Data virus och dess bekämpning

Transkript

1 Data virus och dess bekämpning Seminarieuppsats i kursen 6511: KN-seminarium vid Institutionen för informationsbehandling vid Åbo Akademi, november 2003 Jonatan Sandström Matematiska institutionen Åbo Akademi, FIN Åbo, Finland e-post: josandst@(nospam)abo.fi Klassificering enligt ACM-klass: D.4.6 Invasive software (e.g., viruses, worms, Trojan horses) Klassificering enligt ACM SIG: SIGSAC Abstrakt Denna artikel går först igenom olika datavirus och deras egenskaper. Som en andra del går artikeln in på hur man då skyddar sig mot dessa virus. Som en avslutning illustreras hur enkelt ett simpelt makrovirus skapas och hur man skyddar sig mot sådana virus.

2 1 Introduktion Datavirus är idag ett av de största hoten mot vårt kära datanätverk, Internet. De senaste två åren har datavirusens förekomst och omfattning ökat markant (se tabell 1). Att skriva ett förödande virus är inte heller längre en konst som endast de bästa programmerarna kan göra. Det har blivit mera av ett hyss som noviser även kan utföra med hjälp lite instruktioner från nätet. Dessa enkla virus är ofta minst lika förödande som ett väldigt invecklat virus. Ofta vet inte virusmakaren dock hur stor skada deras skapelse kommer att göra ekonomiskt och på andra sätt. Dessa enkla och allmänna virus kallas makrovirus, en noggrannare definition tas upp senare i uppsatsen. Ett datavirus kan oberoende om det är ett nytt och invecklat virus eller en enkel modifiering av ett gammalt vara till stor skada i dagens samhälle. Internet blir även mer och mer använt i väst-länderna inom så gott som varje yrke och blir viktigare och viktigare i våra liv. Det är därför av stor vikt att vi är medvetna om hur dessa virus som kan rubba hela vårt samhälle fungerar och hur vi skall bekämpa dem. Tabell som beskriver virusmängden genom åren.enligt ref Antal virus

3 2 Vad är ett datavirus? Det finns och har funnits lite olika definitioner på datavirus. Fred Cohen var den första att år 1983 använda namnet datorvirus så som vi idag populärt använder det, alltså att ett datavirus är ett program som mångfaldigar sig själv utan användarens tillstånd (5). Cohen var då studerande på the University of Southern California. Han kom på idèen om kod som är självproducerande och ur denna tanke föddes dagens datavirus. Ordet virus (som betyder gift på latin) var ett förslag av hans professor som snabbt märkte denna idés likhet med biologiska virus. (1 sid 3) Denna ide har ju idag gått så långt att vi använder medicinens ord infektion för att beskriva när ett virus har brutit ut i en dator, på samma sätt som ett virus far in i en kropp och där uppstår en infektion. Vid båda fallen så reagerar den infekterade inte som den skall i normala fall. Cohen hade även en egen definition, som gick ut på att alla program som är kapabla att självproducera sig är datorvirus. Denna definition har dock övergetts eftersom program som kompilatorer och editorer i så fall skulle kallas virus. Den allmänna definitionen enligt (1) är den som John Inglis skrev som i stort sett lyder; Ett virus är en bit kod med två karakteristiska drag: 1. programmet har en förmåga att "fästa" sig självt vid ett annat program. Detta innebär att viruset inte upptäcks vid en ytlig granskning av det system som har angripits. 2. förmåga att kopiera sig självt och "fästa" sig vid nya värdprogram och även vid vanliga datafiler o.s.v..på detta sätt sprider sig viruset och kan infektera. (enl1.3) Cohen ansåg dock inte att ett virus behöver vara elakt det kallas ett virus då det har egenskaperna 1 och 2. Denna tredje egenskap som oftast tas upp är att virusprogrammet har vissa oönskade effekter eller symtom. Dessa kan vara i stort sett vad som helst beroende på virusets upphovsmans intentioner. Exempel på förargliga effekter är mystiska meddelanden på dataskärmen. Exempel på mycket allvarligare effekter är att

