© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 1 Hva er et datavirus –Et datavirus er et kjørbart program som er laget.

Presentasjon om: "© UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 1 Hva er et datavirus –Et datavirus er et kjørbart program som er laget."— Utskrift av presentasjonen:

1 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 1 Hva er et datavirus –Et datavirus er et kjørbart program som er laget for å kopiere seg selv til en fil eller oppstartssektor. –Utvidet definisjon: virus omfatter også flere ulike program som skjuler en destruktiv side og/eller forsøker å spre seg til andre maskiner. (trojan, orm) Antivirusprogram ved UiO –Windows: F-Secure AV (www.f-secure.com) –Mac: Norton Antivirus (NAV) (www.symantec.com) –Unix/Windows/Mac: Sophos (www.sophos.com) Anders Widding Usit/pcadm a.r.widding@usit.uio.no April 2003a.r.widding@usit.uio.no

2 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 2 Hva kan infiseres? Programfiler Oppstartssektorer Programmer som kjører makrokode (Office) Også backup

3 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 3 Virus kan ikke infisere Skrivebeskyttede disketter Grafikkfiler Tekstbaserte e-post meldinger Hardware

4 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 4 Kort historikk 1986: Boot 1987: Filvirus 1992: Dramatisk økning av virus (menystyrte program til å lage virus) 1995: Macrovirus 2000: Scriptvirus og første virus for Palm

5 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 5 Nyere historie MSBlast, Welchia, Sobig, MyDoom fjorårets verste. Social engineering og mass mailer ormer Typisk ormer som utnytter sikkerhetshull. Spredning også via Kazaa, delte mapper, IRC. Økning i Asia, færre fra USA (økt strafferamme i USA).

6 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 6 Framtid Økende grad av prof. målrettede angrep (ref DNS-rot angrep). Hjemmemaskiner stadig mer aktuelle mål grunnet økt båndbredde og kraftige maskiner med stor lagringskapasitet. Flere 0-day ormer, rask patching stadig viktigere Mer bruk av P2P og IM for spredning

7 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 7 Hovedtyper av virus Oppstartssektor (Boot) Filvirus (inkludert companion) Macro Trojan Ormer

8 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 8 Bootvirus Infiserer Master Boot Record eller Dos bootsektor på harddisk og diskett Harddisk infiseres fra diskett Infisert harddisk infiserer alle disketter som ikke skrivebeskyttes

9 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 9 Filvirus Infiserer kjørbare filer (*.exe, *.com) Residente (minnefaste) Tids- eller handlings-styrt payload

10 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 10 Companion Velger ut en.exe fil og oppretter.com fil med samme navn..com fila inneholder viruskoden og kjøres før.exe fila når program startes uten at filtypen spesifiseres (eks: c:\windows\notepad )

11 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 11 Macrovirus Stor utbredelse Første oppdaget i august 1995. 2000 jan 98 og +9000 høst -2000. Infiserer alle filer som bruker macrospråk (Word, Excel, Access) Smittekilde: typisk word-filer som mailvedlegg. Eks. Melissa

12 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 12 Trojanere Skjuler seg i et annet program Eks.: Fjernstyringsprogram som Back Orifice og Netbus.

13 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 13 Ormer Er i stand til å overføre seg selv til andre maskiner via nettverket uten brukerhjelp. Meget effektiv spredning. Hard nettverksbelastning. Welchia, MSBlast, e-post ormer

14 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 14 HOAX Hoax = bløff Sterk utbredelse Eks: Win A Holiday If you receive an email titled "WIN A HOLIDAY" DO NOT open it. It will erase everything on your hard drive. Forward this letter outto as many people as you can. This is a new, very malicious virus and not many people know about it. This information was announced yesterday (16/2/98) morning from Microsoft; www.datafellows.com/virus-info/hoax/

15 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 15 Kampen mellom virus og av- program Stealth (Fanger opp systemkall og sender feilinfo) Polymorfe virus (endrer egen kode) Retrovirus (angriper av-program) Multipartisjonsvirus (flere infeksjonsteknikker)

16 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 16 Virus-symptomer Maskinen er treg (minnebruk, program bruker lang tid på å starte) Endring av filstørrelser, dato Redusert minne/diskplass Feilmeldinger/skjermaktivitet Programmer vil ikke starte Husk: Ikke nødvendigvis virus som er årsaken!

17 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 17 Antivirusprogram på UiO PC: F-Secure AV (Leverandør: www.pdi.no) http://www.usit.uio.no/it/pc/antivirus/

18 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 18 F-Secure AV www.f-secure.com (www.pdi.no)www.f-secure.comwww.pdi.no F-secure Management Agent F-secure Antivirus 5.4x Tre søkemotorer (f-prot, Orion og AVP) Real-Time Protection skal være aktiv!

19 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 19 Installasjon Fra p:\site\antivirus\fsec-av via Tivoli Hjemmepc: last ned fra www.pdi.no Se veiledning på www NT-inst. Krever admin-rettigheter

20 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 20 Når virus er funnet: F-secure blokkerer tilgang til infisert fil. Brukere varsler IT-ansvarlig Brukere skal ikke videreformidle advarsler (hoax) Varsle andre brukere av samme maskin eller dokument. Avhengig av virus:passord-bytte? Sjekk (disketter) og hjemmemaskin.

21 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 21 Vil du vite mer? www.usit.uio.no/it/pc/antivirus/ www.F-secure.com F-secure Brukerhåndbok (p:\site\antivirus\fsec- av\dokumentasjon. www.sophos.com www.virusbtn.com

22 © UNIVERSITETETS SENTER FOR INFORMASJONSTEKNOLOGI UNIVERSITETET I OSLO USIT Side 22 Windows Firewall På som default i Windows XP SP2 Blokkerer (nesten) all innkommende trafikk per default Kan konfigureres via Group Policies Fortsatt under uttesting