Zlonamerni programi

Uvod
Zlonamerni programi su pisani od strane napadača kako bi na određeni način
napravili štetu.

Zlonamerni programi se mogu klasifikovati prema više kriterijuma. Generalno se dele

prema vrsti napada na viruse, trojance, crve, mobilne kodove i kombinovane napade.

Podela prema tome da li je neophodan nosilac, tj. program u kome će biti sakriveni
(virusi, trojanci) i samostalne, kojima nije potreban nosilac (crvi, špijunski programi).

Maliciozni programi se dele na one koji se repliciraju (virusi, crvi) i na one koji se ne
repliciraju (trojanci, logičke bombe).

Poznati maliciozni program je Ransomeware koji zaključava podatke korisnika, a zatim

zahteva da se uplati određena suma novca kako bi dozvolio pristup korisnikovim
podacima.
Virusi
Računarski virus je program koji “inficira” ostale programe, modifikujući ih tako
da uključuju njegovu naprednu kopiju. Sa inficiranog područja virus se može širiti
kroz računarski sistem i računarsku mrežu, koristeći autorizaciju svakog korisnika
da inficira njihove programe. Svaki program koji se inficira takođe se ponaša kao
virus, pa se infekcija povećava.

Računarski virus je deo mašinskog koda, obično od 200 do 4000 bajta, koji će
nakon aktiviranja kopirati svoj kod na jedan ili više programa domaćina.
Izvršavanjem programa domaćina, izvršava se “inficirani” kod i virus nastavlja da
se širi.
Virusi
Pre pojave računarskih mreža virusi su se širili jedino preko zaraženih disketa.
Brzom širenju virusa doprinele su savremene računarske mreže. Takođe, virusi
se mogu prenositi i preko usb-a, CD/DVD-ova.. Apsolutne zaštite od virusa nema.

Najčešće, virus se ugnezdi u drugu datoteku, nakon čega je menja ili briše. Neki
virusi se samo reprodukuju, drugi prikazuju poruke na ekranu, a ostali brišu
diskove i uništavaju podatke. Ključni faktor za definisanje virusa je
samoumnožavanje u postojeći izvršni kod.
Virusi
Autori virusa često imaju za cilj da ostvare maliciozne namere, komercijalnu dobit
ili hakerisanje. Česta je klasifikacija virusa na sledeće kategorije:

● Virusi infektori datoteka

● Virusi BOOT sektora
● Makrovirusi
● Šifrovani virusi
● Složeni virusi
● Lažni virusi
Virusi infektori datoteka
Virusi infektori datoteka predstavljaju najširu kategoriju virusa koji se prenose
standardnim .com i .exe izvršnim datotekama koje Windows OS podržava. Datoteke
.com se danas više ne koriste. Virusi infektori datoteka se izvršavaju samostalno ili ih
pokreće korisnik računara. Tehnike koje infektori izvršnih datoteka koriste su:
prepisivanje, dopisivanje ispred izvršne datoteke i dopisivanje iza izvršne datoteke.
Tehnikom prepisivanja virus zamenjuje sadržaj inficirane datoteke svojim kodom,
nakon čega datoteka postaje neupotrebljiva. Korisnik lako zapaža ovu promenu nakon
pokretanja inficirane datoteke, čiji se sadržaj ne izvršava jer je izbrisan. Ovi virusi se lako
detektuju, a metoda zaštite kojom se može obezbediti rekonstrukcija uništenih datoteka
jeste povremeno kopiranje svih izvršnih datoteka u zaštićeni direktorijum.
Virusi infektori datoteka
Dopisivanje ispred izvršne datoteke je složenija tehnika od prepisivanja, kojom
virus upisuje svoj kod na početak inficirane izvršne datoteke i pri tome najčešće
ne oštećuje program u koji se ubacuje (ne menja sadržaj datoteke koju inficira).
Nakon pokretanja inficirane izvršne datoteke, najpre se izvršava kod virusa, a
zatim virus predaje kontrolu legitimnom kodu.
Dopisivanje iza izvršne datoteke je tehnika kojom virus najpre dopisuje svoj kod
na kraj inficirane datoteke, a zatim modifikuje ulaznu tačku u zaglavlju datoteke,
kako bi obezbedio da se pre izvršenja legitimnog koda izvrši zlonamerni kod.
Virusi koji koriste ovu tehniku se lako otkrivaju i njihovim uklanjanjem legitimni kod
se može ponovo vratiti.
Virusi boot sektora
Virusi boot sektora kače se za program MBR (master boot record) koji se nalazi
u boot sektoru čvrstog diska, gde se nalaze BIOS i program za podizanje OS.
Nakon uključenja računara, prvi se aktiviraju. Ovi virusi mogu biti dobro sakriveni u
najdubljem delu OS, a aktiviraju se pre pokretanja antivirusnog programa.

Makrovirusi
Makrovirusi su preovladajući infektori datoteka napisani u makrojezicima. To su
programi koji se sami “kače” za dokumenta koja se najčešće otvaraju
aplikacijama iz paketa MS Office, a koja sadrže makroe - ugrađene programe za
automatizovanje zadataka (u Excell-u, Access-u..). Za druge aplikacije,
makrovirusi su veoma retki. Nakon otvaranja ili zatvaranja inficirane datoteke,
makrovirus preuzima kontrolu nad sistemom, a zatim pokušava da prenese svoj
kod, najčešće na druge otvorene datoteke u aplikaciji ili na druge datoteke na
disku.
Šifrovani virusi
Šifrovani virusi kriju svoj kod šifrovanjem. Najčešće, za šifrovanje koriste neku
jedinstvenu proceduru šifrovanja, kao što je binarna operacija XOR. Procedura
dešifrovanja je jedini otvoreni tekst. Pored toga što sakrivaju svoj kod, mogu sakriti
i inficiranu datoteku. Ovi virusi se mogu detektovati pronalaženjem procedure za
dekripciju koja se nalazi na početku koda virusa.
Složeni virusi
Složeni virusi su veoma opasni, jer kombinuju tehnike širenja, razmnožavanja i
ugrožavanja. Fleksibilni su i predstavljaju vrhunac tehnologije programiranja virusa.

Lažni virusi
Lažni virusi daju alarmantno upozorenje da je računar napadnut razornim virusom i
da je neophodno sprovesti trenutnu akciju adekvatne zaštite računara. Mogu
prevariti korisnika da izbriše datoteku, izmeni konfiguraciju OS-a. Mogu biti veoma
opasni u kombinaciji sa trojancem.
Crvi
Crvi su samostalni programi koji se nezavisno šire isključivo preko računarske
mreže tražeći nezaražene radne stanice u kojima će se reprodukovati.
Samoumnožavaju se sve dok se računar ne blokira usled nedostatka slobodne
memorije ili prostora na disku. Crv eksploatiše ranjivost žrtve ili koristi metode
prevare i obmanjivanja kako bi naterao korisnika da ga pokrene.
Trojanski konj
Trojanski konj (trojanac) je prosta forma zlonamernog programa koji se
predstavlja kao benigni program, ali u pozadini izvršava maliciozne aktivnosti.
Trojanac briše datoteke ili diskove, prikazuje poruke, ali ne inficira ostale izvršne
datoteke, jer se ne replicira. Sastoji se od serverske i kljintske komponente.
Serverska komponenta se ubacuje u računar korisnika, a klijentskom upravlja
napadač.
Na primer, trojanac može biti program koji se ubacuje i postavlja login upitnik,
očekujući od korisnika da unese ime i lozinku. Ako korisnik unese ove podatke,
program ih šalje napadaču, a korisniku, pri prijavljivanju na sistem, prikazuje
grešku. Alternativna metoda za širenje trojanca je upotreba crva kao nosioca.
Zadnja vrata (backdoor)
Zadnja vrata (backdoor) predstavljaju metod zaobilaženja kontrole pristupa
sistemu sa ciljem da se ostvari privilegovan pristup nekim delovima sistema.
Zadnja vrata u kodu često namerno stvaraju programeri zbog legitimnih razloga.
Napadač može instalirati backdoor pomoću virusa, crva, malicioznog skript koda
koji se izvršava u pretraživaču, a može i iskoristiti neku grešku ili ranjivost
konfiguracije sistema, ući u sistem i zatim samostalno instalirati backdoor za
sledeći napad.
Remote programi, koje administratori i proizvođači programa koriste za udaljeni
pristup korisničkim računarima, spadaju u backdoor programe. Razlika između
trojanca i backdoor-a je što backdoor napadaču samo omogućava zaobilazni
pristup računaru, dok trojanac isto omogućava zaobilazni put, ali vara korisnika da
je korisni program.
Logička bomba
Logička bomba je zlonameran kod ubačen u legitiman program, dizajniran da se
aktivira u tempirano vreme i proizvede nepoželjne rezultate. Da bi se kod mogao
klasifikovati kao logička bomba, akcija koju izvršava mora biti nepoželjna i
nepoznata (do momenta izvršenja) legitimnim korisnicima programa. Sastoji se
od tereta - dela koji izvršava maliciozni kod i okidača - dela koda koji pokreće
izvršavanje malicioznog koda. Okidač se može aktivirati i nezavisno od nekog
događaja. Logičke bombe mogu biti samostalne aplikacije ili zavisne od
izvršavanja drugog programa.
Maliciozni mobilni kod
Maliciozni mobilni kod čine mali programi koji se prenose sa nekog udaljenog
sistema i pokreću lokalno sa minimalnim učešćem korisnika ili bez učešća
korisnika. JavaScript, Java applets, ActiveX ili VB-Script su popularni prenosioci
mobilnih kodova.

Kombinovani napad
Ako maliciozni kod koristi višestruke metode za širenje, tada je reč o
kombinovanom napadu. Recimo, Nimda “crv” za širenje koristi e-mail, Windows
zajedničke datoteke, web servere i web klijente. Ako korisnik na ranjivom hostu
otvori inficiran mail prilog, Nimda traži e-mail adrese na hostu, a zatim šalje
svoje kopije na te adrese.
Špijunski programi
Špijunski program (spayware) je neželjeni program koji se instalira na računar
korisnika bez njegovog znanja, a zatim prikuplja informacije o aktivnostima
korisnika (npr. posećene web stranice i softver koji se upotrebljava), lozinke,
e-mail adrese, finansijske informacije, a zatim ih prosleđuje napadaču. Posebna
vrsta špijunskih programa su reklamni špijunski programi (adware) koji ove
informacije prikupljaju i šalju kompanijama koje se bave marketingom zasnovanim
na praćenju korisničkih navika pri pretraživanju veba i na oglašavanju u iskačućim
prozorima i banerima. Takođe, trojanci iz kategorije kradljivaca informacija mogu
se svrstati u špijunske programe.
Špijunski programi
Osim krađe informacija, špijunski programi kradu resurse računara i propusni
opseg veze sa internetom za prenos reklama i slanje prikupljenih informacija.
Indikatori napada na računar od špijunskih programa su:

- Neželjeni iskačući (pop-up) prozori s reklamama koji se pojavljuju dok korisnik

pretražuje internet.
- Promenjen izgled web čitača (npr. nova paleta alatki, izmenjene ikonice)
- Usporena veza sa internetom, preusmereni web zahtevi i stalni interenet
upload
- OS se često blokira, računar radi sporije i nestabilno.
Špijunski programi
Kreatori špijunskih programa svoj kod najčešće ugrađuju u razne datoteke i
besplatni ili probni softver koji se preuzima sa interneta. Takav softver obično
sadrži dugačak ugovor o korišćenju kojim se korisnik obaveštava da se aplikacija
isporučuje s pratećim kodom koji će “najverovatnije” informisati neku marketinšku
kompaniju o aktivnostima korisnika na internetu.
Kako se može zaštiti od špijunskih programa? Najjednostavniji način zaštite jeste
instaliranje i redovno ažuriranje odgovarajućeg softvera za zaštitu (antispyware).
Uvek pažljivo treba proveriti programe koji se instaliraju - pročitati licencni ugovor i
proveriti na www.softpedia.com da li je taj softver označen kao “100% free - no
spyware, no adware, no viruses”.
Zaštita sistema od zlonamernih programa
Identifikovanje različitih vrsta zloupotreba mrežne infrastrukture predstavlja glavni
problem u razvoju sistema zaštite i odbrane od malicioznih napada na sisteme u
mrežnom okruženju.
Da bi se računarske mreže i računarski sistemi optimalno zaštitili od malicioznih
napada i dinamički promenljivh pretnji, potrebno je uključiti sveobuhvatnu
višeslojnu zaštitu koja obuhvata: obuku i razvoj svesti o potrebi zaštite; višeslojnu
antivirusnu zaštitu; nadzor i kontrolu log tragova; izolaciju mrežnom barijerom,
kriptološke mehanizme i tehnologije digitalnog potpisa; proceduru jake
autentifikacije korišćenjem digitalnih sertifikata; korišćenje jakih ključeva i česte
izmene, upotreba smart kartica za generisanje digitalnog potpisa i bezbedno
čuvanje ključeva...
Zaštita od zlonamernih programa
Postoji dosta antivirusnih programa, neki od njih su besplatni, ali takvi antivirusni
programi nude manje funkcija. Važno je da se oni redovno ažuriraju i da se s
vremena na vreme vrši full skeniranje. Takođe, potrebno je update-ovati OS novim
zakrpama, koristiti firewall kako bi se sprečio neautorizovani pristup računaru.
Potrebno je koristiti jake lozinke, ne otvarati mailove sa nepoznatih adresa,
pažljivo analizirajte sve što preuzimate sa interneta - krekovi mogu sadržati
maliciozne kodove..