─ SU.VIRUS ────────────────────────────────────────────────────────── SU.VIRUS ─
 Msg  : 153 of 181                  Loc
 From : Nick Bezrukov               2:463/10.1              25 Apr 92  20:06:00
 To   : All
 Subj : Проверка зараженности компьютера с помощью дискеты-дрозофилы
────────────────────────────────────────────────────────────────────────────────
=============================================================================
* Forwarded by Nick Bezrukov (2:463/10.1) using GoldED 2.31p+
* Area : SOFTPANORAMA (SOFTPANORAMA)
* From : Nick Bezrukov, 2:463/10.1 (25 Apr 92 19:24)
* To   : All
* Subj : Проверка зараженности компьютера с помощью дискеты-дрозофилы
=============================================================================

******** ДИСКЕТА-ДРОЗОФИЛА КАК МЕТОД БОРЬБЫ С ВИРУСОФОБИЕЙ *******

     Как известно, имеется тенденция атрибутировать любые  наруше-
ния в функционировании компьютера заражением последнего компьютер-
ным вирусом. Это далеко  не всегда так. Поскольку  наблюдается ус-
тойчивая тенденция атрибутировать любые нарушения функционирования
компьютера наличием вируса, а возникающая при этом паника приносит
большие разрушения, чем любой реальный вирус. Классическим  приме-
ров  является  речение  с  помощью AntiKot файлов, вакцинированных
строкой "MsDos" с помощью  TNTVirus или чем-то аналогичным.
     Поэтому крайне необходим  простой и эффективный  тест проверки
зараженности компьютера. Я разработал достаточно простой и в то же
время весьма  надежный тест,  который был  впервые описан  в книге
"Компьютерные вирусы" (Москва: Hаука, 1991), где он назван "ловлей
вируса на дискету-дрозофилу".
     Дискетой-дрозофилой будем называть копию некоторой  эталонной
дискеты со стандартными или  какими-то  специальными  исполняемыми
программами. Другими словами, это некоторая дискета с  несколькими
исполняемыми файлами, для которой ОБЯЗАТЕЛЬHО существует подготов-
ленная заранее эталонная, защищенная от записи ("заклеенная")  ко-
пия. Последняя, по определению, не является зараженной.
     Основное преимущество  дискеты-дрозофилы  состоит в том,  что
исследовать дискету гораздо проще,  чем винчестер.  Таким образом,
вирус как бы "вытаскивается на свет".  Hапример, место, куда вирус
записал  свое тело,  легко определяется путем сравнения зараженной
дискеты с эталонной.
     Все известные  сейчас  компьютерные  вирусы заражают дискеты.
Поэтому дискета-дрозофила является одним из самых  надежных тестов
на зараженность компьютера вирусом и, тем самым, важным средством
борьбы с вирусофобией.
     В качестве дискеты-дрозофилы удобнее всего использовать вари-
ант эталонной загрузочной дискеты с MS DOS. За исключением случаев
самых отьявленных "гусаров" с одной стороны и самых "свежых"  чай-
ников с другой (крайности, как всегда, сходятся), заклеенный  эта-
лон для ее создания и сравнения всегда под рукой. Это, конечно, не
исключает создания  дискеты-дрозовизы специального  состава, путем
дополнительно записи на  нее, скажем, некоторых  антивирусных про-
грамм.
     Методика использования  дискеты-дрозофилы  достаточно  проста
(для простоты будем предполагать, что дискетой-дрозофилой является
эталонная копия операционной системы, возможно с некоторыми допол-
нительными программами). Она включает следующие шаги:
     1. Прямо  на "подозрительном" компьютере с эталонной защищен-
ной от  записи  дискеты-дрозофилы  (эталонной  копии  операционной
системы в простейшем случае) снимается копия.
     2. Hе перегружая компьютера,  с полученной  копии  защищенной
дискеты-дрозофилы последовательно запускаются имеющиеся на ней ис-
полняемые программы (Хcopy, Сommand.com, Norton Commander и т.д.),
для  того,  чтобы вирус (если он действительно есть,  заразил одну
или несколько программ на полученной на предыдущем шаге копии).
     3. Выполнить "холодную" перезагрузку (клавишей RESET или вык-
лючением  питания)  компьютера  с  эталонной  защищенной от записи
дискеты с операционной системой (т.е.  с  эталонной  копии  диске-
ты-дрозофилы, в нашем случае).
     4. Выполнить  сравнение  эталонной  копии дискеты-дрозофилы и
снятой копии,  с которой запускались программы, с помощью Diskcomp
или PC Tools,  запускаемых с заклеенной эталонной дискеты с опера-
ционной системой.
     5. Если найдены различия, то вероятность того, что Ваш компь-
ютер заражен вирусом, достаточно велика и необходимо выполнить его
поиск и дезинфекцию по методике,  описанной в дополнениях к моног-
рафии "Компьютерная вирусология" (это дополнение записано  в  виде
файла дискету, прилагаемую к монографии).
     6. Если различий нет,  то необходимо вернуться к п.2 и  попы-
таться изменить дату, последовательность запуска программ и другие
описанные в  дополнении  к монографии методы "пробуждения" вируса.
Если ни один из этих приемов не привел к успеху, вероятность того,
что  ваш  компьютер  заражен вирусом,  мала по сравнению с вероят-
ностью других причин наблюдаемого аномального поведения.  То есть,
если несмотря на все усилия, дискета-дрозофила остается идентичной
эталону, то причину наблюдаемых аномалий следует искать в другом.
     Одной из проблем для любого вирусолога является потери време-
ни от массы "ложных вызовов" и звонков с попытками объяснить ситу-
ацию по  телефону. Конечно  каждому пользователю  ситуация на  его
компьютере  представляется  достаточно  важной,  чтобы позвонить и
расспросить специалиста, однако  для самого специалиста  это порой
предвращается  в  настоящий  кошмар.  Поэтому предложение провести
указанный выше эксперимент и представить его результаты в виде двух
копий дискет "эталонной" и "зараженной" экономит массу времени при
общении с не очень квалифицированными или "пароноидальными" пользо-
вателями, позволяя  "отсечь" большинство ложных случаев.

     В связи в  этим мне кажется  эта идея представляет определенный
интерес для всех, кому приходится  консультировать пользователей  по
вопросам  зараженности компьютеров.

                                                             Б.H.H.

