Zararlı yazılım ve türleri

Neden ada göre değil davranışa göre ayırmalı

Herkesin duyduğu adlar, virüs, solucan ve truva atı, hepsi tek bir şeyden söz eder: programın nasıl girdiği ve nasıl yayıldığı. Virüs kendini başka bir dosyaya iliştirir ve onunla yolculuk eder. Solucan insan yardımı olmadan bir makineden ötekine geçer. Truva atı ise hiç yayılmaz; yararlı bir şey gibi görünür ve onu siz içeri davet edersiniz.

Bu adlar, bulaştıktan sonra ne göreceğinizi ya da ne yapmanız gerektiğini söylemez. Bunu davranış söyler: dosyalarınızı şifrelemek, yazdıklarınızı okumak, bir kapıyı açık tutmak, para kazmak için işlemcinizi yakmak ya da yalnızca reklam göstermek.

Ve bir olgu bu sınıflandırmayı bir sınıf alıştırmasından ayırır: günümüz örneği genelde bunlardan birkaçı birden olur. Truva atı gibi giren şey bir sonraki için kapıyı açık tutar, parolaları toplar ve zahmete değiyorsa sonunda dosyaları da şifreler. Yani bu hangi tür sorusu neredeyse hiçbir zaman yararlı bir soru değildir.

Yararlı soru şudur: ne kaybediliyor ve onu ne engelliyor? Cevap dosyalarımsa savunma yedeklerdir. Cevap parolalarımsa savunma iki adımlı doğrulama ve parolaları başka bir cihazdan değiştirmektir. Cevap sitemin denetimiyse savunma başka bir yerde yaşar ve beşinci bölümde gelir. Bu ders tam da bu temele göre dizilmiştir.

Yedi davranış, her biri ele veren belirtisiyle

Neredeyse her şeyin içine sığdığı yedi davranış. Her biri için ne yaptığına dair bir cümle ve sıradan bir kullanıcının gerçekten görebileceği bir belirti.

Virüs. Kendini başka dosyalara iliştirir. Belirtisi bugün soldu ve çoğunlukla davranışı değişen ya da tuhaf hatalar veren programlar olarak görünür.

Solucan. İnsan müdahalesi olmadan makineden makineye geçer, genelde bir ağın içinde. Belirtisini kullanıcıdan çok ağ yöneticisi görür: var olmak için hiçbir sebebi olmayan iç trafik.

Truva atı. Yararlı bir program gibi görünür. Belirtisi kurulum anıdır: basit bir iş için, o işle ilgisi olmayan izinler isteyen bir şey.

Fidye yazılımı. Dosyaları şifreler ve anahtar için para ister. Belirtisi kaçırılamaz: açılmayan ve uzantısı değişmiş dosyalar, artı ödeme talimatı veren bir not.

Casus yazılım. İzler ve gönderir: yazdıklarınızı, tarayıcınızın kaydettiklerini, bazen ekranı. En az görünen kategoridir ve onu tehlikeli kılan da budur; tek dolaylı izi hesaplarınızdaki tanıdık olmayan girişlerdir.

Reklam yazılımı. Reklam gösterir ve tarayıcı davranışını değiştirir. Belirtisi açıktır: seçmediğiniz bir başlangıç sayfası ve arama motoru, kurduğunuzu hatırlamadığınız eklentiler.

Madenci. Para kazmak için işlemcinizi kullanır. Belirtisi fizikseldir: sebepsiz çalışan bir fan, ısınan bir cihaz ve hiçbir ağır şey açık değilken hızla biten bir pil.

Ortak bir adı olmayan sekizinci bir kategori daha var ve bir site işleten herkes için bunların hepsinden önemlidir: arka kapı; birinin yeniden içeri girebilmesinden başka hiçbir amacı olmayan bir dosya. Beşinci bölüm tam olarak bunu anlatıyor.

Fidye yazılımı: gerçek cevap neden yedektir

Fidye yazılımı diğerlerinden ayrılır, çünkü hiçbir şey çalmaz; erişiminizi alır. Dosyalar hala oradadır ve açılmaz. Ve tam da bu yüzden, açıkça tanımlanmış tek bir savunması olan tek kategoridir ve o savunma teknik değil operasyoneldir: aynı dosyaların başka bir kopyasına sahip olmak.

Önce ödeme meselesini kapatalım, çünkü herkes önce onu sorar. Ödemek hiçbir şey garanti etmez; satın aldığınız şey size zaten yalan söylemiş birinin verdiği bir sözdür. Bir anahtar gelse bile geri yükleme nadiren tamamdır. Ve pek çok ülkede böyle gruplara ödeme yapmanın kendi hukuki sonuçları vardır; bunu genel olarak söylüyoruz, çünkü yasalar farklıdır ve biz hukuk danışmanı değiliz. Pratik görüşümüz: ödemek son seçenektir ve düzgün bir yedeğiniz varsa bu tartışmaya hiç girmezsiniz.

Şimdi asıl soru: hangi yedek fidye yazılımından sağ çıkar? Çünkü insanların yedek dediği şeyin çoğu, aslın yanı başında şifrelenir.

Üç özellik gerekir. Birincisi, kopya zararlı yazılımın yazamayacağı bir yerde durmalı. Bilgisayara sürekli takılı bir disk, hep bağlı bir ağ paylaşımı ya da eşitlenen bir klasör; üçü de dosyalarınızı şifreleyen programın erişebildiği yerlerdir. İkincisi, eski sürümler saklanmalı. Eşitleme tek başına yedek değildir: şifreli dosya sağlam olanın yerine geçtiğinde eşitleme hizmeti o şifreli sürümü sadakatle her yere taşır. Sizi kurtaran şey sürüm geçmişidir. Üçüncüsü, en az bir kez gerçekten geri yüklenmiş olmalı. Hiç denenmemiş bir yedek bir varsayımdır, yedek değil.

Böyle bir şeyin pratikte nasıl kurulacağı, araçları ve ayrıntılarıyla, bilgisayar temelleri izleğinde kendi dersinde ve burada tekrarlamayacağız. Ondan tek bir cümle ödünç alıyoruz, çünkü doğrudan bu dersi ilgilendiriyor: kendini kanıtlamamış bir yedek yalnızca bir iddiadır.

Zararlı yazılım gerçekte nereden gelir

Yaygın tablo, bulaşmanın yanlışlıkla açılan şüpheli bir siteden geldiğidir. Uygulamada ortada neredeyse her zaman bir insan adımı vardır ve kullanıcı o adımı, o an makul göründüğü için atmıştır.

Dört yol bunun neredeyse tamamını kapsar. Birincisi, e-posta eki: fatura, özgeçmiş ya da resmi bir bildirim olduğunu iddia eden bir dosya. İpucu genelde dosyanın açıldıktan sonra istediği şeydir; düzenlemeyi etkinleştirmek ya da içeriğin çalışmasına izin vermek gibi. Bir faturanın görüntülenebilmek için bir şeyi çalıştırma izni gerekiyorsa o fatura değildir.

İkincisi, kırılmış yazılım ve yeniden paketlenmiş kurulum dosyaları. Biri lisansı aşmak için dosyanın içine girmiştir ve siz yalnızca lisansa mı dokundu yoksa başka bir şey mi ekledi bilmezsiniz. Bu yol, ödeme kısıtları yüzünden İranda daha ağır basar ve bilgisayar temelleri izleğinde onu bütünüyle açan bir ders var.

Üçüncüsü, sahte güncelleme. Tarayıcınızın ya da medya oynatıcınızın eski olduğunu ve sunduğu dosyayı kurmanız gerektiğini söyleyen bir sayfa. Tek bir kural bu yolu tamamen kapatır: gerçek güncelleme asla bir web sayfasından gelmez. Tarayıcılar ve işletim sistemleri kendilerini kendi içlerinden günceller.

Dördüncüsü, tarayıcı eklentisi. Çok az söylenir ve erişimi büyüktür: bir eklentinin açtığınız her sayfanın içeriğini okuma ve değiştirme izni vardır. Elden ele dolaşmış ya da sahibi değişmiş bir eklenti, birini izlemenin en temiz yollarından biridir.

Ve yalnızca site sahiplerini ilgilendiren beşinci bir yol: bir yabancının sitenize yüklediği dosya. Bir sonraki bölüm bunu anlatıyor.

Bir web sitesinde zararlı yazılım neye benzer

Bir web sitesinde zararlı yazılım genelde tek bir iş yapan küçük bir dosya biçimini alır: adresini bilen herkesin komut çalıştırmasına izin verir. Genel adı arka kapıdır ve saldırgan için değeri, bütün parolalar değiştirildikten sonra bile çalışmaya devam etmesidir. Bu yüzden tanıdık olmayan bir dosyayı silip yola devam etmek genelde işe yaramaz.

Şimdi bu bölümün tamamını toplayan nokta: böyle bir dosyanın, sunucunun çalıştırmaya razı olduğu bir yerde durması gerekir. Bir web sitesinde ise o yerler azdır. Bir ziyaretçinin içine dosya yazılmasına yol açabileceği tek klasörler, yükleme ve önbellek için kurulmuş olanlardır. Bu da sorunu kötü bir dosyayı nasıl tanırızdan çok daha basit bir soruya çevirir: yabancıların yazdığı klasörün kod çalıştırma izni var mı?

Doğru cevap hayırdır ve bu bir güvenlik ürünü değil, birkaç satırlık web sunucusu yapılandırmasıdır. Yüklenen dosyaların indiği yer, bir dosyayı teslim edebilmeli ve fazlasını değil. Başka işler de gerekir; örneğin yükleme anında uzantısına güvenmek yerine dosyanın gerçek içeriğini kontrol etmek. Ama diğerleri düştüğünde bile ayakta kalan savunma hattı budur.

Ve bir gün işlettiğiniz bir sitede tanımadığınız bir dosya bulursanız sıra şudur: önce tek olmadığını varsayın, sonra siteyi olaydan önceki tarihli bir yedekten geri yükleyin, sonra bütün parolaları ve anahtarları başka bir cihazdan değiştirin ve en son nasıl girdiğini aramaya gidin. O son adımı atlarsanız aynı şey yeniden olur. Bu işin hizmet tarafı site güvenliği sayfasında ve bir sitenin ele geçirildiğine dair işaretler hacklenmiş site belirtileri yazısında listeli.

Bulaştığından şüpheleniyorsanız; sırayla ne yapmalı

Çoğu insanın yaptığı ilk şey en yanlışıdır: her şeyin yolunda olduğunu görmek için aynı cihazdan e-postaya ve bankacılığa girerler. Makinede gerçekten bir şey varsa ona az önce taze bir bilgi turu vermiş oldunuz.

Doğru sıra şudur. Cihazı internetten ayırın ki oradaki her ne varsa ne bir şey gönderebilsin ne de yeni bir şey çekebilsin. Sonra sağlam olduğundan emin olduğunuz başka bir cihazdan ana e-posta hesabının parolasını, ardından diğer önemli hesapların parolalarını değiştirin ve aynı ayarlarda etkin oturumları kapatın. Bu noktaya kadar cihazın kendisine dokunmadınız ve bu doğrudur: hesapları kurtarmak makineyi temizlemekten daha acildir.

Sonra sıra cihaza gelir ve burada hoş olmayan dürüst bir cevabımız var. İyi bir araçla tarayıp bulduğunu kaldırmak basit durumlar için yeterlidir. Ama bir makinede ciddi bir şey bulunduysa hiçbir araç her şeyin gittiğine söz veremez, çünkü saklanan şey saklanmakta ustaydı. İşin ve paranın içinden geçtiği bir cihaz için işletim sistemini yeniden kurmak ve dosyaları yedekten geri yüklemek, her taramadan daha güvenilir bir cevaptır.

Ve herkesin unuttuğu bir iş: temizlendikten sonra parolaları yeniden değiştirin. Bulaşma döneminde yazılan parolalar, o sırada oluşturduğunuz yenileri de dahil, artık güvenilir değildir.