Malware

Než se rozšířil přístup k internetu, tak se viry šířily na osobních počítačích tím, že infikovaly spustitelný bootovací (načítací) sektor disket. Virus spustil sám sebe tím, že vložil kopii sebe sama mezi instrukce strojového kódu spustitelných aplikací. Toto proběhlo buď při spuštění programu nebo při bootování (načítání) diskety. Původní verze počítačových virů byly napsány pro Apple II a Apple Macintosh, ale rozšířily se až s dominancí IBM počítačů a MS-DOS systémů na trhu. Viry infikující spustitelné aplikace jsou závislé na vyměňování softwaru mezi uživateli nebo na bootovacích (načítacích) disketách, proto se rychle šířily v kruzích počítačových fanoušků.

První červi, sítí přenášené nakažlivé programy, nevznikly na osobních počítačích, ale na víceúlohových unixových systémech. První dobře známý červ byl internetový červ v roce 1988, který nakazil SunOS a VAX BSD systémy. Na rozdíl od viru, tento červ nevkládá sám sebe do jiných programů. Místo toho využívá bezpečnostních mezer v síťových serverových programech a spouští se jako oddělený proces. Takové chování je používáno i dnešními červy.

Růst platformy Microsoft Windows v 90. letech a makra jejích aplikací umožnila zapisovat nakažlivý kód do makroinstrukcí Microsoft Office Word a podobných programů. Tyto makro viry infikovaly dokumenty a šablony místo spustitelných aplikací, protože makra ve „wordovském“ dokumentu jsou formou spustitelného kódu.

Dnes jsou červi obecně psané pro operační systémy Windows, ačkoliv několik červů, mezi které patří Mare-D a Lion, jsou také v Linuxových a Unixových systémech. Červi dnes pracují na stejném základním principu, jako Internetový červ v roce 1988: skenují síť a využívají zranitelné počítače, aby se mohly kopírovat. Jelikož nepotřebují zásah uživatele, tak se dokáží šířit velice rychle. Červ SQL Slammer infikoval tisíce počítačů během několika minut.

Aby škodlivý program splnil své cíle, musí být schopen se spustit, aniž by byl zastaven nebo smazán uživatelem či administrátorem počítačového systému, na kterém běží. Utajení může také pomoci, aby se v první řadě malware mohl nainstalovat. Když je škodlivý program přestrojen za něco nevinného či užitečného, uživatelé mohou být svedeni k instalaci tohoto programu, aniž by věděli, co dělá. Toto je technika Trojského koně.

Obecně je Trojský kůň jakýkoliv program, který vybízí uživatele ke spuštění, přičemž mu zatajuje nebezpečí či skryté platby. Platba může mít okamžitý efekt a může vést k mnoha dalším nežádoucím věcem, jako je smazání uživatelských souborů nebo k instalaci dalšího škodlivého a nežádoucího softwaru. Trojští koně, známí jako droppery jsou použity k propuknutí červí vzpoury tím, že vloží červy do uživatelské lokální sítě.

Jedna z nejčastějších cest šíření spywaru je Trojský kůň, který je součástí nežádoucího softwaru, staženého uživatelem z internetu. Jakmile uživatel nainstaluje software, rovněž se nainstaluje i spyware. Autoři spywaru, kteří se pokouší jednat legálním způsobem mohou vložit licenční ujednání, které podléhá volnějším pravidlům chování spywaru. Uživatelé jej však velmi neradi čtou nebo mu dokonce neporozumí. Samotné licenční ujednání pak způsobí dojem seriózního softwaru.

Trojští koně jsou nejčastěji používáni v marketingu. Dnešní pokročilí trojští koně jsou plně schopni převzít absolutní kontrolu nad prohlížečem, bez ohledu na typ (Internet Explorer, Mozilla Firefox, atd.). Je dokonce známé přidání falešné výjimky do bezpečnostních nastavení prohlížečů (čemuž často zabraňuje aktualizace prohlížeče), stejně tak jako editování počítačových registrů.

Když se nakažlivý program nainstaluje do systému, je nutné, aby zůstal utajený a předešel své detekci a následnému smazání. To samé platí, když se lidský útočník dostane přímo do počítače. Techniky známé jako rootkity dovolují toto utajení modifikováním hostujícího operačního systému, takže malware je skrytý před uživatelem. Rootkity mohou zabránit nakažlivému procesu, aby byl viditelný v systémovém seznamu procesů nebo udržují své soubory od přečtení. Původně byl rootkit sadou nástrojů instalovaných útočníkem na Unix systém, dovolující útočníkovi získat administrátorský přístup. Dnes je tento termín užíván spíše pro utajení rutin v nakažlivém programu.

Některé nakažlivé programy obsahují rutiny, které brání proti odstranění, ne přímo tím, že se schovají, ale tím, že odmítnou přístup k jejich odstranění. Původní příklad tohoto chování je zaznamenán v povídce Jargon File o páru programů zamořujících Xerox CP-V systém sdílení času:

Každý utajený proces by detekoval fakt, že jiný byl zabit a spustil by další kopii nedávno zabitého programu během několika milisekund. Jediná možnost, jak zabít oba procesy, byla zabít je současně (velmi složité) nebo úmyslně shodit celý systém.

Podobné techniky jsou použity u některých moderních malwarů, kde malware spustí více procesů, které se monitorují a obnovují navzájem když je potřeba. V situaci, kdy uživatel systému Microsoft Windows je infikován takovýmto malwarem a chtěl by jej manuálně vypnout, musí použít Windows Task manažer na záložce procesy a musí najít hlavní proces (ten který založil obnovovací proces(y)) a použít funkci ukončení stromu procesů, která zabije nejen hlavní proces, ale i ten obnovovací, i když byl spuštěn hlavním procesem. Některé malware programy používají jiné techniky, jako například pojmenování infikovaných procesů podobně jako pravých nebo důvěryhodných (expl0rer.exe VS explorer.exe).

