Обнаружение вирусов. Обнаружение загрузочного вируса.

В загрузочных секторах дисков расположены, как правило, небольшие программы, предназначение которых состоит в определении размеров и границ логических дисков (для MBR винчестера) или загрузке ОС (для загрузочного сектора). Некоторые загрузочные вирусы можно обнаружить по наличию различных текстовых строк или наоборот, отсутствию строк, которые обязательно должны быть в загрузочном секторе. Стандартный загрузчик MS-DOS, расположенный в MBR, занимает меньше половины сектора, и многие вирусы, поражающие MBR-винчестера, довольно просто заметить по увеличению длины кода, расположенного в секторе MBR. Однако существуют вирусы, которые внедряются в загрузчик без изменения его текстовых строк и с минимальными изменениями кода загрузчика. Для того, чтобы обнаружить такой вирус в большинстве случаев достаточно отформатировать дискету на заведомо незараженном компьютере, сохранить в виде файла ее загрузочный сектор, затем некоторое время использовать ее на зараженном компьютере (записать/прочитать несколько файлов), а после этого на незараженном компьютере сравнить ее загрузочный сектор с оригинальным. Изменения в коде загрузочного сектора свидетельствуют о наличии загрузочного вируса. Существуют вирусы, использующие более сложные приемы заражения, для идентификации такого вируса необходимо проводить более детальное исследование кодов загрузочного сектора вплоть до полного анализа алгоритма работы его кода.

Обнаружение файлового вируса.

Для обнаружения такого вируса необходимо сравнить длины файлов на винчестере и в дистрибутивных копиях. Можно использовать побайтное сравнение дистрибутивных копий с используемыми программами. В некоторых случаях можно сразу обнаружить присутствие вируса по наличию в его коде текстовых строк типа *COM, *EXE. Еще один способ основан на том, что языки высокого уровня имеют вполне определенную структуру, скажем: сегмент кода программы, строка-копирайт фирмы изготовителя, сегмент данных. Если за сегментом данных следует еще один участок кода, то вполне вероятно, что файл заражен вирусом. Рекомендуется запустить также одну из резидентных антивирусных программ и следить за ее сообщениями о подозрительных действиях (запись в COM или EXE файл, запись на диск по абсолютному адресу и т.п.). Рассмотренные выше методы обнаружения файловых и загрузочных вирусов подходят для большинства как резидентных, так и не резидентных вирусов. Однако эти методы не срабатывают, если вирус выполнен по технологии «стэлс», что делает бесполезным использование большинства резидентных мониторов, утилит сравнения файлов и чтения секторов.

Обнаружение макровируса.

Характерным проявлением макровируса являются:

• невозможность конвертировать зараженного документа Word в другой формат,

• зараженные Word-файлы имеют формат Template,

• в STARTUP каталоге присутствуют чужие файлы,

• наличие в BOOK Excel скрытых листов,

• невозможность записи документа в другой каталог/на другой диск по команде Save As (только для Word6),

• выдача редакторами сообщений об ошибках,

• наличие «чужих» макросов в меню Tools/Macro,

• запрет работы пункта меню Tools/Macro – признак наличия «стэлс»-вируса,

• появление сообщений или диалогов на языке, не совпадающем с языком установленной версии редактора,

• запрет на использование различных пунктов меню,

• появление новых секций и/или опций в файле конфигурации Windows (WIN.INI).