Подобно вирусам и почтовым "червям", шпионское программное обеспечение стало еще одной проблемой крупных компаний. Значительный потенциал троянских программ в области промышленного шпионажа представляет существенную угрозу для организаций.
Обнаружить факт промышленного шпионажа, проводимого с помощью шпионского программного обеспечения, очень непросто. Пораженные компании могут долго оставаться в неведении, а, обнаружив шпионские программы, - скрывать факт заражения.
Хотя шпионское программное обеспечение можно обнаружить с помощью ряда имеющихся в продаже программных пакетов, сложно понять, установлена ли отдельно взятая следящая программа с целью промышленного шпионажа
Процесс поиска программ-шпионов осложняется еще и тем, что злоумышленники научились обходить методы сканирования, применяемые для их обнаружения. Это означает, что для противодействия атакам теперь приходится применять многоуровневые системы защиты.
Однако также весьма вероятен шпионаж изнутри. Уже известен ряд случаев, когда компьютеры компаний заражались злонамеренными сотрудниками, шпионящими за руководством или крадущими важную информацию в пользу конкурентов.
В настоящее время троянские программы написаны для всех без исключения операционных систем и для любых платформ. Способ распространения тот же, что у компьютерных вирусов. Поэтому самыми подозрительными на предмет присутствия в них троянцев, в первую очередь, являются бесплатные и условно-бесплатные программы, скачанные из Internet, а также программное обеспечение, распространяемое на пиратских компакт-дисках.
Целью троянской программы может быть:
создание помех работе пользователя (в шутку или для достижения других целей)
похищение данных представляющих ценность или тайну в том числе: информации для аутентификации, для несанкционированного доступа к ресурсам (в том числе третьих систем), криптографической информации (для шифрования и цифровой подписи) в том числе, сбор этой информации;
вандализм - уничтожение данных и оборудования, выведения из строя или отказа обслуживания компьютерных систем, сетей и т.п.
превращение компьютера в "зомби", для выполнение заранее заданных действий (с возможным обновлением списка оных), например рассылки спама, прямого управления компьютером, получения несанкционированного (и/или дарового) доступа к ресурсам самого компьютера или третьим ресурсам, доступным через него, использования вычислительного ресурса компьютера, в том числе для достижения вышеописанных целей, в том числе в составе ботнета (организованной группы зомбированных компьютеров)
Большинство троянов состоят из двух частей. Клиента и Сервера. Правда, есть исключения. Обычно, на компьютере жертве посылается серверная часть трояна, которая открывает для атакуемого любой порт, и ждет поступления команды от своей клиентской части. Для установления связи обычно используется протокол TCP/IP, но известны трояны, которые используют и другие протоколы связи. Большинство троянов для запуска серверной части на компьютере жертвы используют различные методы, позволяющие им запускаться автоматически при каждом включении компьютера. Список различных мест, позволяющих троянам автоматически запустить свое серверное приложение на компьютере жертвы.
1. Папка Startup Любое помещенное в нее приложение будет выполнятся автоматически как только произойдет полная загрузка Windows.
2. Файл win. ini Для запуска используется конструкции типа load=Trojan. exe или run=Trojan. exe
3. Файл system. ini Конструкция shell=explorer. exe Trojan. exe выполнит Trojan. exe каждый раз, как только запуститься explorer. exe.
4. Файл wininit. ini Этот файл используется в основном программами установки, для выполнения некоторого кода при установке приложений. Обычно удаляется. Но может использоваться троянами для автоматического запуска.
5. Файл winstart. bat Обычный bat файл, используемый windows для запуска приложений. Настраивается пользователем. Трояны используют строку для запуска @Trojan. exe, что бы скрыть свой запуск от глаз пользователя.
6. Файл config. sys
7. Explorer Startup Данный метод используется Windows 95, 98, ME для запуска explorer. И если будет существовать файл C: \Explorer. exe, то он выполнится вместо обычного C: \Windows\Explorer. exe.
8. Ключи автозапуска Windows, используемые для запуска различных приложений и сервисов. Вот, к примеру, некоторые из них:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
9. Registry Shell Open HKEY_CLASSES_ROOT\exefile\shell\open\command HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
По умолчанию значение данных ключей”%1″%*. Туда можно поместить имя любого выполняемого файла для запуска его при открытии бинарным файлом. К примеру, вот так: trojan. exe “%1″%*.
