Файл: Исследование проблем борьбы с вирусами и антивирусные программы (Классификация вирусов.).pdf

По самым скромным оценкам инцидент с червём Морриса стоил свыше 8 миллионов часов потери доступа и свыше миллиона часов прямых потерь на восстановление работоспособности систем. Общая стоимость этих затрат оценивается в 96 миллионов долларов. Ущерб был бы гораздо больше, если бы вирус изначально создавался с разрушительными целями. Червь Морриса поразил свыше 6200 компьютеров. В результате вирусной атаки большинство сетей вышло из строя на срок до пяти суток. Компьютеры, выполнявшие коммутационные функции, работавшие в качестве файл-серверов или выполнявшие другие функции обеспечения работы сети, также вышли из строя.

В 1989 году широкое распространение получили вирусы DATACRIME, которые начиная с 12 октября разрушали файловую систему, а до этой даты просто размножались. Эта серия компьютерных вирусов начала распространяться в Нидерландах, США и Японии в начале 1989 года и к сентябрю поразила около 100 тысяч персональных компьютеров только в Нидерландах (что составило около 10 % от их общего количества в стране). Даже фирма IBM отреагировала на эту угрозу, выпустив свой детектор VIRSCAN, позволяющий искать характерные для того или иного вируса строки (сигнатуры) в файловой системе. Набор сигнатур мог дополняться и изменяться пользователем.

Начиная с 1990 года, проблема вирусов начинает принимать глобальный размах. В Болгарии открывается первая в мире специализированная BBS, с которой каждый желающий может скачать свежий вирус. Начинают открываться конференции Usenet по вопросам написания вирусов. Выходит «Маленькая чёрная книжка о компьютерных вирусах» Марка Людвига. Вредоносные программы стали не просто устраивать всякие виртуальные пакости пользователям, но и заниматься хищением или вымогательством самых что ни на есть реальных денег.

В 1990 году компьютерный журнал PC Today разослал подписчикам зараженную дискету. Вирус называемый AIDS Information Trojan - троянская программа^[4], распространявшейся в составе пакета с базой данных о заболевании синдромом приобретенного иммунодефицита (СПИД). Как программа, так и база данных были записаны на дискете, которая были разослана 20 тысячам подписчиков. После записи на винчестер она действительно начала выдавать информацию по обещанной тематике. Однако затем (после 90 загрузок системы) «троянец» шифровал имена всех файлов на диске, делал их невидимыми и оставлял на диске всего один читаемый файл - требование перечислить сумму в 378 долларов на счет некоей фирмы в Панаме. В этом случае пользователю якобы будет выслана программа, которая произведёт удаление вирусов с компьютера. Джозеф Попп - автор «троянца», был пойман и приговорен к тюремному заключению.

В 1991 году написана программа - генератор вирусов, предназначенная исключительно для создания вирусов, VCS v1.0. В этом же году появился первый полиморфный вирус^[5] Chameleon, умеющий видоизменять свое тело. Данная технология была быстро взята на вооружение и в сочетании со стелс-технологией и бронированием (Armored) позволила новым вирусам успешно противостоять существующим антивирусным пакетам.

Операционная система Windows 95 была почти готова, и её beta-версию разослали 160 тестерам. Все диски оказались зараженными загрузочным вирусом Form, и только один тестер не поленился проверить диск антивирусом. В пресс-релизе, посвященном выходу принципиально новой операционной системы, было сказано, что она полностью защищена от любых вирусов. Через несколько месяцев был создан первый макровирус, представлявший собой не привычный исполняемый файл, а сценарий, который заражал документы Microsoft Word. В течение месяца макровирус Сoncept внедрился в компьютеры пользователей Microsoft Word и парализовал работу десятков компаний по всему миру. На сегодняшний момент существует около 100 модификаций вируса Сoncept.

Вирус Satan Bug заражает сотни компьютеров в Вашингтоне. Страдают даже компьютеры Белого дома. ФБР арестовало автора - им оказался 12-летний подросток. Зафиксировано появление «бомб замедленного действия» — вирусов, проникающих в компьютеры и активизирующихся лишь при наступлении определенной даты.

1995 год оказался переходом на более совершенный уровень в вирусмейкерстве^[6]. Если до этого года вирусы можно было посчитать по пальцам, то, начиная с 1996 года, их счет пошел на тысячи и по этой же причине ремонт компьютеров дома стал более популярен.

Вирусы в эпоху развития всемирной паутины и интернета.

В 1997 году зарождаются AOL^[7]-трояны и фишинг^[8] — приемы склонения пользователей с помощью обмана на совершение тех или иных действий, приводящих, в конечном счете, к потере денег. Началось все с кражи троянами кодов доступа к сети America Online, что стало предзнаменованием феномена фишинга, доминирующего в 21 веке.

В 1998 году два калифорнийских подростка создали вирус, который заразил более 500 компьютеров Пентагона. После этого Министерство обороны США пришло к выводу, что атаки в киберпространстве не менее опасны, чем традиционные виды ведения боевых действий, и создали термин «гонка компьютерных вооружений».

1998 год — вирус Win95.CIH. Этот вирус активизировался 26 апреля 1999 года и уничтожал всю информацию на жестком диске, записывая на него мусор. Кроме того, он перезаписывал Flash BIOS, если переключатель находился в положении, разрешающем запись, и выводил из строя материнскую плату. Эпидемия вируса Win95.CIH, более известного как «Чернобыль» была на тот момент самой разрушительной. Этот вирус стал поворотной точкой в восприятии компьютерных угроз пользователями. Это был первый вирус, который нанес урон не только данным, находящимся на заразившейся машине, но и вывел из строя некоторые компьютеры целиком. Свое название CIH вирус получил от имени своего создателя - студента тайваньского университета Чен Ин-Хау (Chen Ing-Hau). Его второе название – «Чернобыль» (Chernobyl) появилось из-за того, что вирус активировался 26 апреля - день катастрофы Чернобыльской АЭС.

В 1999 году вирус Melissa вызвал эпидемию мирового масштаба, поразил десятки тысяч компьютеров и нанес ущерб в 80 миллионов долларов. Вирус поразил 13 узловых Интернет-серверов, обеспечивающих работоспособность Всемирной сети. Автора вируса Melissa, 33-летнего программиста Дэвида Смита посадили на 20 месяцев.

В мае 2000 год рекорд вируса Melissa был побит. Червь «I love you», выпущенный на Филиппинах, нанес владельцам компьютеров ущерб, по приблизительным оценкам, превышающий 10 миллиардов долларов. Миллионы компьютеров в течение нескольких часов были заражены. Расследование показало, что вирус создал филиппинский студент, который даже не был осужден из-за отсутствия соответствующего закона в законодательстве Филиппин. В том же году было подписано первое международное соглашение о противодействии компьютерным вирусам.

Червь, вошедший в историю как Code Red, за 14 часов сумел заразить более 300 тысяч компьютеров в Интернете. После них были и другие, например, Nimda (слово admin, прочитанное наоборот), многовекторный червь, распространялся сразу несколькими способами, включая «черные ходы», оставленные другими червями. MyDoom стал самым быстрым червем, распространяющимся по электронной почте.

В феврале 2001 года появился червь AnnaKournikova, который поразил Интернет. Его создателем оказался голландский студент, который вообще не умел программировать. В 2002 году количество и серьёзность вирусов абсолютно выходит из-под контроля.

В 2003 году рекорд скорости распространения побил червь Slammer, поразивший 75 тысяч компьютеров за 10 минут. Вирус заразил компьютеры Госдепартамента США. Slammer, представляющий собой пакет данных размером в 376 бит, самостоятельно создаёт случайные IP адреса и копирует себя туда. Если на его пути находился сервер с установленной на нем «Microsoft SQL Server Desktop Engine», и если эта система не была пропатчена – такой сервер тоже начинал массовую рассылку пакетов. За первые 10 минут было заражено 75 тысяч серверов. А всего – пострадало около полумиллиона машин. Из-за огромного количества «мусорного» трафика каналы связи оказались забиты по всему миру, а Южная Корея вообще оказалась отключенной от Интернета на 12 часов. Серверы были не в состоянии самостоятельно произвести удаление вирусов.

В 2004 году 30 апреля 17 летний немецкий школьник Свен Яшан создал вирус Saccer. Эта чудесная программка, выпущенная парнем в собственный день рождения, привела к блокированию спутниковой связи во Франции, отмене авиарейсов в Великобритании, и заражению миллионов машин по всему миру. 2005 год отличился повышенной активностью вируса Zafi. В создании его сознался Свен Яшан , подготовивший Всемирной паутине рождественский подарок. Так появился новый вирус Zafi.D. Начинается все с того, что пользователь получает по электронной почте милое письмо, в заголовке которого значится фраза "Счастливого Рождества!". Причем поздравление написано на языке получателя - английском, русском, финском, шведском или любом другом.

