No Image

Сетевые черви это вредоносные программы которые

СОДЕРЖАНИЕ
946 просмотров
10 марта 2020

Сетевой червь — разновидность вредоносной программы, самостоятельно распространяющейся через локальные и глобальные (Интернет) компьютерные сети.

Содержание

История [ править | править код ]

Ранние эксперименты по использованию компьютерных червей в распределённых вычислениях были проведены в исследовательском центре Xerox в Пало-Альто Джоном Шочем (John Shoch) и Йоном Хуппом (Jon Hupp) в 1978 году. Термин «червь» возник под влиянием научно-фантастических романов «Когда ХАРЛИ исполнился год» Дэвида Герролда (1972), в котором были описаны червеподобные программы, и «На ударной волне» ( англ. ) Джона Браннера (1975), где вводится сам термин.

Одним из наиболее известных компьютерных червей является «Червь Морриса», написанный в 1988 г. Робертом Моррисом-младшим, который был в то время студентом Корнеллского Университета. Распространение червя началось 2 ноября, после чего червь быстро заразил примерно 6200 компьютеров (это около 10 % всех компьютеров, подключённых в то время к Интернету).

Механизмы распространения [ править | править код ]

Все механизмы («векторы атаки») распространения червей делятся на две большие группы:

  • Использование уязвимостей и ошибок администрирования в программном обеспечении, установленном на компьютере. Червь Морриса использовал известные на тот момент уязвимости в программном обеспечении, а именно в почтовом сервере sendmail, сервисе finger и подбирал пароль по словарю. Такие черви способны распространяться автономно, выбирая и атакуя компьютеры в полностью автоматическом режиме.
  • Используя средства так называемой социальной инженерии, провоцируется запуск вредоносной программы самим пользователем. Чтобы убедить пользователя в том, что файл безопасен, могут подключаться недостатки пользовательского интерфейса программы — например, червь VBS.LoveLetter использовал тот факт, что Outlook Express скрывает расширения файлов. Данный метод широко применяется в спам-рассылках, социальных сетях и т. д.

Иногда встречаются черви с целым набором различных векторов распространения, стратегий выбора жертвы, и даже эксплойтов под различные операционные системы.

Скорость распространения [ править | править код ]

Скорость распространения сетевого червя зависит от многих факторов: от топологии сети, алгоритма поиска уязвимых компьютеров, средней скорости создания новых копий.

Для сетевых червей, распространяющихся по сети путём непосредственного использования протоколов TCP/IP, то есть, с любого IP-адреса на любой другой, характерно стремительное распространение. При условии, что каждый экземпляр червя достоверно знает адрес ранее незараженного узла сети, возможно экспоненциальное размножение. Например, если каждый экземпляр заражает один компьютер в секунду, все адресное пространство IPv4 будет заполнено червем за полминуты. Гипотетический червь, который был бы способен распространяться с такой скоростью, получил наименование «блицкриг-червя». Исследователем Н.Уивером из университета Беркли рассмотрены несложные субоптимальные алгоритмы, которые могли бы позволить червю, размножаясь несколько медленнее, тем не менее заразить Интернет за 15 минут. Червь такого типа получил наименование «червь Уорхола» — в честь Энди Уорхола, автора изречения:

В будущем каждый получит шанс на 15 минут славы

Эпидемия червя SQL Slammer, заразившего в 2003 г. более 75000 серверов за 10 минут, была близка к этой модели распространения.

Тем не менее, подавляющее большинство червей используют гораздо менее эффективные алгоритмы. Экземпляры типичного червя ищут уязвимые узлы сети методом проб и ошибок — случайным образом. В этих условиях кривая его размножения соответствует решению дифференциального уравнения Ферхюльста и приобретает «сигмовидный» характер. Корректность такой модели была подтверждена в 2001 году во время эпидемии червя CodeRed II. За 28 часов червь заразил около 350000 узлов сети, причем в последние часы скорость его распространения была довольно мала — червь постоянно «натыкался» на ранее уже зараженные узлы.

