Как заражают систему Компьютерные черви
Компьютерные черви являются одними из наиболее распространенных типов вредоносных программ. Они распространяются по компьютерным сетям, используя уязвимости операционной системы. Черви обычно причиняют вред их принимающих сетей, потребляя ресурсы системы и способствуют к перегрузки веб-серверов. Компьютерные черви могут также содержать «жесткую атаку», которая способствует к повреждению компьютеров. Куски кода, написанного для выполнения неких действий на зараженных компьютеров для распространение червя. Payload обычно предназначены для кражи данных или удаления файлов. Некоторые payload(ы) могут создавать бреши в хост-компьютеров, которые позволяют им управлять другими компьютерами создавая при этом ботнет. Вредоносные стороны могут использовать сети этих зараженных компьютеров (ботнеты) для рассылки спама и DDOS атак.
Компьютерные черви классифицируются как тип компьютерного вируса, но есть несколько характеристик, которые отличают компьютерных червей от обычных вирусов. Основное различие заключается в том, что вирусы распространяются через человеческую деятельности (запуск программы, открытие файла, и т.п.). Компьютерные черви обладают способностью автоматически распространяться без человеческого начала. В дополнение к возможности распространения без посторонней помощи, компьютерные черви способны к самовоспроизведению. Это означает, что черви могут создать несколько копий самих себя, чтобы отправить себя на другие компьютеры . Это часто происходит через отправку массовых электронных писем на электронные контакты зараженных пользователей.
Есть несколько хороших практик которым пользователи могут следовать, чтобы защитить свои компьютеры от червей. После этих шагов не только уменьшится риск заражения, но и облегчается обнаружение и удаление компьютерного червя.
- Держите операционную систему и программное обеспечение всегда обновленным то-есть всегда обновляйте свой софт вплоть до последней версии. Эти обновления часто содержат патчи безопасности, предназначенные для защиты компьютеров от недавно обнаруженных червей.
- Старайтесь не открывать электронные письма, от которых вы не узнаете кто вам его прислал или не ожидали, так как многие компьютерные черви распространяются по электронной почте.
- Воздержитесь от открытия разных форм и нажатия на ссылки, полученные из ненадежных / незнакомых источников.
- Запустите брандмауэр и антивирус для дальнейшей защиты от компьютерных червей.
- Брандмауэры будут держать защиту компьютера от несанкционированного доступа хотя это мало вероятно.
- Выберите антивирусную программу, которая включает в себя функциональность загрузки сканирования (обнаружения вредоносного контента в электронной почте и веб-загрузки), а также вредоносных инструментов удаления.
Сетевые черви
(другое название — компьютерные черви) — это вредоносные программы, которые созданы с внутренним механизмом распространения по локальным и глобальным компьютерным сетям с некоторыми целями. Данными целями являются:
- проникновение на удаленные компьютеры с частичным или полным перехватом управления ими (скрытым от пользователя — хозяина этого компьютера);
- запуск своей копии на компьютере;
- дальнейшее распространение по всем доступным сетям, как локальным, так и глобальным.
Наверное, самым известным сетевым червем является так называемый «Червь Морриса», который был написан в 1988 году студентом Корнельского университета Р. Моррисом-младшим. Вирус попал в сеть 2 ноября 1988 года, и стремительно распространился на большое количество компьютеров, имеющих подключение к Интернет.
Типы сетевых червей
Основным признаком, по которому различаются типы червей между собой, является способ распространения червя — каким способом он передает свою копию на удаленные компьютеры.
Почтовые черви . Червь отсылает либо свою копию в виде вложения в элетронное письмо, либо ссылку на свой файл, расположенный на каком-нибудь сетевом ресурсе. В первом случае код червя активируется при открытии (запуске) зараженного вложения, во втором при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков — активизируется код червя.
Черви, использующие уязвимости программного обеспечения . Червь ищет в сети компьютеры, на которых используются операционная система и приложения, содержащие критические уязвимости и посылает специально оформленный сетевой пакет или запрос, в результате чего код червя проникает на компьютер-жертву.
Черви, использующие файлообменные сети . Механизм работы данных червей достаточно прост — для внедрения червю достаточно скопировать себя в папку обмена файлами на одном из компьютеров. Всю остальную работу файлообменная сеть берет на себя — при поиске файлов в сети она сообщит удаленным пользователям о данном файле-черве и предоставит его для скачивания.
Сетевые черви: ликбез
Сетевые черви – это специфический тип вирусов. В отличие от обычных вирусов, средой существования которых является файловая система, черви распространяются через сеть. Проникнуть в компьютер пользователя сетевой червь может не только через Интернет и электронную почту, этому типу вредоносного ПО подвластны многие сетевые технологии. Это и сети служб обмена мгновенными сообщениями, и сети P2P для обмена файлами напрямую между пользователями, и IRC-сети для чатов, и локальные LAN-сети, и сети мобильных операторов.
- Хотите узнать как разрушительно работают черви под прикрытием руткитов? Читайте нашу статью о руткитах!
Те пользователи кто постарше наверняка помнят червя w32.Blaster.worm, который заражал операционные системы Windows 2000, Windows 2003, Windows XP и не давал выйти в интернет выводя такое окно, затем перезагружая компьютер. Помню я в то время с утра до вечера бегал по многочисленным друзьям и знакомым избавляя их от этой гадости.
Второстепенные задачи сетевых червей точно такие же, как и у обычных вирусов – проникнуть в компьютер, активироваться и размножаться, только уже не в пределах одного компьютера. А основная задача сетевых червей — пролезть через сеть в устройства других пользователей.
- 2 ноября 1988 года, начал распространение по интернету «Червь Морриса», который задумывался автором как безобидный, но из-за ошибки в своём коде заразил около 10% компьютеров (свыше 6000) того времени подключенных к сети. В результате атаки червя большая часть сетей вышла из строя на целую неделю! Общий ущерб составил 100 миллионов долларов. Данная проделка обернулась всемирной известностью автору — студенту Корнельского Университета Роберту Моррису и условному заключению сроком на три года.
Большая часть сетевых червей – это почтовые черви, которые попадают в компьютер пользователей, если те их активируют запуском заражённого файла, который прикрепляется к электронному письму. Отправители таких электронных писем используют всяческие ухищрения, чтобы мотивировать пользователей запустить заражённый файл. Таковые присылают, как правило, под видом полезных программ, обновлений, документов, изображений и т.п.
В расчёте на неосведомлённых пользователей заражённые сетевыми червями файлы оснащают якобы расширением в самом названии файла, при этом файл на самом деле будет иметь совершенно иное расширение – расширение запуска, оно же исполняемый файл сетевого червя. Расширения прикрепляемых к электронным письмам файлов, кстати, отображаются не всеми почтовыми клиентами и веб-сервисами. Например, получив заражённый сетевым червём файл «Pictures.jpg.exe», где «.exe» — реальное расширение файла, пользователь может увидеть только ложное расширение — «.jpg» — которое есть не что иное, как просто часть имени файла «Pictures.jpg». Конечно же, на это не поведётся опытный пользователь компьютера, а вот с новичками такой трюк проходит «на ура».
После активации сетевой червь выискивает на компьютере электронные адреса в контактах пользователя и рассылает им свою копию.
По этому же принципу сетевые черви распространяются и через интернет-мессенджеры типа ICQ или IRC-клиенты.
Реже сетевые черви проникают в компьютер самостоятельно, без активации, используя бреши в операционной системе, браузерах и прочем программном обеспечении, которое работает с сетевыми подключениями.
Некоторые сетевые черви проникают в открытые сетевые ресурсы, чтобы скопировать туда заражённые файлы. Также сетевые черви могут попадать в компьютеры, где уже до этого орудовали вирусы.
Выше перечислены только специфические признаки сетевых червей, при этом им, естественно, присущи все иные качества вредоносного ПО, в частности, троянских программ. Так, сетевые черви, справившись со своей основной задачей по размножению – разослав по электронной почте свои копии, могут приступить к другим вредоносным действиям. Это может быть и воровство конфиденциальных данных, и установка программ для удалённого управления заражённым компьютером, и уничтожение данных, и любые иные действия, на которые сетевого червя запрограммировал его создатель. Но сетевые черви и без дополнительных миссий доставляют немало хлопот, поскольку после заражения на компьютере падает производительность, увеличивается объём сетевого трафика, а каналы связи, соответственно, нагружаются.
Повышенная сетевая активность с резким взлётом исходящего трафика – явный признак того, что в компьютере орудует сетевой червь. Блокировка антивируса – также признак наличия сетевого червя. Помимо этого, вирусы, в частности, сетевые черви, любят блокировать доступ к официальным сайтам разработчиков антивирусного ПО.
Антивирус с базовым функционалом защитой от сетевых червей можно назвать лишь условно. Антивирусные модули могут выявить факт заражения компьютера, заблокировать угрозу, но они не решают проблему с проникновением сетевых червей. Последние могут снова и снова настырно лезть через сеть, сколько бы их антивирус не блокировал. Тем не менее, хороший антивирус — обязательное условие работы на компьютере, если тот подключён к локальной сети или к Интернету. Подобрать для себя оптимальную антивирусную защиту вам поможет статья на нашем сайте Какой антивирус самый лучший.
В числе штатного функционала Windows инструментами для снижения рисков заражения системы сетевыми червями являются предустановленные настройки автоматического обновления системы и активированный брандмауэр (другое его название — файервол). В некоторых пиратских сборках Windows обновления и брандмауэр могут быть отключены. Это не самый лучший способ выделить сборку среди массы аналогичных, если она рассчитана на обычных пользователей, а не профи. Так, с помощью обновлений компания Microsoft постоянно устраняет бреши системы и защищает её от новых опасностей, появляющихся в Интернете с каждым днём. Штатный брандмауэр (файервол) – это внедрённый в Windows, начиная с версии ХР, инструмент для защиты компьютера, в частности, как раз таки от сетевых червей. Брандмауэр проверяет данные, которые поступают по сети, и только после проверки разрешает или запрещает их дальнейшую передачу на компьютер.
Для усиленной защиты от хакерских атак, сетевых червей и прочих вирусов в качестве альтернативы штатному брандмауэру можно установить файервол стороннего разработчика с возможностью более гибкой его настройки. Среди сторонних файерволов популярностью у пользователей пользуются программы Outpost Firewall Pro и Comodo Firewall.
Сетевые черви
Сетевые черви (другое название – компьютерные черви) – это программы, которые созданы с внутренним механизмом распространения по локальным и глобальным компьютерным сетям с некоторыми целями. Данными целями являются:
- проникновение на удаленные компьютеры с частичным или полным перехватом управления ими (скрытым от пользователя – хозяина этого компьютера разумеется);
- запуск своей копии на компьютере;
- дальнейшее распространение по всем доступным сетям, как локальным, так и глобальным.
Перечислим некоторые виды сетей, по которым передаются сетевые черви. Это, в первую очередь, конечно, электронная почта, различные интернет-мессенджеры, файлообменные и торрент-сети, локальные сети, сети обмена между мобильными устройствами.
В основном компьютерные черви распространяются в виде файлов. Их прикрепляют в качестве вложений к электронным письмам и сообщениям, либо же различными способами пользователю предлагается пройти по определенной ссылке, закачать и запустить у себя на локальном компьютере некую крайне нужную и бесплатную программу, фотографию и т.д. (вариантов маскировки сетевых вирусов существует бесконечно много). Нужно сказать, что электронная почта стала практически идеальной почвой для распространения сетевых червей. И скорость их (сетевых червей) распространения по всему Интернету зачастую просто потрясает воображение.
Но существуют и так называемые «бесфайловые, пакетные» сетевые вирусы, которые распространяются в виде сетевых пакетов и проникают на компьютер при помощи различных брешей и уязвимостей в операционной системе или установленном программном обеспечении.