4 information utraderas från datorsystemets minnesenheter. I denna uppsats kommer jag att använda de tre egenskaper som nämnts tidigare som karakteristiska drag och definition för ett virus. Förutom denna definition så kommer jag även att använda mig av det allmännare ordet malware som är ett gemensamt ord för alla program som utför skada. Cohen var den första att ha iden om ett virus men det tog några år innan det blev mera allmänt och övergick från teori till praktik. Det första egentliga PC-viruset i historien hette Brain, detta virus var ganska ofarligt men svårt att upptäcka. Brain-viruset upptäcktes ute på nätet första gången på Indelningen av virus Inom användandet av Unix existerar främst shellscript- och filvirus. PC-virusen delas dock in i makro-, bootsektor- och filvirus (4 s. 5, 7 s., 8.361). Makrovirusen är ett av de allmännaste virusen idag. I Microsofts Office arbetsmiljö stortrivs makrovirus. Microsofts Offices makro-programmeringsspråk (Visual Basic for Application) som finns i word och excel är tänkt som ett hjälpverktyg i arbetet. Detta hjälpverktyg fungerar även bra som hjälpverktyg inom virusprogrammering.. Själva word eller excel filen kan enkelt infekteras och infektionen sprids nästan lika enkelt vidare till en annan dator som öppnar word eller excel filen. Bootsektorvirusen är en av de äldsta typerna av virus som finns på en diskett eller hårdskiva i bootsektorn. Dessa virus är förödande men är dock ej så allmänna längre på grund av minskad diskettanvändnig. Disketter är nämligen det främsta sättet som detta sorts virus sprids på. Filvirus lägger sin kod till körbara filer (t.ex..exe och.com). Historiskt har filvirus spridit sig förhållandevis dåligt båda de tidigare nämnda virussorterna har spridit sig betydligt bättre. De filvirus som klarat sig en tid så har ofta klarat sig och spritt sig under en ganska lång tidsperiod(8.360). 2.2 Trojanska hästar Namnet på detta sorts malware härstammar från en grekisk saga utspelad i Troja. Troja var belägrad under tio år och blev sedan intagen genom ett nytt sorts vapen, en stor trähäst. Utan onda aningar släpper trojanerna in denna stora fina trähäst, detta visar sig dock vara deras stora misstag. Inne i hästen gömmer sig grekiska krigare som sedan klarar av att inta hela staden. En trojansk häst i datasammanhang är ett program som gör

5 något helt annat än användaren väntar sig att det skall göra. I vissa fall kan den även utföra det som användaren väntar sig att den skall utföra men utöver detta gör den även något som användaren inte väntat sig och inte heller velat att den skall utföra. Vanlig maskering är att utge sig för att vara något populärt program, typiskt är ett spel. Vad programmet visar sig göra är ofta dock någonting i stil med att tömma hårddisken eller att samla in alla lösenord den hittar i datorns minne. En trojansk häst är dock inte ett virus den har inte virusets egenskap att själv kunna sprida kopior av sig. De kan endast sprida och aktiveras med hjälp av användaren. En ganska typisk trojansk häst skapades och spreds på 1997 den hette AOL4FREE.COM. Detta program som påstod sig vara en gratis version av AOL raderade egentligen hela hårddisken. Trojanska hästar förekommer förhållandevis frekvent för dem som använder AOL. För att kunna använda AOL behöver man förstå förhållandevis lite av hur Internet är uppbyggt för att kunna använda nätet. AOL används därför ofta av nya användare, barn och folk som inte är datorkunniga. Trots sin oskyldighet blir de dock utsatta för ständiga attentat med motiveringen; Om hjälplösa AOL-användare inte lär sig att skydda sig så förtjänar de allt de lider på grund av det. (7.391) 2.3 Maskar Ordet datamask och dess användning har lika som viruset sitt ursprung från en idé i en science fiction novell The Shockwave skriven av John Brunner på En mask förväxlas ibland med ett virus men det finns klara skillnader. Maskar är inte skadliga förutom att de försämrar prestanda om man har en massa maskar som kryper runt i ens dator. Det farliga med dem är dock att de kan ta med passagerare som t.ex. kan vara ett virus. Den första masken historien var Morris -masken den skapades och spred sig på Denna mask påverkade hela Internet i flera dagar genom att den snabbt kopierade sig själv till tusentals maskiner. Maskar var svåra att skriva och förekom därför inte sedan 1988 så ofta. På 1999 så var dock maskarna tillbaka, maskarna var bl.a. Happy-99 och ExplorerZip. Happy-99 sprids mellan maskiner med Windows 95 och 98 med hjälp av e-post.

