Классификация и описание вредоносных программ и вирусов

HLL-вирусы и черви

В данную группу объединяют вирусы и черви, написанные на языках программирования высокого уровня (High Level Languages), таких как С, С++, Pascal, Basic и других. Выделяют 5 классов таких угроз:

Классы		Описание
1	HLLC (High Level Language Companion)	Вредоносная программа-компаньон, которая использует алгоритм инфицирования, базирующийся на манипуляции именами файлов в файловой системе. HLLC-вирус, как правило, переименовывает оригиналы исполняемых файлов (или перемещает их в другие папки), а затем использует оригинальные названия для создания вирусных копий. Пример: Win32.HLLC.Kitty, HLLC.3431.
2	HLLO (High Level Language Overwriting)	Вредоносная программа, которая перезаписывает содержимое файла-жертвы. Пример: HLLO.Cruel, Win32.HLLO.Blop.
3	HLLP (High Level Language Parasitic)	Паразитическая вредоносная программа, которая заражает исполняемые файлы, не повреждая их данные. Пример: HLLP.4214, Win32.HLLP.Coler.17.
4	HLLM (High Level Language MassMailing Worm)	Вредоносная программа-червь, рассылающая себя по электронной почте. Пример: Win32.HLLM.MailSpamer.
5	HLLW (High Level Language Worm)	Вредоносная программа-червь, которая для распространения использует компьютерные сети или съемные носители. Пример: HLLW.Duke.8820, Win32.HLLW.Flame.

Троянские программы

Trojan. — обозначение обширного класса вредоносных программ, относящихся к типу троянских приложений (троянов). Как правило, префикс «Trojan.» универсален и используется при именовании большинства таких угроз независимо от типа атакуемых ими операционных систем. Тем не менее, в некоторых случаях вместо него может использоваться специфический префикс соответствующей платформы (Linux., Android., Mac. и т. д.).
BackDoor. — разновидность троянских программ, которые содержат функции удаленного управления. Эти многофункциональные трояны позволяют злоумышленникам дистанционно контролировать зараженные устройства и выполнять на них различные действия без согласия пользователей.
Пример: BackDoor.Dande, Mac.BackDoor.Siggen.20, Linux.BackDoor.Wirenet.1.

Ниже приведены примеры наиболее распространенных типов троянских приложений в классификации, принятой компанией «Доктор Веб».

PWS. — троянские программы, которые воруют логины и пароли, а иногда и другую конфиденциальную информацию.
Пример: Trojan.PWS.Turist, Android.PWS.3. IPhoneOS.PWS.Stealer.
Encoder. — класс троянских приложений-вымогателей (энкодеры, шифровальщики), которые шифруют файлы на атакованных устройствах и требуют выкуп за их расшифровку.
Пример: Trojan.Encoder.68, Linux.Encoder.1, Android.Encoder.3.origin.
Winlock. — класс вредоносных программ-вымогателей, которые нарушают работу ОС Windows, блокируют компьютеры и вымогают у пользователей деньги за восстановление работоспособности устройств.
Пример: Trojan.Winlock.5490.
Siggen. — вредоносные программы с самым разнообразным набором функций, из-за чего их сложно выделить в какой-либо конкретный подкласс троянов.
Пример: Trojan.Siggen10.1563, Android.Siggen.8895.
MulDrop. — класс троянских приложений, которые скрывают в себе (часто в зашифрованном виде) другое вредоносное или нежелательное ПО. Используются для его распространения и установки в обход антивирусов и незаметно для пользователей.
Пример: Trojan.MulDrop13.32284, Android.MulDrop.924, Linux.MulDrop.14.
DownLoader. — троянские программы, основная функция которых – загрузка, установка и запуск вредоносного, рекламного и другого ненужного ПО на атакуемых устройствах.
Пример: Trojan.DownLoader34.3812.
DownLoad. — то же, что и трояны класса DownLoader.
Пример: Trojan.DownLoad.57289.
Inject. — троянские программы, встраивающие вредоносный код в процессы других приложений.
Пример: Trojan.Inject2.62347.
Keylogger. — троянские программы-шпионы, отслеживающие нажатия клавиш на клавиатуре и перехватывающие вводимые символы.
Пример: Trojan.KeyLogger.20146.
KillProc. — трояны, основная задача которых – завершение процессов других приложений. В зависимости от семейства, версии, модификации и поставленной задачи могут атаковать самые разные процессы – как системные, так и пользовательские.
Пример: Trojan.KillProc.12769.
Packed. — категория троянов, защищенных программными упаковщиками для снижения эффективности обнаружения их антивирусами. Без упаковщика у таких вредоносных приложений может быть другое имя детектирования.
Пример: Trojan.Packed.1198, Android.Packed.15893, Linux.Packed.483.
AVKill. — трояны, атакующие антивирусы. Они могут нарушать работу их отдельных компонентов, повреждать файлы или полностью удалять из системы.
Пример: Trojan.AVKill.2942.
Fakealert. — троянские программы, выдающие себя за настоящие антивирусы и другое защитное ПО. Они информируют о несуществующих угрозах, пугают пользователей и обманом заставляют их купить «полную версию», которая является пустышкой.
Пример: Trojan.Fakealert.23300, Android.Fakealert.11.
BtcMine. — троянские программы, предназначенные для майнинга (добычи) различных криптовалют. Они используют вычислительные мощности заражаемых устройств, замедляя их работу, вызывая перегрев и перерасход электроэнергии.
Пример: Trojan. Trojan.BtcMine.737, Trojan.BtcMine.1259.

