Základy informatiky část 8

Transkript

1 Základy informatiky část 8 1

2 8 Počítače a MALWARE MALicious software Motto: To, že jsem paranoidní, neznamená, že po mě nejdou 3

3 Malware Historie Sci-fi literatura předpověděla již v 60. letech V reálu se malware objevil až v 80. letech Nejstarší Trojské koně, snažily se předstírat užitečnost

4 Malware Historie Příklady: 1985 EGABTR sliboval lepší grafiku, ve skutečnosti mazal a když domazal, napsal Arf! Arf! Gotcha Hra Nuklea po dohrání na disku nic nezbylo Přelom 80. až 90. let, trojani se vydávají za antivirové programy, místo hledání virů rovnou mažou disk

5 Malware Historie První virus 1986 Brain (bratři Basit a Amjads Farooq Alvi z Pakistánu Lahore. Údajně ho dávali jako bonus cizincům, kteří si u nich v obchodě kupovali nelegální software. Experimenty p. Franka. Jeho první pokus s viry na počítači VAX 11/750 pod UNIXem, nad kterým ztratil po půl hodině kontrolu Lehigh, Stoned, Vienna, Cascade. Posledně jmenovaný slavná padající písmenka na obrazovce.

6 Malware Historie XI.1988 Robert T. Morris vypustil do světa tzv. Morrisův červ. Červ napadl kolem 6000 unixových počítačů, blokoval tehdejší síť 36 hodin, červ se dostal i do Lawrence Livermore National Laboratory, škody 100 miliónů dolarů antivirové programy. McAfee VirusScan, Dr. Solomon AVTK polymorfní viry viry, u nichž vypadá každý exemplář na venek odlišně. Antiviry vyhledávají podle řetězců.

7 Malware Historie Stealth viry, tj. viry, které se dokážou maskovat v systému. Příklad virus Frodo, který sledoval manipulaci se soubory a uživateli nebo antiviru předhazoval nezávadné verze těchto, ve skutečnosti infikovaných souborů Tequila první multipartitní virus. Multipartitní viry dokážou napadnout systémové oblasti disku i soubory. Tequila byla navíc polymorfní a pro jistotu i typu stealth.

8 Malware Historie 1994 One_Half.3544.A Silně polymorfní a multipartitní virus ze Slovenska. Řada antivirů ho nedokázala stoprocentně detekovat.

9 Malware Historie 1995 Form Operační systém Windows 95 sliboval zánik počítačových virů Boot virus Form, byl společností Microsoft distribuován společně s Windows 95 beta testerům na instalačních disketách. W 95 neznamenal konec virům

10 Malware Historie 1995 makrovirus Concept šíří se v dokumentech MS Word. Dlouhou dobu nejrozšířenější vir (tehdejší antiviry nebyly na makroviry připraveny). Relativní klid panoval u majitelů českých verzí pod českou verzí nefungovalo. Od verze MS Office 97 makroviry funkční i v českých verzích

11 Malware Historie 1995 Win95/Boza.A První opravdový virus pro Windows Win95/Punch paměťově rezidentní, přežíval v paměti jako VxD ovladač Laroux první makrovirus pro MS Excel Win95/CIH novináři nazvaný Černobyl Vždy 26. dubna* se pokusil přemazat paměť Flash BIOS na základní desce a část dat na disku. První popřel tezi, že virus neohrozí hardware. * záleželo na variantě

12 Malware Historie 1998 Skriptové viry například VBS/Rabbit nebo HTML/Internal Skriptové viry mass-mailing,

13 Malware Současnost Vývoj virů šířících se elektronickou poštou stále pokračuje. Nejstarší potřebovaly aplikaci Outlook, Novější si vezou sebou vlastní SMTP server(!). Možno zneužívat infikované PC bez vědomí jeho uživatele (stroj označován zombie ). Malware je typu backdoor nebo trojanproxy.

14 Malware útok Typický průběh "spamování" havěti (v tomto případě jde o dropper viru Win32/Bagle.BI) dvě vlny a pak klid (svislá osa počet infikovaných ů zachycených na poštovním serveru, vodorovná osa čas). Igor Hák Moderní počítačové viry

15 Malware základní dělení 1. Viry virus je schopen sebereplikace, tedy množení sebe sama, ovšem za přítomnosti hostitele k němuž je připojen 2. Trojské koně (Trojan) tento typ škodlivého kódu není schopen sebereplikace a infekce souborů

16 Malware základní dělení 3. Backdoor schovává se v počítači uživatele a čeká až se útočník se připojí přes internet na postižený počítač. Pak si s ním může dělat co chce kopírovat a získávat data, manipulovat s OS, ale i s mechanikou DVD. 4. Červi (worms) šíří se elektronickou poštou ve formě síťových paketů. Umí počítač infikovat otevřením přílohy.

17 Malware základní dělení 5. Spyware program, který využívá Internetu k odesílání dat z počítače bez vědomí jeho uživatele. 6. Adware otravuje s reklamou 7. Hoax poplašná zpráva, která obvykle varuje před neexistujícím nebezpečným virem

18 Malware základní dělení 8. Phishing podvodné y, kdy jsou na velké množství adres rozeslány podvodné zprávy, které na první pohled vypadají jako informace z významné instituce (nejčastěji banky) 9. Dialer je program, který změní způsob přístupu na Internet prostřednictvím modemu

19 Malware základní dělení 10.Makroviry zaměřují se na makra kancelářských programů (MS Office) 11.Rootkit sada počítačových programů a technologií, pomocí kterých lze maskovat přítomnost malware v počítači. Umožňuje skrývat běžící procesy, soubory a systémové údaje.

20 Viry Program infikující jiné programy a pomocí nich se šíří a) Bootviry napadají systémové oblasti, šíří se datovými nosiči (při bootování) b) Souborové viry napadají programové soubory (dělíme do 3 skupin) Hostitelem mohou být například spustitelné (exe, com) soubory, systémové oblasti disku, popřípadě soubory, které lze spustit za použití specifických aplikací (dokumenty Microsoft Wordu, skripty Visual Basicu apod.).

21 Boot Viry Napadají systémové oblasti: boot sektory disket (flash disků ) MBR (Master Boot Record) pevného disku. Obvykle přepíší svým vlastním kódem boot sektor a původní přepsanou část boot sektoru uschovají na jiné místo disku. Najdeme je: v nevyužitých klastrech v použitých klastrech (hrozí poškození původního obsahu) v systémových oblastech ve stopách, které se nacházejí mimo aktivní oblast disku

22 Souborové viry přepisující Vyhledá spustitelný soubor a přepíše jej Původní obsah programu je přepsán novým kódem Původní program je od této chvíle nespustitelným

23 Parazitické viry (link) Připojí se k hostiteli (spustitelnému souboru) bez toho, aby ho poškodily Připojení prepend (před) insert (v) append (za) Při infekci je původní soubor upraven tak, aby po jeho následné aktivaci došlo jak k aktivaci viru, tak i původního programu

24 Doprovodné viry Nezapisují se do původního kódu programu Vytváří stínový soubor stejného jména s příponou.com (ten je OS preferován) Příklad: Máme soubor SPUST.EXE, virus vytvoří SPUST.COM. Podle priorit DOS dojde při volání daného souboru bez uvedení přípony nejprve k aktivaci toho s příponou COM a tím i k aktivaci viru.

25 Umístění virů Doprovodný Parazitický BAUDIŠ, Pavel; ZELENKA Josef; Antivirová ochrana. Praha : únor, ISBN. str.28

26 Multiparitní viry Napadají systémové oblasti Napadají spustitelné soubory Kombinují vlastnosti boot a souborového viru Velké škody ( One Half )

27 One_Half One_Half postupně kódoval obsah pevného disku Šifrování pomocí klíče, který si sebou nesl. Pokud byl One_Half neodborně odstraněn (včetně tohoto klíče), znamenalo to i ztrátu zakódované části dat. Dekryptovací algoritmus viru One_Half byl rozdělen na několik navzájem propojených ostrůvků, které byly rozsety po infikovaném souboru. Polymorfní, Stealth

28 Makroviry Vytvářeny v makrojazycích kancelářských programů Napadají dokumenty (Word, Excel, ) Šíří se v dokumentech velké nebezpečí, neboť s nimi uživatelé nepočítají

