Szkodliwe oprogramowanie, które w celu umożliwienia ataku na zainfekowany komputer może np. otworzyć jeden z portów, to
A. keylogger.
B. exploit.
C. trojan.
D. wabbit.
Pytanie z egzaminu CKE, czerwiec 2018 (arkusz E.13-X-18.06).
Oprogramowanie opisane w pytaniu to trojan, dokładniej często trojan z funkcją backdoora. Trojan podszywa się pod legalny program albo ukrywa swoje działanie tak, żeby użytkownik sam go uruchomił lub żeby działał niezauważenie w systemie. Jednym z typowych zachowań jest otwarcie portu sieciowego i nasłuchiwanie na połączenia od atakującego. W praktyce taki port może służyć do zdalnego sterowania komputerem, pobierania kolejnych modułów malware, kradzieży danych albo dołączenia maszyny do botnetu. Moim zdaniem to jest jeden z ważniejszych przykładów, bo pokazuje, że zagrożenie nie musi od razu kasować plików, czasem po prostu cicho daje komuś dostęp. W dobrych praktykach bezpieczeństwa stosuje się zasadę najmniejszych uprawnień, aktualizacje systemu, zaporę sieciową, antymalware/EDR oraz monitoring nietypowych połączeń. Administrator powinien sprawdzać aktywne porty narzędziami typu netstat, ss, firewall logs czy skanery podatności. Jeśli program otwiera nieznany port bez uzasadnienia biznesowego, to jest mocny sygnał ostrzegawczy.
W tym pytaniu łatwo pomylić kilka pojęć, bo wszystkie dotyczą cyberbezpieczeństwa i złośliwego działania, ale opis wskazuje konkretnie na trojana. Exploit to nie to samo co trojan. Exploit jest techniką, fragmentem kodu albo sposobem wykorzystania podatności, na przykład błędu w usłudze sieciowej, przeglądarce lub systemie operacyjnym. Może zostać użyty do włamania, ale sam w sobie nie musi być programem, który stale działa w systemie i otwiera port do zdalnego dostępu. Wabbit też brzmi jak malware, jednak jego główna cecha to szybkie powielanie się i zużywanie zasobów komputera, takich jak procesor, pamięć RAM albo miejsce na dysku. To bardziej atak na dostępność systemu niż mechanizm tworzenia tylnej furtki. Keylogger natomiast służy głównie do rejestrowania naciśnięć klawiszy, czyli przechwytywania haseł, loginów, treści wiadomości i innych danych wpisywanych przez użytkownika. Może być częścią większego trojana, ale sam opis otwierania portu pasuje znacznie lepiej do backdoora w trojanie. Typowy błąd myślowy polega na tym, że każde szkodliwe oprogramowanie wrzuca się do jednego worka. W praktyce w analizie incydentów trzeba patrzeć na zachowanie: czy program podsłuchuje klawiaturę, replikuje się, wykorzystuje lukę, czy daje atakującemu zdalny dostęp. To rozróżnienie jest bardzo przydatne przy doborze reakcji, reguł firewall, izolacji hosta i analizie logów.