Страница:
Найти и обезвредить!
Если ваш антивирус не выдает никаких сообщений, а возможность присутствия троянского коня высока, то попробуйте обнаружить шпиона, воспользовавшись специальными утилитами типа Trojan Remover. Как показывает практика, этот способ доступен даже самому неопытному пользователю, тем более что соответствующего программного обеспечения в Интернете более чем достаточно. Удалить троянского коня можно и вручную. Для своего запуска эти программы обычно прописываются в автозапуск в следующих ветвях реестра:
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run (чаще всего);
• HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\ Run;
• HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\ Runonce;
• HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\ Run;
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Runonce.
При обнаружении неизвестной записи, то есть той, которая не принадлежит обычным приложениям, смело удаляйте ее. Стоит напомнить, что при работе с реестром следует придерживаться особой аккуратности. необходимо также просмотреть все, что прописано в автозагрузке. Для этого следует выполнить команду Пуск?Выполнить, ввести в открывшемся окне msconfig и перейти на закладку Автозагрузка. Разрешают/запрещают автозагрузку конкретной программы установкой соответствующего флажка. Нужно внимательно следить за своими драйверами и программами, прописанными в автозагрузку, – тогда будет намного больше шансов сразу определить троянского коня. Если троянский конь все же запустился, для начала следует распознать его и завершить процесс, ему принадлежащий, воспользовавшись сочетанием клавиш Ctrl+Alt+Delete. Однако, даже если вы не обнаружили его в процессах диспетчера задач, огорчаться не стоит. Полную информацию о запущенных в Windows программах можно увидеть, запустив утилиту XRun или ей подобную – CTask. Если изложенные выше способы ничего не дали, а признаки наличия троянского коня очевидны (слишком большой трафик, непонятные процессы в оперативной памяти, частые зависания и неустойчивая работа приложений), то необходимо просканировать компьютер извне на наличие открытых портов. Все, что понадобится для такой операции, – это хороший сканер портов и ваш IP. Данная процедура высокоэффективна, с ее помощью выявляются даже самые скрытые троянские кони. Из сканеров наиболее популярен X-Spider.
Признаком наличия троянских коней являются открытые нестандартные порты:
• 23 – Tiny Telnet Server (= TTS);
• 25 – Ajan, Antigen, Email Password Sender, Haebi Coceda, Happy 99, Kuang2, ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator, WinPC, WinSpy;
• 31 – Master Paradise;
• 121 – BO jammerkillahV;
• 456 – HackersParadise;
• 555 – Phase Zero;
• 666 – Attack FTP;
• 1001 – Silencer;
• 1001 – WebEx;
• 1010 – Doly Trojan 1.30 (Subm.Cronco);
• 1011 – Doly Trojan 1.1+1.2;
• 1015 – Doly Trojan 1.5 (Subm.Cronco);
• 1033 – Netspy;
• 1042 – Bla1.1;
• 1170 – Streaming Audio Trojan;
• 1207 – SoftWar;
• 1243 – SubSeven;
• 1245 – Vodoo;
• 1269 – Maverick's Matrix;
• 1492 – FTP99CMP;
• 1509 – PsyberStreamingServer Nikhil G;
• 1600 – Shiva Burka;
• 1807 – SpySender;
• 6669 – Vampire 1.0;
• 6670 – Deep Throat;
• 6883 – DeltaSource (DarkStar);
• 6912 – Shitheep;
• 6939 – Indoctrination;
• 7306 – NetMonitor;
• 7789 – iCkiller;
• 9872 – PortalOfDoom;
• 9875 – Portal of Doom;
• 9989 – iNi-Killer;
• 9989 – InIkiller;
• 10607 – Coma Danny;
• 11000 – SennaSpyTrojans;
• 11223 – ProgenicTrojan;
• 12076 – Gjamer;
• 12223 – Hackx99 KeyLogge;
• 12346 – NetBus 1.x (avoiding Netbuster);
• 12701 – Eclipse 2000;
• 16969 – Priotrity;
• 20000 – Millenium;
• 20034 – NetBus Pro;
• 20203 – Logged!;
• 20203 – Chupacabra;
• 20331 – Bla;
• 21544 – GirlFriend;
• 21554 – GirlFriend;
• 22222 – Prosiak 0.47;
• 23456 – EvilFtp;
• 27374 – Sub-7 2.1;
• 29891 – The Unexplained;
• 30029 – AOLTrojan 1.1;
• 30100 – NetSphere;
• 30303 – Socket25;
• 30999 – Kuang;
• 31787 – Hack'a'tack;
• 33911 – Trojan Spirit 2001 a;
• 34324 – Tiny Telnet Server;
• 34324 – BigGluck TN;
• 40412 – TheSpy;
• 40423 – Master Paradise;
• 50766 – Fore;
• 53001 – RemoteWindowsShutdown;
• 54320 – Back Orifice 2000 (default port);
• 54321 – Schoolbus 1.6+2.0;
• 61466 – Telecommando;
• 65000 – Devil 1.03.
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run (чаще всего);
• HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\ Run;
• HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\ Runonce;
• HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\ Run;
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Runonce.
