Скорость распространения резидентных вирусов обычно выше, чем у нерезидентных, они заражают файлы при каких-либо обращениях к ним. В результате на диске оказываются зараженными все или почти все файлы, которые постоянно используются в работе.
Скорость распространения резидентных файловых вирусов, заражающих файлы только при запуске на выполнение, будет ниже, чем у вирусов, заражающих файлы и при их открытии, переименовании, изменении атрибутов файла и т. д.
Многие вирусы при создании своей копии в оперативной памяти компьютера пытаются занять область памяти с самыми старшими адресами, разрушая временную часть командного интерпретатора COMMAND.COM. По окончании работы зараженной программы временная часть интерпретатора восстанавливается, при этом происходит открытие файла COMMAND.СОМ и его заражение.
Таким образом, при запуске подобного вируса первым будет заражен файл COMMAND.COM.
Внедрение вирусов в SYS-файлы
Вирусы, внедряющиеся в SYS-файл, приписывают свои коды к телу файла и модифицируют адреса программ стратегии (Strategy) и прерывания (Interrupt) заражаемого драйвера (встречаются вирусы, изменяющие адрес только одной из программ).
При инициализации зараженного драйвера вирус перехватывает соответствующий запрос операционной системы, передает ее драйверу, ждет ответа на этот запрос, корректирует его и остается в оперативной памяти вместе с драйвером в одном блоке памяти. Такой вирус может быть чрезвычайно опасным и живучим, так как внедряется в ОЗУ при загрузке DOS раньше любой антивирусной программы, если она, конечно, тоже не является драйвером.
TSR (резидентные) вирусы
DOS предусматривает единственный способ создания резидентных (TSR) модулей — при помощи функции KEEP (int21h или int27h). Многие файловые вирусы для маскировки своего распространения используют другой способ, обрабатывая системные области, управляющие распределением памяти, выделяют для себя свободный участок памяти, помечают его как занятый и переписывают туда свою копию.
Некоторые вирусы внедряют свои TSR-копии в свободные участки памяти в таблице секторов прерываний, в рабочие области DOS, в память, отведенную под системные буферы.
Известны два способа проверки резидентным вирусом наличия своей копии в памяти ПК:
• Первый заключается в том, что вирус вводит новую функцию некоторого прерывания, действие которой заключается в возврате значения «я здесь». При старте вирус обращается к ней и, если возвращенное значение совпадает со значением «я здесь», то память ПК уже заражена и повторное заражение не производится.
• При проверке вторым способом вирус просто скопирует память ПК.
Оба способа могут в той или иной мере сочетаться друг с другом.
Диагностика и профилактика заражения ПК вирусами
Один из основных методов борьбы с вирусами является, как и в медицине, своевременная профилактика. Компьютерная профилактика состоит из небольшого количества правил, соблюдение которых значительно снижает вероятность заражения вирусом и утери каких-либо данных.
1. Лучше покупать дистрибутивные копии программного обеспечения у официальных продавцов, чем бесплатно или почти бесплатно копировать их из других источников. Отсюда вытекает необходимость хранения дистрибутивных копий программного обеспечения на защищенных от записи дискетах.
2. Периодически сохраняйте файлы, с которыми ведется работа, на внешний носитель, например дискеты. Такие копии носят название Backup-копий. При наличии стримера, CD-ROM или другого носителя большого объема имеет смысл делать Backup всего содержимого винчестера.
3. Постарайтесь не запускать непроверенные файлы, в том числе полученные из компьютерной сети. Желательно использовать только программы, полученные из надежных источников. Перед запуском новых программ обязательно проверьте их одним или несколькими антивирусами. Желательно также, чтобы при работе с новым программным обеспечением в памяти находился какой-либо антивирусный «супервизор». Если запускаемая программа заражена вирусом, то такой «супервизор» поможет обнаружить вирус и остановить его распространение.
4. Необходимо ограничить круг лиц, допущенных к работе на ПК. Как правило, наиболее часто подвержены заражению «многопользовательские» ПК (например, в компьютерных классах школ и институтов).
5. Пользуйтесь утилитами проверки целостности информации. Такие утилиты сохраняют в специальных базах данных информацию о системных областях дисков (или целиком системные области) и информацию о файлах (контрольные суммы, размеры, атрибуты, даты последней модификации файлов и т. д.).
6. Периодически сравнивайте информацию, хранящуюся в подобной базе данных, с реальным содержимым винчестера, т. к. практически любое несоответствие может служить сигналом о появлении вируса или «троянской» программы.
7. Руководствуйтесь следующей методикой использования антивирусных программ (перед использованием антивирусных программ крайне желательно загрузиться с резервной копии DOS, расположенной на заведомо чистой от вирусов и защищенной от записи дискете).
Перезагрузка ПК должна быть холодной, т. к. некоторые вирусы выживают при теплой перезагрузке. Желательно, чтобы антивирусные программы, используемые для проверки, были самых последних версий. Если обнаружены зараженные файлы, то следует:
• распечатать их список;
• если для этих файлов нет Backup-копии, то сохранить их на дискеты;
• при помощи антивирусной программы восстановить зараженные файлы и затем проверить их работоспособность и соответствие Backup-копии (если есть);
• если восстановление файлов произошло не вполне корректно, то их следует уничтожить и переписать с Backup-копий; если же копий нет, то восстановить зараженные файлы с дискет и попытаться дезактивировать их при помощи другого антивируса. Следует отметить, что качество восстановления файлов многими антивирусными программами оставляет желать лучшего. Необходимо обращать особое внимание на чистоту модулей, сжатых утилитами типа LZEXE, PKLITIE или DIET, файлов в архивах (ZIP, ARC, ICE, ARJ и т. д.) и данных в самораспаковывающихся файлах, созданных утилитами типа ZIP2.EXE.
Штаммы вируса могут проникнуть и в Backup-копии программного обеспечения при обновлении этих копий.
Никто не может гарантировать полного уничтожения всех копий компьютерного вируса, т. к. файловый вирус может поразить не только выполняемые файлы, но и оверлейные модули с расширениями имени, отличающимися от СОМ и EXE.
Необходимо помнить, что резидентные вирусы отличаются гораздо большим коварством и изощренностью, чем нерезидентные.
Антивирусные программы
Качество антивирусной программы определяется по следующим позициям, приведенным в порядке убывания их важности.
1. Надежность и удобство работы — отсутствие зависаний антивируса и прочих технических проблем, требующих от пользователя специальной подготовки.
2. Качество обнаружения вирусов всех распространенных типов, сканирование внутри файлов документов/таблиц (MS Word, Excel, Office 97), упакованных и архивированных файлов. Отсутствие ложных срабатываний. Возможность лечения зараженных объектов. Для сканеров, как следствие, важной является также периодичность появления новых версий, т. е. скорость настройки сканера на новые вирусы.