Metoda_PAZ_PC-I

81

При всех перечисленных выше симптомах, а также при других “странных” проявлениях в работе системы (неустойчивая работа, частые “самостоятельные” перезагрузки и прочее) мы настоятельно рекомендуем Вам, немедленно произвести проверку Вашей системы на наличие вирусов с помощью AVP. При этом лучше, если программа будет иметь самую последнюю версию и самые свежие обновления антивирусных баз.

7.1.4 Краткое описание и особенности пакета AVP

Эта программа – новый шаг в борьбе с компьютерными вирусами. Она представляет из себя полностью 32-разрядное приложение, оптимизированное для работы в популярной во всем мире среде Microsoft Windows 95/98/NT и использующее все ее возможности. AVP имеет удобный пользовательский интерфейс, характерный для Windows, большое количество настроек, выбираемых пользователем, а также одну из самых больших в мире антивирусных баз, что гарантирует Вам надежную защиту от огромного числа самых разнообразных вирусов.

Входе работы AVP сканирует:

Оперативную память (DOS, XMS, EMS).

Файлы, включая архивные и упакованные.

Системные сектора, содержащие Master Boot Record, загрузочный сектор (Boot-сектор) и таблицу разбиения диска (Partition

Table).

Основные особенности AVP:

Детектирование и удаление огромного числа самых разнообразных вирусов, в том числе:

полиморфных или самошифрующихся вирусов;

стелс-вирусов или вирусов-невидимок;

новых вирусов для Windows 3.XX и Windows 95;

макро вирусов, заражающих документы Word и таблицы

Excel.

Сканирование внутри упакованных файлов (модуль Unpacking

Engine).

Сканирование внутри архивных файлов (модуль Extracting

Engine).

Сканирование объектов на гибких, локальных, сетевых и CDROM дисках.

Эвристический модуль Code Analyzer, необходимый для детектирования НЕИЗВЕСТНЫХ вирусов.

Поиск в режиме избыточного сканирования.

Проверка объектов на наличие в них изменений.

83

AVP32 [имя папки] [имя файла] [/P=имя_профайла] [/S] [/W] [/N]

[/Q] [/@!=List_file] [/D]

где: [имя папки] или [имя файла] - имя папки (папок) и/или файла (файлов), которые необходимо проверить;

ключ /P=имя_профайла - означает, что AVP запустится с теми настройками, которые были записаны в профайле с именем “имя_профайла”;

ключ /S - означает, что AVP запустится сразу на сканирование;

ключ /W - включает флажок "Файл отчета" во вкладке "Настройки", т.е. обязательно будет создан файл отчета, даже если в профайле указано, что не следует создавать его;

ключ /N - означает, что при запуске программы главное окно AVP будет свернуто в иконку.

ключ /Q - означает, что сразу после окончания сканирования главное окно AVP будет закрыто и программа будет выгружена из памяти;

ключ /@[!]=listfile.txt – где listfile.txt - текстовой файл (ASCII формат)

в котором содержатся имена файлов или папок. Каждая строка этого файла должна содержать запись только об одной папке или файле. Использовать символы “*” и “?” для задания имен файлов не допускается.

В случае загрузки с этим ключом AVP сразу запустится на сканирование и будет проверять только те папки и/или файлы, которые перечислены в файле “listfile.txt”.

При добавлении символа “!”, файл “listfile.txt” со списком папок и/или файлов после окончания проверки будет удален.

Ключ /D - при использовании этого ключа, AVP32 не будет запускаться, если в этот день уже происходило сканирование и оно завершилось удачно (т.е. оно не было прервано и не было найдено вирусов).

Ключи можно использовать как вместе, так и отдельно друг от друга.

Запускать AVP на выполнение с указанными ключами можно следующим способом. Нажмите кнопку “Пуск” и выберите пункт “Выполнить...”, в появившемся окне “Запуск программы” в строке ввода укажите имя файла AVP32.EXE с необходимыми Вам ключами. Например:

AVP32 C:\MY_FILES /P=My_Settings /S /N /Q

Также в окне “Свойства” для ярлыка AVP32 в строке “Файл” можно указать необходимые Вам ключи и тогда при старте программы, с помощью ее ярлыка, AVP будет грузиться с указанными Вами ключами.

Поместив ярлык AVP в группу “Автозагрузка” Вы сможете запускать AVP автоматически сразу после загрузки Windows.

84

При использовании AVP в командном файле, после завершения его работы, можно получить следующие кода возврата (errorlevel):

0 – вирусов не обнаружено;

1 – сканирование не закончено;

2 – найдены объекты, содержащие измененный или поврежденный вирус;

3– найдены объекты, подозрительные на вирус;

4– обнаружен вирус;

5– все обнаруженные вирусы удалены;

7 – файл AVP32.EXE поврежден;

10 – внутренняя ошибка программы AVP.

