Wirusy, robaki i trojany

Złośliwe oprogramowanie (malware) to każde oprogramowanie zaprojektowane w celu zakłócania działania systemów, uszkadzania ich, uzyskiwania nieautoryzowanego dostępu lub wyprowadzania z nich danych. Termin ten obejmuje wiele odrębnych kategorii, które różnią się sposobem rozprzestrzeniania, działaniem oraz technikami unikania wykrycia. Egzamin Security+ sprawdza umiejętność rozróżniania typów malware na podstawie ich mechanizmu propagacji (sposobu rozprzestrzeniania), ładunku (powodowanych szkód lub wykonywanych działań) oraz mechanizmu utrwalania (sposobu przetrwania ponownego uruchomienia). Trzy podstawowe kategorie to wirusy, robaki i konie trojańskie.

Wirus to malware, który dołącza się do legalnego pliku nosiciela i do rozprzestrzeniania wymaga działania człowieka (uruchomienia zainfekowanego pliku). Po uruchomieniu zainfekowanego pliku wirus replikuje się, wstrzykując swój kod do innych plików wykonywalnych, dokumentów lub sektorów rozruchowych. Typy wirusów obejmują wirusy infekujące pliki (dołączają się do plików .exe), wirusy makr (są osadzane w dokumentach pakietu Office i uruchamiane podczas wykonywania makr), wirusy sektora rozruchowego (infekują MBR i ładują się przed systemem operacyjnym) oraz wirusy polimorficzne (zmieniają sygnaturę kodu przy każdej infekcji, aby uniknąć wykrycia opartego na sygnaturach).

Robak to samoreplikujące się malware, które rozprzestrzenia się niezależnie w sieciach, bez pliku nosiciela i bez działania człowieka. Robaki wykorzystują luki w zabezpieczeniach sieci lub słabe dane uwierzytelniające, aby kopiować się do innych systemów. Robak SQL Slammer z 2003 roku zainfekował 75 000 systemów w ciągu 10 minut, wykorzystując pojedynczy pakiet UDP. Oprogramowanie ransomware WannaCry z 2017 roku rozprzestrzeniało się jak robak za pośrednictwem exploita EternalBlue, którego celem był SMBv1. Robaki powodują ogromne szkody przez przeciążanie sieci i dostarczanie ładunku na dużą skalę. Podstawowymi zabezpieczeniami są instalowanie poprawek i segmentacja sieci.

Koń trojański (lub Trojan) to malware zamaskowane jako legalne oprogramowanie. W przeciwieństwie do wirusów i robaków konie trojańskie nie replikują się samodzielnie — polegają na tym, że użytkownik zainstaluje je, sądząc, że są czymś przydatnym: darmową grą, złamaną wersją aplikacji, użytecznym narzędziem, fałszywym programem antywirusowym lub aktualizacją oprogramowania. Po zainstalowaniu Trojan wykonuje swój złośliwy ładunek, który może obejmować instalację backdoora, działanie jako RAT (Remote Access Trojan), rejestrowanie naciśnięć klawiszy lub pobieranie dodatkowego malware. Konie trojańskie są często używane do uzyskania początkowego dostępu przed wdrożeniem bardziej szkodliwych ładunków.

Egzamin Security+ często sprawdza różnice między tymi trzema kategoriami. Najważniejsze cechy rozróżniające są następujące: wirusy wymagają pliku nosiciela i działania człowieka, aby się rozprzestrzeniać; infekują legalne pliki. Robaki są samodzielne i samorozprzestrzeniające się — automatycznie rozprzestrzeniają się w sieciach, bez dołączania do innych plików i bez interakcji użytkownika. Konie trojańskie nie replikują się samodzielnie i polegają na oszustwie — użytkownik musi zostać nakłoniony do ich zainstalowania. Malware może łączyć różne cechy (na przykład robak, który dostarcza ładunek będący Trojanem), dlatego podczas klasyfikacji należy skupić się na dominującym mechanizmie propagacji.

Wiele koni trojańskich i robaków nawiązuje komunikację z serwerem Command-and-Control (C2) — zdalnym serwerem używanym przez atakującego do wydawania poleceń zainfekowanym hostom. Duża liczba hostów połączonych z C2 tworzy botnet. Botnety są wykorzystywane do ataków DDoS, kampanii spamowych, kopania kryptowalut i kradzieży danych uwierzytelniających. Komunikacja C2 może wykorzystywać HTTP/HTTPS, aby upodobnić się do zwykłego ruchu internetowego, tunelowanie DNS w celu ukrycia jej w zapytaniach DNS lub protokoły peer-to-peer, które nie mają centralnego serwera możliwego do wyłączenia. Wykrywanie ruchu C2 wymaga monitorowania DNS, analizy logów serwera proxy oraz analizy przepływów sieciowych pod kątem nietypowych wzorców sygnalizowania.

Tradycyjne programy antywirusowe opierają się na wykrywaniu opartym na sygnaturach — porównują pliki z bazą znanych sygnatur malware (skrótów lub wzorców kodu). Sygnatury działają szybko, ale zawodzą w przypadku nowego lub zmodyfikowanego malware. Wykrywanie behawioralne (stosowane przez platformy EDR) monitoruje zachowanie programów w czasie rzeczywistym: tworzenie procesów potomnych, modyfikowanie kluczy rejestru, wstrzykiwanie kodu do innych procesów lub nawiązywanie połączeń ze znanymi złośliwymi adresami IP. Analiza heurystyczna analizuje statycznie kod pod kątem wzorców charakterystycznych dla malware, bez konieczności dokładnego dopasowania sygnatury. Piaskownicowanie uruchamia podejrzane pliki w izolowanym środowisku, aby bezpiecznie obserwować ich działanie.

Wirus wielokategorialny wykorzystuje jednocześnie wiele wektorów infekcji — na przykład infekuje zarówno pliki wykonywalne, jak i sektor rozruchowy. Utrudnia to całkowite usunięcie wirusa, ponieważ oczyszczenie tylko jednego wektora pozostawia drugi aktywny i umożliwia ponowną infekcję. Wirusy makr infekują pliki dokumentów, osadzając w dokumentach pakietu Microsoft Office złośliwe makra VBA (Visual Basic for Applications). Po otwarciu dokumentu i włączeniu makr wirus zostaje uruchomiony. Wirusy makr łatwo rozprzestrzeniają się za pośrednictwem załączników wiadomości e-mail. Podstawowym zabezpieczeniem jest domyślne wyłączenie makr i zezwalanie wyłącznie na makra podpisane cyfrowo, pochodzące od zaufanych wydawców.

Zapobieganie rozprzestrzenianiu malware wymaga warstwowej ochrony. W przypadku wirusów: należy wyłączyć wykonywanie makr, skanować wszystkie transfery plików (bramę pocztową, serwer proxy sieci Web i nośniki USB) oraz zapewnić aktualność ochrony punktów końcowych. W przypadku robaków: należy niezwłocznie instalować poprawki (większość exploitów robaków wykorzystuje znane CVE), wyłączyć niepotrzebne protokoły sieciowe (wyłączyć SMBv1), segmentować sieci, aby ograniczyć zasięg przemieszczania się atakującego, oraz wymuszać silne uwierzytelnianie we wszystkich usługach sieciowych. W przypadku koni trojańskich: należy wymuszać stosowanie list dozwolonych aplikacji, uświadamiać użytkowników, aby nie instalowali nieautoryzowanego oprogramowania, oraz weryfikować skróty oprogramowania przed instalacją. Obrona warstwowa wykrywa to, czego nie wychwyci pojedyncza kontrola.

Ataki drive-by download mają miejsce, gdy odwiedzenie złośliwej lub przejętej witryny prowadzi do cichej instalacji malware bez żadnego działania użytkownika poza załadowaniem strony. Atakujący wykorzystują luki w przeglądarkach lub wtyczkach (stare wersje Flash, Java lub czytnika PDF) do wykonania złośliwego kodu. Ataki watering hole polegają na przejęciu legalnych witryn, które często odwiedza określona grupa docelowa, i umieszczeniu w nich kodu drive-by download w celu zainfekowania odwiedzających. Zamiast atakować cel bezpośrednio, atakujący „zatruwa wodopój” i czeka, aż ofiary same do niego przyjdą. Zabezpieczenia obejmują aktualizowanie przeglądarek i wtyczek, stosowanie funkcji click-to-play dla wtyczek oraz wdrożenie serwera proxy sieci Web blokującego znane złośliwe witryny.

Po wykryciu malware reakcja przebiega zgodnie z cyklem życia NIST IR. Powstrzymanie: należy natychmiast odizolować zainfekowany host (odłączyć go od sieci lub zastosować reguły zapory hosta), aby zatrzymać rozprzestrzenianie. Usunięcie: w przypadku poważnych infekcji bezpieczniejsze jest ponowne utworzenie obrazu systemu niż próba oczyszczenia; oczyszczanie stwarza ryzyko przetrwania mechanizmów utrwalania. Zachowanie dowodów: jeśli wymagane jest badanie informatyki śledczej, przed ponownym utworzeniem obrazu należy wykonać obraz pamięci i dysku. Odtworzenie: należy przywrócić dane z czystych kopii zapasowych, zweryfikować ich integralność i uważnie monitorować system pod kątem oznak ponownej infekcji. Należy dokumentować wskaźniki naruszenia (IoC), aby usprawnić przyszłe wykrywanie.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: wirusy dołączają się do plików nosicieli i wymagają działania użytkownika, aby się rozprzestrzeniać, wykorzystując techniki takie jak polimorfizm w celu uniknięcia wykrycia opartego na sygnaturach; robaki samodzielnie rozprzestrzeniają się w sieciach bez działania użytkownika, wykorzystując luki w zabezpieczeniach i powodując szybkie infekcje na dużą skalę; natomiast konie trojańskie są zamaskowane jako legalne oprogramowanie, aby nakłonić użytkowników do ich instalacji, często ustanawiając backdoory i komunikację C2. W następnej części szczegółowo omówimy ransomware i cryptolockery.