Раздел "компьютерные вирусы" в информационной прессе в настоящее время буквально пестрит разнообразными сообщениями о появлении новых разновидностей вирусных инфекций (в дальнейшем - просто "вирусы"). Но рядом с такими сообщениями всегда рисуется реклама средств активной и пассивной борьбы с вирусами, приводятся рекомендации по предохранению от заражения и леденящие душу описания последствий и симптомов "заболевания".

Распространение компьютерных вирусов приобрело такие масштабы, что практически любому пользователю хоть раз в жизни пришлось столкнуться с вирусом на своем компьютере. Количество известных вирусов исчисляется тысячами (по подсчетам экспертов в настоящее время существует около 3 тысяч вирусов), а хакеры постоянно пишут новые, самоутверждаясь в своих глазах. Надо заметить, что такой способ самоутверждения сильно напоминает привычку писать на заборах, весьма распространенную в определенных кругах. Но это вопрос более этики, чем технологии. Борцы с вирусами идут по пятам их разработчиков. Рынок антивирусных программ в настоящее время выходит на первое место по объему, по крайней мере, по числу продаваемых копий программ. Именно поэтому фирмы стали включать антивирусные средства в комплекты программ или операционных систем.

1. Защита от компьютерных вирусов

а) Что такое компьютерный вирус?

Компьютерный вирус - это специально составленная небольшая по размерам программа, которая может "приписывать" себя к другим программам, файлам (т.е. "заражать" их), а также выполнять различные нежелательные действия на компьютере (выдавать нежелательные сообщения, портить данные на дисках, "засорять" память компьютера, размножаться и т.д.).

Программа, внутри которой находится вирус, называется "зараженной". Когда такая программа начинает работу, то сначала управление получает вирус. Он находит и "заражает" другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения файлов на диске, "засоряет" оперативную память и т.д.). Для маскировки вируса действия по заражению других программ и нанесению вреда могут выполняться не всегда, а, скажем, при выполнении определенных условий. После того, как вирус выполнит нужные ему действия, он передает управление той программе, в которой он находится, и она работает также, как обычно. Тем самым внешне работа зараженной программы выглядит так же, как и незараженной. Все действия вируса могут выполняться достаточно быстро и без выдачи каких-либо сообщений, поэтому пользователю очень трудно заметить, что в компьютере происходит что-то необычное.

Пока на компьютере заражено относительно мало программ, наличие вируса может быть практически незаметно. Однако по прошествии некоторого времени на компьютере начинает твориться что-то странное, например:

работа на компьютере существенно замедляется;

некоторые файлы оказываются испорченными;

некоторые программы перестают работать или начинают работать неправильно;

на экран (или принтер) выводятся посторонние сообщения, символы, и т.д.

К этому моменту, как правило, уже достаточно много (или даже большинство) тех программ, которыми Вы пользуетесь, являются зараженными вирусом, а некоторые файлы и диски - испорченными. Более того, зараженные программы с Вашего компьютера могли уже быть перенесены с помощью дискет или по локальной сети на компьютеры Ваших коллег или друзей.

Некоторые разновидности вирусов ведут себя еще более коварно. Они сначала незаметно заражают большое число программ или дисков, а потом причиняют очень серьезные повреждения, например, форматируют жесткий диск на компьютере. А бывают вирусы, которые стараются вести себя как можно более незаметно, но понемногу портят данные на жестком диске компьютера. Таким образом, если не предпринимать мер по защите от вирусов, то последствия заражения компьютера могут быть очень серьезными.

Для того чтобы программа-вирус была незаметной, она должна быть небольшой. Поэтому, как правило, вирусы пишутся на языке ассемблера. Некоторые авторы таких программ создали их из озорства, некоторые - из стремления "насолить" кому-либо (например, уволившей их фирме) или из ненависти ко всему роду человеческому. В любом случае созданная программа-вирус может (потенциально) распространиться на всех компьютерах, совместимых с тем, для которого она была написана, и причинить разрушения. Следует принимать во внимание, что написание вируса - не такая уж сложная задача, вполне доступная изучающему программирование студенту. Поэтому в мире еженедельно появляются все новые и новые вирусы. И многие из них "сделаны" в нашей стране и в других недостаточно цивилизованных странах: Болгарии, Пакистане и т.д.