Silly-вирусы

Вирусы для операционных систем семейства MS-DOS, которые не обладают какими-либо особенными характеристиками (такими как текстовые строки, воспроизводимые специальные эффекты и т. д.), что не позволяет присвоить им индивидуальные названия.

SillyC. — нерезидентные в памяти вирусы, объектами поражения которых являются только COM-файлы;
SillyE. — нерезидентные в памяти вирусы, объектами поражения которых являются только EXE-файлы;
SillyCE. — нерезидентные в памяти вирусы, объектами поражения которых являются только COM- и EXE-файлы;
SillyRC. — резидентные в памяти вирусы, объектами поражения которых являются только COM-файлы;
SillyRE. — резидентные в памяти вирусы, объектами поражения которых являются только EXE-файлы;
SillyRCE. — резидентные в памяти вирусы, объектами поражения которых являются только COM- и EXE-файлы;
SillyO. — нерезидентные в памяти вирусы, которые перезаписывают файлы;
SillyOR. — резидентные в памяти вирусы, которые перезаписывают файлы.

Макровирусы

В данную группу объединяют вирусы, использующие особенности файлов офисных программ, а также встроенные макроязыки данных приложений. Группа содержит 6 классов вирусов.

Классы		Описание
1	P98M.	Инфицируют документы и шаблоны MS PowerPoint 98.
2	W97M.	Инфицируют документы и шаблоны MS Word 8.0–9.0 (MS Office 97/2000).
3	X97M.	Инфицируют документы MS Excel 8.0–9.0 (MS Office 97/2000).
4	O97M.	Инфицируют одновременно несколько типов файлов MS Office.
5	A97M.	Инфицируют базы данных MS Access 97/2000.
6	StarOffice.	Инфицируют файлы офисного пакета StarOffice, предназначенного для операционных систем Solaris, Microsoft Windows, Linux, macOS.

Вредоносные скрипты

В данную группу объединяют угрозы, написанные на различных интерпретируемых языках. Вредоносные скрипты разделяют на следующие классы:

Классы		Описание
1	VBS.	Написаны на языке программирования Visual Basic Script.
2	JS.	Написаны на языке программирования Java Script.
3	Wscript.	Написаны на языке программирования Windows Script.
4	HTML.	Написаны на языке программирования HTML.
5	Perl.	Написаны на языке программирования Perl.
6	PHP.	Написаны на языке программирования PHP.
7	Python.	Написаны на языке программирования Python.
8	IRC.	Конфигурационные файлы IRC-клиентов, позволяющие злоумышленникам удаленно производить различные вредоносные действия, передавая команды по протоколу IRC.
9	Java.	Написаны на языке программирования Java в виде class-файлов.
10	BAT.	Написаны на языке командного интерпретатора MS-DOS и ОС Windows.
11	LUA.	Написаны на языке программирования Lua.
12	PowerShell.	Написаны на языке сценариев командной оболочки PowerShell в ОС Windows.

