Новый компьютерный вирус "Бигль" - Александр Гостев - Интервью - 2004-01-20

20 января 2004 года

В прямом эфире радиостанции "Эхо Москвы" Александр Гостев ведущий антивирусный эксперт Лаборатории Касперского.

Эфир ведет Ольга Бычкова.

О. БЫЧКОВА В интернете, как сообщают информационные агентства сегодня, быстро распространяется эпидемия нового компьютерного вируса "Бигль". Говорится о том, что срок его действия до 28 числа. По словам специалистов, "Бигль" создан по образцу другого вируса прошлого года и считается весьма вредоносным. Так ли это на самом деле? Об этом мы говорим с нашим гостем. Во-первых, что это за напасть очередная? Чем этот "Бигль" отличается от множества других ужасных вирусов, с которыми мы имели дело в прошлые годы?

А. ГОСТЕВ Он не очень сильно отличается от вирусов прошлого года, поскольку основная тенденция прошлого года это слияние вирусописателей со спамерами.

О. БЫЧКОВА Объясняйте, пожалуйста, более медленно и более подробно каждое слово, чтобы всем было понятно.

А. ГОСТЕВ Такие вирусы, как правило, пишутся с одной-единственной целью. Для того чтобы в будущем при помощи зараженных машин рассылать спам, нежелательную электронную корреспонденцию. Данный вирус, "червь", с которым мы столкнулись, имеет все признаки такого вредоносного воздействия. То есть он при заражении машины позволяет через нее рассылать нежелательную корреспонденцию, спам.

О. БЫЧКОВА Понятно. Чем все-таки это отличается принципиально от предыдущих вирусов в смысле борьбы с такими вирусами? То есть, например, что это значит для пользователей, и что это значит для вас, людей, которые эти вирусы изничтожают?

А. ГОСТЕВ Пользователю нужно, прежде всего, еще раз вспомнить все рекомендации, которые буквально еженедельно публикует Лаборатория Касперского о защите информации. То есть очень тщательно относиться ко всей электронной почте, которая к вам приходит от незнакомых людей. Ни в коем случае не запускать никакие вложенные файлы, которые идут вместе с письмами. Обязательно проверять все приходящие к вам файлы и письма при помощи антивируса. Это основное требование к пользователям, которое, к сожалению, очень редко выполняется.

О. БЫЧКОВА Очень редко выполняется или не очень часто выполняется?

А. ГОСТЕВ Очень редко. Поскольку все эти эпидемии происходят, "благодаря" невнимательности пользователей.

О. БЫЧКОВА Это проблема невнимательности или проблема денег, когда люди жалеют денег на то, чтобы поставить какую-то очередную антивирусную программу на свой компьютер?

А. ГОСТЕВ Я бы не сказал, что это проблема денег. Современные антивирусы стоят не таких больших денег. То есть они доступны буквально любому, продаются на каждом шагу. Нужно только установить и иметь какую-то гарантию, что ваш компьютер надежно защищен, потому что в случае заражения вы можете потерять гораздо больше.

-

О. БЫЧКОВА А откуда появляются эти названия? Кто называет эти вирусы всякими красивыми именами, собачьими в данном случае?

А. ГОСТЕВ Вирусы называют антивирусные компании. Право названия принадлежит той компании, которая обнаружила данный вирус первой. В случае с "Биглом" первой была Лаборатория Касперского. Мы обнаружили этот вирус в воскресенье примерно в 15:00 по московскому времени.

О. БЫЧКОВА В это воскресенье, позавчера?

А. ГОСТЕВ Да, буквально позавчера были обнаружены первые образцы данного вируса в интернет.

О. БЫЧКОВА То есть к вам просто пришло письмо?

А. ГОСТЕВ К нам стали поступать письма от пользователей, очень проницательных, которые знают, что если вам пришло что-то подозрительное, его лучше прислать нам на исследование. В данном случае нам одновременно четыре пользователя из-за рубежа прислали один и тот же файл, что однозначно свидетельствует о том, что начинается эпидемия. В течение 10 минут нами был проведен анализ кода вируса. Было установлено, что это почтовый "червь", распространяется через электронную почту. И моментально, в течение 5-10 минут нами было выпущено обновление антивирусной базы "Антивируса Касперского" для детектирования данного вируса. Соответственно, вирус нужно было как-то назвать, что нами и было сделано. Название было получено очень просто. "Червь" при заражении системы копирует себя в файл с именем "bbagle". Мы просто немножко видоизменили набор букв.

О. БЫЧКОВА Как пишут информационные агентства, этот почтовый "червь" представляет собой файл в 15 Кб и прикрепляется к электронному письму. В теме сообщения практически всегда одна и та же надпись, "Hi", а в содержании надпись "Test". И он имеет расширение "ехе". Что еще можно сказать из практических сведений, для того чтобы люди сохраняли бдительность?

А. ГОСТЕВ Вы точно описали его внешние признаки. То есть это письмо с темой "Hi" и текстом " Test ". Вложенный файл, как правило, имеет иконку, соответствующую изображению калькулятора Windows. То есть вложенный файл выдает себя за калькулятор. При запуске червя он запускает тот же самый калькулятор, встроенный в Windows. У пользователя создается впечатление, что это обычный калькулятор, и больше ничего. Если вам пришел такой файл, вы его запустили, у вас появился калькулятор, знайте, что вы данным вирусом уже заразились.

О. БЫЧКОВА Каков срок жизни компьютерных вирусов и конкретно этого? Тут говорится о 28 числе. Это значит, 28 января?

А. ГОСТЕВ Да, 28 января. В данном "черве" имеется функция. Он проверяет текущую дату. Если текущая дата меньше, чем 28 января, он работает. Как только наступит 28 января, "червь" потеряет свою работоспособность, то есть прекратит размножаться по интернету. Вирус с ограниченным сроком действия.

О. БЫЧКОВА А зачем его так запрограммировали?

А. ГОСТЕВ В прошлом году у нас уже были примеры подобного поведения со стороны "червей". Самая главная эпидемия прошлого года это червь Sobig. Он выполнял абсолютно такие же действия. Он работал две недели, за это время он заражал достаточное число машин. Через две недели выпускалась новая версия "червя", улучшенная, которая в момент выпуска не детектировалась антивирусными компаниями, и эпидемия продолжалась снова. То есть можно с большой долей вероятности предположить, что 28-29 числа нас может ожидать новая версия "Бигля".

О. БЫЧКОВА И как она будет выявлена?

А. ГОСТЕВ У нас есть специальные средства для выявления эпидемии на ранней стадии, чем мы успешно пользуемся. Лаборатория Касперского является, по недавним исследованиям, мировым лидером по скорости детектирования новых вирусов, обнаружения. Я думаю, что наши пользователи будут надежно защищены за сутки до того, как этот вирус поступит к ним непосредственно.

О. БЫЧКОВА Кто эти ужасные люди, которые придумывают компьютерные вирусы? Что это за злоумышленники? Усама бен Ладен какой-нибудь, который сидит в горах со своим компьютером и ищет разные способы поразить человечество. Кто они? Зачем?

А. ГОСТЕВ Международного вирусописательского центра, конечно же, не существует. Существует ряд международных групп вирусописателей, которые этим занимаются. В случае с "Биглем", по нашему мнению, есть четкие признаки того, что это продукт совместной деятельности российских и немецких вирусописателей.

О. БЫЧКОВА Почему?

А. ГОСТЕВ Дело в том, что данный "червь" при заражении машины устанавливает на нее "троянскую" программу, о которой мы уже говорили. Данная "троянская" программа впервые нами была обнаружена 5 января этого года.

О. БЫЧКОВА То есть такая скрытая зараза?

А. ГОСТЕВ Да. Она была нами обнаружена 5 января, за две недели до появления "червя". Она была распространена по российским каналам ICQ. То есть пришло сообщение нескольким тысячам пользователей ICQ на русском языке с предложением посетить определенный сайт. Мы сходили на этот сайт и обнаружили там данную "троянскую" программу. Сайт был расположен в Германии. Первые копии "Бигля" поступили к нам именно из Германии, и он загружал ту же самую "троянскую" программу. Если бы мы не знали о факте, произошедшем 5 января, когда российские пользователи целенаправленно должны были заразиться этим "троянцем", мы бы не проследили российскую связь. Но у нас есть четкая связь. "Реклама" на русском языке и месторасположение "троянца" и "червя" в Германии. На мой взгляд, это очевидные признаки того, что происходит слияние международных вирусописательских группировок.

О. БЫЧКОВА Как быстро вирус может распространиться по большому количеству стран? Если исходить из того, что он российско-германский, как Вы утверждаете, что дальше с ним происходит?

А. ГОСТЕВ Он уже достаточно сильно распространен. Процесс неконтролируемый, мы получаем сообщения от пользователей со всего мира, что к ним поступил данный "червь". В настоящий момент "червь" занимает первое место в интернете по распространенности среди всех вредоносных программ. И, по исследованиям компании "Мессадж Лабс", он сейчас находится примерно в каждом двухсотом письме, проходящем через Интернет. Это очень хороший показатель, очень высокий. Это почти максимальный уровень опасности. Он чуть-чуть не дотягивает до самого максимума эпидемии.

О. БЫЧКОВА А что такое максимум эпидемии?

А. ГОСТЕВ Максимальный уровень эпидемии был достигнут в прошлом году, в августе, когда случилась эпидемия почтового червя Sobig. Тогда "червь" находился в каждом двадцатом письме.

О. БЫЧКОВА А чем это опасно реально, как эпидемия? Понятно, чем это опасно для конкретного компьютера. Можно вырубить, в конце концов, и не попасться на эту удочку. Чем это опасно, с точки зрения массового распространения?

А. ГОСТЕВ С точки зрения пользователей, которые уже заразились этим "червем" и об этом не подозревают, это очень опасно. Во-первых, они могут потерять конфиденциальную информацию, которая у них имеется на компьютере. Она может быть просто украдена злоумышленниками. Злоумышленник, заражая машину этим "червем", поступает к ней полный доступ. Если машина заразилась, с ней можно делать все, что угодно, - скопировать от вас любые файлы, загрузить вам любые файлы.

О. БЫЧКОВА Ваши файлы, электронная переписка?

А. ГОСТЕВ Да, вы можете потерять все, что у вас имеется на машине. А информация сейчас это основное.

О. БЫЧКОВА Аня Вас подозревает в самом страшном. Аня пишет: "Говорят, что вирусы пишут те же люди, что и составляют антивирусные программы, чтобы было на чем зарабатывать деньги. Чем одно отличается от другого?"

А. ГОСТЕВ Это извечный вопрос, который задается постоянно. На него есть традиционный ответ. Есть врачи. Врачи знают, как лечить людей. И врачи знают, как убить человека проще и быстрее всего. Но врачи, по большей своей части, людей не убивают. Вопрос психологии, морали. Мы занимаемся тем, что нам интересно. Нам интересно с этим бороться.

О. БЫЧКОВА А сколько народу бросают на борьбу с каким-нибудь конкретным "Биглем"? Вы обнаружили эту отраву. И что дальше? Создается аварийная группа? Как это происходит?

А. ГОСТЕВ У нас в Лаборатории Касперского непосредственно отдел антивирусных исследований, те люди, которые занимаются работой с вирусами, - меньше 10 человек. Если происходит, как в случае с "Биглем", какая-то эпидемия, занимаются обычно один-два человека. Остальные продолжают работать в штатном режиме, занимаясь другими вирусами.

О. БЫЧКОВА Владимира, нашего слушателя, который прислал сообщение на пейджер, беспокоит эта "троянская" программа, о которой Вы говорили. Он спрашивает, как ее выявить и избежать.

А. ГОСТЕВ Данная программа детектируется "Антивирусом Касперского", начиная с 5 января. Чтобы ее выявить, достаточно загрузить наш антивирус, загрузить базы и проверить Вашу машину.

О. БЫЧКОВА Вопрос от Артура. "Почему Вы не говорите, что для защиты от этого вируса достаточно надежного файерволла? А антивирусная программа не помогает, поскольку не успевает следить за мутациями вирусов". Я не знаю, что это за слово и правильно ли я его прочитала.

А. ГОСТЕВ В данном случае речь о файерволле вести, наверное, нет смысла, потому что "червь" распространяется по электронной почте.

О. БЫЧКОВА А что такое "файерволл"?

А. ГОСТЕВ Дословный перевод "огненная стена". В интернете, среди компьютерщиков, принято такое определение. Файерволл - это экран, который обрабатывает входящую к вам информацию и исходящую от вас, и блокирует нежелательную. В данном случае "червь" размножается по почте, а отключить почту вы не сможете.

О. БЫЧКОВА Марина спрашивает, что такое спам. Это когда на ваш электронный адрес приходят какие-то сообщения, которых вы совершенно не ждете и не хотите, самое главное.

А. ГОСТЕВ Да, десятки, сотни, тысячи писем рекламного характера, которые рекламируют абсолютно ненужные вам товары, забивают ваш электронный ящик, заставляют вас платить деньги за загрузку этой информации к себе на компьютер. Загружают канал интернет, что самое главное, что снижает и быстродействие работы каналов, и создает неудобство пользователю. Есть случаи, когда работа компании буквально парализуется на несколько часов, чтобы просто удалить ненужные письма и прочитать нужную корреспонденцию.

О. БЫЧКОВА Очень много разговоров ведется о том, как бороться со спамом, в том числе и законодательными мерами. Как Вы думаете, насколько это реально?

А. ГОСТЕВ Со спамом бороться реально. Я знаю, что в США недавно был принят федеральный закон о борьбе со спамом. И уже есть первые заключенные по данному закону. Причем сроки там очень серьезные, до 20 лет лишения свободы.

О. БЫЧКОВА Да Вы что?!

А. ГОСТЕВ Сроки не удивляют, если сопоставить это с доходами, которые зарабатывают спамеры на рассылке этой рекламы. В прошлом году, по самым скромным оценкам, спамеры заработали 5 млрд. долларов.

О. БЫЧКОВА А как они зарабатывают на рассылке? На чем они зарабатывают?

А. ГОСТЕВ Какая-либо компания заказывает рассылку своей рекламы спамерам. Разумеется, это все делается нелегально. Это может быть запрещенный товар, может быть реклама чего угодно. Это не очень этично, скажем так. Спамеры берут деньги с этих компаний за рассылку. На этом они зарабатывают деньги.

О. БЫЧКОВА И при этом еще могут действительно дестабилизировать работу каких-то серверов серьезных компаний, что тоже денежно и чревато. Сергей спрашивает: "Есть ли гражданско-правовая и уголовная практика в отношении создателей вирусных программ? Нужно ли совершенствовать законодательство в этой области?"

А. ГОСТЕВ В России уже много лет существуют несколько статей УК, предусматривающих ответственность за написание и распространение вирусов. Сроки там до 7 лет лишения свободы. Насколько я знаю, почти всегда дело заканчивается условным приговором. Достаточно человеку просто объяснить, что он не прав, что заниматься этим не стоит. Это проходит просто с возрастом.

О. БЫЧКОВА Буквально еще два слова для Алексея, который еще раз просит сказать, что должен делать конкретный рядовой пользователь, чтобы не заразиться вирусом при установке антивирусной программы и, вообще, при пользовании, в том числе не заразиться "Биглем".

А. ГОСТЕВ Во-первых, пользователь должен иметь антивирус. Это стопроцентное обязательное правило. Во-вторых, пользователь должен регулярно обновлять базы антивируса. Лаборатория Касперского недавно внедрила новую систему обновления баз. Антивирусные базы у нас обновляются сейчас каждые три часа, в них добавляются все новые вирусы. Поэтому достаточно раз в три часа загружать обновление, и вы будете с высокой степенью вероятности защищены.