Počítačové viry jsou logistickou noční můrou. Mohou vymazat váš pevný disk. Mohou ucpat síťový provoz na hodiny. Mohou proměnit vaše neškodné auto v zombie tím, že vynásobí a pošlou kopie všem kontaktům ve vašem adresáři.
Pokud jste nikdy neviděli, že se auto stalo obětí, možná se divíte, proč je kolem toho tolik povyku. Obava je oprávněná. Consumer Reports odhaduje, že jen v roce 2008 způsobily počítačové viry ztráty spotřebitelům ve výši 8,5 miliardy dolarů. Jsou jen jedním kouskem koláče online hrozeb, ale jsou možná nejznámější.
Teorie před malwarem
Počítačové viry existují již desítky let. Samotný koncept předchází modernímu internetu. V roce 1949 navrhl vědec John von Neumann možnost vytvoření sebereplikujících se programů. Počítačový průmysl byl v té době jen asi deset let starý. Někdo už našel způsob, jak do mechanismu hodit hasák.
Trvalo několik dalších desetiletí, než je programátoři známí jako hackeři skutečně vytvořili.
První programy podobné virům se zaměřovaly na velké sálové počítače. Osobní počítače ale vše změnily. Přinesli hrozbu na veřejnost. Fred Cohen, postgraduální student, byl první, kdo popsal samoreprodukující se programy navržené tak, aby změnily způsob, jakým počítače fungují jako „viry“. Jméno uvízlo.
Od disket po e-mailové řetězce
Na počátku 80. let se viry při šíření spoléhaly na lidskou práci. Hacker uložil kód na disketu. Rozdával disketu. Připojil jsi to. Docházelo k infekci.
Přenos virů se nestal skutečným problémem, dokud se modemy nestaly samozřejmostí. Dnes představíme, jak se počítačové viry šíří po internetu. Infikují počítače prostřednictvím e-mailů nebo poškozených webových odkazů. Tyto digitální kmeny se pohybují mnohem rychleji než nejstarší fyzické verze.
Podíváme se na 10 nejhorších počítačových virů, které by mohly paralyzovat systém. Začněme virem Melissa.
10: Melissa
David L. Smith nepsal pouze kód; zanechal kulturní stopu na úsvitu internetového věku. Na jaře roku 1999 vytvořil makrovirus pro Microsoft Word, který se stal jednou z prvních digitálních hrozeb, které skutečně zaujaly představivost veřejnosti. Smith ho pojmenoval Melissa, jméno převzal od exotické tanečnice, kterou znal z Floridy. Tato volba byla ironická vzhledem k chování viru, které mnohem více souviselo s agresivní automatickou reprodukcí než se sváděním.
Mechanika infekce byla jednoduchá, ale zničujícím způsobem účinná. Virus byl skryt v e-mailu s předmětem „Zde je dokument, o který jste žádali, neukazujte ho nikomu jinému“. Hrál na zvědavost a utajení, dvě věci, se kterými se lidé v profesionálním prostředí notoricky špatně vyrovnávají. Když příjemce otevřel připojený dokument, makro se aktivovalo. Nezůstal jen zticha. Získal adresář Outlooku oběti a posílal své kopie padesáti nejvýznamnějším kontaktům.
Virus Melissa a vládní reakce
Šíření bylo exponenciální. Během několika dní se správci systému utopili v provozu. Americká federální vláda si toho všimla. Podle svědectví FBI před Kongresem způsobil virus Melissa obrovské škody na sítích veřejného a soukromého sektoru. Obrovský objem infikovaných e-mailů přetížil poštovní servery. Některé společnosti byly nuceny úplně přestat používat své e-mailové programy, dokud se nepodaří zastavit šíření viru.
Smith byl nakonec chycen. Právní důsledky byly rychlé a vážné. Po dlouhém procesu Smith prohrál případ a dostal 20 měsíců vězení. Soud také Smithovi udělil pokutu 5 000 dolarů a zakázal mu přístup do počítačových sítí bez soudního povolení. Melissa sice nevedla k trvalé paralýze globálního internetu, ale sloužila jako varování. Dokázala, že kód napsaný pro zvýšení produktivity v kanceláři lze použít jako zbraň ke zničení podnikové infrastruktury.
Typy virů
Abyste pochopili, proč byla Melissa tak nebezpečná, musíte se podívat, jak je malware klasifikován. Většina lidí používá termín „virus“ jako obecný termín, ale technické rozdíly mají důsledky pro ochranu a porozumění.
- Počítačový virus : Toto je obecný termín pro programy, které mění způsob fungování počítače a často poškozují soubory nebo systémy. Skutečný virus vyžaduje ke správnému fungování hostitelský program. Melissa použila jako hostitel dokument aplikace Word. Sám o sobě nemohl existovat.
- Červ : Na rozdíl od viru, červ nevyžaduje hostitelský program. Jedná se o samostatnou aplikaci, která se dokáže replikovat a přímo šířit po počítačových sítích. Je rychlejší, soběstačný a často je těžší ho zastavit, protože nevyžaduje, aby uživatel soubor otevřel.
- Trojský kůň : Tyto programy tvrdí, že dělají jednu věc, ale ve skutečnosti dělají něco jiného. Mohou vypadat jako legitimní software nebo hry. Po instalaci mohou poškodit pevný disk oběti nebo vytvořit zadní vrátka, což vzdálenému uživateli umožní získat přístup k počítačovému systému oběti.
Pochopení těchto rozdílů není jen akademická záležitost. Tím se změní způsob, jakým chráníte svá data. Pokud víte, že hrozbou je červ, zaměřte se na síťové porty a brány firewall. Pokud se jedná o trojského koně, zaměříte se na vzdělávání uživatelů a kontrolu zdrojů.
Staromódní viry
Před Melissou byly jiné rané infekce. Některé z prvních virů, které infikovaly osobní počítače, byly viry Apple, které napadly počítače Apple II v 80. letech. Byly spíše o experimentování než o hromadném ničení, ale položily základ všemu, co následovalo. Evoluce od jednoduchých vtipů ke kódu, který prolomí sítě, jako je Melissa, znamenala posun v záměru. Útočníci nepředváděli jen své dovednosti; testovali limity konektivity.
9: MILUJI TĚ
Vzor, který vytvořila Melissa, nezmizel. Vyvinul se. O několik let později se objevila další e-mailová hrozba, která Melissu překonala v globálním dosahu. On
Je to přesně rok, co se virus Melissa prohnal digitální krajinou. Další velká hrozba nepocházela od obvyklých podezřelých. Vznikl na Filipínách.
Nebyl to makrovirus jako Melissa. Byl to červ. Nezávislý. Vlastní replikace. Měl jméno, které se stalo nechvalně známým: ILOVEYOU.
Mechanismus doručení byl zdánlivě jednoduchý. Stejně jako jeho předchůdce byl distribuován prostřednictvím e-mailu. Předmět byl návnada: “Milostný dopis od tajného ctitele.” Investice? MILOSTNÝ-DOPIS-PRO-VÁS.TXT.vbs.
Přípona .vbs byla jistým znamením. Ukazovalo to na Visual Basic Scripting, jazyk, který tvůrce použil k vytvoření mechanismu ničení.
McAfee později kategorizoval celý rozsah škod. Červ nekopíroval jen sám sebe. Kopie ukrýval v různých složkách na svém pevném disku. Udělal nové záznamy v registru Windows. Svým kódem přepsal určité typy souborů. Byl distribuován prostřednictvím klientů Internet Relay Chat (IRC), nejen e-mailem.
A pak tu bylo užitečné zatížení.
Červ stáhl soubor s názvem WIN-BUGSFIX.EXE. Provedl program. Název napovídal nástroj pro obnovu systému. Byl to vlastně program na krádeže pověření. Zachytil hesla a další citlivá data a poté poslal kořist přímo hackerovi prostřednictvím e-mailu.
Autor a cena
Kdo to vytvořil? Většina ukázala na Onela de Gumana, filipínského studenta.
Filipínské úřady ho vyšetřovaly kvůli krádeži. Právní systém však měl mezeru. V té době na Filipínách neexistovaly žádné zákony, které by specificky upravovaly počítačovou špionáž nebo sabotáž. Bez příslušných článků, které by ho postavily před soud, byla obvinění stažena.
De Human svou roli nikdy nepotvrdil. Ale ani to nepopřel.
Finanční důsledky byly ohromující. Celosvětově se škody odhadují na 10 miliard $. Zůstává jedním z nejnákladnějších kybernetických útoků v historii.
Falešná hrozba: padělky virů
Když láska skončila, digitální svět čelil jinému druhu hluku. Ne malware. Ne červy.
Virové padělky.
To nejsou skutečné hrozby. Nereprodukují se. Nepoškozují data. Jedná se o vykonstruovaná varování navržená tak, aby vyvolala paniku mezi uživateli a médii. Cílem je pozornost. Důsledkem je únava.
Zvažte dynamiku „chlapce, který plakal vlka!“ Když každý e-mail tvrdí, že je smrtící, nezastavitelný virus, lidé začnou výstrahy ignorovat. Nakonec, když se objeví skutečná hrozba, jsou varování odmítnuta jako další falešná.
To vytváří vrstvu skepse, které mohou hackeři využít. Pokud nedokážete rozlišit mezi tím, co je skutečné a co ne, jste zranitelní vůči všemu.
virus Klez
Další kapitola této éry rozšířené digitální paniky zahrnovala virus s názvem, který uvízl: Klez.
