Wirus, robak, trojan, rootkit, keylogger

Wszystkie te pojęcia mieszczą się pod wspólną nazwą złośliwe oprogramowanie, ale różnią się sposobem działania i rozprzestrzeniania. Na egzaminie liczy się właśnie ta różnica, nie ogólne „to szkodzi komputerowi".

Wirus dokleja się do innego pliku i uruchamia razem z nim. Sam z siebie nie potrafi się rozprzestrzeniać – potrzebuje, żeby ktoś uruchomił zainfekowany program.

Robak nie potrzebuje nosiciela ani użytkownika. Rozmnaża się sam przez sieć, wykorzystując luki w systemach. Dlatego potrafi opanować tysiące maszyn w krótkim czasie.

Trojan podszywa się pod przydatny program. Nie powiela się – jego siłą jest to, że użytkownik instaluje go dobrowolnie, sądząc, że dostaje coś użytecznego.

Rootkit ukrywa obecność innego szkodnika, ingerując głęboko w system. Keylogger rejestruje naciśnięcia klawiszy, żeby wykraść hasła i numery kart. Ransomware szyfruje dokumenty i żąda zapłaty za ich odzyskanie, a spyware po cichu zbiera informacje o tym, co robisz.

Cztery zasady porządkują całą kategorię:

• Nazwa rodziny mówi o sposobie działania, nie o rozmiarze szkody. Wirus, robak i trojan to nie trzy stopnie groźności, tylko trzy odpowiedzi na pytanie „jak to się tu dostało i jak idzie dalej". Dopiero po tym pytaniu warto pytać, co szkodnik robi po uruchomieniu.
• Rozprzestrzenianie i cel to dwie osobne osie. Ten sam ransomware może przyjść jako załącznik albo zostać wpuszczony przez trojana; ten sam keylogger bywa częścią trojana albo osobną przejściówką wpiętą do klawiatury. Nazwy z obu osi swobodnie się łączą, dlatego jeden program bywa opisany dwoma słowami naraz.
• Nie każde zagrożenie jest programem. Phishing to fałszywa wiadomość albo podrobiona strona – atakuje człowieka i jego zaufanie, a nie system. Żaden skaner plików nie wykryje tu kodu, bo kodu w ogóle nie ma.
• Ukrywanie się jest częścią zadania. Szkodnikowi opłaca się działać długo, więc dokłada się do autostartu, podszywa pod systemowy proces albo zatrudnia rootkita. Brak objawów nie jest dowodem, że komputer jest czysty.

Każde zarażenie ma ten sam szkielet: wejście, uruchomienie, utrwalenie się, działanie. Rodziny szkodników różnią się tym, który z tych czterech etapów wykonują same, a który musi za nie wykonać człowiek.

Wejście to zawsze jedna z kilku dróg. Załącznik w poczcie z podwójną końcówką nazwy, pirackie oprogramowanie i „lekarstwa" dołączane do niego, plik pobrany z fałszywej strony, nośnik przenoszony między komputerami oraz luka w programie, którego nikt nie zaktualizował. Cztery pierwsze drogi wymagają, żeby ofiara coś kliknęła; piąta nie wymaga niczego i to nią wchodzą robaki. Dlatego regularne aktualizacje są tu osobnym zabezpieczeniem, a nie kosmetyką – tym, jak system je pobiera i po co, zajmuje się hasło o systemie operacyjnym.

Uruchomienie decyduje o uprawnieniach. Kod startuje z prawami tego konta, na którym pracujesz, więc praca na koncie administratora oddaje szkodnikowi cały system, a praca na koncie zwykłego użytkownika ogranicza go do plików tego użytkownika. To najtańsza obrona, jaka istnieje, bo nie wymaga instalowania niczego.

Utrwalenie się polega na tym, żeby przeżyć wyłączenie komputera i nie rzucać się w oczy: wpis w autostarcie, nazwa procesu łudząco podobna do systemowej, w skrajnym wypadku rootkit, który zmienia to, co pokazuje sam system. Dopiero potem zaczyna się właściwe działanie i tu widać, po co to wszystko: pieniądze wprost (ransomware), dane logowania do sprzedania (spyware, keylogger) albo cudza moc obliczeniowa i łącze (botnet).

