Двумя большими угрозами для сетевых клиентов являются вредоносные программы и фишинг. «Вредоносные программы» – это общее название программ, разработанных для изменения или повреждения данных, программного обеспечения, деталей компьютера. Существуют несколько типов вредоносных программ: вирусы, черви и Трояны.

Однако, так как вредоносные программы развивались от демонстрации искусства отдельными индивидуумами-программистами до изощренных технологий, разрабатываемых организованными преступными группами, границы между разными категориями начинают размываться.

Вирусы

Лучше всего известные типы вредоносных программ, это вирусы. И хотя многие вредоносные программы называют вирусами, они не имеют ничего общего с ними.

Вирус – это программа, которая была написана, чтобы вставлять копии себя в приложения и данные, а также в критически важные части жесткого диска компьютера. Вирусами называют самовоспроизводящиеся программы и датируют их появление началом 70-х годов. Но широко известны они стали только после развития микрокомпьютеров и Интернета.

Вирусы внедряют себя в специфические приложения на компьютере и запускаются при первом запуске программы. На этом этапе вирус может создать свою копию на жестком диске и продолжает работать или может работать каждый раз во время запуска приложения. Первые вирусы хранились на дискетах, быстро распространялись и инфицировали дискеты с данными, которые использовались в офисах многими людьми, или с помощью пиратских программ, которые передавались через игры. В наши дни, вирусы хранятся на других устройствах, таких как флеш-карты или распространяются через Интернет-соединения.

Хотя некоторые вирусы не созданы для причинения ущерба, большинство таких программ разработаны чтобы вредить пользователям, повреждая их данные, атакуя операционную систему или обеспечивая используемые «лазейки», предоставляя взломщикам доступ к компьютеру. Даже если ущерб не предусматривается, вирусы используют память, пространство на диске и понижают производительность компьютера.

Черви

Другим типом самовоспроизводящихся вредоносных программ являются черви; также как и вирусы они разработаны чтобы создавать свои копии; но в отличии от вирусов, черви являются автономными приложениями.

Черви распространяются через сетевые соединения, попадая на неинфицированные компьютеры, а затем используют их ресурсы чтобы передавать еще больше копий через сети.

Существуют четыре этапа атаки червей:

1. Первый этап это когда червь проверяет другие компьютеры в поисках уязвимостей, которые можно использовать для внедрения своих копий.
2. Следующим этапом является проникновение в уязвимый компьютер, посредством выполнения операций для использования уязвимостей. Например, червь может обнаружить открытое сетевое соединение, через которое он может получить удаленный доступ к машине для выполнения своих инструкций.
3. На третьем этапе червь загружает себя в удаленный компьютер и хранится там. Это часто называется этап «сохранения».
4. На следующем этапе червь будет саморазмножаться, выбирая новые компьютеры для пробных попыток.

Черви были изобретены благодаря любопытству и предлагались как способы тестирования сетей или распространения патчей для программ по сети; однако их недостатки намного превышают их преимущества. Даже самый «милый» червь использует ресурсы и может влиять на производительность компьютерной системы.

Трояны

Последний главный тип вредоносных программ это Троян (или Троянский конь); назван в честь деревянного коня, который предположительно был тайно провезен с солдатами Греции в древний город Трою.

Троян маскируется под полностью легитимную программу (как например экранная заставка), но при этом тайно наносит вред – позволяя кому-то получать контроль над компьютером, копируя личную информацию, удаляя информацию, отслеживая набранный на клавиатуре текст, или используя программы для отправки почты чтобы передаваться на другие компьютеры. В отличие от вирусов и червей, Трояны не являются самовоспроизводящимися программами, для распространения между компьютерами они полагаются на свою кажущуюся полезность.

Некоторые Трояны работают изолированно. Однако, иногда они используют сети, для передачи похищенной информации – такой как пароли, информации о банковских счетах или номера кредитных карт, или же действуют как лазейки для поврежденных компьютеров. Они позволяют взломщикам обходить функции безопасности операционных систем и получать доступ к данным или даже контролировать компьютер посредством сети.

Как вредоносные программы попадают на ваш компьютер?

Вредоносные программы могут попасть в компьютер через механизмы разных типов, большинство из которых использует комбинации человеческого и технического фактора.

Например, создатель вредоносной программы может побудить вас загрузить свою вредоносную программу, вставив в письмо ссылку, или прикрепляя программу к письму. Кроме этого, вредоносная программа может быть запакована вместе с нелегальной копией стандартной программы, и таким образом попасть на компьютеры пользователей, которые выберут использовать эти нелегальные копии, вместо того чтобы платить за оригинальные версии.

• По материалам The Open University.
• . Использовать только с разрешения!

Введение

Вредоносная программа – компьютерная программа или переносной код, предназначенный для реализации угроз информации, хранящейся в компьютерной системе, либо для скрытого нецелевого использования ресурсов системы, либо иного воздействия, препятствующего нормальному функционированию компьютерной системы.

К вредоносному программному обеспечению относятся сетевые черви, классические файловые вирусы, троянские программы, хакерские утилиты и прочие программы, наносящие заведомый вред компьютеру, на котором они запускаются на выполнение, или другим компьютерам в сети.

Независимо от типа, вредоносные программы способны наносить значительный ущерб, реализуя любые угрозы информации – угрозы нарушения целостности, конфиденциальности, доступности.

Местом глобального распространения вредоносных программ является, конечно же, Internet.

Интернет, без сомнения, вещь в наше время нужная, для кого-то просто необходимая. За небольшой отрезок времени можно найти нужную информацию, ознакомиться с последними новостями, а также пообщаться с множеством людейи все это не выходя из дома, офиса и т.д. Но не забывайте, что по этой «толстой трубе» хакеры легко могут влезть в ваш компьютер и получить доступ к вашей личной информации.

Хотя поставщики аппаратного и программного обеспечения, а также официальные лица в правительстве принимают позы защитников личной информации, в которую постороннее вторжение недопустимо, имеются серьезные основания опасаться, что наши путешествия по Internet не останутся без внимания чьих-то «внимательных» глаз, анонимность и безопасность не гарантируется. Хакеры могут легко читать послания по электронной почте, а Web-серверы протоколируют все и вся, включая даже перечень просматриваемых Web-страниц.

1. Эволюция вирусных систем

Первые вирусные программы

1949 год. Американский ученый венгерского происхождения Джон фон Науманн (John von Naumann) разработал математическую теорию создания самовоспроизводящихся программ. Это была первая теория создания компьютерных вирусов, вызвавшая весьма ограниченный интерес у научного сообщества.

В начале 60-х инженеры из американской компании Bell Telephone Laboratories – В.А. Высотский, Г.Д. Макилрой и Роберт Моррис – создали игру «Дарвин». Игра предполагала присутствие в памяти вычислительной машины так называемого супервизора, определявшего правила и порядок борьбы между собой программ-соперников, создававшихся игроками. Программы имели функции исследования пространства, размножения и уничтожения. Смысл игры заключался в удалении всех копий программы противника и захвате поля битвы.

Конец 60-х – начало 70-х годов. Появление первых вирусов. В ряде случаев это были ошибки в программах, приводивших к тому, что программы копировали сами себя, засоряя жесткий диск компьютеров, что снижало их продуктивность, однако считается, что в большинстве случаев вирусы сознательно создавались для разрушения. Вероятно, первой жертвой настоящего вируса, написанного программистом для развлечения, стал компьютер Univax 1108. Вирус назывался Pervading Animal и заразил только один компьютер – на котором и был создан.

Вредоносные программы в наше время

Проблема вредоносных программ – рекламных и шпионских – заслуживает повышенного внимания как одна из самых главных неприятностей, с которыми ежедневно сталкиваются современные пользователи компьютеров. Их пагубное воздействие проявляется в том, что они подрывают принцип надёжности компьютера и нарушают неприкосновенность личной жизни, нарушают конфиденциальность и разрывают отношения между защищёнными механизмами работы компьютера, посредством некоторых комбинаций шпионских действий. Подобные программы часто появляются без ведома получателя, и даже при обнаружении от них трудно избавиться. Заметное снижение производительности, беспорядочная смена пользовательских настроек и появление новых сомнительных панелей инструментов или аддонов являются лишь немногими страшными последствиями заражения «шпионом» или рекламной программой. «Шпионы» и другие вредоносные программы могут также прилаживаться к более незаметным режимам функционирования компьютера и глубоко внедряться в сложные механизмы работы операционной системы так, чтобы в значительной степени осложнить их обнаружение и уничтожение.

Снижение производительности является, наверное, самым заметным последствием вредоносных программ, так как напрямую влияет на работу компьютера до такой степени, что даже непрофессионал может это обнаружить. Если пользователи не так настораживаются, когда то и дело всплывают рекламные окна, пусть компьютер и не подключён к Интернету, то снижение отзывчивости операционной системы, поскольку потоки вредоносного кода конкурируют с системой и полезными программами, явно говорит о появлении проблем. Меняются программные настройки, таинственным образом добавляются новые функции, необычные процессы появляются в диспетчере задач (иногда их бывает и десяток), или программы ведут себя так, будто их использует кто-то другой, а вы потеряли над ними контроль. Побочные эффекты вредоносных программ (будь то рекламная или шпионская программа) приводят к серьёзным последствиям, и, тем не менее, многие пользователи продолжают вести себя легкомысленно, открывая настежь дверь к своему компьютеру.

В современном Интернет в среднем каждое тридцатое письмо заражено почтовым червем, около 70% всей корреспонденции – нежелательна. С ростом сети Интернет увеличивается количество потенциальных жертв вирусописателей, выход новых операционных систем влечет за собой расширение спектра возможных путей проникновения в систему и вариантов возможной вредоносной нагрузки для вирусов. Современный пользователь компьютера не может чувствовать себя в безопасности перед угрозой стать объектом чей-то злой шутки – например, уничтожения информации на винчестере – результатов долгой и кропотливой работы, или кражи пароля на почтовую систему. Точно так же неприятно обнаружить себя жертвой массовой рассылки конфиденциальных файлов или ссылки на порно-сайт. Кроме уже ставших привычными краж номеров кредитных карт, участились случаи воровства персональных данных игроков различных онлайновых игр – Ultima Online, Legend of Mir, Lineage, Gamania. В России также зафиксированы случаи с игрой «Бойцовский клуб», где реальная стоимость некоторых предметов на аукционах достигает тысяч долларов США. Развитие получили и вирусные технологии для мобильных устройств. В качестве пути проникновения используются не только Bluetooth-устройства, но и обычные MMS-сообщения (червь ComWar).

2. Разновидности вредоносных программ

2.1 Компьютерный вирус

Компьютерный вирус – разновидность компьютерных программ, отличительной особенностью которой является способность к размножению (саморепликация). В дополнение к этому вирусы могут повредить или полностью уничтожить все файлы и данные, подконтрольные пользователю, от имени которого была запущена заражённая программа, а также повредить или даже уничтожить операционную систему со всеми файлами в целом.

Неспециалисты к компьютерным вирусам иногда причисляют и другие виды вредоносных программ, такие как трояны, программы-шпионы и даже спам. (Спам (англ. spam) – рассылка коммерческой, политической и иной рекламы или иного вида сообщений лицам, не выражавшим желания их получать. Легальность массовой рассылки некоторых видов сообщений, для которых не требуется согласие получателей, может быть закреплена в законодательстве страны. Например, это может касаться сообщений о надвигающихся стихийных бедствиях, массовой мобилизации граждан и т.п. В общепринятом значении термин «спам» в русском языке впервые стал употребляться применительно к рассылке электронных писем) Известны десятки тысяч компьютерных вирусов, которые распространяются через Интернет по всему миру, организуя вирусные эпидемии.

Вирусы распространяются, внедряя себя в исполняемый код других программ или же заменяя собой другие программы. Какое-то время даже считалось, что, являясь программой, вирус может заразить только программу – какое угодно изменение не программы является не заражением, а просто повреждением данных. Подразумевалось, что такие копии вируса не получат управления, будучи информацией, не используемой процессором в качестве инструкций. Так, например неформатированный текст не мог бы быть переносчиком вируса.

Однако позднее злоумышленники добились, что вирусным поведением может обладать не только исполняемый код, содержащий машинный код процессора. Были написаны вирусы на языке пакетных файлов. Потом появились макровирусы, внедряющиеся через макросы в документы таких программ, как Microsoft Word и Excel.

Некоторое время спустя взломщики создали вирусы, использующие уязвимости в популярном программном обеспечении (например, Adobe Photoshop, Internet Explorer, Outlook), в общем случае обрабатывающем обычные данные. Вирусы стали распространяться посредством внедрения в последовательности данных (например, картинки, тексты, и т.д.) специального кода, использующего уязвимости программного обеспечения.

2.2 Троян

Вредоносное воздействие

Троянская программа (также – троян, троянец, троянский конь, трой) – вредоносная программа, проникающая на компьютер под видом безвредной – кодека, скринсейвера, хакерского ПО и т.д.

«Троянские кони» не имеют собственного механизма распространения, и этим отличаются от вирусов, которые распространяются, прикрепляя себя к безобидному ПО или документам, и «червей», которые копируют себя по сети. Впрочем, троянская программа может нести вирусное тело – тогда запустивший троянца превращается в очаг «заразы».

Троянские программы крайне просты в написании: простейшие из них состоят из нескольких десятков строк кода на Visual Basic или C++.

Название «троянская программа» происходит от названия «троянский конь» – деревянный конь, по легенде, подаренный древними греками жителям Трои, внутри которого прятались воины, впоследствии открывшие завоевателям ворота города. Такое название, прежде всего, отражает скрытность и потенциальное коварство истинных замыслов разработчика программы.

Троянская программа, будучи запущенной на компьютере, может:

· мешать работе пользователя (в шутку, по ошибке или для достижения каких-либо других целей);

· шпионить за пользователем;

· использовать ресурсы компьютера для какой-либо незаконной (а иногда и наносящей прямой ущерб) деятельности и т.д.

Маскировка троянской программы

Для того, чтобы спровоцировать пользователя запустить троянца, файл программы (его название, иконку программы) называют служебным именем, маскируют под другую программу (например, установки другой программы), файл другого типа или просто дают привлекательное для запуска название, иконку и т.п. Злоумышленник может перекомпилировать существующую программу, добавив к её исходному коду вредоносный, а потом выдавать за оригинал или подменять его.

Чтобы успешно выполнять эти функции, троянец может в той или иной степени имитировать (или даже полноценно заменять) задачу или файл данных, под которые она маскируется (программа установки, прикладная программа, игра, прикладной документ, картинка). Схожие вредоносные и маскировочные функции также используются компьютерными вирусами, но в отличие от них, троянские программы не умеют распространяться самостоятельно.

Распространение

Троянские программы помещаются злоумышленником на открытые ресурсы (файл-серверы, открытые для записи накопители самого компьютера), носители информации или присылаются с помощью служб обмена сообщениями (например, электронной почтой) из расчета на их запуск на конкретном, входящем в определенный круг или произвольном «целевом» компьютере.

Иногда использование троянов является лишь частью спланированной многоступенчатой атаки на определенные компьютеры, сети или ресурсы (в том числе, третьи).

Методы удаления

Трояны обладают множеством видов и форм, поэтому не существует абсолютно надёжной защиты от них.

Для обнаружения и удаления троянов необходимо использовать антивирусные программы. Если антивирус сообщает, что при обнаружении трояна он не может удалить его, то можно попробовать выполнить загрузку ОС с альтернативного источника и повторить проверку антивирусом. Если троян обнаружен в системе, то его можно также удалить вручную (рекомендуется «безопасный режим»).

Чрезвычайно важно для обнаружения троянов и другого вредоносного ПО, регулярно обновлять антивирусную базу данных установленного на компьютере антивируса, так как ежедневно появляется множество новых вредоносных программ.

2.3 Шпионское программное обеспечение

Определение

Spyware (шпионское программное обеспечение) – программа, которая скрытным образом устанавливается на компьютер с целью полного или частичного контроля за работой компьютера и пользователя без согласия последнего.

В настоящий момент существует множество определений и толкований термина spyware. Организация «Anti-Spyware Coalition», в которой состоят многие крупные производители антишпионского и антивирусного программного обеспечения, определяет его как мониторинговый программный продукт, установленный и применяемый без должного оповещения пользователя, его согласия и контроля со стороны пользователя, то есть несанкционированно установленный.

Особенности функционирования

Spyware могут осуществлять широкий круг задач, например:

· собирать информацию о привычках пользования Интернетом и наиболее часто посещаемые сайты (программа отслеживания);

· запоминать нажатия клавиш на клавиатуре (кейлоггеры) и записывать скриншоты экрана (screen scraper) и в дальнейшем отправлять информацию создателю spyware;

· несанкционированно и удалённо управлять компьютером (remote control software) – бэкдоры, ботнеты, droneware;

· инсталлировать на компьютер пользователя дополнительные программы;

· использоваться для несанкционированного анализа состояния систем безопасности (security analysis software) – сканеры портов и уязвимостей и взломщики паролей;

· изменять параметры операционной системы (system modifying software) – руткиты, перехватчики управления (hijackers) и пр. – результатом чего является снижение скорости соединения с Интернетом или потеря соединения как такового, открывание других домашних страниц или удаление тех или иных программ;

· перенаправлять активность браузеров, что влечёт за собой посещение веб-сайтов вслепую с риском заражения вирусами.

Законные виды применения «потенциально нежелательных технологий»

· Tracking Software (программы отслеживания) широко и совершенно законно применяются для мониторинга персональных компьютеров.

· Adware может открыто включаться в состав бесплатного и условно-бесплатного программного обеспечения, и пользователь соглашается на просмотр рекламы, чтобы иметь какую-либо дополнительную возможность (например – пользоваться данной программой бесплатно). В таком случае наличие программы для показа рекламы должно явно прописываться в соглашении конечного пользователя (EULA).

· Программы удалённого контроля и управления могут применяться для удалённой технической поддержки или доступа к собственным ресурсам, которые расположены на удалённом компьютере.

· Дозвонщики (диалеры) могут давать возможность получить доступ к ресурсам, нужным пользователю (например – дозвон к Интернет-провайдеру для подключения к сети Интернет).

· Программы для модификации системы могут применяться и для персонализации, желательной для пользователя.

· Программы для автоматической загрузки могут применяться для автоматической загрузки обновлений прикладных программ и обновлений ОС.

· Программы для анализа состояния системы безопасности применяются для исследования защищённости компьютерных систем и в других совершенно законных целях.

· Технологии пассивного отслеживания могут быть полезны для персонализации веб-страниц, которые посещает пользователь.

История и развитие

Согласно данным AOL и National Cyber-Security Alliance от 2005 года 61% респондентных компьютеров содержали ту или иную форму spyware, из них 92% пользователей не знали о присутствии spyware на их машинах и 91% сообщили, что они не давали разрешения на инсталляцию spyware.

К 2006 году spyware стали одним из превалирующих угроз безопасности компьютерных систем, использующих Windows. Компьютеры, в которых Internet Explorer служит основным браузером, являются частично уязвимыми не потому, что Internet Explorer наиболее широко используется, но из-за того, что его тесная интеграция с Windows позволяет spyware получать доступ к ключевым узлам ОС.

До релиза Internet Explorer 7 браузер автоматически выдавал окно инсталляции для любого компонента ActiveX, который веб-сайт хотел установить. Сочетание наивной неосведомлённости пользователя по отношению к spyware и предположение Internet Explorer, что все компоненты ActiveX безвредны, внесло свой вклад в массовое распространение spyware. Многие компоненты spyware также используют изъяны в JavaScript, Internet Explorer и Windows для инсталляции без ведома и / или разрешения пользователя.

Реестр Windows содержит множество разделов, которые после модифицирования значений ключей позволяют программе исполняться автоматически при загрузке ОС. Spyware могут использовать такой шаблон для обхождения попыток деинсталляции и удаления.

Spyware обычно присоединяют себя из каждого местонахождения в реестре, позволяющего исполнение. Будучи запущенным, spyware контролирует периодически, не удалено ли одно из этих звеньев. Если да, то оно автоматически восстанавливается. Это гарантирует, что spyware будет выполняться во время загрузки ОС, даже если некоторые (или большинство) звенья в реестре автозапуска удалены.

Spyware, вирусы и сетевые черви

В отличие от вирусов и сетевых червей, spyware обычно не саморазмножается. Подобно многим современным вирусам, spyware внедряется в компьютер преимущественно с коммерческими целями. Типичные проявления включают в себя демонстрацию рекламных всплывающих окон, кражу персональной информации (включая финансовую, например, номера кредитных карт), отслеживание привычки посещения веб-сайтов или перенаправление адресного запроса в браузере на рекламные или порносайты.

Телефонное мошенничество

Создатели spyware могут совершать мошенничество на телефонных линиях с помощью программ типа «диалер». Диалер может перенастроить модем для дозвона на дорогостоящие телефонные номера вместо обычного ISP. Соединение с этими не вызывающими доверия номерами идёт по международным или межконтинентальным тарифам, следствием чего являются непомерно высокие суммы в телефонных счетах. Диалер не эффективен на компьютерах без модема или не подсоединённых к телефонной линии.

Методы лечения и предотвращения

Если угроза со стороны spyware становится более чем назойливой, существует ряд методов для борьбы с ними. Среди них программы, разработанные для удаления или блокирования внедрения spyware, также как и различные советы пользователю, направленные на снижение вероятности попадания spyware в систему.

Тем не менее, spyware остаётся дорогостоящей проблемой. Когда значительное число элементов spyware инфицировало ОС, единственным средством остаётся сохранение файлов данных пользователя и полная переустановка ОС.

Антиspyware программы

Программы, такие как Ad-Aware (бесплатно для некоммерческого использования, дополнительные услуги платные) от Lavasoft и Spyware Doctor от PC Tools (бесплатное сканирование, удаление spyware платное) стремительно завоевали популярность как эффективные инструменты удаления и, в некоторых случаях, препятствия внедрению spyware. В 2004 году Microsoft приобрела GIANT AntiSpyware, переименовав её в Windows AntiSpyware beta и выпустив её как бесплатную загрузку для зарегистрированных пользователей Windows XP и Windows Server 2003. В 2006 году Microsoft переименовал бета-версию в Windows Defender который был выпущен для бесплатной загрузки (для зарегистрированных пользователей) с октября 2006 года и включён как стандартный инструмент в Windows Vista.

2.4 Сетевые черви

Сетевой червь – разновидность самовоспроизводящихся компьютерных программ, распространяющихся в локальных и глобальных компьютерных сетях. Червь является самостоятельной программой.

Одни из первых экспериментов по использованию компьютерных червей в распределённых вычислениях были проведены в исследовательском центре Xerox в Пало Альто Джоном Шочем (John Shoch) и Йоном Хуппом (Jon Hupp) в 1978. Термин возник под влиянием научно-фантастических романов Дэвида Герролда «Когда ХАРЛИ исполнился год» и Джона Браннера «На ударной волне»

Одним из наиболее известных компьютерных червей является «Червь Морриса», написанный Робертом Моррисом (Robert Morris) младшим, который был в то время студентом Корнельского Университета. Распространение червя началось 2 ноября 1988, после чего червь быстро заразил большое количество компьютеров, подключённых к интернету.

Механизмы распространения

Черви могут использовать различные механизмы («векторы») распространения. Некоторые черви требуют определенного действия пользователя для распространения (например, открытия инфицированного сообщения в клиенте электронной почты). Другие черви могут распространяться автономно, выбирая и атакуя компьютеры в полностью автоматическом режиме. Иногда встречаются черви с целым набором различных векторов распространения, стратегий выбора жертвы, и даже эксплойтов под различные операционные системы.

Структура

Часто выделяют так называемые ОЗУ–резидентные черви, которые могут инфицировать работающую программу и находиться в ОЗУ, при этом не затрагивая жёсткие диски. От таких червей можно избавиться перезапуском компьютера (и, соответственно, сбросом ОЗУ). Такие черви состоят в основном из «инфекционной» части: эксплойта (шелл–кода) и небольшой полезной нагрузки (самого тела червя), которая размещается целиком в ОЗУ. Специфика таких червей заключается в том, что они не загружаются через загрузчик как все обычные исполняемые файлы, а значит, могут рассчитывать только на те динамические библиотеки, которые уже были загружены в память другими программами.

Также существуют черви, которые после успешного инфицирования памяти сохраняют код на жёстком диске и принимают меры для последующего запуска этого кода (например, путём прописывания соответствующих ключей в реестре Windows). От таких червей можно избавиться только при помощи антивируса или подобных инструментов. Зачастую инфекционная часть таких червей (эксплойт, шелл-код) содержит небольшую полезную нагрузку, которая загружается в ОЗУ и может «догрузить» по сети непосредственно само тело червя в виде отдельного файла. Для этого некоторые черви могут содержать в инфекционной части простой TFTP-клиент. Загружаемое таким способом тело червя (обычно отдельный исполняемый файл) теперь отвечает за дальнейшее сканирование и распространение уже с инфицированной системы, а также может содержать более серьёзную, полноценную полезную нагрузку, целью которой может быть, например, нанесение какого–либо вреда (например, DoS-атаки).

Большинство почтовых червей распространяются как один файл. Им не нужна отдельная «инфекционная» часть, так как обычно пользователь–жертва при помощи почтового клиента добровольно скачивает и запускает червя целиком.

2.5 Руткиты

Руткит (Rootkit) – программа или набор программ, использующих технологии сокрытия системных объектов (файлов, процессов, драйверов, сервисов, ключей реестра, открытых портов, соединений и пр.) посредством обхода механизмов системы.

Термин руткит исторически пришел из мира Unix, где под этим термином понимается набор утилит, которые хакер устанавливает на взломанном им компьютере после получения первоначального доступа. Это, как правило, хакерский инструментарий (снифферы, сканеры) и троянские программы, замещающие основные утилиты Unix. Руткит позволяет хакеру закрепиться во взломанной системе и скрыть следы своей деятельности.

В системе Windows под термином руткит принято считать программу, которая внедряется в систему и перехватывает системные функции, или производит замену системных библиотек. Перехват и модификация низкоуровневых API функций в первую очередь позволяет такой программе достаточно качественно маскировать свое присутствие в системе, защищая ее от обнаружения пользователем и антивирусным ПО. Кроме того, многие руткиты могут маскировать присутствие в системе любых описанных в его конфигурации процессов, папок и файлов на диске, ключей в реестре. Многие руткиты устанавливают в систему свои драйверы и сервисы (они естественно также являются «невидимыми»).

