Superepidēmija – ikdiena

 

Autors	Rediģēja	Zīmes	Foto	Nodaļa
V. Šķesters	Gunta	10 100	shēma	Vīrusi
Saskanots	Gundega 2.09	Fails	Atbildīgais	Lappuses
	Gundega	Sp3-kaspersky.doc	Brigita	2

 

 

Šogad vasaras nogale datorvīrusu pasaulē šķiet pavisam mierīga. Kas gaidāms pēc šī šķietamā klusuma perioda un vai tiešām ir tik mierīgi? Izrādās viss atkarīgs, kādās mērvienībās tiek mērīts un arī no pieraduma. Tā, piemēram, Kaspersky Lab antivīrusu laboratorija katru nedēļu izpētei saņem aptuveni 500 (!!!) jaunu kaitīgo programmu. To programmu īpatsvars, ko varētu nosaukt par vīrusiem, samazinās, toties īpaši aug nesankcionētas attālinātās vadības un dažādas konfidencionālas informācijas zagšanas (backdoor, trojan) programmu īpatsvars.

 

Antivīrusu programmu bāzēs bieži pavīd arī tādas programmas kā flooder – kāda izvēlēta saņēmēja pārpludināšanai, DDoS – uzbrukumu uz servisa atteikumu izdarīšanai, constructor – ātrai vīrusu radīšanai bez īpašām zināšanām utt. Tas gan nenozīmē, ka jaunu vīrusu kļūst mazāk, skaitot absolūtajos ciparos. Jāatzīmē, ka tie aizvien biežāk tiek kombinēti ar backdoor un trojan programmām un šeit iezīmējas jauna tendence. Datorvīrusu rakstītāji atsakās no primitīvām destruktīvām darbībām, viņus vairāk interesē kontrole pār upuru datorsistēmām.

Apskatot biežāk satopamo datorvīrusu sarakstus, tur var ieraudzīt gan salīdzinoši jaunos Klez un Frethem, gan pat pagājušā gada bēdīgi slavenos Magistr, Sircam, Nimda un Hybris. Pirmo trijnieku visbiežāk veido vīrusi Klez, Frethem un Sircam, bet TruSecure Corporation, kas nodarbojas ar IT drošību, saraksta 2002 Q2 Top 10 Successful Electronic Attack Modalities pirmajā vietā redzams ieraksts IE/Outlook (Klez, Sircam), tāpēc nedaudz sīkāk par tiem.

 

I-Worm.Klez.h:

·    ir nepārspējams vīrusu līderis kopš tā versijas I-Worm.Klez.h parādīšanās šīgada aprīlī (topos ir arī citas šī vīrusa versijas);

·    izplatās ar e-pasta starpniecību un lokālajos tīklos;

·    sevis automātiskai palaišanai vīruss izmanto Internet Explorer drošības caurumu, kas nozīmē, ka iespējamas situācijas, kad dators tiek inficēts, tikai apskatot vīrusu nesošu e-pasta vēstuli;

·     izmanto sociālo inženieriju, lai ar vēstules saturu un/vai faila nosaukumu pamudinātu lietotāju apskatīt pievienoto failu (inficēt datoru);

·     atkarībā no dažādiem faktoriem vīruss, izsūtot sevi, vēstulēm var pievienot failus (dokumentus, elektroniskās tabulas u. c.) no inficētā datora, radot nopietnus konfidenciālas informācijas noplūdes draudus;

·     inficētajām vēstulēm vilto lauku, kurš satur informāciju par nosūtīju, radot milzum daudz pārpratumu un nepatiesu apvainojumu vīrusu izplatīšanā.

 

I-Worm.Sircam.c:

·    izraisīja epidēmiju pagājušā gada jūlijā, nosaukts par gada izplatītāko vīrusu un vēl arvien nav atstājis vīrusu topus;

·    izplatās ar e-pasta starpniecību un lokālajos tīklos;

·     izmanto sociālo inženieriju, lai ar vēstules saturu un/vai faila nosaukumu pamudinātu lietotāju apskatīt pievienoto failu (inficēt datoru);

·     izsūtot sevi, vēstulēm pievieno failus (dokumentus, elektroniskās tabulas u.c.) no inficētā datora, radot nopietnus konfidenciālas informācijas noplūdes draudus.