При обнаружении неизвестной записи, то есть той, которая не принадлежит обычным приложениям, смело удаляйте ее. Стоит напомнить, что при работе с реестром следует придерживаться особой аккуратности. необходимо также просмотреть все, что прописано в автозагрузке. Для этого следует выполнить команду Пуск?Выполнить, ввести в открывшемся окне msconfig и перейти на закладку Автозагрузка. Разрешают/запрещают автозагрузку конкретной программы установкой соответствующего флажка. Нужно внимательно следить за своими драйверами и программами, прописанными в автозагрузку, – тогда будет намного больше шансов сразу определить троянского коня. Если троянский конь все же запустился, для начала следует распознать его и завершить процесс, ему принадлежащий, воспользовавшись сочетанием клавиш Ctrl+Alt+Delete. Однако, даже если вы не обнаружили его в процессах диспетчера задач, огорчаться не стоит. Полную информацию о запущенных в Windows программах можно увидеть, запустив утилиту XRun или ей подобную – CTask. Если изложенные выше способы ничего не дали, а признаки наличия троянского коня очевидны (слишком большой трафик, непонятные процессы в оперативной памяти, частые зависания и неустойчивая работа приложений), то необходимо просканировать компьютер извне на наличие открытых портов. Все, что понадобится для такой операции, – это хороший сканер портов и ваш IP. Данная процедура высокоэффективна, с ее помощью выявляются даже самые скрытые троянские кони. Из сканеров наиболее популярен X-Spider.
Признаком наличия троянских коней являются открытые нестандартные порты:
• 23 – Tiny Telnet Server (= TTS);
• 25 – Ajan, Antigen, Email Password Sender, Haebi Coceda, Happy 99, Kuang2, ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator, WinPC, WinSpy;
• 31 – Master Paradise;
• 121 – BO jammerkillahV;
• 456 – HackersParadise;
• 555 – Phase Zero;
• 666 – Attack FTP;
• 1001 – Silencer;
• 1001 – WebEx;
• 1010 – Doly Trojan 1.30 (Subm.Cronco);
• 1011 – Doly Trojan 1.1+1.2;
• 1015 – Doly Trojan 1.5 (Subm.Cronco);
• 1033 – Netspy;
• 1042 – Bla1.1;
• 1170 – Streaming Audio Trojan;
• 1207 – SoftWar;
• 1243 – SubSeven;
• 1245 – Vodoo;
• 1269 – Maverick's Matrix;
• 1492 – FTP99CMP;
• 1509 – PsyberStreamingServer Nikhil G;
• 1600 – Shiva Burka;
• 1807 – SpySender;
• 6669 – Vampire 1.0;
• 6670 – Deep Throat;
• 6883 – DeltaSource (DarkStar);
• 6912 – Shitheep;
• 6939 – Indoctrination;
• 7306 – NetMonitor;
• 7789 – iCkiller;
• 9872 – PortalOfDoom;
• 9875 – Portal of Doom;
• 9989 – iNi-Killer;
• 9989 – InIkiller;
• 10607 – Coma Danny;
• 11000 – SennaSpyTrojans;
• 11223 – ProgenicTrojan;
• 12076 – Gjamer;
• 12223 – Hackx99 KeyLogge;
• 12346 – NetBus 1.x (avoiding Netbuster);
• 12701 – Eclipse 2000;
• 16969 – Priotrity;
• 20000 – Millenium;
• 20034 – NetBus Pro;
• 20203 – Logged!;
• 20203 – Chupacabra;
• 20331 – Bla;
• 21544 – GirlFriend;
• 21554 – GirlFriend;
• 22222 – Prosiak 0.47;
• 23456 – EvilFtp;
• 27374 – Sub-7 2.1;
• 29891 – The Unexplained;
• 30029 – AOLTrojan 1.1;
• 30100 – NetSphere;
• 30303 – Socket25;
• 30999 – Kuang;
• 31787 – Hack'a'tack;
• 33911 – Trojan Spirit 2001 a;
• 34324 – Tiny Telnet Server;
• 34324 – BigGluck TN;
• 40412 – TheSpy;
• 40423 – Master Paradise;
• 50766 – Fore;
• 53001 – RemoteWindowsShutdown;
• 54320 – Back Orifice 2000 (default port);
• 54321 – Schoolbus 1.6+2.0;
• 61466 – Telecommando;
• 65000 – Devil 1.03.
Программное обеспечение против троянских коней
Для обнаружения и удаления троянских коней существует целый арсенал соответствующих программ. Вот лишь та малая часть, которая поможет защитить ваш компьютер от всевозможного рода шпионов (программы можно скачать по адресу http://www.izcity.com/soft/security/spy).
• Advanced Spyware Remover – утилита, предназначенная для защиты персонального компьютера от вредоносных программ и шпионских модулей. Позволяет избавиться от рекламных программ, дозвонщиков, программ-шпионов, кейлоггеров и т. д. Программа проверяет системный реестр на наличие в нем ключей, принадлежащих перечисленным выше типам вредоносных программ. Ее главной отличительной особенностью перед аналогами является высокая скорость работы сканера и обновляемая база сегментов вредоносного кода F-Secure BlackLight.
• SpyDefense – программа для обнаружения шпионских модулей. Позволяет найти и обезвредить большое количество компьютерных шпионов.
• WinPatrol – программа, предназначенная для повышения безопасности Windows. Отслеживает и уничтожает различные шпионские модули и вредоносные программы типа adware и spyware.
• Arovax Shield – утилита, предназначенная для защиты от программ-шпионов. Arovax Shield позволяет в режиме реального времени следить за безопасностью системы, предупреждая пользователя о проникновении в нее троянов через Интернет.
• Arovax AntiSpyware – утилита для удаления программ-шпионов. На сегодняшний день в ее базе содержится свыше 33 000 сегментов вредоносного кода Microsoft.
• AntiSpyware – система для борьбы с вредоносными программами и шпионскими модулями разработки Microsoft. Как утверждает разработчик, утилита держит под контролем более 50 так называемых spyware-путей, по которым в компьютер могут попасть шпионские модули.
• Trend Micro CWShredder – утилита для нахождения и удаления шпионских программ. Позволяет обнаружить следы присутствия так называемых Cool Web Search программ (их относят к троянским коням).
• А-squared HiJackFree – программа, предназначенная для детального анализа системы по различным параметрам, касающимся безопасности. Может быть полезна для определения и удаления из компьютера практически всех типов HiJackers, Spyware, Adware, Trojans и Worms.
По адресу http://soft.oszone.net/subcat.php можно найти следующие полезные программы.
• SpyRemover – неплохая программа для поиска шпионских модулей. SpyRemover распознает более 27 500 типов вредоносных программ. Имеется возможность автоматического обновления.
• XSpy Shield Gold – это мощная программа, которая поможет защититься от spyware-модулей, которые присутствуют в некоторых программных продуктах и других шпионских модулях и могут представлять угрозу безопасности вашей операционной системы.
• Anti-keylogger – утилита для операционных систем семейства Windows 2k/XP, защищающая от кейлоггеров.
• CounterSpy – аналог программы Ad-aware. Позволяет удалить шпионские модули с вашего компьютера.
• Spy Sweeper – неплохая программа для защиты от шпионских модулей, а также от троянов и кейлоггеров.
• HookMonitor – предназначена для администрирования процесса установки глобальных ловушек на клавиатуру. Выявляет и блокирует модули spyware, ведущие наблюдение за набором паролей и т. п.
• Browser Sentinel – постоянно наблюдает за уязвимыми зонами системы на предмет обнаружения вредоносных компонентов. Она уведомит вас и поможет удалить программы-шпионы, рекламу, клавиатурных шпионов, программы автодозвона и прочих непрошеных гостей.
• Microsoft Windows AntiSpyware – это программа служит для обнаружения и удаления из системы разнообразных нежелательных модулей: отслеживающих сайты, посещаемые пользователем, добавляющих всплывающие рекламные окна, вносящих несанкционированные изменения в настройки и др.
В заключение хотелось бы отметить, что широкое распространение троянских коней было, есть и будет, так как они являются мощным инструментом получения конфиденциальной информации, кражи личных данных и др. Чтобы остановить вирус, в одних случаях бывает достаточно использовать Spy Remover и ему подобные программы, в других необходим антивирус. Однако только комплексное применение методов защиты обеспечит полную безопасность вашей системы.
• Advanced Spyware Remover – утилита, предназначенная для защиты персонального компьютера от вредоносных программ и шпионских модулей. Позволяет избавиться от рекламных программ, дозвонщиков, программ-шпионов, кейлоггеров и т. д. Программа проверяет системный реестр на наличие в нем ключей, принадлежащих перечисленным выше типам вредоносных программ. Ее главной отличительной особенностью перед аналогами является высокая скорость работы сканера и обновляемая база сегментов вредоносного кода F-Secure BlackLight.
• SpyDefense – программа для обнаружения шпионских модулей. Позволяет найти и обезвредить большое количество компьютерных шпионов.
• WinPatrol – программа, предназначенная для повышения безопасности Windows. Отслеживает и уничтожает различные шпионские модули и вредоносные программы типа adware и spyware.
• Arovax Shield – утилита, предназначенная для защиты от программ-шпионов. Arovax Shield позволяет в режиме реального времени следить за безопасностью системы, предупреждая пользователя о проникновении в нее троянов через Интернет.
• Arovax AntiSpyware – утилита для удаления программ-шпионов. На сегодняшний день в ее базе содержится свыше 33 000 сегментов вредоносного кода Microsoft.
• AntiSpyware – система для борьбы с вредоносными программами и шпионскими модулями разработки Microsoft. Как утверждает разработчик, утилита держит под контролем более 50 так называемых spyware-путей, по которым в компьютер могут попасть шпионские модули.
• Trend Micro CWShredder – утилита для нахождения и удаления шпионских программ. Позволяет обнаружить следы присутствия так называемых Cool Web Search программ (их относят к троянским коням).
• А-squared HiJackFree – программа, предназначенная для детального анализа системы по различным параметрам, касающимся безопасности. Может быть полезна для определения и удаления из компьютера практически всех типов HiJackers, Spyware, Adware, Trojans и Worms.
По адресу http://soft.oszone.net/subcat.php можно найти следующие полезные программы.
• SpyRemover – неплохая программа для поиска шпионских модулей. SpyRemover распознает более 27 500 типов вредоносных программ. Имеется возможность автоматического обновления.
• XSpy Shield Gold – это мощная программа, которая поможет защититься от spyware-модулей, которые присутствуют в некоторых программных продуктах и других шпионских модулях и могут представлять угрозу безопасности вашей операционной системы.
• Anti-keylogger – утилита для операционных систем семейства Windows 2k/XP, защищающая от кейлоггеров.
• CounterSpy – аналог программы Ad-aware. Позволяет удалить шпионские модули с вашего компьютера.
• Spy Sweeper – неплохая программа для защиты от шпионских модулей, а также от троянов и кейлоггеров.
• HookMonitor – предназначена для администрирования процесса установки глобальных ловушек на клавиатуру. Выявляет и блокирует модули spyware, ведущие наблюдение за набором паролей и т. п.
• Browser Sentinel – постоянно наблюдает за уязвимыми зонами системы на предмет обнаружения вредоносных компонентов. Она уведомит вас и поможет удалить программы-шпионы, рекламу, клавиатурных шпионов, программы автодозвона и прочих непрошеных гостей.
• Microsoft Windows AntiSpyware – это программа служит для обнаружения и удаления из системы разнообразных нежелательных модулей: отслеживающих сайты, посещаемые пользователем, добавляющих всплывающие рекламные окна, вносящих несанкционированные изменения в настройки и др.
В заключение хотелось бы отметить, что широкое распространение троянских коней было, есть и будет, так как они являются мощным инструментом получения конфиденциальной информации, кражи личных данных и др. Чтобы остановить вирус, в одних случаях бывает достаточно использовать Spy Remover и ему подобные программы, в других необходим антивирус. Однако только комплексное применение методов защиты обеспечит полную безопасность вашей системы.
5.3. Самое главное о безопасности
По итогам исследования, проведенного германской компанией Honey Net, которая объединяет группу исследователей, занимающихся проблемой безопасности Интернета, было установлено, что в настоящее время более миллиона компьютеров заражено пиратскими программами, рассылающими спам и вредоносные программы. Самое интересное, что обычный пользователь может даже и не подозревать, что его компьютер стал средством распространения вирусов.
В данном разделе рассмотрены основные уязвимые места Windows и выстроена модель многоуровневой защиты.
В данном разделе рассмотрены основные уязвимые места Windows и выстроена модель многоуровневой защиты.
Это не дыра – это целая нора
Ошибки в Windows как обнаруживались, так и обнаруживаются, и ничего тут не поделать. Эпидемии Nimda, Red Code и MS Blast лишний раз показали, насколько уязвимы могут быть операционные системы. Windows без обновлений – основной фактор уязвимости компьютера. Ни для кого не секрет, что большинство «червей» заражают систему именно благодаря наличию брешей, или дыр. Как яркое подтверждение сказанному, хотелось бы упомянуть наиболее нашумевших представителей. MS Blast заражает систему, эксплуатируя уязвимость в службе DCOM RPC (служба удаленного вызова процедур). Модификации «червя» SdBot распространяются, используя пять дыр, в том числе и вышеназванную. «Черви» семейства Sober и Sasser известны своими «пристрастиями» к службе LSASS (Local Security Authority Subsystem – один из сервисов, обеспечивающих безопасность системы), которую успешно эксплуатируют без ведома пользователя. Учитывая, что большинство «червей» используют уязвимость переполнения буфера, а служб и портов в Windows более чем достаточно, то появление новых «червей» или модификаций старых, применяющих новые дыры, не заставит себя ждать.
Поэтому необходимо следить за появлением новых уязвимостей и регулярно обновлять систему.
Многие пользователи активно применяют Internet Explorer. Не секрет, что он без должных пакетов обновлений является хорошим объектом для атак извне. JavaScript, ActiveX, Dhtml и др. могут быть успешно использованы для атаки, кражи файлов, удаления данных и т. п. В подтверждение вышесказанному приведен HTML-код, возможности которого при соответствующей доработке можно использовать для запуска любого произвольного кода на машине жертвы:
<HTML>
<OBJECT CLASSID=’CLSID:10000000’
CODEBASE=’C:\Windows\system32\logoff.exe’>
</OBJECT><HTML>
Удачной альтернативой стандартному браузеру являются такие продукты, как Opera и Avant Browser.
Поэтому необходимо следить за появлением новых уязвимостей и регулярно обновлять систему.
Многие пользователи активно применяют Internet Explorer. Не секрет, что он без должных пакетов обновлений является хорошим объектом для атак извне. JavaScript, ActiveX, Dhtml и др. могут быть успешно использованы для атаки, кражи файлов, удаления данных и т. п. В подтверждение вышесказанному приведен HTML-код, возможности которого при соответствующей доработке можно использовать для запуска любого произвольного кода на машине жертвы:
<HTML>
<OBJECT CLASSID=’CLSID:10000000’
CODEBASE=’C:\Windows\system32\logoff.exe’>
</OBJECT><HTML>
Удачной альтернативой стандартному браузеру являются такие продукты, как Opera и Avant Browser.
Выбираем антивирус
В настоящее время среди бесплатных программ можно выделить много достойных продуктов. Учитывая результаты официальных и неофициальных тестирований, а также собственный опыт, можно с уверенностью сказать, что абсолютной защиты нет. При определенных условиях даже самый авторитетный, с хорошей эвристикой и модулем анализа подозрительного поведения программного кода антивирус может дать сбой. Не надо забывать, что параллельно с развитием антивирусного программного обеспечения совершенствуются и вирусы. Существует семейство вирусов, так называемые stealth-вирусы, отличительной особенностью которых является наличие системы сокрытия от антивирусной программы – благодаря особенностям работы программного кода такие вирусы отслеживают обращения антивируса к инфицированному файлу и представляют последний незараженным. В результате – вируса как будто бы и нет. На самом деле он распространяется от файла к файлу, скрывая свое присутствие. Подтверждением данному служит яркий пример – Optix Killer, который просто отключает антивирусную программу.
Крайне желательно, чтобы на вашем компьютере были установлены по крайней мере две операционные системы. Зачем? Во-первых, удобно «препарировать» Windows. Во-вторых, наличие чистой среды при проверке зараженной более чем желательно, особенно если дело касается stealth-вирусов и быстро распространяющихся «червей». Можно посоветовать два антивируса (на разных системах, естественно): Kaspersky Antivirus personal 5.0 и Panda Platinum 2005 Internet Security. Первый имеет обширные базы, хотя они зачастую могут содержать вирусы и записи на эксплоиты (программы, написанные для практического использования какой-либо уязвимости в злонамеренных целях), нюкеры, кейлоггеры, а также программы, идентифицируемые KAV как «хакерский инструментарий». Panda прельщает анализом подозрительного поведения программного кода, защитой от неизвестных угроз, модулем самодиагностики – в общем, своей многофункциональностью. Ансамблю этих двух наиболее уважаемых антивирусных продуктов вполне можно доверить безопасность вашего компьютера. Только вот от самых новых вирусов они все равно вашу систему не спасут.
Существуют также программы-ревизоры. В качестве примера можно привести Adinf. Принцип ее работы основан на сохранении в специальной базе основных данных о каждом логическом диске в системе. При первом запуске в таблицах запоминаются объем оперативной памяти, образы главного загрузочного сектора, других загрузочных секторов, список сбойных кластеров, структура дерева каталогов, длины и контрольные суммы файлов. Когда вирус заражает компьютер, он изменяет объект, в который внедряется исполняемый файл, главный загрузочный сектор, FAT-таблица. Если ревизор обнаруживает на диске изменения, характерные для действия вируса, он предупреждает об этом пользователя. Важным отличием Adinf от других существующих программ-ревизоров является доступ к дискам без использования функций операционной системы. Такой метод позволяет успешно обнаруживать stealth-вирусы. Кроме борьбы с вирусами, Adinf следит за целостностью и сохранностью информации на жестком диске, выявляя все происходящие изменения.
Следует также отметить, что максимум, на что способен встроенный в SP2 брандмауэр, – это отражать примитивнейшие атаки на компьютер. Грамотной DOS-атаке с использованием хотя бы ICMP (Internet Control Message Protocol – протокол межсетевых управляющих сообщений, используемый для диагностики состояния сетей) он противостоять не сможет. Для этого существует более серьезное программное обеспечение, например брандмауэр ZoneAlarm (http://www.zonelabs.com/store/content/company/products/trial_zaFamily/trial_zaFamily.jsp?dc= 12bms&ctry=&lang=ru&lid=zassskulist2_trial). ZoneAlarm можно посоветовать всем, кому нужен авторитетный «наблюдатель» сетевой активности вашего компьютера. Любая попытка вырваться в Сеть или установить соединение из Сети, сканирование ваших портов регистрируется ZoneAlarm с указанием порта и IP.
Крайне желательно, чтобы на вашем компьютере были установлены по крайней мере две операционные системы. Зачем? Во-первых, удобно «препарировать» Windows. Во-вторых, наличие чистой среды при проверке зараженной более чем желательно, особенно если дело касается stealth-вирусов и быстро распространяющихся «червей». Можно посоветовать два антивируса (на разных системах, естественно): Kaspersky Antivirus personal 5.0 и Panda Platinum 2005 Internet Security. Первый имеет обширные базы, хотя они зачастую могут содержать вирусы и записи на эксплоиты (программы, написанные для практического использования какой-либо уязвимости в злонамеренных целях), нюкеры, кейлоггеры, а также программы, идентифицируемые KAV как «хакерский инструментарий». Panda прельщает анализом подозрительного поведения программного кода, защитой от неизвестных угроз, модулем самодиагностики – в общем, своей многофункциональностью. Ансамблю этих двух наиболее уважаемых антивирусных продуктов вполне можно доверить безопасность вашего компьютера. Только вот от самых новых вирусов они все равно вашу систему не спасут.
Существуют также программы-ревизоры. В качестве примера можно привести Adinf. Принцип ее работы основан на сохранении в специальной базе основных данных о каждом логическом диске в системе. При первом запуске в таблицах запоминаются объем оперативной памяти, образы главного загрузочного сектора, других загрузочных секторов, список сбойных кластеров, структура дерева каталогов, длины и контрольные суммы файлов. Когда вирус заражает компьютер, он изменяет объект, в который внедряется исполняемый файл, главный загрузочный сектор, FAT-таблица. Если ревизор обнаруживает на диске изменения, характерные для действия вируса, он предупреждает об этом пользователя. Важным отличием Adinf от других существующих программ-ревизоров является доступ к дискам без использования функций операционной системы. Такой метод позволяет успешно обнаруживать stealth-вирусы. Кроме борьбы с вирусами, Adinf следит за целостностью и сохранностью информации на жестком диске, выявляя все происходящие изменения.
Следует также отметить, что максимум, на что способен встроенный в SP2 брандмауэр, – это отражать примитивнейшие атаки на компьютер. Грамотной DOS-атаке с использованием хотя бы ICMP (Internet Control Message Protocol – протокол межсетевых управляющих сообщений, используемый для диагностики состояния сетей) он противостоять не сможет. Для этого существует более серьезное программное обеспечение, например брандмауэр ZoneAlarm (http://www.zonelabs.com/store/content/company/products/trial_zaFamily/trial_zaFamily.jsp?dc= 12bms&ctry=&lang=ru&lid=zassskulist2_trial). ZoneAlarm можно посоветовать всем, кому нужен авторитетный «наблюдатель» сетевой активности вашего компьютера. Любая попытка вырваться в Сеть или установить соединение из Сети, сканирование ваших портов регистрируется ZoneAlarm с указанием порта и IP.
5.4. Анонимность в сети
Для начала необходимо четко уяснить, что при кажущейся безопасности и приватности нахождение в Интернете все же остается не более конфиденциальным, чем посещение местного гастронома. Говоря об анонимности интернет-серфинга, следует упомянуть о локальной и сетевой безопасности.
Как посетить сайт, чтобы об этом никто не знал (чистка кэша, журнала, Cookies)
Локально следы ваших посещений фиксируются интернет-обозревателем и записываются в журнал. Помимо журнальных записей, историю можно воспроизвести, просмотрев содержание папки Temporary Internet Files и Cookies. Чтобы избавиться от компрометирующих записей, необходимо сделать следующее.
1.На панели настроек обозревателя нажать кнопку Журнал, и в появившемся окне (рис. 5.1) выделить правой кнопкой мыши посещенные страницы и выбрать в контекстном меню пункт Удалить.
2.Далее следует выполнить команду Сервис?Свойство обозревателя и в открывшемся окне на вкладке Временные файлы Интернета нажать кнопку Удалить «Cookie», а затем – Удалить файлы (рис. 5.2).
1.На панели настроек обозревателя нажать кнопку Журнал, и в появившемся окне (рис. 5.1) выделить правой кнопкой мыши посещенные страницы и выбрать в контекстном меню пункт Удалить.
2.Далее следует выполнить команду Сервис?Свойство обозревателя и в открывшемся окне на вкладке Временные файлы Интернета нажать кнопку Удалить «Cookie», а затем – Удалить файлы (рис. 5.2).
Доверить очистку можно специализированным утилитам. Чтобы очистить кэш (временные файлы Интернета, которые сохраняются на диске для последующего ускоренного просмотра веб-страниц), можно воспользоваться программой ClearIECache и т. п. Если необходима более тщательная чистка, то вам следует воспользоваться утилитой CCleaner, описанной в разд. 2.2.ПРИМЕЧАНИЕ
Если вы пользуетесь браузерами вроде Opera или Mozilla, то необходимо дополнительно очистить следы в журналах этих обозревателей.
Рис. 5.1. Журнал
Рис. 5.2. Удаляем временные файлы и Cookies
Прокси-сервер
Для начала необходимо представить, каким же образом информация о ваших действиях в Интернете может стать доступной другим лицам. Как известно, каждому пользователю присваивается уникальный IP-адрес. Предположим, вы взломали сайт. Первым действием администратора взломанного сайта станет просмотр файлов журнала, куда вносится история сетевой активности сервера. Выяснив ваш IP, не составит особого труда узнать номер телефона, с которого было произведено соединение.
Чтобы ваш IP нигде не сохранялся, необходим своего рода посредник. Таким посредником является прокси-сервер. Когда вы соединяетесь таким образом, то на какой бы вы сайт ни попали, будет сохранен IP, принадлежащий прокси-серверу. Для идеальной анонимности необходимо использовать цепочку из прокси. При этом сначала соединяются с одним прокси-сервером, потом с него заходят на второй, со второго – на третий и затем уже соединяются с нужным узлом. Скорость связи при этом довольно сильно снижается, но зато безопасность повышается многократно. Длина такой цепочки зависит от того, насколько хорошо нужно «спрятаться». Обычно хватает трех звеньев. Для удобной работы с прокси-серверами понадобится программа SocksChain, которую можно скачать по адресу http://www.ufasoft.com/files/sockchain_setup.exe.
• http://www.proxys4all.com;
• http://www.proxychecker.ru;
• http://www.freeproxy.ru;
• http://proxycheck.spylog.ru;
• http://proxy.dorsdorf.ru.
Установить соединение через прокси-сервер можно, выполнив в Internet Explorer команду Сервис?Свойства обозревателя?Подключение?Настройка. Затем в соответствующие поля области значений Прокси-сервер следует ввести адрес сервера и порт (рис. 5.3).
Настроив таким образом соединение, не забудьте проверить, действительно ли он предоставляет сайту не ваш IP, а свой. Для этого прокси-сервер необходимо протестировать утилитами вроде Proxy Checker (http://proxylist.virtualave.net/pchecker.htm) или с помощью таких сайтов, как http://www.all-nettools.com, http://www.leader.ru/secure/who.html, http://www.proxysite.com.
Чтобы ваш IP нигде не сохранялся, необходим своего рода посредник. Таким посредником является прокси-сервер. Когда вы соединяетесь таким образом, то на какой бы вы сайт ни попали, будет сохранен IP, принадлежащий прокси-серверу. Для идеальной анонимности необходимо использовать цепочку из прокси. При этом сначала соединяются с одним прокси-сервером, потом с него заходят на второй, со второго – на третий и затем уже соединяются с нужным узлом. Скорость связи при этом довольно сильно снижается, но зато безопасность повышается многократно. Длина такой цепочки зависит от того, насколько хорошо нужно «спрятаться». Обычно хватает трех звеньев. Для удобной работы с прокси-серверами понадобится программа SocksChain, которую можно скачать по адресу http://www.ufasoft.com/files/sockchain_setup.exe.
Список ныне существующих прокси-серверов непостоянен. Данное обстоятельство обусловлено тем, что некоторые из них исчезают, другие появляются. Наиболее популярными являются следующие:ПРИМЕЧАНИЕ
Использование прокси-сервера не может гарантировать стопроцентную уверенность в анонимности действий в Сети, так как, просмотрев файлы журнала прокси-серверов, можно легко установить, чей же это IP-адрес.
• http://www.proxys4all.com;
• http://www.proxychecker.ru;
• http://www.freeproxy.ru;
• http://proxycheck.spylog.ru;
• http://proxy.dorsdorf.ru.
Установить соединение через прокси-сервер можно, выполнив в Internet Explorer команду Сервис?Свойства обозревателя?Подключение?Настройка. Затем в соответствующие поля области значений Прокси-сервер следует ввести адрес сервера и порт (рис. 5.3).
Настроив таким образом соединение, не забудьте проверить, действительно ли он предоставляет сайту не ваш IP, а свой. Для этого прокси-сервер необходимо протестировать утилитами вроде Proxy Checker (http://proxylist.virtualave.net/pchecker.htm) или с помощью таких сайтов, как http://www.all-nettools.com, http://www.leader.ru/secure/who.html, http://www.proxysite.com.
Рис. 5.3. Настраиваем прокси-сервер
Анонимный серфинг
Для осуществления анонимного серфинга можно использовать службы, называемые Anonymizer (анонимайзер). Эти бесплатные сервисы позволяют работать в Сети анонимно. Анонимайзер по сути – прокси-сервер, представляющий собой обычную веб-страницу, похожую на страницы поисковых систем. Только вместо поисковых фраз вам необходимо в поле ввода набрать URL того сайта, на который вы хотите перейти. После чего, нажав кнопку Submit, Go, Surf Anonymously и т. п., вы попадете на нужный сайт. Вот адреса некоторых таких служб: http://www.emoney.al.ru/security/ansurf.htm, http://www.proxy7.com (рис. 5.4 и 5.5).
Процесс перемещения по сайту автоматизирован, набирать новый URL не нужно – все страницы будут просматриваться с помощью анонимайзера. При использовании такой службы след в файлах журналов оставляете не вы, а анонимайзер, что исключает возможность сбора личной информации. Cookies до вас также не доходят. На некоторые сайты, например Hotmail, зайти таким образом невозможно, что, вероятно, можно объяснить желанием их владельцев контролировать действия посетителей. Анонимайзер также не работает с безопасными узлами, использующими SSL.
• Anonymouse (http://anonymouse.ws) – отличный анонимайзер. Может не только анонимно просматривать страницы, но также отправлять анонимные сообщения по почте и смотреть новости.
• ShadowBrowser (http://www.shadowbrowser.com/) – обеспечивает анонимный серфинг по Интернету и сокрытие истории ваших перемещений. Не требует установки программ.
• ProxyKing (http://www.proxyking.net) – защищает от отслеживания ваших действий в Сети, скрывая файлы Cookies.
• AnonymousIndex (http://www.anonymousindex.com) – сервис для анонимного путешествия по Сети, который скрывает IP и позволяет контролировать показы баннеров и доступ к Cookies.
• HideMyAss (http://www.hidemyass.com) – бесплатный анонимный сервис, который эффективно помогает скрыть реальный IP-адрес.
• ProxyFoxy (http://www.proxyfoxy.com) – предлагает бесплатный анонимный серфинг по Интернету, скрывая файлы Cookies, рекламу и сценарии.
• 75i (http://www.75i.net) – бесплатный анонимайзер, который позволяет путешествовать по Интернету совершенно анонимно и безопасно.
• Proxy Guy (http://www.proxyguy.com) – также предлагает бесплатный анонимный серфинг.
• Proxyz (http://www.proxyz.be) – это бесплатный интернет-сервис, позволяющий анонимно путешествовать по Интернету. Вы можете также использовать его для доступа к закрытым веб-сайтам в школе или офисе.
• ShadowSurf free anonymous proxy (http://www.shadowsurf.com) – на 100 % анонимный серфинг по Интернету. Вы можете получить доступ к заблокированным сайтам, при этом ваш IP-адрес не будет виден. Не требует установки.
• Famous5 (http://www.famous5.net) – бесплатный анонимайзер. Вырезает рекламу и скрывает ваш IP-адрес.
• TheProxy (http://theproxy.com) – всегда скрывает ваш IP-адрес, так что сайты не смогут идентифицировать или отследить. Это абсолютно бесплатный сервис.
Процесс перемещения по сайту автоматизирован, набирать новый URL не нужно – все страницы будут просматриваться с помощью анонимайзера. При использовании такой службы след в файлах журналов оставляете не вы, а анонимайзер, что исключает возможность сбора личной информации. Cookies до вас также не доходят. На некоторые сайты, например Hotmail, зайти таким образом невозможно, что, вероятно, можно объяснить желанием их владельцев контролировать действия посетителей. Анонимайзер также не работает с безопасными узлами, использующими SSL.
СОВЕТ
Существует возможность создания цепочки из анонимайзеров (как и прокси-серверы, она значительно усложнит задачу тому, кто попытается вычислить ваш IP). Создать такую цепочку (CGI proxy) очень просто – достаточно в одном анонимайзере набрать адрес другого и нажать Go, а уже затем указывать адрес нужного вам сайта.
Рис. 5.4. Анонимный серфинг на http://www.emoney.al.ru/security/ansurf.htm
Рис. 5.5. По Сети без следов – через http://www.proxy7.com
Ниже приведен список некоторых анонимайзеров; выбор в данном случае – дело вкуса пользователя.• Anonymouse (http://anonymouse.ws) – отличный анонимайзер. Может не только анонимно просматривать страницы, но также отправлять анонимные сообщения по почте и смотреть новости.
• ShadowBrowser (http://www.shadowbrowser.com/) – обеспечивает анонимный серфинг по Интернету и сокрытие истории ваших перемещений. Не требует установки программ.
• ProxyKing (http://www.proxyking.net) – защищает от отслеживания ваших действий в Сети, скрывая файлы Cookies.
• AnonymousIndex (http://www.anonymousindex.com) – сервис для анонимного путешествия по Сети, который скрывает IP и позволяет контролировать показы баннеров и доступ к Cookies.
• HideMyAss (http://www.hidemyass.com) – бесплатный анонимный сервис, который эффективно помогает скрыть реальный IP-адрес.
• ProxyFoxy (http://www.proxyfoxy.com) – предлагает бесплатный анонимный серфинг по Интернету, скрывая файлы Cookies, рекламу и сценарии.
• 75i (http://www.75i.net) – бесплатный анонимайзер, который позволяет путешествовать по Интернету совершенно анонимно и безопасно.
• Proxy Guy (http://www.proxyguy.com) – также предлагает бесплатный анонимный серфинг.
• Proxyz (http://www.proxyz.be) – это бесплатный интернет-сервис, позволяющий анонимно путешествовать по Интернету. Вы можете также использовать его для доступа к закрытым веб-сайтам в школе или офисе.
• ShadowSurf free anonymous proxy (http://www.shadowsurf.com) – на 100 % анонимный серфинг по Интернету. Вы можете получить доступ к заблокированным сайтам, при этом ваш IP-адрес не будет виден. Не требует установки.
• Famous5 (http://www.famous5.net) – бесплатный анонимайзер. Вырезает рекламу и скрывает ваш IP-адрес.
