7.2. Испорченные и зараженные файлы

    Компьютерный вирус может испортить любой файл на имеющихся в компьютере дисках. Но некоторые виды файлов вирус может "заразить" сразу. Это означает, что вирус может "внедриться" в эти файлы, т.е. изменить их так, что они будут содержать вирус, который при некоторых обстоятельствах может начать свою работу. Вирусом могут быть "заражены" следующие виды файлов:
    1. Исполнимые файлы, т.е. файлы с расширениями имени .сом и .exе, а также оверлейные файлы, загружаемые при выполнении других программ. Вирусы, заражающие файлы, называются файловыми. Вирус в зараженных исполнимых файлах начинает свою работу при запуске той программы, в которой он находится. Наиболее опасны те файловые вирусы, которые после своего запуска остаются в памяти резидентно - они могут заражать файлы и вредить до следующей перезагрузки компьютера. А если они заразят любую программу, запускаемую из файла AUTOEXEC.BAT или CONFIG.SYS, то и при перезагрузке с жесткого диска вирус снова начнет свою работу.
    2. Загрузчик операционной системы и главная загрузочная запись жесткого диска. Вирусы, поражающие эти области, называются загрузочными, или Bootвирусы. Такой вирус начинает свою работу при начальной загрузке компьютера и становится резидентным, т.е. постоянно находится в памяти компьютера. Механизм распространения - заражение загрузочных записей вставляемых в компьютер дискет. Часто такие вирусы состоят из двух частей, поскольку загрузочная запись и главная загрузочная запись имеют небольшой размер и в них трудно разместить целиком программу вируса. Часть вируса, не помещающаяся в них, располагается в другом участке диска, например в конце корневого каталога диска или в кластере в области данных диска (обычно такой кластер объявляется дефектным, чтобы программа вируса не была затерта при записи данных на диск).
    3. Драйверы устройств, т.е. файлы, указываемые в предложении Device файла CONFIG-SYS. Вирус, находящийся в них, начинает свою работу при каждом обращении к соответствующему устройству. Вирусы, заражающие драйверы устройств, очень мало распространены, поскольку драйверы редко переписывают с одного компьютера на другой. То же относится и к системным файлам DOS (MSDOS.SYS и IO-SYS) - их заражение также теоретически возможно, но для распространения вирусов малоэффективно.
    Как правило, каждая конкретная разновидность вируса может заражать только один или два типа файлов. Чаще всего встречаются вирусы, заражающие исполнимые файлы. На втором месте по распространенности - загрузочные вирусы. Вирусы, заражающие драйверы устройств, встречаются крайне редко, обычно такие вирусы умеют заражать и исполнимые файлы.
    4. Вирусы, меняющие файловую систему. В последнее время получили распространение вирусы нового типа - вирусы, меняющие файловую систему на диске. Эти вирусы обычно называются DIR. Такие вирусы прячут свое тело в некоторый участок диска (обычно - в последний кластер диска) и помечают его в таблице размещения файлов (FAT) как конец файла. Для всех .СОМ- и .ЕХЕ- файлов содержащиеся в соответствующих элементах каталога указатели на первый участок файла заменяются ссылкой на участок диска содержащий вирус, а правильный указатель в закодированном виде прячется в неиспользуемой части элемента каталога. Поэтому при запуске любой программы в память загружается вирус, после чего он остается в памяти резидентно, подключается к программам DOS для обработки файлов на диске и при всех обращениях к элементам каталога выдает правильные ссылки.
    Таким образом, при работающем вирусе файловая система на диске кажется совершенно нормальной. При поверхностном просмотре зараженного диска на "чистом" компьютере также ничего странного не наблюдается. Разве лишь при попытке прочесть или скопировать с зараженной дискеты программные файлы из них будут прочтены или скопированы только 512 или 1024 байта, даже если файл гораздо длиннее. А при запуске любой исполнимой программы с зараженного таким вирусом диска этот диск, как по волшебству, начинает казаться исправным (неудивительно, ведь компьютер при этом становится зараженным). Для исправления зараженных этими вирусами дисков надо использовать только специальные антивирусные программы (например, последние версии Aidstest).
    5. "Невидимые" и самомодифицирующиеся вирусы. Чтобы предотвратить свое обнаружение, некоторые вирусы применяют довольно хитрые приемы маскировки. Мы расскажем о двух из них: "невидимых" и самомодифицирующихся вирусах.
    "Невидимые" вирусы. Многие резидентные вирусы (и файловые, и загрузочные) предотвращают свое обнаружение тем, что перехватывают обращения DOS к зараженным файлам и областям диска и выдают их в исходном (незараженном) веще. Этот эффект наблюдается только на зараженном компьютере - на "чистом" (без вирусов) компьютере изменения в файлах и загрузочных областях дискеты можно легко обнаружить.
    Самомодифицирующиеся вирусы. Другой способ, применяемый вирусами для того, чтобы укрыться от обнаружения, - модификация своего тела. Многие вирусы хранят большую часть своего тела в закодированном виде, чтобы с помощью дизассемблеров нельзя было разобраться в механизме их работы. Самомодифицирующиеся вирусы используют этот прием и часто меняют параметры этой кодировки, а кроме того, изменяют и свою стартовую часть, которая служит для раcкодировки остальных команд вируса. Таким образом, в теле подобного вируса не имеется ни одной постоянной цепочки байтов, по которым можно было бы идентифицировать вирус. Это, естественно, затрудняет нахождение таких вирусов программами-детекторами.

