3.2 Розробка структурної схеми

Останнім часом одним з найефективніших способів поширення шкідливого ПЗ є соціальна інженерія. Приміром, не дуже давно Microsoft випустила патч, який відключає авторан із флеш-накопичувачів. Та й багато антивірусних продуктів взяли на озброєння заборона файлу autorun.inf. Здавалося б це повинне підкосити хвилю mailwareу, що використовує для поширення знімні диски. Уроджена цікавість штовхає людей на багато необдуманих учинків. Раз не можна автоматично запустити, треба змусити користувача зробити це!

Я спробував згрупувати найпоширеніші методи соціальної інженерії, які використовують зловмисники для поширення шкідливого ПЗ й дати деякі ради по захисту.

1. Підміна іконки файлу

Файл, що виконується, маскується під папку, легітимний додаток, або тип файлу за допомогою відповідної іконки. Вічно, що поспішає користувач, тикає мишкою й запускає файл на виконання.

Захист: 

• Привчите себе використовувати файлові менеджери типу Total Commander і т.п.

• Якщо ви все-таки використовуєте провідники Windows, намагайтеся працювати з табличним відображенням файлів і звертати увагу на типу файлу, перш ніж клацати по ньому мишею (особливо при роботі з файлами зі знімних і мережних дисків).

2. Назва файлу, яка інтригує

Назва файлу, яка інтригує, що підбиває користувача запустити його (наприклад, «Не відкривати.scr»). 

Захист:

• У грамотних користувачів подібні назви відразу повинні викликати підозри. Перевірте тип файлу у файловому менеджері, якщо це *.exe, *.scr, *.bat, *.vbs, те краще не треба його торкати.

• Якщо це виконується файл, що, а руки так і чешуться запустити, хоча б перевірте його на virustotal, правда перші кілька днів свіжа mailware практично не визначається антвірусами.

3. Гра на прагненні користувачів одержати доступ до жаданого контенту

Користувач запрошується на сайт зловмисника, під приводом доступу до контенту (відео, наприклад) йому пропонується скачати кодек\драйвер\распаковщик. Цікавість у черговий раз бере гору над розумом...

Захист:

• Ніколи не переходите по таких посиланнях і тим більше не запускайте якщо все-таки скачали. Так, установка спеціального кодека для перегляду відео, наприклад, необхідна на деяких легальних сайтах які вбудовують рекламу в ролик. Воно вам треба? Краще знайти теж саме в іншому місці.

• Використовуйте антифішингові фільтри убудовані в сучасні браузери й антивіруси, не ігноруйте їхнього попередження.

4. Імітація живого спілкування

Те, що на електронну пошту й у різні мессенджери приходять повідомлення із благаннями відправити SMS або тикнути в посилання вже нікого не дивує, на щастя більшість користувачів навчилися не обертати на цю увагу. Тому лиходії освоюють нові способи. У січні цього року користувачі ICQ піддалися атаці mailwareи «Piggy.zip» або "H1N1", що заражаючи комп'ютер користувача, розсилалася всім його контактам, мало того, у відповідь на фрази начебто «що за вірус на...???» і «ти бот?», цілком влучно відповідала «ні, це флешка про свиню, глянь :)» або «сам ти бот =». 

Як показав аналіз коду, вірус просто шукає в повідомленні ключові слова (спамер, вірус, бот і т.п.) і викидає фразу якось корелює зі змістом ключового слова. При всій простоті реалізації «інтелекту» такий підхід виявився надзвичайно ефективним! Дуже багато користувачів, що вважали себе відносно просунутими в області комп'ютерної безпеки попалися на гачок. Страшно подумати, що буде якщо вмонтувати нормальний чат-бот у подібного трояну…Справедливості заради варто відзначити, що перший подібний випадок був аж в 2005.

Захист:

• Не приймайте файли й не переходите по посиланнях, отриманим від незнайомих контактів.

• При прийманні файлів, навіть від кращих друзів, звертайте увагу на підозрілу зміну стилю й манери спілкування, краще ще кілька разів попросити описати вміст файлу.