Virus, ormer og trojanere

Skadevare (malicious software) er all programvare som er utviklet for å forstyrre, skade eller skaffe uautorisert tilgang til systemer, eller for å hente ut data fra dem. Begrepet omfatter mange ulike kategorier som skiller seg fra hverandre når det gjelder hvordan de sprer seg, hva de gjør, og hvilke deteksjonsteknikker de unngår. Security+ tester evnen Deres til å skille mellom skadevaretyper basert på deres spredningsmekanisme (hvordan de sprer seg), nyttelast (hvilken skade eller handling de utfører) og persistensmekanisme (hvordan de overlever omstarter). De tre grunnleggende kategoriene er virus, ormer og trojanere.

Et virus er skadevare som fester seg til en legitim vertsfil og krever en menneskelig handling (at den infiserte filen kjøres) for å spre seg. Når den infiserte filen kjører, replikerer viruset seg ved å injisere koden sin i andre kjørbare filer, dokumenter eller oppstartssektorer. Virustyper omfatter filinfektorer (som fester seg til .exe-filer), makrovirus (som bygges inn i Office-dokumenter og kjører når makroer kjøres), oppstartssektorvirus (som infiserer MBR og lastes inn før operativsystemet) og polymorfe virus (som endrer kodesignaturen sin ved hver infeksjon for å unngå signaturbasert deteksjon).

En orm er selvreplikerende skadevare som sprer seg uavhengig på tvers av nettverk uten å kreve en vertsfil eller menneskelig handling. Ormer utnytter nettverkssårbarheter eller svake påloggingsopplysninger for å kopiere seg selv til andre systemer. Ormen SQL Slammer infiserte 75 000 systemer på 10 minutter i 2003 ved hjelp av én enkelt UDP-pakke. Løsepengeormen WannaCry spredte seg i 2017 som en orm via EternalBlue-utnyttelsen, som var rettet mot SMBv1. Ormer forårsaker omfattende skade gjennom overbelastning av nettverk og levering av nyttelast i stor skala. Oppdatering og nettverkssegmentering er de viktigste forsvarstiltakene.

En trojansk hest (eller trojaner) er skadevare som er forkledd som legitim programvare. I motsetning til virus og ormer replikerer ikke trojanere seg selv – de er avhengige av at brukeren installerer dem i den tro at de er noe nyttig: et gratis spill, en piratkopiert applikasjon, et nyttig verktøy, et falskt antivirusprogram eller en programvareoppdatering. Når trojaneren er installert, kjører den den skadelige nyttelasten sin, som kan omfatte installasjon av en bakdør, fungere som en RAT (Remote Access Trojan), loggføre tastetrykk eller laste ned ytterligere skadevare. Trojanere brukes ofte til å etablere innledende tilgang før mer skadelige nyttelaster distribueres.

Security+-eksamenen tester ofte forskjellene mellom disse tre kategoriene. De viktigste kjennetegnene er følgende: Virus krever en vertsfil og menneskelig handling for å spre seg, og de infiserer legitime filer. Ormer er selvstendige og selvspredende – de sprer seg automatisk over nettverk uten å feste seg til andre filer eller kreve brukerinteraksjon. Trojanere replikerer ikke seg selv og er avhengige av bedrag – brukeren må lures til å installere dem. Et stykke skadevare kan kombinere flere egenskaper (for eksempel en orm som slipper en trojansk nyttelast), så fokuser på den dominerende spredningsmekanismen ved klassifisering.

Mange trojanere og ormer oppretter kommunikasjon med en kommando- og kontrollserver (C2-server) – en ekstern server som angriperen bruker til å sende instruksjoner til infiserte verter. Et stort antall verter som er koblet til C2, danner et botnett. Botnett brukes til DDoS-angrep, spamkampanjer, kryptovalutautvinning og tyveri av påloggingsopplysninger. C2-kommunikasjon kan bruke HTTP/HTTPS for å ligne på vanlig webtrafikk, DNS-tunnellering for å skjule seg i DNS-spørringer eller node-til-node-protokoller uten en sentral server som kan tas ned. Deteksjon av C2-trafikk krever DNS-overvåking, proxylogger og analyse av nettverksflyt for unormale beaconing-mønstre.

