Клавиатурные шпионы

Клавиатурные шпионы это одна из наиболее распространенных разновидностей программных закладок. Такие программные закладки нацелены на перехват паролей пользователей операционной системы, а также на определение их легальных полномочий и прав доступа к компьютерным ресурсам.

Типовой клавиатурный шпион обманным путем завладевает пользовательскими паролями, а затем переписывает эти пароли туда, откуда их без труда может извлечь злоумышленник. Различия между клавиатурными шпионами касаются только способа, который применяется ими для перехвата пользовательских паролей. Соответственно все клавиатурные шпионы делятся на три типа - имитаторы, фильтры и заместители.

Имитаторы. Клавиатурные шпионы этого типа работают по следующему алгоритму. Злоумышленник внедряет в операционную систему программный модуль, который имитирует приглашение пользователю зарегистрироваться для того, чтобы войти в систему. Затем внедренный модуль (имитатор) переходит в режим ожидания ввода пользовательского идентификатора и пароля. После того как пользователь идентифицирует себя и введет свой пароль, имитатор сохраняет эти данные там, где они доступны злоумышленнику. Далее имитатор инициирует выход из системы (что в большинстве случаев можно сделать программным путем), и в результате перед глазами у ничего не подозревающего пользователя появляется еще одно, но уже настоящее приглашение для входа в систему. Некоторые имитаторы для убедительности выдают на экран правдоподобное сообщение о якобы совершенной пользователем ошибке. Например, такое «Неверный пароль. Попробуйте еще раз».

Фильтры «охотятся» за всеми данными, которые пользователь операционной системы вводит с клавиатуры компьютера. Фильтры являются резидентными программами, перехватывающими одно или несколько прерываний, которые связаны с обработкой сигналов от клавиатуры. Эти прерывания возвращают информацию о нажатой клавише и введенном символе, которая анализируется фильтром на предмет выявления данных имеющих отношение к паролю пользователя.

Самые элементарные фильтры просто сбрасывают перехваченный клавиатурный ввод на жесткий диск или в какое-то другое место, к которому имеет доступ злоумышленник, более изощренные подвергают перехваченные данные анализу и отфильтровывают информацию, имеющую отношение только к пользовательским паролям.

Заместители полностью или частично подменяют собой программные модули операционной системы, отвечающие за аутентификацию пользователей. Подобного рода клавиатурные шпионы могут быть созданы для работы в среде практически любой многопользовательской операционной системы.

Поскольку заместители берут на себя выполнение функций подсистемы аутентификации, перед тем как приступить к перехвату пользовательских паролей они должны выполнить следующие действия:

- подобно компьютерному вирусу внедриться в один или несколько системных файлов;

- использовать интерфейсные связи между программными модулями системы аутентификации для встраивания себя в цепочку обработки введенного пользователем пароля.

Как только заместитель попал в компьютерную систему, любые меры защиты от внедрения программных закладок перестают быть адекватными. Машинный код заместителя выполняется в контексте операционной системы, и поэтому заместитель может принимать особые меры, чтобы максимально затруднить собственное обнаружение. Например, он может перехватывать системные вызовы, используемые администратором для выявления программных закладок, с целью подмены возвращаемой ими информации. Или фильтровать сообщения, регистрируемые системой аудита, чтобы отсеивать те, которые свидетельствуют о его присутствии в компьютере.

Дата добавления: 2014-01-11