Головна > Плити, духовки > Троянські програми шпигунів. Віруси, шпигуни, трояни та діалери: хто, навіщо і як


Троянські програми шпигунів. Віруси, шпигуни, трояни та діалери: хто, навіщо і як




SpyWare – програми-шпигуни. Програмою - шпигуном (альтернативні назви - Spy, SpyWare, Spy-Ware, Spy Trojan) прийнято називати програмне забезпечення, що збирає та передає будь-кому інформацію про користувача без його згоди. Інформація про користувача може включати його персональні дані, дані про його фінансові рахунки, конфігурацію його комп'ютера та операційної системи, статистику роботи в мережі Інтернет та інше.

Шпигунське ПЗ застосовується для низки цілей, з яких основним є маркетингові дослідження та цільова реклама. У цьому випадку інформація про конфігурацію комп'ютера користувача, використовуване ним програмне забезпечення, відвідувані сайти, статистика запитів до пошукових машин і статистика слів, що вводяться з клавіатури, дозволяє дуже точно визначити рід діяльності і коло інтересів користувачів. Тому найчастіше можна спостерігати в'язку SpyWare - Adware, тобто. "Шпигун" - "Модуль показу реклами". Шпигунська частина збирає інформацію про користувача та передає її на сервер рекламної фірми. Там інформація аналізується і у відповідь надсилається рекламна інформація, найбільш підходяща для даного користувача. У кращому випадку реклама показується в окремих спливаючих вікнах, у гіршому - впроваджується в сторінки, що завантажуються, і надсилається по електронній пошті. Шкода, завдана крадіжкою персональної інформації - є кримінальним діянням більшості розвинених країн.

Однак зібрана інформація може використовуватися не тільки для рекламних цілей - наприклад, отримання інформації про ПК користувача може суттєво спростити атаку хакерів і злом комп'ютера користувача. А якщо програма періодично оновлює себе через Інтернет, це робить комп'ютер дуже вразливим - елементарна атака на DNS може підмінити адресу джерела оновлення на адресу сервера хакера - таке "оновлення" призведе до впровадження на ПК користувача будь-якого стороннього програмного забезпечення.

Шпигунське програмне забезпечення може потрапити на комп'ютер користувача двома основними шляхами:

1. Під час відвідування сайтів Інтернет. Найчастіше проникнення шпигунського ПЗ відбувається про відвідування користувачем хакерських та warez сайтів, сайтів з безкоштовною музикою та порносайтами. Як правило, для встановлення шпигунського ПЗ застосовуються ActiveX компоненти або троянські програми категорії TrojanDownloader за класифікацією Касперського лабораторії http://www.kaspersky.ru/. Багато хакерських сайтів можуть видати crack Програма для злому ліцензійного ПЗ (крек), що містить шпигунську програму або TrojanDownloader для її завантаження;

2. Внаслідок встановлення безкоштовних або умовно-безкоштовних програм. Найнеприємніше полягає в тому, що подібних програм існує безліч, вони поширюються через Інтернет або на піратських компакт-дисках.

Точних критеріїв для занесення програми до категорії "SpyWare" не існує, і дуже часто творці антивірусних пакетів відносять програми категорій "Adware" (додаток, призначений для завантаження на ПК користувача інформації рекламного характеру для її подальшої демонстрації та "Hijacker" (утиліта, що змінює) налаштування браузера без відома користувача) до категорії "SpyWare" та навпаки.

Для певності пропонується ряд правил та умов, за дотримання яких програму можна класифікувати як SpyWare. В основу класифікації покладені найпоширеніші програми SpyWare:

1. Програма потай встановлюється на комп'ютер користувача. Сенс цього пункту полягає в тому, що інсталятор звичайної програми повинен повідомити користувача про факт встановлення програми (з можливістю відмови від установки), запропонувати вибрати каталог для встановлення та конфігурації. Крім того, після встановлення інсталятор повинен створити пункт у списку "Встановлення та видалення програм", виклик якого виконає процес деінсталяції та створити відповідні записи у файлі реєстру операційної системи. Шпигунське програмне забезпечення зазвичай встановлюється екзотичним способом (часто з використанням троянських модулів категорії Trojan-Downloader) потай від користувача, при цьому його деінсталяція в більшості випадків неможлива. Другий шлях інсталяції SpyWare - потайна установка в комплекті з якоюсь популярною програмою;

2. Програма потай завантажується в пам'ять під час завантаження комп'ютера. Варто відзначити, що розробники сучасних SpyWare почали застосовувати Rootkit. системах Windowsпід rootkit прийнято припускати програму, яка впроваджується в систему і перехоплює системні функції (Windows API). Перехоплення та модифікація низькорівневих API-функцій, в першу чергу, дозволяє такій програмі досить якісно маскувати свою присутність у системі. Крім того, як правило, rootkit може маскувати присутність у системі будь-яких описаних у конфігурації процесів, каталогів і файлів на диску, ключів у реєстрі. технології для маскування процесу в пам'яті та файлів на диску. З іншого боку, стає популярним створення " невбиваних " процесів - тобто. запуск двох процесів, яких перезапускають один одного у разі зупинки. Така технологія зокрема застосовується у SpyWare.WinAd;

3. Програма виконує деякі операції без вказівки користувача - наприклад, приймає чи передає будь-яку інформацію з Інтернету;

4. Програма завантажує та встановлює свої оновлення, доповнення, модулі розширення або інше програмне забезпечення без відома та згоди користувача. Ця властивість притаманне багатьом шпигунським програмам і дуже небезпечно, т.к. завантаження та встановлення оновлень та додаткових модулів відбувається потай і часто веде до нестабільної роботи системи. Більше того, механізми автоматичного оновлення можуть бути використані зловмисниками для впровадження на комп'ютер користувача троянських модулів;

5. Програма модифікує системні налаштуванняабо втручається у функціонування інших програм без відома користувача. Наприклад, шпигунський модуль може змінити рівень безпеки в налаштуваннях браузера або внести зміни до налаштувань мережі;

6. Програма модифікує інформацію чи інформаційні потоки. Типовим прикладом є різні розширення для Outlook Express, які при відправці листа приписують до нього свою інформацію. Другий поширений приклад - модифікація сторінок, що завантажуються з Інтернету (у сторінки включається рекламна інформація, деякі слова або фрази перетворюються на гіперпосилання)

У даній класифікації слід особливо відзначити той факт, що програма категорії SpyWare не дозволяє віддалено управляти комп'ютером і не передає паролі та аналогічну їм інформацію своїм творцям - подібні дії специфічні іншої категорії програм - "Trojan" та "BackDoor". Однак за багатьма параметрами програми SpyWare є родичами троянських програм.

Угруповання файлів, проведене за класифікацією "Лабораторії Касперського" та процентний склад програм - шпигунів показано на рис. 1.

Як випливає з діаграми, 38% від кількості зразків складають AdWare та SpyWare (потрібно відзначити, що в класифікації ЛК відсутня SpyWare - до цієї категорії внесені найбільш шкідливі з представників AdWare). Переважна кількість зразків Trojan-Downloader цієї колекції є програмами для потайного завантаження та встановлення представлених у колекції. шкідливих програм. Trojan-Spy - це шпигунське програмне забезпечення в чистому вигляді, що передає важливі відомості про користувача: паролі, номери кредитних карток, текст, що вводиться з клавіатури. У категорії Trojan відібрано програми наступних різновидів: Trojan-Dialer (програми для потайної модифікації параметрів набору) телефонного номераабо додзвону по платним телефонам), Trojan.StartPage (модифікуючі стартову сторінкута параметри пошуку Internet Explorer, ці програми також відомі як Hijacker),

Процентний склад програм - шпигунів проведено за класифікацією "Лабораторії Касперського"

Як випливає з діаграми, 38% від кількості зразків становлять AdWare та SpyWare Переважна кількість зразків Trojan-Downloader цієї колекції є програмами для потайного завантаження та встановлення представлених у колекції шкідливих програм. Trojan-Spy - це шпигунське програмне забезпечення в чистому вигляді, що передає важливі відомості про користувача: паролі, номери кредитних карток, текст, що вводиться з клавіатури. У категорії Trojan відібрано програми наступних різновидів: Trojan-Dialer (програми для потайної модифікації параметрів набору телефонного номера або додзвону по платних телефонах), Trojan.StartPage (що модифікують стартову сторінку та параметри пошуку Internet Explorer, ці програми також відомі як Hijacker), Trojan. LowZones (модифікуючі параметри безпеки Internet Explorer). У категорію "Інше" потрапили шкідливі програми інших класів - тут представлено близько 50 мережевих та поштових хробаків поширених типів, 12 експлоїтів для Internet Explorer (застосовуваних для запуску інсталяторів SpyWare) та 70 спеціалізованих троянських програм (TrojanPSW та Trojan-Proxy). Backdoor-основним призначенням є несанкціоноване, таємне керування комп'ютером.

Шкідливі програми, трояни та погрози

Більшість комп'ютерів підключено до мережі (інтернет, локальна мережа), що спрощує поширення шкідливих програм (за російськими стандартами такі програми називаються "руйнівні програмні засоби", але, тому що дане поняття мало поширене, в огляді буде використовуватися поняття "шкідливі програми"; англійській мовівони називаються Malware). До таких програм належать трояни (також відомі як троянські коні), віруси, черв'яки, шпигунське ПЗ, рекламне ПЗ, руткіти та інші види.

Ще одним плюсом є те, що MBAM рідко викликає будь-які конфлікти з іншими утилітами захисту від шкідливого програмного забезпечення.

Безкоштовний сканер троянів SUPERAntiSpyware

. Крім шпигунського ПЗ, ця програма сканує та видаляє інші види загроз, такі як: додзвонювачі, клавіатурні шпигуни, черв'яки, руткіти і т.д.

Програма має три види сканування: швидке, повне або вибіркове сканування системи. Перед скануванням програма пропонує перевірити оновлення, щоб одразу захистити Вас від новітніх загроз. SAS має чорний список. Це список зі 100 прикладів різних DLL та EXE-файлів, яких не повинно бути на комп'ютері. При натисканні на будь-який з пунктів у списку Ви отримаєте повний опис загрози.

Одна з важливих особливостей програми - наявність Hi-Jack захисту, яка не дозволяє іншим програмам завершити роботу програми (за винятком Task Manager).

На жаль, безкоштовна версія цієї програми не підтримує захист у реальному часі, запуску сканування за розкладом та інших функцій.

Ще програми

Інші безкоштовні сканери троянів, які не увійшли до огляду:

  • Rising PC Doctor (недоступніший, в інтернеті, можливо, ще можна знайти старі версії) - сканер троянів і шпигунського ПЗ. Пропонує можливість автоматичного захисту від троянів. Також пропонує наступні інструменти: управління автозавантаженням, менеджер процесів, менеджер сервісів, File Shredder (програма видалення файлів, без можливості їх відновлення) та інші.
  • FreeFixer – просканує вашу систему та допоможе видалити трояни та інші шкідливі програми. Але від користувача потрібно правильно інтерпретувати результати роботи програми. Особливу обережність необхідно виявляти після прийняття рішення видалення важливих файлів системи, оскільки це може зашкодити вашій системі. Однак, є форуми, на яких Ви можете проконсультуватися, якщо сумніваєтеся у вирішенні (посилання на форуми є на сайті).
  • Ashampoo Anti-Malware (На жаль, стала тріальною. Можливо, ранні версії ще можна знайти в інтернеті) - спочатку цей продукт був лише комерційним. Безкоштовна версія забезпечує захист у реальному часі, а також пропонує різні інструменти оптимізації.

Посібник із швидкого вибору (посилання на скачування сканерів троянів)

Emsisoft Anti-Malware

Сканує та видаляє трояни, черв'яки, віруси, шпигунське програмне забезпечення, трекери, дозвонщики і т.д. Проста у використанні.
У безкоштовної версіїсильно обмежена. Відсутнє: автоматичне оновлення, захист файлів у реальному часі, сканування за розкладом тощо.
На жаль, стала тріальною. Можливо, ранні версії ще можна знайти в інтернеті
www.emsisoft(.)com

PC Tools ThreatFire

Проактивний захист від відомих та невідомих троянів, вірусів, черв'яків, шпигунського ПЗ, руткітів та інших шкідливих програм.
Автоматичне оновлення не надається, якщо Ви відмовилися від участі у спільноті ThreatFire"s. 4.10 версія не змінювалася з листопада 2011 року.

Віруси, шпигуни, трояни та діалери: хто, навіщо і як

Я думаю, що якщо сьогодні у будь-якого школяра запитати, що таке лавсан, він не розповідатиме вам про «синтетичне волокно, одержуване за допомогою поліконденсації етиленгліколю і двоосновної кислоти ароматичного ряду». Ні, його відповідь буде на кшталт цього: «Lovesan, він же msblast - проникає в операційну систему сімейства Microsoft Windows, використовуючи вразливість у службі DCOM RPC Microsoft Windows». Я боюся припустити, які асоціації будуть через деякий час зі словом doom. Явно не лише з однойменною грою.

Як ви могли зрозуміти з назви та вступу, розмова зараз піде про віруси і що з ними. Перш ніж перейти до відповідей на запитання, поставлені у назві глави, мені хотілося б пройтися безпосередньо по наших сьогоднішніх «гостях». Тут же буде дано відповідь на питання, як усе це потрапляє до наших комп'ютерів.

Суть програми, які мають якісь деструктивні наслідки. Причому неважливо, у чому вони полягають: тут може бути все – від банальної заміни дозволів файлу та псування його внутрішнього змісту до порушення роботи Інтернету та краху операційної системи. Також під вірусом мають на увазі програму, що не тільки несе деструктивні функції, але і здатну розмножуватися. Ось що сказано з цього приводу в одній розумній книзі: «Обов'язковою (необхідною) властивістю комп'ютерного вірусу є можливість створювати свої дублікати (які не обов'язково збігаються з оригіналом) і впроваджувати їх у обчислювальні мережіта/або файли, системні області комп'ютера та інші об'єкти, що виконуються. При цьому дублікати зберігають здатність до подальшого поширення» (Євген Касперський, «Комп'ютерні віруси»). Дійсно, для того, щоб вижити, вірусам необхідно розмножуватися, і це доведено такою наукою, як біологія. До речі, саме від тих самих біологічних вірусів і походить назва комп'ютерних. І самі вони цілком виправдали свою назву: всі віруси прості і, незважаючи на старання антивірусних компаній, витрати яких обчислюються величезними сумами, живуть і процвітають. За прикладами далеко не треба ходити: візьмемо хоча б такий вірус, як I-Worm.Mydoom.b. Скільки разів казали, що не можна відкривати вкладені файли та повідомлення електронної пошти від невідомих осіб, та й до послань від відомих слід ставитися з побоюванням, особливо якщо ви про це не домовлялися. До того ж, якщо текст листа міститиме приблизно таке: «Заціни класну фотку моєї дівчини», то тут його відразу ж необхідно видалити. Але якщо у наведеному вище прикладі текст ще має сенс, зміст листів, заражених mydoom'oM, досить дивний. Судіть самі: «Список не може бути представлений в 7-bit ASCII запису і має бути як binary attachment sendmail daemon reported: Error #804 спричинена під час SMTP session. Partial message has been received. Message contains Unicode characters і буде been sent as a binary attachment. Message contains MIME-кодовані графіки і буде been sent as binary attachment. Mail transaction failed. Partial message is available».

