Емельянова Н.З., Партыка Т.Л., Попов И.И. - Защита информации в персональном компьютере (Профессиональное образование) - 2009

Основным признаком, по которому типы червей различаются между собой, является способ распространения червя — каким способом он передает свою копию на удаленные компьютеры. Другими признаками различия являются способы запуска копии червя на заражаемом компьютере, методы внедрения в систему, а также полиморфизм, «стелс» и прочие характеристики, присущие и другим типам вредоносного программного обеспечения (виру­ сам и троянским программам). Рассмотрим некоторые их разно­ видности.

Email-Worm — почтовые черви. К данной категории червей относятся те из них, которые для своего распространения ис­ пользуют электронную почту. При этом червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссыл­ ку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взло­ манном или хакерском Web-сайте). В первом случае код червя запускается при открытии (запуске) зараженного вложения, во втором — при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков — активизируется код червя.

Для отправки зараженных сообщений почтовые черви ис­ пользуют различные способы, например:

•прямое подключение к SMTP-серверу, используя встроен­ ную в код червя почтовую библиотеку;

•использование сервисов MS Outlook;

•использование функций Windows MAPI.

Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зара­ женные письма. Почтовые черви:

•рассылают свой код по всем адресам, обнаруженным в ад­ ресной книге MS Outlook;

•считывает адреса из адресной базы WAB;

•сканируют «подходящие» файлы на диске и выделяют в них строки, являющиеся адресами электронной почты;

•отсылают код во всем адресам, обнаруженным в письмах в почтовом ящике (при этом некоторые почтовые черви «от­ вечают» на обнаруженные в ящике письма).

Многие черви используют сразу несколько из перечислен­ ных методов. Встречаются также и другие способы поиска адре­ сов электронной почты.

IM-Worm — черви, использующие Internet-пейджеры. Из­ вестные компьютерные черви данного типа используют единст­

венный способ распространения — рассылку на обнаруженные контакты (из списка контактов) сообщений, содержащих URL на файлы, расположенные на каком-либо \ѴеЬ-сервере. Данный прием практически полностью повторяет аналогичный способ рассылки, использующийся почтовыми червями.

IRC-Worm — черви в IRC-каналах. У данного типа червей, как и у почтовых червей, существуют два способа распростране­ ния по IRC-каналам, повторяющие способы, описанные выше. Первый заключается в отсылке URL-ссылки на копию червя. Второй способ — отсылка зараженного файла какому-либо поль­ зователю сети. При этом атакуемый пользователь должен под­ твердить прием файла, затем сохранить его на диск и открыть (запустить на выполнение).

Net-Worm — прочие сетевые черви. Существуют прочие спо­ собы заражения удаленных компьютеров, например:

•копирование червя на сетевые ресурсы;

•проникновение червя на компьютер через уязвимости в операционных системах и приложениях;

•проникновение в сетевые ресурсы публичного использо­ вания;

•паразитирование на других вредоносных программах. Первый способ заключается в том, что червь ищет удален­

ные компьютеры и копирует себя в каталоги, открытые на чте­ ние и запись (если такие обнаружены). При этом черви данного типа или перебирают доступные сетевые каталоги, используя функции операционной системы, и/или случайным образом ищут компьютеры в глобальной сети, подключаются к ним и пытаются открыть их диски на полный доступ.

Для проникновения вторым способом черви ищут в сети компьютеры, на которых используется программное обеспече­ ние, содержащее критические уязвимости. Для заражения уяз­ вимых компьютеров червь посылает специально оформленный сетевой пакет или запрос (эксплойт уязвимости), в результате чего код (или часть кода) червя проникает на компью­ тер-жертву. Если сетевой пакет содержит только часть кода червя, он затем скачивает основной файл и запускает его на исполнение.

Отдельную категорию составляют черви, использующие для своего распространения Web- и FTP-серверы. Заражение проис­ ходит в два этапа. Сначала червь проникает в компьютер-сервер и необходимым образом модифицирует служебные файлы серве­

ра (например, статические Web-страницы). Затем червь «ждет» посетителей, которые запрашивают информацию с зараженного сервера (например, открывают зараженную Web-страницу), и та­ ким образом проникает на другие компьютеры в сети.

Существуют сетевые черви, паразитирующие на других чер­ вях и/или троянских программах удаленного администрирова­ ния («черный ход» — бэкдор). Данные черви используют тот факт, что многие бэкдоры позволяют по определенной команде скачивать указанный файл и запускать его на локальном диске. То же возможно с некоторыми червями, содержащими бэк- дор-процедуры. Для заражения удаленных компьютеров данные черви ищут другие компьютеры в сети и посылают на них ко­ манду скачивания и запуска своей копии. Если атакуемый ком­ пьютер оказывается уже зараженным «подходящей» троянской программой, червь проникает в него и активизирует свою ко­ пию. Следует отметить, что многие компьютерные черви приме­ няют более одного способа распространения своих копий по се­ тям, использующие два и более методов атаки удаленных компь­ ютеров.

