Компьютерные вирусы

В будущем возможно появление таких троянских коней, которые буду прописывать себя в системные библиотеки или другие системные файлы.

Трояны делятся  на три основных типа: Mail Senders, BackDoor, Log Writers или KeyLoger.

3.3 Mail Senders

 

Это - тип Троянов, работающих на основе отправки информации "хозяину". На данный момент это очень распространенный вид Троянов. С помощью такого типа "коней" люди, настроившие их могут получать по почте аккаунты Интернета, пароли ICQ, почтовые пароли, пароли к ЧАТам. И это в лучшем случае. В худшем же жертва даже не будет знать о том, что некто читает его почту, входит в Интернет через его аккаунт, пользуется UIN'ом ICQ для распространения таких же Троянов пользователям контакт листа. MailSender никак не зависит от "хозяина", он живет своей жизнью в зараженном компьютере, так как в него все закладывается в момент настройки - Троян все выполняет по плану.

3.4 BackDoor

 

Если переводить дословно означает - задняя дверь или  черный ход. Это - тип Троянов, функции  которого включают в себя все, на что  способен Троян типа Mail Sender, плюс еще десяток-другой функций удаленного администрирования (управления чужым компьютером с другой машины, например, через Интернет). Такой Троян ждет соединения со стороны клиента (неотъемлемая часть всякого трояна, с помощью которой посылаются команды на сервер). Трояны такого типа дают кому угодно полный доступ к зараженному компьютеру. После того как клиент на зараженной машине подключается к Интернету или локальной сети, трояская программа отправляет собранную информацию своему хозяину и открывает доступ к пораженному компьютеру (открывает определенные сетевые порты в системе и сообщает о них хозяину).

Бэкдоры делятся  на два основных типа:

Локальный бэкдор - предоставит какие-то привилегии локально (например, на компьютере есть несколько  учетных записей, но пользовательские аккаунты не имеют прав администратора. Подобного рода трояны как раз и предоставляют права администратора тому пользователю, которые его внедрил);

Удаленный бэкдор - может предоставить shell к машине удаленно.

Существует  так же два вида предоставления shell-доступа: BindShell и Back Connect.

BindShell - самый распространенный, работает по архитектуре "клиент-сервер", то есть бэкдор ожидает соединение.

Back Connect - применяется для обхода брандмауэров, бэкдор сам пытается соединиться с компьютером хакера.

Log Writers или Key loggers

Это последний  тип Тронов, из основных, копирующий всю информацию, вводимую с клавиатуры, и записывающий ее в файл, который  впоследствии будет либо отправлен  на определенный E-Mail адрес, либо просмотрен через FTP (File Transfer Protocol).

Первоначально программные продукты этого типа предназначались исключительно  для записи информации о нажатиях клавиш клавиатуры, в том числе  и системных, в специализированный журнал регистрации (log-файл), который  впоследствии изучался человеком, установившим эту программу. В последнее время программные продукты, имеющие данное название, выполняют много дополнительных функций - это перехват информации из окон, перехват кликов мыши, <фотографирование> экрана и активных окон, ведение учета всех полученных и отправленных писем, мониторинг файловой активности, системного реестра и очереди заданий, отправленных на принтер, перехват звука с микрофона и видео с веб-камеры, подключенных к компьютеру и др. Кейлоггеры могут быть встроены в коммерческие, бесплатные и условно-бесплатные программы.

В свою очередь  кейлоггеры можно разделить на пять типов:

1. Программы-шпионы, разрабатываемые под эгидой правительственных  организаций (пример - продукт Magic Lantern, проект под названием Cyber Knight, США).

2. Программы-шпионы, которые могут создаваться разработчиками  различных операционных систем  и включаться ими в состав  ядра операционной системы.

3. Программы-шпионы, которые созданы в ограниченном  количестве (часто только в одной  или нескольких копиях) для решения конкретной задачи, связанной с похищением критической информации с компьютера пользователя (например программы, применяемые хакерами-профессионалами). Такие программы могут представлять собой немного видоизмененные открытые исходные коды программ-шпионов, взятые из Интернета и скомпилированные самим хакером, что позволяет изменить сигнатуру программы-шпиона.

4. Коммерческие, особенно, корпоративные программные  продукты, которые очень редко  вносятся в сигнатурные базы, а если и вносятся, то только по политическим мотивам (пример - программные продукты таких известных фирм, как WinWhat-Where Corporation, SpectorSoft Cor-poration, ExploreAnywhere Software LLC, Omniquad, Ltd).

5. Программы-шпионы, представляющие собой keylogging-модули, входящие в состав программ-вирусов. До внесения сигнатурных данных в вирусную базу данные модули являются неизвестными. Пример - всемирно известные вирусы, натворившие много бед в последние годы, имеющие в своем составе модуль перехвата нажатий клавиатуры и отправки полученной информации в сеть Интернет.

Также есть еще  два типа троянских программ, которые  заслуживают отдельного внимания, это: Trojan-Dropper и Trojan-Downloader. Конечные цели у  них абсолютно идентичны - установка  на компьютер другой вредоносной программы, которая может быть как червем, так и "троянцем". Отличается только принцип их действия.

3.5 Trojan-Dropper

 

"Дропперы" могут содержать в себе уже  известную вредоносную программу  или наоборот - устанавливать новую  ее версию. Также "дропперы" могут устанавливать не одну, а сразу несколько вредоносных программ, принципиально отличающихся по поведению и даже написанных разными людьми.

Фактически "дропперы" являются своеобразными архивами, внутрь которых может быть помещено все  что угодно. Очень часто они применяются для установки в систему уже известных "троянцев", поскольку написать "дроппер" гораздо проще, чем переписывать "троянца", пытаясь сделать его недетектируемым для антивируса. Весьма значительную часть "дропперов" составляют их реализации на скрипт-языках VBS и JS, что объясняется сравнительной простотой программирования на них и универсальностью подобных программ.

3.6 Trojan-Downloader

 

Даунлоадеры, или  загрузчики, активно используются вирусописателями как по причинам, описанным выше для "дропперов" (скрытая установка уже известных троянцев), так и по причине их меньшего по сравнению с "дропперами" размера, а также благодаря возможности обновлять устанавливаемые троянские программы. Здесь также выделяется группа программ на скрипт-языках, причем, как правило, использующих различные уязвимости в Internet Explorer.

Оба эти класса вредоносных программ используются для установки на компьютеры не только троянских программ, но и различных  рекламных (adware) или порнографических (pornware) программ.

3.7 RootKit

 

Термин RootKit исторически  пришёл из мира Unix, и под этим термином понимается набор утилит, которые  хакер устанавливает на взломанном им компьютере после получения первоначального  доступа. Этот набор, как правило, включает в себя разнообразные утилиты для заметания следов вторжения в систему, хакерский инструментарий (снифферы, сканеры) и троянские программы, замещающие основные Unix утилиты. RootKit позволяет хакеру закрепиться во взломанной системе и сокрыть следы своей деятельности. На текущий момент руткиты зачастую с легкостью обнаруживаются и удаляются при помощи антивирусных пакетов.

3.8 Снифферы (Нюхачи)

 

Это программное  обеспечение, которое позволяет  просматривать содержимое сетевых  пакетов, перехватывать трафик в сети и анализировать его.

 

3.9 DoS, DDoS - сетевые атаки

 

Программы данного  типа реализуют атаки на удаленные  сервера, посылая на них многочисленные запросы, что приводит к отказу в  обслуживании, если ресурсы атакуемого сервера недостаточны для обработки всех поступающих запросов (DoS = Denial of Service).

DoS-программы  реализуют атаку с одного компьютера  с ведома пользователя. DDoS-программы  (Distributed DoS) реализуют распределенные  атаки с разных компьютеров,  причем без ведома пользователя  зараженного компьютера. Для этого DDoS-программа засылается любым способом на компьютер "жертв-посредников" и после запуска в зависимости от текущей даты или по команде от "хозяина" начинает DoS-атаку на указанный сервер в сети.

Некоторые компьютерные черви содержат в себе DoS-процедуры, атакующие сайты, которые по каким-либо причинам "невзлюбил" автор червя. Так, червь Codered 20 августа 2001 организовал успешную атаку на официальный сайт президента США, а червь Mydoom.a 1 февраля 2004 года "выключил" сайт SCO, производителя дистрибутивов UNIX.

