Wirusy komputerowe to logistyczny koszmar. Mogą wyczyścić twój dysk twardy. Mogą blokować ruch sieciowy na wiele godzin. Mogą zamienić Twój nieszkodliwy samochód w zombie, mnożąc i wysyłając kopie do wszystkich kontaktów w Twojej książce adresowej.
Jeśli nigdy nie widziałeś, żeby samochód stał się ofiarą, możesz się zastanawiać, dlaczego wokół niego jest tyle zamieszania. Obawa jest uzasadniona. Consumer Reports szacuje, że wirusy komputerowe spowodowały straty konsumentów w wysokości 8,5 miliarda dolarów tylko w 2008 roku. Stanowią one tylko jeden element tortu zagrożeń internetowych, ale być może są najbardziej znane.
Teoria przed złośliwym oprogramowaniem
Wirusy komputerowe istnieją już od kilkudziesięciu lat. Sama koncepcja wyprzedza współczesny Internet. W 1949 roku naukowiec John von Neumann zaproponował możliwość tworzenia samoreplikujących się programów. Przemysł komputerowy miał wówczas zaledwie około dziesięciu lat. Ktoś już znalazł sposób na wrzucenie klucza do mechanizmu.
Stworzenie ich zajęło programistom znanym jako hakerzy jeszcze kilka dziesięcioleci.
Wczesne programy wirusopodobne atakowały duże komputery typu mainframe. Ale komputery osobiste zmieniły wszystko. Ujawnili zagrożenie na widok publiczny. Fred Cohen, absolwent, jako pierwszy opisał samoreplikujące się programy zaprojektowane w celu zmiany sposobu działania komputerów jako „wirusy”. Nazwa utknęła.
Od dyskietek po łańcuchy e-mailowe
Na początku lat 80. rozprzestrzenianie się wirusów odbywało się dzięki pracy człowieka. Haker zapisał kod na dyskietce. Rozdawał dyskietki. Podłączyłeś to. Wystąpiła infekcja.
Przenoszenie wirusów nie stało się prawdziwym problemem, dopóki modemy nie stały się powszechne. Dziś przedstawiamy jak wirusy komputerowe rozprzestrzeniają się w Internecie. Infekują komputery poprzez wiadomości e-mail lub uszkodzone łącza internetowe. Te cyfrowe odmiany poruszają się znacznie szybciej niż najwcześniejsze wersje fizyczne.
Przyjrzymy się 10 najgorszym wirusom komputerowym, które mogą sparaliżować system. Zacznijmy od wirusa Melissa.
10: Melisa
David L. Smith nie tylko napisał kod; pozostawił ślad kulturowy u zarania ery internetu. Wiosną 1999 roku stworzył makrowirusa dla programu Microsoft Word, który stał się jednym z pierwszych cyfrowych zagrożeń, które naprawdę poruszyły wyobraźnię opinii publicznej. Smith nadał mu imię Melissa, biorąc to imię od egzotycznej tancerki, którą znał na Florydzie. Wybór ten był ironiczny, biorąc pod uwagę zachowanie wirusa, które było znacznie bardziej związane z agresywną reprodukcją automatyczną niż z uwodzeniem.
Mechanika infekcji była prosta, ale zabójczo skuteczna. Wirus ukrywał się w wiadomości e-mail o tytule „Oto dokument, o który prosiłeś, nie pokazuj go nikomu innemu”. Wykorzystał ciekawość i tajemnicę, dwie rzeczy, z którymi ludzie notorycznie radzą sobie w sytuacjach zawodowych. Gdy odbiorca otworzył załączony dokument, makro zostało aktywowane. Nie tylko milczał. Pobierał książkę adresową Outlooka ofiary i wysyłał swoje kopie do pięćdziesięciu najważniejszych kontaktów.
Wirus Melissa i reakcja rządu
Rozprzestrzenianie się było wykładnicze. W ciągu kilku dni administratorzy systemu utonęli w korku. Rząd federalny Stanów Zjednoczonych zwrócił na to uwagę. Według zeznań FBI przed Kongresem wirus Melissa spowodował ogromne szkody w sieciach sektora publicznego i prywatnego. Ogromna liczba zainfekowanych wiadomości e-mail przeciążała serwery pocztowe. Niektóre firmy zostały zmuszone do całkowitego zaprzestania korzystania ze swoich programów pocztowych do czasu powstrzymania rozprzestrzeniania się wirusa.
W końcu Smith został złapany. Konsekwencje prawne były szybkie i poważne. Po długim procesie Smith przegrał sprawę i otrzymał 20 miesięcy więzienia. Sąd nałożył także na Smitha grzywnę w wysokości 5000 dolarów i zakazał mu dostępu do sieci komputerowych bez zgody sądu. Choć Melissa nie doprowadziła do trwałego paraliżu globalnego Internetu, posłużyła jako ostrzeżenie. Udowodniła, że kod napisany w celu zwiększenia produktywności w biurze może zostać użyty jako broń do niszczenia infrastruktury korporacyjnej.
Rodzaje wirusów
Aby zrozumieć, dlaczego Melissa była tak niebezpieczna, należy przyjrzeć się klasyfikacji złośliwego oprogramowania. Większość ludzi używa terminu „wirus” jako terminu ogólnego, ale różnice techniczne mają wpływ na ochronę i zrozumienie.
- Wirus komputerowy : Jest to ogólny termin określający programy zmieniające sposób działania komputera, często uszkadzając pliki lub systemy. Prawdziwy wirus wymaga programu hosta do prawidłowego działania. Melissa użyła dokumentu Word jako gospodarza. Nie mógłby istnieć sam.
- Robak : W przeciwieństwie do wirusa robak nie wymaga programu hosta. Jest to samodzielna aplikacja, która może się replikować i rozprzestrzeniać bezpośrednio w sieciach komputerowych. Jest szybszy, samodzielny i często trudniej go zatrzymać, ponieważ nie wymaga od użytkownika otwierania pliku.
- Koń trojański : Programy te rzekomo robią jedną rzecz, ale w rzeczywistości robią coś innego. Mogą wyglądać jak legalne oprogramowanie lub gry. Po zainstalowaniu mogą uszkodzić dysk twardy ofiary lub utworzyć backdoora, umożliwiając zdalnemu użytkownikowi uzyskanie dostępu do systemu komputerowego ofiary.
Zrozumienie tych różnic nie jest wyłącznie kwestią akademicką. To zmienia sposób, w jaki chronisz swoje dane. Jeśli wiesz, że zagrożeniem jest robak, skoncentruj się na portach sieciowych i zaporach sieciowych. Jeśli jest to trojan, skupiasz się na edukacji użytkowników i sprawdzaniu źródeł.
Wirusy staromodne
Przed Melissą występowały inne wczesne infekcje. Jednymi z najwcześniejszych wirusów infekujących komputery osobiste były wirusy Apple, które zaatakowały komputery Apple II w latach 80. Koncentrowali się bardziej na eksperymentach niż na masowej zagładzie, ale położyli podwaliny pod wszystko, co nastąpiło później. Ewolucja od prostych żartów do kodu niszczącego sieć, takiego jak Melissa, oznaczała zmianę zamiarów. Napastnicy nie tylko popisywali się swoimi umiejętnościami; testowali granice łączności.
9: KOCHAM CIĘ
Wzór ustanowiony przez Melissę nie zniknął. Ewoluował. Kilka lat później pojawiło się kolejne zagrożenie e-mailowe, którego zasięg globalny przerósł Melissę. On
Minął dokładnie rok, odkąd wirus Melissa rozprzestrzenił się w cyfrowym krajobrazie. Następne poważne zagrożenie nie pochodziło od zwykłych podejrzanych. Pochodzi z Filipin.
To nie był makrowirus taki jak Melissa. To był robak. Niezależny. Samoreplikujące. Miał imię, które stało się niesławne: ILOVEYOU.
Mechanizm dostarczania był zwodniczo prosty. Podobnie jak jego poprzednik, był on rozpowszechniany za pośrednictwem poczty elektronicznej. Temat brzmiał przynęta: „List miłosny od tajemniczego wielbiciela”. Inwestycja? LIST-MIŁOŚĆ-DLA-CIEBIE.TXT.vbs.
Rozszerzenie .vbs było pewnym znakiem. Wskazywało na Visual Basic Scripting, język, którego twórca użył do zbudowania mechanizmu zniszczenia.
Później firma McAfee sklasyfikowała pełny zakres szkód. Robak nie tylko sam się skopiował. Ukrył kopie w różnych folderach na swoim dysku twardym. Dokonał nowych wpisów w rejestrze systemu Windows. Zastąpił określone typy plików swoim kodem. Był rozpowszechniany za pośrednictwem klientów Internet Relay Chat (IRC), a nie tylko poczty elektronicznej.
A potem był ładunek.
Robak pobierał plik o nazwie WIN-BUGSFIX.EXE. Realizował program. Nazwa sugerowała narzędzie do odzyskiwania systemu. W rzeczywistości był to program kradzieży danych uwierzytelniających. Przechwytywał hasła i inne wrażliwe dane, a następnie wysyłał łup bezpośrednio do hakera za pośrednictwem poczty elektronicznej.
Twórca i cena
Kto to stworzył? Większość wskazywała na Onela de Gumana, studenta z Filipin.
Władze Filipin prowadziły wobec niego dochodzenie w sprawie kradzieży. Jednakże w systemie prawnym istniała luka. W tamtym czasie na Filipinach nie obowiązywały żadne przepisy regulujące szczegółowo szpiegostwo komputerowe lub sabotaż. Bez odpowiednich artykułów, które umożliwiłyby postawienie go przed wymiarem sprawiedliwości, zarzuty zostały wycofane.
De Human nigdy nie potwierdził swojej roli. Ale on też temu nie zaprzeczył.
Konsekwencje finansowe były oszałamiające. Globalne szkody oszacowano na 10 miliardów dolarów. Pozostaje to jeden z najbardziej kosztownych cyberataków w historii.
Fałszywe zagrożenie: podróbki wirusów
Kiedy miłość się skończyła, cyfrowy świat stanął w obliczu innego rodzaju hałasu. Nie złośliwe oprogramowanie. Nie robaki.
Wirusowe podróbki.
To nie są realne zagrożenia. Nie rozmnażają się. Nie niszczą danych. Są to sfabrykowane ostrzeżenia, które mają wywołać panikę wśród użytkowników i mediów. Celem jest uwaga. Efektem jest zmęczenie.
Rozważmy dynamikę „chłopca, który wołał wilka!” Kiedy każdy e-mail zawiera informację, że jest śmiercionośnym wirusem, którego nie da się zatrzymać, ludzie zaczynają ignorować powiadomienia. Ostatecznie, gdy pojawi się prawdziwe zagrożenie, ostrzeżenia są odrzucane jako kolejne fałszywe.
Tworzy to warstwę sceptycyzmu, którą mogą wykorzystać hakerzy. Jeśli nie potrafisz odróżnić, co jest prawdziwe, a co nie, jesteś podatny na wszystko.
Wirus Kleza
Następnym rozdziałem ery powszechnej paniki cyfrowej był wirus o niezmiennej nazwie: Klez.
Wirus Klez pojawił się pod koniec 2001 roku i zapoczątkował zmianę w sposobie działania zagrożeń. Nie tylko infekował systemy; rozprzestrzeniał się z poziomem wyrafinowania, jakiego nie posiadało poprzednie szkodliwe oprogramowanie. Różne modyfikacje od miesięcy trafiają do sieci, wyznaczając nowe standardy szybkości i ukrywania się.
Podstawowy mechanizm był prosty, ale destrukcyjny. Robak dostał się poprzez e-mail. Po wejściu do środka replikował się i korzystał z książki adresowej ofiary, aby wysyłać kopie do swoich kontaktów. Ale to nie była tylko irytująca niedogodność. Niektóre wersje zawierały niszczycielskie ładunki, które mogły sparaliżować systemy. Łączył w sobie różne zachowania: w niektórych przypadkach zachowywał się jak tradycyjny wirus, w innych jak robak lub koń trojański.
Najbardziej niebezpiecznym aspektem było to, że Klez mógł wyłączyć oprogramowanie antywirusowe. Imitował nawet narzędzia do usuwania, aby nakłonić użytkowników do wyłączenia własnej ochrony.
Sztuka podrabiania
Hakerzy szybko zmodyfikowali kod. Zrozumieli, że samo wysyłanie listów nie wystarczy. Musieli ominąć ludzką nieufność.
Spoofing (fałszywy) pojawia się na scenie.
Wirus zmodyfikował pole Od. Nie wysyłał listów od siebie, lecz posłużył się przypadkowym nazwiskiem z książki adresowej ofiary i podstawił odpowiadający mu adres. Wyglądało na to, że list pochodził od przyjaciela, kolegi lub znanej organizacji.
Taktyka ta służyła kilku celom. Blokowanie nadawcy było bezużyteczne. Prawdziwe źródło pozostało ukryte. Ofiara nie mogła po prostu zablokować adresu w swoim kliencie poczty e-mail, ponieważ był on fałszywy. Lista mailingowa mogłaby szybko zapełnić skrzynkę pocztową. Odbiorcy nie mieli możliwości prześledzenia prawdziwego pochodzenia listów.
Rozpoznanie odgrywało rolę psychologiczną. Ludzie chętniej otwierają e-maile od znanych kontaktów. Jeżeli w polu Od wyświetliła się zaufana nazwa, czujność odbiorcy została zmniejszona. Klikali w link. Robak się rozprzestrzeniał.
Ochrona przed dystrybucją
Obrona wymaga strategii. Potrzebujesz oprogramowania antywirusowego. Musisz go na bieżąco aktualizować. Zasady są rygorystyczne. Nie instaluj kilku systemów antywirusowych jednocześnie. Nakładające się programy kolidują ze sobą. Wchodzą w konflikt. Spowalniają system. Tworzą luki w zabezpieczeniach.
W 2001 r. pojawiło się kilka głównych zagrożeń. Krajobraz zagrożeń ulegał zmianom.
Typowe narzędzia ochrony obejmowały:
-Avast antywirusowy
-Antywirus AVG
-Kaspersky antywirus
– McAfee VirusScan
-Norton AntiVirus
Podstawowym wymogiem jest utrzymywanie aktywności i aktualności co najmniej jednego z tych programów. Nic więcej. Nic mniej.
Poza Klezem
Sieć ewoluowała. Zagrożenia ewoluowały szybciej.
7: Kod Czerwony i Kod Czerwony II
Następna fala atakowała serwery. Punkt ciężkości przesunął się z użytkowników indywidualnych na infrastrukturę. Konsekwencje stały się szersze. Uszkodzenia sięgały głębiej.
Lato 2001 roku przyniosło dwa różne zagrożenia: oryginalny Code Red i jego kontynuację, Code Red II. Obydwa atakowały tę samą lukę. W szczególności wykorzystali lukę w zabezpieczeniach związaną z przepełnieniem bufora w systemach Windows 2000 i Windows NT. Kiedy te maszyny otrzymały więcej danych, niż mogły obsłużyć ich bufory, sąsiednia pamięć została nadpisana. Efektem była awaria systemu lub, co gorsza, przejęcie nad nim kontroli.
Atak na Biały Dom i kompromis w systemie
Pierwszy robak miał jasny cel. Przeprowadził rozproszony atak typu „odmowa usługi” (DDoS) na serwery internetowe Białego Domu. Zainfekowane komputery na całym świecie jednocześnie wysyłały żądania ping do tego samego celu. Cel był prosty: przeciążyć maszyny do tego stopnia, że przestały odpowiadać.
Code Red II był inny. Nie tylko wyłączał systemy. Stworzył backdoor (tylne drzwi) w systemie operacyjnym. Umożliwiło to zdalnym użytkownikom dostęp do zaatakowanej maszyny i kontrolowanie jej. Z technicznego punktu widzenia jest to kompromis na poziomie systemu. Właściciel traci wszelką kontrolę nad swoim sprzętem.