Tradisjonelle antivirusprogrammer er avhengige av signaturbasert deteksjon – filer sammenlignes med en database over kjente skadevaresignaturer (hashverdier eller kodemønstre). Signaturer er raske, men fungerer ikke mot ny eller endret skadevare. Atferdsbasert deteksjon (som brukes av EDR-plattformer) overvåker programatferd i sanntid: opprettelse av underordnede prosesser, endring av registernøkler, kodeinjisering i andre prosesser eller kontakt med IP-adresser som er kjent for å være skadelige. Heuristisk analyse analyserer kode statisk for mønstre som ligner skadevare, uten å kreve et nøyaktig signaturtreff. Sandkassekjøring kjører mistenkelige filer i et isolert miljø for å observere atferden på en trygg måte.

Et multipartite-virus bruker flere infeksjonsvektorer samtidig – for eksempel ved å infisere både kjørbare filer og oppstartssektoren. Dette gjør fullstendig fjerning vanskeligere, siden rensing av bare én vektor lar den andre forbli aktiv og forårsake ny infeksjon. Makrovirus infiserer dokumentfiler ved å bygge inn skadelige VBA-makroer (Visual Basic for Applications) i Microsoft Office-dokumenter. Når dokumentet åpnes og makroer er aktivert, kjører viruset. Makrovirus sprer seg lett via e-postvedlegg. Det viktigste forsvarstiltaket er å deaktivere makroer som standard og bare tillate digitalt signerte makroer fra pålitelige utgivere.

Å hindre spredning av skadevare krever lagdelte forsvarsmekanismer. For virus: deaktiver kjøring av makroer, skann alle filoverføringer (e-postgateway, webproxy og USB-skanning), og hold endepunktbeskyttelsen oppdatert. For ormer: installer oppdateringer raskt (de fleste ormutnyttelser retter seg mot kjente CVE-er), deaktiver unødvendige nettverksprotokoller (deaktiver SMBv1), segmenter nettverkene for å begrense spredning sideveis, og håndhev sterk autentisering på alle nettverkstilkoblede tjenester. For trojanere: håndhev tillatelseslister for applikasjoner, lær brukerne å ikke installere uautorisert programvare, og kontroller programvarehashverdier før installasjon. Forsvar i dybden fanger opp det hver enkelt kontroll ikke oppdager.

Drive-by-nedlastinger oppstår når et besøk på et skadelig eller kompromittert nettsted installerer skadevare i bakgrunnen, uten annen brukerhandling enn at siden lastes inn. Angripere utnytter sårbarheter i nettlesere eller programtillegg (gammel Flash, Java eller PDF-leser) for å kjøre skadelig kode. Vannhullangrep innebærer at legitime nettsteder som målgruppen ofte besøker, kompromitteres, og at kode for drive-by-nedlasting legges inn for å infisere besøkende. I stedet for å angripe målet direkte «forgifter» angriperen vannhullet og venter på at ofrene skal oppsøke det. Forsvarstiltak omfatter å holde nettlesere og programtillegg oppdatert, bruke klikk-for-å-spille for programtillegg og ta i bruk en webproxy som blokkerer kjente skadelige nettsteder.

Når skadevare oppdages, følger håndteringen NISTs livssyklus for hendelsesrespons. Begrensning: isoler den infiserte verten umiddelbart (fjern den fra nettverket eller bruk vertsbaserte brannmurregler) for å stanse spredningen. Utryddelse: ny avbildning av systemet er tryggere enn å forsøke å rense det ved alvorlige infeksjoner; rensing innebærer en risiko for at persistensmekanismer overlever. Bevaring av bevis: ta et minneavbildning og et diskavbildning før systemet avbildes på nytt dersom det er behov for kriminalteknisk analyse. Gjenoppretting: gjenopprett fra rene sikkerhetskopier, kontroller integriteten og overvåk nøye etter tegn på ny infeksjon. Dokumenter kompromitteringsindikatorer (IoC-er) for å forbedre fremtidig deteksjon.

I denne leksjonen har De lært at virus fester seg til verts- filer og krever brukerhandling for å spre seg, og bruker teknikker som polymorfisme for å unngå signaturbasert deteksjon, at ormer sprer seg selv på tvers av nettverk uten brukerhandling ved å utnytte sårbarheter, noe som fører til rask infeksjon i stor skala, og at trojanere er forkledd som legitim programvare for å lure brukere til å installere dem, og ofte etablerer bakdører og C2-kommunikasjon. Neste tema er løsepengevirus og kryptolåsere.