'Удаленное
управление'
компьютером
в сетях Internet/intranet
Как
завести
дома коня
Рекомендации
не
запускать
программы,
пришедшие к
вам по
почте от
неизвестных
отправителей
под видом
полезных
утилит,
обновлений
и т. п., стали
уже общим
местом. К
сожалению,
выполнения
этих
рекомендаций
совершенно
недостаточно
для
сохранения
ваших
паролей,
конфиденциальной
информации,
да и просто
целостности
данных на
вашем
жестком
диске. Не
будет
преувеличением
утверждать,
что с
момента
представления
широкой
публике
самого
известного
троянского
коня Back Orifice и
хлынувшего
за этим в Internet
потока
подобных
программ,
ваши шансы
заполучить
в свою
систему
подобного "помощника"
очень
велики.
Например, в
последние
месяцы
значительный
процент
скачиваемых
из Internet мелких
утилит и
программок-забав
(toy) содержал в
себе того
или иного
троянца. Не
лучше
ситуация и
с
содержимым
пиратских
дисков.
Часть
троянских
программ
ограничивается
тем, что
отправляет
ваши пароли
по почте
своему
создателю
или
человеку,
который
сконфигурировал
эту
программу.
Но для
лучших из
них пароли -
это мелочь: Back
Orifice, несмотря
на
аскетичный
интерфейс,
позволяет
постороннему
человеку по
локальной
сети или Internet
получить
полный
контроль
над вашим
компьютером.
Полный
доступ к
вашим
дискам (включая
возможность
их
форматировать!),
наблюдение
за
содержимым
экрана в
реальном
времени,
запись с
подключенного
к системе
микрофона
или
видеокамеры
- вот далеко
не полный
перечень
возможностей
подобных
программ.
Малоизвестный
троянец Master of Paradise
по удобству
и скорости
работы на
медленном
соединении
c успехом
может
поспорить с
такими
лучшими
представителями
средств
удаленного
управления,
как VNC (www.orl.co.uk/vnc).
Любой
классический
троянец
состоит из
двух частей:
сервера и
клиента.
Сервер - это
собственно
исполняемый
файл,
который,
попав в ваш
компьютер,
загружается
в память
одновременно
с запуском
Windows и
выполняет
получаемые
от
удаленного
клиента
команды.
Возможны
различные
пути его
проникновения
в вашу
систему:
чаще всего
это
происходит
при запуске
какой-либо
полезной
программы,
в которую
внедрен
сервер. В
момент
первого
запуска
сервер
копирует
себя в
какое-нибудь
потаенное
местечко (особой
любовью у
авторов
троянцев
пользуется
директория
c:\windows\system),
прописывает
себя на
запуск в
системном
реестре, и
даже если
вы никогда
больше не
запустите
программу-носитель,
ваша
система уже
поражена.
Возможно
также
внедрение
сервиса
просто при
открытии Web-страницы,
если
уровень
безопасности,
установленный
в вашем
браузере,
позволяет
проделывать
с вами
такие трюки.
Существует
также очень
развитый
инструментарий
для
внедрения
сервисов
троянцев в
исполняемые
файлы, и
вполне
возможно,
что кто-то
уже "усовершенствовал"
ваш internat.exe (программа-индикатор
языка
клавиатуры,
которая
загружается
при запуске
Windows, и любой
код,
внедренный
в этот exe-файл,
также будет
делать свое
черное дело,
пока
включен ваш
компьютер).
Как
бороться
"Обнаружить
работу
такой
программы (троянца)
на своем
компьютере
достаточно
сложно. Как
правило,
требуется
полностью
удалить Windows 95/98 и
установить
заново на
чистый диск",
- так пишет
на своей
страничке
служба
поддержки
одного из
крупнейших
московских
провайдеров.
Спасибо,
что не
рекомендуют
отформатировать
все жесткие
диски на
низком
уровне. На
самом деле,
троянский
конь в
вашей
системе - не
такая уж
неизлечимая
болезнь. Я
хотел бы
вкратце
коснуться
менее
радикальных
методов
противодействия
троянским
атакам.
А -
Антивирусы.
