Комп’ютерні віруси – це логістичний кошмар. Вони можуть стерти жорсткий диск. Вони можуть забити мережевий трафік на годинник. Вони можуть перетворити вашу невинну машину на зомбі, розмножуючись і відправляючи копії всім контактам з вашої адресної книги.
Якщо ви ніколи не бачили, як машина стає жертвою, ви можете поставити запитання, чому навколо цього стільки шуму. Занепокоєння обґрунтоване. За оцінками Consumer Reports, тільки в 2008 році “комп’ютерні віруси” призвели до збитків споживачів у розмірі 8,5 мільярда доларів. Вони є лише однією частиною пиріжка онлайн-загроз, але, мабуть, найвідоміші.
Теорія до появи шкідливого ПЗ
Комп’ютерні віруси є вже десятиліття. Сама концепція передує сучасному Інтернету. У 1949 році вчений Джон фон Нейман висунув теорію про можливість створення програм, що самовідтворюються. Комп’ютерної промисловості тоді було близько десяти років. Хтось вже знайшов спосіб кинути wrench у механізм.
Потрібно було ще кілька десятиліть, щоб програмісти, відомі як хакери, фактично створили їх.
Ранні програми, подібні до вірусів, націлювалися на великі мейнфрейми. Але персональні комп’ютери змінили усі. Вони вивели загрозу на загальний огляд. Фред Коен, аспірант, першим описав програми, що самовідтворюються, призначені для зміни роботи комп’ютерів, як «віруси». Назва прижилася.
Від дискет до ланцюжків електронної пошти
На початку 1980-х віруси покладалися на людську працю для поширення. Хакер зберігав код на дискету. Він розповсюджував дискету. Ви підключали її. Зараження відбувалося.
Передача вірусів не стала реальною проблемою, поки модеми не стали спільнимplacem. Сьогодні ми уявляємо, як комп’ютерні віруси поширюються через Інтернет. Вони заражають комп’ютери через електронні повідомлення або пошкоджені веб-посилання. Ці цифрові штами переміщаються набагато швидше, ніж ранні фізичні версії.
Ми збираємося розглянути 10 найгірших комп’ютерних вірусів, які могли паралізувати систему. Почнемо з вірусу Melissa.
10: Melissa
Девід Л. Сміт непросто писав код; він залишив культурний слід на зорі епохи інтернету. Навесні 1999 року він створив макровірус для Microsoft Word, який став однією з перших цифрових загроз, які по-справжньому захопили уяву громадськості. Сміт назвав його Melissa (Мелісса), взявши ім’я від екзотичної танцівниці, яку він знав у Флориді. Цей вибір був іронічним, враховуючи поведінку вірусу, яка була набагато більше пов’язана з агресивним автоматичним розмноженням, ніж із спокусою.
Механіка зараження була простою, але руйнівно ефективною. Вірус маскувався всередині електронного листа з темою: «Ось той документ, який ти просив, не показуй його нікому іншому». Він грав на цікавості та таємності — двох речах, яким люди, як відомо, погано вміють протистояти у професійному середовищі. Коли одержувач відкривав вкладений документ макрос активувався. Він не просто залишався у спокої. Він витягував адресну книгу Outlook жертви і надсилав копії самого себе п’ятдесяти найперших контактів.
Вірус Melissa та реакція уряду
Поширення мало експоненційний характер. Протягом кількох днів системні адміністратори потонули у потоці трафіку. Федеральний уряд США звернув на це увагу. Згідно із заявами співробітників ФБР перед Конгресом, вірус Melissa завдав величезних збитків мережам державного та приватного секторів. Величезний обсяг заражених листів викликав навантаження поштових серверів. Деякі компанії були змушені повністю припинити використання своїх поштових програм, допоки поширення вірусу не вдалося стримати.
Сміт був зрештою спійманий. Правові наслідки були швидкими та суворими. Після тривалого судового процесу Сміт програв справу та отримав 20-місячний тюремний термін. Суд також оштрафував Сміта на 5000 доларів та заборонив йому доступ до комп’ютерних мереж без дозволу суду. Хоча Melissa не призвела до постійного паралічу глобального інтернету, вона послужила застереженням. Вона довела, що код, написаний для підвищення продуктивності в офісі, може бути використаний як зброя для виведення з ладу корпоративної інфраструктури.
Різновиди вірусів
Щоб зрозуміти, чому Melissa була такою небезпечною, потрібно поглянути на те, як класифікується шкідливе програмне забезпечення. Більшість людей використовують термін “вірус” як загальний, але технічні відмінності мають значення для захисту та розуміння.
- Комп’ютерний вірус : Це загальний термін для програм, які змінюють роботу комп’ютера, часто ушкоджуючи файли чи системи. Справжній вірус вимагає хост-програми для коректної роботи. Melissa використовувала документ Word як хост. Він міг існувати самостійно.