Вирусы начинают жить «колониями». В 2006 году было зафиксировано появление первых массовых ботнетов – сети связанных между собою вирусом компьютеров, которые управляются злоумышленниками из командного центра. Эти вредоносные программы (боты^[9]) работают незаметно, используя при этом системные ресурсы компьютера пользователя.

В 2007 году Вирус Storm устроил самый настоящий шторм Интернета. Ураган в Европе нашел свое отражение в Интернете. Червь распространялся по почте. После запуска вложенных файлов устанавливается вирус, который дает возможность хакерам перебирать управление компьютером в свои руки. В 2007 году это была самая сильная бот сеть.

Еще один крупнейший ботнет Conficker возник в 2008 году и получил широкую известность за счет массового распространения, долговечности и алгоритма, препятствующего его обнаружению. Боты данной сети отключают в Windows функцию «восстановление системы», могут заблокировать доступ к различным сайтам, которые посвящены информационной безопасности, могут скачивать на пораженную машину дополнительные вредоносные программы, а также отключать системные службы. На 13 января 2009 года насчитывалось 2,4 миллиона компьютеров нуждающихся в ремонте, через день их было уже 3,5 миллиона, а по данным на 16 января вирус заразил почти 9 миллионов систем. Microsoft сообщала, что заплатит 250 тысяч долларов за информацию, которая приведет к поимке создателей червя.

Эпоха киберпреступлений.

Первое реально и успешно использованное кибероружие зафиксировано в 2010 году - программа Stuxnet. Это первый известный компьютерный червь, перехватывающий и модифицирующий информационный поток между программируемыми логическими контроллерами и рабочими станциями SCADA-системы^[10] Simatic WinCC фирмы Siemens. Таким образом, червь может быть использован в качестве средства несанкционированного сбора данных (шпионажа) и диверсий в АСУ ТП^[11] промышленных предприятий, электростанций, аэропортов и т. п.

Так компьютерные вирусы обрели возможность разрушать физические объекты с системами, подключенными к средствам цифрового управления.

2012 год стал переломным с точки зрения развития кибервооружений. Уже в первые месяцы того года специалистам «Лаборатории Касперского» пришлось столкнуться с изучением инцидентов, связанных как минимум с четырьмя видами вредоносных программ, имеющих право быть отнесенными к классу кибероружия. Одним из них была программа Flame, поразившая от 1000 до 5000 компьютеров по всему миру. Вирусные аналитики охарактеризовали её самым сложным кибероружием из ранее созданных. Вредоносный код Flame во многом превзошёл Stuxnet: размером (около 20 мегабайт), количеством библиотек и дополнительных плагинов, базой данных, различными уровнями шифрования, использованием редкого для создания вирусов языка программирования LUA. Как считают вирусные аналитики Лаборатории Касперского, разработка этой вредоносной программы началась более 5 лет тому назад и она проработала на заражённых компьютерах Ближнего Востока не менее двух лет. Детальный анализ вредоносной программы позволил исследователям установить, что её разработка началась еще в 2008 году и активно продолжалась вплоть до момента обнаружения в мае 2012 года. Кроме того, выяснилось, что один из модулей платформы Flame был использован в 2009 году для распространения червя Stuxnet .

Дальнейшие поиски привели исследователей к обнаружению еще одной сложной вредоносной программы, созданной на платформе Flame, однако отличающейся по функционалу и ареалу распространения. Это был кибершпион^[12]  Gauss, который обладал модульной структурой и функционалом банковского троянца, предназначенного для кражи финансовой информации пользователей зараженных компьютеров. Многочисленные модули Gauss использовались для сбора информации, содержащейся в браузере, включая историю посещаемых сайтов и пароли, используемые в онлайн-сервисах. Жертвами вредоноса стали клиенты ряда ливанских банков, таких как Bank of Beirut, EBLF, BlomBank, ByblosBank, FransaBank и Credit Libanais, а также Citibank и пользователи электронной платёжной системы PayPal.

В январе 2013 года история с кибершпионскими программами получила громкое продолжение. Эксперты «Лаборатории Касперского» сообщили об обнаружении шпионской сети Red October (Красный октябрь), организаторы которой, имеющие предположительно русскоязычные корни, вели слежку за дипломатическими, правительственными и научными организациями в различных странах. Предполагаемые киберпреступники пытались получить конфиденциальную информацию и данные, дающие доступ к компьютерным системам, персональным мобильным устройствам и корпоративным сетям, а также занимались сбором сведений геополитического характера. Ареал деятельности данных лиц распространялся на республики бывшего СССР, страны Восточной Европы, а также некоторые государства Центральной Азии .