Vaba blogi: Uut tüüpi pahavara - failitu pahavara

 Varjatud oht 

Andmeturbe maailmas on pidev võitlus uute ja üha kavalamate ohtude vastu. Kui traditsioonilised viirused või troojalised hobused on juba tuttavad, siis tänapäeval kasvav mure on failitu pahavara (fileless malware), mis toimib nähtamatult ja pole ära tuntav traditsioonilisi kaitsemeetmeid kasutades. Selle blogis tutvustame, miks see tehnoloogia on nii ohtlik, kuidas seda tuvastada ja kuidas end kaitsta.

Mis on failitu pahavara?

Erinevalt tavalistest viirustest, mis salvestavad end arvutisse failidena, kasutab failitu pahavara tavalisi süsteemitööriistu ja mälu (RAM). See tähendab, et pahavara ei jäta füüsilisi jälgi kettale, muutes selle avastamise traditsiooniliste antiviirusprogrammide jaoks peaaegu võimatuks. Näiteks võib ründaja kasutada PowerShelli skripte, Windowsi registrit või tavalisi protsesse (näiteks Microsoft Office makrosid), et käivitada kahjulik kood otse mälus.

Kuidas see toimib?

Sisenemine: Rünnak algab tavaliselt õngitsemise kaudu. Kasutaja avab näiteks meili manuse või klõpsab pahatahtlikul lingil, mis suunab ta veebilehele.

• Käivitamine: Kahjulik kood laaditakse mällu, kasutades olemasolevaid tööriistu (nt PowerShelli, WMI või JavaScripti).

• Leviku ja püsivus: Pahavara võib seadistada automaatseid käsklusi registrisse või kasutada tavapäraseid teenuseid, et säilitada ligipääs süsteemi ka pärast taaskäivitust.

• Andmete varastamine: Ründaja varastab tundlikku infot (nt paroole, krüptovõtmeid) või kasutab arvutit botneti osana.

Reaalne näide: 2017. aastal tabas Equifaxi andmeturberünnak, kus ründajad kasutasid Apache Strutsi turvaauku, et käivitada kood otse mälus. Miljonite inimeste isikuandmed saadi kätte ilma et traditsiooniline antiviirus oleks midagi kahtlanud.

Miks on see nii ohtlik?

• Nähtamatus: Kuna pahavara ei salvestu kettale, ei tuvasta seda tavalised skannerid.

• Tavapäraste tööriistade kuritarvitamine: Rünnakud maskeeritakse tavaliste süsteemiprotsesside alla.

• Kiire levik: Failitu pahavara võib levida läbi võrgu, kasutades näiteks PowerShelli kaugkäsklusi.

Failitu pahavara on üks kõige salakavamaid kaasaegseid ohte, sest see muudab enda tuvastamise traditsiooniliste meetodite jaoks peaaegu võimatuks. 

Soovitused lugejale:

• Tutvu oma arvuti süsteemilogidega – näed, kas seal toimub midagi ebatavalist.

• Kasuta tööriistu et jälgida käimasolevaid protsesse.

• Jaga oma teadmisi – failitu pahavara levik aeglustub, kui inimesed on teadlikud selle olemusest.

• Andmeturve on igaühe vastutus – ärme unustagem, et kõige tugevem kett on sama tugev kui tema nõrgim lüli.