─ SU.VIRUS ────────────────────────────────────────────────────────── SU.VIRUS ─
 Msg  : 38 of 252                   Loc
 From : Nick Bezrukov               2:463/10.1              28 Apr 92  08:02:00
 To   : Max Krukovsky
 Subj : Проверка зараженности компьютера с помощью дискеты-дрозофилы
────────────────────────────────────────────────────────────────────────────────
                      Уважаемый Максим Круковский !

В странно датированном сообщении от <01 Jan 80> (ох эти PC XT, ох эта
лень-матушка) Вы писали:

 MK> Hello Nick!
 MK> Это не серьезно.

    Спасибо за Вашу краткую и выразительную реплику из трех слов.
"Овес нынче дорог" и поскольку с финансированием Softpanorama-I возникают
проблемы, сокращение траффика, вызванное массовым следованием Вашему примеру,
возможно, упростит ведущиеся сейчас поиски спонсоров. Хотя судя по всему
пользователей, предпочитающих не думать о последствиях запуска на весь бывший
Союз "привета Леночке" или действующих по принципу "дорвался до бесплатного,
так, если не все съем, то хоть понадкусываю" и генерящих сообщения там где надо
и не надо, Ваш пример не особенно вдохновит ;-).
    Тем не менее, с учетом Вашей реплики, мне бы хотелось пояснить некоторые
особенности сложившийся вокруг вирусов ситуации. Важный и нетривиальный ньанс
состоит, на мой взгляд, в том, что на один случай заражения вирусом приходится
как минимум еще один случай, когда пользователь ищет вирус, которого у него
заведомо нет. И последствия зачастую не менее разрушительны ;-). Определенный
вклад в это вносят некоторые разработчики антивирусных программ, в особенности
коммерческих, усугубляя страх пользователей ложными срабатываниями (VL, Scan и
др. контекстные детекторы), "страшными" подробностями в документации,
приводимыми в чисто рекламных целях и, иногда, граничащими с приемами "желтой
прессы"(в стиле "инвалид пытался изнасиловать девушку в булочной") :-), не
говоря уже об ошибках в самих программах. Как известно, контекстные детекторы
типа VL или Scan часто дают ложные срабатывания. У чересчур "доверчивых"
(например, начитавшихся документации к VL :) пользователей начинается процесс,
который я бы назвал "поиском в темной комнате черной кошки, которой там нет"...
Так что вирусофобия это довольно интересное и нетривиальное социально-
психологическое явление, сбрасывать которое со счетов нельзя. Иногда даже
возникают "псевдоэпидемии". Вот два примера:
    - псевдоэпидемия вируса Holland Girl благодаря "невинной шутке"
разработчиков Talker (масштабы всего бывшего СССР). Если бы Вам пообрывали
телефон так недельки две-три, то я почти  уверен, Вы сами бы стали пользоваться
рекомендацией провести указанный тест, как методом самозащиты. Причем
предложение провести данный тест воcпринимается даже самыми "параноидальными"
пользователями конструктивно. И, судя по практическому отсутствию повторных
звонков, срабатывает. Хотя, конечно, все это, несерьезно :-).
    - псевдоэпидемия TNTVirus. Масштабы скорее всего глобальные. Hа территории
бывшего СССР эпидемия причинила "значительные разрушения". Типичный ход событий:
пользователь звонит "специалисту", пытаясь что-то объяснить; тот чаще всего
посылает пользователя далеко (например, если пользователь говорит, что файлы
увеличились на 5 байт); по телефону аргументы специалиста выглядят не очень
убедительными и поиск фага продолжается; наконец находится AntiKot...
Дальше все ясно, но уже довольно серьезно.

    И, наконец, предложенный тест очень хорошо выявляет мутантов с
самомодифицирующимся инсталлятором и "новинки" типа DIR-1024. Я хочу
подчеркнуть, что предложенный метод работает для любого резидентного вируса,
а Лекарь, к сожалению, нет. ;-). Так, что насчет "несерьезно", возможно, Вы не
учли данную ситуацию. Или я неправ и Вы знаете более простой и универсальный
способ ?

    Защищаясь от обвинения в "несерьезности", рискну привести некоторые, на мой
взгляд, важные достоинства предложенного теста:
    - возможно тестирование на зараженность компьютера stealth (как, впрочем,
любыми резидентными вирусами) без последних версий Scan, Aidstest и иже с ними.
Более того, тест не требует вообще наличия антивирусных программ, как таковых.
Поэтому для глубинки он обладает существенными преимуществами по сравнению,
скажем, с поездками за Aidstest;
    - тест предельно прост и тестирование может быть проведено пользователем,
который умеет обращаться с PC Tools и/или Diskcopy, Diskcomp;
    - ложные срабатывания на стандартных форматах дискет отсутствуют
(на 720K и аналогичных, по-моему, возможны ложные срабатывания из-за
драйвера 800. Поэтому мне, вообще-то, следовало явно указать, что
дискеты-дрозофилы не должны иметь этот формат и нельзя использовать 800);
    - эксперимент безопасен для файловой системы и в отличие от сканирующих
программ (скажем, VL или Лекарь) не влечет опасности заражения всех исполняемых
файлов подряд (реальная опасность при запуске детектора или фага с винчестера,
если не детектируемый фагом вирус при открытии лечит зараженный файл, а после
его закрытия заражает вновь).
    Кроме того, для бутовых вирусов или вирусов с бутовой компонентой Вы сразу
получаете часть классификационного кода (если, конечно, пользоваться
предложенной мной классификацией).

    Очевидным недостатком является неспособность детектирования нерезидентных
вирусов и вирусов со сложным условием заражения. Что касается нерезидентных
вирусов, то поскольку последним нерезидентным вирусом, получившим значительное
распространение был C-648.Ven (Vienna) и, кроме того, нерезидентные вирусы не
маскируцют приращения длины, этот недостаток представляется не очень
существенным. Что касается сложного условия заражения, то такие вирусы
распространения пока не получили, хотя теоретически это наиболее слабое место
теста. о "здесь и сейчас", т.е. на существующих в настоящее время резидентных
вирусах тест работает, хотя с учетом наличия технокрыс, читающих данную
эхо-конференцию, ситуация, безусловно, может измениться в худшую сторону :-(.

    С учетом приведенных аргументов, было бы весьма интересно увидеть Ваши
контраргументы в более подробном изложении. Я надеюсь, они помогут бы мне
более четко сформулировать данную идею, ну и, конечно, любая конструктивная
критика помогает автору исправить свои ошибки или заблуждения, if any.

                                                     С уважением H.Безруков

P.S. Что-то длинно получилось, но времени сокращать нет. Впрочем, можно считать,
что 60  строк для меня сэкономил Максим и "с другом пополам" получается
нормально.

--- GoldED 2.31p+, FroDo 2.02
 * Origin: SP Editor (2:463/10.1)

