Вредоносное ПО — это общий термин для вредоносных программ, наносящих вред вашим устройствам или данным. Вот основные типы и защита, которая остаётся одной и той же, какой бы тип это ни был (без шагов атаки).
Типы вредоносного ПО
Названий много, но на деле нужно лишь примерно представлять, какие виды бывают, — потому что, как показано ниже, защита у них общая.
Вирус
Прикрепляется к легитимному файлу и при запуске размножается и распространяется. Сам по себе действовать не может.
Червь
Сам размножается и автоматически распространяется по сети. Взрывообразно расходится через неукреплённые сети.
Троян
Выдаёт себя за полезную, легитимную программу, чтобы проникнуть, а затем действует вредоносно в фоне. Вы устанавливаете его сами.
Программа-вымогатель
Шифрует файлы и требует выкуп. Теперь обычно сопровождается кражей данных — двойное вымогательство (→ отдельная статья).
Шпионское ПО
Незаметно прячется и крадёт нажатия клавиш, учётные данные и историю посещений.
Бот / ботнет
Удалённо управляет заражёнными машинами и сгоняет многие вместе для атак. Команды приходят с C2 (→C2).
На практике одна единица вредоносного ПО нередко сочетает сразу несколько таких черт (например: проникает как троян, действует как шпионское ПО, чтобы украсть данные, и в конце сбрасывает программу-вымогателя). Именно поэтому полезнее укрепить предотвращение / обнаружение / восстановление, чем тратить время на вопрос «а какой это тип?».
Как связаны вредоносное ПО, вирусы, программы-вымогатели и бэкдоры
Эти слова употребляют рядом, но они не одного уровня. Вредоносное ПО — общий термин; остальные три — его виды или функции.
| Термин | Что означает | Как отличить |
|---|---|---|
| Вредоносное ПО | Общий термин для вредоносных программ | Включает все три ниже |
| Вирус | Вредоносное ПО, которое распространяется, прикрепляясь к другим файлам | Не запускается сам по себе; распространяется, когда запускают файл-носитель |
| Программа-вымогатель | Вредоносное ПО, которое шифрует файлы и требует выкуп | Сама заявляет о себе запиской с требованием выкупа |
| Бэкдор | Скрытый путь обратно в систему в обход аутентификации | Может быть подброшен как вредоносное ПО или создан как настройка или учётная запись |
Название «антивирус» сохранилось по историческим причинам; реальные продукты обнаруживают гораздо больше, чем вирусы.
Основные каналы заражения
Вредоносное ПО не появляется из ниоткуда; оно проникает через предсказуемый набор каналов. Здесь только высокоуровневые каналы (без конкретных приёмов).
В каждом случае канал — это брешь в людях и процессах: что-то беспечно открыли, оставили ПО устаревшим, не проверили, откуда оно взялось. Меры защиты ниже перекрывают большую их часть.
Защита (тип разный, работа одна)
Отдельного противодействия под каждый тип не нужно. Сочетайте три меры защиты, которые работают против вредоносного ПО в целом.
Предотвратите заражение: обновления, подозрительные файлы, MFA
Регулярно обновляйте ОС и ПО, чтобы известные уязвимости не оставались незакрытыми. Не открывайте неожиданные вложения, макросы или ссылки. Защитите ключевые аккаунты многофакторной аутентификацией (MFA), чтобы украденные учётные данные не означали мгновенную компрометацию (→ как выбрать MFA).
Добавьте слой обнаружения: антивирус / EDR
Блокируйте известные угрозы антивирусом (включая встроенный в вашу ОС), а где нужно больше — используйте EDR, чтобы следить за поведением и ловить в том числе неизвестное вредоносное ПО (→ что такое EDR). Но обнаружение не идеально — никогда не полагайтесь только на него.
Ограничьте ущерб: минимум привилегий
Не выполняйте повседневную работу с правами администратора. Если держать привилегии на минимуме, то даже когда что-то всё же выполнится, оно не сможет широко распространиться — одно устройство или один аккаунт не обрушит всё.
Суметь восстановиться: резервные копии
Последняя мера защиты — резервная копия. Особенно против программ-вымогателей исход решают офлайн / неизменяемая копия плюс регулярные тесты восстановления (→ основы резервного копирования и восстановления).