Konsekwencje są poważne. Osoba atakująca może uzyskać dostęp do danych osobowych lub wykorzystać zainfekowany komputer do popełnienia przestępstwa. Ofiara ma do czynienia nie tylko z uszkodzonym komputerem. Grozi jej także podejrzenie przez policję o przestępstwa, których nie popełniła.
Windows NT kontra Windows 2000
Nie wszystkie samochody zostały dotknięte w równym stopniu. Systemy Windows NT rzeczywiście były podatne na ataki. Konsekwencje były jednak mniej drastyczne. Serwery internetowe z systemem Windows NT mogą ulegać awariom częściej niż zwykle. Ale to w istocie była granica szkód. W porównaniu z całkowitą utratą kontroli, jakiej doświadczyli użytkownicy systemu Windows 2000, użytkownicy systemu NT poradzili sobie stosunkowo łatwo.
Dylemat z łatami
Firma Microsoft wydała poprawki eliminujące podstawową lukę w zabezpieczeniach obu systemów operacyjnych. Po zainstalowaniu łat oryginalne robaki nie mogły już infekować nowych komputerów z systemem Windows 2000. Ale był haczyk. Łatka nie usunęła istniejących wirusów. Ofiary musiały samodzielnie wyczyścić swoje systemy.
Co zrobić w przypadku zainfekowania
Odkrycie, że Twój komputer jest zainfekowany, jest stresującą sytuacją. Prawidłowa reakcja zależy od konkretnego złośliwego oprogramowania. Wiele programów antywirusowych może usuwać wirusy z zainfekowanego systemu. Jeśli jednak wirus uszkodził pliki lub dane, konieczne będzie przywrócenie danych z kopii zapasowych.
Dlatego regularne tworzenie kopii zapasowych jest koniecznością. W przypadku robaków takich jak Code Red proste czyszczenie nie wystarczy. Zaleca się całkowite sformatowanie dysku twardego i rozpoczęcie od zera. Niektóre robaki umożliwiają pobranie na komputer innego złośliwego oprogramowania. Standardowe skanowanie antywirusowe może przeoczyć te wtórne zagrożenia.
6: Nimda
Robak Nimda: szybkość i dotkliwość konsekwencji
Jeśli przeglądałeś logi serwera w 2001 roku, robak Nimda prawdopodobnie Cię zaskoczył. Nazwa nie była przypadkowa. Słowo „admin” pisane od tyłu stanowi subtelną kpinę z przywilejów systemowych, które robak chciał wykorzystać. Według Petera Tippetta, ówczesnego dyrektora technologicznego TruSecure, Nimda pojawiła się w Internecie i w ciągu 22 minut znalazła się na szczycie zgłaszanych ataków. To nie jest literówka. W ciągu dwudziestu dwóch minut stał się najszybciej rozprzestrzeniającym się wirusem komputerowym swojej epoki.
Większość złośliwego oprogramowania stara się uzyskać Twoje dane osobowe. Nimda potrzebował przepustowości sieci.
Jego głównymi celami były serwery internetowe. Chociaż komputer domowy mógł zostać zainfekowany, prawdziwym celem robaka było powodowanie korków. Zamieniał zainfekowane maszyny w węzły zombie, skutecznie przeprowadzając rozproszony atak typu „odmowa usługi” (DDoS) na ogromną skalę. Robak był jak hydra z wieloma głowami. Rozprzestrzeniał się poprzez załączniki do wiadomości e-mail, podatne serwery internetowe i współdzielone dyski sieciowe. To wielostronne podejście oznaczało, że nie zapukał tylko do jednych drzwi, ale wybił każde okno w budynku.
Będąc już w środku, Nimda włamał się do systemu operacyjnego. Poziom dostępu, jaki zapewniał, był całkowicie zależny od użytkownika, który go aktywował. Jeśli standardowy użytkownik z ograniczonymi uprawnieniami kliknie niewłaściwy plik, osoba atakująca uzyska ograniczony dostęp. Jeśli administrator był autoryzowany, atakujący przejął kontrolę. Pełna kontrola. Zdalne wykonanie polecenia. Robak zużywał zasoby systemowe, aż systemy sieciowe zawaliły się pod ciężarem obciążenia.
Poza komputerem: zagrożenia dla urządzeń przenośnych
Nie każde złośliwe oprogramowanie żyje na Twoim komputerze stacjonarnym. Niektóre urządzenia docelowe, które nosisz w kieszeni lub torbie.
W połowie pierwszej dekady XXI wieku krajobraz zagrożeń przesunął się w stronę przenośności. Robak CommWarrior atakował smartfony z systemem operacyjnym Symbian i rozprzestrzeniał się za pośrednictwem Bluetooth i MMS-ów. Nie tylko kopiował samego siebie; rejestrował dane użytkownika i usuwał pliki. Inne zagrożenie dla Symbiana, wirus Skulls, miało charakter bardziej wizualny niż destrukcyjny. Zastąpił ekran główny telefonu obrazami czaszek, zamieniając urządzenie komunikacyjne w cyfrowy billboard z horrorem.
Urządzenia pamięci masowej również stały się wektorami infekcji. RavMonE.exe infekował odtwarzacze iPod MP3 wydane pomiędzy 12 września 2006 a 18 października 2006. Wirus ukrywał się w plikach muzycznych i czekał, aby wskoczyć do komputera podczas synchronizacji. To nie była teoria. W marcu 2008 roku stacja Fox News podała, że niektóre gadżety elektroniczne opuszczały fabryki z preinstalowanymi wirusami. Nie musiałeś niczego pobierać. Wystarczyło podłączyć urządzenie do komputera i zsynchronizować.
