Korisnik:Vatrena ptica/Svaštara

Upozorenje
Tekstove koji slijede smijete SAMO i ISKLJUČIVO pročitati ako imate dovoljno volje, znatiželje i što je najvažnije VREMENA! Nadamo se da ćete se negdje i nasmijati ...

U redu, mislim da ste se odlučili. A sada dame i gospodo, ako ste upoznati sa rizicima i svejedno vam je, slijede vam članci o svemu i svačemu što dolaze iz moje prevoditeljske ruke...

Antivirusi

Antivirusni softver ili antivirus (na engl. se često koristi akronim AV) je računarski softver koji se koristi za prevenciju, otkrivanje i uklanjanje malvera (zlonamjernog softvera).

Za razliku od prvobitnih antivirusnih softvera koji su se zasnivali isključivo na tretiranju računarskih virusa, moderni antivirusni softver štiti sistem od različitih malvera, u koje, osim "klasičnih" virusa, spadaju i: crvi, trojanci, backdoor, rootkit, adwarei, spywarei, dialeri, keyloggeri... Mnogi današnji paketi nude zaštitu i od raznih vrsta socijalnog inženjeringa, poput fišinga (fishing).

Postoji više načina zaštite. Ona zasnovana na potpisima uključuju otkrivanje i uklanjanje već poznatih napasti. No, problem je u tome što kompjuter može biti zaražen i nekim novim malverom za koji još ne postoji potpis. Zbog toga antivirusi često koriste metodu heuristike. Jedna vrsta heuristike se zasniva na generičkim potpisima, te može otkriti novi malver ili varijantu onog već poznatog, tako što u datoteci traži poznati maliciozni kod, ili njegove manje izmene. Neki antivirusni softveri mogu predvidjeti djelovanje programa tako što će ga pokrenuti u sandboxu i analizirati ga da provjere izvršava li kakve potencijalno zlonamjerne radnje. Sandbox je izolirano okruženje van kojeg program ne može prodrijeti i, u slučaju da jeste maliciozan, ne može načiniti štetu stvarnom sistemu.

No bez obzira koliko korisni mogu biti, antivirusi imaju i neke nedostatke. Oni utiču na korištenje sistemskih resursa, zbog čega može doći do smanjene brzine rada kompjutera (pada performansi). Neiskusni korisnici također mogu imati problema sa razumijevanjem obavještenja i odluka koje im antivirusni softver daje. Neispravna odluka, naime, može znatno oslabiti sigurnost sistema. Osim toga, ako se antivirus koristi heuristikom, uspješnost te metode ovisi o balansu između lažno pozitivnih i lažno negativnih rezultata. Lažno pozitivni rezultati (kada je bezazlen program prepoznat kao prijetnja) mogu imati jednako loše posljedice kao i lažno negativni razultati - npr. gubitak važnog dokumenta ili čak važne sistemske datoteke.

Istorija

Primjer besplatnog antivirusnog softvera ClamTk

Većina kompjuterskih virusa napisanih tokom ranih i sredinom 80-ih godina bili su ograničeni na širenje, te nisu činili značajnu štetu. No, ovo se počelo mijenjati kako su zlonamjerni korisnici postajali sve bolji u programiranju virusa, tako da su napravili viruse koji su mogli oštetiti ili izbrisati određenu količinu podataka na zaraženom kompjuteru.

Postoje proturječni navodi u vezi prvog antivirusa. Vjerovatno je prvo javno dokumentovano uklanjanje virusa "u divljini" izvršio stručnjak za kompjutersku sigurnost Bernd Fix, 1987. godine. Poznato je i da su za platformu Atari te iste godine razvijena dva antivirusna softvera. Prvi je bio G Data (postoji i danas), a drugi UVK 2000.

Fred Cohen je 1984. godine izdao jedan od prvih akademskih papira o kompjuterskim virusima. 1987. godine ispravno je izjavio, da nijedan algoritam ne može otkriti sve moguće viruse, a 1988. godine počeo je razvijati strateške metode za antiviruse, koje su uskoro prihvatili i ugradili njihovih kasniji proizvođači.

Na mreži BITNET/EARN 1988. je godine nastala mail lista VIRUS-L na kojoj je se diskutovalo o novim virusima, te o mogućnostima njihove detekcije i uklanjanja. Neki su članovi pomenute liste, kao što su John McAfee i Eugene Kaspersky, kasnije zasnovali antivirusne firme koje su razvijale i prodavale komercijalne pakete.

Prije velike raširenosti interneta, virusi su se obično širili preko floppy diska. Antivirusni softver je u to vrijeme provjeravao izvršne datoteke i boot sektore na floppy i tvrdim diskovima, te je bio relativno rijetko osvježavan. Nakon što je internet postao raširen i virusi su promijenili svoje glavno mjesto širenja, koje je se preselilo u pomenuto okruženje.

Tokom godina postalo je neophodno da antivirusni softver provjerava više tipova datoteka, a ne samo izvršne, zbog sljedećih potencijalnih prijetnji:

• Moćni makroi, koji su se koristili u programima za obradu teksta, poput MS Worda. Pisci virusa su, naime, mogli koristiti makroe za stvaranje virusa koji bi bili ugrađeni u dokumente.
• Mogućnost ubacivanja izvršnih objekata u kod inače neizvršnih datoteka.
• Kasniji e-mail programi poput Microsoftovih Outlook Expressa i Outlooka bili su ranjivi na viruse ubačene u samo tijelo poruke.

Sve navedeno znači da bi se kompjuter mogao inficirati pri samom otvaranju dokumenata sa skrivenim prikačenim makroima, zaražene e-mail poruke ili inače neizvršne datoteke sa kodom izvršnog objekta.

Kada su širokopojasne veze postale norma, pisanje malicioznog softvera uzelo je maha; postalo je nužno što češće osvježavati definicije potpisa kod antivirusnih alatki. Pa čak i tad, uvijek postoji šansa da se nova prijetnja široko rasprostrani prije nego što antivirusne firme izdaju novi potpis.

Metode detekcije

Postoji više metoda otkrivanja malicioznog softvera, a većina antivirusa koristi kombinaciju više njih:

• Detekcija bazirana na potpisima (signaturama) najčešća je metoda. Kako bi identifikovao maliciozni softver, antivirus poredi sadržaj datoteka sa "rječničkom" bazom malwarea. Pošto malware može biti ugniježđen u samu datoteku, provjerava se cijela datoteka, ne samo cjelina, već i njezini manji dijelovi.
• Detekcija štetnih aktivnosti - antivirusni softver nadgleda softver u okruženju, sa kojim kompjuterski sistem komunicira. Ukoliko detektuje sumnjive aktivnosti nekog softvera, dodatno ga detaljno provjerava koristeći neku od metoda detekcije. Ova metoda je pogodna za detekciju novih i nepoznatih virusa.
• Heuristička metoda - slično metodi detekcije štetnih aktivnosti, ova metoda se može koristiti kod novih i nepoznatih virusa. Može se koristiti na dva načina: analiza datoteka i emulacija datoteka. Emulacija datoteka podrazumijeva pokretanje programa u virtuelnom okruženju, te bilježenje radnji koje izvrši. Ovisno o zabilježenim radnjama, antivirus može odrediti da li je program maliciozan ili ne.

Detekcija bazirana na potpisima

Otkrivanje malwarea dugo je vremena mnogo zavisilo od ove metode detekcije. Ona može biti veoma učinkovita, ali ne može odbraniti kompjuter od malwarea ako ne postoje odgovarajući potpisi pa nije pouzdana protiv novog, nepoznatog malicioznog softvera.

Kako novi virusi nastaju doslovno svaki dan, detekcija bazirana na potpisima zahtijeva česta osvježavanja rječnika potpisa. Neki antivirusi omogućavaju korisnicima slanje novih virusa ili njihovih varijanti antivirusnim firmama, gde se oni analiziraju i potom se u rječnik doda njihov potpis.

Još jedna potencijalna mana ove metode jest da neki autori virusa pokušavaju izbjeći sličnost sa postojećim potpisima te pribegavaju -morfičnim (oligomorfičnim, polimorfičnim i odnedavno metamorfičnim) virusima. Ta vrsta malicioznog softvera šifrira (enkriptuje) dijelove svog koda ili na druge načine izmenjuje samu sebe, u svrhu prikrivanja, tj. da njen potpis ne odgovara nekom u rječniku.

Heuristika

Dosta antivirusa koristi metodu heuristike za identifikaciju nepoznatog malwarea ili novih varijanti postojećeg.

Mnogi virusi, naime, počinju na razini pojedinačnih infekcija. Preko kasnijih mutacija, tj. "poboljšavanja" njihovih svojstava (od strane samog autora ili nekih drugih napadača), on može imati više međusobno sličnih varijanti.

Tako, na primjer, trojanac Vundo ima nekoliko porodica, ovisno o klasifikaciji proizvođača antivirusa; Symantec klasifikuje "članove" Vundo porodice u dvije kategorije: Trojan.Vundo i Trojan.Vundo.B.

Iako identificiranje specifičnog virusa ima svoje prednosti, brži je način stvaranje generičkog potpisa za porodicu. Istraživači virusa pokušavaju kod porodica naći unikatne zajedničke karakteristike, tako da za njih mogu stvoriti jedan generički potpis.

Detekcija rootkita

Antivirusni softver može pokušati skenirati kompjuter u potrazi za rootkitom. Riječ je o posebnoj vrsti malwarea dizajniranoj da si pridobije administratorske privilegije preko kompjuterskog sistema, a da pritom, naravno, prođe nezapaženo što je duže moguće. Rootkit može promijeniti način funkcioniranja operativnog sistema, a ponekad se i "upletati" u rad antivirusnog softvera čineći ga nepouzdanim. Teško ga je ukloniti, a ponekad je jedino rješenje reinstalacija operativnog sistema.

Međutim, i na ovom polju ima nade s obzirom da antivirusni program Avast ima licenciran GMER (program za detekciju rootkita), što znatno olakšava borbu protiv ove vrste malicioznog programa.

Zaštita u stvarnom vremenu

Zaštita u stvarnom vremenu poznata je i pod nazivima real-time protection, on-access scanning, background guard, resident shield i autoprotect. To je zaštita kakvu posjeduju skoro svi antivirusi, antispywarei (često ne u besplatnoj verziji) i drugi programi za zaštitu kompjutera. Ona bilježi aktivnosti na sistemu i prati dešavaju li se kakve sumnjive aktivnosti, i to u stvarnom vremenu. To je, drugim riječima, razdoblje kada su podaci učitani u memoriju kompjutera: kad korisnik stavlja CD, otvara e-mail poruku, ili surfa internetom; ili pak razdoblje kad je datoteka na kompjuteru već učitana ili izvršena.

Mogući problemi

Lažni antivirusi

Neki programi koji su naizgled antivirusi zapravo su maliciozni softver koji se lažno predstavlja kao legitimni. To su primjerice WinFixer, MS Antivirus, i Mac Defender. Većina antivirusa će prepoznati ovakav maliciozni softver, no problem nastaje u tome što će lažni antivirus često onesposobiti pravi.

Lažno pozitivni rezultati

Lažno pozitivni rezultat označava pojavu kada antivirus pogrešno detektira bezopasnu datoteku kao virus. Kada se ovo dogodi, mogu se javiti ozbiljni problemi. U slučaju da je antivirus konfigurisan da automatski briše zaražene datoteke ili da ih izolira u karantenu, lažno pozitivni rezultat kod neke važne datoteke može učiniti operativni sistem ili namjenski program nesposobnim za rad. U slučaju da Windowsi postanu nesposobni za rad, troškovi njihovog ponovnog popravljanja u servisima mogu prisiliti firme u kojima se koriste na privremeno zatvaranje.

Navest ćemo nekoliko slučajeva lažno pozitivnih rezultata:

U maju 2007. godine, loše napravljen Symantecov virusni potpis greškom je uklonio nekoliko esencijalnih sistemskih datoteka, zbog čega je hiljade kompjutera prestalo funkcionirati. Također u istom mjesecu iste godine, Norton AntiVirus (tvrtke Symantec) detektirao je izvršnu datoteku bitnu za rad Pegasus Maila kao trojanca, te ju automatski obrisao. To je, razumljivo, uzrokovalo nemogućnost pokretanja pomenutog mail klijenta. Da stvari budu još gore, Norton AntiVirus pogrešno je prepoznao čak tri izdanja Pegasus Maila kao malware, te bi obrisao njihovu pripadajuću instalacijsku datoteku. U firmi Pegasus Mail odgovorili su:

Na osnovi činjenice da je Norton/Symantec detektirao svako od tri posljednja izdanja Pegasus Maila kao malware, možemo samo osuditi pomenuti proizvod kao odviše loš za korištenje, i toplo preporučiti našim korisnicima da ga prestanu koristiti u korist alternativnog antivirusnog paketa sa manje bugova.

U aprilu 2010. godine, McAfee je detektirao svchost.exe, bezazlenu Windows izvršnu datoteku, kao virus. To se desilo na kompjuterima koji su pokretali Windows XP Service Pack 3, zbog čega bi korisnici izgubili vezu na internet ili bi se pak njihova mašina non-stop iznova pokretala. U decembru iste godine, loše osvježenje AVG paketa oštetilo je 64-bitne verzije Windowsa 7, zbog čega su se neprestano iznova pokretali te time postali onesposobljeni.

U oktobru 2011. Microsoft Security Essentials (MSE) je uklonio Google Chrome preglednik, konkurentan Microsoftvom Internet Exploreru, označivši ga kao Zbot trojanca.

Sistemski problemi

Pokretanje više antivirusa istovremeno može ugroziti sistemske performanse i, još važnije, uzrokovati konflikte među antivirusima. Zbog toga će mnogi antivirusi odbiti da se instaliraju ukoliko otkriju da na sistemu djeluje i neki drugi antivirus. Ipak, pomoću koncepta koji se naziva multiskening nekoliko je firmi (uključujući i G Data te Microsoft) uspjelo napraviti aplikacije koje istovremeno pokreću više enginea.

Ponekad je neophodno se privremeno isključiti antivirus, npr. tokom instalacije servisnih paketa za Windowse (što je i preporuka Microsofta) i osvježavanja drivera za grafičku karticu - iz razloga što antivirus može djelimično ili posve spriječiti ovakve znatne sistemske izmene.

Antivirusi također mogu srozati funkcionalnost nekoliko legitimnih aplikacija. TrueCrypt, program za enkripciju diskova, može se sukobiti sa antivirusom, što dovodi ili do nemogućnosti funkcionisanja ili velike sporosti programa. I igre na Steam platformi mogu imati problema sa antivirusnim softverom; mogu biti nestabilne ili se sporo izvoditi.

Pouzdanost

Studije provedene u decembru 2007. godine pokazale su da se pouzdanost antivirusnog softvera smanjila u odnosu na prethodnu godinu, posebno protiv nepoznatih pretnji. Njemački kompjuterski magazin c't otkrio je da se njihova razina detekcije smanjila sa 40-50% (2006.) na 20-30% (2007.). Iznimka je bio NOD32, koji je u to vreme uspio ostvariti razinu od 68 posto.

Problem je dodatno uvećan zbog činjenice da je, za razliku od nekad, danas često da pisce malicioznog softvera finansuju kriminalne organizacije. Nije rijetkost da kriminalne organizacije koje nemaju dovoljno tehničkog znanja za pisanje malwarea čak kupuju maliciozne pakete od programera, kojima cijene variraju ovisno o kompleksnosti i broju opcija, a kreću se od tristotinjak pa sve do preko hiljadu eura. Pakete je moguće zasebno podesiti da se izbace ili uvedu neke druge opcije, u zavisnosti o želji kriminalaca, a onda ukupna cijena ovisi o komponentama koje su izabrane.

Nezavisna testiranja antivirusa u februaru 2010. pokazala su da najbolja razina detekcije iznosi 99,6%, a najmanja samo 81,8%. Svi antivirusi u testiranju imali su određen broj lažno pozitivnih rezultata, neki više, neki manje. Iako se metodologije razlikuju, neke istaknute nezavisne kompanije za testiranje uključuju AV-Comparatives, ICSA Labs, West Coast Labs, Virus Bulletin, AV-TEST i ostale članice Anti-Malware Testing Standards Organization-a. Valja pomenuti da je testiranje antivirusnih programa vrlo složeno te da varira o mnogim faktorima.

Novi virusi

Antivirusni programi mogu biti nepouzdani protiv novih virusa, čak i kada koriste metode detekcije koje se ne baziraju na potpisima. Razlog za ovo je što pisci virusa testiraju svoja "djela" na najpoznatijim antivirusima kako bi bili sigurni da nisu prepoznati, prije nego što su pušteni "u divljinu".

Određeni maliciozni softver, nadasve ransomware (koji zaključava pristup sistemu te prikazuje lažnu poruku korisniku da uplati određen iznos novca za njegovo otključavanje), koristi polimorfični kod kako bi onemogućio i izbjegao detekciju antivirusa. Sigurnosni analitičar Jerome Segura ovako je objasnio tu pojavu:

To je nešto što im promakne mnogo puta zato što ovaj tip virusa, ransomware, dolazi sa internetskih siteova koji koriste polimorfizam, što znači da ti siteovi praktički randomizuju datoteku koju vam pošalju, a koja vrlo jednostavno bude propuštena pokraj poznatih antivirusnih proizvoda. Imao sam prilike vidjeti ljude sa zaraženim sistemima, sa puno skočnih prozora, a oni opet imaju instaliran antivirusni softver koji ništa ne detektira. Zapravo može biti dosta teško riješiti se toga, a i tada niste sigurni da li je zaista nestalo. Kada vidimo nešto ovakvo, obično savjetujemo reinstalaciju operativnog sistema ili sigurnosne kopije podataka.

Rootkit

Detekcija rootkita predstavlja veliki izazov za antiviruse, obzirom da rootkiti imaju potpuni administratorski pristup kompjuteru, te su nevidljivi korisniku na spisku procesa u Task Managera; također mogu izmijeniti unutrašnje funkcije sistema kao i antivirusa.

Oštećene datoteke

Datoteke oštećene virusima obično se ne mogu vratiti u prijašnje stanje. Antivirusni softver prilikom dezinfekcije uklanja virusni kod iz datoteke, ali to ne dovodi nužno to njenog vraćanja u originalno stanje. Tada se mogu povratiti jedino iz sigurnosnih kopija (backupa); softver koji je zbog oštećenja postao neiskoristiv treba da se ponovo instalirati.

Srećom, ako su u pitanju datoteke Windowsa, postoji rješenje u vidu System File Checker-a, malo poznate aplikacije koja dolazi sa tim operativnim sistemom. U slučaju da otkrije oštećene datoteke pokušat će ih zamijeniti ispravnima (ponekad će biti potrebno da korisnik stavi instalacijski disk Windowsa da to uspije).

Druge metode

Antivirus "u oblaku"

Antivirus u oblaku, ili na engl. cloud antivirus, je tehnologija koja koristi perolaki agentski sofver na njime zaštićenom kompjuteru. Jedan način implementacije antivirusa u oblaku uključuje skeniranje datoteka korištenjem više antivirusnim jezgri (enginea). Ovakav pristup populariziran je ranim oblikom implementacije koncepta cloud antivirusa koji se zove CloudAV. CloudAV je dizajniran da šalje programe i dokumente na tzv. mrežni oblak, gdje bi ih simultano skeniralo više antivirusa u svrhu poboljšavanja razine detekcije.

Primjeri antivirusa u oblaku su Panda Cloud Antivirus i Immunet.

Mrežni vatrozid

Mrežni vatrozidi onemogućavaju da nepoznati programi i procesi pristupe sistemu. Oni nisu antivirusi niti njihove alternative; ne pokušavaju detektirati ili ukloniti bilo šta. Ipak mogu spriječiti infekciju koja dolazi van zaštićenog kompjutera ili njegove mreže, i ograničiti aktivnosti malicioznog softvera blokiranjem dolaznih i odlaznih zahtjeva na određenim TCP/IP portovima.

Online skeniranje

Neki antivirusni proizvođači održavaju svoje internetske siteove koji nude besplatno skeniranje kompjutera - čitavog sistema, samo kritičnih područja, lokalnih diskova, mapa ili datoteka. Periodično skeniranje je i više nego dobra ideja, posebno zato što su antivirusi ponekad spori u hvatanju prijetnji. Može se desiti i da maliciozni softver onesposobi antivirus, pa je barem za otkrivanje prijetnje potrebno okrenuti se online skeniranju - osim ako maliciozni softver prethodno nije onesposobio sigurnosne stranice - i to je moguće.

Specijalizovane alatke

Postoje alati za uklanjanje nekih određenih ili posebno tvrdoglavih vrsta malicioznog softvera. U takve spadaju Trend Microv Rootkit Buster, rkhunter (oba za detekciju rootkita), Avirin AntiVir Removal Tool i Threat Removal Tool PCTools-a.

Pokretanje antivirusnog softvera van instaliranog operativnog sistema može se vršiti pomoću bootabilnog diska za spašavanje (rescue disk), koji može biti CD, USB stik i slično. Ovakav antivirus na disku može biti koristan kada se operativni sistem više ne može pokrenuti, te je zaražen malwareom koji se odupire svim pokušajima uklanjanja "klasičnim" antivirusnim paketima. Ovakva rješenja postoje u vidu: Avirinog AntiVir Rescue System, Alternate Operating System Scanner PCTools-a, i AVG-ovog Rescue CD-a.

Rizici nekorištenja

Velike tvrtke godišnje izgube 12 miliona dolara zbog problema sa malicionim softverom. Po anketi koju je 2009. godine proveo Symantec, čak trećina malih do srednje velikih tvrtki tada nije imala antivirusnu zaštitu, dok je preko 80% kućnih korisnika na svom kompjuteru imalo instaliran neki antivirusni softver.