Урок 7. Вредоносное программное обеспечение и способы борьбы с ним

Вредоносное программное обеспечение и способы борьбы с ним

Основные понятия

Вредоносное ПО (malware)  — программы, созданные для нанесения ущерба устройствам, данным или сетям, а также для несанкционированного доступа к информации.

Вектор атаки  — путь проникновения в систему: фишинговые письма, заражённые носители, уязвимости в ПО.

Полезная нагрузка (payload)  — конкретные вредоносные действия: кража паролей, шифрование файлов, удаление данных.

Виды вредоносного ПО: Вирусы

Вирусы — это вредоносные программы, которые внедряют свой код в легитимные файлы и приложения.

Для активации им требуется запуск заражённого пользователем объекта.

После этого они копируют себя, повреждают данные, нарушают работу системы и могут загружать другие угрозы.

Черви

Черви  — это самораспространяющиеся вредоносные программы, которые для распространения не нуждаются в файле-носителе.

Они активно используют сетевые протоколы и уязвимости в операционных системах и приложениях для самостоятельного заражения других устройств.

Их главная опасность — высокая скорость распространения, способная парализовать корпоративные сети, и способность доставлять другие виды вредоносного ПО, создавая ботнеты или устанавливая программы-вымогатели.

Троянские программы (трояны)

Трояны маскируются под легитимное ПО, чтобы обманом получить установку.

После запуска они выполняют скрытые вредоносные действия: открывают удалённый доступ, крадут данные или подключают устройство к ботнету.

В отличие от вирусов, не заражают другие файлы, а в отличие от червей, не распространяются сами.

Шпионское ПО (spyware)

Шпионское программное обеспечение тайно собирает данные о пользователе и его действиях.

Оно перехватывает нажатия клавиш (кейлоггинг), делает скриншоты экрана, отслеживает историю браузера и геолокацию.

Цель — кража учётных данных, финансовой информации и личной переписки.

Собранные сведения передаются злоумышленникам для мошенничества или продажи.

Программы-вымогатели (ransomware)

Шифруют файлы пользователя, делая их недоступными, и требуют выкуп за ключ расшифровки.

Блокируют доступ к документам, фото и базам данных, парализуя работу.

Часто угрожают публикацией украденной информации, усиливая давление на жертву.

Рекламное ПО (adware)

Adware демонстрирует навязчивую рекламу: всплывающие окна, баннеры, подмену результатов поиска и перенаправления.

Часто собирает поведенческие данные для таргетинга, интегрируется в браузер или систему.

Следствие — замедление работы, повышенное потребление трафика и риск дальнейших заражений через рекламные цепочки.

Руткиты (rootkits)

Руткиты — это инструменты скрытия, которые встраиваются глубоко в ОС для маскировки присутствия вредоносов.

Они перехватывают системные вызовы, чтобы скрывать файлы, процессы и сетевые соединения, делая себя и другие компоненты «невидимыми» для антивирусов и пользователя.

В результате злоумышленник получает устойчивый, скрытый доступ, а обнаружение и удаление требуют специализированных утилит или переустановки системы.

Как вредоносное ПО попадает в систему

Вредонос проникает через фишинг и социальную инженерию: поддельные письма и сайты убеждают скачать файл или ввести пароль.

Заражённые носители — флешки и внешние диски — переносят вредоносы при подключении.

Уязвимости в устаревшем ПО и ОС позволяют выполнить код без действий пользователя.

Как вредоносное ПО попадает в систему

Использование пиратского ПО и «кряков» — частый источник заражения, так как модификации содержат скрытые вредоносы.

Вредоносные расширения браузера воруют сессии и данные, а компрометированные сайты применяют drive-by download для незаметной установки вредоносного кода при простом посещении страницы.