Granica między podatnością sprzętu i oprogramowania zatarła się. Tani gadżet może stać się koniem trojańskim.
SQL Slammer i Szafirowa Fala
Następna poważna fala zakłóceń dotyczy podstawowej infrastruktury danych. Robak SQL Slammer, znany również jako Sapphire, nie polegał na interakcji użytkownika. Nie potrzebował, abyś klikał wiadomość e-mail lub wkładał zainfekowanego iPoda.
Wykorzystywał lukę w zabezpieczeniach przepełnienia bufora w programie Microsoft SQL Server. W szczególności jego celem były wersje 7.0 i 2000, w których nie zastosowano najnowszych aktualizacji zabezpieczeń. Robak był malutki. Razem 370 bajtów. Dzięki temu niewielkiemu rozmiarowi zmieścił się w pojedynczym pakiecie UDP, dzięki czemu stał się niezwykle wydajny w dystrybucji.
Po wykryciu podatnego serwera skanował losowe adresy IP w krótkich seriach. Prędkość była przerażająca. Robak rozprzestrzeniał się tak szybko, że przeciążał infrastrukturę sieciową, zanim wielu administratorów zdążyło w ogóle zidentyfikować zagrożenie. Duże sieci upadały. Komputery linii lotniczych przestały działać. Bankomaty przestały przetwarzać transakcje. Sam Internet zwolnił i zaczął działać.
Zademonstrowano SQL Slammer
Był koniec stycznia 2003 roku. Internet wydawał się kruchy. Nowy wirus serwera WWW szybko rozprzestrzeniał się w sieci, wykorzystując zasadniczy brak przygotowania na takie zagrożenie. Wyniki były natychmiastowe i chaotyczne. Sieć bankomatów Bank of America przestała działać. Usługa 911 w Seattle doświadcza znacznych zakłóceń. Continental Airlines odwołały loty z powodu awarii elektronicznych systemów sprzedaży biletów i odprawy.
Przyczyną był SQL Slammer, znany również jako Sapphire.
Szacunki szkód przekroczyły 1 miliard dolarów. Kwota ta była oszałamiająca jak na rok 2003. Prawdziwym horrorem była prędkość ataku. W ciągu kilku minut od zainfekowania pierwszego serwera wirus co kilka sekund podwajał liczbę zainfekowanych hostów. Do piętnastej minuty zainfekował prawie połowę krytycznej infrastruktury serwerów internetowych. To był wyścig z czasem, w którym Internet ledwo przetrwał.
Dlaczego SQL Slammer zmienił paradygmaty bezpieczeństwa
Lekcja wyciągnięta z ataku Slammera polegała nie tylko na tym, że istniała luka w zabezpieczeniach. Chodziło o czas reakcji. Nie można polegać wyłącznie na najnowszych łatkach i sygnaturach antywirusowych. Hakerzy polują na nieznane słabości – dni zerowe – które nie zostały jeszcze odkryte. Chociaż łatanie nadal jest konieczne, atak Slammer udowodnił, że potrzebny jest plan odzyskiwania po awarii. Musisz przetrwać chwilę, zanim pojawi się poprawka.
Ta zmiana myślenia podkreśliła znaczenie odporności w przeciwieństwie do czystej profilaktyki. Sama luka była mniej istotna niż prędkość, z jaką się rozprzestrzeniała.
Kwestia czasu: pojawienie się złośliwego oprogramowania uruchamianego czasowo
Nie wszystkie wirusy atakują natychmiast. Niektóre są zaprogramowane na „uśpienie”. Oni czekają. Pozostają uśpione na maszynie ofiary do momentu aktywacji ich ładunku w określonej dacie. Taktyka ta dodała do cyberataków warstwę wojny psychologicznej. Nigdy nie było wiadomo, kiedy skończy się czas.
Historia oferuje ponury katalog takich zagrożeń związanych z czasem:
- Wirus Jerozolimy: Aktywowany w każdy piątek 13-tego, uszkadzający dane na dysku twardym.
- Wirus Michała Anioła: Aktywowany 6 marca 1992, z okazji urodzin włoskiego artysty (urodzonego 6 marca 1475).
- Wirus Czarnobylski: Wystrzelony 26 kwietnia 1999 r., w 13. rocznicę katastrofy nuklearnej.
- Wirus Nyxem: Trzeciego dnia każdego miesiąca usuwane są pliki z zainfekowanych komputerów.
Te przykłady pokazują, że złośliwe oprogramowanie może być cierpliwe. Może czekać, aż opuścisz gardę. Poczucie bezradności, jakie to powoduje, jest potężne. Jesteś bezbronny. Jesteś zdesperowany.
To emocjonalne tło przygotowało grunt pod kolejne poważne zagrożenie. Wirus, którego nazwa doskonale odzwierciedlała te uczucia.
4: MójDoom
MyDoom, znany również jako Novarg, infekował nie tylko maszyny. Instalował backdoora. Dzięki temu atakujący mieli ciągły dostęp do systemu operacyjnego nawet długo po początkowej infekcji. Oryginalny szczep miał napięty harmonogram. Dwa konkretne czynniki zdeterminowały jego zachowanie.
Pierwszy czynnik spowodował atak typu „odmowa usługi” (DoS) na serwery SCO Group 1 lutego 2004 r. Drugi zespół powstrzymał rozprzestrzenianie się robaka 12 lutego 2004 r. Nawet po zatrzymaniu dystrybucji tylne drzwi pozostały otwarte. Ofiary były podatne na zdalną kontrolę.
Atak na wyszukiwarki
Później w 2004 roku MyDoom uderzył ponownie. Tym razem jego celem były firmy działające w wyszukiwarkach. Robak skanował lokalne dyski twarde w poszukiwaniu adresów e-mail. Następnie użył tych adresów do uzupełnienia zapytań. Wysyłał te zapytania do wyszukiwarek takich jak Google.
Rezultatem był chaos. Zainfekowane komputery zasypywały Google milionami automatycznych zapytań. Ogromne natężenie ruchu spowolniło usługi. W niektórych przypadkach prowadziło to do awarii. Nie było to typowe zachowanie wirusa. Zamieniło urządzenia użytkowników w broń przeciwko infrastrukturze.
Ukrycie i skalowanie
MyDoom był dystrybuowany za pośrednictwem poczty elektronicznej i sieci peer-to-peer. Firma MessageLabs podała, że w szczytowym okresie jedna na 12 wiadomości e-mail zawierała robaka. Robak sfałszował adresy nadawców. To sprawiało, że śledzenie źródła było prawie niemożliwe. Odzwierciedlało to taktykę wirusa Klez. Podróbka wywołała zamieszanie i spowolniła czas reakcji.
Dziwne wirusy i nieszkodliwe żarty
Nie każdy złośliwy kod niszczy dane. Niektóre wirusy po prostu powodują dziwne zachowanie komputerów. Wirus Ping-Pong stworzył graficzny obraz odbijającej się piłki. Nie wyrządziło to żadnych realnych szkód. Była to uciążliwość wizualna, a nie siła niszcząca.
Wiele „wirusów” to tak naprawdę programy żartujące. Naśladują objawy infekcji, ale nie rozmnażają się. Mogą zawieszać ekran lub wyświetlać dziwne wyskakujące okienka. Są to nieszkodliwe aplikacje. Jeśli podejrzewasz infekcję, pozwól, aby oprogramowanie antywirusowe sobie z tym poradziło. Nie zakładaj, że jakiekolwiek dziwne zachowanie jest wirusem.
Powiązanie między Sasserem i Netskim
Następny rozdział dotyczy dwóch konkretnych zagrożeń. Mają wspólnego twórcę. Robak Sasser i wirus Netsky pochodzą od tego samego hakera. Ich wpływ był inny, ale równie znaczący w ewolucji złośliwego oprogramowania.
Autorzy wirusów zwykle pozostają w cieniu. Tworzą swój kod, udostępniają go i znikają w cyfrowym eterze. Czasami jednak trop staje się zbyt zimny dla kogokolwiek poza organami ścigania. Robaki Sasser i Netsky dowodzą, że nie zawsze można ukryć się na widoku. Eksperci ds. bezpieczeństwa ustalili, że oba wirusy pochodzą z tego samego źródła: 17-letniego Niemca o imieniu Sven Jaschan.
Kod opowiedział swoją historię. Oczywiście robaki zachowywały się inaczej. Ale odciski palców w kodzie źródłowym były identyczne. Ta sama logika. Te same funkcje. Te same ręce.
Brutalna prostota robaka Sasser
Sasser nie zawracał sobie głowy inżynierią społeczną. Nie potrzebował, abyś klikał link lub otwierał dziwny załącznik. Swoje ofiary odnalazł siłą.
Robak wykorzystywał lukę w zabezpieczeniach systemu Microsoft Windows. W szczególności jego celem była usługa LSASS. Gdy już był w środku, zaczął pracować. Skanował losowe adresy IP w poszukiwaniu innych podatnych na ataki maszyn. Kiedy znalazł, nie wysłał e-maila. Połączył się bezpośrednio i polecił nowemu hostowi pobrać robaka.
Potem przyszła kolej. Sasser zmodyfikował system operacyjny ofiary. Wyłączała możliwość zamykania lub ponownego uruchamiania komputera za pomocą normalnych kanałów. Jedynym sposobem na powstrzymanie chaosu jest twardy restart komputera. Odłącz przewód zasilający. Był to atak typu „odmowa usługi” (DoS) wbudowany w samą strukturę zainfekowanego systemu operacyjnego.
Silnik spamu e-mailowego Netsky
Netsky grał inaczej. Rozprzestrzeniał się za pośrednictwem poczty elektronicznej i sieci Windows. Fałszował adresy e-mail, aby wiadomości wyglądały na wiarygodne. Ładunek? Rozmiar pliku załącznika wynosi dokładnie 22 016 bajtów.
W miarę rozprzestrzeniania się Netsky’ego przytłoczył sieci. Systemy załamały się pod ciężarem ruchu. Skutecznie uruchomił rozproszony atak typu „odmowa usługi” (DDoS), gdy maszyny miały trudności z przetworzeniem napływu danych.
W szczytowym okresie badacze bezpieczeństwa w firmie Sophos oszacowali, że Netsky i jego warianty stanowiły 25 procent wszystkich wirusów komputerowych w Internecie. To nie tylko hałas. To powódź.
Werdykt
Yashanowi postawiono poważne zarzuty. Ale jego wiek zmienił wszystko. Ponieważ w chwili aresztowania nie miał ukończonych 18 lat, niemieckie sądy nie traktowały go jak osoby dorosłej. Uniknął więzienia. Zamiast tego otrzymał rok i dziewięć miesięcy w zawieszeniu.