- Черв’як : На відміну від вірусу, черв’ю не потрібна хост-програма. Це автономна програма, здатна розмножуватися і поширюватися по комп’ютерних мереж безпосередньо. Він швидший, самодостатній і часто важче зупиняється, тому що йому не потрібно, щоб користувач відкривав файл.
- Троянський кінь : Ці програми заявляють, що роблять одне, але насправді роблять інше. Вони можуть виглядати як легальне програмне забезпечення чи ігри. Після встановлення вони можуть пошкодити жорсткий диск жертви або створити бекдор (задні двері), дозволяючи віддаленому користувачеві отримати доступ до комп’ютерної системи жертви.
Розуміння цих відмінностей це не просто академічне питання. Це змінює підхід до захисту даних. Якщо ви знаєте, що загроза є хробаком, ви зосереджуєтеся на мережевих портах та брандмауерах. Якщо це троян, ви зосереджуєтеся на навчанні користувачів та перевірці джерел.
Старомодні віруси
До Melissa були інші ранні зараження. Одними з перших вірусів, що заразили персональні комп’ютери, були Apple Viruses, які атакували комп’ютери Apple II у 1980-х роках. Вони були більше пов’язані з експериментами, ніж з масовим руйнуванням, але заклали основу для всього, що було за ними. Еволюція від простих жартів до коду, що руйнує мережі, такого як Melissa, ознаменувала зсув у намірах. Зловмисники не просто хвалилися своїми навичками; вони тестували межі зв’язності.
9: ILOVEYOU
Паттерн, встановлений Melіssa, не зник. Він еволюціонував. Через кілька років з’явився ще один загрозливий об’єкт, що розповсюджується електронною поштою, який за глобальним масштабом перевершив Melissa. Він
Пройшов рівно рік з того часу, як вірус Melissa пронісся цифровим ландшафтом. Наступна серйозна загроза прийшла не від звичних підозрюваних. Вона з’явилася на Філіппінах.
Це був не макровірус, подібний до Melissa. То був черв’як. Самостійний. Самовостворюваний. Він носив ім’я, яке стало сумнозвісним: ILOVEYOU.
Механізм доставки був оманливо простим. Як і його попередник, він поширювався електронною поштою. Тема листа була принадою: «Любовний лист від таємного шанувальника». Вкладення? LOVE-LETTER-FOR-YOU.TXT.vbs.
Розширення .vbs було правильною ознакою. Воно вказувало на Visual Basic Scripting (сценарії Visual Basic), мову, яку автор використовував для побудови механізму руйнування.
Пізніше McAfee класифікувала повний масштаб збитків. Хробак не просто копіював себе. Він ховав копії у різних папках жорсткого диска. Він вносив нові записи до реєстру Windows. Він перезаписував певні типи файлів своїм кодом. Він поширювався через клієнти Internet Relay Chat (IRC), а не лише електронною поштою.
А потім був корисний вантаж (payload).
Черв’як завантажував файл із ім’ям WIN-BUGSFIX.EXE. Він виконував програму. Назва передбачала інструмент відновлення системи. Насправді, це була програма для крадіжки облікових даних. Вона захоплювала паролі та інші конфіденційні дані, а потім відправляла видобуток безпосередньо хакеру електронною поштою.
Творець та ціна
Хто це зробив? Більшість вказували на “Онеля де Гумана”, філіппінського студента.
Влада Філіппін розслідувала його справу про крадіжку. Проте правова система мала прогалину. На той момент на Філіппінах не було законів, які спеціально регулюють комп’ютерний шпигунство або саботаж. Без відповідних статей для притягнення його до відповідальності, звинувачення було знято.
Де Гуман ніколи не підтверджував своєї ролі. Але й не заперечував її.
Фінансові наслідки були приголомшливими. Оцінки збитків склали 10 мільярдів доларів у глобальному масштабі. Це залишається одним із найдорожчих кібератак в історії.
Фальшива загроза: вірусні фейки
Коли кохання закінчилося, цифровий світ зіткнувся з іншим видом шуму. Чи не шкідливе ПЗ. Чи не черви.
Вірусні фейки.
Це не є реальними загрозами. Вони не розмножуються. Вони не ушкоджують дані. Це сфабриковані попередження, покликані викликати паніку користувачів та ЗМІ. Мета – увага. Ефект – втома.
Розгляньте динаміку «хлопчика, який кричав „вовк!”». Коли кожен електронний лист стверджує, що є смертельним, невпинним вірусом, люди починають ігнорувати оповіщення. Зрештою, коли виникає реальна загроза, попередження відкидаються як черговий фейк.
Це створює шар скептицизму, яким можуть користуватися хакери. Якщо ви не можете відрізнити реальне від вигаданого, ви вразливі для всього.
Вірус Klez
Наступний розділ цієї епохи повсюдної цифрової паніки включав вірус з ім’ям, яке прижилося: Klez.
Вірус Klez з’явився наприкінці 2001 року і ознаменував зрушення у тому, як діяли погрози. Він не просто заражав системи; він поширювався з таким ступенем складності, який не мали попередні шкідливі програми. Різні модифікації вражали мережі протягом кількох місяців, встановлюючи нові стандарти швидкості та скритності.
Основний механізм був простим, але руйнівним. Хробак проникав електронною поштою. Потрапивши всередину, він розмножувався і використав адресну книгу жертви для надсилання копій своїм контактам. Але це була не просто прикра незручність. Деякі версії містили руйнівні плати, які здатні паралізувати системи. Він поєднував у собі різні поведінки: в одних випадках він діяв як традиційний вірус, в інших – як хробак або троянський кінь.
Найнебезпечнішим аспектом було те, що Klez міг відключати антивірусне програмне забезпечення. Він навіть імітував засоби видалення, щоб обдурити користувачів та змусити їх вимкнути власний захист.
Мистецтво підробки
Хакери швидко доопрацьовували код. Вони зрозуміли, що простого надсилання листів було недостатньо. Їм треба було оминути людську недовіру.
На сцену виходить спуфінг (підробка).
Вірус модифікував поле “Від” (From). Він надсилав листи не від себе, а використовував випадкове ім’я з контактної книги жертви та підставляв відповідну адресу. Лист видавався відправленим другом, колегою чи відомою організацією.
Ця тактика служила декільком цілям. Блокування відправника було марним. Справжнє джерело залишалося прихованим. Жертва не могла просто заблокувати адресу у своєму поштовому клієнті, тому що адреса була підробленою. Розсилка могла швидко забити поштову скриньку. У одержувачів був можливості відстежити справжнє походження листів.
Розпізнавання відігравало психологічну роль. Люди з більшою ймовірністю відкривають листи від відомих контактів. Якщо в полі “Від” відображалося довірене ім’я, пильність одержувача знижувалася. Вони натискали на заслання. Хробак поширювався.
Захист від поширення
Захист потребує стратегії. Вам потрібне антивірусне програмне забезпечення. Ви повинні постійно оновлювати його. Правила суворі. Не встановлюйте кілька антивірусних комплексів одночасно. Програми, що перекриваються, заважають одна одній. Вони входять у конфлікт. Вони уповільнюють роботу системи. Вони створюють уразливості.
2001 року виникло кілька великих загроз. Ландшафт погроз змінювався.
Серед найпоширеніших інструментів захисту були:
- Avast Antivirus
- AVG Anti-Virus
- Kaspersky Anti-Virus
- McAfee VirusScan
- Norton AntiVirus
Підтримка активності та актуальності хоча б однієї з цих програм є базовою вимогою. Нічого більше. Нічого менше.
За межами Klez
Веб розвивався. Загрози розвивалися швидше.
7: Code Red та Code Red II
Наступна хвиля націлилася на сервери. Фокус змістився з окремих користувачів на інфраструктуру. Наслідки стали ширшими. Збитки виявилися глибшими.
Літо 2001 року принесло дві різні загрози: оригінальний Code Red та його продовження – Code Red II. Обидва націлювалися на ту саму вразливість. Зокрема, вони експлуатували вразливість переповнення буфера у системах Windows 2000 та Windows NT. Коли ці машини отримували більше даних, ніж могли обробити буфери, сусідня пам’ять перезаписувалася. Результатом ставав збій системи або, що гірше, захоплення контролю за нею.
Атака на Білий дім та компрометація системи
Перший черв’як мав чітку мету. Він запустив розподілену атаку на відмову в обслуговуванні (DDoS) проти веб-серверів Білого дому. Заражені комп’ютери по всьому світу одночасно відправляли ping-запити на ту саму мету. Мета була простою: перевантажити машини настільки, щоб вони перестали відповідати.
Code Red II був іншим. Він не просто виводив системи з ладу. Він створював бекдор (задні двері) в операційній системі. Це дозволяло віддаленим користувачам отримувати доступ до скомпрометованої машини та керувати нею. У технічних термінах це є компрометацією лише на рівні системи. Власник втрачає весь контроль за своїм апаратним забезпеченням.
Наслідки серйозні. Зловмисник може отримати доступ до особистої інформації або використовувати заражений комп’ютер для скоєння злочинів. Жертва стикається не лише з непрацюючим ПК. Вона також ризикує потрапити під підозру поліції у злочинах, які вона не робила.
Windows NT проти Windows 2000
Не всі машини постраждали однаково. Системи Windows NT справді були вразливі. Проте наслідки були менш екстремальними. Веб-сервери під керуванням Windows NT могли частіше виходити з ладу, ніж зазвичай. Але це, по суті, було межею шкоди. У порівнянні з повною втратою контролю, яку зазнавали користувачі Windows 2000, користувачі NT відбулися відносно легко.
Дилема з патчами
Майкрософт випустила виправлення для усунення базової вразливості безпеки в обох операційних системах. Після встановлення патчів оригінальні черв’яки більше не могли заражати нові машини з Windows 2000. Але був каверз. Патч не видаляв наявні віруси. Жертви мали очищати свої системи самостійно.
Що робити при зараженні
Дізнатися, що ваш комп’ютер заражений – стресова ситуація. Правильна реакція залежить від конкретного шкідливого програмного забезпечення. Багато антивірусних програм можуть видалити віруси із зараженої системи. Але якщо вірус пошкодив файли або дані, вам знадобиться відновлення з резервних копій.
Саме тому регулярне створення резервних копій є обов’язковим. Для таких хробаків, як Code Red, простий очищення недостатньо. Рекомендується повністю відформатувати жорсткий диск та почати з чистого аркуша. Деякі черв’яки дозволяють завантажувати на вашу машину інше шкідливе програмне забезпечення. Стандартна перевірка антивірусом може пропустити ці вторинні небезпеки.
6: Nimda
Хробак Nimda: Швидкість і тяжкість наслідків
Якби ви в 2001 році спостерігали за журналами серверів, черв’як Nimda, швидше за все, застав вас зненацька. Ім’я не було випадковим. Це слово «admin» (адміністратор), написане задом наперед, — тонке глузування з привілеїв системи, які черв’як прагнув експлуатувати. Згідно з Пітером Тіппеттом, тодішньому технічному директору компанії TruSecure, Nimda з’явився в інтернеті і за 22 хвилини пробився на перше місце серед зареєстрованих атак. Це не помилка. Двадцять дві хвилини знадобилися йому, щоб стати комп’ютерним вірусом своєї епохи, що найшвидше розповсюджується.
Більшість шкідливих програм прагне отримати ваші особисті дані. Nimda ж хотів пропускну здатність мережі.
Його основною метою були інтернет-сервери. Хоча домашній ПК міг бути заражений, реальною метою хробака було створення затору у трафіку. Він перетворював заражені машини на вузли-зомбі, ефективно здійснюючи розподілену атаку типу «відмова в обслуговуванні» (DDoS) за рахунок sheer об’єму. Черв’як був подібний до гідра з безліччю голів. Він поширювався через вкладення електронною поштою, вразливі веб-сервери та спільні мережні диски. Такий багатовекторний підхід означав, що він не просто стукав у двері, а розбивав кожне вікно в будівлі.
Опинившись усередині, Nimda прорубував бекдор (задній хід) в операційній системі. Рівень доступу, який він надавав повністю залежав від користувача, який його активував. Якщо стандартний користувач з обмеженими привілеями натискав на неправильний файл, зловмисник отримував обмежений доступ. Якщо ж було авторизовано адміністратора, зловмисник брав управління на себе. Повний контроль. Віддалене виконання команд. Черв’як поглинав системні ресурси до тих пір, поки мережеві системи не падали під вагою навантаження.
За межами ПК: Загрози портативних пристроїв
Не всі шкідливі програми живуть на вашому настільному комп’ютері. Деякі націлені на пристрої, які ви носите у кишені чи сумці.
До середини 2000-х років ландшафт загроз змістився у бік портативності. Черв’як CommWarrior націлився на смартфони під керуванням операційної системи Symbian, поширюючись через Bluetooth та MMS. Він не просто копіював себе; він записував дані користувача і видаляв файли. Інша загроза для Symbian, вірус Skulls, була візуальнішою, ніж руйнівною. Він заміняв домашній екран телефону зображенням черепів, перетворюючи пристрій зв’язку на цифровий білборд для хорорів.
Пристрої зберігання даних стали векторами зараження. Файл RavMonE.exe заражав MP3-плеєри iPod, випущені між 12 вересня 2006 року та 18 жовтня 2006 року. Вірус ховався в музичних файлах, очікуючи на можливість перестрибнути на комп’ютер при синхронізації. Це було не теорією. Fox News повідомляло у березні 2008 року, що деякі електронні гаджети залишали завод із попередньо встановленими вірусами. Вам не потрібно було нічого скачувати. Вам просто потрібно було підключити пристрій до свого комп’ютера та виконати синхронізацію.
Кордон між вразливістю апаратного та програмного забезпечення стерся. Дешевий гаджет міг стати троянським конем.
SQL Slammer і Сапфірова хвиля
Наступна велика хвиля руйнувань націлилася на основу інфраструктури даних. Хробак SQL Slammer, також відомий як Sapphire, не покладався на взаємодію з користувачем. Йому не потрібно було, щоб ви натиснули на електронний лист або вставили скомпрометований iPod.
Він експлуатував уразливість переповнення буфера в Microsoft SQL Server. Зокрема, він націлювався на версії 7.0 та 2000, які не застосували останні оновлення безпеки. Хробак був крихітним. Усього 370 байт. Цей невеликий розмір дозволяв йому вміщуватися в один пакет UDP, що робило його неймовірно ефективним для розповсюдження.
Виявивши вразливий сервер, він сканував випадкові IP-адреси короткими сплесками. Швидкість була страшною. Червень поширювався настільки швидко, що він перевантажував мережеву інфраструктуру ще до того, як багато адміністраторів встигали навіть ідентифікувати загрозу. Великі сіті руйнувалися. Комп’ютери авіакомпаній відключалися. Банкомати переставали обробляти транзакції. Сам інтернет уповільнився до повзання.
SQL Slammer продемонстрував
Це було наприкінці січня 2003 року. Інтернет здавався тендітним. Новий веб-серверний вірус стрімко поширювався через мережу, експлуатуючи фундаментальну непідготовленість до такої загрози. Результати були негайними та хаотичними. Мережа банкоматів Bank of America відключилася. Служба екстреної допомоги 911 у Сіетлі зіткнулася зі значними збоями. Continental Airlines скасувала рейси через відмову систем електронного продажу квитків та реєстрації.
Причиною став SQL Slammer, також відомий як Sapphire.
Оцінки збитків перевищили 1 мільярд доларів. Ця сума була приголомшуючою для 2003 року. Справжнім жахом була швидкість атаки. Протягом кількох хвилин після зараження першого сервера вірус подвоював кількість заражених хостів кожні кілька секунд. На п’ятнадцяту хвилину він скомпрометував майже половину критичної серверної інфраструктури інтернету. Це була гонка з часом, у якій інтернет ледь вижив.
Чому SQL Slammer змінив парадигми безпеки
Урок, витягнутий з атаки Slammer, полягав у наявності вразливості. Йшлося про час реакції. Не можна покладатися виключно на наявність останніх патчів чи антивірусних сигнатур. Хакери полюють на невідомі слабкості — нульові дні (zero-day), які ще не були розкриті. Хоча патчінг залишається необхідним, атака Slammer довела, що вам потрібен план відновлення після катастроф. Вам потрібно пережити момент перед тим, як з’явиться виправлення.
Цей зрушення в мисленні наголосив на важливості стійкості (resilience) на противагу чистій профілактиці. Сама вразливість була менш важливою, ніж швидкість її поширення.
Питання таймінгу: поява шкідливих програм з тригером за часом
Не всі віруси атакують негайно. Деякі запрограмовані на “сон”. Вони чекають. Вони залишаються в сплячому стані на машині жертви доти, доки певна дата не активує їх корисне навантаження. Тактика додала до кібератак рівень психологічної війни. Ви ніколи не знали, коли закінчиться час.
Історія пропонує похмурий каталог таких загроз, пов’язаних з часом:
- Вірус «Єрусалим»: Активувався щоп’ятниці 13-го числа, пошкоджуючи дані на жорсткому диску.
- Вірус “Мікеланджело”: Активувався 6 березня 1992 року, відзначаючи день народження італійського художника (народився 6 березня 1475 року).
- Вірус «Чорнобиль»: Запустився 26 квітня 1999 року, у 13-ті роковини ядерної катастрофи.
- Вірус «Nyxem»: Видаляв файли із заражених комп’ютерів третього числа кожного місяця.
Ці приклади показують, що шкідливе програмне забезпечення може бути терплячим. Воно може чекати, поки ви опустите пильність. Відчуття безпорадності, яке це викликає, є сильним. Ви вразливі. Ви у розпачі.
Це емоційне тло підготувало ґрунт для наступної великої загрози. Вірус, назва якого ідеально відображала ці почуття.
4: MyDoom
MyDoom, також відомий як Novarg, не просто заражав машини. Він встановлював бекдор. Це давало зловмисникам постійний доступ до операційної системи навіть довгий час після початкового зараження. Оригінальний штам мав жорсткий графік. Два конкретні тригери визначали його поведінку.
Перший тригер запустив атаку відмови в обслуговуванні (DoS) на сервери компанії SCO Group 1 лютого 2004 року. Друга команда зупинила поширення черв’яка 12 лютого 2004 року. Навіть після припинення поширення бекдор залишалися відкритими. Жертви залишалися вразливими для дистанційного керування.
Атака на пошукові системи
Пізніше 2004 року MyDoom вдарив знову. На цей раз він націлився на компанії пошукових систем. Черв’як сканував локальні жорсткі диски у пошуках адрес електронної пошти. Потім він використовував ці адреси для заповнення пошукових запитів. Він надсилав ці запити до пошукових систем, таких як Google.
Результатом став хаос. Заражені комп’ютери завалили Google мільйонами автоматизованих пошукових запитів. Величезний обсяг трафіку уповільнив роботу сервісів. У деяких випадках це призводило до збоїв. Це була не типова поведінка вірусу. Він перетворював пристрої користувачів на зброю проти інфраструктури.
Прихованість та масштаб
MyDoom поширювався через електронну пошту та однорангові мережі. Компанія MessageLabs повідомила, що в пікові моменти кожен дванадцятий електронний лист містив хробака. Хробак підробляв адреси відправників. Це робило відстеження джерела майже неможливим. Він дзеркально відбивав тактики вірусу Klez. Підробка створювала плутанину та уповільнювала час реакції.
Дивні віруси та нешкідливі жарти
Не кожний шкідливий код знищує дані. Деякі віруси просто змушують комп’ютери поводитися дивно. Вірус Ping-Pong створював графічне зображення м’яча, що стрибає. Він не завдавав реальних збитків. Це була візуальна перешкода, а чи не руйнівна сила.
Багато «вірусів» насправді є жартівливими програмами. Вони імітують симптоми зараження, але не самовідтворюються. Вони можуть заморожувати екран або показувати дивні спливаючі вікна. Це нешкідливі програми. Якщо ви підозрюєте зараження, дозвольте антивірусному програмному забезпеченню впоратися з цим. Не припускайте, що будь-яка дивна поведінка є вірусом.
Зв’язок між Sasser і Netsky
Наступний розділ пов’язаний із двома конкретними загрозами. Вони мають спільний творець. Хробак Sasser і вірус Netsky з’явилися від одного і того ж хакера. Їх вплив був різним, але однаково значимим у еволюції шкідливого ПЗ.
Автори вірусів зазвичай залишаються у тіні. Вони створюють свій код, випускають його та зникають у цифровому ефірі. Але іноді слід стає надто холодним для всіх, окрім правоохоронних органів. Черв’яки Sasser і Netsky доводять, що не можна завжди ховатися на очах. Експерти з безпеки відстежили обидва віруси до одного джерела: 17-річного німця на ім’я Свен Яшан.
Код розповів свою історію. Хробаки поводилися по-різному, безумовно. Але відбитки вихідного коду були ідентичними. Та сама логіка. Ті самі особливості. Ті самі руки.
Груба простота хробака Sasser
Sasser не став морочитися із соціальною інженерією. Йому не потрібно було, щоб ви натиснули на заслання або відкрили дивне вкладення. Він знаходив своїх жертв силою.
Червень експлуатував уразливість у Microsoft Windows. Зокрема він націлився на службу LSASS. Потрапивши усередину, він почав роботу. Він сканував випадкові IP-адреси, шукаючи інші вразливі машини. Коли він знаходив одну, він не надсилав електронного листа. Він підключався безпосередньо та інструктував новий хост завантажити хробака.
Потім був поворот. Sasser змінив операційну систему жертви Він вимкнув можливість вимкнення або перезавантаження комп’ютера через звичайні канали. Єдиний спосіб зупинити хаос – це жорстке перезавантаження машини. Висмикнути шнур живлення. Це була атака на відмову в обслуговуванні (DoS), вбудована в саму тканину зараженої операційної системи.
Поштовий спам-движок Netsky
Netsky грав по-іншому. Він поширювався через електронну пошту та мережі Windows. Він підробляв адреси електронної пошти, щоб повідомлення виглядали легітимними. Корисне навантаження? Файл вкладення розміром дорівнює 22016 байт.
У міру поширення Netsky забивав мережі. Системи падали під вагою трафіку. Він ефективно запустив розподілену атаку на відмову в обслуговуванні (DDoS), коли машини важко обробляли потік даних.
На піку активності дослідники безпеки з компанії Sophos оцінили, що Netsky та його варіанти становили 25 відсотків усіх комп’ютерних вірусів в Інтернеті. Це не просто галас. Це потоп.
Вирок
Яшан зіткнувся із серйозними звинуваченнями. Але його вік змінив усе. Оскільки йому було менше 18 років на момент арешту, німецькі суди не розглядали його як дорослого. Він уникнув тюремного терміну. Натомість він отримав один рік та дев’ять місяців умовного терміну.
Це м’який вирок за заподіяну шкоду. Але він підкреслює прогалину в тому, як ми боремося з кіберзлочинами, які скоюють неповнолітні. Код був зрілим. Злочинець був дитиною.
Macs не в безпеці
Ми витратили кілька останніх розділів на обговорення Windows. Це головна ціль. Найпоширеніша операційна система. Але вважати, що комп’ютери Macintosh несприйнятливі — небезпечна помилка.
Вони не несприйнятливі.
У наступному розділі розкривається перший вірус, спеціально націлений на Mac. То був не просто порт. То була унікальна атака.
2: Leap-A / Oompa-A
Чорні капелюхи і білі капелюхи
Злом – це не лише код. Це ще й намір.
У технологічному світі ми запозичуємо із фентезі. Добрі та злі відьми в країні Оз. Добрі та злі хакери насправді. Термін для зловмисного зловмисника – “чорний капелюх”.
Це люди, які творять віруси. Вони знаходять уразливості задля їх виправлення, а експлуатації. Вони скоюють злочини. Вони компрометують системи заради прибутку, хаосу чи уваги.
Деякі з них відвідують конференції. Конференцію Black Hat. Defcon. Вони збираються обговорити своє ремесло. Вони говорять про те, як вони оминули захист. Як вони використали експлойт нульового дня. Вони не ховають це повністю. Вони мають свою ідентичність як значок.
Це різкий контраст із білими капелюхами. Білі капелюхи – це
“Вірус Leap-A не завдає великої шкоди комп’ютерам, але він показує, що навіть комп’ютер Mac може стати жертвою шкідливого програмного забезпечення”.
Протягом багатьох років у технологічних колах переважала думка, що “закритий садок” Apple безпечний. Джастін Лонг у тих знаменитих рекламних роликах продавав не лише круту естетику; він продавав ідею “безпеки через неочевидність”. Оскільки Mac займали меншу частку домашнього ринку порівняно з ПК, хакери мали менше стимулів витрачати час на створення шкідливих кодів для них. Логіка була холодною та ефективною: навіщо цілитися у десять тисяч жертв, коли можна цілитися у десять мільйонів? Вертикальна інтеграція Apple — виробництво апаратного забезпечення, так і операційної системи — означала, що ОС залишалася відносно непрозорою для зовнішнього світу. Це була ідеальна безпека, але її вистачало, щоб відбити більшість шкідливого ПЗ.
Потім настав 2006 рік.
Вірус Leap-A (також відомий як Oompa-A) не дбав про частку ринку. Він експлуатував iChat, додаток для миттєвого обміну повідомленнями, для поширення. Йому не треба було зламувати ядро системи. Йому просто потрібно було, щоб ви клацнули файл, який виглядав як нешкідливий JPEG, але насправді був пошкодженим виконуваним файлом. Опинившись усередині, він сканував ваш список контактів та відправляв себе своїм друзям. Це було безладно. Це було дратівливо. Але це довело головну думку: якщо достатньо людей використовують Mac, хакери прийдуть.
Тепер розмова змістилася. Ми дивимося на перше місце у списку значних комп’ютерних загроз, і це не троян, який ховається в піратському завантаженні фільму. Це черв’як Storm, також відомий як Niur або Vobfus.
Що таке черв’як Storm?
Черв’як Storm з’явився на початку 2007 року, скориставшись хвилею паніки навколо бага Y2K та інших широко відомих технологічних страхів. Він приходив електронною поштою з рядком теми, призначеної для виклику негайної тривоги. Зміст був розпливчастим, часто посилаючись на проблеми безпеки чи політичні скандали, але реальною принадою було вкладення. Ім’я файлу могло бути storm.exe або чимось подібним до загальних, але клацання по ньому відкривало шлюзи.
Це було не просто вірус у традиційному сенсі. То був черв’як. Він поширювався автоматично. Він не чекав взаємодії з користувачем після початкового клацання. Він використовував однорангові (P2P) мережі для поширення, що означало, що він не покладався виключно на поштові сервери для переміщення від машини до машини. Це зробило його надзвичайно важким для зупинки. Ви не могли просто заблокувати IP-адресу або виправити сервер. Вам доводилося вистежувати окремі заражені вузли.
Як працював черв’як Storm
Черв’як Storm був витонченим для свого часу. Він створював кілька копій себе в різних місцях на жорсткому диску, що робило видалення практично неможливим без спеціалізованих інструментів. Він відкривав порти на вашому комп’ютері, перетворюючи вашу машину на бот — зомбі-солдата у більшій армії.
Це призводить до найпоширенішого питання, яке користувачі задають про цей період шкідливого ПЗ: чому черв’як Storm був таким руйнівним, якщо він не знищував файли?
