Usuwanie złośliwego oprogramowania

Co to jest złośliwe oprogramowanie? Złośliwe oprogramowanie - malware (z ang. malicious software) – wszelkie aplikacje, skrypty itp. mające szkodliwe, przestępcze lub złośliwe działanie w stosunku do użytkownika komputera

Rodzaje złośliwego oprogramowania Robaki (ang. worm) – złośliwe oprogramowanie podobne do wirusów, rozmnażające się tylko przez sieć. W przeciwieństwie do wirusów nie potrzebują programu „żywiciela”. Często powielają się pocztą elektroniczną. Wabbit – program rezydentny nie powielający się przez sieć. Wynikiem jego działania jest jedna określona operacja, np. powielanie tego samego pliku aż do wyczerpania zasobów pamięci komputera. Trojan – nie rozmnaża się jak wirus, ale jego działanie jest równie szkodliwe. Ukrywa się pod nazwą lub w części pliku, który użytkownikowi wydaje się pomocny. Oprócz właściwego działania pliku zgodnego z jego nazwą, trojan wykonuje operacje w tle szkodliwe dla użytkownika, np. otwiera port komputera, przez który może być dokonany atak włamywacza (hakera).

Backdoor – przejmuje kontrolę nad zainfekowanym komputerem, umożliwiając wykonanie na nim czynności administracyjnych, łącznie z usuwaniem i zapisem danych. Podobnie jak trojan, backdoor podszywa się pod pliki i programy, z których często korzysta użytkownik. Umożliwia intruzom administrowanie systemem operacyjnym poprzez Internet. Wykonuje wtedy zadania wbrew wiedzy i woli ofiary. Programy szpiegujące (ang. spyware) – oprogramowanie zbierające informacje o osobie fizycznej lub prawnej bez jej zgody, jak informacje o odwiedzanych witrynach, hasła dostępowe itp. Występuje często jako dodatkowy i ukryty komponent większego programu, odporny na usuwanie i ingerencję użytkownika. Programy szpiegujące mogą wykonywać działania bez wiedzy użytkownika – zmieniać wpisy do rejestru systemu operacyjnego i ustawienia użytkownika. Program szpiegujący może pobierać i uruchamiać pliki pobrane z sieci. scumware (ang. scum – piana; szumowiny, męty) – żargonowe, zbiorcze określenie oprogramowania, które wykonuje w komputerze niepożądane przez użytkownika czynności.

Exploit – kod umożliwiający bezpośrednie włamanie do komputera ofiary, do dokonania zmian lub przejęcia kontroli wykorzystuje się lukę w oprogramowaniu zainstalowanym na atakowanym komputerze. Exploity mogą być użyte w atakowaniu stron internetowych, których silniki oparte są na językach skryptowych (zmiana treści lub przejęcie kontroli administracyjnej), systemy operacyjne (serwery i końcówki klienckie) lub aplikacje (pakiety biurowe, przeglądarki internetowe lub inne oprogramowanie). Rootkit – jedno z najniebezpieczniejszych narzędzi hackerskich. Ogólna zasada działania opiera się na maskowaniu obecności pewnych uruchomionych programów lub procesów systemowych (z reguły służących hackerowi do administrowania zaatakowanym systemem). Rootkit zostaje wkompilowany (w wypadku zainfekowanej instalacji) lub wstrzyknięty w istotne procedury systemowe, z reguły jest trudny do wykrycia z racji tego, że nie występuje jako osobna aplikacja. Zainstalowanie rootkita jest najczęściej ostatnim krokiem po włamaniu do systemu, w którym prowadzona będzie ukryta kradzież danych lub infiltracja.

Keylogger – Odczytuje i zapisuje wszystkie naciśnięcia klawiszy użytkownika. Dzięki temu adresy, kody, cenne informacje mogą dostać się w niepowołane ręce. Pierwsze programowe keyloggery były widoczne w środowisku operacyjnym użytkownika. Teraz coraz częściej są procesami niewidocznymi dla administratora. Istnieją też keyloggery występujące w postaci sprzętowej zamiast programowej. Dialery – programy łączące się z siecią przez inny numer dostępowy niż wybrany przez użytkownika, najczęściej są to numery o początku 0-700 lub numery zagraniczne. Dialery szkodzą tylko posiadaczom modemów telefonicznych analogowych i cyfrowych ISDN, występują głównie na stronach o tematyce erotycznej.

Jak działa program antywirusowy? W programie antywirusowym stosowanych jest kilka metod ochrony, niezależnie od tego, czy program działa w trybie dyskretnym czy doraźnym. Jedną z najbardziej znanych metod ochrony jest dokładne skanowanie komputera. Skanowanie (inicjowane przez użytkownika lub przeprowadzane regularnie) pozwala przeanalizować wszystkie pliki po kolei i sprawdzić, czy nie zawierają one wirusów. Metoda ta jest najskuteczniejsza w przypadku podejrzenia o zainfekowanie komputera wirusem. Istnieje możliwość sprawdzenia wszystkich plików lub ich części albo skoncentrowania się tylko na plikach przechowywanych na dyskietkach.

Podczas skanowania program antywirusowy szuka śladów wirusa za pomocą własnej bazy danych sygnatur wirusów. Podobnie jak wszystkie programy wykonywalne, wirusy składają się z kodów. Za każdym razem, gdy zostanie odkryty nowy wirus, producenci oprogramowania antywirusowego rejestrują kody nazywane „sygnaturami” i dodają je do baz danych swojego oprogramowania. Sygnatura składa się z ciągów znaków niezrozumiałych dla użytkowników, ale czytelnych dla komputera. Przykład: X5O!P%@AP[4\PZX54(P^)7CC)7$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* Po skopiowaniu tych wierszy do pliku tekstowego i zapisaniu ich jako pliku wykonywalnego o rozszerzeniu .com program antywirusowy rozpozna ten plik jako wirusa, ponieważ kody te są przechowywane w jego bazie danych.

Monitorowanie w czasie rzeczywistym Skaner umożliwia uzyskanie obrazu systemu w dowolnym momencie. W celu zapewnienia stałej ochrony w czasie rzeczywistym oprogramowanie odwołuje się do środków bezpieczeństwa wymagających zastosowania innej procedury: monitorowania w tle. Ta funkcja ochrony antywirusowej, znana też jako „monitor”, jest przez cały czas aktywna, działając w sposób niezauważalny dla użytkownika. Monitoruje ona wszystkie pliki przychodzące i wychodzące, analizuje każdy nowy dokument zapisany na dyskietce, pobrany z sieci czy przesłany za pośrednictwem poczty e?mail. Proces ciągłego monitorowania pozwala wykryć każdy podejrzany plik i chroni system przed wirusami. Podobnie jak skaner, monitor także korzysta z bazy danych sygnatur wirusów. Jeśli baza nie jest aktualizowana, program antywirusowy nie może wykryć najnowszych zagrożeń.

Mimo to wielu użytkowników nie aktualizuje baz sygnatur lub nie robi tego wystarczająco często. Tymczasem zbyt późna aktualizacja bazy może okazać się bardzo groźna w skutkach: pod koniec sierpnia w ciągu zaledwie jednego tygodnia pojawiły się aż trzy wirusy poziomu 3 i 4. Istnieje jeszcze inne źródło zagrożenia: wirusy polimorficzne, których sygnatury zmieniają się wraz z każdą kolejną infekcją. Takie wirusy trudno zidentyfikować za pomocą sygnatur. W celu rozwiązania tego typu problemów producenci oprogramowania antywirusowego opracowali system wyszukiwania heurystycznego. Pracując niezależnie od sygnatur, system ten wykrywa obecność wirusów przy użyciu technologii sztucznej inteligencji. Rozpoznaje on wzorce zachowań nietypowe dla normalnej pracy aplikacji.

Przykład: Po uruchomieniu normalnego programu zaczyna on szukać opcji wiersza poleceń. Natomiast wirusy zachowują się w różny sposób: szukają plików wykonywalnych, aby się powielić, próbują zapisać się bezpośrednio na dysku lub — jeśli są to wirusy polimorficzne — odszyfrować swój początkowo zaszyfrowany kod itd. Jeśli program antywirusowy wykryje kilka anomalii w aplikacji (np. kod formatowania dysku twardego), wygeneruje alarm wirusowy. Program antywirusowy może następnie zablokować wirusy, które są wciąż nieznane i nie ma ich w bazie danych sygnatur. Związane z tą metodą ryzyko wystąpienia fałszywego alarmu (program antywirusowy może np. pomylić narzędzie do formatowania z wirusem) jest zminimalizowane dzięki jednoczesnemu zastosowaniu innych narzędzi, takich jak kontroler spójności. Narzędzie to regularnie sprawdza określone stałe wartości oprogramowania (takie jak rozmiar, datę utworzenia itd.). Jeśli dane te zmieniły się, oznacza to obecność wirusa.

Błyskawiczna naprawa Po wykryciu zainfekowanych plików program antywirusowy najpierw poddaje je kwarantannie, aby uniemożliwić wirusowi powielanie się. Następnie próbuje je wyczyścić, usuwając kod wirusa i naprawiając uszkodzone fragmenty. Zastosowanie takiej procedury naprawczej jest możliwe, jeśli wirus rozprzestrzeniał się przez dodawanie swojego kodu do kodu aplikacji. Jednak niektóre wirusy infekują całe pliki i wówczas odzyskanie plików nie jest możliwe. W takim wypadku program antywirusowy poddaje kwarantannie cały plik i zaleca jego usunięcie.

KONIEC Dziękujemy za uwagę: Adrian Gołembiewski, Eryk Linda