Интеллектуальные развлечения. Интересные иллюзии, логические игры и загадки.

Добро пожаловать В МИР ЗАГАДОК, ОПТИЧЕСКИХ
ИЛЛЮЗИЙ И ИНТЕЛЛЕКТУАЛЬНЫХ РАЗВЛЕЧЕНИЙ
Стоит ли доверять всему, что вы видите? Можно ли увидеть то, что никто не видел? Правда ли, что неподвижные предметы могут двигаться? Почему взрослые и дети видят один и тот же предмет по разному? На этом сайте вы найдете ответы на эти и многие другие вопросы.

Log-in.ru© - мир необычных и интеллектуальных развлечений. Интересные оптические иллюзии, обманы зрения, логические флеш-игры.

Привет! Хочешь стать одним из нас? Определись…    
Если ты уже один из нас, то вход тут.

 

 

Амнезия?   Я новичок 
Это факт...

Интересно

Опровергнуть клевету по суду в Великобритании стоит в 140 раз дороже, чем в среднем по Европе.

Еще   [X]

 0 

Защита вашего компьютера (Яремчук Сергей)

автор: Яремчук Сергей категория: Программы

С помощью компьютера мы общаемся с людьми, получаем нужные сведения, ведем деловую переписку, храним финансовую и личную информацию – доверяем компьютеру то, к чему хотелось бы ограничить доступ. В то же время сегодня только и говорят о вирусных эпидемиях, хакерских атаках, воровстве личных данных. И вы должны уметь защищать свои данные.

Год издания: 2008

Цена: 50 руб.



С книгой «Защита вашего компьютера» также читают:

Предпросмотр книги «Защита вашего компьютера»

Защита вашего компьютера

   С помощью компьютера мы общаемся с людьми, получаем нужные сведения, ведем деловую переписку, храним финансовую и личную информацию – доверяем компьютеру то, к чему хотелось бы ограничить доступ. В то же время сегодня только и говорят о вирусных эпидемиях, хакерских атаках, воровстве личных данных. И вы должны уметь защищать свои данные.
   Прочитав эту книгу и просмотрев прилагающийся к ней видеокурс, вы узнаете о приемах, используемых хакерами, вирусописателями и сетевыми мошенниками, научитесь защищаться от вирусов и прочих вредоносных программ, распознавать и отражать хакерские атаки, уловки интернет-мошенников, защищаться от спама, контролировать доступ к тем ресурсам, которые не должен посещать ваш ребенок. Книга расскажет, а видеокурс покажет, как прятать ценную информацию от чужих глаз, подбирать пароли, восстанавливать потерянную информацию.
   На прилагаемом к книге диске, кроме видеокурса, вы найдете программы, которые помогут надежно защитить ваш компьютер.
   Видеокурс прилагается только к печатному изданию книги.


Сергей Акимович Яремчук Защита вашего компьютера

Вместо введения

   Трудно сказать, что устроено сложнее: современный автомобиль, способный мчаться со скоростью сотен километров в час, или небольшой ящик, стоящий под столом и весело подмигивающий разноцветными лампочками. Чтобы управлять машиной, человек должен пройти подготовку и сдать экзамены, после чего получить заветные права, подтверждающие его знания и умения. При покупке же персонального компьютера никто и не подумает поинтересоваться, умеете ли вы на нем работать. Вероятно, такое различие связано с тем, что, выезжая на дорогу, неподготовленный водитель может представлять угрозу для жизни людей, и лучшее тому доказательство – автомобиль, летящий на красный свет.
   Все, что происходит в виртуальном мире, неосязаемо. Следовательно, и опасности, которые могут подстерегать вас здесь, трудно понять и тем более ощутить. Но они есть. Каждый день появляются сообщения о проделках неуловимых хакеров, вирусных атаках, краже банковской и персональной информации и прочих опасностях.
   Компьютер давно перестал быть чем-то диковинным и недоступным – сегодня его можно встретить практически в каждом доме. Однако если на входной двери привычно видеть замок, охраняющий хозяев от непрошеных гостей, то виртуальный вход часто бывает совсем не защищен. Конечно, с современным компьютером сможет справиться каждая домохозяйка, но события последних лет показывают, что для безопасной работы умения двигать мышью явно недостаточно.
   В отчете, недавно опубликованном корпорацией Microsoft, сообщается, что более 60 % всех компьютеров заражены вирусами или находятся под контролем злоумышленников. Вдумайтесь в эту цифру: получается, что почти каждый второй компьютер вышел из-под контроля хозяина и представляет опасность для остальных. В некоторых странах уже действуют законы, позволяющие отдать под суд владельца компьютера, с которого рассылались вирусы или спам. Однако проблема в том, что пользователь, возможно, и не догадывается о «тайной жизни» своей машины.
   Цифры, опубликованные Microsoft, наверняка приблизительны, и узнать точное количество зараженных компьютеров вряд ли возможно. Но приведенная статистика явно указывает на то, что современному пользователю необходимо обладать знаниями, позволяющими отличить реальную угрозу от рекламных трюков и главное – надежно защитить компьютер от непрошеных гостей.
От издательства
   Мы будем рады узнать ваше мнение!
   На сайте издательства http://www.piter.com вы найдете подробную информацию о наших книгах.

Глава 1
Защищенность компьютеров: мифы и реальность

   История возникновения компьютерных вирусов
   Что такое вирус
   Разновидности компьютерных вирусов
   Вирусные мистификации
   Что за зверь – троянский конь?
   Новаторские подходы хакеров – руткиты (rootkits)
   Уязвимости программ и хакерские технологии

1.1. История возникновения компьютерных вирусов

   Если бы разработчики первых компьютеров, сетей и сетевых протоколов могли заглянуть в будущее, то, вполне вероятно, проблем с защищенностью информации сегодня было бы меньше. Первоначально компьютеры занимали целые здания, стоили дорого и были доступны только крупным государственным и частным компаниям. Со временем возникла необходимость обмениваться информацией – так появились первые сети. В то время компьютеры были закрытыми системами и управлялись серьезными, увлеченными своим делом людьми в белых халатах, поэтому тогда никто не помышлял о хулиганстве и разрушениях.
   К сожалению, история умалчивает о многих фактах, связанных с зарождением компьютерного вредительства, но кое-что все-таки дошло до наших дней. Декабрь 1949 года можно считать началом возникновения компьютерных вирусов. Именно тогда в Илинойсском университете Джон фон Нейман читал серию лекций «Теория и организация сложных автоматов», которая и легла в основу теории самовоспроизводящихся автоматов. Однако это была теория. Первым действующим вирусом можно назвать игру Darwin (http://www.cs.dartmouth.edu/~doug/darwin.pdf), которую изобрели в 1961 году сотрудники компании Bell Telephone Laboratories В. А. Высотский, Х. Д. Макилрой и Р. Моррис.
   Программы, написанные на ассемблере (языков высокого уровня еще не было) и называемые «организмами», загружались в память компьютера и сражались за ресурсы. Они захватывали жизненное пространство, пытаясь уничтожить противника. За этим процессом наблюдало приложение-«судья», определявшее правила и порядок борьбы соперников. Программист, разработка которого захватывала всю память компьютера, побеждал. Все это было не более чем экспериментом: участников интересовал сам процесс.
   Следующий этап – самоперемещающаяся программа Creeper, созданная в начале 1970-х годов сотрудником компании BBN Бобом Томасом для подсистемы RSEXEC с целью продемонстрировать возможность самопроизвольного перемещения программ между компьютерами. Creeper не приносил вреда: предыдущая копия уничтожалась, а вирус перемещался на следующий компьютер.
   В это время была разработана еще одна программа – Reaper, которую можно считать первым антивирусом. Перемещаясь по сети, Reaper отыскивал действующие копии Creeper и прекращал их работу.
   В 1970 году произошло еще одно знаковое событие. В мае в журнале Venture был опубликован фантастический рассказ Грегори Бенфорда, в котором было приведено одно из первых описаний вирусных и антивирусных программ – Virus и Vaccine. Через два года в фантастическом романе «Когда Харли был год» Дэвида Герролда были описаны программы, захватывающие системы подобно червям. Сам термин «червь» был впервые использован в романе Джона Браннера «На шоковой волне», опубликованном в 1975 году.
   Термин «компьютерный вирус» был впервые использован в 1973 году в фантастическом фильме Westworld. Данное словосочетание употреблялось в значении, привычном для современного человека, – «вредоносная программа, внедрившаяся в компьютерную систему».
   Наконец, 20 апреля 1977 года был выпущен компьютер, предназначенный для массового использования. Условия для реализации самовоспроизводящихся программ заметно улучшились.
   В 1980-х годах компьютеры значительно подешевели и их количество увеличилось. Кроме того, машины стали более производительными, а энтузиастов, получивших к ним доступ, стало намного больше.
   Неудивительно, что это десятилетие стало более богатым на события в компьютерном мире. Были проведены эксперименты по созданию самовоспроизводящихся программ и программ-червей; появились программы Elk Cloner и Virus, которые считаются первыми компьютерными вирусами. Если раньше экспериментальные образцы никогда не покидали компьютеры, на которых они запускались, то новые программы были обнаружены «на свободе» – на компьютерах вне лаборатории.
   Дальнейшее развитие событий напоминало лавину. В 1987 году появился первый вирус, заражающий IBM PC-совместимые компьютеры под управлением MS-DOS, – Brain. Этот вирус был достаточно безвредным: его действие заключалось в изменении метки на дискетах в 360 Кбайт. Brain был написан двумя пакистанскими программистами, владельцами компании Brain Computer Services (отсюда и название вируса), исключительно в рекламных целях, но на его основе были созданы менее миролюбивые особи. В том же 1987 году появился Jerusalem («иерусалимский вирус»), запрограммированный на удаление зараженных файлов по пятницам 13-го. Первые его версии содержали ошибку, благодаря которой он повторно действовал на уже зараженные файлы. В последующих версиях ошибка была исправлена.
   Хотя к тому времени уже появились материалы, посвященные безопасности информации, все это воспринималось не более чем игрушкой, экспериментом. Прозрение наступило неожиданно, когда эта «игрушка» перестала повиноваться и повела себя как разумный организм, заражающий все на своем пути. Это произошло 2 ноября 1988 года, когда студент Корнельского университета Роберт Моррис-младший запустил программу-червь, которая сохранилась в истории под именем своего разработчика. Червь Морриса стал первым сетевым червем, успешно распространившимся «на свободе», и одной из первых известных программ, эксплуатирующих такую уязвимость, как переполнение буфера.
   За каких-то полтора часа вредителю удалось заразить около 6 тыс. машин. Произошедшее повергло общественность в шок: вирусы гуляли по Сети и ранее, но заразить каждый десятый компьютер до сих пор не удавалось никому. Срочно были пересмотрены требования к безопасности систем и созданы институты вроде CERT (Computer Emergency Response Team – команда по ответам на непредвиденные компьютерные ситуации), которые стали заниматься безопасностью компьютеров и давать рекомендации по устранению вирусов.
   Компьютеры становились все доступнее. Со временем большинство платформ и операционных систем унифицировалось, на рынке стали преобладать Intel-совместимые компьютеры, которые работали под управлением операционной системы, разработанной компанией Microsoft. Дальнейшие события развивались с огромной скоростью. В 1991 году появился полиморфный вирус, видоизменявший свое тело. Операционная система Windows 95 была практически готова, и ее beta-версию разослали 160 тестерам. Все диски оказались зараженными загрузочным вирусом Form, и только один тестер не поленился проверить диск антивирусом. В пресс-релизе, посвященном выходу принципиально новой операционной системы, было сказано, что она полностью защищена от вирусов всех типов. Через несколько месяцев эти заявления были разнесены в пух и прах неожиданным подарком – первым макровирусом, представлявшим собой не привычный исполняемый файл, а сценарий, который заражал документы Microsoft Word. В течение месяца макровирус Сoncept облетел вокруг земного шара, внедрился в компьютеры пользователей Microsoft Word и парализовал работу десятков компаний по всему миру.
   Примечание
   На сегодняшний момент известно около 100 модификаций вируса Сoncept.
   В январе 1996 года появился первый вирус для операционной системы Windows 95 – Win95.Boza, а резидентный вирус Win95.Punch, появившийся позже, окончательно подорвал доверие пользователей к Windows 95. В марте этого же года началась первая эпидемия вируса Win.Tentacle, написанного для Windows 3.0/3.1. Он заразил компьютерную сеть в нескольких учреждениях Франции. До этого все Windows-вирусы хранились только в коллекциях и электронных журналах вирусописателей, на свободе гуляли лишь написанные для MS-DOS загрузочные и макровирусы. В этом же году был пойман макровирус Laroux, написанный для Microsoft Excel.
   В 1997 году на свет появились новые виды вирусов – FTP– и mIRC-черви, в июне 1998 года – вирус Win95.CIH. Этот вирус активизировался 26 апреля (впервые – в 1999 году) и уничтожал информацию на жестком диске, записывая на него мусор. Кроме того, он перезаписывал Flash BIOS, если переключатель находился в положении, разрешающем запись, и выводил из строя материнскую плату.
   Примечание
   Эпидемия вируса Win95.CIH, также известного как «Чернобыль» и поразившего компьютеры 26 апреля 1999 года, была на тот момент самой разрушительной.
   Червь I love you, выпущенный на Филиппинах в мае 2000 года, нанес владельцам компьютеров ущерб на сумму, по некоторым оценкам превышающую млрд. Следующий червь, вошедший в историю как Code Red, за 14 часов сумел заразить более 300 тыс. компьютеров, подключенных к Интернету. После них были и другие, часто – первые в определенной категории. Например, Nimda (слово admin, прочитанное наоборот), многовекторный червь, распространялся сразу несколькими способами, включая «черные ходы», оставленные другими червями. MyDoom был признан самым быстрым червем, распространяющимся по электронной почте.
   До этого большая часть вирусов была написана на языке низкого уровня – ассемблере, позволявшем создать небольшой оптимизированный вирус. Автором червя AnnaKournikova, который поразил Интернет в феврале 2001 года, оказался голландский студент, который вообще не умел программировать, даже на таком простом языке, как Basic.
   Сегодня общие годовые потери всех коммерческих организаций от действий вирусов могут сравниться с бюджетом небольшой страны, и эта сумма каждый год удваивается. Заявления некоторых специалистов по безопасности свидетельствуют о серьезности проблемы. По сведениям главы технологического департамента компании MessgeLabs (http://www.messagelabs.com/) Алекса Шипа, в 1999 году фиксировалось в среднем по одному новому вирусу в час, в 2000 году эта цифра составляла уже по одной программе каждые три минуты, а в 2004 году это время сократилось до нескольких секунд. По данным СанктПетербургской антивирусной лаборатории И. Данилова (ООО «СалД»), только за март 2007 года в антивирусную базу добавлено более 7 тыс. записей.
   Игра Darwin продолжается…

