11 мифов о компьютерной безопасности

В апреле-мае этого года G Data Software провела опрос среди 15556 интернет-пользователей в возрасте от 18 до 65 лет в 11 странах. В Российском опросе приняли участие 1 085 респондентов. Участники отвечали на вопросы на тему онлайн-угроз в Интернете, поведения во время интернет-серфинга, использования решений безопасности, а также понимания собственной безопасности в Интернете.

Например, 97,88% процентов россиян уверены в том, что они заметят, если их компьютер будет заражен. По мнению опрошенных, такое заражение проявляется в виде подозрительных всплывающих окон, при ощутимом замедлении работы компьютера или в полном её прекращении.
Это всего лишь миф, так как преступники заинтересованы в краже информации и денег, а значит, пользователь не должен знать о заражении как можно дольше. В прошлом вредоносные программы создавались разработчиками для того, чтобы доказать свои технические способности, сейчас они предпочитают скрываться от жертв и антивирусов.

Как правило, вся персональная информация (данные кредитной карточки, банковские данные, данные доступа к онлайн-магазинам и электронной почте) незаметно воруются при первом заражении. За этим обычно следует подключение компьютера к ботсетям для того, чтобы использовать их в качестве распространителей спама или DDoS-атак на форумах.

Во время опроса респондентам было предложено несколько суждений о наиболее распространенных способах проникновения вирусов в компьютер жертвы. Им были предложены суждения, с которыми они могли согласиться или не согласиться.

• 38,8% — по электронной почте (самый низкий показатель среди всех опрошенных стран).
• 49,49% — посредством зараженных файлов на файлообменниках, таких как одноранговые сети и торренты.
• 30,05% — через USB-накопители (самый высокий показатель по миру).
• 42% — при загрузке зараженного веб-сайта.

Процентное соотношение ответов показывает, что информация пользователей давно устарела. Распространение вирусов по электронной почте уже не является лидером (пользовали стали более внимательны к вложениям и ссылкам в письмах). Файлообменники также могут быть опасны, но они не лидируют в списке опасных хранителей вирусов. Утверждение о USB-накопителях было актуально в 90 годы прошлого века. Большинство вредоносных программ распространяется через вредоносные веб-сайты, хотя в обратном уверены 48,48% опрошенных россиян. А 11,89% уверены, чтобы если не открывать зараженные файлы, то нельзя заразить свой ПК.

Миф о том, что бесплатное и платное ПО одинаково защищают компьютер от вирусов, поддерживают 83,78% россиян. Хотя 56% на вопрос о разнице между бесплатным и платным защитном ПО выразили сомнение относительно того, что качество обоих видов защитного ПО сравнимо. 15% не имели никакого понятия, насколько бесплатные продукты безопасности проигрывают платным в отношении эффективности.

Большая разница между платным и бесплатным ПО определяется тем, какие технологии безопасности включает в себя это ПО. Платное ПО, помимо антивируса, содержит http-фильтр, брандмауэр, антиспамовый модуль и функцию поведенческого распознавания вредоносных кодов. Это было известно только 17% участников опроса.

60,18% россиян уверены, что вероятность встретить вредоносное ПО на *****сайтах выше, чем на любительских страничках посвященных, например, конному спорту. Это самый высокий показатель среди 11 опрошенных стран. В Нидерландах, например, он не превышает 25,8%. Это еще один миф. На *****сайтах крутится много денег, а поэтому владельцы сайтов заинтересованы в безопасном серфинге своих посетителей, которые с большой вероятностью вернутся на тот же сайт в случае отсутствия проблем с платежами. Так работают профессионалы. В то же время владелец сайта, посвященного его хобби, вряд ли является профессиональным веб-дизайнером, и поэтому вряд ли регулярно обновляет необходимое программное обеспечение и патчи для того, чтобы закрыть уязвимые места безопасности.

«Из данного исследования можно сделать положительный вывод — большинство интернет-пользователей в России, независимо от возраста и пола, знают о существенной опасности при серфинге в сети Интернет. Но, к сожалению, этих знаний явно недостаточно или они уже устарели, — рассказывает Роман Карась, управляющий продажами в ритейле G Data Software в России и СНГ. — Лишь немногие смогли правильно указать опасности, которые существуют в Интернете, лишь подтвердив расхожие мифы. Также Россия занимает последнюю строчку в рейтинге ложных мифов. Самой «просвещенной страной» стала Германия, затем следуют Нидерланды и Франция. Поэтому нашей задачей является не только предложение россиянам лучших

G Data Software представила очередной ежемесячный отчет о наиболее опасных и популярных вредоносах в ноябре 2011 года. Каждый 10-ый зловред, который пробирается на компьютер пользователя, является участником ноябрьского Top10 от G Data SecurityLabs и каждый 25-ый – использует уязвимость CVE 2010-0840, обновления для которой были выпущены компанией Oracle в марте 2010 года! Иными словами, киберпреступники опять полагаются на неаккуратность пользователей в обновлении программ на своем ПК и невнимательностью в работе с самозапускаемыми файлами.