7.3. Краткая классификация компьютерных вирусов

    В настоящее время известно около 10 000 компьютерных вирусов. Их обычно классифицируют по целям, логике работы, области функционирования и размеру.
    По логике работы и области функционирования их условно можно разделить на:
    1. "Вирусы-ловушки" - используют ошибки и неточности в комплексе программных средств. Активизируются, как правило, при отладке больших программ. Выполняют различные деструктивные функции.
    2. "Логическиебомбы" ("бомбы" замедленного действия) - скрываются в обычных программах пользователей, активизируются при наступлении определенных условий (определенные даты, события, этап работы программы). До наступления этого момента (активизации вируса) старается заразить как можно больше программ.
    3. "Черви" - маскируются под программные средства, которые используют системные программисты для нахождения свободных в данный момент времени ресурсов информационно-вычислительных сетей. 'Черви", выявив свободные устройства, заставляют их работать в холостую. Например, вводят их в бесконечный цикл, заставляют распечатывать ненужные данные.
    4. "Троянскиекони" - маскируются под обычные прикладные программы, дополнительно выполняя несанкционированные действия (просмотр и запоминание конфиденциальной или секретной информации, считывание оперативной памяти для передачи их на "сторону"). Наиболее распространены в связи с простотой создании и легкостью размножения их в программной сети.

Классификация компьютерных вирусов

    По размеру вирусы согласно классификации Д.Н. Лозинского в одной из наиболее распространенных антивирусных программ семейства Aids - делятся на семь групп.

7.4. Основные методы защиты от вирусов

    Компьютерные вирусы проникают в "чистый" компьютер при копировании информации с гибких дисков, содержащих "зараженные" программы. Распространение вирусов становится наиболее широким в случае, когда ПЭВМ соединены в единую сеть.
    При этом некоторые типы вирусов проявляют себя (активизируются) сразу после попадания в компьютер, другие имеют так называемый "инкубационный период", в течение которого вирус не проявляется, но активно "размножается", и активизируется только при наступлении определенного события (прошел определенный промежуток времени, вирус скопировал сам себя определенное число раз и т. п.). Для защиты от вирусов можно использовать:
        - общие средства защиты информации, которые полезны также и как - страховка от физической порчи дисков, неправильно работающих программ или ошибочных действий пользователей,
        - профилактические меры, позволяющие уменьшить вероятность заражения вирусом;
        - специализированные программы для защиты от вирусов.
    Общие средства защиты информации полезны не только для защиты от вируса. Имеются две основные разновидности этих средств:
        1. Копирование информации - создание копий файлов и системных областей дисков;
        2. Разграничение доступа - предотвращает несанкционированное использование информации, в частности защиту от  изменений программ и данных вирусами, неправильно работающими программами и ошибочными действиями пользователей.
    Несмотря на то, что общие средства защиты информации очень важны для защиты от вирусов, все же их одних недостаточно. Необходимо и применение специализированных программ для защиты от вирусов. Эти программы можно разделить на несколько видов: детекторы, доктора (фаги), ревизоры (программы контроля изменений в файлах и системных областях дисков), доктора-ревизоры, фильтры (резидентные программы для защиты от вирусов) и вакцины (иммунизаторы).
Антивирусные программы можно разделить на три основные группы:
        - программы, работа которых основана на запоминании различных контрольных сумм для данных в файле;
        - резидентные программы, которые обнаруживают вирусы в момент заражения ими программ или повреждения операционной системы;
        - программы, которые определяют наличие вирусов в файлах после их заражения.
    При запуске на выполнение антивирусных программ, работа которых основана на запоминании специальных характеристик файла, они проверяют эти характеристики данных в файлах с ранее зафиксированными значениями. Если в файл внедрился вирус, то характеристики не совпадут и программа выдаст предупреждающее сообщение. Таким способом можно обнаружить внедрение даже такого вируса, который еще не известен. Однако необходимо защищать ранее записанные характеристики от изменения их вирусом. Недостатком данных программ является то, что несовпадение характеристик может являться не только результатом деятельности вирусов. Некоторые программы должны запоминать текущую настройку своей работы, записывая текущие параметры непосредственно в исполняемый файл, а это приводит к выдаче антивирусной программой ошибочных сообщений. Другим недостатком этих программ является также то, что необходимо быть абсолютно уверенным в том, что новая программа, записываемая на диск, не содержит вируса, так как контрольные суммы для нее еще не известны. Кроме того, эти антивирусные программы требуют много времени на проверку и создают большие файлы с контрольными характеристиками. При записи нового файла на диск, при копировании и переименовании файла необходимо сообщать этим программам обо всех изменениях.
    Программы-детекторы позволяют обнаруживать файлы, зараженные одним из нескольких известных вирусов.
    Программы-доктора, или фата "лечат" зараженные программы или диски, "выкусывая" из зараженных программ тело вируса, т.е. восстанавливая программу в том состоянии, в котором она находилась до заражения вирусом.
    Программы-ревизоры сначала запоминают сведения о состоянии программ и системных областей дисков, а затем сравнивают их состояние с исходным. При выявлении несоответствий об этом сообщается пользователю.
    Доктора-ревизоры - это гибриды ревизоров и докторов, т.е. программы, которые не только обнаруживают изменения в файлах и системных областях дисков, но и могут в случае изменений автоматически вернуть их в исходное состояние.
    Программы-фильтры располагаются резидентно в оперативной памяти компьютера и перехватывают те обращения к операционной системе, которые используются вирусами для размножения и нанесения вреда, и сообщают о них пользователю. Пользователь может разрешить или запретить выполнение соответствующей операций.
    Программы-вакцины или иммунизаторы, модифицируют программы и диски таким образом, что это не отражается на работе программ, но тот вирус, от которого производится вакцинация, считает эти программы или диски уже зараженными. Эти программы крайне неэффективны.
    Самая распространенная программа-антивирус - Aidstest Д.Лозинского. Она непрерывно обновляется, пополняясь сведениями о все новых вирусах. Чтобы избежать заражения от компьютерных вирусов, достаточно просто проверять время от времени антивирусом жесткий диск в профилактических целях: aidstest с: Если обнаружен какой-либо вирус, диск надо лечить: aidstest с: /f.
    Чтобы проверить не только программы, но и все остальные файлы, надо ввести: aidstest с: /f /g.
    Есть и такая программа, мощный полифаг Doctor Web И. Данилова. Запускается он командой: web с: /f (старые версии программы) или просто drweb - (версии З и выше), и тогда Вы попадаете в оболочку программы, где можно задать ваши действия (лечить или просмотреть), а также какое устройство Вы хотели бы проверить. Новые вирусы появляются ежедневно, поэтому важно иметь наиболее новые версии антивирусных программ.
    При заражении компьютера вирусом важно соблюдать следующие правила:
        1. Прежде всего не надо торопиться и принимать опрометчивых решений.
        2. Тем не менее одно действие должно быть выполнено немедленно надо выключить компьютер, чтобы вирус не продолжал своих разрушительных действий.
        3. Если у вас имеются программы-детекторы для обнаружения и уничтожения того вируса, которым заражен компьютер, следует запустить эти программы для проверки дисков компьютера.
        4. Далее следует последовательно обезвредить все диски, которые могли подвергнуться заражению вирусом.
        5. Если на диске для всех нужных файлов имеются копии в архиве, проще всего заново отформатировать диск, а затем восстановить все файлы на этом диске с помощью архивных копий.
    Меры которые позволяют уменьшить вероятность заражения компьютера вирусом, а также свести к минимуму ущерб от заражения вирусом, если оно все-таки произойдет. Меры по защите от вирусов можно разбить на несколько групп:
        1. Копирование информации и разграничение доступа.
        2. Проверка поступающих извне данных.
        3. Подготовка "ремонтного набора".
        4. Защита от загрузочных вирусов.
        5. Периодическая проверка на наличие вирусов.
        6. Покупка программного обеспечения у официальных продавцов.
 

