Od cyberwandalizmu do cyberprzestępczości, czyli jak zmieniały się cyberzagrożenia na przestrzeni ostatnich 15 lat
By F0RZ4
-
ILOVEYOU
Wirus został wysłany do skrzynek pocztowych z Filipin w nocy z 04 maja na 05 maja 2000 z tematem "ILoveYou" i załącznikiem "LOVE-LETTER-FOR-YOU.TXT.vbs". W ciągu jednego dnia rozprzestrzenił się na cały świat, infekując 10% wszystkich komputerów. W krótkim czasie zapychał serwery pocztowe, a szkody jakie wyrządził szacuje się na około 15 miliardów dolarów, dzięki czemu wstąpił do "Księgi rekordów Guinnessa" jako najbardziej niszczycielski wirus komputerowy na świecie. -
Code Red I
Robak wykorzystywał błąd w module indeksowania, będącym częścią pakietu IIS i wykonywał następujące działania: zamieniał treść wszystkich stron pobieranych z danego serwera WWW wyświetlając tekst:
"HELLO! Welcome to http://www.worm.com! Hacked By Chinese!"
próbował się kopiować na inne komputery, na których działało oprogramowanie IIS
czekał 20-27 dni, po których uruchamiał atak typu denial of service (DoS) na kilka wybranych adresów IP (w tym m.in na komputery Białego Domu). -
Code Red II
Działał według dokładnie takiego samego schematu, oprócz tego, że zamiast rozprzestrzeniać się na losowo wybieranych komputerach w internecie, kopiował się na wszystkie dostępne maszyny w intranecie, do którego przyłączony był pierwszy zainfekowany komputer. -
Nimda
Jest to jeden z najbardziej skomplikowanych robaków jakie kiedykolwiek powstały. Powstał we wrześniu 2001 roku i w ciągu pierwszych 22 minut od wpuszczenia do sieci, zainfekował ponad milion komputerów. W ciągu tygodnia stał się najbardziej rozprzestrzenionym wirusem na świecie. Program ten skutecznie zapychał łącza serwerów, doprowadzając często do przypadków DDoS. -
Benjamin
W 2002 roku korzystanie z klienta P2P o nazwie KaZaa liczyło się z ryzykiem infekcji Benjaminem. Ukrywał się on pod postacią popularnych piosenek, często pobieranych przez internautów. Jeśli ktokolwiek dał się nabrać, płacił za to słoną cenę. Po pobraniu i uruchomieniu takiego pliku liczba wolnego miejsca na twardym dysku drastycznie spadała, a dodatkowo ofiara została odcinana od połączenia z internetem. -
SQL Slammer
Jest to jeden z najbardziej agresywnych robaków na świecie. Odkryty w styczniu 2003 roku robak miał niespotykanie szybką prędkość rozprzestrzeniania się. Podwajał liczbę zainfekowanych komputerów w 8.5 sekundy! Zainfekował wszystkie serwery Microsoft SQL na całym świecie. Sparaliżował ruch internetowy wielu firmom, między innymi bankom w Ameryce. Robak był w stanie generować ogromny ruch w sieci rzędu wielu gigabajtów na sekundę. -
Blaster
Robak został uruchomiony w sierpniu 2003 roku na systemy Microsoftu. Zainfekował ponad 300 000 komputerów, a jego celem były ataki DDoS na witrynę windowsupdate.com. Autor przesyłał w atakach wiadomość do Billa Gatesa "Billy Gates why do you make this possible ? Stop making money and fix your software!!". -
Mydoom
Złośliwe oprogramowanie znane głównie z powodu ataków DDoS z 1 lutego 2004 na serwery firmy SCO i 3 lutego 2004 na serwery Microsoftu. Szkodnik rozprzestrzeniał się pod postacią załącznika w wiadomościach e-mailowych. Tytuły i treść tych wiadomości były zróżnicowane, jednak wszystkie zawierały zachętę do otwarcia załącznika, więc mimo ich powtarzania się robak zyskiwał kolejne ofiary. Choć szkodnik prawdopodobnie powstał na początku 2004 r., do dziś jest często spotykany. -
Sasser
Robak komputerowy, który pojawił się 30 kwietnia 2004 roku i rozprzestrzeniał się na komputerach z zainstalowanym systemem operacyjnym Windows 2000 lub Windows XP. Wirus nie wymagał interakcji ze strony użytkownika, wykorzystywał bezpośrednio porty 445 i 139 (NetBIOS). Jego obecność objawiała się m.in. nagłym wyłączaniem się komputera. Ofiarą robaka stała się m.in. niemiecka poczta. Sasser wykorzystywał błąd typu przepełnienie bufora w części systemu operacyjnego nazywanej LSASS. -
Cabir
Robak odkryty w 2004 roku, który miał za zadanie infekowanie telefonów komórkowych z systemem Symbian OS. Uważany jest za pierwszy szkodnik atakujący telefony komórkowe. Gdy telefon był zainfekowany, wyświetlany był komunikat " Cabire " na wyświetlaczu telefonu, za każdym razem kiedy telefon był włączony. Następnie robak próbował rozprzestrzenić się na inne telefony komórkowe dzięki technologii Bluetooth. -
Storm Worm
Koń trojański typu backdoor, atakujący systemy operacyjne Microsoft Windows, odkryty w styczniu 2007 roku. Z danych z 22 stycznia 2007 roku wynika, iż Storm Worm zainfekował aż 8% wszystkich komputerów. Wysyłał on spam, wykradał dane osobowe oraz tworzył sieć botnet. We wrześniu 2007 roku w sieci botnet było prawie 10 milionów komputerów. -
ZeuS
Zeus rozprzestrzenia się poprzez ataki drive-by download i phishing. Trojan w dalszym ciągu jest wykorzystywany do ataków, o czym choćby w 2013 roku ostrzegał bank BZWBK; wirus podmieniał wtedy stronę logowania do bankowości internetowej na sfałszowaną, łudząco podobną do oryginału. Pojawiają się też przeróżne odmiany programu, jak choćby ZitMo (Zeus in the Mobile).Zeus atakuje klientów instytucji finansowych, prosząc o instalację mobilnego antywirusa. -
Conficker
Jeden z najgroźniejszych robaków komputerowych. Pojawił się w sieci w październiku 2008 roku i atakował systemy Windows (od Windows 2000 do Windows 7). W styczniu 2009 roku zainfekowanych było ponad 12 milionów komputerów. Wirus ten wyłącza większość zabezpieczeń systemowych, a następnie łączy się z serwerem, aby gromadzić dane osobowe oraz pobierać i instalować złośliwe oprogramowanie. -
Mariposa
Botnet Mariposa swoim zasięgiem objął niemal 13 milionów komputerów w 190 krajach na całym świecie. Maszyny zombie, nad którymi przejmowano zdalną kontrolę służyły do kradziezy numerów kart kredytowych oraz innych poufnych informacji finansowych. -
Stuxnet
Stuxnet jako pierwszy wykorzystywał rootkity na Windowsa, mając przy tym zdolność aktualizacji metodą peer-to-peer. Najstarsze kompilacje wirusa pochodzą z 2009 roku, kiedy odkryto, że Stuxnet atakuje głównie systemy przemysłowe. Co intrygujące, głównym celem przyświecającym autorowi Stuxnetu były ataki wycelowane w irańską elektrownię jądrową w Natanz. -
Gauss
Gauss jest zaawansowanym zestawem narzędzi do przeprowadzania cyberszpiegostwa. Zestaw ten posiada strukturę modułową i obsługuje zdalną dystrybucję nowej funkcji, która jest implementowana w postaci dodatkowych modułów. Wykryte do tej pory moduły wykonują m. in. następujące operacje: kradną dane niezbędne do uzyskania dostępu do kont użytkowników w różnych systemach bankowych na Bliskim Wschodzie; przechwytują dane dotyczące kont na portalach społecznościowych, w serwisach pocztowych etc. -
Duqu