Традиционный антивирус (сопоставление известного)
- обнаруживает, сопоставляя «отпечаток» известного вредоносного ПО (сигнатуру)
- лёгкий и эффективный против широко распространённых угроз
- склонен пропускать неизвестные / только что созданные варианты
- часто ошибочно принимают за «поставил — и ты в безопасности»
EDR (наблюдение за поведением)
- обнаруживает по подозрительному поведению (странное шифрование, обращения наружу), а не по имени файла
- замечает неизвестные атаки и «злоупотребление легитимными инструментами»
- оставляет запись, по которой можно расследовать и сдержать после заражения
- всё же не заменяет предотвращение (обновления) и восстановление (резервные копии)
Взгляд нашего сайта: заучивание типов — не стратегия защиты
Атакующие постоянно меняют названия и облик. Погоня за «названием вредоноса этого месяца» не сделает вашу защиту сильнее. Против любого типа работает сочетание предотвращения, обнаружения и восстановления. Наш сайт применяет тот же принцип к себе: мы держим зависимости обновлёнными, чтобы предотвращать заражение, машинно мониторим CVE, чтобы обнаруживать, и держим конфигурацию воспроизводимой, чтобы суметь восстановиться. Защита от вредоносного ПО не особенная; это продолжение этих основ.
Пример: Emotet
Одним из самых разрушительных семейств вредоносного ПО в Японии был Emotet. JPCERT/CC (национальный CERT Японии) неоднократно предупреждал о нём примерно с 2019 года, а после паузы активность снова наблюдалась с ноября 2021 года.
- Вход
- Вложения Word или Excel с макросами, ZIP-архивы с паролем, ссылки в тексте письма. Заражение происходит, когда пользователь включает макросы или открывает ссылку
- После заражения
- Крадёт с устройства содержимое писем и контакты, а затем использует их, чтобы рассылать новые письма от имени реальных деловых партнёров
- Как распространяется
- Партнёры и знакомые жертвы получают то, что выглядит как ответ от реального человека
- Проверка
- JPCERT/CC выпустил инструмент проверки EmoCheck
Урок Emotet: основы работают, даже когда письмо выглядит как ответ от знакомого. Не включайте макросы во вложениях и уточняйте неожиданные вложения у отправителя по другому каналу. Ещё пример: при краже NEM у Coincheck первым шагом вторжения, по сообщениям, было вредоносное ПО в письмах, отправленных сотрудникам.
Как проверить свои устройства
Windows: журнал защиты и сканирование
Откройте «Параметры», затем «Безопасность Windows» → «Защита от вирусов и угроз». Проверьте журнал защиты на наличие обнаружений и запустите полное сканирование из «Параметров сканирования». Если ничего не найдено, а подозрения остаются, на том же экране запустите автономное сканирование Microsoft Defender — оно проверит компьютер, не запуская Windows.
Посмотрите, что запускается автоматически, и расширения
Проверьте вкладку «Автозагрузка» в диспетчере задач и список расширений браузера: нет ли того, что вы не устанавливали. Если есть — отключите и удалите.
Телефоны: приложения и профили конфигурации
На Android запустите проверку Google Play Защиты и удалите приложения из неизвестных источников. На iPhone проверьте «Настройки» → «Основные» → «VPN и управление устройством» на предмет незнакомых профилей.
Проверьте и аккаунты
Просмотрите историю входов в почту, соцсети и онлайн-банк, а также правила автоматической пересылки почты. Даже после удаления вредоносного ПО с устройства украденные пароли продолжают работать, поэтому смените их с отдельного, безопасного устройства.
«У меня есть антивирус, значит всё нормально» — неправда
Самая частая ошибка — полностью полагаться на один инструмент обнаружения. Обнаружение всегда пропускает некоторую долю, и как только что-то прошло мимо него, вас больше ничто не защищает.
Работает сочетание мер: сократить объём предотвращением (не открывать, обновлять), поймать оставшееся обнаружением (антивирус / EDR) и устранить ущерб от того, что всё же проникло, восстановлением (резервные копии). Не опираться ни на один отдельный слой — вот с чего начинается защита от вредоносного ПО.
Источники (первичные)
- JPCERT/CC, «Предупреждение о возобновлении распространения Emotet» (на японском) — jpcert.or.jp (каналы заражения, EmoCheck)
- Поддержка Microsoft, «Virus and threat protection in the Windows Security app» — support.microsoft.com (сканирование и автономное сканирование)
Читать дальше
- Глоссарий: что такое программа-вымогатель (самый разрушительный тип — двойное вымогательство) · что такое C2 (командно-контрольный сервер) (как управляют ботами)
- Глоссарий: что такое EDR (обнаружение неизвестного по поведению) · что такое IOC (следы заражения)
- Обучение: основы резервного копирования и восстановления (как восстановиться после инцидента) · чек-лист базовой безопасности (основы предотвращения, обнаружения, восстановления)
- Кейс: кража NEM у Coincheck (2018) (вредоносное ПО, доставленное через целевой фишинг, украло приватный ключ горячего кошелька — первый шаг к потере около $530 млн)
- Появилось окно «ваш компьютер заражён»? Как закрыть окно мошенников с поддельной техподдержкой и что делать, если вы позвонили