29 Jak virus poznat? Obecně obtížně, obvykle se skrývají Chlubí se sám, že je (dříve): Pouze efekty (padající znaky na obrazovce) Přehazuje klávesy, zaměňuje soubory Ničí data na HDD Dnes: získávání informací zablokování systémů

30 Trojské koně Sniffer odposlouchávání přístupových jmen a hesel, čísel kreditních karet Keylogger sledování (záznam) znaků zadávaných z klávesnice Spyware sleduje uživatele a jeho zvyklosti při surfování na Internetu a posílá o tom zprávy

31 Trojské koně Zadní vrátka trojský kůň obsahuje síťovou službu, kterou může útočník použít pro získání přístupu do systému přes počítačovou síť Spam server rozesílání nevyžádané elektronické pošty ( ) z napadeného počítače

32 Trojské koně Souborový server trojský kůň nainstaluje souborový server např. FTP, IRC bota nebo nějaký P2P program server je poté použit: pro stahování souborů uživatele, pro ukládání souborů majitelem trojského koně (např. warezu nebo malware)

33 Trojské koně Proxy trojan umožňuje použít napadený počítač jako proxy server. Security software disabler zablokuje software pro zabezpečení PC (Firewall,Antivir) Denial-of-service trojský kůň se účastní DDoS útoku (zahlcení požadavky) URL trojan přesměrovává infikované počítače připojené přes vytáčené připojení k Internetu na dražší tarify (URL injection, hijacker)

34 Tracking cookie Cookie (anglicky koláček, oplatka, sušenka) v protokolu HTTP označuje malé množství dat, která WWW server pošle prohlížeči, který je uloží na počítači uživatele. Tracking cookie sledovací sušenka, slouží k monitorován našeho pohybu po Internetu. Tracking cookies nepředstavují žádnou hrozbu, pouze narušují soukromí.

35 Spyware Spyware využívá Internetu k odesílání dat z počítače bez vědomí jeho uživatele. Na rozdíl od backdooru jsou odcizovány pouze statistická data jako přehled navštívených stránek či nainstalovaných programů. Nelze zaručit, že informace nebo technologie nemůže být zneužita. Spyware se šíří společně s řadou sharewarových programů a jejich autoři o této skutečnosti vědí.

36 Adware Znepříjemňuje práci s PC reklamou. Typickým příznakem jsou "vyskakující" pop-up reklamní okna společně s vnucováním stránek. Adware může být součástí některých produktů (např. BSPlayer). Reklama doprovází během celé činnosti s daným programem výměnou za větší množství funkcí, které nejsou v klasické free verzi (bez reklamy) dostupné něco za něco.

37 (Dialer) Dialer je program, který změní způsob přístupu na Internet prostřednictvím modemu. Místo běžného telefonního čísla pro Internetové připojení přesměruje vytáčení na čísla se zvláštní tarifikací, např. 60 Kč / minutu (tzv. "žluté linky"). Dialery jsou nebezpečné pouze u analogových telefonních linek (dial-up). Netýká se ISDN, ADSL a jiných moderních technologií Pozn.: pouze pro vytáčené připojení k internetu, u digitálních linek nehrozí.

38 Antivirové programy Metoda vyhledávání (známé viry) Heuristická analýza, srovnávací test (lze hledat i dosud neznámé viry) Rezidentní antivirové programy (neustále v RAM) AVG, AVAST, Nod 32, F-secure, Scan, Norton Antivir, Kaspersky, McAfee...

39 Antivirové programy

40 Antivirové programy

41 Antivirové programy

42 Antivirové programy Odborné časopisy sestavují žebříček nejlepších antivirových programů

43 ! POZOR! Důrazně se nedoporučuje provozovat SOUČASNĚ více antivirových či antispywarových řešení (především jejich rezidentní části). Hrozí problémy s chodem Windows a ve výsledku i problémy s detekcí havěti!

44 Antivirové systémy Nepřetržitý dohled antivirovou kontrolu nad daty, se kterými uživatel pracuje (tzv. on-access skener). Provádějí antivirový test na vybrané oblasti počítače. Test je vyvolán uživatelem (on-demand): on-demand skener.

45 Antivirové systémy Udržování antivirového systému v aktuální podobě Pravidelné stahování aktualizací antivirového systému. Automatická antivirová kontrola elektronické pošty (příchozí a odchozí)

46 Antivirové systémy bonus Plánovač událostí (scheduler): automatické vyvolání antivirové kontroly důležitých dokumentů. Kontrola integrity. Karanténa (quarantine). Monitorovací programy. AV plug-in pro aplikaci Microsoft Office.

47 Počet Malware

48 Kontrola a prevence spyware Spyware terminator, umí detekovat, ale i chránit Součástí je i "štít", který brání ve vykonání podezřelých operací. Česká verze, freeware, vývoj v Brně)

49 Kontrola a prevence

50 Kontrola a prevence Spybot S&D, umí detekovat, ale i chránit Součástí je i "štít", který brání ve vykonání podezřelých operací. Česká verze, freeware

51 Kontrola a prevence

52 Kontrola a prevence Ad-Aware, umí detekovat, ale i chránit Součástí je i "štít", který brání ve vykonání podezřelých operací. Česká verze, freeware

53 Kontrola a prevence

54 Kontrola a prevence

55 Detekce a likvidace havěti UPM vytvoří protokol o všem, co se v PC vyskytuje. ComboFix alternativa k UPM s trochu odlišnou strategií tvorby protokolu. Velice populární celosvětově. The Avenger zlikviduje soubory, záznamy v registrech apod., přesně tak, jak ho předem naučíte. Smrtící kombinace pro jakoukoliv havěť spolu s UPM nebo jinou alternativou!

56 Firewall Řízení a zabezpečování síťového provozu Umisťuje se mezi sítěmi s různou úrovní důvěryhodnosti a zabezpečení. Definuje pravidla pro komunikaci mezi sítěmi, které od sebe odděluje. identifikace zdroje cíle dat (zdrojovou a cílovou IP adresu) zdrojový a cílový port

57 Firewall Moderní firewally navíc sledují informace o stavu spojení, znalost kontrolovaných protokolů prvky IDS

58 Firewall

59 Firewall vs. běžný uživatel Personální firewall je součástí komplexních bezpečnostních balíků (spolu s antivirem, antispyware či antispamem). Vlastnosti dobrého Firewallu: o neotravuje dotazy při zahájení komunikace, případně při jiné časté činnosti. o Není známa bezpečnostní chyba ve firewallu či atypické chování firewallu oproti jiným řešením. o Personální firewall má funkce, které nevyžadují interakci/zásah uživatele.

60 HOAX Poplašná zpráva, která obvykle varuje před neexistujícím nebezpečným virem. Jediným úkolem je (trochu víc) zahltit poštovní servery.

61 Sociální inženýrství aneb nenechte se oblbnout! Úkolem je oblbnutí uživatele za využití přesvědčivě vypadající grafiky či textu Výsledkem je, že uživatel dobrovolně udělá bezpečnostní chybu

62 Sociální inženýrství aneb nenechte se oblbnout! Výskyt Šedá zóna Internetu Stránky warezu nelegálního softwaru, s pornem, které přemlouvají k nainstalování perfektního antiviru, perfektního video kodeku, popřípadě ke stažení žhavého videa s nějakou nahou celebritou...

63 Sociální inženýrství aneb nenechte se oblbnout! Grafika i text působí legitimně, ale věřte, že to je tak všechno... Ve skutečnosti se takto do PC dostane jen další havěť nebo falešné (rogue/suspect) antispywarové a jiné bezpečnostní produkty.

64 Sociální inženýrství aneb nenechte se oblbnout! Ty často a rády produkují falešné poplachy a PC označí za infikované bez ohledu na reálnou situaci. Zároveň nabízejí řešení tohoto NEEXISTUJÍCÍHO problému za řádově desítky dolarů zakoupením plné verze. Ve skutečnosti je jediným problémem právě podvodný software...

65 Podvodné antivirové stránky

66 Phishing Phishing ové zprávy, vydávající se za např.bankovní instituci Snaží se z uživatele vydolovat citlivé informace (číslo kreditní karty, jméno/heslo elektronického bankovnictví ).

67 Phishing Citibank 2006

68 Phishing Česká spořitelna

69 Phishing ING 2011

70 Phishing došlo Webmail Administrator Vážení webmail uživatelé Naše údržbářská jednotka běží digitálního programu na ových účtů, abyste zjistili, 100% jistotu kvůli výraznému nárůstu nevyžádaných ů, které dostáváme každý den, v současné době modernizace naší databázi nejlepší on-line služby. Aby bylo zajištěno, nemáte zkušenosti servis stávku, budete muset znovu potvrdit svůj účet vyplněním své Přihlašovací detail níže po kliknutí na tlačítko Odpovědět, * Login I.D: * Heslo: * Datum narození: * Země: Po pokynů váš účet bude pokračovat jako obvykle, účet uživatele, které odmítají upgrade po sedmi dnů od obdržení tohoto upozornění stojí riziko ztráty jeho / její ový účet trvale. Omlouváme se za případné nepříjemnosti. Díky, Webmail Administrator Technická podpora týmu.

71 Pharming Webový prohlížeč, si vytváří seznamy navštěvovaných IP adres Tato data jsou pharmingem upravována. Útočník přepíše původní IP adresy na ty, které využívá on Uživatel je nevědomky přesměrován na jiný server nebo webové stránky.

72 Pharming DNS cache poisoning. Útok směřuje na DNS server. Uživatel to nemá možnost poznat. Na DNS serveru jsou přepsány IP adresy Uživatelé jsou přesměrováni na falešné webové stránky Zde může dojít k získání citlivých dat.

73 Pharming

74 GSM Locator Slibuje najít kde je přítel s mobilem, zadáte číslo a uvidíte představení: Hledám mobil Našel jsem mobil

75 GSM Locator Teď už jen několik SMS za 79 Kč Pak už jen čekat na zázrak Protože se zatím nikomu nic neobjevilo

76 Havěť, která se vydává za antivirus uživatele! Facebook: místo videa odkaz na stažení kodeku nebo Flash-Player.exe Zobrazí se falešná hlášení Po dalším zapnutí počítače se automaticky nastartuje nouzový režim Windows Malware vypne uživatelův antivirus (!)

77 Havěť, která se vydává za antivirus uživatele! Následně nastartují Windows v klasickém režimu. Malware simujluje práci antiviru, ačkoli ten už nepracuje

78 Viry v mobilu Pro mobily s OS Android Trojan Spitmo Kooperace s malwarem v PC

79 Viry v mobilu Jak se nakazí Uživatel vstoupí na nesprávnou webovou stránku Bez vědomí uživatele dojde ke spuštění škodlivého kódu Zavede se malware do PC uživatele (tzv. exploit) Malware vyvolá dojem, že je nutno něco doinstalovat. (Počítá se s oblbnutím)

80 Viry v mobilu Aplikace v mobilu monitoruje SMS a odesílá je na server útočníka Malware ukradl z PC přihlašovací údaje Malware krade z mobilu SMS A teď má vše pro vytunelování účtu

81 Hesla takhle NE Pořadí Heslo Počet uživatelů Password iloveyou princess rockyou abc

82 Mimořádně hloupá hesla Pořadí Heslo Pořadí Heslo 1. Password 14. master sunshine ashley 4. qwerty 17. bailey 5. abc passw0rd 6. monkey 19. shadow letmein trustno1 22. superman 10. dragon 23. qazwsx 11. baseball 24. michael football 13. iloveyou

83

84 Prevence je lepší než léčba 1.Provádět pravidelný update antivirového programu a operačního systému! 2.Nikdy neotvírat ovou přílohu, která nebyla požadovana! 3.Mít kontrolu nad počítačem a nad tím, kdo jej používá! 4.Instalovat včas všechny záplaty na používaný software!

85 Prevence je lepší než léčba 5. Vždy prověřovat diskety, Flash disky a CD média před použitím! 6.S každým novým souborem (i z důvěryhodného zdroje) nakládat s největší opatrností! 7.Využívat více než jen jeden způsob antivirové ochrany! 8.Pravidelně zálohovat!