Троянский конь способ заражения
Основные способы распространения троянских программ Как троянцы попадают на компьютер? К сожалению, однозначно тут сказать ничего нельзя, иначе можно было бы просто перекрыть эти пути и не беспокоиться. Чаще всего заражение происходит, когда пользователь запускает какую-то программу, полученную из «сомнительного источника». Поэтому основной задачей злоумышленника является провоцирование пользователя на запуск вредноносного кода на своей машине. Как это сделать? Читайте дальше.
Трояны часто маскируются под внешне «полезные» программы. Как правило пользователю вместе с программой такого рода дается яркое, эмоциональное описание подсовываемых пользователю программ. Например:
— «Вам не надоело дожидаться загрузки страниц в браузере? Хватит. Теперь с помощью SPEED браузер будет работать в 3 раза быстрее. «.
-«В условиях российских телефонных сетей работать в Интернет практически невозможно. Требуется корректировка и фильтрация сигналов. Учитывая множественные просьбы и заявления пользователей Интернет, оборонной промышленностью был разработан радикально новый метод очистки телефонных сетей, заключенный в небольшую программу. Теперь вы сможете значительно ускорить работу в Интернет, достигнув небывалого качества связи — 115 КБ/С. От таких предложения не отказываются».
Кроме того, вредноносные программы можно маскировать под . трояны, нюкеры, генераторы номеров, вирус-мейкеры. Действительно, некоторые пользователи очень хотят что-нибудь взломать. И увидев описания «чудо» программ наподобие:
— «Введите адрес сервера и через 2-3 минуты вы получите все содержащиеся пароли».
— «Теперь вы можете получать номера кредитных карт системы VISA в любом количестве, причем полученные номера будут исключительно рабочими, и вы сможете производить покупки в онлайн магазинах»
Главным образом, такие трояны распостраняются как вложения (attachment) в письма от известных компаний (Microsoft, Kaspersky, Symantec. ). Необходимо заметить, что при использовании электронной почты не стоит надеятся на анализ заголовков. Дело в том, что протокол SMTP не поддерживает механизмов аутентификации и идентификации. Поэтому элементарные знания заголовков позволяет создать достаточно правдоподобную иллюзию того, что письмо отправлено именно из заявленного источника. А если использовать специальные скрипты, то отличить поддельное письмо от настоящего можно будет только анализом логов на всех промежуточных серверах, что практически невозможно для рядового пользователя.
Как и в большинстве случаев здесь пользователю придет на помощь элементарная логика. Например Microsoft сама никому никогда ничего не отправляет. Тем более незарегистрированным пользователям. Так, что если к Вам пришло письмо с прикрепленным исполняющемся файлом, о котором Вы заранее не договаривались с отправителем (особенно если Вы не знаете его лично), то есть большая вероятность того, что это поддельное сообщение.
Многие пользователи (в том числе и опытные) считают, что троян — это обязательно исполняемый файл. Это может вызвать иллюзию безопасности. Ведь они не будут запускать «интересные» программы, как из пункта #1, не будут запускать прикрепленные файлы от «Microsoft». Однако есть несколько способов обмануть таких пользователей, то есть установить на их компьютер троянскую программу.
Достаточно много пользователей используют стандартные настройки Windows, при которых не отображаются расширения у файлов зарегистрированных типов. Это позволяет создать исполняемый файл с иконкой, как у текстового(txt), графического(jpg), музыкального или любого другого типа файла. Например с иконкой архива (несамораспаковывающегося). Как правило, пользователь не задумываясь щелкнет мышкой по такому файлу, тем самым запустив его. Но вместо запуска ассоциированного приложения программа-инсталлятор трояна может просто вывести сообщение об ошибке. Скорее всего пользователь, после нескольких неудачных попыток, просто удалит такой файл и забудет об инциденте.
У этого способа есть еще одна вариация на случай отказа от стандартных настроек Windows или использования альтернативных графических оболочек (типа Frigate). Программа-инсталятор создается с иконкой «безобидного» файла, а имя файла выглядит примерно так: «update.rar (много пробелов) .exe» или «photo.jpg (много пробелов) .exe». Поэтому, если Вам присылает свою фотографию новый знакомый в чате, то лучше сначала посмотреть описание этого файла, чем сразу же открывать его.
Помимо простой маскировки исполняемого файла под другие виды файлов, злоумышленник может внедрить троян в объект, который считается безопасным: объект ActiveX, компоненты для различных программ (например для Delphi) и т.д.
Даже если Вы получаете программы из надежных источников, это не гарантирует 100% гарантии отсутствия вредноносного кода. Вот несколько реальных примеров:
Источник: http://www.softodrom.ru/article/1/525_1.shtml
Неизвестный попытался внедрить троян в код следующей версии Linux-ядра. В репозитории с исходными кодами Linux kernel, известном как BitKeeper, были обнаружены сомнительные изменения за прошедшие 24 часа, из-за чего публичное хранилище сразу было закрыто, — сообщил ключевой разработчик. Вероятнее всего, модифицированные строки кода являлись «закладкой» для последующего получения администраторских прав на системах, использующих данный код.
Источник: http://www.mcafee.ru/articles/archive.html?id=19
Эксперты организации CERT сообщили об обнаружении в исходном коде пакета Sendmail 8.12.6 троянского коня. Исходный код, хранившийся на ftp-сервере разработчиков Sendmail, был модифицирован неизвестным злоумышленником. «Троянские» версии Sendmail находятся в файлах с именами sendmail.8.12.6.tar.Z и sendmail.8.12.6.tar.gz. Модифицированные версии Sendmail появились на ftp.sendmail.org 28 сентября, а обнаружить и удалить их удалось лишь 6 октября.
Как известно, любая программа содержит ошибки. Будь то операционная система или медиа-плейер. В результате данных ошибок существует возможность либо «заставить» программу выполнять действия, для которых она не предназначена, либо внедрить в неё «вредный» программный код и активизировать его.
Одной из таких ошибок является (и очень активно используется):
переполнение буфера, которое активно используется так называемыми «бестелесными» червями и некоторыми троянскими программами (код червя или троянца попадает непосредственно в активный процесс атакуемого приложения и немедленно активизируется. Правда обычно он «живет» лишь до первой перезагрузки.) Эта ошибка встречается в самых разных приложениях. И на различных сайтах, посвященных проблемам компьютерной безопасности, регулярно появляются соответствующие статьи. Вот совсем свежий пример:
BUGTRAQ : Переполнение буфера в WinAmp
Добавил: djmouse 28.11.04 09:23
Возможна удаленная атака путем подсовывание пользователю специально подготовленного .m3u-файла с плейлистом. Подтверждено наличие уязвимости в версиях 5.05 и 5.06. Временный рецепт борьбы — убрать ассоциацию с WinAmp у расширений .m3u и .cda.
Netdex — пример многокомпонентной троянской программы класса BackDoor. Заражение происходит при посещении Web-сайта. http://www.twocom.ru/ Скрипт-программа на заглавной странице получает управление, записывает на компьютер пользователя файл и запускает его. Этот файл скачивает все необходимые для функционирования бэкдора компоненты, инсталлирует их и запускает сам бекдор. При этом используется брешь в защите виртуальной машины, исполняющей скрипты (‘Microsoft ActiveX Component’ Vulnerability). См. http://www.microsoft.com/technet/security/bulletin/MS00-075.asp
Узнать больше о видах ошибок ПО( целочисленного переполнения, переполнения кучи и т.п.), и реализации этих ошибок в конкретных программах можно, посещая различные сайты и форумы по безопасности, или самостоятельно, методом «тыка». Вот некоторые русскоязычные сайты, посвященные данной тематике, на них же можно найти ссылки на другие сайты и эксплоиты:
http://www.security.nnov.ru — сайт об IT-безопасности, созданный человеком, носящим ник ЗАРАЗА.
http://inattack.ru — архив документации для хакера.
Известны случаи, когда для автоматического запуска «вредного» кода без какой-либо реакции встроенных систем защиты использовались методы, документированные в руководстве пользователя данного программного продукта. Например:
- Функция «CALL» в MS Excel (до MS Office 97), позволявшая выполнять любые функции Windows API без какого-либо предупреждения, при этом вызов шел напрямую из ячейки (не из макро-процедуры).
Распаковка файлов из архива не в текущий каталог, а в каталог, указанный в самом архиве (например, в каталог авто-старта Windows) и т.п.
Использование уже установленных на компьютере программ для работы с сетью, как части трояна(они-то уже внесены в список «доверенных» приложений firewall’ов). В качестве примера можно привести описание Trojan.IRC.KarmaHotel
Эта троянская программа представляет собой 2 скрипта в HTML-файле. При запуске инфицированной HTML страницы на диск записывается VBS-часть «троянца».
VBS-часть в свою очередь создает еще одну часть (INI-файл), ищет и модифицирует файл настроек клиента mIRC таким образом, что разрешается реакция клиента mIRC на команды удаленных пользователей и отключается система предупреждений mIRC на опасные события.
Далее к клиенту mIRC подключается специальный файл настроек, который позволяет управлять инфицированным компьютером, скачивать и закачивать на инфицированный компьютер файлы, подслушивать «приватные» разговоры в mIRC и т.д.
Вот основные способы распостранения вредноносных программ, все они рассчитаны на достаточно большое количество пользователей. Однако в конкретных случаях, когда злоумышленнику необходимо получить доступ к системе какой-либо организации в ход могут пойти и подкуп одного из младших сотрудников, и написание программы, специально рассчитаной на слабости установленной в организации ОС (зная какая ОС и какие средства защиты стоят в организации, злоумышленник может поставить себе такие же и изменять код вируса/трояна/червя до тех пор, пока средства защиты не перестанут на него реагировать).
Источник
Как не стать жертвой троянца? Держать шлюзы закрытыми
Троянец (троянский вирус или троянская программа)- это тип вредоносных программ, маскирующихся под легитимное ПО. Он часто используется киберпреступниками для кражи личных данных, слежения за пользователями и получения несанкционированного доступа к системам. Если вы в последние десять лет уделяли внимание вопросам компьютерной и интернет-безопасности, вы, несомненно, встречали термин «Троянская программа». Вы, наверняка знаете, что эти ничего хорошего от этих вредоносных программ ждать не стоит, но вы можете не знать о том, что они могут сделать с вашим компьютером, как они в него попадают и как этого не допустить. Имея представление о том, что такое троянская программа и какими проблемами она может для вас обернуться, вы получаете возможность избежать столкновения с этими опасными образцами вредоносного ПО.
Что такое троянский вирус?
Термин «троянский вирус» является несколько неточным, но он обычно используется вместо более правильного термина «троян». Вирус заражает обычные компьютерные файлы — захватывает отдельный файл и разрушает или злонамеренно изменяет его в процессе. Затем он попытается распространиться на другие компьютеры, заражая другие файлы.
В отличие от вирусов троянцы — это программы, им не нужно воздействовать на другой файл, чтобы выполнять свою грязную работу. Кроме того, они неспособны к самовоспроизведению. Но не стоит обманываться: последствия действий троянцев могут быть столь же разрушительны, как и любого компьютерного вируса.
Как работает троянец (троянский вирус)
Как и в истории с троянским конем из древнегреческой мифологии троянская вредоносная программа появляется в «образе» того, что вы хотите. Она часто маскируется под бесплатное ПО или вложение в электронном письме, а затем, как только вы даете ей разрешение на установку на вашем компьютере, она открывает шлюзы.
Как только у троянца появляется доступ к вашему компьютеру, он может делать что угодно, но большинство этих вредоносных программ стремятся получить полный контроль над вашим компьютером. Иными словами, все ваши действия на компьютере записываются и отправляются на сервер, указанный трояном. Это особенно опасно, если вы на своем компьютере выполняете финансовые транзакции, поскольку троянская программа отправляет информацию о вашей банковской карте или платежных реквизитах людям, которые могут использовать или продать ее. С помощью троянцев злоумышленники могут превратить ваш компьютер в зомби и использовать его для запуска кибератак по всему миру.
Как защититься от троянских программ
Троянцы названы так потому, что им требуется ваше разрешение на запуск на вашем компьютере — либо когда вы запускаете программу самостоятельно, либо когда вы открываете документ или изображение, которое затем запускает программу. Исходя из этого, первая и лучшая защита от троянов — никогда не открывать вложение электронной почты и не запускать программу, если вы не уверены на все 100% в источнике файлов, скачанных из одноранговых программ или с веб-сайтов. Но в сегодняшнем взаимосвязанном мире такое редко возможно, поэтому нужно принять несколько конкретных мер безопасности.
Всегда обновляйте программное обеспечение. Это вдвойне актуально для важных программ, таких как ваша операционная система и браузер. Хакеры используют известные бреши в системе защиты в этих типах программ, и через них засылают на ваш компьютер троянцев, которые делают так свою черную работу. Производитель ПО, как правило, выпускает исправления для этих уязвимостей, но они не принесут вам никакой пользы, если вы не будете поддерживать последнюю версию программного обеспечения на вашем устройстве. Чтобы ваше интернет-соединение было максимально безопасным, всегда должен быть включен сетевой экран. Как программные, так и аппаратные сетевые экраны отлично справляются с фильтрацией вредоносного трафика и часто могут предотвратить загрузку троянских программ на ваш компьютер.
Все это полезно, но чтобы полностью обезопасить себя, следует установить антивирусное программное обеспечение или утилиту для удаления троянских программ. Это ПО (при условии того, что оно регулярно обновляется) сканирует вашу систему на наличие троянцев и автоматически проверяет любую программу или файл, которые вы исполняете, чтобы обеспечить его безопасность. В Интернете есть бесплатные утилиты для удаления троянских программ, но мало какие из них регулярно обновляются, а некоторые даже сами являются троянцами. Чтобы лучше защитить ваш компьютер, используйте антивирусное ПО известных производителей с бесплатной пробной версией. Это позволит вам оценить преимущества той или иной программы, прежде чем покупать ее. Такие программы часто входят в общий пакет безопасности, но при этом предоставляют вам возможность указать нужные вам функции защиты, а ненужные отключить.
Защита вашего компьютера от троянских программ не должна быть неподъёмной задачей. Следуя нескольким простым правилам безопасного поведения в Интернете и используя надежное защитное решение, вы можете быть уверены, что ваш компьютер защищен от подавляющего большинства троянских и других вредоносных программ.
Источник
