Главная мысль
Считайте неожиданные объявления и изменения браузера поводом выяснить причину. Проверьте подозрительное приложение надёжным средством защиты, обновляйте устройство и приложения, сохраняйте резервные копии данных.
Что такое вредоносная программа
Вредоносная программа предназначена для нарушения работы устройства или сети, кражи данных, получения несанкционированного доступа либо других вредоносных действий. Вирус прикрепляется к файлам, а сетевой червь может распространяться автоматически. Троян маскируется под легальную программу; шпионское ПО собирает данные, вредоносный кейлоггер записывает нажатия клавиш, вымогательское ПО может сделать файлы недоступными, а рекламное ПО показывает объявления ради дохода. Запись нажатий клавиш сама по себе не всегда вредоносна. Программа, показывающая рекламу, также не обязательно является вредоносной. Эти виды поведения могут сочетаться на одном устройстве. Scareware показывает пугающие предупреждения, чтобы побудить пользователя купить или установить поддельную защиту либо передать данные и удалённый доступ якобы специалисту поддержки. Это прежде всего мошенничество с использованием социальной инженерии; поддельная программа может установить отдельную вредоносную нагрузку.
Как работает рекламное ПО
Рекламное ПО обычно показывает объявления в приложении или браузере. Некоторые приложения делают это открыто; более навязчивые программы становятся проблемой, если согласие при установке неясно, реклама появляется поверх посторонних страниц или отслеживается работа в браузере. Сбор данных может использоваться для подбора объявлений. Несанкционированная установка, чрезмерный сбор данных и переходы на опасные сайты повышают риск, однако не всякая программа с рекламой автоматически является вредоносной или незаконной.
Пути распространения
Вредоносное ПО может попасть на устройство вместе с бесплатной или пиратской программой, с ненадёжного сайта, через поддельное приложение или расширение браузера. Его также распространяют через вложения и ссылки в письмах, обманную рекламу, фишинговые сообщения, неизвестные USB-накопители и эксплуатацию уязвимостей. Знакомое название или оформление файла не подтверждает его безопасность: проверяйте источник отдельно.
Возможные последствия для устройства
Рекламное ПО может вызывать всплывающие окна и перенаправления, менять домашнюю страницу или поисковую систему, добавлять незнакомые панели, замедлять устройство и увеличивать расход трафика. Некоторые варианты собирают историю просмотров и другие сведения, подключают нежелательные услуги или открывают путь другому вредоносному ПО. Такие признаки бывают и при обычных сбоях; каждый из них по отдельности не доказывает заражение.
Что делать при подозрении
Не нажимайте кнопки во всплывающих окнах и прекратите использовать незнакомые расширения. Если это рабочее устройство, сообщите IT-службе или службе безопасности: проверку и удаление проводите по их указаниям, сохранив относящиеся к инциденту записи до очистки. На личном устройстве запустите полную проверку надёжным обновлённым средством защиты, сохраните результат и поместите обнаруженную программу в карантин либо удалите её. Проверьте расширения браузера, разрешения на уведомления и настройки главной страницы. Не звоните по поддельному номеру поддержки и не предоставляйте удалённый доступ; если вы передали данные карты или аккаунта, свяжитесь с банком или поставщиком услуги по официальному каналу.
Осторожная очистка
Удаляйте приложение, предварительно проверив его название и источник: некоторые нежелательные программы пытаются установиться повторно. Используйте системные средства управления приложениями и настройки самого браузера. Не удаляйте системные папки по случайной интернет-инструкции и не загружайте неизвестные «чистильщики». Ручная очистка может затронуть системные файлы; при отсутствии опыта используйте средство защиты или профессиональную поддержку.
Снизьте риск заражения
Обновляйте операционную систему, браузер и приложения; загружайте программы из официального магазина или с сайта известного издателя. Внимательно читайте предложения и разрешения при установке. Проверяйте неожиданное письмо или вложение через другой канал связи с отправителем. Поддерживайте средство защиты в актуальном состоянии, включите сетевой экран и регулярно создавайте резервные копии важных файлов, из которых можно восстановить данные.
Виды вредоносного ПО и связанные понятия
Вредоносные программы различаются по способу распространения и выполняемым действиям. Один инцидент может сочетать несколько видов; ботнет при этом обозначает сеть заражённых устройств под общим управлением. Термин «бесфайловый» чаще описывает исполнение в памяти или через штатные инструменты системы, а не отдельное семейство. При выявлении сопоставляйте журналы конечного устройства, изменения процессов и файлов, сетевые соединения и хронологию инцидента. Электронная почта, веб, съёмный USB-носитель и уязвимость программы — разные пути проникновения; сохраняйте соответствующие записи по каждому из них.
Вирус
Присоединяется к файлу или программе и может размножаться при их запуске. Например, заражённый документ может содержать вредоносный макрос, способный размножаться; такой макрос запускается, если его выполнение разрешено. Само наличие макроса в документе ещё не означает, что это вирус.
Червь
Может распространяться по сети, не заражая другой файл для своего размножения. ILOVEYOU — исторический пример червя, распространявшегося через вложения электронной почты в 2000 году.
Троян
Маскируется под надёжную программу и побуждает пользователя запустить её; может красть данные, открывать скрытый доступ или загружать другое вредоносное ПО.
Вымогательское ПО
Шифрует файлы или ограничивает доступ к системе, требуя плату за восстановление. WannaCry — пример, затронувший системы Windows в 2017 году.
Шпионское ПО
Скрытно отслеживает действия пользователя и собирает сведения; вредоносный кейлоггер может быть шпионским ПО, записывающим нажатия клавиш.
Рекламное ПО
Показывает рекламу в приложении или браузере. При неожиданных перенаправлениях, чрезмерном отслеживании или установке без согласия проверьте источник и разрешения.
Руткит
Набор инструментов или файлов, предназначенный для сокрытия привилегированного доступа и сохранения присутствия атакующего. Может затрагивать ядро, загрузочную цепочку или прошивку.
Ботнет
Сеть заражённых устройств под управлением злоумышленника; её могут использовать для рассылки спама, майнинга криптовалюты или DDoS-атак. Mirai в 2016 году заражал IoT-устройства.
Полиморфное вредоносное ПО: код меняется, поведение сохраняется
Полиморфное вредоносное ПО может изменять представление своего кода в новых копиях, например менять ключ шифрования или способ упаковки, сохраняя вредоносную функцию. Это может затруднять обнаружение по известной сигнатуре файла, но не делает каждый образец полностью уникальным или неуловимым. Шифрование и обфускация затрудняют статический анализ. Если программа распознаёт изолированную среду анализа — песочницу, она может изменить своё поведение.
Сигнатура и поведение
Известные сигнатуры помогают распознавать прежние образцы. Параллельно анализируют поведение процессов, изменения файлов и реестра, сетевые соединения и то, от имени какой учётной записи выполнялись действия.
Среда анализа
Не открывайте подозрительный образец на обычном устройстве. Подготовленные аналитики могут исследовать его в изолированной лаборатории и сопоставить поведение с журналами конечных устройств и сети.
Многоуровневое выявление
Дополняйте сигнатурную проверку обновлениями, контролем приложений, ограничением прав, анализом подозрительного поведения и проверкой причин срабатывания оповещений. Каждый метод даёт отдельные признаки, которые должен оценить аналитик.
Где может находиться руткит?
Руткит предназначен для сокрытия привилегированного доступа и сохранения присутствия атакующего в системе. Название не означает, что он обязательно установлен из-под учётной записи root. Место размещения влияет на расследование и восстановление; при подозрении не считайте обычную антивирусную проверку окончательным подтверждением чистоты.
Система и ядро
Вариант на уровне ядра может изменять системные вызовы и драйверы, скрывая процессы и файлы. Он может сочетаться с повышением привилегий или скрытым доступом.
Диск и системные файлы
Такие варианты могут скрывать файлы ОС или системную конфигурацию, изменяя то, что показывают штатные средства. При расследовании можно проверить систему после загрузки из доверенной среды и оценить целостность файлов.
Работающий в памяти
Код, работающий в памяти, может не сохранять постоянный файл на диске. При расследовании важны снимок памяти и данные, собранные с работающей системы.
Цепочка загрузки
Буткит может затрагивать загрузчик, MBR или этап загрузки UEFI. Поскольку он запускается до операционной системы, проверки только из работающей ОС может быть недостаточно.
Слой виртуализации
Теоретические и специализированные варианты руткитов могут нацеливаться на гипервизор или монитор виртуальных машин. Этот привилегированный слой способен наблюдать за гостевой ОС, поэтому расследование должно учитывать доверие к гипервизору.
Прошивка
Руткит в прошивке может сохраняться после перезагрузки ОС. Для восстановления могут потребоваться доверенные инструменты производителя и экспертная проверка.
Частые вопросы
Ответы помогут распознать рекламное ПО, безопасно очистить устройство и снизить риск повторной установки.
Что такое рекламное ПО и как оно влияет на компьютер?
Это программа, показывающая рекламу. Нежелательные варианты могут открывать всплывающие окна, замедлять устройство, менять настройки браузера и в некоторых случаях собирать историю просмотров.
Как удалить рекламное ПО?
На личном устройстве запустите полную проверку надёжным обновлённым средством защиты, сохраните результат и отправьте обнаруженное в карантин либо удалите. Удалите незнакомые расширения и проверьте домашнюю страницу и разрешения на уведомления. На рабочем устройстве сначала сообщите IT-службе или службе безопасности; сохраните записи и проводите проверку и удаление по их указаниям.
Можно ли удалить его вручную без антивируса?
Иногда можно удалить приложение и расширение средствами самой системы. Ручные изменения могут затронуть системные файлы; если вы не уверены, используйте средство защиты или обратитесь за квалифицированной помощью.
Как предотвратить установку рекламного ПО?
Загружайте программы из официального магазина или от известного издателя, внимательно читайте предложения при установке, осторожно открывайте неожиданные вложения и обновляйте систему и средство защиты.
Каковы признаки рекламного ПО?
Обратите внимание на неожиданные всплывающие объявления и перенаправления, замедление, незнакомые панели инструментов и изменённые настройки браузера. У этих признаков бывают и другие причины; сами по себе они не доказывают заражение.