Всередині листа міститься файл, що має 9 варіантів назви вкладеного файлу та 5 варіантів розширення. До мене на шухляду приходило дві варіації. Перша – zip-apхів з нібито doc-файлом, а друга – це простий ехешник з іконкою, заміненою на іконку блокнота. Якщо у другому випадку будь-який користувач може помітити каверзу, подивившись на дозвіл, то в першому зробити це вже складніше. Саме до першої нагоди я схильний відносити найбільшу кількість заражень. Що робить цей вірус, я розповідати не буду, тому що про це вже багато разів сказано у друкованих виданнях та інтернет-ресурсах. На прикладі Муdoom ми познайомилися з першим способом розповсюдження вірусів через електронну пошту.

Наступний спосіб розглянемо з прикладу Worm.Win32.Lovesan (відомого також як msblast). Чим же примітний цей вірус, і чому зараження їм набуло масового характеру? Примітний цей індивід тим, що в принципі не впливає на працездатність системи в цілому. Заражений ним комп'ютер просто не може нормально працювати в Інтернеті. Через деякий час вискакує табличка з повідомленням про помилка RPC, після чого комп'ютер перезавантажується.

Ще один спосіб – через Інтернет, коли ви завантажуєте файли (у бажаному чи небажаному варіанті). Знову ж таки, поясню на прикладах. Приклад бажаного. Ви завантажуєте з Мережі якийсь новий прикол, або програму, або гру, а вона заражена вірусом. Після завантаження програма/гра/прикол запускається, і – вуаля – ви є власником вірусу. Що тут можна сказати? Будьте уважні, регулярно оновлюйте бази даних свого антивірусу, перевіряйте всі програми антивірусом і не забувайте хоча б основи комп'ютерної безпеки. Хтось може сказати: «А навіщо мені, наприклад, перевіряти програми, які не могли бути заражені вірусом?». Хочеться запитати: Це що ж за програми такі? Будь-які програми можуть бути заражені, особливо якщо вони завантажуються з варезників або сайтів хакерських груп.

Тепер перейдемо до небажаного завантаження. Я виділив би два види такого завантаження. Перший – коли користувач і не підозрює, що на його комп'ютер щось завантажується. Виконується це завантаження за допомогою виконання скриптів. Другий вид небажаного завантаження – коли завантажується не те, що треба. Наведу приклад. Свого часу один сайт з креками безпосередньо перед закачуванням файлу пропонував встановити то Free XXX bar, то 100% крек Інтернету. Якщо користувач погодився з цим (а я впевнений, що такі були, бо ще пам'ятаю питання місяця у «Віртуальних Радостях» про «стовідсотковий крек інету»), відбувалося закачування трояна чи вірусу. Різниця, в принципі, невелика. Однак це ще не найцікавіше: у разі відхилення такої привабливої ​​пропозиції вискакувала табличка з написом приблизно наступного змісту: «Site error» і кнопочкою ОК або Continue, після натискання на яку закачування трояна все ж таки відбувалося, правда, вже без відома користувача. І врятувати від цього міг лише файрволл (Firewall).

Троян - це програма, яка надає стороннім доступ до комп'ютера для здійснення будь-яких дій на місці призначення без попередження самого власника комп'ютера або надсилає за певною адресою зібрану інформацію. При цьому вона, як правило, видає себе за щось мирне і надзвичайно корисне.

Частина троянських програм обмежується тим, що надсилає ваші паролі поштою своєму творцю або людині, яка налаштувала цю програму ( e-mail (trojan). Однак для користувачів Internet найбільш небезпечні програми, що дозволяють отримати віддалений доступдо їхньої машини з боку ( BackDoor ). Найчастіше трояни потрапляють на комп'ютер разом із корисними програмами чи популярними утилітами, маскуючись під них.

Особливістю цих програм, що змушує класифікувати їх як шкідливі, є відсутність попередження про їх інсталяцію та запуск. При запуску троян встановлює себе в систему і потім слідкує за нею, при цьому користувачу не видається жодних повідомлень про його дії. Більше того, посилання на троянця може бути відсутнім у списку активних програм або зливатися з ними. В результаті користувач комп'ютера може і не знати про його присутність у системі, тоді як комп'ютер відкритий для віддаленого керування.

Досить часто під поняттям "троян" мається на увазі вірус. Насправді, це далеко не так. На відміну від вірусів, трояни спрямовані отримання конфіденційної інформаціїта доступ до певних ресурсів комп'ютера.

Можливі різні шляхи проникнення трояна у вашу систему. Найчастіше це відбувається при запуску будь-якої корисної програми, в яку впроваджено сервер трояна. У момент першого запуску сервер копіює себе в якусь директорію, прописує себе на запуск у системному реєстрі, і навіть якщо програма-носій ніколи більше не запуститься, ваша система вже заражена трояном. Заразити машину ви можете самі, запустивши заражену програму. Зазвичай це відбувається, якщо програми завантажуються не з офіційних серверів, а з особистих сторінок. Впровадити трояна можуть сторонні люди за наявності доступу до вашої машини, просто запустивши його з дискети.

на НаразіНайбільшого поширення набули трояни наступних типів:

1. Утиліти прихованого (віддаленого) адміністрування(BackDoor - з англ. "задні двері"), Троянські коні цього класу за своєю суттю є досить потужними утилітами віддаленого адміністрування комп'ютерів у мережі. За своєю функціональністю вони багато в чому нагадують різні системиадміністрування, що розробляються відомими фірмами – виробниками програмних продуктів. Сучасні утиліти прихованого адміністрування (BackDoor) досить прості у використанні. Вони зазвичай складаються головним чином із двох основних частин: сервера (виконавець) та клієнта (керівний орган сервера). Сервер - це виконуваний файл, який певним чином впроваджується у вашу машину, завантажується на згадку одночасно з запуском Windowsта виконує одержувані від віддаленого клієнта команди. Сервер відправляється жертві, і надалі вся робота ведеться через клієнта на комп'ютері хакера, тобто через клієнта надсилаються команди, а сервер їх виконує. Зовні його присутність не виявляється. Після запуску серверної частини трояна на комп'ютері користувача резервується певний порт, який відповідає за зв'язок з Інтернетом.

Після цих дій зловмисник запускає клієнтську частину програми, підключається до цього комп'ютера через відкритий в онлайн порт і може виконувати на вашій машині практично будь-які дії (це обмежується лише можливостями програми, що використовується). Після підключення до сервера керувати віддаленим комп'ютером можна практично своїм: перезавантажувати, вимикати, відкривати CD-ROM, видаляти, записувати, змінювати файли, виводити повідомлення і т.д.

На деяких троянах можна змінювати відкритий порту процесі роботи і навіть встановлювати пароль доступу для "хазяїна" даного трояна. Існують також трояни, які дозволяють використовувати «затроєну» машину як проксі-сервер (протоколи HTTP або Socks) для приховування реальної IP-адреси хакера.

2. Поштові(E-mail trojan).

Трояни, що дозволяють «витягувати» паролі та іншу інформацію з файлів вашого комп'ютера та надсилати їх електронною поштою господарю. Це можуть бути логіни та Internet-паролі провайдера, пароль від поштової скриньки, паролі ICQ, та IRC та ін. Щоб надіслати листа власнику поштою, троян зв'язується з поштовим серверомсайту з протоколу SMTP (наприклад, на smtp.mail.ru). Після збору необхідних даних троян перевірить, чи надсилалися ці дані. Якщо ні – дані надсилаються та зберігаються у регістрі. Якщо вже надсилалися, то з регістру витягується попередній лист і відбувається його порівняння з поточним. Якщо в інформації відбулися зміни (з'явилися нові дані), то лист надсилається, і в регістрі записуються свіжі дані про паролі. Одним словом, цей вид троянів просто займається збиранням інформації, і жертва може навіть не здогадуватися, що її паролі вже комусь відомі.

3. Клавіатурні(Keyloggers).

Ці трояни записують все, що було набрано на клавіатурі (включно з паролями) у файл, який згодом відправляється на певний e-mail або переглядається через FTP (File Transfer Protocol). Keylogger'bi зазвичай займають мало місця і можуть маскуватися під інші корисні програми, Через що їх буває важко виявити. Ще однією причиною проблеми виявлення такого трояна є те, що його файли називаються як системні. Деякі трояни цього типу можуть виділяти та розшифровувати паролі, знайдені у спеціальних полях для введення паролів.

Такі програми вимагають ручного налаштування та маскування. Keylogger'bi можна використовувати не лише з хуліганською метою. Наприклад, їх дуже зручно поставити на своєму робочому місці або вдома на час від'їзду.

4. Програми-жарти(Joke programs).

Ці програми нешкідливі за своєю суттю. Вони не завдають комп'ютеру будь-якої прямої шкоди, проте виводять повідомлення про те, що така шкода вже заподіяна, може бути заподіяна за будь-яких умов, або попереджають користувача про неіснуючу небезпеку. Програми-жарти залякують користувача повідомленнями про форматування жорсткого диска, Визначають віруси в незаражених файлах, виводять дивні вірусоподібні повідомлення і т. Д. - Це залежить від почуття гумору творця такої програми. Звичайно ж, тут немає жодних причин для хвилювання, якщо за цим комп'ютером не працюють інші недосвідчені користувачі, яких такі повідомлення можуть налякати.

5. До «троянським коням» також можна віднести заражені файли, код яких певним чином підправлений чи змінений криптографическим методом. Наприклад, файл шифрується спеціальною програмою та/або упаковується невідомим архіватором. У результаті навіть останні версіїантивірусів не можуть визначити наявність у файлі трояна, оскільки носій коду відсутній у їхній антивірусній базі.

Способи їхнього проникнення не відрізняються від вищеописаних. Тому одразу ж перейдемо до розгляду. Тут слід зазначити, що існують цілком мирні діалери, звані у народі «дзвонилками». Ці програми використовуються з метою допомогти користувачам dial-up'a додзвонитися до провайдера та по можливості підтримувати з ним стабільний зв'язок навіть на старих чи модернізованих лініях. Ті ж, про які йтиметься наша розмова, мають іншу назву – бойові діалери. Використовуючи проломи в операційній системі, а іноді і по недбалості або наївності користувачів (див. вище про «100% крек Інтернету»), дані програми підміняють телефон провайдера телефоном оператора зв'язку з якоїсь екзотичної країни. Причому, як правило, у вікні набору номера залишається старий добрий телефонпровайдера. Ще діалери прописують у планувальнику завдання зателефонувати у заданий час. І добре, якщо користувач має звичку вимикати модем або він у нього зовнішній і репетує так, що мама не горюй. А якщо модем тихенький та вбудований? Ось і я про те. І дізнається бідолаха про своє горе лише після приходу ба-а-алиного такого рахунку за телефон.

Настав час розповісти про те, хто ж пише і запускає всю цю гидоту в Мережу. Тут я спробую класифікувати ті групи людей, які займаються цією непристойною справою. Тут не буде сказано про так звані «білі» хакери. Поясню чому. Цей різновид не становить небезпеки для суспільства і швидше несе йому користь. Саме вони найчастіше пишуть віруси-антивіруси для знешкодження особливо шкідливих особин. Чому віруси? Ці програми поширюються за тим самим механізмом, як і віруси. Чому анти-? Тому що блокують чи видаляють певний вид вірусу з комп'ютера. Головною їхньою відмінністю від вірусів є також самоліквідація після виконання свого завдання та відсутність будь-яких деструктивних функцій. Прикладом може бути подібний вірус, який з'явився в Мережі через деякий час після рецидиву Lovesan'a. Після завантаження вірусу-антивіруса Lovesan видалявся, а користувачеві пропонувалося завантажити оновлення для Windows. «Білі» хакери також знаходять проломи у програмному забезпеченні та комп'ютерних системах, після чого повідомляють про знайдені помилки компаніям. Тепер перейдемо безпосередньо до нашої класифікації.

Тип перший: діти скриптів. Звати себе не інакше як HaCkeR-rr, читають журнал «Хакер», не знають жодної мови програмування, а всіх «своїх» троянів та вірусів творять за допомогою завантаження готових програм із Мережі. (Щоб уникнути наїздів, зазначу, що журнал «Хакер», в принципі, непоганий, і матеріал у ньому подається у досить простій формі – місцями, правда. Але у простій формі для людей, які вже мають якийсь багаж знань. І матеріал вони дають з розумом - не розповідають все до кінця - щоб не залучили їх нікуди, треба думати.) Ці «хакери» зазвичай, після того як надішлють комусь скачаний звідкись троян, і останній спрацює, тут же починають кричати на форумах про своїй крутості і т. д. і т. п. За що тут же цілком справедливо отримують на свою адресу купу неприємних висловлювань, бо це не справа. Якщо вже напакостив, то краще помовч. Особливої ​​небезпеки дані індивіди не становлять, тому що на більш-менш масштабну справу у них просто не вистачить ні досвіду, ні (у деяких випадках) мозку.

Тип другий: «початківець». Цей вид є прямим нащадком першого. Деякі з представників першого типу, через якийсь проміжок часу, починають розуміти, що вони не такі круті, як їм здавалося, що, виявляється, існують ще й мови програмування, що можна щось зробити і після цього не кричати на весь світ про те, «який я молодець». Хтось із них у майбутньому, можливо, перетвориться на представника класу профі. Ці люди починають вивчати якусь мову, пробувати щось писати, в них починає прокидатися творча думка. І водночас вони починають представляти певну небезпеку суспільству, бо хто знає, яке жахливий твір з недосвідченості може написати такий представник класу вірусописачів. Адже коли код пише професіонал, він таки усвідомлює, що деякі речі робити не потрібно, тому що вони можуть зіграти проти нього. У новачка таких знань немає, і цим він небезпечний.

Тип третій: "профі". Розвиваються із другого виду. «Профі» відрізняються глибоким знанням мов програмування, мережевої безпеки, розбираються у глибинах операційних системі, що найважливіше, мають дуже серйозні знання і розуміння механізму роботи мереж і комп'ютерних систем. Причому «профі» не лише дізнаються про бреші в системах безпеки з бюлетенів компаній, а й самі знаходять їх. Часто вони об'єднуються в групи хакерів для поліпшення якості своєї «роботи». Ці люди, в основному, потайливі і не жадібні до слави, при проведенні якоїсь успішної операції не біжать повідомляти про це всьому світу, а вважають за краще мирно відсвяткувати успіх у колі друзів. Безумовно, становлять велику небезпеку, але, оскільки всі вони знають, то не підуть на дії, які можуть викликати глобальний обвал будь-якої системи – наприклад, Інтернету. Хоча бувають і винятки (не все ще забули про Slammer'a).

