EICAR-Test-File
Хотя COM-файлы в общем случае являются двоичными, EICAR содержит только символы ASCII. Поэтому любой пользователь может убедиться в работоспособности своего антивируса, набрав в текстовом редакторе (например, в Блокноте) тестовую строку длиной 68—128 байт[1] и сохранив её с расширением .EXE или .COM. Символы CR/LF, которые редактор может добавить в конец файла, не влияют на работу EICAR. Обычно, если резидентный монитор антивируса включен, уже после нажатия кнопки «Сохранить» выводится предупреждение.
Реакция антивирусов
Антивирус, обнаруживший данную строку, должен поступить в точности так же, как и при обнаружении реального вируса. Поэтому о том, что тревога учебная, антивирус обычно сообщает в названии вируса:
- EICAR Test-NOT virus!!! (avast!),
- EICAR-Test-File (Антивирус Касперского),
- EICAR Test File (Not a Virus!) (Doctor Web),
- EICAR-AV-Test (Sophos),
- EICAR_Test_File (RAV),
- Eicar_test_file (Trend Micro),
- Eicar-Test-Signature (Avira AntiVir),
- EICAR_Test_File (FRISK),
- EICAR_Test (+356) (Grisoft),
- Eicar-Test-Signature (ClamAV),
- Eicar.Mod (Panda Cloud Antivirus),
- VIRUS:DOS/EICAR_Test_File (Microsoft Security Essentials, Защитник Windows).
- Eicar тест файл (NOD32)
- Teststring.Eicar (Comodo Internet Security, Comodo AntiVirus)
- EICAR_test_file (Virus) (Outpost Security Suite)
Крайне редко встречаются антивирусы, которые не реагируют на этот тест.
Для чего предназначен
Разумеется, EICAR не проверяет, насколько оперативно разработчики реагируют на вирусы и насколько качественно излечиваются заражённые файлы — для этого нужен «зоопарк» свежих вирусов. Его задача другая: продемонстрировать работоспособность антивирусной системы и указать, какие объекты проверяются антивирусом, а какие — нет. Например:
- Есть подозрение, что компьютер заражён. Действует резидентный монитор, или вирус сумел его отключить?
- Обычный почтовый червь наподобие VBS.LoveLetter должен для заражения пройти несколько стадий: прийти на почтовый сервер по протоколу SMTP; загрузиться на компьютер по протоколу POP3; записаться в базу почтового клиента; по команде пользователя распаковаться во временный файл и запуститься. На какой стадии он будет замечен?
- Существует много способов «протащить» вредоносную программу мимо «глаз» антивируса: закодировать в Base64, вложить в OLE-объект Microsoft Word, в RAR, JPEG, сжать упаковщиком наподобие UPX. Что из этого антивирус распакует?
- Кроме того, антивирусы бывают не только локальные, но и сетевые — проверяющие сетевой трафик; при ошибке конфигурирования они будут либо загружать сервер излишней работой, либо, наоборот, пропускать вредоносные файлы.
- Просто чтобы увидеть реакцию антивируса: так, в старых версиях антивируса Касперского при обнаружении вируса был громкий свиной визг[2].
Для того, чтобы проверить, какова будет реакция антивируса, конечно, можно применить и «живой» вирус — но это «как поджигание урны для проверки пожарной сигнализации».[3] Для этого и был предложен стандартизированный файл, не несущий вредоносной нагрузки.
COM-файл
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
Этот COM-файл при запуске выводит сообщение:
EICAR-STANDARD-ANTIVIRUS-TEST-FILE!
после чего возвращает управление DOS.
Примечания
- ↑ https://www.virusbtn.com/pdf/magazine/2003/200306.pdf
- ↑ Архивированная копия (недоступная ссылка). Дата обращения: 25 июля 2017. Архивировано 13 апреля 2018 года.
- ↑ Сайт EICAR. Дата обращения: 30 декабря 2009. Архивировано 7 января 2010 года.
См. также
| Стандартные тестовые объекты | |
|---|---|
| Двумерная графика | |
| Трёхмерная графика | |
| MP3-аудио | |
| Программирование | |
| Сжатие данных | |
| Текстовые элементы | |
| Борьба с вирусами | |
| Домен | |
| Оптимизация |
|
 | Для улучшения этой статьи желательно: |