Почтовый червь. Почтовые черви для своего распространения используют электронную почту. Email-Worm - почтовые черви

Классификация угроз по различным признакам.

Точной и единой классификации угроз не существует ввиду их большого разнообразия и постоянного изменения состава угроз. Далее будет рассмотрена классификация по нескольким различным признакам.

- по цели реализации угрозы: нарушение конфиденциальности, нарушение целостности, нарушение доступности, несанкционированное использование вычислительных ресурсов;

- по причине появления используемой ошибки защиты : (то о чем я говорил немого раньше) технологические недостатки, недостатки конфигурации, неадекватность политики безопасности (сюда же еще иногда относят ошибки проектирования, но их можно включить в технологические недостатки);

- по способу воздействия : в интерактивном и пакетном режимах (в качестве примера для первого, когда злоумышленник использует для взлома удаленный доступ, для второго – распространение вируса);

- по используемым средствам атаки : с использованием штатного программного обеспечения, с использованием разработанного программного обеспечения;

- по состоянию объекта атаки : при хранении объекта, при передаче объекта, при обработке объекта.

Возможно значительное количество классификаций по другим признакам.

Теперь переходим к рассмотрению конкретных видов угроз.

http://www.viruslist.ru - Большая вирусная энциклопедия от производителей AVP.

Компьютерные вирусы были и остаются одной из наиболее распространенных причин потери информации (т.е. нарушения целостности информации). Кроме того, они могут перегружать каналы связи (нарушение доступности) и самостоятельно передавать создателю какие-либо ценные данные (нарушение конфиденциальности). В корпоративной сети АвтоВАЗа именно вирусы на данный момент одна из главных проблем безопасности.

Точных сведений по поводу рождения первого компьютерного вируса нет. Но на компьютерах Univax 1108 и IBM 360/370 в середине 1970-х годов они уже были.

Существует несколько типов вредоносного кода, от которого необходимо защищать систему. Хотя такой код обобщенно называют "вирусами", существует разница между вирусами, троянцами и червями.

Вирус - это небольшая программа, которая написана с целью изменения без ведома пользователя функционирования компьютера. Вирусы имеют исполняемый код либо в виде самостоятельной программы, либо в виде макроса, содержащегося в другом файле, и он должен иметь возможность копировать самого себя, чтобы продолжать работу после завершения начальной программы или макроса.

В отличие от сетевых червей вирусы не используют сетевых сервисов для проникновения на другие компьютеры. Копия компьютерного вируса попадает на удалённый компьютер только в том случае, если зараженный объект оказывается активизированным на другом компьютере по причинам, не зависящим от функционала вируса, например:

При заражении доступных дисков вирус проникает в файлы, расположенные на сетевом ресурсе;

Вирус копирует себя на съёмные носители или заражает файлы на них;

Пользователь отослает электронное письмо с зараженным вирусом вложением.

Сетевой червь – это вредоносная программа, которая самостоятельно распространяет свои копии по локальным и/или глобальным сетям.

Черви способны распространяться с одного компьютера на другой посредством копирования зараженного файла либо без помощи файла. “Безфайловые" или "пакетные" черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код.

Для проникновения на удаленные компьютеры и запуска своей копии сетевые черви используют следующие методы: социальный инжиниринг (например, текст электронного письма, призывающий открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый на полный доступ), ошибки в службах безопасности операционных систем и приложений.

Троянец (троянская программа, троян) - это вредоносная программа, которая содержится внутри другой внешне безобидной программы. При запуске такой программы (например, хранителя экрана, поздравительной открытки и т.д.) в систему инсталлируется троянец. Троянцы могут выполнять роль spyware (шпионских программ), отправляя конфиденциальную информацию третьей стороне или могут использоваться для атак типа DoS. Основное отличие троянов от вирусов и сетевых червей состоит в том, что трояны сами не размножаются - для инфицирования системы они должны быть запущены вручную.

Атака DoS (Denial of Service) посылает большое количество запросов на некоторый сервер или URL, вызывая сильную загрузку сервера и предотвращая обслуживание им других запросов. Распределенная атака DoS использует вирусы, троянцы или червей для подчинения нескольких компьютеров в Интернет, приказывая им одновременно атаковать некоторый сервер. Т.е., в данном случае речь идет о нарушении доступности.

Таким образом: вирусы распространяются сами, но не используют для этого сеть, черви распространяются самостоятельно по сети, троянцы не распространяются самостоятельно.

С какой целью создаются вирусы?

1. Самоутверждение программистов.

2. Массовая кража данных (пароли, номера кредитных карт).

