Internet kan slås ut på 15 minuter

Blandat hot

En mix av flera olika typer av farlig kod kallas ibland för blandat hot. Genom denna blandning kan de spridas mycket fortare eftersom upphovsmännen kombinerar de olika teknikerna, och utnyttjar flera olika säkerhetshål i datorsystemen. Det finns mängder av sådana mix-program av skadlig kod, men ett av de kända är ”Appix”. Det är en blandning av mask, virus och trojan (se dessa ord) som kan sätta antivirusskyddet ur spel. Programmet smittar sig bland annat vidare genom att använda sig av en egen mailserver. Två andra smittvägar är via besök på en webbsida eller genom fildelningsprogram som till exempel KaZaA.

Datorvirus

Likt ett biologiskt virus kan ett datavirus inte reproducera sig utan tillgång till en värdkropp och dess celler. Ett datavirus är ett program som använder värddatorer för att kopiera sig själv och sprida sig till nya program och användare. Ett virus gömmer sig oftast i en dators operativsystem eller i något av datorns program. Virus sprider sig okontrollerat via filer eller disketter och kan till exempel orsaka att filer försvinner, minnet fylls upp, lösenord stjäls eller egentligen precis vad som helst som programinstruktioner kan tänkas utföra på beställning.

Datorvirus har fyra egenskaper:

• Spridning. – Ett virus gör hela tiden kopior av sig och sprider på detta sätt sig över hårddiskar och nätverk. Det är denna egenskap som givit viruset sitt namn.
• ”Körbart.” – Ett virus kan inte starta av sig självt utan måste startas av någon eller något. Därför utnyttjar ofta viruset datorns operativsystem som startmotor. För att klara detta gör viruset en liten ändring i operativsystemets program och får därigenom gratis starthjälp.
• Sidoeffekter – Virus innehåller vanligtvis inte bara en kod för spridning utan har även en kod för att förstöra eller ändra. Detta brukar liknas vid en robot med en stridsspets, där koden för förökning är själva roboten och stridsspetsen innehåller sidoeffekterna.
• Osynligt – För att ett virus skall kunna föröka sig och lyckas utföra sidoeffekterna är det väsentligt att det inte upptäcks i ett tidigt stadium. Virus utnyttjar vanligtvis två möjligheter till att gömma sig, kryptering eller smygteknik.

Precis som Skadlig kod är ett samlingsnamn över en rad olika typer av program, är datorvirus ett samlingsnamn för många olika typer av virusliknande program. Nedan följer några underavdelningar:

Multipartite virus

Ett virus som består av flera delar. Varje del måste rensas bort för att vara försäkrad om att systemet blir rent.

Prepending

Ett virus som smittar en fil genom prepending lägger till sig själv efter programmet det smittar istället för att skriva över det. Denna metod används nästan uteslutande idag. Eftersom viruset inte ändrar på programmet märker användaren inte av att en fil har blivit smittad. Ett prepending virus är större än ett överskrivnings virus men detta spelar inte någon roll med dagens hårddiskstorlekar.

Polymorfa virus, Mutering

Poly betyder många, och ett polymorft virus ändrar sig själv till att få många olika utseenden. Polymorfa virus förändrar sitt utseende varje gång det startas och kopieras. På så sätt blir inget virus det andra likt och därmed svårare att hitta. Förändringen sker på olika sätt, men framför allt med hjälp av krypteringsteknik.Den vanligaste tekniken att hitta ett virus är så kallad scanning. Scanning innebär att man använder en för viruset karaktäristisk söksträng för att hitta det. Men om viruset är förvrängt genom kryptering är det omöjligt att använda söksträngar för att hitta det. Därför krypteras ofta viruset för att undgå upptäckt, sedan dekrypteras det innan det startas. Det finns många virus som använder krypteringsteknik, till exempel Cascade, men de kallas ändå inte för polymorfa virus, eftersom de alltid använder samma dekrypteringskod. Denna kod kan enkelt hittas av simpla söksträngsbaserade antivirusprogram. Mutering eller polymorphism utgör en virustyp där både krypterings- och dekrypteringskoden förändras.

Stealth virus

Uttrycket stealth kommer från militära plan eller projektiler som inte syns på radarn. Syftet är att få datorn att tro att den inte är infekterad. Ett Stealth-virus kan till exempel ta bort sig själv från filerna när ett antivirus program startas för att sedan infektera dem igen när programmet avslutas. Det finns även virus som ändrar så filerna verkar lika stora som innan de blev infekterade.

För att undvika upptäckt undersöker ett Stealth-virus om det tidigare har startats något antivirusprogram, om viruset hittar ett sådant sänder det ut falska bilder av sig själv, för att lura antivirusprogrammet. Ett Stealth-virus är ett virus, som när det är ”aktivt”, gömmer de ändringar det gjort i filer och bootsektorer. Detta görs i typfallet genom att bevaka de systemfunktioner som används för att läsa av filer eller sektorer på lagringsmedia och förfalska resultatet av en sådan läsning. Detta innebär att program som försöker läsa en smittad fil eller sektor, endast ser den vanliga icke infekterade filen istället för den verkliga smittade varianten. På så vis kan virusets förändringar slinka förbi även antivirusprogram. Men för att kunna göra detta krävs att viruset är minnesresident, något som i sin tur kan upptäckas av antivirusprogram.

Ett tidigt exempel på ett Stealth-virus heter Hare. Då datorn startas om den 22 augusti skrivs texten: ”by Demon Emperor: Hare Krisna, hare, hare…”

Makrovirus

Denna typ av virus sprider sig med hjälp av bland annat Word dokument och började dyka upp under 90-talet. Ibland sägs att makrovirus utgör mer än 80 % av alla virus.

Med ett makro kan man skapa genvägar för sitt arbete. Man kan till exempel lägga in ett makro i Word, Excel och flera andra program, så att man med ett par enkla knapptryckningar formaterar ett dokument efter en viss mall. Sedan går det att spara dokumentet och skicka det till en mottagare. Makrot underlättar på så vis arbetet, i synnerhet det rutinmässiga, och sparar en massa tid.

Makrokommandon skrivs i särskilda makrospråk och dessa är så kraftfulla att de lätt kan användas för att skapa farlig kod. Makrospråken i Word, Excel och andra Windows-program kan användas för att programmera om delar av operativsystemet.

Melissa är ett exempel på ett makrovirus. Det började dyka upp i diskussionslistor på nätet under början av 1999. Det spreds genom en bifogad, infekterad Word-fil. I ärenderaden stod: ”Viktigt meddelande från XX”, där XX var en persons namn. I brevet stod sedan ”Här är brevet du väntat på! Visa det inte för någon annan”. Flera olika varianter på detta tema finns. Då dokumentet öppnas smittas datorn. Virusprogrammet stjäl sedan adresser ur adressboken i Outlook Express. Därefter skickar Melissa automatiskt ut meddelanden till de 50 första i adressboken. Var och en av dessa personer får sedan var sin Word-fil och snart skickas en otrolig mängd bilagor runt Internet. Flera företag har fått sina mailservrar överbelastade av dessa bilagor.

Retro-virus

En typ av virus som väntar tills alla tänkbara backup-medier har infekterats innan det genomför synliga angrepp. Därigenom går det inte att återställa systemet i osmittat skick. Det här är ett virus som är konstruerat för att undgå upptäckt av antivirusprogram och kallas ibland för ”anti-anti-virus-virus”.

Trojansk häst

En trojansk häst är en form av sabotage som genomförs via ett program som samtidigt (till synes) uträttar en meningsfull uppgift. Liksom i den grekiska mytologin ligger det skadliga uppgifterna inbyggt inuti bäraren. Ett användbart och nyttigt datorprogram kan alltså vara bärare av skadliga instruktioner.

Trojanska hästar har för det mesta namn som gör att de ser ut att vara spel, skärmsläckare eller andra enkla datorprogram. När de sedan används kan de ställa till med stor skada för användaren, till exempel radera filer, ändra på data, stjäla lösenord eller andra känsliga uppgifter. Det kan också vara att öppna upp säkerhetshål i datorn som med ”Netbus” och ”Back Orifice” (se dessa nedan).

En del datorvirus bär med sig trojanska hästar och installerar dem osynligt, men det kan även ske tvärtom att en trojansk häst bär med sig ett eller flera virus. Trojanska hästar De förökar sig inte på egen hand som ett virus, gör inte kopior av sig själv som en mask utan sprids vanligen genom e-post eller nedladdning från webben.

Bland de farligaste trojanska hästarna är de som öppnar upp säkerhetsbrister i ens dator genom att installera en bakdörr. En bakdörr innebär att vem som helst på Internet kan få full access i din dator. Med andra ord så kan en annan person till exempel fjärrstyra din dator över nätet, ladda upp/ner filer (inklusive lösenordsfiler), köra program, formatera hårddisken, radera filer, se vad du skriver, öppna stänga cd-rom spelarens släde, avlyssna inkopplade mikrofoner med mera.

Det finns flera exempel på trojanska hästar som öppnar upp bakdörrar för program som Netbus och Back Orifice. Dessa dök upp under 1998 och tillåter alltså att en annan användare går in och fjärrstyr datorn. Den ursprungliga tanken bakom detta är funktionen att kunna sköta ett datornät från distans, för att slippa närvara rent fysiskt varje gång något behöver åtgärdas.

Ett annat exempel på trojansk häst och som körs från en fjärrvärd och som kan användas för att styra ett datorsystem eller få det att angripa andra nät kallas Trin00. Programmet klassificeras även som ett angreppsverktyg av typen distribuerad Denial of Service, DoS (se detta ord).

Logisk bomb, Time bomb, Tidsbomb

En speciell form av trojansk häst kallas för en logisk bomb. Den attackerar vid särskilda tillfällen, antingen vid bestämda klockslag, eller vid särskilda omständigheter. En sådan omständighet kan vara att en viss person loggar in på datorn/nätverket eller att ett program startas. En logisk bomb är en enkel ”if” – sats som sätts i verksamhet så fort som de ingående parametrarna införlivas. Detta kan vara en speciell tid eller så fort ett namn används eller utelämnas.

Ett gammalt känt fall gällde en programmerare som arbetade med systemet kring företagets lönelistor. Han beslutade helt enkelt att försäkra sig om ett jobb på firman genom att implementera en logisk bomb som frigjordes så fort som hans namn togs bort ur lönelistan. På detta sätt skulle han inte kunna bli sparkad utan vidare. Det visade sig att han just blev sparkad och den logiska bomben sattes i verksamhet med filradering mm som följd. Det var inte förrän han blev lovad en fortsatt anställning som han avslöjade var i programkoden den logiska bomben låg. Han blev aldrig åtalad.

Datormask

På samma sätt som ett datorvirus använder sig en mask av datorer som värdar för att reproducera sig. Till skillnad från ett virus rör sig en mask mer självständigt över ett nätverk och letar upp friska värdar att smitta ned. En mask kopierar sig själv med identiska kopior och växer därigenom ohämmat. En mask är inte ett ”virus” i egentlig bemärkelse, eftersom det kan reproducera sig själv på egen hand. Ett bra exempel är masken ILOVEYOU, som automatiskt skickade sig själv med e-post till alla adresser i windows-mottagarens adressbok.

Maskar kan mycket snabbt spridas till hundratusentals datorer via lokala nätverk och Internet. Även maskar kan bära med sig andra skadliga instruktioner och program.

Det finns i princip två typer av maskar, de som drabbar vanliga användare i form av infekterade datorer, (och ofta massutskick med e-brev) och de som angriper nätverkens serverar. De senare är minst lika allvarliga, även om dessa inte syns för slutanvändaren mer än i form av att nätverk eller webbsidor slutar fungera. Ett exempel på sådan servermask är Code Red, som även har fått en rad underavdelningar.

Code Red utnyttjade ursprungligen en bugg i Microsofts webbserver Internet Information Server (finns i Windows NT och Windows 2000 och kan inte drabba andra operativsystem) som gör det möjligt för i stort sett vem som helst att ta kontroll över webbservern.

Denna bugg har varit känd en längre tid, men ett stort antal webbservrar inte fått denna bugg fixad och är därmed mottagliga för denna mask.

Detta faktum har gjort det enkelt för Code Red att sprida sig mycket snabbt. Det räckte med att endast en server smittades med Code Red. Denna server började sedan leta upp andra servrar på Internet som inte fått den aktuella buggen fixad. Varje ny server som smittades blev en marionett i sökandet efter nya måltavlor.Detta gjorde att spridningen av Code Red blev exponentiell och lyckades smitta över 200 000 webbservar världen över inom loppet av några timmar.

Farliga script

ActiveX är en teknik som har utvecklats av Microsoft för att olika programkomponenter ska kunna samverka i nätverksmiljö, som till exempel Internet, oavsett vilket programmeringsspråk som använts för att skapa dem. Microsofts Office-assistent ”Gemet” använder ActiveX-teknik. Farlig kod kan användas för att missbruka befintliga ActiveX-komponenter eller finnas med i nya ActiveX-komponenter som man laddar ned till datorn.

Java miniprogram, script, är program som startas automatiskt och är skrivna i Java (ursprungligen utvecklat av Sun Microsystems). Java miniprogram klarar av hur många uppgifter som helst och kan bäddas in i webbsidor och skickas som e-postbilagor. Skadliga JavaScript kan utgöra ett allvarligt hot, eftersom de flesta webbläsare startar dem automatiskt.

Fientliga script är i korthet fientliga koder så som ActiveX-komponenter och JavaScript som göms i html-kod på webbsidor eller i mail. Script är en företeelse som växer sig allt starkare. Förr behövde man ofta dubbelklicka på en länk eller bifogad fil för att datorn skulle bli smittad. Med dessa script räcker det oftast att besöka en sida med dessa script för att infektera datorn. Både JavaScript och Active X är tillräckligt kraftfulla för att infoga skadlig kod när man surfar.

Cookie, Kaka

Ett meddelande från webbservern till webbläsaren som kan innehålla information om slutanvändaren. Webbläsaren lagrar meddelandet i en textfil och skickar tillbaka meddelandet till servern varje gång webbläsaren vill ha en webbsida från servern. Exempel på data som ofta lagras är information om användarens surfvanor, intressen eller demografiska uppgifter. Tekniken används också för att identifiera användare och anpassa inställningarna på webbsidor. Cookies kan även användas för att spåra användarens aktiviteter på en webbplats. Coockie-systemet har alltså utvecklats för nyttiga funktioner, men kan även missbrukas för att spionera på användare.

DoS attack

DoS står för ”Denial of Service” och innebär att måldatorn för en DoS attack blir så upptagen så att dess tjänster inte längre blir nåbara för någon. Eller att bandbredden fylls upp så att inkommande uppkopplingar inte får en chans att tränga igenom. En tjänst är t ex web, mail, ftp, uppkoppling mot Internet eller annat. Exempel på en DoS attack är att en webbserver inte längre går att nå på grund av att någon person gör väldigt många uppkopplingar mot webbservern.

Mailbomb

Detta är när e-brev skickats massor med gånger till en och samma person med avsikt att fylla upp personens e-brevlåda.

Hoax, Falska varningar

Ett så kallat hoax är en varning om en farlig kod som inte finns, det vill säga ett elakt rykte som du uppmanas att skicka vidare till alla du känner. Varningarna som brukar cirkulera via e-postmeddelanden på Internet skrämmer upp människor i onödan. Virushoax eller ”falska virus” kallar man meddelanden som varnar om virus i e-posten. Brev som varnar alla för att öppna e-post med ärenderaden ”Win a Holiday” eller ”Good Times” är sällan sanna utan där består ”viruset” av att alla skickar meddelandet vidare.

Spyware, Spionprogram

Spionprogram kallas all mjukvara eller program som utnyttjar en användares Internet-uppkoppling i bakgrunden ( eng. ”backchannel”) utan dennes vetskap eller tillåtelse. En tyst användning i bakgrunden av Internets ”backchannel” kräver en fullständig och sanningsenlig redovisning av backkanalens användning, samt ett uttryckligt samtycke till en sådan användning. Utan tillstånd betraktas handlingen som stöld av information.

SATAN (Security Administrator Tool for Analyzing Networks)

SATAN är ett verktyg för att från en fjärranslutning känna av och identifiera de sårbara punkterna i IP-nät. Det kan användas av nätverksansvariga för att identifiera systemets säkerhetssvagheter. Det kan också användas av hackare för att upptäcka systemets svaga punkter.

Piggybacking, Tjuvåkning

Program och system för att vinna otillåtet tillträde till ett system via en annan användares vanliga anslutning.

Zombie

En typ av program eller system i en dator som i hemlighet har försetts med ett vilande program som senare väcks för att starta en gemensam attack på andra system. Zombies är ett relativt nytt fenomen.

Nuke

En så kallad ”nuke” är ett sätt att få måldatorn att frysa, det vill säga helt stanna upp, eller starta om på grund av ett fel i operativsystemet som utnyttjas av den programvara som skickade ut nuke-attacken.

Portscan, Portavsökning

Program och system som undersöker vilka tjänster som är igång i exempel en nätverksserver, dvs går igenom alla portar och ser vilka som är aktiva. Att göra en portscan brukar uppfattas som förberedelse för olaga dataintrång och uppskattas inte. Portavsökning kan nämligen vara ett försök av hackare att hitta en dators eller ett näts svagheter genom att avsöka eller avkänna systemportarna med hjälp av begäran om information. Det kan användas av IT-ansvariga för att upptäcka och åtgärda säkerhetsluckor. Men det kan även användas med onda avsikter för att upptäcka och utnyttja svagheter.

Chipping

Precis som en mjukvara kan innehålla oväntade funktioner kan det också inplanteras sådana funktioner i hårdvaran. Dagens elektroniska kretsar (chip) innehåller många miljoner integrerade kretsar som kan konfigureras så att de kan innehålla oväntade funktioner för systemet och användaren av dessa kretsar. Exempelvis skulle de kunna konstrueras så att de förstörs efter viss tid, alternativt förstörs när de får en viss signal. Kretsarna skulle också kunna leverera en signal för att de ska kunna lägesbestämma systemet/maskinen med det inbäddade kretsen och därefter bekämpas av något annat elektroniskt- eller konventionellt vapensystem. Listan på alternativa möjligheter och påverkansformer med detta medel begränsas nog enbart av fantasin. Säkerhetsexperter tror att om chipping skulle förekomma idag skulle antagligen verkan vara enorm då byggandet av mikrochip är koncentrerat till ett mycket fåtal producenter.

Malware är ett vanligt engelskt namn för alla typer av oönskade program som virus, maskar, trojaner och skämt. Det är i sin tur en förkortning för ”malicious software”, ondsint mjukvara. På svenska rekommenderas begreppet farlig kod som samlingsnamn, men vanligt är också ”elak kod”, ”illasinnad kod” och ”illvillig kod”. En fördel med att använda samlingsnamnet är att de riktigt effektiva programmen i dag använder tekniker hämtade från alla former av virus, maskar och trojanska hästar.

Virus

Datorvirus behöver ett värdprogram eller ett värddokument för att fungera och en dator som det körs på för att kopiera sig själv. En typ av vanliga virus är s k makrovirus som gömmer sig i framför allt Word- och Exceldokument. Virus är också ofta ett samlingsnamn på alla farliga och oönskade program. Ett virus gör ofta oförargliga saker, som att visa en meningslös text eller en fånig gubbe som vandrar över rutan, men det kan också göra mer allvarliga saker, som att radera dokument eller krascha hårddisken.

Mask

Till skillnad från ett virus rör sig en mask mer självständigt över ett nätverk och letar upp friska värdar att smitta ner. De maskar som syns är de som kommer med ett e-brev. De sprids vidare genom att använda den infekterade datorns e-postadresser. Men maskar kan också spridas från server till server i ett datornät. De syns inte för vanliga användare men kan ställa till mycket skada, t ex genom att överlasta nätverket eller föra med sig virus som i sin tur skadar datorerna.

Trojansk häst

En trojansk häst lurar användaren genom att komma förklädd i ett nyttigt och användbart program. Många maskar som sprids genom e-post kallas trojanska eftersom det krävs att man öppnar e-brevet (och därmed startar ett program) för att bli infekterad och skicka masken vidare. I dag nyttjar man också s k fientliga script som medför att bara man tittar på en webbsida eller förhandsgranskar ett e-brev så kan man bli smittad. Trojanska hästar är oftare än maskar och virus medvetet skadliga. De kan öppna datorn för intrång och därmed förstörelse och stöld eller bara skicka känslig information till förövaren via nätet.

År 2000 uppskattade Brottsförebyggande rådet att skador orsakade av farlig kod kostade företagen i Sverige mellan 11 och 52 miljoner kronor. Men även om marginalerna tycks väl tilltagna är siffran osäker. I enkäten som ligger till grund för uppgiften är det endast ett fåtal företag som har kunnat uppskatta den ekonomiska skadan av ett datorvirus.

Kostnaderna består dels av förlorade arbetstimmar pga att datasystemet är ur funktion, dels den arbetsinsats som krävs för att återställa systemen. Har viruset dessutom förstört information kostar det att återskapa den, om det över huvud taget är möjligt.

Det amerikanska analysföretaget Computer Economics har uppskattat viruskostnader sedan 1995. Enligt dem var år 2000 ett rekordår. Kostnaden för företag över hela världen uppskattas till sammanlagt 171 miljarder kronor det året. År 2001 sjönk kostnaden, enligt deras bedömning till 132 miljarder kronor. Att kostnaderna blev så höga 2000 berodde på att många företag helt enkelt inte var förberedda. Dyrast under 2001 var Code Red som enligt Computer Economics kostade företagen 26 miljarder kronor. Siffrorna är grundade på intervjuer med drabbade företag.

För privatpersoner blir ett datorvirus kostsamt främst om man måste lämna in sin dator för att bli av med viruset. I en undersökning av Brottsförebyggande rådet uppgav 10 procent av dem som drabbats av virus att de blivit tvungna att lämna in sin dator för att få den återställd.