Троян. Информационные технологии, ИБ - Антивирусы, ИБ - Межсетевые экраны, ИБ - Предотвращения утечек информации, ИБ - Средства шифрования, Программное обеспечение
 
ТоварыВалюты, ЦБАкции
18 декабря 08:15
Золото ЦБ
₽2381
11,04
Золото
$1258
-0,01%
Серебро ЦБ
₽30,32
0,68
Серебро
$16,1
-0,09%
Нефть
$63,2
-0,19%

₽2,13
0,00

₽0,18
0,00
Br
₽29,0
0,03

₽69,4
0,03
€ / $
1,17
0,00%
Bitcoin
$18755
-1.74%
Ethereum
$714
-1.08%
Ростелеком
₽64,3
0,31%
Яндекс
₽1895
-1,25%
Mail.ru
$28,6
-0,69%
Luxoft
$54,6
2,06%
Epam
$106,7
1,54%
Мегафон
₽524,0
1,35%
МТС
₽266,0
3,83%
Veon
$3,9
-1,53%
Qiwi
₽847
2,54%
РБК
₽5,9
-1,84%
2017/11/30 19:44:10

Троян

Троян (троянский конь, троянская программа, троянец) - тип вредоносных программ, основной целью которых является вредоносное воздействие по отношению к компьютерной системе. В данную категорию входят программы, осуществляющие различные несанкционированные пользователем действия: сбор информации и ее передачу злоумышленнику, ее разрушение или злонамеренную модификацию, нарушение работоспособности компьютера, использование ресурсов компьютера в неблаговидных целях.

Содержание

Особенности

Отдельные категории троянских программ наносят ущерб удаленным компьютерам и сетям, не нарушая работоспособность зараженного компьютера (например, троянские программы, разработанные для распределенных DoS-атак на удаленные ресурсы сети). Трояны отличаются отсутствием механизма создания собственных копий.

Некоторые трояны способны к автономному преодолению защиты компьютерной системы, с целью проникновения и заражения системы. В общем случае, троян попадает в систему вместе с вирусом либо червем, в результате неосмотрительных действий пользователя или же активных действий злоумышленника.

Большинство троянских программ предназначено для сбора конфиденциальной информации. Их задача, чаще всего, состоит в выполнении действий, позволяющих получить доступ к данным, которые не подлежат широкой огласке. К таким данным относятся пользовательские пароли, регистрационные номера программ, сведения о банковских счетах и т. д. Остальные троянцы создаются для причинения прямого ущерба компьютерной системе, приводя ее в неработоспособное состояние.

Виды троянских программ

Наиболее распространены следующие виды троянов:

  • Клавиатурные шпионы (Trojan-SPY) - трояны, постоянно находящиеся в памяти и сохраняющие все данные поступающие от клавиатуры с целью последующей передачи этих данных злоумышленнику. Обычно таким образом злоумышленник пытается узнать пароли или другую конфиденциальную информацию
  • Похитители паролей (Trojan-PSW) - трояны, также предназначенные для получения паролей, но не использующие слежение за клавиатурой. Обычно в таких троянах реализованы способы извлечения паролей из файлов, в которых эти пароли хранятся различными приложениями
  • Утилиты удаленного управления (Backdoor) - трояны, обеспечивающие полный удаленный контроль над компьютером пользователя. Существуют легальные утилиты такого же свойства, но они отличаются тем, что сообщают о своем назначении при установке или же снабжены документацией, в которой описаны их функции. Троянские утилиты удаленного управления, напротив, никак не выдают своего реального назначения, так что пользователь и не подозревает о том, что его компьютер подконтролен злоумышленнику. Наиболее популярная утилита удаленного управления - Back Orifice
  • Анонимные smtp-сервера и прокси (Trojan-Proxy) - трояны, выполняющие функции почтовых серверов или прокси и использующиеся в первом случае для спам-рассылок, а во втором для заметания следов хакерами
  • Модификаторы настроек браузера (Trojan-Cliker) - трояны, которые меняют стартовую страницу в браузере, страницу поиска или еще какие-либо настройки, для организации несанкционированных обращений к интернет-ресурсам
  • Инсталляторы прочих вредоносных программ (Trojan-Dropper) - трояны, представляющие возможность злоумышленнику производить скрытую установку других программ
  • Загрузчики вредоносных программ (Trojan Downloader) - трояны, предназначенные для загрузки на компьютер-жертву новых версий вредоносных программ, или рекламных систем
  • Уведомители об успешной атаке (Trojan-Notifier) - трояны данного типа предназначены для сообщения своему "хозяину" о зараженном компьютере
  • "Бомбы" в архивах (ARCBomb) - трояны, представляющие собой архивы, специально оформленные таким образом, чтобы вызывать нештатное поведение архиваторов при попытке разархивировать данные - зависание или существенное замедление работы компьютера, заполнение диска большим количеством "пустых" данных
  • Логические бомбы - чаще не столько трояны, сколько троянские составляющие червей и вирусов, суть работы которых состоит в том, чтобы при определенных условиях (дата, время суток, действия пользователя, команда извне) произвести определенное действие: например, уничтожение данных
  • Утилиты дозвона - сравнительно новый тип троянов, представляющий собой утилиты dial-up доступа в интернет через платные почтовые службы. Такие трояны прописываются в системе как утилиты дозвона по умолчанию и влекут за собой крупные счета за пользование интернетом

