Złośliwe oprogramowanie: wirusy, robaki, trojany, ransomware

Malware (złośliwe oprogramowanie) to każde oprogramowanie celowo zaprojektowane w celu powodowania szkód, uzyskiwania nieautoryzowanego dostępu lub zakłócania działania systemów. Jest podstawowym narzędziem cyberprzestępców i aktorów państwowych.

Wirus to złośliwe oprogramowanie, które dołącza się do legalnych programów lub plików. Do rozprzestrzeniania wymaga działania użytkownika, takiego jak otwarcie zainfekowanego pliku. Po uruchomieniu replikuje się i może uszkadzać pliki, wykradać dane lub otwierać tylne wejścia.

Robak to samoreplikujące się złośliwe oprogramowanie, które rozprzestrzenia się w sieciach bez udziału użytkownika. Wykorzystuje luki w usługach sieciowych. Znane przykłady: WannaCry (SMB), Conficker, Morris Worm.

Trojan podszywa się pod legalne oprogramowanie. W przeciwieństwie do wirusów nie replikuje się samodzielnie — polega na tym, że użytkownik go zainstaluje. Po zainstalowaniu może tworzyć tylne wejścia, wykradać dane lub pobierać dodatkowe złośliwe oprogramowanie (droppery).

Ransomware szyfruje pliki ofiary i żąda zapłaty za klucz deszyfrujący. Współcześni operatorzy ransomware przed zaszyfrowaniem często również wykradają dane (podwójne wymuszenie) i grożą ich opublikowaniem, jeśli okup nie zostanie zapłacony.

Przykłady: LockBit, REvil, Conti, WannaCry.

Spyware potajemnie monitoruje aktywność użytkownika — naciśnięcia klawiszy, zrzuty ekranu i historię przeglądania — a następnie przesyła te informacje atakującemu. Adware wyświetla niechciane reklamy i często jest dołączane do bezpłatnego oprogramowania. Oba rodzaje mogą występować wraz z innymi typami złośliwego oprogramowania.

Rootkit ukrywa swoją obecność oraz obecność innego złośliwego oprogramowania, modyfikując jądro systemu operacyjnego lub program rozruchowy. Rootkity są niezwykle trudne do wykrycia, ponieważ podważają działanie narzędzi używanych do ich wykrywania. Wykrycie często wymaga skanowania w trybie offline.

Botnet to sieć zainfekowanych maszyn (botów) zdalnie kontrolowanych przez atakującego (operatora botnetu). Boty są wykorzystywane do ataków DDoS, kampanii spamowych, ataków credential stuffing i wydobywania kryptowalut. Ofiary często nie wiedzą, że ich urządzenie zostało przejęte.

Złośliwe oprogramowanie bezplikowe działa całkowicie w pamięci (RAM), nie zapisując plików na dysku, dzięki czemu omija tradycyjne programy antywirusowe oparte na skanowaniu plików. Często wykorzystuje legalne narzędzia systemowe, takie jak PowerShell lub WMI. Wykrycie wymaga analizy pamięci i monitorowania zachowania.

Typowe wektory infekcji:

• Załączniki w wiadomościach phishingowych
• Złośliwe pliki pobierane z internetu
• Automatyczne pobieranie za pośrednictwem przejętych witryn
• Pozostawione nośniki USB na parkingach
• Wykorzystywanie niezałatanych luk w oprogramowaniu

Warstwy ochrony:

• EDR — wykrywanie zagrożeń na podstawie zachowania i reagowanie
• Filtrowanie poczty e-mail — uruchamianie załączników w piaskownicy przed ich dostarczeniem
• Zarządzanie poprawkami — zamykanie możliwości wykorzystania luk
• Zasada najmniejszych uprawnień — ograniczanie zakresu szkód powodowanych przez złośliwe oprogramowanie
• Kopie zapasowe — kopie offline umożliwiające odtworzenie danych po ataku ransomware

Jaki rodzaj złośliwego oprogramowania automatycznie rozprzestrzenia się w sieciach bez udziału użytkownika?

Kategorie złośliwego oprogramowania obejmują wirusy (wymagają działania użytkownika), robaki (rozprzestrzeniają się samodzielnie), trojany (podszywają się pod legalne oprogramowanie), ransomware (szyfruje pliki w zamian za okup), rootkity (ukrywają się w systemie operacyjnym) oraz złośliwe oprogramowanie bezplikowe (rezyduje w pamięci). Ochrona wymaga zastosowania warstwowych zabezpieczeń: EDR, filtrowania poczty e-mail, instalowania poprawek, zasady najmniejszych uprawnień i kopii zapasowych.