История создания компьютерных антивирусов

     Содержание 

1 История  создания первых антивирусов       3

2 Типы  антивирусов          6

     2.1 Детекторы          6

     2.2 Доктора           6

     2.3 Ревизоры          7

     2.4 Фильтры          7

     2.5 Вакцины          8

3 Антивирусные  программы         9

     3.1 Антивирус Касперского        9

     3.2 Dr. Solomon's Anti-Virus               10

     3.3 Doctor Web                 11

     3.4 ADINF (Advanced Diskinfoscope)             14

     3.5 AVP (AntiViral Toolkit Pro)              17

Список использованных источников                      19

     1 История создания первых антивирусов 

     Более 25 лет компьютерные вирусы досаждают  пользователям по всему миру, и  более 25 лет антивирусные эксперты борются с ними. Однако практически  все основные антивирусные технологии были придуманы еще к середине 90-х годов, а в настоящее время наблюдается экстенсивное их развитие, включающее в себя различные технологические совершенствования.

     Антивирусы  были далеко не первым направлением в  области защиты информации. Гораздо  раньше были созданы, например, системы  контроля за доступом, защиты от взлома. Антивирусные программы в виде законченных коммерческих проектов впервые появились около 20 лет назад.

       Развитие антивирусного ПО состоит  из нескольких этапов, которые  будут рассмотрены ниже.

     Рис 1. Динамика числа вредоносных программ

     1 Первый этап

     В 80-е годы поток новых вирусов был мизерным - несколько вирусов в месяц, никаких сложностей с точки зрения программирования антивируса не было.

     В 1990 году появилось новое поколение вирусов - полиморфные вирусы, в которых отсутствовал постоянный код. И вскоре антивирусные эксперты изобрели специальные алгоритмические языки, способные распознать в зараженном файле даже полиморфный вирус.

     Параллельно с разработкой сканеров, шли и  эксперименты с другими "лекарствами". В начале 90-х были популярны программы  вакцины (или вакцинаторы). Они работали по тому же принципу, что и медицинские вакцины - делалась некая «прививка» и вирус больше не мог заражать «привитый» или вакцинированный файл.

     1992 год стал переломным годом  в эволюции антивирусных средств.  Был разработан эмулятор кода. Полиморфные вирусы после расшифровки  всегда одинаковы и нужно было  придумать нечто, что смогло  бы «снять» зашифрованную часть  и позволило добраться до постоянного  тела вируса.

     Первым  антивирусом с эмулятором стал AVP.На рубеже 1992-1993 гг. количество вирусов  перевалило за 1000. И примерно в тоже время разработчики антивирусов  задумались о том, как можно обнаруживать новые (неизвестные) вирусы. Первым антивирусом, который мог обнаруживать неизвестные  вирусы стал Lie Detector Евгения Сусликова, такие антивирусы получили название эвристические анализаторы.

     Таким образом, к середине 90-х были придуманы  и разработаны все основные технологии, которые применяются до сих пор. 

     2 Второй этап

     Развитая  многозадачность появившихся в  середине 90-х годов операционных систем подтолкнула разработчиков  к созданию таких антивирусов, которые  бы проверяли файлы на лету (при обращении к ним) - On-Access Scanner или мониторов.

     XXI век принес, пожалуй, самые большие  изменения в индустрию антивирусов - умер сам термин «вирус». На смену пришло понятие вредоносная программа.

     Постепенно  поменялась цель написание вирусов - от простого хулиганства или самоутверждения цель сместилась в область финансов и как следствие классические вирусы, заражающие файлы, практически исчезли.

     Интернет  повлиял не только на вирусы, развитие сетей повлияло и на стратегию  защиты. Стала доминировать эшелонированная  защита с обязательной защитой периметра - интернет-шлюзов и почтовых серверов. Постепенно акцент был смещен с защиты только рабочих станций именно на эти узлы защиты.

     Таким образом, можно сделать вывод, что современные антивирусные программы, являющиеся полноценными пакетами, предоставляющими в основном комплексную защиту компьютера, являются собранием всех идей и методов защиты, созданных ранее [4]. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

     2 Типы антивирусов

     2.1 Детекторы 

     Программы-детекторы  обеспечивают поиск и обнаружение  вирусов в оперативной памяти и на внешних носителях, и при  обнаружении выдают соответствующее  сообщение. Различают детекторы  универсальные и специализированные.

     Универсальные детекторы в своей работе используют проверку неизменности файлов путем  подсчета и сравнения с эталоном контрольной суммы. Недостаток универсальных  детекторов связан с невозможностью определения причин искажения файлов.

     Специализированные  детекторы выполняют поиск известных  вирусов по их сигнатуре (повторяющемуся участку кода). Недостаток таких  детекторов состоит в том, что  они неспособны обнаруживать все  известные вирусы.

     Детектор, позволяющий обнаруживать несколько  вирусов, называют полидетектором.

     Недостатком таких антивирусных про грамм  является то, что они могут находить только те вирусы, которые известны разработчикам таких программ [2]. 

     2.2 Доктора  

     Программы-доктора (фаги), не только находят зараженные вирусами файлы, но и "лечат" их, то есть удаляют из файла тело программы вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к "лечению" файлов. Среди фагов выделяют полифаги, то есть программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов.

     Учитывая, что постоянно появляются новые  вирусы, программы-детекторы и программы-доктора  быстро устаревают, и требуется регулярное обновление их версий [5]. 

     2.3 Ревизоры 

     Программы-ревизоры относятся к самым надежным средствам  защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов  и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию  пользователя сравнивают текущее состояние  с исходным. Обнаруженные изменения  выводятся на экран видеомонитора. Как правило, сравнение состояний  производят сразу после загрузки операционной системы. При сравнении  проверяются длина файла, код  циклического контроля (контрольная  сумма файла), дата и время модификации, другие параметры.

     Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут  даже отличить изменения версии проверяемой  программы от изменений, внесенных  вирусом [6]. 

     2.4 Фильтры 

     Программы-фильтры (сторожа) представляют собой небольшие  резидентные программы, предназначенные  для обнаружения подозрительных действий при работе компьютера, характерных  для вирусов. Такими действиями могут  являться:

      - попытки коррекции файлов с расширениями СОМ и ЕХЕ;

      - изменение атрибутов файлов;

      - прямая запись на диск по абсолютному адресу;

      - запись в загрузочные сектора диска;

      - загрузка резидентной программы.

     При попытке какой-либо программы произвести указанные действия "сторож" посылает пользователю сообщение предлагает запретить или разрешить соответствующее действие. Программы-фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако они не "лечат" файлы и диски. Для уничтожения вирусов требуется применить другие программы, например фаги. К недостаткам программ-сторожей можно отнести их "назойливость" (например, они постоянно выдают предупреждение о любой попытке копирования исполняемого файла), а также возможные конфликты с другим программным обеспечением [2]. 

     2.5 Вакцины 

     Вакцины (иммунизаторы) - это резидентные  программы, предотвращающие заражение  файлов. Вакцины применяют, если отсутствуют  программы-доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины  имеют ограниченное применение.

     Существенным  недостатком таких программ является их ограниченные возможности по предотвращению заражения от большого числа разнообразных  вирусов [3].  
 
 
 
 
 
 

     3 Антивирусные программы

     3.1 Антивирус Касперского 

     Антивирус Касперского (англ. Kaspersky Antivirus, KAV) - антивирусное программное обеспечение, разрабатываемое Лабораторией Касперского. Предоставляет пользователю защиту от вирусов, троянских программ, шпионских программ, руткитов, adware, а также неизвестных угроз с помощью проактивной защиты, включающей компонент HIPS. Первоначально, в начале 1990-х, именовался -V, затем - AntiViral Toolkit Pro.

     Антивирус Касперского Personal предназначен для  антивирусной защиты персональных компьютеров, работающих под управлением операционных систем Windows 98/ME, 2000/NT/XP, от всех известных  видов вирусов, включая потенциально опасное программное обеспечение. Программа осуществляет постоянный контроль всех источников проникновения  вирусов - электронной почты, интернета, дискет, компакт-дисков и т.д. Уникальная система эвристического анализа  данных эффективно нейтрализует неизвестные  вирусы. Можно выделить следующие  варианты работы программы (они могут  использоваться как отдельно, так  и в совокупности):

     - Постоянная защита компьютера - проверка всех запускаемых, открываемых и сохраняемых на компьютере объектов на присутствие вирусов.

     - Проверка компьютера по требованию - проверка и лечение как всего компьютера в целом, так и отдельных дисков, файлов или каталогов. Такую проверку вы можете запускать самостоятельно или настроить ее регулярный автоматический запуск.

     Программа создает надежный барьер на пути проникновения  вирусов через электронную почту. Антивирус Касперского Personal автоматически  осуществляет проверку и лечение  всей входящей и исходящей почтовые корреспонденции по протоколам POP3 и SMTP и эффективно обнаруживает вирусы в почтовых базах. Программа поддерживает более семисот форматов архивированных и сжатых файлов и обеспечивает автоматическую антивирусную проверку их содержимого, а также удаление вредоносного кода из архивных файлов формата ZIP, CAB, RAR, ARJ, LHA и ICE. В состав Антивируса Касперского включен специальный компонент, обеспечивающий защиту файловой системы компьютера от заражения, - Файловый Антивирус. Он запускается при старте операционной системы, постоянно находится в оперативной памяти компьютера и проверяет все открываемые, сохраняемые и запускаемые вами или программами файлы.

     Установка и использование Антивируса Касперского Personal не вызовет у вас никаких  затруднений. Настройка программы  исключительно проста за счет возможности  выбора одного из трех предопределенных уровней защиты: "максимальная защита", "рекомендуемая защита" и "максимальная скорость". Благодаря удобному интерфейсу эта программа станет лучшим помощником даже для неопытных пользователей  компьютеров.

     В Антивирусе Касперского Personal применяется  современная технология защиты от вирусов, основанная на принципах эвристического анализа второго поколения. 

     3.2 Dr. Solomon's Anti-Virus 

     Dr. Solomon's Anti-Virus был выпущен 1 марта  1997 и стал конкурировать с лидерами  рынка Symantec Norton Anti-Virus и McAfee VirusScan за конечного потребителя.

     Dr. Solomon’s Anti-Virus Toolkit — первая широко  известная антивирусная программа,  написанная английским программистом  Аланом Соломоном (Alan Solomon)в 1988. Включала в себя функции предотвращения  заражения, обнаружения вирусов,  а также, восстановление заражённых  файлов.

     После некоторой напряжённости в отношениях между двумя вышеназыванными программными продуктами, 9 июня 1998 McAfee согласилась приобрести Dr Solomon's Group P.L.C, ведущего европейского производителя антивирусного программного обеспечения, за 642 млн. долларов.

     Она завоевала огромную популярность и  просуществовала вплоть до 1998 года, когда компания Dr. Solomon была поглощена  другим производителем антивирусов - американской Network Associates Inc (NAI) [8]. 

     3.3 Doctor Web 

     В последнее время стремительно растет популярность другой антивирусной программы - Doctor Web, которую предлагает  фирма  «Диалог-Наука». Эта программа была создана в 1994 г. И. А. Даниловым. Dr.Web так  же, как и Aidstest относится к классу детекторов - докторов, но в отличие  от последнего имеет так называемый "эвристический анализатор" - алгоритм, позволяющий обнаруживать неизвестные  вирусы. "Лечебная паутина", как  переводится с английского название программы, стала ответом отечественных  программистов на нашествие самомодифицирующихся вирусов-мутантов, которые при размножении  модифицируют свое тело так, что не остается ни одной характерной цепочки  байт, присутствовавшей в исходной версии вируса. В пользу этой программы  говорит тот факт, что крупную  лицензию (на 2000 компьютеров) приобрело  Главное управление информационных ресурсов при Президенте РФ, а второй по величине покупатель "паутины" - "Инкомбанк".

     Управление  режимами также как и в Aidtest осуществляется с помощью ключей. Пользователь может  указать программе тестировать  как весь диск, так и отдельные  подкаталоги или группы файлов, либо же отказаться от проверки дисков и  тестировать только оперативную  память. В свою очередь можно тестировать либо только базовую память, либо, вдобавок, ещё и расширенную. Как и Aidstest, Doctor Web может создавать отчет о работе, загружать знакогенератор Кириллицы, поддерживать работу с программно-аппаратным комплексом Sheriff.

     Тестирование  винчестера Dr.Web-ом занимает намного  больше времени, чем Aidstest-ом, поэтому  не каждый пользователь может себе позволить тратить столько времени  на ежедневную проверку всего жесткого диска. Таким пользователям можно  посоветовать более тщательно  проверять  принесенные извне дискеты. Если информация на дискете находится  в архиве (а в последнее время  программы и данные переносятся  с машины на машину только в таком  виде; даже фирмы-производители программного обеспечения, например Borland, пакуют свою продукцию), следует распаковать  его в отдельный каталог на жестком диске и сразу же, не откладывая, запустить Dr.Web, задав ему  в качестве параметра вместо имени  диска полный путь к этому подкаталогу. И все же нужно хотя бы раз в  две недели производить полную проверку "винчестера" на вирусы с заданием максимального уровня эвристического анализа.

     Так же как и в случае с Aidstest при  начальном тестировании не стоит  разрешать программе лечить файлы, в которых она обнаружит вирус, так как нельзя исключить, что  последовательность байт, принятая в  антивирусе за шаблон может встретиться  в здоровой программе.

     Программа Dr.Web:

     -  распознает полиморфные вирусы;

     - снабжена эвристическим анализатором;

     - умеет проверять и лечить файлы в архивах;

     - позволяет тестировать файлы, вакцинированные CPAV, а также упакованные LZEXE, PKLITE, DIET.

     Фирма «Диалог-Наука» предлагает разные версии программы DrWeb для DOS. Как известно, имеются  две версии для DOS, которые традиционно  называются 16-разрядной и 32-разрядной (последняя также называется Doctor Web для DOS/386, DrWeb386). В этих названиях (16- и 32-разрядная) полностью отражена суть различия версий для DOS, однако непосредственно из названий она очевидна лишь специалистам. Лишь 32-разрядная версия обладает всеми функциональными возможностями, присущими другим современным версиям Doctor Web (в частности, версиям для Windows).

     16-разрядная  версия, в силу ограничений по  объему доступной памяти, накладываемых  операционной системой, не обладает  некоторыми крайне важными на  сегодняшний день "умениями", в  частности, в нее не включены (и в силу указанных ограничений  по памяти, не могут быть включены):

     - модули "обслуживания" известных  вирусов современных типов (в  частности, речь идет о макро-  и стелс-вирусах);

     - модули эвристического анализатора  для обнаружения неизвестных  вирусов современных типов;

     - модули распаковки современных  типов архивов и упакованных  Windows-программ и проч.

     Таким образом, хотя 16-разрядная версия использует ту же вирусную базу (VDB-файлы), что и 32-разрядные версии, отсутствие в  ней некоторых модулей делает обработку соответствующих вирусов  невозможной.

     Кроме того, в силу тех же причин, 16-разрядная  версия не поддерживает некоторые современные  программные и аппаратно-технические  средства, что может сделать ее работу неустойчивой или некорректной.

     Поскольку 32-разрядная версия является полнофункциональной  и, как видно из другого ее названия - Doctor Web для DOS/386, может использоваться при работе в DOS на компьютерах с  процессором не ниже 386, всем пользователям, нуждающимся в версии Doctor Web для DOS, лучше использовать именно ее.

     Что же касается 16-разрядной версии, то она продолжает выпускаться, поскольку  еще существует парк старых машин  на платформе 86/286, где 32-разрядная версия работать не может [9].

     3.4 ADINF (Advanced Diskinfoscope) 

     ADinf относится к классу программ-ревизоров.  Эта программа была создана  Д. Ю. Мостовым в 1991 г.

     Семейство программ ADinf – это ревизоры дисков, предназначенные для работы на персональных компьютерах под управлением  операционных систем MS-DOS, MS-Windows 3.xx, Windows 95/98 и Windows NT/2000. Работа программ основана на регулярном отслеживании изменений, происходящих на жестких дисках. В  случае появления вируса, ADinf обнаруживает его по тем модификациям, которые  он выполняет в файловой системе  и/или загрузочном секторе диска  и информирует об этом пользователя. В отличие от антивирусов-сканеров, ADinf не использует в своей работе "портретов" (сигнатур) конкретных вирусов. Поэтому ADinf особенно эффективен для обнаружения новых вирусов, противоядие для которых еще  не придумано.

     Особенно  следует отметить, что для контроля дисков ADinf не использует функции операционной системы. Он читает диск по секторам и  самостоятельно разбирает структуру  файловой системы, что позволяет  ему обнаруживать так называемые вирусы-невидимки (стелс-вирусы).

     Если  в системе установлен лечащий  блок Adinf (ADinf Cure Module), то этот тандем способен не только обнаруживать, но и успешно  удалять появившуюся заразу. Тестирование показало, что ADinf Cure Module способен успешно  справиться с 97% вирусов, восстановив  поврежденные файлы с точностью  до байта.

     Полезные  свойства ADinf не ограничиваются только лишь борьбой с вирусами. По сути ADinf является системой, позволяющей  следить за сохранностью информации на дисках и обнаруживать любые, даже малозаметные изменения в файловой системе, а именно, изменения системных  областей, изменения файлов, создание и удаление каталогов, создание, удаление, переименование и перемещение файлов из каталога в каталог. Состав контролируемой информации гибко настраивается, что позволяет ставить под контроль только то, что нужно.

     Первая  версия программы вышла в 1991 году и с тех пор ADinf заслуженно является самым популярным ревизором в  России и странах бывшего СССР. Сегодня уже трудно сосчитать  число легальных и нелегальных  пользователей ADinf. Более 2500 корпоративных  подписчиков Антивирусного комплекта  Диалог-Науки, в составе которого поставляется ADinf, защищают им свои компьютеры. Программа ADinf получила сертификаты  в Системе сертификации ГОСТ Р., Системе  сертификации средств защиты информации Министерства обороны и Сертификат Государственной технической комиссии при президенте Российской федерации (в составе Антивирусного комплекта  Диалог-Науки). Программа постоянно  совершенствуется и все время  находится на острие современных  технологий.

     Изначально  ревизор ADinf был разработан для операционной системы MS-DOS. Затем были выпущены варианты программы для Windows 3.xx и Windows 95/98/NT. Сейчас существует семейство совместимых  между собой ревизоров для  различных операционных систем. Все  варианты ADinf сегодня поддерживают файловые системы Windows 95/98, длинные имена  файлов и каталогов, разбирают внутреннюю структуру исполняемых файлов Windows 95/98 и NT.

     Итак, программа Adinf:

     - имеет высокую скорость работы;

     - способна с успехом противостоять вирусам, находящимся в памяти;

     - позволяет контролировать диск, читая его по секторам через BIOS и не используя системные прерывания DOS, которые может перехватить вирус;

     - может обрабатывать до 32000 файлов на каждом диске;

     - в отличие от AVSP, в котором пользователю приходится самому анализировать, заражена ли машина Stealth-вирусом, загружаясь сначала с винчестера, а потом с эталонной дискеты, в ADinf эта операция происходит автоматически;

     - в отличие от других антивирусов Advansed Diskinfoscope не требует загрузки с эталонной, защищённой от записи дискеты. При загрузке с винчестера надежность защиты не уменьшается;

     - ADinf имеет хорошо выполненный дружественный интерфейс, который в отличие от AVSP реализован не в текстовом, а в графическом режиме;

     - при инсталляции ADinf в систему имеется возможность изменить имя основного файла ADINF.EXE и имя таблиц, при этом пользователь может задать любое имя. Это очень полезная функция, так как в последнее время появилось множество вирусов, "охотящихся" за антивирусами (например, есть вирус, который изменяет программу Aidstest так, что она вместо заставки фирмы "ДиалогНаука" пишет: "Лозинский - пень"), в том числе и за ADinf.

     Существует  несколько вариантов ревизора Adinf для различных операционных систем. Каждый из них имеет свои особенности.

     Ревизор ADinf предназначен для операционных систем MS-DOS и Windows 95/98. Это развитие первого  варианта ревизора, созданного еще  в 1991 году. Сегодня ADinf это самое надежное средство для обнаружения как  известных, так и новых неизвестных  вирусов. Это единственный в мире ревизор, проверяющий файловую систему  чтением по секторам напрямую через BIOS компьютера.

     Ревизор ADinf for Windows предназначен для операционной системы Windows 3.xx. Ко всем свойствам ревизора ADinf этот вариант программы добавляет  удобный графический интерфейс  пользователя.

     Ревизор ADinf Pro предназначен для контроля за сохранностью особо ценной информации, например баз данных или документов, в среде операционных систем MS-DOS, Windows 3.xx и Windows 95/98. Особенностью этого  варианта программы является использование 64-битной хэш-функции для контроля целостности файлов, разработанной известной Российской фирмой ЛАН-Крипто. Использование этой хэш-функции гарантирует не только обнаружение случайных изменений файлов или изменений, вызванных вирусами, но и делает невозможным преднамеренную незаметную модификацию данных на диске.

     Ревизор ADinf32 – это 32-битное многопоточное  приложение для операционных систем Windows 95/98 и Windows NT с современным интерфейсом  пользователя. Этот вариант программы  не только обладает всеми достоинствами  других вариантов, но и содержит много  нового по сравнению с ними.

     Следует заметить, что программа Adinf хорошо интегрирована с другими программами  комплекта DSAV  фирмы «Диалог-Наука». Так, Adinf создает список новых и  измененных файлов на диске, а Aidstest и DrWeb могут проверять файлы из этого  списка, что значительно сокращает  время работы этих программ [1].