Для проникновения на удаленный компьютер используются самые различные методы, начиная от методов социальной инженерии (когда Вам приходит некое заманчивое письмо с ссылкой или вложенным файлом, призывающее либо открыть данный вложенный файл либо пройти по указанной ссылке), либо же, как уже писалось выше, это проникновение с помощью уязвимостей и back-door в используемом программном обеспечении. Также проникновение возможно при существующих недочетах в планировании и и обслуживании локальной сети (примером может служить какой-либо полностью расшаренный и незащищенный локальный диск).
В дополнение к своим основным функциям сетевые черви довольно часто содержат и функции другого вредоносного программного обеспечения – вирусов, троянских программ и т.д.
Как показывает статистика антивирусных лабораторий, более 80% всех проблем, связанных с проникновением вредоносного программного обеспечения (сетевых червей, троянов и вирусов) на локальные компьютеры пользователей, связано с элементарной безграмотностью и отсутствием необходимых навыков работы в сети Интернет у этих самых пользователей.
Проведем небольшой экскурс в историю и выясним, откуда же и как они возникли, эти вредоносные программы – компьютерные черви.
Первые эксперименты, в ходе которых были использованы первые прототипы компьютерных червей, были проведены в 1978 году в научно-исследовательском центре Xerox в Пало Альто. Инициаторами данных работ были Джон Шоч и Йон Хупп. Сам термин «сетевой червь» возник под влиянием научно-фантастической литературы (в частности, это романы Д.Геррольда «Когда Харли исполнился год» и Д.Браннера «На ударной волне»).
Наверное, самым известным сетевым червем является так называемый «Червь Морриса», который был написан в 1988 году студентом Корнельского университета Р.Моррисом-младшим. Вирус попал в сеть 2 ноября 1988 года, и стремительно распространился на большое количество компьютеров, имеющих подключение к Интернет.
Существуют различные виды сетевых червей. В первую очередь следует упомянуть ОЗУ-резидентных червей, которые располагаются в оперативной памяти компьютера, не затрагивая файлов на жестком диске. Избавиться от таких компьютерных червей достаточно просто – достаточно просто перезапустить операционную систему, при этом произойдет сброс данных, находящихся в ОЗУ, соответственно, сотрется и червь. ОЗУ-резидентные вирусы состоят из двух частей: эксплойта (или шелл-кода), с помощью которого они проникают на компьютер, и самого тела червя.
Также существуют вирусы, которые при успешном проникновении на компьютер проводят некоторые действия с локальными дисками: прописывают там некий программный код (примером может служить модификация ключей в реестре Windows или прописывание файла вируса в Автозагрузке). Также червь при успешном проникновении на компьютер может самостоятельно догрузить какие-либо дополнительные файлы по сети (вирусы, троянские программы, другие сетевые черви) и превратить ваш компьютер в рассадник всякой компьютерной заразы.
Обнаружить и, соответственно, обезвредить данных сетевых червей довольно сложно. В этом Вам помогут антивирусные программы с обновленными базами вирусных сигнатур.
Сетевые черви. Принцип действия.
К сожалению, определение червя отсутствует в государственных стандартах и распорядительных документах, поэтому здесь приведено лишь интуитивное определение, дающее представление о принципах работы и выполняемых функциях этого типа вредоносных программ.
Определение 1: Червь (сетевой червь) — тип вредоносных программ, распространяющихся по сетевым каналам, способных к автономному преодолению систем защиты автоматизированных и компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не всегда совпадающих с оригиналом, и осуществлению иного вредоносного воздействия.
Жизненный цикл
Так же как для вирусов, жизненный цикл червей можно разделить на определенные стадии:
1. Проникновение в систему
4. Подготовка копий
5. Распространение копий
Стадии 1 и 5, вообще говоря, симметричны и характеризуются в первую очередь используемыми протоколами и приложениями.