Принцип действия троянских программ

Все "Троянские кони" имеют две части: клиент и сервер. Клиент осуществляет управление серверной частью программы по протоколу TCP/IP. Клиент может иметь графический интерфейс и содержать в себе набор команд для удалённого администрирования.

Серверная часть программы - устанавливается на компьютере жертвы и не содержит графического интерфейса. Серверная часть предназначена для обработки (выполнения) команд от клиентской части и передаче запрашиваемых данных злоумышленнику. После попадания в систему и захвата контроля, серверная часть трояна прослушивает определённый порт, периодически проверяя соединение с интернетом и если соединение активно, она ждёт команд от клиентской части. Злоумышленник при помощи клиента пингует определённый порт инфицированного узла (компьютера жертвы). Если серверная часть была установлена, то она ответит подтверждением на пинг о готовности работать, причём при подтверждении серверная часть сообщит взломщику IP-адрес компьютера и его сетевое имя, после чего соединение считается установленным. Как только с Сервером произошло соединение, Клиент может отправлять на него команды, которые Сервер будет исполнять на машине-жертве. Также многие трояны соединяются с компьютером атакующей стороны, который установлен на приём соединений, вместо того, чтобы атакующая сторона сама пыталась соединиться с жертвой.

Известные трояны

2017

В Google Play бум троянцев, маскирующихся под мобильные приложения банков

Group-IB в конце ноября 2017 года отметила волну массового распространения троянцев, маскирующихся под мобильные приложения ведущих банков страны. Специалисты Group-IB блокируют ресурсы, с которых идет распространение этих приложений, но их объем постоянно растет.

Group-IB: приложения-подделки для Android выполнены на очень высоком уровне — и по дизайну, и по механике заражения

Трояны, предназначенные для мобильных устройств под управлением ОС Android, распространяются не через официальный магазин Google Play, а через рекламные объявления в поисковых системах.

« Android является основной мишенью вирусописателей просто в силу своей распространенности — подавляющее большинство смартфонов в мире работают под управлением этой системы, — отмечает Роман Гинятуллин, эксперт по информационной безопасности компании SEC Consult Services. — И больше 97% вредоносных программ пишутся именно под Android, поскольку, во-первых, уровень защиты Google Play до сих пор уступает защищенности официального магазина приложений iOS, во-вторых, установить приложения под Android из неофициальных источников гораздо проще, чем под iOS. »

Злоумышленники смогли вывести свои приложения на первые строки поисковиков с помощью SEO. В ответ на пользовательские запросы формата «скачать приложение банка ХХХ» на первых страницах поисковиков им выводились сообщения, ведущие на зараженные троянами приложения.

« Большинство пользователей не остановило даже то, что для установки такого рода программ им необходимо разрешить инсталляцию приложений из недоверенных источников в настройках безопасности своих устройств, — говорится в публикации Group-IB. — Как правило, об опасности такого подхода операционная система предупреждает сразу же после получения согласия пользователя. Однако в данном случае жертвы фишинг-атаки были согласны взять на себя все риски. »

Эксперты Group-IB отметили, что приложения-подделки были выполнены на очень высоком уровне — и по дизайну, и по механике заражения. Это сбивает с толку многих пользователей, не обращающих внимание на подозрительные «мелочи», такие как сомнительное название домена, переадресацию на сторонний ресурс и так далее.

Вредоносные приложения требовали разрешение на чтение и отправку SMS-сообщений и, естественно, логин и пароль от личного кабинета и реквизиты платежной карты. В итоге операторы вредоносного приложения переводили деньги со счета жертвы на свои ресурсы, заодно «подавляя» получение SMS-сообщений от банка, информировавшего о мошеннических транзакциях.

