بدافزار و انواع آن

چرا دسته بندی به رفتار، نه به اسم

اسم هایی که همه شنیده اند، ویروس و کرم و تروجان، درباره یک چیز حرف می زنند: اینکه برنامه چطور وارد شده و چطور پخش می شود. ویروس خودش را به یک فایل دیگر می چسباند و با آن جابه جا می شود. کرم بدون کمک آدم از یک دستگاه به دستگاه بعد می رود. تروجان اصلا پخش نمی شود؛ خودش را چیز مفیدی جا می زند و شما دعوتش می کنید.

این اسم ها به شما نمی گویند وقتی آلوده شدید چه می بینید و چه باید بکنید. آن را رفتار می گوید: رمز کردن فایل ها، خواندن آنچه تایپ می کنید، باز نگه داشتن یک در، مصرف پردازنده برای استخراج ارز، یا فقط نمایش تبلیغات.

و یک واقعیت که این دسته بندی را از تمرین کلاسی جدا می کند: یک نمونه امروزی معمولا چند تای اینها با هم است. چیزی که مثل تروجان وارد می شود، در را برای بعدی باز می کند، رمزها را جمع می کند و اگر ارزشش را داشته باشد آخر سر فایل ها را هم رمز می کند. پس سوال «این کدام نوع است» تقریبا هیچ وقت سوال مفیدی نیست.

سوال مفید این است: چه چیزی از دست می رود و چه چیزی جلویش را می گیرد؟ اگر جواب «فایل های من» باشد، دفاعش نسخه پشتیبان است. اگر جواب «رمزهای من» باشد، دفاعش تایید دو مرحله ای و عوض کردن رمزها از یک دستگاه دیگر است. اگر جواب «کنترل سایتم» باشد، دفاعش جای دیگری است که در بخش پنجم می آید. همین درس هم بر همین اساس چیده شده.

هفت رفتار، هر کدام با نشانه ای که لو می دهد

هفت رفتاری که تقریبا هر چیزی در آنها جا می شود. برای هر کدام یک جمله درباره کاری که می کند و یک نشانه که کاربر عادی می تواند ببیند.

ویروس. خودش را به فایل های دیگر می چسباند. نشانه اش امروز کم رنگ شده و بیشتر در قالب برنامه هایی دیده می شود که رفتارشان عوض شده یا خطای عجیب می دهند.

کرم. بدون دخالت آدم از دستگاهی به دستگاه دیگر می رود، معمولا در یک شبکه. نشانه اش را بیشتر مدیر شبکه می بیند تا کاربر: ترافیک داخلی که دلیلی ندارد.

تروجان. خودش را برنامه ای مفید جا می زند. نشانه اش همان لحظه نصب است: چیزی که برای کاری ساده، دسترسی هایی می خواهد که به آن کار ربط ندارد.

باج افزار. فایل ها را رمز می کند و برای کلید پول می خواهد. نشانه اش گم شدنی نیست: فایل هایی که باز نمی شوند و پسوندشان عوض شده، و یک متن که دستور پرداخت می دهد.

جاسوس افزار. تماشا می کند و می فرستد: آنچه تایپ می کنید، آنچه در مرورگر ذخیره کرده اید، گاهی صفحه نمایش. بی نشانه ترین دسته است و همین خطرناکش می کند؛ تنها اثر غیرمستقیمش ورودهای ناآشنا به حساب های شماست.

تبلیغ افزار. تبلیغ نشان می دهد و رفتار مرورگر را عوض می کند. نشانه اش واضح است: صفحه شروع و موتور جستجویی که خودتان انتخاب نکرده اید، و افزونه هایی که یادتان نمی آید نصبشان کرده باشید.

ماینر. از پردازنده شما برای استخراج ارز استفاده می کند. نشانه اش فیزیکی است: فن که بی دلیل کار می کند، دستگاه که داغ است و باتری که زود تمام می شود، در حالی که هیچ برنامه سنگینی باز نیست.

یک دسته هشتم هم هست که اسم مشترکی ندارد و برای کسی که سایت دارد از همه مهم تر است: در پشتی، یعنی فایلی که فقط برای این وجود دارد که کسی دوباره بتواند وارد شود. بخش پنجم درباره همان است.

