Тема 3. Антивірусні програми

Антивірусні програми

Вірус — це невелика програма (сукупність виконуваного машинного коду), яка, потрапляючи в комп'ютер, здатна виконувати небажані дії (може створювати свої копії, які не обов'язково збігаються з оригіналом, і втілювати їх у файли, системні області комп'ютерів, комп'ютерні мережі). Вірус — це своєрідна програма, яка, на відміну від звичайних програм, ніколи не зберігає себе у вигляді окремих файлів.

Уперше вірус з назвою Creeper поширився в комп'ютерних мережах у США на початку 1970-х років. Він створений про­грамістом, який начитався фантастичних романів. Саме у фан­тастичному романі, задовго до епохи персональних комп'юте­рів, описано ефект вірусного зараження комп'ютера.

Віруси потрапляють у комп'ютер із заражених компакт-дисків, флеш-носіїв, з локальної мережі та інтернету. Достатньо, наприклад, вставити флеш-носій у заражений комп'ю­тер, і носій отримає букет вірусів, та навпаки.

Ознаки діяльності вірусів на комп'ютерах:

·           робота на комп'ютері істотно сповільнюється переважно через захоплення вірусом оперативної пам'яті; повільно запускаються програми і відкриваються документи, по­вільно закачуються веб-сторінки аж до повної зупинки, щораз частіше зависають програми, некоректно відкриваються чи зовсім не відкрива­ються окремі файли, папки і диски;

·           деякі програми перестають працювати або працюють неправильно;

·           вміст деяких файлів на дисках виявляється спотвореним; інформація на дисках втрачається;

·           на екрані монітора несподівано чи періодично з'являються певні графічні заставки, зображення на екрані може видозмінюватись або спотво­рюватись, комп'ютер може програвати певні музичні фрагменти;

·           втрачається доступ до робочих дисків;

·           є віруси, які руйнують файли, особливо системні, що може спричи­нити «падіння» ОС, а також втрату даних на дисках;

·           незначна зміна обсягів файлів — також ознака вірусного зараження.

З-поміж сучасних носіїв лише оптичні диски захищені від вірусів при читання даних, але віруси можуть бути занесені на них під час записування даних разом із зараженим файлом.

Перші віруси не були особливо шкідливими, їх створювали фахівці для пізнання нового явища — здатності програм саморозвиватися та дописуватись до інших програм. Потім з'явились шкідливі віруси, які руйнували файлові структури на комп'ютерах. Сьогодні віруси стали більш прагматичними і намагаються викрасти з ПК цінні дані, наприклад,  номери банківських карток, паролі доступу до ресурсів, ...

Найбільшої шкоди у 90-х роках завдав вірус Win95.cih з Тайваню та його різновид, відомий під назвою «Чорнобиль». Віру «оживав» на комп'ютерах 26 квітня, а деякі його модифікації спрацьовували 26 числа кожного місяця. Цей вірус знищував дані на дисках та у постійній пам'яті. У 1999 p. від вірусу Win95.cih постраждали десятки країн, особливо Південна Корея і Туреччина, де вірус пошкодив дані майже на 500 тис.комп'ютерів у банках, аеропортах, у поліції, школах і на телебаченні.

Напередодні у СІІІА була епідемія вірусу Melissa, яка охопила 100 тис. комп'ютерів. Вчасно проведені там антивірусні заходи сприяли захисту від Win95.cih — постраждало лише близько 10 тис. комп'ютерів.

Є сотні тисяч різновидів вірусів. Розглянемо основні види вірусів:

1.    файлові ;

2.    мережні ;

3.    рекламні ;

4.    макровіруси .

Файлові віруси (такі як Win95.cih) дописують себе до виконуваних файлів і під час запуску цих файлів «розмножуються» в оперативній пам'яті комп'ютера, заражаючи інші запущені програми.

Мережні віруси поширюються через інтернет чи локальну мережу. Це трояни, хробаки, поштові та скрипт-віруси.

Троянами (англ. trojan, від міста Троя, підступно захопленого греками) називають різновид мережних вірусів шпіонського призначення. Ці віруси здатні «ловити рибу на чужому комп'ютері» (від англ. fishing; так називають викрадення через мережу цінної інформації: паролів доступу, номерів кредитних карток, документів). Захист від таких мережних вірусів називають антифішингом.