• TheProxy (http://theproxy.com) – всегда скрывает ваш IP-адрес, так что сайты не смогут идентифицировать или отследить. Это абсолютно бесплатный сервис.
5.5. Идентифицируем нового знакомого
Поиск информации о человеке по почтовому адресу
Информацию о человеке в Cети можно найти в самых разных местах: на его персональной странице, во всевозможных гостевых книгах, каталогах адресов, досках объявлений и веб-конференциях, в архивах списков рассылки и телеконференций, а также во всевозможных каталогах пользователей ICQ. Для поиска не нужно обладать какими-то специальными навыками, достаточно воспользоваться обычными поисковыми серверами как общего назначения («Рамблер», «Яндекс», Google, Yahoo!, AltaVista, HotBot), так и специализированными (DejaNews – поиск по телеконференциям, WhoWhere, Four11, BigFoot – каталоги адресов). Кроме того, многие поисковики общего назначения включают в себя интерфейсы и для поиска в почтовых каталогах, и в телеконференциях. DejaNews, к примеру, ведет базу сообщений с начала 1990-х годов. Информация эта, естественно, актуальна при условии, что данные, предоставленные пользователем, верны.
Определение IP по ICQ
Чтобы определить IP того, кто общается с вами посредством ICQ, достаточно воспользоваться программой UIN2IP (http://www.soanet.org/other/uin2ip.zip).
Вот список некоторых функций UIN2IP:
• автоматическое обновление листа;
• автоматическое копирование IP-адреса в буфер при двойном щелчке кнопкой мыши на соответствующей позиции списка;
• возможность срочного обновления;
• автоматический запуск программы вместе с Windows.
Вот список некоторых функций UIN2IP:
• автоматическое обновление листа;
• автоматическое копирование IP-адреса в буфер при двойном щелчке кнопкой мыши на соответствующей позиции списка;
• возможность срочного обновления;
• автоматический запуск программы вместе с Windows.
Определение IP через электронную почту
Чтобы определить IP компьютера, с которого было отправлено письмо, достаточно просмотреть заголовок сообщения (head или RFC-заголовок). Например, у сообщения почтового сервиса http://www.mail.ru заголовок сообщения выглядит так:
From 693236.6714442@zotomerk.com Thu Mar 16 11:34:22 2006
Return-path: <693236.6714442@zotomerk.com>
Received: from [66.62.45.146]
(port=43649 helo=MIT4.zotomerk.com)
by mx19.mail.ru with esmtp
id 1FJnw5-000Evs-00
for pioner_sky@mail.ru; Thu, 16 Mar 2006 11:34:21 +0300
Received-SPF: none (mx19.mail.ru: 66.62.45.146 is neither permitted nor denied by domain of zotomerk.com) client-ip=66.62.45.146; envelope-from=693236.6714442@zotomerk.com; helo=MIT4.zotomerk.com;
Received: by MIT4.zotomerk.com id h34iiu07blk5 for <pioner_sky@mail.ru>; Thu, 16 Mar 2006 00:43:24 -0800 (envelope-from <693236.6714442@zotomerk.com>)
Message-Id: <mImzJpqgfrAbCdTJKDtgumIIm@zotomerk.com>
Reply-To: <Abner@zotomerk.com>
From: TVolution <Abner@zotomerk.com>
Subject: Watch TV on your PC in 2 minutes
Date: Thu, 16 Mar 2006 00:34:21 -0800
X-Complaints-To: <complaints@zotomerk.com>
Mime-Version: 1.0
Content-Type: multipart/alternative;
boundary=-mImzJpqgfrAbCdTJKDtgumIIm
Status:
To: <pioner_sky@mail.ru>
X-Spam: Not detected
Третья строка данного заголовка содержит IP-адрес компьютера (66.62.45.146), с которого было отправлено сообщение.
From 693236.6714442@zotomerk.com Thu Mar 16 11:34:22 2006
Return-path: <693236.6714442@zotomerk.com>
Received: from [66.62.45.146]
(port=43649 helo=MIT4.zotomerk.com)
by mx19.mail.ru with esmtp
id 1FJnw5-000Evs-00
for pioner_sky@mail.ru; Thu, 16 Mar 2006 11:34:21 +0300
Received-SPF: none (mx19.mail.ru: 66.62.45.146 is neither permitted nor denied by domain of zotomerk.com) client-ip=66.62.45.146; envelope-from=693236.6714442@zotomerk.com; helo=MIT4.zotomerk.com;
Received: by MIT4.zotomerk.com id h34iiu07blk5 for <pioner_sky@mail.ru>; Thu, 16 Mar 2006 00:43:24 -0800 (envelope-from <693236.6714442@zotomerk.com>)
Message-Id: <mImzJpqgfrAbCdTJKDtgumIIm@zotomerk.com>
Reply-To: <Abner@zotomerk.com>
From: TVolution <Abner@zotomerk.com>
Subject: Watch TV on your PC in 2 minutes
Date: Thu, 16 Mar 2006 00:34:21 -0800
X-Complaints-To: <complaints@zotomerk.com>
Mime-Version: 1.0
Content-Type: multipart/alternative;
boundary=-mImzJpqgfrAbCdTJKDtgumIIm
Status:
To: <pioner_sky@mail.ru>
X-Spam: Not detected
Третья строка данного заголовка содержит IP-адрес компьютера (66.62.45.146), с которого было отправлено сообщение.
Как найти настоящего отправителя письма
Просмотрев заголовок письма и определив IP-адрес машины, теоретически можно узнать, кто настоящий отправитель. Сделать это можно, воспользовавшись службой Whois (http://www.whois.net). Она позволяет по IP определить провайдера, его выдавшего, географическое положение и многое другое, вплоть до адреса администратора домена (рис. 5.6).