        Контрольные вопросы

1. Что такое компьютерный вирус?
2. Какие виды файлов могут быть заражены вирусом?
3. Что такое "Невидимые" вирусы?
4. Что такое "Самомодифицирующиеся" вирусы?
5. Что могут и чего не могут компьютерные вирусы?
6. Каковы основные методы защиты от компьютерных вирусов?
7. Широко используемые антивирусные программы.
8. Меры по защите от компьютерных вирусов.

ПРОГРАММЫ АРХИВАЦИИ

8.1. Необходимость архивации файлов

    Вы уже знаете, что любая информация имеет определенный объем. Емкость накопителя на жестком диске ограничена и какой бы она большой ни была, может наступить момент, когда уже записать новые данные на диск Вы не сможете. Первый вариант решения этой проблемы - удаление ненужных Вам файлов. Однако, что делать, если даже после удаления всех ненужных файлов места на диске недостаточно? Для этого есть специальные программы-архиваторы, позволяющие уменьшить размер файла для экономии места на диске, т.е. позволяют хранить данные на компьютере в сжатом виде. Процесс сжатия файла или группы файлов называется архивацией.
    Программы-архиваторы работают по-разному, но суть их деятельности примерно в следующем: в файлах бывают какие-то повторяющиеся фрагменты и нет смысла держать их все на диске целиком. Задача архиватора найти эти повторяющиеся фрагменты и записать вместо них какую-то другую информацию, по которой можно было бы потом вспомнить, кто за кем стоял. Ясно, что эффективность архиватора будет разной для разных файлов. Скажем, тексты сжимаются раза в два, файлы для белых картинок без полутонов (например: формата РСХ или ВМР) в зависимости от насыщенности деталями - в два- четыре, даже в десять раз.
    Архиваторы позволяют сжать объем файла от 10 до 70% первоначального объема файла. Копирование 20Мб диска обычным способом (командой COPY) потребует до 15 дискет (по 1,44 Мб), а с помощью архиваторов - в несколько раз меньше. Программы для архивации файлов позволяют помещать копии файлов на диске в сжатом виде в архивный файл, извлекать файлы из архива, просматривать оглавление архива и т.д. Разные программы отличаются форматом архивных файлов, скоростью работы, степенью сжатия файлов при помещении в архив, удобством использования.
    Программы архивации распространяются как бесплатно (SHAREWARE), так и коммерческими способами. Широко используются наиболее популярные архиваторы файлов: ARJ, RAR, PKZIP и PKUNZIP. Встречаются и другие архиваторы.

8.2. Архивный файл

    Архивный файл - это набор из одного или нескольких файлов, помещенных в сжатом виде в единый файл, из которого их можно при необходимости извлечь в первоначальном виде. Он содержит оглав-ление (состав входящих в архив файлов) и код циклического контроля каждого файла (для проверки целостности архива). В оглавлении архива для каждого содержащегося в нем файла хранится следующая информация:
        - имя файла;
        - сведения о каталоге, в котором содержится файл;
        - дата и время последней модификации файла;
        - размер файла на диске и в архиве;
        - код циклического контроля для каждого файла, используемый для проверки целостности архива.

8.3. Использование программы архиватор ARJ

    На примере одной из наиболее распространенных программ архиваторов ARJ рассмотрим работу по архивации файлов.
    Для работы программы необходимо в командной строке набрать команду

ARJ <команда [-<параметр[-параметр...]]<имя архивного файла[<имя файла]

    Это основной формат команды ARJ
    Режимы работы программы ARJ.
    Программа имеет большое количество функций, выбор нужных функций выполняется в командной строке при вызове программ. Задание функций осуществляется с помощью задания кода команды и режимов. Код команды - это одна буква, она указывается в командной строке сразу за именем программы и задает вид деятельности, который должна выполнить программа. Например, А- добавление файлов в архив. Т- тестирование (проверка) архива, Е- извлечение файла из архива, D - удаление файла из архива и т.д.
    режимы - указываются с предшествующим знаком "-" или "/", они задают или уточняют требуемые от программы архивации действия;
    имя-архива - задает обрабатываемый архивный файл. Если расширение у имени файла не указано, то подразумевается расширение .ARJ для программы ARJ;
    каталог - для программы задает базовый каталог, в котором содержатся файлы. Если базовый каталог не задан, то он подразумевается равным текущему каталогу;
    имена-файлов - задают файлы, с которыми будут производиться действия. При задании имен файлов можно использовать символы * и ?. Если имена файлов не заданы, то подразумеваются все файлы из текущего каталога.

8.3.1. Помещение файлов в архив

    При помещении файлов в архив используется следующий формат вызова:

ARJ команда режимы имя-архива [каталог] [имена файлов]

    Параметры команд:
        команда - А - добавление файлов в архив, М - пересылка файлов в архив и т.д.
        режим - по умолчанию программа ARJ обеспечивает достаточно большую скорость работы и близкую к максимальной степень сжатия. Но при желании Вы можете получить максимальную (на несколько процентов большую) степень сжатия файлов за счет несколько более медленной работы. Для этого следует указать режим -JM программы ARJ. Режимы выбора архивируемых файлов. Программа ARJ имеет три основных режима помещения файлов в архив: Add - добавление в архив всех файлов (команда А); Update –добавление в архив новых файлов(команда U); Freshen - добавление новых версий имеющихся в архиве файлов (команда F).
        имя-архива, каталог, имена файлов - были рассмотрены нами ранее (см. п. 8.3).
    Примеры:
        ARJ а student - добавление в архивный файл STUDENT.ARJ вcex файлов из текущего каталога;
        ARJ u a:\student - обновление архивного файла A:STUDENT.ARJ. В архивный файл добавляются все файлы из текущего каталога, кроме тех, у которых в архиве имеются копии с более поздним временем создания или последней модификации;
        ARJ f a:\student b:\*.* - добавление в архив A:\STUDENT.ARJ новых версий файлов этого архива из корневого каталога диска В:.