Вредоносные программы: вирусы, черви, трояны и программы-вымогатели

Вредоносное ПО — это любое программное обеспечение, намеренно созданное для причинения ущерба, получения несанкционированного доступа или нарушения работы систем. Это основной инструмент киберпреступников и государственных хакерских групп.

Вирус — это вредоносное ПО, которое прикрепляется к легитимным программам или файлам. Для распространения ему требуются действия пользователя (открытие заражённого файла). После запуска вирус размножается и может повреждать файлы, красть данные или открывать потайные входы в систему.

Червь — это самовоспроизводящееся вредоносное ПО, которое распространяется по сетям без участия пользователя. Он использует уязвимости сетевых служб. Известные примеры: WannaCry (SMB), Conficker, червь Морриса.

Троянская программа маскируется под легитимное программное обеспечение. В отличие от вирусов, она не размножается самостоятельно — для её установки требуется пользователь. После установки она может создавать потайные входы в систему, красть данные или загружать дополнительное вредоносное ПО (загрузчики).

Программа-вымогатель шифрует файлы жертвы и требует плату за ключ расшифровки. Современные операторы программ-вымогателей также извлекают данные перед шифрованием (двойное вымогательство) и угрожают опубликовать их, если выкуп не будет выплачен.

Примеры: LockBit, REvil, Conti, WannaCry.

Шпионское ПО тайно отслеживает действия пользователя — нажатия клавиш, снимки экрана, историю просмотра — и передаёт их злоумышленнику. Рекламное ПО показывает нежелательную рекламу, часто устанавливаясь вместе с бесплатным программным обеспечением. Оба типа могут сочетаться с другими видами вредоносного ПО.

Руткит скрывает своё присутствие и присутствие другого вредоносного ПО, изменяя ядро операционной системы или загрузчик. Руткиты крайне сложно обнаружить, поскольку они подрывают работу самих инструментов, предназначенных для их поиска. Для обнаружения часто требуется автономное сканирование.

Ботнет — это сеть заражённых машин (ботов), которыми удалённо управляет злоумышленник (оператор ботнета). Боты используются для DDoS-атак, спам-кампаний, подстановки учётных данных и майнинга криптовалюты. Жертвы часто не знают, что их устройство скомпрометировано.

Безфайловое вредоносное ПО целиком находится в памяти (RAM) и не записывает файлы на диск, что позволяет обходить традиционные антивирусы, основанные на проверке файлов. Оно часто использует легитимные системные инструменты, такие как PowerShell или WMI. Для обнаружения требуются анализ памяти и мониторинг поведения.

Распространённые векторы заражения:

• Вложения в фишинговых письмах
• Вредоносные загрузки из интернета
• Загрузка при посещении скомпрометированных веб-сайтов
• Оставленные в общественных местах USB-носители
• Использование уязвимостей не обновлённого программного обеспечения

Уровни защиты:

• EDR — обнаружение угроз и реагирование на основе анализа поведения
• Фильтрация электронной почты — проверка вложений в изолированной среде до доставки
• Управление обновлениями — устранение возможностей для эксплуатации уязвимостей
• Минимальные привилегии — ограничение области воздействия вредоносного ПО
• Резервные копии — автономные копии для восстановления после атаки программ-вымогателя

Какой тип вредоносного ПО автоматически распространяется по сетям без какого-либо участия пользователя?

К категориям вредоносного ПО относятся вирусы (требуют действий пользователя), черви (самостоятельно распространяются), трояны (замаскированное ПО), программы-вымогатели (шифруют файлы с целью вымогательства), руткиты (скрываются в ОС) и безфайловое вредоносное ПО (находится в памяти). Защита требует многоуровневых мер: EDR, фильтрации электронной почты, установки обновлений, минимальных привилегий и резервного копирования.