б) Испорченные и зараженные файлы

Компьютерный вирус может испортить, т.е. изменить ненадлежащим образом, любой файл на имеющихся в компьютере дисках. Но некоторые виды файлов вирус может "заразить". Это означает, что вирус может "внедриться" в эти файлы, т.е. изменить их так, что они будут содержать вирус, который при некоторых обстоятельствах может начать свою работу. Следует заметить, что тексты программ и старых версий документов (так сказать DOS-версии), информационные файлы баз данных, таблицы табличных процессоров (DOS-версии) и другие аналогичные файлы не могут быть заражены вирусом, он может их только испортить.

Вирусом могут быть "заражены" следующие виды файлов:

1) Исполнимые файлы

Исполнимые файлы, т.е. файлы с расширениями имени COM и EXE, а также оверлейные файлы, загружаемые при выполнении других программ. Вирусы, заражающие файлы, называются файловыми. Вирус в зараженных исполнимых файлах начинает свою работу при запуске той программы, в которой он находится. Наиболее опасны те файловые вирусы, которые после своего запуска остаются в памяти резидентно. Эти вирусы могут заражать файлы и вредить до следующей перезагрузки компьютера. А если они заразят любую программу, запускаемую из файла AUTOEXEC.BAT или CONFIG.SYS, то и при перезагрузке с жесткого диска вирус снова начнет свою работу.

2) Загрузчик операционной системы и главная загрузочная запись жесткого диска

Вирусы, поражающие эти области, называются загрузочными, или бутовыми. Такой вирус начинает свою работу при начальной загрузке операционной системы и становится резидентным, т.е. постоянно находится в памяти компьютера. Механизм распространения - заражение загрузочных записей вставляемых в компьютер дискет. Как правило, такие вирусы состоят из двух частей, поскольку загрузочные записи имеют небольшой размер и в них трудно разместить целиком программу вируса. Часть вируса, не помещающаяся в них, располагается в другом участке диска, например в конце корневого каталога диска или в кластере в области данных диска (обычно такой кластер объявляется дефектным, чтобы программа вируса не была затерта при записи данных на диск ).

3) Драйверы устройств:

Драйверы устройств, т.е. файлы, указываемые в предложении DEVICE файла CONFIG.SYS. Вирус, находящийся в них, начинает свою работу при каждом обращении к соответствующему устройству. Вирусы, заражающие драйверы устройств, очень мало распространены, поскольку драйверы редко переписывают с одного компьютера на другой. То же самое относится и к системным файлам DOS (MSDOS.SYS и IO.SYS) - их заражение также теоретически возможно, но для распространения вирусов малоэффективно.

4) INTERNET-вирусы

В последнее время с увеличение числа пользователей появились. Вот некоторые из разновидностей этих вирусов:

4.1 Вложенные файлы. Рассмотрим типичную ситуацию: вы получили электронное письмо, во вложении к которому находится документ Microsoft WORD. Конечно, вы захотите поскорее познакомиться с содержанием файла, благо при использовании большинства современных почтовых программ для этого достаточно щелкнуть мышкой на имени этого файла.

И ЭТО - ОШИБКА!

Если в файле содержится макрокомадный вирус (а вирусы этого типа, заражающие документы Microsoft WORD, Microsoft EXCEL и ряд других популярных систем документооборота, получили в последнее время огромное распространение), он немедленно заразит вашу систему. Так что же делать с вложенным документом? Потратить несколько лишних секунд: сохранить его на диск, проверить антивирусной программой последней версии и только потом, если вирусов нет, открывать. Есть другие решения. Например, имеются антивирусные программы, осуществляющие автоматическую проверку приходящей электронной почты. Если вы используете программу - сторож, то при открытии зараженного файла обязательно получите предупреждение (точнее, вам просто не дадут открыть зараженный файл). Ведь сторожу совершенно безразлично, напрямую вы открываете документ или "из-под" почтовой программы.

4.2 Троянские программы. Известные троянские программы, распространяющиеся через Интернет, по существу, представляют собой утилиты для удаленного администрирования компьютера. Проще говоря, посредством такой программы злоумышленник может получить доступ к вашему компьютеру и выполнить на нем различные операции (практически любые) без вашего ведома и участия.

Характерным представителем описанного типа является программа BASK ORIFICE (BO). BO является системой удаленного администрирования, позволяющей пользователю контролировать компьютеры при помощи обычной консоли или графической оболочки. "В локальной сети или через Интернет ВО предоставляет пользователю больше возможности на удаленном WINDOWS-компьютере, чем имеет сам пользователь этого компьютера", - это текст из "рекламного" объявления на одной их хакерских web-страниц. Разумеется, возможность удаленного администрирования вашего компьютера представляет серьезную опасность, но не такую большую, как кажется на первый взгляд. Обычные пользователи проводят в Сети не так много времени (качество телефонных линий этому способствует), да и что такого "интересного" с точки зрения хакера, можно сделать на вашем компьютере? Оказывается, можно, только администрировать ничего не надо. Существенный интерес для хакера представляют пароли, которые вы используете для работы с сервером провайдера. Заполучив пароль, хакер может запросто "просадить" все ваши денежки. К счастью, троянцев, умеющих выполнять указанные функции, довольно мало и все они успешно детектируются антивирусными программами.

4.3 HTML-вирусы. Вирусы данного типа встречаются редко, так что информация о них представляет скорее "академический" интерес, нежели практический. Суть такова: на самом языке HTML, который используется для разметки гипертекстовых документов, никакие вирусы, конечно, написать нельзя. Но для создания динамических страниц, организации взаимодействия с пользователем и прочих действий используются программные вставки (скрипты) в HTML-документы. Известные HTML-вирусы используют скрипты, написанные на языке VISUAL BASIC. С их помощью, находя HTM и HTML-файлы на локальной машине, и записываются в них. Иногда такие вирусы как-нибудь проявляют себя (например, выводят сообщения). Малому распространению вирусов данного типа (равно как и малому их числу) способствует то, что при стандартных настройках браузера выполнение "опасных" (к таковым относятся и те, в которых происходит обращение к файлам локального компьютера) скриптов запрещено. Обычные же, "безопасности", скрипты не могут производить описанные манипуляции.

4.4 Java-вирусы. В настоящее время известны два вируса, написанные на языке JAVA. Опасности они практически не представляют. Кратко поясним, в чем суть: исполняемые модули программ, написанных на JAVA (CLASS-файлы), бывают двух типов: приложения и апплеты. Приложения выполняются под управлением интерпретатора и являются почти обычными программами (почти, ибо имеют все же некоторые ограничения, например, в области работы с памятью). Апплеты, в отличие от приложений, могут выполняться под управлением браузеров, но на них накладываются значительно более серьезные ограничения для обеспечения безопасности: апплеты в частности, не имеют почти никакого доступа к файловой системе компьютера (в отличие от случая со скритами, отключить данное ограничение в браузере невозможно), таким образом, JAVA-вирусы могут быть оформлены только как приложения и для подавляющего большинства пользователей опасности не предоставляют. Как правило, каждая конкретная разновидность вируса может заражать только один или два типа файлов. Чаще всего встречаются вирусы, заражающие исполнимые файлы. Некоторые вирусы заражают только EXE файлы, некоторые - только COM, а большинство - и те и другие. На втором месте по распространенности загрузочные вирусы. Некоторые вирусы заражают и файлы, и загрузочные области дисков. Вирусы, заражающие драйверы устройств, встречаются крайне редко; обычно такие вирусы умеют заражать и исполнимые файлы.

в) Вирусы, меняющие файловую систему

В последнее время получили распространение вирусы нового типа -вирусы, меняющие файловую систему на диске. Эти вирусы обычно называются DIR. Такие вирусы прячут свое тело в некоторый участок диска (обычно - в последний кластер диска) и помечают его в таблице размещения файлов (FAT) как конец файла. Для всех COM- и EXE-файлов содержащиеся в соответствующих элементах каталога указатели на первый участок файла заменяются ссылкой на участок диска, содержащий вирус, а правильный указатель в закодированном виде прячется в неиспользуемой части элемента каталога. Поэтому при запуске любой программы в память загружается вирус, после чего он остается в памяти резидентно, подключается к программам DOS для обработки файлов на диске и при всех обращениях к элементам каталога выдает правильные ссылки. Таким образом, при работающем вирусе файловая система на диске кажется совершенно нормальной. При поверхностном просмотре зараженного диска на "чистом" компьютере также ничего странного не наблюдается. Разве лишь при попытке прочесть или скопировать с зараженной дискеты программные файлы из них будут прочтены или скопированы только 512 или 1024 байта, даже если файл гораздо длиннее. А при запуске любой исполнимой программы с зараженного таким вирусом диска этот диск, как по волшебству, начинает казаться исправным (неудивительно, ведь компьютер при этом становится зараженным). При анализе на "чистом" компьютере с помощью программ ChkDsk или NDD файловая система зараженного DIR-вирусом диска кажется совершенно испорченной. Так, программа ChkDsk выдает кучу сообщений о пересечениях файлов ("... cross linked on cluster..." ) и о цепочках потерянных кластеров ("... lost clusters found in... chains"). Не следует исправлять эти ошибки программами ChkDsk или NDD - при этом диск окажется совершенно испорченным. Для исправления зараженных этими вирусами дисков надо использовать только специальные антивирусные программы (например, последние версии Aidstest).

г) "Невидимые" и самомодифицирующиеся вирусы

Чтобы предотвратить свое обнаружение, некоторые вирусы применяют довольно хитрые приемы маскировки. Я расскажу о двух из них: "невидимых" (Stealth) и самомодифицирующихся вирусах:

1) "Невидимые" вирусы

Многие резидентные вирусы (и файловые, и загрузочные) предотвращают свое обнаружение тем, что перехватывают обращения DOS (и тем самым прикладных программ) к зараженным файлам и областям диска и выдают их в исходном виде. Разумеется, этот эффект наблюдается только на зараженном компьютере - на "чистом" компьютере изменения в загрузочных областях диска можно легко обнаружить. Замечу, что некоторые антивирусные программы могут все же обнаруживать "невидимые" вирусы даже на зараженном компьютере. Такие программы для этого выполняют чтение диска, не пользуясь услугами DOS (например, ADinf).

2) Самомодифицирующиеся вирусы

Другой способ, применяемый вирусами для того, чтобы укрыться от обнаружения, - модификация своего тела. Многие вирусы хранят большую часть своего тела в закодированном виде, чтобы с помощью дизассемблеров нельзя было разобраться в механизме их работы. Самомодифицирующиеся вирусы используют этот прием и часто меняют параметры этой кодировки, а кроме того, изменяют и свою стартовую часть, которая служит для раскодировки остальных команд вируса.

Таким образом, в теле подобного вируса не имеется ни одной постоянной цепочки байтов, по которой можно было бы идентифицировать вирус. Это, естественно, затрудняет нахождение таких вирусов программами-детекторами. Однако программы-детекторы все же научились ловить "простые" самомодифицирующиеся вирусы. В этих вирусах вариации механизма расшифровки закодированной части вируса касаются только использования тех или иных регистров компьютера, констант шифрования, добавления "незначащих" команд и т.д. И программы-детекторы приспособились обнаруживать команды в стартовой части вируса, несмотря на маскирующие изменения в них. Но в последнее время появились вирусы с чрезвычайно сложными механизмами самомодификации. В них стартовая часть вируса генерируется автоматически по весьма сложным алгоритмам: каждая значащая инструкция расшифровщика передается одним из сотен тысяч возможных вариантов, при этом используется более половины всех команд Intel-8088. Проблема распознавания таких вирусов надежного решения пока не получила.

Что могут и чего не могут компьютерные вирусы

У многих пользователей ЭВМ из-за незнания механизма работы компьютерных вирусов, а также под влиянием различных слухов и некомпетентных публикаций в печати создается своеобразный комплекс боязни вирусов ("вирусофобия"). Этот комплекс имеет два проявления:

1. Склонность приписывать любое повреждение данных или необычное явление действию вирусов. Например, если у "вирусофоба" не форматируется дискета, то он объясняет это не дефектами дискеты или дисковода, а действием вирусов. Если на жестком диске появляется сбойный блок, то в этом тоже, разумеется, виноваты вирусы. На самом деле необычные явления на компьютере чаще вызваны ошибками пользователя, программ или дефектами оборудования, чем действием вирусов.

2. Преувеличенные представления о возможностях вирусов. Некоторые пользователи думают, например, что достаточно вставить в дисковод зараженную дискету, чтобы компьютер заразился вирусом. Распространено также мнение, что для компьютеров просто стоящих в одной комнате, заражение одного компьютера обязательно тут же приводит к заражению остальных.

Заражение компьютера вирусом может произойти в одном из следующих случаев:

на компьютере была выполнена зараженная программа типа COM или EXE или зараженный модуль оверлейной программы (типа OVR или OVL);

компьютер загружался с дискеты, содержащей зараженный загрузочный сектор;

на компьютере была установлена зараженная операционная система или зараженный драйвер устройства.

Отсюда следует, что нет никаких оснований бояться заражения компьютера вирусом, если:

на незараженном компьютере производится копирование файлов с одной дискеты на другую. Если компьютер "здоров", то ни он сам, ни копируемые дискеты не будут заражены вирусом. Единственный вариант передачи вируса в этой ситуации - это копирование зараженного файла: при этом его копия, разумеется, тоже будет "заражена", но, ни компьютер, ни какие-то другие файлы заражены не будут;

2. Основные методы защиты от компьютерных вирусов

Для защиты от вирусов можно использовать:

общие средства защиты информации, которые полезны также и как страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователей; профилактические меры, позволяющие уменьшить вероятность заражения вирусом;

специализированные программы для защиты от вирусов.

Общие средства защиты информации полезны не только для защиты от вируса. Имеются две основные разновидности этих средств:

копирование информации - создание копий файлов и системных областей дисков;

разграничение доступа предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.

Несмотря на то, что общие средства защиты информации очень важны для защиты от вирусов, все же их одних недостаточно. Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно разделить на несколько видов:

Программы-детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов.

Программы-доктора, или "фаги", "лечат" зараженные программы или диски, "выкусывая" из зараженных программ тело вируса, т.е. восстанавливая программу в том состоянии, в котором она находилась до заражения вирусом.

Программы-ревизоры сначала запоминают сведения о состоянии программ и системных областей дисков, а затем сравнивают их состояния с исходным.

При выявлении несоответствий об этом сообщается пользователю.

Доктора-ревизоры - это гибриды ревизоров и докторов, т.е. программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние.

Программы-фильтры располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователю. Пользователь может разрешить или запретить выполнение соответствующей операции. Следует учесть, что ни один тип антивирусных программ в отдельности не может полностью защитить от вирусов и поэтому советы типа "вставьте команду запуска Aidstest в AUTOEXEC.BAT" не будут достаточными.

Наилучшей стратегией защиты от вирусов является комплексная многоуровневая защита:

Перед первым этапом следует разместить программы-детекторы, позволяющие проверять вновь полученное программное обеспечение на наличие вирусов;

На первом этапе размещаются программы-фильтры, т.к. они первыми сообщат о работе вируса и предотвратят заражение программ и дисков;

На втором этапе размещаются ревизоры и доктора: они позволяют обнаружить вирусы, "пробившиеся" через первый этап, а затем вылечить зараженные программы, но следует учитывать, что они не всегда лечат правильно и идеальным вариантом было бы иметь копию нужных программ в архивах на дискетах, защищенных от записи.

Самый главный этап защиты - разграничение доступа, которое не позволяет проникшим вирусам и неверно работающим программам испортить важные данные.

а) Действия при заражении компьютерным вирусом

При заражении компьютера вирусом (или при подозрении на это) важно соблюдать четыре правила:

1. Прежде всего, не надо торопиться и принимать опрометчивых решений: опрометчивые действия могут привести не только к потере части файлов, которые можно было бы восстановить, но и к повторному заражению компьютера.

2. Тем не менее, одно действие должно быть выполнено немедленно надо выключить компьютер, чтобы вирус не продолжал своих разрушительных действий.

3. Все действия по обнаружению последствий заражения и лечению компьютера следует выполнять только при перезагрузке компьютера с защищенной от записи "эталонной" дискеты с операционной системой.

При этом следует использовать только программы (исполнимые файлы), хранящиеся на защищенных от записи дискетах. Несоблюдение этого правила может привести к очень тяжелым последствиям, поскольку при перезагрузке DOS или запуске программы с зараженного диска в компьютере может быть активирован вирус, а при работающем вирусе лечение компьютера будет бессмысленным, так как оно будет сопровождаться дальнейшим заражением дисков и программ.

4. Если Вы не обладаете достаточными знаниями и опытом для лечения компьютера, попросите помочь Вам более опытных коллег. Если Вы используете резидентную программу-фильтр для защиты от вируса, то наличие вируса в какой-либо программе можно обнаружить на самом раннем этапе, когда вирус не успел еще заразить другие программы и испортить какие-либо файлы. В этом случае следует перезагрузить DOS с дискеты и удалить зараженную программу, а затем переписать эту программу с эталонной дискеты или восстановить ее из архива. Для того, чтобы выяснить, не испортил ли вирус каких-то других файлов, следует запустить программу - ревизор для проверки изменений в файлах, желательно с широким списком проверяемых файлов. Чтобы в процессе проверки не продолжать заражение компьютера, следует запускать исполнимый файл программы-ревизора, находящийся на дискете.

б) Лечение компьютера

Рассмотрим более сложный случай, когда вирус уже успел заразить или испортить какие-то файлы на дисках компьютера. При этом эксперты рекомендуют следующие действия:

1. Перезагрузить операционную систему DOS с заранее подготовленной эталонной дискеты. Эта дискета, как и другие дискеты, используемые при ликвидации последствий заражения компьютерным вирусом, должна быть снабжена наклейкой для защиты от записи (пятидюймовые дискеты) или открыта защелка защиты от записи (трёхдюймовые дискеты), чтобы вирус не мог заразить или испортить файлы на этих дискетах. Замечу, что перезагрузку не следует выполнять с помощью "Alt+Ctrl+Del", так как некоторые вирусы ухитряются "переживать" такую перезагрузку.