3. Массовая атака на узлы в Интернет.

Условия появления вредоносных программ для конкретных ОС или приложений:

1. Популярность , широкое распространение данной системы;

2. Наличие разнообразной и достаточно полной документации по системе;

3. Незащищенность системы или существование известных уязвимостей в системе безопасности.

Классификация компьютерных вирусов от Касперского (производителя AVP).

Вирусы можно разделить на классы по следующим основным признакам:

среда обитания;
операционная система (OC);
особенности алгоритма работы;
деструктивные возможности.

По среде обитания вирусы можно разделить на:

файловые;
загрузочные;
макро;
сетевые.

Файловые вирусы различными способами внедряются в выполняемые файлы (наиболее распространенный тип вирусов).

Загрузочные вирусы записывают себя либо в загрузочный сектор диска (boot-сектор), либо в сектор, содержащий системный загрузчик винчестера (Master Boot Record), либо меняют указатель на активный boot-сектор.

Макро-вирусы заражают файлы-документы и электронные таблицы нескольких популярных редакторов.

Сетевые вирусы используют для своего распространения протоколы или команды компьютерных сетей и электронной почты.

Существует большое количество сочетаний - например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Такие вирусы, как правило, имеют довольно сложный алгоритм работы, часто применяют оригинальные методы проникновения в систему, используют стелс и полиморфик-технологии. Другой пример такого сочетания - сетевой макро-вирус , который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте.

Заражаемая операционная система (вернее, ОС, объекты которой подвержены заражению) является вторым уровнем деления вирусов на классы. Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких OS. Макро-вирусы заражают файлы форматов Word, Excel. Загрузочные вирусы также ориентированы на конкретные форматы расположения системных данных в загрузочных секторах дисков.

Среди особенностей алгоритма работы вирусов выделяются следующие пункты:

резидентность;
использование стелс-алгоритмов;
самошифрование и полиморфичность;
использование нестандартных приемов.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения операционной системы к объектам заражения и внедряется в них. Резидентные вирусы находятся в оперативной памяти и являются активными вплоть до выключения компьютера или перезагрузки операционной системы. Нерезидентные вирусы не заражают оперативную память компьютера и сохраняют активность ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.

Резидентными можно считать макро-вирусы, поскольку они постоянно присутствуют в памяти компьютера на все время работы зараженного редактора. При этом роль операционной системы берет на себя редактор, а понятие "перезагрузка операционной системы" трактуется как выход из редактора.

Использование стелс-алгоритмов (stealth, by stealth - украдкой, втихомолку, тайком) позволяет вирусам полностью или частично скрыть себя в системе. Наиболее распространенным стелс-алгоритмом является перехват запросов OC на чтение/запись зараженных объектов. Стелс-вирусы при этом либо временно лечат зараженные объекты, либо "подставляют" вместо себя незараженные участки информации.

Самошифрование и полиморфичность используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру обнаружения вируса. Полиморфик-вирусы (polymorphic) - это вирусы не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.

По деструктивным возможностям вирусы можно разделить на:

безвредные, т.е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);
неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и пр. эффектами;
опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;
очень опасные, в алгоритм работы которых заведомо заложены процедуры, которые могут привести к нарушению работы программ и уничтожению данных.

Некоторые вирусы умеют перепрограммировать микросхемы BIOS’а, после чего компьютеру необходим ремонт. И даже, как гласит одна из непроверенных компьютерных легенд, существуют вирусы, способствовать быстрому износу движущихся частей механизмов - вводить в резонанс и разрушать головки некоторых типов винчестеров.

Одни из первых экспериментов по использованию компьютерных червей в распределённых вычислениях были проведены в исследовательском центре 1978. Термин возник под влиянием научно–фантастических романов Дэвида Герролда «Когда ХАРЛИ исполнился год » и Джона Браннера «На ударной волне» (David Gerrold «When H.A.R.L.I.E Was One» , John Brunner «The Shockwave Rider» , Thomas Ryan «The Adolescence of P-1»).

Одним из наиболее известных компьютерных червей является «Червь Морриса », написанный Робертом Моррисом (Robert Morris) младшим, который был в то время студентом Корнельского Университета. Распространение червя началось 2 ноября , после чего червь быстро заразил большое количество компьютеров, подключённых к интернету .

Механизмы распространения

Черви могут использовать различные механизмы («векторы») распространения. Некоторые черви требуют определенного действия пользователя для распространения (например, открытия инфицированного сообщения в клиенте электронной почты). Другие черви могут распространяться автономно, выбирая и атакуя компьютеры в полностью автоматическом режиме. Иногда встречаются черви с целым набором различных векторов распространения, стратегий выбора жертвы, и даже эксплойтов под различные операционные системы .

Структура

Черви могут состоять из различных частей.

Часто выделяют так называемые ОЗУ –резидентные черви, которые могут инфицировать работающую программу и находиться в ОЗУ, при этом не затрагивая жёсткие диски . От таких червей можно избавиться перезапуском компьютера (и, соответственно, сбросом ОЗУ). Такие черви состоят в основном из «инфекционной» части: эксплойта (шелл–кода) и небольшой полезной нагрузки (самого тела червя), которая размещается целиком в ОЗУ. Специфика таких червей заключается в том, что они не загружаются через загрузчик как все обычные исполняемые файлы , а значит, могут рассчитывать только на те динамические библиотеки , которые уже были загружены в память другими программами.

Также существуют черви, которые после успешного инфицирования памяти сохраняют код на жёстком диске и принимают меры для последующего запуска этого кода (например, путём прописывания соответствующих ключей в реестре Windows). От таких червей можно избавиться только при помощи антивируса или подобных инструментов. Зачастую инфекционная часть таких червей (эксплойт , шелл-код) содержит небольшую полезную нагрузку, которая загружается в ОЗУ и может «догрузить» по сети непосредственно само тело червя в виде отдельного файла . Для этого некоторые черви могут содержать в инфекционной части простой клиент. Загружаемое таким способом тело червя (обычно отдельный исполняемый файл) теперь отвечает за дальнейшее сканирование и распространение уже с инфицированной системы, а также может содержать более серьёзную, полноценную полезную нагрузку, целью которой может быть, например, нанесение какого–либо вреда (например, DoS–атаки).

Большинство почтовых червей распространяются как один файл. Им не нужна отдельная «инфекционная» часть, так как обычно пользователь–жертва при помощи почтового клиента добровольно скачивает и запускает червя целиком.

Зачастую черви даже безо всякой полезной нагрузки перегружают и временно выводят из строя сети только за счёт интенсивного распространения. Типичная осмысленная полезная нагрузка может заключаться в порче файлов на компьютере-жертве (в том числе, изменение веб-страниц, «бэкдор для удалённого контроля над компьютером-жертвой. Часто встречаются случаи, когда новый вирус эксплуатирует бэкдоры, оставленные старым.

См. также

Ссылки

John Shoch, Jon Hupp The "Worm" Programs - Early Experience with a Distributed Computation" (англ.) , Communications of the ACM, March 1982 Volume 25 Number 3, pp.172-180, ISSN 0001-0782
RFC 1135 (англ.) - The Helminthiasis of the Internet

Wikimedia Foundation . 2010 .

Смотреть что такое "Почтовый червь" в других словарях:

Сущ., м., употр. сравн. часто Морфология: (нет) кого? червя, кому? червю, (вижу) кого? червя, кем? червём, о ком? о черве; мн. кто? черви, (нет) кого? червей, кому? червям, (вижу) кого? червей, кем? червями, о ком? о червях 1. Червь это… … Толковый словарь Дмитриева

NetSky Полное название (Касперский) Email Worm.Win32.NetSky.a (первый штамм) Тип почтовый червь массовой рассылки Год появления 2004 Используемое ПО Описание Symantec … Википедия

Sober Полное название (Касперский) Email Worm.Win32.Sober.a Тип почтовый червь Год появления 2003 Используемое ПО Описание Symantec Описание Лаборатор … Википедия - У этого термина существуют и другие значения, см. Sober. Sober Полное название (Касперский) Email Worm.Win32.Sober.a Тип почтовый червь Год появления 2003 Описание Symantec … Википедия

LoveLetter Полное название (Касперский) Email Worm.VBS.LoveLetter Email Worm.Win32.LoveLetter Тип почтовый червь Год появления 2000 Используемое ПО MS Outlook … Википедия

- (известен также как Novarg) почтовый червь для Microsoft Windows и Windows NT, эпидемия которого началась 26 января 2004. Распространялся по электронной почте и через файлообменную сеть Kazaa. Файл носитель червя имеет размер около 28 килобайт и… … Википедия

EICAR (или EICAR Test File от European Institute for Computer Antivirus Research) стандартный файл, применяемый для проверки, работает ли антивирус. По сути вирусом не является; будучи запущенным как COM файл DOS, всего лишь выводит… … Википедия

«Вирусы и антивирусы» - Зависит от конфигурации рабочего места! Инструкция пользователя. Термин. ? Носители информации. Монитор, сканер, клиент ЦУП. DMZ. Автоматическая установка на рабочих станциях. Вирусы и ВРЕДОНОСНЫЕ ПРОГРАММЫ. Антивирусная программа. Монитор, сканер. Вирус – компьютерная программа, способная к саморазмножению.