P2P-Worm — черви для файлообменных сетей. Механизм ра­ боты большинства подобных червей достаточно прост — для внедрения в Р2Р-сеть червю достаточно скопировать себя в ка­ талог обмена файлами, который обычно расположен на локаль­ ной машине. Всю остальную работу по распространению Р2Р-червя сеть берет на себя — при поиске файлов в сети она сообщит удаленным пользователям о данном файле и предоста­ вит весь необходимый сервис для скачивания файла с заражен­ ного компьютера.

Существуют более сложные Р2Р-черви, которые имитируют сетевой протокол конкретной файлообменной системы и на по­ исковые запросы отвечают положительно; при этом червь пред­ лагает для скачивания свою копию.

Защита от опасных компьютерных червей. Черви распростра­ няются, используя бреши в операционных системах. Пользова­ телям следует опасаться открытия не ожидаемых или подозри­ тельных почтовых сообщений, не запускать присоединенные файлы или программы или посещать Web-сайты, которые связа­ ны с такими письмами. Однако всегда существует вероятность того, что поддавшись на какие-либо трюки (как в случае с чер­ вем IloveYou), пользователь все же может запустить вредонос­ ный код.

Троянские программы

«Троянские кони» (Trojan horse) или просто «троянцы» (Trojans) представляют собой программы, реализующие помимо функций, описанных в документации, и некоторые другие функ­ ции, связанные с нарушением безопасности и деструктивными действиями (обычно это — уничтожение информации, перехват и передача информации, целенаправленная модификация кода программы, интересующей нарушителя). Отмечены случаи соз­ дания таких программ с целью облегчения распространения ви­ русов. Обычно они маскируются под игровые или развлекатель­ ные программы и наносят вред под красивые картинки или му­ зыку. Рассмотрим классы «троянцев».

Backdoor — троянские программы этого класса являются ути­ литами удаленного администрирования компьютеров в сети. По своей функциональности они во многом напоминают различные системы администрирования, разрабатываемые и распространяе­ мые фирмами-производителями программных продуктов. Един­ ственная особенность этих программ, заставляющая классифи­ цировать их как вредные троянские программы, — отсутствие предупреждения об инсталляции и запуске. При запуске «троя­ нец» устанавливает себя в системе и затем следит за ней, при этом пользователю не выдается никаких сообщений о действиях «троянца» в системе. Более того, ссылка на «троянца» может от­ сутствовать в списке активных приложений. В результате «поль­ зователь» этой троянской программы может и не знать о ее при­ сутствии в системе, в то время как его компьютер открыт для удаленного управления.

Утилиты скрытого управления позволяют делать с компью­ тером все, что в них заложил автор, — принимать или отправ­ лять файлы, запускать и уничтожать их, выводить сообщения, стирать информацию, перезагружать компьютер и т. д. В резуль­ тате эти троянцы могут быть использованы для обнаружения и передачи конфиденциальной информации, запуска вирусов, уничтожения данных и т. п. — пораженные компьютеры оказы­ ваются открытыми для злоумышленных действий хакеров.

Таким образом, троянские программы данного типа являют­ ся одним из самых опасных видов вредоносного программного обеспечения, поскольку в них заложена возможность самых раз­ нообразных злоумышленных действий, присущих другим видам троянских программ.

Отдельно следует отметить группу бэкдоров, способных рас­ пространяться по сети и внедряться в другие компьютеры, как это делают компьютерные черви. Отличает таких «троянцев» от червей тот факт, что они распространяются по сети не самопро­ извольно (как черви), а только по специальной команде «хозяи­ на», управляющего данной копией троянской программы.

Trojan-PSW (Password Stealing Ware) — воровство паролей. Данное семейство объединяет «троянские» программы, «во­ рующие» различную информацию с зараженного компьютера, обычно — системные пароли. При запуске Р8\Ѵ-«троянцы» ищут системные файлы, хранящие различную конфиденциаль­ ную информацию (обычно номера телефонов и пароли доступа

кInternet) и отсылают ее по указанному в коде «троянца» элек­ тронному адресу или адресам. Существуют Р5\Ѵ-«троянцы», которые сообщают и другую информацию о зараженном ком­ пьютере, например, информацию о системе (размер памяти и дискового пространства, версия операционной системы), тип используемого почтового клиента, IP-адрес и т. п. Некоторые «троянцы» данного типа «воруют» регистрационную информа­ цию к различному программному обеспечению, коды доступа

ксетевым играм и пр.

