Əsas fikir
Fayl və ya prosesin adından çox, onun hansı resursa toxunduğunu və hansı əlaqəni yaratdığını yoxlayın. Şübhəli cihazı cavab planına uyğun təcrid edin, etibarlı mühitdən araşdırın və bərpanı təsdiqləyin.
Zərərli kodun məqsədi və mümkün təsiri
Zərərli kod icazəsiz giriş, məlumat oğurluğu, işin pozulması və ya izləmə üçün qəsdən hazırlanmış proqram, skript və ya kod fraqmentidir; təsadüfi proqram xətasından fərqlənir. Virus başqa fayla bağlanıb onunla yayıla, qurd şəbəkədə özünü çoxalda, troyan zərərsiz proqram kimi görünə, məntiq bombası isə şərt yerinə yetəndə işə düşə bilər. Məlumat oğurlayan proqram (infostealer) parolları və brauzer məlumatını toplayır; fidyə proqramı (ransomware) faylları şifrələyə və oğurlanmış məlumatı yaymaqla hədələyə bilər; silici proqram (wiper) məlumatı məhv edir. Casus proqram ekranı və düymə basmalarını qeydə ala bilər. Botnet ələ keçirilmiş cihazları birlikdə idarə edir, arxa qapı sonrakı gizli girişi təmin edir, cryptojacking isə kriptovalyuta hasilatı üçün hesablama resurslarından icazəsiz istifadədir.
Bootkit sistem başlamazdan əvvəl yüklənə bilər
Bootkit yüklənmə zəncirinin komponentini dəyişdirərək əməliyyat sistemi tam yüklənməmişdən əvvəl icra oluna bilər. Köhnə BIOS sistemində hədəf MBR ola bilər; UEFI sistemində isə EFI bölməsi və ya firmware araşdırılır. TDL4 köhnə BIOS sisteminin əsas yüklənmə qeydində (MBR), LoJax isə UEFI mikroproqramında yerləşən nümunələrdir; yerləşmə üsulları fərqlidir. Buna görə əməliyyat sistemi daxilindəki adi skan yetərli olmaya bilər, amma hər bootkit hər sistemdə işləyir və ya sistemin yenidən qurulmasından mütləq sağ çıxır demək olmaz. Etibarlı sistemdən kənar skan, istehsalçı yeniləmələri və mütəxəssis məsləhəti ilə yoxlayın; firmware-i özbaşına yenidən yazmayın.
Botnet mərkəzi və ya paylanmış idarə oluna bilər
Botnet zərərli proqramla ələ keçirilmiş və uzaqdan idarə edilən cihazlar şəbəkəsidir. Mərkəzi komanda-idarəetmə serveri olan quruluşu idarə etmək asandır, lakin həmin mərkəzə müdaxilə bütün şəbəkəni poza bilər; bərabərhüquqlu (peer-to-peer) modeldə cihazlar məlumatı bir-birinə ötürür və tək nəzarət nöqtəsi yoxdur. İstifadə məqsədlərinə DDoS, spam, məlumat oğurluğu və maliyyə fırıldağı daxildir; Mirai-nin IoT cihazlarından DDoS üçün istifadəsi, Zeus-un isə bank məlumatlarını oğurlamaqla tanınması fərqli məqsədlərə nümunədir. Gözlənilməz çıxış trafiki, tanış olmayan xarici ünvanlara təkrarlanan əlaqə, yüksək CPU istifadəsi və icazəsiz proseslər araşdırılmalı siqnallardır.
Keylogger məlumatı proqramla və ya fiziki qurğu ilə toplaya bilər
Keylogger klaviaturada yazılanları qeydə alan proqram və ya qurğudur. Proqram variantı düymə basmalarını, bəzən ekran görüntüsü və mübadilə buferini də toplayıb saxlaya və ya ötürə bilər. Fiziki variant klaviatura ilə kompüter arasında yerləşə və ya klaviaturaya quraşdırıla bilər; proqram skanı fiziki baxışı əvəz etmir. Şübhəli prosesləri və çıxış əlaqələrini yoxlayın, port və kabelləri nəzərdən keçirin. Proqram və ya qurğu aşkar edilərsə, sübutu qoruyun, təhlükəsizlik komandasına bildirin, parolları başqa etibarlı cihazdan dəyişin və təsirlənmiş sessiyaları ləğv edin. Təşkilatın klaviatura monitorinqi üçün səlahiyyət, şəffaflıq və tətbiq olunan hüquqi tələblər ayrıca yoxlanmalıdır.
Yayılma yolunu tapın və təhlükəni məhdudlaşdırın
Zərərli kod fişinq əlavəsi və linkdən, saxta proqram yeniləməsindən, zəiflikdən, USB daşıyıcısından, təchizatçı yeniləməsindən və ya reklam zəncirindən daxil ola bilər. Zərərli reklam yayılması (malvertising) reklamı legitim sayt və reklam şəbəkələrinə çatdıraraq yönləndirmə, saxta xəbərdarlıq və ya istismar cəhdi yarada bilər; hər reklam və ya iframe zərərli deyil. Cavab planına uyğun olaraq şübhəli cihazın şəbəkə girişini məhdudlaşdırın, hadisə jurnalını qoruyun və təhlükəsizlik qrupuna ötürün. Yeniləmələri və tətbiqləri etibarlı mənbədən alın, lazımsız makro və hüquqları məhdudlaşdırın, e-poçt və veb siyasətlərini tətbiq edin, seqmentləşdirin və bərpanı sınaqdan keçirilmiş ehtiyat nüsxələrlə yoxlayın.