Софтпанорама 1991,No.3(27) *** CRIME NEWS ***  Составитель: Н.Н. БЕЗРУКОВ
*************************************************************************

          ╔═════════════════════════════════════════════╗
          ║   К Р И М И Н А Л Ь Н А Я   Х Р О Н И К А   ║
          ╚═════════════════════════════════════════════╝

******* ВИРУС 6 МАРТА - ШУМ ПОДНЯТЫЙ ЦЕНТРАЛЬНОЙ ПРЕССОЙ ПО *************
****** ОБЪЕКТИВНОСТИ НАПОМИНАЕТ ОСВЕЩЕНИЕ СОБЫТИЙ НА УКРАИНЕ ************

     Неисповедимы пути  получения информации  центральной прессой.
Почему то по поводу вирусов пресса молчала, молчала, да вдруг про-
снулась и раздула шум вокруг сравнительно слабого и  малораспрост-
раненного на территории бывшего СНГ вируса "6 марта".
     Публикуемая информация чаще всего представляела собой  откро-
венное вранье. Например "Комсомолка" сообщила о каких-то 500  фар-
мацевтических  компаниях  (почему  фармацевтических?) пострадавших
именно от этого вируса.
                                                             Б.Н.Н.

************  О СОВРЕМЕННАЯ МЕТОДИКА ЗАЩИТЫ ОТ ВИРУСОВ ******************

     В настоящее время проблема защиты от вирусов может быть пере-
формулирована  в  виде  проблемы  минимально-необходимого   набора
средств защиты. Предлагаемая ниже схема комплексного использования
антивирусных средств не является ни единственно возможной, ни "аб-
солютно непробиваемой", однако в значительной мере отвечает  прин-
ципу "разумной достаточности". Можно рекомендовать схему, включаю-
щую  следующие  независимые  методы  и соответствующие программные
продукты:
     - архивирование по схеме неделя-месяц-год с тремя независимы-
ми комплектами архивных дискет (Fastback, Pkzip или Arj);
     - сплошной  входной  контроль  новых  программных  средств  c
помощью Aidstest,  Sos,  Scan,  -V. Принудительная вакцинация всех
получаемых дискет с помощью бутовой вакцины  VitaminB  (фактически
вакцинация состоит  в замене бут-сектора дискеты на заведомо неза-
раженный бут-сектор со специльной программой загрузки, проверяющей
"свое здоровье" при получении управления.  Такая вакцинация исклю-
чает возможность последующего  заражения  компьютера  бутовым  или
файлово-бутовым вирусом при случайной перезагрузке с вставленной в
дисковод дискеты);
     - сегментация информации на винчестере с помощью специального
дискового драйвера (Advanced Disk Manager или Disk Manager в соче-
тании с Protect Д.Гуртяка), обеспечивающая защиту системных блоков
MS DOS (MBR,  бут-сектор, FAT) от уничтожения при срабатывании ви-
руса или троянской программы,  а наиболее часто используемые прог-
раммы и компоненты MS DOS - от заражения. Пользователям, разметив-
шим винчестер с помощью Fdisk, рекомендуется использовать дисковый
кэш Dcache канадской фирмы Datamorphics Limited;
     - хранение  компонент операционной  системы и  всех программ,
вызываемых из  Autoexec.bat,  в разделе винчестера,  защищенном от
записи;
     - систематический запуск при перезагрузке или раз в сутки ре-
визора (автор рекомендует использовать Adinf версии 5.07 или более
поздней) для контроля целостности информации. Кстати, при правиль-
ном применении Adinf можно использовать и как средство  восстанов-
ления после заражения компьютера бутовыми вирусами. Для этого дос-
таточно периодически записывать создаваемые им  файлы  на  дискету
(используя соответствующий режим создания таблиц);
     - использование в качестве последнего или предпоследнего шага
Autoexec.bat ревизора памяти (Neatchk Виталия Пономаренко);
     - использование  для защиты важных файлов усиленного атрибута
Read Оnly (путем использования DR DOS 6.0 или  программы  усиления
этого атрибута в MS DOS, например File Defender Игоря Свиридова).
Вообще DR DOS 6.0 представляется автору весьма удачной  операцион-
ной системой,  и ее рекомендуется по меньшей мере попробовать  ис-
пользовать.  Имеющиеся  в  ней встроенные методы защиты логических
дисков, каталогов и файлов являются весьма полезными не только при
защите  от  вирусов,  но и для предотвращения несанкционированного
доступа к вашей информации со стороны других лиц.
     Как видно из приведенного выше описания,  предлагаемая  схема
предполагает  возведение нескольких "барьеров" на пути проникнове-
ния вируса в компьютер.  Важно понимать, что минимальные усилия по
установке  и  освоению данной схемы более чем окупаются повышением
безопасности использования компьютера.
     Не стоит верить в какие-то панацеи:  никакое средство защиты,
взятое отдельно,  не способно обеспечить уровень безопасности, со-
поставимый с комплексным использованием указанных выше средств. Ну
и, конечно, любая защита является иллюзорной при отсутствии систе-
мы архивирования, например по схеме "неделя-месяц-год".
                                                             Б.Н.Н.

