Как майкрософт определяет вредоносные программы и потенциально нежелательные приложенияhow microsoft identifies malware and potentially unwanted applications

Уровень детектирования

Основной показатель качества защиты. Антивирус должен уметь распознавать максимально большое количество существующих вредоносных программ — именно в этом и состоит его работа. При этом он должен уметь распознавать новые модификации уже известных вирусов, червей и троянцев, искать их даже в упакованных файлах (модифицированных программами упаковки исполняемых файлов), проверять содержимое архивов и инсталляторов.

Какие же могут быть проблемы у антивирусных программ, за исключением обычного маркетингового противоборства? Есть вирусы — и есть антивирусы, которые их ловят. И, на первый взгляд, антивирус давно стал обычным потребительским товаром, который практически ничем не отличается от конкурирующих продуктов и который покупают либо за более красивый дизайн, либо потому, что данный продукт был удачно разрекламирован, либо по какой-либо еще совсем не технической причине. Т.е. антивирус вроде как давно должен стать тем самым «commodity», продуктом массового потребления, вроде стиральных порошков, зубных щеток или автомобилей.

Но это не совсем так, и часто выбор антивирусного решения основывается не на его дизайне, цене или удачной рекламе, а на технических характеристиках, которые сильно отличаются в различных антивирусных продуктах. Основной вопрос — от каких именно компьютерных угроз защищает данное решение и насколько качественна предоставляемая защита.

Антивирус должен защищать от всех видов вредоносных программ, и чем лучше он это делает, тем спокойнее живет его пользователь и дольше и крепче спит системный администратор. И кто этого не понимает теоретически, очень скоро осознаёт всю глубину проблемы практически — когда вдруг куда-то начинают утекать деньги с банковского счета, компьютер сам по себе начинает звонить по каким-то совершенно «левым» телефонным номерам, внезапно и по непонятной причине резко увеличивается исходящий трафик.

Ведь если антивирусный продукт X ловит, предположим, 50% всех современных вирусов, которые в данный момент активны в сети, продукт Y — 90%, а продукт Z — 99,9%, то нетрудно подсчитать вероятность того, в каком случае в результате N атак компьютер останется целым и невредимым или, наоборот, в нем поселится какая-нибудь очередной зловред. Если компьютер был атакован 10 раз, то вероятность «залёта» для продукта X практически гарантирована (99,9%), для Y более чем вероятна (65%), а для Z весьма незначительна — всего 1%.

К сожалению, далеко не все антивирусные продукты, которые можно обнаружить на полках магазинов или в сети, дают защиту, близкую к 100%. Большинство продуктов не гарантирует даже 90%-ный уровень защиты! В этом и заключается основная проблема антивирусных программ на сегодняшний день.

Проблема №1. Количество и разнообразие вредоносных программ неуклонно растет год за годом. В результате многие антивирусные компании просто не в состоянии угнаться за этим потоком, они проигрывают в вирусной «гонке вооружений», а пользователи этих программ оказываются защищены далеко не от всех современных компьютерных угроз. Увы, продукты далеко не всех антивирусных компаний можно назвать действительно антивирусными.

Популярные типы вредоносного мобильного ПО

Вредоносное ПО для мобильных устройств несравнимо по объему и сложности со своим «коллегой» для ПК, но профессионалы в области IT-безопасности наблюдают резкое увеличение количества вредоносного мобильного ПО, предназначенного для использования уязвимостей в смартфонах и планшетах. Давайте рассмотрим некоторые самые популярные его типы:

·

  • Вредоносное банковское ПО: Как отмечает Dark Reading, количество вредоносных мобильные программ, нацеленных на сервисы онлайн-банкинга растет: хакеры стремятся скомпрометировать пользователей, которые предпочитают вести свой бизнес, в том числе совершать денежные переводы и платежи, с мобильных устройств. В третьем квартале 2015 года было обнаружено более 1,6 миллиона инсталляционных пакетов вредоносных программ, многие из которых были предназначены для проникновения на устройства пользователей, развертывания и сбора логинов и паролей для входа в банковские системы. Затем эти данные отправлялись обратно на командный сервер злоумышленников. В третьем квартале 2015 года мобильные банковские троянцы стали самой быстрорастущей угрозой в дикой природе.
  • Мобильные программы-вымогатели: изначально созданные для ПК, программы-вымогатели «блокируют» важные данные пользователя, такие как документы, фотографии и видео, зашифровывали эту информацию, а затем требуют выкуп за ее расшифровку. Если выкуп не выплачивается вовремя (обычно в биткойнах) все файлы удаляются или просто блокируются и навсегда становятся недоступными для пользователя. По данным International Data Group (IDG), 74% компаний сообщили о случаях нарушения безопасности в 2015 году, причем программы-вымогатели были одной из наиболее часто встречавшихся угроз. Создатели этого типа вредоносного ПО использовали улучшенную производительность смартфонов и анонимную сеть Tor для заражения устройств и шифрования хранящиеся на нем данных.
  • Мобильное шпионское ПО загружается на ваше устройство как программа, отслеживает вашу активность, регистрирует ваше местоположение и изучает важную информацию, такую как имена пользователей и пароли к аккаунтам электронной почты или сайтам онлайн магазинов. Во многих случаях шпионское ПО поставляется вместе с другими считающимися безопасными программами и спокойно собирает данные в фоновом режиме. Вы даже можете не замечать его присутствия до тех пор, пока не снизится производительность устройства, или вы не запускаете на планшете или смартфоне антивирусную проверку. Как отмечает Krebs on Security, шпионское ПО теперь -это крупный бизнес: например, компания mSpy создает «легитимные» приложения для родителей или супругов, чтобы они могли «отслеживать» своих детей или партнеров. По иронии судьбы, mSpy был взломан в мае 2015 года, развенчав само понятие «безопасных» шпионских программ.
  • Вредоносное ПО, передающееся через MMS: производители вредоносных программ ищут способы использования текстовой коммуникации как способа доставки вредоносного ПО. Как отмечает CSO Online, уязвимость Stagefright в медиа-библиотеке Android позволила злоумышленникам отправлять текстовое сообщение с вложенным вредоносным ПО на любой мобильный номер. Даже если пользователи не открывали вложение или не читали текст, вредоносное ПО все равно разворачивалось на устройстве и давало хакерам доступ к вашему смартфону. Проблема была быстро исправлена, но была доказана возможность текстовых сообщений как способа заражения мобильных устройств.
  • Мобильное рекламное ПО: рекламное ПО в своем развитии шагнуло далеко вперед от надоедливых всплывающих окон и простого сбора данных. Доход многих создателей рекламы зависит от количества кликов и загрузок. Согласно ZDNet, некоторые из них разработали специальный код «malvertising», который может заражать и запускать ваше устройство, заставляя его скачивать определенные типы рекламного ПО, которое позволяет злоумышленникам похищать личную информацию.
  • SMS-троянцы: киберпреступники заражают мобильные устройства, охотясь за тем, что пользователи больше всего любят в своих телефонах – текстовыми сообщениями. SMS-троянцы устраивают настоящий финансовый хаос, отправляя SMS-сообщения на премиум-номера по всему миру, в разы увеличивая телефонные счета пользователей. В 2015 году Android-устройства пользователей подверглись заражению банковским троянцем, который мог перехватывать текстовые сообщения, содержавшие финансовую информацию, а затем отправлять киберпреступникам по электронной почте копию этих сообщений, тем самым предоставляя им всю необходимые данные для проникновения в банковские аккаунты пользователей.

Синонимы

  • badware (bad — плохое и (soft)ware — программное обеспечение) — плохое программное обеспечение.
  • computer contaminant (computer — компьютер и contaminant — загрязнитель) — термин для обозначения вредоносного программного обеспечения, который используется в законодательстве некоторых штатов США, например Калифорнии и Западной Виргинии.
  • crimeware (crime — преступность и software — программное обеспечение) — класс вредоносных программ, специально созданный для киберпреступлений. Это не синоним термина malware (значение термина malware шире). Не все программы, относящиеся к crimeware, являются вредоносными, поскольку понятие преступления субъективно и зависит от законодательства конкретной страны, а вред, наносимый владельцу и/или пользователю компьютера — объективен.

Использование учетной записи без администратораUse a non-administrator account

Во время запуска большинство вредоносных программ непреднамеренно или автоматически запускаются с помощью тех же привилегий, что и активный пользователь.At the time they are launched, whether inadvertently by a user or automatically, most malware run under the same privileges as the active user. Это означает, что, ограничив привилегии учетной записи, вы можете предотвратить внесение вредоносными программами последующих изменений на любые устройства.This means that by limiting account privileges, you can prevent malware from making consequential changes any devices.

По умолчанию Windows использует контроль учетных записей (UAC) для автоматического и детального контроля привилегий— она временно ограничивает привилегии и высказывая пользователю каждый раз, когда приложение пытается внести потенциально следовательное изменение в систему.By default, Windows uses User Account Control (UAC) to provide automatic, granular control of privileges—it temporarily restricts privileges and prompts the active user every time an application attempts to make potentially consequential changes to the system. Хотя UAC помогает ограничить привилегии пользователей-администраторов, при запросе пользователи могут переопределять это ограничение.Although UAC helps limit the privileges of admin users, users can override this restriction when prompted. В результате пользователь-администратор может непреднамеренно разрешить запуск вредоносного ПО.As a result, it is quite easy for an admin user to inadvertently allow malware to run.

При необходимости войдите с учетной записью администратора, чтобы установить приложения, или внести изменения в конфигурацию, для которых требуются права администратора.Whenever necessary, log in as an administrator to install apps or make configuration changes that require admin privileges.

Синонимы

  • badware (bad — плохое и (soft)ware — программное обеспечение) — плохое программное обеспечение.
  • computer contaminant (computer — компьютер и contaminant — загрязнитель) — термин для обозначения вредоносного программного обеспечения, который используется в законодательстве некоторых штатов США, например Калифорнии и Западной Виргинии.
  • crimeware (crime — преступность и software — программное обеспечение) — класс вредоносных программ, специально созданный для киберпреступлений. Это не синоним термина malware (значение термина malware шире). Не все программы, относящиеся к crimeware, являются вредоносными, поскольку понятие преступления субъективно и зависит от законодательства конкретной страны, а вред, наносимый владельцу и/или пользователю компьютера — объективен.

Программные продукты для защиты от вредоносных программ[править | править код]

  • Microsoft Windows Defender Домашняя страница Microsoft Windows Defender на русском языке
  • Microsoft Windows DefenderДомашняя страница Microsoft Windows Defender на английском языке
  • Microsoft Anti-Malware Blog Microsoft Anti-Malware Blog
  • Anti-Keylogger Программный продукт предназначенный для борьбы с вредоносным ПО без использования сигнатурного анализа
  • PrivacyKeyboard Программный продукт с расширенными возможностями, предназначенный для борьбы с вредоносным ПО без использования сигнатурного анализа
  • HijackThis Программа для обнаружения и удаления вредоносного ПО. Логи этой программы принято считать своеобразным информационным стандартом в рамках конференций по компьютерной безопасности.

Неизвестно — неизвестное программное обеспечениеUnknown – Unrecognized software

Ни антивирусная программа, ни технология защиты не идеально подходят.No antivirus or protection technology is perfect. Определение и блокировка вредоносных сайтов и приложений или доверие к недавно выпущенным программам и сертификатам занимает некоторое время.It takes time to identify and block malicious sites and applications, or trust newly released programs and certificates.При постоянном обновлении и выпусках почти 2 миллионов веб-сайтов в Интернете и программного обеспечения невозможно получить сведения о каждом отдельном сайте и программе.  With almost 2 billion websites on the internet and software continuously updated and released, it’s impossible to have information about every single site and program.

Подумайте о предупреждениях о неизвестных и редко скачаемых предупреждениях в качестве системы раннего предупреждения о потенциально незащищенных вредоносных программах.Think of Unknown/Uncommonly downloaded warnings as an early warning system for potentially undetected malware. Как правило, с момента выпуска новых вредоносных программ до их обнаружения существует задержка.There’s generally a delay from the time new malware is released until it’s identified. Не все редкие программы являются вредоносными, но риск в неизвестной категории гораздо выше для обычного пользователя.Not all uncommon programs are malicious, but the risk in the unknown category is much higher for the typical user. Предупреждения для неизвестного программного обеспечения не блоки.Warnings for unknown software aren’t blocks. Пользователи могут при желании скачать и запустить приложение обычным образом.Users can choose to download and run the application normally if they wish to.

После сбора достаточного количества данных решения майкрософт по обеспечению безопасности могут принять решение.Once enough data is gathered, Microsoft’s security solutions can make a determination. Угрозы не найдены, либо приложение или программное обеспечение классифицируются как вредоносное ПО или потенциально нежелательное программное обеспечение.Either no threats are found, or an application or software is categorized as malware or potentially unwanted software.

Терминология

По основному определению, вредоносные программы предназначены для получения несанкционированного доступа к информации, в обход существующих правил разграничения доступа. Федеральная Служба по Техническому и Экспортному Контролю (ФСТЭК России) определяет данные понятия следующим образом:

  • Санкционированный доступ к информации (англ. authorized access to information) — доступ к информации, не нарушающий правила разграничения доступа.
  • Несанкционированный доступ к информации (англ. unauthorized access to information) — доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем.
  • Правила разграничения доступа (англ. access mediation rules) — совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа

Как защититься от вредоносного ПО

В условиях, когда вредоносное ПО становится все более совершенными, а мы все больше своих личных данных храним в Интернете, угроза того, что вредоносные программы украдут нашу конфиденциальную информацию и используют ее в мошеннических целях, никогда не еще была более реальной.

Есть несколько способов защитить себя. Следуйте приведенным ниже рекомендациям; они помогут предотвратить заражение ваших устройств вредоносными программами и не дать им возможности получить доступ к вашей личной информации.

Используйте антивирусную защиту

Обеспечьте безопасность своего устройства с помощью Kaspersky Anti-Virus. Наше передовое защитное решение автоматически проверяет ваш компьютер на наличие угроз. Если ваша система окажется зараженной вредоносным ПО, наша технология удалит его с вашего устройства и сообщит вам об этом.

Установите защитное решение на ваш смартфон

Смартфоны — это по сути небольшие компьютеры, которые помещаются в вашем кармане. Поскольку многие из нас пользуются смартфонами едва ли не чаще чем ноутбуками или настольными компьютерами, то следует помнить, что эти устройства также подвержены заражению вредоносным ПО. Следовательно, смартфоны, как и компьютеры, необходимо защитить от возможных вредоносных атак.

Для максимальной защиты смартфона мы рекомендуем Kaspersky Antivirus для Android или Kaspersky Security Cloud для iOS, если вы пользователь iPhone.

Скачивайте приложения только с доверенных сайтов

Чтобы снизить риск заражения вредоносным ПО, скачивайте приложения, программное обеспечение или мультимедийные файлы только с доверенных сайтов. Пользуйтесь Google Play Store на Android или App Store для iPhone. Помните: загружая файлы или приложения с незнакомых сайтов, вы, скорее всего, загрузите и вредоносное ПО, даже не подозревая об этом.

Проверяйте описания разработчиков

Хотя и редко, но бывает, что вредоносное ПО из сети попадает на сайты, пользующиеся хорошей репутацией. Поэтому всегда читайте информацию о разработчике в описании. Вам известен этот девелопер? Нет — поищите отзывы о нем в Google. Ничего не нашли — в целях безопасности не скачивайте файлы с этого сайта.

Сигналом тревоги для вас должны стать только положительные отзывы о приложении или программе: как правило, в настоящих отзывах отмечаются как положительные, так и отрицательные аспекты приложения.

Проверяйте количество скачиваний

Приложения, зараженные вредоносным ПО, вряд ли будут иметь тысячи скачиваний, тогда как приложения с миллионами загрузок с меньшей долей вероятности являются вредоносными. Если приложение популярно (с большим количеством отзывов и загрузок), можно не беспокоиться — риск того, что оно вредоносное, будет значительно ниже.

Проверяйте запрашиваемые разрешения

Посмотрите, какие разрешения требует от вас приложение или программное обеспечение. Запрашиваемые разрешения кажутся вам разумными? Если вы считаете, что запрашиваемые разрешения не являются необходимым для работы приложения или программы, будьте осторожны – не скачивайте приложение или удалите его, если вы его уже установили.

Не нажимайте на непроверенные ссылки

Не нажимайте на непроверенные ссылки в спам-рассылках, сообщениях или на подозрительно выглядящих веб-сайтах. Нажатие на зараженную ссылку может автоматически запустить загрузку вредоносного ПО.

Помните, что ваш банк никогда не попросит вас отправить им ваше имя пользователя и пароль по электронной почте. Если вы получили письмо с подобной просьбой, не открывайте его, не передавайте свою информацию (даже если это письмо выглядит легитимным) и немедленно свяжитесь с банком, чтобы перепроверить информацию.

Регулярно обновляйте операционную систему и приложения

Регулярное обновление операционной системы важно для защиты от вредоносных программ. Это означает, что ваше устройство использует последние обновления безопасности

Важно так же регулярно обновлять приложения на ваших устройствах. Это позволяет разработчику приложения или программного обеспечения исправлять любые обновления безопасности, чтобы защитить ваши устройства и данные

Не игнорируйте это правило: хакеры и вредоносные программы как раз и рассчитывают на то, что вы не обновите свои приложения, и тем самым дадите им возможность использовать лазейки в программном обеспечении для получения доступа к вашим устройствам.

Никогда не пользуйтесь чужими USB-устройствами

Никогда не вставляйте чужое USB-устройство в свой ноутбук или настольный компьютер – оно может быть заражено вредоносным ПО.

Решение проблем безопасности ICS / SCADA

ICS включает в себя большой сегмент многоуровневой архитектуры OT, охватывающей множество различных типов устройств, систем, элементов управления и сетей, которые управляют производственными процессами. Наиболее распространенными из них являются системы SCADA и распределенные системы управления (DCS).

Уже много лет большинство организаций внедряют меры для обеспечения информационной безопасности, а вот безопасность OT является несколько новой территорией. С ростом степени проникновения технологий промышленного Интернета вещей (IIoT) и последующей конвергенции IT/OT производства утратили «воздушный зазор», который защищал их системы OT от хакеров и вредоносных программ. В результате злоумышленники все чаще начинают нацеливаться на системы OT для кражи конфиденциальной информации, прерывания операции или совершения актов кибертерроризма в отношении критической инфраструктуры. Отчасти это происходит потому, что существующие вредоносные программы эффективно работают против устаревших систем, развернутых в сетях OT, которые, вероятно, не были исправлены или обновлены, учитывая отсутствие дополнительных ресурсов на доработку.

Ряд вызовов сыграли свою роль в эволюции кибератак, которые влияли на системы ОТ на протяжении многих лет. Среди них:

  • Недостаточность инвентаризации устройств OT. Организации не могут защитить активы – будь то путем применения патчей или проведения проверок безопасности если они не имеют полного контроля над средой.
  • Недостаточность удаленного доступа к сети. Большинство технологий, лежащих в основе ICS, основаны на ограниченном физическом доступе и скрытых компонентах и ​​протоколах связи.
  • Устаревшее аппаратное и программное обеспечение. Многие системы ICS и SCADA используют устаревшее аппаратное обеспечение или устаревшие операционные системы, которые несовместимы или слишком деликатны для поддержки современных технологий защиты. Часто такое оборудование развернуто в средах, где системы не могут быть отключены для исправления или обновления.
  • Плохая сегментация сети. Среды OT, как правило, функционируют используя установки полного доверия, такая модель плохо переносится в новые конвергентные среды IT/OT. Стандартная практика безопасности разделения сетей на функциональные сегменты, ограничивающие данные и приложения, которые могут мигрировать из одного сегмента в другой, в ICS в целом используется не очень часто.
  • Ограниченный контроль доступа и управление разрешениями. Поскольку ранее изолированные или закрытые системы становятся взаимосвязанными, элементы управления и процессы, которые предписывали доступ, часто становятся запутанными.

К счастью, риски, которые приводят к угрозам безопасности для ICS / SCADA, становятся все более широко признанными и, как следствие, более приоритетными для многих крупных организаций. Правительственные органы, включая Группу реагирования на компьютерные чрезвычайные ситуации (Control Systems Cyber Emergency Response Team – ICS-CERT) в США и Центр защиты национальной инфраструктуры (Centre for Protection of National Infrastructure – CPNI) в Великобритании, в настоящее время публикуют рекомендации и советы относительно использования передовых методов обеспечения безопасности ICS.

Одновременное использование технологий внедрения и методов социальной инженерии

Достаточно часто компьютерными злоумышленниками используются сразу оба метода. Метод социальной инженерии — для привлечения внимания потенциальной жертвы, а технический — для увеличения вероятности проникновения заражённого объекта в систему.

Например, почтовый червь Mimail распространялся как вложение в электронное письмо

Для того чтобы пользователь обратил внимание на письмо, в него вставлялся специально оформленный текст, а для запуска копии червя из вложенного в письмо ZIP-архива — уязвимость в браузере Internet Explorer. В результате при открытии файла из архива червь создавал на диске свою копию и запускал её на исполнение без каких либо системных предупреждений или дополнительных действий пользователя

Кстати, этот червь был одним из первых, предназначенных для воровства персональной информации пользователей интернет-кошельков системы e-gold.

Другим примером является рассылка спама с темой «Привет» и текстом «Посмотри, что про тебя пишут». За текстом следовала ссылка на некую веб-страницу. При анализе выяснилось, что данная веб-страница содержит скрипт-программу, которая, пользуясь еще одной уязвимостью в Internet Explorer, загружает на компьютер пользователя троянскую программу LdPinch, предназначенную для воровства различных паролей.

Анализ риска

Пользователи персональных компьютеров порой не считают вредоносные программы серьезной угрозой, хотя часто становятся жертвами кражи учетных данных либо блокировки компьютера с требованием выкупа. Бизнес, наоборот, говорит об инфекциях как о существенной угрозе своей деятельности.

Распространение получают вредоносные программы, попадающие в устройства интернета вещей. Так, компания из Британии создала вирус-вымогатель для термостата, подключенного к Wi-Fi. Получив контроль над оборудованием, он способен опустить температуру до критической отметки и требовать денег. Подробнее о новой вредоносной программе можно прочитать в статье «Вирусы-вымогатели добрались до термостатов.

Нет абсолютной защиты от инфекций, но снизить риск реализации угрозы можно. Для этого необходимо устанавливать новые версии операционных систем, следить за обновлением всех программ, использовать антивирусные решения от надежных производителей, не допускать к ПК посторонних лиц, не открывать подозрительные ссылки, письма и файлы, выполнять ряд других предохранительных мер.

Отказ работы «железа»

Вирус, как причина поломки компьютерного «железа» — явление крайне редкое, поскольку современные компьютеры достаточно хорошо защищены от программных сбоев. Однако в 1999 году срабатывание «бомбы» в вирусе CIH (также известного как «Чернобыль») привело к тому, что заражённые системы оказались неработоспособными. Вирус стирал данные на перезаписываемой памяти BIOS (Flash BIOS), и компьютер переставал даже включаться. В случае обычного настольного компьютера для восстановления работоспособности надо было обратиться к специалистам (в сервис-центр) и перезаписать Flash BIOS. На многих ноутбуках микросхема Flash BIOS оказалась впаянной в материнскую плату (вместе с диском, видеокартой и прочим «железом»), и в результате стоимость ремонта превышала стоимость покупки нового ноутбука — разрушенные компьютеры просто выкидывались. Всего в мире в результате срабатывания «бомбы» пострадало несколько сотен тысяч компьютеров — сколько из них не подлежало ремонту?

Изредка встречаются троянские программы, периодически открывающие и закрывающие лоток CD/DVD-привода — несмотря на достаточную надёжность современного «железа», теоретически они могут стать причиной поломки привода тех компьютеров, которые не выключаются продолжительное время.

Оцените статью
Рейтинг автора
5
Материал подготовил
Илья Коршунов
Наш эксперт
Написано статей
134
Добавить комментарий