Живи вируси: какво е това и как да го унищожите. Компютърен вирус

Повечето потребители, поне веднъж в живота си, се натъкнаха на концепцията компютърни вируси. Вярно е, че много хора не знаят, че класифицирането на заплахите се състои основно от две големи категории: нерезидентни и резидентни вируси. Нека да се занимаваме с втората класа, защото нейните представители са най-опасните и понякога дори нерентабилни, дори когато дискът или логическият дял са форматирани.

Какви са вируси, които са живи?

И така, с какво трябва да се справи потребителят? За опростено обяснение на структурата и принципите на функционирането на такива вируси е целесъобразно да се обсъди обяснението за това, което се отнася до резидентната програма.

Смята се, че този тип програми включват приложения, които работят непрекъснато в режим на наблюдение, без да показват изрично действията си (например, същите редовни антивирусни скенери). Що се отнася до заплахите, които проникват в компютърните системи, те не само виси постоянно в паметта на компютъра, но създават свои собствени дубликати. По този начин копията на вируси непрекъснато наблюдават системата и се движат около нея, което прави много трудно да ги намерите. Някои заплахи също могат да променят собствената си структура и откриването им на базата на общоприети методи става практически невъзможно. Малко по-късно ще разгледаме как да се отървем от вируси от този тип. Междувременно нека да се занимаем с основните видове местни заплахи.

DOS заплахи

Първоначално, когато -дограма- или UNIX-подобни системи все още не са съществували, а потребителското комуникацията с компютъра е на нивото на обучение, е имало "ОС» DOS, достатъчно дълго, за да се задържи на върха на популярността.

И за такива системи започнаха да се създават нежилищни и резидентни вируси, чиито действия първоначално са насочени към нарушаване на производителността на системата или изтриване на потребителски файлове и папки.

Принципът на действие на такива заплахи, който между другото е широко използван досега, е, че те пречат на достъпа до файловете и след това заразяват наречения обект. Повечето от днешните известни заплахи обаче работят по този начин. Но вирусите проникват в системата или чрез създаване на постоянен модул под формата на драйвер, който е посочен в системния конфигурационен файл на Config.sys, или чрез използване на специална функция KEEP за проследяване на прекъсванията.

Положението е още по-лошо, когато резидентните вируси от този тип използват разпределение на зоните на системната памет. Ситуацията е, че първо вирусът "прекъсва" свободната памет, след това отбелязва тази област като зает и след това запазва своето копие в нея. Най-тъжно е, че има случаи, когато копията се намират във видео памет и в области, запазени в клипборда, в таблиците на прекъсващите вектори и в работните пространства на DOS.

Всичко това прави копия на заплахата от вируса е толкова упорити, че те, за разлика от чуждестранни вируси, които се показват, докато използвате някоя програма или операционна функции на системата, може да се активира отново, дори и след рестартиране. Освен това, при достъп до заразен обект вирусът може да създаде собствено копие дори и в RAM. Вследствие на това е моментно компютърът се затваря. Както вече беше разбрано, третирането на вируси от този тип трябва да се извършва с помощта на специални скенери, за предпочитане не стационарни, но преносими или тези, които могат да бъдат заредени от оптични дискове или USB носители. Но повече за това по-късно.

Boot Threats

Boot вирусите проникват в системата по подобен начин. Това е само тяхното поведение, което се нарича, деликатно, първо "изяжда" част от системната памет (обикновено 1 KB, но понякога тази цифра може да достигне максимум от 30 KB), а след това се предписва на своя собствен код под формата на копие, а след това започва да се изисква рестартиране. Той е изпълнен с негативни последици, тъй като след рестартиране на вируса възстановява намалената памет до първоначалния си размер, както и копие е извън системната памет.

В допълнение към мониторинга прекъсва, такива вируси могат да предписват свои собствени кодове в обувния сектор (MBR запис). Следите от BIOS и DOS се използват по-рядко и вирусите се изтеглят само веднъж, без да се проверява наличието на копие от тях.

Вируси под Windows

С навлизането на базирани на Windows системи вирусът достигна ново ниво, за съжаление. Днес това е Windows на всяка версия, която се счита за най-уязвимата система, въпреки усилията на специалистите на Microsoft в разработването на модули за сигурност.

Вирусите, предназначени за Windows, работят по принципи, подобни на DOS-заплахите, но има много повече начини да проникнат в компютъра. От най-често срещаните три основни, според които вирусът може да напише свой собствен код в системата:

• регистриране на вируса като заявление в момента;
• разпределение на блока от памет и записване в него на собствено копие;
• работа в системата под маската на VxD драйвер или прикриване като драйвер на Windows NT.

Заразените файлове или области от системна памет по принцип могат да бъдат излекувани чрез стандартни методи, които се използват в антивирусни скенери (откриване чрез вирусна маска, сравнение с бази данни за подпис и т.н.). Въпреки това, ако се използват непретенциозни безплатни програми, те не могат да открият вируса и понякога дори дават фалшив задействащ сигнал. Поради това лъчът използва преносими инструменти като Doctor Web (по-специално, Dr.Web CureIt!) Или продукти на Kaspersky Lab. Въпреки това, днес можете да намерите доста много комунални услуги от този тип.

Макро вируси

Пред нас е друг вид заплаха. Името идва от думата "макрос", т.е. изпълним аплет или добавка, която се използва в някои редактори. Не е изненадващо, че вирусът започва, когато програмата стартира (Word, Excel и т.н.), отваря офис документа, отпечатва, извиква елементи от менюто и т.н.

Такива заплахи под формата на системни макроси са в паметта за цялото време, когато редакторът работи. Но като цяло, ако разгледаме въпроса как да се отървем от вируси от този тип, решението е съвсем просто. В някои случаи това помага дори обичайните забрана на добавки или макроси в редактора, както и активирането на аплети антивирусна защита, да не говорим за обичайните бързо сканиране антивирусна пакети система.

Вируси, базирани на стелт технология

Сега нека разгледаме маскиращите вируси, защото те съзнателно получиха името си от невидимия самолет.

Същността на тяхното функциониране е именно, че те се преструват, че са системен компонент, и да ги дефинираме по обичайните методи понякога е доста сложен въпрос. Сред тези заплахи можете да намерите и макро вируси, зареждащи заплахи и DOS-вируси. Смята се, че за Windows не съществуват скрити вируси, въпреки че много експерти твърдят, че това е само въпрос на време.

Видове файлове

Като цяло, всички вируси могат да бъдат наречени файл, тъй като те по някакъв начин да повлияе на файловата система и действа от файлове или ги заразява със собствен код или криптиране, или вземане на недостъпни поради корупция или изтриване.

Най-често срещаните примери са съвременните криптографски вируси (изнудвачи), както и известният Обичам те. С тях, без специални ключове за декриптиране, лечението на вируси не е нещо, което е трудно, но често невъзможно. Дори водещите разработчици на антивирусен софтуер са безсилни да правят безпомощен жест, защото, за разлика от модерните системи за криптиране AES256, тук се използва технологията AES1024. Разбирате, че декодирането може да отнеме повече от десет години, въз основа на броя на възможните варианти за ключа.

Полиморфни заплахи

И накрая, друг вид заплаха, в която се прилага феноменът на полиморфизма. От какво се състои? Фактът, че вирусите непрекъснато променят собствения си код, и това се прави въз основа на така наречения плаващ ключ.

С други думи, не е възможно да определим заплаха от маската, защото, както виждаме, не само неговата структура, базирана на кодове, се променя, но и ключът към декриптирането. За да се справят с такива проблеми, се използват специални полиморфни декодери (дешифратори). Въпреки това, както показва практиката, те са в състояние да разчитат само най-простите вируси. По-сложни алгоритми, уви, в повечето случаи, техните ефекти не са податливи. Отделно от това е необходимо да се каже, че промяната на кода на такива вируси съпътства създаването на копия с намалена дължина, които могат да се различават значително от оригинала.

Как да се справяме с местните заплахи

Накрая се обръщаме към въпроса за справянето с живите вируси и защитата на компютърните системи от всякаква сложност. Най-лесният начин да патронаж може да се разглежда инсталирането на пакет антивирусна на пълно работно време, това е само употреба е най-добре да не свободен софтуер, но най-малко Shareware (пробен) версия от разработчиците като "Doctor Web", "Kaspersky Anti-Virus", на ESET NOD32 и програма тип Smart Security, ако потребителят непрекъснато работи с интернет.

Въпреки това, в този случай никой не е имунизиран от факта, че заплахата не проникне в компютъра. Ако случаят е такъв, първо трябва да използвате преносими скенери и по-добре да използвате помощния диск на Rescue Disk. С тяхна помощ можете да изтеглите програмния интерфейс и да сканирате преди стартирането на основната операционна система (вирусите могат да създават и съхраняват свои собствени копия в системата и дори в RAM).

И отново: не се препоръчва да използвате софтуер като SpyHunter и след това ще бъде проблематично да се отървете от самия пакет и от придружаващите го компоненти на непосветения потребител. И, разбира се, не изтрийте веднага заразените файлове или се опитайте да форматирате твърдия диск. По-добре оставяйте лечението на професионални антивирусни продукти.

заключение

Остава да се добави, че само основните аспекти на резидентните вируси и методите за борба с тях са разгледани по-горе. В края на краищата, ако погледнете компютърните заплахи, така да се каже, в глобален смисъл, всеки ден има толкова голям брой, че разработчиците на инструменти за сигурност просто нямат време да измислят нови методи за борба с такива нещастия.