Устройство и классификация вирусов, руткитов

Технологии пассивного отслеживания могут быть полезны для персонализации веб-страниц, которые посещает пользователь.

 

 

 

 

2.3.3 Spyware, вирусы и сетевые черви

 

В отличие от вирусов и  сетевых червей, spyware обычно не саморазмножается. Подобно многим современным вирусам, spyware внедряется в компьютер преимущественно с коммерческими целями. Типичные проявления включают в себя демонстрацию рекламных всплывающих окон, кражу персональной информации (включая финансовую, например, номера кредитных карт), отслеживание привычки посещения веб-сайтов или перенаправление адресного запроса в браузере на рекламные или порносайты.

 
2.3.4 Телефонное мошенничество

 

Создатели spyware могут совершать мошенничество на телефонных линиях с помощью программ типа "диалер". Диалер может перенастроить модем для дозвона на дорогостоящие телефонные номера вместо обычного ISP. Соединение с этими не вызывающими доверия номерами идёт по международным или межконтинентальным тарифам, следствием чего являются непомерно высокие суммы в телефонных счетах. Диалер не эффективен на компьютерах без модема или не подсоединённых к телефонной линии.

 
2.3.5 Методы лечения и предотвращения

 

Если угроза со стороны  spyware становится более чем назойливой, существует ряд методов для борьбы с ними. Среди них программы, разработанные для удаления или блокирования внедрения spyware, также как и различные советы пользователю, направленные на снижение вероятности попадания spyware в систему.

Тем не менее, spyware остаётся дорогостоящей проблемой. Когда значительное число элементов spyware инфицировало ОС, единственным средством остаётся сохранение файлов данных пользователя и полная переустановка ОС.

 

2.3.6 Антиspyware программы

 

Программы, такие как Ad-Aware (бесплатно для некоммерческого использования, дополнительные услуги платные) от Lavasoft и Spyware Doctor от PC Tools (бесплатное сканирование, удаление spyware платное) стремительно завоевали популярность как эффективные инструменты удаления и, в некоторых случаях, препятствия внедрению spyware. В 2004 году Microsoft приобрела GIANT AntiSpyware, переименовав её в Windows AntiSpyware beta и выпустив её как бесплатную загрузку для зарегистрированных пользователей Windows XP и Windows Server 2003. В 2006 году Microsoft переименовал бета-версию в Windows Defender который был выпущен для бесплатной загрузки (для зарегистрированных пользователей) с октября 2006 года и включён как стандартный инструмент в Windows Vista.

 

2.4 Сетевые черви 

 

Сетевой червь - разновидность самовоспроизводящихся компьютерных программ, распространяющихся в локальных и глобальных компьютерных сетях. Червь является самостоятельной программой.

 

2.4.1 Механизмы распространения

 

Черви могут использовать различные механизмы ("векторы") распространения. Некоторые черви  требуют определенного действия пользователя для распространения (например, открытия инфицированного сообщения в клиенте электронной почты). Другие черви могут распространяться автономно, выбирая и атакуя компьютеры в полностью автоматическом режиме. Иногда встречаются черви с целым набором различных векторов распространения, стратегий выбора жертвы, и даже эксплойтов под различные операционные системы.

 
2.4.2 Структура

 

Часто выделяют так называемые ОЗУ-резидентные черви, которые могут  инфицировать работающую программу  и находиться в ОЗУ, при этом не затрагивая жёсткие диски. От таких червей можно избавиться перезапуском компьютера (и, соответственно, сбросом ОЗУ). Такие черви состоят в основном из "инфекционной" части: эксплойта (шелл-кода) и небольшой полезной нагрузки (самого тела червя), которая размещается целиком в ОЗУ. Специфика таких червей заключается в том, что они не загружаются через загрузчик как все обычные исполняемые файлы, а значит, могут рассчитывать только на те динамические библиотеки, которые уже были загружены в память другими программами.

