Энциклопедия Spyware

Ms-Rem (Ms-Rem@yandex.ru)

Хакер, номер #085, стр. 085-124-6

Допустим, кейлоггер на перехвате API готов. Теперь хакер будет справляться с AVZ и другими подобными программами, обнаруживающими перехваты. Как это ни парадоксально, но самый лучший способ скрыть перехват - это его не устанавливать вообще. Например, если обработчик находится в DLL, подгружающейся во все процессы, то можно просто не устанавливать перехваты в процессе avz.exe, и тогда AVZ их не увидит. Этот метод прост в реализации, но не годится для использования в серьезном продукте. Лучше просто использовать методы перехвата необнаруживаемые подобными программами. Например, можно с помощью дизассемблера длин пройтись по функции, найти команду ret и перед ней поставить push с адресом своего кода. Смысл этого действия в том, что стек в конце функции аналогичен стеку в ее начале, push перезапишет адрес возврата, и ret передаст управление на хакерский код, они смогут обработать результаты выполнения функции.

[тут и сказке конец]

От современных шпионских программ нет никакой надежной защиты, кроме головы да прямых рук. Не поможет ни антивирус, ни файрвол, ни специальные программы. Только понимание работы spyware поможет обезопасить от этой напасти. Надеюсь, что материал тебе пригодится.

CD

На диске ты, как обычно, сможешь обнаружить все описанные в статье сорцы.

WWW

Антивирусную утилиту AVZ, о которой шла речь в статье, ты можешь поднять тут: http://z-oleg.com/secur/avz.htm