механика угроз, без рабочего кодаthreat mechanics, no working code

Вредоносное ПОMalware

Как устроены вирусы, черви, трояны и ransomware изнутри: распространение, персистентность, обфускация — и кто и зачем их пишет, от одиночек до APT-групп. Разбор механики и мотивации, не инструкция. Каркас: 10 карточек, страницы ещё не написаны.How viruses, worms, trojans, and ransomware work internally: propagation, persistence, obfuscation — and who writes them and why, from lone actors to APT groups. Mechanics and motivation, not a how-to. Skeleton: 10 cards, pages not yet written.

КлассификацияClassification

по механизму распространения и целиby propagation mechanism and goal

Вирусы и червиViruses & wormsРазница: вирус требует носителя-файла и действия жертвы, червь распространяется самостоятельно по сети. Классические случаи (Morris worm, ILOVEYOU) как иллюстрация масштаба.The difference: a virus needs a host file and victim action, a worm spreads on its own over the network. Classic cases (the Morris worm, ILOVEYOU) as scale illustrations. Трояны и RATTrojans & RATsМаскировка под легитимное ПО, remote access trojans, разница между droppers и downloaders.Disguising as legitimate software, remote access trojans, the difference between droppers and downloaders. RansomwareШифрование данных жертвы, двойное вымогательство (шифрование + утечка), экономика Ransomware-as-a-Service, почему VSS — первая цель перед шифрованием.Encrypting victim data, double extortion (encryption + leak), the Ransomware-as-a-Service economy, why VSS is the first target before encryption. Rootkit и буткиты& bootkitsСокрытие присутствия на уровне ядра/загрузчика, kernel-mode vs user-mode rootkits, почему их так сложно обнаружить стандартным AV.Hiding presence at the kernel/bootloader level, kernel-mode vs user-mode rootkits, why standard AV struggles to find them. BotnetАрхитектура C2 (command & control): централизованная, P2P, через легитимные сервисы (Twitter/Telegram как C2-канал). Botnet как инфраструктура для DDoS и рассылки спама.C2 (command & control) architecture: centralized, P2P, over legitimate services (Twitter/Telegram as a C2 channel). Botnets as infrastructure for DDoS and spam.

МеханикаMechanics

как малварь выживает и остаётся незаметнойhow malware survives and stays hidden

ПерсистентностьPersistenceАвтозагрузка, службы, задачи планировщика, WMI-подписки, DLL hijacking — как малварь переживает перезагрузку.Autorun, services, scheduled tasks, WMI subscriptions, DLL hijacking — how malware survives a reboot. Обфускация и полиморфизмObfuscation & polymorphismPackers, шифрование payload, полиморфный/метаморфный код — почему сигнатурный AV регулярно проигрывает новым образцам.Packers, payload encryption, polymorphic/metamorphic code — why signature-based AV keeps losing to new samples. Living-off-the-landИспользование легитимных системных утилит (PowerShell, WMI, certutil) вместо своих бинарников — почему это труднее детектировать поведенчески.Using legitimate system tools (PowerShell, WMI, certutil) instead of custom binaries — why this is harder to catch behaviorally. Supply chainКомпрометация через доверенную третью сторону: заражённые обновления ПО, скомпрометированные пакеты в npm/PyPI, случай SolarWinds как эталонный пример.Compromise via a trusted third party: infected software updates, compromised npm/PyPI packages, the SolarWinds case as the canonical example.

Кто пишет и зачемWho writes it and why

мотивация, не техникаmotivation, not technique

От script kiddies до APTFrom script kiddies to APTСпектр акторов: одиночки на готовых тулкитах, криминальные группы с чёткой экономикой (RaaS-партнёрки), nation-state APT с многолетними кампаниями. Cyber Kill Chain и MITRE ATT&CK как общий язык описания атаки от разведки до цели.The spectrum of actors: lone operators on off-the-shelf toolkits, criminal groups with a clear economy (RaaS affiliate programs), nation-state APTs running years-long campaigns. The Cyber Kill Chain and MITRE ATT&CK as a shared vocabulary for describing an attack from recon to objective.

статусstatus

Это каркас: 10 карточки зафиксированы, страницы ещё не написаны. Раздел сознательно ограничен механикой и мотивацией — рабочий код, эксплойты и инструкции по написанию малвари сюда не входят.This is a skeleton: 10 cards are locked in, pages not yet written. The section is deliberately limited to mechanics and motivation — working code, exploits, and malware-writing instructions are out of scope here.