Вредоносная программа

Вредоносная программа[1][2] (другие термины: зловредная программа, вредонос[3], зловред[4]; англ. malware — словослияние слов malicious и software) — любое программное обеспечение, предназначенное для получения несанкционированного доступа к вычислительным ресурсам самой ЭВМ или к информации, хранимой на ЭВМ, с целью несанкционированного использования ресурсов ЭВМ или причинения вреда (нанесения ущерба) владельцу информации, и/или владельцу ЭВМ, и/или владельцу сети ЭВМ, путём копирования, искажения, удаления или подмены информации. Многие антивирусы считают крэки (кряки), кейгены и прочие программы для взлома приложений вредоносными программами, или потенциально опасными.

Компьютерным вирусом называется один из классов вредоносного ПО по методу размножения.

Синонимы

  • badware (bad — плохое и (soft)ware — программное обеспечение) — плохое программное обеспечение.
  • computer contaminant (computer — компьютер и contaminant — загрязнитель) — термин для обозначения вредоносного программного обеспечения, который используется в законодательстве некоторых штатов США, например Калифорнии и Западной Виргинии.
  • crimeware (crime — преступность и software — программное обеспечение) — класс вредоносных программ, специально созданный для киберпреступлений. Это не синоним термина malware (значение термина malware шире). Не все программы, относящиеся к crimeware, являются вредоносными, поскольку понятие преступления субъективно и зависит от законодательства конкретной страны, а вред, наносимый владельцу и/или пользователю компьютера — объективен.

Терминология

По основному определению, вредоносные программы предназначены для получения несанкционированного доступа к информации, в обход существующих правил разграничения доступа. Федеральная Служба по Техническому и Экспортному Контролю (ФСТЭК России) определяет данные понятия следующим образом:

  • Санкционированный доступ к информации (англ. authorized access to information) — доступ к информации, не нарушающий правила разграничения доступа.
  • Несанкционированный доступ к информации (англ. unauthorized access to information) — доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем.
  • Правила разграничения доступа (англ. access mediation rules) — совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа

Другие определения термина «вредоносная программа»

Согласно статье 273 Уголовного Кодекса Российской Федерации[5] («Создание, использование и распространение вредоносных компьютерных программ») определение вредоносных программ выглядит следующим образом: «… заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации…»

Надо отметить, что действующая формулировка статьи 273 трактует понятие вредоносности чрезвычайно широко. Когда обсуждалось внесение этой статьи в УК, подразумевалось, что «несанкционированными» будут считаться действия программы, не одобренные явным образом пользователем этой программы. Однако, нынешняя судебная практика относит к вредоносным также и программы, модифицирующие (с санкции пользователя) исполняемые файлы и/или базы данных других программ, если такая модификация не разрешена их правообладателями. При этом, в ряде случаев[6], при наличии принципиальной позиции защиты и грамотно проведенной экспертизе, широкая трактовка статьи 273 была признана судом незаконной.

Корпорация Microsoft трактует термин «вредоносная программа» следующим образом: «Вредоносная программа (malware) — это сокращение от „malicious software“, обычно используемое как общепринятый термин для обозначения любого программного обеспечения, специально созданного для того, чтобы причинять ущерб отдельному компьютеру, серверу, или компьютерной сети, независимо от того, является ли оно вирусом, шпионской программой и т. д.»[источник не указан 2097 дней]

Классификация вредоносных программ

У компаний-разработчиков антивирусного программного обеспечения существуют собственные классификации и номенклатуры вредоносных программ.[7] Приведённая в этой статье классификация основана на номенклатуре «Лаборатории Касперского».[8]

По вредоносной нагрузке

  • Помехи в работе заражённого компьютера: начиная от открытия-закрытия поддона CD-ROM и заканчивая уничтожением данных и поломкой аппаратного обеспечения. Поломками известен, в частности, Win32.CIH.
    • Блокировка антивирусных сайтов, антивирусного ПО и административных функций ОС с целью усложнить лечение.
    • Саботирование промышленных процессов, управляемых компьютером (этим известен червь Stuxnet).
  • Инсталляция другого вредоносного ПО.
    • Загрузка из сети (downloader).
    • Распаковка другой вредоносной программы, уже содержащейся внутри файла (dropper).
  • Кража, мошенничество, вымогательство (ransomware) и шпионаж за пользователем (spyware). Для кражи может применяться сканирование жёсткого диска, регистрация нажатий клавиш (Keylogger) и перенаправление пользователя на поддельные сайты, в точности повторяющие исходные ресурсы.
  • Прочая незаконная деятельность:
  • Менее опасные в зависимости от конкретной ситуации ПО или данные:
    • Шуточное ПО, делающее какие-либо беспокоящие пользователя вещи.
    • Adware — программное обеспечение, показывающее рекламу.
    • Spyware, если оно занимается сбором малоценной информации — например, конфигурации компьютера, некоторой активности пользователя…
    • «Отравленные» документы, дестабилизирующие ПО, открывающее их (например, архив размером меньше мегабайта может содержать гигабайты данных и надолго «завесить» архиватор или компьютер, и даже временно вывести из строя файловую системы или накопитель).
    • Руткит нужен, чтобы скрывать другое вредоносное ПО от посторонних глаз.
  • Иногда вредоносное ПО для собственного распространения или собственно вредоносной деятельности устанавливает дополнительные утилиты: IRC-клиенты[9], программные маршрутизаторы[10], открытые библиотеки перехвата клавиатуры, программы удалённого администрирования[11] Такое ПО вредоносным не является, но из-за того, что за ним часто стоит истинно вредоносная программа, о нём могут предупреждать антивирусы. Бывает даже, что вредоносным является только скрипт из одной строчки, а остальные программы вполне легитимны.[12]
  • Данные от ПО могут передаваться как через компьютерную сеть, так и через «воздушный зазор»: при использовании накопителей, наличии микрофонов и (или) динамиков, и даже без каких-либо нестандартных устройств.

По методу размножения

  • Эксплойт — теоретически безобидный набор данных (например, графический файл или сетевой пакет), некорректно воспринимаемый программой, работающей с такими данными. Здесь вред наносит не сам файл, а неадекватное поведение ПО с ошибкой, приводящее к уязвимости. Также эксплойтом называют программу для генерации подобных «отравленных» данных.
  • Логическая бомба — вредоносная часть компьютерной программы (полезной или нет), срабатывающая при определённом условии.
  • Троянская программа не имеет собственного механизма размножения.
  • Компьютерный вирус размножается в пределах компьютера и через сменные диски. Размножение через сеть возможно, если пользователь сам выложит заражённый файл в сеть. Вирусы, в свою очередь, делятся по типу заражаемых файлов (файловые, загрузочные, макро-, автозапускающиеся); по способу прикрепления к файлам (паразитирующие, «спутники» и перезаписывающие) и т. д.
  • Сетевой червь способен самостоятельно размножаться по сети. Делятся на IRC-, почтовые, размножающиеся с помощью эксплойтов и т. д.
  • Иногда ПО распространяется с программой установки, которая дополнительно устанавливает какое-либо другое ПО (вредоносное или нет). Вредоносность самого действия зависит от его очевидности, возможности выбора, настроек по умолчанию, лёгкости последующего удаления.

Вредоносное ПО может образовывать цепочки: например, с помощью эксплойта (1) на компьютере жертвы развёртывается загрузчик (2), устанавливающий из интернета червя-вирус (3-4) с логическими бомбами (5).

Признаки заражения

  • автоматическое открытие окон с незнакомым содержимым при запуске компьютера;
  • блокировка доступа к официальным сайтам антивирусных компаний, или же к сайтам, оказывающим услуги по «лечению» компьютеров от вредоносных программ;
  • появление новых неизвестных процессов в выводе диспетчера задач (например, окне «Процессы» диспетчера задач Windows);
  • появление в ветках реестра, отвечающих за автозапуск, новых записей;
  • запрет на изменение настроек компьютера в учётной записи администратора;
  • невозможность запустить исполняемый файл (выдаётся сообщение об ошибке);
  • появление всплывающих окон или системных сообщений с непривычным текстом, в том числе содержащих неизвестные веб-адреса и названия;
  • перезапуск компьютера во время старта какой-либо программы;
  • случайное и/или беспорядочное отключение компьютера;
  • случайное аварийное завершение программ;
  • снижение производительности при достаточном объёме памяти, вплоть до «зависаний» вкупе с аномальным перегреванием системного блока;
  • случайное появление BSoD при запуске компьютера;
  • появление неизвестных файлов и каталогов в файловой системе ОС, которые обычно выдают ошибку удаления;
  • шифрование или повреждение пользовательских файлов;
  • неизвестные изменения в содержимом системных файлов при открытии их в текстовом редакторе;
  • быстрая утечка памяти на жёстком диске.

Однако, следует учитывать, что несмотря на отсутствие симптомов, компьютер может быть заражен вредоносными программами, возможно встраивание вредоносного кода в сборку операционной системы, при этом антивирусное ПО может не сигнализировать о заражении при проверке компьютера.

Способы защиты от вредоносных программ

Абсолютной защиты от вредоносных программ не существует: от «эксплойтов нулевого дня» наподобие Sasser или Conficker не застрахован никто. Но с помощью некоторых мер можно существенно снизить риск заражения вредоносными программами. Ниже перечислены основные и наиболее эффективные меры для повышения безопасности:

  • использовать операционные системы, не дающие изменять важные файлы без ведома пользователя;
  • своевременно устанавливать обновления;
    • если существует режим автоматического обновления, включить его;
    • для проприетарного ПО: использовать лицензионные копии. Обновления для двоичных файлов иногда конфликтуют со взломщиками;
  • - помимо антивирусных продуктов, использующих сигнатурные методы поиска вредоносных программ, использовать программное обеспечение, обеспечивающее проактивную защиту от угроз (необходимость использования проактивной защиты обуславливается тем, что сигнатурный антивирус не замечает новые угрозы, ещё не внесенные в антивирусные базы). Однако, его использование требует от пользователя большого опыта и знаний;
  • - постоянно работать на персональном компьютере исключительно под правами пользователя, а не администратора, что не позволит некоторым вредоносным программам инсталлироваться на персональном компьютере и изменить системные настройки. Но это не защитит персональные данные от вредоносных (Trojan-Clicker, Trojan-DDoS, Trojan-Downloader, ransomware [шифрующий файлы], шпионского ПО) и потенциально-нежелательных программ (Adware, Hoax), имеющих доступ к файлам пользователя, к которым ограниченная учетная запись имеет разрешение на запись и чтение (например, домашний каталог — подкаталоги /home в GNU/Linux, Documents and settings в Windows XP, папка «Пользователи» в Windows 7,8,8.1,10), к любым папкам, в которые разрешена запись и чтение файлов, или интерфейсу пользователя (как делают пользовательские программы для создания снимков экрана или изменения раскладки клавиатуры);
  • - ограничить физический доступ к компьютеру посторонних лиц;
  • - использовать внешние носители информации только от проверенных источников на рабочем компьютере;
  • - не открывать компьютерные файлы, полученные от ненадёжных источников, на рабочем компьютере;
  • - использовать межсетевой экран (аппаратный или программный), контролирующий выход в сеть Интернет с персонального компьютера на основании политик, которые устанавливает сам пользователь;
  • - использовать второй компьютер (не для работы) для запуска программ из малонадежных источников, на котором нет ценной информации, представляющей интерес для третьих лиц и злоумышленников;
  • - делать резервное копирование важной информации на внешние носители и отключать их от компьютера (вредоносное ПО может шифровать или ещё как-нибудь портить найденные им файлы).
  • - хранить важную информацию, которая может представлять интерес для третьих лиц и злоумышленников, в зашифрованных архивах;

Правовые вопросы

За создание, использование и распространение вредоносных программ предусмотрена различная ответственность, в том числе и уголовная, в законодательстве многих стран мира. В частности, уголовная ответственность за создание, использование и распространение вредоносных программ для ЭВМ предусмотрена в Статье 273 УК РФ[5]. Для того, чтобы программа считалась вредоносной, нужны три критерия:

  • Уничтожение информации или нарушение работы. Таким образом, взломщик защиты от копирования — не вредоносная программа. Однако иногда во взломщики добавляют «троянских коней».
  • Несанкционированная работа. Определяется обычно от противного: для санкционированной работы программа должна предупредить пользователя о своей опасности и не исполнять опасные функции в неожиданные моменты. Программа форматирования диска, входящая в комплект любой ОС, уничтожает данные, но не является вредоносной, так как её запуск санкционируется пользователем.
  • Заведомость — явная цель несанкционированно уничтожить информацию. Программы с ошибкой могут пройти как нарушение прав потребителей или как преступная халатность — но не как вредоносные.

Более чёткие критерии, по которым программные продукты (модули) могут быть отнесены к категории вредоносных программ, до настоящего времени нигде четко не оговорены. Соответственно, для того, чтобы утверждение о вредоносности программы имело юридическую силу, необходимо проведение программно-технической экспертизы с соблюдением всех установленных действующим законодательством формальностей.

Стоит признать, что в РФ нарушение авторских прав часто квалифицируют как «создание и распространение вредоносных программ» — из-за более жёсткого наказания за последнее. Впрочем, создание вредоносных программ — преступление против оператора ЭВМ (владельца аппаратного обеспечения либо уполномоченного им человека), нарушение авторского права — против правообладателя.[13][14]

См. также

Примечания

  1. Terminology Search — Microsoft Language Portal
  2. немецкий-русский перевод — malware
  3. вредонос — multitran.ru
  4. зловред — multitran.ru
  5. 1 2 Уголовный Кодекс РФ Статья 273 УК РФ. Создание, использование и распространение вредоносных программ для ЭВМ
  6. «Вредоносные» уголовные дела: сбой «конвейера», Середа С. А. (недоступная ссылка). Дата обращения 21 апреля 2011. Архивировано 16 января 2013 года.
  7. Классификация вредоносных программ по номенклатуре компании «Доктор Веб»
  8. Классификация вредоносных программ по номенклатуре компании «Лаборатория Касперского»
  9. not-a-virus:Client-IRC.Win32.mIRC.616 — Securelist
  10. not-a-virus:NetTool.Win32.Transmit.a — Securelist
  11. not-a-virus:Monitor.Win32.KeyPressHooker — Securelist
  12. Троян, использующий вычислительные мощности ПК для генерации Bitcoin / Вирусы (и антивирусы) / Хабрахабр
  13. Права вирмейкера как человека и гражданина — часть 1. .::. Бабр.ру .::. Новости
  14. Расширительное толкование терминов «вредоносная программа» и «неправомерный доступ» Архивная копия от 24 февраля 2009 на Wayback Machine

Ссылки