Вирмэйкеры не стесняются писать свой код так, что он вмешивается в работу ОС на самом глубоком уровне. Разработчикам защитных программ приходится использовать столь же глубокую интеграцию. Усугубляет ситуацию и взгляд компании Microsoft на то, как должно выглядеть ядро ОС. Как известно с незапамятных времен, конструктор достигает совершенства не тогда, когда уже нечего добавить, а когда нечего больше удалить из его творения. К сожалению, ядра в семействе Windows только толстеют от релиза к релизу, вбирая в себя все больше нестабильных компонентов.

Недавно тестовая попытка подружить Zone Alarm Pro 6.5, Norton Antivirus 2005 и Kaspersky Antivirus 5.0 for Workstation привела к невозможности загрузить WinXP. Дело в том, что Kaspersky AntiVirus перехватывал (в режиме ядра!) функции ZwClose, ZwCreateProcess, ZwCreateSection и другие. Norton Antivirus хоть и не имел приказа проверять все «на лету», однако продолжал загружать свои сервисы и действовал аналогичным образом. В общем, говоря бытовым языком, вся эта свора сторожевых псов перегрызлась из-за виндового ядра. Усугубляло ситуацию и то, что ОС была установлена на RAID-массив, загружался модифицированный драйвер nVidia IDE_SW и драйвер a347bus.sys (установленный пакетом Alcohol 120%)…

Сегодня сложилась такая ситуация, что, усиливая malware-защиту, даже опытный пользователь рискует получить проблем больше, чем если бы допустил инфицирование своего ПК.

Неплох следующий вариант: непосредственно во время работы в основной ОС защиту ПК берет на себя либо один софтовый комплекс, либо набор гарантированно бесконфликтных программ. Дополнительные проверки выполняются программами, не стремящимися работать на уровне ядра, или же вообще из-под дополнительной ОС.

Авторы: Константин Курбатов, Андрей Васильков

Социальная значимость любого софта зависит не только от целей его создания, но и от целей применения. Так, кухонный нож не только инструмент семейных разборок, но и удобное орудие для нарезки овощей…

Появление троянов, обладающих огромными «административными» возможностями вместе с удобным графическим интерфейсом на стороне клиента (откуда, собственно, и направляются их действия), привело к тому, что этими «вредными» возможностями стали пользоваться не только злоумышленники.

Как-то довелось общаться с системным администратором, который использовал Back Orifice для управления компьютерами в корпоративной сети, чьи пользователи часто требовали внимания. «Чтобы через весь коридор не бегать к ним из-за очередного пустяка», - улыбаясь, пояснял он за рюмкой чая.

Другой приятель возлюбил утилиту Hidden Camera, которая позволяла видеть в режиме реального времени все, что происходит на «рабочем столе» удаленного компьютера. Очень удобно, знаете ли, позвонить сотруднику с другого этажа и подсказать, как побыстрее разложить пасьянс, - надо же помочь ему поскорее взяться за дело, которое вы и поручили…

KGBSpy - хакерская утилита. Такие приложения, часто являющиеся полезными при корректном применении, могут быть использованы и для причинения вреда. Утилита записывает все нажатия на клавиши, однако сохраняет в памяти только знаки. Которые затем могут быть отправлены по e-mail или FTP. От относительно «честных» программ она отличается тем, что может быть запущена в скрытом режиме, поэтому KGBSpy быстро попала на карандаш ведущим антивирусным компаниям.

