13 типов вредоносного ПО в 2021 году: угрозы, примеры и защита

Вредоносное ПО (malware) — это любая программа, созданная с намерением нанести вред устройствам и данным. Цель ограничена только воображением автора, но чаще всего злоумышленники крадут данные, учетные данные и платежную информацию.

Атаки вредоносного ПО возможны на любых устройствах и ОС: iPhone, Android, MacBook, Windows, Linux.

По данным SonicWall Capture Labs, ежегодно совершается более 5 млрд атак вредоносного ПО. Около 92% из них доставляются через электронную почту. За последние годы объем мобильного вредоносного ПО и ПО для macOS резко вырос.

Еженедельно более 18 млн веб-сайтов заражены вредоносным кодом, 34% компаний подвергаются атакам, а 80% финансовых учреждений становятся мишенями каждый год.

С развитием машинного обучения и целевых фишинговых атак вредоносное ПО становится еще более изощренным и трудным для обнаружения.

Поэтому важно знать все виды вредоносного ПО, которые могут атаковать ваши личные или корпоративные данные. Ниже перечислены основные типы, широко используемые против корпоративных и правительственных ресурсов для кражи конфиденциальной информации и нарушения операций. У каждого свой характер поведения и уникальные черты.

13. Черви (Worms)

Шестнадцатеричный дамп червя Blaster

Пример: Conficker (заразил домашние и офисные компьютеры под Windows в более чем 190 странах)

Червь может распространяться и самореплицироваться с устройства на устройство без участия человека. Этому типу вредоносного ПО не нужно прикрепляться к приложению, чтобы нанести ущерб.

Он может прийти во вложениях мгновенных сообщений или спам-писем, либо проникнуть через уязвимости ПО. После установки работает в фоне без ведома пользователя.

Может изменять/удалять файлы или внедрять вредоносный код в ОС, облегчая атакующим установку бэкдора, кражу данных и захват управления устройством и его настройками.

Некоторые черви созданы исключительно для истощения системных ресурсов. Они создают миллионы копий себя, забивая дисковое пространство или пропускную способность за счет перегрузки общей сети.

Поскольку черви не требуют хост-программы, они более инфекционны, чем обычные вирусы. Заражают не только локальные машины, но и серверы и клиенты в сети.

Яркий пример — ILOVEYOU (Love Bug). В 2000 году заразил более 50 млн ПК под Windows. Распространялся молниеносно, получая доступ к адресам в Outlook и рассылая копии себя всем контактам.

12. Кейлоггеры (Keylogger)

Пример: Backdoor.Coreflood (записывает каждый нажатие клавиши и отправляет данные атакующему)

Кейлоггер — это программа или аппаратное устройство для скрытого мониторинга и записи всех нажатий клавиш. Создает записи всего, что вы вводите на компьютере или смартфоне. Каждая запись сохраняется в файл для последующего извлечения.

Большинство кейлоггеров фиксируют длительность и скорость нажатий, некоторые — содержимое буфера обмена, GPS-данные, звонки, записи с микрофона и камеры.

Часто кейлоггеры используются легально: для сбора обратной связи при разработке ПО, изучения динамики нажатий или взаимодействия человек-компьютер. Но в злоумышленных целях они становятся инструментом кражи чувствительной информации, паролей и финансовых данных.

Злоумышленники могут установить кейлоггер на ваше устройство без вашего ведома. В любом случае вы должны осознавать, какие данные перехватываются.

11. Руткиты (Rootkits)

Пример: Stuxnet (по сообщениям, вывел из строя 1/5 иранских ядерных центрифуг, заразил 200 тыс. промышленных компьютеров, вызвал физическую деградацию 1000 машин)

Руткит — набор вредоносных инструментов, дающий несанкционированный доступ к ПО или целой ОС. Создан для скрытого пребывания на цели. Пока вы не замечаете руткит, он активно работает в фоне, позволяя атакующему удаленно контролировать устройство.

Руткиты могут содержать разные программы: от скриптов для кражи паролей и банковских данных до модулей отключения антивируса и слежки за вводом.

