10.4. Вирусы и операционные системы

Программы-вирусы создаются для ЭВМ определенного типа, работающих с конкретными ОС. Для одних ОС созданы тысячи вирусов. В качестве примера можно привести ОС MS DOS, уста­навливаемую на ЮМ совместимые персональные компьютеры.

169

Для ОС Unix, OS/2, Windows и некоторых других ОС известно незначительное количество вирусов. Привлекательность ОС для создателей вирусов определяется следующими факторами: распространенность ОС;

отсутствие встроенных антивирусных механизмов; относительная простота; продолжительность эксплуатации.

Все приведенные факторы характерны для MS DOS. Наличие антивирусных механизмов, сложность систем и относительно ма­лые сроки эксплуатации делают задачу создания вирусов трудно решаемой. Поэтому авторы вирусов для Windows, OS/2 часто прибегают к использованию из этих операционных систем хоро­шо знакомой MS DOS для внедрения вирусов.

Главным недостатком MS DOS является возможность полного и бесконтрольного доступа любой активной программы ко всем системным ресурсам ЭВМ, включая и модули самой ОС.

Операционная система Microsoft Windows 3.1 и ее модифика­ция Microsoft Windows for Workgroups 3.11 не являются самостоя­тельными ОС, а больше похожи на очень большие программы MS DOS. В этих ОС введены ограничения на доступ к ОП. Каждая программа получает доступ только к своему виртуальному про­странству ОП. Доступ же к дискам, файлам и портам внешних устройств не ограничены. Сохраняют работоспособность и загру­зочные вирусы, разработанные для MS DOS, так как они получа­ют управление еще до загрузки Microsoft Windows 3.1 ив этот период времени действия их ничем не ограничены.

Слабость защитных функций ОС Microsoft Windows 95/98 также объясняется совместимостью с MS DOS. Эта ОС имеет та­кую же устойчивость к воздействию вирусов, как и Microsoft Windows 3.1. К тому же в этой ОС получили распространение и макровирусы.

Значительно лучше защищена от вирусов операционная сис­тема ЮМ OS/2. Эта система полностью независима от MS DOS. Все программы, выполняемые в OS/2, работают в отдельных ад­ресных пространствах, что полностью исключает возможность взаимного влияния программ. Существует возможность запретить рабочим программам (несистемным) иметь доступ к портам пе­риферийных устройств. Если ЭВМ с Microsoft OS/2 используется

170

в качестве файл-сервера IBM LAN Server, то с помощью драйвера 386 HPFS можно указывать права доступа к каталогам и файлам. Можно также защитить каталоги от записи в файлы, содержащие­ся в них. В этой системе существует возможность выполнения программ MS DOS. Но в OS/2 для вирусов, созданных для MS DOS, гораздо меньше возможностей.

Хорошую защиту от вирусов имеют сетевые операционные системы Microsoft Windows NT и Novell Net Ware, а также опера­ционная система Windows 2000.

10.5. Методы и средства борьбы с вирусами

Массовое распространение вирусов, серьезность последствий их воздействия на ресурсы КС вызвали необходимость разработки и использования специальных антивирусных средств и методов их применения. Антивирусные средства применяются для реше­ния следующих задач [55]:

обнаружение вирусов в КС; блокирование работы программ-вирусов; устранение последствий воздействия вирусов.

Обнаружение вирусов желательно осуществлять на стадии их внедрения или, по крайней мере, до начала осуществления дест­руктивных функций вирусов. Необходимо отметить, что не суще­ствует антивирусных средств, гарантирующих обнаружение всех возможных вирусов.

При обнаружении вируса необходимо сразу же прекратить ра­боту программы-вируса, чтобы минимизировать ущерб от его воздействия на систему.

Устранение последствий воздействия вирусов ведется в двух направлениях:

удаление вирусов;

восстановление (при необходимости) файлов, областей памяти.

Восстановление системы зависит от типа вируса, а также от момента времени обнаружения вируса по отношению к началу деструктивных действий. Восстановление информации без ис­пользования дублирующей информации может быть невыполни­мым, если вирусы при внедрении не сохраняют информацию, на

171

место которой они помещаются в память, а также, если деструк­тивные действия уже начались, и они предусматривают измене­ния информации.

Для борьбы с вирусами используются программные и аппа­ ратно-программные средства, которые применяются в определен ной последовательности и комбинации, образуя методы борьбы с вирусами. Можно выделить методы обнаружения вирусов и мето­ ды удаления вирусов. >

10.5.1. Методы обнаружения вирусов

Известны следующие методы обнаружения вирусов [55]: сканирование; обнаружение изменений; эвристический анализ; использование резидентных сторожей; вакцинирование программ; аппаратно-программная защита от вирусов. Сканирование - один из самых простых методов обнаружения вирусов. Сканирование осуществляется программой-сканером, которая просматривает файлы в поисках опознавательной части вируса - сигнатуры. Программа фиксирует наличие уже извест­ных вирусов, за исключением полиморфных вирусов, которые применяют шифрование тела вируса, изменяя при этом каждый раз и сигнатуру. Программы-сканеры могут хранить не сигнатуры известных вирусов, а их контрольные суммы. Программы-сканеры часто могут удалять обнаруженные вирусы. Такие про­граммы называются полифагами.

