Қауіпті бағдарламалық құралдар

Кіріспе

Зыянды бағдарламалық қамтамасыз ету

Зыянды бағдарламалық қамтамасыз ету (зыянды бағдарламалық қамтамасыз етудің портмантосы) – компьютер, сервер, клиент немесе компьютер желісіне бұзылыс келтіруге, жеке ақпаратты ағызуға, ақпаратқа немесе жүйелерге рұқсатсыз кіруге, ақпаратқа қол жеткізуден айыруға, немесе пайдаланушының компьютер қауіпсіздігі мен жеке өміріне беймәлім түрде кедергі келтіруге бағытталған кез келген бағдарламалық қамтамасыз ету. Зерттеушілер зыянды бағдарламаларды бір немесе бірнеше кіші түрлерге жіктейді (мысалы, компьютерлік вирустар, құрттар, трояндық аттар, құпия сөзді ұрлайтын бағдарламалар, шпиондық бағдарламалар, жарнамалық бағдарламалар, жалған бағдарламалар, деректерді жоятын бағдарламалар және пернетақта тіркегіштері). Symantec компаниясының 2018 жылғы Интернет қауіпсіздігі туралы есебінде 2017 жылы зыянды бағдарламалардың түрлерінің саны 669 947 865-ке жеткені, бұл 2016 жылғы көрсеткіштен екі есе көп екені айтылған. Киберқылмыс, оның ішінде зыянды бағдарламаларға шабуылдар және компьютер арқылы жасалған басқа да қылмыстар, 2021 жылы әлемдік экономикаға 6 триллион АҚШ долларына шығын келтіруі күтілуде және жылдық өсім 15% құрап отыр. 2021 жылдан бері зыянды бағдарламалар электр энергиясын тарату желісі сияқты маңызды инфрақұрылымды басқаратын компьютерлік жүйелерге бағытталған. Зыянды бағдарламаларға қарсы қорғаныс стратегиясы олардың түріне байланысты өзгереді, бірақ көптеген жағдайларда антивирустық бағдарламаларды орнату, қабырғаларды (firewall) пайдалану, жүйелік жаңартуларды уақтылы орнату, желілерді бұзушылықтан қорғау, жүйелік сақтық көшірмелер жасау және жұқтырылған жүйелерді оқшаулау арқылы олардан сақтануға болады. Зыянды бағдарламалар антивирустық бағдарламалардың анықтау алгоритмдерін айналып өтуге арналған болуы мүмкін. Джон фон Нейман теориялық тұрғыда бағдарламаның өзін-өзі көбейтуге қабілетті екенін көрсетті. Бұл есептеу теориясындағы маңызды нәтиже болды. Фред Коэн компьютерлік вирустармен тәжірибе жасап, Нейманның постулатын растады және зыянды бағдарламалардың анықталуы және шифрлау арқылы өзін жасыру сияқты басқа да қасиеттерін зерттеді. Оның 1987 жылғы докторлық диссертациясы компьютерлік вирустар тақырыбына арналған. Вирустың құрамында криптографиялық технологияны пайдалану және оны шабуыл мақсатында қолдану 1990 жылдардың ортасынан бастап зерттелді, соның ішінде алғашқы құпия сөзді ұрлайтын бағдарламалар мен қашу идеялары да бар. Интернет кеңінен таралғанға дейін вирустар жеке компьютерлерде орындалатын бағдарламаларды немесе дискеталардың жүктеу секторларын жұқтыру арқылы тарады. Осы бағдарламалардың немесе жүктеу секторларының машиналық кодына өз көшірмесін енгізу арқылы вирус бағдарлама орындалғанда немесе дискета жүктелгенде өзін орындауға себеп болады. Алғашқы компьютерлік вирустар Apple II және Macintosh үшін жазылған, бірақ IBM PC және MS DOS жүйесінің үстемдігімен кеңінен тарады. "Wild" деп аталған алғашқы IBM PC вирусы 1986 жылы Пәкістаннан Фарук Әлви ағайындары жасаған (c)Brain болды. Зыянды бағдарламаларды таратушылар пайдаланушыны жұқтырылған құрылғыдан немесе ортадан жүктеуге немесе орындауға көндіруге тырысады. Мысалы, вирус жұқтырылған компьютерге USB