Trojan komunikuje się z serwerem (transmisja jest szyfrowana) i przesyła screenshoty oraz zapis wciśniętych klawiszy a także informacje na temat uruchomionych procesów. Duqu nie uruchamia się od razu, czeka kilkanaście minut od momentu infekcji — najprawdopodobniej chodzi o ominięcie sandboksów programów antywirusowych. Duqu jest podpisany cyfrowo. Podaje się za firmę JMicron, ale korzysta ze skradzionych kluczy prywatnych należących do C-Media Electronics Incorporatio. -
Citadel
Citadel bazuje na trojanie bankowym ZeuS. Jego głównym celem jest kradzież danych bankowych przez przechwytywanie klawiszy i robienia zrzutów ekranu / video z komputerów ofiar. -
Wiper
Ten “tajemniczy” trojan spowodował sporo zamieszania w Iranie pod koniec kwietnia 2012 roku: pojawił się praktycznie znikąd i zniszczył dużą liczbę baz danych w dziesiątkach organizacji. Szczególnie mocno ucierpiał największy w kraju skład paliw – jego działalność została wstrzymana na kilka dni po tym, jak zniszczeniu uległy dane dotyczące kontraktów paliwowych. -
Flame
Jest to trojan backdoor, który posiada również pewne cechy robaka; cechy te pozwalają mu rozprzestrzeniać się za pośrednictwem sieci lokalnych lub wymiennych nośników pamięci zgodnie z instrukcjami osoby, która go kontroluje. Flame posiadał unikatową funkcję umożliwiającą mu rozprzestrzenianie się w sieci LAN; w tym celu przechwytywał żądania aktualizacji systemu Windows i zastępował je własnym modułem podpisanym certyfikatem Microsoftu. -
CryptoLocker
CryptoLocker to złośliwy program typu ransomware stworzony przez cyberprzestępców. Jest on rozpowszechniany za pomocą narzędzi exploit, które infiltrują komputer użytkownika za pośrednictwem luk w zabezpieczeniach przestarzałego oprogramowania. Najczęstszym źródłem narzędzi exploit są zainfekowane wiadomości e-mail, złośliwe strony internetowe i drive-by download. Aktualizowanie systemu operacyjnego i wszystkich zainstalowanych programów może zmniejszyć ryzyko zainfekowania komputera ransomware. -
CTB-Locker
CTB-Locker wnika do komputera przez fałszywe maile udające informacje o aktualizacji systemu czy potwierdzenia bankowe. Zaraz po otwarciu załącznika w formacie SCR oprogramowanie zaczyna pracę na dysku, ukrywając się za niewinnym dokumentem z tekstem i łącząc się ze specjalnym serwerem, na którym znajduje się blokujący pliki algorytm. Infekcję można potwierdzić otwierając plik "%MyDocuments%.html". -
Regin
Trojan zajmuje się nie tylko zbieraniem i przekazywaniem informacji takich jak loginy i hasła użytkowników, ale jest w stanie robić zrzuty ekranów i odzyskiwać usunięte dane. Dzięki modułowej budowie może być modyfikowany oraz rozbudowywany o kolejne funkcje i wykorzystywany w różny sposób w zależności od atakowanego celu. Trojan atakuje głównie przedsiębiorstwa, choć jego bardzo dużą aktywność wykryto także w firmach telekomunikacyjnych. -
Polyglot / MarsJoke
Ransomware Polyglot / MarsJoke rozprzestrzenia się za pomocą wiadomości spamowych, które zawierają szkodliwy załącznik spakowany w archiwum RAR. Podczas szyfrowania nazwy plików nie są zmieniane. Wirus wyłącznie blokuje do nich dostęp. Po zakończonym procesie szyfrowania na ekranie komputera wyświetla się informacja o okupie, który należy zapłacić, aby odzyskać pliki. W przypadku niezapłacenia trojan usuwa się z urządzenia, pozostawiając wszystkie dane zaszyfrowane.