7 мая 1997 года  был обнародован принцип самой,  пожалуй, нашумевшей DOS-атаки под  названием WinNuke. Ее жертвами становились  Windows-системы. Автор метода поместил  его описание и исходный текст  программы в несколько news-конференций. Ввиду его крайней простоты практически каждый человек мог вооружиться этим новейшим оружием. Очевидной первой жертвой стал www.microsoft.com. Данный сервер был выведен из строя более двух суток. Microsoft.com прекратил откликаться в пятницу вечером (9 мая) и только к обеду понедельника вновь обрел устойчивость.

Exploit, HackTool - взломщики удаленных компьютеров

Хакерские утилиты  данного класса предназначены для  проникновения в удаленные компьютеры с целью дальнейшего управления ими (используя методы троянских программ типа "backdoor") или для внедрения во взломанную систему других вредоносных программ.

Хакерские утилиты  типа "exploit" при этом используют уязвимости в операционных системах или приложениях, установленных  на атакуемом компьютере.

Nuker - фатальные сетевые атаки

Утилиты, отправляющие специально оформленные запросы  на атакуемые компьютеры в сети, в результате чего атакуемая система  прекращает работу. Используют уязвимости в программном обеспечении и  операционных системах, в результате чего сетевой запрос специального вида вызывает критическую ошибку в атакуемом приложении.

Прочие вредоносные  программы

К прочим вредоносным  программам относятся разнообразные  программы, которые не представляют угрозы непосредственно компьютеру, на котором исполняются, а разработаны для создания других вирусов или троянских программ, организации DoS-атак на удаленные сервера, взлома других компьютеров и т. п.

Flooder - "замусоривание" сети

Данные хакерские  утилиты используются для "забивания  мусором" (бесполезными сообщениями) каналов Интернета - IRC-каналов, компьютерных пейджинговых сетей, электронной почты и т. д.

Constructor - конструкторы вирусов и троянских программ

Конструкторы  вирусов и троянских программ - это утилиты, предназначенные для  изготовления новых компьютерных вирусов и "троянцев". Известны конструкторы вирусов для DOS, Windows и макро-вирусов. Они позволяют генерировать исходные тексты вирусов, объектные модули, и/или непосредственно зараженные файлы.

Некоторые конструкторы снабжены стандартным оконным интерфейсом, где при помощи системы меню можно выбрать тип вируса, поражаемые объекты, наличие или отсутствие самошифровка, противодействие отладчику, внутренние текстовые строки, выбрать эффекты, сопровождающие работу вируса и т. п. Прочие конструкторы не имеют интерфейса и считывают информацию о типе вируса из конфигурационного файла.

Bad-Joke, Hoax - злые шутки, введение пользователя в заблуждение

К ним относятся  программы, которые не причиняют  компьютеру какого-либо прямого вреда, однако выводят сообщения о том, что такой вред уже причинен, либо будет причинен при каких-либо условиях, либо предупреждают пользователя о несуществующей опасности. К "злым шуткам" относятся, например, программы, которые "пугают" пользователя сообщениями о форматировании диска (хотя никакого форматирования на самом деле не происходит), детектируют вирусы в незараженных файлах, выводят странные вирусоподобные сообщения и т. д. - в зависимости от чувства юмора автора такой программы.

FileCryptor, PolyCryptor - скрытие от антивирусных программ

Хакерские утилиты, использующиеся для шифрования других вредоносных программ с целью  скрытия их содержимого от антивирусной проверки.

PolyEngine - полиморфные генераторы

Полиморфные генераторы не являются вирусами в прямом смысле этого слова, поскольку в их алгоритм не закладываются функции размножения, т. е. открытия, закрытия и записи в файлы, чтения и записи секторов и т. д. Главной функцией подобного рода программ является шифрование тела вируса и генерация соответствующего расшифровщика.

Обычно полиморфные  генераторы распространяются их авторами без ограничений в виде файла-архива. Основным файлом в архиве любого генератора является объектный модуль, содержащий этот генератор. Во всех встречавшихся  генераторах этот модуль содержит внешнюю (external) функцию - вызов программы генератора.

 

VirTool

Утилиты, предназначенные  для облегчения написания компьютерных вирусов и для их изучения в  хакерских целях.

3.10 Социальный инжиниринг

 

Социальный  инжиниринг не относится к вредоносным  программам или вирусам. Он призвана запутать пользователей, усыпить их бдительность, замаскировать вредоносную программу под какой либо патч или полезную программу, заманить пользователя на заведомо зараженный сайт.