To łagodna kara za wyrządzone szkody. Podkreśla jednak lukę w sposobie zwalczania cyberprzestępczości popełnianej przez nieletnich. Kod był dojrzały. Przestępca był dzieckiem.
Komputery Mac nie są bezpieczne
Kilka ostatnich sekcji poświęciliśmy na omówienie systemu Windows. To jest główny cel. Najpopularniejszy system operacyjny. Jednak myślenie, że komputery Macintosh są odporne, jest niebezpiecznym błędem.
Nie są odporni.
Następna sekcja ujawnia pierwszego wirusa, którego celem są konkretnie systemy Mac. To nie był tylko port. To był wyjątkowy atak.
2: Skok-A / Uompa-A
Czarne i białe kapelusze
Hakowanie to nie tylko kod. To także intencja.
W świecie technologii czerpiemy z fantazji. Dobre i złe czarownice w krainie Oz. Dobrzy i źli hakerzy w rzeczywistości. Określenie złośliwego atakującego to czarny kapelusz.
To ludzie tworzą wirusy. Znajdują luki w zabezpieczeniach nie po to, aby je naprawić, ale aby je wykorzystać. Popełniają przestępstwa. Narażają systemy na zysk, chaos lub uwagę.
Część z nich uczestniczy w konferencjach. Konferencja Black Hat. Defcon. Spotykają się, aby omówić swoje rzemiosło. Opowiadają o tym, jak ominęli obronę. Jak wykorzystali exploita zero-day. Nie ukrywają tego całkowicie. Noszą swoją tożsamość jak odznakę.
Stanowi to wyraźny kontrast w stosunku do białych kapeluszy. Białe kapelusze są
„Wirus Leap-A nie wyrządza większych szkód komputerom, ale pokazuje, że nawet komputer Mac może paść ofiarą złośliwego oprogramowania.”
Przez lata w kręgach technologicznych dominował pogląd, że „kryty ogród” Apple’a jest bezpieczny. Justin Long nie tylko sprzedawał fajną estetykę w tych słynnych reklamach; sprzedawał ideę bezpieczeństwa poprzez nieoczywistość. Ponieważ komputery Mac miały mniejszy udział w rynku krajowym w porównaniu z komputerami PC, hakerzy mieli mniejszą motywację do spędzania czasu na tworzeniu dla nich szkodliwego kodu. Logika była zimna i skuteczna: po co celować w dziesięć tysięcy ofiar, skoro można celować w dziesięć milionów? Pionowa integracja Apple — produkcja zarówno sprzętu, jak i systemu operacyjnego — oznaczała, że system operacyjny pozostawał stosunkowo nieprzejrzysty dla świata zewnętrznego. Nie było to idealne zabezpieczenie, ale wystarczające, aby odeprzeć większość złośliwego oprogramowania.
Potem przyszedł rok 2006.
Wirus Leap-A (znany również jako Oompa-A) nie dbał o udział w rynku. Do rozpowszechniania informacji wykorzystał iChat, komunikator internetowy. Nie musiał hakować rdzenia systemu. Wystarczyło kliknąć plik, który wyglądał jak nieszkodliwy plik JPEG, ale w rzeczywistości był uszkodzonym plikiem wykonywalnym. Gdy już znajdziesz się w środku, przeskanuje Twoją listę kontaktów i roześle się do znajomych. To był bałagan. To było denerwujące. Ale okazało się, że najważniejsze jest to, że jeśli wystarczająca liczba osób będzie korzystać z komputerów Mac, przyjdą hakerzy.
Teraz rozmowa się zmieniła. Patrzymy na numer jeden na liście znaczących zagrożeń komputerowych i nie jest to trojan ukrywający się w pobranym pirackim filmie. Jest to robak Storm, znany również jako Niur lub Vobfus.
Co to jest robak Storm?
Robak Storm pojawił się na początku 2007 roku, wykorzystując falę paniki wokół błędu Y2K i inne dobrze znane obawy technologiczne. Wiadomość przychodziła e-mailem z tematem mającym na celu wywołanie natychmiastowego alarmu. Treść była niejasna, często odwoływała się do kwestii bezpieczeństwa lub skandalów politycznych, ale prawdziwą przynętą był załącznik. Nazwa pliku może brzmieć „storm.exe” lub podobna, ale kliknięcie na nią otwiera śluzę.
Nie był to tylko wirus w tradycyjnym znaczeniu. To był robak. Rozprzestrzeniało się automatycznie. Nie czekał na interakcję użytkownika po pierwszym kliknięciu. Do dystrybucji wykorzystywała sieci peer-to-peer (P2P), co oznaczało, że przy przesyłaniu danych z maszyny na maszynę nie polegała wyłącznie na serwerach pocztowych. To sprawiało, że niezwykle trudno było go zatrzymać. Nie można było po prostu zablokować adresu IP ani naprawić serwera. Trzeba było polować na pojedyncze zainfekowane węzły.
Jak działał robak Storm
Robak Storm był zaawansowany jak na swoje czasy. Utworzył wiele kopii w różnych miejscach na dysku twardym, przez co usunięcie go bez specjalistycznych narzędzi było prawie niemożliwe. Otworzył porty w twoim komputerze, zamieniając twoją maszynę w bota — żołnierza zombie w większej armii.
Prowadzi to do najczęstszego pytania, jakie użytkownicy zadają na temat tego okresu szkodliwego oprogramowania: dlaczego robak Storm był tak destrukcyjny, skoro nie niszczył plików?
