А. Белоус - Кибероружие и кибербезопасность. О сложных вещах простыми словами

Посмотрите сами: например, Worm.Win32.Nuf — это то же самое, что Net-Worm.Win32.Mytob.c.

Здесь нет общих правил присвоения имени, но обычно название вирусам дается по некоторым стандартным признакам:

• по месту обнаружения вируса (Jerusalem);

• по отдельным содержащимся в теле вируса «текстовым строкам» (I Love You);

• по методу подачи этого вируса пользователю (Anna Kournikova);

• по эффекту (Black Friday).

В качестве примера приведем ряд конкретных названий вирусов с их визуализацией и краткой историей появления в сеть.

Рис. 8.3. Вирус Melissa

Рис. 8.4. Вирус MyDoom

Основные типы вредоносных объектов

Основные типы вредоносных объектов: virus, worm(net-worm и email-worm), packer, utility, trojan(trojan-downloader, backdoor и trojan-dropper), adware.

• Среди сетевых вирусов(worm) выделяют вредоносные программы, которые используют для своего распространения электронную почту (email- worm) и сети обмена данными (net-worm).

Упаковщики(packer) различными способами архивируют содержимое файла, в том числе с помощью шифрования, для того, чтобы исключить корректное разархивирование информации.

Рис. 8.5. Вирус Sasser-Netsky

Трояны(Trojan) — группа вредоносных программ-вирусов, маскирующихся под полезные программы, проникающие на компьютер под видом безвредного программного обеспечения. Как и её прототип из греческой мифологии, программа-троян выглядит не тем, чем является на самом деле. Такая программа несет в себе средства, позволяющие её создателю иметь доступ к системе, в которой она исполняется. Другими словами, основное функциональное назначение троянов — предоставить к пораженному компьютеру свободный доступ через Интернет с удаленного компьютера. В этой группе выделяют программы, предназначенные для скрытого удаленного управления пораженным компьютером (backdoor); программы, предназначенные для несанкционированной установки на компьютер различных вирусов, содержащихся в этой программе (trojan-dropper); программы, предназначенные для несанкционированной загрузки на компьютер новых версий вирусов из сети Интернет (trojan-downloader).

Рис. 8.6. Вирус 2007 Storm Worm

Вредоносные утилиты(utility) разрабатываются для автоматизации создания других вирусов, червей или троянских программ. В большинстве случаев они не представляют угрозы компьютеру, на котором исполняются.

• И, наконец, adware,программы, которые не являются вредоносными, но обладают функциональными возможностями для совершения несанкционированных и часто вредоносных действий.

Многие вирусы не входят ни в один из вышеперечисленных классов. В настоящее время они и составляют самую большую категорию вредоносных программ, предназначенных для несанкционированного нарушения работы компьютера.

Спам и Фишинг

Существуют также информационные процессы, которые сами по себе не являются вирусами, однако могут иметь вредоносные последствия не столько для компьютера, сколько для финансового состояния его пользователя — это спам и фишинг.

Спамом называют массовую рассылку электронной почты, обычно содержащую навязчивую рекламу, на адреса пользователей, которые не выражали желания ее получать. Спам вреден тем, что нагружает каналы связи и сетевое оборудование провайдеров, что, в свою очередь, увеличивает трафик и снижает пропускную способность передачи полезной информации. Кроме того, спам заставляет пользователя тратить свое время на обработку бесполезной информации. Совет: никогда не отвечайте на спамерское письмо, даже если очень хочется. Ваш ответ будет подтверждением того, что данный почтовый ящик существует в действительности, а подобная информация очень ценится у спамеров. В дальнейшем ваш ящик будет постоянно забит спамом.

Фишинг — это вид мошенничества в глобальной сети Интернет с целью получения персональных данных пользователей. Такие данные злоумышленники могут получить следующим образом: пользователь получает сообщение о том, что ему необходимо обновить конфиденциальную информацию, перейдя по предложенной ссылке. Далее, щелкнув по ссылке, пользователь заходит на поддельный сайт и сам оставляет там свои персональные данные, вплоть до паролей, номера кредитной карты или банковского счета, что приводит к их краже.

Современные антивирусы собирают базу данных о таких угрозах и, при попытке пользователя перейти по фишинговой ссылке, предупреждают его об опасности.

Этот вирус-червь примечателен тем, что использовал не одну, а четыре О-day (т. е. доселе неизвестные) уязвимости, что тоже нечасто случается. Вернее, две уязвимости были ранее известны, но очень мало. Майкрософт про них не знал и патчей, соответственно, не выпустил. Для верности вирус использовал еще и пятую, тоже вроде бы известную, но очень «злую» уязвимость в RPC сервисе, которую ранее уже вовсю эксплуатировал червь Conficker.

Вирус был подписан краденой цифровой подписью, поскольку в целях защиты Майкрософт обычно требует, чтобы все драйвера в системе были подписаны. Однако это не помогло. Злоумышленники скорее всего украли подписи из тайваньских отделений фирм MicronJ и RealTek. На это укзывает косвенной тот факт, что головные офисы этих фирм находятся в одном и том же здании в городе Шинчу. Если это не простое совпадение, то это значит, что кто-то физически проник в комнаты, зашел на соответствующие компьютеры, выкрал ключи — это не любительская работа, это работа профессионалов.

Его явно писала большая команда тоже профессионалов — пол-мегабайта кода на ассемблере, С и C++.

Обнаружен Stuxnet был не в Америке, Китае или Европе, где больше всего народу работает в интернете, а в Иране — 60 % заражений произошло в государстве исламской революции.

Он умел сам принимать команды и обновляться децентрализованно, по типу P2P. Классические ботнеты пользуются центральными командными системами

А самое, главное отличие — этот вирус не рассылал спам, не форматировал диск и даже не крал банковские данные. Он занимался вредительством на производстве. Точнее, он атаковал индустриальные системы контроля и управления, использующие софт под названием Simatic WinCC. Что еще сенсационней, Stuxnet скрытно прописывает себя на программируемые микросхемы контроллеров, которые используются непосредственно для управления оборудованием и контроля за производством, маскируется и «убивает» конкретный технологический процесс. Причем не любой случайный процесс, а возвращающий определенный код. К сожалению, что этот код значит, экспертам на момент выхода книги пока неизвестно. Это, кстати, объясняет его способ распространения через «флешки» — ведь все современные промышленные системы в целях безопасности чрезвычайно редко подключены к Интернету.