1.2. Что такое вирус

   Как бы странно это ни звучало, компьютерный вирус – программа и, как правило, небольшая по размеру. Все дело в назначении и способе распространения. Обычная программа выполняет полезную работу, стараясь не нарушить функционирование операционной системы. Чаще всего пользователь устанавливает ее самостоятельно. В случае с вирусом все наоборот. Задача, которую ставит его создатель, состоит в том, чтобы нарушить работоспособность компьютера, удалить, повредить, а иногда и зашифровать важную информацию с целью получения выкупа. Вирусы распространяются между компьютерами по сети, замедляя их работу, перегружая каналы и блокируя работу сервисов.
   Внимание!
   Главная особенность любого вируса – умение самопроизвольно размножаться и распространяться без участия пользователя.
   Размножение вируса происходит за счет того, что он «дописывает» собственный код к другим файлам либо по сети передает свое тело другому компьютеру.
   Главная задача вируса – заразить максимальное количество компьютеров. Сегодня написать вирус может любой, было бы желание и наличие специальных конструкторов, не требующих особых знаний, в том числе и по программированию. Однако долго такой вирус не протянет (хотя бывают и исключения: вспомним AnnaKournikova). Реализациям алгоритмов выживания и заражения посвящены целые журналы, причем некоторые подходы вызывают восхищение.
   Для маскировки вирус может заражать другие программы и наносить вред компьютеру не всегда, а только при определенных условиях. Он сканирует диск в поисках исполняемых файлов (обычно такая чрезмерная активность выдает присутствие вируса) либо, находясь в оперативной памяти, отслеживает обращения к таким файлам. Выполнив нужные действия, вирус передает управление программе, в теле которой находится, и она начинает работать как обычно.
   Вирус старается заразить максимальное количество файлов, отдавая предпочтение сменным носителям и сетевым ресурсам. Почему? А все потому, что ему нужно выжить: ведь всегда есть вероятность, что в сетевую папку зайдет пользователь с другого компьютера. Именно поэтому, попав на компьютер, многие вирусы не сразу занимались разрушением (зачем же уничтожать себя, любимого?), а прежде всего устанавливали счетчик успешно зараженных файлов. Пока в компьютере было заражено относительно мало программ, наличие вируса могло оставаться незамеченным. Система работала быстро, на экране не появлялось никаких сообщений, и пользователь редко замечал что-то необычное. Однако когда показатель на счетчике вируса достигал нужного значения, вредитель начинал действовать.
   В начальный период существования вредоносных программ были популярны вирусы-шутки, которые мешали работе пользователей. Деструктивные особи практически не встречались. Например, такие программы просили дополнительной памяти («пирожка» и т. п.), и экран блокировался, пока пользователь не вводил с клавиатуры нужное слово (иногда его нужно было угадать). Лично я сталкивался с вирусом, который при обнулении счетчика не давал запустить приложение Microsoft Word с 18:00 до 09:00, мотивируя это тем, что работать нужно в рабочее время. Были и курьезы. Например, вирус, который выводил на экран сообщение вроде: «Нажмите одновременно L + A + M + E + R + F1 + Alt». Пользователь нажимал, после чего появлялось сообщение о том, что таблица разделов стерта с жесткого диска и загружена в оперативную память и если пользователь отпустит хотя бы одну клавишу, то со своей информацией он может проститься, а если просидит так ровно час, то все будет в порядке. Через час оказывалось, что это была шутка. Ничего себе шуточки…
   Массовое распространение персональных компьютеров привело к появлению людей, которых интересовал не сам процесс создания вируса, а результат, наносимый вредоносной программой. Изменились и шутки: вирусы начали реально форматировать диски, стирать или кодировать важную информацию. Некоторые приложения использовали недостатки оборудования и портили его, например выстраивали лучи монитора в одну точку, прожигая его (надежность устройств в то время оставляла желать лучшего), или ломали жесткие диски, гоняя считывающую головку по определенному алгоритму.
   На сегодня в мире вирусов наметилась явная коммерциализация: данные в большинстве случаев не уничтожают, а пытаются украсть. Например, популярность онлайн-игр привела к появлению вирусов, специализирующихся на краже паролей к учетным записям игроков, так как виртуальные ценности, заработанные в игре, можно продать за реальные деньги.

1.3. Разновидности компьютерных вирусов

   Точную классификацию вирусов и других вредоносных программ до сих пор никто не придумал. Вирус часто нельзя отнести ни к одной из категорий. Кроме этого, антивирусные компании вводят свою терминологию, по-разному обозначая новый вирус. Однако по некоторым общим признакам вредоносные программы можно разделить на группы.
   По среде обитания. Первая классификация относится к среде, в которой «живет» вирус.
   • Первые вирусы, которые были популярны до массового распространения Интернета, – файловые. Их еще называют традиционными. Сегодня известны программы, заражающие все типы исполняемых файлов в любой операционной системе. Например, в Windows опасности подвергаются в первую очередь исполняемые файлы с расширениями EXE, COM и MSI, драйверы (SYS), командные файлы (BAT) и динамические библиотеки (DLL). C механизмом заражения такими вирусами и их распространением вы познакомились в предыдущем разделе.
   • Загрузочные вирусы также появились одними из первых. Как видно из названия, такие вирусы заражают не файлы, а загрузочные секторы дискет и жестких дисков.
   • С массовым развитием Интернета появились сетевые вирусы. По данным антивирусных компаний, именно различные виды сетевых червей представляют сегодня основную угрозу. Главная их особенность – работа с различными сетевыми протоколами и использование возможностей глобальных и локальных сетей, позволяющих им передавать свой код на удаленные системы.
   Классическим примером сетевого вируса является червь Морриса, рассмотренный в разделе 1.1.
   Наибольшую распространенность получили сетевые черви, использующие электронную почту, интернет-пейджеры, локальные и файлообменные (P2P) сети, IRC-сети и сети обмена данными между мобильными устройствами. Некоторые сетевые черви, например W32.Slammer или Sapphire, использующий уязвимость Microsoft SQL Server 2000, могут не оставлять на жестком диске никаких следов, хранясь только в оперативной памяти. Благодаря способности активно распространяться и работать на зараженных компьютерах без использования файлов подобные вирусы наиболее опасны. Они существуют исключительно в системной памяти, а на другие компьютеры передаются в виде пакетов данных. Первое время антивирусное программное обеспечение не было способно бороться с такими бестелесными вредителями.
   Внимание!
   Сетевые и почтовые вирусы наиболее опасны, так как способны за короткое время заразить большое количество систем.
   • Сегодня наиболее популярны сетевые вирусы, распространяющиеся посредством электронной почты, поэтому их часто выделяют в отдельную категорию – почтовые черви. Так, три из четырех крупнейших эпидемий 2005 года были вызваны именно почтовыми червями. Такие вирусы чаще всего распространяются через электронную почту: они рассылают по адресам, имеющимся в адресной книге, письма с прикреплениями в виде самих себя. Для передачи могут использоваться средства операционной системы или небольшой встроенный почтовый сервер (функция такого сервера – отправка писем).
   Например, червь Melissa отсылал себя сразу после активизации только по первым 50 адресам, а I Love You использовал все записанные в адресной книге почтовые адреса, что обеспечило ему высокую скорость распространения. Другой тип червя – сценарий KakWorm, который после прочтения зараженного письма не рассылался, а прикреплялся к каждому посланию, отправляемому пользователем. При этом на новом компьютере вредоносное приложение либо выполнялось автоматически, используя уязвимости в почтовой программе, либо различными способами подталкивало пользователя к своему запуску. Зараженное письмо может прийти со знакомого адреса, и пользователь, скорее всего, откроет его. Могут применяться различные ухищрения. Например, вирус AnnaKournikova приглашал посмотреть фотографии известной теннисистки Анны Курниковой: любопытство чаще всего брало верх над осторожностью, и пользователи запускали прикрепленный к письму исполняемый файл.
   Совет
   Будьте осторожны с письмами, полученными от неизвестных людей. Открывайте файлы, прикрепленные к таким письмам, только после проверки антивирусом.
   • Очень часто встречаются вирусы смешанного типа – почтово-сетевые. В таком случае их обычно называют просто сетевыми. Яркий пример – сетевой червь Mytob.c, который в марте 2005 года пересылался в виде вложений в электронные письма и использовал для своего распространения уязвимость в сервисе LSASS Microsoft Windows.
   Черви – наиболее опасный тип вирусов. Они распространяются очень быстро и способны поражать файлы, диски и оперативную память. Правильно написанный червь может парализовать работу Интернета либо перегрузив каналы, либо заразив серверы. Например, Slammer сумел поразить почти четверть Интернета. В этом случае поражает беспечность фирмы-разработчика, так как об уязвимости, которая была использована автором Slammer, было известно еще за полгода до атаки. Интересно, что не один год до этого почтовые черви с успехом использовали уязвимость Microsoft Internet Explorer, позволяющую запускать любой исполняемый файл, пришедший вместе с электронным письмом, без согласия пользователя.
   • Макровирусы являются программами, написанными на макросах – последовательностях команд, используемых в некоторых системах обработки данных, например текстовых редакторах и электронных таблицах. Возможности макроязыков в таких системах позволяют вирусу переносить свой код в другие файлы, заражая их. Наибольшее распространение получили макровирусы для Microsoft Word и Excel. Такой вирус активизируется при открытии зараженного документа и переносится на компьютер, как правило, внедряясь в шаблон Обычный (файл Normal.dot). После этого каждый сохраняемый документ заражается вирусом, а когда другие пользователи открывают его, их компьютеры также инфицируются. Существуют также макровирусы, заражающие базы данных Microsoft Access.
   Традиционные и макровирусы сегодня практически вымерли, так как скорость их распространения значительно ниже, чем скорость распространения сетевых вирусов, и у антивирусных компаний достаточно времени, чтобы создавать вакцину против таких вредителей. Однако это совсем не значит, что угроза миновала и такие вирусы не стоит брать в расчет.
   По алгоритму работы. Например, существуют резидентные и нерезидентные вирусы.
   • Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, чтобы перехватывать все обращения операционной системы к объектам, пригодным для заражения. Это наиболее распространенный тип вирусов: они активны не только во время работы зараженной программы, но и – что наиболее важно – когда приложение закрыто. Резидентные вирусы постоянно находятся в памяти компьютера и остаются активными вплоть до его выключения или перезагрузки.
   • Нерезидентные вирусы не заражают память компьютера и сохраняют активность лишь ограниченное время, хотя возможны варианты. Однако нерезидентные вирусы сегодня практически не встречаются, они не способны к быстрому размножению. Можно сказать, что они не выдержали конкуренции своих более активных собратьев.
   Примечание
   Хочется еще раз обратить внимание на понятия «резидентность» и «файловый вирус». Несколько раз мне приходилось наблюдать настоящую панику, вызванную тем, что файл, который кто-то принес на дискете, заражен вирусом. Несмотря на то что некоторые вирусы могут спокойно размножаться без участия пользователя, файловые, загрузочные и макровирусы (резидентные и нерезидентные) не способны распространяться без помощи человека. Чтобы такой вирус начал разрушительную работу, его необходимо активизировать. Находясь на дискете или жестком диске, он разве что будет вызывать раздражение антивирусной программы, и, если пользователь сам не запустит его, нерезидентный вирус не принесет вреда.
   Десятки вирусов этого типа хранятся у меня в отдельной папке для тестирования и изучения антивирусных программ, и за несколько лет ни одному из них не пришло в голову активизироваться самостоятельно, поэтому дискета с зараженным файлом не должна вызывать панику, следует оценить ситуацию и принять правильное решение – удалить потенциально опасный файл или попробовать вылечить его с помощью антивируса.
   • Первые антивирусные программы очень быстро находили вирус по его уникальной сигнатуре. Чтобы затруднить подобный поиск, создатели вредоносных программ стали шифровать тела вирусов. В результате появились вирусы, названные полиморфными.
   • В литературе часто упоминаются стелс-вирусы (stealth – невидимка), которые были распространены во времена MS-DOS. Они применяют множество средств, чтобы скрыть свое присутствие в системе. Определить наличие таких вирусов без соответствующего инструментария практически невозможно.
   Сегодня для маскировки своего присутствия в системе вирусы используют руткит-технологии (о них будет рассказано позже). Вирусы можно подразделить также по следующим критериям:
   • по методу заражения (вирусы-паразиты, компаньоны и др.);
   • типу операционной системы (Windows, Unix, Linux, MS-DOS, Java);
   • деструктивной возможности (от безвредных, просто мешающих работе, до крайне опасных);
   • языку, на котором написан вирус (ассемблер, язык сценариев и др.).
   Вирусы могут использовать различные упаковщики, позволяющие превратить известный код в практически неузнаваемый.
   Каждый вирус имеет собственное имя. Вы слышите его, когда узнаете об очередной эпидемии. Откуда берется имя? Обнаружив новый вирус, антивирусные компании дают ему имена в соответствии с классификациями, принятыми в каждой конкретной компании, причем классификация у каждой фирмы своя. Посмотрите сами: например, Worm.Win32.Nuf – это то же самое, что Net-Worm.Win32.Mytob.c. Часто название дается по некоторым внешним признакам:
   • по месту обнаружения вируса (Jerusalem);
   • содержащимся в теле вируса текстовым строкам (I Love You);
   • методу подачи пользователю (AnnaKournikova);
   • эффекту (Black Friday).
   Бывает так, что вирус несколько раз переименовывают. Например, это касается «иерусалимского вируса». Изначально его назвали по месту обнаружения – Israeli, затем решили, что это название слишком антисемитское, и заменили его на «1813» (по размеру вируса), при этом параллельно использовалось другое имя – IDF (Israeli Defence Forces), и только через некоторое время вирус назвали Jerusalem.
   Кстати
   Самым маленьким по размеру вирусом считается Repus (Win95.с) – всего 156 байт (существуют, однако, и более тяжеловесные модификации, вплоть до 256 байт). Для уменьшения размера этого вируса используются различные программные хитрости и уловки; вреда он не приносит, и все программы работают без проблем. При этом есть как резидентные, так и нерезидентные представители Repus (Win95.с). Помимо малого размера, Repus стал первым вирусом, использующим для своего размножения кэш-память Windows. Он ищет в кэш-блоках заголовки файлов, записывается в них и устанавливает для блоков атрибут dirty, который дает системе команду сохранить его на диск. Подобная методика позволяет даже нерезидентному варианту распространяться со скоростью резидентного вируса.
   Одним из самых интересных является вирус I-Worm.Hybris (Vecna), получивший в июле 2002 года четвертую категорию опасности. Он распространяется посредством электронной почты. В первую очередь этот вирус заражает системный файл wsock32.dll, получая доступ ко всему интернет-трафику, а затем рассылает себя по полученным таким образом почтовым адресам. Самое интересное, что этот вирус может самостоятельно обновляться через Интернет, скачивая с новостной конференции alt.comp.virus плагины, дающие ему новые возможности.
   Количество сигнатур в антивирусных базах многих производителей уже перевалило 400-тысячную отметку и постоянно растет.

