Лекция 18. Вредоносные программы и защита от них

Согласно статье 273 Уголовного Кодекса Российской Федерации («Создание, использование и распространение вредоносных программ для ЭВМ») вредоносные программы – это ПО, заведомо предназначенное для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации».

Корпорация Microsoft трактует термин «вредоносная программа» следующим образом: «Вредоносная программа (malware) — это сокращение от „malicious software», обычно используемое как общепринятый термин для обозначения любого программного обеспечения, способного нанести вред компьютеру, на котором оно исполняется, информации, обрабатываемой на этом компьютере, а также другим компьютерам, соединенным с данным по сети».

1. Классификация вредоносных программ.

У каждой компании-разработчика антивирусного программного обеспечения существует собственная корпоративная классификация и номенклатура вредоносных программ. Приведённая в этой статье классификация основана на номенклатуре «Лаборатории Касперского».

1.1 По вредоносной нагрузке

• Помехи в работе заражённого компьютера:

  • Блокировка антивирусных сайтов, антивирусного ПО и административных функций ОС с целью усложнить лечение.

  • Саботирование промышленных процессов, управляемых компьютером (этим известен червь Stuxnet).

  • Другие технические сбои, начиная от открытия-закрытия поддона CD-ROM и заканчивая уничтожением данных и поломкой аппаратного обеспечения. Поломками известен, в частности, Win32.CIH

• Инсталляция другого вредоносного ПО.

  • Загрузка из сети (downloader).

  • Распаковка другой вредоносной программы, уже содержащейся внутри файла (dropper).

• Кража, мошенничество, вымогательство и шпионаж за пользователем. Применяться сканирование жёсткого диска, регистрация нажатий клавиш (Keylogger) и перенаправление пользователя на поддельные сайты, в точности повторяющие исходные ресурсы (Deface).

  • Похищение данных, представляющих ценность или тайну.

  • Кража аккаунтов различных служб (электронной почты, мессенджеров, игровых серверов…). Аккаунты применяются для рассылки спама. Также через электронную почту зачастую можно заполучить пароли от других аккаунтов, а виртуальное имущество в MMOG — продать.

  • Кража аккаунтов платёжных систем.

  • Блокировка компьютера, шифрование файлов пользователя с целью шантажа и вымогательства денежных средств (см. Ransomware). В большинстве случаев после оплаты компьютер или не разблокируется, или вскоре блокируется второй раз.

  • Платное ПО, имитирующее, например, антивирус, но ничего полезного не делающее (fraudware или scareware).

• Прочая незаконная деятельность:

  • Получение несанкционированного (и/или дарового) доступа к ресурсам самого компьютера или третьим ресурсам, доступным через него, в том числе прямое управление компьютером (так называемый backdoor).

  • Организация на компьютере открытых релеев и общедоступных прокси-серверов.

  • Заражённый компьютер (в составе ботнета) может быть использован для проведения DDoS-атак.

  • Сбор адресов электронной почты и распространение спама, в том числе в составе ботнета.

  • Накрутка электронных голосований, щелчков по рекламным баннерам.

  • Использование вычислительных мощностей для генерации монет платёжной системы Bitcoin.

  • Использование эффект 25-го кадра для зомбирования человека.

• Файлы, не являющиеся истинно вредоносными, но в большинстве случаев нежелательные:

  • Шуточное ПО, делающее какие-либо беспокоящие пользователя вещи.

  • Adware — программное обеспечение, показывающее рекламу.

  • Spyware — программное обеспечение, посылающее через интернет не санкционированную пользователем информацию (сканер жесткого диска, контролер программ, интеренет – мониторы, программы типа «прокси-сервер», почтовые шпионы, программы автоматического дозвона. клавиатурные шпионы).

• Программы удалённого администрирования могут применяться как для того, чтобы дистанционно решать проблемы с компьютером, так и для неблаговидных целей.

Для сокрытия своего присутствия в системе при попытках неавторизованного доступа к компьютеру используются Руткиты (rootkit). Термин пришел из Unix-систем и обозначает методы, которые авторы троянских программ, работающих под Windows, используют для маскировки вредоносной активности. Установленные в системе руткиты не только не видны пользователям, но и избегают обнаружения антивирусным ПО. За счет того, что многие пользователи входят в систему как администраторы, не создавая отдельной учетной записи с ограниченными правами для ежедневной работы, для злоумышленников задача внедрения руткитов упрощается.