Zagrożenia dla systemów komputerowych(wirusy)

Wirusy
Definicja
Wirus komputerowy - program, który posiada zdolność samoczynnego powielania się i przenoszenia z jednego komputera na drugi bez wiedzy i poza kontrolą użytkownika.

W zależności od typu wirusa, różne mogą być sposoby infekcji, powielania się czy funkcje. Kwestią podstawową pozostaje jednak rozmnażanie się - wirus, aby przetrwać, musi się powielać, efekty specjalne pozostają sprawą drugorzędną.

Fazy działania
Wyróżnić można cztery podstawowe fazy w działalności wirusa:

spoczynek - wirus pozostaje nieaktywny,
rozmnażanie - wirus dokleja się w identycznej (bądź nie) postaci do plików (zwykle wykonywalnych) albo umieszcza swoją własną kopię w pewne szczególne miejsca na dysku (np. boot sector),
wywołanie - wirus aktywuje się, by wykonać zamierzone przez autora funkcje; ta faza może być wywołana przez różne zdarzenia w systemie (w zależności od typu wirusa),
wykonanie - wirus wykonuje funkcje.
Typy wirusów
Wirusy można klasyfkować ze względu na różne ich cechy. Najbardziej popularnym jest podział ze względu na rodzaj nosiciela:

Podział ze względu na nosiciela
wirusy plikowe - ich działanie polega na zarażaniu plików odpowiedniego typu (np. wykonywalnych), w zależności od innych cech same szukają następnych nosicieli lub czekają na nich w pamięci operacyjnej,
makrowirusy - wirusy pisane w makrojęzykach, zainfekowane mogą zostać dokumenty Word, arkusze Excel i inne, w których mogą znajdować się makra
wirusy dyskowe - zapisują się w boot sectorze dysków twardych lub dyskietek - po uruchomieniu systemu mogą zapisać się w pamięci operacyjnej i próbować zarażać kolejne boot sectory

Inne cechy charakterystyczne
wirusy rezydentne - wirusy, które instalują się w pamięci operacyjnej od razu po wywołaniu - ich zadanie polega zwykle na czekaniu, aż wywołany zostanie program (lub inny plik odpowiedniego typu) i infekują go
wirusy polimorficzne - wirusy, które nie posiadają tzw. sygnatury wirusa (kawałek kodu, dzięki któremu program antywirusowy łatwo może odnaleźć wirusa) - takie wirusy zawierają generator kodu i przy każdej infekcji mutują.
Robaki
Robak (ang. worm) to program, który tworze kopie samego siebie, np. kopiując się z jednego dysku na inny, z jednego komputera na inny, itp. Wykorzystuje przy tym różne mechanizny transportowe (np. poczta elektroniczna). Może być jednocześnie wirusem (dopisywać się do plików) lub/i koniem trojańskim (wykradać hasła z komputera ofiary). Klasyczny robak nie potrzebuje do rozmnażania się żadnego pliku nosiciela.

Robaki najpierw tworzone były w C++, później zaczęto wykorzystywać języki wysokiego poziomu (Visual Basic, Delphi), teraz natomiast stosuje się języki skryptowe - to powoduje, że gałąź ta rozwija się szybko, kod jest bowiem czytelny, łatwy do analizy i modyfikacji.

Budowa robaka
Mimo pewnej różnorodności robaków, można wyróżnić pewne cechy wspólne dla całego gatunku. Każdy robak powinien zawierać w sobie:

procedurę instalacji w systemie,
mechanizn dystrybucji,
funkcje ujawniające swoje istnienie.
Instalacja w systemie
Najczęściej stosowane przez robaki metody instalacji w systemie to:

podmiana plików systemowych - polega na zapisaniu kodu robaka pod nazwą często używanego programu, np. Explorer lub Notepad, a oryginały zachowywane są pod inną nazwą. Przy uruchomieniu programu uaktywnia się robak, który po wykonaniu swoich operacji przekazuje sterowanie właściwemu narzędziu. Jest to podstawowa metoda dla robaków napisanych jako programy wykonywalne.
rejestracja jako program uruchamiany automatycznie podczas startu systemu - robak dopisuje ścieżkę do programu w rejestrze systemu HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run. Jest to podstawowa metoda dla robaków napisanych w VBScript i Jscript, wykorzystywana także przez robaki będące plikami typu wykonywalnego. Czasami robaki umieszczają się w Autostarcie. Jest to metoda przejściowa, wykorzystywana jako ostateczność (np. gdy atak następuje poprzez udostępnione zasoby, jest to jedyna droga).
przechwytywanie plików - polega na kojarzeniu rozszerzeń plików z robakiem. Za każdym razem gdy użytkownik próbuje uruchomić plik danego typu, systemu uruchamia robaka. Robak wykonuje swoje funkcje, a następnie uruchamia program odpowiedni dla otrzymanego pliku i przekazuje go tam.
Sposoby dystrybucji
dystrybucja przez e-mail - jest najbardziej powszechny i najprostszy sposób dystrybucji; robaki zwykle podszywają się pod ciekawe załączniki do poczty, które niezbyt czujni użytkownicy otwierają,
dystrybucja przez IRC - często wykorzystywany kanał dystrybucji, niestety nie tak skuteczny - atakowany użytkownik musi otworzyć plik, który został mu przesłany,
inne kanały dystrybucji - np. dystrybucja przez WWW, wykorzystanie udostępnionych zasobów, komunikatory internetowe.
Konie trojańskie
Koń trojański - ukryty w programie kod, który sprawia, że program ten po uruchomieniu realizuje oprócz swoich funkcji także różne przykre dla użytkownika działania jak np. zawieszanie systemu operacyjnego, usuwanie plików bądź też wyświetlanie na ekranie różnych komunikatów.

Trojany, w przeciwieństwie do wirusów, nie powielają się samodzielnie - zarazić się trojanem można jedynie poprzez zainstalowanie na dysku komputera programu będącego nosicielem.

Rodzaje koni trojańskich
Backdoor Trojan - koń trojański, który zostawia w komputerze ofiary otwartą furtkę (jeden z portów) i na tym porcie słucha. Jeżeli atakujący ma odpowiednie oprogramowanie klienckie może z tej furtki skorzystać aby przejąć kontrolę nad komputerem lub chociaż go podsłuchać.
PWSteal Trojan - kolekcjonuje hasła znajdujące się na danej maszynie i wysyła je pod wskazane adresy e-mail.
Trojan Horse - Każdy inny trojan nie posiadający w/w zdolności a uważany z definicji za konia trojańskiego jest zwykłym koniem trojańskim. Może on wykonywać różne szkodliwe operacje w systemie: kasować pliki, zmieniać ustawienia systemowe itp.
Możliwości
Trojany typu backdoor mają bardzo duże możliwości przejęcia kontroli nad systemem ofiary, np.:
Wysłanie pinga oraz sprawdzenie wersji oprogramowania serwera
Restart, zablokowanie systemu, wyświetlenie listy haseł, wyświetlenie informacji o systemie
Logowanie używania klawiatury
Wyświetlanie na ekranie okienka dialogowego z dowolną treścią
Mapowanie portów TCP na inne IP, tworzenie serwera plików z dostępem przez HTTP, wyświetlanie listy mapowanych portów i wysyłanych plików przez TCP
Dodawanie i usuwanie udziałów sieciowych, wyświetlanie listy udziałów (również w sieci lokalnej), wyświetlanie aktywnych połączeń
Kontrola procesów: wyświetlanie listy, uruchamianie, zabijanie
Pełen dostęp do Rejestru
Odtwarzanie plików dźwiękowych, zrzuty i animacje działań ofiary na ekranie
Pełen dostęp do dysku: wyświetlanie listy katalogów i plików, wyszukiwanie, kasowanie, przesuwanie, kopiowanie
Kompresja i dekompresja plików przed przekazaniem do i z komputera ofiary
Dokonywanie zapytań o nazwę hosta i adres IP
Sniffing
Sniffing - przechwytywanie i analizowanie informacji przesyłanych za pomocą sieci komputerowej.

Sniffer pakietów - karta sieciowa, przestawiona w tryb Promiscous (to spowoduje, że karta nie będzie odrzucać pakietów, które nie są przeznaczone dla niej) + oprogramowanie do dekodowania pakietów

Zastosowania
Sniffery komercyjne - używane do badania ruchu w sieci,
sniffery niekomercyjne - do wyłapywania ruchu w sieci, podsłuchiwania haseł itp. - duża część transmisji w sieci lokalnej może się odbywać otwartym tekstem, bez żadnego szyfrowania. Mimo, że wszystkie protokoły wrażliwe na sniffing (telnet, http, POP, ftp, IMAP) mają swoje szyfrowane odpowiedniki często się z nich nie korzysta - wynikać to może np. z mylnego przeświadczenia o bezpieczeństwie w sieci lokalnej.
Detekcja
Sniffery niekoniecznie są całkiem pasywne,
System sniffujący jest zwykle bardzo obciążony, musi bowiem programowo filtrować ramki - to może mieć wpływ na szybkość udzielania odpowiedzi przez system
Tryb promiscuous można wykryć poprzez niedociągnięcia w TCP/IP - procesy biblioteczne obsługujące działanie protokołow zareagują bowiem na informacje nie przeznaczone dla danego komputera
Testy odpowiedzi - wysyłamy spreparowaną ramkę o sfałszowanym fizycznym adresie odbiorcy (MAC address) - w normalnym przypadku ramka zostałaby odrzucona przez interfejs sieciowy, ale teraz zostaje przekazana dalej, do procesu usługowego z innych warstw, a w środku jest prawidłowy pakiet, segment lub datagram
Test ICMP - wysyłamy zapytanie ICMP echo request
Test ARP - wysyłamy ramkę ARP ze sfałszowanym MAC adresem Ethernetowym i dobrym MAC adresem w środku i patrzymy, czy ktoś odpowie nam pakietami ARP Reply
Metody obrony
Switche - nie bronią nas przed np. ARP-spoofingiem ale ten jest aktywny więc łatwiejszy do wykrycia.
Spoofing
Spoofing - proces fałszowania pakietów wykonywany w celu podania się za inny komputer, np. serwer WWW, usług pocztowych lub DNS. (rys)


Najprostszy przykład - nasłuchiwanie, aż ktoś wyśle zapytanie do serwera DNS. Gdy tak się stanie, przechwytujemy i wysyłamy swoją odpowiedź podszywając się pod serwer DNS.