Виды антивирусных программ

Различают следующие виды антивирусных программ [85]:

– программы-фаги (сканеры);

–программы-ревизоры (CRC-сканеры);

– программы-блокировщики;

– программы-иммунизаторы.

Самыми популярными и эффективными антивирусными программами являют­ся программы-фаги (антивирусные сканеры). На втором месте по эффективности и популярности находятся программы-ревизоры (CRC-сканеры). Обычно оба ука­занных вида программ объединяют в одну универсальную антивирусную програм­му, что значительно повышает ее мощность. Применяются также различного типа блокировщики и иммунизаторы.

Программы-фаги (сканеры) используют для обнаружения вирусов метод срав­нения с эталоном, метод эвристического анализа и некоторые другие методы. Про­граммы-фаги осуществляют поиск характерной для конкретного вируса маски пу­тем сканирования содержимого оперативной памяти и файлов и при обнаружении выдают соответствующее сообщение. Программы-фаги не только находят заражен­ные вирусами файлы, но и лечат их, то есть удаляют из файла тело программы-вируса, возвращая файлы в исходное состояние. В начале своей работы програм­мы-фаги сканируют оперативную память, обнаруживают вирусы и уничтожают их и только затем переходят к лечению файлов. Среди фагов выделяют полифаги, то есть программы-фаги, предназначенные для поиска и уничтожения большого ко­личества вирусов.

Программы-фаги можно разделить на две категории: универсальные и специа­лизированные сканеры. Универсальные сканеры рассчитаны на поиск и обезврежи­вание всех типов вирусов вне зависимости от операционной системы, на работу в которой рассчитан сканер. Специализированные сканеры предназначены для обез­вреживания ограниченного числа вирусов или только одного их класса, например макровирусов. Специализированные сканеры, рассчитанные только на макровиру­сы, оказываются более удобным и надежным решением для защиты систем доку­ментооборота в средах MS Word и MS Excel.

Программы-фаги делятся также на резидентные мониторы, производящие ска­нирование «налету», и нерезидентные сканеры, обеспечивающие проверку систе­мы только по запросу. Резидентные мониторы обеспечивают более надежную за­щиту системы, поскольку они немедленно реагируют на появление вируса, в то время как нерезидентный сканер способен опознать вирус только во время своего очередного запуска.

К достоинствам программ-фагов всех типов относится их универсальность. К не­достаткам программ-фагов следует отнести относительно небольшую скорость по­иска вирусов и относительно большие размеры антивирусных баз.

Наиболее известные из программ-фагов: Aidstest, Scan, Norton Antivirus, Dr. Web. Учитывая, что постоянно появляются новые вирусы, программы-фаги быстро ус­таревают и требуется регулярное обновление версий.

Программы-ревизоры (CRC-сканеры) используют для поиска вирусов метод обнаружения изменений. Принцип работы CRC-сканеров основан на подсчете CRC-сумм (кодов циклического контроля) для присутствующих на диске фай­лов/системных секторов. Затем в базе данных антивируса сохраняются эти CRC-суммы, а также некоторая другая информация: длины файлов, даты их последней модификации и другие параметры. При последующем запуске CRC-сканеры све­ряют данные, содержащиеся в базе данных, с реально подсчитанными значениями. Если информация о файле, записанная в базе данных, не совпадает с реальными значениями, то CRC-сканеры сигнализируют о том, что файл был изменен или заражен вирусом. Как правило, сравнение состояний производят сразу после заг­рузки операционной системы.

CRC-сканеры, использующие антистелс-алгоритмы, являются довольно мощ­ным средством против вирусов: практически 100% вирусов оказываются обнару­женными почти сразу после их появления на компьютере. Однако у CRC-сканеров имеется недостаток, заметно снижающий их эффективность. CRC-сканеры не могут определить вирус в новых файлах (в электронной почте, на дискетах, в файлах, вос­станавливаемых из резервной копии или распаковываемых из архива), поскольку в их базах данных отсутствует информация об этих файлах.

К числу CRC-сканеров относится широко распространенная в России програм­ма Adinf (Advanced Diskinfoscopc) и ревизор AVP Inspector. Вместе с ADinf приме­няется лечащий модуль ADinf Cure Module (ADinfExt), который использует со­бранную ранее информацию о файлах для их восстановления после поражения неизвестными вирусами. В состав ревизора AVP Inspector также входит лечащий модуль, способный удалять вирусы.

Программы-блокировщики реализуют метод антивирусного мониторинга. Ан­тивирусные блокировщики - это резидентные программы, перехватывающие вирусоопасные ситуации и сообщающие об этом пользователю. К вирусоопасным ситуациям относятся вызовы на открытие для записи в выполняемые файлы, за­пись в загрузочные сектора дисков или главную загрузочную записью MBR жесткого диска, попытки программ остаться в памяти резидентно и т.п., то есть вызовы, которые характерны для вирусов в моменты их размножения.

При попытке какой-либо программы произвести указанные действия блокировщик посылает пользователю сообщение и предлагает запретить соответствующее действие. К достоинствам блокировщиков относится их способность обнаружи­вать и останавливать вирус на самой ранней стадии его размножения, что бывает особенно полезно в случаях, когда регулярно появляется давно известный вирус. Однако они не лечат файлы и диски. Для уничтожения вирусов требуется приме­нить другие программы, например фаги. К недостаткам блокировщиков можно отнести существование путей обхода их защиты и их «назойливость» (например, они постоянно выдают предупреждение о любой попытке копирования исполняе­мого файла).

Следует отметить, что созданы антивирусные блокировщики, выполненные в виде аппаратных компонентов компьютера. Наиболее распространенной является встро­енная в BIOS защита от записи в главную загрузочную запись MBR жесткого диска.

Программы-иммунизаторы – это программы, предотвращающие заражение файлов. Иммунизаторы делятся на два типа: сообщающие о заражении и блокирую­щие заражение каким либо типом вируса. Иммунизаторы первого типа обычно записываются в конец файлов и при запуске файла каждый раз проверяют его на изменение. У таких иммунизаторов имеется один серьезный недостаток: они не могут обнаружить заражение стелс-вирусом. Поэтому этот тип иммунизаторов практически не используется в настоящее время.

Иммунизатор второго типа защищает систему от поражения вирусом определен­ного вида. Этот иммунизатор модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженны­ми и поэтому не внедрится. Такой тип иммунизации не может быть универсаль­ным, поскольку нельзя иммунизировать файлы от всех известных вирусов. Одна­ко подобные иммунизаторы могут в качестве полумеры вполне надежно защитить компьютер от нового неизвестного вируса вплоть до того момента, когда он будет определяться антивирусными сканерами.