Метод сканирования применим для обнаружения вирусов, сигнатуры которых уже выделены и являются постоянными. Для эффективного использования метода необходимо регулярное об­новление сведений о новых вирусах.

Самой известной программой-сканером в России является Aidstest Дмитрия Лозинского.

Метод обнаружения изменении базируется на использовании программ-ревизоров. Эти программы определяют и запоминают характеристики всех областей на дисках, в которых обычно раз­мещаются вирусы. При периодическом выполнении программ-

172

ревизоров сравниваются хранящиеся характеристики и характери­стики, получаемые при контроле областей дисков. По результатам ревизии программа выдает сведения о предположительном нали­чии вирусов.

Обычно программы-ревизоры запоминают в специальных файлах образы главной загрузочной записи, загрузочных секторов логических дисков, характеристики всех контролируемых файлов, каталогов и номера дефектных кластеров. Могут контролировать­ся также объем установленной оперативной памяти, количество подключенных к компьютеру дисков и их параметры.

Главным достоинством метода является возможность обнару­жения вирусов всех типов, а также новых неизвестных вирусов. Совершенные программы-ревизоры обнаруживают даже «стеле»-вирусы. Например, программа-ревизор Adinf, разработанная Д. Ю Мостовым, работает с диском непосредственно по секторам через BIOS. Это не позволяет использовать «стелс»-вирусам возмож­ность перехвата прерываний и «подставки» для контроля нужной вирусу области памяти.

Имеются у этого метода и недостатки. С помощью программ-ревизоров невозможно определить вирус в файлах, которые по­ступают в систему уже зараженными. Вирусы будут обнаружены только после размножения в системе.

Программы-ревизоры непригодны для обнаружения зараже­ния макровирусами, так как документы и таблицы очень часто изменяются.

Эвристический анализ сравнительно недавно начал использо­ваться для обнаружения вирусов. Как и метод обнаружения изме­нений, данный метод позволяет определять неизвестные вирусы, но не требует предварительного сбора, обработки и хранения ин­формации о файловой системе.

Сущность эвристического анализа заключается в проверке возможных сред обитания вирусов и выявление в них команд (групп команд), характерных для вирусов. Такими командами мо­гут быть команды создания резидентных модулей в оперативной памяти, команды прямого обращения к дискам, минуя ОС. Эври­стические анализаторы при обнаружении «подозрительных» ко­манд в файлах или загрузочных секторах выдают сообщение о возможном заражении. После получения таких сообщений необ-

173

ходимо тщательно проверить предположительно зараженные файлы и загрузочные сектора всеми имеющимися антивирусными средствами. Эвристический анализатор имеется, например, в ан­тивирусной программе Doctor Web.

Метод использования резидентных сторожей основан на применении программ, которые постоянно находятся в ОП ЭВМ и отслеживают все действия остальных программ.

В случае выполнения какой-либо программой подозрительных действий (обращение для записи в загрузочные сектора, помеще­ние в ОП резидентных модулей, попытки перехвата прерываний и т. п.) резидентный сторож выдает сообщение пользователю. Про­грамма-сторож может загружать на выполнение другие антиви­русные программы для проверки «подозрительных» программ, а также для контроля всех поступающих извне файлов (со сменных дисков, по сети).

Существенным недостатком данного метода является значи­тельный процент ложных тревог, что мешает работе пользователя, вызывает раздражение и желание отказаться от использования резидентных сторожей. Примером резидентного сторожа может служить программа Vsafe, входящая в состав MS DOS.

Под вакцинацией программ понимается создание специально­го модуля для контроля ее целостности. В качестве характеристи­ки целостности файла обычно используется контрольная сумма. При заражении вакцинированного файла, модуль контроля обна­руживает изменение контрольной суммы и сообщает об этом пользователю. Метод позволяет обнаруживать все вирусы, в том числе и незнакомые, за исключением «стеле»- вирусов.

Самым надежным методом защиты от вирусов является ис­пользование аппаратно-программных антивирусных средств. В настоящее время для защиты ПЭВМ используются специальные контроллеры и их программное обеспечение. Контроллер уста­навливается в разъем расширения и имеет доступ к общей шине. Это позволяет ему контролировать все обращения к дисковой сис­теме. В программном обеспечении контроллера запоминаются области на дисках, изменение которых в обычных режимах рабо­ты не допускается. Таким образом, можно установить защиту на изменение главной загрузочной записи, загрузочных секторов, файлов конфигурации, исполняемых файлов и др.

174

При выполнении запретных действий любой программой кон­троллер выдает соответствующее сообщение пользователю и бло­кирует работу ПЭВМ.

Аппаратно-программные антивирусные средства обладают рядом достоинств перед программными: работают постоянно;

обнаруживают все вирусы, независимо от механизма их действия;

блокируют неразрешенные действия, являющиеся резуль­татом работы вируса или неквалифицированного пользователя.

Недостаток у этих средств один - зависимость от аппаратных средств ПЭВМ. Изменение последних ведет к необходимости за­мены контроллера.

Примером аппаратно-программной защиты от вирусов может служить комплекс Sheriff.