В последнее время угроза руткитов становится все более актуальной, т. к. разработчики вирусов, троянских программ и шпионского программного обеспечения начинают встраивать руткит-технологии в свои вредоносные программы. Одним из классических примеров может служить троянская программа Trojan-Spy. Win32. Qukart, которая маскирует свое присутствие в системе при помощи руткит-технологии. Ее RootKit-механизм прекрасно работает в Windows 95, 98, ME, 2000 и XP.

Классификация руткитов

Условно все руткит-технологии можно разделить на две категории:

· Руткиты работающие в режиме пользователя (user-mode)

· Руткиты работающие в режиме ядра (kernel-mode)

Также, руткиты можно классифицировать по принципу действия и по постоянству существования. По принципу действия:

· Изменяющие алгоритмы выполнения системных функций.

· Изменяющие системные структуры данных.

3. Признаки заражения компьютера вирусом. Действия при обнаружении заражения

Присутствие вирусов на компьютере обнаружить сложно, потому что они маскируются среди обычных файлов. В данной статье наиболее подробно описаны признаки заражения компьютера, а также способы восстановления данных после вирусной атаки и меры по предотвращению их поражения вредоносными программами.

Признаки заражения:

· вывод на экран непредусмотренных сообщений или изображений;

· подача непредусмотренных звуковых сигналов;

· неожиданное открытие и закрытие лотка CD-ROM-устройства;

· произвольный, без вашего участия, запуск на компьютере каких-либо программ;

· при наличии на вашем компьютере межсетевого экрана, появление предупреждений о попытке какой-либо из программ вашего компьютера выйти в интернет, хотя вы это никак не инициировали.

Если вы замечаете, что с компьютером происходит подобное то, с большой степенью вероятности, можно предположить, что ваш компьютер поражен вирусом.

Кроме того, есть некоторые характерные признаки поражения вирусом через электронную почту:

· друзья или знакомые говорят вам о сообщениях от вас, которые вы не отправляли;

· в вашем почтовом ящике находится большое количество сообщений без обратного адреса и заголовка.

Следует отметить, что не всегда такие признаки вызываются присутствием вирусов. Иногда они могут быть следствием других причин. Например, в случае с почтой зараженные сообщения могут рассылаться с вашим обратным адресом, но не с вашего компьютера.

Есть также косвенные признаки заражения вашего компьютера:

· частые зависания и сбои в работе компьютера;

· медленная работа компьютера при запуске программ;

· невозможность загрузки операционной системы;

· исчезновение файлов и каталогов или искажение их содержимого;

· частое обращение к жесткому диску (часто мигает лампочка на системном блоке);

· интернет-браузер «зависает» или ведет себя неожиданным образом (например, окно программы невозможно закрыть).

В 90% случаев наличие косвенных симптомов вызвано сбоем в аппаратном или программном обеспечении. Несмотря на то, что подобные симптомы с малой вероятностью свидетельствуют о заражении, при их появлении рекомендуется провести полную проверку вашего компьютера установленной на нем антивирусной программой

Действия при обнаружении заражения:

1. Отключите компьютер от интернета (от локальной сети).

2. Если симптом заражения состоит в том, что вы не можете загрузиться с жесткого диска компьютера (компьютер выдает ошибку, когда вы его включаете), попробуйте загрузиться в режиме защиты от сбоев или с диска аварийной загрузки Windows, который вы создавали при установке операционной системы на компьютер.

3. Прежде чем предпринимать какие-либо действия, сохраните результаты вашей работы на внешний носитель (дискету, CD-диск, флэш-накопитель и т.д.).

4. Установите антивирус, если на вашем компьютере не установлено никаких антивирусных программ.

5. Получите последние обновления антивирусных баз. Если это возможно, для их получения выходите в интернет не со своего компьютера, а с незараженного компьютера друзей, интернет-кафе, с работы. Лучше воспользоваться другим компьютером, поскольку при подключении к интернету с зараженного компьютера есть вероятность отправки вирусом важной информации злоумышленникам или распространения вируса по адресам вашей адресной книги. Именно поэтому при подозрении на заражение лучше всего сразу отключиться от интернета.

6. Запустите полную проверку компьютера.

4. Методы защиты от вредоносных программ

вирус компьютерный троян заражение

Стопроцентной защиты от всех вредоносных программ не существует: от эксплойтов наподобие Sasser или Conficker не застрахован никто. Чтобы снизить риск потерь от воздействия вредоносных программ, рекомендуется:

· использовать современные операционные системы, имеющие серьёзный уровень защиты от вредоносных программ;

· своевременно устанавливать патчи; если существует режим автоматического обновления, включить его;

· постоянно работать на персональном компьютере исключительно под правами пользователя, а не администратора, что не позволит большинству вредоносных программ инсталлироваться на персональном компьютере;

· использовать специализированные программные продукты, которые для противодействия вредоносным программам используют так называемые эвристические (поведенческие) анализаторы, то есть не требующие наличия сигнатурной базы;

· использовать антивирусные программные продукты известных производителей, с автоматическим обновлением сигнатурных баз;

· использовать персональный Firewall, контролирующий выход в сеть Интернет с персонального компьютера на основании политик, которые устанавливает сам пользователь;

· ограничить физический доступ к компьютеру посторонних лиц;

· использовать внешние носители информации только от проверенных источников;

· не открывать компьютерные файлы, полученные от ненадёжных источников;

· отключить автозапуск со сменных носителей, что не позволит запускаться кодам, которые находятся на нем без ведома пользователя (для Windows необходимо gpedit.msc->Административные шаблоны (Конфигурация пользователя)->Система->Отключить автозапуск->Включен «на всех дисководах»).

Современные средства защиты от различных форм вредоносных программ включают в себя множество программных компонентов и методов обнаружения «хороших» и «плохих» приложений. Сегодня поставщики антивирусных продуктов встраивают в свои программы сканеры для обнаружения «шпионов» и другого вредоносного кода, таким образом, всё делается для защиты конечного пользователя. Тем не менее, ни один пакет против шпионских программ не идеален. Один продукт может чересчур пристально относиться к программам, блокируя их при малейшем подозрении, в том числе «вычищая» и полезные утилиты, которыми вы регулярно пользуетесь. Другой продукт более лоялен к программам, но может пропускать некоторый шпионский код. Так что панацеи, увы, нет.

В отличие от антивирусных пакетов, которые регулярно показывают 100% эффективности по обнаружению вирусов в профессиональном тестировании, проводящемся такими экспертами, как «Virus Bulletin», ни один пакет против рекламных программ не набирает более 90%, а эффективность многих других продуктов определяется между 70% и 80%.

Это объясняет, почему одновременное использование, например, антивируса и антишпионской программы, наилучшим образом обеспечивает всестороннюю защиту системы от опасностей, которые могут прийти неожиданно. Практика показывает, что один пакет следует использовать в качестве постоянного «блокировщика», который загружается всякий раз при включении компьютера (например, AVP 6.0), в то время как ещё один пакет (или более) должен запускаться, по крайней мере, раз в неделю, чтобы обеспечить дополнительное сканирование (например, Ad-Aware). Таким образом, то, что пропустит один пакет, другой сможет обнаружить.

5. Классификация антивирусных программ

Виды антивирусных программ

Евгений Касперский в 1992 году использовал следующую классификацию антивирусов в зависимости от их принципа действия (определяющего функциональность):

· Сканеры (устаревший вариант – «полифаги») – определяют наличие вируса по базе сигнатур, хранящей сигнатуры (или их контрольные суммы) вирусов. Их эффективность определяется актуальностью вирусной базы и наличием эвристического анализатора (см.: Эвристическое сканирование).

· Ревизоры (класс, близкий к IDS) – запоминают состояние файловой системы, что делает в дальнейшем возможным анализ изменений.

· Сторожа (мониторы) – отслеживают потенциально опасные операции, выдавая пользователю соответствующий запрос на разрешение / запрещение операции.

· Вакцины – изменяют прививаемый файл таким образом, чтобы вирус, против которого делается прививка, уже считал файл заражённым. В современных (2007 год) условиях, когда количество возможных вирусов измеряется сотнями тысяч, этот подход неприменим.

Современные антивирусы сочетают все вышесказанные функции.

Антивирусы так же можно разделить на:

· Продукты для домашних пользователей:

· Собственно антивирусы;

· Комбинированные продукты (например, к классическому антивирусу добавлен антиспам, файрвол, антируткит и т.д.);

Корпоративные продукты:

· Серверные антивирусы;

· Антивирусы на рабочих станциях («endpoint»).

Современные антивирусные средства защиты и их основные функциональные особенности

BitDefender Antivirus Plus v10.

Основные функциональные особенности:

· функция Heuristics in Virtual Environment – эмуляция виртуальной машины, с помощью которой проходят проверку потенциально опасные объекты с использованием эвристических алгоритмов;

· автоматическая проверка данных, передаваемых по протоколу POP3, поддержка наиболее популярных почтовых клиентов (MS Exchange, MS Outlook, MS Outlook Express, Netscape, Eudora, Lotus Notes, Pegasus, The Bat и другие);

· защита от вирусов, распространяющихся через файлообменные Peer-2-Peer сети;

· формирование личного спам-листа пользователя.

Процессор Intel Pentium II 350 МГц, 128 MB RAM, 60 MB свободного места на жестком диске, наличие системы Windows 98/NT/Me/2000/XP.

Eset NOD32 2.5

· эвристический анализ, позволяющий обнаруживать неизвестные угрозы;

· технология ThreatSense – анализ файлов для выявления вирусов, программ-шпионов (spyware), непрошенной рекламы (adware), phishing-атак и других угроз;

· проверка и удаление вирусов из заблокированных для записей файлов (к примеру, защищенные системой безопасности Windows библиотеки DLL);

· поверка протоколов HTTP, POP3 и PMTP.

Минимальные системные требования: процессор Intel Pentium, 32 MB RAM, 30 MB свободного места на жестком диске, наличие системы Windows 95/98/NT/Me/2000/XP.

Антивирус Касперского 6.0

Основные функциональные особенности:

· проверка трафика на уровне протоколов POP3, IMAP и NNTP для входящих сообщений и SMTP для исходящих, специальные плагины для Microsoft Outlook, Microsoft Outlook Express и The Bat!;

· предупреждение пользователя в случае обнаружения изменения как в нормальных процессах, так и при выявлении скрытых, опасных и подозрительных;

· контроль изменений, вносимых в системный реестр;

· блокирование опасных макросов Visual Basic for Applications в документах Microsoft Office.

Минимальные системные требования: процессор Intel Pentium 133 МГц, 32 MB RAM, 50 MB свободного места на жестком диске, наличие системы Microsoft Windows 98/NT/2000/Me/XP.

McAfee VirusScan Pro 10 (2006)

Основные функциональные особенности:

· защита от вирусов, макровирусов, троянов, Интернет-червей, spyware, adware, вредоносных элементов управления ActiveX и Java;

· автоматическая проверка входящей (POP3) и исходящей (SMTP) электронной почты;

· технологии ScriptStopper и WormStopper для блокирования вредоносной активности скриптов и червей.

Минимальные системные требования: процессор Intel Pentium 133 МГц, 64 MB RAM, 40 MB свободного места на жестком диске, наличие системы Windows 98/Me/2000/XP.

Dr. Web 4.33а

Основные функциональные особенности:

· защита от червей, вирусов, троянов, полиморфных вирусов, макровирусов, spyware, программ-дозвонщиков, adware, хакерских утилит и вредоносных скриптов;

· обновление антивирусных баз до нескольких раз в час, размер каждого обновления до 15 KB;

· проверка системной памяти компьютера, позволяющая обнаружить вирусы, не существующие в виде файлов (например, CodeRed или Slammer);

· эвристический анализатор, позволяющий обезвредить неизвестные угрозы до выхода соответствующих обновлений вирусных баз.

Минимальные системные требования: наличие Windows 95/98/NT/Me/2000/XP. Аппаратные требования соответствуют заявленным для указанных ОС.

Заключение

Если вы до сих пор ни разу не сталкивались с компьютерными вирусами, то обязательно с ними встретитесь. Было время, когда антивирусные ПО только появлялись, а вирусы уже «орудовали по полной», принося каждый день убытки на миллионы долларов. Сегодня, конечно, вирусы тоже могут сделать нашу жизнь невыносимой, но в большинстве случаев даже обычный среднестатистический пользователь может очистить свой ПК от вредоносного ПО. А вот несколько лет назад приходилось полностью форматировать жесткий диск и начинать все с нуля. Но даже это не всегда приводило к желаемому результату.

Помните: для защиты вашего компьютера, на нем необходима установленная и обновленная антивирусная программа. Не попадайтесь на уловки мошенников, игнорируйте спам, будьте внимательны при установке на ваш ПК нелицензионных программ.