В условиях активного противодействия со стороны антивирусов, удаляющих экземпляры червя и вакцинирующих систему (то есть делающих её неуязвимой), кривая эпидемии должна соответствовать решению системы уравнений Кермака-Маккендрика с острым, почти экспоненциальным началом, достижением экстремума и плавным спадом, который может продолжаться неделями. Такая картина, действительно, наблюдается в реальности для большинства эпидемий.

Вид кривых размножения для червей, использующих почтовые протоколы (SMTP), выглядит примерно так же, но общая скорость их распространения на несколько порядков ниже. Связано это с тем, что «почтовый» червь не может напрямую обратиться к любому другому узлу сети, а только к тому, почтовый адрес которого присутствует на зараженной машине (например, в адресной книге почтового клиента Outlook Express). Продолжительность «почтовых» эпидемий может достигать нескольких месяцев.

Структура [ править | править код ]

Черви могут состоять из различных частей.

Часто выделяют так называемые резидентные черви, которые могут инфицировать работающую программу и находиться в ОЗУ, при этом не затрагивая жёсткие диски. От таких червей можно избавиться перезапуском компьютера (и, соответственно, сбросом ОЗУ). Такие черви состоят в основном из «инфекционной» части: эксплойта (шелл-кода) и небольшой полезной нагрузки (самого тела червя), которая размещается целиком в ОЗУ. Специфика таких червей заключается в том, что они не загружаются через загрузчик, как все обычные исполняемые файлы, а значит, могут рассчитывать только на те динамические библиотеки, которые уже были загружены в память другими программами.

Читайте также:  Услуги доступа к сети интернет мгтс

Также существуют черви, которые после успешного инфицирования памяти сохраняют код на жёстком диске и принимают меры для последующего запуска этого кода (например, путём прописывания соответствующих ключей в реестре Windows). От таких червей можно избавиться только при помощи антивирусного программного обеспечения или подобных инструментов. Зачастую инфекционная часть таких червей (эксплойт, шелл-код) содержит небольшую полезную нагрузку, которая загружается в ОЗУ и может «догрузить» по сети непосредственно само тело червя в виде отдельного файла. Для этого некоторые черви могут содержать в инфекционной части простой TFTP-клиент. Загружаемое таким способом тело червя (обычно отдельный исполняемый файл) теперь отвечает за дальнейшее сканирование и распространение уже с инфицированной системы по локальной сети, а также может содержать более серьёзную, полноценную полезную нагрузку, целью которой может быть, например, нанесение какого-либо вреда (к примеру, DoS-атаки).

Большинство почтовых червей распространяются как один файл. Им не нужна отдельная «инфекционная» часть, так как обычно пользователь-жертва при помощи почтового клиента или Интернет-браузера добровольно скачивает и запускает червя целиком.

Полезная нагрузка (Payload) [ править | править код ]

Зачастую черви даже безо всякой полезной нагрузки перегружают и временно выводят из строя сети только за счёт интенсивного распространения. Типичная осмысленная полезная нагрузка может заключаться в порче файлов на компьютере-жертве (в том числе, изменение веб-страниц, так называемый «deface»), также из зараженных компьютеров возможна организация ботнета для проведения сетевых атак, рассылки спама или (с недавнего времени) майнинга криптовалют.

Способы защиты [ править | править код ]

По причине того, что сетевые черви для своего проникновения в систему пользователя используют уязвимости в стороннем программном обеспечении или операционной системе, использования сигнатурных антивирусных мониторов недостаточно для защиты от червей. Также, при использовании методов социальной инженерии пользователя под благовидным предлогом вынуждают запустить вредоносную программу, даже несмотря на предупреждение со стороны антивирусного программного обеспечения. Таким образом, для комплексного обеспечения защиты от современных червей, и любых других вредоносных программ, необходимо использование проактивной защиты. Рассматривается также способ защиты от сетевых червей на основе «кредитов доверия» [1] . Ряд преимуществ дает применение межсетевых экранов и подобных им утилит (например, Windows Worms Doors Cleaner)

Сетевые черви (Network worms) – это тип вредоносных программ, который способны распространяться по локальной сети и Интернету, создавая своих копий. В отличие от файловых вирусов сетевые черви способны использовать для распространения сетевые протоколы и сетевые устройства.

Задача вредоноса состоит в попадании в компьютер, активации и размножении на компьютерные устройства других пользователей. По функционалу сетевые черви бывают обычными и пакетными. Обычные зловреды, оказываясь в системе через флеш-накопитель или Интернет, создают в большом количестве свои копии, находят в ПК все электронные адреса и рассылают по ним дубли. Пакетные черви или бесфайловые, внедрившись в устройство особым пакетом, стремятся проникнуть в его оперативную память с целью сбора персональных данных, ценной информации.

Классификация и способы

Основной признак различия между сетевыми червями – это способ, каким зловреды распространяются на удаленные компьютеры. Выделяют две группы механизмов распространения. К первой группе относятся способы, использующие ошибки администрирования и уязвимости в ПО. Вредоносы в автоматическом режиме выбирают компьютерные машины и атакуют их.

  • Репликация на сетевые ресурсы. Червь находит удаленные ПК, повторяет себя в разных каталогах, в которых можно осуществлять запись. Поиск каталогов выполняется с помощью функций операционной системы. Возможно попадание в любой ноутбук или персональный компьютер, выбранный в Интернете, и попытки открытия дисков на полноценный доступ.
  • Репликация через уязвимость операционной системы, программ и приложений. Черви ищут машины с уязвимым ПО, отправляют запрос/сетевой пакет, обеспечивая попадание кода в машину жертвы.
  • Репликация в ресурсы общего пользования. Червь попадает на сервер, изменяет файлы и ожидает, пока пользователь их скачает и запустил уже на своем компьютере.
  • Паразитирование на других вредоносах. Если черви находят для атаки ПК с другим вредоносом, например, бэкдором, то они используют его для собственного распространения.
  • Вторую группу механизмов распространения составляет социальная инженерия. В результате пользователь сам запускает вредонос. Представителями этой группы являются:
  • Почтовые черви – Email-Worm – расходятся по сети в виде приложений к сообщениям электронной почты. Это может быть копия вредителя или ссылка на файл, размещенный на хакерском веб-ресурсе. Для активации полученного кода достаточно открытия полученного файла, а при получении ссылки – нажатие на нее для перехода. Адреса, куда будут отправлены письма с копиями червя, берутся из адресной книги, из адресной базы WAB, из разных файлов, имеющихся на диске и содержащих адреса.
  • IM-черви – IM-Worm – это вредоносы, пользующиеся интернет-мессенджеры. Они имеют один способ распространения, который заключается в рассылке сообщений по всему списку контактов мессенджера. Письма содержат зараженный URL на файл, размещенный на каком-либо сайте. Это способ распространения полностью похож на предыдущий – Email-Worm.
  • Зловреды в IRC-каналах – IRC-Worm – это черви, распространяющиеся по IRC-каналам двумя способами. Они такие же, как и у почтовых вредоносов – рассылка писем с инфицированным вложением, со ссылкой на дубликат.
  • Черви для файлообмеников – Р2Р-Worm – это вредоносные программы, которые распространяются вместе со скачиваемыми файлами из торрент-треккеров и других файлообменников. Механизм распространения состоит во внедрении копии в каталог обмена файлами, находящийся на локальном устройстве. Дальше зловред выкладывает свою копию в сеть Р2Р под видом популярного контента, сообщая пользователям о файле и предоставляя возможность скачать его с зараженной машины.
  • Сетевые черви (Network worms) – Net-Worm – иные вредоносы, проникающие в системы через локальные сети.
Читайте также:  Шим регулятор на транзисторах

Объект воздействия

Объектом воздействия сетевых червей являются ПК, ноутбуки, планшеты любых пользователей. Так как целью вредоноса является частичный перехват управления удаленной машиной, создание копий самого себя и распространение на другие устройства по любой сети, то последствия попадания червя могут быть следующими:

  • Замедленная работа компьютера
  • Уменьшение места на жестком диске, объема свободной оперативной памяти
  • Возникновение посторонних файлов
  • Проблемы с работой какой-либо программы или приложения
  • Появление ошибок, внезапное выключение машины, самопроизвольная перезагрузка
  • Потеря данных

В 2003 году червь SQL Slammer, рассылая множество сетевых пакетов, остановил работу десятков тысяч серверов в разных странах мира. Сегодня этот зловред активировал свою деятельность. О том, какая опасность подстерегает пользователей, можно узнать из статьи на сайте https://www.anti-malware.ru/news/2017-02-06/22099.

