(наиболее излюбленное место троянов; NB: данная ветвь — не единственная, где могут сидеть трояны, поэтому не помешает заглянуть еще и сюда:
HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\Run;
HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Run;
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce)
HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce;
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
При обнаружении записи непрошенного гостя удаляем эту запись. Далее необходимо убить процесс, принадлежащий «чужому», для чего очень полезно «знать своих в лицо»: Explorer, Lsass, Services, System, Winlogon, Alg, Vsmon, Ctfmon, Svchost, Csrss, Smss. Естественно, что помимо перечисленных, в диспетчере задач можно обнаружить и другие, «мирные», процессы — те, которые принадлежат запущенным и резидентно выполняющимся приложениям. Это, например, kavsvc, принадлежащий антивирусу Касперского, zonealarm, принадлежащий брандмауэру, и т. д. Особое внимание следует обратить на так называемые процессы-маскировщики, имитирующие истинные: explore, sys, svshost, winlogin, systrey и т. д. При невозможности остановки «злопроцесса» средствами диспетчера задач можно воспользоваться утилитой Process Explorer и ей подобными. Кстати, вышеприведенная утилита окажется весьма и весьма полезной и «в мирное время», т. к. с ее помощью можно завершить даже те процессы, которые штатными средствами не завершишь;).
«Контрольный выстрел» — именно так можно назвать заключительную часть нашего ритуала: необходимо найти и уничтожить тело. А вот тут-то и самое время вспомнить про старый добрый ревизор, который, в отличие от полифагов, в свежих базах не нуждается. В качестве примера более чем уместно привести программу-ревизор Adinf. Принцип работы Adinf основан на сохранении в специальной базе основных данных о каждом логическом диске в системе. При первом запуске в таблицах запоминаются объем оперативной памяти, образы главного загрузочного сектора, загрузочных секторов, список сбойных кластеров, структура дерева каталогов, длины и контрольные суммы файлов. Когда вирус/троян заражает компьютер, он изменяет объект, в который внедряется исполняемый файл, главный загрузочный сектор, FAT-таблицу. Если ревизор обнаруживает на диске изменения, характерные для действия вируса/трояна, он предупреждает об этом пользователя. Важным отличием ADinf от других существующих программ-ревизоров является доступ к дискам без использования функций операционной системы. Такой метод доступа к дискам позволяет успешно обнаруживать стелс- вирусы (вирусы-невидимки). При условии, что был сделан снимок чистой системы, найти и стереть «лишний» файл не составит особого труда.
Не исключено, что при проведении «ритуала» могут возникнуть нештатные ситуации: файл может активно использоваться системой, и все попытки его удалить успехом не увенчаются. Есть ли выход? Конечно же, есть! Все, что нам надо — это удалить тело из-под другой системы — например, загрузившись из-под Linux LiveCD.
Ну что ж, вот, пожалуй, и все. Перезагрузка системы, после чего последний штрих — проверка открытых портов командой netstat — an. Результат команды — список открытых портов
При обнаружении подозрительного порта… процедуру изгнания повторить…
Пароли в Интернет — взгляд изнутри
Автор: Lesnoy_chelovek
Источник: http://bugtraq.ru/
Уже множество статей, книг и докладов было посвящено теме безопасности работы в Интернете. Но я решил пойти дальше и показать, что на самом деле может сделать рядовой хакер, обладающий начальными знаниями по взлому. Итак, начнем.
Вы, как и рядовой пользователь сети, любите посидеть в чатах и на форумах. При этом вы не задумываетесь о том, что это может быть опасно. Допустим, вы нашли просто замечательный форум, где есть все, что вам нужно, и вы решили зарегистрироваться на нем. Что ж, это похвально, но есть одно и существенное «но». Когда вы проходите процесс регистрации, то вам необходимо указать ваш почтовый ящик, чтобы вам прислали пароль либо ссылку для активации вашей учетной записи на этом форуме. И что же вы делаете? Не задумываясь, вы спокойно вбиваете существующий адрес электронной почты. Через некоторое время вам приходит письмо, что вы успешно зарегистрировались, что команда разработчиков форума рада вас приветствовать и уверения в том, что ваша информация никуда не пропадет.
Меня в последнее время очень удивляет беспечность создателей форумов и чатов, поскольку они все в один голос утверждают, что их продукт полностью защищен от всяких посягательств злобных хакеров. Так и хочется спросить у них: "Ребята, вы хоть иногда посещаете сайты по электронной безопасности, где уже давно лежат программы для взлома вашего форума/чата?" Итак, что мы имеем? Форум, на котором вы зарегистрировались, и клятвенное заверение разработчиков, что он полностью защищен. А что имеет хакер? Статьи о PHP и SQL и их уязвимостях; а ведь именно с помощью PHP пишется большинство форумов, а SQL используется для создания баз данных, в которых хранится вся информация, которую вы указали при регистрации на форуме. В последнее время стали распространены форумы phpBB и MyBB, и хотя эти форумы создают не новички, а целые группы разработчиков, не проходит и недели, как появляется новая информация об ошибках в исходном коде. Соответственно, хакер проводит взлом форума, о чем его владелец даже не подозревает. Особенно часто взламываются форумы, находящиеся на недавно созданных сайтах. Поскольку создатели этих сайтов зачастую люди неопытные, но уже пытающиеся прыгнуть выше своей головы, то они сразу ставят всяческие форумы, доски объявлений, гостевые книги и т. п. Зачастую эти форумы не настроены должным образом, что облегчает задачу хакера при их взломе. Характерными ошибками таких сайтов является возможность ввести в поля "имя пользователя" и «пароль» строку «admin», и мы тут же перехватываем управление форумом и делаем с ним, все что захочется. Хорошо, если хакер попался добрый и он просто поменял вид форума, но бывают хакеры любопытные, они как раз похищают базу данных, в которой хранится информация о пользователях — имя пользователя, пароль и e-mail.
Давайте на время отойдем от темы статьи и вспомним, а что же хранится в почтовом ящике? Ну, во-первых, личная переписка. Я думаю, никому не приятно, когда читают его письма. Во-вторых, пароли от некоторых сервисов, т. е. тех же форумах, ICQ и т. д. В-третьих, СПАМ. Я так думаю, СПАМ хакерам не интересен, а вот личная переписка, а тем более пароли, точно должны их заинтересовать. Так что же происходит?
Хакер знает ваш e-mail и, соответственно, может захотеть его взломать. "Ну и пусть, у меня суперпароль" — скажете вы. Позвольте вам возразить, существует множество способов не просто взломать, а обойти пароль. Самый простой из них — воспользоваться существующей опцией "Восстановление пароля через секретный вопрос", такая опция предоставляется крупными почтовыми сервисами, такими как Mail.ru и Yandex.Почта. Как правило, пользователь в строку "Ответ на секретный вопрос" пишет первое, что приходит на ум. Соответственно, и хакер вполне может разгадать ваш ответ. Самый простой пример: Вопрос — Мое любимое блюдо; Самый распространенный ответ — пельмени. Или многие любят сочетания — 111, qwerty, admin и, конечно же, hacker.
Даже если хакер не захочет отвечать на ваш секретный вопрос, он просто может воспользоваться специальной программой для перебора паролей, благо в сети их множество. Работать с подобной программой очень просто — указываем адрес почтовика, имя пользователя или адрес ящика, указываем способ поиска пароля — вуаля и через некоторое время пароль у нас на блюдечке. Самая известная программа для перебора паролей — это DukeNN Mail Bruter 3.03, который позволяет подобрать пароль для таких сервисов, как Mail.ru, Yandex, Rambler, Yahoo, Inbox.ru и т. д. При этом программа может перебрать пароль множеством способов. А сама процедура редко занимает больше часа.