Virus Klez se objevil na konci roku 2001 a znamenal posun ve způsobu fungování hrozeb. Neinfikovalo to jen systémy; šířil se s mírou sofistikovanosti, kterou předchozí malware neměl. Různé modifikace narážejí na sítě už měsíce a nastavují nové standardy pro rychlost a utajení.
Základní mechanismus byl jednoduchý, ale destruktivní. Červ se přihlásil e-mailem. Jakmile byl uvnitř, replikoval se a použil adresář oběti k odeslání kopií svým kontaktům. To ale nebyla jen nepříjemná nepříjemnost. Některé verze obsahovaly destruktivní užitečné zatížení, které mohlo paralyzovat systémy. Kombinoval různá chování: v některých případech se choval jako tradiční virus, v jiných jako červ nebo trojský kůň.
Nejnebezpečnějším aspektem bylo, že Klez mohl deaktivovat antivirový software. Dokonce napodoboval nástroje pro odstraňování, aby přiměl uživatele k deaktivaci vlastní ochrany.
Umění padělání
Hackeři rychle upravili kód. Uvědomili si, že pouhé posílání dopisů nestačí. Potřebovali obejít lidskou nedůvěru.
Na scénu přichází spoofing (fake).
Virus upravil pole Od. Neposílal dopisy od sebe, ale použil náhodné jméno z kontaktní knihy oběti a nahradil odpovídající adresu. Zdálo se, že dopis byl od přítele, kolegy nebo známé organizace.
Tato taktika sloužila několika účelům. Blokování odesílatele bylo zbytečné. Skutečný zdroj zůstal skrytý. Oběť nemohla jednoduše zablokovat adresu ve svém e-mailovém klientovi, protože adresa byla falešná. Seznam adresátů mohl rychle zaplnit poštovní schránku. Příjemci neměli žádný způsob, jak zjistit skutečný původ dopisů.
Psychologickou roli hrálo uznání. Lidé častěji otevírají e-maily od známých kontaktů. Pokud bylo v poli Od zobrazeno důvěryhodné jméno, byla snížena ostražitost příjemce. Klikli na odkaz. Červ se šířil.
Ochrana před distribucí
Obrana vyžaduje strategii. Potřebujete antivirový software. Musíte ji aktualizovat. Pravidla jsou přísná. Neinstalujte několik antivirových systémů současně. Překrývající se programy se navzájem ruší. Dostávají se do konfliktu. Zpomalují systém. Vytvářejí zranitelnosti.
V roce 2001 se objevilo několik velkých hrozeb. Oblast hrozeb se měnila.
Mezi běžné ochranné nástroje patří:
- Avast Antivirus
- AVG Anti-Virus
- Kaspersky Anti-Virus
- McAfee VirusScan
- Norton AntiVirus
Základním požadavkem je udržovat alespoň jeden z těchto programů aktivní a aktuální. Nic víc. Nic míň.
Mimo Klez
Web se vyvinul. Hrozby se vyvíjely rychleji.
7: Code Red a Code Red II
Další vlna se zaměřila na servery. Těžiště se přesunulo od jednotlivých uživatelů k infrastruktuře. Důsledky se rozšířily. Škoda byla hlubší.
Léto roku 2001 přineslo dvě různé hrozby: původní Code Red a jeho pokračování Code Red II. Obě byly zaměřeny na stejnou zranitelnost. Konkrétně zneužili zranitelnost přetečení vyrovnávací paměti ve Windows 2000 a Windows NT. Když tyto stroje přijaly více dat, než dokázaly jejich vyrovnávací paměti zpracovat, došlo k přepsání sousední paměti. Výsledkem bylo selhání systému nebo v horším případě zabavení kontroly nad ním.
Útok na Bílý dům a kompromitace systému
První červ měl jasný cíl. Spustil distribuovaný útok odmítnutí služby (DDoS) proti webovým serverům Bílého domu. Infikované počítače po celém světě současně odeslaly požadavky ping na stejný cíl. Cíl byl jednoduchý: přetížit stroje do té míry, že přestaly reagovat.
Code Red II byl jiný. Nedeaktivoval jen systémy. V operačním systému to vytvořilo backdoor (zadní vrátka). To umožnilo vzdáleným uživatelům přistupovat a ovládat napadený stroj. Z technického hlediska se jedná o kompromis na úrovni systému. Majitel ztrácí veškerou kontrolu nad svým hardwarem.
Následky jsou vážné. Útočník by mohl získat přístup k osobním údajům nebo použít infikovaný počítač k páchání trestných činů. Oběť se potýká nejen s rozbitým PC. Riskuje také podezření ze strany policie za trestné činy, které nespáchala.