Тип четвертий: "промислові хакери". Найнебезпечніші для суспільства представники сімейства хакерів. Їх можна назвати справжніми злочинцями. Саме на їх совісті лежить написання більшої частини діалерів та зламування мереж банків, великих компаній та урядових установ. Навіщо і навіщо вони це роблять, ми поговоримо нижче. «Промисловці» не зважають ні на що і ні на кого, ці індивіди здатні піти на все заради досягнення своїх цілей.

Тепер узагальним написане.

«Діти скриптів»: молодо, зелено та недосвідчено. Хочеться показати, що ти крутіший за всіх, а крутіший за тебе - тільки Крутий Сем.

«Початківець»: з'явився потяг до написання чогось самостійного. Частина з них, на щастя, після спроби освоєння премудростей інтернет-протоколів та мов програмування кидають цю справу та йдуть займатися чимось мирнішим.

"Профі": якщо раптом настає стан "усвідомив свою провину, міру, ступінь, глибину", то представник цього виду стає висококваліфікованим фахівцем з комп'ютерної безпеки. Хотілося б, щоб більше профі перейшло до такого стану.

"Промисловці": нічого святого. Про таких добре говорить народна мудрість: "Горбатого могила виправить".

Таким є грубий поділ на типи представників класу комп'ютерних зловмисників. Тепер перейдемо до питання: навіщо вони це роблять?

А справді, навіщо пишуться віруси, трояни, діалери та інша погань? Однією з причин є бажання самоствердження. Воно характерне для представників першого та другого типу. Одному просто треба показати своїм друзям, що він «типу того, реальний, крутий пацан», другому – насамперед для підвищення рівня самооцінки. Друга причина – здобуття досвіду. Характерна для початківців. Після написання свого першого шедевра, природно, хочеться його на комусь випробувати, – не на собі ж, насправді. Ось і з'являється в Мережі кілька нових, не завжди дуже небезпечних, вірусів.

Наступна причина – дух суперництва. Ви ніколи не чули про змагання хакерів? Останнє, відоме мені відбулося влітку. Переміг бразильський хакерський гурт (виявляється, не тільки футбол у них сильний). Завдання стояло таке: хто зламає найбільше сайтів. Але я впевнений, що є змагання і з самого навороченого вірусу, і з найкращого клавіатурного шпигуна.

Адреналін – ще одна причина. Уявіть собі: ніч, світло монітора, пальці бігають по клавіатурі, вчора було знайдено пролом у системі захисту, сьогодні потрібно спробувати отримати доступ до системи та показати товаришу адміністратору, хто в хаті господар. Слідом за цією причиною йде й наступна романтика. А що, кому подобається на захід сонця дивитися, кому на зірки, а кому – віруси писати. Скільки людей, стільки та смаків.

Причина така – політичний чи соціальний протест. З цієї причини зламується більшість урядових сайтів, сайтів політичних партій, друкованих та інтернет-видань, а також великих корпорацій. За прикладами далеко не треба ходити. Відразу ж після початку війни в Іраку були зроблені атаки на американські урядові сайти з боку невдоволених політикою Буша, а також на сайт арабської газети «Аль-Джазіра» та низку інших арабських ресурсів із протилежного боку.

І, мабуть, остання причина – це всюдисущі гроші. Заради них переважно працюють, якщо можна так висловитися, промислові хакери. Зламуючи мережі банків, вони отримують доступ до рахунків клієнтів. Що за цим буде, здогадатися неважко. Збираючи інформацію про будь-якого користувача Мережі за допомогою програм-шпигунів, вони займаються банальним шантажем. Дії, на які йдуть «промисловці», можна перераховувати ще дуже довго, хочу лише ще раз сказати, що саме вони є повноцінними комп'ютерними злочинцями, і ставитись до них треба як до злочинців.

Цей текст є ознайомлювальним фрагментом.З книги Журнал `Комп'ютерра` №726 автора Журнал «Комп'ютерра»

З книги Журнал «Комп'ютерра» №25-26 від 12 липня 2005 року автора Журнал «Комп'ютерра»

Шпигуни, навчайте матчасть! Схоже, у світі починаються серйозні зміни. У всякому разі, нічого подібного ще не було. Італійський суд видав ордер на арешт тринадцяти співробітників ЦРУ США за звинуваченням у викраденні людини. І нехай людина ця, імам міланської мечеті

З книги Журнал «Комп'ютерра» № 35 від 25 вересня 2007 року автора Журнал «Комп'ютерра»

АНАЛІЗИ: Шпигуни в країні Wikipedia Автор: Ківі БердВражаючий рубіж у два мільйони статей, досягнутий англомовним сегментом Вікіпедії у вересні нинішнього року, - величезний і безперечний успіх світової інтернет-спільноти, що об'єднаними зусиллями зуміла створити

З книги Збої та помилки ПК. Лікуємо комп'ютер самі. Почали! автора Ташков Петро

Розділ 4 Віруси, трояни та програми-шпигуни Напевно, не буде помилкою сказати, що разом із комп'ютером з'явилися і програми, які намагаються йому нашкодити. Різні віруси, троянські коні, програми-шпигуни, «хробаки» та інші неприємні програмні шкідники постійно тримають

З книги Збої та помилки ПК. Лікуємо комп'ютер самі автора Донцов Дмитро

Колись давно, з появою перших вірусів, головною небезпекою було зараження комп'ютера та офісних документів. У принципі, великої проблеми у цьому не було, оскільки антивірусна програмавміла справлятися з

З книги Цифровий журнал "Комп'ютерра" № 97 автора Журнал «Комп'ютерра»

З книги Інтернет – легко та просто! автора Олександров Єгор

Ківіне гніздо: Шпигуни в законі Ківі Берд Опубліковано 29 листопада 2011 У «арабської весни», хвилею народних повстань прокотилася цього року близькосхідним регіоном, є один примітний побічний результат. Суть його в тому, що у

З книги Комп'ютерра PDA N147 (26.11.2011-02.12.2011) автора Журнал «Комп'ютерра»

Віруси Вірус – це шкода комп'ютерна програма, здатна розмножуватися, створюючи свої копії, які також зберігають здатність до розмноження (рис. 10.1). В останні роки у зв'язку з бурхливим розвитком мережевих технологійвизначення слова "вірус"

З книги Шахрайство в Інтернеті. Методи віддаленого виманювання грошей і як не стати жертвою зловмисників автора Гладкий Олексій Анатолійович

Ківіне гніздо: Шпигуни в законі Автор: Ківі БердОпубліковано 29 листопада 2011 У "арабської весни", хвилею народних повстань прокотилася цього року близькосхідним регіоном, є один примітний побічний результат. Суть його в тому, що у західноєвропейської та

З книги Безкоштовні розмови через Інтернет автора Фрузоров Сергій

Чим небезпечні клавіатурні шпигуни? Клавіатурний шпигун - це програма або пристрій, за допомогою якого здійснюється постійне спостереження за всіма натисканнями клавіш на клавіатурі (а в багатьох випадках - і за всіма клацаннями миші) з метою отримання інформації про всіх

З книги Створюємо вірус та антивірус автора Гульєв Ігор А.