Стадия 4 — Подготовка копий — практически ничем не отличается от аналогичной стадии в процессе размножения вирусов. Сказанное о подготовке копий вирусов без изменений применимо и к червям.
Каналы распространения
На этапе проникновения в систему черви делятся преимущественно по типам используемых протоколов:
· Сетевые черви — черви, использующие для распространения протоколы Интернет и локальных сетей. Обычно этот тип червей распространяется с использованием неправильной обработки некоторыми приложениями базовых пакетов стека протоколов tcp/ip
· Почтовые черви — черви, распространяющиеся в формате сообщений электронной почты
· IRC-черви — черви, распространяющиеся по каналам IRC (Internet Relay Chat)
· P2P-черви — черви, распространяющиеся при помощи пиринговых (peer-to-peer) файлообменных сетей
· IM-черви — черви, использующие для распространения системы мгновенного обмена сообщениями (IM, Instant Messenger — ICQ, MSN Messenger, AIM и др.) Способы активации
На этапе активации черви делятся на две большие группы, отличающиеся как по технологиям, так и по срокам жизни:
1.Для активации необходимо активное участие пользователя
2.Для активации участие пользователя не требуется вовсе либо достаточно лишь пассивного участия
Под пассивным участием пользователя во второй группе понимается, например, просмотр писем в почтовом клиенте, при котором пользователь не открывает вложенные файлы, но его компьютер, тем не менее, оказывается зараженным.
Отличие в этих подходах глубже, чем может показаться на первый взгляд. Активация сетевого червя без участия пользователя всегда означает, что червь использует бреши в безопасности программного обеспечении компьютера. Это приводит к очень быстрому распространению червя внутри корпоративной сети с большим числом станций, существенно увеличивает загрузку каналов связи и может полностью парализовать сеть. Именно этот метод активации использовали черви Lovesan и Sasser. В результате вызванной таким сетевым червем эпидемии, используемая брешь закрывается администраторами либо пользователями, и по мере уменьшения компьютеров с открытой брешью эпидемия завершается. Для повторения эпидемии разработчикам вирусов приходится эксплуатировать другую брешь. В итоге, эпидемии, вызванные активными червями, существеннее влияют на работу сети в целом, однако случаются значительно реже, чем эпидемии пассивных сетевых червей. Обязательной мерой защиты от таких эпидемий является своевременная установка заплат безопасности. Отметим также, что особенно уязвимыми для этого типа червей являются операционные системы с заложенными возможностями удаленного управления или запуска программ — это семейство Microsoft Windows NT/2000/XP/2003.
Поиск «жертв»
Способ поиска компьютера-жертвы полностью базируется на используемых протоколах и приложениях. В частности, если речь идет о почтовом черве, производится сканирование файлов компьютера на предмет наличия в них адресов электронной почты, по которым в результате и производится рассылка копий червя.
Точно так же Интернет-черви сканируют диапазон IP адресов в поисках уязвимых компьютеров, а P2P черви кладут свои копии в общедоступные каталоги клиентов пиринговых сетей. Некоторые черви способны эксплуатировать списки контактов интернет-пейджеров, таких как ICQ, AIM, MSN Messenger, Yahoo! Messenger и др.
Подготовка копий для распространения
Сказанное ранее о подготовке копий для распространения вирусов, применимо и для червей.
Наиболее часто среди червей встречаются упрощенные реализации метаморфизма. Некоторые черви способны рассылать свои копии в письмах, как с внедрением скрипта приводящего к автоматической активации червя, так и без внедрения. Такое поведение червя обусловлено двумя факторами: скрипт автоматической активации повышает вероятность запуска червя на компьютере пользователя, но при этом уменьшает вероятность проскочить антивирусные фильтры на почтовых серверах.
Аналогично, черви могут менять тему и текст инфицированного сообщения, имя, расширение и даже формат вложенного файла — исполняемый модуль может быть приложен как есть или в заархивированном виде. Все это нельзя считать мета- или полиморфизмом, но определенной долей изменчивости черви, безусловно, обладают.