1.4. Вирусные мистификации

   Поскольку мы в Афганистане не так уж и продвинуты в технологиях, этот вирус следует исполнять вручную. Пожалуйста, перешлите это письмо всем, кого знаете, и уничтожьте все файлы на Вашем жестком диске собственноручно. Большое спасибо за помощь.
Абдулла, хакер из Талибана
   Историю развития компьютерных систем нельзя назвать веселой. В первые годы антивирусы были несовершенны, а пользователи еще не владели достаточной информацией, но уже представляли, какую угрозу несут компьютерные вирусы. Вероятно, поэтому каждое сообщение о появлении нового вируса вызывало панику. Со временем у пользователей появился другой, не менее опасный синдром – вирусные мистификации. Хотя первые вирусные мистификации начали появляться приблизительно в 1988 году, а расцвет пришелся на конец 1990-х, рассказать об этом явлении стоит, так как мы не застрахованы от него и сегодня, когда скорость распространения любой информации на порядок выше.
   Выглядит это приблизительно так. Злоумышленник либо случайный человек пишет предупреждение о том, что он обнаружил опасный вирус либо подозрительный файл, и помещает это сообщение в конференцию или рассылает по электронной почте максимальному количеству людей. На самом деле никакого вируса нет. Прочитавший такое письмо пользователь спешит предупредить своих товарищей (часто такой совет присутствует в самом послании). Дальнейшее развитие событий подобно вирусной эпидемии: поток корреспонденции увеличивался лавинообразно, так как напуганные пользователи из лучших побуждений спешат предупредить об «опасности» коллег и партнеров по бизнесу. Результатом является вирусная истерика, которая систематически сотрясает компьютерный мир, принося напрасное беспокойство тысячам людей.
   Первой действительно удачной мистификацией следует считать вирус Good Times, появившийся в 1994 году в сети AOL. Все началось с того, что кто-то разослал сообщение с предупреждением: ни в коем случае нельзя было читать электронное письмо с заголовком Good Times. Это письмо якобы содержало страшный вирус, стирающий информацию на жестком диске. В послании говорилось, что о новом вирусе следует предупредить всех знакомых и сослуживцев. Затем шло подробное описание принципа действия вируса и способа избавиться от него. Стоит ли говорить о том, что такого вируса не существовало и в помине! Кстати, само письмо-предупреждение также имело заголовок Good Times.
   Основные идеи Good Times используются и сегодня.
   Другая мистификация, появившаяся в том же году, была запущена из меркантильных соображений. Некий Майк Рошенл отправил на несколько BBS-станций сообщения, в которых рассказал о появлении нового вируса, заражающего модемы, работающие на скорости 2400 бод. Народ поверил. В результате спрос и соответственно цены на более медленные модемы – 1200 бод – резко увеличились, а на более быстрые упали.
   Следует, однако, отметить, что часто истерика возникала действительно из-за того, что кто-то находил вирус. Например, в 2001 году один из пользователей обнаружил, что файл sulfnbk.exe, лежащий в системной области, заражен вирусом – имеет подозрительное название и странный значок. Когда страсти утихли, выяснилось, что данный файл – это системная утилита, отвечающая за создание резервных копий файлов с длинными именами (название – от System Utility for Long FileName Backup – системная утилита для резервного копирования с сохранением длинных имен файлов), и у конкретного пользователя она действительно была заражена вирусом. Подобная история повторилась через год. Начавшись среди испаноговорящих пользователей Интернета в начале апреля 2002 года, мистификация быстро распространилась на англоговорящих к середине апреля. Под подозрение попал файл jdbgmgr.exe, принадлежавший пакету Visual J++ 1.1. И опять – сомнительный значок, непонятное название и действительно зараженный файл. Однако в данном случае, если пользователь не работал с пакетом Visual J++, работоспособность системы при удалении этого файла не нарушалась.
   К чести вирусописателей, эта история не была забыта, и через некоторое время действительно появился вирус, имеющий именно такое имя файла.
   В 2002 году появился новый вирус – Perrun (W32/Perrun-A, PE_PERRUN.A, Win32.Perrun, W32/Perrun, W32/Perrun.A), который неизвестные часто присылали на сайты антивирусных компаний, очевидно, как предупреждение: мол, мы и так можем. Этот вирус мог заражать графические файлы и текстовые файлы с расширением TXT. Новость подхватили информационные агентства, и народ, естественно, начал волноваться. При ближайшем рассмотрении оказалось, что для заражения файла и его последующего распространения необходима программа-кодировщик, которая фактически является вирусом и без которой данный вирус можно считать разве что шуткой.
   Самая интересная и известная мистификация произошла в 1991 году. Ее автор Роберт Моррис сообщил, что стал жертвой нового вируса, распространяющегося по обычной электрической сети, и рассказал о мерах, которые необходимо принять для защиты от него. По словам Морриса, нельзя было делать следующие вещи:
   • включать что-либо в электрические розетки;
   • использовать батарейки (поскольку вирус пробрался на заводы по производству батареек и заразил все положительные клеммы готовой продукции);
   • передавать друг другу файлы любыми способами;
   • читать на компьютере текст, причем совершенно любой, даже сообщение самого Морриса;
   • использовать последовательные порты, модемы, телефонные линии, процессоры, системную память, сетевое оборудование, принтеры, мониторы и клавиатуры;
   • пользоваться электроприборами, газовыми плитами, водопроводом, огнем и колесным транспортом.
   Хорошо, что многие сразу понимали, что это просто шутка.
   Как видите, мистификации появляются от недостаточной компьютерной грамотности при огромном желании показать свои знания. Преклонение перед неизвестным часто порождает множество мифов. Чего стоят рассказы о том, что кактус способен защитить от компьютерного (а почему не мониторного?) излучения. Эта шутка появилась в каком-то журнале в номере за 1 апреля. Автор статьи подробно описал размер иголок кактуса, расстояние между ними, высоту и рекомендуемый вид колючего растения, а также наилучшее место для его расположения. Конечно, кактус на мониторе способен разве что улучшить настроение, но никак не остановить излучение.
   Мистификации могут принести немалый вред. Перегружаются почтовые серверы, пользователи в панике удаляют системные файлы. Вера в мистификацию может нанести серьезный удар репутации человека или по крайней мере сделать его объектом насмешек: как же, мнил себя суперхакером, а оказался чайником, попавшимся на такую шутку. Кроме того, письма часто приходят с заполненными полями Копия и Кому, поэтому спамеры могут получить подарки в виде реально существующих адресов. Вирусные мистификации могут отвлечь внимание от принятия необходимых мер безопасности, так как после нескольких ложных предупреждений пользователи могут недооценить опасность реальных вирусов.
   Как отличить мистификацию от реального вируса?
   • Необходимо относиться с большим подозрением к письмам, полученным от неизвестных людей, с какими бы благими намерениями они ни обращались. Откуда у отправителя ваш электронный адрес? Может быть, из базы данных спама?
   • Никогда не открывайте вложения к письмам от незнакомых отправителей, иначе у вас появится возможность на себе почувствовать то, о чем вы прочитали в предыдущем разделе.
   • Если вы никогда не оставляли свои данные на специализированных сайтах и не регистрировали свою версию антивируса или подобной программы, то к любому письму, полученному от антивирусной лаборатории компании Microsoft или даже лично Била Гейтса, следует относиться с подозрением. С чего это они вдруг написали вам?
   • Если письмо содержит подробную техническую информацию, отнеситесь к нему скептически. В описании Good Times говорилось, что процессор будет выведен из строя бесконечным циклом n-й сложности… Если вас просят удалить или запустить какой-то файл, без сомнений удаляйте письмо.
   Большие компании дорожат временем, поэтому вместо описания проблемы они, скорее, ограничатся ссылкой на соответствующий сайт. Пусть вас не смущает, что в послании упоминаются известные антивирусные или правительственные организации. Если вы думаете, что вам действительно сообщают о чем-то важном, то, перед тем как начать паниковать, зайдите на сайт данной компании: среди новостей вы обязательно увидите предупреждение об опасности.
   Все ведущие антивирусные компании имеют собственные страницы, посвященные мистификациям. И информацию можно найти на сайте Вирусной энциклопедии (http://www.viruslist.com/), Symantec (http://www.symantec.com/avcenter/index.html) и McAfee (http://vil.mcafee.com/hoax.asp).
   И, конечно же, не забывайте о Google – на то он и поисковик, чтобы все знать!

1.5. Что за зверь – троянский конь?