Список источников

1. Айтипедия http://www.itpedia.ru/index.php/

2. википедия (свободная энциклопедия) http://ru.wikipedia.org/wiki/

3. статья http://roox.net.ru/infosec/04/

4. статья http://www.thg.ru/software/malware_spyware_faq/index.html

5. статья http://www.oxpaha.ru/publisher_234_28501

Вредоносная программа - компьютерная программа или переносной код, предназначенный для реализации угроз информации, хранящейся в компьютерной системе, либо для скрытого нецелевого использования ресурсов системы, либо иного воздействия, препятствующего нормальному функционированию компьютерной системы.

Некоторые черви (так называемые «бесфайловые» или «пакетные» черви) распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код.

Для проникновения на удаленные компьютеры и запуска своей копии черви используют различные методы: социальный инжиниринг (например, текст электронного письма, призывающий открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый на полный доступ), ошибки в службах безопасности операционных систем и приложений.

Некоторые черви обладают также свойствами других разновидностей вредоносного программного обеспечения. Например, некоторые черви содержат троянские функции или способны заражать выполняемые файлы на локальном диске, т. е. имеют свойство троянской программы и/или компьютерного вируса.

Классические компьютерные вирусы

• последующего запуска своего кода при каких-либо действиях пользователя;
• дальнейшего внедрения в другие ресурсы компьютера.

В отличие от червей, вирусы не используют сетевых сервисов для проникновения на другие компьютеры. Копия вируса попадает на удалённые компьютеры только в том случае, если зараженный объект по каким-либо не зависящим от функционала вируса причинам оказывается активизированным на другом компьютере, например:

• при заражении доступных дисков вирус проник в файлы, расположенные на сетевом ресурсе;
• вирус скопировал себя на съёмный носитель или заразил файлы на нем;
• пользователь отослал электронное письмо с зараженным вложением.

Некоторые вирусы содержат в себе свойства других разновидностей вредоносного программного обеспечения, например бэкдор-процедуру или троянскую компоненту уничтожения информации на диске.

Троянские программы

В данную категорию входят программы, осуществляющие различные несанкционированные пользователем действия: сбор информации и ее передачу злоумышленнику, ее разрушение или злонамеренную модификацию, нарушение работоспособности компьютера, использование ресурсов компьютера в неблаговидных целях.

Отдельные категории троянских программ наносят ущерб удаленным компьютерам и сетям, не нарушая работоспособность зараженного компьютера (например, троянские программы, разработанные для массированных DoS-атак на удалённые ресурсы сети).

Хакерские утилиты и прочие вредоносные программы

• утилиты автоматизации создания вирусов, червей и троянских программ (конструкторы);
• программные библиотеки, разработанные для создания вредоносного ПО;
• хакерские утилиты скрытия кода зараженных файлов от антивирусной проверки (шифровальщики файлов);
• «злые шутки», затрудняющие работу с компьютером;
• программы, сообщающие пользователю заведомо ложную информацию о своих действиях в системе;
• прочие программы, тем или иным способом намеренно наносящие прямой или косвенный ущерб данному или удалённым компьютерам.

История вредоносного ПО

2018

33% организаций по всему миру подвергались атакам мобильных зловредов

30 января 2019 года стало известно, что компания Check Point Software Technologies Ltd. выпустила первую часть отчета 2019 Security Report, который раскрывает основные тренды и методы вредоносного ПО , которые исследователи Check Point наблюдали в 2018 году. Согласно документу, 33% организаций по всему миру подвергались атакам мобильного вредоносного ПО, причем три основных угрозы были направлены на ОС Android . В 2018 было несколько случаев, когда мобильное вредоносное ПО было предварительно установлено на устройствах, а приложения, доступные в магазинах приложений , фактически оказались скрытым вредоносным ПО. Подробнее .

Каждый четвертый атакованный пользователь в мире сталкивался с мобильными «порнозловредами»

В 2017 году 25%* пользователей мобильных устройств, столкнувшихся с различными зловредами, были атакованы вредоносными программами, которые в том или ином виде маскировались под контент для взрослых. В общей сложности такие угрозы затронули более 1,2 миллиона человек. К такому выводу пришли эксперты «Лаборатории Касперского», проанализировав киберугрозы для посетителей порносайтов и приложений. Всего в ходе своего исследования аналитики обнаружили 23 семейства мобильных зловредов, которые прячут свои реальные функции за материалами для взрослых.

Сталкиваясь с вредоносным порноприложением, пользователь практически в половине случаев (46%) рискует заполучить так называемый кликер – программу, которая «прокликивает» рекламные страницы или оформляет WAP-подписку, снимая таким образом деньги с мобильного счета. Второй по распространенности угрозой в этом случае являются банковские троянцы – с ними сталкивались 24% атакованных. На долю вымогателей приходится относительно небольшой процент заражений (6,5%), однако их попадание на устройство часто сопровождается запугиванием пользователя. Например, зловред блокирует экран, показывая оповещение об обнаружении нелегального контента (чаще всего детской порнографии) – с помощью этого обмана злоумышленники пытаются вынудить своих жертв заплатить выкуп.

Избежать заражения вредоносными программами, маскирующимися под порноконтент, можно с помощью все тех же базовых правил безопасного поведения: пользоваться только проверенными сайтами, не скачивать мобильные приложения из сторонних неофициальных источников (сколь бы заманчивыми они ни казались), не покупать взломанные аккаунты от порносайтов и, разумеется, использовать надежное защитное решение.

2017

Троян CryptoShuffler своровал биткоинов на $140 тыс.

По его словам, речь идет о бизнес-вирусе, который ворует данные - например, дебетовых карт - и перепродает их. При этом пользователи собственноручно запускают вирус на своих устройствах - посредством установки различных расширений.

Советник президента России по интернету также отметил, что установка вирусов для майнинга криптовалют - это на текущий момент самый прибыльный для хакеров бизнес.

«Самым распространенным и самым опасным вирусом следует считать тот вирус, который вскрывает сервер и ставит на него программу майнинга биткоинов», - указал Герман Клименко, отвечая на вопрос журналиста RNS о том, стоит ли ожидать более мощного повторения хакерской атаки вирусов, похожей на WannaCry .

Как он добавил, деятельность подобных зловредов заметно сказывается на производительности компьютеров, поскольку они используют вычислительные мощности устройства.

Со своей стороны, ведущий аналитик отдела развития «Доктор Веб» Вячеслав Медведев заявил РБК, что «если бы речь шла о 20-30%, это была бы эпидемия, и об этом бы знал каждый. Заражения майнерами есть, но сказать, что ими заражена треть пользователей, нельзя». По его словам, майнеры составляют порядка трети процента от всех найденных вредоносных программ.

Более 500 млн пользователей под прицелом Andriod-трояна SpyDealer

SpyDealer распространяется через платформы GoogleService и GoogleUpdate, а также незащищенные Wi-Fi -соединения, которые чаще всего находятся в публичных местах. Проникнув и установившись на устройстве, SpyDealer начинает контролировать все осуществляемые загрузки и статус беспроводного соединения. Вредоносной программой управляют при помощи SMS-команд, число которых достигает 50. Выполняя переданные из удалённого сервера команды, троян может похитить любые личные данные пользователя, включая номер телефона, данные IMEI, IMSI, SMS и MMS, перечень контактов, данные геолокации и информацию о текущих беспроводных соединениях. Перехват сообщений осуществляется с использованием специальных функций Android - AccessibilityService.

Под прицелом зловреда оказались пользователи WeChat , WhatsApp , Skype , Line , Viber , QQ, Tango, Telegram , Sina Weibo, Tencent Weibo и Facebook Messenger . Кроме того, угрозе подвергаются пользователи предустановленного браузера Android, браузеров Firefox и Oupeng, почтовых клиентов QQ Mail, NetEase Mail, Taobao и Baidu Net Disk.

SpyDealer сможет отвечать на телефонные звонки с заданного номера, вести запись телефонных разговоров и делать несанкционированные пользователем снимки с обеих камер смартфона. Всего насчитывается более 40 приложений , к которым троян имеет доступ. Таким образом, SpyDealer, по мнению исследователей, может служить «идеальным шпионом», способным не только похитить информацию, но и вести слежку за своей жертвой.

В настоящее время наибольшее число пострадавших от SpyDealer пользователей сосредоточено в Китае , в этой же стране находится и большинство командных серверов (однако сервера есть и в США). Наибольшей угрозе подвергаются смартфоны с ОС Android версий от 2.2 до 4.4, для последующих версий внесены исправления и некоторые угрозы ликвидированы. Однако SpyDealer способен похитить сведения и из смартфонов , работающих под ОС Android 5 и более высоких версий.

По оценкам специалистов, в мире в данный момент имеется около 2 млрд Android-смартфонов, среди которых около четверти работают под устаревшими версиями операционной системы. Следовательно, около 500 млн пользователей рискуют быть подверженными атаке трояна SpyDealer. При этом SpyDealer динамично развивается и оптимизируется, и в будущем он, возможно, сможет атаковать и смартфоны, работающие под управлением свежих версий ОС Android, полагают в Palo Alto Networks.

Group-IB обнаружила новый зловред для Android, невидимый для антивирусов

Система раннего обнаружения киберугроз компании Group-IB зафиксировала активное распространение новой вредоносной программы, работающей под ОС Android . Вирус использует данные из телефонной книжки зараженного абонента, а антивирусное ПО не детектирует программу как вредоносную. Многие пользователи телефонов на базе Android за последнюю неделю получили MMS-сообщения от кого-то из своего контакт-листа со ссылкой. В начале сообщения вирус подставлял имя из записной книжки зараженного лица (см. картинку ниже).

При переходе по ссылке пользователь видел надпись «Уважаемый пользователь, вам пришла ммс-фотография. Посмотреть вы ее можете по ссылке ниже». При нажатии на кнопку «Посмотреть» на устройство загружалась вредоносная программа с расширением.APK. Также злоумышленники заботливо сопроводили спам инструкцией «Во время установки, нажмите НАСТРОЙКИ -> Разрешить установку из неизвестных источников -> OK».

Механизм работы вируса

Попадая на устройство, вредоносная программа рассылает себя по контактным листам жертвы. Параллельно она делает запрос на номер SMS-банкинга жертвы, узнает баланс счета и переводит деньги на счета, подконтрольные злоумышленникам. При этом происходит перехват входящих SMS -сообщений, в результате чего жертва не подозревает, что у нее снимают деньги, даже если подключена функция SMS-оповещений о списаниях, отметили в Group-IB.

Также в функционал программы входит показ так называемых «веб-фейков» - окон браузера , визуально схожих с окошками авторизации банковских приложений. Вводя в них данные банковских карт, жертва отправляла их злоумышленникам напрямую. В ряде случаев вредоносная программа могла также блокировать телефон.

«Эта угроза направлена на пользователей ОС Android - клиентов банков, использующих SMS-банкинг и пользователей мобильных банковских приложений. Характерно, что антивирусные программы , установленные на телефонах жертв, ни на одном из этапов работы вируса не детектировали приложение как вредоносное (и продолжают его не детектировать). Антивирусы в этой ситуации просто не помогают», - рассказал руководитель отдела динамического анализа вредоносного кода Group-IB Рустам Миркасымов .

ЛК: Количество зловредов для умных устройств удвоилось

Число вредоносных программ для атак на устройства Интернета вещей превысило семь тысяч, причем более половины из них появились за первые шесть месяцев 2017 года. Такие цифры приводят эксперты «Лаборатории Касперского ». Аналитики компании также отмечают, что сейчас по всему миру работают больше 6 миллиардов подключенных к Интернету устройств, и люди подвергаются серьезной опасности. Взламывая умные гаджеты, злоумышленники получают возможность шпионить за пользователями, шантажировать их, а также использовать устройства в качестве промежуточного звена для совершения преступлений.

Специалисты «Лаборатории Касперского» провели эксперимент и настроили несколько ловушек («ханипотов»), которые имитировали различные умные устройства. Первые попытки несанционированного подключения к ним эксперты зафиксировали уже через несколько секунд. За сутки было зарегистрировано несколько десятков тысяч обращений. Среди устройств, атаки с которых наблюдали эксперты, более 63% можно определить как IP-камеры. Около 16% составили различные сетевые устройства и маршрутизаторы . Еще 1% пришелся на Wi-Fi -ретрансляторы, TV-приставки, устройства IP-телефонии , выходные ноды Tor, принтеры, устройства «умного дома ». Остальные 20% устройств однозначно опознать не удалось.

Если посмотреть на географическое расположение устройств, с IP-адресов которых эксперты видели атаки на ханипоты, можно наблюдать следующую картину: в топ-3 стран вошли Китай (14% атакующих устройств), Вьетнам (12%) и Россия (7%).

Причина роста числа таких атак проста: Интернет вещей сегодня практически не защищен от киберугроз . Подавляющее большинство устройств работает на Linux , что упрощает жизнь преступникам: они могут написать одну вредоносную программу, которая будет эффективна против большого количества устройств. Кроме того, на большинстве IoT -гаджетов нет никаких защитных решений, а производители редко выпускают обновления безопасности и новые прошивки.

Китайское рекламное агентство распространяет зловред, заразивший 250 миллионов устройств

В мае 2017 года команда Threat Intelligence компании Check Point Software Technologies обнаружила чрезвычайную активность китайской вредоносной кампании, от которой пострадали уже более 250 миллионов компьютеров по всему миру. В каждой четвертой российской компании (24.35%) заражен хотя бы один компьютер. Распространяемый зловред Fireball поражает браузеры , превращая их в зомби. У Fireball две основные функции: одна заключается в способности запускать любой код и скачивать любые файлы на компьютер жертвы, а другая позволяет управлять веб-трафиком пользователя, чтобы генерировать прибыль от рекламы. В настоящее время Fireball устанавливает плагины и дополнительные конфигурации для увеличения рекламного трафика, однако он может легко превратиться в распространителя любого другого зловредного ПО.

Кампанией управляет крупнейшее маркетинговое агентство Rafotech , расположенное в Пекине. Rafotech использует Fireball, чтобы управлять браузерами жертв и менять поисковые системы и стартовые страницы, установленные по умолчанию, на фейковые поисковики, которые просто перенаправляют запросы на yahoo.com или Google .com. Поддельные поисковики способны собирать персональную информацию пользователей. Fireball также может шпионить за жертвами, доставлять любые зловреды и запускать любой вредоносный код на инфицированных машинах. Fireball попадает на компьютер жертвы обычно в связке с другим ПО, которое скачивает пользователь, часто даже без его согласия. Масштабы распространения Fireball поражают. В соответствии с данными аналитиков Check Point, инфицировано более 250 миллионов компьютеров по всему миру: около 25,3 миллиона в Индии (10,1%), 24,1 миллиона в Бразилии (9,6%), 16,1 миллиона в Мексике (6,4%) и 13,1 миллиона в Индонезии (5,2%). В США обнаружено около 5,5 миллиона заражений (2,2%).

По данным Check Point, процент заражения корпоративных сетей еще выше: около 20% от общего числа всех корпоративных сетей в мире. Значительное число заражений в США (10,7) и в Китае (4,7%), но особенно впечатляют данные по Индонезии (60%), Индии (43%) и Бразилии (38%).

Другим показателем высокой степени распространения является популярность поддельных поисковых систем Rafotech. Согласно аналитической системе Alexa, 14 из этих поддельных поисковых систем входят в число 10 000 наиболее популярных веб-сайтов, причем некоторые из них иногда попадают и в 1000 лучших.

С технической точки зрения, Fireball демонстрирует высокую степень мастерства его создателей: он способен избегать обнаружения, содержит многоуровневую структуру и гибкий C&C и в целом ничем не уступает другим успешным вредоносным программам.

Rafotech не признается в распространении поддельных поисковых систем, однако на своем сайте объявляет себя успешным маркетинговым агентством, охватывающим 300 миллионов пользователей по всему миру, что примерно совпадает с данными о количестве зараженных машин.

Масштабы распространения Fireball дают его модераторам, Rafotech, практически безграничную власть. Полученную из фейковых поисков приватную информацию компания может продавать мошенникам или бизнес-конкурентам жертв. Также она может доставить любой другой зловред на зараженные компьютеры. По нашим оценкам, в случае, если Rafotech решит реализовать этот потенциал, каждая пятая корпорация в мире будет находится в серьезной опасности. Ущерб может быть нанесен критически важным организациям - от крупных поставщиков услуг до операторов инфраструктуры и медицинских учреждений. Возможные потери достигают немыслимых масштабов, и на их восстановление могут уйти годы.

Данные Check Point Threat Index

Место Hummingbad на вершине рейтинга самых популярных мобильных вредоносных программ занял модульный бэкдор для Android Triada. Он предоставляет привилегии супер-пользователя скачанному зловреду, помогая ему проникнуть вглубь системных процессов. В общей сложности на мобильные вредоносные программы приходится 9% всех обнаруженных атак. Лидирующую позицию в общем рейтинге занимает Kelihos, ботнет, который используется для кражи биткоинов , - от него пострадали 5% организаций по всему миру.

Данные рейтинга говорят о том, что хакеры продолжают расширять арсенал инструментов для таргетированных атак на бизнес. Угрозы используются на каждом этапе заражения, включая спам-письма, рассылаемые ботами, которые содержат загрузчики, в свою очередь подселяющие «зловред» на устройство жертвы.

Количество атак на российские компании в январе существенно снизилось: Россия опустилась на 83 строчку в рейтинге самых атакуемых стран, еще месяц назад она располагалась на 55 месте. Самыми активными зловредами, атаковавшими российские организации в январе 2017 стали Conficker, InstalleRex, Cryptowall, Bedep, Kometaur, HackerDefender, Delf, Ramnit, Jeefo, Fareit.

Среди стран, которые больше всего атаковали в январе 2017 года, отметились Парагвай, Уганда и Македония. Самыми благополучными с точки зрения кибербазопасности оказались Аргентина, Черногория и Барбадос.

В общей сложности Kelihos был самым активным видом вредоносного ПО, заразившим 5% организаций по всему миру. За ним следует HackerDefender и Cryptowall, на которые приходится 4,5% атакованных компаний.

Самые активные зловреды января 2017 :

• Kelihos - Ботнет, который используется в основном для кражи биткоинов и спама. Он работает через пиринговую связь, позволяя каждому отдельному узлу выступать в качестве сервера Command & Control.
• HackerDefender - Пользовательский руткит для Windows , может использоваться для сокрытия файлов, процессов и регистрационных ключей, а также для применения в качестве бэкдора и программы для перенаправления портов, которая работает через порты, открытые существующими службами. В результате скрытый бэкдор невозможно обнаружить традиционными средствами.
• Cryptowall - Вымогательский зловред , который начал как двойник Cryptolocker, но в конце концов превзошел его. Cryptowall стал одним из самых выдающихся вымогателей. Он известен из-за использования шифрования AES и проведения связи C&C через анонимайзер Tor. Зловред активно распространяется через эксплойт-киты, вредоносную рекламу и фишинговые кампании.

Самые активные мобильные зловреды :

• Triada - Модульный бэкдор для Android, который дает огромные привилегии скачанным зловредам, поскольку помогает им внедриться в системные процессы. Triada также был замечен в подмене URL-адресов, загруженных в браузере.
• Hummingbad - Вредоносное ПО для Android, которое, используя устойчивый к перезагрузке руткит, устанавливает мошеннические приложения и с небольшими модификациями может проявлять дополнительную вредоносную активность, включая установку программных клавиатурных шпионов, кражу учетных данных и обход зашифрованных email-контейнеров, используемых компаниями.
• Hiddad - Зловред для Android, который переупаковывает легитимные приложения и затем реализует их в магазинах сторонних производителей. Его главная функция - показ рекламы, однако он также может получить доступ к ключевым настройкам безопасности, встроенным в операционную систему, что позволяет злоумышленнику получить конфиденциальные данные пользователя.

2016: Вредоносная реклама теперь нацелена на роутеры

Вредоносными рекламным кампаниями сегодня трудно кого-либо удивить, но специалисты Proofpoint обнаружили новую тенденцию в данной области. Теперь злоумышленники нацеливаются не на браузеры пользователей, а на их роутеры. Итоговая цель атакующих – внедрить рекламу в каждую страницу, которую посетит зараженная жертва. Интересно, что данная кампания ориентирована не на пользователей , как это бывает чаще всего, но на пользователей Chrome (как десктопной, так и мобильной версии) .

Действуют хакеры следующим образом: на легитимных сайтах покупаются рекламные места для размещения объявлений. Для этого атакующие используют рекламные сети AdSupply, OutBrain, Popcash, Propellerads и Taboola. В объявление встраивается вредоносный JavaScript -код, который использует WebRTC -запрос к Mozilla STUN-серверу, чтобы узнать локальный IP-адрес жертвы. Основываясь на этой информации, вредонос определяет, управляется ли локальная сеть пользователя каким-либо домашним роутером. Если ответ положительный, атака продолжается. Если же нет, пользователю показывают обычную, безвредную рекламу, и он избегает неприятностей.

Владельцам роутеров показывают совсем не безобидные объявления. Реклама переадресует их прямиком к эксплоит киту DNSChanger, который продолжает атаку. Используя стеганографию, атакующие отправляют роутеру жертвы изображение, в котором содержится AES-ключ. Вредоносная реклама использует данный ключ для дешифровки дальнейшего трафика, получаемый от DNSChanger. Так злоумышленники скрывают свои операции от внимания ИБ-специалистов.

Поле получения AES-ключа, DNSChanger передает жертве список отличительных черт 166 роутеров (включая различные модели Linksys , Netgear , D-Link , Comtrend , Pirelli и Zyxel), опираясь на который устанавливается типа роутера, который затем передается на управляющий сервер злоумышленников. На сервере лежит список уязвимостей и жестко закодированных учетных данные от различных устройств, которые и используются для перехвата контроля над роутером жертвы. Специалисты Proofpoint отмечают, что в некоторых случаях (если модель устройства позволяет), атакующие стараются создать внешнее подключение к административному порту роутера и перехватить управление напрямую.

Если хакерам удалось получить контроль над устройством, они подменяют DNS -серверы и всю легитимную рекламу своей собственной, а также встраивают рекламу на сайты, где ее не было вовсе.

Единственный способ избежать подобных проблем – не использовать дефолтные учетные данные для роутера, отключить удаленный доступ к панели управления (если это возможно), а также обновить прошивку устройства до последней версии, чтобы закрыть уязвимости и избежать эксплоитов, которые применяет DNSChanger.

2013: Тренды вредоносного ПО и кода навязчивой рекламы в мобильной среде

2001 год. Основным событием 2001 г. стало широкое распространение вредоносных программ, использующих для проникновения на компьютеры бреши в системах безопасности операционных систем и приложений (например, CodeRed, Nimda, Aliz, BadtransII и др.). Вызванные ими глобальные эпидемии стали крупнейшими в истории и надолго определили пути развития антивирусной индустрии в целом. Весьма заметными событиями вирусной истории стали многочисленные варианты червя ILoveYou, почтовые черви Magistr и SirCam.

Традиционное доминирование традиционных файловых вирусов постепенно сходит на нет и основным способом размножения для вредоносных программ становится передача своего тела по локальным и глобальным сетям.

Также 2001 год ознаменовался появлением большого количества вредоносных программ, нацеленных на операционную систему Linux . Так сетевой червь Ramen, обнаруженный 19 января, за считанные дни поразил большое количество крупных корпоративных систем. В число жертв червя попали Национальная администрация по аэронавтике и космосу США (НАСА), Техасский университет A&M, Тайваньский производитель компьютерного оборудования Supermicro. Вслед за Ramen появились его клоны и новые оригинальные Linux-черви, также вызвавшие многочисленные инциденты.

Кроме того, в этом же году был обнаружен новый тип вредоносных кодов (CodeRed, BlueCode), способного активно распространяться и работать на зараженных компьютерах без использования файлов. Глобальная эпидемия сетевого червя CodeRed (по некоторым оценкам зараженными оказались более 300.000 компьютеров) подтвердила исключительную действенность технологии, используемой бестелесносными червями.

2002 год. Зафиксировано 12 крупных и 34 менее значительных новых вирусных эпидемий, которые происходили на фоне непрекращающихся эпидемий, унаследованных от более ранних периодов (Sircam, Hybris, Magistr, CIH, BadtransII, Thus и др.). В течение года вредоносные программы продолжили активно проникать на новые платформы и приложения. Уже в январе с разницей всего в два дня появились flash-вирус LFM и вирус Donut, которые впервые использовали для своего распространения технологию .NET .

В середине мая были обнаружены сетевые черви Spida (заражающий SQL -серверы) и Benjamin. Последний стал вдохновителем целого семейства вредоносных программ, которые на протяжении 2002 г. непрерывно атаковали членов файлообменной сети KaZaA . Также не прекращались атаки на пользователей Linux. Червь Slapper всего за несколько дней успел заразить тысячи Linux-систем по всему миру. Эта же участь не миновала и пользователей FreeBSD : обнаруженный в сентябре сетевой червь Scalper также получил довольно широкое распространение.

Несомненным лидером по количеству вызванных инцидентов в 2002 г. является интернет-червь Klez. В течение 2002 года свирепствовали две из десяти существующих разновидностей этого червя - Klez.H (обнаружен 17.04.2002) и Klez.E (обнаружен 11.01.2002). В общей сложности каждые 6 из 10 зарегистрированных случаев заражения были вызваны Klez. Ближайшим конкурентом Klez оказался интернет-червь Lentin. В конце 2002 года он смог превзойти Klez по количеству вызванных инцидентов. Весьма заметным оказался и червь Tanatos (также известен как Bugbear), эпидемия которого разразилась в октябре 2002 года.

Среди замеченных в 2002 г. компьютерных вирусов, больше всего себя проявили макро-вирусы. Прежде всего, здесь стоит отметить Thus, TheSecond, Marker и Flop. Эти макро-вирусы для текстового редактора Microsoft Word показали удивительную живучесть. Эпидемии с их участием были зафиксированы еще в конце 90-х, но в 2002 году они пережили второе рождение. Среди Windows -вирусов больше всего заражений вызвали Elkern, CIH, FunLove и Spaces.

2003 год. Сетевой червь Lovesan, появившийся в августе 2003 года, использовал для своего распространения критическую уязвимость в операционной системе Windows. За считанные дни ему удалось заразить миллионы компьютеров по всему миру. Использованный им принцип размножения (через глобальную сеть интернет, с непосредственной атакой заражаемого компьютера, игнорируя традиционные для того времени пути распространения - электронную почту, IRC, P2P-сети) был впервые реализован еще в 1988 году в первом в истории сетевом черве Моррисона, однако затем, на протяжении почти 15 лет, ничего подобного не случалось. Lovesan был не единственным подобным червем в 2003 году. Первым стал червь Slammer, за три дня в январе 2003 сумевший заразить около полумиллиона компьютеров. Он также использовал уязвимость в программном продукте компании Microsoft - MS SQL Server. Slammer поразил компьютеры Госдепартамента США , где повредил базу данных. Консульства США по всему миру вынуждены были на 9 часов прервать процесс выдачи виз.

Почтовый червь Sobig.f появился в самом конце августа 2003 года и буквально за пару дней вызвал крупнейшую в XXI веке эпидемию почтового червя. На пике его активности практически каждое десятое электронное письмо содержало в себе такого червя. Червь не использовал какие-либо уязвимости, имел довольно простенькие темы и тексты писем, но масштабы его проникновения на пользовательские компьютеры стали настолько велики, что обнаруженная в нем функция приема команд извне (бэкдор) заставила всех антивирусных экспертов с тяжелым сердцем ожидать 22 августа 2003 года - дня, когда вирус Sobig.f на всех зараженных им компьютерах должен был получить команду от своего «создателя». Однако команда не пришла, серверы, откуда она могла быть послана, были оперативно закрыты.

В сентябре объявился червь Swen, который использовал для размножения традиционные способы - электронную почту, IRC, P2P-каналы. Особенностью данного червя стал мощнейший метод социального инжиниринга: Swen выдавал себя за специальный патч от компании Microsoft, якобы устраняющий все известные уязвимости. Письмо, содержавшее легко узнаваемые элементы официального сайта Microsoft, ссылки на другие ресурсы данной компании и грамотно составленный текст, неотразимо действовало не только на неискушенных, но и на многих опытных пользователей, заставляя их запускать приложенный к письму файл.

Последним ярким представителем 2003 года стал почтовый червь Sober. Написанный как подражание Sobig, червь использовал множество различных текстов писем, причем на разных языках, выбираемых в зависимости от страны получателя письма, и выдавал себя за утилиту для удаления Sobig.

2004 год. В начале января тысячам пользователей ICQ было разослано сообщение с просьбой посетить некий сайт. На сайте была размещена троянская программа, которая, используя одну из множества уязвимостей Internet Explorer, скрытно устанавливала и запускала троянский прокси-сервер Mitglieder, открывавший на зараженной машине порты для рассылки спама.

Также в 2004 году произошли две эпидемии, которые смело можно назвать крупнейшими за всю историю сети интернет - распространение почтового червя MyDoom.a (январь-февраль 2004 г.) и сетевого червя Sasser.a (май 2004 г.). Mydoom известен массированной 12-дневной DDoS -атакой на веб-сайт компании SCO, начавшейся 1 февраля 2004 года. За пару часов работа сервера была полностью парализована и вернуться в нормальный режим www.sco.com смог только 5 марта. Червь Sasser в мае 2004 года поразил более 8 млн. компьютеров, а убытки от него оцениваются в 979 млн. долларов США. Для проникновения Sasser использовал уязвимость в службе LSASS Microsoft Windows.

В июне объявился Cabir - первый сетевой червь, распространяющийся через протокол Bluetooth и заражающий мобильные телефоны, работающие под управлением OS Symbian . При каждом включении зараженного телефона вирус получал управление и начинал сканировать список активных Bluetooth-соединений. Затем выбирал первое доступное соединение и пытался передать туда свой основной файл caribe.sis. Ничего деструктивного Cabir не делал - только снижал стабильность работы телефона за счет постоянных попыток сканирования активных Bluetooth-устройств.

Вскоре, в августе 2004 года появились и вирусы для PocketPC - классический вирус Duts и троянская программа Brador. Этот год также запомнился масштабными арестами вирусописателей - было осуждено около 100 хакеров, причем трое из них находились в двадцатке самых разыскиваемых ФБР преступников.

2005 год. В 2005 году наметился некоторый спад активности почтовых червей. По данным Лаборатории Касперского всего в 2005 году было 14 вирусных эпидемий, втрое меньше аналогичного показателя 2004 года (46 эпидемий). Крупнейших же эпидемий было зафиксировано всего четыре - модификации почтового червя Bagle с индексами.ах и.ау (январь), сетевой вирус-червь Mytob.c (март) и две модификации почтового червя Sober - Sober.p (май) и Sober.y (ноябрь). Самым массовым и распространенным из всех появившихся в 2005 году стало семейство червей Mytob. Это выразилось в более чем 120 обнаруженных разновидностях червей данного семейства. Вариации Mytob в течение всего года составляли более половины от общего числа вредоносных программ, выловленных в почтовом трафике.

2006 год. 2006 год продолжил основные тенденции в развитии вредоносных программ, выявленные в прошлые годы. Это преобладание троянских программ над червями и увеличение в новых образцах вредоносного кода доли программ, ориентированных на нанесение финансового ущерба пользователям. В 2006 году, по данным Лаборатории Касперского, среди всех новых семейств и вариантов вредоносных программ доля троянских программ превысила 90%. Заметными событиями года стали первые «настоящие» вирусы и черви для операционной системы MacOS , троянские программы для мобильной платформы J2ME и связанный с ними способ кражи денег у пользователя с мобильного счета. Рост числа всех новых вредоносных программ по сравнению с 2005 годом составил 41%. В 2006 году было зафиксировано 7 крупных вирусных эпидемий - вдвое меньше показателя прошлого года (14 эпидемий). Эпидемии 2006 года можно разделить на четыре группы. Это червь Nyxem.e, черви семейств Bagle и Warezov, а также несколько вариантов троянца-шифровальщика Gpсode.

2007 год. Количество вредоносных компьютерных программ в 2007 году выросло более чем вдвое. По данным ЛК , в целом за год было зарегистрировано более 220 тыс. новых вирусов. В 2007 году ежемесячно появлялось 18,348 тысячи новых компьютерных вирусов, что также более чем в два раза превышает уровень предыдущего года (8,563 тысячи.) Более половины всех вредоносных программ, рассылаемых по электронной почте в 2007 году, составляли почтовые "черви" (54,55%), за ними шли программы семейства Trojan-Downloader (универсальные загрузчики произвольного вредоносного кода из интернета, 14,87%) и Trojan-Spy (программы, ворующие конфиденциальную информацию с компьютеров пользователей и организаций, 13,41%).

Доля "троянцев" в общем объеме вредоносных программ составила 91,73%, а число таких программ выросло по сравнению с 2006 годом на 2,28%. В 2007 году значительно возросло число вредоносных программ, ориентированных исключительно на игроков онлайн-игр. Если в 2006 году было обнаружено чуть более 15 тысяч программ, ворующих пароли от онлайн-игр, то по итогам 2007 года их число приблизилось к 35 тысячам.

2008 год. В первом полугодии 2008 года аналитики «Лаборатории Касперского » обнаружили 367 772 новые вредоносные программы - в 2,9 раз больше, чем во втором полугодии 2007 года. Среднее число новых вредоносных программ, обнаруживаемых за месяц, составило 61 295,33. По сравнению со второй половиной 2007 года число новых программ увеличилось на 188,85%. Такие темпы роста значительно превосходят итоги 2007 года, когда было обнаружено на 114% вредоносных программ больше, чем в 2006 году.

2008 год не внес значительных изменений в соотношение классов вредоносных программ. Абсолютным лидером по-прежнему являются троянские программы, на которые приходится более 92% всех вредоносных программ. При этом доля троянов выросла лишь на 0,43% - это значительно меньше, чем их рост на два с лишним процента в 2007 году. Число новых троянских программ, обнаруженных в первом полугодии 2008 года, увеличилось на 190,2% по сравнению с предыдущим полугодием.

1990 – 1999 гг.

1990 год. Появились первые полиморфные вирусы – Chameleon (1260, V2P1, V2P2 и V2P6). В Болгарии появился так называемый "завод по производству вирусов". В течение этого года и ряда последующих лет было обнаружено огромное количество новых вирусов, которые имели именно болгарское происхождение. Это были целые семейства вирусов - Murphy, Nomenclatura, Beast (или 512, Number-of-Beast), новые модификации вируса Eddie и многие другие. Особенную активность проявлял некто Dark Avenger, выпускавший в год по несколько новых вирусов, использовавших принципиально новые алгоритмы заражения и сокрытия себя в системе. Там же, в Болгарии, появилась и первая BBS (VX BBS), ориентированная на обмен вирусами и информацией для вирусописателей. В этом же году были обнаружены и первые известные отечественные вирусы: "Peterburg", "Voronezh" и ростовский "LoveChild".

В июле 1990 г. произошел серьезный инцидент с английским компьютерным журналом PC Today. К каждому номеру журнала бесплатно прилагался флоппи-диск, как оказалось впоследствии, зараженный вирусом DiskKiller.

1991 год. Вслед за болгарской VX BBS и неуловимым Dark Avenger по всему миру появляются другие станции, ориентированные на обмен вирусами, и новые вирусописатели. В Италии появляется Cracker Jack (Italian Virus Research Laboratory BBS), в Германии - Gonorrhoea, в Швеции - Demoralized Youth, в США - Hellpit, в Англии - Dead On Arrival и Semaj.

1992 год. Все большую значимость начинают приобретать файловые, загрузочные и файлово-загрузочные вирусы для наиболее распространенной операционной системы MS-DOS на компьютере IBM-PC . Количество вирусов растет в геометрической прогрессии. Развиваются различные антивирусные программы, выходят десятки книг и несколько регулярных журналов, посвященных вирусам. Появляется первый полиморфик-генератор MtE. Его главное предназначение - возможность интеграции в другие вирусы для обеспечения их полиморфизма . Появляются первые вирусы класса анти-антивирус, способные обходить защиту и оставался незаметными. В июле 1992 года появились первые конструкторы вирусов - VCL и PS-MPC, позволявшие создавать вирусы различных типов и модификаций. В конце этого же года появился первый вирус для Windows - Win.Vir_1_4 (10), заражающий исполняемые файлы операционной системы .

1993 год. Вирус Satan Bug поражает сотни компьютеров в Вашингтоне. Страдают даже компьютеры Белого дома. ФБР арестовало автора - им оказался 12-летний подросток. Зафиксировано появление «бомб замедленного действия» - вирусов, которые проникают в компьютеры и активизируются лишь при наступлении определенной даты. Корпорация Microsoft выпустила свой собственный антивирус – Microsoft AntiVirus (MSAV), который включался в стандартную поставку операционных систем MS-DOS и Windows. Первые тесты, проведенные независимыми испытательными лабораториями, показали высокую надежность продукта. Однако, впоследствии его качество стало постепенно ухудшаться, и через некоторое время Microsoft решила закрыть этот проект.

1994 год. Все большее значение приобретает проблема вирусов на компакт-дисках. Быстро став популярным, этот тип носителей оказался одним из основных путей распространения вирусов. Зафиксировано сразу несколько инцидентов, когда вирус попадал на мастер-диск при подготовке партии компакт-дисков.

1995 год. Широкое распространение получили вирусы ByWay и DieHard2 - сообщения о зараженных компьютерах были получены практически со всего мира. В феврале корпорация Microsoft выпустила бета-версию новой системы Windows 95 на дискетах, зараженных вирусом "Form". В августе в "живом виде" обнаружен первый вирус для Microsoft Word ("Concept"). Буквально за месяц вирус "облетел" весь земной шар, заполонил компьютеры пользователей текстового процессора. В 1995 г. дважды отличился английский филиал издательского дома Ziff-Davis. В сентябре принадлежащий ему журнал PC Magazine (английская редакция) распространил среди своих подписчиков дискету, содержащую загрузочный вирус Sampo. В середине декабря другой журнал из семейства Ziff-Davis, Computer Life, разослал читателям дискету с рождественскими поздравлениями. Помимо поздравления, диск также содержал загрузочный вирус Parity_Boot.

1996 год. В январе появился первый вирус для операционной системы Windows 95 - Boza, и произошла эпидемия крайне сложного полиморфного вируса Zhengxi, написанного российским программистом из Санкт-Петербурга Денисом Петровым. В марте произошла первая эпидемия вируса для Windows 3.x . - Win.Tentacle. Этот вирус заразил компьютерную сеть в госпитале и нескольких других учреждениях во Франции. В июне появился "OS2.AEP" - первый вирус для OS/2 , корректно заражающий EXE-файлы этой операционной системы. До этого в OS/2 встречались только вирусы, которые записывались вместо файла, уничтожая его или действуя методом "компаньон".

1997 год. В феврале появляется первый вирус для операционной системы Linux - "Linux.Bliss". Одновременно в выходом очередной версии пакета офисных приложений Microsoft Office 97 отмечается постепенное "переползание" макро-вирусов на эту платформу. Март 1997 года ознаменовался появлением макро-вируса "ShareFun" для MS Word 6/7, открывшего новую страницу в истории компьютерной индустрии. Он стал первым вирусом, использовавшим для своего распространения возможности современной электронной почты, в частности, почтовую программу MS Mail. В апреле обнаружен вирус "Homer" - первый сетевой вирус-червь, использующий для своего распространения протокол передачи данных File Transfer Protocol (FTP). В июне появился первый самошифрующийся вирус для Windows 95 - "Win95.Mad". Вирус, имеющий российское происхождение, был разослан на несколько станций BBS в Москве, что стало причиной довольно крупной эпидемии. В декабре появляется принципиально новый тип компьютерных червей, использующих каналы IRC (Internet Relay Chat). Также в 1997 году антивирусное подразделения фирмы КАМИ, возглавляемого Евгением Касперским, отделилось в независимую компанию "Лаборатория Касперского ".