2. Если для Вашего компьютера имеется программа для установки конфигурации (для моделей IBM PC AT и PS/2 она имеется всегда; часто она вызывается при нажатии определенной комбинации клавиш во время начальной загрузки компьютера), следует выполнить эту программу и проверить, правильно ли установлены параметры конфигурации компьютера (они могут быть испорчены вирусом). Если они установлены неправильно, их надо переустановить.

3. Далее следует сам процесс лечения: Если на диске для всех нужных файлов имеются копии в архиве, проще всего заново отформатировать диск, а затем восстановить все файлы на этом диске с помощью архивных копий. Допустим, что на диске имеются нужные файлы, копий которых нет в архиве, например, на диске D: тогда нужно следовать следующим указаниям:

Запустить для диска программу-детектор, обнаруживающую тот вирус, заражению которым подвергся компьютер (если Вы не знаете, какой детектор обнаруживает данный вирус, запускайте все имеющиеся программы-детекторы по очереди, пока одна из них не обнаружит вирус). Режим лечения при этом лучше не устанавливать. Если программа-детектор обнаружила загрузочный вирус, Вы можете смело использовать ее режим лечения для устранения вируса. При обнаружении вируса DIR его также надо удалить с помощью антивирусной программы, ни в коем случае не используя для этого программы типа NDD или ChkDsk.

Теперь (когда известно, что вирусов типа DIR на диске нет) можно проверить целостность файловой системы и поверхности диска с помощью программы NDD: "NDD D: /C". Если повреждения файловой системы значительны, то целесообразно скопировать с диска все нужные файлы, копий которых нет в архиве, на дискеты и заново отформатировать диск. Если диск имеет сложную файловую структуру, то можно попробовать откорректировать ее с помощью программы DiskEdit (из комплекса Norton Utilities).

Если Вы сохраняли сведения о файлах на диске для программы-ревизора, то полезно запустить программу - ревизор для диагностики изменений в файлах. Это позволит установить, какие файлы были заражены или испорчены вирусом. Если программа-ревизор выполняет также функции доктора, можно доверить ей и восстановление зараженных файлов.

Удалить с диска все ненужные файлы, а также файлы, копии которых имеются в архиве. Те файлы, которые не были изменены вирусом (это можно установить с помощью программы-ревизора), удалять не обязательно. Ни в коем случае нельзя оставлять на диске COM- и EXE-файлы, для которых программа-ревизор сообщает, что они были изменены. Те COM- и EXE-файлы, о которых неизвестно, изменены они вирусом или нет, следует оставлять на диске только при самой крайней необходимости.

5. Если диск, который Вы обрабатываете, является системным (т. е. с него можно загрузить операционную систему DOS), то на него следует заново записать загрузочный сектор и файлы операционной системы (это можно сделать командой SYS из комплекса DOS).

6. Если ваш компьютер заразился файловым вирусом, и Вы не производили лечение с помощью ревизора-доктора, следует выполнить программу - доктор для лечения данного диска. Зараженные файлы, которые программа-доктор не смогла восстановить, следует уничтожить. Разумеется, если на диске остались только те файлы, которые не могут заражаться вирусом (например, исходные тексты программ и документы), то программу для уничтожения вируса для данного диска выполнять не надо.

7. С помощью архивных копий следует восстановить файлы, размещавшиеся на диске.

8. Если Вы не уверены в том, что в архиве не было зараженных файлов, и у Вас имеется программа для обнаружения или уничтожения того вируса, которым был заражен компьютер, то следует еще раз выполнить эту программу для диска. Если на диске будут обнаружены зараженные файлы, то те из них, которые можно восстановить с помощью программы для уничтожения вируса, надо скопировать в архив, а остальные - удалить с диска и из архива.

Такой обработке следует подвергнуть все диски, которые могли быть заражены или испорчены вирусом. Если у Вас имеется хорошая антивирусная программа-фильтр (например, VSafe из комплекса DOS),целесообразно хотя бы некоторое время работать, только запустив эту программу. Также следует учитывать, что часто компьютер заражается сразу несколькими вирусами, поэтому, обезвредив один вирус, следует проверить все диски на наличие другого.

