Вопрос 4 Способы совершения преступлений в сфере компьютерной информации

Изготовление контрафактных экземпляров программ конечным пользователем

Существуют две основные разновидности этого вида преступ­лений.

Первая разновидность — приобретение (часто безвоз­мездное) контрафактного экземпляра программы для ЭВМ у законного пользователя и его последующая установка вторым пользователем на всю ПЭВМ. Как правило, это происходит с игровыми программа­ми, текстовыми редакторами, электронными таблицами и другим популярным программным обеспечением.

Вторая разновидность данного вида заключается в превы­шении числа разрешенных правообладателями инсталляций законно при­обретенной программы: одна и та же программа устанавливается на большее число компьютеров, чем разрешено правообладателем. Наи­более часто это нарушение встречается на средних и крупных пред­приятиях, в которых парк компьютеров постоянно растет.

Все способы совершения компьютерных пре­ступлений можно свести к следующим основным группам:

перехват информации;

несанкционированный доступ к средствам компьютерной техники (СКТ);

манипуляция данными и управляющими командами;

комплексные методы.

Перехват информации. К этой группе относятся способы совер­шения преступлений в сфере компьютерной информации, осно­ванные на действиях преступника, направленных на получение данных и машинной информации посредством использования ме­тодов аудиовизуального и электромагнитного перехвата.

Непосредственный (активный) перехват. Осуществляется с по­мощью непосредственного подключения к телекоммуникацион­ному оборудованию компьютера, компьютерной системы или сети, например к линии принтера или телефонному проводу канала свя­зи, используемого для передачи данных и управляющих сигналов компьютерной техники, либо непосредственно через соответству­ющий порт персонального компьютера.

В связи с этим различают:

а) форсированный перехват, представляющий собой перехват сообщений, направляемых рабочим станциям (ЭВМ), имеющим неполадки в оборудовании или каналах связи;

б) перехват символов — выделение из текста, набираемого пользователем на клавиатуре терминала, знаков, не предусмот­ренных стандартным кодом данной ЭВМ;

в) перехват сообщений — несанкционированное подключение специального терминала к линии связи, прием и использование сообщений, циркулирующих между абонентскими пунктами и ЭВМ.

После подключения к каналу связи вся информация записыва­ется на физический носитель или переводится в читаемую форму посредством бытовой или специальной радиоэлектронной аппа­ратуры. При этом программные средства позволяют в реальном времени просматривать передаваемую информацию, выбирая ин­тересующие фрагменты практически незаметно для отправителя и получателя.

Электромагнитный (пассивный) перехват. Не все перехватыва­ющие устройства требуют непосредственного подключения к сис­теме, данные и информация могут быть перехвачены не только в канале связи, но и в помещениях, в которых находятся средства коммуникации, а также на значительном удалении от них. Так, без прямого контакта можно зафиксировать и закрепить на физи­ческий носитель электромагнитное излучение, возникающее при функционировании многих средств компьютерной техники, вклю­чая и средства коммуникации.

Дело в том, что электронно-лучевая трубка, являющаяся цент­ральным элементом компьютерного устройства для видеоотобра­жения информации на экране (дисплее), излучает в окружающее пространство электромагнитные волны, несущие в себе опреде­ленную информацию, данные («электронный смог»). Волны, из­лучаемые этим прибором, примерно так же, как при телевизион­ном вещании, проникают сквозь различные физические преграды с некоторым коэффициентом ослабления, например, через стек­ло оконных проемов и стены строений, а принимать их можно, как показывают данные многочисленных экспериментов, на рас­стоянии до 1000 м. Как только эти сигналы приняты соответствую­щей аппаратурой и переданы на другой компьютер (преступника), можно получить изображение, идентичное изображению, возни­кающему на мониторе «передающего» компьютера, для чего до­статочно настроиться на его конкретную индивидуальную частоту.

Аудиоперехват, или снятие информации по виброакустическому каналу. Данный способ совершения преступления является наибо­лее опасным и довольно распространенным.

Этот способ съема информации имеет две разновидности: заходовую (заносную) и беззаходовую. Первая заключается в ус­тановке прослушивающего устройства в аппаратуру средств об­работки информации, в различные технические устройства, на проводные коммуникационные линии, а также в различные кон­струкции инженерно-технических сооружений и бытовых предме­тов, находящихся на объекте, с целью перехвата разговоров рабо­тающего персонала и звуковых сигналов технических устройств. Вторая — беззаходовая — наиболее опасная. Акустические и виб­рационные датчики съема информации устанавливают на ин­женерно-технические конструкции, находящиеся за пределами охраняемого помещения, из которого необходимо принимать сигналы.

«Уборка мусора». Этот способ совершения преступления заклю­чается в неправомочном использовании преступником отходов информационного процесса, оставленных пользователем после работы. Этот вариант требует просмотра, а иногда и последующего исследования данных, находящихся в памяти компьютера. Он ос­нован на некоторых технологических особенностях функциониро­вания СКТ. Например, последние записанные данные не всегда стираются в оперативной памяти компьютерной системы после завершения работы или же преступник записывает только неболь­шую часть своей информации при законном доступе, а затем счи­тывает предыдущие записи, выбирая нужные ему сведения.

В некоторых случаях преступником могут осуществляться дей­ствия, направленные на восстановление и последующий анализ данных, содержащихся в стертых файлах.

Несанкционированный доступ к СКТ. К этой группе способов совершения преступлений в сфере компьютерной информации от­носятся действия преступников, направленные на получение не­санкционированного доступа к средствам компьютерной техники. К ним относятся следующие.

«За дураком». Этот способ часто используется преступниками для проникновения в запретные зоны — электронные системы. Он заключается в подключении преступником из числа внутренних пользователей компьютерного терминала к каналу связи через ком­муникационную аппаратуру в тот момент времени, когда сотруд­ник, отвечающий за работу средства компьютерной техники, вы­бранной в качестве предмета посягательства, кратковременно по­кидает свое рабочее место, оставляя терминал или персональный компьютер в активном режиме.

«За хвост». Преступник подключается к линии связи законного пользователя (с использованием средств компьютерной связи) и терпеливо дожидается сигнала, обозначающего конец работы, пе­рехватывает его «на себя», а потом, когда законный пользователь заканчивает активный режим, осуществляет доступ к системе.

«Компьютерный абордаж». Данный способ совершения преступ­ления в сфере компьютерной информации осуществляется пре­ступником путем случайного подбора (или заранее добытого) або­нентного номера компьютерной системы потерпевшей стороны с использованием, например, обычного телефонного аппарата. После успешного соединения с вызываемым абонентом и появления в головном телефоне преступника специфического позывного сиг­нала, свидетельствующего о наличии модемного входа/выхода на вызываемом абонентном номере, преступником осуществляется механическое подключение собственного модема и персонального компьютера к каналу телефонной связи. После чего преступником производится подбор кода доступа к компьютерной системе жерт­вы (если таковой вообще имеется) или используется заранее до­бытый код.

Стоит обратить внимание на то, что существует множество про- грамм-«взломщиков». Эти программы работают по принципу про­стого перебора символов, которые возможно ввести через клавиа­туру персонального компьютера.

По существу, «компьютерный абордаж» является подготовитель­ной стадией преступления в сфере компьютерной информации.

«Неспешный выбор». Отличительной особенностью данного спо­соба совершения преступления является то, что преступник осу­ществляет несанкционированный доступ к компьютерной системе путем нахождения слабых мест в ее защите. Однажды обнаружив их, он может не спеша исследовать содержащуюся в системе инфор­мацию, скопировать ее на свой физический носитель и, возвра­щаясь к ней много раз, выбрать наиболее оптимальный предмет посягательства. Обычно такой способ используется преступником в отношении тех, кто не уделяет должного внимания регламенту проверки своей системы, предусмотренному методикой защиты компьютерной системы.