1998 год. В начале года зафиксирована эпидемия целого семейства вирусов Win32.HLLP.DeTroie, не только заражающих выполняемые файлы Windows, но и способных передавать своему "хозяину" информацию о зараженном компьютере. В феврале зафиксировано появление нового типа вируса для документов Excel - Excel4.Paix (или Formula.Paix). Данный тип макро-вируса для своего внедрения в таблицы Excel испольовал не обычную для вирусов область макросов, а формулы, которые, как оказалось, также могут содержать саморазмножающийся код. В этом же месяце, зарегистрированы Win95.HPS и Win95.Marburg - первые полиморфные Win32-вирусы.

В марте был обнаружен AccessiV - первый вирус для Microsoft Access . Примерно в то же время было зафиксировано появление Cross -первого многоплатформенного макро-вируса, заражающего документы одновременно двух приложений MS Office: Access и Word. Следом за ним появились еще несколько макро-вирусов, переносящих свой код из одного Office-приложения в другое. Наиболее заметным из них стал "Triplicate" (также известный под именем "Tristate"), способный заражать Word, Excel и PowerPoint .

В мае объявился вирус "RedTeam", который стал первым вирусом, заражающим EXE-файлы Windows, и распространяющимся по электронной почте при помощи программы Eudora. В июне началась эпидемия вируса Win95.CIH, ставшая сначала массовой, а затем глобальной. В зависимости от текущей даты вирус стирал Flash BIOS , что в некоторых случаях могло привести к необходимости замены материнской платы. Август ознаменовался появлением BackOrifice (Backdoor.BO) - утилиты скрытого (хакерского) администрирования удаленных компьютеров и сетей. Следом за BackOrifice появились несколько других аналогичных программ: NetBus, Phase и прочие. Также в августе появился первый вирус, заражающий выполняемые модули Java - Java.StangeBrew. В декабре жертвой компьютерных вирусов ("Attach", "ShapeShift" и "ShapeMaster") становится еще одно приложение из состава MS Office. Им стала программа для создания презентаций - PowerPoint.

1999 год. В январе разразилась глобальная эпидемия интернет-червя Happy99 (также известного как Ska). Это был первый современный червь, использовавший для своего распространения программу MS Outlook . В марте вирус Melissa поразил десятки тысяч компьютеров. Сразу же после заражения системы он считывал адресную книгу почтовой программы MS Outlook и рассылал по первым 50 найденным адресам свои копии. Правоохранительные органы США исключительно быстро отреагировали на эпидемию "Melissa". Через некоторое время был обнаружен и арестован автор вируса, которым оказался 31-летний программист из Нью Джерси (США), некий Дэвид Л. Смит (David L. Smith). 9 декабря он был признан виновным и осужден на 10 лет тюремного заключения и штрафу в размере 400 000 долларов США.

В мае появился вирус "Gala" (также известный как GaLaDRieL), написанный на скрипт-языке Corel Corporation SCRIPT. "Gala" стал первым вирусом, способным заражать файлы как самого Corel CorporationDRAW! , так и Corel CorporationPHOTO-PAINT и Corel CorporationVENTURA . В самом начале лета грянула эпидемия весьма опасного Интернет-червя "ZippedFiles" (также известного как ExploreZip). Он представлял собой EXE-файл, который после внедрения в систему уничтожал файлы некоторых популярных приложений.

В августе был обнаружен вирус-червь "Toadie" ("Termite"), который, помимо заражения файлов DOS и Windows, также прикреплял свои копии к письмам, отсылаемым по электронной почте при помощи программы Pegasus и пытался распространяться по каналам IRC. В ноябре мир потрясло появление нового поколения червей-невидимок, распространявшихся по электронной почте без использования вложенных файлов и проникавших на компьютеры сразу же после прочтения зараженного письма. Первым из них стал Bubbleboy, вслед за которым последовал "KakWorm". Все вирусы этого типа использовали "дыру", обнаруженную в системе безопасности Internet Explorer . В том же месяце в США и Европе было зарегистрировано много случаев заражения Windows-вирусом FunLove.

В декабре был обнаружен "Babylonia" - первый вирус-червь, который имел функции удаленного самообновления: ежеминутно он пытался соединиться с сервером, находящемся в Японии и загрузить оттуда список вирусных модулей.

1980 – 1989 гг.

1981 год. Вирус Elk Cloner поражает компьютеры Apple . Вирус записывался в загрузочные сектора дискет, к которым шло обращение. Elk Cloner переворачивал изображение на экране, заставлял мигать текст, выводил разнообразные сообщения

1983 год. Лен Эйделман впервые употребляет термин "вирус" в применении к саморазмножающимся компьютерным программам. 10 ноября 1983 г. Фред Коэн, родоначальник современной компьютерной вирусологии, на семинаре по компьютерной безопасности в Лехайском университете (США) демонстрирует на системе VAX 11/750 вирусоподобную программу, способную внедряться в другие объекты. Годом позже, на 7-й конференции по безопасности информации, он дает научное определение термину "компьютерный вирус", как программе, способной "заражать" другие программы при помощи их модификации с целью внедрения своих копий.

1986 год. Впервые создан вирус для IBM PC - The Brain. Два брата-программиста из Пакистана написали программу, которая должна была "наказать" местных "пиратов", ворующих программное обеспечение у их фирмы. В программке значились имена, адрес и телефоны братьев. Однако неожиданно для всех The Brain вышел за границы Пакистана и заразил сотни компьютеров по всему миру. Успех вируса был обеспечен тем, что компьютерное сообщество было абсолютно не готово к подобному развитию событий. Интересно, что вирус Brain являлся также и первым вирусом-невидимкой. При обнаружении попытки чтения зараженного сектора диска вирус незаметно "подставлял" его незараженный оригинал. В том же году немецкий программист Ральф Бюргер (Ralf Burger) открыл возможность создания программой своих копий путем добавления своего кода к выполняемым DOS-файлам формата COM. Опытный образец программы, получившей название Virdem и имевшей такую способность, был представлен Бюргером в декабре 1986 года, в Гамбурге, на форуме компьютерного "андерграунда" - Chaos Computer Club. В то время форум собирал хакеров, специализировавшихся на взломе VAX/VMS -систем.

1987 год. Появление вируса Vienna. Его происхождение и распространение практически по всему миру имело большой резонанс и вызвало горячие споры о настоящем авторе. В этом же году, один из претендентов на авторство - Ральф Бергер, написал первую книгу об искусстве создания и борьбы с вирусами. Книга называлась "Компьютерные вирусы. Болезнь высоких технологий" (Computer Viruses. The Decease of High Technologies) и стала "букварем" начинающих создателей вирусов. Кроме того, в 1987 году независимо друг от друга появляется еще несколько вирусов для IBM -совместимых компьютеров: знаменитый Лехайский вирус (Lehigh), названный в честь университета г. Бетлехэм, штат Пенсильвания, США; семейство вирусов Suriv; ряд загрузочных вирусов (Yale в США, Stoned в Новой Зеландии, Ping-pong в Италии) и первый в истории компьютеров самошифрующийся файловый вирус Cascade.

1988 год. Одно из наиболее знаменательных событий в области вирусов в 1988 года - глобальная эпидемия, вызванная вирусом Suriv-3, более известным как Jerusalem. Вирус был обнаружен одновременно в компьютерных сетях многих коммерческих фирм, государственных организаций и учебных заведений. По сути дела вирус обнаружился сам: в пятницу, 13-го, он уничтожал все запускаемые на зараженном компьютере файлы. В 1988 году этой черной датой стало 13 мая. Именно в этот день сообщения о тысячах инцидентах с участием Jerusalem поступили со всех концов планеты, в первую очередь из Америки, Европы и с Ближнего Востока. В этом же году, 23-летний американский программист создал червя, поразившего 6 тыс. компьютеров в сети ARPANET. И впервые суд приговорил автора этого вируса к штрафу в 10 тыс. долл. и 3 годам испытательного срока.

22 апреля 1988 года создан первый электронный форум по проблеме антивирусной безопасности. Ею стала конференция Virus-L в сети Usenet , которая была создана Кеном Ван Уайком (Ken van Wyk). Помимо этого, 1988 год ознаменовался появлением антивирусной программы - Dr. Solomon"s Anti-Virus Toolkit . Программа была создана английским программистом Аланом Соломоном (Alan Solomon), завоевала огромную популярность и просуществовала до 1998 года, когда компания была поглощена другим производителем антивирусов - американской Network Associates (NAI).

1989 год. ARPANET официально переименован в Интернет. Появляются новые вирусы - Datacrime, FuManchu (модификация вируса Jerusalem) и целые семейства - Vacsina и Yankee. Вирус Datacrime имел крайне опасное проявление - с 13 октября по 31 декабря он инициировал низкоуровневое форматирование нулевого цилиндра жесткого диска , что приводило к уничтожению таблицы размещения файлов (FAT) и безвозвратной потере данных.

4 октября 1989 года появился в продаже антивирус IBM Virscan для MS-DOS. 16 октября 1989 г. на компьютерах VAX/VMS в сети SPAN была зафиксирована эпидемия вируса-червя WANK Worm. Для распространения червь использовал протокол DECNet и менял системные сообщения на сообщение "WORMS AGAINST NUCLEAR KILLERS", сопровождаемое текстом "Your System Has Been Officially WANKed". WANK также менял системный пароль пользователя на набор случайных знаков и пересылал его на имя GEMPAK в сети SPAN.

В декабре этого же года появился первый «троянский конь» - AIDS, который делал недоступной всю информацию на жестком диске компьютера и высвечивал на экране лишь одну надпись: «Пришлите чек на 189 долл. на такой-то адрес». Автор программы был осужден за вымогательство.

До 1980-х годов

1949 год. Американский ученый венгерского происхождения Джон фон Науманн (John von Naumann) разработал математическую теорию создания самовоспроизводящихся программ. Это была первая теория создания компьютерных вирусов, вызвавшая весьма ограниченный интерес у научного сообщества.

В начале 60-х инженеры из американской компании Bell Telephone Laboratories - В.А. Высотский, Г.Д. Макилрой и Роберт Моррис - создали игру "Дарвин". Игра предполагала присутствие в памяти вычислительной машины так называемого супервизора, определявшего правила и порядок борьбы между собой программ-соперников, создававшихся игроками. Программы имели функции исследования пространства, размножения и уничтожения. Смысл игры заключался в удалении всех копий программы противника и захвате поля битвы.

Конец 60-х – начало 70-х годов. Появление первых вирусов. В ряде случаев это были ошибки в программах, приводивших к тому, что программы копировали сами себя, засоряя жесткий диск компьютеров, что снижало их продуктивность, однако считается, что в большинстве случаев вирусы сознательно создавались для разрушения. Вероятно, первой жертвой настоящего вируса, написанного программистом для развлечения, стал компьютер Univax 1108. Вирус назывался Pervading Animal и заразил только один компьютер - на котором и был создан.

1974 год. Создана сеть Telenet - коммерческая версия ARPANET . На компьютерах этого времени появляется программа, получившая название "кролик" (Rabbit). Это имя она получила потому, что кроме размножения и распространения по носителям информации она ничего не делала. Программа клонировала себя, занимала системные ресурсы и таким образом снижала производительность системы. Достигнув определенного уровня распространения на зараженной машине "кролик" нередко вызывал сбой в ее работе.

1975 год. Через Telenet распространяется первый в истории сетевой вирус The Creeper. Написанная для некогда популярной операционной системы Tenex , эта программа была в состоянии самостоятельно войти в сеть через модем и передать свою копию удаленной системе. На зараженных системах вирус обнаруживал себя сообщением: "I"M THE CREEPER: CATCH ME IF YOU CAN". Для противодействия вирусу впервые в истории написана особая антивирусная программа The Reeper.

1979 год. Инженеры из исследовательского центра компании Xerox создали первого компьютерного червя.

Виды вредоносных программ

Вредоносная программа (malware) – это термин для обозначения любого программного обеспечения, специально созданного для того, чтобы причинять ущерб отдельному компьютеру или компьютерной сети. Рассмотрим основные разновидности вредоносных программ.

Компьютерный вирус – программа, способная создавать свои копии (необязательно совпадающие с оригиналом) и внедрять их в файлы, системные области компьютера, а также осуществлять иные деструктивные действия. При этом копии сохраняют способность дальнейшего распространения.

Логическая бомба – это программа или фрагмент кода в программе, реализующий некоторую функцию при выполнении определенного условия, например, условием может быть наступление заданной даты. «Взрываясь», логическая бомба реализует нежелательную для пользователя функцию, например, удаляет некоторые данные.

Троянский конь – программа, выполняющая в дополнение к основным еще и дополнительные действия, не описанные в документации. Троянский конь представляет собой дополнительный блок команд, тем или иным образом вставленный в исходную безвредную программу. Троянский конь обычно действует в рамках полномочий одного пользователя, но в интересах другого пользователя (злоумышленника).

Червь (сетевой червь) – тип вредоносных программ, распространяющихся в компьютерной сети, способных к преодолению систем защиты, а также к созданию и дальнейшему распространению своих копий и осуществлению иных вредоносных действий. Наилучший способ защиты – принятие мер предосторожности при работе в сети.

Захватчик паролей – это программа, специально разработанная для воровства паролей. Сценарий может быть следующим. Программа выводит на экран сообщение об окончания сеанса работы, а затем – запрос на ввод логина и пароля для входа в систему. Введенные пользователем данные пересылаются владельцу программы-захватчика. Для предотвращения этой угрозы перед вводом запрашиваемых данных необходимо убедиться, что Вы вводите имя и пароль именно системной программе, а не какой-нибудь другой.

Клавиатурный шпион (кейлоггер) – программное или аппаратное средство, основным назначением которого является скрытый мониторинг нажатий клавиш и ведение журнала этих нажатий. Кейлоггер безопасен для системы, однако он может быть очень опасным для пользователя: с помощью кейлоггера можно перехватить пароли и другую конфиденциальную информацию, вводимую пользователем с помощью клавиатуры. В результате злоумышленник узнает коды и номера счетов в электронных платежных системах, логины, пароли к системам электронной почты и т. д. Большинство антивирусных программ распознают известные кейлоггеры, и метод защиты от них не отличается от метода защиты от любого другого вредоносного программного обеспечения.

Условием, способствующим реализации многих видов угроз безопасности информации является наличие в программном коде «люков». Люк – это не описанная в документации на программный продукт возможность работы с этим программным продуктом. В результате пользователь получает доступ к возможностям и данным, которые в обычных условиях для него закрыты (в частности, выход в привилегированный режим). Люки чаще всего являются результатом забывчивости разработчиков. Например, в качестве люка может быть использован временный механизм прямого доступа к частям программы, созданный для облегчения процесса отладки и не удаленный по ее окончании. Защита от люков только одна – не допускать их появления в программе.

Достаточно часто начинающие и средние пользователи совершают одну ошибку, они называют любое вредоносное программное обеспечение вирусом или трояном, в то время как корректно называть их именно вредоносным программным обеспечением. Разница между этими понятиями существенна.

Существует множество различных видов вредоносным программ и, соответственно, методов защиты и борьбы с ними. Поэтому, если вы используете некорректную терминологию, то велика вероятность того, что прежде, чем вы избавитесь от вредоносных программ, будет перепробовано немало ненужных решений. К примеру, руткиты серьезно отличаются от обычных вирусов и, часто, для очистки компьютера от них будет недостаточно использовать только антивирусы.

В данной статье будут даны краткие пояснения к некоторым наиболее известным типам вредоносных программ, а так же приведены некоторые ссылки на средства борьбы с ними.

Различные виды вредоносного программного обеспечения

Вредоносное программное обеспечение (Malware)

Malware это сокращенное название вредоносного программного обеспечения. Этот термин используется в тех случаях, когда необходимо объединить группу различных вредоносных программ. Поэтому, если вы встретили такой термин, то знайте, что речь идет о нескольких типах вредоносных программ. К примеру, в случае антивируса, часто, этот термин подразумевает наличие средств для борьбы с вирусами, червями, троянами и прочими вредоносными программами.

Вирус (Virus)

Первоначально термин "вирус" (Virus) был использован для названия самовоспроизводящихся программ, которые распространяются путем вставки своей копии в существующие программы или документы. Иногда, вирусы распространяются путем простого создания файлов со своей копией, но этот способ самовоспроизведения достаточно быстро перестал использоваться, так как такие вирусы очень легко обнаружить. Сам термин произошел от аналогичного понятия в биологии. Вирусы поражают клетки и заставляют создавать их копии. Компьютерные вирусы были одними из первых вредоносных программ. Сегодня же, встретить вирусы можно достаточно редко, так как, по большей части, они были вытеснены другими видами вредоносных программ, такими как черви и трояны. Несмотря на то, что термин вирус определяет строго один тип программ, его так же часто используют для обозначения любого рода вредоносных программ, хоть это и некорректно.

Программы для борьбы с вирусами, вы можете в обзоре бесплатных антивирусов .

Червь (Worm или NetWorm)

Технически, между вирусами и червями существует разница, но достаточно часто термин червь заменяется термином вирус. В первую очередь, червь отличается от вируса тем, что он содержит не только весь необходимый код для своего распространения, но представляет собой своего рода транспорт для других вредоносных программ. Например, червь может включать в себя троянскую программу и активировать ее, после заражения компьютера. Во-вторых, для распространения черви используют сеть (локальную, интернет). Другими словами, в отличии от вирусов, у червей единицей заражения являются не файлы и документы, а компьютеры (иногда, сетевые устройства). Некоторые из самых известных эпидемий были вызваны именно благодаря червям.

Чаще всего, для борьбы с червями применяются антивирусные решения совместно с межсетевыми экранами (файрволами, брендмаурами).

Троян или троянский конь (Trojan)

Термин "Троянский конь" (часто сокращают до простого "троян") применяется к вредоносным программам, которые выдают себя за хорошие приложения, в то время как в реальности таковыми не являются. Этот тип вредоносного программного обеспечения получил свое название от хитрости, которые применили греки против троянцев в Илиаде Гомера. Основная опасность программы заключается в том, что она может не только выдавать себя за полезную программу, но и в реальности предоставлять полезные функции, в качестве прикрытия для деструктивных действий. Например, путем добавления своего кода в хорошие приложение. Другая опасность заключается в том, что троян может скрывать от системы выполнение каких-либо вредоносных действий. С технической точки зрения, трояны сами по себе не занимаются своих распространением. Тем не менее, их часто сочетают с сетевыми червями для распространения инфекции или же добавляют в хорошие программы, после чего выкладывают в публичную сеть для скачивания.

В связи с тем, что в отличии от вирусов и прочих, троянские программы могут содержать код для скрытия своих действий, то для борьбы с ними применяются не только антивирусы, но и сканеры троянских программ .

Клавиатурный шпион (Key logger)

Особый вид трояна, который записывает все нажатия кнопок клавиатуры и/или действия мышки на вашем компьютере. В последствии, вся собранная информация либо сохраняется в месте, откуда злоумышленник легко сможет забрать ее, либо передается через сеть или интернет. Обычно, клавиатурный шпион применяется для кражи паролей. В некоторых случаях, так же для кражи личной информации.

Для борьбы с клавиатурными шпионами применяются не только антивирусы и сканеры троянов, но и безопасные экранные клавиатуры , а так же программы для удаления рекламного и шпионского ПО .

Рекламные закладки (Adware)

Рекламные закладки или Adware это достаточно серый тип программ. Он может быть как хорошим, с точки зрения безопасности, так и вредоносным. Примером хорошего варианта является установка бесплатных программ, которые так же устанавливают необходимый код для последующего просмотра рекламы. В некотором роде, используется бартер. Вы бесплатно получаете функциональность, но за это вы просматриваете рекламу, от которой разработчик программы получает доход. Однако, среди Adware существует и немало вредоносных программ, которые без вашего ведома отправляют вашу личную информацию рекламодателям или же встраивают рекламные блоки в другие программы, например, в браузеры.

Шпионские программы (Spyware)

Шпионские программы это несколько туманный термин. Первоначально, он в основном относился к рекламным закладкам (Adware). Тем не менее, сегодня, многие представители программ-шпионов мало отличаются от троянских программ. Их основное предназначение следует из их названия - шпионить за вашими действиями, собирать данные и предоставлять их кому-либо, без вашего ведома.

Для борьбы со шпионскими программами применяются антивирусы, сканеры троянских программ и программы для удаления рекламного и шпионского ПО. В некоторых случаях, их так же можно обнаружить, при помощи межсетевых экранов (файрволов). Например, при наличии странной сетевой активности.

Руткиты (Rootkit)

Руткит (Rootkit) это скрытый тип вредоносного программного обеспечения, который выполняется на уровне ядра операционной системы. Основной опасностью руткитов является то, что, внедряясь на уровень ядра системы, руткиты могут выполнять любые действия и с легкостью обходить любые системы защиты, ведь для своего скрытия им достаточно отказать в доступе средствам безопасности. Кроме того, руткиты позволяют скрывать действия других вредоносных программ. Обычно, их применяют для удаленного контроля компьютера.

Из-за того, что руткиты выполняются на привилегированном уровне, их достаточно трудно обнаружить и уничтожить. В большинстве случаев, обычные антивирусы никак не смогут вылечить зараженный компьютер, поэтому необходимо применять специальные программы для удаления руткитов . Так же, если у вас есть подозрения о заражении руткитом, то проверку системы лучше всего выполнять при помощи LiveCD или дисков для восстановления системы, так как в таком случае руткиту сложнее будет скрыть свое присутствие.

Зобми компьютер (Zombie)

Программы для создания из вашего компьютера зомби предназначены для внедрения на компьютер кода, который, подобно, логической бомбе, будет активироваться при определенных условиях (обычно, речь идет об удаленном доступе - отсылке команд). При заражении компьютера, чаще всего применяются троянские программы. В последствии, зомбированный компьютер используется для рассылки спама, проведения DDoS атак (распределенная атака в обслуживании), накрутки счетчиков и прочих вредоносных действий, без ведома владельца.

Как уже говорилось, достаточно часто программы для зомбирования компьютера появляются вместе с троянскими программами, поэтому для лечения их стоит применять антивирусы и сканеры троянов. В более редких случаях, программы зомби заражаются с помощью руткитов (или же являются частью самих руткитов), поэтому если вы обнаружили странную сетевую активность, то так же не лишним будет проверить систему на наличие руткитов.

Ботнет (Botnet)

Часто, зомби компьютеры организуются в сеть, называемую ботнет (botnet). В такой сети часть компьютеров представляет собой ретрансляторы для передачи команды от удаленного компьютера злоумышленника на все зомбированные узлы. Это позволяет злоумышленникам легко управлять ботнет сетями, измеряемыми в десятках и сотнях тысяч. Как правило, такие сети используют для проведения согласованных вредоносных действий в интернете, без ведома владельцев зараженных компьютеров.

Борьба с ботнет сетями достаточно часто заключается в поиске ретрансляторов и их обезвреживании (блокирование доступа в интернет провайдерами, фильтрация на сетевых устройствах и прочие).

Загрузка вредоносных программ простым посещением (Drive-by-Download)

Этот тип вредоносных программ использует уязвимости браузеров и формирует html-код страницы таким образом, что просто посетив их, запустится автоматическая загрузка другого вредоносного программного обеспечения на компьютер. Часто, такая загрузка происходит вообще без ведома пользователя. Заражение такими программами возможно в тех случаях, когда в браузерах по умолчанию разрешена установка различных компонентов и расширений для веб-сайтов. Например, если в IE разрешена установка ActiveX элементов без запроса, то одного захода на сайт или даже простого открытия html-страницы будет достаточно для заражения компьютера.

Для борьбы с такими вирусами применяются антивирусы, позволяющие сканировать загружаемые файлы в реальном времени (в том числе html-код веб-страниц), межсетевые экраны (файрволы), а так же различные программы для установки безопасных настроек браузеров, некоторые из которых можно найти в обзоре утилит для тюнинга компьютера .

Пугающие или вымогающие (Scareware и Ransomware)

Пугающие или вымогающие вредоносные программы, в основном, полагаются на психологическое воздействие (страх, угрозы и прочее) и требуют перевести средства или нажать на ссылку, перейдя по которой начнется установка трояна или другой вредоносной программы. Технически, не редко такие программы используют только разрешенные и безопасные функции системы, из-за чего средства безопасности просто не обращают на них внимания. А если и используют сомнительные функции, то на очень примитивном уровне.

В большинстве случаев, для их устранения хватает и простого антивируса. Если же такая программа использует только безопасные функции, то, к сожалению, достаточно часто вам придется вручную заниматься их удалением .

Скрытые индикаторы

Скрытые индикаторы применяются для сбора информации о вас или вашем компьютере. В отличии от программ-шпионов, чаще всего они используют разрешенные методы. Например, вставка на страницу или в электронное письмо прозрачной картинки размером 1 на 1 пиксель. Смысл в данном случае заключается в том, что при загрузке данной картинки с внешнего сервера, на нем записывается не только время и дата запроса, но и так же вся информация, которую он только сможет получить, такую как ваш IP-адрес и версия браузера. С одной стороны, такой тип сложно назвать вредоносным. С другой стороны, без вашего ведома на стороннем сервере собираются ваши данных, пусть и часто публичные.

Так как, в основном, скрытые индикаторы используют только разрешенные методы и в большинстве своем собирают только общедоступные данные, то с большой вероятностью, их не обнаружит ни одно средство безопасности. Тем не менее, знание о таком типе позволит вам задуматься, при обнаружении странных элементов.

Заключительные слова о вредоносных программах

Как видите, в зависимости от типа вредоносных программ, может меняться не только список средств безопасности, но и сами подходы к борьбе с ними. Поэтому, старайтесь использовать корректную терминологию - это позволит вам и другим людям сэкономить время и силы.

Примечание : Возможно, теперь вам стало чуть лучше понятно, почему технические специалисты при слове "вирус" начинают задавать множество "странных" вопросов.