Ваша поштова скринька — це мінне поле. Це не тільки спам та розсилки новин; це канал доставки цифрових патогенів. Троянські коні. Черв’яки. Віруси. Ці вкладення не просто лежать там. Вони чекають.
Більшість шкідливих програм, що розповсюджуються електронною поштою, не є «справжніми» вірусами в біологічному сенсі. Вони можуть розмножуватися самостійно. Їм потрібний ви. Їм потрібен ваш рух курсору, ваше натискання пальцем і ваш дозвіл на виконання. Але саме ця людська взаємодія робить їх такими руйнівними для великих поштових систем.
Троянський кінь ховається всередині 간хід невинної оболонки. Згадайте дерев’яного коня із «Іліади». Вкладення виглядає нормально. Воно може прийти від контакту, якого ви знаєте, або від незнайомця із хитрою темою листа. Ім’я файлу може вводити в оману. Ви відкриваєте його. Воно запускається. Раптово ваші файли видалені, робочий стіл змінено, а шкідлива програма копіює себе всім контактам у вашій адресній книзі. Це ланцюгова реакція. І вона починається з одного кліка.
Механіка шкідливих вкладень
Щоб зрозуміти загрозу, потрібно побачити, як ці програми діють у реальному середовищі. Компанія Symantec задокументувала кілька відомих прикладів, що ілюструють діапазон можливої шкоди.
Візьмемо Worm.ExploreZip. Це не просто прикра проблема. Це черв’як із руйнівним корисним кодом. Він націлений на Microsoft Outlook, Outlook Express та Exchange. Він не чекає, доки ви відкриєте конкретне повідомлення. Він відповідає на непрочитані повідомлення у вхідних, розповсюджуючи себе далі. Він сканує змонтовані диски та мережеві машини на наявність установок Windows. Знайшовши ціль, він копіює себе в каталог Windows і змінює файл WIN.INI, щоб гарантувати запуск при старті системи.
Корисний код жорсткий. Він шукає файли з розширеннями .h, .c, .cpp, .asm, .doc, .ppt та .xls. Він знищує їх. На жорсткому диску. На змонтованих дисках. На будь-якій мережній машині, до якої він може отримати доступ. Це не разова подія. Це відбувається щоразу, коли черв’як виконується, доки він буде видалено.
Ви можете отримати його у вкладенні з ім’ям zipped_files.exe. Він маскується під стандартний zip-архів, що саморозпаковується. Але при запуску він копіює себе в системний каталог Windows як Explore.exe або до каталогу Windows як _setup.exe. Він змінює реєстр або WIN.INI, так що Explore.exe автоматично запускається під час завантаження Windows.
Так працюють віруси через електронну пошту. Вони експлуатують довіру. Вони експлуатують зручність. І вони експлуатують той факт, що ви очікуєте, що вкладення безпечні.
Коли вам навіть не потрібно натискати
Деякі шкідливі програми агресивніші. Їм не потрібно, щоб ви завантажували та запускали файл. Їм потрібно лише, щоб ви відкрили листа.
VBS.BubbleBoy – яскравий приклад. Він працює у Windows 98 та Windows 2000. Він може працювати у Windows 95, якщо встановлено Windows Scripting Host. Він націлений на англійські та іспанські версії ОС. Він не працює у Windows NT.
Ключовим моментом є комбінація Microsoft Outlook (або Express) та Internet Explorer 5. Черв’як експлуатує відому вразливість безпеки в цій зв’язці. Коли ви переглядаєте лист, черв’як вставляє скриптовий файл під назвою UPDATE.HTA. Вам не потрібно нічого натискати. Вам не потрібно зберігати вкладення. Сам факт перегляду повідомлення запускає зараження.
UPDATE.HTA розміщується в папці автозавантаження (Program-StartUp) в меню “Пуск”. Процес зараження не запускається негайно. Він чекає, поки ви перезавантажте комп’ютер. Як тільки ви це зробите, скрипт використовує MS Outlook для надсилання хробака всім контактам у вашій адресній книзі. Патч вразливості Outlook/IE5 зупиняє поширення. Але скільки користувачів досі використовують застарілі браузери та клієнти?
Майкрософт надає детальну інформацію про цей черв’як. Але читання про нього не захистить вас. Дії захистять.
Зупинка розповсюдження
Вірусні сигнатури марні, якщо вони застаріли. Тримайте антивірусне програмне забезпечення у актуальному стані. Завантажуйте останні вірусні сигнатури у виробника. Антивірусне програмне забезпечення не може виявляти нових вірусів без цих оновлень.
Якщо ви використовуєте Norton AntiVirus, переконайтеся, що функцію Auto-Protect увімкнено. Поточні версії попереджають вас, коли файли сигнатур старше 30 днів. Norton LiveUpdate може автоматизувати цей процес. Але автоматизація працює лише в тому випадку, якщо ви дозволяєте їй це робити.
Якщо ви підозрюєте, що ваш ПК заражений, якщо ви помічаєте, що електронна пошта надсилає повідомлення людям, з якими ви не зв’язувалися, дійте швидко. Зателефонуйте цим людям. Скажіть їм не відкривати повідомлення. Скажіть їм не відкривати вкладення. Це єдиний ефективний спосіб зупинити поширення. Ви стаєте частиною протоколу стримування.
Що потрібно знати про хробаків
Термін «хробак» часто використовується вільно. Давайте прояснимо, що він означає в кібербезпеці.
Черв’як для обміну файлами — це шкідлива програма, призначена для розповсюдження через мережі обміну файлами. Вона копіює себе у всі спільні папки, до яких може отримати доступ. Після зараження вона намагається поширитися на інші комп’ютери у тій самій мережі. Ці хробаки завдають значної шкоди, тому що швидко переміщаються великими мережами.
Онлайн-черв’як поширюється автоматично, відправляючи копії іншим комп’ютерам у тій самій мережі. Йому не потрібний файл-хост або користувач, який натискає кнопку. Йому потрібне лише підключення.
Черв’як у кібербезпеці — це будь-яка шкідлива програма, здатна до самовідтворення та заподіяння шкоди. Їй не потрібно прикріплюватись до програми. Вона існує окремо.
Чи можна надіслати хробаків через електронну пошту? Так. Деякі хробаки розповсюджуються через вкладення електронної пошти. Інші – через посилання в електронних листах. Вони також можуть поширюватися через миттєві повідомлення або публікації у соціальних мережах. Вектор змінюється. Намір залишається тим самим.
Тримайте програмне забезпечення оновленим. Тримайте сигнатури у актуальному стані. І пам’ятайте, що ваша поштова скринька не є довіреним середовищем. Кожне вкладення – потенційний троян. Кожне посилання – потенційна пастка. Єдине питання, чи оновили ви свій захист вчасно.
