Журнал «Компьютерра» № 9 от 7 марта 2006 года

Когда наличие вредоносной программы все-таки обнаружено, в большинстве случаев остается только отформатировать смартфон, поскольку неясно, как можно решить проблему иным способом. На некоторых моделях бывает, что даже форматирование выполнить не удается. Дожидаться появления антивируса в этом случае не стоит: слишком долго раскачиваются антивирусные компании. Кроме того, установить антивирус скорее всего уже не удастся, поскольку смартфон либо полностью неработоспособен, либо блокированы возможности инсталляции и деинсталляции программ.

Вирус-феникс

Дело усугубляется тем, что для Symbian существует реальная возможность создать вирус, практически не поддающийся лечению. Она существует, уже начиная с версии 6.1, которая установлена на относительно старых моделях смартфонов, например Nokia 3650 и 7650. Неизлечимый вирус, обладающий способностью к самовосстановлению, из-за упущений, имеющихся в ОС, может переживать даже форматирование памяти телефона, которое обычно выполняют в сервисном центре в качестве меры против любых вредоносных программ.

В определенном смысле эта возможность является крахом нынешней антивирусной индустрии для смартфонов. Возможность создания программы, которую невозможно выгрузить из памяти и удалить кроме как полной перепрошивкой телефона специальным оборудованием, была проверена, например, на аппарате Nokia 3650.

Ряд требований Symbian Signed препятствует реализации подобных функций для антивируса. Некоторые антивирусные компании гордятся тем, что именно их продукт имеет соответствующий сертификат. На практике же такие заявления равнозначны признанию неспособности продукта обеспечить собственную безопасность, безопасность смартфона и в итоге – защиту от вирусов. Так как получается, что вирус может блокировать установку любого антивируса и сопротивляться попыткам удаления.

Боевые задачи

Построение антивирусов для мобильных устройств по традиционной методике заранее проигрышно. На протяжении последнего года уже не раз наблюдалась ситуация, в которой большинство существующих мобильных антивирусов были неспособны не только обезвредить новую модификацию вредоносной программы, лишь незначительно отличающуюся от предыдущей, но и защитить самих себя. Например, одна из разновидностей трояна Drever выводит из строя многие антивирусы элементарной записью поверх них своих файлов.

Вероятно, главная ошибка компаний, выпускающих антивирусы для ПК, состоит в том, что при создании антивирусов для мобильных устройств они применяют принцип подобия. Мобильный антивирус создается как уменьшенная копия продукта для ПК, используются те же самые принципы и алгоритмы: только после получения экземпляра вируса или троянской программы начинает готовиться противоядие. Но мобильные вирусы имеют свою специфику и серьезно отличаются от своих «настольных» собратьев. Это не учитывается, как не учитывается и коренное отличие платформ. А ведь при разработке антивируса для смартфонов необходимо использовать абсолютно иную идеологию.

Cabir

29А (= 666 десятичное) – это группа создателей вирусов, как правило, концептуального характера, не распространяющих свои изделия, а создающих их «из любви к искусству». Cabir способен инфицировать только устройства с Symbian и надстройкой Series 60.

CommWarrior

Разработка российского хакера с псевдонимом e10d0r. Вирус содержит в коде копирайт и напутствие «OTMOP03KAM HET!». Появление CommWarrior ознаменовало новую эпоху мобильного вирусостроения: впервые для размножения были использованы возможности MMS.

Oказывается, прислали новый антивирус! Давайте установим его скорее…

Текст сообщения выбирается вирусом случайным образом из большого количества вариантов.

Skulls

Многочисленная группа вирусов с похожими свойствами. Они могут «маскироваться» подо все, что угодно. Недавно в Сети появились люди, переупаковывающие Skulls в мало отличающиеся дистрибутивы и пытающиеся продавать их производителям антивирусов как свеженайденные варианты трояна, и даже организующие платные «подписки» на эти новинки.

Троян заменяет иконки важнейших системных утилит и нарушает их функциональность.

Спасение от вирусов – дело рук самих вирусов

Автор: Дмитрий Гуц

Дмитрий в настоящее время занимается разработкой антивируса, учитывающего, по его мнению, многие из высказанных ниже положений. Как только антивирус будет готов, мы протестируем его и расскажем о результатах. Впрочем, предлагающаяся автором идеология работы антивирусного ПО вызывает неоднозначную оценку экспертов. Мы попросили представителей компаний «Лаборатория Касперского» и StarForce[Эта компания известна не только своей защитой от копирования лицензионных CD, но и программой Safe’n’Sec, защищающей PC от вирусов на основе анализа действий запущенных программ, а не сигнатуры известных вирусов. Эту методологию работы антивируса предлагает реализовывать в смартфонах и автор статьи] прокомментировать статью. – К.К.

Уже разработаны и успешно опробованы многие алгоритмы, позволяющие использовать элементы искусственного интеллекта в стратегии поведения прикладных программ. Но в области создания мобильных антивирусов этот опыт оказался невостребованным, текущая методология построения средств защиты смартфонов близка по уровню к тому, что было реализовано в первых антивирусах для операционной системы MS-DOS, десятилетней давности!

Поскольку мобильные вирусы стремительно развиваются, то, чтобы выиграть или хотя бы не проиграть в этой войне, антивирусу необходимо уже сейчас

выживать в любых условиях, иметь в своем составе надежную реализацию функций автоматической реанимации себя и пораженной системы. Уметь отслеживать модификации собственного кода и функционально важных элементов системы;

Лаборатория Касперского:

Именно так и происходит. Антивирусы содержат в себе много зашифрованных модулей, следят за своей целостностью и противодействуют попыткам со стороны вирусов удалить или отключить антивирус, в этом нет ничего нового.

Михаил Калиниченко

(StarForce): Большинство антивирусов уже имеют механизмы защиты от вирусов.

анализировать в реальном времени любые изменения, происходящие в системе, иметь набор надежных критериев для обнаружения опасных ситуаций. Уметь обнаруживать не только известные вирусы, но и неизвестные программы, с достаточной вероятностью являющиеся вирусами, – то есть нести в себе элементы искусственного интеллекта;

заимствовать часть свойств вируса, его живучесть и способность к воспроизведению в формах, сохраняющих функциональность. А именно: антивирусы должны содержать в себе саморазмножающиеся модули, способные действовать не только по факту заражения конкретным вирусом, но и упреждающе. Антивирус должен распространяться между телефонами и уничтожать найденные вирусы;

Лаборатория Касперского:

С точки зрения специалиста в «самораспространении» антивирусных программ нет никакого смысла.

Михаил Калиниченко:

При подобном подходе можно оказаться гражданским лицом на поле боя, со всеми вытекающими последствиями в виде «шальной пули» – погибшей раньше времени операционной системы. И как можно представить распространение? Бесплатно? Но с кого потом спрашивать за качество защиты? За деньги? Но тогда это очень похоже на вымогательство…

избегать запросов к пользователю на разрешение лечения. Если обнаружен вирус, он должен быть уничтожен немедленно, а если это не вирус, то спрашивать не о чем. Подавляющее большинство пользователей не способны отличить вирус от невируса, их некомпетентное суждение не должно ставиться во главу угла при обеспечении безопасности;