жад құрылғысына қосылғанда автоматты түрде орындалатын кодты қосуы мүмкін. Кейін басқа компьютерге осы жад құрылғысын қосып, USB жад құрылғысынан автоматты түрде жүктеуге орнатылған кез келген адам жұқтырылып, инфекцияны дәл осылай таратуы мүмкін. Ескі электрондық пошта бағдарламалары әлеуетті зиянды JavaScript коды бар HTML электрондық поштаны автоматты түрде ашады. Пайдаланушылар жасырын зыянды электрондық пошта тіркемелерін де орындауы мүмкін. CSO Online сілтемесімен Verizon-ның 2018 жылғы деректерді бұзу туралы есебінде электрондық пошта зыянды бағдарламаларды таратудың негізгі әдісі екені, және ол бүкіл әлем бойынша зыянды бағдарламаларды таратудың 96% құрайтыны айтылған. Алғашқы құрттар, желілік жұқпалы бағдарламалар жеке компьютерлерде емес, көп тапсырмалы Unix жүйелерінде пайда болды. Алғашқы белгілі құрт 1988 жылы шыққан Morris құрты, ол SunOS және VAX BSD жүйелерін зақымдады. Вирустан айырмашылығы, бұл құрт басқа бағдарламаларға енбейді. Оның орнына ол желілік сервер бағдарламаларындағы қауіпсіздік тесіктерін (әлсіздіктерді) пайдаланып, өзін жеке процесс ретінде іске қосты. Бүгінгі құрттар да осы әдісті пайдаланады. 1990 жылдары Microsoft Windows платформасының пайда болуымен және оның қолданбаларының икемді макростарында, Microsoft Word және ұқсас бағдарламалардың макро тілінде жұқпалы кодты жазу мүмкін болды. Бұл макро вирустар бағдарламалардың (орындалатын файлдардың) емес, құжаттар мен үлгілерді жұқтырады, бірақ Word құжатындағы макростар орындалатын кодтың бір түрі екеніне сенеді. Көптеген алғашқы жұқпалы бағдарламалар, соның ішінде алғашқы интернет құрты Morris құрты, тәжірибелер немесе әзіл ретінде жазылған. Бүгінде зыянды бағдарламалар қара хакерлер мен үкіметтер тарапынан жеке, қаржылық немесе бизнес ақпаратты ұрлау үшін қолданылады. Бүгінде USB портына қосылатын кез келген құрылғы – тіпті шамдар, желдеткіштер, динамиктер, ойыншықтар немесе сандық микроскоп сияқты перифериялық құрылғылар – зыянды бағдарламаларды тарату үшін пайдаланылуы мүмкін. Құрылғылар өндіріс кезінде немесе жеткізілім тізбегінде сапаны бақылау жеткіліксіз болса, жұқтырылуы мүмкін. Жұқтырылған "зомби компьютерлер" электрондық спам жіберуге, балалар порнографиясы сияқты заңсыз деректерді орналастыруға немесе қорқыту мақсатында таратылған қызметтен бас тарту шабуылдарына қатысуға пайдаланылуы мүмкін. Зыянды бағдарламалар үкіметтік немесе корпоративтік веб-сайттарға сезімтал ақпаратты жинау үшін немесе олардың жұмысын тоқтату үшін кеңінен қолданылады. Сонымен қатар, зыянды бағдарламалар жеке тұлғаларға жеке басты куәліктер, банк шотының нөмірі немесе кредиттік карта деректері, парольдер сияқты ақпаратты алу үшін қолданылуы мүмкін. Қылмыстық қаржы табудан басқа, зыянды бағдарламалар саботаж үшін, көбінесе саяси мақсаттармен қолданылуы мүмкін. Мысалы, Stuxnet өте нақты өндірістік жабдықты бұзу үшін жасалған. Саяси мақсатта жасалған шабуылдар үлкен компьютерлік желілерді жауып, көптеген файлдарды жойып, жүктеуші жазбаларды бұзды, бұл "компьютерді өлтіру" деп сипатталды. Мұндай шабуылдар Sony Pictures Entertainment (25 қараша 2014 жыл, Shamoon немесе W32.Disttrack деп белгілі зыянды бағдарламаны пайдалану арқылы) және Сауд Арабиясының мұнай компаниясы (тамыз 2012 жыл) жасалды.

Malware (a portmanteau for malicious software) is any software intentionally designed to cause disruption to a computer, server, client, or computer network, leak private information, gain unauthorized access to information or systems, deprive access to information, or which unknowingly interferes with the user's computer security and privacy. Researchers tend to classify malware into one or more sub types (i. e. computer viruses, worms, Trojan horses, ransomware, spyware, adware, rogue software, wiper and keyloggers). According to Symantec's 2018 Internet Security Threat Report (ISTR), malware variants number has increased to 669,947,865 in 2017, which is twice as many malware variants as in 2016. Cybercrime, which includes malware attacks as well as other crimes committed by computer, was predicted to cost the world economy US$6 trillion in 2021, and is increasing at a rate of 15% per year. Since 2021, malware has been designed to target computer systems that run critical infrastructure such as the electricity distribution network. The defense strategies against malware differ according to the type of malware but most can be thwarted by installing antivirus software, firewalls, applying regular patches, securing networks from intrusion, having regular backups and isolating infected systems. Malware can be designed to evade antivirus software detection algorithms. John von Neumann showed that in theory a program could reproduce itself. This constituted a plausibility result in computability theory. Fred Cohen experimented with computer viruses and confirmed Neumann's postulate and investigated other properties of malware such as detectability and self obfuscation using rudimentary encryption. His 1987 doctoral dissertation was on the subject of computer viruses. The combination of cryptographic technology as part of the payload of the virus, exploiting it for attack purposes was initialized and investigated from the mid 1990s, and includes initial ransomware and evasion ideas. Before Internet access became widespread, viruses spread on personal computers by infecting executable programs or boot sectors of floppy disks. By inserting a copy of itself into the machine code instructions in these programs or boot sectors, a virus causes itself to be run whenever the program is run or the disk is booted. Early computer viruses were written for the Apple II and Macintosh, but they became more widespread with the dominance of the IBM PC and MS DOS system. The first IBM PC virus in the "wild" was a boot sector virus dubbed (c)Brain, created in 1986 by the Farooq Alvi brothers in Pakistan. Malware distributors would trick the user into booting or running from an infected device or medium. For example, a virus could make an infected computer add autorunnable code to any USB stick plugged into it. Anyone who then attached the stick to another computer set to autorun from USB would in turn become infected, and also pass on the infection in the same way. Older email software would automatically open HTML email containing potentially malicious JavaScript code. Users may also execute disguised malicious email attachments. The 2018 Data Breach Investigations Report by Verizon, cited by CSO Online, states that emails are the primary method of malware delivery, accounting for 96% of malware delivery around the world. The first worms, network borne infectious programs, originated not on personal computers, but on multitasking Unix systems. The first well known worm was the Morris worm of 1988, which infected SunOS and VAX BSD systems. Unlike a virus, this worm did not insert itself into other programs. Instead, it exploited security holes (vulnerabilities) in network server programs and started itself running as a separate process. This same behavior is used by today's worms as well. With the rise of the Microsoft Windows platform in the 1990s, and the flexible macros of its applications, it became possible to write infectious code in the macro language of Microsoft Word and similar programs. These macro viruses infect documents and templates rather than applications (executables), but rely on the fact that macros in a Word document are a form of executable code. Many early infectious programs, including the Morris Worm, the first internet worm, were written as experiments or pranks. Today, malware is used by both black hat hackers and governments to steal personal, financial, or business information. Today, any device that plugs into a USB port – even lights, fans, speakers, toys, or peripherals such as a digital microscope – can be used to spread malware. Devices can be infected during manufacturing or supply if quality control is inadequate. Infected "zombie computers" can be used to send email spam, to host contraband data such as child pornography, or to engage in distributed denial of service attacks as a form of extortion. Malware is used broadly against government or corporate websites to gather sensitive information, or to disrupt their operation in general. Further, malware can be used against individuals to gain information such as personal identification numbers or details, bank or credit card numbers, and passwords. In addition to criminal money making, malware can be used for sabotage, often for political motives. Stuxnet, for example, was designed to disrupt very specific industrial equipment. There have been politically motivated attacks which spread over and shut down large computer networks, including massive deletion of files and corruption of master boot records, described as "computer killing." Such attacks were made on Sony Pictures Entertainment (25 November 2014, using malware known as Shamoon or W32. Disttrack) and Saudi Aramco (August 2012).

Құрт

Құрт – желі арқылы белсенді түрде таралып, басқа компьютерлерді зарарландыратын және файлдарды зарарсыз қалдырып, өзін-өзі көшіре алатын дербес қауіпті бағдарламалық жасақтама. Осы анықтамалар вирустың таралуы үшін пайдаланушының зарарлы бағдарламаны немесе операциялық жүйені іске қосуы қажет екенін, ал құрттың өзін-өзі таратуға қабілетті екенін көрсетеді.

Түбір жиынтықтары

Жүйеге қауіпті бағдарлама орнатылғаннан кейін, оны анықтаудан сақтау үшін жасыру өте маңызды. Руткиттер деп аталатын бағдарламалық пакеттер, хосттың операциялық жүйесін өзгерту арқылы қауіпті бағдарламаны пайдаланушыдан жасыруға мүмкіндік береді. Руткиттер қауіпті процестің жүйе процестер тізімінде көрінбеуіне немесе оның файлдарын оқудан қорғайды. Кейбір қауіпті бағдарламалар тек жасыру үшін ғана емес, анықтаудан және/немесе жою әрекеттерінен қашу үшін арнайы жасалған. Осы қасиеттің алғашқы мысалы Jargon File-да Xerox CP V уақытты бөлісу жүйесіне енген екі бағдарлама туралы айтылады:

Әрбір «көлеңкелі» жұмыс екіншісінің тоқтатылғанын анықтап, бірнеше миллисекунд ішінде жақында тоқтатылған бағдарламаның жаңа көшірмесін іске қосады. Екі «көлеңкені» бір уақытта тоқтатудың жалғыз жолы (өте қиын) немесе жүйені қасақана құлату еді.

Арқа есіктер

Бэкдор – шабуылшыға құрбанның компьютеріне рұқсатсыз, тұрақты қашықтықтан кіруге мүмкіндік беретін компьютерлік бағдарлама, көбінесе құрбанның білмеуімен. Шабуылшы әдетте, аутентификация механизмдерін айналып өту үшін, мысалы, троян, құрт немесе вирус сияқты басқа шабуылды пайдаланып, әдетте Интернет сияқты қоршалмаған желі арқылы бэкдор бағдарламасын орнатады. Бэкдор – заңды бағдарламалық жасақтамадағы қателіктің жанама салдары болуы мүмкін, оны шабуылшы құрбанның компьютеріне немесе желісіне кіру үшін пайдаланады. Компьютер өндірушілері клиенттерге техникалық қолдау көрсету үшін өз жүйелеріне бэкдорларды алдын ала орнату идеясы жиі айтылады, бірақ бұл ешқашан сенімді түрде расталмаған. 2014 жылы АҚШ үкіметтік агенттіктерінің «көзделгендер» деп саналатын адамдар сатып алған компьютерлерді құпия шеберханаларға аударғаны хабарланды, онда агенттікке қашықтықтан кіруге мүмкіндік беретін бағдарламалық немесе аппараттық құралдар орнатылды, бұл әлемдегі желілерге кірудің ең тиімді жолдарының бірі деп есептеледі. Бэкдорлар трояндық аттар, құрттар, имплантаттар немесе басқа әдістер арқылы орнатылуы мүмкін.

Троялық жылқы

Трояндық жылқы өзін қалыпты, зиянсыз бағдарлама немесе құрал ретінде көрсетіп, құрбанды оны орнатуға көндіру үшін алдап бағдарлайды. Трояндық жылқы әдетте қолданба іске қосылған кезде белсенді болатын жасырын зиянкес функцияны алып жүреді. Бұл термин ежелгі гректердің Троялық жылқы туралы әңгімесінен алынған, ол Троя қаласына жасырын түрде шабуыл жасау үшін қолданылған. Трояндық жылқылар көбінесе әлеуметтік инженерияның әртүрлі тәсілдері арқылы таратылады, мысалы, пайдаланушы күдік тудырмайтын электрондық пошта тіркемесін (мысалы, толтырылатын стандартты форма) орындауға немесе жүктеу арқылы жүктеуге итермеленеді. Олардың пайдалы жүктемесі кез келген нәрсе болуы мүмкін, бірақ көптеген қазіргі заманғы түрлері артқы есік ретінде жұмыс істейді, бақылаушымен байланыс жасайды (үйге хабарлайды), содан кейін зардап шеккен компьютерге рұқсатсыз қол жеткізе алады, құпия ақпаратты ұрлау үшін кілттік тіркегіш сияқты қосымша бағдарламалық жасақтаманы орнату, криптомайнинг бағдарламалық жасақтамасы немесе троян операторына кіріс табу үшін жарнамалық бағдарламалар. Трояндық жылқылар мен артқы есіктерді өздері анықтау қиын болғанымен, компьютерлердің жұмысы баяулау болуы мүмкін, процессордың немесе желінің қатты жүктелуінен қызып кетуі немесе желдеткіштен шу шығуы мүмкін, бұл криптомайнинг бағдарламалық жасақтамасы орнатылған кезде болуы мүмкін. Криптомайнерлер ресурстарды пайдалануды шектеуі және/немесе анықтаудан қашу үшін бос уақытта ғана жұмыс істеуі мүмкін. Компьютерлік вирустар мен құрттардан айырмашылығы, трояндық жылқылар әдетте басқа файлдарға енуге немесе өзін-өзі таратуға тырыспайды. 2017 жылдың көктемінде Mac пайдаланушылары Proton Remote Access Trojan (RAT) бағдарламасының жаңа нұсқасына тап болды, ол браузердің автоматты толтыру деректері, Mac OS кілт сақтағышы және пароль сақтағыштары сияқты әртүрлі көздерден парольдік ақпаратты алуға бағытталған.

