Ви не знаєте, що ви маєте, поки це не зникне. Цей урок комп’ютерні віруси подають нам уже десятиліття. Одні повністю очищають жорсткі диски. Інші паралізують мережі на годинник. Треті перетворюють ваш ПК на зомбі, використовуючи його потужність для розсилки спаму або атак на інші системи. Якщо ваш комп’ютер ніколи не заражався, ви можете подумати, що проблема перебільшена. Але реальна ціна збитків висока. За оцінками Consumer Reports, у 2008 році лише за один рік комп’ютерні віруси завдали споживачам збитків на суму 8,5 мільярда доларів.
Вони є найвідомішою загрозою в Інтернеті. Чи не єдиною. Але найвідомішою.
Ідея не нова. У 1949 році Джон фон Нейман теоретично обґрунтував можливість створення програми, що самокопіюється. Комп’ютерна промисловість тоді існувала лише близько десятиліття. Хтось уже знав, як порушити роботу механізмів. Однак знадобилися десятиліття, перш ніж програмісти, відомі як хакери, фактично створили такі програми.
Ранні версії були переважно жартами над великими системами. Персональні комп’ютери змінили все. Вони вивели погрозу на публіку. Фред Коен, аспірант, першим описав ці програми, що самокопіюються, як «віруси». Назва прижилася.
На початку 1980-х років люди виконували основну роботу. Хакер копіював вірус на дискету, потім розповсюджував її. Поширення йшло повільно. Воно було фізичним. Модеми змінили ситуацію. Передача даних більше була локальною подією. Вона стала глобальною. Сьогодні ми думаємо про поширення вірусів через Інтернет. Вкладення до електронної пошти. Скомпрометовані веб-посилання. Вони поширюються швидше, ніж будь-коли.
Давайте розглянемо найзлісніших порушників. Ті, що паралізували системи. Ті, що визначили цілу епоху.
Зміст
10: Melissa
Почнемо з кінця списку з ім’ям, яке досі викликає спогади у багатьох спеціалістів ІТ.
Девід Л. Сміт не просто написав код у 1999 році. Він створив зброю. Це було навесні і Сміт створив макровірус для Microsoft Word. Він назвав його “Melissa” (Мелісса) на честь екзотичної танцівниці з Флориди. Мета була проста: поширити його. Подивитися, як він набуде популярності.
Соціальна інженерія була грубою, але ефективною. Лист не виглядав як спам. У ньому йшлося: «Ось той документ, який ти просив, не показуй його нікому іншому». Люди відчиняли його. Вони завжди це робили. Щойно макрос запускався, вірус розмножувався. Він захоплював перші 50 контактів із адресної книги жертви. Він надсилав копії самого себе кожному з них. Потім одержувачі робили те саме. Ланцюгова реакція була миттєвою.
Як поширювався вірус Melissa
Це було не повільне повзуче зараження. То була пожежа. Федеральний уряд США звернув на це увагу. Пізніше співробітники ФБР розповіли Конгресу, що вірус «влаштував хаос у мережах державного та приватного секторів». Поштові сервери задихалися. Деякі компанії не мали іншого вибору, крім повністю відключити свої поштові програми, щоб вижити через різкий сплеск трафіку.
Сміт постав перед судом. Він програв. Вирок становив двадцять місяців тюремного ув’язнення. Штраф становив 5000 доларів. Суд також заборонив йому без дозволу отримувати доступ до комп’ютерних мереж. Інтернет не звалився. Насправді. Але Melissa став першим вірусом, який змусив широку публіку привернути до себе увагу. Він показав, що код може спричинити реальний хаос у реальному світі.
Різні типи комп’ютерних вірусів
Щоб зрозуміти Melissa, необхідно зрозуміти ландшафт шкідливого програмного забезпечення. Термін «комп’ютерний вірус» часто використовується в широкому значенні, але має конкретне технічне значення.
- Комп’ютерні віруси : Ці програми змінюють роботу комп’ютера. Вони самовідтворюються. Ключовим моментом є те, що їм потрібний хост (хазяїн) – програма для запуску. Melissa потребував документ Word як хост. Без цього файлу вірус залишався у сплячому стані.
- Черви : На відміну від вірусів, хробакам не потрібен хост. Вони є автономними програмами. Вони розмножуються та переміщаються по комп’ютерних мережах незалежно.
- Троянські коні : Вони маскуються під щось інше. Троян заявляє, що робить одне, але виконує інше. Деякі ушкоджують жорсткі диски. Інші створюють бекдор (задні ходи), надаючи віддаленим користувачам доступ до системи жертви.
Ми лише коротко торкнулися основ. У наступному розділі розглядаються старіші загрози. Але спочатку подивимося на вірус із «солодким» ім’ям та жорстоким впливом.
9: ILOVEYOU
Пройшов всього рік з того часу, як вірус Melissa забив корпоративні поштові скриньки, але інтернету вже потрібен новий лиходій. Цього разу загроза виходила не з документа із підтримкою макросів. Вона з’явилася на Філіппінах у вигляді справжнього хробака. Самостійна програма. Самовостворюваного монстра, якому не був потрібний файл-хост для поширення. Він отримав назву ILOVEYOU.
Проте вектор атаки був знайомим. Електронна пошта. Тема листа була привабливою: любовний лист від таємного шанувальника. Вкладенням була зброя. Ім’я файлу – LOVE-LETTER-FOR-YOU.TXT.vbs. Розширення ‘.vbs’ видавало суть. Воно прямо вказувало на Visual Basic Scripting — мову, яку хакер використовував для створення пастки. Після натискання файлу сценарій не просто відкривав текстовий документ. Він виконувався.
Пізніше McAfee докладно описала масштаб атаки. Хробак діяв агресивно. Він багаторазово копіював себе, розміщуючи дублікати у папках на жорсткому диску жертви. Він вносив нові ключі до реєстру Windows, забезпечуючи свою приховану, але активну присутність. Він замінював певні типи файлів своїми копіями, ушкоджуючи дані у процесі.
На цьому хробак не зупинився. Він поширювався через клієнти протоколу IRC (Internet Relay Chat), перестрибуючи від користувача до користувача у чатах. Але реальних збитків було завдано тим, що він завантажував.
Хробак завантажував файл під назвою WIN-BUGSFIX.EXE. Назва обіцяла стабілізацію системи. Насправді ж це було крадіжкою. Ця прихована програма була стелера паролів. Вона сканувала заражену машину у пошуках секретної інформації та відправляла дані назад у поштову скриньку хакера.
То хто ж натиснув на курок? Більшість вказувала на Онеля де Гумана, молодого програміста з Філіппін. Влада порушила проти нього справу за звинуваченням у крадіжці. Проте виникла юридична перешкода. На той момент на Філіппінах не було конкретних законів, що забороняють комп’ютерний шпигунство або цифровий саботаж. Не маючи правової бази та посилаючись на недостатність доказів, слідчі припинили справу. Де Гуман ніколи не визнавав своєї провини. Але й не заперечував її.
Ціна цієї неоднозначності виявилася приголомшливою. За оцінками, збитки від черв’яка ILOVEYOU склали 10 мільярдів доларів у світовому масштабі. Це не лише втрачена продуктивність. Це перезавантаження систем, відновлення даних та ерозія довіри до цифрової комунікації.
Наслідки та наступна загроза
Епоха кохання закінчилася. Хробак пішов в історію технологій, але його спадщина залишилася. Він продемонстрував, як соціальна інженерія може оминути технічні брандмауери. Він показав, що людська цікавість — найслабша ланка в ланцюзі безпеки.
Але віруси – не єдина загроза. Існують також “фейки про віруси”. Це не шкідливий код. Вони не розмножуються. Вони не крадуть дані. Це неправдиві попередження, покликані викликати паніку в одержувачів. Творці сподіваються, що засоби масової інформації та користувачі сприймуть цей фейк як факт.
Небезпека тут опосередкована, але реальна. Це історія про хлопчика, який кричав “вовк!”. Коли фейк розповсюджується, люди втомлюються від попереджень. Вони починають їх ігнорувати. А потім виникає справжня загроза. І цього разу ніхто не слухає.
8: Вірус Klez
Паттерн продовжується. У міру посилення заходів безпеки з’являлися нові варіанти. Вірус Klez став одним із найпоширеніших, які вразили мережу в наступні роки. Він поєднував розмноження хробака з маскуванням троянського коня. Як і його попередники, він сподівався, що користувач зробить перший крок. Натисніть на вкладення. Довірте відправнику. Відкрийте файл.