Віруси та черв'яки Вірус - це звичайна програма, яка виконує шкідливі, а іноді і просто руйнівні дії. Ви запитаєте, що може зробити вірус? Так, практично все, що можна зробити у вашій операційній системі. Давайте розглянемо це трохи докладніше на

З книги Введення в криптографію автора Циммерманн Філіпп

Клавіатурні шпигуни Клавіатурні шпигуни - це програми, що запам'ятовують, які клавіші були натиснуті у вашу відсутність, тобто - що діялося на вашому комп'ютері, поки вас не було в офісі. Для цього все, що набирається на клавіатурі, заноситься спеціальною програмою

З книги Цифровий журнал "Комп'ютерра" № 191 автора Журнал «Комп'ютерра»

Віруси та трояни Атака полягає у застосуванні спеціально спроектованого комп'ютерного вірусу або черв'яка для зараження встановленої у вас програми PGP. Цей гіпотетичний вірус може бути влаштований так, щоб перехоплювати закритий ключта пароль або вміст

З книги Цифровий журнал "Комп'ютерра" № 197 автора Журнал «Комп'ютерра»

Апаратні трояни для процесорів Intel- перша практична реалізація Андрій Васильков Опубліковано 19 вересня 2013 Вісім років тому Міністерство оборони США публічно висловило стурбованість тим, що за достатнього технічного рівня

З книги Цифровий журнал "Комп'ютерра" № 204 автора Журнал «Комп'ютерра»

У минулі вихідні на сайті «Вести.Ру» з'явилася замітка про те, як російські митники виявили в партії прасок з Китаю шпигунську начинку.

З книги автора

Трояни з претензією на авторське право: як не треба робити приховані біткойн-майнери Андрій Васильков Опубліковано 20 грудня 2013 У літературних творах злочинці - злі генії, які кидають інтелектуальний виклик правосуддю та найкращим розумам

Віруси - це шкідливі програми, які можуть завдати шкоди Вашому комп'ютеру, програм та важливих документів. Віруси зазвичай створюються злочинно налаштованими програмістами, які бажають перевірити свій професіоналізм або довести всьому світу, що вони перевершують фахівців у галузі комп'ютерної безпеки. Подібні віруси націлені завдати певної шкоди конкретній особі або навіть цілій організації, спровокувати втрату чи крадіжку конфіденційної інформації. Найстрашніше те, що іноді віруси виходять з-під контролю і поширюються на велику кількість комп'ютерів.

Заразити комп'ютер можна безліччю способів. Наприклад, Ви можете просто запустити незнайому програму або переміщатися по мережі і раптом виявити, що Ваш комп'ютер почав поводитися досить дивно. Скажімо, виявляється критична помилка коли Ви намагаєтеся запустити якусь програму, яка ще вчора відмінно функціонувала, або Ваш комп'ютер став самостійно робити незрозумілі операції. Зазвичай подібні віруси дуже небезпечні, т.к. їх можна швидко виявити популярними антивірусними програмами, такими як True Sword. Але існує інша категорія вірусів, які не виявляють себе якоюсь специфічною поведінкою. Але в той же час такий вірус може бути активізований таймером або віддаленою командою. Наслідки можуть бути сумними: фізичні пошкодження дорогих компонентів комп'ютера та втрата важливої ​​інформації.

Виявляє та знищує понад 4000 найнебезпечніших вірусів. видаляє навіть невідомі віруси завдяки унікальній технології евристичних алгоритмів.

Троянські коні (трояни)

Значення терміна "троянський кінь" джерело інформації - Вебопедія:
Це руйнівні програми, які маскуються під безпечні. На відміну від вірусів, трояни не розмножуються, але це робить їх менш небезпечними. Один з найпідступніших типів троянських коней - програма, яка пропонує позбутися вірусів на Вашому комп'ютері, але при цьому, навпаки, що їх впускає. Сам термін було запозичено з Іліади Гомера, яка розповідає про те, як греки подарували гігантського коня на знак примирення своїм ворогам, троянцям. Але після того, як троянці розмістили дерев'яного коня у стінах свого міста, група грецьких солдатів з'явилася з черевної порожнини подарунка і відчинила ворота решті військ держави Стародавньої Греції.»

Наші продукти – і – знищують велику кількість поширених троянів. Процес знищення схожий на видалення вірусів.

Шпигунське ПЗ


«Це будь-яке програмне забезпечення, яке потай збирає інформацію користувача за допомогою інтернет з'єднання без відома самого користувача. Дана інформаціязбирається з метою пропозиції її господареві примусової реклами. Програми шпигунського програмного забезпечення, як правило, є прихованими компонентами безкоштовного або умовно-безкоштовного програмного забезпечення, яке може бути завантажене будь-де з інтернету. Однак, необхідно зробити застереження, що більшість безкоштовного або умовно-безкоштовного програмного забезпечення йдуть у комплекті зі шпигунськими програмами. Після встановлення шпигунські програми стежать за активністю користувача в Інтернеті та передають всю інформацію у фоновому режимі третім особам. Шпигунське програмне забезпечення також може збирати відомості про адреси електронної пошти і навіть паролі та номери кредитних карток. Шпигунське програмне забезпечення схоже на троянський кінь в тому, що користувачі самі неусвідомлено встановлюють ці продукти, коли намагаються завантажити щось ще. Зазвичай користувачі заражають свої ПК шляхом завантаження деяких програм до роботи з піринговими мережами (торенти та інших.).

Геть від питань етики та захисту конфіденційності, шпигунське програмне забезпечення обкрадає користувачів, використовуючи ресурси комп'ютерної пам'яті, і навіть знижуючи продуктивність, т.к. воно відсилає інформацію третім особам, використовуючи користувальницьке інтернет з'єднання. Оскільки шпигунські програми використовують ресурси пам'яті та цілої системи, програми, що працюють у фоновому режимі можуть спровокувати збої системи або загальну нестабільність системи.
Так як шпигунське програмне забезпечення існує у вигляді незалежних виконуваних файлів, у нього є можливість стежити за комбінаціями клавіш, сканувати файли на жорсткому диску, заглядати в інші програми, такі як програми чатів або текстові редактори, встановлювати інші шпигунські програми, читати cookie-файли, змінювати налаштування за замовчуванням в програмах навігації в Інтернеті, послідовно передаючи всю інформацію третім зацікавленим особам, які використовують її в рекламних/маркетингових або явно злочинних цілях.

Ліцензійні угоди, що супроводжують процеси скачування програмного забезпечення, іноді попереджають користувачів про те, що будуть встановлені і шпигунські додатки поряд із запитуваним ПЗ, але ці документи не завжди читаються, т.к. повідомлення про встановлення шпигунського програмного забезпечення зазвичай подається у зачитках, що важко читаються.»

Має велику базу даних відомих шпигунських програм. Наш продукт знаходить і знищує шпигунські програми, оберігаючи конфіденційність користувача. за допомогою евристичних алгоритмів видаляє навіть шпигунів, які не є в базі даних.

Рекламне ПЗ

Значення терміна "Шпигунське програмне забезпечення" джерело інформації - Вебопедія:
«1) Це тип шпигунських програм, які збирають інформацію про користувача з метою нав'язування рекламних оголошень в програмах перегляду інтернету залежно від переваг у мережі самого користувача.
2) Це програмне забезпечення, яке потрапляє до користувача в комплекті з іншими програмами.»

ПО стеження

По стеження - це вид шпигунського програмного забезпечення, яке збирає інформацію про кожну дію, що виробляється на Вашому комп'ютері. Практика подібних програм використовується керуючими для контролю своїх підлеглих та виявлення їх дій на корпоративних машинах. Також ревниве подружжя не гребує використовувати ПЗ стеження для "догляду" за своїми половинками. Список можна продовжувати довго. Головне - це те, що програми стеження ущемляють (або навіть порушують) Ваше право конфіденційності безпардонним чином.

І спроектовані, щоб дотримуватися Вашої конфіденційності.

Шкідливі "дзвонилки"

"Дзвінілки" - це тип програмного забезпечення, що використовує Ваш модем для здійснення дорогих дзвінків без Вашого відома на номери, які в більшості випадків належать компаніям, що надають послуги для дорослих (також вони можуть називатися ХХХ послуги). Заразити комп'ютер подібними "дзвонилки" можна під час звичайних інтернет сесій.

І знаходять і видаляють більш ніж 100 відомих різних шкідливих "дзвонилок".

Клавіатурні шпигуни

Клавіатурні шпигуни - це тип програмного забезпечення, яке записує всі варіації наборів клавіш на Вашому комп'ютері в спеціальний файл і відправляє його третіми особами (тобто хакерам). Клавіатурні шпигуни особливо застосовуються в організацію крадіжки імен користувачів, паролів, адрес електронної пошти, номерів кредитних карт тощо. видаляє безліч клавіатурних шпигунів. Для кращого захисту Вашого ПК від цього шкідливого ПЗ, використовуйте , який блокує ВСІ типи клавіатурних шпигунів, як відомі, так і невідомі.

З дитинства ми чули, що добрі – це розвідники, вони працюють на наших. А погані – це шпигуни, це чужі – ті хлопці у чорних окулярах, у застебнутих на всі гудзики макінтошах та з пачкою доларів у кишені. Настало двадцять перше століття, і тепер зовсім не прогумовані плащі називають макінтошами, хоча шпигуни в них все одно заводяться… Зустрічай сьогодні на арені: шпигунське ПЗ від «доброї» та «злої» (як подивитися, а?) сторін сили.

Розвідники: малвар для потреб уряду

Влітку 2012 року співробітники антивірусної лабораторії Касперського виявили шкідливість, яка отримала назву Morcut. Його застосували до групи незалежних журналістів з Марокко, які висвітлювали події під час «арабської весни», їх комп'ютери заражали цілеспрямовано через сервіс електронної пошти.

У класифікації інших антивірусних компаній шкідливість має найменування Crisis (Symantec) та DaVinci (Dr.Web). Під час проведеного компанією Dr.Web розслідування було встановлено, що Morcut є компонентом системи віддаленого контролю DaVinci, яку розробляє та продає компанія Hacking Team.

DaVinci

Система DaVinci позиціонується розробником як СОРМ (система технічних засобів для забезпечення функцій оперативно-розшукових заходів) для використання урядовими структурами та правоохоронними органами. Крім компанії Hacking Team, подібні СОРМ розробляє низку інших компаній. Як правило, це комплекс програм, що складається з керуючого сервера та клієнта-агента. Агент непомітно для користувача встановлюється на комп'ютер і має такі функції:

  • пошук та формування списку файлів, що задовольняють заданим критеріям;
  • відправка довільних файлів, у тому числі електронних документівна віддалений сервер;
  • перехоплення паролів від сервісів електронної пошти та соціальних мереж;
  • збір даних про відвідувані ресурси мережі Інтернет;
  • перехоплення потоку даних систем електронного голосового зв'язку (Skype);
  • перехоплення даних систем миттєвого обміну повідомленнями (ICQ);
  • збір інформації про контакти з мобільних телефонів, що підключаються до комп'ютера;
  • запис аудіо- та відеоінформації (за наявності підключених веб-камери та мікрофона).

За даними видання Wall Street Journal, низка європейських компаній постачала СОРМ на базі СПО з таким функціоналом до країн Близького Сходу, уряди яких використовували їх для боротьби з опозиційно налаштованими верствами населення.


Неурядова організація Privacy International (Великобританія), що займається виявленням фактів порушення прав людини, проводить постійний моніторинг міжнародного ринку СОРМ та веде перелік компаній – розробників рішень у цій сфері. Перелік складається на основі аналізу компаній – учасників спеціалізованої конференції ISS World (Intelligence Support Systems – системи забезпечення збору інформації). На цьому заході, який проводиться регулярно кілька разів на рік, зустрічаються потенційні покупці та розробники СОРМ. Ось деякі з компаній, які розробляють шкідливість під виглядом СОРМ.

FinFisher (finfisher.com), підрозділ Gamma International (Великобританія)

За деякими даними, після відставки Хосні Мубарака після подій 2011 року в Єгипті було знайдено документи (див. рис. 3, 4), що вказують на те, що компанія FinFisher надавала послуги зі спостереження за громадянами Єгипту за допомогою комплексу FinSpy. Факт купівлі п'ятимісячної ліцензії режиму Мубарака до Єгипту за 287 тисяч євро компанія заперечує. FinSpy здатний перехоплювати телефонні дзвінки Skype, красти паролі та записувати аудіовідеоінформацію. На комп'ютери користувачів FinSpy встановлюється так: електронною поштою надсилається повідомлення з посиланням на шкідливий сайт. Коли користувач відкриє посилання, йому запропонують оновити програмне забезпечення. Насправді замість оновлення буде встановлено зловред. Спосіб розповсюдження FinSpy через електронну пошту було відзначено влітку 2012 року щодо продемократичних активістів Бахрейну.



Hacking Team (hackingteam.it), Італія

Розробник системи віддаленого контролю DaVinci, яку позиціонують як засіб стеження, призначений для використання урядами та правоохоронними органами різних держав. Функціонал DaVinci аналогічний FinSpy - це перехоплення Skype, електронних листів, паролів, даних засобів миттєвих повідомлень (ICQ), а також запис аудіовідеоінформації. Клієнтська частина DaVinci здатна функціонувати як серед операційних систем сімейства Windows(версії XP, Vista, Seven), і серед операційних систем сімейства Mac OS (версії Snow Leopard, Lion). Ціна системи DaVinci приблизно становить близько 200 тисяч євро, в неї закладені зобов'язання постійно оновлювати та підтримувати продукт до того моменту, поки кінцева мета атаки (отримання потрібної інформації) не буде досягнуто.

Area SpA (area.it), Італія

У листопаді 2011 року стало відомо, що співробітники цієї компанії встановили систему моніторингу для сирійського уряду, здатну перехоплювати, сканувати та зберігати практично всі повідомлення електронної пошти в країні. Через місяць після виявлення цього факту ЄС заборонив експорт технічних засобів спостереження до Сирії та їхнього обслуговування. Система була розгорнута на основі договору із сирійською телекомунікаційною компанією STE (Syrian Telecommunications Establishment), яка є основним оператором стаціонарного зв'язку в Сирії. Для встановлення застосовувався спосіб, ефективний за наявності доступу до телекомунікаційних мереж (спецслужби держави та правоохоронні органи мають такий доступ), - заміна інформації. Наприклад, користувач при пошуку інформації в google.com отримував посилання на шкідливий сайт, і заражався під виглядом установки компонентів браузера, необхідних для коректного відображення вмісту сайту.

Amesys (amesys.fr), підрозділ Bull SA, Франція

Журналісти Wall Street Journal в одному із залишених прихильниками Каддафі центрів інтернет-моніторингу в Тріполі (Лівія) виявили використання системи стеження компанії Amesys. За їхніми свідченнями, лівійська влада могла читати електронну пошту, отримувати паролі, читати миттєві повідомлення та складати карти зв'язків між людьми. Документи, викладені на ресурсі WikiLeaks, показали, що система, розгорнута Amesys, дозволяла стежити за дисидентами та опозиціонерами навіть за кордоном, наприклад, що живуть у Великій Британії.

Шпигуни

Трояни, використані в ході кібератак в 2013 році, в основному вже не являли собою нічого надзвичайного. Якщо 2012 став для «Лабораторії Касперського» роком піару на темі hi-tech-кіберзброї, то в 2013 з'явився новий тренд - використання в цільових атаках широко поширених шкідливих програм, на противагу явно написаним командою професіоналів під конкретні цілі. І все частіше окремі ознаки вказують на таких можливих організаторів атак, як Китай та Північна Корея. Таким чином, можна говорити про так звані «західні» та «азіатські школи» написання троянів, які використовуються для проведення атак класу APT. Що характерно для «західної школи»?

  1. Вкладаються значні фінансові ресурси.
  2. Шкідливий код підписують цифровим підписомлегальних контор, сертифікати для неї зазвичай крадуться зі зламаних серверів, що потребує певної підготовчої роботи, людських ресурсів і зрештою пункту номер 1. Підпис дозволяє без проблем встановлювати драйвери для переходу в режим ядра, що дає можливість реалізовувати руткіт-функції, а також у ряді випадків обходити захист антивірусних засобів.
  3. Широко використовуються zero-day-вразливості для прихованого запуску та підвищення своїх привілеїв у системі, такі вразливості коштують чимало, тому знову дивися пункт 1.

З 2010 року були виявлені такі шкідливі програми з яскравим ярликом «кіберзброя» (див. рис. 2), у цій статті ми не будемо розписувати їх подвиги повністю - ми це вже робили раніше, - а просто пройдемося за їх найцікавішими особливостями.

Stuxnet

Виділяється на загальному тлі тим, що він поки що єдиний представник малварі, здатний фізично пошкодити деякі об'єкти підприємства. Тож до класу кіберзброї фактично можна віднести лише її. Що в ньому було ще цікавого – чотири zero-day-уразливості, поширення на USB не через тривіальний autorun.inf, а через уразливість обробки ярликів MS10-046. При автозавантаженні з флешки через шкідливий ярлик спрацьовував руткіт-компонент, після чого шкідливі компоненти Stuxnet, розміщені на USB flash, ставали невидними. Мав функції хробака, як у Conficker (MS08-067), а також метод розповсюдження через мережу через вразливість підсистеми друку (MS10-061). Драйвери було підписано вкраденими сертифікатами.

Duqu

Як контейнер для доставки використовувався документ Word(запуск через вразливість в обробці шрифтів MS11-087, zero-day), що адресно надсилається електронною поштою. Драйвери, як і у Stuxnet, були підписані, чим досі деякі антивірусні аналітики намагаються обґрунтувати зв'язок між Stuxnet та Duqu.

Flame

Цікавий тим, що підпис компонентів належить Microsoft, створений він шляхом підбору колізії MD5. Неможливо великий обсяг вихідного коду, близько 20 Мб, використання великої кількості стороннього коду. Є модуль, який використовує Bluetooth для перехоплення інформації з мобільних пристроїв.

Gauss

Має модульну структуру, модулям присвоєно внутрішні імена знаменитих математиків, таких як Гедель, Гаус, Лагранж. Використовує знімний носійдля зберігання зібраної інформації прихованому файлі(Це дозволяє інформації витікати через захисний периметр, де немає інтернету, на флешці). Містить плагіни, призначені для крадіжки та моніторингу даних, що пересилаються користувачами кількох ліванських банків – Bank of Beirut, EBLF, BlomBank, ByblosBank, FransaBank та Credit Libanais.

MiniFlame

Смежний з Flame проект. В ході аналізу командних серверів Flame було встановлено, що існували чотири різні типи клієнтів («шкідливих програм») під кодовими назвами SP, SPE, FL та IP. MiniFlame відповідає назві SPE, Flame, відповідно - FL. Шкідливості з назвами SP та IP так і не були виявлені in the wild.

Спутнік

Здатний красти дані з мобільних пристроїв, збирати інформацію з мережевого обладнання (Cisco) та файли з USB-дисків (включаючи раніше видалені файли, для чого використовує власну технологію відновлення файлів), красти поштові бази даних із локального сховища Outlook або віддаленого POP/IMAP -сервера, а також витягувати файли з локальних FTP-серверів у мережі.

MiniDuke

Написаний на асемблері, що в наш час вже дивує (мабуть, вербанули когось старої школи). Адреси командних серверів беруться із Twitter. Якщо з Twitter не зрослося, використовувався Google Search, щоб знайти зашифровані посилання до нових серверів керування.

Китайські кіберугруповання намагаються не відставати від прогресу, і, наприклад, такий троян, як Winnti, який використовується для атак на компанії, що займаються комп'ютерними онлайн-іграми, містить підписані драйвери.

Шпигуни азіатської школи

  • Липень 2012 – Madi;
  • серпень 2012 – Shamoon;
  • листопад 2012 - Narilam.

Всі вони написані на Delphi (lameware:)), код особливою технологічністю не блищить, про zero-day та підписи нічого й казати. В наявності використання паблік технологій і методів. Але тим не менш – вони працюють! До речі, трояни з деструктивними функціями на хвилі APT-атак знову входять у моду, Shamoon і Narilam якраз із їхнього числа. Вони використовувалися, щоб паралізувати роботу окремих організацій шляхом знищення інформації на ЕОМ.

Проблеми термінології

Старі терміни типу «вірус», «хробак» та «троян» вже не повною мірою відповідають реаліям. Особливо прикро, що журналістам інтернет-видань глибоко фіолетово, ніж вірус відрізняється від трояна, і людині, хоч трохи розуміється на темі, ріжуть слух такі словосполучення, як «вірус stuxnet», «вірус kido» або «вірус carberp». Вкотре згадаємо основні поняття:

  • вірус - має функцію саморозповсюдження, заражає виконувані файли;
  • троян - немає функції самопоширення;
  • черв'як - має функцію саморозповсюдження, у класичному розумінні - через використання вразливостей сервісів ОС, доступних по мережі (хробак Морріса), трохи пізніше - через мило та флешки;
  • руткіт – використовує функції приховування ознак своєї присутності в системі.

Насправді багато зразки шкідливих речовин поєднують у собі кілька таких характеристик. Нині молвар можна класифікувати за якимось іншим критеріям. Спробуємо розібратися. Насамперед, будь-який малин нашого часу в першу чергу комерційний проект. Різниця лише у вихідних фінансах та кінцевих цілях. Умовно можна виділити такі групи:

  • lameware - новомодний термін, що означає малвар, написану новачками чи дилетантами у цій справі (в побуті - ламерами). Часто користуються Delphi. p align="justify"> Розробка, як правило, не вимагає жодних фінансових вкладень, правда, і дохід у відносному вираженні малий. Основний фактор, що спонукає до написання lameware, - потішити своє НСВ;
  • добротна комерційна малварь - шкідливість з «світовим» ім'ям, які мають кілька поколінь і ведуть свою історію протягом декількох років;
  • APT – шпигунські програми, поширення та функціонал яких характеризується точковою спрямованістю на конкретні цілі – компанії, організації.

Висновок

Інтернетизація, комп'ютеризація та інша глобалізація полегшили життя людей. І нам з тобою, і тим, що раніше мали стрибати з парашутом, перегризати колючий дріт, підслуховувати, підглядати, підривати і підкуповувати. Велику частку роботи цих міцних хлопців зараз роблять талановиті програмісти за кумедні за мірками відповідних бюджетів мільйони доларів. Так, до речі, життя кримінальним особам, які раніше мали бігати з кольтом за поштовими диліжансами, полегшилося також. Будь уважний та обережний!