А. Белоус - Кибероружие и кибербезопасность. О сложных вещах простыми словами

Специализированный троян IRONCHEF («железный шеф») основан на зловредном изменении BIOS и обычно применяется для установления связи шефа с конкретным агентом АНБ. используя скрытые аппаратные средства. Известно, что троян разработан для серверов семейства Proliant, которые выпускаются компанией Hewlett-Packard, например, Dell PowerEdge server — это сервер хранения. предназначенный для использования в корпоративных центрах обработки данных.

Троян DEITYBOUNCE основан на изменении BIOS, этот троян применяется для установления связи с инфраструктурой NSA (National Security Agency), используя скрытые аппаратные средства.

Следует отметить тот факт, что основным уязвимым механизмом проникновения троянов, в частности, для сетевого оборудования является BIOS. После специальной операции перепрошивки платформы становится возможным как устанавливать программные закладки 2-го уровня, так и обеспечивать их постоянное присутствие. Наиболее очевидным средством контроля образа BIOS является использование модуля доверенной загрузки. Возможным усилением этого механизма контроля может являться единая подпись удостоверяющего центра на все BIOS, а также обязательное наличие в ПО возможности расчета и отображения контрольных сумм BIOS и ОС.

Отдельно следует отметить системный подход спецслужб США по покрытию целевой инфраструктуры разнообразными закладками.

В этой главе также рассмотрены основные типы аппаратных троянов в компьютерах — в системном блоке, для получения через порт USB. трояны для перехвата и передачи «хозяину» информации вводимой пользователем через клавиатуру, а также основные виды троянских программ, внедряемых в жесткие диски компьютеров.

Так. например, в отдельном разделе главы рассмотрены аппаратные трояны, внедренные в системные блоки компьютеров.

Троян HOWLERMONKEY представляет собой аппаратный радио-модуль. который в совокупности с другими элементами позволяет снимать удаленно данные с вычислительных компонентов, а также осуществлять удаленное управление.

Троян GINSU — это троянская часть комплекса, которая состоит из аппаратного импланта BULLDOZER (устанавливается в разъем PCI) и программной закладки KONGUR. В совокупности позволяет осуществлять удаленный доступ к Windows-системам.

Троян MAESTRO-II — это модуль на интегральных схемах, который может быть легко сконфигурирован для выполнения конкретных специальных задач.

Троян IRATEMONK — представляет собой зловредный код в прошивке накопителей на жестких дисках от следующих производителей: Western Digital, Seagate, Maxtor and Samsung. Он позволяет заменять MBR (Master Boot Record — загрузочная мастер-запись).

Троян SWAP — представляет собой зловредный код в прошивке BIOS, который позволяет удаленно управлять различными ОС (Windows, FreeBSD. Linux, Solaris) и файловыми системами (FAT32, NTFS. ЕХТ2, ЕХТЗ. UFS 1.0) на компьютере пользователя.

Троян WISTFULTOLL — предназначен для проведения атак несанкционированного доступа к данным, используя протокол WMI (Windows Management Instrumentation). Также может быть использован как подключаемый модуль для программ-шпионов UNITEDDRAKE и STRAITBIZZARE.

Троян JUNIORMINT — аппаратный модуль на интегральных схемах, который может быть гибко конфигурирован для различных целей.

Троян SOMBERKNAVE — программный шпион под ОС Windows ХР. который использует не задействованные порты беспроводного подключения. В результате к компьютеру можно удаленно не санкционирование подключаться и управлять им.

Говоря о «клавиатурных шпионах» (кейлоггерах), надо отметить, что к нашему с вами огромному сожалению, существуют разнообразные способы распространения кейлоггеров. но не стоит ждать от клавиатурных шпионов эксцентричных способов распространения. они в целом такие же, как и у других троянов.

Здесь можно выделить лишь следующие наиболее известные методы распространения кейлоггеров (без учета случаев покупки и установки их заботливым другом, супругом/ой и использования кейлоггеров службами безопасности организаций):

• при открытии зараженного файла, присоединенного к электронному письму;

• при запуске файла из каталога, находящегося в общем доступе в peer-to-peer сети;

• с помощью скрипта на веб-страницах, который использует особенности интернет-браузеров, позволяющие программам запускаться автоматически при заходе пользователя на данные страницы;

• с помощью ранее установленной вредоносной программы, которая умеет скачивать и устанавливать в систему себе подобные аналоги.

Также в главе перечислены основные известные нам методики поиска клавиатурных шпионов. Как оказалось, несмотря на всю изощренность клавиатурных шпионов, для их «отлова» (поиска) существуют своп, довольно успешные методики: поиск по сигнатурам, эвристические алгоритмы, мониторинг API-функций, используемых клавиатурными шпионами, отслеживание используемых системой драйверов, процессов и сервисов.

В этом разделе также перечислены основные способы защиты как от программных, так и от аппаратных кейлоггеров.

Надо сказать, что большинство антивирусных компаний сегодня добавляют известные кейлоггеры в свои базы, и метод защиты от них не отличается от метода зашиты от любого другого вредоносного программного обеспечения, а именно: устанавливается антивирусный продукт; поддерживается актуальное состояние баз.

Впрочем, это помогает не всегда, поскольку большинство антивирусных продуктов относит кейлоггеры к классу потенциально опасного программного обеспечения, то прежде всего следует удостовериться. что при настройках по умолчанию используемый антивирусный продукт детектирует наличие программ данного класса. Если это не так. то для их детектирования необходимо выставить подобную настройку вручную. Это позволит реально защититься от большинства широко распространенных кейлоггеров.

Здесь также рассмотрены и основные вопросы методологии безопасности. Так как основной целью использования любых клавиатурных шпионов является получение конфиденциальной информации (номера банковских карт, паролей и т. п.), то разумными методами защиты от них являются следующие:

• использование одноразовых паролей, двухфакторная аутентификация;

• использование систем проактивной защиты;

• использование виртуальных клавиатур;

• использование No-script расширений для браузеров.

Одноразовый пароль действует только один раз, при этом часто ограничивается и период времени, в течение которого им можно воспользоваться. Поэтому, даже если такой пароль и будет перехвачен. злоумышленник уже не сможет воспользоваться им для получения доступа к конфиденциальной информации.

В разделе 6.3 этой главы детально рассмотрены наиболее часто используемые «злоумышленниками» типы программных и аппаратных тронное, предназначенных для внедрения в мобильные телефоны. Детально рассмотрим их типы, особенности, пути внедрения и методы защиты. При описании путей внедрения программных троянов в мобильные телефоны (смартфоны, андроиды) мы привели статистику за 2016 г. известной антивирусной компании Dr.Web. Например, только из Google Play 50 млн пользователей загрузили приложение Touch Pal (с агрессивной рекламой), 3.2 млн - троянец Android. Spy. 277. origin multiple accounts, 2,8 млн — троянец Android Spy. 277. origin и т. д. Наверняка среди этих миллионов пользователей находится и кто-то из наших читателей, хотя, возможно, он об этом даже не знает.