Вірус Klez не просто додав шуму у 2001 році. Він змінив тактику зловмисників.
Він з’явився наприкінці того року і залишався активним упродовж кількох місяців. Його варіації тероризували інтернет. Основний механізм був простим, але жорстоким. Хробак проникав електронною поштою. Він розмножувався. Потім він сканував адресну книгу жертви. Він надсилав копії всім контактам зі списку. Деякі варіанти містили більш небезпечні заробітні плати. Вони могли зробити комп’ютер непрацездатним.
Залежно від версії, Klez поводився по-різному. Іноді він діяв як традиційний вірус. В інших випадках функціонував як хробак або троянський кінь. В одному з відомих випадків він міг відключити ваше антивірусне програмне забезпечення. Він навіть міг маскуватися під засіб видалення вірусів. Обман був частиною атаки.
Хакери швидко удосконалили цей підхід. Вони модифікували код, щоб підвищити ефективність. Ключовим покращенням стала функція підробки відправника (email spoofing).
Як і попередні черв’яки, він витягував контакти з вашої адресної книги. Але він використав не свою власну адресу відправника. Він вибирав випадкове ім’я зі списку. Це ім’я було розміщено в полі “Від” (From) поштового клієнта. Це називається спуфінгом. Лист виглядає так, ніби він надійшов від довіреного джерела. Насправді воно походить від хробака.
Цей метод служить двом різним цілям. По-перше, він ускладнює захисні механізми. Блокування відправника в полі “Від” непотрібне. Лист не походить від цієї людини. Воно виходить із зараженого комп’ютера. Якщо черв’як засинає поштову скриньку безліччю повідомлень, одержувачі не можуть визначити справжнє джерело. Вони не можуть заблокувати реальної загрози.
По-друге, він експлуатує психологію. Люди впізнають імена. Якщо в полі “Від” вказано ім’я друга або колеги, вони з більшою ймовірністю відкриють вкладення. Довіра стає вразливою.
Захист від сучасних загроз
Наявність антивірусного програмного забезпечення є обов’язковою. Його регулярне оновлення не менш важливе. Але є правило: використовуйте лише один комплекс захисту. Запуск кількох антивірусних програм створює конфлікти. Вони заважають одне одному. Це уповільнює роботу вашої системи та може залишати пробіли у захисті.
Деякі відомі варіанти включають:
- Avast Antivirus
- AVG Anti-Virus
- Kaspersky Anti-Virus
- McAfee VirusScan
- Norton AntiVirus
Ландшафт 2001 був переповнений. У тому році дебютувало кілька великих вірусів. Тактики швидко еволюціонували. Наступний крок у цій хронології пов’язаний із іншим видом загроз.
7: Code Red та Code Red II
Літо 2001 року було не просто спекотним. Воно було вразливим.
Code Red та його наступник, Code Red II, обрушилися на інтернет як ударна хвиля. Їм було байдуже, чи ви є звичайним користувачем або адміністратором корпоративного сервера. Якщо ви використовували Windows 2000 або Windows NT, ви опинилися у прицілі.
Експлойт був неприємним, але простим. Проблема переповнення буфера. Системи не могли обробити надто великий обсяг вхідних даних. Коли буфер заповнювався, дані перетікали до сусідньої області пам’яті. Починався хаос.
Початковий черв’як Code Red мав конкретну, майже театральну мету. Він намагався ініціювати розподілену атаку відмови в обслуговуванні (DDoS) на Білий дім. Уявіть собі тисячі заражених машин, що одночасно атакують одні й ті самі веб-сервери. Вони перевантажували машини до їхньої відмови. То був шум. То був хаос. Це було привселюдно.
Code Red II був іншим. Він не просто виводив системи з ладу. Він захоплював контроль.
Проблема бекдору
Щойно машина з Windows 2000 підхоплювала Code Red II, вона переставала належати вам. Хробак створював бекдор (задні двері) в операційній системі. Віддалений доступ не просто можливий; він був гарантований.