«Защита от компьютерных вирусов» - Составить рекомендации по защите рабочего места учителя и ученика от компьютерных вирусов. 1. Отключить компьютер от сети(локальной, интернет). 2. Провести полное сканирование компьютера. Профилактика вирусного заражения. Тема: Информационная защита и компьютерные вирусы. 3. Удалить все найденные вирусы.

«Троянская программа» - Название «троянская» восходит к легенде о «Троянском коне» - дарёном деревянном коне, послужившим причиной падения Трои. Загрузить троянскую программу на компьютер может и посторонний человек с помощью запуска программы с flash накопителя. Иногда использование троянов является лишь частью спланированной многоступенчатой атаки на определенные компьютеры, сети или ресурсы.

«Защита от вредоносных программ» - Вредоносные программы. Вирусы. Вредоносные действия. Механизмы передачи. Защита систем от угроз, связанных с действиями вредоносных программ. Целевая среда. Безопасность здания. Поиск сигнатур Эвристический анализ Анализ поведения. Устройства Операционные системы Приложения. Исполняемые файлы Скрипты Макросы Загрузочные области носителей информации.

«Информатика компьютерные вирусы» - Сейчас известно несколько десятков тысяч вирусов. Признаки заражения. Повышенная активность жестких дисков или подозрительные файлы в корневых директориях. Обязательно иметь антивирусную программу. Как обнаружить хакерскую атаку. Что делать, если компьютер заражён. Немного истории. Хакерские утилиты и вредоносные программы.

«Сетевые черви» - Компьютерный практикум. Черви, использующие «уязвимости» программного обеспечения. Почтовые черви для своего распространения используют электронную почту. Черви, использующие файлообменные сети. Защита от сетевых червей. Сетевые черви. Почтовые черви. Задание.

Всего в теме 21 презентация

Сетевые черви (другое название – компьютерные черви) – это программы, которые созданы с внутренним механизмом распространения по локальным и глобальным компьютерным сетям с некоторыми целями. Данными целями являются:

проникновение на удаленные компьютеры с частичным или полным перехватом управления ими (скрытым от пользователя – хозяина этого компьютера разумеется);
запуск своей копии на компьютере;
дальнейшее распространение по всем доступным сетям, как локальным, так и глобальным.

Перечислим некоторые виды сетей, по которым передаются сетевые черви. Это, в первую очередь, конечно, электронная почта, различные интернет-мессенджеры, файлообменные и торрент-сети, локальные сети, сети обмена между мобильными устройствами.

В основном компьютерные черви распространяются в виде файлов. Их прикрепляют в качестве вложений к электронным письмам и сообщениям, либо же различными способами пользователю предлагается пройти по определенной ссылке, закачать и запустить у себя на локальном компьютере некую крайне нужную и бесплатную программу, фотографию и т.д. (вариантов маскировки сетевых вирусов существует бесконечно много). Нужно сказать, что электронная почта стала практически идеальной почвой для распространения сетевых червей. И скорость их (сетевых червей) распространения по всему Интернету зачастую просто потрясает воображение.

Но существуют и так называемые «бесфайловые, пакетные» сетевые вирусы, которые распространяются в виде сетевых пакетов и проникают на компьютер при помощи различных брешей и уязвимостей в операционной системе или установленном программном обеспечении.

Для проникновения на удаленный компьютер используются самые различные методы, начиная от методов социальной инженерии (когда Вам приходит некое заманчивое письмо с ссылкой или вложенным файлом, призывающее либо открыть данный вложенный файл либо пройти по указанной ссылке), либо же, как уже писалось выше, это проникновение с помощью уязвимостей и back-door в используемом программном обеспечении. Также проникновение возможно при существующих недочетах в планировании и и обслуживании локальной сети (примером может служить какой-либо полностью расшаренный и незащищенный локальный диск).

В дополнение к своим основным функциям сетевые черви довольно часто содержат и функции другого вредоносного программного обеспечения – вирусов, троянских программ и т.д.

Как показывает статистика антивирусных лабораторий, более 80% всех проблем, связанных с проникновением вредоносного программного обеспечения (сетевых червей, троянов и вирусов) на локальные компьютеры пользователей, связано с элементарной безграмотностью и отсутствием необходимых навыков работы в сети Интернет у этих самых пользователей.

Проведем небольшой экскурс в историю и выясним, откуда же и как они возникли, эти вредоносные программы – компьютерные черви.

Первые эксперименты, в ходе которых были использованы первые прототипы компьютерных червей, были проведены в 1978 году в научно-исследовательском центре Xerox в Пало Альто. Инициаторами данных работ были Джон Шоч и Йон Хупп. Сам термин «сетевой червь» возник под влиянием научно-фантастической литературы (в частности, это романы Д.Геррольда «Когда Харли исполнился год» и Д.Браннера «На ударной волне»).

Наверное, самым известным сетевым червем является так называемый «Червь Морриса», который был написан в 1988 году студентом Корнельского университета Р.Моррисом-младшим. Вирус попал в сеть 2 ноября 1988 года, и стремительно распространился на большое количество компьютеров, имеющих подключение к Интернет.

Существуют различные виды сетевых червей. В первую очередь следует упомянуть ОЗУ-резидентных червей, которые располагаются в оперативной памяти компьютера, не затрагивая файлов на жестком диске. Избавиться от таких компьютерных червей достаточно просто – достаточно просто перезапустить операционную систему, при этом произойдет сброс данных, находящихся в ОЗУ, соответственно, сотрется и червь. ОЗУ-резидентные вирусы состоят из двух частей: эксплойта (или шелл-кода), с помощью которого они проникают на компьютер, и самого тела червя.

Также существуют вирусы, которые при успешном проникновении на компьютер проводят некоторые действия с локальными дисками: прописывают там некий программный код (примером может служить модификация ключей в реестре Windows или прописывание файла вируса в Автозагрузке). Также червь при успешном проникновении на компьютер может самостоятельно догрузить какие-либо дополнительные файлы по сети (вирусы, троянские программы, другие сетевые черви) и превратить ваш компьютер в рассадник всякой компьютерной заразы.

Обнаружить и, соответственно, обезвредить данных сетевых червей довольно сложно. В этом Вам помогут антивирусные программы с обновленными базами вирусных сигнатур.

Троянцы данного типа предназначены для сообщения своему «хозяину» о зараженном компьютере. При этом на адрес «хозяина» отправляется информация о компьютере, например, IP-адрес компьютера, номер открытого порта, адрес электронной почты и т. п. Отсылка осуществляется различными способами: электронным письмом, специально оформленным обращением к веб-странице «хозяина», ICQ-сообщением.

Данные троянские программы используются в многокомпонентных троянских наборах для извещения своего «хозяина» об успешной инсталляции троянских компонент в атакуемую систему.

Сетевые черви

Основным признаком, по которому типы червей различаются между собой, является способ распространения червя - каким способом он передает свою копию на удаленные компьютеры. Другими признаками различия СЧ между собой являются способы запуска копии червя на заражаемом компьютере, методы внедрения в систему, а также полиморфизм, «стелс» и прочие характеристики, присущие и другим типам вредоносного программного обеспечения (вирусам и троянским программам).

Email-Worm - почтовые черви

К данной категории червей относятся те из них, которые для своего распространения используют электронную почту. При этом червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взломанном или хакерском веб-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором - при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков - активизируется код червя.

Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены:

прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку;

использование сервисов MS Outlook;

использование функций Windows MAPI.

Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зараженные письма. Почтовые черви:

рассылают себя по всем адресам, обнаруженным в адресной книге MS Outlook;

считывает адреса из адресной базы WAB;

сканируют «подходящие» файлы на диске и выделяет в них строки, являющиеся адресами электронной почты;

отсылают себя во всем адресам, обнаруженным в письмах в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма).

Многие черви используют сразу несколько из перечисленных методов. Встречаются также и другие способы поиска адресов электронной почты.

Im-Worm - черви, использующие интернет-пейджеры

Известные компьютерные черви данного типа используют единственный способ распространения - рассылку на обнаруженные контакты (из контакт-листа) сообщений, содержащих URL на файл, расположенные на каком-либо веб-сервере. Данные прием практически полностью повторяет аналогичный способ рассылки, использующийся почтовыми червями.

Irc-Worm - черви в irc-каналах

У данного типа червей, как и у почтовых червей, существуют два способа распространения червя по IRC-каналам, повторяющие способы, описанные выше. Первый заключается в отсылке URL-ссылки на копию червя. Второй способ - отсылка зараженного файла какому-либо пользователю сети. При этом атакуемый пользователь должен подтвердить прием файла, затем сохранить его на диск и открыть (запустить на выполнение).