Коронные фишки вредоносных программ

[Xmpe]

Да даже простые «блокираторы windows» каждый раз новые. Антивирь есть, обновлённый, работает, но «виндовус заблокирован» гордо красуется посреди экрана)

[Borro]

Комментарий написали с холодильника? :)

[Mendel]

Вот не знаю…
Антивирь действтительно часто пропускает, но…
с одной стороны я себе с рабочим антивирем, регулярным обновлением флеша и браузера, и включенным USB-DISC-Security ни разу почему-то не намотал блокиратор,
С другой стороны сколько не приносят последнее время машины с блокировкой, а вечно одна и таже картина — ни один антивирус не ловит, но помогает банальная ручная или полуручная чистка автозагрузки…

[konspirator]

Ну дело то не продвинутости «блокираторов», а в том, что подавляющее большинство юзеров жмут кнопку «Да» не читая и не думая… старая истина — «самая большая уязвимость в безопасности сидит примерно в метре от монитора.»

[nuklearlord]

Цитата из блога Федорова:
На Западе развитие персональных компьютеров шло под знаком стремления на массовый рынок. Чем шире сбыт, тем больше прибыль от бизнеса. А ради прибыли – мы знаем, на что может пойти капитализм. На всё.
Что нужно, чтобы компьютер стал массовым товаром? Убедить рядовых потребителей, что они умеют с ним обращаться. Именно убедить – это много проще, чем научить. Убеждение происходило не только через рекламу и пропаганду. Главным средством убеждения являлось развитие пользовательского интерфейса.
Интерфейс делали всё более красивым и эмоционально привлекательным. В него включались стандартные операции за счёт снижения универсальности и функциональности. Специальная кибернетическая терминология вытеснялась бытовой («файл» —> «документ»; «каталог» —> «папка»; «запустить программу» —> «открыть приложение»). Создавались интерфейсы над интерфейсами, которые всё более отчуждали пользователя от сути происходящего в недрах машины. Эффективность вычислений приносилась в жертву наглядности для человека.
В итоге среднего чайника убедили, что он умеет и знает. «Чего тут знать? Тыкай мышью пальцем и выбирай из меню!» Но настоящие знания и умения от этого не появились. Айтишник среди пользователей – как зрячий среди слепых, обманывает как пожелает. Хакер же – обманывает айтишника как слепого. Знание каждого уровня «вглубь» даёт качественное преимущество над всеми плавающими выше.
Но про эти уровни и свою «слепоту» пользователи не подозревают. И не очень-то любят слышать правду, потому что неприятно осознавать собственную некомпетентность. Следователи и судьи – не исключение. Они хотят верить в свою власть над компьютером и поэтому отрицают необходимость специалиста. Но власть эта – придуманны фантом.

[DjPhoeniX]

ассиметричные

Даже по странице, на которую ссылается данное слово, видно, что вы ошиблись. И ладно бы опечатка, но по тексту везде эта ошибка…

[nuklearlord]

Спасибо, поправил. А Word, зараза, даже не подсказал =(

[DjPhoeniX]

У меня и без ворда глаз зацепился, что рядом стоят слова "симметричный" и «ассиметричный». Хотя разница должна быть только в приставке «а». К слову, браузер неправильное написание тоже подчеркнул (хром).

[nuklearlord]

Ну хорошо-хорошо, моя ошибка. Незачем по 10 раз повторять.

[Lure_of_Chaos]

тогда уж и «привелегий», это даже и хром подчеркнул )

[ertaquo]

Честно говоря, открывал, ожидая увидеть про что-то типа старых YankeeDoodle или Antiwin.1342 :-)

[nuklearlord]

К сожалению времена Cascade уже прошли.

[alexander007]

Спасибо за обзор.
То что ВПО почти всегда впереди я уже дано убедился. У меня родитель любит в инете серфить. Пока стояла win пере устанавливать приходилось раз в 2-3 месяца. И антивирусы разные пробовал (kav, nod32, drweb) и уровень защиты на максимум ставил. И все равно дело заканчивалось либо винлоком либо потерей файлов. Помогло решение linux + apparmor. Уже 2 года, и ни каких проблем.

