Приведем интуитивное определение троянской программы или трояна.
Определение 3.6. Троян (троянский конь) — тип вредоносных программ, основной целью которых является вредоносное воздействие по отношению к компьютерной системе. Трояны отличаются отсутствием механизма создания собственных копий. Некоторые трояны способны к автономному преодолению систем защиты КС, с целью проникновения и заражения системы. В общем случае, троян попадает в систему вместе с вирусом либо червем, в результате неосмотрительных действий пользователя или же активных действий злоумышленника.
Жизненный цикл
В силу отсутствия у троянов функций размножения и распространения, их жизненный цикл крайне короток — всего три стадии:
- Проникновение на компьютер
- Активация
- Выполнение заложенных функций
Это, само собой, не означает малого времени жизни троянов . Напротив, троян может длительное время незаметно находиться в памяти компьютера, никак не выдавая своего присутствия, до тех пор, пока не будет обнаружен антивирусными средствами.
1.6. Жизненный цикл вирусов
Способы проникновения
Задачу проникновения на компьютер пользователя трояны решают обычно одним из двух следующих методов.
- Маскировка — троян выдает себя за полезное приложение, которое пользователь самостоятельно загружает из Интернет и запускает. Иногда пользователь исключается из этого процесса за счет размещения на Web-странице специального скрипта, который используя дыры в браузере автоматически инициирует загрузку и запуск трояна.
Пример. Trojan .SymbOS.Hobble.a является архивом для операционной системы Symbian (SIS-архивом). При этом он маскируется под антивирус Symantec и носит имя symantec.sis. После запуска на смартфоне троян подменяет оригинальный файл оболочки FExplorer.app на поврежденный файл. В результате при следующей загрузке операционной системы большинство функций смартфона оказываются недоступными
Одним из вариантов маскировки может быть также внедрение злоумышленником троянского кода в код другого приложения. В этом случае распознать троян еще сложнее, так как зараженное приложение может открыто выполнять какие-либо полезные действия, но при этом тайком наносить ущерб за счет троянских функций.
Распространен также способ внедрения троянов на компьютеры пользователей через веб-сайты. При этом используется либо вредоносный скрипт, загружающий и запускающий троянскую программу на компьютере пользователя, используя уязвимость в веб-браузере, либо методы социальной инженерии — наполнение и оформление веб-сайта провоцирует пользователя к самостоятельной загрузке трояна. При таком методе внедрения может использоваться не одна копия трояна, а полиморфный генератор, создающий новую копию при каждой загрузке. Применяемые в таких генераторах технологии полиморфизма обычно не отличаются от вирусных полиморфных технологий.
Пример. Используя backdoor-функционал червей семейства Bagle, автор червя проводил скрытую инсталляцию трояна SpamTool.Win32.Small.b, который собирал и отсылал на определенный адрес адреса электронной почты, имевшиеся в файлах на зараженном компьютере.
Что такое ТРОЯН?
Нередко наблюдается кооперация червей с вирусами, когда червь обеспечивает транспортировку вируса между компьютерами, а вирус распространяется по компьютеру, заражая файлы.
Пример. Известный в прошлом червь Email- Worm .Win32.Klez.h при заражении компьютера также запускал на нем вирус Virus .Win32.Elkern.c. Зачем это было сделано, сказать тяжело, поскольку вирус сам по себе, кроме заражения и связанных с ошибками в коде вредоносных проявлений (явно выраженных вредоносных процедур в нем нет), никаких действий не выполняет, т. е. не является «усилением» червя в каком бы то ни было смысле.
Активация
Здесь приемы те же, что и у червей: ожидание запуска файла пользователем, либо использование уязвимостей для автоматического запуска.
Выполняемые функции
В отличие от вирусов и червей, деление которых на типы производится по способам размножения/распространения, трояны делятся на типы по характеру выполняемых ими вредоносных действий. Наиболее распространены следующие виды троянов .
- Клавиатурные шпионы — трояны, постоянно находящиеся в памяти и сохраняющие все данные, поступающие от клавиатуры с целью последующей передачи этих данных злоумышленнику. Обычно таким образом злоумышленник пытается узнать пароли или другую конфиденциальную информацию.
