Энциклопедия Spyware

Ms-Rem (Ms-Rem@yandex.ru)

Хакер, номер #085, стр. 085-124-4

pPStoreCreateInstance = (tPStoreCreateInstance)

GetProcAddress(hpsDLL, "PStoreCreateInstance");

IPStorePtr PStore;

HRESULT hRes = pPStoreCreateInstance(&PStore, 0, 0, 0);

Теперь нам нужно получить интерфейс IEnumPStoreTypes, через который мы будем перечислять типы записей ProtectedStotrage:

IEnumPStoreTypesPtr EnumPStoreTypes;

hRes = PStore->EnumTypes(0, 0, &EnumPStoreTypes);

Теперь сделаем цикл перебора типов, и для каждого типа записи будем перечислять подтипы с помощью этого же интерфейса. Для каждого типа записей мы получаем TypeGUID - уникальное численное значение, описывающее данный тип. Сравнив этот тип с известными типами, используемыми Internet Explorer, Outlook Express и другими подобными программами, мы получим интересующие хакера записи. Теперь мы можем с помощью метода ReadItem класса IPStore прочитать любую запись. Я не буду приводить здесь полный код, так как он занимает довольно много места, ты его сможешь найти на диске к журналу.

Не надейся найти в ProtectedStorage сохраненные пароли на диалап, потому что тут их нет. Для того чтобы их получить, нужно работать с RAS, службой управления дозвоном.Она имеет все нужные функции для перечисления и чтения сохраненных паролей (GetRasEntryCount, RasEnumEntries, GetLSAData, RasGetEntryProperties). Полные исходники алгоритма извлечения паролей ты можешь посмотреть в соответствующем модуле трояна Pinch.

[системы сбора статистики]

Spyware-программы этой категории малоопасны и предназначены для сбора информации о программном обеспечении, установленном на компьютере, о посещаемых сайтах и т.д. Реализация всего этого дела тривиальна (перечисление файлов и записей в реестре). Тем более задачу нам облегчает наличие папки Temporary Internet Files, в которой Internet Explorer сохраняет всю историю посещения сайтов. Некоторые программы этого класса либо интегрируются в Internet Explorer (устанавливаются, как тулбар или Shell Extension), либо используют другие методы скрытой автозагрузки. Интеграция в IE чаще необходима для обхода файрволов. Хоть они и имеют контроль компонентов и выдадут предупреждение, но обычно никто на это внимания не обращает. Хоть эти программы и считаются не очень страшными, но они обычно имеют систему автообновления, а значит, в любой момент могут быть использованы для загрузки уже чего-то более сложного. Часто такие программы загружаются на большое количество машин, сканируют их, а затем собранные данные используют для того, чтобы определить, имеется ли на компьютере что-либо полезное (номера кредитных карт, например). На такие компы производится загрузка трояна наиболее подходящего под этот случай, например, через систему автообновления Spyware.

[защита от spyware]

Щит и меч. Spyware и AntiSpyware. Давай посмотрим, что же уготовили производители легального софта, чтобы уберечь нас от нехороших шпионов. Причем посмотрим на программы для поиска и удаления Spyware не по сигнатурам, а по характерным принципам действия шпионских программ. Начнем с уже упомянутой программы AVZ. Помимо сигнатурного поиска, эта программа имеет возможность обнаруживать API-перехваты (как в user mode, так и на уровне ядра) и сканировать LSP (Winsock Layared Service Provider). Перехваты API используется, как ты помнишь, некоторыми формграбберами для получения данных форм, а также многими троянами для сокрытия своего присутствия в системе. AVZ может найти и показать перехватчик. Полезной возможностью является также обнаружение кейлоггеров, устанавливающих с помощью SetWindowsHookEx ловушки. Против кейлоггеров существуют также специальные программы, такие как HookMonitor, AntiKeylogger и PrivacyKeyboard. Они обеспечивают защиту от широко применяемых методов кейлоггинга. Например, AntiKeylogger перехватывает в ядре функции NtUserSendMessage, NtUserSetWindowsHook, NtUserGetKeyboardState и запрещает такие действия, как установка клавиатурных хуков, скан клавиатуры через GetAsyncKeyState и снятие текста с окон путем посылки сообщения WM_GETTEXT. Эти программы умеют даже блокировать драйверные кейлоггеры, использующие драйвер-фильтр клавиатуры. Те, кто пользуется такими программами, обычно имеют на своем компьютере ценную информацию, которую кто-то захочет украсть. Поэтому хакеру обязательно нужно реализовать обход подобных защитных средств. Рассмотрим все этапы, которые проходит информация: от клавиатуры до приложения его получающего, чтобы понять, где ее можно перехватить, и где этот процесс может быть обнаружен: