Что такое win r00tkits и что с ними делать

Xakep, номер #049, стр. 049-064-5

C:\>bdcli051.exe 169.254.173.210 23 PaSSwoRd

connecting server...

receiving banner...

opening backdoor...

backdoor found

checking backdoor .....

backdoor ready

authorization sent, waiting for reply

authorization - FAILED!

Bad password!

И если бэкдора нет, то увидишь что-то вроде: backdoor is not installed on 169.254.173.210:1025. Некоторое дополнение по поводу бэкдора: он будет работать при условии, что на определенном сервисе входящий буфер будет больше или равен 256 битам. Как мы уже выяснили, это Telnet, а также Apache (for Win32), IIS, Oracle, etc. Кроме того, Web-сервер не будет логировать команды, а FTP- и SMTP-сервисы только записывают дисконнект в лог-файл. Но от себя хочу заметить, что через netstat атакующий очень легко вычисляется, и еще - если журнал безопасности логирует успешные входы (такое редко бывает из-за "засорения" логов), то можно увидеть записи входа System со странным процессом "Temp\~ ъ@ѕ.exe". Думаю, эти баги будет устранены в следующей версии. Естественно, радует еще то, что программа фриверная (в принципе, это вполне естественно, не хватало еще платных руткитов), но исходники, увы, пока закрыты. Хотя весь проект планирует перейти на open source с версии 1.0. Существуют еще много не менее интересных средств вроде: NullSys, Hook4Windows, Pepper, Rootkit_IDA, NTKap, NTRooT. Но большая часть из них находится в активной разработке и, естественно, пока не рекомендуется их использовать на взломанных машинах, так как это может привести к непредсказуемым результатам (от аварийной перезагрузки до полного краха системы, что с большой вероятностью и произойдет).

fucking LaW

Естественно, не стоит даже упоминать, что использование руткитов незаконно. Проблема заключается в другом – в опасности написания подобных программ. Давай вспомним арест автора TorNKit. В нашем идиотском УК РФ это 273 статья - "Создание и распространение вредоносных программ для ЭВМ" - до 3 лет со штрафом от 200 до 500 минимальных окладов. А если еще с тяжкими последствиями (например, ты по неосторожности запорол руткитом всю систему, ведь на данном этапе эволюции nt/2k rootkits это вполне реально), и, естественно, компания (якобы или реально) понесла убытки и еще вправе потребовать компенсацию ущерба. А вообще наш УК в плане сетевого терроризма (как это модно сейчас говорить) очень туп. Посуди сам, новый (и не очень богатый) юзер интернета вдруг натыкается на статью сайта superhackers.narod.ru о троянах, естественно, скачивает несколько версий и посылает кому только можно... Через некоторое время по жалобам пользователей (из-за этого все обычно и происходит) юзера вычисляет наше неподкупное Управление Р. "Официально", так сказать (то есть по кодексу), выходит две уголовные статьи - вышеуказанная 273 (до трех лет + штраф) и еще 272 (до двух лет + штраф): "неправомерный доступ к компьютерной информации" (то есть получение паролей, список посещаемых сайтов и т.д.). Естественно, в реале все складывается несколько иначе, обычно отделываются предупреждением (если совсем малолетки) или штрафом. Для тех же, кто постарше, ситуация непредсказуема. Небольшое, но, на мой взгляд, важное дополнение - помни, что если провайдер государственный, то при жалобах он ОБЯЗАН обратиться в правоохранительные органы. Если же частник, то вполне реальны разборки иными путями (предупреждение, добровольное возмещение "награбленного" или все вышеуказанное с кулаками)... Эх, что-то я уж слишком разошелся по этой теме... Мой тебе совет: не отравляй жизнь бедным юзерам, воруя у них инет, т.к. если сравнить его стоимость и возможные последствия - дело того не стоит! А насчет написания руткитов/вирусов - я не слышал ни об одном случае преследования их авторов в России.