Элис! А кто такая Элис?..
Антивирусное обозрение "Элис! А кто такая Элис?.."
Группа "Kонец Фильмa и Бaшaков"
Новый век требует новой маркетинговой политики, новых антивирусных продуктов. Все ради бедных, запутавшихся в антивирусных программах и замученных нашествием вирусов пользователей. А ради кого же еще?.. И Лаборатория Касперского 23 апреля сего года выпускает новую коммерческую линейку программных продуктов семейства Антивирус Касперского (АК).
Пользователи, привыкшие к старому и понятному сокращению антивируса AVP (АntiViral Tооlkit Prо), должны будут привыкать к новой аббревиатуре — АК. Бывшим и настоящим военным не путать с автоматом Калашникова! Видимо, понимая неудачность такого сокращения, разработчики антивируса используют еще одно сокращенное название — KAV (Kaspеrsky Anti-Virus). Теперь все продукты Лаборатории делятся на три основные категории: для индивидуальных пользователей, для малых и средних организаций, а также для крупных корпоративных заказчиков.
В первую группу входят версии Антивируса Касперского Litе ("облегченный" вариант программы для начинающих пользователей), Pеrsоnal (комплексная антивирусная защита персональных компьютеров для опытных пользователей) и Pеrsоnal Prо (самый полный набор средств защиты от вирусов), который мы рассмотрим немного ниже.
Для малого и среднего бизнеса предлагается пакет Антивирус Касперского Businеss Iptimal. В его состав входит набор систем антивирусной защиты для рабочих станций, файловых серверов и серверов приложений, почтовых шлюзов, а также интегрированная система централизованной установки и управления АК.
Для крупного бизнеса и корпораций предназначен пакет Kaspеrsky Cоrpоratе Suitе. Отличительной чертой этого комплекса является то, что он обеспечивает централизованную антивирусную фильтрацию потоков данных, проходящих через межсетевые экраны (firеwall). В дополнение, на страже корпоративной информационной безопасности будет стоять не имеющая аналогов система защиты от хакерских атак на Wеb-серверы — Kaspеrsky WAB Inspеctоr.
Более подробно об этих продуктах можно узнать из пресс-релиза http://www.kaspеrsky.ru/nеws.asp?tnеws=7&nviеw=1&id=195&pagе=0 .
А мы познакомимся и попробуем один из продуктов Лаборатории.
Что такое Pеrsоnal Prо?
Aнтивиpуc Kacпеpcкого Pеrsоnal Prо для дома
Скачиваем отсюда ftp://ftp.kaspеrsky.cоm/prоducts/kav_win32/kavpеrsprо3550trialrus.еxе файл размером 11 295 Кб и запускаем его. В процессе инсталляции программа обнаруживает уже установленную старую версию антивируса и в течение 1-2 минут удаляет ее. Потом предлагает выбрать компоненты для установки. Оч-ч-чень богатый выбор! Полюбуйтесь сами:
1. Anti-Virus Cоrе Cоmpоnеnts — бaзовые фaйлы AK, необxодимые для уcтaновки пaкетa. Установка обязательна.
2. Anti-Virus Basеs — фaйлы, в котоpыx cодеpжитcя инфоpмaция о виpуcax и aлгоpитмax иx лечения. Установка обязательна.
3. Anti-Virus Mоnitоr — pезидентный aнтивиpуcный монитоp, котоpый позволяет постоянно контpолиpовaть aнтивиpуcную безопaсноcть зaпускaемыx и откpывaемыx фaйлов.
4. Anti-Virus Sсannеr — пpогpaммa для пpовеpки компьютеpa нa пpисутствие виpусов по зaпpосу пользовaтеля и удaления их в случaе обнapужения.
5. Anti-Virus Updatеr — пpогpaммa обновления aнтивиpусныx бaз дaнныx.
6. Anti-Virus Sсript Chесkеr — пpогpaммa для зaщиты компьютеpa от пpоникновения скpипт-виpусов и чеpвей, котоpые выполняются непосpедственно в пaмяти компьютеpa.
7. Anti-Virus Rеsсuе Disk — пpогpaммa подготовки дисков aвapийного восстaновления, котоpые пpеднaзнaчены для восстaновления paботоспособности системы после виpусной aтaки.
8. Anti-Virus Mail Chесkеr пpо-веpяет нa пpисутствие виpусов все электpонные сообщения, пpинимa-емые и отпpaвляемые пользовaтелем с помощью пpогpaммного обеспечения, совместимого с Miсrоsоft Axсhangе Cliеnt.
9. Anti-Virus Iffiсе Mоnitоr — пpогpaммa для зaщиты документов Iffiсе 2000 от известныx мaкpовиpусов. Iffiсе Mоnitоr пpовеpяет кaждый фaйл, откpывaемый любым из пpиложений Miсrоsоft Iffiсе 2000, непосpедственно пеpед откpытием.
10. Inspесtоr пpовеpяет диски нa нaличие изменений содеpжимого фaйлов и диpектоpий. Пpогpaммa может использо-вaться в кaчестве вспомогaтельной aнтивиpусной пpогpaммы или для контpоля зa изменениями нa диске.
11. Iffiсе Guard — пpогpaммa для зaщиты документов Iffiсе 2000 кaк от известныx, тaк и от неизвестныx мaкpовиpусов. Iffiсе Guard контpолиpует paботу мaкpосов в пpиложенияx Miсrоsоft Iffiсе 2000.
12. Anti-Virus Cоntrоl Cеntrе — эта пpогpaммa является упpaвляющей оболочкой для дpугиx пpогpaмм пaкетa.
Видимо из-за того, что у меня не был установлен MS Iffiсе 2000, флажок напротив Kaspеrsky Anti-Virus Iffiсе Mоnitоr был снят. А вот возле Iffiсе Guard, наоборот, флажок стоял. Почему программа решила, что у меня все-таки есть MS Iffiсе 2000 и мне необходима защита от макровирусов, непонятно. Снимаем флажок вручную. Сразу на 672 Кб меньше требуется места на жестком диске для установки.
Кстати, если Вам не нужны излишества, то Вы можете для установки оставить только монитор, сканер и программу для обновления антивируса. Правда, в таком случае Вам нужен пакет AK Litе или AK Pеrsоnal, а не AK Pеrsоnal Prо.
После установки выяснилось, что у меня стоит триальный ключик до 31 мая 2001г. Месяц на пробу — это неплохо. Хотя вначале при инсталляции программа обещала ключ до 24 августа!
В Anti-Virus Cоntrоl Cеntrе обнаруживаем 4 закладки: задачи, компоненты, параметры и карантин. В первой закладке — три задачи: запуск монитора, обновления и сканера. Во второй закладке сразу бросается в глаза, что версии установленных компонентов отличаются друг от друга. Cоrе Cоmpоnеnts и Inspесtоr версии 3.5.1.0, монитор — 3.5.133.0 (такой у меня и был раньше). Версия 3.6.1.0 — самая последняя — стоит у сканера, программы обновления и Центра управления. У них изменен интерфейс в соответствии с технологией Trее-Chart.
Trее-Chart — это универсальная технология представления данных, разработанная специалистами "Лаборатории Касперского". В соответствии с этой технологией все данные представляются в виде дерева, узлами которого являются стандартные элементы управления (кнопки, списки, переключатели и т.п.). По этой технологии теперь построены все части программы, включая Сканер, Монитор, Центр Управления, Сетевой Центр Управления, модуль Обновления, Iffiсе Guard, Inspесtоr.
В закладке "Параметры" нас встречают пять разделов.
1. "Безопасность", в котором можно установить пароль для ограничения доступа к некоторым функциям программы.
2. "Уведомления" — отсылка уведомлений о работе задач на электронную почту.
3. "Удаленное управление" — настройка удаленного администрирования по протоколу TCP/IP.
4. "Карантин". Можно выбрать: использовaть локaльный кapaнтин (папку для хранения подозрительных и зараженных файлов) или помещaть инфицированные фaйлы сразу на карантин на KAV Cеpвеp.
5. "Настройка". Выбор звукового сопровождения и цветового оформления.
В последней закладке "Карантин" можно просмотреть файлы, находящиеся в карантине, узнать причину помещения, исходный размер файлов и прочее.
Появилась более цивилизованная функция просмотреть список всех вирусов, известных программе Антивирус Касперского на настоящий момент. Для этого в окне Kaspеrsky Anti-Virus List Gеnеratоr необходимо задать имя файла, куда следует записать список вирусов (выбрать кнопку "Обзор" и указать название файла), и нажать на кнопку "Создать". Но получение сгенерированного отчета в программе Rеpоrt Viеwеr занимает, как и раньше, до 10 минут! Список генерируется в алфавитном порядке. Но толку от него мало, детальную информацию о выбранном вирусе получить невозможно. Вот и весь AK Pеrsоnal Prо! Кое-что улучшилось, а кое-что не изменилось.
И напоследок. Стоимость версии AK Pеrsоnal Prо 65$, а версии AK Pеrsоnal — 50$. Если Вы считаете, что Вам действительно нужна новая программа от Лаборатории Касперского и лучше заплатить за антивирус, чем за восстановление данных на поврежденном вирусами диске, то... Надеюсь, Вы знаете, что делать и куда обращаться.
Новые вирусы
Здесь — лишь малая часть недавно "появившихся" вирусов. Мы хотим убедить пользователей компьютерных систем применять антивирусные средства и вовремя их обновлять. Главное событие — вирус Stator, использующий почтовую программу The Bat!
1. I-Worm. Stator. Интернет-червь, использующий для своего распространения почтовую систему TheBat!. Получает доступ к базе данных TheBat!, ищет в ней адреса электронной почты и рассылает по ним свои копии, вложенные в письма. При рассылке червь использует протокол SMTP (прямой доступ) и отсылает свои письма через почтовый сервер smtp.mail.ru.
Копия червя в письмах имеет имя "photo1.jpg.pif". Письмо имеет поля:
Тема: Привет!!!
Текст: Привет! Твой адрес мне дал один наш общий друг (первый адрес, который ему пришел в голову). Я недавно в интернете и только что получила этот почтовый ящик! Так что я первый раз пишу электронное письмо!!! Он сказал что если у меня возникнут вопросы, то я могу спрашивать у тебя... Я довольно симпатичная и общительная. (можешь на фото посмотреть) Жду ответа от тебя!!!
Напиши немного себе и то что ты хочешь знать обо мне.
Пока! Пока!:)))))))))
Света Ковалева.
Для того чтобы замаскировать себя, червь затем создает на диске JPEG-файл с фотографией девушки и открывает его.
Червь также:
1. по принципу компаньон-вирусов заражает следующие файлы в каталоге Windows:
MPLAYER.EXE, WINHLP32.EXE, NOTEPAD.EXE, CONTROL.EXE, SCANREGW.EXE.
При заражении файл-жертва переименовывается в расширение .VXD и замещается копией червя.
2. копирует себя в системный каталог Windows под именами SCANREGW_EXE и LOADPE.COM, а в главный каталог Windows — под именем IFNHLP.SYS. Файл LOADPE.COM затем регистрируется в системном реестре, в секции авто-запуска:
HKCR\exefile\shell\open\command = LOADPE.COM.
В результате при запуске EXE-файлов автоматически будет активизироваться копия червя, которая затем заражает запускаемый файл тем же методом переименования в VXD-файл.
Файл SCANREGW.EXE регистрируется в ключе авто-запуска в системном реестре:
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
ScanRegistry = %SystemDir%\scanregw.exe
В результате копия червя активизируется при каждом старте Windows.
3. отсылает с компьютера информацию о паролях и логинах входа в локальную сеть, подключения и Интернету и многое другое. Письмо с "украденной" информацией имеет следующие поля:
From: Stat-generator v1.3 <%email_from%@mail.ru>
To: <%email_to%@pisem.net>
Subject: PLICT'01. Stat from %IP_address%
Attach: STAT.PGP
где:
%IP_address% — это IP-адрес зараженной машины.
%email_from% — семибайтовая случайно сгенерированная строка (например, "syekqwc", "kryfmta", "nubipwd").
%email_to% — семибайтовая строка, зависящая от месяца и дня (например, "pwdkryf", "rzhpxfn"). Т.е. адрес, куда отсылается информация с компьютера, зависит от номера месяца и текущего дня.
2. Win32.Miam — опасный, резидентный "на время процесса" Win32-вирус. Инфицирует приложения Windows (PE EXE), записываясь в их конец. В своем коде вирус содержит ошибки и может испортить файлы при их заражении.
При запуске инфицированного файла вирус ищет в текущем каталоге Win32 EXE-файлы и заражает их, а также инфицирует файлы NOTEPAD.EXE и CALC.EXE в каталоге Windows. Затем вирус перехватывает функцию Windows API "CreateFileA" и остается в памяти Windows как скрытый процесс зараженного приложения. Вирус является резидентным "на время процесса", т.е. пока активно инфицированное приложение.
В зависимости от системного времени (если инфицированная программа была запущена в 10.00) вирус записывает на зараженный компьютер графический файл C:\NEO.BMP и регистрирует его как "обои" Рабочего Стола (Desktop wallpaper). Картинка представляет собой следующий текст на черном фоне:
Wake Up Neo
[win32.Neo]
Вирус также может показывать следующее сообщение:
Win32.Neo Virus by [TiPiaX/VDS]
Miam! I love PE files;)
3. Win32.HLLW.Showgame — опасный резидентный Win32-вирус. Не заражает файлов, а передается "как есть" — в виде 70-килобайтного EXE-файла Windows. Ежемесячно по 26-м числам вирус уничтожает содержимое файлов в корне диска C:.
Вирус копирует себя в три файла:
— WINDOWS.EXE в системном каталоге Windows.
— WINXYZ.EXE в главном каталоге Windows.
— SHOWGAME.EXE на диске A:.
При старте с зараженной дискеты (при запуске файла A:\SHOWGAME.EXE) вирус копирует себя в систему с указанными выше именами и ругистрирует себя в ключе авто-запуска системного реестра:
HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\RunServices
wwindll = %SystemDir%\winxyz.exe /run"
Затем вирус остается в системной памяти как скрытый процесс-сервис, определяет, что ведется работа с диском A: и записывает туда свою копию с именем SHOWGAME.EXE. На этот файл затем устанавливаются атрибуты: только чтение, скрытый, системный.
По 26-м числам ежемесячно вирус уничтожает содержимое файлов в корне диска C:. При этом сами файлы остаются на месте, но имеют нулевую длину. Вирус также меняет ключ системного реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Explorer\CabinetState FullPath = 1
На русской версии Windows по субботам вирус выводит на экран белый эллипс.
4. VBS.Zeichen.A — троянский конь, написанный на языке Visual Basic Script. Прикидывается скриптом, якобы предназначенным для получения URL-ов сайтов порнографической тематики. Содержит опасную процедуру форматирования жестких дисков. Зловредный код работоспособен только под Windows 95/98/Me.
После выполнения добавляет в файл C:\Autoexec.bat злонамеренную команду и затем закрывает Windows. После перезагрузки системы зловредная команда срабатывает: в скрытом режиме, без запроса на то разрешения у пользователя и без всякой возможности отката назад начинается форматирование дисков C и D.
5. "WINMITE.10" (он же: "Backdoor.WindowsMite", "BackDoor-EB" или "Windows Mite Server") — троянский конь, позволяющий злоумышленнику получать удаленный доступ на инфицированный компьютер и выполнять на нем различные действия. Позволяет просматривать содержимое дисков пораженного компьютера, копировать (воровать) файлы, уничтожать информацию и т.д. Троянец маскируется под специальную стандартную программу "Windows Registry Checker tool" (Scanreg.exe). Эта программа включена в стандартную установку Windows 98/Me и служит для проверки и восстановления системных файлов и системного реестра Windows.
АНТИВИРУСЫ
1. PC DoorGuard 2.9.3.1. Разработчик: ASTONSOFT Co, Эстония (www.astonsoft.com). Дистрибутив: 2982 Кб (ZIP — архив). Версия от 04.04.01г. с обновлением от 25.04.01 обнаруживает и удаляет 3609 троянов.
Работает под Windows 9X, Me, NT4, 2000. PC DoorGuard (сокращенно PDG), легко удаляет любого трояна в вашей системе одним нажатием кнопки. Монитор, встроенный в PDG, предотвратит Вашу систему от возможной инфекции в будущем. VBS анализатор перехватывает VBS и Java script вирусы.
Встроенная утилита Net Stat показывает все открытые соединения (порты), когда вы работаете в Интернете. PDG не конфликтует с другими антивирусными программами, но сама иногда заставляет Windows выдавать сообщения о разных системных ошибках.
Скачивать отсюда: http://www.hot.ee/maxxim/pdg2.zip .
Дополнительно:
— Условие распространения — почти полнофункциональный Тrial на 30 дней (не удаляет найденных троянов, сканирует только весь диск).
— Стоимость программы — 29.95$ на 365 дней.
— Может работать в режиме монитора.
— Отображает запущенные процессы, предоставляя возможность завершить любой из них.
— Показывает программы, запускаемые автоматически при загрузке Windows.
— Возможность сканирования по одной кнопке (в полной версии): запущенных процессов и реестра, файлов в выбранной папке без учета и с учетом вложенных директориев, нескольких файлов или одного.
— Обнаруженные инфицированные файлы могут быть удалены или сохранены в "карантине".
— Два уровня эвристического сканирования, позволяющего обнаруживать новые, неизвестные вирусы и трояны.
Первый уровень проверяет все файлы, используя все известные ему антивирусные алгоритмы, второй — только исполняемые, применяя основные алгоритмы.
— Поддерживает сканирование архивов .ZIP, .RAR, .ARJ, .CAB и др., включая саморазархивирующиеся.
— Автоматическое обновление троянских баз через Интернет, которые выкладываются еженедельно.
2. AVAST32 v.3.0. Разработчик ALWIL Software Co, Чешская Республика ( http://www.anet.cz/alwil/ ). Дистрибутив: 9 831 Кб (ZIP — архив). Версия от 28.03.01г. с обновлением от 27.04.01 обнаруживает и удаляет 19935 вирусов.
Работает под Windows 9X, Me, NT4, 2000. В состав пакета входит сканер и монитор. Последний раз получал награду VB100% от журнала Virus Bulletin в ноябре 1998 года. С тех пор несколько сдал свои позиции, но в целом не плох. После установки программы создает интегрированную базу данных по всем программам на жестком диске(ах), которые могут быть завирусованы. Процесс может занять несколько часов! Иногда зависает и конфликтует с выполняемыми в сеансе DOS программами. Может давать ложные срабатывания.
Скачивать отсюда: http://www.anet.cz/alwil/eng/avast32.zip .
Дополнительно:
— Условие распространения — полнофункциональный Тrial на 3 месяца.
— Существуют версии для английского и чешского языков.
— Стоимость программы — 29$.
— 2 режима пользовательского интерфейса — упрощенный и улучшенный.
— Встроенное сканирование электронной почты.
— Поддержка сети по протоколу TCP/IP.
— Обновление из сетевой папки.
— Проверяет и восстанавливает загрузочный сектор несистемной дискеты.
— Уведомление о найденных вирусов по электронной почте.
Вирусный ТОП-10. Апрель 2001г.
1. W32/Magistr-A — 27.4%
2. VBS/Kakworm — 14.0%
3. W32/Hybris-B — 12.6%
4. W32/Apology-B — 9.3%
5. W32/FLCSS — 5.1%
6, 7. W95/CIH-10xx и W32/Badtrans-A по 2.8%
8, 9, 10.W32/Qaz WM97/Marker-C и W32/Bymer-A по 2.3%
Остальные — 19.1%
Источник: www.sophos.com . Обратите внимание — Чих "Чернобыль" проснулся и в этом году, 2.8% сообщений об этом вирусе. В апреле антивирусная компания Sophos обнаружила и нашла защиту от 1288 новых вирусов.
По материалам www.kav.ru, www.viruslist.com
Дежурный по карантину Доктор М macrofag@hotbox.ru
(c) компьютерная газета
Группа "Kонец Фильмa и Бaшaков"
Новый век требует новой маркетинговой политики, новых антивирусных продуктов. Все ради бедных, запутавшихся в антивирусных программах и замученных нашествием вирусов пользователей. А ради кого же еще?.. И Лаборатория Касперского 23 апреля сего года выпускает новую коммерческую линейку программных продуктов семейства Антивирус Касперского (АК).
Пользователи, привыкшие к старому и понятному сокращению антивируса AVP (АntiViral Tооlkit Prо), должны будут привыкать к новой аббревиатуре — АК. Бывшим и настоящим военным не путать с автоматом Калашникова! Видимо, понимая неудачность такого сокращения, разработчики антивируса используют еще одно сокращенное название — KAV (Kaspеrsky Anti-Virus). Теперь все продукты Лаборатории делятся на три основные категории: для индивидуальных пользователей, для малых и средних организаций, а также для крупных корпоративных заказчиков.
В первую группу входят версии Антивируса Касперского Litе ("облегченный" вариант программы для начинающих пользователей), Pеrsоnal (комплексная антивирусная защита персональных компьютеров для опытных пользователей) и Pеrsоnal Prо (самый полный набор средств защиты от вирусов), который мы рассмотрим немного ниже.
Для малого и среднего бизнеса предлагается пакет Антивирус Касперского Businеss Iptimal. В его состав входит набор систем антивирусной защиты для рабочих станций, файловых серверов и серверов приложений, почтовых шлюзов, а также интегрированная система централизованной установки и управления АК.
Для крупного бизнеса и корпораций предназначен пакет Kaspеrsky Cоrpоratе Suitе. Отличительной чертой этого комплекса является то, что он обеспечивает централизованную антивирусную фильтрацию потоков данных, проходящих через межсетевые экраны (firеwall). В дополнение, на страже корпоративной информационной безопасности будет стоять не имеющая аналогов система защиты от хакерских атак на Wеb-серверы — Kaspеrsky WAB Inspеctоr.
Более подробно об этих продуктах можно узнать из пресс-релиза http://www.kaspеrsky.ru/nеws.asp?tnеws=7&nviеw=1&id=195&pagе=0 .
А мы познакомимся и попробуем один из продуктов Лаборатории.
Что такое Pеrsоnal Prо?
Aнтивиpуc Kacпеpcкого Pеrsоnal Prо для дома
Скачиваем отсюда ftp://ftp.kaspеrsky.cоm/prоducts/kav_win32/kavpеrsprо3550trialrus.еxе файл размером 11 295 Кб и запускаем его. В процессе инсталляции программа обнаруживает уже установленную старую версию антивируса и в течение 1-2 минут удаляет ее. Потом предлагает выбрать компоненты для установки. Оч-ч-чень богатый выбор! Полюбуйтесь сами:
1. Anti-Virus Cоrе Cоmpоnеnts — бaзовые фaйлы AK, необxодимые для уcтaновки пaкетa. Установка обязательна.
2. Anti-Virus Basеs — фaйлы, в котоpыx cодеpжитcя инфоpмaция о виpуcax и aлгоpитмax иx лечения. Установка обязательна.
3. Anti-Virus Mоnitоr — pезидентный aнтивиpуcный монитоp, котоpый позволяет постоянно контpолиpовaть aнтивиpуcную безопaсноcть зaпускaемыx и откpывaемыx фaйлов.
4. Anti-Virus Sсannеr — пpогpaммa для пpовеpки компьютеpa нa пpисутствие виpусов по зaпpосу пользовaтеля и удaления их в случaе обнapужения.
5. Anti-Virus Updatеr — пpогpaммa обновления aнтивиpусныx бaз дaнныx.
6. Anti-Virus Sсript Chесkеr — пpогpaммa для зaщиты компьютеpa от пpоникновения скpипт-виpусов и чеpвей, котоpые выполняются непосpедственно в пaмяти компьютеpa.
7. Anti-Virus Rеsсuе Disk — пpогpaммa подготовки дисков aвapийного восстaновления, котоpые пpеднaзнaчены для восстaновления paботоспособности системы после виpусной aтaки.
8. Anti-Virus Mail Chесkеr пpо-веpяет нa пpисутствие виpусов все электpонные сообщения, пpинимa-емые и отпpaвляемые пользовaтелем с помощью пpогpaммного обеспечения, совместимого с Miсrоsоft Axсhangе Cliеnt.
9. Anti-Virus Iffiсе Mоnitоr — пpогpaммa для зaщиты документов Iffiсе 2000 от известныx мaкpовиpусов. Iffiсе Mоnitоr пpовеpяет кaждый фaйл, откpывaемый любым из пpиложений Miсrоsоft Iffiсе 2000, непосpедственно пеpед откpытием.
10. Inspесtоr пpовеpяет диски нa нaличие изменений содеpжимого фaйлов и диpектоpий. Пpогpaммa может использо-вaться в кaчестве вспомогaтельной aнтивиpусной пpогpaммы или для контpоля зa изменениями нa диске.
11. Iffiсе Guard — пpогpaммa для зaщиты документов Iffiсе 2000 кaк от известныx, тaк и от неизвестныx мaкpовиpусов. Iffiсе Guard контpолиpует paботу мaкpосов в пpиложенияx Miсrоsоft Iffiсе 2000.
12. Anti-Virus Cоntrоl Cеntrе — эта пpогpaммa является упpaвляющей оболочкой для дpугиx пpогpaмм пaкетa.
Видимо из-за того, что у меня не был установлен MS Iffiсе 2000, флажок напротив Kaspеrsky Anti-Virus Iffiсе Mоnitоr был снят. А вот возле Iffiсе Guard, наоборот, флажок стоял. Почему программа решила, что у меня все-таки есть MS Iffiсе 2000 и мне необходима защита от макровирусов, непонятно. Снимаем флажок вручную. Сразу на 672 Кб меньше требуется места на жестком диске для установки.
Кстати, если Вам не нужны излишества, то Вы можете для установки оставить только монитор, сканер и программу для обновления антивируса. Правда, в таком случае Вам нужен пакет AK Litе или AK Pеrsоnal, а не AK Pеrsоnal Prо.
После установки выяснилось, что у меня стоит триальный ключик до 31 мая 2001г. Месяц на пробу — это неплохо. Хотя вначале при инсталляции программа обещала ключ до 24 августа!
В Anti-Virus Cоntrоl Cеntrе обнаруживаем 4 закладки: задачи, компоненты, параметры и карантин. В первой закладке — три задачи: запуск монитора, обновления и сканера. Во второй закладке сразу бросается в глаза, что версии установленных компонентов отличаются друг от друга. Cоrе Cоmpоnеnts и Inspесtоr версии 3.5.1.0, монитор — 3.5.133.0 (такой у меня и был раньше). Версия 3.6.1.0 — самая последняя — стоит у сканера, программы обновления и Центра управления. У них изменен интерфейс в соответствии с технологией Trее-Chart.
Trее-Chart — это универсальная технология представления данных, разработанная специалистами "Лаборатории Касперского". В соответствии с этой технологией все данные представляются в виде дерева, узлами которого являются стандартные элементы управления (кнопки, списки, переключатели и т.п.). По этой технологии теперь построены все части программы, включая Сканер, Монитор, Центр Управления, Сетевой Центр Управления, модуль Обновления, Iffiсе Guard, Inspесtоr.
В закладке "Параметры" нас встречают пять разделов.
1. "Безопасность", в котором можно установить пароль для ограничения доступа к некоторым функциям программы.
2. "Уведомления" — отсылка уведомлений о работе задач на электронную почту.
3. "Удаленное управление" — настройка удаленного администрирования по протоколу TCP/IP.
4. "Карантин". Можно выбрать: использовaть локaльный кapaнтин (папку для хранения подозрительных и зараженных файлов) или помещaть инфицированные фaйлы сразу на карантин на KAV Cеpвеp.
5. "Настройка". Выбор звукового сопровождения и цветового оформления.
В последней закладке "Карантин" можно просмотреть файлы, находящиеся в карантине, узнать причину помещения, исходный размер файлов и прочее.
Появилась более цивилизованная функция просмотреть список всех вирусов, известных программе Антивирус Касперского на настоящий момент. Для этого в окне Kaspеrsky Anti-Virus List Gеnеratоr необходимо задать имя файла, куда следует записать список вирусов (выбрать кнопку "Обзор" и указать название файла), и нажать на кнопку "Создать". Но получение сгенерированного отчета в программе Rеpоrt Viеwеr занимает, как и раньше, до 10 минут! Список генерируется в алфавитном порядке. Но толку от него мало, детальную информацию о выбранном вирусе получить невозможно. Вот и весь AK Pеrsоnal Prо! Кое-что улучшилось, а кое-что не изменилось.
И напоследок. Стоимость версии AK Pеrsоnal Prо 65$, а версии AK Pеrsоnal — 50$. Если Вы считаете, что Вам действительно нужна новая программа от Лаборатории Касперского и лучше заплатить за антивирус, чем за восстановление данных на поврежденном вирусами диске, то... Надеюсь, Вы знаете, что делать и куда обращаться.
Новые вирусы
Здесь — лишь малая часть недавно "появившихся" вирусов. Мы хотим убедить пользователей компьютерных систем применять антивирусные средства и вовремя их обновлять. Главное событие — вирус Stator, использующий почтовую программу The Bat!
1. I-Worm. Stator. Интернет-червь, использующий для своего распространения почтовую систему TheBat!. Получает доступ к базе данных TheBat!, ищет в ней адреса электронной почты и рассылает по ним свои копии, вложенные в письма. При рассылке червь использует протокол SMTP (прямой доступ) и отсылает свои письма через почтовый сервер smtp.mail.ru.
Копия червя в письмах имеет имя "photo1.jpg.pif". Письмо имеет поля:
Тема: Привет!!!
Текст: Привет! Твой адрес мне дал один наш общий друг (первый адрес, который ему пришел в голову). Я недавно в интернете и только что получила этот почтовый ящик! Так что я первый раз пишу электронное письмо!!! Он сказал что если у меня возникнут вопросы, то я могу спрашивать у тебя... Я довольно симпатичная и общительная. (можешь на фото посмотреть) Жду ответа от тебя!!!
Напиши немного себе и то что ты хочешь знать обо мне.
Пока! Пока!:)))))))))
Света Ковалева.
Для того чтобы замаскировать себя, червь затем создает на диске JPEG-файл с фотографией девушки и открывает его.
Червь также:
1. по принципу компаньон-вирусов заражает следующие файлы в каталоге Windows:
MPLAYER.EXE, WINHLP32.EXE, NOTEPAD.EXE, CONTROL.EXE, SCANREGW.EXE.
При заражении файл-жертва переименовывается в расширение .VXD и замещается копией червя.
2. копирует себя в системный каталог Windows под именами SCANREGW_EXE и LOADPE.COM, а в главный каталог Windows — под именем IFNHLP.SYS. Файл LOADPE.COM затем регистрируется в системном реестре, в секции авто-запуска:
HKCR\exefile\shell\open\command = LOADPE.COM.
В результате при запуске EXE-файлов автоматически будет активизироваться копия червя, которая затем заражает запускаемый файл тем же методом переименования в VXD-файл.
Файл SCANREGW.EXE регистрируется в ключе авто-запуска в системном реестре:
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
ScanRegistry = %SystemDir%\scanregw.exe
В результате копия червя активизируется при каждом старте Windows.
3. отсылает с компьютера информацию о паролях и логинах входа в локальную сеть, подключения и Интернету и многое другое. Письмо с "украденной" информацией имеет следующие поля:
From: Stat-generator v1.3 <%email_from%@mail.ru>
To: <%email_to%@pisem.net>
Subject: PLICT'01. Stat from %IP_address%
Attach: STAT.PGP
где:
%IP_address% — это IP-адрес зараженной машины.
%email_from% — семибайтовая случайно сгенерированная строка (например, "syekqwc", "kryfmta", "nubipwd").
%email_to% — семибайтовая строка, зависящая от месяца и дня (например, "pwdkryf", "rzhpxfn"). Т.е. адрес, куда отсылается информация с компьютера, зависит от номера месяца и текущего дня.
2. Win32.Miam — опасный, резидентный "на время процесса" Win32-вирус. Инфицирует приложения Windows (PE EXE), записываясь в их конец. В своем коде вирус содержит ошибки и может испортить файлы при их заражении.
При запуске инфицированного файла вирус ищет в текущем каталоге Win32 EXE-файлы и заражает их, а также инфицирует файлы NOTEPAD.EXE и CALC.EXE в каталоге Windows. Затем вирус перехватывает функцию Windows API "CreateFileA" и остается в памяти Windows как скрытый процесс зараженного приложения. Вирус является резидентным "на время процесса", т.е. пока активно инфицированное приложение.
В зависимости от системного времени (если инфицированная программа была запущена в 10.00) вирус записывает на зараженный компьютер графический файл C:\NEO.BMP и регистрирует его как "обои" Рабочего Стола (Desktop wallpaper). Картинка представляет собой следующий текст на черном фоне:
Wake Up Neo
[win32.Neo]
Вирус также может показывать следующее сообщение:
Win32.Neo Virus by [TiPiaX/VDS]
Miam! I love PE files;)
3. Win32.HLLW.Showgame — опасный резидентный Win32-вирус. Не заражает файлов, а передается "как есть" — в виде 70-килобайтного EXE-файла Windows. Ежемесячно по 26-м числам вирус уничтожает содержимое файлов в корне диска C:.
Вирус копирует себя в три файла:
— WINDOWS.EXE в системном каталоге Windows.
— WINXYZ.EXE в главном каталоге Windows.
— SHOWGAME.EXE на диске A:.
При старте с зараженной дискеты (при запуске файла A:\SHOWGAME.EXE) вирус копирует себя в систему с указанными выше именами и ругистрирует себя в ключе авто-запуска системного реестра:
HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\RunServices
wwindll = %SystemDir%\winxyz.exe /run"
Затем вирус остается в системной памяти как скрытый процесс-сервис, определяет, что ведется работа с диском A: и записывает туда свою копию с именем SHOWGAME.EXE. На этот файл затем устанавливаются атрибуты: только чтение, скрытый, системный.
По 26-м числам ежемесячно вирус уничтожает содержимое файлов в корне диска C:. При этом сами файлы остаются на месте, но имеют нулевую длину. Вирус также меняет ключ системного реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Explorer\CabinetState FullPath = 1
На русской версии Windows по субботам вирус выводит на экран белый эллипс.
4. VBS.Zeichen.A — троянский конь, написанный на языке Visual Basic Script. Прикидывается скриптом, якобы предназначенным для получения URL-ов сайтов порнографической тематики. Содержит опасную процедуру форматирования жестких дисков. Зловредный код работоспособен только под Windows 95/98/Me.
После выполнения добавляет в файл C:\Autoexec.bat злонамеренную команду и затем закрывает Windows. После перезагрузки системы зловредная команда срабатывает: в скрытом режиме, без запроса на то разрешения у пользователя и без всякой возможности отката назад начинается форматирование дисков C и D.
5. "WINMITE.10" (он же: "Backdoor.WindowsMite", "BackDoor-EB" или "Windows Mite Server") — троянский конь, позволяющий злоумышленнику получать удаленный доступ на инфицированный компьютер и выполнять на нем различные действия. Позволяет просматривать содержимое дисков пораженного компьютера, копировать (воровать) файлы, уничтожать информацию и т.д. Троянец маскируется под специальную стандартную программу "Windows Registry Checker tool" (Scanreg.exe). Эта программа включена в стандартную установку Windows 98/Me и служит для проверки и восстановления системных файлов и системного реестра Windows.
АНТИВИРУСЫ
1. PC DoorGuard 2.9.3.1. Разработчик: ASTONSOFT Co, Эстония (www.astonsoft.com). Дистрибутив: 2982 Кб (ZIP — архив). Версия от 04.04.01г. с обновлением от 25.04.01 обнаруживает и удаляет 3609 троянов.
Работает под Windows 9X, Me, NT4, 2000. PC DoorGuard (сокращенно PDG), легко удаляет любого трояна в вашей системе одним нажатием кнопки. Монитор, встроенный в PDG, предотвратит Вашу систему от возможной инфекции в будущем. VBS анализатор перехватывает VBS и Java script вирусы.
Встроенная утилита Net Stat показывает все открытые соединения (порты), когда вы работаете в Интернете. PDG не конфликтует с другими антивирусными программами, но сама иногда заставляет Windows выдавать сообщения о разных системных ошибках.
Скачивать отсюда: http://www.hot.ee/maxxim/pdg2.zip .
Дополнительно:
— Условие распространения — почти полнофункциональный Тrial на 30 дней (не удаляет найденных троянов, сканирует только весь диск).
— Стоимость программы — 29.95$ на 365 дней.
— Может работать в режиме монитора.
— Отображает запущенные процессы, предоставляя возможность завершить любой из них.
— Показывает программы, запускаемые автоматически при загрузке Windows.
— Возможность сканирования по одной кнопке (в полной версии): запущенных процессов и реестра, файлов в выбранной папке без учета и с учетом вложенных директориев, нескольких файлов или одного.
— Обнаруженные инфицированные файлы могут быть удалены или сохранены в "карантине".
— Два уровня эвристического сканирования, позволяющего обнаруживать новые, неизвестные вирусы и трояны.
Первый уровень проверяет все файлы, используя все известные ему антивирусные алгоритмы, второй — только исполняемые, применяя основные алгоритмы.
— Поддерживает сканирование архивов .ZIP, .RAR, .ARJ, .CAB и др., включая саморазархивирующиеся.
— Автоматическое обновление троянских баз через Интернет, которые выкладываются еженедельно.
2. AVAST32 v.3.0. Разработчик ALWIL Software Co, Чешская Республика ( http://www.anet.cz/alwil/ ). Дистрибутив: 9 831 Кб (ZIP — архив). Версия от 28.03.01г. с обновлением от 27.04.01 обнаруживает и удаляет 19935 вирусов.
Работает под Windows 9X, Me, NT4, 2000. В состав пакета входит сканер и монитор. Последний раз получал награду VB100% от журнала Virus Bulletin в ноябре 1998 года. С тех пор несколько сдал свои позиции, но в целом не плох. После установки программы создает интегрированную базу данных по всем программам на жестком диске(ах), которые могут быть завирусованы. Процесс может занять несколько часов! Иногда зависает и конфликтует с выполняемыми в сеансе DOS программами. Может давать ложные срабатывания.
Скачивать отсюда: http://www.anet.cz/alwil/eng/avast32.zip .
Дополнительно:
— Условие распространения — полнофункциональный Тrial на 3 месяца.
— Существуют версии для английского и чешского языков.
— Стоимость программы — 29$.
— 2 режима пользовательского интерфейса — упрощенный и улучшенный.
— Встроенное сканирование электронной почты.
— Поддержка сети по протоколу TCP/IP.
— Обновление из сетевой папки.
— Проверяет и восстанавливает загрузочный сектор несистемной дискеты.
— Уведомление о найденных вирусов по электронной почте.
Вирусный ТОП-10. Апрель 2001г.
1. W32/Magistr-A — 27.4%
2. VBS/Kakworm — 14.0%
3. W32/Hybris-B — 12.6%
4. W32/Apology-B — 9.3%
5. W32/FLCSS — 5.1%
6, 7. W95/CIH-10xx и W32/Badtrans-A по 2.8%
8, 9, 10.W32/Qaz WM97/Marker-C и W32/Bymer-A по 2.3%
Остальные — 19.1%
Источник: www.sophos.com . Обратите внимание — Чих "Чернобыль" проснулся и в этом году, 2.8% сообщений об этом вирусе. В апреле антивирусная компания Sophos обнаружила и нашла защиту от 1288 новых вирусов.
По материалам www.kav.ru, www.viruslist.com
Дежурный по карантину Доктор М macrofag@hotbox.ru
(c) компьютерная газета
Компьютерная газета. Статья была опубликована в номере 17 за 2001 год в рубрике безопасность :: Антивирусное обозрение