Пример. В прошлом, буквально пару лет назад еще встречались клавиатурные шпионы , которые фиксировали все нажатия клавиш и записывали их в отдельный файл. Trojan -Spy.Win32.Small.b, например, в бесконечном цикле считывал коды нажимаемых клавиш и сохранял их в файле C:SYS
Современные программы-шпионы оптимизированы для сбора информации, передаваемой пользователем в Интернет, поскольку среди этих данных могут встречаться логины и пароли к банковским счетам, PIN-коды кредитных карт и прочая конфиденциальная информация, относящаяся к финансовой деятельности пользователя. Trojan -Spy.Win32.Agent.fa отслеживает открытые окна Internet Explorer и сохраняет информацию с посещаемых пользователем сайтов, ввод клавиатуры в специально созданный файл servms.dll с системном каталоге Windows.
Пример. Trojan — PSW .Win32.LdPinch.kw собирает сведения о системе, а также логины и пароли для различных сервисов и прикладных программ — мессенджеров, почтовых клиентов, программ дозвона. Часто эти данные оказываются слабо защищены, что позволяет трояну их получить и отправить злоумышленнику по электронной почте
Пример. Backdoor.Win32.Netbus.170 предоставляет полный контроль над компьютером пользователя, включая выполнение любых файловых операций, загрузку и запуск других программ, получение снимков экрана и т. д.
Пример. В последнее время backdoor-функционал стал характерной чертой червей. Например, Email- Worm .Win32.Bagle.at использует порт 81 для получения удаленных команд или загрузки троянов , расширяющих функционал червя.
Есть и отдельные трояны типа backdoor. Троян Backdoor.win32.Wootbot.gen использует IRC-канал для получения команд от «хозяина». По команде троян может загружать и запускать на выполнение другие программы, сканировать другие компьютеры на наличие уязвимостей и устанавливать себя на компьютеры через обнаруженные уязвимости.
Пример. Трояны из семейства Trojan -Proxy.Win32.Mitglieder распространяются с различными версиями червей Bagle. Троян запускается червем, открывает на компьютере порт и отправляет автору вируса информацию об IP-адресе зараженного компьютера. После этого компьютер может использоваться для рассылки спама
Пример. Trojan .Win32.Dialer.a при запуске осуществляет дозвон в Интернет через платные почтовые службы. Никаких других действий не производит, в том числе не создает ключей в реестре, т. е. даже не регистрируется в качестве стандартной программы дозвона и не обеспечивает автозапуск.
Пример. Trojan -Clicker.JS.Pretty обычно содержится в html-страницах. Он открывает дополнительные окна с определенными веб-страницами и обновляет их с заданным интервалом
Источник: intuit.ru
Трояны
Во-первых, до сих пор еще не удалось создать дешевую и эффективную систему для использования виртуальной реальности. Все системы, позволяющие создать хоть какое то подобие виртуальной реальности, которые включают в себя сенсорные перчатки или даже целые костюмы для путешествия по виртуальному миру, стоят слишком дорого. Кроме технических недостатков, есть и другие факторы, влияющие на распространение систем виртуальной реальности. Так, до сих пор не ясно, какое влияние оказывают эти системы на здоровье — в частности, на зрение.
Существует класс программ, которые изначально написаны с целью уничтожения данных на чужом компьютере, похищения чужой информации, несанкционированного использования чужих ресурсов или же приобрели такие свойства вследствие каких-либо причин. Такие программы несут вредоносную нагрузку и соответственно называются вредоносными.
Вредоносная программа — это программа, наносящая какой-либо вред компьютеру, на котором она запускается, или другим компьютерам в сети.
Все вредоносные программы в соответствии со способами распространения и вредоносной нагрузкой можно разделить на четыре основные типа:
— компьютерные вирусы,
— черви,
— трояны,
— другие программы.
11.1.1. Компьютерный вирус — это программа, способная создавать свои дубликаты (не обязательно совпадающие с оригиналом) и внедрять их в вычислительные сети и файлы, системные области компьютера. При этом дубликаты сохраняют способность к дальнейшему распространению.
Ж изненный цикл любого компьютерного вируса делят на пять стадий:
1. Проникновение на чужой компьютер.
3. Поиск объектов для заражения.
4. Подготовка копий.
5. Внедрение копий.
Путями проникновения вируса могут служить как мобильные носители, так и сетевые соединения — фактически, все каналы, по которым можно скопировать файл. Однако в отличие от червей, вирусы не используют сетевые ресурсы — заражение вирусом возможно, только если пользователь сам каким-либо образом его активировал. Например, скопировал или получил по почте зараженный файл и сам его запустил или просто открыл.
После проникновения следует активация вируса. Это может происходить несколькими путями.
В соответствии с выбранным методом вирусы делятся на:
— загрузочные вирусы (заражают загрузочные сектора жестких дисков и мобильных носителей);
— файловые вирусы (заражают файлы).