Відповідь криється у ботнеті. Ботнет – це мережа компрометованих комп’ютерів, керованих хакером. Черв’як Storm перетворював ваш ПК на вузол цієї мережі. Хакери потім могли використовувати вашу машину для відправлення мільйонів спам-листів, атаки інших веб-сайтів за допомогою атак розподіленої відмови в обслуговуванні (DDoS) або майнінгу криптовалюти (хоча майнінг криптовалюти тоді був не настільки поширеним, як зараз). Збитки були не для ваших даних. Збитки були для вашої пропускної спроможності, вашої репутації та вашого вкладу в чуже злочинне підприємство.
Зрушення в тактиці шкідливого ПЗ
Черв’як Storm став поворотним моментом. До цього віруси часто були пов’язані з цікавістю чи вандалізмом. Після цього шкідливе програмне забезпечення стало пов’язане з інфраструктурою. Йшлося про створення машини, яку можна було б здавати в оренду для зловмисних цілей. Черв’як Storm
Він з’явився наприкінці 2006 року. Дослідники безпеки помітили його тоді, але громадськість дала йому назву пізніше. Прізвисько походить від теми електронного листа: «230 загиблих, коли шторм б’є по Європі». Люди пам’ятали трагедію. Вони натискали на заслання. Вони отримували хробака.
Лабораторії антивірусів давали йому власні назви. Symantec назвав його Peacomm. McAfee назвав його Nuwar. Плутанина зрозуміла. Вже існував W32.Storm.Worm із 2001 року. Це зовсім інше шкідливе програмне забезпечення. Не плутайте їх.
Варіант 2006 року – це троянська програма. Її завдання – доставити корисне навантаження. Це навантаження змінюється. Іноді це кейлоггер. Іноді щось інше. Ціль при цьому залишається незмінною. Вона перетворює вашу машину на зомбі.
Зомбі – це боти. Вони сидять там. Вони чекають на команди. Хакер у темній кімнаті посилає сигнал. Робот відповідає. Тисячі таких ботів утворюють мережу. Це ботне.
Ці ботнети корисні для спаму. Вони закачують мільйони листів для сміття в інтернет. Черв’як Storm допоміг побудувати цю інфраструктуру. Він збільшив армію.
Як він потрапив усередину? Фейкові новини. То був трюк. Творці хробака постійно змінювали тактику. Вони каталися на хвилі подій.
Погляньте на Олімпійські ігри у Пекіні 2008 року. З’явилася нова версія. Тема листа гласила: «Нова смертельна катастрофа в Китаї» або «Найбільш смертоносний землетрус у Китаї». Це здавалося терміновим. Це здавалося реальним. Посилання обіцяло відеозаписи. Новини. Натомість вона завантажувала хробака.
Масштаб був величезним. До липня 2007 року компанія Postini повідомила про щось приголомшливе. Вони побачили понад 200 мільйонів листів, які містять посилання на хробака. Це була тільки їхня система виявлення. Це охоплювало кілька днів. Атака була глобальною.
Чи заразилися всі? Ні. Не кожний клік приводив до завантаження. Але чимало. Великі новинні видання та технологічні блоги включили його до списку найгірших атак десятиліття. Він був скрізь.
Чи важко видалити його сьогодні? Насправді ні. Черв’як Storm не є найскладнішим шкідливим програмним забезпеченням. Якщо ви тримаєте свій антивірус у актуальному стані, його можна контролювати. Справжній захист – це обережність. Ставтеся з недовірою до листів від невідомих відправників. Наведіть курсор на посилання. Перевірте URL-адресу.
Йдеться не лише про віруси. Термін «шкідливе програмне забезпечення» охоплює більше областей. Шпигунське ПЗ – один з типів. Воно спостерігає вас. Воно реєструє натискання кнопок. Воно краде паролі. Він сидить у фоновому режимі, поки ви вводите дані для входу в банк.
Рекламне програмне забезпечення — ще одна категорія. Воно відображає рекламу. Воно їде разом з більшими програмами, такими як веб-браузери. Деякі версії нешкідливі. Інші копають глибше. Вони дають рекламодавцям доступ до конфіденційних даних. Ваші звички перегляду. Ваші інтереси Продається найвищому bidder.
Більше про безпеку
Ландшафт загроз постійно змінюється. З’являються нові варіанти. Старі оновлюються. Черв’як Storm був уроком соціального інжинірингу. Він довів, що страх та цікавість легше експлуатувати, ніж технічні вразливості.
Пам’ятаєте черв’яка Storm 2001 року? Він зник. Але тактика лишається. Заголовки змінюються. Небезпека та сама. Тримайте програмне забезпечення в актуальному стані. Зберігайте скептицизм. Інтернет величезний, і не все, що виглядає як новини, насправді новини.
