Компьютерный червь¶

Компьютерный червь — это разновидность вредоносной программы, которая самостоятельно распространяется по компьютерным сетям, используя уязвимости в операционных системах, сетевых протоколах или прикладном программном обеспечении. Основное отличие червя от других типов вредоносного ПО (например, вирусов) заключается в его способности к автономному размножению и распространению без необходимости внедрения в исполняемые файлы или участия пользователя. Целью червя может быть нарушение работы сети, кража данных, установка дополнительного вредоносного ПО, создание ботнетов или нанесение иного ущерба.

¶История

¶Первые черви

Первым известным компьютерным червём, получившим широкую огласку, стал червь Морриса, созданный в 1988 году аспирантом Корнелльского университета Робертом Моррисом-младшим. Он поразил около 6 тысяч компьютеров, подключённых к тогдашней сети ARPANET, что составляло примерно 10% от всех машин в сети. Червь использовал несколько уязвимостей, включая слабые пароли и ошибки в программах sendmail и finger. Инцидент привёл к созданию первой группы реагирования на компьютерные инциденты — CERT Coordination Center.

¶Эпидемии начала XXI века

Начало 2000-х годов ознаменовалось серией масштабных эпидемий, вызванных червями, которые распространялись через электронную почту и уязвимости в операционных системах Microsoft Windows.

ILOVEYOU (2000) — филиппинский червь, распространявшийся через вложения электронной почты. Маскировался под любовное письмо. По различным оценкам, нанёс ущерб в размере от 5 до 10 миллиардов долларов США.
Code Red (2001) — червь, атаковавший веб-серверы Microsoft IIS. Использовал уязвимость переполнения буфера. 19 июля 2001 года заразил более 359 тысяч серверов за 14 часов.
SQL Slammer (2003) — чрезвычайно быстро распространявшийся червь, поражавший серверы Microsoft SQL Server. За 10 минут заразил около 75 тысяч машин, вызвав массовые сбои в работе интернета по всему миру.
Blaster (2003) — червь, эксплуатировавший уязвимость в службе удалённого вызова процедур (RPC) Windows. Вызывал перезагрузку заражённых компьютеров.
Sasser (2004) — червь, написанный 17-летним немецким программистом Свеном Яшаном. Распространялся через уязвимость в службе Local Security Authority Subsystem Service (LSASS) Windows, не требуя действий пользователя.

¶Современные черви

В 2010-х годах классические черви как самостоятельный класс вредоносного ПО стали встречаться реже. Их функции и методы распространения были интегрированы в более сложные многокомпонентные угрозы, такие как трояны-бэкдоры, программы-вымогатели (ransomware) и шпионское ПО. Однако принципы самораспространения, заложенные в червях, продолжают использоваться:

Stuxnet (2010) — сложный компьютерный червь, предназначенный для атаки на промышленные системы управления Siemens (SCADA). Считается, что он был разработан спецслужбами США и Израиля для вывода из строя иранских центрифуг по обогащению урана. Stuxnet использовал четыре уязвимости нулевого дня (zero-day) и распространялся через USB-накопители и локальные сети.
WannaCry (2017) — программа-вымогатель, которая использовала червеобразный механизм распространения на основе эксплойта EternalBlue, разработанного Агентством национальной безопасности США (АНБ). Эпидемия затронула более 200 тысяч компьютеров в 150 странах, нанеся многомиллиардный ущерб.

¶Классификация

Компьютерные черви классифицируются по способу распространения, типу используемой уязвимости и целевому окружению.

¶По способу распространения

Почтовые черви (Email worms). Распространяются через вложения электронных писем или ссылки на заражённые ресурсы. Для рассылки используют адресные книги заражённой системы. Примеры: ILOVEYOU, Melissa, Sobig.
Сетевые черви (Network worms). Распространяются непосредственно по сети, используя уязвимости в сетевых протоколах и службах. Не требуют участия пользователя. Примеры: Blaster, Sasser, SQL Slammer.
Черви, распространяющиеся через мессенджеры (IM worms). Используют интерфейсы программ мгновенного обмена сообщениями (ICQ, Skype, Telegram) для рассылки вредоносных ссылок или файлов.
Черви, распространяющиеся через файлообменные сети (P2P worms). Маскируются под популярные файлы (фильмы, музыку, программы) в пиринговых сетях.
Черви, распространяющиеся через сменные носители (USB worms). Копируют себя на USB-накопители, CD/DVD-диски и другие съёмные устройства. Используют автозапуск (Autorun) или уязвимости для автоматического запуска при подключении носителя. Пример: Stuxnet.

¶По используемому механизму

Черви, использующие уязвимости (Vulnerability worms). Эксплуатируют конкретные программные ошибки (переполнение буфера, SQL-инъекции, некорректную обработку данных) для проникновения в систему.
Черви, использующие социальную инженерию. Для распространения полагаются на обман пользователя (например, маскировка под легитимное письмо или файл, вызывающий любопытство).
Черви, использующие слабые пароли. Перебирают простые или стандартные пароли для доступа к сетевым ресурсам (например, к сетевым папкам или удалённым рабочим столам).