Почти все
производители
антивирусного
ПО после
выхода Back Orifice
спохватились
и стали
включать в
свои
программы
средства
борьбы с
троянцами.
От
случайного
залетного
троянца
применение
антивирусов
вас может
спасти, но в
целом этот
метод
нельзя
признать
абсолютно
надежным.
Во-первых,
новые
программы-троянцы
(и новые
версии
старых
добрых
троянцев)
выходят с
не меньшей
регулярностью,
чем
обновления
антивирусных
баз.
Существует
даже
троянский
конь с
нецензурным
названием,
написанный
в России,
автор
которого
регулярно
отслеживает
обновления
AVP и в течение
суток (!)
выпускает
новую
версию; вот
такое
соревнование
брони и
снаряда. Во-вторых,
как
показывает
опыт, если
сервис
троянца
внедрен в
исполняемый
файл,
антивирусы
во многих
случаях не
могут его
детектировать.
Б -
Специальные
программы
для
обнаружения
троянских
программ (антигены).
По сути, это
антивирусное
ПО,
специализирующееся
только на
выявлении и
уничтожении
троянских
коней (и
действующее
при этом
зачастую
весьма
примитивно).
В - Следите
за портами.
Первый
признак
того, что у
вас в
системе
завелась
какая-то
дрянь, -
лишние
открытые
порты. На
мой взгляд,
персональные
брандмауэры
(типа
описанного
С.
Голубицким
AtGuard в "КТ"
#292) дают
защиту
настолько
близкую к
абсолютной,
насколько
это вообще
возможно,
однако,
вероятно,
вам
покажется
утомительным
каждые 15
секунд
отвечать на
вопросы по
поводу того,
принимать
ли данный
пакет в
данный порт
или нет. Для
контроля
открытых
портов
можно
воспользоваться
обычными
порт-сканерами
(в этом
случае вы
будете
выступать в
роли хакера,
"прощупывающего"
собственную
систему)
или
программами
типа NetMonitor (www.leechsoftware.com),
которые
показывают
открытые в
настоящий
момент
порты и
сигнализируют
об открытии
новых
портов и
подключении
к ним
посторонних
личностей.
Г -
Контролируйте
ваши задачи.
Следите за
тем, какие
задачи и
сервисы
запускаются
в вашей
системе. 99
процентов
троянских
коней
прописываются
на запуск в
системном
реестре в
следующих
ключах:
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunServices - чаще
всего;
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run;
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run;
в файле WIN.INI
раздел [windows]
параметры "load="
и "run=".
Советую
также
иногда
заглядывать
в раздел HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Network\LanMan и
проверять,
не открыт
ли некими "доброжелателями"
полный
доступ к
вашему
диску С: как
"скрытому
ресурсу" (открытый
для доступа
ресурс, не
видимый
обычными
средствами).
Даже если
вы не нашли
в этих
разделах
ничего
лишнего,
это не
значит, что
в настоящий
момент у
вас ничего
такого не
запущено.
Ни для кого
не секрет,
что список
задач,
вызываемый
нажатием Ctrl+Alt+Del,
далеко не
полон. Для
контроля
над
запущенными
задачами я
предпочитаю
пользоваться
программой
CCtask (www.cybercreek.com).
Она
показывает
полный
список
запущенных
задач,
включая
используемые
DLL, и
позволяет
ими гибко
управлять.
В
заключение
хотелось бы
заметить,
что широкое
распространение
троянских
коней дало
в руки
людей, не
обладающих
высокой
квалификацией
в хакерстве
или
программировании,
весьма
эффективный
и гибкий
инструмент
для
получения
конфиденциальной
информации
и просто
деструктивной
деятельности
по
отношению к
пользователям
локальных
сетей и Internet.
Некоторым
для
предохранения
от этой
напасти
будет
достаточно
применения
антивирусных
программ и
программ-антигенов,
но если у
вас есть
основания
полагать,
что вы
стали
объектом
целенаправленной
троянской
атаки, вам
следует
очень
серьезно
отнестись к
вышеописанным
аспектам
безопасности
вашей
системы и
применять
все эти
меры в
комплексе.
Или
отформатировать
все ваши
жесткие
диски... до
следующего
раза.
Назад
|