Trojan-Clicker — Internet-кликсры. Семейство «троянских» программ, основная функция которых — организация несанк­ ционированных обращений к Internet-pecypcaM (обычно к Webстраницам). Достигается это либо посылкой соответствующих команд браузеру, либо заменой системных файлов, в которых указаны «стандартные» адреса Internet-pecypcoB (например, файл h o sts в MS Windows).

У злоумышленника могут быть следующие цели для подоб­ ных действий:

•увеличение посещаемости каких-либо сайтов с целью уве­ личения показов рекламы;

•организация DoS-атаки (Denial of Service) на какой-либо сервер;

•привлечение потенциальных жертв для заражения вируса­ ми или «троянскими» программами.

Trojan-Downloader — транспортировка других вредоносных программ. «Троянские» программы этого класса предназначены для загрузки и установки на компьютер-жертву новых версий вредоносных программ, установки «троянцев» или рекламных систем. Загруженные из Internet программы затем либо запуска­

экрана, список активных приложений и действия пользователя с ними сохраняются в какой-либо файл на диске и периодически отправляются злоумышленнику. «Троянские» программы этого типа часто используются для кражи информации пользователей различных систем онлайновых платежей и банковских систем.

АгсВотЬ — «бомбы» в архивах. Представляют собой архивы, специально оформленные таким образом, чтобы вызывать не­ штатное поведение архиваторов при попытке разархивировать данные — зависание или существенное замедление работы ком­ пьютера или заполнение диска большим количеством «пустых» данных. Особенно опасны «архивные бомбы» для файловых и почтовых серверов, если на сервере используется какая-либо сис­ тема автоматической обработки входящей информации — «ар­ хивная бомба» может полностью заблокировать работу сервера.

Встречаются три типа подобных «бомб»: некорректный заго­ ловок архива, повторяющиеся данные и одинаковые файлы в ар­ хиве.

Некорректный заголовок архива или испорченные данные в архиве могут привести к сбою в работе конкретного архиватора или алгоритма разархивирования при разборе содержимого ар­ хива.

Значительных размеров файл, содержащий повторяющиеся данные, позволяет заархивировать такой файл в архив неболь­ шого размера (например, 5 Гбайт данных упаковываются в 200 Кбайт гагили в 480 Кбайт z ip -архива).

Огромное количество одинаковых файлов в архиве также практически не сказывается на размере архива при использова­ нии специальных методов (например, существуют приемы упа­ ковки 10ІО° одинаковых файлов в 30 Кбайт гагили 230 Кбайт z ip -архива).

Trojan-Notifier — оповещение об успешной атаке. «Троянцы» данного типа предназначены для сообщения своему «хозяину» о зараженном компьютере. При этом на адрес «хозяина» отправля­ ется информация о компьютере, например, IP-адрес компьюте­ ра, номер открытого порта, адрес электронной почты и т. п. От­ сылка осуществляется различными способами: электронным письмом, специально оформленным обращением к Web-страни­ це «хозяина», ICQ-сообщением. Данные «троянские» программы используются в многокомпонентных «троянских» наборах для извещения своего «хозяина» об успешной инсталляции «троян­ ских» компонент в атакованную систему.

Прочие вредоносные программы

К прочим вредоносным относятся разнообразные программы, которые могут не представлять угрозы непосредственно компью­ теру, на котором исполняются, а разработаны для организации атак на удаленные серверы, взлома других компьютеров и т. п.

HackTools — взломщики удаленных компьютеров. Хакерские утилиты данного класса предназначены для проникновения в уда­ ленные компьютеры с целью дальнейшего управления ими (ис­ пользуя методы троянских «программ» типа «backdoor») или для внедрения во взломанную систему других вредоносных программ.

Flooder — «замусоривание» сети. Данные хакерские утилиты используются для «забивания мусором» (бесполезными сообще­ ниями) каналов Internet — IRC-каналов, компьютерных пей­ джинговых сетей, электронной почты и т. д.

Nuker — фатальные сетевые атаки. Утилиты, отправляющие специально оформленные запросы на атакуемые компьютеры в сети, в результате чего атакуемая система прекращает работу. Используют уязвимости в программном обеспечении и операци­ онных системах, в результате чего сетевой запрос специального вида вызывает критическую ошибку в атакуемом приложении.

Руткиты (Rootkit) — утилиты, используемые для сокрытия вредоносной активности. Они маскируют вредоносные програм­ мы, чтобы избежать их обнаружения антивирусными програм­ мами. Руткиты модифицируют операционную систему на ком­ пьютере и заменяют основные ее функции, чтобы скрыть свое собственное присутствие и действия, которые предпринимает злоумышленник на зараженном компьютере.

Руткит, как правило, может маскировать также присутствие в системе любых описанных в его конфигурации каталогов и файлов на диске, ключей в реестре. По этой причине естествен­ ным образом появились «навесные» руткитные библиотеки. Многие rootkit устанавливают в систему свои драйверы и службы (они, естественно, также являются «невидимыми»).

Руткиты могут «подкидывать» не только злоумышленники. Небезызвестен случай, когда корпорация Sony встраивала подо­ бие руткита в свои лицензионные аудиодиски. Руткитами по сути является большинство программных средств защиты от ко­ пирования (и средств обхода этих защит — например, эмуляторы CD- и DVD-приводов). От «нелегальных» они отличаются толь­ ко тем, что ставятся с ведома пользователя.

Другие виды угроз

DoS, DDoS — сетевые атаки. Программы данного типа реа­ лизуют атаки на удаленные серверы, посылая на них многочис­ ленные запросы, что приводит к отказу в обслуживании (DoS, Denial of Service — отказ от обслуживания), если ресурсы атакуе­ мого сервера недостаточны для обработки всех поступающих за­ просов. Обмен данными между пользователями пораженного компьютера затруднен или невозможен в приемлемом режиме. В большинстве случаев объектами этой атаки становятся Webсерверы, а целью является вывод их из строя и, как следствие, их недоступность на некоторое время.

DoS-программы реализуют атаку с одного компьютера с ведо­ ма пользователя. DDoS-программы (Distributed DoS) реализуют распределенные атаки с разных компьютеров, причем без ведома пользователя зараженного компьютера. Для этого DDoS-npo- грамма засылается любым способом на компьютер «жертв-по- средников» и после запуска в зависимости от текущей даты или по команде от «хозяина» начинает DoS-атаку на указанный сер­ вер в сети.

Некоторые компьютерные черви содержат в себе DoS-npoue- дуры, атакующие сайты, которые по каким-либо причинам «не­ взлюбил» автор червя. Так, червь Codered 20 августа 2001 г. орга­ низовал успешную атаку на официальный сайт президента США, а червь Mydoom.a 1 февраля 2004 г. «выключил» сайт SCO (Santa Cruz Operation), производителя дистрибутивов UNIX.

Программы-рекламы (Adware). Реклама в Internet является бурно развивающейся областью бизнеса. Почтовая реклама ис­ пользует сообщения электронной почты в качестве средства связи с потребителем. Преимуществами такого подходя являют­ ся низкие затраты и высокий уровень избирательности и эф­ фективности. Кроме того, сообщения доставляются практиче­ ски мгновенно. Многие компании используют электронную почту в качестве эффективного маркетингового инструмента для общения со своими текущими и потенциальными клиен­ тами.

Эти маркетинговые средства законны, так как пользователи обычно заинтересованы в получении коммерческой информа­ ции о некоторых продуктах. Однако существуют компании, ко­ торые занимаются массовыми рассылками нежелательных ком­ мерческих писем. В таких случаях реклама по электронной поч­

те пересекает допустимую границу, и эти сообщения становятся нежелательными.

Adware — программный код, без ведома пользователя вклю­ ченный в программное обеспечение с целью демонстрации рек­ ламных объявлений. Как правило, программы-рекламы встрое­ ны в программное обеспечение, распространяющееся бесплатно. Реклама располагается в рабочем интерфейсе. Зачастую данные программы также собирают и переправляют своему разработчи­ ку персональную информацию о пользователе, изменяют раз­ личные параметры браузера (стартовые и поисковые страницы, уровни безопасности и т. д.), а также создают неконтролируе­ мый пользователем трафик. Все это может привести как к нару­ шению политики безопасности, так и к прямым финансовым потерям.

Потенциально опасные приложения (Riskware). К потенциаль­ но опасным относятся приложения, которые не имеют вредо­ носных функций, но могут являться частью среды разработки вредоносного программного обеспечения или использоваться злоумышленниками в качестве вспомогательных компонентов вредоносных программ. К категории таких программ относятся программы, имеющие бреши и ошибки, а также некоторые ути­ литы удаленного администрирования, программы автоматиче­ ского переключения раскладки клавиатуры, всевозможные ути­ литы для остановки процессов или скрытия их работы.

Подобные приложения, не обязательно являясь злонамерен­ ными, могут тем или иным образом снижать производитель­ ность системы. Такие приложения обычно требуют согласия пользователя при установке. После их установки поведение сис­ темы изменяется (по сравнению с тем, как она вела себя до уста­ новки этих программ). Наиболее заметными изменениями явля­ ются следующие:

•открываются новые окна, которых не было ранее;

•активируются и выполняются скрытые процессы;

•повышается уровень используемых системных ресурсов;

•появляются изменения в результатах поиска;

•приложения подключаются к удаленным серверам.

Еще одним видом вредоносных программ, являющимся по­ граничным для таких программ, как Adware, Spyware и Riskware, являются программы, встраивающиеся в установленный на ком­ пьютере браузер и перенаправляющие трафик (при запросе од­ ного адреса Web-сайта открывается совсем другой).