По типу среды обитания выделяют:
— классические файловые вирусы (внедряются в исполняемые файлы);
— макровирусы (написаны на внутреннем языке (макросах какого-либо приложения);
— скрипт-вирусы (в виде скриптов для определенной командной оболочки).
Дополнительным отличием вирусов от других вредоносных программ служит их жесткая привязанность к операционной системе или программной оболочке, для которой каждый конкретный вирус был написан.
При подготовке своих вирусных копий для маскировки от антивирусов могут применяться:
— шифрование (вирус состоит из двух частей: сам вирус и шифратор);
— метаморфизм (вирусные копии создаются путем замены некоторых команд на аналогичные,
перестановки местами частей кода, вставки между ними дополнительных команд).
В зависимости от используемых методов вирусы делят на шифрованные, метаморфные и полиморфные, использующие комбинацию двух типов маскировки.
В отличие от вирусов черви — это вполне самостоятельные программы. Главной их особенностью также является способность к саморазмножению, однако при этом они способны к самостоятельному распространению с использованием сетевых каналов.
Червь (сетевой червь) — это вредоносная программа, распространяющаяся по сетевым каналам и способная к самостоятельному преодолению систем защиты компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не обязательно совпадающих с оригиналом.
Жизненный цикл червей состоит из стадий:
1. Проникновение в систему.
3. Поиск объектов для заражения.
4. Подготовка копий.
5. Распространение копий.
В зависимости от способа проникновения в систему черви делятся на типы:
— сетевые черви (используют для распространения локальные сети и Интернет);
— почтовые черви (распространяются с помощью почтовых программ).
— IM -черви используют системы мгновенного обмена сообщениями (Instant Messenger — мгновенный обмен сообщениями — ICQ, Skype);
— IRC- распространяются по каналам IRC(Internet Relay Chat — ретранслируемый интернет-чат- mIRC);
— P2P-черви — при помощи пиринговых файлообменных сетей (P2P (peer-to-peer — равный с равным)
все входящие в нее компьютеры выступают в роли — клиент и сервер. Для обмена файлами,
обычно музыкой и фильмами — eDonkey и Gnutella).
После проникновения на компьютер, червь должен активироваться. По методу активации все черви можно разделить:
— не требует участия пользователя.
Сетевые черви могут кооперироваться с вирусами — такая пара способна самостоятельно распространяться по сети (благодаря червю) и заражать ресурсы компьютера (функции вируса).
Трояны, в отличие от вирусов и червей, не обязаны уметь размножаться. Это программы, написанные только с одной целью — нанести ущерб целевому компьютеру путем выполнения несанкционированных пользователем действий: кражи, порчи или удаления конфиденциальных данных, нарушения работоспособности компьютера или использования его ресурсов в неблаговидных целях.
Троян (троянский конь ) — программа, основной целью которой является вредоносное воздействие по отношению к компьютерной системе.
Жизненный цикл троянов состоит всего из трех стадий:
1. Проникновение в систему.
3. Выполнение вредоносных действий.
Проникать в систему трояны могут двумя путями — самостоятельно и в кооперации с вирусом или сетевым червем. В первом случае обычно используется маскировка, когда троян выдает себя за полезное приложение, которое пользователь самостоятельно копирует себе на диск (например, загружает из Интернет) и запускает. При этом программа действительно может быть полезна, однако наряду с основными функциями она может выполнять действия, свойственные трояну.
После проникновения на компьютер, трояну необходима активация и здесь он похож на червя — либо требует активных действий от пользователя или же через уязвимости в программном обеспечении самостоятельно заражает систему.
Классифицируются по типу вредоносной нагрузки:
— клавиатурные шпионы (записывают данные, поступающие от клавиатуры);
— похитители паролей (поиск на зараженном компьютере специальных файлов);
— утилиты скрытого удаленного управления (обеспечивают несанкционированный удаленный контроль
над инфицированным компьютером);
— утилиты дозвона в скрытом режиме инициируют подключение к платным сервисам Интернет.
— модификаторы настроек браузера;
— логические бомбы (срабатывают при выполнении заложенных в них условий).
Существуют программы из класса троянов, которые наносят вред удаленным компьютерам и сетям, при этом не нарушая работоспособности инфицированного компьютера — организаторы DDoS-атак.
Источник: studopedia.su
16. Трояны. Стадии жизненного цикла троянов. Типы троянского программного обеспечения
Троя́нская программа (также — троя́н, троя́нец, троя́нский конь) — вредоносная программа, распространяемая людьми. В отличие от вирусов и червей, которые распространяются самопроизвольно.
Троян (троянский конь) — тип вредоносных программ, основной целью которых является вредоносное воздействие по отношению к компьютерной системе. У троянов отсутствует механизм создания собственных копий. Некоторые трояны способны к автономному преодолению систем защиты КС, с целью проникновения и заражения системы. В основном троян попадает в систему вместе с вирусом либо червем, в результате неосмотрительных действий пользователя или же активных действий злоумышленника.
«Трояны» — самый простой вид вредоносных программ, сложность которых зависит исключительно от сложности истинной задачи и средств маскировки. Самые примитивные «трояны» (например, стирающие содержимое диска при запуске) могут иметь исходный код в несколько строк.
Жизненный цикл Три стадии:
- Проникновение на компьютер;
- Активация;
- Выполнение заложенных функций.
Троян может длительное время незаметно находиться в памяти компьютера, никак не выдавая своего присутствия, до тех пор, пока не будет обнаружен антивирусными средствами. Способы проникновения Существует два способа проникновения: маскировка и кооперация с вирусами и червями.
Маскировка — троян выдает себя за полезное приложение, которое пользователь самостоятельно загружает из Интернета и запускает. Иногда пользователь исключается из этого процесса за счет размещения на Web-странице специального скрипта, который используя дыры в браузере, автоматически инициирует загрузку и запуск трояна.
Внедрение злоумышленником троянского кода в код другого приложения усложняет распознавание трояна, так как зараженное приложение может открыто выполнять какие-либо полезные действия, но при этом тайком наносить ущерб за счет троянских функций. Использование вредоносного скрипта, загружающего и запускающего троянскую программу на компьютере пользователя, используя уязвимость в веб-браузере, либо методы социальной инженерии – наполнение и оформление веб-сайта провоцирует пользователя к самостоятельной загрузке трояна.
Кооперация с вирусами и червями — троян путешествует вместе с червями или, реже, с вирусами. В принципе, такие пары червь-троян можно рассматривать целиком как составного червя, но в сложившейся практике принято троянскую составляющую червей, если она реализована отдельным файлом, считать независимым трояном с собственным именем. Кроме того, троянская составляющая может попадать на компьютер позже, чем файл червя. При кооперации червей с вирусами, червь обеспечивает транспортировку вируса между компьютерами, а вирус распространяется по компьютеру, заражая файлы.
Типы троянов На данный момент наибольшее распространение получили трояны следующих типов:
1. Утилиты скрытого (удаленного) администрирования (BackDoor — с англ. «задняя двеpь»). Троянские кони этого класса по своей сути являются достаточно мощными утилитами удаленного администрирования компьютеров в сети. По своей функциональности они во многом напоминают различные системы администрирования, разрабатываемые известными фирмами — производителями программных продуктов.
Современные утилиты скрытого администрирования (BackDoor) достаточно просты в использовании. Они обычно состоят главным образом из двух основных частей: сервера (исполнитель) и клиента (управляющий орган сервера).
Сервер — это исполняемый файл, который определенным образом внедряется на вашу машину, загружается в память одновременно с запуском Windows и выполняет получаемые от удаленного клиента команды. Сервер отправляется жертве, и в дальнейшем вся работа ведется через клиента на компьютере хакера, т.е. через клиента посылаются команды, а сервер их выполняет.
Внешне его присутствие никак не обнаруживается. После запуска серверной части трояна на компьютере пользователя резервируется определенный порт, отвечающий за связь с Интернетом.
После этих действий злоумышленник запускает клиентскую часть программы, подключается к этому компьютеру через открытый в онлайне порт и может выполнять на вашей машине практически любые действия (это ограничивается лишь возможностями используемой программы). После подключения к серверу управлять удаленным компьютером можно практически как своим: перезагружать, выключать, открывать CD-ROM, удалять, записывать, менять файлы, выводить сообщения и т.д. На некоторых троянах можно изменять открытый порт в процессе работы и даже устанавливать пароль доступа для «хозяина» данного трояна. Существуют также трояны, которые позволяют использовать «затрояненную» машину в качестве прокси-сервера (протоколы HTTP или Socks) для сокрытия реального IP-адреса хакера.
В архиве такого трояна обычно находится 5 следующих файлов: клиент, редактор для сервера (конфигуратор), сервер трояна, упаковщик (склейщик) файлов, файлы документации. У него достаточно много функций, среди которых можно выделить следующие: 1) сбор информации об операционной системе; 2) определение кэшированных и dial-up-паролей, а также паролей популярных программ дозвона; 3) нахождение новых паролей и отправка другой информации на е-mail; 4) скачивание и запуск файлов по указанному пути; 5) закрывание окон известных антивирусов и файрволлов при обнаружении; 6) выполнение стандартных операций по работе с файлами: просмотра, копирования, удаления, изменения, скачивания, закачивания, запуска и воспроизведения; 7) автоматическое удаление сервера трояна из системы через указанное количество дней; 8) управление CD-ROM, включение/отключение сочетания клавиш Ctrl+Alt+Del, просмотр и изменение содержимого буфера обмена, сокрытие и показ таскбара, трея, часов, рабочего стола и окон; 9) установление чата с жертвой, в т.ч. для всех пользователей, подключенных к данному серверу; 10) отображение на экране клиента всех нажатых кнопок, т.е. имеются функции клавиатурного шпиона; 11) выполнение снимков экрана разного качества и размера, просмотр определенной области экрана удаленного компьютера, изменение текущего разрешения монитора.
Трояны скрытого администрирования и сейчас наиболее популярны. Каждому хочется стать обладателем такого трояна, поскольку он может предоставить исключительные возможности для управления и выполнения различных действий на удаленном компьютере, которые могут напугать большинство пользователей и доставить уйму веселья хозяину трояна. Очень многие используют трояны для того, чтобы просто поиздеваться над кем-нибудь, выглядеть в глазах окружающих «суперхакером», а также для получения конфиденциальной информации.
2. Почтовые (е-mail trojan). Трояны, позволяющие «вытаскивать» пароли и другую информацию из файлов вашего компьютера и отправлять их по электронной почте хозяину. Это могут быть логины и Internet-пароли провайдера, пароль от почтового ящика, пароли ICQ и IRC и др. Чтобы отправить письмо владельцу по почте, троян связывается с почтовым сервером сайта по протоколу SMTP (например, на smtp.mail.ru).
После сбора необходимых данных троян проверит, отсылались ли эти данные. Если нет — данные отсылаются и сохраняются в регистре. Если уже отсылались, то из регистра извлекается предыдущее письмо, и происходит его сравнение с текущим. Если в информации произошли какие-либо изменения (появились новые данные), то письмо отсылается, и в регистре записываются свежие данные о паролях.
Одним словом, этот вид троянов просто занимается сбором информации, и жертва может даже и не догадываться, что ее пароли уже кому-то известны. В архиве такого трояна обычно находится 4 файла: редактор сервера (конфигуратор), сервер трояна, упаковщик (склейщик) файлов, руководство для использования.
В результате работы могут определяться следующие данные: 1) IP-адрес компьютера жертвы; 2) подробнейшие сведения о системе (имя компьютера и пользователя, версия Windows, модем и т.д.); 3) все кэшированные пароли; 4) все настройки телефонных соединений включая телефонные номера, логины и пароли; 5) пароли от ICQ; 6) N последних посещенных сайтов.
3. Клавиатурные (Keylog-gers). Эти трояны записывают все, что было набрано на клавиатуре (включая пароли) в файл, который впоследствии отправляется на определенный е-mail или пpосматpивается чеpез FTP (File Transfer Protocol). Keylogger’ы обычно занимают мало места и могут маскироваться под другие полезные программы, из-за чего их бывает трудно обнаружить.
Еще одной причиной трудности обнаружения такого трояна является то, что его файлы называются как системные. Некоторые трояны этого типа могут выделять и расшифровывать пароли, найденные в специальных полях для ввода паролей. Такие программы требуют ручной настройки и маскировки. Keylogger’ы можно использовать не только в хулиганских целях. Например, их очень удобно поставить на своем рабочем месте или дома на время отъезда.
4. Программы-шутки (Joke programs). Эти программы безвредны по своей сути. Они не причиняют компьютеру какого-либо прямого вреда, однако выводят сообщения о том, что такой вред уже причинен, может быть причинен при каких-либо условиях, либо предупреждают пользователя о несуществующей опасности.
Программы-шутки запугивают пользователя сообщениями о форматировании жесткого диска, определяют вирусы в незараженных файлах, выводят странные вирусоподобные сообщения и т.д. — это зависит от чувства юмора создателя такой программы. Конечно же, тут нет никаких причин для волнения, если за этим компьютером не работают другие неопытные пользователи, которых подобные сообщения могут сильно напугать.
5. К «троянским коням» также можно отнести зараженные файлы, код которых определенным образом подправлен или изменен криптографическим методом. Например, файл шифруется специальной программой и (или) упаковывается неизвестным архиватором. В итоге даже последние версии антивирусов не могут определить наличие в файле трояна, так как носитель кода отсутствует в их антивирусной базе.
Источник: studfile.net