Источник угрозы

Источником распространения сетевых червей являются хакеры. Они создают вредоносов для разных целей, например, для нанесения вреда компьютерным машинам конкретных людей или организаций, для получения возможности рассылать спам с зараженной техники, получить управление удаленным компьютером.

Анализ риска

Для защиты машин от сетевых червей необходимо использовать:

  • антивирусные программы;
  • межсетевые экраны.
  • антиспам;
  • обновленные и современные операционные системы.

Черви

В отличие от вирусов черви – это вполне самостоятельные программы. Главной их особенностью также является способность к саморазмножению, однако при этом они способны к самостоятельному распространению с использованием сетевых каналов. Для подчеркивания этого свойства иногда используют термин " сетевой червь ".

Жизненный цикл червей состоит из таких стадий:

  1. Проникновение в систему
  2. Активация
  3. Поиск объектов для заражения
  4. Подготовка копий
  5. Распространение копий

В зависимости от способа проникновения в систему черви делятся на типы:

  • Сетевые черви используют для распространения локальные сети и Интернет
  • Почтовые черви – распространяются с помощью почтовых программ
  • IM-черви используют системы мгновенного обмена сообщениями 2 IM (от англ. Instant Messenger – мгновенный обмен сообщениями) – программы обмена сообщениями через Интернет в режиме реального времени. Сообщения могут содержать наряду с текстом картинки, звуковые файлы, видео. К IM-клиентам относятся такие программы как ICQ, MSN Messenger, Skype
  • IRC-черви распространяются по каналам IRC 3 IRC (от англ. Internet Relay Chat – ретранслируемый интернет-чат) – система обмена сообщениями в режиме реального времени. Создана в 1988 году финским студентом Ярко Ойкариненом (Jarkko Oikarinen). На сегодняшний день самый популярный IRC-клиент – это mIRC
  • P2P-черви – при помощи пиринговых файлообменных сетей 4 P2P (от англ. peer-to-peer – равный с равным) – это одноранговые (их иногда называют также пиринговыми) компьютерные сети, то есть такие, где отсутствуют выделенные сервера, а все входящие в нее компьютеры выступают в двух ролях – и клиентом, и сервером. Такие сети в основном используются для организации обмена файлами, обычно музыкой и фильмами, а также для решения особо сложных математических задач, требующих много ресурсов. Наиболее известные пиринговые сети – это eDonkey и Gnutella

После проникновения на компьютер , червь должен активироваться – иными словами запуститься. По методу активации все черви можно разделить на две большие группы – на тех, которые требуют активного участия пользователя и тех, кто его не требует. На практике это означает, что бывают черви, которым необходимо, чтобы владелец компьютера обратил на них внимание и запустил зараженный файл , но встречаются и такие, которые делают это сами, например, используя ошибки в настройке или бреши в системе безопасности операционной системы. Отличительная особенность червей из первой группы – это использование обманных методов. Это проявляется, например, когда получатель инфицированного файла вводится в заблуждение текстом письма и добровольно открывает вложение с почтовым червем, тем самым его активируя. В последнее время наметилась тенденция к совмещению этих двух технологий – такие черви наиболее опасны и часто вызывают глобальные эпидемии.

Читайте также:  Абсурд программа для торговли

Сетевые черви могут кооперироваться с вирусами – такая пара способна самостоятельно распространяться по сети (благодаря червю) и в то же время заражать ресурсы компьютера (функции вируса).

Трояны

Трояны или программы класса троянский конь , в отличие от вирусов и червей, не обязаны уметь размножаться. Это программы, написанные только с одной целью – нанести ущерб целевому компьютеру путем выполнения несанкционированных пользователем действий: кражи, порчи или удаления конфиденциальных данных, нарушения работоспособности компьютера или использования его ресурсов в неблаговидных целях.

Некоторые трояны способны к самостоятельному преодолению систем защиты компьютерной системы, с целью проникновения в нее. Однако в большинстве случаев они проникают на компьютеры вместе с вирусом либо червем – то есть такие трояны можно рассматривать как дополнительную вредоносную нагрузку, но не как самостоятельную программу. Нередко пользователи сами загружают троянские программы из Интернет .

Следовательно, жизненный цикл троянов состоит всего из трех стадий:

  1. Проникновение в систему
  2. Активация
  3. Выполнение вредоносных действий

Как уже говорилось выше, проникать в систему трояны могут двумя путями – самостоятельно и в кооперации с вирусом или сетевым червем. В первом случае обычно используется маскировка, когда троян выдает себя за полезное приложение , которое пользователь самостоятельно копирует себе на диск (например, загружает из Интернет ) и запускает. При этом программа действительно может быть полезна, однако наряду с основными функциями она может выполнять действия, свойственные трояну.

После проникновения на компьютер , трояну необходима активация и здесь он похож на червя – либо требует активных действий от пользователя или же через уязвимости в программном обеспечении самостоятельно заражает систему.

Поскольку главная цель написания троянов – это производство несанкционированных действий, они классифицируются по типу вредоносной нагрузки:

  • Клавиатурные шпионы, постоянно находясь в оперативной памяти, записывают все данные, поступающие от клавиатуры с целью последующей их передачи своему автору.
  • Похитители паролей предназначены для кражи паролей путем поиска на зараженном компьютере специальных файлов, которые их содержат.
  • Утилиты скрытого удаленного управления – это трояны, которые обеспечивают несанкционированный удаленный контроль над инфицированным компьютером. Перечень действий, которые позволяет выполнять тот или иной троян, определяется его функциональностью, заложенной автором. Обычно это возможность скрыто загружать, отсылать, запускать или уничтожать файлы. Такие трояны могут быть использованы как для получения конфиденциальной информации, так и для запуска вирусов, уничтожения данных.
  • Анонимные SMTP-сервера 5 Для передачи электронных писем в сетях, подобных Интернет, используется определенный протокол, называемый SMTP (от англ. Simple Mail Transfer Protocol – простой протокол передачи почты). Соответственно, почтовый сервер, который принимает и отправляет почту по этому протоколу, называется SMTP-сервером и прокси-сервера 6 Прокси-сервер (от англ. Proxy – заместитель, уполномоченный) – это сервер-посредник, в чьи задачи входит обрабатывание запросов, поступающих из своей сети, на получение информации, расположенной вне ее – такие трояны на зараженном компьютере организовывают несанкционированную отправку электронной почты, что часто используется для рассылки спама.
  • Утилиты дозвона в скрытом от пользователя режиме инициируют подключение к платным сервисам Интернет.
  • Модификаторы настроек браузера меняют стартовую страницу в браузере, страницу поиска или еще какие-либо настройки, открывают дополнительные окна, имитируют нажатия на рекламные баннеры и т. п.
  • Логические бомбы характеризуются способностью при срабатывании заложенных в них условий (в конкретный день, время суток, определенное действие пользователя или команды извне) выполнять какое-либо действие, например, удаление файлов.

Отдельно отметим, что существуют программы из класса троянов, которые наносят вред другим, удаленным компьютерам и сетям, при этом не нарушая работоспособности инфицированного компьютера. Яркие представители этой группы – организаторы DDoS-атак.

Другие вредоносные программы

Кроме вирусов, червей и троянов существует еще множество других вредоносных программ, для которых нельзя привести общий критерий. Однако среди них можно выделить небольшие группы. Это в первую очередь :

Комментировать
946 просмотров
Комментариев нет, будьте первым кто его оставит

Это интересно
Adblock
detector