Windows NT vs Windows 2000
Ne všechna auta byla postižena stejně. Systémy Windows NT byly skutečně zranitelné. Důsledky však byly méně extrémní. Webové servery se systémem Windows NT mohou selhat častěji než obvykle. Ale to byla v podstatě hranice škody. V porovnání s úplnou ztrátou kontroly, kterou zažili uživatelé Windows 2000, se uživatelé NT dostali poměrně lehce.
Dilema se záplatami
Společnost Microsoft vydala opravy, které řeší základní bezpečnostní chybu v obou operačních systémech. Po instalaci oprav již původní červi nemohli infikovat nové počítače se systémem Windows 2000. Mělo to ale háček. Patch neodstranil existující viry. Oběti si musely vyčistit své systémy samy.
Co dělat v případě infekce
Zjištění, že je váš počítač napaden, je stresující situace. Správná reakce závisí na konkrétním malwaru. Mnoho antivirových programů dokáže odstranit viry z infikovaného systému. Pokud však virus poškodil soubory nebo data, budete je muset obnovit ze záloh.
Pravidelné zálohování je proto nutností. U červů, jako je Code Red, jednoduché čištění nestačí. Doporučuje se zcela naformátovat pevný disk a začít od začátku. Někteří červi umožňují stahovat další škodlivý software do vašeho počítače. Standardní antivirová kontrola může tyto sekundární hrozby přehlédnout.
6: Nimda
Červ Nimda: Rychlost a závažnost důsledků
Pokud jste sledovali protokoly serveru v roce 2001, červ Nimda vás pravděpodobně zaskočil. Jméno nebylo náhodné. Toto slovo „admin“ napsané pozpátku je jemným výsměchem systémovým privilegiím, kterých se červ snažil zneužít. Podle Petera Tippetta, tehdejšího technického ředitele TruSecure, se Nimda objevila na internetu a během 22 minut se probojovala na vrchol hlášených útoků. Nejedná se o překlep. Trvalo dvacet dva minut, než se stal nejrychleji se šířícím počítačovým virem své éry.
Většina malwaru se snaží získat vaše osobní údaje. Nimda chtěla šířku pásma sítě.
Jeho hlavním cílem byly internetové servery. Ačkoli domácí počítač mohl být infikován, skutečným účelem červa bylo způsobovat dopravní zácpy. Z infikovaných strojů se staly zombie uzly a efektivně provedly útok distribuovaného odmítnutí služby (DDoS) prostřednictvím naprostého objemu. Červ byl jako hydra s mnoha hlavami. Šíří se prostřednictvím e-mailových příloh, zranitelných webových serverů a sdílených síťových disků. Tento mnohostranný přístup znamenal, že neklepal jen na jedny dveře, ale rozbil všechna okna v budově.
Jakmile je Nimda uvnitř, vyřízla zadní vrátka do operačního systému. Úroveň přístupu, který poskytoval, zcela závisela na uživateli, který jej aktivoval. Pokud by standardní uživatel s omezenými právy kliknul na nesprávný soubor, útočník by získal omezený přístup. Pokud byl administrátor autorizován, útočník převzal kontrolu. Plná kontrola. Vzdálené provádění příkazů. Červ spotřebovával systémové prostředky, dokud se síťové systémy pod tíhou zátěže nezhroutily.
Mimo PC: Hrozby přenosných zařízení
Ne všechen malware žije ve vašem stolním počítači. Některá cílová zařízení, která nosíte v kapse nebo tašce.
V polovině roku 2000 se oblast hrozeb posunula směrem k přenositelnosti. Červ CommWarrior se zaměřoval na chytré telefony s operačním systémem Symbian a šířil se přes Bluetooth a MMS. Nekopíroval jen sám sebe; zaznamenal uživatelská data a odstranil soubory. Další hrozba pro Symbian, virus Skulls, byla spíše vizuální než destruktivní. Nahradil domovskou obrazovku telefonu obrázky lebek, čímž se komunikační zařízení proměnilo v digitální hororový billboard.
Úložná zařízení se také stala vektory infekce. RavMonE.exe infikoval iPod MP3 přehrávače vydané mezi 12. zářím 2006 a 18. říjnem 2006. Virus se skrýval v hudebních souborech a čekal na skok do počítače během synchronizace. To nebyla teorie. Fox News v březnu 2008 oznámilo, že některé elektronické přístroje opouštěly továrnu s předinstalovanými viry. Nebylo potřeba nic stahovat. Stačilo připojit zařízení k počítači a synchronizovat.
Hranice mezi zranitelností hardwaru a softwaru se stírá. Z levného gadgetu by se mohl stát trojský kůň.
