Rodzaje malware i sposoby na ich wykrycie oraz ochronę

Rodzaje malware

BUGS (błędy oprogramowania) – typ błędu, usterki lub awarii, która prowadzi do nieprzewidzianego i niechcianego rezultatu działania oprogramowania. Bugi zazwyczaj pochodzą od kodu źródłowego aplikacji i mogą być wykorzystane do uszkodzenia lub przejęcia systemu.

VIRUS (wirus) – kawałek kodu, który został załadowany do systemu bez wiedzy użytkownika. Może łatwo rozprzestrzenić się na inne systemy.

TROJAN HORSE (koń trojański) – tak jak w znanym micie, trojan oszukuje użytkownika, że jest zwykłym, niegroźnym plikiem. W rzeczywistości pobiera i instaluje na komputerze ofiary malware. Za pomocą trojana cyberprzestępca może zdalnie wykonywać dowolne komendy lokalnie na komputerze ofiary, pobierać pliki itp.

ADWARE – malware, który automatycznie wyświetla niechciane treści reklamowe. Po kliknięciu w nie użytkownik zostaje przekierowany na niebezpieczną stronę ze złośliwym oprogramowaniem.

WORMS – robaki wykorzystują znane luki i podatności w niezaktualizowanych systemach. Są w stanie rozmnażać się i zarażać komputery w sieci. Często ukrywają się w załącznikach, zużywają przepustowość łącza oraz przeciążają serwery.

BOTS – niezależny program stworzony do wykonania konkretnego zadania. Boty często wykorzystywane są do wysyłania spamu lub udziału w atakach DDoS prowadzących do zatrzymania usługi całej strony internetowej.

RANSOMWARE – złośliwe oprogramowanie, które szyfruje pliki i dane na komputerze ofiary i żąda wpłacenia okupu w zamian za odszyfrowanie plików.

SPYWARE – typ złośliwego oprogramowania, które szpieguje użytkownika. Monitoruje jego aktywność na komputerze, rejestruje naciśnięte klawisze i wykonane akcje.

Metody wykrycia malware

Poniżej zamieściliśmy sposoby i techniki wykrywania poszczególnych typów malware w infrastrukturze informatycznej.

Sygnatury

Podejście: porównanie hasha programu lub pliku z bazą danych znanych, złośliwych hashy
Wykrycie: pliki, które są takie same jak znany malware

Heurystyka

Podejście: badanie procesu w celu dopasowanie złego zachowania
Wykrycie: zmodyfikowany malware, które dokonuje pewne znane zmiany w systemie

Wskaźniki

Podejście: szukanie zmian w całym systemie, które wskazują na obecność złośliwego oprogramowania
Wykrycie: malware, który może być określony poprzez wskaźniki (DNS, pamięć, plik)

Exploity

Podejście: badanie czy proces nie korzysta z technik jakie wykorzystywane są przez znane na rynku eksploity
Wykrycie: złośliwe procesy, które wykorzystują exploity w celu przejęcia innych procesów

Sztuczna inteligencja

Podejście: badanie „nieznanego” przy użyciu sztucznej inteligencji i uczenia maszynowego z wykorzystaniem probabilistycznego podejścia do analizy zachowań użytkowników i maszyn
Wykrycie: końcówki (komputery) komunikujące się w nietypowy dotychczas sposób z innymi komputerami w sieci lub w Internecie, podejrzane zachowanie oprogramowania/użytkownika.

Sposoby zapobiegania przed malware

Poniżej zamieściliśmy listę 5 klas systemów oferujących funkcjonalności wykrywania malware. Głowna różnica pomiędzy nimi to podejście w sposobie detekcji poszczególnych typów złośliwego oprogramowania.

System EPP (Endpoint Protection Platform)

Sposób działania systemu: programy uruchamiane poprzez proces, których badane są sygnatury oraz heurystyka
Co może wykryć?: końcówki (komputery) komunikujące się w nietypowy dotychczas sposób z innymi komputerami w sieci lub w Internecie, podejrzane zachowanie oprogramowania/użytkownika.

System EDR (Endpoint Detection and Response)

Sposób działania systemu: programy uruchamiane są poprzez proces, który bada wskaźniki zmiany
Co może wykryć?: znany i nieznany malware wykonujący znane zmiany w systemie

MICRO VM

Sposób działania systemu: uruchamia każdy plik w swoim własnym OS, tak aby kompromitacja systemu nie wyszła na zewnątrz
Co może wykryć?: brak detekcji, po prostu odizolowane środowisko sandbox

GATEWAY

Sposób działania systemu: blokowanie pliku bądź procesu w komunikowaniu się w sieci
Co może wykryć?: CNC, pliki sygnaturowe

AI (Artificial Intelligence)

Sposób działania systemu: analiza zachowania aktywności procesów/użytkowników/urządzeń w komunikowaniu się w sieci
Co może wykryć?: CNC, KILL CHAIN, Sinkhole, DNS, podejrzane transfery danych

Darmowe oprogramowanie do wykrywania malware

Poniżej zamieściliśmy w tabeli listę darmowego oprogramowania dostępnego w sieci do wykrywania malware.