Вредоносная программа
- Вредоносная программа (другие термины: зловредная программа, вредонос, зловред; англ. malware — контаминация слов malicious и software) — любое программное обеспечение, предназначенное для получения несанкционированного доступа к вычислительным ресурсам самой ЭВМ или к информации, хранимой на ЭВМ, с целью несанкционированного использования ресурсов ЭВМ или причинения вреда (нанесения ущерба) владельцу информации, и/или владельцу ЭВМ, и/или владельцу сети ЭВМ, путём копирования, искажения, удаления или подмены информации. Многие антивирусы считают крэки (кряки), кейгены и прочие программы для взлома приложений вредоносными программами, или потенциально опасными.
Антиви́русная програ́мма (антиви́рус, средство антивирусной защиты, средство обнаружения вредоносных программ) — специализированная программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ и восстановления заражённых (модифицированных) такими программами файлов и профилактики — предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом.
Компью́терный ви́рус — вид вредоносного программного обеспечения, способного внедряться в код других программ, системные области памяти, загрузочные секторы, а также распространять свои копии по разнообразным каналам связи.
Экспло́ит (англ. exploit, эксплуатировать) — компьютерная программа, фрагмент программного кода или последовательность команд, использующие уязвимости в программном обеспечении и применяемые для проведения атаки на вычислительную систему. Целью атаки может быть как захват контроля над системой (повышение привилегий), так и нарушение её функционирования (DoS-атака).
Сетевой червь — разновидность вредоносной программы, самостоятельно распространяющейся через локальные и глобальные (Интернет) компьютерные сети.
В компьютерной безопасности термин «уязвимость» (англ. vulnerability) используется для обозначения недостатка в системе, используя который, можно намеренно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых и SQL-инъекций. Некоторые уязвимости известны только теоретически, другие же активно используются и имеют известные.
Классификация вредоносных программ
Ниже перечислены основные виды вредоносных программ.
- Агенты ботнетов. Ботнетом называется группа зараженных компьютеров, получающих команды от злоумышленника; за прием и исполнение этих команд отвечает соответствующая вредоносная программа. Такая сеть может насчитывать от нескольких единиц до миллионов компьютеров, она также называется зомби-сетью.
- Эксплойты — хакерские утилиты, предназначенные для эксплуатации уязвимостей в программном обеспечении.
- Бекдоры — программы для удаленного подключения к компьютеру и управления им.
- Компьютерные вирусы. Вирусом принято называть программу, которая внедряет свой код в другие приложения («заражает» их), так что при каждом запуске инфицированного объекта этот код исполняется.
- Руткиты — средства скрытия вредоносной деятельности (например, другие приложения не смогут обнаружить файлы, принадлежащие нежелательному ПО).
- Сетевые черви — вредоносные программы с самой разной функциональной нагрузкой, которые способны самостоятельно распространяться по компьютерным сетям.
- «Троянские кони» («трояны») — широкий класс вредоносных объектов разнообразного назначения, которые обычно не имеют собственного механизма распространения (т.е. не могут заражать файлы или размножать свои копии через сеть). Название произошло от ранней тактики их проникновения — под видом легитимной программы или в качестве скрытого дополнения к ней.
В особую группу можно выделить вымогатели и шифровальщики (ransomware). Сценарий работы таких вредоносных программ состоит в том, что они каким-либо способом блокируют доступ пользователя к его данным и требуют выкуп за разблокировку.
Обеспечения. Виды и классификация вредоносного программного
обеспечение, в результате действия которого в компьютерной системе осуществляются непредусмотренные пользователем действия, наносящие вред ему или другим субъектам.
Угрозы безопасности компьютерных систем, которые могут быть реализованы вследствие воздействия вредоносного программного обеспечения, в самом общем виде можно представить следующим образом:
• нарушение целостности, доступности и конфиденциальности информации, хранящейся и обрабатываемой в компьютерной системе;
• нештатное поведение аппаратных средств и программного обеспечения;
• использование компьютерной системы в интересах злоумышленников.
К вредоносному программному обеспечению относятся:
• классические компьютерные вирусы (Vuruses);
• сетевые черви (Worms);
• троянские программы (Trojans);
• программы-шпионы (Spy Ware);
• логические бомбы (Logic Bomb);
• почтовые (кластерные) бомбы;
• другие программы, наносящие заведомый вред компьютеру, на котором они запускаются на выполнение, или другим компьютерам в сети.
Компьютерный вирус – самовоспроизводящаяся программа (или сегмент кода), которая может присоединяться к другим программам и файлам, способная приводить к нарушению целостности и доступности информации путем ее уничтожения, модификации или блокирования, а также вызывать снижение эффективности работы или повреждение компьютерной системы. Компьютерные вирусы могут распространять свои копии по
ресурсам локального компьютера с целью последующего запуска своего кода при каких-либо действиях пользователя.
Компьютерные вирусы не могут самостоятельно распространяться в компьютерных сетях (в отличие от сетевых червей). Для заражения компьютера вирусом необходима его активация, что возможно, например, при копировании на компьютер зараженных файлов с носителя или при запуске зараженного вирусом вложения к электронному письму.
Сетевой червь – программа, способная к самораспространению путем многократного самокопирования и передаче в компьютерных сетях. Черви используют для своего распространения компьютерные и мобильные сети так же, как вирусы используют файлы, и могут рассматриваться как разновидность компьютерных вирусов. Одной из отличительных особенностей сетевых червей является возможность их чрезвычайно
быстрого распространения, что может приводить к массовым компьютерным вирусным эпидемиям. Основной путь распространения сетевых червей – электронная почта (почтовые черви – mail worms), но также черви могут использовать файлообменные (P2P) и IRC-сети, LAN, сети обмена данными между мобильными устройствами (смартфонами, карманными компьютерами) и т. д.
Большинство червей распространяется в виде файлов как вложение в электронное письмо, ссылка на зараженный файл на Web- или FTP-ресурсе, в ICQ- и IRC-сообщениях, файл в каталоге обмена P2P и т. д. Некоторые, так называемые «бесфайловые» или «пакетные» черви, распространяются в виде сетевых пакетов и, проникая непосредственно в память компьютера, активизируют свой код [1].
Троянская программа (программа «Троянский конь», троян, троянец) —компьютерная программа, скрытно осуществляющая несанкционированные пользователем действия. «Классический» троян запускает скрытую внутри какой-либо легальной программы несанкционированную функцию, обеспечивающую выполнение действий, не предусмотренных автором легальной программы. Как правило, трояны используются как скрытые программы, предназначенные для несанкционированного получения обрабатываемой или хранимой в компьютере информации и передачи ее злоумышленнику, что может приводить к потере конфиденциальности информации. Например, троянcкие программы-клавиатурные мониторы способны перехватывать все нажатия клавиш клавиатуры, записывать эту информацию и передавать ее по сети. Некоторые разновидности троянов могут вызывать уничтожение или модификацию информации, нарушение работоспособности компьютера, использование ресурсов компьютера в несанкционированных целях. Существуют разновидности троянов, не
приносящие вреда зараженному компьютеру, но наносящие ущерб удаленным компьютерным системам, как, например, троянские программы, разработанные для массированных DoS-атак (Denial of Service – отказ в обслуживании) на удалённые ресурсы сети. Как и черви, троянские программы иногда рассматриваются как отдельная разновидность компьютерных вирусов.
Программы-шпионы – программы, предназначенные для скрытого сбора и передачи по компьютерным сетям информации о пользователе компьютера (вплоть до электронных почтовых адресов) и его действиях в сети (например, адреса посещаемых веб-сайтов и адреса электронной почты).
Программы-шпионы могут содержаться внутри исполняемых файлов или файлов данных и попадать в компьютер аналогично вирусам. Однако так как размер таких программ существенно превышает размер вирусов, то их скрытное размещение внутри других файлов часто затруднительно. Чаще всего шпионские программы содержатся в дистрибутивах программ и устанавливаются на компьютер при их установке, являясь, по существу, троянскими программами. Если при этом шпионская программа устанавливается как самостоятельная программа (с созданием собственной папки, регистрацией в реестре и т. д.), то она продолжает функционировать, даже при удалении программы, в дистрибутиве которой она была спрятана. Шпионские модули содержатся в таких широко распространенных программах, как Go!Zilla, ReGet, GetRight, CuteFTP, NetMonitor, NetCaptor, NetSonic и др..
Логическая бомба − программа, выполняемая периодически или однократно в определенный момент времени при наступлении определенных условий. Целью логической бомбы является нарушение работы компьютерной системы, уничтожение, модификация или блокирование информации. Для запуска логической бомбы необходимо наступление определенного события: заданной даты, нажатие определенных клавиш или
срабатывание внутреннего таймера программы. В результате действия логических бомб возможны как сравнительно неопасные проявления такие, как, например, выведение на экран монитора некоторого сообщения, так и крайне опасные − блокирование информационной системы или удаление файлов или программ. В отличие от вирусов логические бомбы не делают своих копий. Логическая бомба может быть внедрена в компьютер при помощи электронной почты, вместе с вирусом или троянской программой,
также возможно внедрение логической бомбы в программу еще на этапе ее разработки.
Архивная бомба − специальный вид архива, предназначенный для нарушения работы компьютерной системы путем заполнения памяти большим количеством бесполезных данных, образующихся при их разархивировании. Переполнение диска может приводить к замедлению или приостановке работы компьютерной системы. Срабатывание архивной
бомбы на файловых или почтовых серверах, использующих какую-либо систему автоматической обработки входящей информации, может полностью блокировать их работу.
Можно выделить три типа архивных бомб :
• некорректный заголовок архива или испорченные данные в архиве, способные вызывать сбой при выполнении операции разархивирования;
• повторяющиеся данные в архивируемом файле большого размера, которые позволяют сильно сжать этот файл в архив малого размера (например, 5 Гбайт данных могут быть упакованы в 200КБ RAR-архива или в 480 Кбайт ZIP-архива);
• одинаковые файлы в архиве, обеспечивающие при использовании специальных методов архивации очень небольшой размер архива при большом размере разархивированного файла (например, существуют приемы упаковки 10100 одинаковых файлов в 30 Кбайт RAR или 230 Кбайт ZIP-архив).
Почтовая (кластерная) бомба − программа, предназначенная для блокирования почтового сервера или электронного почтового ящика путем посылки очень большого числа электронных почтовых сообщений в течение короткого промежутка времени на какой-либо почтовый ящик или через определенный почтовый сервер, что приводит к переполнению почтового ящика или перегрузке сервера. Для отправления потока сообщений могут использоваться специальные программы, осуществляющие генерацию
потока почтовых сообщений, либо интернет-серверы, осуществляющие почтовые рассылки и позволяющие подписаться на них посредством заполнения формы на сайте. В последнем случае информация с электронным почтовым адресом жертвы с помощью специализированного программного обеспечения автоматическое вносится в соответствующие формы на множестве сайтов, предлагающих услуги рассылки. Поток почтовых сообщений формируется из запросов серверов с просьбой подтвердить полученную информацию о подписке на рассылку.
Хакерские утилиты –программы-утилиты для организации атак на компьютерные системы, а также создания или совершенствования вредоносного программного обеспечения.
К вредоносному программному обеспечению могут быть отнесены и так называемые Ad Ware– программы, обеспечивающие вывод на экран информации рекламного характера, обычно представленной в виде всплывающих окон. Некоторые из таких программ способны выполнять и функции, свойственные шпионским про граммам, передавая информацию о персональных данных пользователя.
Вредоносные программы, прежде всего, троянские и шпионские программы и логические бомбы могут рассматриваться как программные закладки.
Программная закладка − это программа или фрагмент программы, скрытно внедряемый в компьютерную систему и позволяющий злоумышленнику, внедрившему его, осуществлять несанкционированный доступ к тем или иным ресурсам компьютерной системы или выполнять иные функции.
Отдельным и весьма специфическим классом вредоносного программного обеспечения являются мобильные вирусы, действующие в сотовых сетях связи и обладающие рядом существенных особенностей.
Поэтому мобильные вирусы более целесообразно рассматривать как одну из угроз сетям связи, а не компьютерным системам.
Основными причинами создания и распространения вредоносного программного обеспеченияявляются хулиганство, стремление к получению материальной выгоды (например, путем кражи персональных данных:
паролей, кодов доступа к банковским активам и т. п.), а также шпионаж,
основанный на получении несанкционированного доступа к конфиденциальной информации. Некоторые виды вредоносного программного обеспечения, например,
логические бомбы, в принципе, могут быть использованы для нанесения
ущерба путем нарушения работы компьютерных систем или серьезного нарушения информационной безопасности.
По назначению, поведению и деструктивными возможностямивредоносное программное обеспечение может быть представлено тремя основными типами .
1. Деструктивное программное обеспечение, представляющее
существенную угрозу для функционирования компьютерных систем и хранящейся и обрабатываемой в них информации:
1) вирусы, заражающие исполняемые файлы операционной системы;
2) черви, распространяющиеся в компьютерных сетях;
3) деструктивные троянские программы, уничтожающие или модифицирующие данные;
4) троянские программы удаленного администрирования («трояны- бекдоры», back door – задняя дверь, черный ход), позволяющие осуществлять удаленный контроль за зараженным компьютером;
5) троянские шпионские программы, отслеживающие и фиксирующие действия пользователя компьютера, например, нажимаемые на клавиатуре клавиши, запускаемые приложения и т. д.;
6) троянские программы, пересылающие информацию, хранящуюся и обрабатываемую в компьютере;
7) логические бомбы, запускаемые при выполнении определенных условий и осуществляющие те или иные деструктивные действия;
8) архивные и почтовые бомбы, действие которых приводит к нарушению работы компьютерных систем, в частности, систем электронной почты;
9) хакерские утилиты, предназначенные для взлома атакуемых компьютерных систем.
2. Нежелательное программное обеспечение, не несущее непосредственной угрозы для компьютерных систем, но выполняющее непредусмотренные и, как правило, нежелательные для пользователя действия. Такими действиями может быть использование ресурсов компьютерной системы в чужих интересах, вывод на экран монитора рекламной информации (например, в виде всплывающих окон) и иные
К нежелательному программному обеспечению относятся :
1) программы-«кликеры» (сlicker), формирующие поток обращений к интернет-ресурсам и тем самым увеличивающие число их посещений;
2) программы-«адвертайзеры» (аdvertizer), показывающие рекламу товаров или услуг;
3) программы-«диалеры» (dialer), предлагающие посетить какой- либо платный ресурс, как правило, порно-сайт;
4) программы-«шутки», сообщающие пользователю об осуществлении нежелательных для него действий (например, об уничтожении данных), которые в действительности не
3. Рискованное программное обеспечение– легальное программное обеспечение, используемое в злоумышленных целях:
1) утилиты удаленного администрирования;
2) утилиты предоставления сетевого сервиса – proxy-серверы, FTP- серверы и т. д.;
Вирусы
Компьютерный вирус — вид вредоносного программного обеспечения, способного создавать копии самого себя и внедряться в код других программ, системные области памяти, загрузочные секторы, а также распространять свои копии по разнообразным каналам связи.
Основная цель вируса — его распространение, а нарушение работы программно-аппаратных комплексов — удаление файлов, приведение в негодность структур размещения данных, блокирование работы пользователей и т. п. — часто является его сопутствующей функцией. Даже если автор вируса не запрограммировал вредоносных эффектов, вирус может приводить к сбоям компьютера из-за ошибок, неучтённых тонкостей взаимодействия с операционной системой и другими программами. Кроме того, вирусы, как правило, занимают место на накопителях информации и потребляют ресурсы системы.
В обиходе «вирусами» называют всё вредоносное ПО, хотя на самом деле это лишь один его вид.
Способность вирусов к «размножению» вызывает у некоторых людей желание сравнивать их с «особой формой жизни» и даже наделять эти программы неким «злым интеллектом», заставляющим их совершать мерзкие выходки ради достижения поставленной цели. Однако это не более чем вымысел и игра фантазии. Подобное восприятие событий напоминает средневековые представления о злых духах и ведьмах, которых никто не видел, но все боялись. «Размножение» вирусов ничем не отличается от, например, копирования программой файлов из одной директории в другую. Отличие лишь в том, что эти действия производятся без ведома пользователя, то есть на экране не появляется никаких сообщений. Во всем остальном вирус — самая обычная программа, использующая те или иные команды компьютера.
На сегодняшний день зарегистрировано около 55 тысяч компьютерных вирусов. Их число постоянно растет, появляются совершенно новые, ранее неизвестные типы. Классифицировать вирусы становится труднее год от года. В общем случае их можно разделить на группы по следующим основным признакам: среда обитания, операционная система, особенности алгоритма работы.
В зависимости от среды обитания различают файловые, загрузочные и макровирусы.
Поначалу самой распространенной формой компьютерной «заразы» были файловые вирусы, «обитающие» в файлах и папках операционной системы компьютера. К ним относятся, например, «overwriting»-вирусы (от англ. «записывать поверх»). Попадая в компьютер, они записывают свой код вместо кода заражаемого файла, уничтожая его содержимое. Естественно, что при этом файл перестает работать и не восстанавливается. Однако это довольно примитивные вирусы: они, как правило, очень быстро себя обнаруживают и не могут стать причиной эпидемии.
Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких операционных систем — DOS, Windows, OS/2, Linux, MacOS и т.д. На этом основан второй способ классификации вирусов. Например, вирус «BOZA», работающий только в Windows и нигде более, относится к Windows-вирусам. Вирус «BLISS» — к Linux-вирусам и т.д.
Вирусы можно также различать по используемым ими алгоритмам работы, то есть различным программным хитростям, делающим их столь опасными и трудноуловимыми.
Во-первых, все вирусы можно разделить на резидентные и нерезидентные. Резидентный вирус подобен шпиону, постоянно работающему в чужой стране. Попав при загрузке в оперативную память компьютера, вирус остается в ней до тех пор, пока компьютер не будет выключен или перезагружен. Именно оттуда вирус-резидент и совершает все свои деструктивные действия. Нерезидентные вирусы не заражают память компьютера и способны «размножаться» только если их запустить.
К резидентным можно также отнести все макровирусы. Они присутствуют в памяти компьютера в течение всего времени работы зараженного ими приложения.
Во-вторых, вирусы бывают видимыми и невидимыми. Для простого обывателя невидимость вируса — пожалуй, самое загадочное его свойство. Однако ничего демонического в этом нет. «Невидимость» заключается в том, что вирус посредством программных уловок не дает пользователю или антивирусной программе заметить изменения, которые он внес в зараженный файл. Постоянно присутствуя в памяти компьютера, вирус-невидимка перехватывает запросы операционной системы на чтение и запись таких файлов. Перехватив запрос, он подставляет вместо зараженного файла его первоначальный неиспорченный вариант. Таким образом пользователю всегда попадаются на глаза только «чистые» программы, в то время как вирус незаметно вершит свое «черное дело». Одним из первых файловых вирусов-невидимок был «Frodo», а первым загрузочным невидимкой — вирус «Brain». Подробнее о конкретных вирусах вы можете прочитать здесь.