SQL Slammer a Sapphire Wave
Další velká vlna narušení se zaměřuje na základní datovou infrastrukturu. Červ SQL Slammer, známý také jako Sapphire, nespoléhal na interakci uživatele. Nepotřeboval, abyste klikali na e-mail nebo vkládali kompromitovaný iPod.
Zneužil zranitelnost přetečení vyrovnávací paměti v Microsoft SQL Server. Zaměřila se zejména na verze 7.0 a 2000, které neaplikovaly nejnovější bezpečnostní aktualizace. Červ byl maličký. Celkem 370 bajtů. Tato malá velikost umožnila, aby se vešel do jednoho UDP paketu, což z něj udělalo neuvěřitelně efektivní distribuci.
Jakmile detekoval zranitelný server, skenoval náhodné IP adresy v krátkých dávkách. Ta rychlost byla děsivá. Červ se rozšířil tak rychle, že přetížil síťovou infrastrukturu dříve, než mnozí správci dokázali hrozbu vůbec identifikovat. Velké sítě kolabovaly. Počítače letecké společnosti se vypínaly. Bankomaty přestaly zpracovávat transakce. Samotný internet se zpomalil na procházení.
Předvedl SQL Slammer
Byl konec ledna 2003. Internet se zdál být křehký. Sítí se rychle šířil nový webový server, který využíval zásadní nedostatek připravenosti na takovou hrozbu. Výsledky byly okamžité a chaotické. Síť bankomatů Bank of America vypadla. Linka 911 v Seattlu zažívá značné přerušení. Společnost Continental Airlines zrušila lety kvůli selhání systémů elektronického prodeje letenek a odbavení.
Příčinou byl SQL Slammer, také známý jako Sapphire.
Odhady škod přesáhly 1 miliardu dolarů. Tato částka byla na rok 2003 ohromující. Skutečnou hrůzou byla rychlost útoku. Během několika minut od infikování prvního serveru virus každých pár sekund zdvojnásobil počet infikovaných hostitelů. V patnácté minutě kompromitovala téměř polovinu kritické infrastruktury internetových serverů. Byl to závod s časem, ve kterém internet sotva přežil.
Proč SQL Slammer změnil bezpečnostní paradigmata
Poučení z útoku Slammer nebylo jen to, že tam byla zranitelnost. Bylo to o reakční době. Nemůžete se spoléhat pouze na nejnovější záplaty nebo antivirové podpisy. Hackeři pátrají po neznámých slabinách – nulových dnech – které dosud nebyly objeveny. Zatímco záplatování zůstává nezbytné, útok Slammer dokázal, že potřebujete plán obnovy po havárii. Musíte přežít okamžik, než se objeví oprava.
Tento posun v myšlení zdůraznil důležitost odolnosti oproti čisté prevenci. Samotná zranitelnost byla méně důležitá než rychlost, jakou se šířila.
Otázka načasování: výskyt malwaru s časovým spouštěčem
Ne všechny viry útočí okamžitě. Některé jsou naprogramovány tak, aby „spaly“. Čekají. Zůstanou nečinné na stroji oběti, dokud určité datum neaktivuje jejich užitečné zatížení. Tato taktika přidala ke kybernetickým útokům vrstvu psychologické války. Nikdy jsi nevěděl, kdy čas vyprší.
Historie nabízí ponurý katalog takových hrozeb souvisejících s časem:
- Jerusalem Virus: Aktivuje se každý pátek 13., poškozuje data na pevném disku.
- Michelangelo Virus: Aktivován 6. března 1992 na oslavu narozenin italského umělce (narozen 6. března 1475).
- Černobylský virus: Spuštěn 26. dubna 1999, v den 13. výročí jaderné katastrofy.
- Nyxem virus: Smazané soubory z infikovaných počítačů třetí den každého měsíce.
Tyto příklady ukazují, že malware může být trpělivý. Možná to čeká, až zklameš ostražitost. Pocit bezmoci, který to způsobuje, je silný. Jste zranitelní. Jste zoufalí.
Toto emocionální pozadí připravilo půdu pro další velkou hrozbu. Virus, jehož jméno dokonale odráželo tyto pocity.
4: MyDoom
MyDoom, také známý jako Novarg, neinfikoval jen stroje. Instaloval zadní vrátka. To umožnilo útočníkům nepřetržitý přístup k operačnímu systému i dlouho po počáteční infekci. Původní kmen měl napjatý program. Jeho chování určovaly dva specifické spouštěče.
První spouštěč spustil útok odmítnutí služby (DoS) na servery SCO Group 1. února 2004. Druhý tým zastavil šíření červa 12. února 2004. I po zastavení distribuce zůstala zadní vrátka otevřená. Oběti byly ponechány zranitelné vůči dálkovému ovládání.
Útok na vyhledávače
Později v roce 2004 MyDoom udeřil znovu. Tentokrát zamířil na společnosti zabývající se vyhledávači. Červ prohledal e-mailové adresy na místních pevných discích. Tyto adresy pak použil k dokončení vyhledávacích dotazů. Tyto dotazy odeslal do vyhledávačů, jako je Google.
Výsledkem byl chaos. Infikované počítače zaplavily Google miliony automatizovaných vyhledávacích dotazů. Obrovský objem provozu zpomalil služby. V některých případech to vedlo k haváriím. Toto nebylo typické chování viru. Proměnila zařízení uživatelů ve zbraně proti infrastruktuře.
Neviditelnost a rozsah
MyDoom byl distribuován prostřednictvím e-mailu a sítí peer-to-peer. MessageLabs uvedlo, že na svém vrcholu obsahoval jeden z každých 12 e-mailů červa. Červ podvržené adresy odesílatele. Díky tomu bylo sledování zdroje téměř nemožné. Odráželo to taktiku viru Klez. Padělek způsobil zmatek a zpomalil reakční dobu.
Podivné viry a neškodné vtipy
Ne každý škodlivý kód ničí data. Některé viry prostě způsobují, že se počítače chovají podivně. Virus Ping-Pong vytvořil grafický obrázek skákajícího míčku. Nezpůsobilo to žádné skutečné škody. Byla to vizuální obtíž, ne destruktivní síla.
Mnoho “virů” jsou ve skutečnosti vtipné programy. Napodobují příznaky infekce, ale sami se nereprodukují. Mohou zamrznout obrazovku nebo zobrazit podivná vyskakovací okna. Jedná se o neškodné aplikace. Máte-li podezření na infekci, nechte ji zvládnout antivirovým softwarem. Nepředpokládejte, že nějaké podivné chování je virus.
Spojení mezi Sasserem a Netsky
Další kapitola se zabývá dvěma konkrétními hrozbami. Mají společného tvůrce. Červ Sasser a virus Netsky pocházejí od stejného hackera. Jejich vliv byl odlišný, ale stejně významný ve vývoji malwaru.
Autoři virů většinou zůstávají ve stínu. Vytvoří svůj kód, uvolní ho a zmizí v digitálním éteru. Ale někdy je stezka příliš chladná pro kohokoli kromě strážců zákona. Červi Sasser a Netsky dokazují, že se nemůžete vždy schovat před očima. Bezpečnostní experti vystopovali oba viry ke stejnému zdroji: 17letému Němci jménem Sven Jaschan.
Kód vyprávěl svůj příběh. Červi se samozřejmě chovali jinak. Ale otisky prstů ve zdrojovém kódu byly identické. Stejná logika. Stejné vlastnosti. To samé ruce.
Hrubá jednoduchost červa Sasser
Sasser si se sociálním inženýrstvím hlavu nelámal. Nepotřeboval, abyste klikli na odkaz nebo otevřeli podivnou přílohu. Své oběti našel násilím.
Červ zneužil zranitelnost v systému Microsoft Windows. Zaměřil se zejména na službu LSASS. Jakmile byl uvnitř, začal pracovat. Skenoval náhodné IP adresy a hledal další zranitelné stroje. Když jeden našel, neposlal e-mail. Připojil se přímo a dal pokyn novému hostiteli, aby si červa stáhl.
Pak přišel na řadu. Sasser upravil operační systém oběti. Zakázala možnost vypnout nebo restartovat počítač běžnými kanály. Jediný způsob, jak zastavit chaos, je tvrdý restart stroje. Odpojte napájecí kabel. Byl to útok DoS (Denial of Service) zabudovaný do samotné struktury infikovaného operačního systému.
Netsky email spam engine
Netsky hrál jinak. Šířil se prostřednictvím e-mailu a sítí Windows. Podvrhl e-mailové adresy, aby zprávy vypadaly jako legitimní. užitečné zatížení? Soubor přílohy má přesně 22 016 bajtů.
Jak se Netsky šířil, zahltil sítě. Systémy se zhroutily pod tíhou provozu. Efektivně zahájil útok distribuovaného odmítnutí služby (DDoS), když se stroje snažily zpracovat příliv dat.
V době svého vrcholu bezpečnostní výzkumníci ze Sophos odhadovali, že Netsky a jeho varianty tvoří 25 procent všech počítačových virů na internetu. Není to jen hluk. Je to povodeň.
Verdikt
Yashan čelil vážným obviněním. Jeho věk ale vše změnil. Protože mu v době zatčení nebylo 18 let, německé soudy s ním nejednaly jako s dospělým. Vyhnul se vězení. Místo toho dostal jeden rok a devět měsíců zkušební doby.