Odpowiedź leży w botnecie. Botnet to sieć zainfekowanych komputerów kontrolowana przez hakera. Robak Storm zmienił Twój komputer w węzeł w tej sieci. Hakerzy mogą następnie wykorzystać Twoją maszynę do wysyłania milionów wiadomości e-mail zawierających spam, atakowania innych witryn internetowych za pomocą ataków typu rozproszona odmowa usługi (DDoS) lub wydobywania kryptowaluty (chociaż wydobywanie kryptowalut nie było wówczas tak powszechne jak obecnie). Uszkodzenie nie dotyczyło Twoich danych. Szkody dotyczyły Twojej przepustowości, Twojej reputacji i Twojego wkładu w cudze przedsięwzięcie przestępcze.
Zmiana taktyki złośliwego oprogramowania
Robak Storm był punktem zwrotnym. Wcześniej wirusy często kojarzono z ciekawością lub wandalizmem. Następnie szkodliwe oprogramowanie zostało powiązane z infrastrukturą. Pomysł polegał na stworzeniu maszyny, którą można wynajmować w złych celach. Robak Burzowy
Pojawił się pod koniec 2006 roku. Badacze bezpieczeństwa zauważyli go wtedy, ale opinia publiczna nadali mu nazwę później. Pseudonim pochodzi od tematu e-maila: „230 osób nie żyje w wyniku burzy uderzającej w Europę”. Ludzie pamiętali tragedię. Klikali w link. Dostali robaka.
Laboratoria antywirusowe nadali mu własne nazwy. Symantec nazwał go Peacomm. McAfee nazwał to Nuwar. Zamieszanie jest zrozumiałe. Istniał już robak W32.Storm.Worm z 2001 roku. To zupełnie inne szkodliwe oprogramowanie. Nie myl ich.
Wariant z 2006 roku jest koniem trojańskim. Jego zadaniem jest dostarczenie ładunku. To obciążenie się zmienia. Czasami jest to keylogger. Czasami jest to coś innego. Cel pozostaje niezmienny. Zamienia Twój samochód w zombie.
Zombie to boty. Oni tam siedzą. Czekają na polecenia. Haker w ciemnym pokoju wysyła sygnał. Bot odpowiada. Tysiące takich botów tworzy sieć. To jest botnet.
Te botnety są przydatne do spamowania. Przesyłają miliony niechcianych wiadomości e-mail do Internetu. Robak Storm pomógł w budowie tej infrastruktury. Zwiększył armię.
Jak dostał się do środka? Fałszywe wiadomości. To była sztuczka. Twórcy robaka stale zmieniali taktykę. Płynęli na fali bieżących wydarzeń.
Spójrzcie na Igrzyska Olimpijskie w Pekinie w 2008 roku. Pojawiła się nowa wersja. Temat brzmiał: „Najbardziej śmiercionośna nowa katastrofa w Chinach” lub „Najbardziej śmiercionośne trzęsienie ziemi w Chinach”. Wydawało się to pilne. To wydawało się realne. Link obiecał nagrania wideo. Aktualności. Zamiast tego pobrał robaka.
Skala była ogromna. W lipcu 2007 r. Postini doniósł o czymś zdumiewającym. Zobaczyli ponad 200 milionów e-maili zawierających łącza do robaka. To był po prostu ich system wykrywania. Trwało to kilka dni. Atak miał charakter globalny.
Czy wszyscy zostali zarażeni? Nie. Nie każde kliknięcie kończyło się pobraniem. Ale całkiem sporo. Główne serwisy informacyjne i blogi technologiczne uznały ten atak za jeden z najgorszych ataków dekady. Był wszędzie.
Czy dzisiaj trudno to usunąć? Nie bardzo. Robak Storm nie jest najbardziej wyrafinowanym szkodliwym oprogramowaniem. Jeśli będziesz aktualizować swój program antywirusowy, będzie można go kontrolować. Prawdziwą obroną jest ostrożność. Uważaj na e-maile od nieznanych nadawców. Najedź kursorem na linki. Sprawdź adres URL.
Nie chodzi tylko o wirusy. Termin „złośliwe oprogramowanie” obejmuje więcej obszarów. Oprogramowanie szpiegowskie to jeden z typów. To cię obserwuje. Rejestruje naciśnięcia klawiszy. Kradnie hasła. Działa w tle podczas wprowadzania danych logowania do banku.
Oprogramowanie reklamowe to inna kategoria. Wyświetla reklamy. Współpracuje z większymi aplikacjami, takimi jak przeglądarki internetowe. Niektóre wersje są nieszkodliwe. Inni kopią głębiej. Dają reklamodawcom dostęp do wrażliwych danych. Twoje nawyki oglądania. Twoje zainteresowania. Sprzedane temu, kto zaoferuje najwyższą cenę.
Więcej o bezpieczeństwie
Krajobraz zagrożeń stale się zmienia. Pojawiają się nowe opcje. Stare są aktualizowane. Robak Storm był lekcją inżynierii społecznej. Udowodnił, że strach i ciekawość są łatwiejsze do wykorzystania niż luki techniczne.
Pamiętacie robaka Storm z 2001 roku? Zniknął. Ale taktyka pozostaje. Nagłówki się zmieniają. Niebezpieczeństwo jest takie samo. Aktualizuj swoje oprogramowanie. Pozostań sceptyczny. Internet jest ogromny i nie wszystko, co wygląda na wiadomości, jest nimi w rzeczywistości.