«Брешь». В отличие от «неспешного выбора», когда производит­ся поиск уязвимых мест в защите компьютерной системы, при данном способе преступником осуществляется их конкретизация: определяются участки, имеющие ошибки или неудачную логику программного построения. Выявленные таким образом «бреши» могут использоваться преступником многократно, пока не будут обнаружены. Последнее возможно лишь высококвалифицирован­ным программистом или лицом, непосредственно разработавшим данную программу.

«Люк». Данный способ является логическим продолжением предыдущего. В этом случае в найденной «бреши» программа «раз­рывается» и туда преступник дополнительно вводит одну или не­сколько команд. Такой «люк» открывается по мере необходимости, а включенные команды автоматически выполняются. При совер­шении компьютерного преступления данным способом следует обратить внимание на то, что преступником всегда осуществляет­ся предметная модификация (изменение) определенных средств компьютерной техники.

«Маскарад». Преступник проникает в компьютерную систему, выдавая себя за законного пользователя. Самый простейший путь к проникновению в такие системы — получить коды и другие иден­тифицирующие шифры законных пользователей.

«Мистификация». Иногда по аналогии с ошибочными телефон­ными звонками случается так, что пользователь с терминала или персонального компьютера подключается к чьей-либо системе, будучи абсолютно уверенным в том, что он работает с нужным ему абонентом.

Этим фактом и пользуется преступник, формируя правдопо­добные ответы на запросы владельца информационной системы, к которой произошло фактическое подключение, и поддерживая это заблуждение в течение некоторого периода времени, получая при этом требуемую информацию, например коды доступа или отклик на пароль.

«Аварийный». В этом способе преступником используется тот факт, что в любом компьютерном центре имеется особая програм­ма, применяемая как системный инструмент в случае возникнове­ния сбоев или других отклонений в работе ЭВМ (аварийный или контрольный отладчик). Принцип работы данной программы за­ключается в том, что она позволяет достаточно быстро обойти все имеющиеся средства защиты информации и компьютерной систе­мы с целью получения аварийного доступа к наиболее ценным данным. Такие программы являются универсальным «ключом» в руках преступника.

«Склад без стен». Несанкционированный доступ к компьютер­ной системе в этом случае осуществляется преступником путем использования системной поломки, в результате которой возни­кает частичное или полное нарушение нормального режима функ­ционирования систем защиты данных. Например, если нарушает­ся система иерархичного либо категорийного доступа к информа­ции, у преступника появляется возможность получить доступ к той категории информации, в получении которой ему ранее было отказано.

Манипуляция данными и управляющими командами. К этой группе способов совершения преступлений в сфере компьютерной ин­формации относятся действия преступников, связанные с исполь­зованием методов манипуляции данными и управляющими ко­мандами средств компьютерной техники.

Рассмотрим наиболее широко используемые преступниками способы совершения преступлений.

Подмена данных — наиболее простой и поэтому очень часто применяемый способ совершения преступления. Действия преступ­ников в данном случае направлены на изменение или введение новых данных, которое осуществляется, как правило, при вводе-выводе информации.

В частности, данный способ совершения преступления приме­няется для приписывания счету «чужой» истории, т.е. модифика­ции данных в автоматизированной системе банковских операций, приводящей к появлению в системе сумм, которые реально на данный счет не зачислялись.

Подмена кода. Это частный вариант способа подмены данных. Он заключается в изменении кода данных, например, бухгалтер­ского учета.

«Троянский конь». Данный способ заключается в тайном вве­дении в чужое программное обеспечение специально созданных программ, которые, попадая в информационно-вычислительные системы (обычно выдавая себя за известные сервисные програм­мы), начинают выполнять новые, не планировавшиеся законным владельцем принимающей «троянского коня» программы, с одно­временным сохранением прежней ее работоспособности. По суще­ству, «троянский конь» — это модернизация способа «люк» с той лишь разницей, что он открывается не при помощи непосредственных действий самого преступника («вручную»), а автоматически — с использованием специально под­готовленной для этих целей программы без дальнейшего непосред­ственного участия самого преступника.

