2.Шпионские модули Spyware и борьба с ними

О шпионских модулях. Основное отличие шпионских модулей Spyware от компьютерных вирусов заключается в том, что они, как правило, не наносят вреда программному обеспечению и данным, хранящимся в компьютере (если не считать занимаемых ими ресурсов оперативной памяти и места на жестком диске). Задача шпионских модулей — собирать информацию о пользователе (адреса электронной почты, содержимое жесткого диска, список посещаемых страниц в Интернете, информацию личного характера) и отправлять ее по определенному адресу. При этом пользователь даже не подозревает, что за ним ведется своеобразное тайное наблюдение. Полученная таким способом информация может использоваться для самых разных целей: это может быть как относительно безобидный анализ посещаемости тех или иных сайтов, так и что-то противозаконное или наносящее ущерб пользователю.

Каким образом шпионские модули проникают в компьютер? В большинстве случаев это происходит в процессе самостоятельной инсталляции пользователем нужных и полезных приложений. Например, существуют бесплатные утилиты, которые можно использовать только вместе со встроенной программой-шпионом. Если удалить это «дополнение», то основная программа работать не будет.

Нужно также внимательно относиться к установке приложений: некоторые шпионы проникают в компьютер, например, после того, как пользователь, не задумываясь, утвердительно ответил на какой-либо запрос, который появился на экране в процессе инсталляции. Одни разработчики самостоятельно вставляют в дистрибутивы своих программ программы-шпионы, другие обращаются за помощью к фирмам, создающим и поставляющим подобные приложения. Программы-шпионы могут также проникать в компьютер из Интернета.

Виды шпионских модулей. В настоящее время особенно распространены следующие виды шпионских модулей.

Сканер жесткого диска. Такие модули изучают содержимое жесткого диска и отправляют данные по указанному адресу. В результате злоумышленник получает информацию об установленных на компьютере программах, хранящихся файлах и т. п.

Клавиатурный шпион. Подобные программы постоянно наблюдают за клавиатурой и запоминают нажатие каждой клавиши, после чего отправляют эти данные по указанному адресу. В результате вся набранная информация попадает к посторонним лицам; а ведь это могут быть и письма, и секретные документы, и, что еще хуже, пароли, номера кредитных карт и т. п. Более подробно о клавиатурных шпионах представлено ниже.

Клавиатурные шпионы являются чуть ли не самыми коварными из всего многообразия шпионских модулей и программ.

Клавиатурный шпион — это программа или устройство, постоянно наблюдающее за нажатием клавиш на клавиатуре, а иногда также за щелчками кнопками мыши с целью получения информации обо всех действиях пользователя. Для чего это нужно? Ответ на этот вопрос у каждого злоумышленника свой: одному нужно перехватить почтовые сообщения, другому — получить номера кредитных карт, третьему — взломать пароли, четвертому — украсть у разработчика исходные тексты еще не вышедшей программы, а пятому — все перечисленное и еще что-нибудь.

Характерной особенностью клавиатурных шпионов является то, что это может быть не только внедренное в компьютер вредоносное программное обеспечение, но и отдельное устройство. Такие устройства могут быть установлены между клавиатурой и системным блоком и достаточно долго оставаться незамеченными из-за своих небольших размеров. Однако чтобы установить такое устройство, необходимо получить доступ к компьютеру в отсутствие пользователя, поэтому на домашних компьютерах такой вид клавиатурных шпионов встречается редко. Чаще эти устройства подключаются к рабочим компьютерам, а также к компьютерам в студенческих аудиториях, на почтах, в интернет-клубах и др. Чтобы своевременно обнаружить такой «сюрприз», рекомендуется чаще обращать внимание, не появилось ли между клавиатурой и системным блоком неизвестное устройство.

Достаточно широко распространены так называемые перехватывающие клавиатурные шпионы. Они чаще всего представляют собой программы, состоящие из исполняемого файла с расширением ЕХЕ и DLL-библиотеки, с помощью которой осуществляется управление процессами записи информации. Перехватывающий клавиатурный шпион запоминает практически любой набранный текст: документы, письма, исходные коды программ (данная возможность нередко используется для кражи еще не вышедших программ), номера кредитных карт, пароли (в том числе и самозаполняющиеся) и т. д.

Клавиатурный шпион-программа может проникнуть в компьютер разными способами, например, как и любой другой шпионский модуль, в составе устанавливаемой на компьютер бесплатной программы (как правило, неизвестного или сомнительного разработчика), через программу обмена сообщениями и т. д. В последнее время клавиатурные шпионы все чаще попадают в компьютер после посещения пользователем определенного сайта.

Рассмотрим следующие вопросы:

• как предупредить проникновение клавиатурных шпионов в компьютер:

• как попытаться обмануть такого шпиона, если он, возможно, уже проник в компьютер (меры предосторожности при вводе секретных данных);

• как обнаружить и удалить программу-шпиона.

Стопроцентной защиты от клавиатурных шпионов, как и от других вредоносных программ, в настоящее время не существует: как известно, на каждое противоядие можно найти новый яд. Однако вы можете свести к минимуму вероятность их проникновения в компьютер, соблюдая некоторые меры предосторожности.

Для защиты от аппаратных клавиатурных шпионов рекомендуется по возможности ограничить доступ посторонних лиц к компьютеру. В первую очередь это касается компьютеров, установленных на рабочих местах (разумеется, при этом не следует впадать в крайности и отгонять от компьютера, например, системного администратора). Кроме того, как уже упоминалось, необходимо периодически проверять, не появилось ли между клавиатурой и системным блоком какое-либо неизвестное устройство. Иногда это касается и домашнего компьютера: вспомните, кто имеет к нему доступ? Одно дело, если только вы, и другое - если, например, периодически приходят друзья-компьютерщики. В последнем случае вам вполне могут подсунуть какого-нибудь «жучка».

Для защиты от программных шпионов-перехватчиков можно принять меры, перечисленные в подразделе «Как предостеречь компьютер от вредоносных программ».

Если вы предполагаете, что в компьютер проник клавиатуоный шпион, в первую очередь необходимо сканировать компьютер специальной программой. Для поиска и уничтожения клавиатурных шпионов можно использовать некоторые программы, предназначенные для борьбы с другими Spyware. Кроме того, есть программы, специально разработанные для поиска и избавления от клавиатурных шпионов (одну из таких программ рассмотрим чуть ниже). Однако бывают ситуации, когда немедленно сканировать компьютер невозможно и в то же время необходимо срочно выполнить какие-либо действия с конфиденциальными данными. Как поступить в таком случае?

При возникновении подобных ситуаций рекомендуется использовать так называемую виртуальную клавиатуру. Виртуальная клавиатура — это программа, интерфейс которой представляет собой изображение клавиатуры. Нужные символы в этом случае вводят с помощью мыши. Поскольку принцип действия большинства клавиатурных шпионов заключается в перехвате вводимых с клавиатуры символов, то использование виртуальной клавиатуры достаточно эффективно.

Необходимо учитывать, что некоторые клавиатурные шпионы снимают также копии экрана после каждого щелчка кнопкой мыши. Для защиты от таких шпионов предусмотрены виртуальные клавиатуры, в которых для ввода символа достаточно просто подвести указатель мыши к соответствующей позиции. Благодаря этому можно ввести информацию без единого щелчка.

При частой или регулярной работе с конфиденциальными данными рекомендуется постоянно использовать виртуальную клавиатуру: никогда нельзя быть полностью уверенным в том, что в компьютер не проник клавиатурный шпион.

Как уже упоминалось, для уничтожения клавиатурных шпионов можно использовать программы, предназначенные для борьбы с другими Spyware, а также специальные приложения.

Автоматический дозвон. При внедрении на компьютер такой программы модем будет автоматически устанавливать соединение с указанным в ней телефонным номером. Поскольку в большинстве случаев этот номер находится в отдаленной стране, то пользователь рискует получить астрономический телефонный счет. Для защиты от подобных неприятностей рекомендуется держать включенным динамик модема. В этом случае вы наверняка обратите внимание на то, что модем самостоятельно набирает какой-то телефонный номер.

Контролер программ. Шпионы этого вида собирают и отправляют по определенному адресу информацию о наиболее часто используемых на данном компьютере программах.

Почтовый шпион. Эти программы вносят изменения в почтовые сообщения, например они могут изменять подпись в электронных письмах, вставлять в них рекламную информацию и др. Некоторые почтовые шпионы передают злоумышленникам содержимое адресной книги и информацию об активном почтовом ящике. Такие данные ценятся среди спамеров.

Программы типа «прокси-сервер». Компьютер с такой внедренной программой легко использовать в качестве прокси-сервера для работы в Интернете. Злоумышленник, который установил такую программу на компьютер, как бы прикрывается чужим именем: ответственность за все его действия (как законные, так и незаконные) ложится на пользователя зараженного компьютера.

Интернет-монитор. Подобные шпионы собирают информацию о работе пользователя в Интернете, в частности о посещаемых страницах, совершаемых заказах и покупках и т. п. Некоторые из таких программ наряду с другой информацией успешно запоминают, например, номера кредитных карточек, используемых при расчетах за товары интернет-магазинов.

Прочие шпионские модули. К этому виду можно отнести комбинированные программы-шпионы, например сканер жесткого диска, совмещенный с контролером программ. Здесь также можно отметить бессмысленные, шутливые программы-шпионы. Как правило, они не передают никому информацию, не ведут никакого наблюдения, а просто периодически выдают на экран сообщения о каких-либо несуществующих неполадках (например, Ваш компьютер заражен вирусом; через 15 минут начнется автоматическое форматирование диска С). Не исключено, что, прочитав подобное сообщение, испуганный пользователь начнет лихорадочно сохранять всю более-менее ценную информацию на внешние носители, да и вообще совершать массу ненужных действий. Возможно также, что, не дождавшись обещанного форматирования диска, пользователь сам запустит этот процесс (разумеется, это относится в первую очередь к неопытным пользователям).

Борьба со шпионскими модулями. Характерной особенностью шпионских модулей Spyware является то, что их трудно распознать с помощью штатных антивирусных программ, поэтому для борьбы с ними рекомендуется использовать специальные утилиты, которые во множестве представлены в Интернете. Однако при этом обязательно нужно учитывать следующее: многие шпионские программы искусно маскируются именно под утилиты для борьбы с ними. Иначе говоря, установив на свой компьютер утилиту для борьбы с Spyware, можно вместо нее заполучить сам шпионский модуль, поэтому для распознавания и устранения Spyware лучше использовать утилиты известных разработчиков или прислушаться к рекомендациям других пользователей, столкнувшихся с подобной проблемой ранее.

Может ли пользователь самостоятельно (без применения специальных утилит) заметить присутствие в компьютере шпионской программы? Да, в некоторых случаях это возможно. Вот наиболее характерные симптомы, свидетельствующие о проникновении в систему программы-шпиона (некоторые из этих признаков относятся также к рекламным модулям Adware, рассмотренным далее):

• при запуске Internet Explorer по умолчанию начинает открываться совершенно незнакомая веб-страница вместо пустой или заданной в качестве домашней;

• значительно увеличивается исходящий трафик;

• сбои в работе операционной системы;

• неоправданно высокие счета за телефонную связь (в таком случае в компьютер наверняка проник шпионский модуль автоматического дозвона);

• в Internet Explorer присутствуют незнакомые элементы управления (кнопка, пункт контекстного меню, инструментальная панель и т. п.);

• незнакомые пункты в списке меню Избранное, удалить которые невозможно;

• в окне Диспетчера задач на вкладке Процессы видно, что какой-то новый процесс использует практически все ресурсы компьютера;

• на экране монитора периодически появляются рекламные окна, причем даже при отсутствии действующего подключения к Интернету;

• на Рабочем столе появляются незнакомые значки, щелкнув на которых вы автоматически переходите на незнакомую веб-страницу.