Віруси-хробаки (англ. worm) — це віруси, які, повзаючи в мережі, швидко розмножуються, перевантажують мережу, сповільнюють або паралізують її роботу і комп'ютер користувача.

У 2004 р. компанія Microsoft пообіцяла виплатити 250 тис. доларів кож­ному, хто допоможе владі заарештувати автора комп'ютерного хробака Mydoom. У січні цей хробачок вразив увесь світ швидкістю поширення, а головна його мета — атаки на комп'ютери згаданої компанії. Незважаючи на те, що різні версії Mydoom з'являлися аж до лютого 2005 p., автора так і не знайшли.

Поштові віруси, потрапляючи на комп'ютер з електронною поштою, нишпорять по адресній книжці. Вони можуть відіслати фальши­вого листа будь-кому від імені користувача.

Скрипт-віруси можна отримати, переглядаючи веб-сторінку. Ці віруси вміють знаходити дірки в захисті Windows і в браузері Internet Explorer чи в поштовій програмі MS Outlook Express.

Рекламні віруси не чинять шкоди комп'ютеру, але заважають, демонструючи рекламу у вікнах, що з'являються несподівано.

Макровіруси поселяються в офісних документах і програмах та сповільнюють їхню роботу.

 «Вилікувати» заражений комп'ютер не завжди легко. Краще вжити профілактичні заходи від зараження комп'ютерів вірусами. Для профілактики потрібно:

•     періодично створювати на зовнішніх носіях архівні копії файлів, з якими постійно
ведеться робота;

•     не скачувати з інтернету все, що потрапило під руку;

•     не відкривати підозрілі листи, особливо додатки до них;

•     не запускати невідомі exe-файли, зокрема отримані з мережі

•     не запускати неперевірені файли. Перед запуском нових програм потріб­но перевірити їх однією або кількома антивірусними програмами. При роботі із новим програмним забезпеченням варто, щоб в оперативній пам'яті знаходився антивірусний монітор;

•     виконувати антивірусну перевірку носіїв, які побували на чужих комп'ютерах;

•     періодично здійснювати профілактичну перевірку на наявність вірусів;

•     варто мати окремий системний компакт-диск з так званим «ремонтним» набором програм для обслуговування дисків та антивірусних програм;

•     здійснювати перевірку цілісності інформації на дисках за допомогою програм-
ревізорів.

•     регулярно оновлювати антивірусні бази;

Для виявлення та знищення комп'ютерних вірусів використовують антивірусні програ­ми. До недавнього часу розглядались такі види антивірусних програм (кожний вид виконує певну функцію):

1)   програми-детектори дозволяють виявити файли, які заражені одним із відомих їм
вірусів;

2)   програми-лікарі, або фаги, знешкоджують віруси в заражених файлах та на дисках
(«викусуючи» тіло вірусу із заражених об'єктів) та відновлюють файли в незараженому стані;

3)   програми-ревізори запам'ятовують відомості про файли (контрольні суми, атрибути,
розміри, дати останньої модифікації тощо) та системні області дисків (часто системні області повністю), а потім порівнюють їх із реальним вмістом вінчестера, кожна знайдена невідповід­ність служить сигналом про появу вірусу або «троянської» програми (яка нещадно руйнує ін­формацію на дисках, але яку за сукупністю ознак не можна віднести до комп'ютерних вірусів);

4)   програми-монітори, або фільтри, резидентно розташовуються в оперативній пам'яті
комп'ютера і реагують на звернення, які роблять віруси до операційної системи для свого розмноження або виконання руйнівних дій; при цьому користувач може дозволити або заборонити виконання відповідних операцій;

5) програми-вакцини, або імунізатори, модифікують файли і диски таким чином, що ві­рус, аналізуючи вакциновану програму чи диск, вважає, що вони вже зараженні, і повторне за­раження не здійснює.

Сучасні антивірусні програми поєднують у собі кілька видів, тобто виконують кілька функцій захисту. Крім того вони регулярно оновлюються, оскільки постійно з'являються нові віруси. Є такі антивірусні програми: Aidstest, Doctor Web, Antiviral Toolkit Pro (AVP), AdІnf, Norton AntiVirus, Антивірус Касперського, Avast, NOD32, Мсaffee (читається - мак-кафі), AVG (підкреслені назви тих антивірусів, які використовуються на сьогоднішній день).

