительным элементом пакета. Он позволяет с высокой степенью вероятности обнаруживать новые, ранее неизвестные программе компьютерные вирусы. Антивирусная программа Doctor Web выпускается с 1994 года. К настоящему времени выпущено большое количество версий этой программы. На момент написания пособия распространялась версия Doctor Web 4.27, которая, по сути, представляет собой комплект из двух программ: собственно программы-полифага Doctor Web и дополнительной резидентной (то есть постоянно находящаяся в оперативной памяти) программы-сторожа SpIDer Guard. Программа-полифаг Doctor Web обнаруживает и удаляет фиксированный набор известных вирусов в памяти, файлах и системных областях дисков компьютера. В настоящее время она обнаруживает и обезвреживает более 25 000 различных вирусов.

Резидентный сторож SpIDer Guard, находясь в оперативной памяти компьютера, постоянно контролирует вирусоподобные ситуации, производимые различными программами с диском и памятью. SpIDer Guard перехватывает обращения к файлам и системным областям дисков, осуществляя проверку на наличие в них компьютерных вирусов «на лету». Обнаружив вирус, SpIDer Guard предпринимает действия по обезвреживанию (лечению, удалению) или блокированию инфицированного файла (запрещение доступа к инфицированному файлу). Действия могут предприниматься в автоматическом, то есть без вмешательства пользователя, или полуавтоматическом режимах, когда пользователь самостоятельно определяет тип конкретного действия с инфицированным файлом. Таким образом, при активизированном стороже доступ к файлам и/или системным областям разрешается только в случае, если вирусы не обнаружены либо их удалось обезвредить. После загрузки операционной системы программа SpIDer Guard автоматически запускается в резидентном режиме, а ее значок помещается в панель индикации панели задач рабочего стола Windows (рис. 10.13). После запуска программа SpIDer Guard находится в активном режиме до выключения компьютера.

Рис. 10.13. Значок программы SplDer Guard в панели индикации

Если программа Doctor Web установлена стандартным образом, то для ее запуска следует выполнить команду Программы > Doctor Web > Doctor Web основного меню или же выполнить двойной щелчок по значку программы на рабочем столе. Сразу после запуска программа автоматически производит проверку наличия вируса в оперативной памяти. После окончания тестирования оперативной памяти программа выводит в строке состояния окна сообщение: Вирусов в памяти не обнаружено или сообщение об обнаружении и обезвреживании какого-либо резидентного вируса. Затем ее окно принимает вид, изображенный на рис. 10.14.

Рис.10.14. Окно антивирусной программы Doctor Web версии4.22

Перед проверкой дисковых устройств полезно проверить установленные режимы работы программы. Для этого нужно выполнить команду Настройки > Изменить установки, нажать на функциональную клавишу F9 или кнопку Установки в инструментальной панели. Окно Установки имеет несколько страниц. Элементы управления наиболее важными для практики режимами сосредоточены на страницах Проверка (рис. 10.15) и Действия (рис. 10.16).

Рис. 10.15. Страница Проверка окна Установки

Рис.10.16. Страница Действия окна Установки

На странице Проверки рекомендуется включить флажки Эвристический анализ, Проверять память, Проверять загрузочные секторы и Проверять подкаталоги. На странице Действия следует указать конкретное действие, которое программа должна выполнить при обнаружении инфицированных, неизлечимых и подозрительных файлов. Для инфицированных рекомендуется включить переключатель Вылечить, для неизлечимых — Удалить и для подозрительных — Информировать. После установки тех или иных режимов проверки нужно нажать на кнопки Применить и ОК.

В основном окне программы (рис. 10.14) в правом нижнем углу находится кнопка Начать/Завершить проверку, которая в исходном состоянии имеет вид, изображенный на рис. 10.17, слева. Внешний вид этой кнопки показывает, что проверка пока еще запрещена. Для того чтобы разрешить ее выполнение, необходимо указать, какие именно диски подлежат проверке. Это можно сделать с помощью флажков группы Выделить диски или с помощью дерева папок, которое устроено точно так же, как и дерево папок в окне программы Проводник. После того как будет выбран и указан хотя бы один диск, кнопка, расположенная в правом нижнем углу окна, примет вид, разрешающий выполнение проверки (рис. 10.17, средний). Чтобы начать ее выполнение, следует щелкнуть клавишей мыши на кнопке Начать/Завершить проверку, выполнить команду Файл > Начать проверку или использовать сочетание клавиш Ctrl+F5.

Рис. 10.17. Возможные состояния кнопки Начать/Завершить проверку

После этого программа начинает проверку выбранных дисков, а кнопка Начать/Завершить проверку принимает вид, изображенный на рис. 10.17, справа. С ее помощью в любой момент времени можно остановить проверку дисков. Если во время проверки обнаружатся инфицированные или подозрительные на наличие вирусов объекты, будет издан звуковой сигнал и выполнено установленное ранее действие. Подробные результаты выполненной проверки можно получить с помощью команды Вид > Статистика. Завершается работа с программой по команде Файл > Выход, с помощью сочетания клавиш Alt+X или значка Выход.

Рекомендуемый порядок действий при применении пакета программ Doctor Web для обнаружения и уничтожения компьютерных вирусов:

1) запустить программу Doctor Web командой Программы > Doctor Web > Doctor Web основного меню или соответствующим значком рабочего стола;

2) после окончания тестирования оперативной памяти командой Настройки > Изменить установки, значка Установки или функциональной клавишей F9 вызвать окно параметров, просмотреть и при необходимости переустановить режимы выполнения поиска вирусов;

3) в основном окне программы указать диски, для которых должна быть выполнена проверка;

4) с помощью кнопки Начать/Завершить проверку, командой Файл > Начать проверку или сочетанием клавиш Ctrl+F5 запустить процесс проверки;

5) командой Файл > Выход, значком Выход или сочетанием клавиш Alt+X завершить работу пакета.