¶Устройство и принцип работы

¶Жизненный цикл

Проникновение (Infection). Червь находит цель (другой компьютер в сети) и использует уязвимость или социальную инженерию для получения доступа.
Активация (Activation). После проникновения червь запускает свой код на целевой системе. Это может произойти автоматически или после определённых действий пользователя.
Загрузка (Payload). Червь загружает свою основную полезную нагрузку (payload) из удалённого источника или использует код, уже внедрённый в систему. Полезная нагрузка может включать:

Установку бэкдора (backdoor) для удалённого управления.
Кражу данных (логины, пароли, документы).
Установку программ-вымогателей.
Организацию DDoS-атак.
Установку дополнительного вредоносного ПО (например, кейлоггеров).

Размножение (Replication). Червь сканирует сеть на предмет новых уязвимых машин и повторяет процесс проникновения.
Сокрытие (Stealth). Современные черви часто используют различные методы маскировки, чтобы избежать обнаружения антивирусами и системами обнаружения вторжений (IDS):

Полиморфизм — изменение собственного кода при каждом копировании.
Шифрование — шифрование своего тела, оставляя расшифровщик видимым.
Руткит-технологии — сокрытие своих процессов, файлов и ключей реестра от операционной системы.

¶Компоненты

Тело червя — исполняемый код, содержащий алгоритмы распространения и полезную нагрузку.
Вектор атаки — конкретный способ проникновения в систему (уязвимость, протокол, социальная инженерия).
Механизм распространения — алгоритм поиска новых целей (сканирование IP-адресов, анализ адресных книг, использование списков контактов).
Полезная нагрузка (Payload) — код, выполняющий деструктивные или шпионские действия.

¶Методы защиты

Защита от компьютерных червей требует комплексного подхода, сочетающего технические и организационные меры.

¶Технические меры

Своевременное обновление ПО (Patch Management). Регулярная установка обновлений безопасности для операционной системы, приложений и сетевых устройств. Это закрывает уязвимости, используемые червями.
Использование антивирусного ПО и межсетевых экранов (Firewalls). Антивирусы обнаруживают и блокируют известные черви. Межсетевые экраны контролируют входящий и исходящий трафик, блокируя подозрительные соединения.
Сегментация сети. Разделение сети на изолированные сегменты (VLAN) ограничивает распространение червя в случае заражения одного из сегментов.
Принцип минимальных привилегий. Предоставление пользователям и программам только тех прав, которые необходимы для выполнения их задач. Это снижает потенциальный ущерб от действий червя.
Контроль съёмных носителей. Отключение автозапуска (Autorun) на USB-накопителях, использование политик, запрещающих подключение неавторизованных устройств.
Системы обнаружения и предотвращения вторжений (IDS/IPS). Мониторят сетевой трафик на предмет аномалий, характерных для активности червей (например, массовое сканирование портов).

¶Организационные меры

Политика информационной безопасности. Разработка и внедрение правил использования корпоративных ресурсов, работы с электронной почтой и съёмными носителями.
Обучение пользователей. Повышение осведомлённости сотрудников об угрозах социальной инженерии, фишинга и опасности открытия подозрительных вложений.
Резервное копирование данных. Регулярное создание резервных копий критически важных данных на изолированных носителях. Это позволяет восстановить информацию после атаки программы-вымогателя, распространяемой червём.
План реагирования на инциденты. Разработка и отработка процедур действий при обнаружении заражения червём, включая изоляцию заражённых систем, сбор доказательств и восстановление работоспособности.

¶Интересные факты

Первый в истории компьютерный червь, Creeper, был создан в 1971 году Бобом Томасом как экспериментальная программа для самораспространения. Он выводил на терминал сообщение «I'M THE CREEPER. CATCH ME IF YOU CAN!» (Я — КРИПЕР. ПОЙМАЙ МЕНЯ, ЕСЛИ СМОЖЕШЬ!). Для его удаления была создана программа Reaper, которая считается первым антивирусом.
Червь Морриса стал первым случаем, когда создатель вредоносного ПО был привлечён к уголовной ответственности по Закону о компьютерном мошенничестве и злоупотреблениях (CFAA) в США. Роберт Моррис был приговорён к трём годам условно, 400 часам общественных работ и штрафу в 10 050 долларов.
Червь Stuxnet считается первым известным кибероружием, нанёсшим физический ущерб промышленному объекту. Он был настолько сложен, что для его анализа потребовалась международная команда экспертов из нескольких компаний и организаций.
Червь MyDoom, обнаруженный в 2004 году, до сих пор считается одним из самых быстро распространяющихся и наносящих наибольший экономический ущерб. Он использовал собственный SMTP-движок для рассылки писем и создал ботнет, который использовался для DDoS-атак.

¶Источники

Robert T. Morris, "A Weakness in the 4.2BSD UNIX TCP/IP Software", 1985.
Eugene H. Spafford, "The Internet Worm Program: An Analysis", 1988.
Symantec, "Internet Security Threat Report", различные выпуски.
Microsoft Security Response Center, "The Evolution of Malware", 2010.
Ralph Langner, "Stuxnet: Dissecting a Cyberwarfare Weapon", 2011.
"Computer Worms: Past, Present, and Future", Linux Journal, 2003.
"WannaCry Ransomware: A Detailed Analysis", Kaspersky Lab, 2017.

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →