Как создать тестовый вирус

Тестовый "вирус" был специально разработан организацией
(The European Institute for Computer Antivirus Research) для проверки работы антивирусных продуктов.

Тестовый "вирус" НЕ ЯВЛЯЕТСЯ ВИРУСОМ и не содержит программного кода, который может нанести вред вашему компьютеру, однако при этом большинство продуктов антивирусных компаний-производителей идентифицируют его как вирус.

Никогда не используйте в качестве проверки работоспособности антивирусного продукта настоящие вирусы!

Перед загрузкой необходимо отключить антивирусную защиту, поскольку файл anti_virus_test_file.htm будет идентифицирован и обработан программой как зараженный объект, перемещаемый по HTTP-протоколу. Не забудьте включить антивирусную защиту сразу после загрузки тестового "вируса".

Программа идентифицирует файл, загруженный с сайта компании EICAR как зараженный объект, содержащий не подлежащий лечению вирус, и выполняет действие, установленное для такого объекта.

Вы также можете использовать модификации стандартного тестового "вируса" для проверки работы программы. Для этого следует изменить содержание стандартного "вируса", добавив к нему один из префиксов (см. таблицу далее). Для создания модификаций тестового "вируса" может использоваться любой текстовый или гипертекстовый редактор, например, Microsoft Блокнот , UltraEdit32 , и т.д.

Вы можете проверять корректность работы антивирусной программы с помощью модифицированного "вируса" EICAR только при наличии антивирусных баз, датированных не ранее 24.10.2003 (кумулятивное обновление – Октябрь, 2003).

В первой графе приведены префиксы, которые следует добавить в начало строки стандартного тестового "вируса". Во второй графе перечислены все возможные значения статуса, присваиваемого Антивирусом объекту по результатам проверки. Третья графа содержит информацию об обработке программой объектов с указанным статусом. Обращаем ваше внимание, что действия над объектами определяются значениями параметров программы.

После добавления префикса к тестовому "вирусу" сохраните полученный файл, например, под именем: eicar_dele.com. Дайте аналогичные названия всем модифицированным "вирусам".

Модификации тестового "вируса"

Информация об обработке объекта

Префикс отсутствует, стандартный тестовый "вирус".

Зараженный .
Объект содержит код известного вируса. Лечение невозможно.

Программа идентифицирует данный объект как вирус, не подлежащий лечению.

При попытке лечения объекта возникает ошибка; применяется действие, установленное для неизлечимых объектов.

Программа получила доступ к объекту, но не смогла проверить его, поскольку объект поврежден (например, нарушена структура объекта, неверный формат файла). Информацию о том, что объект был обработан, вы можете найти в отчете о работе программы.

Подозрительный .
Объект содержит код неизвестного вируса. Лечение невозможно.

Объект признан подозрительным с использованием эвристического анализатора. На момент обнаружения базы Антивируса не содержат описания процедуры лечения данного объекта. Вы получите уведомление при обнаружении такого объекта.

Подозрительный .
Объект содержит модифицированный код известного вируса. Лечение невозможно.

Программа обнаружила частичное совпадение участка кода объекта с участком кода известного вируса. На момент обнаружения базы Антивируса не содержат описания процедуры лечения данного объекта. Вы получите уведомление при обнаружении такого объекта.

При проверке объекта возникла ошибка. Программа не смогла получить доступ к объекту: нарушена целостность объекта (например, нет конца многотомного архива) либо отсутствует связь с ним (если проверяется объект на сетевом ресурсе). Информацию о том, что объект был обработан, вы можете найти в отчете о работе программы.

Зараженный .
Объект содержит код известного вируса. Излечим.

Объект содержит вирус, который может быть вылечен. Программа выполняет лечение объекта, при этом текст тела "вируса" изменяется на CURE. Вы получите уведомление при обнаружении такого объекта.

Зараженный .
Объект содержит код известного вируса. Лечение невозможно.

Программа идентифицирует данный объект как вирус, не подлежащий лечению.

Вы получите уведомление при обнаружении такого объекта.

МОСКОВСКИЙ УНИВЕРСИТЕТ МВД РОССИИ

Кафедра информатики и математики

Задание

Для практического занятия

4-4

Тема 4-4. Использование антивирусных программ

Практическое занятие - 2 часа аудиторных занятий

Место проведения - компьютерный класс кафедры.

Опорные вопросы по теме.

1. Изучение интерфейса

2. Тестовый вирус

3. Тестирование с помощью EICAR

4. Лечение инфицированных файлов

5. Помещение файлов на карантин

Учебные вопросы.

1. Тестовый вирус

Назначение и создание тестового вируса

2. Тестирование с помощью EICAR

Метод проверки файлов используя контекстное меню

Действия в случае обнаружения вирусов

Использование резервного хранилища

Лечение инфицированных файлов

Метод лечения файлов используя постоянную защиту

Очистка резервного хранилища

Помещение файлов на карантин

Отличие карантина от резервного хранилища

Сводная статистика по карантину

Отправка в службу технической поддержки Лаборатории Касперского письма с подозрительным файлом

Методы проведения занятий:

- самостоятельное изучение курсантами в часы самоподготовки конспектов лекций, рекомендованной литературы, основного задания, исходных материалов и методических рекомендаций по теме;

- групповое обсуждение учебных вопросов;

- практическая работа на персональном компьютере.

Содержание основного задания:

- в часы самоподготовки курсанты изучают конспекты лекций, рекомендованную литературу, методические материалы к теме;

- в течение двух часов курсанты изучают интерфейс, знакомятся с основными приемами работы с антивирусными программами.

Отчетные документы курсантов - записи в рабочих тетрадях и созданные изображения на жестком диске компьютера.

Тестовый вирус

Тестовый вирус, разработанный Европейским институтом компьютерных антивирусных исследований, называется EICAR - по аббревиатуре полного названия института (European Institute for Computer Antivirus Research).

Для более подробного тестирования можно применять другие расширения. Например, если указать .txt, можно проверить проверяются ли текстовые файлы. Для проверки будут ли обнаруживаться вирусы в архивах, EICAR можно заархивировать.

Если открыть EICAR в каком-либо текстовом редакторе, например Блокнот (Notepad), то обнаружится, что он состоит из 68 символов:

Следовательно, тестовый вирус в любой момент можно создать самостоятельно. Для этого нужно только открыть любой текстовый редактор, набрать в нем эту строку и сохранить получившийся файл в формате текстового файла (обычный текст).

Суть EICAR такова, что он оказывается неизлечимым. Это происходит потому, что антивирус идентифицирует EICAR как вирус по наличию в нем упомянутых 68 символов. Если их удалить - то от файла ничего не останется. Следовательно, с помощью EICAR можно тестировать только основную функцию антивируса - обнаружение.

Поэтому для тестирования своих продуктов Лаборатория Касперского предлагает использовать модифицированный тестовый вирус, а именно:

№	Файл	Описание
CURE-EICAR	Обнаружив такой файл, антивирус должен его "вылечить", сократив его размер до 4 байт (символы "CURE" )
DELE-EICAR	Этот файл Антивирус Касперского определяет как неизлечимый вирус или троянскую программу и удаляет. Следовательно, по результатам проверки DELE-EICAR должен быть обнаружен только в резервном хранилище
CORR-EICAR	Предназначен для диагностики работы Антивируса Касперского в случае обнаружения файла с поврежденной структурой, вследствие чего проверить его на наличие вирусов невозможно. Такой файл признается условно чистым
ERRO-EICAR	При сканировании такого файла Антивирус Касперского должен вести себя так, как будто произошла ошибка при анализе его содержимого (например, из-за нарушения целостности при проверке многотомного архива или при обрыве связи во время проверки по сети). ERRO-EICAR также признается условно чистым
SUSP-EICAR	Этот файл корректно работающий Антивирус Касперского признает подозрительным, а именно зараженным неизвестным вирусом. Следовательно, он должен быть помещен на карантин или удален (в зависимости от настроек, по умолчанию действие при обнаружении подозрительного объекта запрашивается у пользователя)
WARN-EICAR	WARN-EICAR также признается подозрительным, но не неизвестным вирусом, а модификацией известного. Это также приводит к предложению поместить его на карантин или удалить (в зависимости от настроек)

Создаются эти файлы по следующему принципу. 68-символьная строка с начала дополняется пятью символами, в зависимости от модификации - приставкой CURE, DELE, CORR, ERRO, SUSP или WARN и дефисом. Например, содержимое CURE-EICAR выглядит так:

В этом задании нужно создать тестовые вирусы EICAR, CURE-EICAR и SUSP-EICAR.

Для этого вызовите контекстное меню иконки Антивируса Касперского в системной панели и выберите пункт Приостановка защиты 2)

2. В открывшемся окне Приостановка защиты оставьте предложенный по умолчанию вариант После перезапуска приложения и нажмите ОК

3. После этого появится сообщение о том, что защита не работает, а иконка Антивируса Касперского обесцветится. Постоянная защита отключена

4. Запустите текстовый редактор Блокнот, воспользовавшись системным меню Пуск / Программы / Стандартные / Блокнот

5. В открывшемся окне наберите строку

7. Сохраните получившийся файл в папку С:\Testпод именем eicar.com. Для этого воспользуйтесь меню Файл / Сохранить как…

8. В открывшемся окне перейдите к полю Имя файла и наберите в нем "С:\Test\eicar.com"

9. Вернитесь к окну Блокнота, нажав Сохранить

10. Модифицируйте EICAR, добавив к нему приставку "CURE-"

11. Сохраните получившийся файл под именем "С:\Test\cure-eicar.com", воспользовавшись командой Файл / Сохранить как…

12. Аналогично создайте SUSP-EICAR, повторив пункты 9-10, но для приставки "SUSP-"

13. Закройте окно текстового редактора Блокнот

Откройте папку C:\Test,

15. Проверьте размер каждого из файлов. Для этого по очереди наведите курсор мыши на каждый из файлов и ознакомьтесь с информацией, представленной во всплывающем окне.

16. Убедитесь, что при запуске тестовый вирус выводит предупреждающее окно. Для этого запустите eicar.com, дважды щелкнув по нему курсором мыши

17. Поскольку EICAR представляет собой приложение MS DOS, то при его запуске откроется окно сеанса MS DOS, которое сразу же после выполнения программы закроется. Для того, чтобы увидеть сообщение про то, что EICAR - это тестовый вирус, нужно запустить его через командную строку.

Воспользуйтесь системным меню Пуск / Выполнить / Стандартные / Командная строка

18. В открывшемся окне перейдите к каталогу Test. Для этого нужно набрать команду

и нажать клавишу Enter

19. Перейдя к нужному каталогу, запустите файл eicar.com, набрав команду

и нажав Enter

20. Ознакомьтесь с сообщением, которое вывел EICAR

Тестовый “вирус” EICAR и его модификации

Тестовый “вирус” специально разработан организацией EICAR (The European Institute for Computer Antivirus Research) для проверки работы антивирусных продуктов.

Тестовый “вирус” НЕ ЯВЛЯЕТСЯ вредоносным программным обеспечением и не содержит программного кода, который мог бы нанести ущерб вашему компьютеру. Тем не менее большинство продуктов антивирусных компаний-производителей идентифицируют EICAR как вирус.

Никогда не используйте в качестве проверки работоспособности антивирусного продукта настоящие вирусы!

Перед загрузкой необходимо приостановить антивирусную защиту, поскольку тестовый “вирус”, загружаемый со страницы anti_virus_test_file.htm, будет идентифицирован и обработан программой как зараженный объект, передаваемый по HTTP-протоколу.

Файл, загруженный с веб-сайта компании EICAR, программа идентифицирует как зараженный объект, содержащий не подлежащий лечению вирус, и выполняет действие, установленное для такого объекта.

Вы можете также использовать модификации стандартного тестового “вируса” для проверки работы программы. Для этого следует изменить содержание стандартного тестового “вируса”, добавив к нему один из префиксов (см. таблицу далее). Для создания модификаций тестового “вируса” может использоваться любой текстовый или гипертекстовый редактор, например Microsoft Блокнот или UltraEdit32.

В первой графе таблицы (см. ниже) приведены префиксы, которые следует добавить в начало строки стандартного тестового “вируса” для создания его модификаций. Во второй графе перечислены все возможные значения статуса, присваиваемого объекту по результатам проверки программой. Третья графа содержит информацию об обработке программой объектов с указанным статусом. Обращаем ваше внимание на то, что действия над объектами определяются значениями параметров программы.

После добавления префикса к тестовому “вирусу” сохраните полученный файл под именем, дающим представление о модификации “вируса”: например, добавив префикс DELE-, сохраните полученный файл под именем eicar_dele.com.

Не забудьте возобновить антивирусную защиту после загрузки тестового “вируса” и создания его модификаций.

Модификации тестового вируса

Информация об обработке объекта

Префикс отсутствует, стандартный тестовый “вирус”.

Объект содержит код известного вируса. Лечение невозможно.

Программа идентифицирует данный объект как вирус, не подлежащий лечению.

Объект содержит код неизвестного вируса. Лечение невозможно.

Объект признан подозрительным. На момент обнаружения базы программы не содержат описания процедуры лечения данного объекта. Вы получите уведомление при обнаружении такого объекта.

Объект содержит модифицированный код известного вируса. Лечение невозможно.

Программа обнаружила частичное с
овпадение участка кода объекта с участком кода известного вируса. На момент обнаружения базы программы не содержат описания процедуры лечения данного объекта. Вы получите уведомление при обнаружении такого объекта.

Объект содержит код известного вируса. Излечим.

Объект содержит вирус, который может быть вылечен. Программа выполняет лечение объекта, при этом текст тела вируса изменяется на CURE. Вы получите уведомление при обнаружении такого объекта.

Объект содержит код известного вируса. Лечение невозможно.

Программа идентифицирует данный объект как вирус, не подлежащий лечению.

Вы получите уведомление при обнаружении такого объекта.

Сценарий. Завершающий этап установки любой программы - это проверка корректности выполнения основных ее функций. Для антивирусных приложений основу функционала составляет способность находить и обезвреживать вредоносные программы.

Естественно, встает вопрос как проверить действительно ли программа может это делать - ведь известно, что новые вирусы появляются каждый день, причем десятками, а иногда и сотнями. Не каждому пользователю под силу регулярно отслеживать хотя бы их часть. Этим занимаются антивирусные компании. Их филиалы, разбросанные по всему миру, непрерывно следят за вирусной активностью в Интернет , перехватывают и анализируют все подозрительные файлы. На основе полученных данных формируются вирусные сигнатуры, которые рядовой пользователь получает во время обновления своих антивирусных баз 1 Процедура обновления антивирусных баз изучается в следующей лабораторной работе . Таким образом, проверить надежность антивирусной защиты от всех уже существующих вирусов и тех, которые только завтра или через год будут созданы, нереально. К тому же, использовать настоящие вирусы только для предварительного тестирования программы нельзя. Нельзя исключать вероятность , что программа установки где-то дала сбой и следовательно защита не установлена. Тогда во время проверки может произойти заражение вирусом, на котором производится тестирование, что недопустимо.

Но несмотря на все эти проблемы, метод диагностики антивирусных программ все же существует. Для этого используется специальный файл , " The Anti- Virus or Anti-Malware test file ", созданный Европейским институтом компьютерных антивирусных исследований (European Institute for Computer Antivirus Research).

В задании 1 этой лабораторной работы предлагается познакомиться с тестовым вирусом, в заданиях 2, 3 и 4 - протестировать работу установленного ранее Антивируса Касперского 6.0, параллельно изучив структуру резервного хранилища и карантина.

Перед началом лабораторной работы убедитесь, что Ваш компьютер :

Включен
На нем загружена операционная система Microsoft Windows XP или Microsoft Windows 2000 Professional
Выполнен вход в систему под учетной записью, обладающей правами администратора

Тестовый вирус , разработанный Европейским институтом компьютерных антивирусных исследований, называется EICAR - по аббревиатуре полного названия института (European Institute for Computer Antivirus Research).

Для более подробного тестирования можно применять другие расширения. Например, если указать .txt , можно проверить проверяются ли текстовые файлы . Для проверки будут ли обнаруживаться вирусы в архивах, EICAR можно заархивировать.

Если открыть EICAR в каком-либо текстовом редакторе, например Блокнот ( Notepad ), то обнаружится, что он состоит из 68 символов:

Следовательно, тестовый вирус в любой момент можно создать самостоятельно. Для этого нужно только открыть любой текстовый редактор , набрать в нем эту строку и сохранить получившийся файл в формате текстового файла (обычный текст).

№	Файл	Описание
1	CURE -EICAR	Обнаружив такой файл, антивирус должен его "вылечить", сократив его размер до 4 байт (символы " CURE " )
2	DELE-EICAR	Этот файл Антивирус Касперского определяет как неизлечимый вирус или троянскую программу и удаляет. Следовательно, по результатам проверки DELE-EICAR должен быть обнаружен только в резервном хранилище
3	CORR-EICAR	Предназначен для диагностики работы Антивируса Касперского в случае обнаружения файла с поврежденной структурой, вследствие чего проверить его на наличие вирусов невозможно. Такой файл признается условно чистым
4	ERRO-EICAR	При сканировании такого файла Антивирус Касперского должен вести себя так, как будто произошла ошибка при анализе его содержимого (например, из-за нарушения целостности при проверке многотомного архива или при обрыве связи во время проверки по сети). ERRO-EICAR также признается условно чистым
5	SUSP-EICAR	Этот файл корректно работающий Антивирус Касперского признает подозрительным, а именно зараженным неизвестным вирусом. Следовательно, он должен быть помещен на карантин или удален (в зависимости от настроек, по умолчанию действие при обнаружении подозрительного объекта запрашивается у пользователя)
6	WARN-EICAR	WARN-EICAR также признается подозрительным, но не неизвестным вирусом, а модификацией известного. Это также приводит к предложению поместить его на карантин или удалить (в зависимости от настроек)

Создаются эти файлы по следующему принципу. 68-символьная строка с начала дополняется пятью символами, в зависимости от модификации - приставкой CURE , DELE , CORR , ERRO , SUSP или WARN и дефисом. Например, содержимое CURE -EICAR выглядит так:

В этом задании нужно создать тестовые вирусы EICAR , CURE -EICAR и SUSP-EICAR .

Кругозор без горизонтов

Чтобы получить доступ к сервисам проекта, войдите на сайт через аккаунт. Если у вас еще нет аккаунта, его можно создать.

добавить в избранное

Интернет не перестает поражать. Иногда думаешь: ну все, меня уже ничем не удивить! И через некоторое время находишь что-то еще более примечательное.

Первоисточника мы не знаем, этот текст встречается на многих сайтах. И текст этот, надо сказать, прекрасен:

Как же формируются все эти тесты? В идеале картинка такая: в компании специалисты написали разные вирусы, которые пытаются заразить разные версии операционных систем, на которых стоят разные антивирусы и условия при этом тоже разные. После такого вот масштабного тестирования подводятся итоги и пишутся отчеты. Согласитесь, все логично. И у каждого специалиста результаты тестирования могут быть тоже разными, так как у них совершенно другие условия тестирования антивирусной программы.

Мы думаем, что нашим читателям ересь подобных утверждений очевидна, но, тем не менее, напомним о нескольких моментах.

Длина EICAR – менее 100 символов.

Вот это и есть весь Eicar. И, как видно, большая часть его содержимого – текстовая строка "EICAR-STANDARD-ANTIVIRUS-TEST-FILE!" , которую он выводит (выводил) при запуске. Но за видимой простотой скрывается интересный код.

Интереснее сразу писать в машинных кодах. Например, EICAR получает код инструкции INT 21h (21CDh) как разницу между 2B48h ('H+') и 097Bh. В свою очередь 097Bh получается как 214Fh ('O!') xor 2834h ('4('). Итого: INT 21h ≡ 'H+' - ('O!' xor '4(')

Источник (осторожно, присутствует нецензурная лексика!)

Это вам не на языках высокого уровня писать!

Правильно писать EICAR или точнее EICAR-Test-File, так как это сокращение от European Institute for Computer Antivirus Research.

Большинство антивирусных продуктов детектируют EICAR, но не все.

Забавно, что определяют его все антивирусы по-разному – единого названия (как и единого наименования для каждой из конкретных вредоносных программ) не существует.

Но все это будет, естественно, один и тот же файл. Разница – в расширениях и в том, упакован он или нет.

Несмотря на свою простоту, EICAR позволяет проверить очень многое. Кликнув по файлу, вы узнаете, работает ли файловый монитор SpIDer Guard. Послав его письмом, проверите, проверяется ли почта модулем SpIDer Mail, а попытавшись его скачать или отправить, выясните, работает ли проверка трафика SpIDer Gate.

Как проверить работу антивируса с помощью EICAR, описано здесь.

А еще EICAR можно использовать для экспериментов – например, так или так.

Антивирусные компании не пишут вредоносные программы. Это – уголовно наказуемое деяние, за которое пострадать можно мгновенно, и эффект будет поболее, чем за скачивание секретного троянца с домашнего компьютера. И уж тем более они не создают коллекции вирусов для тестов. Делать им больше нечего!

Получайте Dr.Web-ки за участие в проекте

Каждая активность = 1 Dr.Web-ка

GREEN

10:57:20 2020-03-24

Sergey
09:51:36 2020-03-21

Шалтай Александр Болтай

19:24:03 2019-02-11

achemolganskiy
13:21:23 2019-02-08

robot
10:11:58 2019-02-08

Sasha50

03:44:33 2019-02-08

Геральт

21:45:35 2019-02-07

tigra

21:20:17 2019-02-07

tigra

21:17:06 2019-02-07

tigra

21:13:56 2019-02-07

Шалтай Александр Болтай

21:05:53 2019-02-07

orw_mikle
20:56:53 2019-02-07

Toma
20:53:00 2019-02-07

Dvakota
20:37:45 2019-02-07

znamy
20:09:59 2019-02-07

Lia00

19:59:56 2019-02-07

Andromeda
19:42:28 2019-02-07

anatol
19:37:13 2019-02-07

Roma_93
19:30:41 2019-02-07

Дмитрий
19:20:41 2019-02-07

matt1954
19:11:07 2019-02-07

Альфа
18:59:26 2019-02-07

Rider
17:13:57 2019-02-07

GREEN

16:08:47 2019-02-07

razgen

15:25:32 2019-02-07

c0mpay
14:11:54 2019-02-07

Oleg
13:06:24 2019-02-07

Татьяна
12:46:21 2019-02-07

vinnetou
12:38:01 2019-02-07

Денисенко Павел Андреевич
12:26:12 2019-02-07

Masha
12:24:17 2019-02-07

SGES

11:51:37 2019-02-07

vkor
11:24:00 2019-02-07

sanek-xf
10:44:04 2019-02-07

Natalya_2017
10:41:08 2019-02-07

Dmur
10:41:05 2019-02-07

Anton_S
10:38:56 2019-02-07

Alexander

10:36:19 2019-02-07

P.S. Плановые и внезапные проверки "боеготовности" - это штатные регламентные периодические взаимодействия командиров всех рангов и подчинённых им подразделений. Типа, чтобы карась не жирел и не дремал. Вот и eicar можно попробовать… тем более, что сегодня это предлагают… и, главное, бесплатно.

Так что Dr.Web Security Space "рулит". А что ещё надо обычному интернет-пользователю? Чтоб и по сети полазить, и чтоб ничего не подцепить. И наш любимый Dr.Web Security Space повсюду сопровождает нас как друг, товарищ и личный телохранитель.

Biggurza

10:35:41 2019-02-07

Полёт к свободе – путь первопроходца.
Сейчас другие ходят в небеса,
И яркий луч безжалостного солнца,
Играет в плоскости взведенного ножа.

Вячeслaв

10:32:57 2019-02-07

Вячeслaв

10:32:01 2019-02-07

maestro431
09:36:00 2019-02-07

dyadya_Sasha

09:23:21 2019-02-07

Nail
09:21:07 2019-02-07

marisha-san

09:11:03 2019-02-07

Vlad X
09:10:59 2019-02-07

Lenba
09:05:20 2019-02-07

EvgenyZ
08:58:11 2019-02-07

I23
08:52:56 2019-02-07

Читайте также: