программы), при правильном использовании, обнаруживает ВСЕ существующие в настоящее время вирусы.
— Кроме борьбы с вирусами ADinf позволяет следить за целостностью и сохранностью информации на винчестере и за всеми происходящими на диске изменениями, что бывает особенно полезно на 'персональных ЭВМ коллективного пользования', широко распространенных в нашей стране.
— Расширение ревизора ADinf — программа ADinf Cure Module (файл ADinfExt.exe), поддерживает небольшую дополнительную базу данных, описывающую файлы, хранящиеся на диске.
В случае обнаружения вируса она позволяет немедленно и надежно вылечить вашу машину. Лечению таким способом поддаются до 97 % существующих и, что самое главное, новых, неизвестных на настоящий момент вирусов.
Принцип работы ревизора ADinf
Принцип работы программ-ревизоров основан на сохранении в таблице основных данных о диске. Таблица содержит образы MASTER-BOOT и BOOT секторов, список номеров сбойных кластеров, схему дерева каталогов и информацию о всех контролируемых файлах. Кроме того, ADinf запоминает и при каждом запуске проверяет, не изменился ли доступный DOS объем оперативной памяти (что бывает при заражении большинством загрузочных вирусов), количество установленных винчестеров, таблицы параметров винчестера в области переменных BIOS (Hard Disk Parameter Table).
При всех этих проверках программа просматривает диск по секторам непосредственно через BIOS и не использует прерывания Int 21h и Int 13h, что позволяет успешно обнаруживать активные маскирующиеся вирусы, находящиеся в памяти и взявшие на себя эти жизненно важные прерывания.
Проверки, производимые ревизором
При первом запуске программа запоминает объем оперативной памяти, находит и запоминает адрес обработчика прерывания Int 13h в BIOS, который будет использоваться при всех последующих проверках, и строит таблицы для проверяемых дисков. При этом проверяется, показывал ли вектор прерывания 13h в BIOS перед загрузкой DOS.
При последующих запусках программа проверяет диски в следующей последовательности:
— Проверяется объем оперативной памяти, доступной DOS, и переменные BIOS.
— Проверяются MASTER-BOOT BOOT MASTER-BOOT сектор проверяется при проверке логического диска С:, а на машинах IBM PC AT D: (для второго физического винчестера). Если обнаружены изменения этих секторов, то можно в режиме диалога сравнить системные таблицы, которые были до и после изменения, и по желанию восстановить прежний сектор. После восстановления измененный сектор сохраняется В файле на диске для последующего анализа.
— Проверяется список номеров сбойных кластеров. Некоторые вирусы помечают хороший кластер как сбойный и 'селятся' в нем. ADinf предупредит вас об этом.
— Проверяется дерево каталогов диска. Ищутся вновь заведенные и уничтоженные подкаталоги.
— Проверяются файлы. Ищутся новые, удаленные с диска, переименованные, перемещенные из одного подкаталога в другой и изменившиеся файлы. Проверяется изменение длины и контрольной суммы файла.
Изменения анализируются и, если они по мнению программы, 'безобидные', т. е. изменения файлов сопровождаются изменением даты и времени файла, то программа поместит информацию об изменениях в список, который можно просмотреть в режиме диалога или записать на диск в виде протокола проверки. Если же происходят 'подозрительные' изменения, то программа предупредит вас о возможности заражения вирусом.
К 'подозрительным' изменениям относятся:
— Изменение файла без изменения даты и времени (как поступают большинство из грамотно написанных вирусов);
— Изменение файла с появлением странной даты (число больше 31, месяц больше 12 или год больше текущего). Такими датами некоторые вирусы 'помечают' зараженные файлы.
— Изменение файла с появлением странного времени (минут больше 59, часов больше 23 или секунд больше 58).
— Изменение файла, имя которого указано в списке неизменяемых файлов.
Требования к оборудованию
Программа работает на IBM PC XT AT и PS2 с одним пли двумя жесткими дисками и с одним или двумя дисководами для гибких дисков. Программа тестировалась в среде MS-DOS, PC-DOS версии 3.20 — 6.02, а также в среде DR-DOS 5.00 и 6.00. Novell DOS 7.00 и Compaq-DOS 3.31. Программа работает непосредственно с видеопамятью, минуя BIOS. Поддерживаются все графические адаптеры (Hercules, CGA, EGA, VGA). Обеспечивается полная совместимость с MS Windows, DESQview, кэшем HyperDisk версий больше 4.50.
Использование программы
Программа ADinf может запускаться
— из файла AUTOEXEC.BAT;
— из командной строки DOS.
Запуск ADinf из файла AUTOEXEC ВАТ
Для запуска программы ADinf в процессе загрузки машины в файл AUTOEXEC.BAT необходимо добавить строку вида (этот вызов добавляется в файл AUTOEXEC.BAT автоматически при инсталляции программы):
ADinf — d — a — b — l [каталог для протокола>] <диск> [<диск>… <диск>]
Например, предполагая, что программа записана в каталоге C: ADINF.
Более подробно ключи программы рассмотрены ниже.
Запуск ADinf из командной строки DOS
При запуске из командной строки Advanced Diskinfoscope ADinf может работать в пакетном и диалоговом режимах.
Запуск в пакетном режиме
В пакетном режиме ADinf последовательно проверяет диски в соответствии с параметрами, ладанными в командной строке. Для запуска ADinf в пакетном режиме необходимо набрать команду вида:
>ADinf [<ключ>…<ключ>] <диск> [<диск>…<диск>]
Например, если набрать команду
>C: ADINFADinf С: D: Е:,
то будут последовательно проверены диски С: D: и E:. В этом примере предполагается, что программа ADinf находится в подкаталоге ADINF.
Ключи программы
