ення. Деякі хробаки вимагають певного дії користувача для поширення (наприклад, відкриття інфікованого повідомлення в клієнті електронної пошти). Інші хробаки можуть поширюватися автономно, вибираючи і атакуючи комп'ютери в повністю автоматичному режимі. Іноді зустрічаються черв'яки з цілим набором різних векторів розповсюдження, стратегій вибору жертви, і навіть експлойтів під різні операційні системи.
Часто виділяють так звані ОЗУ-резидентні хробаки, які можуть інфікувати працюючу програму перебувати в ОЗУ, при цьому не зачіпаючи жорсткі диски. Від таких хробаків можна позбутися перезапуском комп'ютера (і, відповідно, скиданням ОЗУ). Такі черви складаються в основному з «інфекційної» частини: експлойта (шелл-коду) і невеликий корисного навантаження (самого тіла хробака), яка розміщується цілком в ОЗУ. Специфіка таких хробаків полягає в тому, що вони не завантажуються через завантажувач як всі звичайні виконувані файли, а значить, можуть розраховувати тільки на ті динамічні бібліотеки, які вже були завантажені в пам'ять іншими програмами.
Також існують хробаки, які після успішного інфікування пам'яті зберігають код на жорсткому диску і вживають заходів для подальшого запуску цього коду (наприклад, шляхом прописування відповідних ключів в реєстрі Windows). Від таких хробаків можна позбутися тільки за допомогою антивіруса або подібних інструментів. Найчастіше інфекційна частина таких хробаків (експлойт, шелл-код) містить невелику корисне навантаження, яка завантажується в ОЗУ і може «довантажити» по мережі безпосередньо саме тіло хробака у вигляді окремого файлу. Для цього деякі черв'яки можуть містити в інфекційній частини простий TFTP-клієнт. Завантажуване таким способом тіло хробака (зазвичай окремий виконуваний файл) тепер відповідає за подальше сканування та поширення вже з інфікованою системи, а також може містити більш серйозну, повноцінну корисне навантаження, метою якої може бути, наприклад, нанесення будь-якої шкоди (наприклад, DoS-атаки)
Більшість поштових черв'яків поширюються як один файл. Їм не потрібна окрема «інфекційна» частину, так як зазвичай користувач-жертва за допомогою поштового клієнта добровільно викачує і запускає хробака цілком.
Руткити - (Rootkit) - програма або набір програм, що використовують технології приховування системних об'єктів (файлів, процесів, драйверів, сервісів, ключів реєстру, відкритих портів, з'єднань та ін.) за допомогою обходу механізмів системи.
Термін руткіт історично прийшов зі світу Unix, де під цим терміном розуміється набір утиліт, які хакер встановлює на зламаному ним комп'ютері після отримання початкового доступу. Це, як правило, хакерський інструментарій (сніффери, сканери) і троянські програми, які заміщають основні утиліти Unix. Руткіт дозволяє хакеру закріпитися у зламаній системі і приховати сліди своєї діяльності.
У системі Windows під терміном руткит прийнято вважати програму, яка впроваджується в систему і перехоплює системні функції, або робить заміну системних бібліотек. Перехоплення і модифікація низькорівневих API функцій в першу чергу дозволяє такій програмі досить якісно маскувати свою присутність в системі, захищаючи її від виявлення користувачем і антивірусним ПЗ. Крім того, багато руткіти можуть маскувати присутність в системі будь-яких описаних в його конфігурації процесів, папок і файлів на диску, ключів в реєстрі. Багато руткіти встановлюють в систему свої драйвери і сервіси (вони природно також є «невидимими»).
Останнім часом загроза руткітів стає все більш актуальною, т. к. розробники вірусів, троянських програм і шпигунського програмного забезпечення починають вбудовувати руткит-технології в свої шкідливі програми. Одним з класичних прикладів може служити троянська програма Trojan-Spy. Win32. Qukart, яка маскує свою присутність в системі за допомогою руткит-технології. Її RootKit-механізм прекрасно працює в Windows 95, 98, ME, 2000 і XP.
Умовно всі руткит-технології можна розділити на дві категорії:
Руткити працюють в режимі користувача (user-mode)
Руткити працюють в режимі ядра (kernel-mode)
Перша категорія заснована на перехопленні функцій бібліотек користувацького режиму, друга - на установці в систему драйвера, що здійснює перехоплення функцій рівня ядра.
Також, руткіти можна класифікувати за принципом дії і по стабільності існування. За принципом дії:
Змінюють алгоритми виконання системних функцій.
Змінюють системні структури даних.
Інші шкідливі програми до них відносяться різноманітні програми, які не становлять загрози безпосередньо комп'ютера, на якому виконуються, а розроблені для ...