в) Профилактика против заражения вирусом

В настоящем разделе описываются меры, которые позволяют уменьшить вероятность заражения компьютера вирусом, а также свести к минимуму ущерб от заражения вирусом, если оно все-таки произойдет. Вы можете, конечно, использовать не все описываемые средства для профилактики против заражения вирусом, а только те, которые считаете необходимыми.

Меры по защите от вирусов можно разделить на несколько групп.

1) Копирование информации и разграничение доступа:

1. Необходимо иметь архивные или эталонные копии используемых Вами пакетов программ и данных и периодически архивировать те файлы, которые Вы создавали или изменяли. Перед архивацией файлов целесообразно проверить их на отсутствие вирусов с помощью программы-детектора (например, AidsTest). Важно, чтобы информация копировалась не слишком редко - тогда потери информации при ее случайном уничтожении будут не так велики.2. Целесообразно также скопировать на дискеты сектор с таблицей разделения жесткого диска, загрузочные сектора всех логических дисков и содержимое CMOS (энергонезависимой памяти компьютера).Это можно сделать с помощью пункта "Create rescue diskette" программы DiskTool из комплекса Norton Utilites. Для восстановления этих областей используется пункт "Restore rescue diskette" того же комплекса.3. Следует устанавливать защиту от записи на дискетах с файлами, которые не надо изменять. На жестком диске целесообразно создать логический диск, защищенный от записи, и разместить на нем программы и данные, которые не надо изменять.4. Не следует переписывать программное обеспечение с других компьютеров (особенно с тех, к которым могут иметь доступ различные безответственные лица), так как оно может быть заражено вирусом.

2) Проверка поступающих извне данных:

1. Все принесенные извне дискеты перед использованием следует проверить на наличие вируса с помощью программ-детекторов. Это полезно делать даже в тех случаях, когда Вы хотите использовать на этих дискетах только файлы с данными - чем раньше Вы обнаружите вирус, тем лучше. Для проверки можно использовать программу AidsTest.

Например, для проверки дискеты A: следует ввести команду: AIDSTEST A: /S /G. Здесь режим /S задает медленную работу для поиска испорченных вирусов, а режим /G - проверку всех файлов надиске.2. Если принесенные программы записаны на дискеты в архивированном виде, следует извлечь файлы из архива и проверить их сразу же после этого. Например, если файлы извлечены в каталог C:/TIME, то следует ввести команду: AIDSTEST C:TIME*.* /S /G.3. Если программы из архивов можно извлечь только программой установки пакета программ, то надо выполнить установку этого пакета и сразу после этого перезагрузить компьютер (опять же не"Alt+Ctrl+Del", а "Reset") и проверить записанные на диск файлы, как описано выше. Желательно выполнять установку только при включенной программе-фильтре для защиты от вирусов (например, Vsafe из комплекта MS-DOS).

3) Подготовка "ремонтного набора":

1. Надо заранее подготовить системную дискету с используемой Вами версией DOS. Это можно сделать командой "FORMAT A: /S" или "SYSA:". На эту дискету (если там не хватит места - то на другие дискеты) следует скопировать следующие программы:

программы DOS для обслуживания дисков: Format, FDisk, Label, Sys и т.д.;

другие часто используемые программы для обслуживания файловой системы на диске, например программы NDD, Disk Edit, Disk Tool, Calibrate, UnErase и т.д., входящие в комплекс программ Norton Utilites 7.0;

программу для установки параметров конфигурации компьютера (такая программа может называться SETUP, SETUP 1, AT SETUP и т.п.), если такая программа имеется в комплексе программ, поставляемых с Вашим компьютером;

программы для распаковки всех типов используемых Вами (и Вашими коллегами) архивных файлов: PKUN ZIP, ARJ, LHA, RAR и т.д. Целесообразно на каждую из этих дискет поместить и командный процессор DOS - файл COMMAND.COM, чтобы при работе с этими дискетами не выдавались сообщения, требующие вставить дискету с файлом COMMAND.COM.

На одну из дискет желательно с помощью пункта "Create rescue diskette" программы DiskTool из комплекса Norton Utilites скопировать загрузочные сектора жесткого диска и содержимое CMOS (энергонезависимой памяти) компьютера.

Неплохим решением будет поместить в "ремонтный набор" комплексную программу-оболочку DOS Navigator: она совмещает в себе массу полезных функций при относительно небольшой занимаемой памяти на диске (около 670 Kb), например: всевозможные операции с файлами, DiskEdit, Format, Undelete (Reanimator), Find(поиск), Label, DiskCopy, Calculator, работа с архивами, многое другое (что самое главное - удобное управление).

2. В "ремонтный набор" должны входить и программы для обнаружения и уничтожения различных компьютерных вирусов. Выбирайте такие программы, которые хорошо себя зарекомендовали, рассчитаны на широкий диапазон вирусов или вирусы, которые не "ловятся" другими программами и проверены на то, что в них самих нет вирусов. Для программ-детекторов следует периодически обновлять их версии (например, программа AidsTest "обновляется" несколько раз в месяц). Новые вирусы сейчас появляются каждую неделю, и при использовании версий программ полугодовой или годовой давности очень вероятно заражение таким вирусом, который этим программам не известен.3. На дискетах "ремонтного набора" следует заклеить прорезь защиты от записи (на трёхдюймовых дискетах - открыть защелку защиты от записи), чтобы скопированные файлы не могли быть случайно изменены или испорчены.

4) Защита от загрузочных вирусов:

1. На компьютерах, в которых содержащаяся в BIOS (вызываемая при начальной загрузке с помощью нажатия определенной комбинации клавиш) программа установки конфигурации позволяет отключить загрузку с дискеты, желательно сделать это, тогда Вам никакие загрузочные вирусы не страшны. На прочих компьютерах перед перезагрузкой с жесткого диска убедитесь, что в дисководе A: нет какой-либо дискеты. Если там имеется дискета, то откройте дверцу дисковода перед перезагрузкой.

2. Если Вы хотите перезагрузить компьютер с дискеты, пользуйтесь только защищенной от записи "эталонной" дискетой с операционной системой.

5) Периодическая проверка на наличие вирусов:

1. Желательно вставить в командный файл AUTOEXEC.BAT, выполняемая лечащая приставка ADInfExt, то при обнаружении зараженных файлов программа ADinf предложит Вам сразу же их вылечить.

2. Очень простой и надежной проверкой на наличие резидентных вирусов является отслеживание изменений в карте памяти компьютера. Опытные пользователи смогут самостоятельно написать командные файлы для автоматической проверки наличия резидентных вирусов.

Заключение

Не следует допускать к работе на компьютере без присмотра посторонних лиц, особенно если они имеют свои дискеты. Наиболее опасны любители компьютерных игр - они способны не только не соблюдать никаких мер предосторожности от вирусов, но и игнорировать любые предупреждения антивирусных средств. Очень часто причиной заражения компьютера вирусом являлась принесенная на дискете игра, в которую кто-то поиграл 10-15 минут на компьютере.

В том случае, если избежать доступа случайных лиц к компьютеру невозможно (например, в учебном центре), целесообразно все или почти все программы, находящиеся на жестком диске компьютера, располагать на логическом диске, защищенном от записи.

Нельзя бояться заражения - его нужно остерегаться, в своей работе умело использовать антивирусные средства, не игнорировать различные предупреждения антивирусных программ, но и не следовать или верить им слепо: в более, чем 85% случаев, необычные действия вызваны не действием вируса, а неверными действиями пользователя или используемых программ. Можно посоветовать использовать в работе только программы, купленные в фирменных магазинах на эталонных дискетах (естественно защищенных от записи), но практика показывает, что следовать подобным советам абсолютное большинство и не собирается

Список источников информации:

Литературные издания:

1. Сергей Молявко, Герхард Франкен: MS-DOS 6.0 для пользователя: - Киев: Торгово-издательское бюро BHV, 1993.

2. Фигурнов В.Э.: IBM PC для пользователя: - Уфа, ПК "Дегтярёв и сын", НПО "Информатика и компьютеры", 1993.

3. Электронный журнал "Антивирусное обозрение "Ежики"",1999

4. Приложение к газете "Первое сентября" - "Информатика", номер 38, 1999

Компьютерные источники:

1. Антивирусная программа-доктор Doctor Web (автор - И.А. Данилов).

2. Антивирусный доктор-ревизор ADinf (автор - Д.Ю. Мостовой) с лечащей приставкой A DinExt (авторы - В.С. Ладыгин и Д.Г. Зуев).

3. Антивирусный доктор-ревизор MSAV (Microsoft Anty-Virus) из состава MS-DOS 6.22 (фирма Microsoft).

4. Антивирусная программа-фильтр VSafe из состава MS-DOS 6.22 (фирма Microsoft).

5. Антивирусная программа-доктор Aids Test версия 1721(автор - Д.Н. Лозинский).

	НОВОСТИ

Изменения

Прошла модернизация движка, изменение дизайна и переезд на новый более качественный сервер

	СЧЕТЧИК

БОЛЬШАЯ ЛЕНИНГРАДСКАЯ БИБЛИОТЕКА
	© 2010