Profilaktyka jest warstwowa, bo każda warstwa łapie co innego. Aktualizacje zamykają luki, przez które wchodzą robaki. Skaner antywirusowy rozpoznaje znany kod, zanim się uruchomi. Zapora sieciowa ogranicza połączenia, którymi szkodnik szuka kolejnych komputerów i kontaktuje się z operatorem. Konto bez uprawnień administratora ogranicza zasięg. Ostatnia warstwa działa wtedy, gdy poprzednie zawiodły: jeżeli pliki zostały zaszyfrowane, ratunkiem jest kopia zapasowa trzymana poza zainfekowanym komputerem. Samo szyfrowanie nie jest przy tym niczym złym – ransomware używa tych samych mechanizmów, które chronią twoje dane, i opisuje je hasło o szyfrowaniu symetrycznym i asymetrycznym.

Słowo „wirus" użyte na wszystko. W mowie potocznej wirusem nazywa się każdy szkodliwy program, ale w zadaniu maturalnym to nazwa jednej konkretnej rodziny: kodu, który doczepia się do nosiciela. Jeśli w treści polecenia szkodnik rozsyła się przez sieć bez udziału człowieka, odpowiedź „wirus" jest po prostu błędna, choć potocznie brzmi sensownie. Nadrzędne pojęcie na wszystkie te programy to złośliwe oprogramowanie, po angielsku malware, i to ono, a nie wirus, obejmuje robaki, trojany i całą resztę.

Robak pomylony z wirusem. To ta sama pomyłka widziana od drugiej strony i najczęstsze pytanie z tego hasła. Rozstrzyga jedno kryterium: czy szkodnik potrzebuje nosiciela i człowieka. Wirus potrzebuje obu – ktoś musi uruchomić zarażony plik. Robak nie potrzebuje żadnego z nich, bo jest samodzielnym programem i sam znajduje kolejne komputery przez sieć. Stąd bierze się reszta różnic: tempo, objawy, a nawet to, co go zatrzymuje.

Keylogger wzięty za narzędzie ochrony. Nazwa brzmi technicznie i neutralnie, więc łatwo podstawić pod nią coś przyjaznego – i dokładnie na tym gra świeże zadanie z 2025 roku, w którym trzy z czterech zdań są fałszywe. Keylogger nie szyfruje niczego, bo szyfrowanie chroni dane, a on je wykrada. Nie jest menedżerem haseł, czyli programem, który przechowuje hasła w zabezpieczonym pliku – on te hasła przechwytuje w drodze z klawiatury. Nie jest też tokenem bankowym generującym jednorazowy kod, bo niczego nie generuje. Robi jedną rzecz: zapisuje, co nacisnąłeś.

Przekonanie, że antywirus wystarcza. Skaner rozpoznaje przede wszystkim to, co już zna, i działa na plikach. Nie zamknie luki w nieaktualnym programie, nie cofnie decyzji użytkownika, który sam wpisał hasło na podrobionej stronie, i nie odzyska plików zaszyfrowanych przez ransomware. Bezpieczeństwo jest tu warstwowe: aktualizacje, konto bez uprawnień administratora, ostrożność wobec załączników, zapora i kopia zapasowa. Antywirus jest jedną z tych warstw, nie zamiennikiem pozostałych.

Phishing traktowany jak program. To nie jest kod, który da się wykryć na dysku, tylko wiadomość lub strona zbudowana tak, żeby wyglądać na prawdziwą i skłonić człowieka do podania danych. Program antywirusowy bywa tu bezradny, bo nie ma czego skanować; broni się filtr wiadomości, sprawdzenie adresu strony i zwykła nieufność. Osobno stoi adware, które w zadaniach maturalnych występuje jako model licencji – darmowy program utrzymywany z reklam – i którego nie należy wrzucać do jednego worka ze szkodnikami; opisuje je hasło o rodzajach licencji.

• Złośliwe oprogramowanie to nazwa nadrzędna; wirus jest jedną z rodzin, nie synonimem całości.
• Wirus potrzebuje pliku nosiciela i uruchomienia przez człowieka, robak nie potrzebuje ani jednego, ani drugiego.
• Trojan udaje przydatny program i nie powiela się – wpuszcza go sam użytkownik.
• Ransomware szyfruje dane i żąda okupu; realnym ratunkiem jest kopia zapasowa trzymana poza komputerem.
• Spyware zbiera informacje, a keylogger zapisuje naciśnięte klawisze – żaden z nich niczego nie chroni.
• Rootkit ukrywa obecność szkodnika, a komputer wcielony do botnetu wykonuje polecenia z zewnątrz.
• Phishing atakuje człowieka, nie system, więc skaner plików zwykle go nie zatrzyma.

Zagadnienia z tego samego obszaru matury – warto je powtórzyć razem: