Оценка опасности «флешечных» вирусов

Хронологически эта запись должна была, по-идее, предшествовать способу борьбы с данным типом угроз, но так уж получилось. Сегодня речь пойдёт о теоретической и практической угрозе, которую представляет класс вредоносных программ, основным способом распространения которых, является самокопирование на переносные носители информации.


Самым распространённым из них, пожалуй, является вирус amvo(a). По сути является троянской программой, предназначенной прежде всего для кражи паролей к некоторым on-line играм. Кроме того, обладает функционалом червя, копируя себя в корни всех дисков и создавая файл автозапуска autorun.inf. В некоторых модификациях тело вируса располагается в скрытой папки RECYCLED.

Как такового диструктивного действия вирус не оказывает, если не считать анализа трафика к серверам популярных on-line игр, который сводится на нет при грамотной настройке сетевого экрана. Удалить программу не так уж и просто, она подгружает свою библиотеку во все запущенные в системе процессы и при удалении тела вируса тут же его пересоздаёт. Кроме того программа блокирует показ скрытых и системных файлов для проводника Windows, для их показа необходимо воспользоваться сторонними файловыми менеджерами.

Более подпробное описание, а так же способ борьбы можно найти в каталоге вирусов Лаборатории Касперского (ссылка).

С основной теорией более или менее разобрались, перейдём к тонкостям и практике. Если Вы не играете в on-line игры, или у Вас неплохо настроенный сетевой экран, вроде бы и бояться-то нечего, но не всё так просто. Ещё одну практическую угрозу представляет функционал червя. Дело в том, что библиотека, как уже сказано выше, подгружается во все запущенные процессы в системе и каждый процесс постоянно переписывает тело вируса и файл autorun.inf. Если для жёстких дисков это не сколь критично, то для Flash-накопителей с ограниченным и достаточно малым количеством перезаписей на ячейку памяти это создаёт немалый вред. Как показывает практика, если карта памяти подключена к компьютеру около 8-10 часов в сутки, то она выходит из строя в срок от двух недель, до нескольких месяцев, в зависимости от качетсва самой Flash-памяти. Не много не правда ли? После этого пропадает возможность записи на «флешку», под любой ОС она монтируется в режиме только чтение и отформатировать, исправить повреждённые сектора становиться невозможным именно по этой причине. Низкоуровневое форматирование тоже помогает не всегда, иногда просто отказываясь форматироваться по причине большого числа ошибок. Иногда помогает низкоуровневое исправление ошибок, затем низкоуровневое форматирование, но хранить важные данные на таком восстановленном накопителе, я бы, крайне не рекомендовал.

Конечно, описаны не все потенциальные опасности, но и то, что написано, пожалуй, стоит принять к сведению. У меня в ящике уже лежат 2 флешки от друзей, которые не поддаются никакому лечению.

Теги: , ,

Четверг, 07 Май 2009 Статьи

Отзывов: 6 на Оценка опасности «флешечных» вирусов

  1. Надо на флехе создать закрытый раздел autorun.inf и усё :-)
    Я такое сделал ещё на своей первой флешке размером 18 мб.

    2. tengry on 29 Май 2009

  2. Немного не понял сути, можно подробнее?

    3. xAnd on 29 Май 2009

  3. Мальварь видит что имя уже занято и не прыгает в гости :-)

    4. tengry on 29 Май 2009

  4. Типа, как она в скрытое и системное посмеет.А вообще я под M$ избегаю сидеть в Сети. Только на изолированой машинке для чего-то специфического.

    5. tengry on 29 Май 2009

  5. Да, только последние версии легко переписывают файл и меняют атрибуты файла. Или я просто не понял про «закрытый раздел».

    6. xAnd on 29 Май 2009

  6. Поискал аналоги описаного метода и нашёл это, более грамотно канешна, но смысл тот же :-) , наверно ищщо есть – ведь решение на поверхности: «Из недавнего интервью Е. Касперского: В этом году наблюдается активизация файловых вирусов.
    Так что все возвращается…
    Кстати, из того же интервью простой и элегантный рецепт защиты флэшек от вирусов-авторанов: Создайте в корне флэшки кталог с названием AUTORUN.INF и сделайте его скрытым и системным. Его будет не видно и не слышно. Все, вуаля!

    *******************
    Можно воспользоваться утилитой FlashDriveDisinfector, которая сделает это автоматически.»

    *******************

    http://forum.exler.ru/index.php?showtopic=118320&st=650

    7. tengry on 29 Май 2009

Ваш отзыв

Поиск