Поскольку руткиты могут отключать защитное ПО, их крайне трудно обнаружить. Они могут жить на устройстве неделями или месяцами, нанося серьезный ущерб.

Обнаружение возможно через альтернативную надежную ОС, разностное сканирование, сигнатурное сканирование, анализ дампа памяти и поведенческие методы.

Удаление бывает сложным или практически невозможным, особенно если руткит скрывается в ядре. Тогда единственный выход — полное стирание и переустановка ОС. С прошивками (firmware rootkits) еще хуже — может потребоваться замена железа.

10. Безфайловое вредоносное ПО (Fileless Malware)

Пример: WannaMine (майнит криптовалюту на зараженном устройстве)

Безфайловое вредоносное ПО вышло в мейнстрим в 2017 году. Оно злоупотребляет встроенными в Windows программами для атак, в частности — PowerShell (средство автоматизации и управления конфигурацией от Microsoft).

Этот тип вредоносного ПО не хранится и не устанавливается на диск. Код выполняется прямо в оперативной памяти (RAM), не затрагивая вторичное хранилище (SSD/HDD).

Как следует из названия, они не полагаются на файлы и не оставляют следов. Это делает их крайне трудно обнаруживаемыми и удаляемыми — без исполняемого файла антивирусам не по чему искать сигнатуру или паттерн.

Безфайловое ПО эффективно обходит криминалистические стратегии: сигнатурное обнаружение, анализ паттернов, временные метки, файловой whitelisting, аппаратную верификацию. Современные продвинутые решения все же могут их выявить.

Поскольку они работают только в RAM, их время жизни ограничено до перезагрузки системы.

9. Адвер (Adware)

Пример: Appearch (навязывает слишком много рекламы в браузере, делая серфинг почти невозможным)

Адвер (advertising-supported software) показывает рекламу на экране компьютера и смартфона, перенаправляет результаты поиска на рекламные сайты, отслеживает данные пользователей для маркетинга.

Главная цель — генерация дохода от показа рекламы при установке приложений или серфинге.

Иногда термин описывает вредоносные инструменты, навязывающие раздражающую рекламу: всплывающие окна, баннеры, статичные блоки, незакрываемые окна, видео со звуком.

Хотя они не опасны напрямую, могут дико замедлить компьютер. Слишком много рекламы на странице делает браузер неотзывчивым, особенно на старых устройствах.

Помимо замедления, некоторые адверы собирают данные пользователей и их поведение: историю просмотров, поисковые запросы, время на сайте, покупки, IP-адреса, информацию об устройстве.

8. Вредоносные боты (Malicious Bots)

Пример: Srizbi (на 2008 год — крупнейшая ботнет, отвечавшая за >50% всего спама от всех крупных ботнетов вместе взятых)

Интернет-боты (веб-роботы) выполняют автоматизированные задачи (скрипты) в сети. Эффективно справляются с простыми повторяющимися задачами — например, сбором данных с миллиардов страниц. Машинное обучение привело к созданию более изощренных ботов, имитирующих человеческое поведение.

Но атакующие давно оценили потенциал ботов и используют их во зло. Сегодня значительная часть ботов служит для кражи данных и паролей.

Вредоносные боты заражают множество устройств. Такая сеть зараженных устройств называется ботнет. Ботнеты используются для DDoS-атак, рассылки спама, кражи данных. Могут дать атакующему доступ к устройству и его соединениям, перегружая серверы до краха.

У ботнетов небольшой след, пользователи могут не подозревать, что их устройства часть ботнета для ретрансляции спама. Но устройство может проявлять симптомы: медленная работа, частые крахи без видимой причины, медленный интернет.

7. Краймвар (Crimeware)

Пример: Целевые атаки через SMTP

Краймвар — любая программа, автоматизирующая киберпреступность и упрощающая незаконную деятельность в сети. Назначение — автоматизация кражи данных для доступа к финансовым счетам жертв.

Атакующие используют разные техники: перенаправление браузера на поддельный сайт, кражу кэшированных паролей, включение удаленного доступа к приложениям, шифрование всех данных на устройстве, скрытую установку кейлоггеров.