«Троянская матрешка». Является разновидностью «троянского коня». Особенность этого способа заключается в том, что во фраг­мент программы потерпевшей стороны вставляются не команды, собственно выполняющие незаконные операции, а команды, фор­мирующие эти команды, и после выполнения своей функции, т. е. когда уже будет автоматически на программном уровне создан «тро­янский конь», самоуничтожающиеся. Иначе говоря, это программные модули-фрагменты, которые создают «троянского коня» и самоликвидируются на программном уровне по окончании испол­нения своей задачи.

«Троянский червь». Еще одна разновидность способа «троянский конь». Данный способ совершения преступления характеризуется тем, что в алгоритм работы программы, используемой в качестве орудия совершения преступления, наряду с ее основными функ­циями, уже рассмотренными нами выше, закладывается алгоритм действий, осуществляющих саморазмножение, программное ав­томатическое воспроизводство «троянского коня». «Программы- черви» автоматически копируют себя в памяти одного или несколь­ких компьютеров (при наличии компьютерной сети) независимо от других программ. При этом используется тактика компьютер­ных вирусов, которые будут рассмотрены далее.

«Салями». Также разновидность «троянского коня». Этот способ совершения преступления стал возможным лишь благодаря ис­пользованию компьютерной технологии в бухгалтерских операци­ях. Он основан на методике проведения операций перебрасывания на подставной счет мелочи — результата округления, которая на профессиональном бухгалтерском языке называется «салями». Пре­ступный расчет в этом случае построен на том, что ЭВМ в секунду совершает миллионы операций, в то время как высококвалифи­цированный бухгалтер за целый день может выполнить лишь до двух тысяч таких операций. Отчисляемые суммы столь малы, что их потери практически незаметны, а незаконное накопление суммы на подставном счете осуществляется благодаря совершению боль­шого количества операций.

«Логическая бомба». Иногда из тактических соображений хище­ния удобнее всего совершать при стечении каких-либо обстоя­тельств, которые обязательно должны наступить. В этих случаях преступниками используется рассматриваемый способ соверше­ния преступления, основанный на тайном внесении изменений в программу набора команд потерпевшей стороны, которые долж­ны сработать (или срабатывать каждый раз) при наступлении оп­ределенных обстоятельств через какое-либо время. Далее включа­ется алгоритм программ «троянского коня».

«Временная бомба». Является разновидностью «логической бом­бы», которая срабатывает по достижении определенного момента времени.

Компьютерные вирусы. С программно-технической точки зре­ния под компьютерным вирусом понимается специальная програм­ма, способная самопроизвольно присоединяться к другим про­граммам («заражать» их) и при запуске последних выполнять раз­личные нежелательные действия: порчу файлов и каталогов (при файловой организации программной среды), искажение и стира­ние (уничтожение) данных и информации, переполнение машин­ной памяти и создание помех в работе ЭВМ.

В самом общем виде этот способ совершения преступлений в сфере компьютерной информации является не чем иным, как ло­гической модернизацией способа «троянский конь», выполняю­щего алгоритм, например, типа «сотри все данные этой програм­мы, перейди в следующую и сделай то же самое».

Для маскировки вируса действия по заражению других программ и нанесению вреда могут выполняться не всегда, а, скажем, при выполнении определенных условий. После того как вирус выпол­нит нужные ему действия, он передает управление той програм­ме, в которой он находится, и она работает так же, как обычно. Поэтому внешне работа зараженной программы выглядит так же, как и незараженной.

Многие разновидности вирусов устроены таким образом, что при запуске зараженной программы вирус остается в памяти ком­пьютера резидентно, т.е. до перезагрузки DOS, и время от време­ни заражает программы и выполняет на компьютере несанкцио­нированные действия.

Количество вирусов постоянно увеличивается. Их можно разбить на несколько групп:

загрузочные (системные) вирусы (поражающие загрузочные секторы машинной памяти);

файловые вирусы (поражающие исполняемые файлы и не­которые другие);

комбинированные вирусы.

Чтобы предотвратить обнаружение, некоторые вирусы приме­няют довольно хитрые приемы маскировки. Самые распространен­ные — «невидимые» и самомодифицирующиеся вирусы.

«Невидимые» вирусы. Многие резидентные вирусы (и файловые, и загрузочные) предотвращают свое обнаружение тем, что пере­хватывают обращения DOS (и тем самым прикладных программ) к зараженным файлам и областям диска и выдают их в исходном (незараженном) виде. Разумеется, этот эффект наблюдается только на зараженном компьютере: на «чистом» компьютере изменения в файлах и загрузочных областях диска можно легко обнаружить.

Самомодифицирующиеся вирусы. Другой способ, применяемый вирусами для того, чтобы укрыться от обнаружения, — модифи­кация своего тела. Многие вирусы хранят большую часть своего тела в закодированном виде, чтобы с помощью дизассемблеров нельзя было разобраться в механизме их работы. Самомодифици­рующиеся вирусы используют этот прием и часто меняют пара­метры кодировки, а кроме того, изменяют и свою стартовую часть, которая служит для раскодировки остальных команд вируса. Таким образом, в теле подобного вируса не имеется ни одной постоян­ной цепочки байтов, по которой можно было бы идентифициро­вать вирус. Это, естественно, затрудняет нахождение таких виру­сов программами-детекторами.

Признаки появления вируса в ПЭВМ. Все действия вируса могут выполняться достаточно быстро и без выдачи каких-либо сообще­ний, поэтому пользователю очень трудно заметить, что в компью­тере происходит что-то необычное.

Пока в компьютере заражено относительно мало программ, наличие вируса может быть практически незаметно. Однако по прошествии некоторого времени в компьютере происходит следующее:

некоторые программы перестают работать или начинают ра­ботать неправильно;

на экран выводятся посторонние сообщения, символы и т.д.;

работа на компьютере существенно замедляется;

некоторые файлы оказываются испорченными и т. д.

К этому моменту, как правило, уже достаточно много (или даже большинство) программ являются зараженными вирусом, а неко­торые файлы и диски — испорченными. Зараженные программы с одного компьютера могли быть перенесены с помощью дискет или по локальной сети на другие компьютеры.

Некоторые виды вирусов ведут себя еще более коварно. Они вначале незаметно заражают большое число программ или дис­ков, а потом причиняют очень серьезные повреждения, например форматируют весь жесткий диск в компьютере. Существуют и ви­русы, которые стараются вести себя как можно более незаметно, но понемногу и постепенно портят данные на жестком диске ком­пьютера.

«Асинхронная атака». Такой способ совершения преступления очень сложен и требует хорошего знания операционной системы.

Операционная система — это комплекс программных средств, обес­печивающих управление информационными процессами при функ­ционировании компьютерной системы. Столь сложный программный продукт практически ни при каких условиях невозможно проверить на предмет достоверности работы и логической завершенности. Иначе говоря, особенности функционирования операционной системы при всех условиях остаются неизвестными. Этим и пользу­ются преступники при организации «асинхронных атак».

Используя асинхронную природу функционирования операци­онной системы, преступник заставляет последнюю работать при ложных условиях, из-за чего управление обработкой информации частично или полностью нарушается. Если преступник, соверша­ющий «асинхронную атаку», достаточно искусен, то он может использовать данную ситуацию, чтобы внести изменения в опера­ционную систему или направить ее функционирование на выполне­ние своих корыстных целей, причем вне операционной системы эти изменения не будут заметны.

Моделирование. Для совершения преступлений в сфере компью­терной информации все более характерным становится использо­вание преступником способа компьютерного моделирования по­ведения устройства или системы с помощью программного обес­печения. Моделируются как те процессы, в которые преступники хотят вмешаться, так и планируемые способы совершения пре­ступления. Например, в последнее время преступниками с целью ухода от налогообложения все чаще начинает использоваться так называемая «черная», или «двойная», бухгалтерия, основанная на существовании двух одновременно работающих программ автома­тизированного бухгалтерского учета с взаимопересекающимися контрольными данными. В данном случае одна из них функциони­рует в легальном режиме, а другая — в нелегальном для проведе­ния незаконных теневых бухгалтерских операций. Иногда одновре­менно с этими программами существует и третья, которая ис­пользуется только одним лицом, входящим в состав преступных групп и сообществ, выполняющим роль бухгалтера по ведению общественной кассы преступной группировки.

Реверсивная модель. Разновидность способа моделирования. За­ключается в следующем: создается модель конкретной системы, на которую планируется совершить нападение. В нее вводятся ре­альные исходные данные и учитываются планируемые действия. Затем, исходя из полученных данных, подбираются максимально приближенные к действительности желаемые результаты. После чего модель совершения преступных действий «прогоняется» назад, к исходной точке, и преступнику становится ясно, какие манипу­ляции с входными-выходными данными нужно совершить, чтобы достичь желаемого корыстного результата. Обычно «прокручива­ние» модели вперед-назад осуществляется преступником много­

кратно, чтобы выявить возникающие ошибки и просчеты в меха­низме планируемых преступных действий. Таким образом, осуще­ствляется оптимизация действий при проведении криминальных «операций» и минимизируется возможный при этом риск их «про­вала».

«Воздушный змей». Механизм совершения хищения денежных средств заключается в следующем. В двух или нескольких банках открываются счета на некоторые несуществующие суммы. Далее деньги переводятся из одного банка в другой и обратно с посте­пенным увеличением сумм. До того как в банке обнаружится, что поручение о переводе не обеспечено необходимой суммой, при­ходит извещение в данный банк о том, что общая сумма покрыва­ет требование о первом переводе. Этот цикл многократно повторя­ется («воздушный змей» поднимается все выше и выше) до тех пор, пока на нужном счете не оказывается достаточная сумма де­нег (фактически она постоянно «перескакивает» с одного счета на другой, как бы «парит в воздухе», постоянно увеличиваясь в раз­мерах). При достижении определенной величины деньги опера­тивно снимаются с закрытием счетов и впоследствии отмываются (легализуются). Обычно, как показывает практика, в подобные преступные операции преступниками включается большое число банков.

«Ловушка на живца» («подсадная утка»). Еще одна разновид­ность способа моделирования. Заключается в том, что преступни­ком создается специальная программа, которая затем записывается на физический носитель и под любым предлогом вручается или подкидывается потерпевшей стороне с расчетом на то, что ее по каким-либо причинам заинтересует данная программа и она по­старается ознакомиться с ней. Алгоритм программы построен та­ким образом, что при ее работе в определенный момент времени автоматически моделируется системная поломка компьютерной системы, на которой был запущен данный программный продукт с целью проверки его качества и работоспособности. После чего указанная программа записывает данные и информацию, которые могут заинтересовать преступника. После того как программа вы­полнила заданные ей функции, она изымается у потерпевшей сто­роны с использованием различных способов.

Копирование (тиражирование). Этот способ совершения преступ­ления заключается в действиях преступника, направленных на незаконное копирование (тиражирование) программных средств компьютерной техники, а также типологий интегральных микро­схем. Копирование осуществляется преступником посредством вос­произведения данных с сохранением исходной информации на любом материальном носителе.

Существуют две разновидности применения преступником ука­занного способа. В первом случае копирование осуществляется посредством законного (санкционированного) доступа к средствам компьютерной техники, во втором — посредством несанкциони­рованного доступа с использованием способов, рассмотренных нами выше. В последнем случае будет иметь место применение ком­плексного метода совершения преступления (совокупность двух и более способов совершения преступления), которые будут рассмот­рены нами в следующей, четвертой группе.

Преодоление программных средств защиты. Этот способ являет­ся вспомогательным и предназначен для подготовки совершения компьютерного преступления способами, рассмотренными нами выше. Он заключается в действиях преступника, направленных на умышленное преодоление программных средств защиты компью­терной техники и имеет несколько разновидностей.

Незаконное создание копии ключевой дискеты. Осуществляется преступником путем электромагнитного переноса всей структуры и информации, расположенных на ключевой дискете-оригинале, защищенной от копирования программными средствами, на дис- кету-копию, в результате чего аутентификационная часть системы защиты воспринимает копию ключевой дискеты как оригинал.

Модификация кода системы защиты. Заключается в модифика­ции (изменении) кода модуля системы защиты, выполняющего следующие функции: 1) проверку ключевой дискеты; 2) коррек­тировку счетчика установок на жесткий магнитный диск (винчес­тер), защищенного от копирования программного средства с клю­чевой дискеты; 3) проверку санкционированное™ запуска защи­щенного информационного ресурса.

Обычно модификация сводится к простому обходу кода моду­ля, выполняющего перечисленные выше функции. В некоторых случаях модуль подвергается существенным изменениям, позволя­ющим обойти проверки систем защиты. Основная задача заключа­ется в определении логики работы модуля. Последующее же внесе­ние изменений в него остается «делом техники» и не представляет особого труда для преступника, разгадавшего логику построения защиты.

Моделирование обращений к ключевой дискете. Многие про­граммные средства защиты информации логически используют не прямую, как это принято, работу с контроллером, а средства си­стемы BIOS — прерывание 13h. Этим и пользуются преступники, программно моделируя результат обращения ЭВМ к ключевой дискете путем перехвата прерывания 13h.

Использование механизма установки/снятия программных средств защиты информации. Некоторые программные средства защиты используют при их установке на винчестер привязку к фи­зическому расположению файла на диске. Одновременно с этим в алгоритм работы этих средств включаются функции, обеспечива­ющие их снятие с винчестера с одновременным восстановлением исходного состояния счетчика установок, так как защищенные программные средства нельзя перемещать путем использования стандартных средств сохранения/восстановления файлов. Исполь­зовав же функцию снятия защищенной программы с винчестера, можно тем самым получить возможность незаконного тиражиро­вания защищенных программных продуктов в корыстных целях. Для этого преступником осуществляется следующий алгоритм действий: 1) получается санкционированный или несанкциони­рованный доступ к защищенному программному средству, распо­ложенному на винчестере; 2) анализируется структура размеще­ния и содержание всех файлов, созданных на винчестере программ­ной установки; 3) выполняется копирование защищенной про­граммы с винчестера (при этом восстанавливается исходный счет­чик установок); 4) восстанавливаются сохраненное состояние си­стемы и ее содержимое. В результате всех этих действий получается ключевая дискета с исходным счетчиком установок и нелегальная копия программного продукта на винчестере.

Снятие системы защиты из памяти ЭВМ. Данный способ за­ключается в следующем. Система защиты через определенное время автоматически загружает в память ЭВМ защищаемое программное средство, расшифровывает его и передает управление расшифро­ванному коду. В этот момент в оперативной памяти компьютерной системы находится полностью расшифрованная программа и для получения несанкционированной копии остается только сохранить ее в каком-либо файле. Этим и пользуются преступники.

Рассмотренные способы совершения преступлений в сфере компьютерной информации, относящиеся к подгруппе «Преодоление программных средств защиты», являются переход­ными между первыми тремя группами способов и четвертой.

Комплексные методы. К этой группе способов совершения пре­ступлений в сфере компьютерной информации относятся комп­лексные методы, под которыми понимаются использование пре­ступником двух и более способов, а также их различных комбина­ций при совершении преступления. Эти способы были подробно рассмотрены в первых трех группах. Некоторые из них оказывают­ся вспомогательными, работающими на основной способ, вы­бранный преступником в качестве центрального, исходя из конк­ретной преступной цели и ситуации.

Дата добавления: 2014-01-04