История создания компьютерных антивирусов

     В Антивирусе Касперского Personal применяется  современная технология защиты от вирусов, основанная на принципах эвристического анализа второго поколения. 

     3.2 Dr. Solomon's Anti-Virus 

     Dr. Solomon's Anti-Virus был выпущен 1 марта  1997 и стал конкурировать с лидерами  рынка Symantec Norton Anti-Virus и McAfee VirusScan за конечного потребителя.

     Dr. Solomon’s Anti-Virus Toolkit — первая широко  известная антивирусная программа,  написанная английским программистом  Аланом Соломоном (Alan Solomon)в 1988. Включала в себя функции предотвращения  заражения, обнаружения вирусов,  а также, восстановление заражённых  файлов.

     После некоторой напряжённости в отношениях между двумя вышеназыванными программными продуктами, 9 июня 1998 McAfee согласилась приобрести Dr Solomon's Group P.L.C, ведущего европейского производителя антивирусного программного обеспечения, за 642 млн. долларов.

     Она завоевала огромную популярность и  просуществовала вплоть до 1998 года, когда компания Dr. Solomon была поглощена  другим производителем антивирусов - американской Network Associates Inc (NAI) [8]. 

     3.3 Doctor Web 

     В последнее время стремительно растет популярность другой антивирусной программы - Doctor Web, которую предлагает  фирма  «Диалог-Наука». Эта программа была создана в 1994 г. И. А. Даниловым. Dr.Web так  же, как и Aidstest относится к классу детекторов - докторов, но в отличие  от последнего имеет так называемый "эвристический анализатор" - алгоритм, позволяющий обнаруживать неизвестные  вирусы. "Лечебная паутина", как  переводится с английского название программы, стала ответом отечественных  программистов на нашествие самомодифицирующихся вирусов-мутантов, которые при размножении  модифицируют свое тело так, что не остается ни одной характерной цепочки  байт, присутствовавшей в исходной версии вируса. В пользу этой программы  говорит тот факт, что крупную  лицензию (на 2000 компьютеров) приобрело  Главное управление информационных ресурсов при Президенте РФ, а второй по величине покупатель "паутины" - "Инкомбанк".

     Управление  режимами также как и в Aidtest осуществляется с помощью ключей. Пользователь может  указать программе тестировать  как весь диск, так и отдельные  подкаталоги или группы файлов, либо же отказаться от проверки дисков и  тестировать только оперативную  память. В свою очередь можно тестировать либо только базовую память, либо, вдобавок, ещё и расширенную. Как и Aidstest, Doctor Web может создавать отчет о работе, загружать знакогенератор Кириллицы, поддерживать работу с программно-аппаратным комплексом Sheriff.

     Тестирование  винчестера Dr.Web-ом занимает намного  больше времени, чем Aidstest-ом, поэтому  не каждый пользователь может себе позволить тратить столько времени  на ежедневную проверку всего жесткого диска. Таким пользователям можно  посоветовать более тщательно  проверять  принесенные извне дискеты. Если информация на дискете находится  в архиве (а в последнее время  программы и данные переносятся  с машины на машину только в таком  виде; даже фирмы-производители программного обеспечения, например Borland, пакуют свою продукцию), следует распаковать  его в отдельный каталог на жестком диске и сразу же, не откладывая, запустить Dr.Web, задав ему  в качестве параметра вместо имени  диска полный путь к этому подкаталогу. И все же нужно хотя бы раз в  две недели производить полную проверку "винчестера" на вирусы с заданием максимального уровня эвристического анализа.

     Так же как и в случае с Aidstest при  начальном тестировании не стоит  разрешать программе лечить файлы, в которых она обнаружит вирус, так как нельзя исключить, что  последовательность байт, принятая в  антивирусе за шаблон может встретиться  в здоровой программе.

     Программа Dr.Web:

     -  распознает полиморфные вирусы;

     - снабжена эвристическим анализатором;

     - умеет проверять и лечить файлы в архивах;

     - позволяет тестировать файлы, вакцинированные CPAV, а также упакованные LZEXE, PKLITE, DIET.

     Фирма «Диалог-Наука» предлагает разные версии программы DrWeb для DOS. Как известно, имеются  две версии для DOS, которые традиционно  называются 16-разрядной и 32-разрядной (последняя также называется Doctor Web для DOS/386, DrWeb386). В этих названиях (16- и 32-разрядная) полностью отражена суть различия версий для DOS, однако непосредственно из названий она очевидна лишь специалистам. Лишь 32-разрядная версия обладает всеми функциональными возможностями, присущими другим современным версиям Doctor Web (в частности, версиям для Windows).

     16-разрядная  версия, в силу ограничений по  объему доступной памяти, накладываемых  операционной системой, не обладает  некоторыми крайне важными на  сегодняшний день "умениями", в  частности, в нее не включены (и в силу указанных ограничений  по памяти, не могут быть включены):

     - модули "обслуживания" известных  вирусов современных типов (в  частности, речь идет о макро-  и стелс-вирусах);

     - модули эвристического анализатора  для обнаружения неизвестных  вирусов современных типов;

     - модули распаковки современных  типов архивов и упакованных  Windows-программ и проч.

     Таким образом, хотя 16-разрядная версия использует ту же вирусную базу (VDB-файлы), что и 32-разрядные версии, отсутствие в  ней некоторых модулей делает обработку соответствующих вирусов  невозможной.

     Кроме того, в силу тех же причин, 16-разрядная  версия не поддерживает некоторые современные  программные и аппаратно-технические  средства, что может сделать ее работу неустойчивой или некорректной.

     Поскольку 32-разрядная версия является полнофункциональной  и, как видно из другого ее названия - Doctor Web для DOS/386, может использоваться при работе в DOS на компьютерах с  процессором не ниже 386, всем пользователям, нуждающимся в версии Doctor Web для DOS, лучше использовать именно ее.

     Что же касается 16-разрядной версии, то она продолжает выпускаться, поскольку  еще существует парк старых машин  на платформе 86/286, где 32-разрядная версия работать не может [9].

     3.4 ADINF (Advanced Diskinfoscope) 

     ADinf относится к классу программ-ревизоров.  Эта программа была создана  Д. Ю. Мостовым в 1991 г.

     Семейство программ ADinf – это ревизоры дисков, предназначенные для работы на персональных компьютерах под управлением  операционных систем MS-DOS, MS-Windows 3.xx, Windows 95/98 и Windows NT/2000. Работа программ основана на регулярном отслеживании изменений, происходящих на жестких дисках. В  случае появления вируса, ADinf обнаруживает его по тем модификациям, которые  он выполняет в файловой системе  и/или загрузочном секторе диска  и информирует об этом пользователя. В отличие от антивирусов-сканеров, ADinf не использует в своей работе "портретов" (сигнатур) конкретных вирусов. Поэтому ADinf особенно эффективен для обнаружения новых вирусов, противоядие для которых еще  не придумано.

     Особенно  следует отметить, что для контроля дисков ADinf не использует функции операционной системы. Он читает диск по секторам и  самостоятельно разбирает структуру  файловой системы, что позволяет  ему обнаруживать так называемые вирусы-невидимки (стелс-вирусы).

     Если  в системе установлен лечащий  блок Adinf (ADinf Cure Module), то этот тандем способен не только обнаруживать, но и успешно  удалять появившуюся заразу. Тестирование показало, что ADinf Cure Module способен успешно  справиться с 97% вирусов, восстановив  поврежденные файлы с точностью  до байта.

     Полезные  свойства ADinf не ограничиваются только лишь борьбой с вирусами. По сути ADinf является системой, позволяющей  следить за сохранностью информации на дисках и обнаруживать любые, даже малозаметные изменения в файловой системе, а именно, изменения системных  областей, изменения файлов, создание и удаление каталогов, создание, удаление, переименование и перемещение файлов из каталога в каталог. Состав контролируемой информации гибко настраивается, что позволяет ставить под контроль только то, что нужно.

     Первая  версия программы вышла в 1991 году и с тех пор ADinf заслуженно является самым популярным ревизором в  России и странах бывшего СССР. Сегодня уже трудно сосчитать  число легальных и нелегальных  пользователей ADinf. Более 2500 корпоративных  подписчиков Антивирусного комплекта  Диалог-Науки, в составе которого поставляется ADinf, защищают им свои компьютеры. Программа ADinf получила сертификаты  в Системе сертификации ГОСТ Р., Системе  сертификации средств защиты информации Министерства обороны и Сертификат Государственной технической комиссии при президенте Российской федерации (в составе Антивирусного комплекта  Диалог-Науки). Программа постоянно  совершенствуется и все время  находится на острие современных  технологий.

     Изначально  ревизор ADinf был разработан для операционной системы MS-DOS. Затем были выпущены варианты программы для Windows 3.xx и Windows 95/98/NT. Сейчас существует семейство совместимых  между собой ревизоров для  различных операционных систем. Все  варианты ADinf сегодня поддерживают файловые системы Windows 95/98, длинные имена  файлов и каталогов, разбирают внутреннюю структуру исполняемых файлов Windows 95/98 и NT.

     Итак, программа Adinf:

     - имеет высокую скорость работы;

     - способна с успехом противостоять вирусам, находящимся в памяти;

     - позволяет контролировать диск, читая его по секторам через BIOS и не используя системные прерывания DOS, которые может перехватить вирус;

     - может обрабатывать до 32000 файлов на каждом диске;

     - в отличие от AVSP, в котором пользователю приходится самому анализировать, заражена ли машина Stealth-вирусом, загружаясь сначала с винчестера, а потом с эталонной дискеты, в ADinf эта операция происходит автоматически;

     - в отличие от других антивирусов Advansed Diskinfoscope не требует загрузки с эталонной, защищённой от записи дискеты. При загрузке с винчестера надежность защиты не уменьшается;

     - ADinf имеет хорошо выполненный дружественный интерфейс, который в отличие от AVSP реализован не в текстовом, а в графическом режиме;

     - при инсталляции ADinf в систему имеется возможность изменить имя основного файла ADINF.EXE и имя таблиц, при этом пользователь может задать любое имя. Это очень полезная функция, так как в последнее время появилось множество вирусов, "охотящихся" за антивирусами (например, есть вирус, который изменяет программу Aidstest так, что она вместо заставки фирмы "ДиалогНаука" пишет: "Лозинский - пень"), в том числе и за ADinf.

     Существует  несколько вариантов ревизора Adinf для различных операционных систем. Каждый из них имеет свои особенности.

     Ревизор ADinf предназначен для операционных систем MS-DOS и Windows 95/98. Это развитие первого  варианта ревизора, созданного еще  в 1991 году. Сегодня ADinf это самое надежное средство для обнаружения как  известных, так и новых неизвестных  вирусов. Это единственный в мире ревизор, проверяющий файловую систему  чтением по секторам напрямую через BIOS компьютера.

     Ревизор ADinf for Windows предназначен для операционной системы Windows 3.xx. Ко всем свойствам ревизора ADinf этот вариант программы добавляет  удобный графический интерфейс  пользователя.

     Ревизор ADinf Pro предназначен для контроля за сохранностью особо ценной информации, например баз данных или документов, в среде операционных систем MS-DOS, Windows 3.xx и Windows 95/98. Особенностью этого  варианта программы является использование 64-битной хэш-функции для контроля целостности файлов, разработанной известной Российской фирмой ЛАН-Крипто. Использование этой хэш-функции гарантирует не только обнаружение случайных изменений файлов или изменений, вызванных вирусами, но и делает невозможным преднамеренную незаметную модификацию данных на диске.

     Ревизор ADinf32 – это 32-битное многопоточное  приложение для операционных систем Windows 95/98 и Windows NT с современным интерфейсом  пользователя. Этот вариант программы  не только обладает всеми достоинствами  других вариантов, но и содержит много  нового по сравнению с ними.

     Следует заметить, что программа Adinf хорошо интегрирована с другими программами  комплекта DSAV  фирмы «Диалог-Наука». Так, Adinf создает список новых и  измененных файлов на диске, а Aidstest и DrWeb могут проверять файлы из этого  списка, что значительно сокращает  время работы этих программ [1].