6 Idag delar man även in maskar i två sorters maskar e-post- och nätverksmaskar. E- postmaskarna färdas med hjälp av e-post och använder bl.a. personers adressböcker för att sprida sig vidare. Nätverksmaskar sprider sig överlag helt utan hjälp av e-post, den använder sig av olika säkerhetshål, buggar och dåligt konfigurerade program som är tänkta för övervakning. 2.4 Polymorfa virus De polymorfa virusen infekterar sitt offer med en modifikation eller en krypterad kopia av sig själv. Målet med modifikationen eller krypteringen är att anti-virusprogram inte skall klara av att hitta dem. För att hitta dessa virus krävs av ett anti-virusprogram att detta använder en mera avancerad algoritm än för mera vanliga virus. Det finns en hel del polymorfa virus i omlopp som ofta har blivit gjorda med speciella virus- toolkits som har funnits att fås på olika nät-anslagstavlor. En bulgarer som kallar sig Dark Avenger har skrivit det mest invecklade polymorfa viruset som skrivits hittills det heter MtE (Mutation Engine). 2.5 Skämt, hoax och övervakningsprogram Det finns en hel del skämtprogram på nätet som kan uppfattas virusliknande dessa är ofta dock helt ofarliga. Folk har lagat dem främst för att muntra upp vår vardag. Exempel på dessa är ett program som uppmanar en att trycka på en knapp men då man närmar sig knappen med musen så far knappen bara iväg. Ett annat exempel är ett program som lovar att utöka ens hårdvara med en muggställning och vad som händer är att CD-ROMstationen öppnas. Hoax är dock oftast mera besvärliga än dessa skämtvirus. Ett hoax är ett e-post som varnar för ett virus och uppmanar en att skicka vidare varningen till alla man känner. I varningsmailet ingår ofta också ett s.k. anti-virus program som dock är en trojansk häst. Dessa falska varningar som rädda användare sprider runt sig blir dock i sig dyra och farliga genom deras belastning av nätet förutom spridningen av trojanska hästar. Övervakningsprogram eller spionprogram är ett program som säljs kommersiellt idag. Detta program är lätt att missbruka dess egentliga användningsområde är dock för t.ex. föräldrar som är oroliga för vad deras barn gör på datorn. Om man installerar detta program på en dator så kan man från en annan dator observera allt som sker på datorn

7 man kan även ta reda på olika passord och vad som finns på hårddisken. En del övervakningsprogram kan man även använda kameror eller mikrofoner som finns på den drabbades dator. 3 Hur undviker man att bli smittad? Det finns många olika guider för att skydda sig mot virus med. En sak som alla dessa har gemensamt är att de inte är fullständiga guider, de har alla sina säkerhetsluckor. Det finns inget helt säkert sätt att skydda sig mot virus. Nya virus skapas varje dag, virusskaparen är alltid steget före virusbekämparen. Men i hopp om att få en förhållandevis säker mall för virusbekämpning och dämpa virusens spridning så sammanställer jag de viktigaste dragen i virusguiderna jag granskat. Dessa guider inkluderar F-Secures, Microsofts, Teknillinen KorkeaKoulus och Hakkerin Käsikrjas vilka även finns med i referenserna för hela denna artikel. Jag kommer även att diskutera denna guide i slutet av detta kapitel. Guiden är så långt som möjligt i viktighetsordning den första uppmaningen är den viktigaste o.s.v. 1. Brandvägg. En brandvägg är det första man borde installera innan man kopplar upp sig till Internet. Brandväggen kan vara hård- eller mjukvara och dess uppgift är att förhindra virus, maskar, krackers och andra från att tränga sig in i ens dator. Den granskar varje paket som sänts till datorn eller som vill komma in i datorn, den kollar sedan avsändarens adress är tillåten och utgående från denna granskning tillåtelse att komma in i datorn eller så ej. Man kan likna en brandvägg vid ett filter. Enligt [HKK] så är dock en brandvägg ofta överskattad man tror att man är helt säker bakom denna, det är man dock inte. Det är viktigt att man granskar vad brandväggen inte gör. 2. Antivirusprogram. Det andra man bör installera är ett antivirusprogram. Förr sökte ett virussökningsprogram igenom all kod och alarmerade då det hittade någonting misstänkt. På grund av polymorfa virusens ankomst krävs dock mera invecklade algoritmer idag. En av dessa algoritmer är den heuristiska, den utgår från att virusen överlag har fler eller färre av vissa operationer jämfört med ett

8 vanligt program och utgående från detta kan virus avslöjas. Det var även vanligt tidigare att man virusskannade datorer nu som då men idag krävs på grund av speciellt makrovirusens vida spridning att virusprogrammen söker aktivt hela tiden. Ifråga om äldre datorer kan detta förstås försämra prestanda avsevärt. En nackdel med virusskanningsmetoden är att detta virusskanningsprogram kräver uppdatering ofta för att hitta också de nya virusen, denna nackdel har inte den heuristiska metoden. En annan metod är genom kontroll av granskningssummor, genom denna metod fås reda på när filer har ändrats och ändras. Överlag angående antivirusprogram finns det också en hel del detaljer att ta i beaktande. Exempel på dessa detaljer; Är programmet av den senaste versionen och är det ett bra program? Är det rätt installerat? Ett sätt att få ett bra anti-virusprogram är att läsa de senaste testerna, det samma gäller även brandväggarna. 3. Rätta inställningar i word, excel, mailprogram och i biosen. Makrovirus skyddar man sig bäst från genom att inte tillåta makro i sina word- och exceldokument, så länge man inte behöver makron förstås. Man kan även vara ännu säkrare genom att spara wordfiler i RTF-format och Excel-filer i CSV dessa format stöder ej makron men fungerar annars lika bra som de vanligare DOC- och XLS-formaten. Endel mailprogram öppnar automatiskt en del mail som t.ex. word och excel, genom denna öppning sprids makrovirus lätt. De flesta mailprogrammen kan man konfigurera så att de istället öppnar dessa filer i ett visningsprogram här kan virusen inte spridas lika lätt. Editera kan man oftast dock inte göra i dessa program. En grundläggande sak som man kan ändra på för att undvika de förödande bootsektorvirusen är att ändra på startordningen i biosen. Med grundinställningarna på så startas datorn från A-stationen initialt, då Non-System disk or disk error, replace and press any key kommit på skärmen så kan redan ett bootsektorvirus ha smittat datorn. Det lönar sig överlag även att vara försiktig med disketter virus sprids lätt och ofta med hjälp av disketter.

9 4. Allmän försiktighet. De flesta maskar som använder e-post för att spridas använder Microsoft Outlook eller Outlook Express. Om du använder Outlook se till att ladda ner och installera den senaste Outlook säkerhetspatchen från Microsoft på dessa är de senast upptäckta säkerhetsluckorna tilltäppta. Var försiktig med bifogade e-postfiler både när du skickar och tar emot e- post. Speciellt är filändelser som är dubbla eller VBS, SHS, PIF, EXE potentiella virusbärare. I Windows 2000 kan filändelserna vara gömda på kända filformat för att känna igen eventuella virus lönar det sig att ha filnamnen synliga. Trojanska hästar gömmer sig också i alla sorters program med attraktiva namn som t.ex. någonting pornografiskt. Ta det lugnt om du blivit drabbad panik skadar ofta mera än viruset skadar datorn. Datorn behöver väldigt sällan helt tömmas och ominstalleras fast ett virus infekterat. Informera alla som har haft kontakt med den smittade datorn de kan även ha smittan. Säkerhetskopiering kan vara tråkigt och kännas överflödigt men är enligt [TKKoulu s. 24] den viktigaste säkerhetsåtgärden. Denna säkerhetsåtgärd skyddar även mot annat än virusangrepp. Om man använder ett program som säkerhetskopierar automatiskt lönar det sig absolut att kolla programmet innan man verkligen behöver säkerhetskopiorna. Ofta har det hänt att folk trott att de har säkerhetskopior på allt men märker att så är inte fallet då de väl behöver kopiorna. Släck av datorn eller bryt i alla fall kontakten till nätet då datorn inte används, denna åtgärd förhindrar maskar att krypa in i datorn.

10 4 Makrovirus Med en förhoppning om att kunna hjälpa folk att förstå sig på makrovirus och hur man skyddar sig mot dessa kommer jag att illustrera hur ett enkelt makrovirus skapas och hur det sedan fungerar i praktiken. För att se hur man skyddar sig mot detta och andra makrovirus hänvisas läsaren till kapitel tre tips tre. Förhoppningen med detta kapitel är förstås även att det inte skall användas i olagliga syften, men på grund av detta virus enkelhet så torde detta vara avsevärt begränsat. Detta makrovirus kommer att skapas i word med programmeringsspråket visual basic for applications (VBA)som finns i word nyare än -95. Först skapar man ett normalt word dokument sedan öppnar man VBA editorn och skapar där ett dokument i normal thisdocument. Genom att editera denna template som körs varje gång word startas har man fått virusegenskap två enligt kapitel två, att viruset kopieras vidare, till detta virus. Denna normal.dot fil som editerats kopieras hänger nämligen alltid med och ersätter en normal.dot fil i en dator där denna word fil körts. Nu är det sedan bara att skriva koden för viruset. AutoOpen, AutoClose och AutoExit är några exempel på namn som brukar användas i word makrovirus, mera avancerade virus använder kombinationer av många word kommandon. Om man väljer att namnge filen till AutoOpen kommer den att köras alltid då ett word dokument startas. Här kan man då använda sin fantasi och programmeringskunskap för att ge viruset dess tredje egenskap att vara till förtret. Ett exempel kan vara en enkel pop-upp ruta som säger att att Joe the King was here eller något liknande. Ett annat exempel (som jag även lite planerat att sätta på min fästmös dator) skulle vara att ett spel som måste spelas och vinnas för att word skall öppnas. (Detta skulle kunna eventuellt kunna användas för att förebygga stress.) Koden för popup rutan ser helt enkelt ut som nedan. Sub AutoOpen() MsgBox " Joe the King was here " End Sub

11 5 Sammanfattning En orsak till virusens goda framgångar tro jag är människors lathet och ignorans speciellt förrän de blivit angripna. Man har en dator med jättesnabb nät uppkoppling som man låter stå på mer eller mindre oskyddat och ofta är det även frågan om barn som leker helt utan vettigt virusskydd. Som vi kunde se i kapitel tre så är det inte särdeles svårt att skydda sig mot en stor del av virusen det gäller bara att orka läsa in sig lite på området för att skydda sig själv och andra från nät missbruk. Alla borde kunna de enklaste stegen i virusskydd. Om man inte bryr sig om sin egen dator kan man i alla fall bry sig om andras och tänka på att ens dator kan användas mot andras. Referenser 1. Eugene H. Spafford : Computer viruses as artificial life [www] hämtat Thimbleby Anderson: A framework for modelling trojans and computer virusinfection [www] hämtat Marshall Brain: How computer viruses work [www] hämtat Maria Oskarsson & Angelika Edling: Datavirus [www] hämtat Datacentralen vid Åbo Akademi: Vad är ett datorvirus [www] hämtat Uppslagsverk: FOCUS 98 Norstedts Bok referenser: 7. [HKKirja] Anonymous: Hakkerin Käsikirja, 2002, Helsinki, IT-Press. 8. [TKKoulu] Tapio, Keihänen: TKK:n virusopas