Қапшықтар

Droppers – троянның бір түрі, олардың мақсаты – жұқтырған жүйеге зиянды бағдарламаны жеткізу ғана, соның ішінде жасырын әдістер мен жеңіл жүктеме арқылы анықтаудан қашуға тырысады. Dropper-ді loader немесе stager-мен шатастырмау қажет. Loader немесе stager тек зиянды бағдарламаның қосымша бөлігін (мысалы, рефлективті динамикалық кітапхана инъекциясы арқылы зиянды функциялар жиынтығын) жадқа жүктейді. Мақсаты – бастапқы кезеңді жеңіл және анықталмайтын күйде ұстау. Ал dropper жүйеге одан әрі зиянды бағдарламаларды жүктейді.

Қауіпсіздік бағдарламалары

Ransomware төлем жасалғанша пайдаланушының файлдарға қол жеткізуіне бөгет қояды. Ransomware-дің екі түрі бар: крипто-рансоумер және құлыптаушы-рансоумер. Құлыптаушы-рансоумер компьютер жүйесін шифрламай, оның ішіндегі мазмұнды құлыптайды, ал крипто-рансоумер жүйені және оның ішіндегі мазмұнды шифрлайды. Мысалы, CryptoLocker сияқты бағдарламалар файлдарды қауіпсіз түрде шифрлайды және оларды тек үлкен сома төленгеннен кейін ғана ашады. Кейбір зиянды бағдарламалар компьютер пайдаланушысы сайттағы жарнамалық сілтемеге басқандай көрініс тудырып, жарнама берушіден ақша алу арқылы табыс табуға қолданылады. 2012 жылы барлық белсенді зиянды бағдарламалардың шамамен 60-70%-ы түрлі клик-фрод түрлерін пайдаланған, ал барлық жарнамалық кликтердің 22%-ы жалған екені анықталды. Құлыптау экраны, немесе экран құлыптаушы – бұл Windows немесе Android құрылғыларындағы экрандарды заңсыз контент жинауда айыптап, құрбандарды төлем жасауға итермелеуге тырысатын "киберполиция" ransomware түрі. Jisut және SLocker басқа құлыптау экрандарына қарағанда Android құрылғыларына көбірек әсер етеді, Jisut Android-те анықталған барлық ransomware-нің шамамен 60 пайызын құрайды. Шифрлау негізіндегі ransomware, аты айтып тұрғандай, жұқтырған компьютердегі барлық файлдарды шифрлейтін ransomware түрі. Бұл зиянды бағдарламалар пайдаланушыға олардың файлдары шифрланғанын және оларды қалпына келтіру үшін (әдетте Bitcoin арқылы) төлеу қажеттігін хабарлайтын хабарды көрсетеді. Шифрлау негізіндегі ransomware-нің мысалдары – CryptoLocker және WannaCry.

Сұр ыдыстар

Грейуэр – компьютерлердің жұмысын нашарлатуға және қауіпсіздік тәуекелдерін тудыруға қабілетті, бірақ оларды зиянды бағдарлама деп жіктеу үшін жеткілікті келісім немесе мәліметтер жоқ кез келген қажетсіз қосымша немесе файл.

Қажетті емес бағдарлама (PUP)

Қажетсіз бағдарламалар (PUP) – пайдаланушы оларды қасақана жүктегеніне қарамастан, күтілмеген немесе қалаусыз саналатын қосымшалар. PUP-қа шпиондық бағдарламалар, жарнамалық бағдарламалар және алаяқтық диаллерлер жатады. Көптеген қауіпсіздік өнімдері рұқсатсыз кілт генераторларын PUP ретінде жіктейді, бірақ олар көбінесе олардың белгіленген мақсатына қосымша нағыз зиянды бағдарламаларды қамтиды. Шындығында, Kammerstetter және т.б. (2012)

Шпиондық бағдарлама

Пайдаланушылардың веб-шолуын бақылауға, тілексіз жарнамаларды көрсетуге немесе серіктестік маркетингтен түскен кірістерді қайта бағыттауға арналған бағдарламалар шпиондық бағдарламалар деп аталады. Шпиондық бағдарламалар вирустар сияқты таралмайды, керісінше, олар қауіпсіздік кемшіліктерін пайдаланып орнатылады. Олар сондай-ақ жасырынып, пайдаланушы орнатқан бағдарламалық жасақтамамен бірге жинақталуы мүмкін. Sony BMG rootkit заңсыз көшіруді болдырмау үшін жасалған; сонымен қатар пайдаланушылардың тыңдау әдеттері туралы мәліметтер жинады және қасақана қосымша қауіпсіздік осалдықтарын тудырды. Статикалық талдау – потенциалды зиянды бағдарламаның кодының зерттелуі және осы бағдарламаның қолтаңбасының жасалуы. Бұл ақпарат антивирустық бағдарламалар сканерленген файлдарды салыстыру үшін қолданылады. Бұл тәсіл әлі зерттелмеген зиянды бағдарламалар үшін тиімсіз болғандықтан, антивирустық бағдарламалар бағдарламаның компьютерде қалай жұмыс істейтінін бақылауға және күтпеген әрекеттерді орындаса, оны тоқтату үшін динамикалық талдауды пайдалана алады. Кез келген зиянды бағдарламаның мақсаты – пайдаланушылар немесе антивирустық бағдарламалардың анықтауынан жасыру. (2) автоматтандырылған құралдардың анықтау әдістерін шатастыру. Бұл зиянды бағдарламаларға зиянды бағдарлама қолданатын серверді өзгерту арқылы қолтаңбаға негізделген антивирустық бағдарлама сияқты технологиялардың анықтауынан қашуға мүмкіндік береді; (3) уақытқа негізделген қашу. Бұл зиянды бағдарлама белгілі бір уақытта немесе пайдаланушының белгілі бір әрекеттерінен кейін іске қосылғанда болады, сондықтан ол жүктеу процесі сияқты белгілі бір осал кезеңдерде жұмыс істейді, ал қалған уақытта жатық күйде болады; (4) ішкі деректерді жасыру, соның салдарынан автоматтандырылған құралдар зиянды бағдарламаны анықтай алмайды; (v) ақпаратты жасыру әдістері, атап айтқанда стегомальвар; және (5) файлсыз зиянды бағдарлама, ол файлдарды пайдаланбай, жадыда жұмыс істейді және зиянды әрекеттерді орындау үшін қолданыстағы жүйелік құралдарды пайдаланады. Зиянды әрекеттерді орындау үшін қолданыстағы бинарлық файлдарды пайдалану LotL, яки «жерде тіршілік ету» деп аталатын техника. Бұл талдау үшін қолжетімді сот-медициналық артефактілердің санын азайтады. Соңғы кезде мұндай шабуылдар көбейді, 2017 жылы 432%-ға өсті және 2018 жылы шабуылдардың 35%-ын құрады. Мұндай шабуылдарды жасау оңай емес, бірақ эксплойт-киттердің көмегімен олар жиірек кездеседі.

Programs designed to monitor users' web browsing, display unsolicited advertisements, or redirect affiliate marketing revenues are called spyware. Spyware programs do not spread like viruses; instead they are generally installed by exploiting security holes. They can also be hidden and packaged together with unrelated user installed software. The Sony BMG rootkit was intended to prevent illicit copying; but also reported on users' listening habits, and unintentionally created extra security vulnerabilities. Static analysis involves studying the software code of a potentially malicious program and producing a signature of that program. This information is then used to compare scanned files by an antivirus program. Because this approach is not useful for malware that has not yet been studied, antivirus software can use dynamic analysis to monitor how the program runs on a computer and block it if it performs unexpected activity. The aim of any malware is to conceal itself from detection by users or antivirus software. (2) confusing automated tools' detection methods. This allows malware to avoid detection by technologies such as signature based antivirus software by changing the server used by the malware; (3) timing based evasion. This is when malware runs at certain times or following certain actions taken by the user, so it executes during certain vulnerable periods, such as during the boot process, while remaining dormant the rest of the time; (4) obfuscating internal data so that automated tools do not detect the malware; (v) information hiding techniques, namely stegomalware; and (5) fileless malware which runs within memory instead of using files and utilizes existing system tools to carry out malicious acts. The use of existing binaries to carry out malicious activities is a technique known as LotL, or Living off the Land. This reduces the amount of forensic artifacts available to analyze. Recently these types of attacks have become more frequent with a 432% increase in 2017 and makeup 35% of the attacks in 2018. Such attacks are not easy to perform but are becoming more prevalent with the help of exploit kits.

