Runall dvi

644
Chapter 21
■
Network Attack and Defense
21.3 Trojans, Viruses, Worms and Rootkits
Computer security experts have long been aware of the threat from malicious
code. The first such programs were Trojan Horses, named after the horse the
Greeks left supposedly as a gift for the Trojans but which contained soldiers
who opened the gates of Troy to the Greek army. The use of the term for
malicious code goes back many years (see the discussion in [774] p 7). There
are also viruses and worms, which are self-propagating malicious programs,
and to which I’ve referred in earlier chapters. There is debate about their
precise definitions; the common usage is that a Trojan is a program that
does something malicious (such as capturing passwords) when run by an
unsuspecting user, while a worm is something that replicates and a virus is a
worm which replicates by attaching itself to other programs.
Finally, the most rapidly-growing problem is the rootkit — a piece of soft-
ware that once installed on a machine surreptitiously places it under remote
control. Rootkits can be used for targeted attacks (law enforcement agencies
use them to turn suspects’ laptops into listening devices) or for financial fraud
(they may come with keyloggers that capture passwords). One of the most
salient features of rootkits nowadays is stealth; they try to hide from the
operating system so that they can’t be located and removed using standard
tools. But sooner or later rootkits are identified and tools to remove them are
written. On the other side of the coin, most PCs infected in this way end up
in botnets, so another way of framing the problem is how botnets are set up,
maintained and used. The rootkit vendors now do after-sales-service, supply-
ing their customers the botnet herders with the tools to upgrade rootkits for
which removal tools are becoming available.