Создаем вирус и антивирус - Игорь Гульев

Рассмотрим еще один аспект privacy. Это «нехорошие» функции многих программ: вести логические протоколы работы и так далее.

Что «помнит» компьютер

Некоторые программы обладают на редкость большим количеством всевозможных «черных ходов», «люков», «багов» и так далее. Вот лишь некоторые примеры:

– Microsoft Outlook Express 4.0 – все письма, которые когда-либо были отправлены, получены или удалены, он все равно хранит в своей базе. Поэтому рекомендуется периодически удалять (лучше невосстановимыми методами, например, с помощью программы Kremlin 2.1) эти файлы. Они расположены в следующих директориях:

WindowsAplicationMicrosoftOutlook ExpressMail – почта, здесь необходимо удалить все файлы с расширениями IDX и MBX.

WindowsAplicationMicrosoftOutlook ExpressNews – новости, здесь необходимо удалить все файлы с расширениями NCH.

Удалить из базы все удаленные сообщения можно также с помощью опции «Сжать папки».

– Microsoft Internet Explorer 4.0:

WindowsCookies – хранит файлы Cookies (их лучше периодически удалять с помощью программы Kremlin 2.1).

WindowsTemporary Internet Files – хранит все адреса, которые посещались в Интернет (их лучше периодически удалять с помощью программы Kremlin 2.1).

– Microsoft Windows 95:

WindowsHistory – хранит все файлы истории (их лучше периодически удалять с помощью программы Kremlin 2.1).

Windowsname.pwl – в этих файлах Windows хранит имена, телефоны и пароли для соединения с Интернет, все они легко (с помощью специальных программ) расшифровываются.

WindowsProfilesname – (вместо name будет указано имя пользователя) хранит профили и все установки конкретных пользователей (это, кстати, справедливо и для Windows NT)

WindowsAplicationMicrosoftOutlook ExpressMail – почта

WindowsAplicationMicrosoftOutlook ExpressNews – новости

WindowsAplicationMicrosoftAddress Book – адресная книга

WindowsCookies – файлы Cookies

WindowsFavorites – файлы закладок Интернет

WindowsHistory – файлы истории Windows

Windowsuser.dat – параметры пользователя

Windowsuser.da0 – резерв

Большинство FTP-клиентов сохраняют в специальной директории все места в Интернет, которые посещались пользователем (а иногда сохраняют и нешифрованные имена и пароли). В целях безопасности целесообразно периодически (скажем, раз в неделю) стирать содержимое кэша. Например, в Bullet Proof FTP (одной из лучших программ, получить которую можно на сервере http://www.bpftp.com), он располагается в директории Cache. Лучше производить невосстановимое удаление, например, с помощью программы Kremlin 2.1.

К вопросу о CMOS SETUP

Вот еще один наглядный пример лазеек для спецслужб. Почти любой компьютер имеет возможность установить пароль на вход. Но мало кто знает, что специально для спецслужб (разработчиками BIOS) были созданы универсальные пароли, открывающие вход в любой компьютер. Вот примеры:

– AWARD BIOS: AWARD_SW, lkwpeter, Wodj, aPAf, j262, Sxyz, ZJAAADC

– AMI BIOS: AMI, SER, Ctrl+Alt+Del+Ins (держать при загрузке, иногда просто INS)

Естественно, что вводить пароль нужно в соответствии с регистром букв.

Программы, авторизующиеся в Online

В последнее время все чаще стали появляться программы, которые проверяют через Интернет, зарегистрирована ли данная копия программы. Вернее, когда пользователь работает в Интернет, они незаметно это проверяют, а потом радуют сообщением о том что используемая копия нелегальна. Наглядный тому пример – Bullet Proof FTP. Но это еще не все. Существует мнение, что такие программы, как, например, операционная система Windows, способны как бы следить за всем, что происходит в компьютере (либо сами, либо по команде из Интернет), и отправлять все собранные данные своим разработчикам. Не так давно разразился скандал, когда выяснилось, что один известный FTP-клиент отправлял все вводимые имена и пароли своим разработчикам. Так что будьте бдительны!

Клавиатурные шпионы

Клавиатурные шпионы – это программы, запоминающие, какие клавиши были нажаты в ваше отсутствие, то есть – что творилось на вашем компьютере, пока вас не было в офисе. Для этого все, что набирается на клавиатуре, заносится специальной программой в текстовый файл. Так что набранный на компьютере в бизнес-центре или интернет-кафе текст может без особых проблем стать достоянием владельца такого компьютера. Технически эта операция выполняется классом программ, называемых keyboard loggers. Они разработаны для разных операционных систем, могут автоматически загружаться при включении компьютера и маскируются под резидентные антивирусы или еще что-нибудь полезное.

Самая лучшая из опробованных программ, Hook Dump 2.5 (http://www.geocities.com/SiliconValley/Vista/6001/hookdump.zip или http://www.halyava.ru/ilya/, для Win 3.1 и Win 95) может автоматически загружаться при включении компьютера, при этом никак не проявляя своего присутствия. Набранный на клавиатуре текст, названия программ, в которых набирался текст, и даже скрытый пароль в Dial-Up Networking, который вообще не набирался – все записывается в файл, расположенный в любой директории и под любым именем. Программа имеет много настроек, позволяющих определять нужную конфигурацию.

Защита от ПЭМИН

Нужно помнить, что за счет побочных электромагнитных излучений и наводок (ПЭМИН) можно считывать информацию с монитора компьютера (разумеется, с помощью специальных технических средств) на расстоянии до 200 метров, а то и больше. Также можно считывать информацию с процессора, клавиатуры, винчестера, дисковода (когда они работают, естественно). Поэтому все криптосистемы становятся почти бессмысленными, если не принять соответствующих мер защиты. Для защиты от ПЭМИН рекомендуется применять генераторы белого шума (в диапазоне от 1 до 1000 МГц) типа ГБШ-1 или Салют. Их (а также другие интересные вещи) можно приобрести в фирмах, торгующих спецтехникой. А можно заняться творчеством и сделать их самостоятельно, используя схемы из популярной книги «Шпионские штучки» (в Москве ее можно приобрести, например, в СК «Олимпийский» или на радиорынке в Митино).

Пейджинговая безопасность

Пейджер стал для многих незаменимым средством оперативного общения. Но мало кто знает, что технология пейджинга позволяет организовать прослушивание (мониторинг) пейджинговых сообщений с помощь несложной аппаратуры (сканер+компьютер+соответствующее программное обеспечение). Поэтому пейджинговые компании контролируются не только ФСБ, ФАПСИ и прочими силовыми подразделениями, но и всеми, кому не лень, в том числе криминальными структурами и новоявленными Джеймс Бондами в лице отечественных фирм, занимающихся так называемой защитой информации.

Электронная почта

Получение E-mail

Иногда у пользователя возникает ситуация, когда хотелось бы выявить реального автора полученного сообщения. Например, получено сообщение от вашей жены, в котором она пишет, что уходит к другому. Вы можете либо вздохнуть с облегчением, выпить на радостях рюмку-другую и отправиться с друзьями на дачу праздновать это событие, либо попытаться выяснить, не является ли это чьей-то шуткой.

Ваши друзья могли легко изменить поле From в отправленном сообщении, поставив туда вместо своего обратного адреса хорошо известный вам адрес вашей жены, например [email protected] Как это делается, можно прочесть в разделе «Отправление e-mail». Так что стоящая перед нами задача сводится к следующему: определить, соответствует ли указанный адрес отправителя адресу, с которого в действительности было отправлено сообщение.

Итак, каждое электронное сообщение содержит заголовок (header), который содержит служебную информацию о дате отправления сообщения, названии почтовой программы, IP-адресе машины, с которой было отправлено сообщение, и так далее. Большинство почтовых программ по умолчанию не отражают эту информацию, но ее всегда можно увидеть, открыв с помощью любого текстового редактора файл, содержащий входящую почту, или используя функцию почтовой программы, позволяющую просматривать служебные заголовки (как правило, она называется Show all headers). Что же видим?

Received: by geocities.com (8.8.5/8.8.5) with ESMTP id JAA16952

for ; Tue, 18 Nov 1997 09:37:40 −0800 (PST)

Received: from masha.flash.net (really [209.30.69.99])

by endeavor.flash.net (8.8.7/8.8.5) with SMTP id LAA20454

for ; Tue, 18 Nov 1997 11:37:38 −0600 (CST)

Message−ID: <[email protected]>

Date: Tue, 18 Nov 1997 11:38:07 −0600

From: [email protected]

X−Mailer: Mozilla 3.02 (Win95; U)

MIME−Version: 1.0

To: [email protected]

Subject: I don’t love you any more, you *&$%# !!!!

Да, много всякого. Не вдаваясь в технические подробности, в общих чертах: заголовки Received сообщают путь, который прошло сообщение в процессе пересылки по сети. Имена машин (geocities.com, endeavor. flash.net) указывают на то, что сообщение, скорее всего, пришло к вам в geocities.com из домена вашей жены flash.net. Если имена машин не имеют ничего общего с flash.net (например, mailrelay.tiac.net), это повод задуматься о подлинности сообщения. Но самая главная строка для нас – последняя из строк, начинающихся со слова Received:

Received: from masha.flash.net (really [209.30.69.99])

Она отражает имя машины (masha.flash.net) и уникальный IP-адрес, с которого было отправлено сообщение. Указанный домен (flash.net) соответствует адресу вашей жены. Впрочем, ваши друзья могли подделать и строку masha.flash.net (в Windows 95 это делается через Control Panel=>Network=>TCP/IP Properties=>DNS Configuration, указав masha и flash.net в полях Host и Domain соответственно), поэтому важно определить имя, соответствующее данному IP-адресу: 209.30.69.99.

Для определения имени, соответствующего цифровому адресу, можно воспользоваться одной из доступных программ, например WS-Ping32 (http://www.glasnet.ru/glasweb/rus/wsping32.zip), а лучше CyberKit (http://www.chip.de/Software/cyber.zip). Набрав цифровой адрес, даем команду NS LookUp (Name Server Lookup) и смотрим на полученный результат. Когда имя определено, дальше все просто: если получено что-либо похожее на ppp303.flash.net или p28-dialup.flash.net, то сообщение отправлено вашей женой (или кем-то, имеющим почтовый адрес во Flashnet, но выяснить это подробнее уже нельзя). Если указано нечто весьма далекое от flash.net – скорее всего, отправляла сообщение не ваша жена. Иногда адрес не определяется. В этом случае можно воспользоваться функцией TraceRoute той же программы. Эта функция поможет проследить путь от вашей машины до указанного IP-адреса. Если этот адрес (он будет последним в списке узлов, через которые сигнал прошел от вашего компьютера до компьютера с указанным IP-адресом) снова не определяется, то последний из определенных по имени узлов все-таки укажет на примерное географическое положение компьютера отправителя. Еще более простым и изящным способом определения страны и даже названия провайдера или сети является использования вот этого адреса: