Неавтоматическая фильтрация

Многие программы и почтовые сервисы в интернете позволяют пользователю задавать собственные фильтры. Такие фильтры могут состоять из слов или, реже, регулярных выражений, в зависимости от наличия или отсутствия которых сообщение попадает или не попадает в мусорный ящик. Однако такая фильтрация трудоёмкая и негибкая, кроме того, требует от пользователя известной степени знакомства с компьютерами. С другой стороны, она позволяет эффективно отсеять часть спама, и пользователь точно знает, какие сообщения будут отсеяны и почему.

Чёрные списки

К ним относятся:

· списки IP-адреса компьютеров, о которых известно, что с них ведётся рассылка спама;

· списки компьютеров, которые используются для рассылки спама;

Недостатком использования чёрных списков является блокирование большого числа не виновных пользователей.

Серые списки

Метод серых списков основан на том, что «поведение» программного обеспечения, предназначенного для рассылки спама, отличается от поведения обычных почтовых серверов, а именно, спамерские программы не пытаются повторно отправить письмо при возникновении вре́менной ошибки, как того требует протокол SMTP.

Простейшая версия серых списков работает следующим образом. Все ранее неизвестные SMTP-серверы полагаются находящимися в «сером» списке. Почта с таких серверов не принимается, но и не отклоняется совсем – им возвращается код временной ошибки («приходите позже»). В случае, если сервер-отправитель повторяет свою попытку не менее чем через некоторое время (это время называется задержкой), сервер вносится в белый список, а почта принимается. Программы-спамеры либо не умеют повторно отправлять письма, либо используемые ими серверы успевают за время задержки попасть в чёрные списки.

Этот метод позволяет отсеять до 90 % спама без риска потерять важные письма.

Недостатки данного метода:

· отсеиваются письма с серверов, не выполняющих рекомендации протокола SMTP, Серверы с таким поведением по возможности заносятся в белые списки;

· задержка при доставке письма может достигать получаса (а иногда больше), что может быть неприемлемо в случае срочной корреспонденции;

· крупные почтовые службы используют несколько серверов с разными IP-адресами, более того, возможна ситуация, когда несколько серверов по очереди пытаются отправить одно и то же письмо. Это может привести к очень большим задержкам при доставке писем;

· спамерские программы могут совершенствоваться, а поддержка повторной посылки сообщения реализуется довольно легко.

Другие методы

1. Ужесточение требований к письмам и отправителям, например – отказ в приеме писем с неправильным обратным адресом письма из несуществующих доменов.

2. Сортировка писем по содержанию полей заголовка письма. Некоторые клиентские программы дают возможность проанализировать заголовки, не скачивая с сервера всё письмо целиком, и таким образом сэкономить трафик.

3. Системы типа «вызов-ответ» позволяют убедиться, что отправитель – человек, а не программа-робот.

Системы определения признаков массовости сообщения. Встраиваемые в программное обеспечение почтового сервера модули подсчитывают контрольные суммы каждого проходящего через них письма и проверяют их на серверах служб Razor или DCC, которые сообщают количество появлений письма в сети Интернет. Если письмо появилось, например, несколько десятков тысяч раз – вероятно, это спам.

Руткит

Руткит (англ. rootkit, т.е. «набор root'а») – программа или набор программ для скрытия следов присутствия злоумышленника или вредоносной программы в компьютерной системе.

Под термином руткит понимается набор утилит или специальный модуль ядра, которые взломщик устанавливает на взломанной им компьютерной системе сразу после получения прав суперпользователя. Этот набор, как правило, включает в себя разнообразные утилиты для «заметания следов» вторжения в систему, снифферы (сниффер – сетевой анализатор трафика, программа или программно-аппаратное устройство, предназначенное для перехвата и последующего анализа, сетевого трафика), сканеры, кейлоггеры (кейлоггер –это программное обеспечение или аппаратное устройство, регистрирующее каждое нажатие клавиши на клавиатуре компьютера), троянские программы. Руткит позволяет взломщику закрепиться во взломанной системе и скрыть следы своей деятельности путём сокрытия файлов, процессов, а также самого присутствия руткита в системе.

Защита от несанкционированно установленных программных кейлоггеров заключает в использовании антишпионских и/или антивирусных программных продуктов, которые используют:

· постоянно обновляемые сигнатурные базы;

· эвристические (поведенческие) анализаторы.

Защита от несанкционированно установленных аппаратных кейлоггеров заключает:

· в тщательном внешнем и внутреннем осмотре компьютерных систем;

· в использовании виртуальных клавиатур.

3.8. Кто создает вредоносные программы

Основная масса вирусов и троянских программ в прошлом создавалась студентами и школьниками, которые только что изучили язык программирования, хотели попробовать свои силы, но не смогли найти для них более достойного применения. Отраден тот факт, что значительная часть подобных вирусов их авторами не распространялась и вирусы через некоторое время умирали сами вместе с дисками, на которых хранились. Такие вирусы писались и пишутся по сей день только для самоутверждения их авторов.

