Informatika | Alapismeretek, ECDL » Boldizsár Bálint - Rosszindulatú szoftverek, vírusok

ROSSZINDULATÚ SZOFTVEREK VÍRUSOK A VÍRUS • A számítógépes vírus olyan program, amely saját másolatait helyezi el más, végrehajtható programokban vagy dokumentumokban. Többnyire rosszindulatú, más állományokat használhatatlanná, sőt teljesen tönkre is tehet. Hatása ellen védekezni megfelelő vírusirtó szoftverrel többnyire lehetséges. A VÍRUS • A vírusok manapság jellemzően pendrive vagy e-mail segítségével terjednek az internetes böngészés mellett, valamint a megbízhatatlan oldalakról történő letöltések által. • A számítógépes vírusok működése hasonlít az élővilágban megfigyelhető vírus viselkedéséhez, mely az élő sejtekbe hatol be, hogy önmaga másolatait előállíthassa. • Ha egy számítógépes vírus kerül egy másik programba, akkor azt fertőződésnek nevezzük. A vírus csupán egyike a rosszindulatú szoftverek (malware) számos típusának Ez megtévesztő lehet a

számítógép-felhasználók számára, mivel mára lecsökkent a szűkebb értelemben vett számítógépes vírusok gyakorisága, az egyéb rosszindulatú szoftverekhez, mint például a férgekhez képest, amivel sokszor összetévesztik őket. A VÍRUSOK JELLEMZŐI • A gazdaprogramok megfertőzése és az önsokszorosító viselkedés valamennyi vírusra jellemző. Ezenkívül gyakran rendelkeznek a következő tulajdonságokkal: • • • • • • nagyon kis méretűek; futtatható állományokat képesek megfertőzni; általában ártó szándékkal készítették őket; gyakran akár válogatva, időzítve tönkretesznek más fájlokat; rejtetten működnek, esetleg akkor fedik fel magukat, ha feladatukat elvégezték; egyre fejlettebb intelligenciával rendelkeznek, például változtathatják saját kódjukat és aktivitásukat. A VÍRUSOK FAJTÁI • Programvírusok • BOOT-vírusok • A programvírusok a klasszikus értelemben vett • A BOOT-vírusok

közé szokás sorolni a vírusok. Futtatható állományokhoz (program fájlokhoz) kapcsolódnak, amiknek megnyitására aktivizálódnak. • Alkalmazásvírusok • A fájlfertőző vírusok futtatható programokat fertőznek meg (.EXE, COM, SYS, stb kiterjesztésűeket). Ha egy fertőzött program elindul, a vírus kódja bekerül a memóriába, aktivizálódik és elkezdhet más programokra átterjedni. Fertőzéskor a vírus mindig olyan programokat keres, amiket még nem fertőzött meg, így növelve másolatainak a számát. számítógépes rendszer indulásakor aktiválódó vírusokat. A számítógép operációs rendszere valamely adathordozóról töltődik be és indul el, ezt nevezzük BOOT folyamatnak. Akad vírus jellegű károkozó, amely olyan módon kerül be a memóriába, hogy az adathordozón (pl. hajlékonylemez, fix lemez) a rendszerindító utasítássorozathoz kapcsolódik. E károkozók hatékonyságát nagyban növeli az, hogy a rendszer töltődése

minden folyamatot megelőz, tehát a vírusellenes programok aktivizálódását is, ezért még a védelemre szolgáló programok indulása előtt betöltődhet és aktivizálódhat a károkozó. A FÉREG • Egy számítógépes féreg (worm) egy számítógépes vírushoz hasonló önsokszorosító számítógépes program. Míg azonban a vírusok más végrehajtható programokhoz vagy dokumentumokhoz kapcsolódnak hozzá illetve válnak részeivé, addig a férgeknek nincs szükségük gazdaprogramra, önállóan fejtik ki működésüket. A férgek gyakran a számítógéphálózatokat használják fel terjedésükhöz A FÉREG • Az első férget 1978-ban készítette el a Xerox PARC két kutatója. • Az első széles körben is ismertté vált féreg a Morris-féreg volt, melyet a Cornell Egyetem egyik diákja, Robert Tappan Morris, Jr. készített el 1988 november 2-án került ki a szabadba és a korabeli internetre kapcsolt számítógépek közül számosat

megfertőzött. Terjedéséhez a BSD Unix-ban található programhibákat használta fel. Morrist az amerikai bíróság a három év felfüggesztett börtönbüntetésre, közmunkára és 10 000 dolláros pénzbírságra ítélte. • Az önsokszorosításon kívül a féreg sokféle dologra beprogramozható, például a fájlok törlésére a gazdarendszeren, vagy önmaga elküldésére e-mailben. Az újabban megfigyelt férgek több végrehajtható állományt is visznek magukkal. Még valódi ártó szándékú kód nélkül is súlyos fennakadásokat okozhatnak, csupán azzal, hogy sokszorozódásuk kiugróan magas hálózati forgalmat generálhat. Például a Mydoom féreg terjedése csúcsán világszerte észrevehetően lelassította az internetet. A TRÓJAI • Számítógépes értelemben a trójai faló (röviden trójai) egy olyan rosszindulatú program, ami mást tesz a háttérben, mint amit a felhasználónak mutat. Az elnevezés a görög mitológiában szereplő

trójai falóból származik, utalva Odüsszeusz cselvetésére, hogy a görögök megnyerjék a trójai háborút. A közhiedelemmel ellentétben egy trójai nem feltétlenül tartalmaz rosszindulatú programkódot, azonban a többségük tartalmazza az ún. hátsó kapu telepítését, ami a fertőzés után biztosítja a hozzáférést a célszámítógéphez. A vírusokkal ellentétben általában nem többszörözi önmagát, terjedése főként egyedi támadásoknak és az emberi hiszékenységnek köszönhető. A TRÓJAI • Az egyszerűbb trójai programok csak kívülről tűnnek hasznos programnak, míg fejlettebb változataik a kémkedés mellett valóban képesek az ígért funkciók elvégzésére is – így csökkentve a lebukás veszélyét. • Trójaival való megfertőződésnek forrása lehet egy e-mail üzenet csatolmánya vagy azonnali üzenetküldő program, de megkaphatjuk CD-n vagy egyéb adattárolón is. A leggyakoribb fertőzési módszert azonban a

letöltések és a veszélyes honlapok jelentik. A TRÓJAI • Rombolás • A számítógép vagy eszköz tönkretétele • Fájlok, adatok módosítása vagy törlése • További malware programok telepítése, futtatása • Kémkedés a felhasználó tevékenysége és érzékeny adatai után • Eszköz vagy identitás kihasználása • A megfertőzött célszemély internetkapcsolatának használata (mint átjáró vagy proxy) illegális célokra (pl. további gépek megtámadására), vagy akár a felhasználó adatainak, fájljainak megosztására • A célszemély hálózatát használó többi eszköz feltérképezése, megtámadása • A számítógép használata egy botnet részeként (pl. automatikus spamelések elvégzésére) • A számítógép erőforrásainak használata kriptovaluta • Piaci titkok felderítése • Személyi vagy ipari kémkedés • Kémkedés, megfigyelés, tevékenységkövetés bányászatra (pl. Bitcoin) • Pénzlopás,

váltságdíj • Elektromos pénzlopás • Ransomware telepítése (pl. CryptoLocker) • Adatlopás • Felhasználó jelszavának, bankkártyaadatainak megszerzése • Személyi adatok, privát fényképek eltulajdonítása • Gombleütések rögzítése (pl. felhasználó adatok, jelszavak lopásához) • Felhasználó képernyőjének megfigyelése • Felhasználó webkameraképének megfigyelése • Számítógép távvezérlése VÍRUSÍRTÁS • Működési elvek • A vírusirtó szoftverek két alapelven működnek. Az első az úgynevezett reaktív védelem, ami az úgynevezett vírusdefiníciós adatbázison alapszik. Ebben az esetben a vírusirtó szoftver egy adatbázisból azonosítja a kártevőket Az adatbázist a vírusirtó szoftver gyártója rendszeresen frissíti, a frissítéseket a legtöbb vírusirtó szoftver automatikusan letölti az internetről. • A második – és napjainkban egyre fontosabb – védelmi módszer az úgynevezett

heurisztikus vírusvédelem. Ebben az esetben a vírusirtó a beépített analizáló algoritmusok (mesterséges intelligencia) segítségével azonosítja a vírusokat. A módszer azért nagyon fontos, mert sokszor több nap telik el egy új vírus megjelenésétől addig, amíg a vírusirtó program gyártója az ellenszert elkészíti és beépíti a vírusdefiníciós adatbázisba. A reaktív vírusirtó szoftvernek ilyenkor frissítenie kell magát az internetről, és csak ezután nyújt védelmet az új vírusok ellen. • A heurisztikus módszereket is alkalmazó modern vírusirtók viszont addig is védelmet nyújtanak a legtöbb kártevő ellen, amíg az ellenszer elkészül. • Ezek a modern vírusirtók kombinálják tehát a hagyományos (vírusdefiníciós adatbázison alapuló) védelmet a modern heurisztikus védelemmel, és így nagyobb biztonságot adnak a felhasználóknak. VÍRUSÍRTÁS • Fajtái • Egyedi számítógépek védelmére szolgáló

megoldások • Egyedi számítógépek védelmére optimalizált megoldások. Általában a rendszerkövetelmények csak egyedi gépes operációs rendszereket támogatnak, és nincs felkészítve a távoli menedzselhetőségre és a hálózatos környezetre. • Rendelkezik minden olyan szükséges grafikus kezelőfelülettel, amelyen keresztül felhasználószintű ismeretekkel kezelhető a szoftver. • Egyszerű vírusirtó • Kizárólag antivírus megoldást tartalmazó szoftver. Bár egyre több funkciót zsúfolnak bele a gyártók, az egyes megoldásokban mégis megkülönböztethető, hogy ez a megoldás nem tartalmaz tűzfalat, webtartalom-szűrőt, adatmentést. Egyes gyártók a kémprogramvédelmet már integrálták az egyszerűbb megoldásban. • Komplex internetbiztonsági megoldások • Egyedi számítógépekre kifejlesztett, teljes körű biztonsági megoldást kínáló megoldások. Az általánosan elfogadott, hogy antivírus, tűzfal minimálisan legyen a

megoldásban, de webtartalomszűrőt, adatmentést, SPAM szűrést, adathalászat elleni védelmet stb. kínálnak gyártótól függően a komplex kategóriába sorolható megoldások. TŰZFAL • A tűzfal (angolul firewall) célja a számítástechnikában annak biztosítása, hogy a hálózaton keresztül egy adott számítógépbe ne történhessen illetéktelen behatolás. Szoftver- és hardverkomponensekből áll Hardverkomponensei olyan hálózatfelosztó eszközök, mint a router vagy a proxy. A szoftverkomponensek ezeknek az alkalmazási rendszerei tűzfalszoftverekkel, beleértve ezek csomagvagy proxyszűrőit is. A tűzfalak általában folyamatosan jegyzik a forgalom bizonyos adatait, a bejelentkező gépek és felhasználók azonosítóit, a rendkívüli és kétes eseményeket, továbbá riasztásokat is adhatnak. TŰZFAL • Működése • A tűzfal megpróbálja a privát hálózatot ill. a hálózati szegmenst a nemkívánt támadásoktól megóvni.

Szabályozza a különböző megbízhatósági szintekkel • rendelkező számítógép-hálózatok közti forgalmat. Tipikus példa erre az internet, ami semmilyen megbízhatósággal nem rendelkezik és egy belső hálózat, ami egy magasabb megbízhatósági szintű zóna. Egy közepes megbízhatósági szintű zóna az ún. „határhálózat” vagy demilitarizált zóna (DMZ), amit az internet és a megbízható belső hálózat között alakítanak ki. Megfelelő beállítás nélkül egy tűzfal gyakran értelmetlenné válik. A biztonsági szabványok „alapértelmezett-letiltás” tűzfalszabálycsoportot határoznak meg, amelyben csakis azok a hálózatok vannak engedélyezve, amiket már külsőleg engedélyeztünk. A szabálymegszegéseket leszámítva, egy tűzfal funkciója nem abból áll, hogy veszélyeket felismerjen és akadályozzon. Főleg abból áll, hogy a meghatározott kommunikációs kapcsolatokat engedélyezze, a forrás- vagy célcímek és a használt

szolgáltatások alapján. A támadások felkutatásáért az ún. behatolás-felismerő rendszerek a felelősek, amelyet akár a tűzfalra is lehet telepíteni, de ezek nem tartoznak a tűzfalhoz. FORRÁSOK • Wikipedia – Vírusok • Wikipedia – Férgek • Wikipedia – Trójai • Wikipedia – Vírusírtó • Wikipedia - Tűzfal • Google képek