[bRUtality]

Странно. Не сочтите за рекламу, но года 3 использую касперский. Примерно столько же стоит Win7 и отлично работает. При этом компьютер живет активной интернет-жизнью. Предположу, что главная уязвимость в вашем случае, как верно подметили выше, сидит в метре от монитора.

[nuklearlord]

Уважаемые товарищи, убедительная просьба — перестаньте меряться линейками. Мне было бы интересно увидеть в комментах аргументированную критику статьи или полезные дополнения, но никак не очередной холивар вида: «А вот у меня...»

[bRUtality]

Холивара и в мыслях не было, но по вашей просьбе выхожу из дискуссии.

[alexander007]

«Холивара и в мыслях не было»: поддерживаю.
Меня интересуют технические и организационные средства борьбы с ВПО. Как уже писал домашнюю проблему я решил. Даже не смотря на наличие самого опасного «ВПО», находящегося между монитором и креслом. Однако на работе не все так уж радужно. С серверами проблему решил, поставил *nix, настроил защиту и обновление — проблем нет. А на рабочих местах бывают случаи заражения. Инет не отключить и *nix не поставить, и даже обновления ОС не имею возможности ставить по определенным причинам. Съемные носители еле убедил начальство запретить, сеть на VLAN порезал с настройкой прав доступа из каждого VLAN. Хотя поле этого выявление случаев заражения стало гораздо меньше, однако остаются случаи заражения через инет. Есть у кого дельные советы?
P.S. То что нужно обеспечивать рабочие места лицензионным ПО и своевременными обновлениями я знаю.

[nuklearlord]

Для простого пользователя средство только одно — наличие знакомого грамотного специалиста по настройке ОС и ликвидации последствий воздействия ВПО.

[Lure_of_Chaos]

Вижу решение проблемы только в урезании прав.
Или, как вариант, использование всяких «песочниц» и прочих виртуалок, смысл — не хранить все яйца в одной корзине.

[nuklearlord]

Утверждение, что ПО может все то же, что и пользователь все еще в силе.

[nuklearlord]

Тут, знаете ли, не любят, когда начинают рассказывать про Windows и антивирусы. Я, вот, например, вообще антивирус не использую. Потому что, если что, он не поможет — он защищает только от известных угроз.

[VaKonS]

Только одно уточнение: не полагаться полностью на антивирус и не использовать его совсем — это разные вещи.
Всё-таки об уже известных угрозах они сообщают, какие-то лучше, какие-то хуже. А в остальных случаях нужно думать самому, нажимая на кнопки, всё правильно.

[nuklearlord]

Согласен, немного неправильно выразился. Не использую антивирус в качестве резидентного монитора. Но если что — CureIT c Bart PE.

[VaKonS]

Это я немного неправильно выразился. :)
Т. к. имел в виду не только файловый антивирус, но и как раз резидентный монитор, проверяющий интернет-ссылки и скачиваемые файлы, в т. ч. скрипты на сайтах — на них нарваться проще всего.

[Lsh]

Интересно, под win есть аналог apparmor?

[Lsh]

А без АА не помогало?

[dasm32]

Использование только антивируса сегодня не дает практически никакой защиты. Воспользовались бы комплексом антивирус + фаервол + проактивная защита-HIPS (или вы им и пользовались?)

[alexander007]

Ими и пользовался. фаервол — iptables на маршрутизаторе. антивирус + проактивная защита = касперский. Дело закончилось винлоком. При запуске системы в безопасном режиме касперский ничего не нашел на компе. Это и было последней каплей.

[Ivanhoe]

Объясните мне, пожалуйста, такое про шелл-код. Разве операционная система не должна блокировать запуск любого кода со страницы памяти, специальным образом для этого не назначенной?

[nuklearlord]

Должна, только есть специальные методы обхода таких ограничений.

[Lsh]

А чуть подробнее?

[Ivanhoe]

Какие, например?

[nuklearlord]

Более подробно об ошибках переполнения буфера написано тут. Вот описание обхода DEP для примера.

[briskly]

очень старые статьи, много что поменялось с тех пор.

[nuklearlord]

Для ликбеза сойдет. Могу более детально поискать информацию, но боюсь, это будет интересно очень ограниченному кругу лиц.

[nuklearlord]

Ну, по большому счету, ОС — это тоже разновидность ПО, а компьютер можно атаковать только физически, например, бейсбольной битой =)

[Cupper]

A можно уточнить про

Следует отметить, что концепция полностью децентрализованный P2P сети применительно к ВПО подразумевает, что распространение будет проходить в два этапа.

Т.е. на 1-м этапе это ВПО отcомится к разряду

жестко заданные доменные имена или IP адреса;

А после этого он переключается в полноценный p2p?

[nuklearlord]

На первом этапе ВПО работает в смешаном режиме — ждет подключений извне и передает на сервер свой адрес. Классический пример — Zeus, сначала распространялась версия DGA + P2P, а потом — только P2P.

[VaKonS]

Операция 1 применяется для шифрования, операция 2 — для подписи, при этом используются две пары ключей по количеству участников обмена (пользователи A и B):

1. отправитель A — исходный текст — закрытый ключ A — зашифрованный текст — открытый ключ A — расшифрованный текст — получатель B;
2. отправитель A — исходный текст — открытый ключ B — зашифрованный текст — закрытый ключ B — расшифрованный текст — получатель B.

Наоборот:

1-я операция используется для подписи (текст шифруется закрытым ключом, который есть только у отправителя).

2-я операция — для шифрования сообщения — текст шифруется открытым ключом, а расшифровать его сможет только тот, у кого есть закрытый секретный ключ.

[nuklearlord]

А вот это действительно косяк, пора завязывать с написанием статей в 2 часа ночи. Поправил.

[nuklearlord]

Причем далее по тексту было правильно написано.

[VaKonS]

Думаю, это было настолько очевидно, что никто даже не обратил внимания. Так обычно и бывает. :)
Но чтобы не запомнили неправильно, если кто не знал, решил подчеркнуть в комментариях, а не в личке.

[nuklearlord]

С этой статьей вообще интересно, просмотров и «в избранном» больше всего, а плюсов не то что бы очень много. Я так понимаю, тема для всех интересная и относительно «разжевано», но большинство пользователей не имеет права голосовать.

[Infod]

Это всегда так. Часто люди добавляют статью в избранное, чтобы почитать потом, когда время будет. А статья интересная, написана отлично. Несмотря на то, что все действительно давно разжевано, в первый раз вижу, чтобы так компактно и понятно была размещена довольно объемная тема. Было бы интересно продолжение, например как антивирусные компании все-таки будут бороться с P2P (а не бороться они не могут)? Насколько эффективно и надежно для ботнетов такое управление по сравнению с классическими способами централизованного управления? Про полиморфизм очень интересно — а возможно ли создать такой алгоритм server-side полиморфизма, при котором можно создавать очень большое количество копий вируса, уникального для любого компьютера? В таком случае сигнатурный анализ становится полностью бесполезным? Как тогда надежно детектить вирусы?

[nuklearlord]

Столько вопросов сразу. А за хорошие слова спасибо. На мой взгляд, бороться нужно не со следствием, а с причиной. А причин довольно много, основные из них, архитектурные просчеты платформы Windows+Intel, ошибки в ПО и заблуждение пользователей, что компьютер (в настоящее время) очень простая штука. Я уже подумывал написать филосовскую статью по поводу сложившейся ситуации (противостояние ВПО и антивирусных компаний), но, боюсь, это не будет воспринято сообществом Хабра. Ну и потом — я же только подаю информацию в удобоваримой форме. А вы тут глобальных вопросов назадавали, которые и Symantec с Касперским не могут решить. Если вам интересно, можете задавать мне вопросы в личку, а потом можно по мотивам очередную статью замутить, будет коллективное творчество. Я, кстати, давно хотел что-то подобное сделать, только не решил как. Чтобы была обратная связь — общество задает вопросы, я даю ответы, или еще лучше, общество дает ответы, а я их обобщаю.

[efimich]

Надо же. Получается p2p-реализацию ботнеты из скайпа взяли.

[nuklearlord]

Не совсем так. Ботнеты и skype используют P2P технологии. Или вот пример — Storm, судя по всему, включает в себя код библиотеки KadC, используемой для постоения приложений P2P.