19. Компьютерные вирусы. Пути проникновения. Признаки появления.

Основные ранние признаки заражения компьютера вирусом:

1. уменьшение объема свободной оперативной памяти;

2. замедление загрузки и работы компьютера;

3. непонятные (без причин) изменения в файлах, а также изменения размеров и даты последней модификации файлов;

4. ошибки при загрузке операционной системы;

5. невозможность сохранять файлы в нужных каталогах;

6. непонятные системные сообщения, музыкальные и визуальные эффекты и т.д.

Признаки активной фазы вируса:

1. исчезновение файлов;

2. форматирование жесткого диска;

невозможность загрузки файлов или операционной системы.

Основные источники вирусов:

1. носитель, на которой находятся зараженные вирусом файлы;

2. компьютерная сеть, в том числе система электронной почты и Internet;

3. жесткий диск, на который попал вирус в результате работы с зараженными программами;

4. вирус, оставшийся в оперативной памяти после предшествующего пользователя.

20.Информационная безопасность. Виды компьютерных преступлений. Современные тенденции в мире информационных угроз.

основные классы угроз

- вредное программное обеспечение;

- спам;

- глобальные сетевые атаки.

К первой категории относятся вирусные и троянские программы (включая сетевых червей), а также сетевые пакеты, которые используются в хакерских атаках. Ущерб, который наносится вредным программным обеспечением, можно классифицировать следующим образом: Неавторизованный доступк персональной/корпоративной/государственной информации, т.е. ее уничтожение, изменение (включая намеренное искажение информации в злоумышленных целях), передача (отсылка, т.е. организация утечки информации, включая конфиденциальной/секретной).

Нештатное поведение программного обеспечения и железа,т.е. сбои и/или замедление работы компьютерных систем, зависания элементов систем, и т.п.

Использование вычислительных, дисковых и прочих ресурсов систем в чужих интересах и/или в ущерб интересам владельца ресурсов.

Вторая категория угроз (спам) появилась значительно позднее, чем первая (вредоносные программы), однако по своей важности уверенно приближается к ней. Назойливость спама является далеко не единственной причиной, по которой к нему следует относиться как к отдельной категории современных угроз.

Спам — это:

Увеличение нагрузки на почтовые серверы, что влечет за собой неоправданное увеличение средств, вкладываемых в организацию инфраструктуры сетей, а также увеличение численности персонала, эти сети обслуживающего (если 50% писем — это спам, то 50% ваших почтовых серверов работают вхолостую, а системные администраторы, соответственно, вхолостую тратят часть своего рабочего времени).

Риск потери важной информациипо причине того, что она просто затерялась среди спама (если, например, 99 из 100 писем — это спам, то "заодно" уничтожится и нужное письмо). Возможно, также, что письмо потеряется провайдером по причине того, что почтовый размер ящика переполнен спамом.

Пустая трата времени:для фильтрации спама сотрудники компаний (и домашние пользователи) тратят свое рабочее (и личное) время, доля которого возрастает с возрастанием доли спама в корреспонденции. Если к тому же оплата услуг провайдера ведется по размеру трафика, то возникает и прямой материальный ущерб — оплата доставки заведомо ненужной принудительно навязываемой корреспонденции.

Риск стать жертвой мошенников(привлечение к финансовым аферам или пирамидам), появление в почте нежелательной информации (если, например, домашний компьютер и почта используется также и детьми) и прочие подобные крупные, средние и мелкие неприятности.

Последняя (третья) категория угроз — это глобальные сетевые атаки, возникающие в результате запланированных действий хакера или группы хакеров, или как результат неконтролируемого распространения сетевых вирусов-червей. Сетевые атаки в компьютерных сетях являются, к счастью, пока достаточно редким событием, на которое особого внимания не обращают ни большинство экспертов по компьютерной безопасности, ни компьютерное сообщество в целом. Однако данная угроза существует реально, она является отдельным классом сетевых угроз, и к ней следует относиться со всей серьезностью, поскольку "успешная" глобальная сетевая атака (т.е. отказ каналов и/или центральных сетевых серверов) — это наихудшее из того, что может произойти в современных компьютерных сетях, как в локальных, так и в глобальных. Сетевые атаки приводят к следующим последствиям:

Отказ клиентских и серверных компонентов сетей по причине перегрузки чрезмерным количеством запросов на обслуживание, т.е. запланированная или случайная DoS-атака (Denial of Service).

Заметное замедление работы локальных и глобальных сетей по причине перегрузки каналов, работа которых блокируется чрезмерным количеством передаваемых данных, т.е. "флудинг" (от flood) каналов передачи информации.

Заметный материальный ущерб в тех случаях, когда оплата услуг провайдера ведется по размеру передаваемого и/или принимаемого трафика.

Говоря о сетевых атаках здесь и ниже подразумевается сеть "Интернет", как самая большая, наиболее популярная и наименее безопасная сеть. Хотя, в теории, возможны сетевые атаки в любых сетях (например, автомобильная пробка — это типичная "флуд"-атака на автомобильные дороги).

почему — вирусы?

Поскольку вирусы не возникают сами по себе в результате электромагнитных коллизий, а создаются людьми, то для ответа на этот вопрос следует разобраться в психологии тех индивидуумов, которые создают "вредное" программное обеспечение, в обиходе именуемое "вирусами". Наиболее вероятными причинами, толкающими вирусо-писателей на создание и распространение вредоносного программного обеспечения являются следующие:

Обычное юношеское хулиганство, попытки самоутверждения на основе достигнутого интеллектуального уровня. Фактически подобное компьютерное хулиганство ничем не отличается от обычного уличного хулиганства, за исключением того, что "самоутверждение" происходит на разных аренах — либо в подворотне, либо в сети. И страдают от него разные люди — либо прохожие, либо сетевые соседи. А ущерб наносится либо стенам и витринам, либо программному обеспечению на зараженном компьютере.

Мошенничество с целью присвоения ресурсов жертвы: незаметное управление пораженным компьютером, воровство паролей доступа в Интернет, средств с "кошельков" WebMoney и даже кодов доступа к персональным банковским счетам (в том случае, если жертва использует данный сервис). В случае с атакой корпоративных сетей речь идет скорее уже о шпионаже: как правило, это проникновение в сеть с целью присвоения конфиденциальной информации, представляющей финансовую ценность.

Естественная "среда обитания" хулиганов и мошенников всех мастей подразумевает под собой гарантированную анонимность, поскольку ни те, ни другие не ставят перед собой задачу отвечать в будущем за свои действия. И современная сеть как нельзя лучше для этого приспособлена, к сожалению.

почему — спам?

Ответ на этот вопрос значительно проще. Спам — это бизнес. Спаммеры занимаются массовой рассылкой электронной рекламы с единственной целью — получение прибыли, поскольку, как это не печально, услуги спаммеров востребованы. Подобный метод маркетинга товаров и услуг, как оказалось, достаточно хорошо работает — очень небольшой (но все же не нулевой) процент получателей спама воспринимает его. В результате заказчик спама получает клиента, а спаммер получает дополнительные заказы на повторную рассылку спама — и круг "заказчик-спаммер-клиент" замыкается, что доказывает непобедимость спама в современных сетях при существующих правилах работы в сети.

Помимо описанной выше основной причины бурной деятельности спаммеров следует отметить несколько дополнительных явлений, "позитивно" на нее (бурную деятельность) влияющих:

- спам в большинстве стран легален или полулегален. Т.е. даже если спаммер выявлен, то привлечь его к ответственности или просто пресечь его деятельность юридически невозможно;

- технически спаммерские рассылки очень легко организовать;

- сеть позволяет спаммеру оставаться анонимным (как и в случае с вирусописателями). "Не пойман — не вор", а поди ты его еще поймай!

почему глобальные сетевые атаки?

Поскольку за всю историю компьютерных сетей было зафиксировано всего несколько глобальных сетевых атак, то говорить о каких-либо статистических исследованиях причин возникновения таких атак пока рано.

в "Lovesan" 1,8-секундная задержка между попытками заражения других компьютеров.

Основываясь на уже известных событиях, на знаниях о структуре современных сетей и на психологии хакеров и вирусописателей можно сделать вывод о том, что успешные глобальные сетевые атаки, безусловно, являются самым разрушительным явлением, которое может произойти в современных сетях.

И это, в свою очередь, привлечет внимание компьютерного общества и прессы. Таким образом, реализация "успешной" глобальной атаки является самым эффектным способом самоутверждения для кибер-хулиганов, не понимающих, что последствия их действия иначе как электронным терроризмом назвать нельзя.

С другой стороны, архитектура современных сетей и используемое программное обеспечение слишком уязвимы с точки зрения устойчивости против неконтролируемого размножения так называемых "флеш-вирусов" (сетевых червей, которые заражают компьютеры в сети и автоматически себя запускают на "свежезараженном" компьютере). Теоретически подобный червь за считанные минуты может вызвать глобальную эпидемию и заразить сотни тысяч компьютеров по всему миру (пример червя "SQL.Slammer" подтверждает эту теорию). В результате каналы передачи данных оказываются забитыми копиями червя и не в состоянии передавать любую другую информацию.

Все это позволяет нам предположить наличие как минимум двух причин для возникновения глобальных сетевых атак:

- подобные атаки являются самым эффектным способом самоутверждения для электронных хулиганов;

- современные сети никак не защищены от "сетевых пробок", вызванных неконтролируемым размножением особо плодовитых сетевых червей.

разнообразие поведений (типов)

На текущий момент вредные программы по поведению делятся на следующие типы:

\Однозначно "вредные" программы, само существование которых представляет реальную угрозу для функционирования компьютерных систем и данных, которые хранятся и обрабатываются на зараженном компьютере. К таким программам относятся:

- "настоящие" вирусы, заражающие исполняемые файлы различных операционных систем;

- вирусы-черви, распространяющие себя по сети от одного компьютера к другому;

 деструктивные троянские программы, целенаправленно уничтожающие или изменяющие содержимое различных файлов;

-троянцы-бекдоры (хакерские системы администрирования), предоставляющие хакеру практически полный контроль над компьютером-жертвой;

-троянцы-шпионы, следящие за действиями пользователя на компьютере (какие приложения запускаются, какой текст вводится при различных запросах этих приложений, и т.п.);

-троянцы-воры, отсылающие с зараженного компьютера различную информацию;

-пакеты, предназначенные для "взлома" атакуемых систем.

Нежелательные программы, которые непосредственной угрозы для компьютера не несут, однако либо использующие ресурсы компьютера в чужих интересах, либо раздражающие пользователя невостребованным "сервисом", либо совершающие подобные (достаточно безвредные, но нежелательные) действия:

-"порно-диалеры" (porno dialers), программы, настойчиво предлагающие пользователю посетить какой-либо платный порно-ресурс или автоматически соединяющие с ним;

-"кликеры" (clicker), накручивающие счетчики на различных веб-ресурсах;

-"адвертайзеры" (advertizer), прямо или косвенно рекламирующие различные товары или услуги;

-"злые шутки", сообщающие о каких-либо нежелательных для пользователя действиях (например, об успешном завершении форматирования диска).

"Рискованное" ПО, т.е. легальное программное обеспечение, разработанное в благих целях, но используемое хакерами в троянском режиме. Например, вполне легальная утилита удаленного администрирования становится полноценным бекдор-троянцем в том случае, если она визуально незаметна, снабжена инсталлятором, который прячет эту утилиту в каталогах Windows и скрывает ее в списке активных приложений — примерно как совершенно легальный кухонный нож для резки хлеба может оказаться инструментом совершения какого-либо злодеяния.

К данной категории "рискованного" ПО относятся:

- утилиты удаленного сетевого администрирования;

- различные серверы (FTP, proxy, и т.д.);

- IRC-клиенты и другое клиентское ПО;

- утилиты работы с сетевыми ресурсами.

тенденции и неутешительные выводы

Тенденции развития вредного ПО неутешительны. Количество различных стратегий поведения вредоносных программ будет расти в соответствии с ростом числа различных сервисов, предоставляемых современными глобальными сетями и приложениями; появление новых недостаточно безопасных операционных систем и достаточно сложных приложений (включая КПК, мобильные телефоны и компьютеризируемую бытовую технику) неизбежно повлечет за собой увеличение "мест обитания"; хакеры и вирусо-писатели безусловно будут разрабатывать и реализовывать новые "методы проникновения".Особо следует отметить возможность самых различных комбинаций "поведений", "мест обитания" и "методов проникновения" в отдельно взятом экземпляре вредного ПО — например, червь, использующий несколько методов проникновения (рассылающий себя по почте, копирующийся на сетевые ресурсы, атакующий какое-либо серверное ПО — как "Nimda"), или вирус, заражающий файлы разных операционных систем (например, "Pelf", заражающий выполняемые файлы Windows и Linux). При этом отдельные "вирусные" ветки в конкретном экземпляре могут иметь разные скорости распространения.

Таким образом, антивирусные компании и эксперты сталкиваются со следующими проблемами:

Непредсказуемость появления комбинаций известных "Поведений, Мест, Методов" и появления совершенно новых, поскольку количество теоретически возможных подобных вариаций просто превышает ресурсы антивирусных компаний, причем превышает значительно. Невозможно закрыть все уязвимые места, которые могут использоваться вирусами и троянскими программами в современных компьютерных системах. Таким образом, производители антивирусного ПО:

- должны иметь специалистов, которые разбираются во всех тонкостях всего существующего ПО или готовы быстро разобраться в требуемом;

- в связи с множественностью вероятных вариантов не могут предсказать конкретное место, время и характеристики следующего "вирусного удара"

Возможность появления новых "мгновенных" вирусов, заражающих глобальные сети за считанные минуты. В результате антивирусные компании оказываются просто не в состоянии обеспечить своевременную защиту от подобных вирусов, поскольку анализом новых вирусов и разработкой антивирусных процедур занимаются антивирусные эксперты (люди), а вирус распространяется со скоростью современных компьютерных сетей (машин).

угроз из опасной сети в сеть безопасную, со всеми вытекающими последствиями.

Система образования участников межсетевого общения. Начиная с детского "что такое хорошо, и что такое плохо", будущие пользователи сети должны усваивать элементы поведения в электронных сетях. Стоит прекратить поддержку существующего имиджа хакеров и вирусописателей, окруженных ореолом таинственности, и порицать их деятельность как антиобщественную.

Только таким или подобным образом современные и будущие глобальные компьютерные сети получат необходимую им жизнеспособность и анти-хакерский иммунитет. Отказ от реорганизации сети Интернет или ее отсрочка приведут в результате к потере этой сети. Глобальное информационное пространство Интернет превратится в пространство малоэффективное, анти-информационное и чересчур опасное.