Це компрометація на системному рівні. Людина, яка стоїть за вірусом, могла отримати доступ до ваших файлів. Він міг використати вашу пропускну здатність. Він міг навіть використати вашу машину для скоєння злочинів.
Подумайте про це секунду. Ви маєте справу не просто з повільним комп’ютером. Ви потенційно можете потрапити під підозру у скоєнні злочинів, яких не вчиняли. Сама по собі відповідальність за це достатньо, щоб позбавити когось сну.
Машини з Windows NT впоралися трохи краще, але випадково. Віруси змушували їх частіше вилітати, ніж зазвичай. На цьому все закінчувалося. Жодних бекдорів. Жодного віддаленого управління. Просто багато простоїв. У порівнянні з повною втратою контролю над Windows 2000, вильоти були не такі вже й погані.
Пастка патчів
Microsoft діяла швидко. Вони випустили програмні патчі, що усувають уразливість безпеки у Windows 2000 та Windows NT. Після встановлення патчів оригінальні черв’яки більше не могли заражати нові машини.
Але тут є каверза. Патч не видаляв віруси вже заражених комп’ютерів. Якщо ви вже були вражені, патч для вас нічого не робив. Вам доводилося чистити систему самостійно.
Це залишає вам складне питання. Що робити, коли ви розумієте, що ваша машина скомпрометована?
Це залежить від вірусу. Багато антивірусних програм можуть повністю очистити систему. Якщо вірус ще перебуває на ранній стадії, вам може пощастити. Але якщо вірус пошкодив файли або дані, вам доведеться відновлювати їх із резервних копій.
Саме тому резервне копіювання інформації – це не просто порада. Це потреба.
З такими хробаками як Code Red покладатися на просту перевірку антивірусом ризиковано. Деякі черв’яки дозволяють завантажити на вашу машину інше шкідливе програмне забезпечення. Вони ховають сліди. Вони залишають сліди. Стандартне сканування може пропустити повторні зараження.
Найбезпечніший крок часто є найрадикальнішим. Повністю відформатуйте жорсткий диск. Почніть із чистого аркуша.
Це болісно. Ви втрачаєте налаштування. Ви втрачаєте програми. Вам доводиться встановлювати заново все. Але це єдиний спосіб бути впевненим, що бекдор видалено.
6: Nimda
До початку 2001 року інтернет вже був хаотичним місцем, але черв’як Nimda вніс свої корективи в роботу систем, які все вважали захищеними. Саме ім’я було зухвалим посиланням на слово «admin» (адміністратор), написане задом наперед, що натякало на хаос, який він влаштовував із системними привілеями. Це була не просто ще одна помилка у системі. Це був хробак, який поширювався швидше, ніж будь-хто бачив раніше.
За словами Пітера Тіппетта, тодішнього головного технічного директора компанії TruSecure, Nimda пройшов шлях від нуля до повної фіксації в журналах атак лише за 22 хвилини. Це не помилка. Двадцять дві хвилини. Він став комп’ютерним вірусом свого часу, що швидко розповсюджується, встановивши стандарт швидкості, який змушує інженерів з безпеки потіти і сьогодні.
Націлювання на інфраструктуру
Хоча технічно Nimda міг заразити свій ПК, його цілі були зосереджені на інтернет-серверах. Ціль полягала не просто в тому, щоб зіпсувати ваші особисті файли. Потрібно було перетворити інтернет-інфраструктуру на пробку. Він досягав цього, використовуючи декілька векторів розповсюдження, включаючи вкладення в електронну пошту та спільні мережні ресурси. Цей багатовекторний підхід дозволяв йому перестрибувати між серверами з рекордною швидкістю, забиваючи пропускну спроможність та зупиняючи легітраційний трафік.
Пастка підвищення привілеїв
Тут Nimda виявив хитрість, і саме в цьому була його справжня небезпека. Хробак встановлював бекдор (задні двері) в операційну систему жертви. Але рівень доступу, який він надавав, повністю залежав від того, хто був у момент зараження.
Якщо хробак запускав звичайний користувач з обмеженими привілеями, зловмисник отримував обмежений доступ. Чи не ідеально, але керовано. Якщо зараження ініціював адміністратор? Зловмисник отримував повний контроль. Повний доступ до root. Ця динаміка означала, що Nimda непросто поширювався; він масштабував свою міць залежно від ієрархії мережі, яку він вторгався.
Розподілена відмова в обслуговуванні (DDoS) з необережності
Величезний обсяг трафіку, що генерується реплікацією хробака та його бекдор-активностями, діяв як атака розподіленої відмови в обслуговуванні (DDoS). Для цього йому не потрібна була структура команд ботнету. Сам хробак споживав системні ресурси, змушуючи мережеві системи падати під вагою своєї реплікації. Це був самоіндукований DDoS, який без будь-якої зовнішньої координації виводив з ладу великі мережі.
Телефонувати: віруси за межами ПК
Не всі цифрові загрози живуть на настільних комп’ютерах чи серверах. Ландшафт шкідливого програмного розширився на портативні пристрої та носії, довівши, що якщо пристрій має чіп і підключення, його можна скомпрометувати. У цю епоху з’явилися віруси, націлені нові хвилю мобільних технологій.
- CommWarrior: Черв’як, який цілеспрямовано атакував смартфони під керуванням операційної системи Symbian. Він використовував Bluetooth та SMS для поширення, експлуатуючи ранню залежність від бездротового сполучення.
- Вірус Skulls: Також вражаючий телефони Symbian, цей вірус був швидше психологічним, ніж функціональним. Він захоплював головний екран, замінюючи його зображенням черепа замість улюбленого інтерфейсу.
- RavMonE.exe: Незвичайна загроза, яка заражала MP3-плеєри iPod, випущені в період з 12 вересня 2006 по 18 жовтня 2006 року. Вона перетворювала музичний плеєр на вектор для шкідливого коду.
- Попередньо встановлені загрози: Fox News повідомляло у березні 2008 року, що деякі електронні гаджети залишали завод вже із вбудованими вірусами. Їм не потрібно було поширюватися спочатку; вони чекали, поки ви синхронізуєте пристрій із комп’ютером, щоб перестрибнути через паркан.
Ці портативні віруси показали, що безпека не зводилася до захисту файрвола. Це було
Ранні години кінця січня 2003 року змінили те, як інтернет сприймав власну вразливість. Новий черв’як поширювався по веб-серверах з швидкою швидкістю. Більшість мереж не мали жодного захисту від неї. Результатом став хаос. Банкомати Bank of America відключилися. Системи диспетчерської служби 911 у Сіетлі вийшли з ладу. Continental Airlines скасувала рейси через колапс інфраструктури електронної реєстрації.
Атакуючим був відомий як SQL Slammer, або Sapphire.
Фінансові оцінки оцінили збиток більш ніж у 1 мільярд доларів до того, як патчі та антивірусні визначення змогли наздогнати поширення хробака. Швидкість поширення була майже незбагненною. Упродовж кількох хвилин після зараження першої мети кількість жертв Slammer подвоювалася кожні кілька секунд. На п’ятнадцяту хвилину він заразив майже половину основних DNS-серверів інтернету.
Урок швидкості
Slammer підніс суворий урок. Одної наявності останніх патчів та антивірусного програмного забезпечення недостатньо. Хакери полюють на незакриті вразливості, особливо ті, які не широко відомі. Не можна просто відбиватися від вірусів. Вам потрібний план дій на випадок найгіршого сценарію. Коли відбувається катастрофа, надмірність (резервування) важливіша, ніж запобігання.
Питання часу
Деякі шкідливі програми створені для спання. Вони залишаються бездіяльними на машині жертви доти, доки певна дата не активує їх payload (шкідливий код). Історія пропонує кілька лякаючих прикладів цифрових бомб уповільненої дії:
- Вірус Jerusalem видаляв дані у п’ятницю 13-го числа.
– Вірус Michelangelo активувався 6 березня 1992 року, відзначаючи день народження художника. - Вірус Chernobyl вдарив 26 квітня 1999 року, у 13-ті роковини аварії на реакторі.
- Вірус Nyxem стирав файли третього числа кожного місяця.
Ці віруси експлуатують страх. Вони змушують користувачів почуватися безпорадними та вразливими. Але Slammer був не лише про час. Це було про швидкість. І наступний розділ цієї саги цифрової паніки приніс новий рівень особистого вторгнення.
4: MyDoom
MyDoom, також відомий як Novarg, був не просто прикрою проблемою. Це був хробак, що встановлював стійкий бекдор у вашу операційну систему. Оригінальний штам та його численні варіанти покладалися на два конкретні тригери для управління своєю поведінкою. Одна команда запускала атаку на кшталт «відмова в обслуговуванні» (DoS) 1 лютого 2004 року. Інша наказувала хробакові припинити поширення 12 лютого. Навіть після припинення поширення ці бекдор залишалися відкритими. Збитків вже було завдано.
У другій половині того ж року друга хвиля сильно вдарила по кількох компаніях, які займаються пошуковими системами. MyDoom діяв так само, як і багато його побратимів: він сканував комп’ютери жертв у пошуках адрес електронної пошти для забезпечення своєї реплікації. Але він пішов далі. Він також надсилав пошукові запити до пошукових систем та збирав адреси, знайдені в результатах пошуку. В результаті заражені машини генерували потік із мільйонів запитів. Google та інші компанії зіткнулися з тим, що їхні сервіси почали працювати вкрай повільно або повністю виходили з ладу під вагою цього трафіку.
Хробак поширювався через електронну пошту та однорангові мережі. У піковий період компанія MessageLabs повідомляла, що кожен дванадцятий електронний лист містив вірус. Подібно до вірусу Klez, MyDoom підробляв адреси відправників, що унеможливлювало відстеження джерела зараження.
Дивні віруси
Не кожен вірус призначений для виведення з ладу обладнання або знищення мережі. Деякі просто змушують комп’ютери поводитися дивно. Візьмемо Ping-Pong, один із ранніх прикладів, який відображав на екрані анімацію м’яча, що стрибає. Він не завдавав серйозних збитків. Потім є «жартівливі програми». Вони можуть переконати вас, що ваш ПК заражений, але самі є нешкідливими програмами. Вони не розмножуються самостійно. Якщо ви не впевнені, які програми запущені у вашій системі, дозвольте антивірусному програмному забезпеченню виконати їхнє видалення.
Далі ми розглянемо пару вірусів, створених одним хакером: Sasser та Netsky.
Більшість авторів шкідливого програмного забезпечення уникають упіймання. Вони залишають цифрові сліди, які зникають раніше, ніж будь-хто їх помічає. Але іноді сліди зберігаються. Саме це сталося з хробаками Sasser та Netsky. Обидва вели своє походження до одного джерела: Свену Яшану, 17-річного мешканця Німеччини.
Два різних хробаків. Один автор.
Аналітики безпеки помітили схожість у структурах коду. Це був відбиток у синтаксисі. Результатом став рідкісний момент, коли владі вдалося вийти на джерело цифрової епідемії.
Як Sasser атакував Windows
Хробак Sasser не використовував звичні методи. Жодних вкладень в електронній пошті. Жодних хитрощів соціальної інженерії. Він експлуатував конкретну вразливість у Microsoft Windows.
Опинившись усередині системи, його логіка була жорстоко простою. Черв’як сканував випадкові IP-адреси. Він знаходив інші вразливі системи. Він наказував їм завантажити копію вірусу.
Справжня шкода полягала у поширенні. Він був у відмові в обслуговуванні. Хробак змінював операційну систему, запобігаючи нормальному завершенню роботи. Єдиним способом зупинити хаос було відключення харчування. Комп’ютери перетворювалися на «цеглу», доки не розряджалася батарея або не висмикувався шнур із розетки.
Потік листів Netsky
Netsky діяв інакше. Він поширювався через електронну пошту та мережі Windows. Він підробляв адреси, щоби виглядати легітимно. Він ховався всередині вкладення розміром 22016 байт.
Вплив був негайним та галасливим. У міру того, як системи падали під вагою трафіку, мережа піддавалася атаці типу «відмова в обслуговуванні». Обсяг був приголомшливим.
Протягом деякого часу дослідники із Sophos оцінювали, що Netsky та його варіанти становили 25 відсотків усіх комп’ютерних вірусів в інтернеті. Це величезний кусок глобального цифрового шуму.
Справедливість для неповнолітнього
Яшан уникнув ув’язнення. Підсумок не полягав у тюремній камері. Він отримав один рік та дев’ять місяців умовного терміну.