Програма Aidstest є розпізнає близьно 2000 віру­сів. Кожна нова версія програми Aidstest здатна виявляти та знищувати нові комплекти вірусів. Але Aidstest не здатна виявляти поліморфні (змінюють своє тіло) віруси, не може перевіряти упаковані файли та ар­хіви. Завантажується вона з командної стрічки.

Позитивною рисою програм AVP і Dr. Web є наявність у них аналізатора для виявлення самомодифіковних вірусів, здатність виявляти макровіруси, тестувати архіви та упаковані файли. Ці програми мають власні оболонки.

AdІnf — програма-ревізор, яка добре зарекомендувала себе в роботі, здатна боротися з вірусами-невидимками.

Norton AntiVirus поєднує в собі функції багатьох антивірусних програм, здатна визначити бли­зько 10 000 вірусів, містить у собі програму-монітор для контролю за недозволеними діями.

Сучасні антивірусні програми:

Антивірус Касперського 7.0 забезпечує захист в режимі реального часу - перевірка “на-льоту” інтернет-трафіку, пошти і файлів. Також, антивірус володіє засобами для створення диска аварійного відновлення системи і самозахистом від виключення або видалення.  Програма здійснює антивірусну перевірку поштового трафіку та інтернет-трафіку, що поступає по HTTP-протоколу, в режимі реального часу і незалежно від використовуваного браузера. Це дозволяє запобігти зараженню ще до збереження файлів на жорсткому диску комп'ютера. Перевірці можуть бути піддані будь-які окремі файли, каталоги і диски. Програма захищає комп'ютер від вірусів, троянських програм і черв'яків і всіх типів клавіатурних шпигунів, запобігаючи передачі конфіденційних даних зловмисникам. Фіксує всі підозрілі дії в системі і після визнання деякого процесу небезпечним може видалити шкідливу програму і відмінити всі результати її діяльності – наприклад, відновити зашифровані зловмисниками дані. Сучасні шкідливі програми намагаються заблокувати роботу антивіруса або навіть видалити його з комп'ютера. Спеціальний механізм самозахисту Антивіруса Касперського 7.0 присікає подібні спроби, забезпечуючи стабільний захист ПК. Одного разу створивши аварійний диск за допомогою спеціального інструменту, користувач зможе самостійно відновити працездатність комп'ютера після серйозної вірусної атаки. Бази антивіруса автоматично оновлюються.
            Антивірус Касперського 2009 використовує новий підхід до захисту інформації - обмеження прав доступу програм до ресурсів системи, це дозволяє запобігти здійсненню небажаних дій підозрілими або небезпечними програмами. Значно розширені можливості застосування по захисту конфіденційних даних користувача. Підвищена швидкість роботи.  

Вільнопоширюваний чеський антивірус Avast є ідеальниме рішенням для робочих станцій на базі Windows, гарантує 100%-е виявлення вірусів "In-the-Wild" і високий рівень виявлення троянів з мінімальним числом помилкових спрацьовувань. Він також сканує всі скрипти, запущені як складові веб-сторінки у вашому браузері. Avast містить модуль для захисту засобів обміну миттєвими повідомленнями і модуль для захисту програм.

NOD32 — антивірусний пакет, велика частина його коду написана на мові асемблера, тому для нього характерно мале використання системних ресурсів і висока швидкість перевірки з налаштуваннями за замовчуванням. NOD32 автоматично перевіряє файли перед здійсненням доступу до них і перешкоджає попаданню заражених файлів на диски комп'ютера. Перевіряє Інтернет-трафік (HTTP) і вхідну пошту, отриману по протоколу POP3 та вхідні/вихідні повідомлення у поштовфй програмі Microsoft Outlook. Також перевіряє документи Microsoft Office (включаючи Internet Explorer). Є багато версій NOD32, наприклад, NOD32 для Windows, NOD32 для Linux, NOD32 для Novell , NOD32 для Email Servers, NOD32 для Windows Mobile та інші.

Мсaffee та AVG (вільнопоширюваний антивірус), як і інші сучасні антивіруси, містять багато різних функцій захисту.

У 2014 році Агенство національної безпеки США повідомо, що не рекомендує використовувати російські антивірусні програми:  Антивірус Касперського, Doctor Web, NOD32.