Cофтпанорама 1990, No. 7 (11)                 Составитель: Н.Н. БЕЗРУКОВ
************************************************************************
                                Данный материал приведен в данном
                                разделе скорее как своего рода курьез и 
                                может рассматриваться как пример 
                                недобросовестной рекламы


              Антивирусный пакет программ СТРАЖ версия 3.0
              ────────────────────────────────────────────

    Пакет программ СТРАЖ  обнаруживает  любые  типы  вирусов.  Принцип
обнаружения вирусов принципиально отличен от всех существующих.  СТРАЖ
расчитан не только на существующие вирусы но и  на  все  принципиально
возможные типы вирусов.
    При обнаружении  файловых  вирусов  СТРАЖ  позволяет  восстановить
командный процессор, самого себя и находит другие пораженные файлы.
    При обнаружении любых нефайловых вирусов СТРАЖ позволяет  очистить
от них ПЭВМ.

 - СТРАЖ не дает ложных тревог;
 - СТРАЖ  позволяет очистить ПЭВМ от любых вирусов;
 - время контроля ПЭВМ не превышает десяти секунд;
 - СТРАЖ не уменьшает пространство ОЗУ пользователя;
 - СТРАЖ обеспечивает гарантированное обнаружение любых вирусов;
 - СТРАЖ автоматически выделяет неизвестные  ранее  штаммы  вирусов  и
   пополняет встроенную библиотеку вирусов;
 - СТРАЖ автоматически анализирует любые штаммы вирусов и сообщает ряд
   характеристик вирусов: размер,  перечень  поражаемых  модулей  (для
   нефайловых вирусов) и типы файлов (для  файловых  вирусов),  номера
   прерываний по которым вирус получает управление.

   СТРАЖ  3.0  распространяются  на  дистрибутивной  дискете,  обеспе-
чивающей установку на оговоренное при заключении договора число ПЭВМ.

             По вопросу поставки обращаться по адресу:
               103045 Москва а/я 101.  т. 931-53-77


              Установка пакета программ СТРАЖ на ПЭВМ
              ───────────────────────────────────────

    СТРАЖ предназначен для установки на жесткий диск. На жестком диске
необходимо иметь не менее 80 КБайт свободного пространства.  Установка
пакета программ СТРАЖ должна производиться на чистую от вирусов  ПЭВМ.
Если Вы не знаете, чиста ли от вирусов Ваша ПЭВМ, действуйте так,  как
если бы она была заражена. Для установки  СТРАЖа  на  зараженную  ПЭВМ
необходимо очистить от вирусов COMMAND.COM, BIOS, BDOS,  Boot  Sector,
Main Boot Sector. Очистка указанных модулей (кроме Main  Boot  Sector)
возможна следующим образом:

 - переименуйте  файл  AUTOEXEC.BAT  в  AUTOEXEC.OLD  ( rename
   autoexec.bat *.OLD );
 - перезагрузите ПЭВМ с дистрибутивного диска MS-DOS или PC-DOS;
 - утилитой   SYS.COM   перезагрузите   DOS   ( sys c: );
 - перезапишите COMMAND.COM на жесткий диск ( copy command.com c: );
 - перезагрузите ПЭВМ с жесткого диска, и пока не установите  СТРАЖ не
   исполняйте какие-либо программы, пользуйтесь только средствами DOS.

    Очистить Main Boot  Sector  возможно  только  физическим  формати-
рованием жесткого диска.

    Последовательность действий при установке пакета программ СТРАЖ:

 - установите дистрибутивную дискету STRAG в дисковод;
 - вызовите на исполнение STRAG.EXE;
 - по запросу  программы  STRAG.EXE  укажите  диск  на  который  будет
   установлен  STRAG  (на  указанном  диске  будет  создан  подкаталог
  "STRAG", и туда будет записан пакет программ STRAG 3.0);
 - после появления на дисплее мигающего сообщения
                       ┌─────────┐
                       │ RESTART │
                       └─────────┘
   извлечь из дисковода дистрибутивный диск (Ваша ПЭВМ будет перезагру-
   жена дважды);
 - скопировать файл STRAG.VIR (библиотека вирусов) с дистрибутивного
   диска в каталог размещения пакета СТРАЖ.

      С этого момента Вы можете использовать любое п/о.

 - если вы ранее  переименовывали  файл  AUTOEXEC.BAT  в  AUTOEXEC.OLD
   восстановите его.

 - запишите последними строками в файл на жестком  диске  AUTOEXEC.BAT
   (но перед вызовом операционных оболочек типа NC, PCTOOLS, XTREE или
   PCSHELL) строки вызова программ C:\STRAG\STRAG0 и C:\STRAG\STRAG1;

   ВНИМАНИЕ  !  Работоспособна  только  версия  пакета программ  СТРАЖ
записанная при установке с дистрибутивного диска. Любая копия (даже  в
пределах того же жесткого диска) не является работоспособной.


                Работа с пакетом программ СТРАЖ
                ───────────────────────────────

    "Нормальный" режим работы - последовательный запуск на  исполнение
программ STRAG0.COM и STRAG1.EXE из файла AUTOEXEC.BAT. Для скорейшего
обнаружения вирусов рекомендуется  после  выполнения  "подозрительных"
программ запустить на исполнение  STRAG0.COM  и  STRAG1.EXE,  если  Вы
этого не сделаете то  вирус  будет  обнаружен  через  некоторое  время
(после перезапуска ПЭВМ). При обнаружении вируса  СТРАЖ  обеспечивает:
пополнение  библиотеки  вирусов  (при  обнаружении   нового   вируса),
удаление нефайловых вирусов, восстановление базовых модулей MS-DOS или
PC-DOS и поиск вирусов в исполняемых файлах с их удалением по запросу.
    При отсутствии вирусов на вашей ПЭВМ выдается сообщение "No  virus
detected".
    При обнаружении вирусов выдаются следующие сообщения и запросы:
 - Virus in your computer !  (В Вашем компьютере вирус!)
 - некоторые характеристики  вируса  (для  нефайловых  вирусов  наиме-
   нование поражаемых модулей ДОС, для файловых вирусов  типы  поража-
   емых файлов и длина тела вируса).
 - Begin virus chase ? [Y/N] (Начать  охоту  на  вирус?)  При  положи-
   тельном ответе  СТРАЖ  перезагружает  ПЭВМ  и  начинает  ликвидацию
   вирусного поражения, в противном случае управление передается ДОС.
   Далее приведены сообщения и запросы  пакета  СТРАЖ  при  ликвидации
   вирусного поражения.
 - повторный вывод на дисплей характеристик вируса (см. выше),  а  так
   же информация о нахождении в данный момент вируса в ОЗУ  и  перепи-
   санных на него номерах прерываний.
 - Kill  the  virus  in  RAM  ?  (Обезвредить  вирус  в  ОЗУ).  Запрос
   происходит только в случае, если вирус находится в ОЗУ  и  является
   активным. Обезвредить вирус в ОЗУ иногда бывает необходимо  с целью
   предотвратить его противодействие ликвидации  поражения  на  диске.
   Успешное  выполнение  данной  операции   сопровождается  сообщением
   "Successful" ("Успешно"). Попытка  обезвредить  вирус  в  ОЗУ может
   привести к зависанию ПЭВМ. Зависание связано, как правило,  с  тем,
   что файл CONFIG.SYS со времени установки СТРАЖа был изменен. В этом
   случае  СТРАЖ  выдаст  сообщение  "Unsuccess  !!!  Restart  please"
   ("Неуспешно !!! Перезагрузитесь"), пользователь должен восстановить
   исходное  состояние  файла  CONFIG.SYS.  Если  это  невозможно,  то
   необходимо отказаться от попыток обезвредить  вирус  в  ОЗУ  (ответ
   "NO").
   ВНИМАНИЕ !!! изменение файла CONFIG.SYS после установки  п/п  СТРАЖ
   делалает невозможным ликвидацию  вирусов,  способных  противодейст-
   вовать "вылечиванию". На  30.03.1990  известен  только  один  вирус
   обладающий подобными характеристиками ("Dark Avenger" - 1800 байт).
 - при поражении основного  сектора  жесткого  диска  следует  запрос:
   "Restore Main Boot Sector ?  [Y/N]"  ("Восстановить  основной  сек-
   тор?"). При положительном ответе вирус поразивший  основной  сектор
   загрузки будет ликвидирован.
 - при поражении сектора  загрузки DOS следует запрос:  "Restore  Boot
   Sector ? [Y/N]"  ("Восстановить  сектор  загрузки?").  При  положи-
   тельном ответе вирус поразивший сектор загрузки  DOS  будет  ликви-
   дирован.
 - при  поражении  командного  процессора  следует  запрос:  "Restore
   COMMAND.COM ? [Y/N]"  ("Восстановить  COMMAND.COM?").  При  положи-
   тельном ответе командный процессор будет восстановлен.
 - при поражении модулей BIOS или BDOS следует сообщение: "Reload  DOS
   from distributive disk by "SYS" utility. Insert  distributive  disk
   to drive A: and press [Enter]" ("Перезагрузите ДОС  с  дистрибутив-
   ного диска при помощи утилиты SYS. Вставьте дистрибутивный  диск  в
   дисковод A: и нажмите клавишу [Enter]"). После установки в дисковод
   дистрибутивного  диска  с  ДОС  и  нажатия  клавиши  [Enter]  СТРАЖ
   обеспечит перезагрузку операционной системы с дистрибутивного  дис-
   ка. Пользователь должен при помощи утилиты SYS.COM перезагрузить на
   жесткий диск модули БИОС и БДОС, после чего повторно  перезагрузить
   ПЭВМ с жесткого диска.
 - после восстановления основного сектора, сектора  загрузки,  команд-
   ного процессора, BDOS или BDOS (взависимости от типа  вируса) СТРАЖ
   вторично перезагружает ПЭВМ, и если обнаруженный ранее вирус спосо-
   бен поражать исполняемые файлы, пороверяет их на этот вирус, а  так
   же на все вирусы содержащиеся в библиотеке.  При обнаружении вируса
   в исполняемых файлах СТРАЖ предлагает их удалить.



          Дополнительные возможности пакета СТРАЖ
          ───────────────────────────────────────

    Вы  можете  указать  параметр  при  вызове  на  исполнение   файла
STRAG1.EXE :
 ? - вывод содержимого библиотеки вирусов.
 f - поиск вирусов по содержимому  библиотеки  вирусов.  Данный  режим
позволяет проверить любой исполняемый файл на поражение файловым виру-
сом.  Рекумендуется проверять незнакомое  Вам  п/о  перед  запуском на
исполнение.


       Взаимодействие СТРАЖа и программ обеспечивающих защиту
           от несанкционированного доступа на жесткий диск
       ──────────────────────────────────────────────────────

    В случае совместного применения программ  защиты  от  несанкциони-
рованного доступа на жесткий диск и  СТРАЖа  необходимо  помнить,  что
первоначальную установку и ликвидацию вирусного  поражения  необходимо
производить  с одним и тем же номером  и (или)  паролем  пользователя.
Номер  и  (или)  пароль  должны  обеспечивать  максимальный  приоритет
доступа на жесткий диск. При ликвидации  поражения  Main  Boot  Sector
(основного сектора жесткого диска) или Boot  Sector  (сектор  загрузки
ДОС) система защиты от несанкционированного доступа не должна  препят-
ствовать перезаписи указанных секторов.


                 Несколько слов о компьютерных вирусах
                 ─────────────────────────────────────

    Компьюторный вирус - это весьма совершенная программа, способная к
самораспространению  без  ведома  пользователя  и  даже  вопреки   его
желанию.  Вирусы  обладающают,  как  правило,   каким   либо   вредным
качеством. Программы вирусы преследуют две цели:  распространиться  на
как можно большее число компьютеров и нарушить  их  работоспособность.
Свое название эти программы получили за сходство с реальными вирусами.
Компьютерные вирусы так  же,  как  и  их  двойники  из  мира  биологии
стремятся внедриться в свои жертвы программное  обеспечение  ЭВМ,  при
этом  они  адаптируются  к  внешней  среде,  проявляя  иногда   чудеса
изворотливости. Многие компьютерные  вирусы  активно  препятствуют  их
изучению: одни  вирусы  шифруют  большую  часть  своего  тела,  другие
хитроумными способами защищают себя от отладчиков, третьи делают и  то
и другое.
    В середине 80-х, когда  персональный  компьютер  стал  незаменимым
инструментом практически во всех сферах человеческой  деятельности,  и
компьютерный   парк   перевалил   за   десять   миллионов,   поражения
компьютерным вирусом преобрели характер эпидемии.  В  Советском  Союзе
вирусная  эпидемия  началась  в  1988  году,  хотя  отдельные   случаи
наблюдались и раньше. Эпидемию вызвали вирусы трех-четырех  типов.  На
январь 1990 года, по  нашим  данным,  в  Москве  их  насчитывалось  13
типов  (модификации  одного  и  того  же  вируса  не  учитывались),  и
характерно, что темпы появления новых  вирусов  нарастают.  Проявления
"вирусного заболевания" в компьютере  могут  быть  самыми  различными.
Одни  вирусы   не   имеют   внешних   проявлений,   другие   уменьшают
произвоительность ПЭВМ, третьи разрушают в компьютере всю  информацию,
являющуюся результатом длительной работы.  Таким  образом,  вирусы  не
только доставляют много неприятных моментов пользователям ПЭВМ,  но  и
наносят значительный экономический ущерб.
    Каким образом вирусы попадают в компьютер? В СССР, где  количество
сетей невелико, носителем вирусов является гибкий диск  с  программным
обеспечением,   записанным   не   у   разработчика   или   организации
распространяющей программное обеспечение, а  у  другого  пользователя.
Обмениваясь   программами,   пользователи   способствуют   тем   самым
распространению  и  вирусов.  Вирус,  попав   на   незараженный   (или
зараженный  другим  вирусом)  компьютер,   стремиться   внедриться   в
исполняемые файлы или модули ОС. По типу распространения вирусы  можно
разделить  на  две  группы:  вирусы  распространяющиеся  через   файлы
(файловые вирусы) и нефайловые  вирусы.  Наблюдаются  файловые  вирусы
трех типов:

 - вирусы, дописывающие свое тело к исполняемым файлам типа "COM";
 - вирусы, дописывающие свое тело к исполняемым файлам типа "EXE";
 - вирусы,  использующие  комбинированный   способ   распространения.

Файловые вирусы, как правило, дописывают свое тело  в  конец  файла  и
обеспечивают получение управления при запуске пораженной программы  на
исполнение. Однако существуют вирусы, записывающие свое тело в  начало
файла.
    Из нефайловых вирусов на  начало  1990  г.  известны  два  вируса,
поражающие сектор загрузки ДОС (Boot sector).
      Имеется  реальная  возможность   появления   файловых   вирусов,
помещающих свое  тело  в  модуль  операционной  системы  BIOS,  модуль
операционной системы BDOS и  оверлеи  исполняемых  программ,  а  также
нефайловых, использующих для получения  управления  исполняемую  часть
основного сектора загрузки жесткого  диска  (Main  Boot  sector).  Как
видно, далеко не все способы поражения вирусами компьютера исчерпаны к
настоящему времени.
    Возможна  ли  диагностика   поражения   вирусом   компьютера   без
специального  программного  обеспечения?  Если  вдруг  Вы   обнаружите
увеличение  исполняемых  файлов,  то  будте  уверены,  что   в   Вашем
компьютере файловый вирус.  В  таблице  приведены  некоторые  наиболее
распространенные в Москве файловые вирусы  (нефайловые  вирусы  трудно
классифицировать,  т.к.  они  не  увеличивают  размеры  файлов  и   не
наблюдаемы средствами DOS).
 ┌───────────────────┬──────────┬────────────────────────────┐
 │ Увеличение испол- │   Тип    │     Проявление             │
 │ няемого файла при │поражаемых│                            │
 │ поражении вирусом │  файлов  │                            │
 ├───────────────────┼──────────┼────────────────────────────┤
 │   534 байт        │  .COM    │ Внешних проявлений нет     │
 │                   │          │                            │
 │   648 байт        │  .COM    │ Вводит ПЭВМ в бесконечный  │
 │                   │          │ цикл перезагрузки          │
 │                   │          │                            │
 │  1701 байт        │  .COM    │ Создает иллюзию "осыпания" │
 │                   │          │ букв                       │
 │                   │          │                            │
 │  1800 байт        │.COM .EXE │ Искажение информации в сек-│
 │                   │          │ торе со случайным номером  │
 │                   │          │                            │
 │  1339/1471 байт   │.COM/.EXE │ Внешних проявлений нет     │
 │                   │          │                            │
 │  1808/1813 байт   │.COM/.EXE │ Резкое уменьшение произво- │
 │                   │          │ дительности ПЭВМ, стирание │
 │                   │          │ файлов по 13-ым числам     │
 │                   │          │                            │
 │  2885...2891 байт │.COM .EXE │ Вирус имеет 2 модификации  │
 │                   │          │ 1 - Играет мелодию         │
 │                   │          │ 2 - Уничтожает все файлы   │
 │                   │          │     на жестком диске       │
 │                   │          │                            │
 │  2932...2948 байт │.COM .EXE │ Проявление неизвестно      │
 │                   │          │                            │
 │  3040...3168 байт │.COM .EXE │ Проявление неизвестно      │
 └───────────────────┴──────────┴────────────────────────────┘
     Определить  без   специальных   антивирусных   программ   наличие
нефайловых вирусов  до  момента  их  проявления  трудно.  К  настощему
моменту разработано несколько десятков программ-антивирусов, и тем  не
менее вирусы не ушли в историю. Чем это вызвано? Для  ответа  на  этот
вопрос  рассмотрим  принципы,  лежащие   в   основе   функционирования
антивирусных программ. Антивирусные программы можно разделить  на  три
группы.  Первая  и  самая  многочисленная  группа  включает  программы
находящие  и  обезвреживающие  ранее  изученные  вирусы.  Авторы  этих
программ постоянно находятся в поиске новых  вирусов  для  дальнейшего
пополнения своей коллекции. Проходит некоторое время,  прежде  чем  на
очередной вирус появляется средство борьбы с ним. Класическим примером
такого подхода является программа SCAN (McAfee  Associates).  Одна  из
последних версий этой антивирусной программы расчитана на  52  вируса,
однако, вирусы длинной 534 и 3040...3168 байта  она  не  обнаруживает.
Другой подход заключается в регулярном контроле  размеров  файлов,  их
контрольных сумм и модулей ДОС. Время полного контроля жесткого  диска
занимает от 5  до  20  минут  в  зависимости  от  его  размера.  Такие
программы предупреждают о любых изменениях исполняемой части  файловой
системы, дальше пользователь вынужден сам решать вызванно то или  иное
изменение действием вируса или нет.  Данный  способ  позволяет  только
предупреждать  о  наличии  вируса.  Принцип  действия  третьей  группы
антивирусных программ основан на перехватывании всех операций записи в
исполняемые  файлы,  к  этой   группе   относится   широко   известная
антивирусная программа ANTI4US. Программы этого класса  слишком  часто
запрашивают разрешение той или другой файловой  операции,  что  делает
работу утомительной, кроме того существует возможность обойти контроль
операций записи в  исполняемые  файлы  и  остаться  незамеченным  (это
"умеют" делать вирусы, увеличивающие размер файлов  на  2885...2891  и
2932...2948 байт). Ни один из перечисленных методов  в  отдельности  и
даже все методы в комплексе  не  могут  обеспечить  надежной  вирусной
защиты.
     В НТК "Полигон-Ф" была разработана программа вирусной  защиты,  в
основу которой положен принципиально иной способ обнаружения  вирусов.
Способ основан на том, что где бы вирус не находился он должен  внести
изменение в программное обеспечение ПЭВМ таким образом, чтобы получить
управление. Это изменение можно  зафиксировать,  найти  по  нему  тело
вируса, выделить его и осуществить поиск всех его копий.  Многообразие
способов получения управления кажущееся, в известных нам вирусах,  как
файловых, так и нефайловых, используются 4 способа (см. выше).  Полный
список путей получения управления насчитывает 8 способов,  и  все  они
контролируются   антивирусной   программой.   Определенные   трудности
заключаются  в  неограниченном  многообразии   реализации   конкретных
вирусов, что заставляет применять сложные алгоритмы выделения  вирусов
из пораженных программ или нефайловых модулей. Антивирусная  программа
получила  наименованние  "СТРАЖ".  Она  была  опробована  в   реальных
условиях на большом количестве ПЭВМ и  обеспечивала  обнаружение  всех
попадавших в них вирусов. Поскольку программа "СТРАЖ" реализована  без
ориентации  на  известные  типы   вирусов,   она   имеет   возможность
обнаруживать  (и  реально  обнаруживает)  вирусы  созданные  после  ее
разработки.

P.S. Зафиксирован случай поражения ПЭВМ нефайловым вирусом, получающим
управление  через  основной  сектор  загрузки  жесткого  диска.  Таким
образом, предсказанный ранее класс вирусов стал реальностью. Свое тело
вирус помещает в конец области отведенной для каталога файлов, надеясь
видимо на то, что она не  будет  заполнена  полностью.  Для  заражения
гибкого диска достаточно установить его  в  качестве  текущего.  Вирус
распространялся через сектор  загрузки  гибких  дисков  (при  этом  он
вынужден изрядно модифицировать себя). Умышленное заражение компьютера
с  установленной  программой  "СТРАЖ"  показало,   что   антивируснная
программа обнаруживает вирус и обеспечивает его ликвидацию.