Впрочем, KGBSpy - банальный кейлоггер (keylogger). Ничего впечатляющего. GhostSpy, написанный талантливым украинским парнем Валентином Валерьевичем Состиным, - куда круче. Проект временно приостановлен, но задумки у автора были - мама не горюй! Как-то раз Андрей Васильков предупредил его, что программа может быть легко классифицирована как троян. Валентин не поверил: мол, как так, я же ее бесплатно с сайта распространяю и в мануале четко цели указал! И верно, на его страничке написано: «Запрещено использовать GS с целью овладения приватной информацией, взлома паролей, нанесения физическому лицу любого вида ущерба»…

Конечно, это предупреждение никого не останавливает, особенно системных администраторов, просматривающих личную переписку Светки с третьего этажа; не прошло и полутора месяцев, как AVP стал определять GhostSpy как троян. Валя обиделся (причем на все антивирусные компании скопом, поскольку базами AVP дело не ограничилось) и стал совершенствовать свой продукт. К 2003 году ничего лучше, наверное, уже и не было, однако он не собирался останавливаться. Но к тому моменту Валентин поступил в институт, стал учиться на системного программиста и забросил сайт проекта ghostspy.coolfreepage.com. Тем не менее написать более мощный кейлоггер, насколько мне известно, никто так и не сумел.

Еще одна утилита - Processor. Это интерпретатор командной строки, который после установки на компьютер жертвы может быть активирован удаленно. С его помощью удобно собирать информацию о запущенных на компьютере процессах, а также запускать новые или завершать их.

Другая известная утилитка, чаще применяемая для скрытого запуска троянских программ, - Cmbow - изменяет (в частности, скрывает) свойства окон. Она запускается из командной строки (может стартовать автоматически). Сокрытие окна может понадобиться для того, чтобы пользователь не разглядел запуск какого-то приложения (того же трояна). Скажем, так удобно «троянить» ПК на работе. Пришел с флэшкой и при помощи Cmbow запустил по очереди все программы из набора «юный хакер». А потом идешь в отдел кадров писать заявление об увольнении…

Бывает, что вас вынуждают добровольно снять криптозащиту со своих приватных данных. В России для этого обычно используется метод «исчерпывающего пересчета» - то есть знающему пароль человеку пересчитывают острым предметом ногти, зубы, ребра и т. п. Обычно затраты времени тут минимальны. Как противостоять такому вторжению? Чтобы и данные не раскрыть, и самому здоровым остаться? На помощь придет троянская программа Red Button (или один из ее аналогов). Когда вас вынуждают ввести заветное слово, вы его вводите… но при загрузке жмете еще и некую клавиатурную комбинацию. В зависимости от настроек программа после имитации удачной загрузки ОС либо заблокирует ее (с выводом невинного сообщения о какой-нибудь привычной взору пользователей Windows ошибке), либо уничтожит все данные, к которым так рьяно пытались получить доступ.

В общем, трояны это не только вредно или полезно, но еще и весело.

Автор: Сергей Вильянов

С приходом осени многие из нас наконец-то удосужились распечатать груду фотографий, накопившуюся на жестком диске за время каникул и отпусков. И, разумеется, у каждого возникла мысль - нельзя ли удешевить процесс, прибегнув к «народным» средствам вроде совместимых картриджей и СНПЧ и заодно воспользовавшись недорогой фотобумагой. Стоит ли это делать или все же лучше покупать только оригинальную продукцию - об этом мы говорили в начале сентября с Тору Ямадзаки, главой московского представительства Epson Europe B.V. И не думайте, что все ответы вам известны заранее…

- Мы используем следующую классификацию, когда речь идет о расходных материалах: оригинальная продукция Epson, поддельная продукция, имитирующая нашу, и так называемая «совместимая».

Те, кто изготавливают поддельные картриджи, размещая на упаковке наш логотип и вообще имитируя фирменный стиль Epson и нарушая наши патенты, преступают закон. Мало того что подделки отнимают долю рынка у фирменной продукции, так они еще и бьют по нашей репутации, вводя в заблуждение пользователей техники Epson. Ведь немало людей только в сервисном центре, куда они привозят свой принтер или МФУ, узнают, что столкнулись с пиратскими изделиями, спровоцировавшими поломку. Мы боремся с распространением таких подделок совместно с правоохранительными органами - в том числе и в России.