Признаки заражения компьютера

• Резкое замедление работы, частые зависания.
• Появление незнакомых программ, ярлыков, процессов.
• Изменения в настройках браузера (новая домашняя страница, новые расширения).
• Неожиданные всплывающие окна и реклама.
• Увеличение исходящего трафика, постоянные обращения к диску.
• Файлы исчезают, переименовываются или шифруются; появляются странные расширения (например, .locked , .crypt ).
• Антивирус или обновления ОС отключены или не запускаются.

Способы защиты от вредоносного ПО. Организационные и поведенческие меры

• Осторожность с вложениями и ссылками : не открывать файлы от неизвестных отправителей, проверять адрес отправителя и домен ссылки.
• Проверка репутации ПО : скачивать только с официальных сайтов, читать отзывы, избегать «активаторов» и «кряков».
• Разделение прав доступа : работать под учётной записью без прав администратора; для установки программ временно повышать права.
• Обучение и политика безопасности : регулярные инструктажи, правила использования устройств и носителей.

Технические меры

• Антивирусное ПО : сканер + монитор, регулярные проверки, автоматические обновления баз.
• Брандмауэр (файрвол) : контроль входящих/исходящих соединений, блокировка подозрительных портов и протоколов.

• Регулярные обновления ОС и программ : закрывают известные уязвимости, через которые проникают вредоносы.
• Контроль подключаемых устройств : запрет автозапуска с флешек, проверка съёмных носителей.
• Резервное копирование : отдельные копии важных данных вне основной системы (облако, внешний диск), проверка возможности восстановления.
• Защита браузера : блокировка небезопасных расширений, проверка сертификатов сайтов (HTTPS).

Архитектурные и инфраструктурные меры

(для организаций)

• Сегментация сети, отдельные VLAN для гостевых устройств.
• Системы обнаружения вторжений (IDS) и мониторинга событий безопасности (SIEM).
• Политики установки ПО, белые списки приложений (application whitelisting).

Практические задания.

Задание 1. «Классификация угроз и подбор мер защиты»

Цель: научиться связывать симптомы с типом угрозы и подбирать адекватные меры защиты.

Дано: 4 сценария:

• Ученик скачал «бесплатный активатор» для редактора графики.
• На рабочем компьютере автоматически запускается рекламный баннер, браузер перенаправляет на странные сайты.
• Все документы на школьном сервере получили расширение .enc , на экране сообщение о выкупе.
• В диспетчере задач появился неизвестный процесс, который сильно нагружает процессор; антивирус отключён.

Для каждого сценария:

• Определить тип вредоноса (выбрать из: вирус, червь, троян, шпионское ПО, вымогатель, рекламное ПО, руткит);
• Назвать 1–2 возможных вектора атаки;
• Предложить 2–3 меры защиты, которые могли бы предотвратить ситуацию.

Задание 2. «Разбор подозрительного файла/ссылки»

Цель: развить навыки оценки рисков и сформировать правильные поведенческие шаблоны.

Рассмотрите ситуации:

Вариант А. Ссылка в письме: https://secure-bank-login.ru/verify-account?user=alex&token=a1b2c3

Вариант Б. Название файла во вложении: update-system-fix.exe от неизвестного отправителя.

Вариант В. Ссылка в сообщении в мессенджере: http://gosuslugi-online-portal.net/confirm-identity

Что сделать:

Для каждой ситуации выпишите 3–4 признака , которые указывают на потенциальную угрозу, и к каждому признаку добавьте краткое пояснение (1 предложение: почему это подозрительно).

Затем сформулируйте безопасный алгоритм действий из 3–4 пунктов (что делать и чего не делать). В алгоритме не должно быть действий, которые могут подвергнуть устройство риску: нельзя запускать файл, переходить по ссылке, вводить данные, скачивать что‑либо.

Вопросы для рефлексии

• Почему даже «безобидная» программа, скачанная с непроверенного сайта, может быть опасной? Приведи 2–3 сценария.
• В чём разница между «просто антивирусом» и комплексной защитой? Какие компоненты обязательны в реальной среде?
• Представь, что ты отвечаешь за безопасность в школе. Напиши 3 главных правила для учеников и 3 — для учителей. Обоснуй каждое.