Киберпреступность переняла у облачных вычислений модель «as-a-service».

Crimeware-as-a-Service позволяет специализироваться. Не одному человеку нужно уметь всё — процесс идет эффективнее. Например: один разработчик пишет вредоносный скрипт, другой формирует рассылки, третий занимается «поддержкой клиентов» (для вымогателей), четвертый легализует украденные данные или валюту.

6. RAM-скраппер (RAM Scraper)

Пример: BlackPOS (украл личные данные 96 млн клиентов в 2013 г.)

RAM-скраппер — вредоносная программа, сканирующая оперативную память зараженных устройств для кражи конфиденциальных данных. Поскольку цель — терминал обработки розничных транзакций, это также называется POS-атакой (Point-Of-Sale).

Платежная индустрия использует стандарты PCI-DSS, требующие сквозное шифрование чувствительных данных. Платеж расшифровывается в RAM POS-терминала для обработки — именно здесь бьет RAM-скраппер. Он использует регулярные выражения для сбора открытых платежных данных, которые затем отправляются на поддельные серверы.

Первая атака RAM-скрапинга зафиксирована в 2008 году компанией Visa Inc.

Уязвимы только карты с магнитной полосой. На ней три трека данных. RAM-скраппер получает доступ к Track 1 и Track 2 из первичной памяти POS-терминала. Некоторые скрапперы используют алгоритм Луна для проверки валидности карты перед эксфильтрацией.

5. Бэкдор (Backdoor)

Пример: Titanium (сложная цепочка дропперов, загрузчиков и установщиков с развертыванием троянского бэкдора на финальной стадии)

Бэкдор — скрытый метод обхода стандартных процедур аутентификации или шифрования в компьютере или встроенном устройстве. Дает доступ к системе или приложению (базы данных, файловые серверы), позволяя злоумышленникам удаленно управлять системой и обновлять вредоносное ПО.

Обычно установка бэкдора достигается через уязвимые модули приложения. Устаревшие плагины и дефолтные пароли могут работать как бэкдоры, если их не обновляют/меняют долгое время.

Малые фирмы особенно уязвимы к атакам бэкдоров — у них нет ресурсов на защиту и обнаружение. Поэтому >40% кибератак направлено на малый бизнес.

В отличие от RAM-скрапперов, бэкдоры никуда не денутся. По отчету Malwarebytes Labs, бэкдоры в топ-5 самых частых угроз для потребителей и бизнеса.

4. Вымогатели (Ransomware)

Заметка вымогателя WannaCry на зараженной системе (2017)

Пример: WannaCry (атаковал Windows, шифровал файлы и требовал выкуп $300–600 в Bitcoin)

Рансомвар шифрует личные данные жертвы или блокирует доступ. В зависимости от типа — отдельные файлы или вся ОС.

Атакующий требует выкуп за восстановление доступа при оплате. Обычно с дедлайном. Если не заплатить в срок — данные удаляются навсегда или выкуп растет.

Атакующие дают инструкции, как оплатить и получить ключ дешифровки. Стоимость — от сотен долларов до миллионов. Требуют Bitcoin и другие криптовалюты, что затрудняет отслеживание и преследование.

Глобальное исследование: 35% компаний платят выкуп $350 тыс. – $1,4 млн, 7% — более $1,4 млн.

Чаще всего цели — университеты и малый бизнес (скорее заплатят быстро), медовые учреждения, юридические фирмы, госорганы (готовы заплатить за немедленный доступ или тишину).

3. Шпионское ПО (Spyware)

Пример: DarkHotel (целево атакует высокопоставленных гостей через WiFi отелей)

Шпионское ПО устанавливается на устройство и скрыто отслеживает онлайн-активность без ведома и согласия пользователя.

Это вредонос, тайно собирающий данные о пользователе или бизнесе и передающий их третьим лицам — маркетинговым и рекламным фирмам. Обычно устанавливается без согласия через обманчивые всплывающие окна, drive-by downloads или вредоносный код, спрятанный в легальном ПО.

После установки может мониторить интернет-активность, отслеживать учетные данные, шпионить за личной информацией. Главная цель — номера кредитных карт, логины, пароли, банковские данные.

Трудно обнаружить. Зараженное устройство показывает заметное снижение скорости соединения, отзывчивости и времени работы от батареи.

Один из самых известных примеров — Pegasus. Умеет отслеживать звонки, читать SMS, геолокацию, получать доступ к камере и микрофону, собирать пароли и данные из приложений. Опасен тем, что устанавливается на смартфоны (Android и iOS) через zero-click эксплойт.

2. Трояны (Trojan)

Пример: Wirenet (троян-крадок паролей, атакует macOS, Linux, Windows, Solaris)

Трояны маскируются под полезные программы, на самом деле нанося вред. Прячутся в загрузках и письмах.

Троян обманывает пользователя, заставляя загрузить и выполнить вредоносную программу. После установки может нарушать работу, красть или наносить иной вред данным и сети.

В отличие от вирусов, трояны не могут самореплицироваться. Требуют, чтобы пользователь скачал и установил серверную часть. После заражения могут распространять вредонос на другие устройства.

Зараженная машина может управляться атакующим без ведома владельца. Превращается в зомби-компьютер для дальнейшего распространения вредоноса по сети.

В зависимости от типа и назначения, вредонос может самоуничтожиться, уйти в спячку или остаться активным.

Zeus Trojan, например, крадет данные и банковскую информацию, таргетит Windows. Обнаружен в 2007 г. при атаке на Минтранс США. В 2009 г. стал массовым, заразив >74 000 FTP-аккаунтов популярных сайтов: Amazon, NASA, Cisco, Bank of America.

1. Вирусы (Virus)

Пример: Brain (первый компьютерный вирус для IBM PC и совместимых)

Компьютерный вирус — вредоносный скрипт, способный самореплицироваться в другое приложение, документ или загрузочный сектор диска, меняя работу устройства. Требует человеческого вмешательства для распространения между системами.

Первый вирус создан в 1971 г. для проверки, может ли программа реплицироваться сама. Но вскоре атакующие начали использовать саморепликацию для кражи информации или истощения ресурсов.

Вирус содержит три основных компонента:

• Вектор заражения — определяет, как вирус распространяется между системами
• Логическая бомба — скомпилированный скрипт, активирующийся при выполнении условий (например, открытии файла)
• Полезная нагрузка (Payload) — компонент атаки, наносящий вред целевой системе

Основные источники: загрузки файлов из интернета, почта, вложения в SMS, ссылки-обманки в соцсетях. После загрузки/установки вирус может заразить другие устройства в той же сети.

Может повреждать файлы, спамить контакты почты, логировать нажатия, красть пароли, даже захватывать компьютер. Некоторые написаны для нарушения производительности или постоянного ущерба ОС, другие — для зафлуживания сети трафиком, делая сервис недоступным.

Часто задаваемые вопросы

Что может сделать вредоносный код?

В зависимости от назначения, может деградировать производительность, вызывать случайные крахи приложений, добавлять новые программы в систему, удалять существующие, рассылать спам, красть конфиденциальную информацию и пароли. Кратко: вредоносный скрипт способен не только украсть приватные данные, но и уничтожить ваши активы и бизнес целиком.

Какой софт защищает от вредоносного ПО?

Современные антивирусы и инструменты удаления вредоносного ПО доказали эффективность против множества типов вредоносных программ. Они тщательно сканируют устройства, обнаруживают вредоносные скрипты и обеспечивают автоматические обновления для защиты от новых угроз. Некоторые инструменты используют машинное обучение для эффективного обнаружения и классификации вредоносного ПО с минимизацией ложных срабатываний.

Какие самые эффективные способы защиты от вредоносного ПО?

Чтобы предотвратить заражение вредоносными скриптами, следует:

• Установить антивирус и файрвол
• Регулярно обновлять ОС и приложения
• Скачивать и устанавливать приложения только из надежных источников
• Никогда не открывать подозрительные вложения в письмах
• Регулярно делать бэкапы данных

Для плавной работы устройства также полезно: держать файлы и папки в порядке, очищать корзину, запускать дефрагментацию диска и очистку диска в Windows.