Эксперты Group-IB смогли установить, что распространитель нынешних банковских троянцев может быть связан с автором мошеннических ресурсов по продаже авиабилетов, с которыми Group-IB активно боролась в конце 2016 — начале 2017 года (тогда были закрыты более трех десятков таких ресурсов).[1]

Как отличить фальшивые приложения от подлинных

  1. Официальные приложения будут распространяться только через Google Play; ссылки на скачивание публикуются на сайтах самих банков. Если приложения размещены где-то еще, это, вероятнее всего, фальшивка.
  2. Особенное внимание следует обращать на доменные имена, откуда предлагается скачать приложение. Злоумышленники нередко используют домены, чьи названия похожи на официальные, но отличаются на один-два символа, или же используют домены второго уровня и ниже.
  3. Смартфоны снабжены мерами защиты от наиболее распространенных угроз, и если смартфон выводит сообщение о том, что то или иное приложение несет угрозу, его ни в коем случае не стоит устанавливать. В случае обнаружения фальшивых банковских приложений о них настоятельно рекомендуется уведомлять службы безопасности банков. Этим пользователи уберегут и себя, и других от множества неприятностей.
  4. Если вы заметили что-либо подозрительное на сайте, с которого предлагается скачать приложение, сразу же сообщите об этом в службу безопасности банка или в официальную группу банка в социальных сетях, не забыв приложить скриншот.

Троянец-шифровальщик парализовал работу целого города в США

Администрация округа Ликинг в штате Огайо в феврале вынуждена была отключить свои серверы и системы телефонной связи, чтобы остановить распространение троянца-шифровальщика[2].

Стало известно, что более тысячи компьютеров в США, относящихся к сетям администрации одного из американских округов, оказались заражены. Все системы были отключены, чтобы заблокировать дальнейшее распространение зловреда, предотвратить потерю данных и сохранить улики для расследования.

Все приемные и административные учреждения работают, но работа с ними возможна только при личном визите.

Размер требуемого выкупа представители администрации не называют; они также отказываются комментировать вероятность выплаты. По словам члена окружной комиссии Ликинга Тима Бабба (Tim Bubb), сейчас ведутся консультации с экспертами по кибербезопасности и правоохранительными органами.

Ручной режим

Отключение телефонных линий и сетевых коммуникаций означает, что все службы округа, в чьей работе задействованы информационные технологии, перешли на "ручной режим". Это касается даже центра помощи 911: телефоны и рации спасателей работают, но доступа к компьютерам нет. По крайней мере, вызовы полиции, пожарных и скорой помощи по-прежнему принимаются, но, как выразился директор центра спасения Шон Грейди (Sean Grady), работа службы в том, что касается скорости обработки вызовов, отброшена на четверть века назад.

2016: Вымогающий $28 тыс. троян

Администрация муниципального колледжа в Лос-Анджелесе выплатила огромный выкуп за возвращение доступа к данным, зашифрованным троянцем-вымогателем, - 28 тысяч долларов.[3]

Атака на учебное заведение случилась в канун Нового года. Зашифрованными оказались сотни тысяч файлов, в результате из строя вышли практически все внутренние сервисы, включая электронную почту и системы обмена сообщениями.

Выплаты хакерам за возврат зашифрованных ими данных растут

На школьном сервере обнаружилось требование от хакеров в течение семи дней выплатить выкуп в биткоинах, в противном случае злоумышленники обещали уничтожить секретный ключ шифрования и лишить колледж возможности вернуть доступ к данным.

Тут же выяснилось, что восстановить данные из резервных копий невозможно. После совещания с привлечёнными экспертами по безопасности, администрация колледжа пришла к выводу, что иных вариантов кроме как выплатить требуемую сумму, у неё не осталось.

28 тысяч долларов - это самый крупный выкуп, информация о котором попала в публичное пространство. По некоторым сведениям, случаются и более масштабные выплаты, но жертвы - обычно это крупные предпочитают их не афишировать. В 2016 году средняя "ставка" со стороны кибервымогателей составляла 679 долларов, годом ранее - 294 доллара.

Более чем двухкратный рост, по всей видимости, связан с увеличившимся количеством инцидентов, закончившихся выплатами выкупа, причём в суммах, значительно превышающих "среднюю ставку". В феврале 2016 года Пресвитерианский медицинский центр в Голливуде после атаки шифровальщиком выплатил выкуп в размере 17 тысяч долларов.[4]

« Это очень плохой прецедент – когда официальная структура идёт на поводу у преступников, выплачивает выкуп и вдобавок сообщает об этом публично. Теперь ставки будут расти и дальше, - говорит Дмитрий Гвоздев, генеральный директор компании "Монитор безопасности". - если организации готовы выплачивать пятизначные суммы, то будут расти и требования. Единственный эффективный способ противодействовать шифровальщикам - это регулярное "холодное" резервирование данных, правильная настройка доступа к ним при работе и плотное взаимодействие с правоохранительными органами. »

В 2016 году Европол, полиция Голландии, «Лаборатория Касперского» и McAfee (Intel Security) объявили о создании проекта No More Ransom, нацеленного на борьбу с шифровальщиками-вымогателями. Постепенно к проекту подключились и многие другие организации. На сайте размещено более двух десятков инструментов, с помощью которых жертвы разных шифровальщиков могут попытаться вернуть себе доступ к потерянным данным. [5]К сожалению, далеко не все шифровальщики обладают уязвимостями, позволяющими их «взламывать».

См. также

Ссылки

Примечания