Қауіпті бағдарламалық қамтамасыз ету

Қауіптілік – бұл қолданбадағы, толыққанды компьютердегі, операциялық жүйедегі немесе компьютерлік желідегі әлсіздік, кемшілік немесе бағдарламалық қате, оны зиянды бағдарламалар қорғанысты айналып өту үшін немесе жұмыс істеуіне қажетті құқықтарды алу үшін пайдаланады. Мысалы, TestDisk 6.4 және одан бұрынғы нұсқаларында Windows жүйесіне кодты енгізуге мүмкіндік беретін қауіптілік болған. Зыянды бағдарламалар операциялық жүйедегі, қолданбалардағы (мысалы, браузерлердегі, мысалы, Windows XP қолдауы бар Microsoft Internet Explorer-дің ескі нұсқаларындағы) немесе Adobe Flash Player, Adobe Acrobat немесе Reader, немесе Java SE сияқты браузер плагиндерінің осал нұсқаларындағы қауіпсіздік ақауларын (қауіпсіздік қателері немесе қауіптіліктер) пайдалана алады. Мысалы, жиі қолданылатын әдіс – буферлік асығу қауіптілігін пайдалану, онда деректерді белгілі бір жад аймағында сақтауға арналған бағдарламалық қамтамасыз ету, буферге сыйып қоймайтын көбірек деректерді беруге кедергі келтірмейді. Зыянды бағдарламалар буферді асырып тастайтын деректерді, зиянды орындалатын кодты немесе соңынан келетін деректерді ұсынуы мүмкін; осы жүктемеге қол жеткізілген кезде, ол заңды бағдарламалық қамтамасыз ету емес, шабуылшының қалауынша әрекет етеді. Зыянды бағдарламалар әзірлеушілер тиісті түзетуді шығаруға үлкермей тұрып, жаңадан ашылған қауіптіліктерді пайдалана алады. Көптеген қауіптіліктерге CVE идентификаторлары беріледі және олар АҚШ Ұлттық қауіптіліктер базасында тізімделеді. Secunia PSI – жеке пайдалануға тегін бағдарламалық қамтамасыз ету, ол компьютердегі ескірген және қауіпті бағдарламалық жасақтаманы тексеріп, оны жаңартуға тырысады. Басқа тәсілдерге жергілікті компьютерлік желідегі қалыптан тыс трафикті бақылау үшін брандмауэрлер мен кіріп белгісіз бағдарламаларды тоқтату жүйелерін пайдалану кіреді.

Артық артықшылықтар

Пайдаланушылар мен бағдарламаларға қажеттісінен артық құқықтар берілуі мүмкін, ал қасақана бағдарламалар осы мүмкіндікті пайдалана алады. Мысалы, тексерілген 940 Android қолданбасының үштен бірі қажеттісінен артық құқықтар сұраған. Android платформасы үшін жасалған қолданбалар қасақана бағдарламалардың басты көзі болуы мүмкін, бірақ бір шешімі – артық құқықтар берілген қолданбаларды анықтау үшін үшінші тарап бағдарламаларын пайдалану. Кейбір жүйелерде барлық пайдаланушыларға ішкі құрылымды өзгертуге рұқсат беріледі, мұндай пайдаланушылар қазіргі таңда артық құқықтарға ие деп есептеледі. Бұл ерте микрокомпьютерлер мен үй компьютерлері үшін стандартты тәртіп болды, онда әкімші немесе түбір пайдаланушы мен жүйенің қарапайым пайдаланушысы арасында ешқандай айырмашылық болған жоқ. Кейбір жүйелерде әкімші емес пайдаланушылар қасақана түрде артық құқықтарға ие, яғни олар жүйенің ішкі құрылымын өзгертуге рұқсат алады. Кейбір жағдайларда пайдаланушыларға қателікпен әкімшілік немесе оған тең мәртебе беріледі, нәтижесінде олар артық құқықтарға ие болады. Бұл пайдаланушылар өздеріне қажеттіден артық құқықтарды талап етуге бейім болғандықтан, оларға қажетсіз құқықтар берілуі мүмкін. Кейбір жүйелер пайдаланушы орындаған кодтың сол пайдаланушының барлық құқықтарына қол жеткізуіне мүмкіндік береді, мұны артық құқықтарға ие код деп атайды. Бұл да ерте микрокомпьютерлер мен үй компьютерлері үшін стандартты тәртіп болды. Артық құқықтарға ие код ретінде іске қосылған қасақана бағдарламалар осы құқықты жүйеге зиян келтіру үшін пайдалана алады. Көптеген қазіргі операциялық жүйелер мен скрипт-қосымшалар кодқа тым көп құқықтар береді, әдетте пайдаланушы кодты орындағанда, жүйе сол кодқа сол пайдаланушының барлық құқықтарын береді.

Әлсіз парольдер

Аттестациялық шабуыл – әкімшілік құқықтары бар пайдаланушы тіркелгісінің бұзылуы және осы тіркелгінің зиянды бағдарламаларды тиісті құқықтармен қамтамасыз ету үшін қолданылуы. Мұндай шабуыл көбінесе есептік жазба қауіпсіздігінің ең нашар түрі қолданылғандықтан сәтті аяқталады, әдетте бұл сөздік бойынша немесе күш қолдану арқылы бұзуға болатын қысқа пароль болады. Күшті парольдерді пайдалану және екі факторлы аутентификацияны қосу осы тәуекелді азайтуға көмектеседі. Екі факторлы аутентификация қосылған жағдайда, шабуылшы парольді бұзса да, осы шоттың нақты пайдаланушысының иелігіндегі токен болмаса, есептік жазбаны пайдалана алмайды.

Бір операциялық жүйені пайдалану

Біртектілік осал тұс болуы мүмкін. Мысалы, егер желідегі барлық компьютерлер бірдей операциялық жүйеде жұмыс істесе, бір құртты пайдаланып, барлық компьютерлерге бірден зиян келтіруге болады: әсіресе, Microsoft Windows немесе Mac OS X нарықта үлкен үлес иеленгендіктен, осы операциялық жүйелердің біріне бағытталған қауіптің табысқа ие болуы көптеген жүйелерді бұзуы мүмкін. 2020 жылғы қаңтар мен наурыз аралығындағы зиянды бағдарламалардың шамамен 83% Windows 10 жүйелері арқылы таратылған деп есептеледі. Бұл тәуекелді желіні әртүрлі кіші желілерге бөлу және олар арасындағы трафикті бақылайтын қауіпсіздік қабырғаларын (firewall) орнату арқылы азайтуға болады.

Нақты уақытпен қорғау

Зыянке қарсы бағдарламалық жасақтаманың нақты бір компоненті, көбінесе қолжетімділіктегі немесе нақты уақыт сканері деп аталады, операциялық жүйенің негізгі бөлігіне немесе ядросына терең еніп, кейбір зиянды бағдарламалардың жұмыс істеу әрекеттеріне ұқсас қызмет етеді, бірақ жүйені қорғау үшін пайдаланушының хабардар келісімімен. Операциялық жүйе файлға қашан қол жеткізсе, қолжетімділіктегі сканер файлдың жұқтырылғандығын тексереді. Әдетте, жұқтырылған файл табылған жағдайда, оның орындалуы тоқтатылады және жүйенің қайта ортуға келмейтін зақымдануын болдырмау үшін файл карантинге алынады. Көптеген антивирустар пайдаланушыларға осы әрекетті күшпен өзгертуге мүмкіндік береді. Бұл операциялық жүйеге елеулі әсер етуі мүмкін, бірақ әсердің күші виртуалды жадыда құрылатын беттер санына байланысты.

Құмдық

Көптеген зиянды бағдарламалық жасақтама компоненттері браузердің әсер етуінен немесе пайдаланушы қателігінен орнатылатындықтан, қауіпсіздік бағдарламалық жасақтамасын (оның ішінде зиянды бағдарламаға қарсы бағдарламалар бар, бірақ көптеген бағдарламалар ондай емес) қолданып браузерлерді "қоршауға алу" (яғни браузерді компьютерден оқшаулап, осылайша зиянды бағдарламаның келтіретін кез келген өзгерістің алдын алу) зиянды шектеуге көмектеседі. BitWhisper, GSMem және Fansmitter – зерттеушілер ұсынған төрт техника, олар электромагниттік, жылулық және дыбыстық шығарылымдар арқылы желіден оқшауланған компьютерлерден деректерді шығара алады.

Зерттеу

2005-2015 жылдар аралығындағы зиянды бағдарламаларды зерттеу трендтерін библиометриялық талдауды қолдана отырып зерттеу, әсерді жасайтын журналдар, ең көп сілтемеленген мақалалар, зерттеу салалары, өнімділік, кілт сөздердің жиілігі, мекемелер және авторлар сияқты критерийлерді ескергенде, жылдық өсім 34,1% құрады. Солтүстік Америка зерттеу нәтижелері бойынша көш бастады, одан кейін Азия және Еуропа келді. Қытай мен Үндістан дамып келе жатқан елдер ретінде анықталды.