Що таке шкідливе ПЗ і як воно потрапляє на комп’ютер

Шкідливе ПЗ (англійською malware, від malicious software) — це будь-яка програма, написана, щоб зробити те, на що її жертва не погоджувалася. Національний інститут стандартів і технологій США (NIST) визначає його як програмне забезпечення або прошивку, призначені для виконання несанкціонованого процесу, який зашкодить конфіденційності, цілісності чи доступності системи. Це визначення корисне тим, що описує шкоду, а не техніку. Програма, яка краде ваші паролі, програма, яка блокує ваші файли, і програма, яка тихо перетворює ваш комп’ютер на частину чужої мережі, — усе це шкідливе ПЗ, хоча всередині вони зовсім не схожі.

Основні родини — за тим, чого вони прагнуть

Фахівці з безпеки поділяють шкідливе ПЗ на родини за тим, як воно поширюється і чого домагається. Назви перетинаються, і реальна шкідлива програма часто поєднує кілька з них, але цей словник допомагає тверезіше читати новини й поради.

Як воно насправді потрапляє всередину

У фільмах зловмисники шалено стукають по клавіатурі, проламуючи захист. Реальні зараження зазвичай значно буденніші. База знань MITRE ATT&CK, яка збирає техніки з реальних атак, виділяє «виконання користувачем» в окрему техніку: мета зловмисника — змусити вас щось відкрити чи запустити. Більшість заражень домашніх комп’ютерів починається саме так: людина ухвалює рішення, яке тієї миті здавалося розумним.

• Завантаження не звідти: зламана версія платної програми, «безкоштовний» конвертер, підробний відеоплеєр, який нібито потрібен стрімінговому сайту.
• Підробне оновлення: спливне вікно на сайті, яке стверджує, що ваш браузер чи Flash застарів (Flash зняли з підтримки багато років тому — вже одне це робить повідомлення брехнею).
• Вкладення чи посилання в листі або повідомленні, що вдають лист від служби доставки, банку, колеги чи державного органу.
• Пошукова реклама популярного застосунку, що веде на сайт-двійник зі зміненим інсталятором.
• Знімний носій: флешка, залишена на парковці, або диск колеги, заражений на іншому комп’ютері.
• Незакрита вразливість: вада в програмі, якою ви вже користуєтеся, що дає змогу проникнути без жодних ваших дій. Для домашніх користувачів це рідше, але саме тому важливі оновлення.

Чому Mac теж стає мішенню

Думка, що Mac не заражається вірусами, ніколи не була цілком правдивою, і щороку вона все далі від істини. Коли Mac стали звичними в офісах, серед авторів контенту й у власників криптовалюти, злочинці пішли за грошима. Apple сама документує кілька рівнів захисту саме тому, що загроза реальна: Gatekeeper перевіряє, що завантажені застосунки створені ідентифікованими розробниками й пройшли нотаризацію, XProtect шукає відомі шкідливі програми, а захист під час виконання обмежує те, що можуть робити застосунки. Ці рівні добре працюють проти відомих загроз і недбалих зловмисників. Вони значно слабші проти найпоширенішого трюку — переконати користувача їх обійти: багато заражень Mac починається з інструкції натиснути правою кнопкою, вибрати «Відкрити» або ввести пароль, щоб «дозволити» інсталятор.

Що потрібно шкідливій програмі, коли вона вже всередині

Після встановлення більшості шкідливих програм потрібні три речі. Їй треба лишитися: щоб пережити перезавантаження, вона зазвичай реєструється для автоматичного запуску, наприклад як об’єкт входу чи фоновий агент запуску. Їй потрібні дозволи: доступ до ваших файлів, в’язки ключів, екрана чи камери. І майже завжди їй треба виходити в інтернет: отримувати команди, завантажувати додаткові компоненти чи відправляти вкрадені дані. Остання потреба — шанс для захисту, бо мережеве з’єднання можна побачити й контролювати, навіть якщо ви не розумієте, що програма робить на диску.

Саме тут стає в пригоді міжмережевий екран для застосунків, як-от FireAI. FireAI — не антивірус і не видаляє шкідливі програми, але він питає, перш ніж невідомий застосунок уперше під’єднається до мережі, показує кожне з’єднання на мапі світу й може заблокувати застосунок або адресу призначення. Нова програма, яка раптом намагається зв’язатися із сервером, про який ви ніколи не чули, — саме той момент, коли варто зупинитися й придивитися.

Ознаки того, що щось не так

• Застосунок, об’єкт входу чи розширення браузера, яких ви не пам’ятаєте, щоб встановлювали.
• Пошукова система чи домашня сторінка браузера змінилися самі собою.
• Несподівані запити пароля, особливо одразу після встановлення чогось.
• Вентилятори шумлять, а батарея сідає, хоча комп’ютер ніби простоює.
• В облікових записах видно входи з місць, де ви ніколи не були, або друзі отримують повідомлення, яких ви не надсилали.
• Незнайомий застосунок знову й знову під’єднується до інтернету.

Жодна з цих ознак сама по собі не доводить зараження, і в деяких є безневинні пояснення. Вважайте їх приводом придивитися: перевірте об’єкти входу в Системних параметрах, перегляньте нещодавно встановлені застосунки, запустіть перевірений сканер, якщо хвилюєтеся, і змініть паролі з довіреного пристрою, якщо думаєте, що облікові дані могли витекти.