Узкоспециализированное вредоносное ПО

В данную группу объединяют угрозы, которые инфицируют файлы определенных программ или используют их ресурсы при атаках. Выделяют несколько классов узкоспециализированных вредоносных приложений:

Классы		Описание
1	ACAD.	Вредоносные программы, написанные на языке AutoLISP и заражающие скрипты приложения AutoCAD.
2	AutoLisp.	Вредоносные программы, написанные на языке AutoLISP.
3	SWF.	Вредоносные flash-файлы, работающие на платформе Adobe Flash Player.
4	1C.	Вредоносные программы, написанные на встроенном языке программирования 1С.

Суффиксы

Обозначение		Расшифровка
1	.based	Означает, что вредоносная или нежелательная программа была обнаружена сигнатурой, общей для определенного семейства, а не для конкретной версии или модификации угрозы. Пример: Win32.HLLW.Shadow.based, Trojan.DownLoader.based.
2	.dropper	Относится к установщикам вирусов, контейнерам, в которых те скрываются. Cами по себе такие контейнеры не являются вирусами. Пример: Vienna.dropper.708, BAT.dropper.230.
3	.origin	Означает, что вредоносная программа была обнаружена с помощью технологии Origins Tracing™ (технология несигнатурного поиска, разработанная специалистами «Доктор Веб»). Пример: Android.Click.248.origin, Program.RiskMarket.1.origin.

ПО для проведения DoS-атак

В данную группу объединяют программы, разработанные для осуществления DoS-атак (от англ. Denial of Service — «отказ в обслуживании») с целью довести вычислительную систему до отказа. В группе выделяют несколько классов.

Классы		Описание
1	DDoS.	Вредоносные программы для осуществления распределенных DDoS-атак (от англ. Distributed Denial of Service), выполняемых одновременно с большого количества устройств. Пример: DDoS.HackNuke, DDoS.Rincux.616, DDoS.Sms.
2	FDOS.	Вредоносные программы, отправляющие большое число запросов к какому-либо сервису, чтобы вывести его из строя. Пример: FDOS.MailCheck, FDOS.Portbomber, FDOS.ARPKiller.12.
3	Flooder.	Вредоносные программы-спамеры (от англ. Flood — «наводнение»), отправляющие большое число сообщений электронной почты с целью вывести из строя почтовые серверы или парализовать почтовый ящик жертвы. Пример: Flooder.MBomber.11, Flooder.Paramail.20, Flooder.Mobkill.

Потенциально опасное и нежелательное ПО

В данную группу объединяют программы, которые представляют потенциальную опасность и в определенных случаях могут быть нежелательными (например, если были установлены без разрешения пользователя или путем обмана). Они не являются вредоносными и неспособны к самовоспроизведению (не относятся к разряду вирусов).

Классы		Описание
1	Adware.	Программное обеспечение, демонстрирующее рекламу на устройствах пользователей без их согласия. Пример: Adware.Adshot, Adware.GameVance.11, Adware.Adpush.36.origin.
2	Dialer.	Программы, которые используют модемное (телефонное) соединение для подключения пользователей к Интернету или доступу к определенным сайтам. В зависимости от типа могут применяться как по прямому назначению, так и для незаконного подключения жертв к дорогостоящим телефонным линям и номерам с повышенной тарификацией. Пример: Dialer.Xnet, Dialer.Premium.195.
3	Joke.	Программы-шутки. Могут имитировать действия вредоносных программ, пугать пользователей, неожиданно показывать окна или изображения, воспроизводить музыку и звуки, менять настройки системы и т. д. Пример: Joke.Horror, Joke.Slidescreen, Joke.Matrix,
4	Program.	Нежелательные программы с сомнительной функциональностью, которые тем или иным образом способны навредить пользователям. Например, они могут изменять настройки операционной системы и других программ, демонстрировать вводящие в заблуждение уведомления, рекламу, устанавливать ПО и т. п. Пример: Program.VNCRemote.1, Program.Unwanted.663.
5	Tool.	Потенциально опасные программы и хакерские утилиты. Не являются вредоносными и могут применяться как пользователями в повседневных задачах, так и злоумышленниками для совершения атак. Использование таких приложений без специальных знаний или подготовки может привести к потере данных, изменению настроек системы и другим непредвиденным последствиям. Пример: Tool.Rooter, Tool.BtcMine.810, Tool.PassView.1832.

Угрозы для различных ОС

В данную группу объединяют вирусы и прочие вредоносные приложения, разработанные для определенных операционных систем (ОС) и программных платформ. В зависимости от типа атакуемой системы выделяют следующие классы угроз:

Классы		Описание
1	Android.	Для ОС Android (мобильная ОС).
2	BeOS.	Для операционной системы BeOS.
3	FreeBSD.	Для операционной системы FreeBSD.
4	IPhoneOS.	Для операционной системы iOS (мобильная ОС).
5	Linux.	Вирусы, которые заражают исполняемые файлы операционных систем семейства Linux, а также другие вредоносные программы, предназначенные для работы в этих системах.
6	Mac.	Для операционной системы macOS.
7	MeOS.	Для операционной системы MeOS.
8	OS2.	Поражают исполняемые файлы (LX) операционной системы OS/2.
9	SunOS.	Для ОС SunOS (Solaris).
10	Symbian.	Для операционной системы Symbian OS (мобильная ОС).
10	Win.	Вирусы, которые поражают 16-битные исполняемые файлы (NE) в ОС Windows (NewExe — формат исполняемых файлов операционной системы Windows 3.xx). Некоторые из них могут работать не только в ОС Windows 3.xx, но также и в ОС Windows 95/98.
12	Win95.	Вирусы, поражающие 32-битные исполняемые файлы (PE и LE(VxD)) операционных систем Windows 95/98.
13	Win98.	Для операционной системы Windows 98.
14	Win2K.	Для операционной системы Windows 2000.
15	Win9x.	Вирусы, предназначенные для работы в ОС семейства Windows 95/98, ME.
16	Win32.	Вирусы, которые заражают 32-битные исполняемые файлы (PE) операционных систем Windows 95/98/NT. Кроме того, к этому классу относят и другие вредоносные программы, работающие в среде 32-битных ОС семейства Windows.
17	Win32/Linux.	Кросс-платформенные вирусы, способные одновременно заражать EXE- и ELF-файлы программ для операционных систем Windows и Linux.
18	Win64.	Для 64-разрядных версий ОС Windows.
19	WinCE.	Вирусы и другие вредоносные программы для операционных систем WinCE и Windows Mobile (мобильные ОС).

Инструменты создания вредоносного ПО

1	VirusConstructor.	Специализированные программы-конструкторы для создания вирусов по заранее заготовленным шаблонам. Пример: VirusConstructor.SHVK.12, VirusConstructor.MCK, VirusConstructor.Vbwcg.
2	.Generator	Конструкторы, генерирующие готовые вирусы. Пример: Energy.Generator.23, Snakebyte.Generator.45, Pbox.Generator.
3	Constructor.	Утилиты, позволяющие создавать вредоносные программы (троянов, червей и т. п.) с определенными параметрами и функциями, выбираемыми злоумышленниками. Пример: Constructor.Siggen.

Эксплойты

Exploit. — данные или программный код, предназначенные для эксплуатации уязвимостей в операционных системах или в определенных приложениях.

Пример: Exploit.BlackHole, Exploit.Java, Exploit.PDF.881.

Технологии

Термины

Обучение и просвещение

Мифы

Наименования угроз по классификации «Доктор Веб»