Специалист по сигурността: Държавите са сред големите създатели на зловреден код

Държавите са едни от големите играчи на сцената на зловредния код. Това мнение споделя инж. д-р Веселин Бончев от Националната лаборатория по компютърна вирусология към БАН в интервю с Милена Димитрова от SensorsTechForums.

Според него има две големи групи, които създават зловреден код. По-голямата група тук са професионалните престъпници, другата група са различните правителствени шпионски агенции.

Престъпниците нямат нищо общо с първите вирусописачи, които са имали за основна задача да „покажат на света колко са умни“, да бъдат признати, но действията им били главно безобидни шеги. Точно обратното е днес. Разпространителите на зловреден код имат една цел – пари и определено не искат да бъдат забелязани.

„Другият крал сред производителите на зловредни програми днес, които виждаме днес (само че доста по-рядко) са различните правителствени шпионски агенции. Те също нямат желание да се показват „колко умни са“. Те са заинтересувани от това да си свършат работата. „Работата“ почти винаги се заключава в това да бъде събрана разузнавателна информация с някои редки изключения, като причиняването на саботаж от Stuxnet. Говорейки за него, трябва да кажа, че той е типичен пример за зловредна програма, произведена от правителство. Той е огромен, модулен, върши това, за което е създаден. Stuxnet не е написан от някой умен хлапак в мазето на майка му – той е сбор от модули, които са част от огромна структура, изградена не от няколко човека, а от няколко екипа, които са се водили по спецификации и не са общували помежду си.Както казах, тази промяна ме натъжава. Да се бориш с умните хлапета беше забава, като игра. На мен определено не ми харесва да се боря с руската мафия или с нечия кибервойна“, обяснява той.
Доста интереснo звучат думите му относно днешните типове заплахи, което има отношение и към проблемите на антивирусните компании.

Според Бончев, писачите на зловреден код днес са изоставили идеята за създаването на саморепликиращи се програми (класическите вируси). Вместо това, днес се разпространява нерепликиращ се зловреден софтуер и за това си има логично обяснение. Просто този тип софтуер е по-лесен за създаване. Времето и ресурсите, отделяни за написването на вирусите е значително по-голямо. Престъпният бизнес не е заинтересуван от това. Все пак става дума за бизнес. Положителното? За разлика от миналото на малуер сцената и по-малко мащабни кампании в по-ново време със зловредни програми, като Conficker, то днес ние не може да станем свидетели на мащабни кампании на масова зараза в глобален план. Може да бъдем свидетели на някаква отделна кампания, която засяга машини, на които липсва инсталиран антивирусен софтуер или необновена операционна система, но става дума за наистина пренебрежими опасности. Лошото? Колкото по-дълго се задържи в интернет пространството един зловред, толкова по-голям е шансът той да бъде разпознат от антивирусните продукти и разпространението му спряно. Нерепликиращите се програми са създадени единствено да свършат зададената им цел или както Бончев ги определя – „оръжие с един куршум“. Това че не получават „глобална премиера“ пречи на антивирусните компании да се ориентират в обстановката. Както вероятно знаете, антивирусната индустрия продължава упорито да разчита основно на антивирусни дефиниции – знание за предварително познати заплахи и по-точно един цифров ред – хешовата стойност на сборните характеристики на конкретен файл. Писачите на зловреден код обаче знаят това и успяват да променят тази стойност с една малка промяна във файла, с което тази стойност в цифровия ред се променя и антивирусната програма вече не „няма знание“ за този файл. В последните години обаче доста неща се променят.

Освен откровено маркетингови характеристики като общностен рейтинг, във все повече програми отдавна вече присъстват поведенчески модули, системи за предотвратяване на взлом в хоста (Host Intrusion Prevention System, HIPS), емулатори, които изпълняват част от кода в изолирана облачна среда и следят за подозрителна действия на файла, сендбокс системи и др. Нужно е, когато сте решили да инсталирате наново антивирусен софтуер на системата си да следите именно за това – дали освен антивирусния модул има например уеб антивирус, който следи в реално време обектите, изобразявани в браузъра ви, поведенчески анализатор и др., както и разбира се да се информирате надлежно за представяните от програмата възможности.