Правова система поставилася до нього інакше через його вік. Той факт, що на момент арешту йому було менше 18 років, означав, що він не міг бути засудженим як дорослий у німецьких судах. Покарання було легшим. Однак урок був зрозумілий.
Не тільки Windows
Ми зосередилися на шкідливому програмному забезпеченні для ПК. Windows домінує над ринком настільних комп’ютерів, тому це логічно. Але комп’ютери Macintosh не є несприйнятливими. Вони не є безпечними за умовчанням.
У наступному розділі буде виявлено перший вірус, спеціально націлений на Mac OS. Ландшафт змінюється.
Хто такі хакери в чорних капелюхах?
У казках існують добрі та злі відьми. Насправді існують добрі і злі хакери.
Термін для зловмисного суб’єкта – чорний капелюх (black hat). Це хакери, які виробляють віруси. Це ті, хто порушує безпеку. Вони експлуатують уразливості для злочинів, а чи не для відкриттів.
Вони збираються на конференціях, таких як Black Hat або Defcon. Саме цих заходах індустрія обговорює вплив цих загроз. Саме там вони пояснюють, як використовують проломи у безпеці для скоєння злочинів.
Leap-A та Oompa-A
Ви, можливо, пам’ятаєте старий рекламний ролик Apple. Джастін Лонг грає роль розслабленого хлопця поруч із комп’ютером Джона Ходжмана, який потіє та заражений вірусами. Посилання було простим: у Windows понад 100 000 загроз. А що щодо Mac? Не так багато.
Здебільшого це правда. Безпека за рахунок секретності дозволяла користувачам Apple спокійно спати. Apple контролює як апаратне забезпечення (чіпи), і програмне. Ця закрита екосистема означала, що хакери мали менше стимулу писати код для нішевого ринку. Якщо ви пишете вірус, навіщо націлюватися на бренд, що посідає друге місце, коли можна атакувати більшість?
Але репутація «безпеки» дала тріщину 2006 року. Вірус Leap-A (також відомий як Oompa-A) довів протилежне. Він проник у Mac через iChat. Він сканував ваш список контактів. Він надсилав підроблене зображення у форматі JPEG. Він не завдав великої шкоди, але цього вистачило, щоб показати: двері були відчинені.
У міру того, як Mac захоплювали домашній ринок, за ними пішли і хакери. Спеціалізоване шкідливе програмне забезпечення почало націлюватися на зростаючу базу користувачів Apple. Можливо, персонаж Ходжмана таки візьме реванш.
Але ми тут не для того, щоб говорити про аутсайдерів. Ми знаходимося наприкінці списку. На першому місці. Той самий, який справді потрапив у заголовки новин із правильних причин.
Прорив у пісні
Давайте прояснимо один момент: медійна істерія часто випереджає реальні збитки. Візьміть вірус Michelangelo. Він отримав величезне охоплення у пресі. Фактичні збитки? Мінімальний. Це було швидше за жартом, ніж катастрофою.
Ця абсурдність навіть надихнула “Weird Al” Янковича на пісню Virus Alert. У ній він попереджає про “Stinky Cheese” – вигадане шкідливе ПЗ, яке стирає ваш жорсткий диск, змушує слухати Jethro Tull і юридично змінює ваше ім’я на Реджі.
Це смішно, бо це абсурдно. Справжні віруси не такі театральні. Вони тихі. Вони наполегливі. І перше місце у нашому списку посідає той, який довів, як легко нами можна маніпулювати.
1: Черв’як Storm
Черв’як Storm не просто проникнув усередину. Він штурмував ворота.
Чому він залишається актуальним через роки? Тому що він заклав основи соціальної інженерії, які ми бачимо й досі. Він не покладався на складний експлойт нульового дня для проникнення. Він сподівався, що ви відкриєте листа.
Хробак поширювався через вкладення в електронних листах, замасковані під репортажі новин. Заголовки про війну, стихійні лиха або корпоративні скандали. Ви бачите тему листа. Ви відчуваєте терміновість. Ви натискаєте.
Опинившись усередині, він створив ботнет. Величезну мережу заражених комп’ютерів, які працюють узгоджено. Йшлося не просто про видалення файлів. Йшлося про контроль. Черв’як Storm дозволяв зловмисникам відправляти спам, запускати DDoS-атаки та красти дані з мільйонів машин одночасно.
Він показав, що найслабша ланка у безпеці – це не код. Це людина. У вас може бути найкращий файрвол у світі, але якщо ваш співробітник натискає на фішингове посилання, тому що турбується про термінові новини, гра закінчена.
Черв’як Storm навчив нас, що шкідливе ПЗ – це не лише технічна проблема. Це психологічна проблема. І поки люди відчувають терміновість, цікавість чи страх, поштова скринька залишиться передовою лінією війни.
То що далі? Ландшафт змінився. Мобільні пристрої, хмарна інфраструктура, Інтернет речей. Поверхня атаки стала більшою, ніж будь-коли. Але метод часто залишається тим самим.
Ви бачите посилання. Ви натискаєте на неї. Ви ставите питання, чому ваш комп’ютер поводиться дивно через тиждень.
Не магія. Це просто погані рішення, упаковані в обгортку новин.
Хробак Storm та еволюція шкідливого ПЗ
Черв’як Storm з’явився наприкінці 2006 року, застав зненацька фахівців з безпеки. Громадськість дала йому похмуру назву, побачивши у темі електронних листів фразу «230 загиблих, коли шторм вирує в Європі». Антивірусні компанії використовували свої власні позначення для нього. Symantec назвав його Peacomm, а McAfee – Nuwar. Цей хаос із назвами не був чимось новим. Вірус 2001 також носив ім’я W32.Storm.Worm. Не переплутайте їх. Це абсолютно різні програми.
Варіант 2006 року є троянською програмою. Він не лише розмножує себе, а й завдає корисного навантаження. Це навантаження змінюється в залежності від версії. Іноді вона перетворює ПК користувача на зомбі, а іноді створює бота. Після зараження комп’ютер стає вразливим для дистанційного керування. Зловмисники, які стоять за атакою, тепер можуть керувати машиною. Вони використовують ці скомпрометовані системи для створення ботнету. Ця мережа заражених комп’ютерів розсилає спам через Інтернет.
Соціальна інженерія виконує основну роботу. Хробак обманює жертв, змушуючи їх завантажувати шкідливий додаток. Він ховається за підробленими посиланнями на статті чи відео. Зловмисники розумні. Вони оновлюють теми електронних листів, щоб вони відповідали поточним подіям. Перед Олімпійськими іграми 2008 року в Пекіні з’явилися нові версії. Теми включали «нову смертельну катастрофу в Китаї» або «самий смертоносний землетрус у Китаї». Перехід за посиланням не відкривав статтю новин. Він активував завантаження хробака.
Масштаб був величезним. Декілька новинних агентств і блогів включили це до найсерйозніших вірусних атак за останні роки. До липня 2007 року компанія Postini повідомляла про реєстрацію понад 200 мільйонів електронних листів, що містять посилання на черв’як Storm. Ця реєстрація охоплювала кілька днів. Гарна новина? Не кожний лист призводив до зараження. Але сам собою обсяг був головним болем.
Незважаючи на своє широке поширення, черв’як Storm не є найскладнішим для виявлення. Його видалення також не є кошмаром. Тримайте антивірусне програмне забезпечення в актуальному стані. Це базовий рівень. Будьте обережні з електронними листами від невідомих відправників. Ігноруйте дивні посилання. Робіть це, і ви уникнете серйозних проблем.
За межами Storm: розуміння типів шкідливого ПЗ
Комп’ютерні віруси – це лише один з підмножин шкідливого ПЗ. Є й інші типи, про які потрібно знати. Шпигунське ПЗ та рекламне ПЗ є поширеними родичами.
Шпигунське ПЗ діє у тіні. Воно шпигує за тим, що користувач робить зі своїм комп’ютером. Часта тактика – це логування натискань клавіш. Воно записує кожне натискання кнопки. Ціль? Дізнатися коди входу та паролі. Рекламне ПЗ помітніше. Воно відображає рекламу під час використання великих програм, таких як веб-браузер. Але воно не завжди нешкідливе. Деякі рекламні програми містять код, який дає рекламодавцям великий доступ до приватної інформації.
Кордон між роздратуванням та загрозою тут розмивається.
