Компьютерные вирусы и борьба с ними

Компьютерные вирусы и борьба с ними

История возникновения компьютерных вирусов Какими бывают вирусы?

Признаки заражения компьютера вирусами Что делать?

Антивирусные программы Библиографический список

История возникновения компьютерных вирусов

…А началась эта история ни много ни мало — лет тридцать назад. Именно тогда, в конце 60-х, когда о «персоналках» можно было прочитать лишь в фантастических романах, в нескольких «больших» компьютерах, располагавшихся в крупных исследовательских центрах США, обнаружились очень необычные программы. В отличие от программ нормальных, послушно «ходивших по струнке» и выполнявших все распоряжения человека, эти гуляли сами по себе, подобно киплинговской кошке. Занимались в недрах компьютера какими-то понятными только им делами, по ходу дела сильно замедляя работу компьютера. Хорошо хоть, что ничего при этом не портили и не размножались.

Однако продлилось это недолго. Уже в 70-х годах были зарегистрированы первые настоящие вирусы, способные к размножению и даже получившие собственные имена: большой компьютер Univac 1108 «заболел» вирусом Pervading Animal, а на компьютерах из славного семейства IBМ-360/370 свил гнездо вирус Christmas tree.

К 1980;м годам число активных вирусов изменялась уже сотнями. А появление и распространение персональных компьютеров породило настоящую эпидемию — счет вирусов пошел на тысячи. Правда, термин «компьютерный вирус» появился только в 1984 году: впервые его использовал в своем докладе на конференции по информационной безопасности сотрудник Лехайского Университета США Ф. Коэн.

Первые «персоналочные» вирусы были существами простыми и неприхотливыми — особо от пользователей не скрывались, «скрашивали» свое разрушительное действие (удаление файлов, разрушение логической структуры диска) выводимыми на экран картинками и каверзными «шутками»: «Назовите точную высоту горы Килиманджаро в миллиметрах! При введении неправильного ответа все данные на вашем винчестере будут уничтожены!!!». Выявить такие вирусы было нетрудно: они «приклеивались» к исполняемым (*.com или *.ехе) файлам, изменяя их оригинальные размеры, — чем и пользовались первые антивирусы, успешно выявлявшие нахалов.

Забавно, что первые вирусы этого типа были созданы в качестве… средства борьбы с пиратами: в 1985 году десятки тысяч компьютеров по всему миру оказались заражены вирусом Brain, разработанным братьями-пакистанцами Алви. Как выяснилось, хитрые пакистанцы, владевшие собственным программным бизнесом, умышленно начиняли свой товар вредоносной начинкой, срабатывавшей только при установке на компьютер нелегальной копии. За десять лет, прошедших с момента появления «пакистанского» вируса, его потомки сумели распространиться по всему миру. Их опасность заключалась в том, что такие вирусы могли укрыться в абсолютно любой программе — точнее, в ее главном, исполняемом файле. Достаточно было одного-единственного запуска программы, чтобы вирус проник на компьютер и начинал активно заражать все остальные файлы с расширениями com и ехе.

«Золотой век» классических вирусов продолжался около десяти лет — сегодня их поголовье резко сократилось и, по оценкам Лаборатории Касперского, составляет не более нескольких процентов от всего вирусного поголовья. Бороться с такими вирусами умеет любой современный антивирус, да и сама операционная система неплохо защищена от их атак. Некоторые типы вирусов — такие как «boot-вирусы», поражающие загрузочный сектор жесткого диска, сегодня практически истреблены. Сегодня науке известно около 50 тысяч компьютерных вирусов — маленьких вредоносных программок, следующих в своей жизни только трем заповедям — Плодиться, Прятаться и Портить. И бороться с ними необходимо по-разному, поскольку универсального средства, увы, не существует…

Классифицировать вирусы можно по-разному — по их «биологическому виду», либо — по способу распространения. Совершенно не обязательно знакомиться с представителями всех групп в рамках этой книги — тем более, что в Сети уже давно существует великолепная вирусная энциклопедия, созданная «Лабораторией Касперского» (http://www.viruslist.com/ index.html).

Какими бывают вирусы?

По среде обитания вирусы делят на загрузочные, файловые, макровирусы и сетевые.

