Текст книги "Новейшая энциклопедия: Самые необходимые программы."

В эпоху «классических» вирусов любой более-менее грамотный пользователь прекрасно знал: источником вирусной заразы могут быть только программы. И уж вряд ли даже в страшном сне могло присниться, что через несколько лет смертоносной начинкой обзаведутся… текстовые документы! Впрочем, такие сообщения время от времени проскакивали еще в конце 80-х годов. Но появлялись они преимущественно первого апреля, так что никакой реакции, кроме смеха, вызвать не могли.

Как оказалось, смеялись напрасно…

В 1995 году, после появления операционной системы Windows 95 Microsoft с большой помпой объявила: старым DOS-вирусам конец, Windows защищена от них на 100 процентов, ну а новых вирусов в ближайшее время не предвидится. Если бы! Уже в том же 1995 году было зарегистрировано несколько мощных вирусных атак и создан первый вирус, работающий под Windows 95.

А меньше чем через полгода человечество было огорошено вирусами нового, совершенно неизвестного типа и принципа действия. В отличие от всех «приличных» вирусов, новички паразитировали не на исполняемых файлах, а на документах, подготовленных в популярных программах из комплекта Microsoft Office.

Ларчик открывался просто: в текстовый редактор Microsoft Word и в табличный редактор Microsoft Excel был встроен свой собственный язык программирования – Visual Basic for Applications (VBA), предназначенный для создания специальных дополнений к редакторам – макросов. Эти макросы сохранялись в теле документов Microsoft Office и легко могли быть заменены вирусами. После открытия зараженного файла вирус активировался и заражал все документы Microsoft Office на вашем диске.

Первоначально макровирусы – а именно так назвали новый класс вирусов, – вели себя довольно пристойно. В крайнем случае – портили текстовые документы. Однако уже в скором времени макровирусы перешли к своим обычным обязанностям – уничтожению информации.

К такому повороту дел борцы с вирусами явно не были готовы. И потому буквально через несколько дней после своего появления вирус Concept, поражающий документы Word, распространился по всей планете. Зараженные файлы Word с лакомым содержанием (например, списками паролей к интернет-серверам с коллекциями порнографических картинок) путешествовали от пользователя к пользователю через Интернет. Доверчивые пользователи хватали «наживку» не задумываясь – ведь даже самые умные из них с молоком матери впитали тезис: через тексты вирусы не передаются! В итоге за четыре года, прошедших с момента появления первого «макровируса», этот класс вирусов стал самым многочисленным и опасным.

Одна из самых мощных атак макровирусов была зарегистрирована в марте 1999 года, когда вирус Melissa, созданный программистом Дэвидом Смитом, всего за несколько часов распространился по всему миру. И хотя этот вирус был сравнительно безопасным (Melissa ограничивалась тем, что заражала все существующие документы и рассылала свои копии людям, внесенным а адресную книгу Microsoft Outlook), его появление наделало немало шума. Именно появление Melissa заставило Microsoft срочно оснастить программы Microsoft Office защитой от запуска макросов. При открытии любого документа, содержащего встроенные макросы, умный Word или Excel обязательно спросит пользователя: а вы уверены, гражданин хороший, что вместо всяческих полезностей вам не подсовывают в документе всяческую бяку? И стоит ли эти макросы загружать? Нажмите кнопку Нет – и вирусу будет поставлен надежный заслон. Просто удивительно, что несмотря на такую простоту защиты большинство пользователей игнорирует предупреждения программы. И заражаются…

«Майка лидера» принадлежала макровирусам около пяти лет – срок, по меркам компьютерного мира, немалый. Выжить и преуспеть им помог Интернет – в течение последних лет вирусы этого типа распространялись в основном по электронной почте. Источником заражения мог быть и присланный компьютерной фирмой прайс-лист, или рассказик, отосланный в виде файла-вложения незадачливым другом.

Cегодня число макровирусов снизилось в несколько раз – сегодня им принадлежит не более 15 процентов всего вирусного «рынка». Однако опасность заражения макровирусами по-прежнему высока – и поэтому будьте особенно осторожны, если вам часто приходится иметь дело с документами, созданными на других компьютерах. Качественный антивирус в сочетании с включенной защитой от макросов в программах Microsoft Office могут надежно обезопасить вас от подобной напасти.

На самом деле макровирусы, описанные в предыдущей главе, являются не самостоятельным «видом», а всего лишь одной из разновидностей большого семейства вредоносных программ – скрипт-вирусов. Их обособление связано разве что с тем фактом, что именно макровирусы и положили начало всему этому семейству, к тому же вирусы, «заточенные» под программы Microsoft Office, получили наибольшее распространение из всего клана.

Общая черта скрипт-вирусов – это привязка к одному из «встроенных» языков программирования. Каждый вирус привязан к конкретной «дырке» в защите одной из программ Windows и представляет собой не самостоятельную программу, а набор инструкций, которые заставлют в общем-то безобидный «движок» программы совершать несвойственные ему разрушительные действия.

С конца 90-х годов скрипт-вирусы сумели «оседлать» великое множество программ. Помимо уже знакомого семейства «макровирусов» встречаются «зверушки», умеющие атаковать Internet Explorer или Windows Media Player различных модификаций.

Как и в случае с документами Word, само по себе использование микропрограмм (скриптов, Java-аплетов и так далее) не является криминалом, – большинство из них вполне мирно трудится, делая страничку более привлекательной для глаза или более удобной. Чат, гостевая книга, система голосования, счетчик – всем этим удобствам наши странички обязаны микропро-граммам-«скриптам». Что же касается Java-аплетов, то их присутствие на страничке тоже обоснованно – они позволяют, например, вывести на экран удобное и функциональное меню, которое разворачивается под курсором вашей мышки…

Удобства удобствами, но не стоит забывать, все эти аплеты и скрипты – самые настоящие, полноценные программы. Причем многие из них запускаются и работают не где-то там, «в прекрасном далеке», на неведомом сервере, а непосредственно на вашем компьютере! И, встроив в них вредоносную начинку, создатели страницы смогут получить доступ к содержимому вашего жесткого диска. Последствия уже известны – от простой кражи пароля до форматирования жесткого диска.

Разумеется, со «скриптами-убийцами» вам придется сталкиваться во сто крат реже, чем с обычными вирусами. Кстати, на обычные антивирусы в этом случае надежды мало, однако открытая вместе со страничкой зловредная программа должна будет преодолеть защиту самого браузера, создатели которого прекрасно осведомлены о подобных штучках.

Вернемся на минутку к настройкам Internet Explorer, – а именно в меню Сервис/Свойства обозревателя/Безопасность.

Как видим, Internet Explorer предлагает нам несколько уровней безопасности. Помимо стандартного уровня защиты (зона Интернет) мы можем усилить (зона Ограничить) или ослабить свою бдительность (зона Надежные узлы). Нажав же кнопку Другой, мы можем вручную отрегулировать защиту браузера, разрешив или запретив работу различных «активных элементов» страничек.

Хотя в системе безопасности того же Internet Explorer полно «дырок», которыми и могут воспользоваться злоумышленники, при грамотном использовании вы застрахуете себя от большинства неприятных неожиданностей. Скажем, входя на сомнительный «хакерский» сайт, защиту можно и усилить…

Впрочем, большая часть скрипт-вирусов распространяется через электронную почту (напомним, что такие вирусы чаще всего называют «интернет-червями»). Пожалуй, ярчайшими представителями этого семейства являются вирусы LoveLetter и Anna Kournikova, атаки которых пришлись на сезон 2001-2002 года. Оба этих «зверька» использовали один и тот же прием, основанный не только на слабой защите операционной системы, но и на наивности пользователей.

Мы помним, что переносчиками вирусов в большинстве случаев являются сообщения электронной почты, содержащие вложенные файлы. Помним и то, что зараза может проникнуть в компьютер либо через программы (то есть исполняемые файлы с расширением *.exe или *.com), либо через документы Microsoft Office, которые могут содержать вредоносные участки кода. Помним и то, что со стороны картинок или звуковых файлов нам никакая неприятность грозить вроде бы не может. А потому, раскопав нежданно-негаданно в почтовом ящике письмо с прикрепленной к нему (судя по имени файла и расширению) картинкой, тут же радостно ее запускаем… И обнаруживаем, под личиной картинки скрывался вредоносный вирусный «скрипт». Хорошо еще, если обнаруживаем сразу, а не после того, как вирус успел полностью уничтожить все ваши данные.

Хитрость создателей вируса проста – файл, который показался нам картинкой, имел двойное расширение! Например:

AnnaCournikova.jpg.vbs

Вот именно второе расширение и является истинным типом файла, в то время как первое является просто частью его имени. А поскольку расширение vbs Windows хорошо знакомо, она, не долго думая, прячет его от глаз пользователей, оставляя на экране лишь имя

AnnaCournikova.jpg

По опыту работы с Проводником вы помните, что именно так Windows поступает со всеми зарегистрированными типами файлов: разрешение отбрасывается, а о типе файла должен свидетельствовать его значок. На который, увы, мы редко обращаем внимание.

Хороша ловушка?

Хороша. Но различить ее легче легкого: фокус с «двойным расширением» не проходит, если мы заранее активируем режим отображения типов файлов. Сделать это можно с помощью меню Свойства папки на Панели управления Windows: щелкните по этому значку, затем откройте закладку Вид и снимите галочку со строчки Скрывать расширения для зарегистрированных типов файлов.

Впрочем, совершенно не обязательно, что вирусы сочтут нужным маскироваться. Иногда exe-файлы «вложены» в письмо совершенно открыто. И, казалось бы, тут уже и дураку понятно, что речь идет о вирусной атаке (особенно если письмо пришло от незнакомого вам человека). Однако и эти программы с охотой запускаются пользователями: одним из них коварные вирусописате-ли обещают продемонстрировать неизъяснимой красоты картинки (что, кстати, и делают), другим сулят программу для «взлома» Интернета, третьим представляются обновлением к популярной программе. Способов запудрить пользователю мозги немало. А ведь бывает и так, что зараженный файл со спокойной совестью посылает вам друг или знакомый… Наконец, вирусы вы можете заполучить вместе с самими программами – особенно в том случае, если вы скачиваете их с неизвестных вам серверов.

ЗАПОМНИТЕ: в качестве «вложения» в письмо допустимы лишь несколько типов файлов. Относительно безопасны (если не считать фокусов с «двойным расширением") файлы txt, jpg, gif, bmp, tif, mp3, wma. „Условно-съедобными“ можно признать документы Microsoft Office (doc, xls) и архивы zip и rar. Они, конечно, могут содержать вирус, но его вполне можно нейтрализовать с помощью антивирусной программы, при условии, что вы регулярно обновляете ее базы. Во всяком случае, такой файл можно открыть для просмотра.

А вот список безусловно опасных типов файлов: найдя их в присланном вам электронном письме, смело отправляйте его в мусорную корзину… которую потом стоит еще и очистить.

·asx · js

·bas · msc

·bat · msi

·cmd · pif

· com · reg

·cpl · scf

·crt · scr

·exe · shs

·inf · vbs

·ins

Сами по себе эти файлы – создания вполне мирные, так что не стоит лихорадочно шерстить компьютер, удаляя файлы направо и налево. Нет: знаком опасности является только присутствие этих файлов в письме, поскольку каждый из них почти наверняка несет в себе вирусную начинку.

Собственно говоря, список потенциальных «вирусоносителей» включает еще не один десяток типов файлов. Но эти встречаются чаще других.

В последние несколько лет наряду с уже хорошо знакомой нам вирусной угрозой стали говорить об опасности, исходящей от программ другого типа – программ-«троянцев». Распространяются они через те же каналы, что и вирусы: «троянец» может нанести вам визит в виде вложения в электронное письмо, просочиться через защиту браузера или обосноваться в дистрибутивном комплекте скачанной вами программы.

Что же представляют собой «троянцы», чем они отличаются от вирусов и сколь велика исходящая от них угроза?

Начнем с терминологии.

Название «троян» или «троянец» пришло еще из ДОСовых времен, куда в свою очередь попало из названия известной лошади, которую по глупости притащили в одноименный город. Что стало с городом потом, знает каждый. А чем грозят обладателям компьютеров «троянские» программы?

Вообще-то эти программы названы «троянцами» лишь по недоразумению – ведь в гомеровской «Одиссее» не они, а их враги данайцы сделали свое черное дело, проникнув в осажденный город в чреве деревянного коня. Но хитрые соплеменники Одиссея выкрутились и на этот раз, возложив сомнительные «лавры» на головы многострадальных обитателей Трои.

Изначально под троянами подразумевались программы, которые помимо своей основной работы решали еще какую-то скрытую от взора пользователя задачу. Классическим примером троянца можно считать неоднократно описанную в различных (полу)фантастических рассказах ситуацию, когда какая-то корпоративная программа, не обнаружив в платежной ведомости фамилию программиста, ее написавшего, начинала всячески «шалить».

В старые времена трояны писались именно как некие дополнительные функции какой-то основной программы. Например, я, чтобы получить привилегированный доступ в университетскую машину, в свое время написал игрушку по мотивам «Пикника» Стругацких, которая в процессе игры имитировала сбой, выводила окно для входа в систему и сохраняла введенный пароль в файл.

Сегодняшние «троянцы» ведут себя гораздо более нахально. По большей части они занимаются тем, что воруют пароли для доступа в Интернет и другую «секретную» информацию (например, номера кредитных карточек) и пересылают ее «хозяину». (А как вы думаете, откуда на «хакерских» сайтах берутся пароли для бесплатного подключения?) Другой распространенный вариант – это установка различных серверов для удаленного управления. Если подобный «зверь» оказался у вас в системе, то его хозяин сможет работать на вашем компьютере почти как на своем собственном. Или же просто пакостить, к примеру, отключая модем. Так же, «серверный» троянец может представлять из себя, скажем, FTP-сервер и позволять злоумышленнику загружать к вам или скачивать от вас любые файлы. Встречается, например, и такая экзотика, которая незаметно для пользователя устанавливает программное обеспечение для распределенного взлома RC5-алгоритма и использует его компьютер в пользу той или иной команды. У буржуев встречаются трояны, которые автоматически звонят на 900-е телефонные номера (это номера, за пользование которыми абонент платит дополнительные деньги, скажем, пресловутый «секс по телефону»). В общем, число разнообразных пакостей определяется только фантазией авторов…

В этом и заключается основное, на мой взгляд, отличие троянов от вирусов: вирусы самодостаточны, а трояны должны «связываться» со своим автором. Таким образом, если в борьбе с вирусами есть только один способ – их вылавливание и уничтожение, то для защиты от троянов можно перекрыть их возможность связи с автором. Разумеется, это никак не исключает необходимости их вылавливать и удалять, просто еще одна мера защиты.

Еще одно, непринципиальное различие между вирусами и троянами заключается в том, что вирусы встраиваются в нормальные программы («заражают» их), после чего при запуске зараженной программы сначала начинает работать код вируса, а потом вирус выполняет настоящую программу. Трояны же, в последнее время, делаются в виде отдельного файла, который работает сам по себе. Для того чтобы выполнить свою функцию (дать доступ в компьютер или переслать ваши пароли), он должен запуститься. Таким образом, если вы будете контролировать, какие именно программы запускаются у вас на компьютере, то защититесь от довольно большого числа вирусов. Правда, для этого надо еще знать, какие программы должны работать, а какие являются посторонними…

Как троянцы попадают на компьютер? К сожалению, однозначно тут сказать ничего нельзя, иначе можно было бы просто перекрыть эти пути и не беспокоиться… Чаще всего заражение происходит, когда пользователь запускает какую-то программу, полученную из «сомнительного источника». Стандартным способом распространения троянов является рассылка писем от имени известных серверов, причем в письме указывается, что прицепленный файл – это новая программа/заплатка и т. п. Другой способ – письмо, якобы по ошибке попавшее не туда. Основная задача таких писем – заинтересовать вас и заставить запустить прицепленный файл. Учтите, что даже прицепленная картинка может оказаться троянцем: можно, например, назвать его «1.gif много пробелов.exe» и прицепить соответствующую иконку – и вы в своей почтовой программе увидите только кусок названия: «1.gif». Не менее распространенной является маскировка троянцев под новые версии известных программ (в том числе антивирусов) и под… троянцев. Так что, если вы решите поразвлечься и подсунуть трояна своему знакомому, то не исключено, что и сами окажетесь жертвой злоумышленника.

Если в старые времена троянцы ориентировались на одиноко стоящую машину (возможно, многотерминальную), то сейчас они, как правило, ориентированы на сети, в первую очередь Интернет. Не стоит путать удаленную атаку и троянцев (хотя троянцы иногда являются одним из элементов атаки) – если атака похожа на штурм крепости, то троянцы – это свои «диверсанты» в станах этой крепости.

Общее правило: всегда с подозрением относитесь к файлам, полученным из незнакомого источника. Да и из знакомого – тоже. Любой файл, полученный вами по почте, если вы заранее не договаривались о его отправке вам, скорее всего, окажется трояном. Большинство так называемых «хакерских» программ, предназначенных для взлома сети и т. п. – тоже окажутся троянами. Здесь очень хорошо срабатывает правило: «То, что у вас паранойя, еще не значит, что за вами не следят».

Кстати, довольно часто троянца можно определить и по стилю письма. Если вы получаете письмо, или видите на страничке что-то вроде «эй, чувак, здесь самая крутая нюка», то процентов 90, что это именно троян.