   Практически ни один разговор о компьютерных вирусах не обходится без термина «троянская программа», или «троянец». Чем это приложение отличается от вируса, каково его назначение и чем оно опасно? К этой категории относятся программы, выполняющие несанкционированные действия без ведома пользователя. По характеру действия троянец напоминает вирус: он может красть персональную информацию (прежде всего файлы паролей и почтовые базы), перехватывать данные, введенные с клавиатуры, реже – уничтожать важную информацию или нарушать работоспособность компьютера. Троянская программа может применяться для использования ресурсов компьютера, на котором она запущена, в неблаговидных или преступных целях: рассылки вирусов и спама, проведения DDOS-атак (Distributed Denial of Service – распределенных атак, направленных на нарушение работы сетевых сервисов).
   Это могут делать и вирусы. Отличие заключается в том, что часто внешне троянец выглядит как вполне нормальная программа, выполняющая полезные функции. Однако у нее есть и «вторая жизнь», о которой пользователь не догадывается, так как часть функций приложения скрыты. Троянская программа отличается от вируса неспособностью к самораспространению: она не может сама копироваться на другие компьютеры, ничего не уничтожает и не изменяет в компьютере пользователя (кроме функций, которые нужны для ее запуска). Троян может прокрасться к ничего не подозревающему пользователю под видом ускорителя Интернета, очистителя дискового пространства, видеокодека, плагина к проигрывателю Winamp или исполняемого файла, имеющего двойное расширение.
   Примечание
   Хотя, в отличие от вируса, троянец не способен к саморазмножению, от этого он не становится менее опасным.
   В последнем случае может прийти письмо с просьбой посмотреть фотографию и прикрепленным файлом вроде superfoto.bmp.exe (как вариант, после BMP может быть большое количество пробелов, чтобы пользователь ничего не заподозрил). В итоге получатель сам устанавливает вредоносную программу. Отсюда произошло название таких приложений: вспомните, как ахейцы захватили Трою. Город был хорошо укреплен, ахейцы долго не могли его взять и обманули защитников. Для жителей Трои конь был символом мира, и ахейцы, якобы для примирения, построили деревянную статую коня, внутрь которой посадили своих лучших воинов. Ничего не подозревающие троянцы затащили подарок в город, а ночью ахейцы вылезли из статуи, обезвредили стражу и открыли ворота, впустив основные силы.
   Размножению троянской программы может способствовать сам пользователь, копируя его друзьям и коллегам. Возможен вариант, когда программа попадает на компьютер пользователя как червь, а далее работает как троян, обеспечивая создателю возможность дистанционного управления зараженным компьютером. Чаще всего такие программы все-таки относят к червям.
   Запустившись, троянец располагается в памяти компьютера и отслеживает запрограммированные действия: крадет пароли для доступа в Интернет, обращается к сайтам, накручивая чьи-то счетчики (за что пользователь платит лишним трафиком), звонит на платные, часто дорогие, телефонные номера, следит за действиями и привычками хозяина компьютера и читает его электронную почту.
   Современные троянцы, как правило, уже не тащат все подряд. Они целенаправленно занимаются сбором конкретной информации. Например, «банковские» шпионы крадут номера кредитных карточек и других банковских данных. В связи с ростом популярности интернет-игр появился интерес к краже игровых предметов или персонажей, цена которых порой доходит до нескольких тысяч долларов, поэтому кража учетных записей для мошенников не менее привлекательна, чем кража банковских атрибутов.
   Отдельно следует упомянуть Trojan-Downloader и Trojan-Dropper, которые используются для установки на компьютеры троянских, рекламных (adware) или порнографических (pornware) программ. Кроме того, троянцы часто используются для создания троянских прокси-серверов или даже целых зомбисетей для рассылки спама или вирусов.
   Как определить, что в системе поселилась троянская программа? Во-первых, согласитесь, странно, когда только что установленный плагин к Winamp не обнаруживается в списке. Во-вторых, при инсталляции трояна может быть выведено сообщение, причем как об успешном окончании установки (вроде Internet Exsplorer already patched), так и, наоборот, говорящее о том, что утилита не установлена, потому что системная библиотека несовместима с версией программы либо архив поврежден. Возможно, будут также выведены рекомендации по устранению ошибки. После долгих мучений пользователь вряд ли получит ожидаемый результат, скорее всего, оставит все попытки и будет пребывать в уверенности, что это полезная программа, которая просто не запустилась по непонятным причинам. Троянец тем временем пропишется в автозапуске. Например, в Windows необходимо быть внимательным к следующим веткам реестра:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunservicesOnce
   Возможно помещение ярлыка трояна в папку Автозагрузка (это встречается очень редко, так как присутствие вредоносной программы в этой папке легко обнаружить) или запись в файлы autoexec.bat, win.ini, system.ini. Часто разработчики принимают меры, чтобы трояна не было видно в окне Диспетчер задач, выводимом нажатием сочетания клавиш Ctrl+Alt+Delete. Наиболее сложные троянские программы умеют самостоятельно обновляться через Интернет, прятаться от антивирусов и расшифровывать файлы паролей. Управлять троянцем можно несколькими способами – от прямого подключения к компьютеру до проверки определенного сетевого ресурса, на который хозяин посылает e-mail, ICQ и IRC-команды.
   Часто троянец состоит из двух частей: клиентской, установленной у хозяина, и серверной, работающей на машине жертвы. Такие программы также называют backdoor (потайной ход). Запустив программу-клиент, злоумышленник проверяет, находится ли сервер в Сети: если отклик получен, то удаленным компьютером можно управлять как своим.
   Учитывая неумение троянских программ распространяться самостоятельно, простым и эффективным правилом, позволяющим избежать заражения, является загрузка файлов только из надежных источников. Несмотря на то что, в отличие от вирусных эпидемий, о троянских эпидемиях пока еще никто не слышал, да и вряд ли услышит, учитывая неспособность этих программ к самостоятельному размножению, они не менее (а, возможно, даже более) опасны, чем вирусы. Ведь часто такие программы создаются для персонального использования, и поэтому сегодняшние антивирусы не могут знать обо всех них. Это означает, что пользователь может долгое время работать на зараженной машине, не подозревая об этом. Чтобы найти троянское приложение, требуются специальные утилиты и наблюдение за сетевой активностью компьютера с помощью штатных средств операционной системы и установленного брандмауэра, о чем будет подробнее рассказано в главе 4.

1.6. Новаторские подходы хакеров – руткиты (rootkits)

   Руткиты представляют собой более продвинутый вариант троянских коней. Некоторые антивирусные компании не разделяют руткиты и троянцы, относя их к одной категории зловредных программ. Однако троян прячется на компьютере, обычно маскируясь под известную программу (например, Spymaster выдавает себя за приложение MSN Messenger), а руткиты используют для маскировки более продвинутые методы, внедряясь глубоко в систему.
   Изначально словом «руткит» обозначался набор инструментов, позволяющий злоумышленнику возвращаться во взломанную систему таким образом, чтобы системный администратор не мог его видеть, а система – регистрировать. Долгое время руткиты были привилегией Unix-систем, но, как известно, хорошие идеи просто так не пропадают, и в конце ХХ века стали массово появляться руткиты, предназначенные для Microsoft Windows. О руткитах заговорили, только когда на их использовании в своих продуктах была поймана фирма Sony. Сегодня эксперты предсказывают бум этой технологии, и в ближайшие два-три года ожидается массовый рост количества руткитов – вплоть до 700 % в год. Самое печальное, что их будут использовать не только злоумышленники: руткиты станут массово применяться в коммерческих продуктах, в первую очередь для защиты от пиратства. Например, недавно было объявлено, что компания Microsoft создала руткит, обнаружить который невозможно. Не исключено, что это изобретение встретится в новых версиях Windows.
   Обычному пользователю от этого не легче. Технология руткитов потенциально может быть использована для создания нового поколения программ-шпионов и червей, обнаружить которые после их проникновения в компьютер будет почти невозможно.
   Практически все современные версии руткитов могут прятать от пользователя файлы, папки и параметры реестра, скрывать работающие программы, системные службы, драйверы и сетевые соединения. В основе функционирования руткитов лежит модификация данных и кода программы в памяти операционной системы. В зависимости от того, с какой областью памяти работают руткиты, их можно подразделить на следующие виды:
   • системы, работающие на уровне ядра (Kernel Level, или KLT);
   • системы, функционирующие на пользовательском уровне (User Level).
   Первый известный руткит для системы Windows, NT Rootkit, был написан в 1999 году экспертом в области безопасности Грегом Хоглундом в виде драйвера уровня ядра. Он скрывал все файлы и процессы, в имени которых встречалось сочетание _root, перехватывал информацию, набираемую на клавиатуре, и использовал другие способы маскировки.
   Самым известным на сегодня руткитом является Hacker Defender. Эта программа работает в режиме пользователя и маскируется за счет перехвата некоторых API. Hacker Defender может обрабатывать сетевой трафик до того, как он будет передан приложению, то есть любая программа, работающая в сети, может быть использована для взаимодействия со взломщиком. Руткит умеет скрывать файлы и процессы, записи в реестре и открытые порты и может неправильно показывать количество свободного места на диске. Он прописывается в автозагрузку, оставляя для себя черный вход, и прослушивает все открытые и разрешенные брандмауэром порты на предмет 256-битного ключа, который укажет, какой порт использовать для управления. Hacker Defender перехватывает функции запуска новых процессов, что позволяет ему заражать все программы, запускаемые пользователем. Он полиморфен: для шифрования исполняемых файлов руткита обычно используется утилита Morphine.
   Примечание
   Все современные версии руткитов могут прятать от пользователя файлы, папки и параметры реестра, скрывать программы, системные службы, драйверы и сетевые соединения.
   Одним из наиболее опасных руткитов является FU, выполненный частично как приложение, а частично как драйвер. Он не занимается перехватами, а манипулирует объектами ядра системы, поэтому найти такого вредителя очень сложно.
   Если вы обнаружили руткит, это еще не значит, что вы сможете избавиться от него. Для защиты от уничтожения пользователем или антивирусом в руткитах применяется несколько технологий, которые уже встречаются и в зловредных программах других типов. Например, запускаются два процесса, контролирующих друг друга. Если один из них прекращает работу, второй восстанавливает его. Применяется также похожий метод, использующий потоки: удаленный файл, параметр реестра или уничтоженный процесс через некоторое время восстанавливаются.
   Популярен способ блокировки доступа к файлу: файл открывается в режиме монопольного доступа или блокируется с помощью специальной функции; удалить такой файл стандартными способами невозможно. Если попытаться воспользоваться отложенным удалением (во время следующей загрузки), например с помощью программы типа MoveOnBoot, то, скорее всего, запись об этой операции будет через некоторое время удалена либо файл будет переименован.
   Любопытный способ защиты использует червь Feebs. Для борьбы с антивирусами, антируткитами и другими утилитами, пытающимися уничтожить его, он выставляет приманку – замаскированный процесс, не видимый на вкладке Процессы в окне Диспетчера задач. Любое приложение, которое попытается обратиться к этому процессу, уничтожается. Программа может устанавливаться как дополнительный модуль к браузеру Internet Explorer, изменяющий его функциональность. Стандартные средства контроля автозапуска типа msconfig не видят эти параметры, а применение дополнительных утилит для изучения системы требует от пользователя определенной квалификации, поэтому единственный действительно надежный способ уничтожить такую программу – отформатировать жесткий диск и заново установить операционную систему.
   К сожалению, существующие сегодня специализированные программы, предназначенные для обнаружения руткитов, и традиционные антивирусы не дают стопроцентной гарантии безопасности. Обладая исходным кодом этих программ, можно создать любые модификации руткитов или включить часть кода в любую шпионскую программу. Главное умение руткитов – не прочно закрепиться в системе, а проникнуть в нее, поэтому основным правилом для вас должны стать максимальная защита и осторожность.

1.7. Уязвимости программ и хакерские технологии

   Если после всего рассказанного в предыдущих главах у вас еще не пропало желание работать с компьютером, вам будет интересно узнать, как различные зловредные программы могут попасть в систему. Эта информация, возможно, убережет вас от простейших ошибок и позволит трезво оценить ситуацию.
   Можно выделить три причины проникновения вирусов:
   • ошибки при разработке программного обеспечения;
   • ошибки в настройках;
   • воздействие на пользователя (социальный инжиниринг).
   Описать все варианты невозможно: технологии не стоят на месте и злоумышленники постоянно придумывают новые методы. Остановимся на основных моментах. Если в последних двух случаях от действий пользователя что-то зависит, то в первом он может повлиять на ход событий только частично. Ошибки в программном обеспечении часто способны свести на нет все попытки пользователя защитить систему от проникновения вредоносных приложений.

Переполнение буфера

   Впервые данная уязвимость была использована в 1988 году – на ней основывались атаки червем Морриса. С тех пор количество подобных атак увеличивается с каждым годом. В настоящее время можно утверждать, что уязвимости, связанные с переполнением буфера, являются доминирующими при удаленных атаках, где обычный пользователь Сети получает частичный или полный контроль над атакуемым. Приблизительно половина вредоносных программ использует этот тип уязвимости.
   В материале «Википедии» (http://ru.wikipedia.org) дано следующее определение данной уязвимости: «Переполнение буфера – это явление, возникающее, когда компьютерная программа записывает данные за пределами выделенного в памяти буфера».
   В «Новом словаре хакера» Эрика С. Рэймонда сказано, что «переполнение буфера – это то, что с неизбежностью происходит при попытке засунуть в буфер больше, чем тот может переварить».
   Представьте следующую ситуацию. Функция изменения пароля может воспринять пароль длиной не более 256 символов. Чаще всего никто не пользуется паролями длиннее 8–10 символов, поэтому разработчики не предусмотрели проверку строки ввода данных. При попытке ввести более 256 символов, если за данными находился адрес возврата функции, он будет перезаписан и в лучшем случае выполнение программы завершится с ошибкой. Хакеру, обнаружившему такой уязвимый участок, остается подставить в качестве адреса возврата правильный адрес, что переведет управление в любую точку программы на его выбор. В результате может быть выполнен любой произвольный код, который хакер поместил в указанную область памяти, с привилегиями, с которыми выполняется текущая программа.
   Подобные ошибки в программном обеспечении находят чуть ли не ежедневно, но не всегда и не сразу устраняют. Для примера можно просмотреть статистику на специализированных сайтах. Согласно данным Secunia (http://secunia.com) в Microsoft Windows XP Professional не устранено 30 из 201 уязвимостей, обнаруженных с 2003 по начало 2008 года, хотя имеющих статус highly critical (предельно опасный), которые позволяют удаленно выполнить код (то есть фактически получить доступ к системе), в этом списке уже нет. В среднем обнаруживается три-четыре уязвимости в месяц.
   В Internet Explorer 7 не устранено 7 из 21 найденной уязвимости, и некоторые из них имеют статус highly critical. В среднем в месяц обнаруживается одна-две уязвимости. Если учесть все уязвимости, при которых можно удаленно выполнить код в системе, можно сделать вывод, что с этим браузером вообще опасно выходить в Интернет. Internet Explorer позволяет выполнение кода при обработке HTML Help ActiveX, файлов HTA, SWF, ZIP, BMP и JPEG, архивов FTP, Cookies, тега IFRAME и всплывающих окон, то есть для проникновения в систему троянца достаточно зайти на сайт и просмотреть/сохранить рисунки или архив ZIP.
   Внимание!
   Найденные уязвимости далеко не всегда устраняются сразу, часто они присутствуют годами.
   В операционной системе Windows код Internet Explorer используют и многие другие приложения (почтовый клиент Outlook Express, Проигрыватель Windows Media и др.), отчего увеличивается вероятность поражения. Например, существует JPEG-эксплоит, который использует ошибку в системной библиотеке, возникающую при обработке графических JPEG-файлов. Эта ошибка позволяет заразить компьютер через любую программу – Outlook Еxpress или любой другой почтовый клиент, показывающий JPEG-картинки.
   Следует также обратить внимание на возможность вывода в адресной строке Internet Explorer адреса, не соответствующего адресу загруженного сайта (такой вид атаки называется URL-спуфинг), и отображение всплывающих окон, которые, как думает пользователь, принадлежат просматриваемой в браузере странице, а также модификация заголовка окна или информации в строке состояния.
   По данным различных источников, именно Internet Explorer сегодня является самым популярным веб-браузером, так как он интегрирован в Windows. Поэтому данная программа будет привлекать внимание злоумышленников, желающих реализовать свои замыслы, ведь вероятность того, что пользователь придет на специально созданный ресурс именно с Internet Explorer, остается самой высокой.
   Давайте посмотрим, что на сегодня можно сказать о самом известном из бесплатных браузеров – Mozilla Firefox 2. В нем обнаружено 19 уязвимостей, из которых не устранено четыре. Самая опасная из них имеет статус less critical (ниже критического). Использовав эти уязвимости, получить полное управление компьютером невозможно, злоумышленник может лишь раскрыть некоторую системную информацию, поэтому следует признать, что положение этого браузера лучше, чем Internet Explorer.
   Таким образом, оптимальным решением будет использование альтернативных приложений. Вместо Internet Explorer для серфинга можно применять, например, Mozilla Firefox, вместо Outlook Еxpress – The Bat! и т. д. У этих программ ситуация с безопасностью лучше.
   Следует также периодически устанавливать обновления и использовать новые версии программ, в которых устранены старые ошибки (возможные новые ошибки – это уже другой вопрос). Правда, размер обновлений подчас до стигает нескольких десятков мегабайт и кроме Internet Explorer и Windows необходимо обновлять другие продукты, следовательно, трафик может быть накладным для бюджета. В таком случае следует ограничиться хотя бы обновлениями, устраняющими критические ошибки.
   Наверняка вы задаетесь вопросом: неужели за столько лет никто не пытался бороться с переполнением буфера? Конечно же, пытались. Ведь разработка атакующих программ за несколько десятилетий переросла чистый энтузиазм и приняла коммерческую основу, что говорит о нарастающей опасности.
   На борьбу с данной уязвимостью направлены такие утилиты, как, например, Stack-Guard. Первоначально она была разработана для Unix-систем, но в настоящее время ее аналог используется в Microsoft Visual Studio.NET и ProPolice компании IBM. В продуктах компании Microsoft, Windows XP SP2 и Server 2003 SP1 используется технология DEP (Data Execution Protection – защита от выполнения данных), которая делает секцию данных и стек неисполняемыми, что должно предотвращать подобный тип атак.
   В некоторых процессорах Intel и AMD имеется специальный бит: в Intel – XD (eXecute Disable – запрет выполнения), в AMD – NX (No eXecute – нет выполнения), позволяющий аппаратно реализовать поддержку DEP.
   При отсутствии поддержки на компьютере неисполняемых страниц на аппаратном уровне используется Software-enforced DEP (принудительный программный DEP). Программная защита DEP встраивается во время компиляции и поэтому работает только для пересобранных с поддержкой DEP системных библиотек и приложений.
   В этих средствах можно обнаружить и недостатки. При использовании технологии DEP встал вопрос совместимости. Некоторым приложениям требуется исполняемый стек (а таких много: эмуляторы, компиляторы, защитные механизмы и пр.), поэтому по умолчанию защита включена только для системных процессов. Появление новой технологии подстегнуло хакеров, и практически одновременно были представлены методы, позволяющие обойти защиту. Атаковать стало сложнее, но все равно возможно.
   Другие описанные механизмы позволяют защититься только от одного типа переполнения буфера, а их существует несколько видов, поэтому считать это полноценной защитой нельзя.
   Хотелось бы немного успокоить вас: наличие ошибки не всегда позволяет реализовать атаку в полной мере: буфер может быть мал для внедрения кода (невозможно использование нулевых байтов), адреса системных функций у различных версий могут не совпадать, и человек, пытающийся использовать уязвимость, должен обладать действительно глубокими знаниями.

Неправильная настройка программ

   К сожалению, большинство пользователей часто сами создают проблемы. Например, браузеру часто разрешают запуск JavaScript, ActiveX и других элементов управления, с помощью которых легко установить шпионские программы. Некоторые почтовые клиенты умеют обрабатывать и выводить на экран HTML-контент, позволяющий выполнять любые действия. Из-за неправильных настроек почтовой программы или имеющихся в ней ошибок при просмотре содержимого полученных писем могут автоматически открываться файлы вложений. Иногда используется следующий прием: к сообщению прилагается исполняемый файл, а в заголовке MIME, который указывает на тип передаваемого файла, в поле Content-Type указывается, что это рисунок. Почтовый клиент, пытаясь загрузить рисунок, запускает исполняемый файл.
   Примечание
   MIME – Мultipurpose Internet Мail Extension – почтовый стандарт Интернета: кодирование в одном сообщении текстовой и нетекстовой информации (графики, архивов и пр.) для передачи по электронной почте.
   Опасность кроется не только в присылаемых EXE-файлах. Существует малоизвестная возможность выполнения сценариев в HLP– и CHM-файлах, причем эти сценарии позволяют запускать исполняемые файлы, поэтому следует остерегаться любых непрошеных сообщений электронной почты.
   Если вы предпочитаете использовать для серфинга Internet Explorer, установите высокий уровень безопасности. Для этого выполните команду меню Сервис → Свойства обозревателя, в появившемся окне перейдите на вкладку Безопасность, выберите категорию Интернет, в нижней части окна нажмите кнопку Другой, в открывшемся окне Параметры безопасности выберите из списка На уровень пункт Высокий и нажмите кнопку OK.
   Пользователи часто работают в Интернете с правами администратора, соответственно, злоумышленник, получивший доступ к компьютеру посредством, например, атаки на Internet Explorer, получит те же права, поэтому для работы в Интернете следует завести отдельную учетную запись, наделив ее минимальными правами.
   Червь Lovesan использовал уязвимость в сервисе Microsoft RPC (Remote Procedure Call – удаленное выполнение команд). И хотя эта уязвимость устранена, если служба DCOM (Distributed Component Object Model – модель распределенных компонентных объектов) вам не нужна, лучше отключить ее, а заодно и остальные ненужные сервисы. Чтобы проверить список запущенных служб, следует выполнить команду меню Пуск → Выполнить и в окне Запуск программы ввести cmd. В появившемся окне командной строки введите команду net start. На рис. 1.1 показан пример списка работающих служб.
   Рис. 1.1. Вывод списка запущенных служб

   Чтобы отредактировать список автоматически запускающихся служб, следует выполнить команду Пуск → Панель управления, выбрать категорию Производительность и обслуживание, затем Администрирование, после чего щелкнуть на ярлыке Службы. Двойной щелчок на выбранной службе покажет информацию о ее назначении и позволит изменить статус запуска. Если вы сомневаетесь в необходимости служб, можно постепенно отключать их, наблюдая за реакцией системы.
   В Интернете существует достаточное количество руководств, подробно описывающих назначение системных служб Windows. Одно из них можно найти по адресу http://www.oszone.net/display.php?id=2357. Желательно отключить нулевую сессию (Null Session), позволяющую подключиться к системе, основанной на Windows NT, без ввода имени пользователя и пароля. При включенной нулевой сессии анонимный пользователь может получить большое количество информации о конфигурации системы, которую сможет использовать в дальнейших действиях (список ресурсов, предоставленных для общего доступа, список пользователей, рабочих групп и т. д.). Открытый 139-й порт относится к категории серьезных уязвимостей. Чтобы отключить нулевую сессию, необходимо выполнить команду меню Пуск → Выполнить и набрать в строке Открыть команду regedit. В разделе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa для Windows 2000/XP/2003 нужно задать параметру restrictanonymous значение 2 (тип – REG_DWORD), для Windows NT3.5/NT4.0 – значение 1. Для Windows 2000/XP/2003 в разделе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver нужно задать для параметра RestrictNullSessionAccess значение 1 (тип параметра – REG_DWORD), а для Windows NT3.5/NT4.0 это можно сделать в разделе системного реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters. Если таких параметров нет, их необходимо создать.
   После внесения изменений требуется перезагрузка компьютера.
   Следует также запретить скрытые ресурсы C$, D$, ADMIN$. Для этого проще использовать специализированные утилиты. Например, программа LanSafety позволяет сделать это одним щелчком (рис. 1.2).
   Рис. 1.2. Рабочее окно программы LanSafety

   Желательно использовать файловую систему NTFS, которая позволит разграничить доступ к ресурсам вашего компьютера и усложнит процесс локального взлома базы SAM.
   Ранние версии Microsoft Word и Microsoft Ехсеl вместе с открытием документа автоматически запускали сценарии, написанные на языке Visual Вasic for Аррlication, что приводило к заражению компьютера макровирусами. Последние версии этих приложений запрашивают у пользователя подтверждение запуска сценариев.
   Это далеко не все мероприятия, которые нужно выполнить для повышения уровня безопасности работы на компьютере. Обязательно следует установить антивирус, включить брандмауэр и использовать другие программы, о которых будет рассказано в следующих главах.

Социальный инжиниринг

   Среди специалистов по информационной безопасности распространено мнение, что компьютерная защита – это постоянная борьба с глупостью пользователей и интеллектом хакеров. Отсюда следует, что наиболее уязвимое звено в защите – человек. Существуют и системные уязвимости, которые становятся источником массовых эпидемий (достаточно вспомнить червь Lovsan aka W32. Blaster, использовавший уязвимость в RPC DCOM). Здесь, к сожалению, пользователь бессилен, и бороться с этим можно либо постоянно устанавливая всевозможные заплатки, либо сменив операционную систему на более безопасную, а от последствий действий пользователя порой не спасет ничто.
   Внимание!
   Часто пользователь становится источником своих же проблем: будьте внимательны при работе с письмами неизвестных отправителей, пользуйтесь антивирусом и брандмауэром.
   Разработчики вирусов используют те же приемы, что и маркетологи, и всегда найдется хотя бы один человек из ста, который, несмотря на предупреждения, сочтет полученное неизвестно от кого письмо безопасным и откроет его, понадеявшись на защиту антивируса. Для достижения цели вирусописатели (как, впрочем, и другие мошенники, в том числе и в реальном мире) используют человеческие слабости:
   • недостаточную подготовку;
   • желание выделиться;
   • тягу мгновенно разбогатеть или получить что-то даром;
   • жалость и милосердие;
   • желание посмотреть «интересные» картинки;
   • интерес к продукту, который нужен некоторой части населения или который невозможно достать;
   • интерес к методикам быстрого обогащения с помощью финансовых пирамид, суперидеям для успешного ведения бизнеса или беспроигрышной игры в казино;
   • доверие к заплаткам, якобы направленным пользователю заботливым сотрудником компании Microsoft.
   В последнее время начали появляться ложные сообщения от сотрудника антивирусной компании о вирусе, якобы найденном в отправленном пользователем сообщении, или о начале новой эпидемии. Чтобы обезопасить пользователя, «доброжелатель» прикрепляет к письму файл, с помощью которого этот вирус можно удалить. После запуска этого файла на компьютере будет установлен троянец. Чтобы не вызвать подозрение пользователя, в письме часто обращаются совсем к другому человеку. При этом в теме сообщения может говориться, что «найден классный сайт, продающий дешевый товар»; к самому письму могут прикрепляться фотографии «со студенческой вечеринки» с просьбой «никому не показывать»; в письме может быть ссылка на «очень нужную программу» и т. д. Это делается, чтобы убедить получателя, что письмо попало к нему случайно, но информация может быть для него интересной.
   Пожалуй, единственным путем распространения вирусов через ICQ является передача файлов, поэтому необходимо быть очень осторожным с предложениями загрузить файл от постороннего человека.
   Операционная система не всегда способна правильно выдать информацию о запускаемом файле. По умолчанию Microsoft Windows не показывает зарегистрированные расширения имен. В результате имя файла foto.jpg.ехе будет показано как foto.jpg. Для маскировки реального расширения применяется двойное расширение вроде xxx.jpg.exe (в данном случае может помочь то, что некоторые почтовые серверы отказываются пропускать исполняемые файлы) или добавляется большое количество пробелов, из-за чего имя файла отображается не полностью.
   Совет
   Включите отображение расширения файлов, выполнив команду Сервис Свойства папки и сняв флажок Скрывать расширение для зарегистрированных типов файлов на вкладке Вид.
   Значки – это отдельная тема. Большинство пользователей до сих пор думают, что запускаемую программу определяет значок. Щелкнув на значке с изображением калькулятора, они ожидают, что запустится именно калькулятор, а не какой-нибудь W32.Bagle-А. Этим пользуются злоумышленники: высылают файл с двойным расширением типа creditcard.doc.exe и значком, обычно используемым для документов Microsoft Word. Второе расширение чаще всего скрыто, и пользователь не сомневается, что по почте пришел именно текстовый документ.
   В ближайшее время компьютерная грамотность вряд ли достигнет уровня, когда можно будет забыть о человеческом факторе, поэтому един ственный совет, который можно дать, – будьте бдительны и внимательны, критически относитесь к различным предложениям и не открывайте подозрительные письма.

Глава 2
Антивирусные программы

   Принцип работы антивируса
   Компоненты современного антивируса
   Известные антивирусные программы
   Программы для поиска руткитов

   В первой главе вы ознакомились с опасностями, которые подстерегают компьютер во время работы. Теперь следует научиться бороться с ними.

2.1. Принцип работы антивируса

   Пользователь часто может сам обнаружить присутствие вируса на компьютере. Например, о заражении системы почтовым червем Email-Worm.Win32.NetSky.b можно судить по возрастанию загрузки процессора до 90 % и активной работе жесткого диска (в результате деятельности червя в различных каталогах создается около 2,5 тыс. файлов).
   Однако так бывает не всегда, поэтому лучше поручить обнаружение вирусов специализированным программам, тем более что иногда признаки, которые пользователь расценивает как результат действия вируса, могут характеризовать системные или аппаратные сбои.
   Для борьбы с компьютерными вирусами применяются антивирусные программы. История развития антивирусов – это смена поколений программ, когда устаревшие методы борьбы заменяются более эффективными технологиями. Появление новых вирусов, использующих неизвестную брешь в операционной системе или новый механизм размножения, делает неэффективными старые технологии обнаружения. Это влечет за собой адекватные действия со стороны разработчиков антивирусных программ, направленные на нейтрализацию угрозы. Так было до появления первого бестелесного вируса, который не образовывал файлы. Возникла необходимость проверки архивов, электронной почты, макросов документов Microsoft Office, поэтому исчезли иммунизаторы, которые были популярны в начале истории персональных компьютеров.
   Примечание
   Иммунизаторы могли сообщить о заражении либо блокировать попытку заражения файла определенным вирусом, но они не получили широкого распространения и в настоящее время практически не используются.
   Прежде чем приступить к рассмотрению работы конкретных антивирусных программ, следует познакомиться с некоторыми принципами их работы. Основываясь на них, вам будет легче ориентироваться при выборе нужного решения, видеть реальные возможности антивируса, его слабые и сильные стороны. Можете пропустить этот раздел и вернуться к нему позже.

Сигнатурный анализ

   Для детектирования вирусов в каждом движке реализовано несколько технологий. Самые известные из них – поиск по сигнатурам и эвристический анализатор.
   Сигнатура представляет собой уникальную для каждого вируса строку, которая однозначно указывает на определенную вредоносную программу. При появлении нового вируса его код анализируется специалистами и сигнатура заносится в антивирусную базу. Этот способ – самый эффективный, так как позволяет почти со стопроцентной вероятностью определить наличие известного вируса.
   Неизвестный вирус пройдет через такой детектор незамеченным. На анализ и выработку сигнатуры нового вируса уходит некоторое время, в течение которого любой компьютер беззащитен. Ошибка при выборе сигнатуры может привести к тому, что подозрение может пасть на незараженный файл. Такие случаи нельзя назвать редкими: однажды подозрение пало на программу Punto Switcher, которая находилась на компакт-диске, приложенном к журналу. Антивирус Avast! находил в этом файле троянца. Проверки с помощью других антивирусов показывали, что файл чист.
   Совет
   Антивирус может ошибаться, обнаруживая в чистом файле вирус или не замечая существующий вирус. В случае сомнения для проверки файла можно воспользоваться любым доступным онлайн-антивирусом.
   Каждый разработчик антивирусной программы, как правило, имеет на своем сайте функцию онлайн-проверки; есть сервисы, проверяющие файл сразу несколькими антивирусами. Например, сервис Virustotal (http://www.virustotal.com/en/indexf.html) позволяет проверить подозрительный файл с помощью 32 различных антивирусов. Я отправил для проверки файл, зараженный не самым старым трояном. В результате вирус обнаружили только 17 из 32 антивирусов (рис. 2.1).
   Рис. 2.1. Проверка файла в Virustotal

   Еще одно неудобство сигнатурного метода связано с тем, что пользователь вынужден постоянно обновлять антивирусные базы, размер которых иногда велик. Если этого не делать, компьютер может оказаться незащищенным. Сначала для определения эффективности антивируса кроме других показателей руководствовались количеством записей в антивирусной базе. Однако время показало, что иногда разработчики антивирусного программного обеспечения заносят в базу приложения, не относящиеся к вирусам, в том числе безвредные. Производители часто используют для подсчета количества записей разные методики, например модификации одного вируса считают как несколько вирусов и наоборот, поэтому в последнее время критерием качества работы является скорость реакции антивирусной компании по занесению нового вируса в базу. Чем быстрее генерируется новая сигнатура, тем лучше защищен пользователь.
   Разная скорость работы антивирусных лабораторий привела к тому, что сегодня стали появляться решения, имеющие два и более ядра, выполненные различными производителями. Это снижает производительность системы (проверка несколькими ядрами требует больших ресурсов), однако безопасность превыше всего.

Эвристика

   В процессе работы эвристический анализатор проверяет код приложений, макросов и сценариев и пытается найти в них подозрительные команды или действия. Если количество последних превысит некий барьер, можно сделать вывод об их вирусном происхождении.
   Наиболее эффективны динамические анализаторы, запускающие приложение посредством эмуляции. Подобным образом действуют поведенческие блокираторы, только вместо эмуляции запуска программ они работают в реальной среде, анализируя последовательность операций приложения.
   С помощью блокиратора можно обнаружить:
   • некоторые полиморфные вирусы;
   • руткиты;
   • попытки внедрения одной программы в другую.
   Блокиратор также контролирует целостность системных файлов и реестра
   Windows и при необходимости производит откат.
   При обнаружении подозрительных моментов пользователю часто выдается запрос о дальнейших действиях. Если пользователь недостаточно подготовлен, чтобы разобраться в проблеме, он может принять неправильное решение, что обесценит защиту. Идеально работающего эвристического анализатора еще не существует. Эта технология часто ошибается, пропуская вирус или, наоборот, подозревая безобидную программу. Разработчики поведенческих блокираторов и эвристических анализаторов составляют набор правил на основе изучения вредоносных программ и также могут ошибаться. У злоумышленников всегда есть возможность изучить реакцию системы защиты и выработать алгоритм заражения, при котором защита не сработает.
   Внимание!
   Многочисленные тесты показывают, что ни одна антивирусная программа не может обнаружить все вирусы, поэтому всегда существует вероятность, что вирус будет пропущен. Однако есть шанс, что пропущенное вредоносное приложение остановит система защиты антивируса.
   Стоит также отметить, что часто разработчики связаны слабыми возможностями движка, которому приходится поддерживать антивирусные базы, поэтому эвристику и поведенческие блокираторы в антивирусах следует рассматривать не как основные, а как дополнительные средства обнаружения, часто усеченные по возможностям.

2.2. Компоненты современного антивируса

   В процессе развития состав этих компонентов изменялся, добавлялись новые и удалялись не отвечающие требованиям времени.
   • Первый и основной антивирусный компонент – сканер (On-Demand Scanner). Задачей сканера является проверка по требованию пользователя файлов, памяти и загрузочных секторов на наличие вирусов. Сканер необходимо периодически запускать для проверки имеющихся файлов и при получении новых.
   До недавнего времени практически все тесты антивирусов включали время, за которое антивирусный сканер проверял жесткий диск компьютера, и количество выявленных вирусов. Компании – разработчики антивирусов шли на различные хитрости. Например, известна история, что в антивирусе Dr. Solomon был специальный режим для работы с тестовыми коллекциями, позволявший ему побеждать. Сейчас скорость работы не является основным показателем, главное – это качество выявления вирусов. Чтобы несколько раз не проверять файлы, которые не изменялись со времени предыдущей проверки, сканеры ведут специальную базу данных.
   • Пользователи часто забывают проверять принесенные дискеты и диски. Именно по этой причине был разработан страховочный компонент антивируса – монитор(On-Access Scanner).
   В отличие от сканера, монитор постоянно находится в оперативной памяти и автоматически проверяет файлы в реальном времени. Когда пользователь пытается запустить программу, монитор перехватывает запрос, проверяет файл на наличие вирусов и, если он чист, разрешает дальнейшее выполнение. Одни мониторы контролируют файлы только в процессе запуска, другие проверяют все, с чем работает пользователь, а также изменяемые и закрываемые файлы.
   Совет
   Обязательно проследите, чтобы в используемом антивирусе был включен монитор, так как он автоматически проверяет все файлы, с которыми вы работаете.
   Первое время в составе антивирусов были только файловые мониторы, но так как для распространения вирусов часто используется электронная почта, появились почтовые мониторы, которые автоматически активизируются, когда пользователь принимает и отправляет почту.
   В составе антивирусов могут быть также другие мониторы, контролирующие отдельные приложения (например, Microsoft Office) или сервисы.
   Монитор предоставляет пользователю большую безопасность и очень удобен, так как предупреждает пользователя только когда сталкивается с проблемой, а все проверки происходят незаметно. Однако именно монитор нагружает систему, часто вызывая раздражение пользователя, и становится причиной отключения антивируса, чтобы он не мешал работе. Работа монитора часто является определяющей при выборе антивируса, так как в различных решениях он по-разному нагружает систему.
   • Еще один компонент антивируса – ревизор изменений. Его задача – отслеживать изменения в важных системных файлах. Если охраняемый файл изменился, это может означать, что в системе не все в порядке, о чем антивирус предупреждает пользователя. Если монитор загружен, а пользователь не изменял системные файлы, такая ситуация может означать, что компьютер заражен неизвестным вирусом, и первое, что необходимо сделать, – это обновить антивирусные базы и проверить систему.

2.3. Известные антивирусные программы

   Ознакомимся подробнее с настройкой трех антивирусных программ: коммерческого «Антивируса Касперского» и бесплатных AVG Free Edition и Avast! Home Edition.
   «Антивирус Касперского» (http://www.kaspersky.ru/) – самая популярная антивирусная программа, которая побеждает во многих сравнительных тестах. Она располагает одним из лучших эвристических анализаторов: компанияразработчик оперативно реагирует на появление новых вирусов, добавляя их сигнатуры в антивирусную базу. Недавно была выпущена новая версия этого приложения – «Антивирус Касперского 7.0».
   AVG Free Edition (http://www.grisoft.com) – бесплатный антивирус чешского производства для некоммерческого домашнего использования. Его базовая версия обладает отличной функциональностью, а версия Free представляет собой полноценный антивирус со всеми модулями и настройками, а не усеченный вариант, каким обычно делают бесплатные версии своих программ компании с целью привлечения внимания пользователей к основному продукту. Неоднократно AVG Free Edition отмечался экспертами независимой лаборатории ICSA (International Computer Security Association – Международная ассоциация по компьютерной безопасности (http://www.icsalabs.com/)), и Virus Bulletin (http://www.virusbtn.com/). Я сам на протяжении пяти лет пользуюсь исключительно AVG Free Edition. Монитор этой программы практически не нагружает систему; некоторые возможности по обнаружению вирусов впервые появились именно в этом антивирусе.
   Avast! Home Edition (http://www.avast.com) – еще один бесплатный антивирус чешского производства, который благодаря понятному интерфейсу и развитым функциям при простоте настроек пользуется заслуженной популярностью у домашних пользователей.
   Параметры этих антивирусов типичны. Интерфейсы «Антивируса Касперского» и Avast! Home Edition локализованы, AVG Free Edition – нет, поэтому после знакомства с этими программами вы сможете по аналогии освоить любой другой антивирус.
   Во время написания данного раздела я просканировал всю коллекцию файлов на своем и других компьютерах локальной сети с помощью трех описываемых антивирусных программ. Они нашли примерно одинаковое количество подозрительных файлов, однако результат частично не совпал – были выведены разные объекты. Это подтверждает результат сканирования файла на Virustotal.

«Антивирус Касперского»

   В 2007 году «Лабораторией Касперского» была выпущена новая версия известного антивируса – «Антивирус Касперского 7.0». Если в предыдущих версиях основной упор делался на сигнатурный поиск вирусов, то здесь разработчики используют все известные технологии защиты от известных и новых интернетугроз – как традиционные (проверка по базам сигнатур), так и новые, относящиеся к проактивным технологиям (эвристический анализатор и поведенческий блокиратор).
   Существенно изменилась функциональность антивируса. Еще в версии 6.0 в этот антивирус была добавлена проверка сетевого трафика. Теперь просмотр веб-страниц, работа с электронной почтой, общение в сетях мгновенного обмена сообщениями происходит под защитой антивируса. Предусмотрены плагины и лечение вирусов в базах популярных почтовых программ (Microsoft Outlook, Microsoft Outlook Express и The Bat!), и улучшены алгоритмы обнаружения клавиатурных шпионов и руткитов.
   Продолжительность проверки жесткого диска всегда вызывала нарекания пользователей, а загрузка системы не позволяла параллельно работать на компьютере. Еще в версии 6.0 появились новые технологии iChecker и iSwift, использование которых сокращает время проверки диска и загрузки системы. Теперь также можно проверять новые и измененные файлы. Программа подстраивается под работу пользователя и при увеличении нагрузки может временно приостановить проверку.
   Для работы с версией 7.0 потребуется компьютер, работающий под управлением Windows 2000 Professional, Windows XP или Windows Vista.
Установка
   Если вы скачали программу в Интернете, ее установка заключается в запуске исполняемого файла – самораспаковывающегося архива. Если вы приобрели ее на компакт-диске, следует запустить установочный файл оттуда. Кроме имени файлов, других различий при установке разных версий антивируса нет.
   После запуска программа установки проверит ваши права на инсталляцию и наличие необходимых системных компонентов. Если необходимые требования не удовлетворены, на экране появится соответствующая информация. Если все в порядке, откроется окно приветствия (рис. 2.2).
   Рис. 2.2. Окно приветствия мастера установки программы

   Программа установки выполнена в виде пошагового мастера, каждое окно которого позволяет контролировать определенный параметр посредством нескольких кнопок:
   • Далее (на некоторых этапах эта кнопка называется Установить) – подтверждение текущего действия и переход к следующему этапу установки;
   • Назад – возврат к предыдущему этапу без выхода из программы инсталляции;
   • Отмена – отказ от процедуры установки;
   • Справка – получение справочной информации о текущем этапе;
   • Сброс – сброс настроек в исходное состояние.
   Нажмите кнопку Далее и перейдите к этапу выбора лицензионного соглашения. Прочитайте его внимательно: компания оговаривает не только обязанности пользователя, но и свои. Например, в случае обнаружения неизвестного вируса она обязуется выпустить обновление для антивирусной базы в течение 48 часов. Это означает, что компьютер останется без защиты на двое суток. Будем надеяться, что реально этот срок меньше. Выберите Я принимаю условия лицензионного соглашения и нажмите Далее.
   Выбор варианта Быстрая установка позволит установить все компоненты антивируса с параметрами по умолчанию, что рекомендуется для начинающих. Опытные пользователи могут обратиться к варианту Выборочная установка, в котором можно выбирать отдельные компоненты и каталог для установки антивируса. Любой компонент антивируса можно отключить в процессе работы, поэтому нажмите Быстрая установка и подтвердите выбор нажатием кнопки Далее (рис. 2.3).
   Рис. 2.3. Окно выбора типа установки

   Если на компьютере будут найдены компоненты, присутствие которых может вызвать конфликт (например, если уже установлен один антивирус), на следующем шаге мастера отобразится их список. Нажатие кнопки Далее приведет к их автоматическому удалению. Если на компьютере установлена более ранняя версия «Антивируса Касперского», будет предложено сохранить все настройки. Согласитесь с этим предложением, выбрав Параметры защиты.
   В следующем окне ничего указывать не нужно. Если все сделано правильно, нажмите кнопку Установить – начнется процесс инсталляции. Через некоторое время последует запрос на перезагрузку системы, подтвердите его нажатием кнопки ОК.
   После перезагрузки снова появится мастер. Нажмите кнопку Установить и ожидайте распаковки файлов. По завершении нажмите Далее – загрузится Рабочий стол с мастером первоначальной настройки приложения.
   Совет
   Во время установки любой программы лучше закрыть все работающие приложения – так вы сможете избежать непредвиденных ситуаций.
   Задача этого мастера изменилась по сравнению с предыдущими версиями. Теперь он отвечает только за активизацию продукта, а не за первичную настройку работы антивируса. В первом окне мастера (рис. 2.4) предлагается активизировать продукт.
   Рис. 2.4. Окно активизации «Антивируса Касперского»

   Дальнейшие действия зависят от того, настроено ли соединение с Интернетом и есть ли у вас лицензионный ключ. Если соединения с Интернетом нет, установите переключатель в положение Активировать приложение позже и нажатием кнопки Далее перейдите к следующему шагу. Так же можно поступить, если вы сомневаетесь в выборе именно этой антивирусной программы. Если «Антивирус Касперского» куплен у дилера и у вас есть код активизации, выбирайте вариант Активировать, используя код активации, на основании которого вы получите лицензионный ключ, обеспечивающий полную функциональность приложения.
   Совет
   Во время активизации антивируса необходимо ввести контактную информацию – фамилию, имя, отчество, адрес электронной почты, страну и город проживания. Эти данные могут потребоваться для идентификации зарегистрированного пользователя при утрате ключа, поэтому укажите правильные данные.
   Ключ будет получен автоматически, и в окне появится вся информация о лицензии. Для пользователей ранних версий «Антивируса Касперского», имеющих лицензионный ключ, предназначен вариант Использовать полученный ранее лицензионный ключ (в том числе демонстрационный). Установив переключатель в это положение, необходимо нажать кнопку Обзор и выбрать файл с расширением KEY, который является лицензионным ключом. Если ваша цель – тестирование «Антивируса Касперского», выбирайте вариант Активировать пробную версию.
   Внимание!
   В версии 7.0 для активизации пробной версии необходимо подключение к Интернету.
   После нажатия кнопки Далее мастер попытается соединиться через Интернет с сайтом производителя и в случае успеха автоматически получит пробный ключ. В окне мастера будет выведен его номер и дата окончания пробного периода. После сбора информации о системе появится окно, указывающее на завершение установки. Установив флажок Запустить приложение, можно запустить работу программы.
Окно управления антивирусом
   После установки «Антивируса Касперского» вы обнаружите несколько новых деталей на Рабочем столе. В области уведомлений появится специфический значок
   выполняющий двойную функцию. Во-первых, он показывает статус работы антивируса: если значок цветной, защита включена, если черно-белый, это означает, что кто-то ее отключил. Во-вторых, в зависимости от выполняемой в настоящее время работы (проверка почтового сообщения, исполняемого файла, программы или сценария, обновления сигнатурных баз) он также изменяет внешний вид. Например, при проверке исполняемого файла или программы значок принимает вид

   Щелкнув на значке правой кнопкой мыши, можно вызвать контекстное меню, которое позволяет выполнить основные операции (проверка на вирусы, обновление, настройка, приостановка защиты, обновление), не открывая окна программы.
   Дополнительные компоненты (плагины) «Антивируса Касперского» подключаются к программам, позволяя на лету проверять на вирусы файлы, с которыми работают эти приложения. Существуют плагины для следующих программ:
   • Microsoft Office Outlook;
   • Microsoft Outlook Express;
   • The Bat!;
   • Microsoft Internet Explorer;
   • Microsoft Windows Explorer.
   Если дважды щелкнуть на значке «Антивируса Касперского» в области уведомлений, откроется его основное окно (рис. 2.5).
   Рис. 2.5. Окно управления антивирусом

   Окно управления антивирусом можно разделить на три части:
   • слева вверху размещается панель выбора, позволяющая быстро перейти к компонентам защиты, поиску вирусов или сервисным функциям;
   • слева внизу находятся кнопки доступа к справочной информации и настройкам работы антивируса;
   • в правой части производятся все настройки компонентов, выбранных в левой, а также выводится статус работы системы защиты в целом и отдельных ее компонентов.
   Уведомления, появляющиеся на экране, могут быть трех видов:
   • Тревога – окно красного цвета, сообщение о критическом событии, требующем немедленного решения;
   • Внимание – желтое окно, информация о потенциально опасном событии, требующем внимания и решения пользователя;
   • Информация – окно голубого цвета, в котором программа информирует, что произошло событие, не имеющее первостепенного значения.
   Кроме самого сообщения на экране в виде ссылок отображаются возможные варианты действий. Это может быть обновление антивирусных баз, удаление, помещение на карантин, лечение опасного объекта, запрет выполнения программы и др.
   Внимание!
   Если обнаружен опасный объект, действие Пропустить означает блокировку доступа к этому объекту и вывод отчета. Если вы сомневаетесь в выборе решения, можете указать этот пункт.
   Сразу после установки антивирус готов к работе с настройками по умолчанию.
   Для начала работы следует выполнить следующие действия.
   1. Проверить статус защиты.
   2. Обновить компоненты антивируса и антивирусные базы, настроить параметры автоматического обновления, если это не было сделано ранее. Если доступно соединение с Интернетом, антивирусные базы будут обновляться автоматически.
   3. Полностью проверить компьютер на наличие вирусов и настроить режимы автоматической проверки, если это не было сделано ранее.
   После этого антивирус будет работать в автономном режиме, практически не требуя внимания пользователя. Рассмотрим вышеперечисленные действия подробнее.
Проверка статуса защиты
   Статус защиты отражает наличие или отсутствие угроз, которые влияют на уровень безопасности системы. Статус системы защиты показан цветом в верхней части главного окна приложения. В зависимости от ситуации цвет будет меняться аналогично сигналам светофора, а в правом верхнем углу будет выводиться дополнительная информация. Панель, показывающая статус, может светиться одним из трех цветов. Если индикатор зеленый – все нормально, базы своевременно обновлены, а параметры проверки соответствуют рекомендуемым. Желтый цвет означает, что замечены некоторые отклонения, требующие внимания пользователя, например отключен один из компонентов антивируса или базы устарели на несколько дней. Красный цвет говорит о критической ситуации, требующей немедленного вмешательства. Это может быть сбой в работе одного или нескольких компонентов защиты, давно не производившееся обновление или обнаруженные вредоносные объекты.
   Если в системе что-то не так, щелчком на информационной ссылке вы запустите Мастер безопасности, который поможет получить более подробную информацию и решить проблему. О серьезности угрозы в сообщении будет свидетельствовать цвет значка с восклицательным знаком. Оранжевый цвет означает некритические угрозы, снижающие безопасность компьютера, красный говорит об очень серьезной проблеме.
   Совет
   Мастер безопасности позволяет отключить некоторые «желтые» предупреждения, чтобы они не отвлекали. Для этого достаточно нажать ссылку Отложить.
   С общей информацией вы ознакомились, теперь рассмотрим отельные компоненты. Перейдите в область Защита и выберите один из четырех компонентов: Файловый Антивирус, Почтовый Антивирус, Веб-Антивирус или Проактивная защита. В правой части появится информация об интересующем компоненте. Например, выберите Файловый Антивирус (рис. 2.6). Все просто и понятно.
   Рис. 2.6. Вывод статуса и статистики работы Файлового Антивируса

