Сокрытие процессов

В предыдущей главе мы указывали, что для создания потайного хода в систему хакеры часто используют манипуляции, связанные с недостатками процесса за­грузки систем Windows. Они оставляют свои файлы в папке автозагрузки взло­манной системы, после чего при входе пользователя в систему автоматически загружаются хакерские программы. Папка автозагрузки Windows 2000/XP нахо­дится в разделе Documents and Settings\User\Start Menu\Programs\Startup и доступна для всех зарегистрированных в системе пользователей. Так что, заменив имя исполняемого файла хакерской программы каким-либо нейтральным именем, можно надеяться, что невнимательный пользователь не заметит в спи­ске исполняемых процессов хакерскую программу.

Следует также учесть, что в диалоге Диспетчера задач Windows отображаются отнюдь не все процессы, исполняемые компьютером в текущий момент време­ни, и для обнаружения таких процессов следует прибегнуть к специальным средствам, например, программе выявления троянских коней The Cleaner (http://www.moosoft.com).

Наиболее изощренный метод сокрытия состоит в применении комплектов хакерских программ -«руткитов» - встраиваемых в ядро системы взамен подлинных.

Руткиты

Вообще говоря, «руткиты» - это широко распространенный метод хакинга сис­тем UNIX. Наборы программ, также называемых «отмычками», после уста­новки в ядро системы модифицирую функции таких интересных процедур, как входная регистрация пользователей, после чего начинают перехват вводимых паролей. Полноценные «руткиты» включают в себя функции кейлоггера, снифера, средства для очистки журналов регистрации и передачи собранных данных по сети, что позволяет хакеру осуществлять полномасштабный хакинг системы.

Для систем Windows NT/2000/XP также активно ведется разработка подобных наборов отмычек, и на сайте ROOTKIT СОМ (http://www.rootkit.com) предлага­ется для всеобщего рассмотрения и апробации целый ворох разнообразных «руткитов». Входящие в «руткиты» программы функционируют как перехват­чики обращений программ к функциям ядра операционной системы, что позво­ляет «руткитам» скрывать процессы и ключи системного реестра, перенаправ­лять вызовы системных процедур на хакерские программы и т.д.

В связи с этим очень интересен проект NTKap, в рамках которого создается про­грамма, очищающая все списки ACL системы защиты (помните, мы говорили об этом в Главе 4), делая компьютер открытым для любых манипуляций. Однако, судя по сообщениям на форумах этого же сайта, до полного успеха в деле созда­ния настоящего, полноценного «руткита» систем Windows NT/2000/XP пока еще далеко. Поэтому всем желающим проверить свои силы на сайте ROOTKIT COM предлагается загрузить исходные коды программного обеспечения «руткитов» и поработать над его усовершенствованием.

Дата добавления: 2014-01-07