To je mírný trest za způsobenou škodu. Zdůrazňuje však mezeru v tom, jak bojujeme proti počítačové kriminalitě páchané nezletilými. Kód byl vyzrálý. Zločincem bylo dítě.
Macy nejsou bezpečné
Posledních několik sekcí jsme věnovali diskuzi o Windows. To je hlavní cíl. Nejběžnější operační systém. Ale myslet si, že počítače Macintosh jsou imunní, je nebezpečný omyl.
Nejsou imunní.
Další část odhaluje první virus, který se konkrétně zaměřuje na systémy Mac. Nebyl to jen přístav. Byl to jedinečný útok.
2: Skok-A / Oompa-A
Černé klobouky a bílé klobouky
Hackování není jen o kódu. Je to také záměr.
V technologickém světě si půjčujeme z fantazie. Dobré a zlé čarodějnice v zemi Oz. Dobří a zlí hackeři ve skutečnosti. Výraz pro zákeřného útočníka je black hat.
To jsou lidé, kteří vytvářejí viry. Zranitelnosti nenacházejí proto, aby je opravovali, ale aby je využili. Páchají zločiny. Kompromitují systémy kvůli zisku, chaosu nebo pozornosti.
Někteří z nich se účastní konferencí. Konference Black Hat. Defcon. Scházejí se, aby diskutovali o svém řemesle. Mluví o tom, jak obešli obranu. Jak použili zero-day exploit. Úplně to neskrývají. Nosí svou identitu jako odznak.
To je ostrý kontrast k bílým kloboukům. Bílé klobouky jsou
“Virus Leap-A počítačům moc neškodí, ale ukazuje, že i Mac se může stát obětí malwaru.”
Po léta převládal v technologických kruzích názor, že „vnitřní zahrada“ Applu je bezpečná. Justin Long neprodával jen cool estetiku v těch slavných reklamách; prodával myšlenku bezpečnosti prostřednictvím nesamozřejmosti. Vzhledem k tomu, že počítače Mac měly menší podíl na domácím trhu ve srovnání s počítači PC, měli hackeři menší motivaci trávit čas vytvářením škodlivého kódu pro ně. Logika byla chladná a účinná: proč mířit na deset tisíc obětí, když můžete mířit na deset milionů? Vertikální integrace Applu – produkující hardware i operační systém – znamenala, že operační systém zůstal pro vnější svět relativně neprůhledný. Nebylo to dokonalé zabezpečení, ale na odražení většiny malwaru to stačilo.
Pak přišel rok 2006.
Virus Leap-A (také známý jako Oompa-A) se nestaral o podíl na trhu. K šíření informací využila iChat, aplikaci pro rychlé zasílání zpráv. Nepotřeboval hacknout jádro systému. Stačilo, abyste klikli na soubor, který vypadal jako neškodný JPEG, ale ve skutečnosti byl poškozeným spustitelným souborem. Jakmile bude uvnitř, prohledá váš seznam kontaktů a pošle se svým přátelům. Byl to průšvih. Bylo to nepříjemné. Ale ukázalo se to hlavní: pokud dostatek lidí používá Macy, hackeři přijdou.
Nyní se konverzace posunula. Díváme se na číslo jedna na seznamu významných počítačových hrozeb a není to trojský kůň skrývající se v pirátském stahování filmu. Toto je červ Storm, také známý jako Niur nebo Vobfus.
Co je to červ Storm?
Červ Storm se objevil na začátku roku 2007 a využil vlnu paniky kolem chyby Y2K a dalších známých technologických obav. Přišel by e-mailem s předmětem určeným ke spuštění okamžitého poplachu. Obsah byl vágní, často citoval bezpečnostní problémy nebo politické skandály, ale skutečným lákadlem byla příloha. Název souboru by mohl být storm.exe nebo něco podobného obecného, ale kliknutím na něj se otevřely stavidla.
Nebyl to jen virus v tradičním slova smyslu. Byl to červ. Šíří se automaticky. Po úvodním kliknutí nečekal na interakci uživatele. K distribuci používal sítě peer-to-peer (P2P), což znamenalo, že se nespoléhal pouze na poštovní servery při přesunu ze stroje na stroj. To ho neuvěřitelně ztěžovalo zastavit. Nemohli jste jen zablokovat IP adresu nebo opravit server. Museli jste lovit jednotlivé infikované uzly.
Jak fungoval červ Storm
Červ Storm byl na svou dobu sofistikovaný. Vytvořil více kopií sebe sama na různých místech na pevném disku, takže odstranění bez specializovaných nástrojů je téměř nemožné. Otevřel porty na vašem počítači a proměnil váš stroj v robota – zombie vojáka ve větší armádě.
To vede k nejčastější otázce, kterou si uživatelé o tomto období malwaru kladou: Proč byl červ Storm tak destruktivní, když nezničil soubory?