Также существуют черви, которые  после успешного инфицирования  памяти сохраняют код на жёстком  диске и принимают меры для  последующего запуска этого кода (например, путём прописывания соответствующих  ключей в реестре Windows). От таких червей можно избавиться только при помощи антивируса или подобных инструментов. Зачастую инфекционная часть таких червей (эксплойт, шелл-код) содержит небольшую полезную нагрузку, которая загружается в ОЗУ и может "догрузить" по сети непосредственно само тело червя в виде отдельного файла. Для этого некоторые черви могут содержать в инфекционной части простой TFTP-клиент. Загружаемое таким способом тело червя (обычно отдельный исполняемый файл) теперь отвечает за дальнейшее сканирование и распространение уже с инфицированной системы, а также может содержать более серьёзную, полноценную полезную нагрузку, целью которой может быть, например, нанесение какого-либо вреда (например, DoS-атаки).

Большинство почтовых червей распространяются как один файл. Им не нужна отдельная "инфекционная" часть, так как обычно пользователь-жертва при помощи почтового клиента  добровольно скачивает и запускает  червя целиком.

 
2.5 Руткиты

2.5.1 Определение

 

Руткит (Rootkit) - программа или набор программ, использующих технологии сокрытия системных объектов (файлов, процессов, драйверов, сервисов, ключей реестра, открытых портов, соединений и пр) посредством обхода механизмов системы.

Термин руткит исторически пришел из мира Unix, где под этим термином понимается набор утилит, которые хакер устанавливает на взломанном им компьютере после получения первоначального доступа. Это, как правило, хакерский инструментарий (снифферы, сканеры) и троянские программы, замещающие основные утилиты Unix. Руткит позволяет хакеру закрепиться во взломанной системе и скрыть следы своей деятельности.

В системе Windows под термином руткит принято считать программу, которая внедряется в систему и перехватывает системные функции, или производит замену системных библиотек. Перехват и модификация низкоуровневых API функций в первую очередь позволяет такой программе достаточно качественно маскировать свое присутствие в системе, защищая ее от обнаружения пользователем и антивирусным ПО. Кроме того, многие руткиты могут маскировать присутствие в системе любых описанных в его конфигурации процессов, папок и файлов на диске, ключей в реестре. Многие руткиты устанавливают в систему свои драйверы и сервисы (они естественно также являются "невидимыми").

В последнее время угроза руткитов становится все более актуальной, т.к разработчики вирусов, троянских программ и шпионского программного обеспечения начинают встраивать руткит-технологии в свои вредоносные программы. Одним из классических примеров может служить троянская программа Trojan-Spy. Win32. Qukart, которая маскирует свое присутствие в системе при помощи руткит-технологии. Ее RootKit-механизм прекрасно работает в Windows 95, 98, ME, 2000 и XP.

 

2.5.2 Классификация RootKit

 

Условно все руткит-технологии можно разделить на две категории:

Руткиты работающие в режиме пользователя (user-mode)

Руткиты работающие в режиме ядра (kernel-mode)

Первая категория основана на перехвате функций библиотек  пользовательского режима, вторая - на установке в систему драйвера, осуществляющего перехват функций  уровня ядра.

Также, руткиты можно классифицировать по принципу действия и по постоянству существования. По принципу действия:

Изменяющие алгоритмы  выполнения системных функций (Modify execution path)

Изменяющие системные  структуры данных (Direct kernel object manupulation)

 

2.5.3 Методики обнаружения RootKit в системе

Рассмотрим базовые методики поиска RootKit:

Сравнение двух «снимков»  системы (например, списка файлов на диске). Первый снимок делается на проверяемой  системе, второй – после загрузки с CD или подключения исследуемого HDD к заведомо чистому компьютеру. Подобная методика гарантированно позволит обнаружить любой RootKit, который маскирует на диске свои файлы.

Сравнение данных, возвращаемых API функциями разного уровня и (или) получаемых низкоуровневыми методами (например, прямым чтением диска  и анализом файлов реестра). Данная методика не требует перезагрузки исследуемого ПК и реализована в бесплатной утилите RootkitRevealer от SysInternals

 

3. Признаки заражения компьютера вирусом.

Действия при  обнаружении заражения

 

Присутствие вирусов на компьютере обнаружить сложно, потому что они  маскируются среди обычных файлов. В данной статье наиболее подробно описаны признаки заражения компьютера, а также способы восстановления данных после вирусной атаки и  меры по предотвращению их поражения  вредоносными программами.

Признаки заражения:

вывод на экран непредусмотренных  сообщений или изображений;

подача непредусмотренных  звуковых сигналов;

неожиданное открытие и закрытие лотка CD-ROM-устройства;

произвольный, без вашего участия, запуск на компьютере каких-либо программ;

при наличии на вашем компьютере межсетевого экрана, появление предупреждений о попытке какой-либо из программ вашего компьютера выйти в интернет, хотя вы это никак не инициировали.

Если вы замечаете, что  с компьютером происходит подобное то, с большой степенью вероятности, можно предположить, что ваш компьютер  поражен вирусом.

Кроме того, есть некоторые характерные признаки поражения вирусом через электронную  почту:

друзья или знакомые говорят  вам о сообщениях от вас, которые  вы не отправляли;

в вашем почтовом ящике  находится большое количество сообщений  без обратного адреса и заголовка.

Следует отметить, что не всегда такие признаки вызываются присутствием вирусов. Иногда они могут быть следствием других причин. Например, в случае с  почтой зараженные сообщения могут  рассылаться с вашим обратным адресом, но не с вашего компьютера.

Есть также  косвенные признаки заражения вашего компьютера:

частые зависания и  сбои в работе компьютера;

медленная работа компьютера при запуске программ;

невозможность загрузки операционной системы;

исчезновение файлов и  каталогов или искажение их содержимого;

частое обращение к  жесткому диску (часто мигает лампочка на системном блоке);

интернет-браузер "зависает" или ведет себя неожиданным образом (например, окно программы невозможно закрыть).

В 90% случаев наличие косвенных  симптомов вызвано сбоем в  аппаратном или программном обеспечении. Несмотря на то, что подобные симптомы с малой вероятностью свидетельствуют  о заражении, при их появлении  рекомендуется провести полную проверку вашего компьютера установленной на нем антивирусной программой

Действия при  обнаружении заражения:

Отключите компьютер от интернета (от локальной сети).

Если симптом заражения  состоит в том, что вы не можете загрузиться с жесткого диска  компьютера (компьютер выдает ошибку, когда вы его включаете), попробуйте загрузиться в режиме защиты от сбоев  или с диска аварийной загрузки Windows, который вы создавали при установке операционной системы на компьютер.

Прежде чем предпринимать  какие-либо действия, сохраните результаты вашей работы на внешний носитель (дискету, CD-диск, флэш-накопитель и  т.д.).

Установите антивирус, если на вашем компьютере не установлено  никаких антивирусных программ.

Получите последние обновления антивирусных баз. Если это возможно, для их получения выходите в интернет не со своего компьютера, а с незараженного  компьютера друзей, интернет-кафе, с  работы. Лучше воспользоваться другим компьютером, поскольку при подключении  к интернету с зараженного  компьютера есть вероятность отправки вирусом важной информации злоумышленникам  или распространения вируса по адресам  вашей адресной книги. Именно поэтому  при подозрении на заражение лучше  всего сразу отключиться от интернета.

Запустите полную проверку компьютера.

 

4. Методы защиты от вредоносных программ

 
Стопроцентной защиты от всех вредоносных  программ не существует: от эксплойтов наподобие Sasser или Conficker не застрахован никто. Чтобы снизить риск потерь от воздействия вредоносных программ, рекомендуется:

использовать современные  операционные системы, имеющие серьёзный  уровень защиты от вредоносных программ;

своевременно устанавливать  патчи; если существует режим автоматического обновления, включить его;

постоянно работать на персональном компьютере исключительно под правами  пользователя, а не администратора, что не позволит большинству вредоносных  программ инсталлироваться на персональном компьютере;

использовать специализированные программные продукты, которые для  противодействия вредоносным программам используют так называемые эвристические (поведенческие) анализаторы, то есть не требующие наличия сигнатурной базы;