Cкрытый текст -

 

«CVE 2010-0840 уже давно используется в охоте на пользователей, – рассказывает Ральф Бенцмюллер, руководитель лаборатории безопасности G Data SecurityLabs. – Но для преступников эта уязвимость в Java до сих пор остается ключевой, так как пользователи недостаточно внимательно относятся к обновлению ПО, и оставляют всезаводские настройки «по умолчапнию». Дело в том, что эксплоит Exploit.CV E-2010-0840.E, который в ноябре стал лидером нашего рейтинга, автоматические закачивает вредоносное ПО на компьютер, обходя механизмы защиты песочницы. После активации, он начинает закачивать зловредов, которые регистрируют себя в качестве сервиса с помощью Microsoft Register Server. Поэтому, используя настройки автозапуска файлов при включении системы, которые изначально не были отключены пользователем, вредоносный код при активации системы начинает закачиваться автоматически».

Как бороться с проникновением этого вредоноса?
для Java: Установите специальное ПО от Java, которое проверит, какая версия программы работает на Вашем ПК www.java.com/en/download/installed.jsp. Если у Вас не установлена новейшая версия Java, для начала удалите старую версию, а лишь затем поставьте новую. Следуйте официальным инструкциям Oracle на сайте компании: www.java.com/en/download/
для Автозапуска: как объясняет Microsoft, «автозапуск представляет собой программный ответ на аппаратные действия, которые начинаются на ПК». Например, при использовании USB-накопителя, флешка открывается автоматически. И именно по умолчанию может запускаться вредоносное ПО. Отключить функцию автоматического исполнения файлов для пользователей Windows 7, Windows Server 2008, Windows Vista, Windows Server 2003 or Windows XP можно по ссылке //support.microsoft.com/kb/967715/en-us

Возвращение PDF-вредоносов

В течение многих месяцев вирусы, использующие уязвимости в PDF, не появлялись в ежемесячном вирусном рейтинге G Date SecurityLabs. Но ноябрь также отметился возвращением этой группы вредоносов, которые работают только в старых версиях Adobe Acrobat Reader 8 ( < 8.21) и 9 ( < 9.31 ). Пользователи Adobe Reader X пока могут быть спокойны.

История атак на PDF-файлы сегодня насчитывает более 250 уязвимостей, которые использовались мошенниками в разные годы с 2000 года. 2009 был «черным годом» для этого ПО, но после выхода версии Adobe Reader X со встроенной песочницей программа стала безопаснее. Но как бы то ни было многие автоматические эксплоиты, такие как Eleonore, Liberty Exploit Pack или Elfiesta, до сих пор могут создавать зараженные PDF-файлы, не требуя высокого профессионализма от киберпреступников.

Java.Exploit.CVE-2010-0840.E
Этот вредонос, основанный на Java, представляет собой скачанный апплет, который пытается использовать уязвимость CVE-2010-0840 для того, чтобы обойти механизмы защиты песочницы и скачать дополнительное вредоносное ПО на компьютер пользователя. Как только апплет обманывает песочницу, он загружает файл .dll. Этот файл не выполняется немедленно, но регистрирует себя в качестве сервиса с помощью Microsoft Register Server (regsvr32). Таким образом, он автоматически запускается при включении системы.

Exploit.CplLnk.Gen
Этот эксплойт использует ошибки при проверке файлов с расширением .Ink and .pif (ярлыки) во время запуска ссылок Windows. Он был известен, как CVE-2010-2568, с середины 2010 года. Как только система Windows открывает манипулятивную версию этих файлов для того, чтобы отобразить иконки, содержащиеся в Windows Explorer, вредоносный код загружается автоматически. Этот код также же может быть загружен из локальной файловой системы (например, со съемных носителей, которые также содержат ярлыки) или из сети Интернет, используя возможности WebDAV.

Worm.Autorun.VHG
Червь, распространяющийся в ОС Windows с помощью функции autorun.inf. Он использует мобильный носитель информации (например, USB-флешка или внешний жесткий диск). Worm.Autorun.VHG является сетевым и интернет-червем и использует уязвимость Windows CVE-2008-4250.

Win32:DNSChanger-VJ [Trj]
Win32:DNSChanger-VJ [Trj] является часть руткита. Он защищает другие компоненты вредоносного кода путем блокирования доступа к сайтам загрузки обновлений для системы безопасности или сигнатурных обновлений. Любой доступ к хостам веб-сайтов будет разрешен только на «локальный хост», который сделает его недоступным. Поэтому этот вредонос называется DNSChanger – он управляет DNS–разрешениями.

Trojan.AurorunINF.Gen
Эта программа способна распознать известные и неизвестные вредоносные файлы autorun.inf. Autorun.inf являются файлами автозапуска для USB-флешек, внешних жестких дисков и DVD, которые незаконно используются злоумышленниками для распространения вирусов и вредоносного ПО.

Trojan.Wimad.Gen.1
Этот троянец выдает себя за обычный .wma аудиофайл, который можно прослушать только после установки специального кодека/декодера. Если пользователь запустит такой файл, злоумышленник получит возможность установить в систему любую вредоносную программу. Инфицированные таким образом аудио-файлы распространяются преимущественно через P2P-сети.

Java.Trojan.Downloader.OpenConnection.AI
Этот троянец-загрузчик можно встретить в модифицированных Java-апплетах на Интернет-сайтах. Если пользователь загружает такой апплет, на основе его параметров генерируется ссылка и троянец-загрузчик загружает исполняемый файл, после чего запускает его. Эти файлы могут содержать любые вредоносные программы. Загрузчик использует уязвимость CVE-2010-0840, чтобы обойти средства безопасности Java (Java-Sandbox) и получить права на локальную запись данных.

Application.Keygen.BG
Этот вредонос представляет собой генератор ключей. Он очень популярен в P2P сетях и на сайтах варезов (программ, распространяемых с нарушением авторских прав), так как он предлагает использовать определенное ПО, или в противном случае пользователю придется заплатить. Запуск этого приложения противоречит не только нарушению авторских прав, но и создает немало рисков безопасности ПК.

Gen:Variant.Adware.Hotbar.1
Этот эксплойт использует ошибки при проверке файлов с расширением .Ink and .pif (ярлыки) во время Windows shortcuts. Он был известен, как CVE-2010-2568, с середины 2010 года. Как только система Windows открывает манипулятивную версию этих файлов для того, чтобы отобразить иконки, содержащиеся в Windows Explorer, вредоносный код загружается автоматически. Этот код также же может быть загружен из локальной системы файлов (например, со съемных носителей, которые также содержат ярлыки) или из сети Интернет, используя возможности WebDAV.

PDF:Exploit.JS.V
PDF:Exploit.JS.V является эксплоитом, основанным на JavaScript (CVE-2010-0188), который был создан для атаки на некоторые версии Acrobat Reader - 8 (< 8.21) и 9 (< 9.31). Зараженный вредоносным кодом PDF-файл содержит запутанный JavaScript, который позволяет выполнить произвольный код во время работы Acrobat Reader. Этот код может загрузить любой файл с веб-сервера в %TEMP%, который будет впоследствии выполнен. Загруженный код потенциально может быть любым вредоносным

13.03.12 16:24
Компания «Доктор Веб» сообщает о выявлении новой схемы распространения угроз для персональных компьютеров и устройств, работающих под управлением операционной системы Mac OS X. Авторами данного механизма являются создатели троянца Trojan.Muxler (OSX/Revir). Для приманки пользователей злоумышленники используют фотографии популярной русской фотомодели Ирины Шейк.


Угроза скрывается в ZIP-архивах, содержащих различные фотографии, в частности, снимки известной фотомодели Ирины Шейк. Образцы этих архивов были загружены на сайт virustotal.com под именами Pictures and the Ariticle of Renzin Dorjee.zip и FHM Feb Cover Girl Irina Shayk H-Res Pics.zip. Специалисты «Доктор Веб» в настоящий момент не обладают полной информацией о схеме распространения таких архивов, но предполагают, что это явление не носит массовый характер.


При распаковке содержимого архива помимо фотографий на диск сохраняется приложение, значок которого в окне Finder практически не отличается от эскизов других графических изображений. Злоумышленники рассчитывают на невнимательность пользователя: не отличив уменьшенный эскиз фотографии от значка программы, он может случайно запустить это приложение на выполнение.



Данный исполняемый файл имеет имя FileAgent и представляет собой троянскую программу Trojan.Muxler.3. Троянец расшифровывает и запускает модуль бэкдора, детектируемый антивирусным ПО Dr.Web как BackDoor.Muxler.3 (OSX/Imuler). Этот модуль копируется в файл с именем .mdworker, расположенный в папке /tmp/. После запуска Trojan.Muxler.3 демонстрирует пользователю увеличенную копию фотографии и удаляет себя.


Бэкдор позволяет выполнять различные команды скачивания и запуска файлов, а также создания скриншотов Рабочего стола Mac OS X. Кроме того, Trojan.Muxler.3 загружает из Интернета и сохраняет в папку /tmp/ вспомогательный файл CurlUpload, который детектируется антивирусным ПО Dr.Web как Trojan.Muxler.2 и служит для закачки различных файлов с инфицированной машины на удаленный сервер злоумышленников.


Угроза представляет опасность для пользователей Mac OS X, поскольку бэкдор используется в качестве средства контроля над инфицированной машиной. Применяемая злоумышленниками схема позволяет фиксировать происходящие в системе события посредством снятия скриншотов, запускать незаметно для пользователя сторонние приложения и передавать на удаленный сервер хранящиеся на дисках инфицированного компьютера файлы, которые могут содержать конфиденциальную информацию.
Trojan.Muxler.3 и BackDoor.Muxler.3 добавлены в вирусные базы антивируса Dr.Web для Mac OS X.

Хорошая тема, интересно было читать. Думаю, таких мифов можно найти ещё много.

Когда мы, допустим на Facebook, выкладываем о себе что-либо компрометирующее нас, то винить в этом можем только себя. Однако есть и другие, более хитрые способы получить информацию о нас. Так вот, несколько слов об отслеживании действий пользователей.
Каждый раз, когда вы посещаете веб-страницу, вы запрашиваете HTML-код, который будет выполнен в вашем локальном браузере. Этот код может содержать внешние ссылки, которые вы также запрашиваете. Пока ничего страшного.

Но что будет, если эти внешние запросы станут использоваться, чтобы отслеживать ваши действия? Возможно ли это? Предположим, вы зашли в вашу любимую социальную сеть — пусть это будет всё тот же Facebook. Даже после того как вы выходите из соцсети, ваш браузер хранит некоторые cookie-файлы, с помощью которых Facebook «узнаёт» вас. Затем вы идете на какой-либо случайный сайт (www.randomwebsite.com), на котором есть кнопки «Мне нравится», которые на самом деле являются внешними ссылками на Facebook. Поскольку у Facebook есть доступ к своим собственным cookie-файлам, он получает запрос с указанием в поле Referer www.randomwebsite.com, и опознает вас по cookie-файлам. Результат такой: Facebook знает обо всех страницах, которые вы посещаете и которые ссылаются на Facebook.
Можно подумать, что эта проблема решается простым уничтожением всех cookie-файлов. К сожалению, это не так: есть много других технологий, с помощью которых можно идентифицировать пользователей по «отпечаткам пальцев» их браузеров. Есть весьма интересное исследование, указывающее на то, что 83% пользователей можно надежно идентифицировать, исходя из уникальной комбинации данных о веб-браузере, установленных плагинах и основной информации о компьютере пользователя. И это без особых усилий! Можете себе представить, как часто внешние ссылки включают в себя Javascript-код, который собирает большое количество информации, по которой вас можно идентифицировать.
Ладно, перейдем к практике. Чтобы оценить масштабы данной проблемы, я проделал несколько небольших экспериментов. Я планирую написать более объемную статью, в которой будет представлено больше данных, а сейчас позвольте представить некоторые цифры.
Эксперимент 1. Посещение веб-страницы очень популярной испанской газеты.

Результат анализа трафика: запрошено 30 различных доменов, 15 из них используются для отслеживания посещаемых вами сайтов или рекламы, в браузере создано 10 cookie-файлов.

Неплохо для одного запроса!
Эксперимент 2. Посещение 250 самых популярных испанских сайтов (согласно Alexa.com)
20% трафика идет на отслеживающие и рекламные сайты, по 11,2 отслеживающих запросов на сайт, 93% сайтов имеют внешние ссылки на отслеживающие сайты.Google и Facebook — в лидерах среди компаний, отслеживающих пользователей, практически с одинаковым количеством запросов.
Наконец, несколько слов о настройках, выставляемых по умолчанию. Во время конференции Kaspersky Threatpost Security Analyst Summit я попал на замечательную лекцию Кристофера Согояна, в которой он показал, что настройки по умолчанию не вполне безобидны. В данном случае, Google Chrome и Safari имеют различные настройки по умолчанию, касающиеся сохранения cookie-файлов и отправки запросов на сторонние ресурсы при посещении веб-страницы. Предоставлю читателю самому домыслить, какой из этих двух браузеров более заинтересован в отслеживании действий пользователей, но сам я хотел выяснить это в конечном эксперименте.
Эксперимент 3. Посещение 100 самых популярных испанских сайтов при помощи Chrome и Safari с настройками по умолчанию
По сути, это посещение тех же сайтов с помощью других браузеров с отслеживанием трафика. К моему удивлению, не было большой разницы ни в количестве запросов, ни в количестве запрошенных каждым браузером доменов, используемых для отслеживания действий пользователя. Однако что касается cookie-файлов, то тут разница была огромная:
Chrome: 1029 cookie-файлов, Safari: 269 cookie-файлов.

Если сузить выборку до 100 доменов, наиболее часто запрашиваемых обоими браузерами (что составляет 75% всех запросов), и сравнить оба списка запрашиваемых доменов, то оказывается, что всего пять доменов в списке Chrome не попали в список Safari. Таким образом получается, что Chrome чуть более агрессивно отслеживает действия пользователя, чем Safari. Это не означает, что Safari лучше.
Заключение
Эта тема весьма интересна, особенно если начать выяснять, кто стоит за отслеживающими и рекламными компаниями. В этом случае становится понятно, кто получает все эти данные, что уже несколько настораживает, когда вы проверяете политики конфиденциальности. Однако я воздержусь от конкретных выводов до того, как закончу дополнительные эксперименты.
Вопрос вот в чем: к чему столько слежки? А ответ такой: всё упирается в деньги. Нет, речь не о рекламе, а о создании досье пользователей. Допустим, вы просите кредит в банке. На решение банка повлияет не то, как вы ответите на вопросы, — кредит будет выдан только в том случае, если компьютер решит, что ваше досье удовлетворяет требованиям банка. В ближайшем будущем у всех компаний будет доступ к супердосье, в которых есть все наши личные данные, и тогда уже решать будет компьютер …

Куриная слепота

В конце мая «Лаборатория Касперского» объявила о выявленном ею экстраординарном вредоносном ПО, получившем название Flame. Все ключевые признаки данной шпионской программы-руткита (высочайшие степень невидимости, качество кода, разнообразие функциональных возможностей и т. д.) указывают на то, что она является боевым «оружием кибервойны» из арсенала спецслужб технологически передовых государств. А значит, это продукт из того же ряда, что и обнаруженные в последние годы вредоносные программы Stuxnet и DuQu.
Никакого особо секрета в том, кто их делает, в общем-то нет. Расследования журналистов и экспертов по компьютерной безопасности ранее вполне аргументированно показали, что все перечисленные «зловреды» прочти наверняка сработаны совместными усилиями спецслужб США и Израиля. Теперь же, в силу специфики сложившейся в данный момент политической ситуации, в этом не остается никаких сомнений.
В мае-июне 2012 г., т.е. накануне осенних выборов президента США, госадминистрация Барака Обамы сочла полезным подчеркнуть избирателям «крутизну» своего лидера еще и демонстрацией того, как лихо он сражается с врагами Америки на полях невидимой кибервойны. Явно с такой целью в центральные американские газеты «Нью-Йорк Таймс» и «Вашингтон пост» некие «неназываемые официальные лица» практически одновременно слили информацию о том, что все эти шпионско-боевые программы – и Stuxnet, и DuQu, и Flame – создали и пустили в дело АНБ, ЦРУ и спецслужбы Израиля.

Организовано все было якобы исключительно ради срыва усилий Ирана в области его ядерных программ. Правда, в конце концов, следы проникновения упомянутых шпионско-диверсионных программ стали обнаруживаться на сотнях тысяч компьютеров по всему миру. Но здесь, впрочем, речь пойдет не о побочных эффектах кибервойн, а о том, что они наглядно проявили неэффективность антивирусного ПО.

Следует особо подчеркнуть, что ни Stuxnet, ни DuQu, ни Flame, годами работая в компьютерах своих жертв, не были выявлены НИ ОДНИМ из стандартных средств защиты всей мировой антивирусной индустрии, насчитывающей около 40 компаний. Каждая из этих вредоносных программ была обнаружена аналитиками индустрии безопасности лишь после того, как какой-нибудь важный клиент обратился к антивирусным специалистам с особо важной для него просьбой — разобраться с непонятными и странными явлениями, происходившими в его компьютерах.

Когда о «новоявленной» угрозе Flame первой объявила «Лаборатория Касперского», прочие фирмы АВ-индустрии по обыкновению также стали поднимать свои архивы, анализировать давно имеющиеся у них в наличии образцы этой программы и разрабатывать собственные средства
выявления, лечения и противодействия. Но при этом практически никто из них не пожелал дать развернутый и обоснованный ответ на естественный вопрос пользователей антивирусного ПО: почему столь огромная (размером около 20 Мбайт) и откровенно шпионская программа могла работать в их «защищенных» компьютерах абсолютно незамеченной на протяжении столь длительного времени (по некоторым признакам, еще с 2007 г.)?

Чуть ли не единственным заметным представителем антивирусной индустрии, решившим затронуть эту неприятную для обсуждения тему, оказался Микко Хиппонен, главный специалист финской антивирусной компании F-Secure.

Он признал, что у них давно имелись образцы Flame, однако автоматизированный процесс выявления угроз не позволил им понять, что же представляет собой эта программа. И поскольку то же самое произошло и во всех прочих подобных компаниях, то, по мнению Хиппонена, Flame стал примечательным провалом и для их F-Secure, и для всей антивирусной индустрии. А главный его вывод о том, почему такое произошло, сводится примерно к следующему: просто военные разведслужбы с их мощным государственным бюджетом работают лучше, чем антивирусные программы коммерческого уровня.

Развернутая аргументация Хиппонена на данный счет хотя и выглядит, быть может, для кого-то достаточно убедительно, все же, к сожалению, совершенно не объясняет суть произошедшего. Ведь в истории антивирусных провалов уже известно немало случаев, когда массовая «слепота» программ компьютерной защиты не имела никакого отношения к творениям спецслужб.

Например, одним из первых приходит на память достопамятный казус с «руткитом Sony», случившийся в начале 2005 г. Эта история показала, что крупная транснациональная корпорация, не имеющая никакого опыта применения шпионских вредоносных программ, оказалась вполне способной уже одной своей массой обезоружить всю АВ-индустрию. Чтобы защитить музыку от копирования, аудиодиски фирмы Sony заражали компьютеры руткитом, который портил драйвер устройства, собирал и отсылал шпионскую информацию о владельце да еще и создавал скрытый канал для проникновения в компьютер. Причем он был «невидим» абсолютно для всех коммерческих средств защиты на рынке до тех пор, пока его не обнаружил независимый исследователь Марк Руссинович. Каким образом столь позорный конфуз мог произойти буквально со всеми антивирусами и персональными брандмауэрами, никто по существу разъяснить публике так и не сумел.

Другой наглядный пример того же рода – широко известные ныне «противоугонные» программные средства типа Computrace, LoJack и им подобные, зачастую на низком уровне встраиваемые в компьютеры еще на заводском конвейере или на этапе предпродажи. Сама бизнес-модель этих приложений, незаметно докладывающих через Cеть серверам слежения о своем местоположении, подразумевает, что они совершенно «не видны» для стандартных антивирусных средств и межсетевых экранов... Значит, по сути, это вполне типичная шпионская программа, но только «установленная законно» и потому как бы не замечаемая средствами защиты.

Иными словами, и перечисленные примеры программ, и созданный спецслужбами новейший образец под названием Flame (выполняющий множество разведовательных функций — от перехвата нажатий клавиш и снимков экрана до управления микрофонами, видеокамерами и Bluetooth-устройствами) – все они ведут себя в компьютере, как типичные шпионы. Но при этом никак не выявляются, т.е. от «Систем эвристического анализа» и «Выявления проникновений», входящих в состав антивирусных комплексов, на самом деле толку практически никакого. А реально работает там лишь сканирование кодов на предмет известных сигнатур: выявлять «запрещенные» и игнорировать «законные».

Именно этим, скорее всего, и объясняется феноменальная способность Flame и ей подобных программ-шпионов оставаться невидимыми.

Установлено, что вредоносные программы спецслужб ведут себя как вполне законные приложения и не прибегают к каким-то изощренным средствам маскировки. Объясняется это обычно тем, что все модули шпионских и вредительских программ имеют валидные криптографические подписи вполне уважаемых в мире фирм-разработчиков, которым по умолчанию принято доверять. Как именно шпионам удавалось добывать ключи-сертификаты для изготовления подлинных сигнатур, — дело темное, и оно вряд ли когда-нибудь прояснится.

А вот особого рассмотрения в данном контексте заслуживает механизм наращивания функциональности шпионской программы Flame. У нее основной модуль проникновения имеет размер около 6 Мбайт, а вместе с подгружаемыми через Интернет расширениями он разрастается до внушительных 20 Мбайт. Самое же интересное в том, что механизм апдейтов здесь осуществляется через стандартные процедуры обновления ОС Windows.

С технической точки зрения все это реализовано разработчиками Flame в высшей степени профессионально и даже, нужно признать, талантливо. Однако погружение в криптографические подробности нынешних шпионских технологий далеко выходит за рамки данной статьи. Но все же – во избежание недоразумений – следует подчеркнуть вот что: восстановленный антивирусными аналитиками механизм апгрейдов Flame не дает никаких оснований утверждать, будто корпорация Microsoft сама предоставила разработчикам шпионской программы доступ к своим строго защищенным механизмам обновления ОС Windows.

Впрочем, хорошо известно, что общая картина взаимоотношений Microsoft с АНБ США выглядит весьма неоднозначно.

С одной стороны, имеются совершенно элементарные правила безопасности. Например, все знают, что лису ни в коем случае нельзя привлекать для охраны курятника. Просто потому, что куры – еда для лисы. А если нечто подобное все же почему-то сделано, будет совсем уж глупо удивляться тому, что из курятника станут регулярно пропадать птички-обитатели.

С другой стороны, все знают, что АНБ США – шпионская организация, главными задачами которой являются разведывательная добыча и анализ информации в электронном виде, т.е. шпионаж – это хлеб АНБ. Однако в середине 2000-х гг. корпорация Microsoft официально сообщила, что привлекла специалистов АНБ для «укрепления защиты» своих программных продуктов. Но при этом, что интересно, она не раскрыла, в чем именно данное «укрепление» заключается. После подобного маневра только слепой способен не заметить взаимосвязи между тем, что шпионские программы АНБ годами работают в операционных системах Microsoft как родные и без проблем продолжают заражать даже полностью обновленные версии Windows 7.

Подобному феномену всеобщей наивности как нельзя лучше подходит такое название, как «куриная слепота».

Нет сегодня такого человека, который не слышал о компьютерных вирусах. Что это такое, какие бывают виды компьютерных вирусов и вредоносных программ, попробуем разобраться в этой статье. Итак, компьютерные вирусы можно разделить на следующие виды.

Рекламные программы
Под рекламными и информационными программами понимаются такие программы, которые, помимо своей основной функции, также демонстрируют рекламные баннеры и всевозможные всплывающие окна с рекламой. Такие сообщения с рекламой порой бывает достаточно нелегко скрыть или отключить. Такие рекламные программы основываются при работе на поведение пользователей компьютера и являются достаточно проблемными по соображениям безопасности системы.

Бэкдоры (Backdoor)
Утилиты скрытого администрирования позволяют, обходя системы защиты, поставить компьютер установившего пользователя под свой контроль. Программа, которая работает в невидимом режиме, дает хакеру неограниченные права для управления системой. С помощью таких backdoor-программ можно получить доступ к персональным и личным данным пользователя. Нередко такие программы используются в целях заражения системы компьютерные вирусы и для скрытой установки вредоносных программ без ведома пользователя.

Загрузочные вирусы
Нередко главный загрузочный сектор вашего HDD поражается специальными загрузочными вирусами. Вирусы подобного типа заменяют информацию, которая необходима для беспрепятственного запуска системы. Одно из последствий действия таковой вредоносной программы это невозможность загрузки операционной системы...

Bot-сеть
Bot-сеть это полноценная сеть в Интернет, которая подлежит администрированию злоумышленником и состоящая из многих инфицированных компьютеров, которые взаимодействуют между собой. Контроль над такой сетью достигается с использованием вирусов или троянов, которые проникают в систему. При работе, вредоносные программы никак себя не проявляют, ожидая команды со стороны злоумышленника. Подобные сети применяются для рассылки СПАМ сообщений или для организации DDoS атак на нужные сервера. Что интересно, пользователи зараженных компьютеров могут совершенно не догадываться о происходящем в сети.

Эксплойт
Эксплойт (дословно брешь в безопасности) – это такой скрипт или программа, которые используют специфические дырки и уязвимости ОС или какой-либо программы. Подобным образом в систему проникают программы, с использованием которых могут быть получены права доступа администратора.

Hoax (дословно шутка, ложь, мистификация, шутка, обман)
Уже на протяжении нескольких лет многие пользователи сети Интернет получают электронные сообщения о вирусах, которые распространяются якобы посредством e-mail. Подобные предупреждения массово рассылаются со слезной просьбой отправить их всем контактам из вашего личного листа.

Ловушки
Honeypot (горшочек меда) – это сетевая служба, которая имеет задачу наблюдать за всей сетью и фиксировать атаки, при возникновении очага. Простой пользователь совершенно не догадывается о существовании такой службы. Если же хакер исследует и мониторит сеть на наличие брешей, то он может воспользоваться услугами, которые предлагает такая ловушка. При этом будет сделана запись в log-файлы, а также сработает автоматическая сигнализация.