Odpověď spočívá v botnetu. Botnet je síť kompromitovaných počítačů řízená hackerem. Červ Storm proměnil váš počítač v uzel v této síti. Hackeři by pak mohli váš stroj používat k odesílání milionů spamových e-mailů, útokům na jiné weby pomocí distribuovaných útoků typu denial of service (DDoS) nebo těžbě kryptoměn (ačkoli těžba kryptoměn nebyla tehdy tak běžná jako nyní). K poškození nedošlo na vašich datech. Poškození bylo na vaší šířce pásma, vaší pověsti a vašemu podílu na zločinném podniku někoho jiného.
Posun v taktice malwaru
Storm červ byl zlomový bod. Dříve byly viry často spojovány se zvědavostí nebo vandalismem. Malware se poté spojil s infrastrukturou. Cílem bylo vytvořit stroj, který by bylo možné pronajímat pro škodlivé účely. Storm Worm
Objevil se na konci roku 2006. Tehdy si toho všimli bezpečnostní výzkumníci, ale veřejnost mu dala jméno až později. Přezdívka pochází z předmětu e-mailu: „230 mrtvých, když bouře zasáhla Evropu“. Lidé si tragédii připomněli. Klikli na odkaz. Dostávali červa.
Antivirové laboratoře tomu daly svá vlastní jména. Symantec to nazval Peacomm. McAfee to nazval Nuwar. Zmatek je pochopitelný. Už tu byl W32.Storm.Worm z roku 2001. To je úplně jiný malware. Nepleťte si je.
Varianta z roku 2006 je trojský kůň. Jeho úkolem je doručit užitečné zatížení. Toto zatížení se mění. Někdy je to keylogger. Někdy je to něco jiného. Cíl zůstává nezměněn. Promění vaše auto v zombie.
Zombie jsou roboti. Oni tam sedí. Čekají na příkazy. Hacker v temné místnosti vyšle signál. Robot odpovídá. Tisíce takových robotů tvoří síť. Toto je botnet.
Tyto botnety jsou užitečné pro spam. Nahrávají miliony nevyžádaných e-mailů na internet. Tuto infrastrukturu pomohl vybudovat červ Storm. Posílil armádu.
Jak se dostal dovnitř? Falešné zprávy. Byl to trik. Tvůrci červa neustále měnili taktiku. Svezli se na vlně aktuálního dění.
Podívejte se na olympijské hry v Pekingu 2008. Objevila se nová verze. Předmět zněl: „Nová nejsmrtelnější katastrofa v Číně“ nebo „Nejsmrtelnější zemětřesení v Číně“. Zdálo se to naléhavé. Zdálo se to skutečné. Odkaz sliboval videozáznamy. Zprávy. Místo toho si stáhlo červa.
Rozsah byl obrovský. V červenci 2007 Postini ohlásil něco ohromujícího. Viděli více než 200 milionů e-mailů obsahujících odkazy na červa. Byl to jen jejich detekční systém. To trvalo několik dní. Útok byl globální.
Nakazili se všichni? Ne. Ne každé kliknutí vyústilo ve stažení. Ale docela hodně. Hlavní zpravodajské servery a technologické blogy jej zařadily mezi nejhorší útoky desetiletí. Byl všude.
Je dnes těžké to odstranit? Vlastně ne. Červ Storm není nejsofistikovanější malware. Pokud svůj antivirus udržujete aktuální, lze jej ovládat. Skutečnou obranou je opatrnost. Dávejte si pozor na e-maily od neznámých odesílatelů. Najeďte myší na odkazy. Zkontrolujte adresu URL.
Nejde jen o viry. Pojem „malware“ zahrnuje více oblastí. Spyware je jeden typ. Sleduje vás. Zaznamenává úhozy. Krade hesla. Při zadávání přihlašovacích údajů k bance sedí na pozadí.
Adware je jiná kategorie. Zobrazuje reklamy. Jezdí vedle větších aplikací, jako jsou webové prohlížeče. Některé verze jsou neškodné. Jiní kopají hlouběji. Poskytují inzerentům přístup k citlivým údajům. Vaše zvyky při sledování. Vaše zájmy. Prodáno nejvyšší nabídce.
Více o zabezpečení
Krajina ohrožení se neustále mění. Objevují se nové možnosti. Ty staré se aktualizují. Červ Storm byl lekcí sociálního inženýrství. Dokázal, že strach a zvědavost lze zneužít snadněji než technická zranitelnost.
Pamatujete na červa Storm z roku 2001? Zmizel. Ale taktika zůstává. Nadpisy se mění. Nebezpečí je stejné. Udržujte svůj software aktuální. Zůstaňte skeptický. Internet je obrovský a ne všechno, co vypadá jako zprávy, je ve skutečnosti zpráva.