Для того чтобы троян мог творить свое «черное дело», он должен быть запущен у вас на компьютере. В первый раз вы запускаете его сами, но надеяться на то, что вы будете делать это каждый раз – нельзя. Соответственно, троянец должен позаботиться о том, чтобы не умереть после перезагрузки компьютера. В Windows есть три места, откуда программа может автоматически запуститься при загрузке системы: папка Автозагрузка, win.ini и реестр (разумеется, есть еще различные драйвера, но такие сложные трояны встречаются очень редко). Так что, если вы будете периодически проверять эти места, скажем, с помощью PC Security Guard или RunServices, на предмет «неопознанных» программ, то с большой долей уверенности сможете обезвредить троянов. Другое дело, что надо еще разобраться, что это именно троян… Дело в том, что в Windows живет огромное количество файлов, и определить, должен ли этот файл здесь «жить» или это «пришелец», довольно сложно. Тем более что многие трояны имеют достаточно правдоподобные названия, например browser.exe или spoolsrv.exe…

Уже запущенного трояна определить сложнее, хотя тоже возможно. Нажав Ctrl-Alt-Del или используя какую-нибудь специальную программу, можно посмотреть список процессов, запущенных на вашем компьютере. С помощью утилиты netstat (или другой аналогичной) можно посмотреть, с кем и на каком порту ваш компьютер устанавливает связь. Правда, для пользования этими утилитами (точнее, для того, чтобы понять их результаты) требуются определенные знания… Кстати, косвенным признаком наличия трояна может служить интернет-активность вашего компьютера в то время, когда вы ничего не делаете (хотя, с тем же успехом, это может оказаться какая-нибудь безобидная утилита, проверяющая в фоновом режиме ваши закладки или кэширующая страницы).

Ну и, наконец, традиционный способ: антивирусы. К сожалению, до последнего времени большинство из них боролось именно с вирусами, отлавливая некоторых троянцев в качестве побочного результата. На мой взгляд, лучшие результаты здесь показывает AntiViral Toolkit Pro, – его база троянов достаточно велика и включает наиболее распространенные из них. Существуют также утилитки, защищающие от того или иного трояна, но они довольно неудобны: существуют сотни троянов, а запускать сотню утилит для защиты от них довольно проблематично. В последнее время появились и активно развиваются специализированные антитроянские программы – BACKWORK, The Cleaner и т. д. – но они пока еще довольно слабы, по крайней мере, у меня они не выловили примерно треть запущенных троянов.

Даже если вы вычислили троянца, то не факт, что вам удастся его легко удалить – Windows не разрешает удалять файлы запущенных программ. Поэтому вам надо определить, откуда запускается троянец, удалить эту запись, перезагрузить компьютер и уже после этого убить вредный файл. Хотя, лучше его не убивать, а для начала куда-нибудь переместить – вдруг это все-таки что-то нужное…

Еще один способ – блокирование связи трояна с автором. Большинство современных троянов «рассчитано» на Интернет, поэтому здесь вам понадобится файрволл (firewall). Файрволл – это такая специальная программа, которая пропускает «разрешенные» данные и не пропускает «неразрешенные». Установка и настройка профессионального файрволла – дело достаточно сложное и требующее изрядных знаний о том, как что работает, но существуют и более простые версии, рассчитанные на относительно начинающих пользователей.

При каждой попытке какой-либо программы связаться с Интернетом файрволл будет спрашивать, санкционировано это соединение или нет. Разумеется, вы сможете «запомнить» разрешения для каждой программы, чтобы не отвечать на вопросы каждый раз, когда пытаетесь скачать почту.

Немножко о том, как предотвратить появление троянов у вас. Тут следует помнить две вещи: во-первых, то, что усиление защиты всегда ведет к некоторым неудобствам в работе (дополнительные пароли, шифрование, проверка логов, большая загрузка компьютера и т. п.), а во-вторых, замечательное правило «90/10» – «90 процентов работы требуют 10 процентов времени. Оставшиеся 10 процентов работы требуют 90 процентов времени». Работает это правило и в защите – серия элементарных мер безопасности защитит вас от 90 процентов атак.

Итак, следует принять за правило: любой файл, полученный из сети, если вы заранее не договаривались о его отправке, может оказаться трояном. Даже вполне безобидный файл, скажем, картинка – она может оказаться замаскированной программой. Каждый такой файл надо либо сразу удалить, если он вам не нужен, либо сохранить на диске и проверить антивирусом, а заодно и посмотреть, что он собой представляет. Например, щелкнуть по нему правой кнопкой мыши и выбрать пункт Свойства. Любую новую программу стоит запускать с включенным антивирусом и файрволлом, а если увидите, что она пытается связаться с Интернетом, то проводить более детальную проверку. Перед запуском и после него надо сравнить список автоматически запускаемых программ – троян может не запускаться сразу, а только прописать себя, скажем, в реестре и запуститься после перезагрузки. Для отслеживания подобных действий удобно использовать программу Jammer – она предупредит, что какая-то программа пытается что-то записать в автозагрузку. Ну и, наконец, надо запомнить, что ни одна сравнительно известная организация не рассылает файлов.