Вторую группу создателей вирусов также составляют молодые люди (чаще всего – студенты), которые еще не полностью овладели искусством программирования. Единственная причина, толкающая их на написание вирусов, это комплекс неполноценности, который компенсируется компьютерным хулиганством. Жизнь подобных вирусописателей стала заметно проще с развитием интернета и появлением многочисленных веб-сайтов, ориентированных на обучение написанию компьютерных вирусов. На подобных веб-ресурсах можно найти подробные рекомендации по методам проникновения в систему, приемам скрытия от антивирусных программ, способам дальнейшего распространения вируса. Часто здесь же можно найти готовые исходные тексты, в которые надо всего лишь внести минимальные «авторские» изменения и откомпилировать рекомендуемым способом.

«Хулиганские» вирусы в последние годы становятся все менее и менее актуальными – за исключением тех случаев, когда такие вредоносные программы вызвали глобальные сетевые и почтовые эпидемии. На текущий момент доля подобных вирусов и троянских программ занимает не более 10%, заносимого в антивирусные базы данных. Оставшиеся 90% гораздо более опасны, чем просто вирусы.

Став старше и опытнее, многие из подобных вирусописателей попадают в третью, наиболее опасную группу, которая создает и запускает в мир профессиональные вирусы. Эти тщательно продуманные и отлаженные программы создаются профессиональными, часто очень талантливыми программистами. Такие вирусы нередко используют достаточно оригинальные алгоритмы проникновения в системные области данных, ошибки в системах безопасности операционных сред, социальный инжиниринг и прочие хитрости.

Отдельно стоит четвертая группа авторов вирусов – исследователи, довольно сообразительные программисты, которые занимаются изобретением принципиально новых методов заражения, скрытия, противодействия антивирусам и т. д. Они же придумывают способы внедрения в новые операционные системы. Эти программисты пишут вирусы не ради собственно вирусов, а скорее ради исследования. Часто авторы подобных вирусов не распространяют свои творения, однако активно пропагандируют свои идеи через многочисленные интернет-ресурсы, посвященные созданию вирусов. При этом опасность, исходящая от таких «исследовательских» вирусов, тоже весьма велика – попав в руки «профессионалов» из предыдущей группы, эти идеи очень быстро появляются в новых вирусах.

Наиболее опасную категорию вирусописателей составляют хакеры-одиночки или группы хакеров, которые осознанно или неосознанно создают вредоносные программы с единственной целью: получить чужие деньги (рекламируя что-либо или просто воруя их), ресурсы зараженного компьютера (опять-таки, ради денег – для обслуживания спам-бизнеса или организации DОS-атак с целью дальнейшего шантажа).

Обслуживание рекламного и спам-бизнеса – один из основных видов деятельности таких хакеров. Для рассылки спама ими создаются специализированные троянские proxy-сервера, которые затем внедряются в десятки тысяч компьютеров. Затем такая сеть «зомби-машин» поступает на черный интернет-рынок, где приобретается спамерами. Для внедрения в операционную систему и дальнейшего обновления принудительной рекламы создаются утилиты, использующие откровенно хакерские методы: незаметную инсталляцию в систему, разнообразные маскировки (чтобы затруднить удаление рекламного софта), противодействие антивирусным программам.

Вторым видом деятельности подобных вирусописателей является создание, распространение и обслуживание троянских программ-шпионов, направленных на воровство денежных средств с персональных (а если повезет – то и с корпоративных) «электронных кошельков» или с обслуживаемых через интернет банковских счетов. Троянские программы данного типа собирают информацию о кодах доступа к счетам и пересылают ее своему «хозяину».

Третьим видом криминальной деятельности этой группы является интернет-рэкет, т. е. организация массированной DОS-атаки на один или несколько интернет-ресурсов с последующим требованием денежного вознаграждения за прекращение атаки. Обычно под удар попадают интернет-магазины, букмекерские конторы – т. е. компании, бизнес которых напрямую зависит от работоспособности веб-сайта компании.

Вирусы, созданные этой категорией вирусописателей, становятся причиной многочисленных вирусных эпидемий, инициированных для массового распространения и установки описанных выше троянских компонент.

Вопросы для самоконтроля

1. Какая программа вредоносная?

2. Какие программы являются вредоносными?

3. Условия существования вредоносных программ?

4. Классификация вредоносных программ?

5. Причины появления вредных программ?

6. Действия вредоносных программ?

7. Определение компьютерного вируса?

8. Классификация классических компьютерных вирусов?

9. Файловые вирусы?

10. Загрузочные вирусы?

11. Макро-вирусы?