Загрузочные вирусы проживают в загрузочных секторах дисков. Несколько лет назад это был очень распространённый вид вирусов, которым заражали компьютер при загрузке операционной системы с дискеты. Сейчас дискетами уже мало кто пользуется, а изменение главной загрузочной записи жесткого диска умеют блокировать BIOS современных материнских плат.

Файловые вирусы заражают исполняемые файлы, то есть файлы с расширением .ехе. Именно поэтому хорошие почтовые клиенты не дают запустить исполняемый файл, прикрепленный к электронному письму: в 99,9% это — вирус. Часто файловые вирусы создают так называемые компаньон-вирусы. Вирус находит главный исполняемый файл программы, как правило имеющий расширение .ехе, и создает файл с таким же именем, но имеющий расширение com. Например, вместо главного исполняемого файла почтового клиента The Bat! thebat.exe будет создан файл thebat.com. По правилам операционной системы com-овские файлы имеют приоритет при запуске, и — готово дело — вместо почтовой программы вы запустили вирус.

В последние годы большое распространение получили макровирусы. Для расширения возможностей программ MS Оffice, и в том числе текстового редактора Word и редактора электронных таблиц, в них заложена возможность использования так называемых макросов. Макрос, грубо говоря, это маленькая программа, написанная на языке Visual Basic и позволяющая автоматизировать рутинные операции в Word и Excel. Например, если вам часто приходится выполнять длинные, однообразные процедуры в Word и Excel, запишите макрос, и в следующий раз эта процедура будет выполнена автоматически, одним нажатием кнопки. Так вот, оказалось, что язык Visual Basic вполне годится для написания макросов-вирусов, а поскольку MS Office установлен едва ли не на каждом компьютере, то макровирусы представляют серьёзную опасность.

Впрочем, бороться с макровирусами несложно. Например в Word нужно выставить максимальный уровень безопасности, и тогда ни один макровирус в него проникнуть не сможет. Делается это так.

Откройте программу Word, откройте пункт меню Сервис => Параметры => Безопасность и нажмите кнопку Защита от макросов. На вкладке Уровень безопасности выберите Высокая. В этом случае будет разрешен запуск только подписанных макросов из надежных источников, а неподписанные макросы, в том числе содержащие вирусы, будут автоматически отключены.

В Excel процедура такая же, за исключением того, что кнопка на вкладке Безопасность называется не Защита от макросов, а Безопасность макросов.

Сетевые вирусы распространяются с помощью протоколов или команд компьютерных сетей и электронной почты, это в основном так называемые электронные «черви» вида I-Worm.

Компьютерные вирусы обычно бывают рассчитаны на работу в среде какой-нибудь одной операционной системы или нескольких аналогичных операционных систем или программ. Скажем, вирусы, написанные для Windows, не представляют никакой опасности для операционных систем Linux.

Вирусописатели учитывают то обстоятельство, что подавляющее большинство пользователей Windows используют для просмотра Web-сайтов Internet Explorer, а для работы с электронной почтой — Outlook Express или Outlook, и пишут вирусы с учетом уязвимости этих программ для вирусных атак, которые принято называть дырами в безопасности.

Значит, если мы хотим заметно уменьшить риск вирусной атаки на свой компьютер, мы должны отказаться от использования Internet Explorer, Outlook Express и Outlook и перейти на альтернативные и, кстати, гораздо более удобные и мощные программы, например на Opera и The Bat!. Уже одно это значительно снижает риск заражения вашего компьютера вирусами. Если же отказаться от использования Internet Explorer, Outlook Express и Outlook вы по каким-то причинам не можете, обязательно устанавливайте все обновления безопасности для этих программ и вообще будьте предельно внимательны.

Как и настоящие, биологические, вирусы, компьютерные вирусы могут мутировать и маскироваться под добропорядочные программы.

Это так называемые стелс-вирусы и полиморфные вирусы.

По степени опасности вирусы делят на безвредные, неопасные, опасные, очень опасные и «троянские кони», или попросту «трояны».

Безвредные вирусы в результате своего распространения и действия на работу компьютера никакого влияния не оказывают, кроме замусоривания дисков ненужными файлами. Чаще всего это просто неграмотно написанные вирусы.

Неопасные вирусы после заражения компьютера обычно надоедают пользователю разными графическими и звуковыми эффектами. Например, на экране периодически появляется надпись «Хочу печенья!» и не исчезает до тех пор, пока на клавиатуре не набрать слово «печенье». Ни файлы операционной системы, ни файлы документов такие вирусы не повреждают, но достать могут изрядно.

Опасные вирусы могу привести к серьезным сбоям в работе компьютера. Типичные представители опасных вирусов — «интернет-черви».

Очень опасные вирусы устроены так, что после заражения компьютера разными способами уничтожают или повреждают файлы операционной системы, программ и документов, а печально знаменитый вирус WIN95. CIH, получивший название «Чернобыль», мог даже уничтожать информацию, записанную в микросхему BIOS материнской платы!

Особая группа вирусов — это так называемые «троянские кони». или «трояны». Они никакого видимого действия на зараженный компьютер не оказывают, наоборот, они стараются «спрятаться» как можно лучше. Их задача — пересылать «хозяину» информацию, хранящуюся на зараженном компьютере, например пароли доступа, номера кредитных карт и тому подобное.

Признаки заражения компьютера вирусами

Нужно понимать, что, если ваш компьютер вдруг начал себя вести как-то странно, это не обязательно означает, что на нем завелся злобный вирус. Причины могут быть какими угодно — от нестабильного напряжения в электрической сети и отказов жестких дисков до ваших собственных ошибочных действий. Но в случае появления таких странностей жесткие диски совсем не мешает просканировать антивирусной программой с обновленной вирусной базой.

Итак, вот как выглядят типичные симптомы вирусной атаки:

· Компьютер совсем не загружается или загрузка не завершается.

· Компьютер самопроизвольно перезагружается.

· Некоторые программы внезапно перестают работать.

· На экран выводятся неожиданные сообщения или изображения.

· Компьютер подает непонятные звуковые сигналы.

· Во время простоя компьютер постоянно обращается к жесткому диску (на системном блоке постоянно горит или мигает его светодиод).

· В работе компьютера происходят частые зависания и сбои.

· Компьютер работает заметно медленнее обычного.

· Самопроизвольно запускаются программы.

· Зависание или необычное поведение интернет-браузера, например подмена одного сайта другим, самопроизвольная подмена домашней страницы и/или поискового сайта, невозможность закрыть окно браузера.

· Неуправляемая работа подключенных к компьютеру устройств (внезапное открытие или закрытие лотка CD-ROM или DVD-ROM, модем самопроизвольно пытается куда-то дозвониться, сам собой движется курсор мыши).

· Резко увеличивается интернет-трафик.

· Предупреждения файерволла и антивирусного монитора об атаке.

Что делать?

Для того чтобы эффективно противостоять угрозам из Интернета, нужно четко себе представлять, откуда они исходят, или, как говорят специалисты, определить каналы распространения угроз. Можно, конечно, вообще отказаться от пользования Интернетом и жить спокойно, но ведь мы с вами не отказываемся от общения с противоположным полом из-за того, что кто-то где-то… Гораздо разумнее взять себе за правило неукоснительно соблюдать несколько несложных правил, и все богатства Интернета будут принадлежать вам.

Первый и, пожалуй, самый распространенный канал, через который проникают на компьютер вирусы, это электронная почта. Для того чтобы не занести на компьютер вирус, присланный по электронке каким-нибудь добрым человеком, необходимо:

По возможности отказаться от программ Outlook и Outlook Express, содержащих слишком уж много дыр в безопасности, и перейти на более удобный, а главное, более защищенный почтовый клиент, например The Bat!.

Установить антивирусную программу, имеющую резидентный модуль проверки входящей почты, например программу DrWeb, имеющую модуль SpiderMail.

Никогда не открывать прикрепленные к полученным письмам файлы, если вы не уверены, что письмо пришло от надежного адресата. Но даже если вы уверены в безобидности вложения, все равно береженого бог бережет. Сначала сохраните этот файл на жесткий диск, проверьте антивирусным сканнером и, если все в порядке, открывайте его.

Не оставлять адреса своей электронной почты в общедоступных местах, например на форумах, в интернет-конференциях, чатах и тому подобное. Если все-таки без этого никак не обойтись, заведите себе отдельный почтовый ящик на бесплатном хостинге, например на Mail.ru, и выкладывайте только его адрес, а остальные адреса электронной почты сообщайте только вашим деловым партнерам или тем людям, с которыми вы состоите в переписке.

Вообще, старайтесь сообщать в Сети о себе как можно меньше информации, везде, где можно, вместо настоящих имени и фамилии пользуйтесь псевдонимами, никами.

Второй канал проникновения вирусов связан с интернет-сайтами. В некоторые сайты их хозяева преднамеренно встраивают вирусы, и, просматривая такой сайт, можно занести вирус на свой компьютер. Наибольшую потенциальную опасность в этом смысле представляют так называемые сайты для взрослых, а проще говоря — порносайты, и сайты с «варезом» — паролями и серийными номерами к платным программам, генераторами серийных номеров, программами-взломщиками и прочим хакерским инвентарем. Вообще говоря, лучше такие сайты не посещать, а уж если решили рискнуть, то не пользуйтесь Internet Explorer, ни в коем случае не отключайте на своем компьютере файерволл и резидентный антивирусный монитор, а после окончания просмотра сомнительных сайтов обязательно проверьте жесткий диск своего компьютера программой AdAware.

Третий канал распространения вирусов — это сменные носители информации — дискеты, флэш-накопители, CD, CD-RW и DVD-диски.

Здесь рецепт единственный и очень простой: все носители, перед тем как вы откроете их на своем компьютере для чтения, должны быть проверены антивирусной программой.

Все и всегда. И не обращайте внимания на обиды коллег и приятелей, принесших вам эти носители. Автору этой книги приходилось находить вирусы на дисках, которые считались совершенно безопасными и долго кочевали по офису от компьютера к компьютеру.

В последние годы, правда, ситуация с вирусами на сменных дисках значительно улучшилась, и на дисках фабричного производства вирусы уже давно не встречаются, но вот диски, записанные в домашних условиях или в условиях офиса, требуют к себе максимального и пристального внимания.

Четвертый канал распространения вирусов — это локальные сети. Если вы работаете в офисе, где компьютеры объединены в сеть, ответственность за ее безопасность лежит на системном администраторе, но вот если вы подключены к домашней сети, объединяющей компьютеры жилого дома, за сетевой безопасностью необходимо следить самому, ибо в такой сети полным-полно скучающих подростков, которые воображают себя крутыми хакерами и способны изрядно навредить.

Тут ваше спасение в правильно настроенном межсетевом экране.

Нужно уметь правильно оценивать риски атак на ваш компьютер. Например, если вы подключаетесь к Сети с помощью модема, то риск хакерской атаки на ваш компьютер минимален и вполне можно обойтись простеньким межсетевым экраном, встроенным в Windows XP Service Раcк 2, но если у вас постоянное подключение — опасность резко возрастает.

Если вы мало пользуетесь электронной почтой и нигде не публикуете адреса своих почтовых ящиков, риск получить вирус в письме не очень велик, но как только адрес e-mail становится общедоступным, ситуация меняется в корне.

Защита компьютера от атак лежит на трех китах:

· антивирусной программе;

· программе, удаляющей с вашего компьютера «троянских коней» и другие шпионские программы;

· программе — межсетевом экране, иногда называемой файерволлом или брандмауэром.

Антивирусные программы

Все хорошие антивирусные программы (а таких немного) устроены примерно одинаково и умеют делать, в общем-то, одно и то же:

· Обнаруживать, что вирус тем или иным способом проник на компьютер.

· Если заражение произошло, лечить зараженные файлы, не повреждая их, то есть как бы выкусывать программный код вируса и удалять его.

· Не допускать разрушительных действий вируса, проникшего на компьютер. Например, если вирус устроен так, что при своей активизации он форматирует диск, антивирусная программа должна блокировать такое действие.

Поскольку перед всеми антивирусными программами стоят одни и те же задачи, то и устроены (на взгляд пользователя) антивирусные программы примерно одинаково, отличаясь в основном фирменными алгоритмами распознавания вирусов.

Распознавание вирусов осуществляется двумя способами.

Антивирусная программа имеет так называемую антивирусную базу, в которой содержатся сведения об известных вирусах. Поиск вирусов заключается в том, что в каждом проверяемом файле программа ищет известные ей вирусы. Именно поэтому недостаточно установить антивирусную программу, ее нужно периодически обновлять, и чем чаще, тем лучше. Многие антивирусные программы умеют автоматически обновлять свои антивирусные базы через Интернет.

Вы можете спросить: а как часто нужно обновлять эти базы? Ответ прост: чем чаще, тем лучше. У некоторых программ антивирусные базы обновляются каждые несколько часов, другие выпускают обновления реже — раз в сутки. Пожалуй, правильным и необременительным решением будет ежесуточное обновление антивирусных баз.

В случае вирусных эпидемий, когда какой-нибудь особенно злобный вирус начинает путешествовать с компьютера на компьютер, нужно устанавливать обновление сразу же, как только оно появится на сайте разработчика антивирусника.

Но как быть, если на компьютер просочился вирус, который антивирусная программа «не знает» — его нет в антивирусной базе? На этот случай в антивирусной программе есть так называемый эвристический анализатор. Его задача — искать в проверяемых файлах участки кода, похожие на вирусы.

Сложность тут состоит в том, чтобы анализатор умел, с одной стороны, не пропускать неизвестные вирусы, а с другой — не надоедать пользователю параноидальными воплями о возможной опасности, шарахаясь от каждого второго файла. Но это уже проблема разработчиков программ-антивирусов, а не наша с вами.

Поскольку вирусы могут заражать далеко не все типы файлов, антивирус и проверяет не все файлы подряд, а только потенциально опасные. Это называется проверка по маске. Если в файле обнаружен вирус, то программа попытается его удалить. К сожалению, по разным причинам это получается не всегда, и тогда зараженный файл придется удалять. Это может привести к тому, что перестанут работать некоторые программы или даже сама операционная система.

В этом случае единственный способ лечения — переустановка программного обеспечения или восстановление его из образа диска (программа Norton Ghost).

Проверкой файлов на вирусы и их лечением занимается часть антивирусной программы, называемая сканером. Это главная часть программы, и в случае выборочной установки антивируса от нее отказаться нельзя. Сканер запускается только по команде пользователя, и если он не запущен, то никак не влияет на работу компьютера.

Вторая часть антивирусной программы — это резидентный модуль, антивирусный сторож. Он стартует при запуске операционной системы и все время находится в оперативной памяти компьютера, занимаясь проверкой файлов «на лету» и отслеживая проявления вирусной активности. Если какие-то действия программ кажутся монитору подозрительными, он немедленно их блокирует и докладывает об этом пользователю — пусть хозяин сам разбирается.

Третий обязательный компонент хорошей антивирусной программы — это программа для проверки входящей электронной почты. Так же как и антивирусный сторож, этот модуль запускается вместе с операционной системой и остается активным до выключения компьютера. Причем почтовому сторожу все равно, какой почтовый клиент установлен на компьютере.

Почтовый сторож как ' втискивается между почтовым сервером и почтовым клиентом, перехватывая, как царский жандарм, всю почту и внимательнейшие образом ее проверяя. Если в прикрепленном к письме файлу программа найдет вирус, вы это письмо не получите, а вместо него придет сообщение, созданное антивирусной программой, в котором будет написано что-то вроде: «Письмо, пришедшее с такого-то адрес не доставлено, так как в нем обнаружен вирус».

Кроме входящей почты почтовый сторож проверяет и исходящую. Казалось бы, зачем? Логика тут простая, но железная: если ваш компьютер заражен вирусом, то этот вирус обязательно попытается разослать себя на другие компьютеры, выудив адреса ваших корреспондентов из Адресной книги почтового клиента. Вот тут-то почтовый сторож и даст нахальному вирусу по лапам, не дав ему распространиться по другим компьютерам.

Библиографический список

1. А. Зубов, М. Шахов — Компьютер, Windows, Программы, ОЛМА-ПРЕСС, 2006 год.

2. Виталий Леонтьев — Новейший самоучитель работы на компьютере, ОЛМА-ПРЕСС, Москва 2007 год.

3. Виталий Леонтьев — 1000 Лучших программ. Настольная книга пользователя, ОЛМА-ПРЕСС, Москва 2005 год.

4. Михаил Крюков — Интернет на все 100 pro, Рипол классик, Москва 2007 год.