 

I-Worm.Frethem.e:

·    izraisīja epidēmiju šīgada jūlijā un vēl arvien nav atstājis vīrusu topus (topos parādās arī citas šī vīrusa versijas);

·    izplatās ar e-pasta starpniecību;

·    sevis automātiskai palaišanai vīruss izmanto zināmu Internet Explorer drošības caurumu, kas nozīmē, ka iespējamas situācijas, kad dators tiek inficēts, tikai apskatot vīrusu nesošu e-pasta vēstuli;

·     izmanto sociālo inženieriju, lai ar vēstules saturu un/vai faila nosaukumu pamudinātu lietotāju apskatīt pievienoto failu (inficēt datoru);

·     satur īpašu nesankcionētas attālinātās vadības programmu (backdoor), ar kuras palīdzību var no interneta ielādēt speciāli šim nolūkam radītus komandu un izpildāmos failus.

 

No vīrusu aprakstiem redzamas mūsdienu biežāk sastopamo un dzīvotspējīgāko datorvīrusu galvenās iezīmes:

·    programmatūras drošības caurumu izmantošana;

·    plaša sociālās inženierijas izmantošana;

·    vairāki izplatīšanās veidi;

·    kaitīgās īpašības, kas vērstas uz konfidenciālas informācijas noplūdi vai kontroles pārņemšanu pār inficēto dotorsistēmu.

 

No tā izriet svarīga rekomendācija, kura regulāri atkārtojas dažādu pasaules IT drošības kompāniju ieteikumos – savlaicīga programmatūras jaunu versiju un drošības problēmu labojumu instalācija.

 

Lai gan datorvīrusi uzbrūk aizvien jaunās frontēs, e-pasts ir un paliek galvenais to transportēšanas veids. Vairāk nekā 80 procentu aptaujāto kompāniju pēc pēdējā ICSA Labs Virus Prevalence Survey pētījuma datiem ir sastapušies ar vīrusiem e-pasta vēstulēs.

 

No datiem redzams, ka nedaudz mazinās to vīrusu īpatsvars, kas izplatās pa e-pastu, bet pieaug citādos veidos klīstošo vīrusu īpatsvars, tāpēc apskatīsim vienu no jaunākajiem izplatīšanās veidiem.

 

Sakarā ar P2P (Peer To Peer) failu apmaiņas tīklu KaZaA, Morpheus, BearShare, eDonkey2000 u. c. milzīgo popularitāti, ir īstenoti pamatnosacījumi datorvīrusu eksistencei tajos. Īpaši svarīgais pirmais pamatnosacījums – popularitāte nodrošina dzīvošanas telpu vīrusiem un līdz ar to paaugstinātu vīrusu rakstītāju interesi. Tā, piemēram, KaZaA tīklā tiešsaistes režīmā patstāvīgi atrodas divi miljoni lietotāju. Vīrusu rakstītāju interesi sekmē arī apstāklis, ka šie tīkli pārsvarā tiek izmantoti apmaiņai ar mūzikas, video un citiem failiem un tāpēc lielākā daļa tīklu lietotāju ir mājas lietotāji, kuri visumā ir vājāk aizsargāti pret vīrusiem un citām kaitīgajām programmām nekā korporatīvie tīkli. Korporatīvo datortīklu administratoriem un atbildīgajām personām par drošību ieteicams īpaši pievērst uzmanību P2P failu apmaiņas tīklu izmantošanas iespēju kontrolei vai aizliegšanai no darbstacijām, jo P2P tīkli tuvākajā nākotnē var kļūt par tikpat populāru vīrusu izplatīšanās veidu, kāds tagad ir e-pasts.

 

2002. gada augustā kompānijas Kaspersky Lab antivīrusu produktu bāzes ir papildinātas ar vairākiem desmitiem Worm.P2P tipa vīrusu un to modifikāciju identifikācijas moduļiem. Apskatīsim divus piemērus, kas raksturo šī tipa vīrusu darbības pamatprincipus.

 

Worm.P2P.Duload:

·    inficē datoru, ja lietotājs palaiž vīrusa failu;

·    izplatās KaZaA tīklā;

·    uz inficētā datora izveido direktoriju, kurā sakopē sevi ar dažādiem iekārojamiem nosaukumiem (piemēram Kama Sutra Tetris.exe, The Sims Game Crack.exe utt.);

·    padara šo direktoriju pieejamu citiem KaZaA lietotājiem;

·    viena no vīrusa modifikācijām ielādē no interneta programmas nesankcionētai kontroles pārņemšanai pār inficēto datoru.

 

Worm.P2P.Kazmor:

·    inficē datoru, ja lietotājs palaiž vīrusa failu;

·    izplatās KaZaA, Morpheus un lokālajos tīklos;

·    pēc komandas kopē sevi ar dažādiem iekārojamiem nosaukumiem KaZaA un Morpheus failos (piemēram, microsoft office xp cracked.exe, 16 year old on beach.exe utt.);

·    pēc komandas kopē sevi ar nosaukumu Real Player.exe citu lokālā tīkla datoru auto palaišanas direktorijā;

·    satur attālinātās vadības programmu, caur kuru tiek dotas komandas izplatīties, nosūtīt detalizētu informāciju par inficēto datoru, ieskaitot paroles, izdarīt DoS uzbrukumu uz norādītu interneta adresi un daudzas citas darbības.

 

P2P vīrusos parasti tiek izmantota sociālā inženierija – vīrusu faili tiek izplatīti ar nosaukumiem, kas mudina tīklu lietotājus tos apskatīties. Abi no iepriekš minētajiem vīrusiem satur arī kaitīgās programmas nesankcionētām darbībām ar upura datoru un konfidenciālas informācijas zagšanai. Tas atbilst vispārējai tendencei izmantot vīrusu nevis destrukcijai, bet kontroles iegūšanai pār svešām datorsistēmām, kā rezultātā zaudējumi var būt pat daudzkārt lielāki nekā tiešas destrukcijas gadījumā, piemēram, ja sabojāti faili. Atliek tikai piebilst, ka P2P tīkli jau ir nokļuvuši IT drošības kompāniju pastiprinātas uzmanības lokā.

 

Rakstītāji nav atstājuši bez ievērības arī tādus vīrusu izplatīšanās ceļus kā MSN Messenger, AOL Instant Mesenger, IRC, kombinējot tos ar citiem. Tā piemēram, I-Worm.Aphex (e-pasts, AOL Instant Mesenger, IRC), Worm.P2P.Surnova (MSN Messenger, KaZaA tīkls)..

 

Pēc Latvijas lielākā e-pasta pakalpojumu portāla Inbox.lv datiem e-pasta vēstulēs konstatēto vīrusu daudzums ikdienā pašreiz pārsniedz to līmeni, ko vēl pirms gada mēs saucām par ļoti nopietnu epidēmiju. Raksturojot precīzāk, mēs dzīvojam vairāku datorvīrusu patstāvīgā epidēmijā. Katrs jauns veiksmīgs vīruss paceļ rekorda līmeni arvien augstāk, un mēs bieži vairs nepievēršam uzmanību pārējiem ierindas vīrusiem, kas pirms gada vai diviem būtu izraisījuši īstu ažiotāžu.

 

Pat tāda organizācija kā ASV Aizsardzības departaments (DoD) ilgu meklējumu rezultātā ir nonākuši pie atziņas, ka vienīgais efektīvais veids cīņai ar hakeriem un kaitīgajām programmām ir pilnīga slepeno datorsistēmu norobežošana no interneta. Līdz šādam ekstremālam slēdzienam DoD vadība ir gājusi vairākus gadus. Jau 1995. gadā tika izveidots tīkls NIPRNET – iekšējs Konfidencionālā IP trafika maršrutēšanas tīkls. Diemžēl tas neatrisināja problēmu un pašlaik sākta slepeno datorsistēmu norobežošana no interneta.

 

Ko gaidīt tuvākajā nakotnē un ko darīt datoru lietotājiem? Pagaidām neviens nesola, ka kļūs labāk. Intervijā žurnālam Klubs Jevgeņijs Kasperskis, Kaspersky Lab datorvīrusu pētījumu vadītājs, saka: - Ir vairāki noteikumi, kurus es ievērotu, ja būtu vienkāršs lietotājs. Ir jābūt antivīrusu programmai - tas ir punkts numur nulle. Bez tā datoru vispār nedrīkst ieslēgt. Pirmais noteikums, - antivīrusu programmu versijām jābūt pašām jaunākajām.  Otrkārt, nepieciešams maksimāli piesardzīgi izturēties pret to informāciju, kura nonāk jūsu datorā. Ja jums rodas aizdomas, labāk neatvērt. Un, treškārt, es rekomendētu pievērst uzmanību informācijai, kas tiek publicēta antivīrusu kompāniju vebsaitos.

 

Valdis ŠĶESTERS,

Datoru drošības tehnoloģijas

Kaspesrsky Lab oficiālais pārstāvis Latvijā

 

 

Visi datorvīrusu nosaukumi doti atbilstoši Kaspersky Anti-Virus vīrusu bāzei un var atšķirties no citu antivīrusu kompāniju dotajiem nosaukumiem.

 

Internet resursi:

www.antivirus.lv

www.kasperskylab.com

www.viruslist.com