Макровирусы
Макровирусы - это очень маленькие программы, которые написаны на макроязыке приложений. Такие программки распространяются только среди тех документов, которые созданы именно для этого приложения. Для активации таких вредоносных программ необходим запуск приложения, а также выполнение инфицированного файла-макроса. Отличие от обычных вирусов макросов в том, что заражение происходит документов приложения, а не запускаемых файлов приложения.

Фарминг
Фарминг - это скрытая манипуляция host-файлом браузера для того, чтобы направить пользователя на фальшивый сайт. Мошенники содержат у себя сервера больших объемов, на таких серверах хранятся большая база фальшивых интернет-страниц. При манипуляции host-файлом при помощи трояна или вируса вполне возможно манипулирование зараженной системой. В результате этого зараженная система будет загружать только фальшивые сайты, даже в том случае, если Вы правильно введете адрес в строке браузера.

Фишинг
Phishing дословно переводится как "выуживание" личной информации пользователя при нахождении в сети интернет. Злоумышленник при своих действиях отправляет потенциальной жертве электронное письмо, где указано, что необходимо выслать личную информацию для подтверждения. Нередко это имя и фамилия пользователя, необходимые пароли, PIN коды для доступа к счетам пользователя онлайн. С использованием таких похищенных данных, хакер вполне может выдать себя за другое лицо и осуществить любые действия от его имени.

Полиморфные вирусы
Полиморфные вирусы – это вирусы, использующие маскировку и перевоплощения в работе. В процессе они могут изменять свой программный код самостоятельно, а поэтому их очень сложно обнаружить, потому что сигнатура изменяется с течением времени.Программные вирусы
Компьютерный вирус - это обычная программа, которая обладает самостоятельно прикрепляться к другим работающим программам, таким образом, поражая их работу. Вирусы самостоятельно распространяют свои копии, это значительно отличает их от троянских программ. Также отличие вируса от червя в том, что для работы вирусу нужна программа, к которой он может приписать свой код.

Руткит
Руткит – это определенный набор программных средств, который скрыто устанавливается в систему пользователя, обеспечивая при этом сокрытие личного логина киберпреступника и различных процессов, при этом делая копии данных.

Скрипт-вирусы и черви
Такие виды компьютерных вирусов достаточно просты для написания и распространяются в основном посредством электронной почты. Скриптовые вирусы используют скриптовые языки для работы чтобы добавлять себя к новым созданным скриптам или распространяться через функции операционной сети. Нередко заражение происходит по e-mail или в результате обмена файлами между пользователями. Червь это программа, которая размножается самостоятельно, но которая инфицирует при этом другие программы. Черви при размножении не могут стать частью других программ, что отличает их от обычных видов компьютерных вирусов.Шпионское ПО
Шпионы могут переслать личные данные пользователя без его ведома третьим лицам. Шпионские программы при этом анализируют поведение пользователя в сети Интернет, а также, основываясь на собранных данных, демонстрируют пользователю рекламу или pop-up (всплывающие окна), которые непременно заинтересуют пользователя.Троянские программы
Троянские программы это программы, которые должны выполнять определенные полезные функции, но после запуска таких программ выполняются действия другого характера (разрушительные). Трояны не могут размножаться самостоятельно, и это основное их отличие их от компьютерных вирусов..

Зомби
Зомби - это инфицированный компьютер, который инфицирован вредоносными программами. Такой компьютер позволяет хакерам удаленно администрировать систему и с помощью этого совершать различные нужные действия (DoS атаку, рассылка спама и т.п.).

Корпорация Symantec предупредила о новой интеллектуальной вредоносной программе, созданной злоумышленниками для хищения информации. Под угрозой компьютеры, работающие и на ОС Windows, и на Mac OS, а также мобильные устройства. Эксперты сообщают, что вирус обладает уникальной способностью распространяться, в том числе, и через виртуальные машины, если соответствующее ПО виртуализации установлено на компьютере. Есть предположение, что он был создан программистами из Италии как инструмент для ведения частных расследований или шпионажа, включая запись аудио и хищение информации из адресных книг.

Последнее время эксперты изучают обнаруженные угрозы OSX.Crisis и W32.Crisis –высокоинтеллектуальный вирус-шпион, одновременно использующий множество векторов заражения и схем кражи информации. Эксперты Symantec полагают, что это первый вирус, способный инфицировать гостевые виртуальные машины после заражения их хоста. Из функций хищения информации следует особенно отметить хищение информации из социальных сетей Twitter и Facebook, а также писем Web-сервиса GMail.