10. Метод запуска приложений при обнаружении ICQ соединения с Интернет Эти ключи включают в себя все файлы, которые будут выполнены при обнаружении ICQ соединения с Интернетом. Это удобно для запуска некоторых приложений. Но и злоумышленники могут им воспользоваться. HKEY_CURRENT_USER\SOFTWARE\Mirabilis\ICQ\Agent\Apps HKEY_LOCAL_MACHINE\SOFTWARE\Mirabilis\ICQ\Agent\Apps
11. Компоненты ActiveX. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components Установленные в системе компоненты ActiveX.
Троян, маскируясь под компонент, добивается своего запуска при каждой инициализации Windows. Все эти методы в принципе уже хорошо изучены и, успешно применяются для борьбы с троянами.
Для того, чтобы организовать защиту локальной сети, необходимо определить, от чего эту сеть защищать.
Рассмотрим наиболее распространённые вредоносные программы.
Классические вирусы - разновидность вредоносных программ, отличительной особенностью которых является способность к размножению (саморепликации). В дополнение к этому они могут повреждать или полностью уничтожать данные, подконтрольные пользователю, от имени которого была запущена заражённая программа.
Троянская программа - вид программной закладки, реализующая полезную функцию и содержащая дополнительные скрытые функции, которые тайно используют законные полномочия инициирующего процесса в ущерб безопасности (и даже могут привести к краху операционной системы).
Сетевой червь - разновидность самовоспроизводящихся компьютерных программ, распространяющихся в локальных и глобальных компьютерных сетях. В отличие от компьютерных вирусов червь является самостоятельной программой, обладающая свойством самостоятельного распространения в автоматизированной системе и заражающая ее элементы, функциональные сегменты либо систему в целом.
Хакерские утилиты и прочие вредоносные программы: Constructor - конструкторы вирусов и троянских программ, DoS, DDoS - вредоносная программа, предназначенная для проведения атаки типа "Denial of Service" ("Отказ в обслуживании") на удаленный сервер, Exploit, HackTool - взломщики удаленных компьютеров, FileCryptor, PolyCryptor - скрытие от антивирусных программ, Flooder - "замусоривание" сети, Nuker - фатальные сетевые атаки, PolyEngine - полиморфные генераторы.
К троянским программам относят программы, осуществляющие различные несанкционированные пользователем действия: сбор информации и передача ее злоумышленнику, ее разрушение или злонамеренная модификация, нарушение работоспособности компьютера, использование ресурсов компьютера в злоумышленных целях.
Отдельные категории троянских программ наносят ущерб удаленным компьютерам и сетям, не нарушая работоспособности зараженного компьютера.
Сегодня вряд ли найдется пользователь персонального компьютера, который не слышал бы о существовании троянских программ. Многие относят их к вирусам, но это слишком упрощенный и неточный подход. Главное, что роднит троянцев с вирусами, - то, что и те и другие могут быть отнесены к категории вредоносных программ. Впрочем, вредоносность здесь следует понимать в широком смысле - пользователь может и не ощущать явного вреда от этих программ, но они так или иначе, но отрицательно влияют на работу системы. Такие программы устанавливаются либо под видом полезных продуктов подобно мифологическому троянскому коню, либо вообще незаметно для пользователя.
Принципиальное различие троянских программ и вирусов состоит в том, что вирус представляет собой самостоятельно размножающуюся программу, тогда как троянец не имеет возможности самостоятельного распространения. Однако в настоящее время довольно часто встречаются гибриды - вирусы (в основном e-mail и сетевые черви), вместе с которыми распространяются троянские программы.
Что будет делать подобная программа, внедрившись в компьютер, известно одному только ее создателю и зависит лишь от его фантазии и от стоящих перед ним целей.
Даже если на компьютере не хранятся никакие важные данные и пользователь не применяет популярные службы, требующие ввода паролей, то троянские программы все равно способны доставить неприятности. Речь идет о замедлении работы системы либо вообще о ее крахе, о непроизвольном расходовании Интернет - трафика, причем нередко в очень больших объемах.
Авторы троянских программ вносят в свои творения всевозможные алгоритмы, позволяющие обойти антивирусы и межсетевые экраны. Многие брандмауэры хранят в системном реестре или в собственном файле конфигурации записи о том, какая программа может беспрепятственно получать доступ к Интернету. Часто эти записи не подвергаются даже элементарному шифрованию и проверке на наличие в них несанкционированных изменений. Пользуясь этим, троянская программа может внести запись о себе в раздел разрешенных, а затем, незаметно для пользователя, делать все, что пожелает. Аналогично обстоит дело и с некоторыми антивирусами, которые позволяют настраивать запрещенные для сканирования файлы и каталоги - прописавшись туда, троянец не будет обнаружен. К тому же антивирусы обычно хорошо обнаруживают уже известные троянские программы, тогда как написанный для атаки на конкретный компьютер или просто очень новый троянец останется незамеченным.