Троян: как программа маскируется и что происходит после запуска

Название взято из мифа о деревянном коне. Троян — программа, которая выдаёт себя за что-то полезное или безобидное: установщик игры, обновление, кряк, конвертер файлов, «очиститель системы». Пользователь сам скачивает и запускает её, и таким образом сам преодолевает защиту, ставя внутрь периметра чужой код.

Важное отличие от вирусов и червей: троян обычно не размножается. Его распространение держится на убеждении человека, поэтому качество упаковки и правдоподобие приманки для него важнее технической изощрённости.

Чаще всего троян приходит как вложение или ссылка в сообщении, как файл с двойным расширением (документ.pdf.exe), как установщик из неофициального источника, как поддельное приложение в магазине, как расширение браузера с невинным описанием. Иногда легитимную программу «переупаковывают», добавляя вредоносный модуль, и она продолжает работать как обычно.

Злоумышленники используют иконки и названия популярных программ, а также подписи, украденные у настоящих разработчиков. Поэтому визуально отличить подделку сложно, и опираться нужно на источник.

Типичные сценарии повторяются. «Требуется обновление» — страница, имитирующая устаревший плеер или браузер, предлагает скачать файл. «Программа для работы с документами» — установщик, который приходит по почте от «контрагента». «Модифицированная версия» популярной игры или приложения, распространяемая на форумах. «Антивирус» или «чистильщик», который сам показывает выдуманные угрозы и требует установить что-то ещё.

Общий знаменатель — источник вне официального канала и просьба отключить защиту или дать расширенные права. Хорошее правило: если для запуска программы её авторы просят отключить антивирус или выдать права администратора без очевидной причины, остановитесь. Проверьте хеш файла, если разработчик публикует его на своём сайте, и сравните с тем, что скачали. Совпадение подтверждает, что файл не изменён по дороге.

Полезная нагрузка бывает разной. Троян-загрузчик скачивает и запускает другие модули. Бэкдор открывает удалённое управление. Банковский троян подменяет платёжные страницы и перехватывает коды. Стилер собирает пароли и cookie браузера. Троян-шпион записывает нажатия и экран. Существуют трояны, превращающие устройство в часть ботнета или включающие майнер.

Многие трояны закрепляются в системе: прописываются в автозапуск, планировщик заданий или службы, чтобы пережить перезагрузку. Часть из них общается с управляющим сервером и получает новые команды.

Признаки: незнакомые процессы с высокой нагрузкой, неожиданные записи в автозапуске, лишние расширения браузера, сетевые соединения с неизвестными адресами, отключённый без вашего участия антивирус. Однако тихий троян может не проявлять ничего.

Подозрительный файл можно проверить, загрузив его на публичные сервисы проверки, где его сканирует много антивирусных движков, но не загружайте документы с конфиденциальным содержимым. Проверьте цифровую подпись файла в свойствах и сопоставьте источник.

Дополнительно помогает ограничение запуска программ: в современных системах можно разрешать только приложения из официального магазина или подписанные проверенными издателями. Для домашнего компьютера это удобный барьер, который сразу отсекает основную массу подделок, притворяющихся установщиками и обновлениями.

Устанавливайте программы только из официальных источников, не запускайте неожиданные вложения, включите показ расширений файлов, работайте под учётной записью без административных прав в повседневной работе. При заражении отключите устройство от сети, проверьте систему, смените пароли с чистого устройства и просмотрите активные сеансы важных аккаунтов.

Если троян мог получить платёжные данные, свяжитесь с банком. При сомнениях в полной очистке переустановка системы надёжнее, чем попытки убрать все следы вручную.

Проверка перед установкой занимает минуту. Откройте свойства файла, посмотрите цифровую подпись и издателя, сравните размер и версию с заявленными на сайте разработчика. Загрузите файл на сервис многодвижковой проверки и посмотрите отчёт. Если издатель неизвестен, подпись отсутствует, а файл просит права администратора, найдите альтернативу в официальном каталоге и установите её оттуда.