Версия 2.2.
                                                             Н.Безруков

       П а м я т к а   п о   з а щ и т е   о т    в и р у с о в

                           I. О ВИРУСОФОБИИ

    Если вы подозреваете, что компьютер заражен каким-то вирусом, то
 возмножно причиной подозрительного поведения компьютера является
 что-то другое. Поэтому обращаться в КТЭИ по вопросам  анализа новых
 вирусов пользователи следует только после проведения теста "дискета-
 дрозофила" описанного ниже. При положительных результатах можно позво-
 нить проконсультироваться у Виталия Пономаренко (513-9424, 484-1989(д),
 или Максиму Круковскому 221-2148, 449-9767 (д). Я убедительно прошу
 придерживаться принципа:

     "либо выделенный на программе вирус + незараженная программа, либо
     две дискеты (эталонная и дрозофила) с существенными (а не в 5 бай-
     тов как для популярного псевдовируса - дописанной в  конце  строки
     "MsDos")  явными различиями при сопоставлении с помощью DiskComp".

     Дело в том,  что одной из проблем для любого  вирусолога  является
 потери  времени от массы "ложных вызовов" и звонков с попытками объяс-
 нить ситуацию по телефону.  Конечно каждому пользователю  ситуация  на
 его  компьютере  представляется  достаточно важной,  чтобы позвонить и
 расспросить специалиста,  однако  для  самого  специалиста  это  порой
 предвращается в настоящий кошмар.  Опыт показывает, что на один случай
 заражения сейчас приходится две, а то и больше "галлюцинации". Послед-
 нее  время  автору  приходится постоянно отбиваться от эпидемии вируса
 "Generic boot".  Многие пользователи получив соответствующее сообщение
 Scan не находят ничего лучшего как сразу браться за телефон.
     Поэтому предложение провести указанный выше эксперимент и предста-
 вить  его результаты в виде двух копий файлов или дискет "эталонной" и
 "зараженной" экономит массу времени при общении с не очень  квалифици-
 рованными  или  "параноидальными"  пользователями,  позволяя  "отсечь"
 большинство ложных случаев.


*                 II. О МЕТОДИКЕ ЗАЩИТЫ ОТ ВИРУСОВ,
*             ОТВЕЧАЮЩИЙ ПРИНЦИПУ РАЗУМНОЙ ДОСТАТОЧНОСТИ

   В настоящее время проблема  защиты от компьютерных вирусов  может быть
 переформулирована в виде проблемы минимальнонеобходимого набора  средств
 защиты. Крайности сходятся и "переусердствование" типа запуска  Aidstest
 в Autoexec.bat также вредно, как и полное пренебрежение всеми антивирус-
 ными средствами. Предлагаемая ниже схема комплексного использования  ан-
 тивирусных средств не является  ни единственно возможной, ни  "абсолютно
 непробиваемой", однако отвечает некоторому интуитивно определяемому кри-
 терию "разумной достаточности", который учитывает три достаточно простые
 идеи:
   - заражение может происходить только "в точках поступления дискет/про-
 грамм", т.е. обычно после записи  на винчестер и запуска новых  программ
 (часто, игр). Относительная стабилизация состава программного  обеспече-
 ния для MS DOS делает  такие "точки" достаточно редкими для  большинства
 пользователей, что определяет целесообразность использования специальной
 "стратегии" обработки и включения в каталоги новых программ/пакетов;
   - при "хорошо организованной" сегментации винчестера заражение на  мо-
 мент выявления  вируса, как  правило, является  локальным, что позволяет
 вместо фага использовать восстановление программ с архивной копии;
   - распространение вирусов подчиняется не законам распространения обыч-
 ных инфекций (типа гриппа),  а законам распространения заболеваний,  при
 которых для заражения необходим непосредственный контакт с носителем ин-
 фекции (СПИД, венерические заболевания и т. п.). Таким образом, при  на-
 личии антивирусных средств типа ревизоров, распространение нового компь-
 ютерного вируса в большинстве случаев носит локальный характер и ограни-
 чено цепочками заражения от первоначального вирусоносителя.
   Особенностью предлагаемой  методики является  использование некоторого
 "базисного" уровня защиты, практически не осложняющего работу  пользова-
 телей и дополнительных уровней, используемых только в режиме "повышенной
 опасности" или зараженности компьютера. Упрощенно рекомендуемая методика
 включает следующие независимые методы и соответствующие программные про-
 дукты, которые могут быть использованы в разных комбинациях от минималь-
 ной до максимальной (буквально следовать предлагаемым ниже "джентельмен-
 ским" наборам для каждого уровня совсем необязательно, в частности, вме-
 сто рекомендуемых  программ могут  быть использованы  другие, обладающие
 сходными или лучшими характеристиками).


        Уровень 1. Профилактические мероприятия общего характера

    При проведении профилактически мероприятий общего характера
 необходимо пользоваться пакетами утилит Norton Utilities фирмы Semantec
 7.0 или PC Tools 8.0 фирмы Cental Point Software. Наиболее уязвимыми
 являются системые блоки (MBR, бут-сектора, FAT (таблица распределения
 дискового пространства) и корневой каталог логического диска.

   1.1. Создание Backup дискеты с  копиями CMOS, MBR и бут-секторов  всех
 логических дисков  (DiskTool из  утилит Нортона  или другая  аналогичная
 программа).
   1.2. Создание "горячей коробки"  резервных дискет и "красной  папки" с
 необходимой в "кризисных ситуациях" документацией (по методике,  описан-
 ной в [1]).
   1.3. Запуск утилиты Image для всех логических дисков (кроме  виртуаль-
 ных) при каждой перезагрузке.
   1.4. Проверка целостности файловой системы и ее оптимизация(дефрагмен-
 тация файлов). Для  проверки целостности рекомендуется  использовать NDD
 (следует быть осторожным и если утилита NDD предлагает что-то исправить,
 необходимо обязательно сохранить файл с протоколом внесенных изменений с
 тем, чтобы если исправление  окажется неудачным, можно было  вернуться к
 первоначальному состоянию). Для оптимизации рекомендуется использовать
 Speedisk или OPTUNE версии 1.2. Полную оптимизацию целесообразно
 проводить не реже, чем в режиме раз в неделю, а дефрагментацию файлов -
 ежедневно (например, путем запуска при "перекуре" или перерыве на
 обед"[2]). После оптимизации все системные блоки рекомендуется сохранить
 с помощью программы MIRROR, входящей в состав MS DOS c тем, чтобы иметь
 стабильную копию системных блоков, не разрушающуюся при каждой
 перезагрузке.
   1.5. Архивирование по схеме неделя-месяц-квартал с тремя  независимыми
 комплектами архивных дискет (для полной копии рекомендуется использовать
-Fastback, для частичных - Pkzip или Arj), кассетами стриммера или флопти-
 ческими дисками. Особенно удобны флоптические дискеты, каждая из которых
 может хранить 21M, а дисководы совместимы с обычными дискетами 3.5"
   1.6. Сегментация с защищенным разделом. Сегментация винчестера на
 логические разделы с использованием не менее одного раздела, защищенного
 от записи (со статусом Read Only). Для MS DOS 5.0 наиболее простым
 методом реализации такой защиты в настоящее время представляется
 использование дискового кэша Ncache2 из пакета Norton Utilities 6.03
 (запускаемого из Config.sys). Альтернативным и в общем случае более
 гибким методом реализации сегментации с защищенными разделами является
 использование специального дискового драйвера (Disk Manager, Speed
 Store, Advanced disk manager), обеспечивающего защиту системных блоков
 MS DOS (MBR, бутсектор, FAT) от уничтожения при срабатывании вируса или
 троянской программы, а наиболее часто используемые программы и
 компоненты MS DOS - от заражения. Кроме того, эти драйверы либо сами
 (ADM), либо с помощью дополнительных программ (для Disk Manager это
 программа PROTECT Дмитрия Гуртяка) позволяют ввести парольный доступ к
 разделам винчестера.
   1.7. Организация "контролируемо-безвирусной" перезагрузки MS DOS:
 хранение компонент операционной системы и всех программ, вызываемых из
 Autoexec.bat, в разделе винчестера, защищенном от записи. Использование
 для контроля перезагрузки ревизора памяти Neatchk В.В.Пономаренко (в
 качестве последнего или предпоследнего - перед запуском NC или другой
 оболочки - шага Autoexec.bat).
   1.8. Отслеживание изменений в режиме "раз в сутки". Систематический
 запуск при каждой перезагрузке или раз в сутки ревизора Adinf версии
 8.13 или более поздней (необходим режим переименования создаваемых Adinf
 файлов) с обязательным переименованием создаваемых им файлов и
 размещением их вне корневого каталога диска С. Рекомендуется также
 хранить дополнительную копию дистрибутива Adinf в защищенном от записи
 разделе винчестера.


               Уровень 2. Режим "повышенной бдительности"
                  (при получении новых программ/дискет)

   2.1. Принудительная вакцинация всех получаемых дискет с помощью
 бутовой вакцины VitaminB (фактически вакцинация состоит в замене
 бут-сектора дискеты на заведомо незараженный бут-сектор со специальной
 программой загрузки, проверяющей "свое здоровье" при получении
 управления). Желательно, чтобы переход к просмотру диска А выполнялся
 путем запуска пакета, скажем, с именем AA, который включал бы указанную
 операцию. Такая вакцинация исключает возможность последующего заражения
 компьютера бутовым или файлово-бутовым вирусом при случайной
 перезагрузке с вставленной в дисковод дискеты, хотя, конечно, более
 радикальным способом представляется перепрошивка BIOS на один из более
 современных - имеющих в процедуре Setup режим установки устройства для
 начальной загрузки.
   2.2. Сплошной входной контроль новых программных средств c помощью ба-
 тареи детекторов-фагов (рекомендуются Aidstest, Sos, Scan, -V) с предва-
 рительной распаковкой архивов и, что несколько более трудоемко, но пред-
 ставляется полезным, разжатием обработанных PKLITE (и аналогами) файлов.
   2.3. Использование резидентного детектора Inspector Евгения  Сусликова
 в сочетании  с программой  усиления атрибута  Read Оnly  (DR DOS 6.0 или
 специальная утилита для усиления этого атрибута в MS DOS 5.0: автор  ре-
 комендует программу File Defender Игоря Свиридова).
   2.4. Использование  хотя бы  примитивного режима  карантина для  новых
 программ. Запись новых программ/пакетов на отдельный раздел  винчестера.
 Защита всех других разделов от записи перед первым (несколькими первыми)
 запуском. Дополнительные контрольные запуски  Adinf+ Neatchk до и  после
 нескольких первых  сеансов работы  с новым  программным средством (мини-
 мальный карантинный режим).


          Уровень 3. Ситуация обнаружения вируса на винчестере

    При обнаружении вируса самым опасным является не сам вирус, а часто
 возникающая при его обнаружении паника, которая при непродуманных
 действий может привести к разрушительным последствиям. Рекомандуемая
 последовательность действий приводится ниже.

   3.1. Приостановка записи на винчестер и защита всех разделов винчесте-
 ра от записи с помощью кэша или драйвера. Переход к загрузке с  защищен-
 ной от записи эталонной дискеты с операционной системой.
   3.2. В сомнительных случаях (вирусофобия, Stealth-вирусы) контроль на-
 личия вируса  с помощью  теста "дискета-дрозофила".
   3.3. Определение "очага поражения" с помощью Adinf, запускаемого с за-
 щищенной от записи дискеты.  Эта рекомендация требует пояснения.  Дело в
 том, что ADinf рассчитан на работу в зараженной среде и прекрасно  обна-
 руживает вирусы, будучи запущенным  с винчестера, поскольку читает  диск
 напрямую через BIOS. При  этом ADinf использует запомненный  ранее адрес
 обработчика прерывания Int 13h в BIOS. При запуске его с заклеенной дис-
 кеты ADinf будет вынужден снова определять этот адрес, что является  до-
 полнительным источником возможных неприятностей в том случае, если акти-
 вный вирус  пытается противодействовать  антивирусам. С  другой стороны,
 запускать какие-либо программы с зараженного винчестера опасно,  поэтому
 действительно после обнаружения вируса надо загрузить чистую  операцион-
 ную систему и запустить ADinf с заклеенной дискеты, но при запуске необ-
 ходимо задать  ключ -Setup:<Path>  (например -Setup:C:\VD\),  где Path -
 полный путь каталога, в котором был записан ADinf, используемый на маши-
 не. Этот ключ был  введен, начиная с версии  ADinf 7.03. При этом  будут
 использованы найденный ранее адрес вектора 13h, а также выбранная  ранее
 конфигурация ADinf (список расширений, типы контрольных сумм и т.д.).
   3.4. Уничтожение или запись дискету(ы) всех зараженных программ,  а
 затем выгрузка "чистых" файлов с помощью Fastback (Fastback + backup как
 самый универсальный фаг). Предварительно желательно убедиться по справке
 в наличии незараженной копии.
   3.5. В случае отсутствия незараженной резервной копии той или иной
 программы использование лечащего блока Adinf или полифага(Aidstest,
 Clean и т.д.). В некоторых случаях оправдано написание собственного фага
 (при этом "лечение" должно проводиться не на "живом" винчестере, а на
 дискете с предварительно переписанными зараженными программами и после
 перезагрузки с эталонной защищенной от записи дискеты с операционной
 системой).
   3.6. Контроль целостности данных: проверка сохранности данных на  слу-
 чай наличия в вирусе троянских компонент и, при необходимости, использо-
 вание специальной методики восстановления поврежденных вирусом файлов  и
 баз данных.

     Уровень 4. Ситуация после уничтожения вируса на Вашем компьютере

    4.1. Информирование коллег о возможном заражении конкретным типом
 вируса и создании "дежурной" заклеенной дискеты с подходящим фагом.
    4.2. Возможно более полная и тщательная проверка и дезинфекция всех
 имеющихся дискет, включая дискеты пользователей, которые в период
 заражения так или иначе могли использовать сови дискеты в данном
 компьюетере. Это очень важный этап и его важность возрастает с вростом
 размера организации. При несоблюдении этой рекомендации в больших
 организация наблюдается так называемый "эффект оседания", когда
 компьютеры постоянно перезаражаются пользователями с их личных дискет
 пользователей.
    4.3. Переход к более частому резервированию информации на компьютере
 и уделичение количества резервных копий с трех до, скажем, пяти.



*   III. Тестирование компьютера на зараженность вирусом  с помощью
                            дискеты-дрозофилы

   В последнее время отмечается тенденция атрибутировать любые  нарушения
 в функционировании компьютера  заражением последнего компьютерным  виру-
 сом. Это далеко не всегда так. Однако возникающая при этом паника прино-
 сит большие разрушения, чем любой реальный вирус. Классическим  примером
 являются так называемые "псевдоэпидемии", возникащие в результате ложно-
 го срабатывания одной из  антивирусных программ на некоторых  фрагментах
 совершенно нормальных программ или, что гораздо хуже, на результаты  ра-
 боты другой  антивирусной программы.  Например, устаревшая  антивирусная
 программа AntiKot (которую  некоторые пользователи, к  сожалению, хранят
 из-за красивых звуковых эффектов при ее работе) диагностирует все файлы,
 в конце которых  дописана строка "MsDos",  как зараженные вирусом  Time.
 Однако эта строка отнюдь  не является устойчивым признаком  зараженности
 программы этим вирусом. Более того, довольно популярная на заре  появле-
 ния вирусов в СССP антивирусная программа TNTVirus дописывает эту строку
 в конец файлов в так называемом режиме вакцинирования. Не слишком квали-
 фицированные пользователи тратят массу времени и сил на борьбу с несуще-
 ствующм вирусом Time, хотя на самом деле получаемая ими диагностика  яв-
 ляется результатом взаимодействия двух антивирусных программ: TNTVirus и
 AntiKot.
   Поэтому крайне необходим простой и эффективный тест проверки  заражен-
 ности компьютера. Наиболее простым и надежным представляется разработан-
 ный автором тест, получивший название "ловли вируса на дискету -  дрозо-
 филу".
   Дискетой-дрозофилой будем называть копию некоторой загружаемой дискеты
 с MS DOS  той версии, которая  используется на компьютере  и несколькими
 стандартными  или  какими-то  специальными  драйверами  (например   Disk
 Manager ) и несколькими исполняемыми программами. Набор последних должен
 быть достаточно  разнообразен и,  желательно, ключать  Norton Commander.
 Другими словами, это некоторая системная дискета с несколькими исполняе-
 мыми файлами, для которой обязательно существует подготовленная  заранее
 эталонная, защищенная от записи ("заклеенная") копия. Последняя, по  оп-
 ределению, не является зараженной.
   Основное преимущество дискеты-дрозофилы состоит в том, что исследовать
 дискету гораздо проще, чем винчестер. Таким образом, вирус как бы "выта-
 скивается на свет". Например, место, куда вирус записал свое тело, легко
 определяется путем сравнения зараженной дискеты с эталонной.
   Все  известные  сейчас  компьютерные  вирусы заражают дискеты. Поэтому
 дискета-дрозофила является  одним из  самых надежных  тестов на заражен-
 ность компьютера вирусом, в том числе стелс-вирусами и полиморфными  ви-
 русами и, тем самым, важным средством борьбы с вирусофобией.
   Методика использования дискеты-дрозофилы достаточно проста и  включает
 следующие шаги:
   1. Прямо на "подозрительном" компьютере с эталонной защищенной от  за-
 писи дискеты-дрозофилы (эталонной копии операционной системы в  простей-
 шем случае) снимается копия.
   2. Компьютер перегружается с полученной копии защищенной  дискеты-дро-
 зофилы.
   3. В течение некоторого  времени работа на компьютере  выполняется как
 обычно, но COMMAND.COM, NC и другие программы (например, XCOPY) грузятся
 с дискеты-дрозофилы, для того, чтобы вирус (если он действительно  есть,
 заразил одну или несколько программ на копии эталонной дискеты).
   4. Выполняется "холодная" перезагрузка (клавишей RESET или выключением
 питания) компьютера с эталонной защищенной от записи дискеты с  операци-
 онной системой (т.е.  с эталонной копии  дискеты-дрозофилы в нашем  слу-
 чае).
   5. Выполняется  сравнение эталонной  копии дискеты-дрозофилы  и снятой
 копии, с которой запускались программы, с помощью Diskcomp или PC Tools,
 запускаемых с заклеенной эталонной дискеты с операционной системой.
   6. Если найдены различия, то вероятность того, что Ваш компьютер зара-
 жен вирусом, достаточно велика и необходимо выполнить его поиск и дезин-
 фекцию по методике, описанной  в дополнениях к монографии  "Компьютерная
 вирусология"(это дополнение записано в виде файла на дискету,  прилагае-
 мую к монографии).
   7. Если различий нет, то необходимо вернуться к п.2 и попытаться изме-
 нить дату, последовательность запуска программ и другие известные методы
 "пробуждения" вируса. Если ни один  из этих приемов не привел  к успеху,
 вероятность того, что компьютер заражен вирусом, мала по сравнению с ве-
 роятностью других  причин наблюдаемого  аномального поведения.  То есть,
 если несмотря на все усилия, дискета-дрозофила остается идентичной  эта-
 лону, то причину наблюдаемых аномалий следует искать в другом.


                        Дополнительные замечания

   Как видно из приведенного выше описания, предлагаемая схема  предпола-
 гает возведение  нескольких "барьеров"  на пути  проникновения вируса  в
 компьютер. Важно понимать, что даже в минимальном (первом) варианте фак-
 тически предлагается:
   - сегментировать винчестер с выделением одного раздела защищенного  от
 записи;
   - организовать систематическое резервирование хранимой на жестком дис-
 ке информации с использованием трех комплектов дискет (или стриммер);
   - использовать всего  две дополнительные программы  общего назначения:
 кэш(дисковый драйвер), обеспечивающий защиту выделенного раздела жестко-
 го диска  от записи,  и ревизор,  контролирующий целостность исполняемых
 файлов и системных блоков.
   Несмотря  на  столь  незначительные  изменения в составе используемого
 программного обеспечения данная схема обеспечивает существенное  улучше-
 ние безопасности программ и данных.
   Данная методика  является альтернативой  "гонке за  последней версией"
 того или иного полифага(например Aidstest), которая получила распростра-
 нение у части  пользователей и, как  представляется автору, является  не
 совсем конструктивным использование сил и средств.
   Хочу  подчеркнуть,  что  не  стоит  верить в какие-то панацеи: никакое
 средство защиты, взятое отдельно, не способно обеспечить уровень безопа-
 сности,  сопоставимый  с   комплексным  использованием  указанных   выше
 средств. Любое средство может быть "сломано" путем использования в виру-
 се новых методов проникновения (ситуация "снаряд-броня" с последним при-
 мером в виде вируса Dir). Ну и, конечно, любая защита является  иллюзор-
 ной при отсутствии системы архивирования, например по схеме  "неделя-ме-
 сяц-квартал".
     Следует особо подчеркнуть, что роль "человеческого фактора" предста-
 вляется не менее важной,  чем набор используемых средств,  поэтому любые
 формы повышения квалификации пользователей являются одновременно метода-
 ми улучшения вирусозащищенности компьютеров, причем зачастую куда  более
 эффективными, чем  любые коммерческие  "панацеи".
   В заключение следует отметить, что не менее важной, чем проблема защи-
 ты от вирусов является проблема восстановления повреждений файловой сис-
 темы MS  DOS или  отдельных файлов  (например, DBF-файлов  или архивов).
 Именно эта проблема привлекла последнее время внимание автора и возможно
 в будущем данные рекомендации будут расширены в указанном направлении.


                               Литература

   1. Безруков Н.Н. Компьютерные вирусы.- М.: Наука, 1991.- 159 с.
   2. Безруков  Н.Н. Компьютерная  вирусология.- Киев:  Укр. сов. энцик.,
1991. - 416 с.