باج افزار: چرا جواب واقعی نسخه پشتیبان است

باج افزار از بقیه فرق دارد چون چیزی نمی دزدد؛ دسترسی شما را می گیرد. فایل ها سر جایشان هستند و باز نمی شوند. و درست به همین دلیل، تنها دسته ای است که یک دفاع کاملا مشخص دارد و آن دفاع فنی نیست، عملیاتی است: داشتن یک نسخه دیگر از همان فایل ها.

اول تکلیف پرداخت را روشن کنیم، چون همه اول همین را می پرسند. پرداخت هیچ تضمینی ندارد؛ چیزی که می خرید یک وعده است از کسی که همین حالا هم به شما دروغ گفته. حتی وقتی کلید بیاید، بازگرداندن همیشه کامل نیست. و در بسیاری از کشورها پرداخت به چنین گروه هایی خودش تبعات قانونی دارد؛ این جمله را کلی می گوییم چون قوانین فرق دارند و ما مشاور حقوقی نیستیم. حرف عملی ما این است: پرداخت آخرین گزینه است و اگر نسخه پشتیبان درست داشته باشید، اصلا وارد این بحث نمی شوید.

حالا سوال اصلی: چه نسخه پشتیبانی از باج افزار جان سالم به در می برد؟ چون خیلی از آنچه مردم بکاپ می نامند، دقیقا همراه اصل رمز می شود.

سه خاصیت لازم است. اول، نسخه باید جایی باشد که بدافزار نتواند رویش بنویسد. یک هارد که دائم به کامپیوتر وصل است، یک درایو شبکه که همیشه سوار شده، یا یک پوشه همگام شونده، هر سه در دسترس همان برنامه ای هستند که فایل های شما را رمز می کند. دوم، باید نسخه های قدیمی نگه داشته شود. همگام سازی به تنهایی بکاپ نیست: وقتی فایل رمز شده جای فایل سالم را می گیرد، سرویس همگام سازی همان نسخه رمز شده را وفادارانه به همه جا می برد. چیزی که نجات می دهد، تاریخچه نسخه هاست. سوم، باید یک بار واقعا بازگردانی شده باشد. نسخه پشتیبانی که هرگز امتحان نشده، یک فرض است نه یک نسخه پشتیبان.

روش عملی ساختن چنین چیزی، با جزئیات و ابزار، در مسیر مبانی کامپیوتر درس جداگانه ای دارد و اینجا تکرارش نمی کنیم. فقط یک جمله اش را می آوریم چون مستقیم به این درس مربوط است: نسخه پشتیبانی که خودش را ثابت نکرده، فقط یک ادعاست.

بدافزار واقعا از کجا می آید

تصور رایج این است که آلودگی از یک سایت مشکوک می آید که آدم اشتباهی بازش کرده. در عمل، تقریبا همیشه یک قدم انسانی وسط است و آن قدم را خود کاربر برداشته، چون به نظرش منطقی می آمده.

چهار مسیر، تقریبا همه ماجرا را پوشش می دهند. اول، ضمیمه ایمیل: فایلی که ادعا می کند فاکتور یا رزومه یا حکم است. نشانه اش معمولا درخواستی است که فایل بعد از باز شدن می کند، مثل فعال کردن ویرایش یا اجازه اجرای محتوا. اگر یک فاکتور برای نمایش شدنش به اجازه اجرا احتیاج دارد، آن فاکتور نیست.

دوم، نرم افزار قفل شکسته و نصب کننده بازبسته بندی شده. اینجا کسی داخل فایل دست برده تا قفل را دور بزند، و شما نمی دانید فقط قفل را دستکاری کرده یا چیز دیگری هم اضافه کرده. این مسیر در ایران به دلیل محدودیت پرداخت پررنگ تر است و مسیر مبانی کامپیوتر درسی دارد که کامل بازش می کند.

سوم، به روزرسانی جعلی. صفحه ای که می گوید مرورگر یا فلش پلیر شما قدیمی است و باید فایل پیشنهادی را نصب کنید. قاعده ای که این مسیر را کامل می بندد ساده است: به روزرسانی واقعی هیچ وقت از یک صفحه وب نمی آید. مرورگر و سیستم عامل خودشان به روز می شوند، از داخل خودشان.

چهارم، افزونه مرورگر. کم گفته می شود و اثرش زیاد است: یک افزونه اجازه دارد محتوای هر صفحه ای را که باز می کنید بخواند و تغییر بدهد. افزونه ای که دست به دست شده یا مالکش عوض شده، یکی از تمیزترین راه های تماشا کردن است.

و یک مسیر پنجم که فقط به صاحبان سایت مربوط است: فایلی که یک نفر ناشناس روی سایت شما آپلود می کند. بخش بعد درباره همان است.

روی یک سایت، بدافزار چه شکلی است

روی یک سایت، بدافزار معمولا شکل یک فایل ساده را دارد که یک کار می کند: به هر کسی که آدرسش را بداند اجازه می دهد دستور اجرا کند. اسم عمومی اش در پشتی است و ارزشش برای مهاجم این است که حتی بعد از عوض کردن همه رمزها، همچنان کار می کند. برای همین است که پاک کردن یک فایل ناشناس و ادامه دادن، معمولا جواب نمی دهد.

حالا نکته ای که تمام این بخش را جمع می کند: چنین فایلی باید در جایی بنشیند که سرور حاضر باشد اجرایش کند. و در یک سایت، آن جاها انگشت شمارند. تنها پوشه هایی که یک بازدیدکننده می تواند باعث نوشته شدن فایل در آنها شود، همان هایی هستند که برای آپلود و کش ساخته شده اند. یعنی مساله از «چطور فایل بد را تشخیص بدهیم» تبدیل می شود به یک سوال خیلی ساده تر: آیا پوشه ای که غریبه ها در آن می نویسند، اجازه اجرای کد دارد؟

جواب درست، نه است، و این یک تنظیم چند خطی روی وب سرور است، نه یک محصول امنیتی. همان جایی که فایل های آپلود شده می نشینند باید فقط بتواند فایل تحویل بدهد و نه اجرا کند. کارهای دیگری هم لازم است، مثل بررسی محتوای واقعی فایل هنگام آپلود به جای اعتماد به پسوندش، ولی آن یکی خط دفاعی است که حتی وقتی بقیه شکست بخورند، باز هم سر جایش می ماند.

و اگر روزی روی سایتی که اداره می کنید فایل ناآشنایی پیدا کردید، ترتیب کار این است: اول فرض کنید تنها فایل نیست، بعد سایت را از روی نسخه پشتیبانی که تاریخش قبل از ماجراست بازگردانید، بعد همه رمزها و کلیدها را از یک دستگاه دیگر عوض کنید، و آخر از همه دنبال این بگردید که از کجا وارد شده. اگر آن قدم آخر را رها کنید، همان اتفاق دوباره می افتد. سمت خدماتی این کار در صفحه امنیت سایت است و نشانه های اینکه سایت آلوده شده در نشانه های هک شدن سایت فهرست شده اند.

شک دارید آلوده شده اید؛ به ترتیب چه کار کنید

اولین کاری که اکثر مردم می کنند، اشتباه ترین است: از همان دستگاه وارد ایمیل و بانک می شوند تا ببینند اوضاع مرتب است. اگر واقعا چیزی روی دستگاه باشد، شما تازه به آن یک دور اطلاعات تازه دادید.

ترتیب درست این است. دستگاه را از اینترنت جدا کنید تا هرچه هست نتواند چیزی بفرستد یا چیز تازه ای بگیرد. بعد از یک دستگاه دیگر، که مطمئنید سالم است، رمز ایمیل اصلی را عوض کنید و بعد بقیه حساب های مهم را، و در همان تنظیمات جلسه های فعال را ببندید. تا این قدم، هنوز به خود دستگاه دست نزده اید و همین درست است: نجات حساب ها فوری تر از تمیز کردن دستگاه است.

بعد نوبت خود دستگاه است، و اینجا یک جواب صادقانه داریم که خوشایند نیست. اسکن با یک ابزار خوب و پاک کردن آنچه پیدا می شود، برای موارد ساده کافی است. ولی وقتی چیزی جدی روی دستگاه بوده، هیچ ابزاری نمی تواند قول بدهد همه چیز رفته، چون همان چیزی که پنهان شده بود، در پنهان ماندن مهارت داشته. برای دستگاهی که کار و پول از آن رد می شود، نصب تازه سیستم عامل و برگرداندن فایل ها از نسخه پشتیبان، جواب مطمئن تری است از هر اسکن.

و یک کار که همه فراموش می کنند: بعد از تمیز شدن، رمزها را دوباره عوض کنید. رمزهایی که در فاصله آلودگی تایپ شده اند، حتی رمزهای تازه ای که همان وسط ساخته اید، دیگر قابل اعتماد نیستند.