Backdoor je metoda, jak obejít normální autentizační procedury. Když byl systém kompromitován (jednou z výše zmíněných metod, nebo jinou cestou), jeden nebo více backdoorů může být instalováno, aby povolily v budoucnu snadnější přístup. Backdoory mohou být také instalovány přednostně nakažlivým softwarem, aby umožnily přístup útočníkům.

Myšlenka byla často navržena tak, že počítačoví výrobci předinstalovali backdoory na jejich systémy, aby mohli zajistit technickou podporu pro jejich zákazníky, ale to nikdy nebylo s jistotou dokázáno. Cracker typicky používá backdoory, aby ochránil vzdálený přístup k počítači, když chce zůstat skrytý před občasnou inspekcí. K instalaci backdoorů cracker může použít Trojské koně, červy, nebo jiné metody.

Většina systémů obsahuje chyby (díry, mezery), které může využívat malware. Typickým příkladem je přetečení vyrovnávací paměti. V tomto stavu umožňuje rozhraní, které je navržené pro ukládání přepsat vnitřní struktury. Tímto způsobem je možné, aby malware přinutil systém nahradit legitimní kód s vlastní instrukcí škodlivým kódem.

Původně byly počítače bootovány z diskety. Určitou dobu to bylo jediné bootovací zařízení. To znamená, že napadená disketa mohla poškodit počítač již během startu systému. Tato možnost platí v dnešní době pro bootování z CD nebo vyměnitelného zařízení.

Specifická komponenta antimalwarového, či antivirového softwaru obyčejně označovaného jako on-access nebo real-time skener se obecně připojí hluboko do jádra operačního systému nebo do funkcí jádra podobným způsobem jako to dělá malware sám, ale s uživatelským informovaným souhlasem chránit systém. Kdykoli operační systém přistupuje k souboru, on-access skenner kontroluje zda jde o legitimní soubor nebo ne. Pokud je soubor skenerem považován za malware, tak je operace přístupu zastavena a soubor je skenerem řešen v před definovaném stavu (tak jak byl antivirový program nastaven během nebo po instalaci) a zároveň o tom obeznámí uživatele. Toto obecně zpomaluje operační systém a/nebo spotřebovává velké množství operační paměti, v závislosti na tom, jak je antivirový program nastaven. Cílem je zastavit všechny operace malwaru pokusit se usadit do OS, než k nim dojde, včetně dalších činností, které by mohly využívat chyby operačního systému nebo spustit neočekávané chování operačního systému.

Antimalwarové programy mohou bojovat proti malwaru dvěma způsoby:

1. Mohou poskytnout ochranu v reálném čase proti instalaci škodlivého softwaru na počítači. Tento typ ochrany funguje stejným způsobem jako antivirová ochrana. Antimalwarový software skenuje všechny příchozí síťová data a blokuje jakékoliv hrozby.
2. Antimalwarové programy mohou být použity pouze pro detekci škodlivého softwaru, který již byl nainstalován do počítače. Tento typ antimalwarového softwaru kontroluje obsah registru systému Windows, soubory operačního systému a nainstalované programy v počítači a poskytne seznam všech nalezených hrozeb. Umožňuje uživateli vybrat, které soubory chce odstranit či zachovat nebo tento seznam porovná se seznamem známých malware komponent. Real-time ochrana před malware pracuje identicky k real-time antivirové ochraně: software skenuje soubory na disku v době stahování a blokuje ty aktivity komponent, které jsou známé jako malware. V některých případech také může zachytit pokus o nainstalování start-up položek nebo o úpravu nastavení prohlížeče. Protože mnoho malwarových komponent je nainstalováno po zneužití prohlížeče nebo chybou uživatele, pomáhá prohlížeč bezpečnostním softwarem „sandbox“ (odděluje prohlížeč od počítače a tím žádný malware nemůže provést změny) s účinném omezením jakékoliv škody, kterou by mohl malware napáchat.

Příklady antivirových programů od Microsoft Windows a antimalwarových softwarů zahrnují Microsoft Sucurity Essentials (WinXp, 7, 8) pro ochranu v reálném čase, Nástroj pro odstranění škodlivého softwaru systému Windows a Windows Defender. Navíc je možné si zdarma stáhnout z internetu některé antivirové programy (obvykle jsou omezeny a jsou k dispozici jen pro nekomerční použití). Testy nalezly free programy konkurence schopné oproti komerčním programům. Patří sem také Microsoft System File Checker, který lze použít pro opravu poškozených systémových souborů.

Některé viry vypínají funkci Obnovení systému a další nástroje systému Windows, jako je Správce úloh a MS-DOS. Takové viry lze odstranit restartováním počítače a spuštěním Nouzového režimu s prací v síti a použitím systémových nástrojů nebo pomocí Microsoft Safety Scanner.

V současné době není známa žádná metoda pro rozpoznání hardwarových implantátů.

Typické malwarové produkty detekují problémy na základě heuristiky a podpisů, tj. na základě informací, které mohou být vyhodnoceny jako špatné. Některé produkty mají alternativní přístup při skenování dokumentů typu Word a PDF, a to vytvořením nového čistého souboru na základě toho, o čem víme, že je dobré z definice schématu v souboru (pro tento přístup existuje patent).