   Изменить текущие настройки или просмотреть более подробную статистику можно, щелкнув в соответствующем поле (Настроить или Открыть отчет). Если компонент содержит несколько модулей (Проактивная защита), будет выведен статус работы каждого из них. Нажав кнопку Стоп или Пауза, можно остановить или приостановить работу текущего компонента. Это может понадобиться, например, в случае сбоев в работе либо если в компоненте нет необходимости (например, вы не пользуетесь почтой). Чтобы снова активизировать выбранный компонент, нажмите ссылку Возобновить работу.
   Через некоторое время обязательно просмотрите статистику работы каждого компонента. Если, например, вы активно пользуетесь электронной почтой, а соответствующий компонент показывает, что обработано малое количество писем, он, возможно, настроен неправильно. Так, для проверки почты и веб-трафика антивирус применяет стандартные номера портов, поэтому если сервис использует другой порт, то проходящая информация анализироваться не будет. Всегда есть вероятность, что вирус будет остановлен файловым антивирусом или проактивной защитой, однако вредоносные сценарии, ориентированные на уязвимость в веб-браузере или почтовом клиенте, могут остаться незамеченными, поэтому, если вы знаете, что сервис использует нестандартный порт, его номер следует занести в список.
   Примечание
   Все сервисы сопоставлены с номером, который, как правило, стандартизирован (хотя бывают и исключения). Эту систему можно представить в виде дома: не зная квартиру, вы не сможете попасть в гости. Так и компьютер, обращаясь по адресу, должен указать, доступ к какому сервису он хочет получить, поэтому вместе с адресом указывает порт.
   Чтобы антивирус проверял информацию, проходящую через новый порт, следует щелкнуть на ссылке Настройка, выбрать категорию Контроль трафика, нажать кнопку Настройка портов, затем Добавить и в соответствующие поля ввести номер порта и краткий комментарий.
Обновление антивирусных баз
   Для обновления антивирусных баз потребуется соединение с Интернетом. Можно также скачать обновления отдельно, а затем, предварительно собрав их в одну папку и указав ее в качестве источника, сообщить антивирусу о необходимости обновления. По умолчанию обновление производится автоматически при соединении с Интернетом. Чтобы изменить это поведение, выполните команду Настройка → Обновление.
   В поле Режим запуска выбирается режим обновления антивирусных баз и компонентов. Нормальная работа антивируса во многом зависит от свежести антивирусных баз, поэтому рекомендуемый вариант – Автоматически (рис. 2.7). В этом случае обновления будут скачиваться по мере их выхода.
   Рис. 2.7. Выбор режима обновления

   Установив переключатель в положение Каждый 1 день, можно составить собственное расписание обновлений программы. Нажав кнопку Изменить, можно выбрать любую периодичность обновления в минутах, часах или днях недели, а также указать точное время обновления. Обратите внимание на флажок Запускать пропущенную задачу. Если он установлен, пропущенное обновление будет произведено при первой возможности. Вариант Вручную отключит автоматическое обновление, и пользователю придется самостоятельно следить за этим процессом. В дальнейшем можно изменить параметры обновления антивирусных баз, выбрав оптимальный режим.
   Кроме антивирусных баз планируется обновлять модули приложения, поэтому проследите, чтобы был установлен одноименный флажок.
   Пользователи часто применяют обновления, содержащиеся на приложенных к журналам компакт-дисках, или берут их у знакомых. Для удобства создайте отдельный каталог, в который будете помещать такие обновления. В этом случае обновления всегда будут находиться в одном месте, а не разбросаны по всему диску, и, если понадобится переустановить антивирус, их будет проще найти. Укажите необходимую папку, нажмите кнопку Настройка, в появившемся окне Настройка обновления нажмите кнопку Добавить и выберите каталог с обновлениями. Затем с помощью кнопки Вверх установите этот ресурс первым в списке – в этом случае антивирус будет автоматически сначала обновляться из указанного каталога, а затем скачивать недостающее с сервера обновлений.
   Примечание
   По умолчанию для обновления выбирается ближайший к пользователю сервер; установив флажок Задать местоположение, сервер для обновлений можно выбрать вручную.
   Обратите внимание на флажок Проверить файлы на карантине – его установка позволит автоматически проверять файлы на карантине после обновления антивирусных баз.
   Чтобы проверить актуальность антивирусных баз, необходимо щелкнуть на ссылке Обновление. В правой части окна в области Информация о текущих базах будет указана дата выпуска баз и общее количество записей в базах (рис. 2.8).
   Рис. 2.8. Информация о базах

   Чтобы вручную обновить сигнатуры, перейдите в пункт Обновление и нажмите ссылку Обновить базы. Запустится процесс обновления, все детали которого будут выводиться в этом же окне. Во время обновления может произойти сбой, в результате которого базы будут повреждены. В этом случае для возвращения к предыдущим настройкам нажмите Обновить базы.
   По умолчанию для соединения с сервером обновления используются параметры подключения к Интернету, указанные в Internet Explorer. Если обновление проходит нормально, больше настроек не потребуется. Если для выхода в Интернет система использует прокси-сервер, являющийся посредником, или пользователь работает с другим веб-браузером, настройки в Internet Explorer не соответствуют действительности. В таком случае напрямую соединиться с сервером обновлений невозможно. Чтобы исправить ситуацию, нажмите кнопку Настройка и перейдите на вкладку Прокси-сервер. Флажок Использовать прокси-сервер установлен по умолчанию (рис. 2.9).
   Рис. 2.9. Настройки прокси-сервера

   Установите переключатель в области Параметры прокси-сервера в положение Использовать указанные параметры прокси-сервера. В поля Адрес и Порт введите необходимые данные. Если параметры прокси-сервера неизвестны, их можно уточнить у системного администратора, службы поддержки поставщика услуг Интернета или пользователей вашей сети. Если прокси-сервер требует аутентификацию, установите флажок Использовать аутентификацию и укажите имя пользователя и пароль для доступа к прокси.
Проверка объектов с помощью антивируса
   После установки и обновления антивирусных баз следует полностью проверить компьютер с помощью сканера антивируса. Если этого не сделать, то вирусы, которые ранее проникли в систему, будут представлять опасность. Об этом сообщит цвет заголовка главного окна антивируса – без полной проверки он не станет зеленым.
   Чтобы перейти к режиму проверки системы, необходимо щелкнуть на ссылке Поиск вирусов (рис. 2.10).
   Рис. 2.10. Окно поиска вирусов

   Правая часть окна разделена на три области. Вверху можно выбрать разделы, которые планируется проверить, установив флажки напротив нужных пунктов. Если какой-то раздел не указан (например, вы сохраняете скачанные из Интернета файлы в одну папку и хотите проверить только ее), удобнее добавить его в этот список. Чтобы добавить новый каталог в список, нужно нажать кнопку Добавить и указать на него в файловом менеджере – он появится в окне выбора. При добавлении нового ресурса обратите внимание на флажок Включая вложенные папки: если он установлен, будут проверятся и подкаталоги выбранного ресурса.
   Внимание!
   Пока не выбран ни один каталог, ссылка Запустить проверку не активна.
   Назначение области Запустить проверку отвечает названию. При нажатии одноименной ссылки начнется проверка выбранных файлов. Ее результат отобразится в текущем окне – будет показан процент выполнения задачи, количество проверенных файлов и ожидаемое время завершения.
   Совет
   Самым быстрым способом проверить файл, каталог или сменный носитель на наличие вирусов – щелкнуть на нем правой кнопкой мыши и в контекстном меню выбрать пункт Проверить на вирусы.
   В этой области есть еще две ссылки. Нажав Настройка, вы можете указать уровень безопасности, то есть установить режим проверки файлов. Ссылка Новая задача проверки позволяет создать свою задачу по проверке каталогов или областей диска, которую можно выполнить одним нажатием кнопки.
   Внимание!
   Пользователь может создать не более четырех заданий проверки диска.
   Для удобства разработчики сформировали несколько задач, позволяющих одним щелчком провести разные проверки. Эти задачи в виде ссылок размещаются в левой части окна в области Поиск вирусов: Критические области, Мой Компьютер, Объекты автозапуска и Поиск руткитов (rootkit). Принцип работы с этими задачами аналогичен поиску вирусов. После щелчка на любой из них на экране появляется информация о времени последнего проведения выбранной проверки, ее результате и режиме запуска. Чтобы полностью проверить систему, следует щелкнуть на ссылке Мой Компьютер, отметить нужные пункты и нажать Запустить проверку. Такая проверка занимает, как правило, много времени. Вы можете изменить предустановленные параметры, убрав или добавив участки проверок. Особое внимание уделите сменным носителям и сетевым диска. Если они не подключены, это может вызвать задержку в работе антивируса. Проверка на вирусы удаленных систем занимает больше времени, чем локального компьютера.
   При обнаружении опасного объекта появляется уведомление. Оно может быть двух видов:
   • Тревога – обнаружен вредоносный объект (рис. 2.11);
   Рис. 2.11. Антивирус обнаружил опасный объект

   • Внимание – обнаружен опасный или зараженный объект.
   В качестве действий пользователю предлагается Лечить, Удалить и Пропустить. Их назначение понятно; выбор Удалить не приводит к полному уничтожению объекта, а перемещает его в резервное хранилище.
   Нажатие кнопки Пропустить означает, что файл останется на месте, информация о событии занесется в журнал, а чтобы пользователь не мог случайно запустить зараженный файл, доступ к нему заблокируется антивирусом. Если вы не хотите нажимать кнопку при каждом обнаружении вируса, следует установить флажок Применить во всех подобных случаях, и антивирус будет самостоятельно выполнять указанное пользователем действие. В некоторых случаях программа, показавшаяся антивирусу подозрительной, таковой не является или действие, выполняемое ей, легально. Особенно часто такие сообщения будут поступать от проактивной системы защиты, задача которой состоит в поиске всего подозрительного. Чтобы подобные действия повторно не вызывали реакцию антивируса, такую программу следует добавить в список исключений. Для этого следует щелкнуть на ссылке Добавить в доверенную зону. Перед этим нужно внимательно ознакомиться с полученным сообщением – например, программы автодозвона не относятся к вирусам (рис. 2.12).
   Рис. 2.12. Найден подозрительный файл

   Если выбран пункт Добавить в доверенную зону, в появившемся окне нужно указать дополнительные параметры нового правила исключения (рис. 2.13).
   Рис. 2.13. Настройка правила исключения

   При формировании правила исключения можно изменить путь к объекту и указать вместо конкретного файла каталог либо список файлов по маске. Например, у меня есть набор вирусов, предназначенный для изучения и тестирования реакции различных систем защиты. Чтобы антивирус не реагировал каждый раз и не уничтожил эту коллекцию, я составил правило исключения, указав в нем весь каталог.
   Можно также изменить Вердикт, то есть сообщение, добавив комментарий, или указать компонент, на который будет распространяться правило. В последнем случае щелчок на ссылке указанный приведет к переключению на любой, то есть на все компоненты будет одинаковая реакция. Если щелкнуть на названии компонента, появится список всех компонентов антивируса, и можно будет выбрать действия, которые в дальнейшем не будут вызывать реакцию системы защиты.
   При обнаружении опасного объекта из колонок или наушников раздастся специфический звуковой сигнал.
   Примечание
   Вы всегда можете откорректировать объекты, находящиеся в доверенной зоне. Для этого нажмите кнопку Настройка, выберите категорию Угрозы и исключения, нажмите кнопку Доверенная зона и в появившемся окне удалите или добавьте Правила исключений и Доверенные приложения.
Настройка уровня безопасности и реакции антивируса
   По умолчанию система защиты работает в оптимальном режиме – рекомендуемом. Возможно, что этот режим действительно оптимальный, однако некоторых пользователей он не устраивает. Изменить его можно следующим образом.
   Нажмите кнопку Настройка и выберите категорию Поиск вирусов (рис. 2.14).
   Рис. 2.14. Настройка уровня безопасности

   В области Уровень безопасности можно выбрать один из предустановленных вариантов:
   • Максимальная скорость – обеспечивает минимальную защиту, но меньше нагружает систему во время проверки; рекомендуется при работе в безопасной среде (например, без Интернета) и на маломощных компьютерах;
   • Рекомендуемый – гарантирует оптимальную защиту и рекомендуется для большинства пользователей;
   • Максимальная защита – обеспечивает наиболее полную защиту; рекомендуется при работе в опасной среде, но требует больше ресурсов.
   Можно настроить собственный вариант проверок. Для этого нажмите кнопку Настройка. Откроется окно, изображенное на рис. 2.15.