Например, распространенный шпионский модуль, известный под именем 180Solutions Web3000 Spyware, присутствует в списке запущенных процессов как файл msbb.exe. Он отслеживает активность интернет-обозревателя и сообщает об этом через Интернет своим «хозяевам». Попутно он заставляет пользователя смотреть всплывающие рекламные окна. Много полезной информации о подобных вредоносных программах можно найти на сайте www.processlibrary.com.

Для обнаружения Spyware можно провести небольшую «ревизию» содержимого компьютера. В частности, следует проверить содержимое папки Program Files, каталога автозагрузки, а также раздела Установка и удаление программ на Панели управления. Некоторые шпионские программы помещают свой значок в область уведомлений Панели задач, поэтому при возникновении подозрений нужно проверить, не появился ли там неизвестный значок. Необходимо также просмотреть содержимое подменю Пуск ► Все программы: некоторые шпионские модули могут проявиться здесь. В Internet Explorer следует обратить внимание на страницу, открывающуюся по умолчанию, а также на содержимое папки Избранное.

Утилиты борьбы со шпионскими модулями. Кратко рассмотрим несколько популярных утилит, предназначенных специально для поиска и удаления шпионских модулей. Нужно каждую из них периодически обновлять — по аналогии с антивирусными программами.

Microsoft Antispyware. Данная утилита корпорации Microsoft является популярной программой для борьбы со шпионскими модулями. Она работает с операционными системами Windows 2000, Windows XP и Windows 2003 Server. Эту программу можно бесплатно скачать с сайта Microsoft и других источников в Интернете. Однако следует учитывать, что размер дистрибутива, предлагаемого к скачиванию, достаточно велик — около 6,5 Мбайт.

К достоинствам данной программы можно отнести успешное блокирование практически любых шпионских модулей, которые пытаются проникнуть в компьютер, поэтому использование Microsoft Antispyware при работе в Интернете позволяет чувствовать себя в относительной безопасности. Слабое место программы — сканирование компьютера на наличие Spyware. Если компьютер заражен шпионскими модулями, то Microsoft Antispyware не всегда успешно обнаруживает их (особенно это касается малознакомых шпионских модулей).

SpywareBlaster. Программа SpywareBlaster, разработчиком которой является фирма Javacool Software, обеспечивает достаточно надежную защиту от различных шпионских модулей. Для домашнего использования эта утилита распространяется бесплатно, и ее можно без труда найти в Интернете. Размер дистрибутива, предлагаемого к скачиванию, примерно равен 2,5 Мбайт. Данная программа предназначена для работы с операционной системой Windows любой версии, начиная с Windows 95.

SpywareBlaster отличается эргономичным, простым и интуитивно понятным пользовательским интерфейсом, в котором большинство параметров можно настроить с помощью флажков и переключателей.

Среди всего многообразия параметров следует обратить внимание на возможность блокирования настроек домашней страницы, после которого ни один шпионский модуль не сможет изменить, например, адрес страницы, загружаемой по умолчанию. В программе также реализована возможность отката настроек браузера.

Данная утилита может работать не только с Internet Explorer, но и с другими популярными интернет-обозревателями — Netscape, Mozilla и др. Исключение составляет только браузер Opera.

Просто зафиксируйте настройки браузера (причем можно сохранить несколько различных конфигураций настроек) — и вы сможете вернуться к ним в любой момент. Например, к сохраненным параметрам можно вернуться при возникновении подозрений, что в настройки обозревателя без вашего участия внесены нежелательные изменения.

AVZ. Еще одна полезная утилита для борьбы с «компьютерным мусором» — программа AVZ, которая также распространяется бесплатно. Многие пользователи считают ее одной из лучших утилит для поиска и удаления не только программ-шпионов, но и различных рекламных модулей (подробно о рекламных модулях и методах борьбы с ними рассказывается в разд. «Рекламные модули Adware и борьба с ними»). Кстати, помимо шпионских и рекламных модулей эта программа успешно борется с некоторыми вирусами.

Русскоязычный интерфейс приложения прост и понятен пользователю. Основные параметры настройки сгруппированы на трех вкладках: Область поиска, Типы файлов и Параметры поиска. Вы можете указать программе, как поступать при обнаружении вредоносного объекта конкретного типа (вирус, программа-шпион и др.): удалять, просто информировать соответствующим сообщением и т. д. Кроме того, можно настроить сканирование на выборочный поиск вредоносных программ, например искать и удалять только шпионские модули, а все остальное игнорировать.

В нижней части окна ведется протокол процесса сканирования. Полученный результат при необходимости можно сохранить в отдельном файле для последующего изучения.

Утилита Anti-keylogger. Она разработана российскими специалистами для борьбы с клавиатурным шпионом.. Скачать демонстрационную версию данной программы можно в Интернете по адресу http://dl.softportal.com/load/antikey.zip. Размер дистрибутива — 3,29 Мбайт.

К достоинствам программы можно отнести ее многоязычность (она поддерживает русский, английский, немецкий, французский и украинский языки); к недостаткам — относительно высокую стоимость (полнофункциональная версия программы стоит чуть менее $60).

Характерной особенностью программы Anti-keylogger является то, что при работе она не использует сигнатурные базы. Это позволяет ей выявлять и блокировать любые виды клавиатурных шпионов — как известные большинству аналогичных программ, так и неизвестные.

Программа обладает простым и дружественным пользовательским интерфейсом. В разделе Опции предусмотрена возможность настройки параметров работы приложения. Кроме того, в разделе Лист исключений реализована возможность ведения списка исключений; в этот список можно включать программы, которые не должны распознаваться как клавиатурные шпионы.

Помимо Anti-keylogger в Интернете можно найти еще множество программ (как платных, так и бесплатных), специально предназначенных для борьбы с клавиатурными шпионами.

Как получить пользу от Spyware ? Как ни парадоксально, из некоторых шпионских модулей и программ можно извлечь определенную пользу. Программы-шпионы могут быть полезны следующим категориям людей.

Руководители предприятий и организаций. Внедрив на компьютеры подчиненных какую-либо шпионскую программу, можно контролировать то, чем занимаются сотрудники в рабочее время. Можно узнать, какой текст они набирают, когда открывают и закрывают различные программы, когда включают и выключают компьютер, что содержит буфер обмена и т. д. Некоторые программы-шпионы могут через определенные промежутки времени делать снимки экрана.

Системные администраторы. С помощью программы-шпиона можно вести постоянное наблюдение за каждым пользователем и за действиями, которые он выполняет.

Фискальные органы и силовые структуры. С помощью программ- шпионов можно получить необходимую оперативную информацию, которая поможет предотвратить планируемое преступление.

Родители. Установленная на компьютере программа-шпион позволит установить, что делал ребенок на компьютере - выполнял домашнее задание или играл. Большинству родителей интересно, какие ресурсы посещает их ребенок в Интернете — здесь также поможет программа-шпион.

Рядовые пользователи. Если к компьютеру имеет доступ несколько человек, то с помощью программы-шпиона всегда можно узнать, какие действия выполнялись на компьютере в ваше отсутствие.

Кроме того, возможности многих программ-шпионов иногда позволяют восстанавливать утерянные данные: содержимое того или иного документа, пароль и т. п.