********** ДИСКЕТА-ДРОЗОФИЛА КАК МЕТОД БОРЬБЫ С ВИРУСОФОБИЕЙ *****

     Как известно, имеется тенденция атрибутировать любые  наруше-
ния в функционировании компьютера заражением последнего компьютер-
ным вирусом. Это далеко не всегда так. Поскольку ко мне очень час-
то обращались и обращаются пользователи, которые подозревают,  что
в их компьютере  завелся какой-то вирус,  но которые не  уверены в
правильности этой гипотезы, я разработал достаточно простой и в то
же время весьма надежный тест, который был впервые описан в  книге
"Компьютерные вирусы" (Москва: Наука, 1991), где я его назвал "ло-
влей вируса на дискету-дрозофилу".
     Дискетой-дрозофилой будем называть копию некоторой  эталонной
дискеты со стандартными или  какими-то  специальными  исполняемыми
программами. Другими словами, это практически любая дискета с нес-
колькими исполняемыми файлами,  для которой существует  эталонная,
защищенная от записи и заведомо не являющаяся зараженной, копия.
     Основное преимущество  дискеты-дрозофилы  состоит в том,  что
исследовать дискету гораздо проще,  чем винчестер.  Таким образом,
вирус как бы "вытаскивается на свет".  Например, место, куда вирус
записал  свое тело,  легко определяется путем сравнения зараженной
дискеты с эталонной.
     Все известные  сейчас  компьютерные  вирусы заражают дискеты.
Поэтому дискета-дрозофила является одним из самых  надежных тестов
на вирус.
     В качестве дискеты-дрозофилы проще всего использовать эталон-
ную дискету с MS DOS. Она удобна тем, что заклеенный эталон для ее
создания и сравнения всегда под рукой. Это, конечно, не  исключает
создания специальной  дискеты путем  дополнительно записи  на нее,
скажем, некоторых антивирусных  программ.
     Методика использования  дискеты-дрозофилы  достаточно  проста
(для простоты будем предполагать, что дискетой-дрозофилой является
эталонная копия операционной системы). Она включает следующие шаги:
     1. Прямо  на "подозрительном" компьютере с эталонной защищен-
ной от  записи  дискеты-дрозофилы  (эталонной  копии  операционной
системы в простейшем случае) снимается копия.
     2. Не перегружая компьютера,  с полученной  копии  защищенной
дискеты-дрозофилы последовательно запускаются имеющиеся на ней ис-
полняемые программы (Хcopy, Сommand.com, Norton Commander и т.д.),
для  того,  чтобы вирус (если он действительно есть,  заразил одну
или несколько программ на полученной на предыдущем шаге копии).
     3. Выполнить "холодную" перезагрузку (клавишей RESET или вык-
лючением  питания)  компьютера  с  эталонной  защищенной от записи
дискеты с операционной системой (т.е.  с  эталонной  копии  диске-
ты-дрозофилы, в нашем случае).
     4. Выполнить  сравнение  эталонной  копии дискеты-дрозофилы и
снятой копии,  с которой запускались программы, с помощью Diskcomp
или PC Tools,  запускаемых с заклеенной эталонной дискеты с опера-
ционной системой.
     5. Если найдены различия, то вероятность того, что Ваш компь-
ютер заражен вирусом, достаточно велика и необходимо выполнить его
поиск и дезинфекцию по методике,  описанной в дополнениях к моног-
рафии "Компьютерная вирусология" (это дополнение записано  в  виде
файла дискету, прилагаемую к монографии).
     6. Если различий нет,  то необходимо вернуться к п.2 и  попы-
таться изменить дату, последовательность запуска программ и другие
описанные в  дополнении  к монографии методы "пробуждения" вируса.
Если ни один из этих приемов не привел к успеху, вероятность того,
что  ваш  компьютер  заражен вирусом,  мала по сравнению с вероят-
ностью других причин наблюдаемого аномального поведения.  То есть,
если несмотря на все усилия, дискета-дрозофила остается идентичной
эталону, то причину наблюдаемых аномалий следует искать в другом.
     Благодаря объективности  предложенной процедуры тестирования,
эксперимент с дискетой-дрозофилой является весьма удобным способом
борьбы с вирусофобией, а также ленивыми электронщиками, которые не
желая разбираться в причинах той или иной  неисправности, пытаются
сделать из компьютерных вирусов очередного "козла отпущения".

                                                             Б.Н.Н.
