4.3. Методы определения полиморфных – вирусов

На рис. 1 показана работа программы, информированной вирусом (а), и программы, информированной зашифрованным вирусом (б). В первом случае схема работы вируса выглядит следующим образом: идет выполнение программы, в какой –то момент начинает выполнятся код вируса и затем опять идет выполнение программы. В случае с зашифрованной программой все сложнее.

Идет выполнение программы, потом включается дешифратор, который расшифровывает вирус, затем отбрасывает вирус и опять идет исполнение кода основной программы. Код вируса в каждом случае зашифрован по разному. Если в случае нешифрованного вируса эталонное сравнение позволяет «узнать» вирус по некоторой постоянной сигнатуре, то в зашифрованном виде сигнатура не видна. При этом искать дешифратор практически невозможно, поскольку он очень маленький и детектировать такой компактный элемент бесполезно, потому что резко увеличивается количество ложных срабатываний.

В подобном случае прибегают к технологии эмуляции процессора (антивирусная программа эмулирует работу процессора для того, чтобы проанализировать исполняемый код вируса). Если обычно условная цепочка состоит из трех основных элементов: ЦПУ = ОС = . Программа (рис.2), - то при эмуляции процессора в такую цепочку добавляется эмулятор, о котором программа ничего не знает и, условно говоря, «считает», что она работает с центральной оперативной системой. Таким образом, эмулятор как бы воспроизводит работу программы в некотором виртуальном пространстве или реконструирует ее оригинальное содержимое. Эмулятор всегда способен прервать выполнение программы, контролирует ее действия, не давая ничего испортить, и вызывает антивирусное сканирующее ядро.

4.4. Эвристический анализ

Для того чтобы размножаться, вирус должен совершать какие – то конкретные действия: копирование в память, запись в сектора, и т. д. Эвристический анализатор (который является частью антивирусного ядра) содержит список таких действий, просматривая выполняемый код программы, определяет, что она делает, исходя из этого приходит к выводу, является ли данная программа вирусом или нет. Принципиальное отличие эвристического анализатора от поведенческого блокиратора состоит в том, что последний не рассматривает программу как набор команд. Блокиратор отслеживает действия программы в процессе ее работы, а эвристический анализатор начинает работу до выполнения программы. Первый эвристический анализатор появился в начале 90–х годов.

5. Программа-полифаг Aidstest

В нашей стране, как уже было сказано  выше,  особую  популярность приобрели антивирусные программы, совмещающие в  себе  функции детекторов и докторов. Самой известной из них является программа AIDSTEST Д.Н. Лозинского. В Украине  практически  на  каждом IBM-совместимом персональном компьютере есть одна из версий этой программы. Одна из последних версия обнаруживает более 8000 вирусов.

Aidstest для  своего  нормального  функционирования  требует, чтобы в памяти не было резидентных антивирусов,  блокирующих  запись в программные файлы, поэтому их следует выгрузить, либо, указав опцию выгрузки самой резидентной программе, либо  воспользоваться соответствующей утилитой.

При запуске Aidstest проверяет себя оперативную память на наличие известных ему вирусов и обезвреживает их. При этом  парализуются только функции вируса, связанные с размножением, а  другие побочные эффекты могут оставаться. Поэтому программа после  окончания обезвреживания вируса в памяти выдает запрос о  перезагрузке. Следует обязательно последовать этому совету, если оператор ПЭВМ не является системным программистом, занимающимся изучением свойств вирусов. При чем следует перезагрузиться  кнопкой  RESET, так как при "теплой перезагрузке" некоторые вирусы  могут  сохраняться. Вдобавок,  лучше  запустить  машину  и  Aidstest  с  защищённой от записи дискеты, так как  при  запуске  с  зараженного диска вирус может записаться в память  резидентом  и  препятствовать лечению.

Aidstest тестирует свое тело на наличие известных вирусов,  а также по искажениям в своем коде судит о своем заражении неизвестным вирусом. При этом возможны случаи ложной  тревоги,  например  при сжатии антивируса упаковщиком. Программа не имеет графического интерфейса, и режимы ее  работы задаются с помощью ключей. Указав путь, можно проверить не весь диск, а отдельный подкаталог.

Как показала практика, самый оптимальный режим  для  ежедневной работы задается ключами /g (проверка всех файлов, а не только с расширением EXE,COM,SYS) и /s (медленная проверка). Увеличение времени при таких опциях практически не ощутимо, зато вероятность обнаружения на порядок выше.

При обычном тестировании не следует ставить ключ /f (исправление зараженных программ и стирание не  подлежащих  восстановлению), даже с ключом /q (выдавать запрос об удалении файла), поскольку любая программа, в том числе и антивирусная, не  застрахована  от  ошибок.  Ключ  /f  следует  использовать  тогда,  когда Aidstest, а также другие антивирусы указывают на наличие вируса в каком-либо файле. При этом следует перезапустить компьютер с  защищённой от записи дискеты, так как система может  быть  заражена резидентным вирусом, и тогда лечение будет неэффективным, а то и просто опасным. При обнаружении вируса в ценном файле следует переписать его на дискету, а ещё лучше - на электронный, диск и там попытаться вылечить с помощью указания Aidstest-у опции /f. Если попытка не увенчается успехом, то надо удалить все зараженные копии файла и проверить диск снова. Если в файле содержится  важная информация, которую стирать жалко, то можно заархивировать файл  и подождать выхода новой версии Aidstest  или  другого  антивируса, способной лечить этот тип вируса. Для  ускорения  процесса  можно направить зараженный файл в качестве образца Лозинскому.

Для создания в файле протокола работы программы Aidstest служит ключ /p. Протокол оказывается нужным,  когда пользователь не успевает просмотреть имена зараженных файлов. Для поддержки антивирусного программно - аппаратного комплекса Sheriff, служит ключ /z.

5.1. Сводная таблица антивирусных программ