93. Технология полного декодирования.

Технология полного декодирования (GD) позволяет антивирусной программе легко обнаружить даже самые сложные полиморфные вирусы, сохраняя при этом высокую скорость сканирования. Напомним, что при выполнении содержимого полиморфного вирус-файла перед активизацией вирус должен быть расшифрован. Для выявления подобных структур выполняемый файл проходит через GD-сканер, состоящий из следующих элементов:

1. Эмулятор процессора представляет собой программную реализацию виртуального компьютера. Команды, имеющиеся в выполняемом файле, интерпретируются эмулятором вместо того, чтобы выполняться реальным процессором. Эмулятор содержит программные версии всех регистров и других аппаратных средств процессора, так что сам процессор оказывается вне зоны действия программ, интерпретируемых эмулятором.

2. Сканер сигнатур вирусов – модуль, выполняющий сканирование проверенного кода на предмет выявления в нем сигнатур известных вирусов.

3. Модуль управления эмуляцией – управляет выполнением проверенного кода.

Загрузив программу, эмулятор начинает интерпретировать одну за другой команды проверенного кода. Если в программе содержится процедура дешифрования тела вируса, то ее код будет также интерпретирован. В результате вирус сам откроет себя антивирусной программой. Периодически модуль управления прерывает ход эмуляции для того, чтобы выполнить сканирование полученного кода на предмет наличия в нем сигнатур вирусов.

Во время интерпретации код вируса не может нанести реального вреда компьютеру, т.к. код выполняется в изолированной и контролируемой среде.

94. Цифровая иммунная система.

ЦИС представляет собой сложную технологию антивирусной защиты, разработанную компанией IBM. Причина разработки – возросшая угроза распространения вирусов через Интернет.

В настоящее время угроза вирусной инфекции характеризуется относительно низкой частотой появления новых вирусов и новых мутаций старых вирусов. Антивирусное ПО обновляется регулярно, и этого оказывается достаточно, чтобы держать ситуацию под контролем. В настоящее время скорость распространения вирусов существенно возрастает под влиянием следующих технологий Интернета:

1. Интегральные почтовые системы – системы типа Lotus Notes, Microsoft Outlook. Допускают переписку с кем угодно и чего угодно.

2. Мобильные программы – технологии, подобные Java и ActiveX. Позволяют программам самостоятельно перемещаться из одной системы в другую.

В ответ на угрозу распространения вирусов, которую несут эти возможности Internet, IBM разработала прототип ЦИС. Эта система развивает технологию эмуляции, предлагает комплекс эмуляторов общего назначения и системы обнаружения вирусов.

Целью ЦИС является создание схемы быстрого реагирования, позволяющие регистрировать вирусы практически в момент их появления.

Когда новый вирус появляется в вычислительной сети организации, иммунная система находит его, анализирует, добавляет необходимые средства обнаружения этого вируса и защиты от него, удаляет вирус и передает информацию о попытке его проникновения антивирусным системам компании для того, чтобы вирус и в других местах мог быть выявлен до того, как он начнет выполняться.

Схема основных действий ЦИС:

Специальная программа, работающая на любом компьютере, выполняет мониторинг, используя различные методы эвристического анализа поведения системы и подозрительных изменений в программах, а также информации о сигнатурах известных вирусов. Обнаружив подозрительные действия, программа мониторинга отправляет копию подозрительной на предмет заражения программы машине-администратору компьютерной сети организации.

2. машина-администратор шифрует полученный образец и отправляет его центральной машине-анализатору, выполняющей анализ вируса.

Машина-анализатор создает виртуальную среду, в которой можно выполнить безопасный запуск инфицированной программы для анализа. Для этого может применяться технология программной эмуляции или создания какой либо иной защищенной среды, в которой программа может быть выполнена и изучена. Обнаружив вирус, машина-анализатор генерирует рекомендации, касающиеся вопросов идентификации и удаления вируса.

Созданные рекомендации передаются обратно машине-администратору.

Машина-администратор пересылает рекомендации инфицированной машине-клиенту.

Рекомендации рассылаются также всем другим машинам-клиентам.

Все другие подписчики системы также получат регулярные обновления антивирусных пакетов, что позволяет защищаться от новых вирусов.