7.1.5.3Анализатор кода (Code Analyzer)

Анализатор кода (эвристический сканер) проверяет коды файлов и секторов по разным ветвям алгоритма сканируемой программы на наличие вирусоподобных инструкций и выдает сообщение, если обнаружена комбинация команд, таких как открытие или запись в файл, перехват векторов прерываний и т.д.

Конечно, этот алгоритм может давать ложные срабатывания, как и любой из подобных эвристических алгоритмов, но он был протестирован на очень большом количестве файлов, и при этом не было получено ни одного действительно ложного срабатывания.

При сканировании кода Code Analyzer проверяет много ветвей алгоритма программы (включая несколько подуровней). Вследствие этого AVP работает примерно на 20% медленнее при включенном Code Analyzer, чем при выключенном. Но данный механизм определяет около 80% вирусов (включая многие шифрованные) из нашей коллекции, и мы рассчитываем, что новые неизвестные вирусы будут определяться с такой же вероятностью.

7.1.5.4Механизм распаковки исполняемых модулей

(Unpacking Engine)

В настоящее время достаточно широко распространены утилиты упаковки исполняемых файлов. Они записывают упакованный файл на диск со специальным распаковщиком. При исполнении такого файла этот распаковщик распаковывает исполняемую программу в оперативную память и запускает ее.

Пораженные вирусом файлы могут быть компрессированы такими паковщиками так же, как и неинфицированные. При сканировании обычными антивирусными программами пораженные таким образом файлы будут определяться как неинфицированные, так как тело вируса упаковано вместе с кодом программы.

85

Unpacking Engine распаковывает файлы, созданные наиболее популярными утилитами упаковки: DIET, PKLITE, LZEXE и EXEPACK различных версий, во временный файл и передает его на повторную проверку. Если внутри упакованного файла обнаружен известный вирус, то возможно его удаление. При этом исходный файл замещается распакованным и вылеченным. Механизм распаковки корректно работает и с многократно упакованными файлами.

Модуль распаковки работает также с некоторыми версиями иммунизаторов (программы защищающие выполняемые файлы от заражения путем присоединения к ним контролирующих блоков) файлов (CPAV и F-XLOCK) и шифрующих программ (CryptCOM).

Модуль Unpacking Engine будет обновляться для новых упаковщиков, шифровщиков и иммунизаторов.

7.1.5.5Механизм распаковки из архивов (Extracting Engine)

Проблема поиска вирусов в архивированных файлах (ZIP, ARJ, LHA и RAR) становится в данный момент, пожалуй, одной из самых насущных. Инфицированный файл может затаиться на несколько месяцев и даже лет, и быстро распространиться при невнимательном обращении с такими архивами. Особую опасность представляют архивы, хранящиеся на BBS.

С такой ситуацией успешно справляется механизм распаковки из архивов Extracting Engine. При сканировании архивов Extracting Engine

распаковывает файлы из архива по заданной маске во временный файл и передает его для проверки основному модулю. После проверки временный файл уничтожается.

ЗАМЕЧАНИЯ!

AVP не удаляет вирусы из архивов, а только детектирует их.

Extracting Engine не распаковывает архивы, защищенные

паролем.

AVP детектирует зараженный файл, даже если он зашифрован утилитой CryptCOM, затем упакован PKLITE и записан в архив программой PKZIP.

7.1.6Программа AVP Monitor из пакета AVP

AVP Monitor представляет собой резидентную антивирусную программу, которая постоянно находится в оперативной памяти и контролирует операции обращения к файлам и секторам. Прежде чем разрешить доступ к объекту, AVP Monitor проверяет его на наличие вируса. Таким образом он позволяет обнаружить и удалить вирус до момента реального заражения системы.

86

7.1.6.1Начало работы

После запуска AVP Monitor его иконка появляется в правом углу панели задач. Вы можете открыть главное диалоговое окно AVP Monitor нажатием левой кнопки мыши на этой иконке.

При нажатии на иконке AVP Monitor правой кнопки мыши вызывается контекстное меню, содержащее команды, наиболее часто употребляющиеся при работе с программой. А именно:

Выключить(когда AVP Monitor включен)/Включить(когда

AVP Monitor выключен) – с помощью этой команды можно выключать/включать AVP Monitor. Когда AVP Monitor выключен (при этом красная полоска на его иконке становится темной) проверка на вирусы не производится.

Установки – открыть главное окно программы;

Выход – выгрузить программу из памяти.

7.1.6.2Запуск AVP Monitor с дополнительными ключами

Если при запуске программы в командной строке указать специальный ключ /q, то AVP Monitor запустится в особом режиме, при котором будут запрещены следующие действия пользователя:

выгрузка программы из памяти (команда "Выход" в контекстном меню и кнопка "Выгрузить AVP Monitor" во вкладке "Общие" станут недоступными),

выключение AVP Monitor (команда "Выключить" в контекстном меню и установленный флажок "Включить" во вкладке "Общие" станут недоступными),

изменение любых настроек программы (все остальные опции также будут недоступными).

В этом режиме можно просматривать вкладку "Статистика", а также просмотреть установленные опции, не изменяя их.

7.1.7Краткое описание системы NOD 32 фирмы ESET

Антивирусная программа NOD 32 представляется для пользователя в виде центра управления и набора модулей. Центр управления NOD32 является центральной программой управления антивирусной системой NOD32.

Главное окно Центра управления NOD32 содержит список установленных системных модулей и их возможностей (исключение составляет сканер по требованию, значок которого доступен на рабочем столе и который также может быть запущен как запланированная задача). В главном окне доступны следующие группы:

Резидентные модули и фильтры;

87

Обновление;

Логи;

Служебные программы NOD32.

Для перемещения в пределах главного окна Центра управления использются мышь или клавиши стрелок вверх/вниз.

7.1.7.1Краткое описание системных модулей NOD32

Резидентные модули и фильтры. Система состоит из следующих резидентных модулей и фильтров:

AMON – резидентный (всегда выполняющийся в оперативной памяти) антивирусный монитор или сканер "на доступе". Автоматический запуск AMON при перезапуске компьютера - фундаментальная защита против злонамеренного кода. AMON контролирует все потенциально угрожающие действия на защищенных компьютерах, такие как открытие, выполнение, создание или переименование файлов. Эта программа является наиболее важным инструментом антивирусной защиты. AMON имеет три состояния:

Запущен и включен (загружен в память и выполняет сканирование на-доступе).

Запущен и отключен (загружен в память, но не выполняет сканирование на-доступе).

Остановлен и отключен (не загружен в память).

IMON (Интернет-монитор) – этот сканер обеспечивает первую линию защиты, контролируя интернет трафик (протокол POP3 для электронной почты и HTTP для файлов, загружаемых из интернета). Первичная роль IMON состоит в контроле входящей электронной почты. Ключевое преимущество IMON по сравнению с своим предшественником (POP3 сканером) – удобство в использовании. Фактически IMON не требует никакой настройки, так как этот модуль не зависит от клиента электронной почты. IMON работает на уровне winsock.

DMON (Монитор документов) – этот сканер обеспечивает защиту от макро вирусов в документах MS Office, работает с приложениями, использующими MS Antivirus API (например MS Office 2000 и выше, Internet Explorer 5.0 и выше). DMON обеспечивает дополнительный уровень защиты к AMON.

EMON (Email монитор) – этот сканер обеспечивает защиту от вирусов, перенесенных электронной почтой для MAPI-совместимых почтовых клиентов.

NOD32 – это сканер (также именуемый сканером "по требованию"), который используется для проверки определенных целей по запросу пользователя. Сканер NOD32 также может быть запущен с

88

использованием Центра управления NOD32 даже без вмешательства пользователя, если проверка запланирована с использованием функции Расписание/Планировщик. Вручную сканер может быть запущен щелчком по значку NOD32, расположенному на рабочем столе или через меню Пуск. Кратчайший путь вызова сканера доступен с использованием правой кнопки мыши (эта возможность должна быть выбрана во время установки системы NOD32). Главное окно сканера NOD32 содержит пять вкладок: цели сканирования, лог сканирования, действия, настройки, профили; и пять кнопок: сканировать, очистить, выход, информация о версии и справка.

Обновление. Программа обновления NOD32 обеспечивает автоматическое обновление через интернет всех системных компонентов (вирусных баз данных и исполняемых модулей). Программа обновления поддерживает следующие типы модификаций и обновлений:

Пошаговые или совокупные обновления вирусных баз данных;

Полное обновление исполняемых компонентов системы

NOD32.

Обновления базы данных выполняются “на лету” и не требуют перезапуска компьютера.

Логи. В данной системе существует три типа логов:

Лог событий – Лог событий хранит информацию о всех произошедших событиях. Он включает следующую информацию:

Время – дата и время события;

Модуль – имя модуля NOD32, который генерировал данные;

Событие – краткое описание события.

Лог вирусов – лог вирусов отображает окно, перечисляющее информацию о вирусах, обнаруженных модулями NOD32 (AMON, IMON и NMS).

Лог сканера NOD32 – Лог сканирования отображается после запуска сканера. Лог сканирования содержит ценную информацию о каждой выполненной проверке.

Служебные программы NOD32. Служебные программы включают в сеюя: расписание/планировщик, карантин, информация системы NOD32 и настройки системы NOD32.

7.1.8 Советы и рекомендации

7.1.8.1Как уберечься от компьютерных вирусов

Одним из основных методов борьбы с вирусами является, как и в медицине, своевременная профилактика. Компьютерная профилактика состоит из небольшого количества правил, соблюдение которых

89

значительно снижает вероятность заражения вирусом и утери какихлибо данных:

Обязательно делайте регулярное резервное копирование.

Покупайте дистрибутивные копии программного обеспечения

уофициальных продавцов.

Создайте системную дискету. Запишите на нее антивирусные программы. Защитите дискету от записи.

Периодически сохраняйте файлы, с которыми ведется работа, на внешний носитель, например, на дискеты.

Проверяйте перед использованием все переносимые носители. Не запускайте непроверенные файлы, в том числе полученные по компьютерным сетям.

Ограничьте круг лиц, допущенных к работе на конкретном компьютере.

Периодически проверяйте компьютер на наличие вирусов. При этом пользуйтесь свежими версиями антивирусных программ.

7.1.8.2Когда компьютер заражен

Если, не смотря на все меры предосторожности, вирус все же проникнет в компьютер, Вы всегда должны иметь надежные методы определения его наличия до возникновения побочных вирусных эффектов.

В случае обнаружения вирусной атаки, зараженный компьютер должен быть изолирован.

Если вирус найден в файле, и у вас имеется “чистая” резервная копия этого файла, то удалите зараженный файл и восстановите его с резервной копии.

Если резервной копии нет, то желательно перед тем, как начать лечение, скопировать зараженные файлы на дискеты.

Важно, чтобы антивирусные программы, используемые для проверки, были самых последних версий.

Например, запустите AVP на сканирование, сделав, описанные ниже, установки.

Во вкладке “Область” отметьте все локальные и флоппи диски (неплохо бы проверить и сетевые, если они есть, но при большом количестве и объеме сетевых дисков сканирование будет продолжаться довольно длительное время, поэтому для начала проверьте локальные и все свои рабочие флоппи диски).

Во вкладке “Объекты” установите режим тестирования оперативной памяти (“Память”), секторов дисков (“Сектора”) и файлов

(“Файлы”).

Включите режим проверки упакованных файлов (“Упакованные объекты”).

90

Если Вы недавно распаковывали файлы из архивов или получали архивы с BBS, то включите режим проверки архивов (“Архивы”), на случай если вирус проник оттуда. Для надежности лучше проверить все файлы, поэтому выберите в типе файлов радиокнопку “Все файлы”.

Во вкладке “Действия” мы рекомендуем Вам выбрать радиокнопку “Запрос на лечение”. В этом случае при обнаружении очередного инфицированного объекта на экране будет появляться диалоговое окно, в котором можно задать действия с этим объектом.

Установите флажки “Копировать в отдельную папку” (для зараженных и подозрительных объектов) - возможно, эти копии Вам еще пригодятся.

Во вкладке “Настройки” установите режимы “Предупреждения” и “Анализатор кода”. Также мы советуем создать файл отчета .

Если будут обнаружены зараженные объекты, попробуйте их лечить. К сожалению, лечение не всегда возможно, так как некоторые вирусы необратимо портят информацию. В этом случае инфицированные объекты придется удалить.

Если вирусы не обнаружены, а компьютер продолжает вести себя “странно”, установите режим “Избыточное сканирование” во вкладке “Настройки” и запустите программу снова. При этом включится механизм полного сканирования содержимого исследуемых файлов вместо стандартной обработки только “точек входа” (т.е. тех мест, где начинается обработка программ системой). Если AVP выдаст сообщения о подозрительных файлах/секторах, мы рекомендуем вам обратиться к системному программисту или в отдел технической поддержки AVP. Если вам удастся выделить файлы, зараженные неизвестными вирусами, то Вы можете передать их для детального анализа в ЗАО “Лаборатория Касперского”.

7.1.8.3Выдано сообщение о подозрительном объекте

Если AVP выдал сообщение о подозрении на заражение какоголибо объекта вирусом, то сделайте следующее:

скопируйте “подозрительные” файлы на дискету обычным способом, если подозрение выдано на какие-либо файлы;

скопируйте системные сектора, содержащие Boot-сектор (загрузочный сектор), Master Boot Record (главную загрузочную запись), Partition Table (таблицу разбиения диска), с помощью специальных программ (например “Norton Disk Edit”), если подозрение выдано на системные сектора;

каким-либо образом доставьте подозрительные объекты дистрибьюторам (дилерам), у которых Вы приобрели AVP, или непосредственно в ЗАО “Лаборатория Касперского” по адресу,