Руткитам – бой!

Крис Касперски

Хакер, номер #102, стр. 102-032-3

Объекты автозагрузки

В уже существующие исполняемые файлы современная малварь внедряется крайне редко, предпочитая прописывать себя в автозагрузку (условно), запускаясь вместе с загрузкой операционной системы. Появление программы, которую мы не устанавливали, в объектах автозагрузки свидетельствует о вирусном заражении. Причем, в отличие от даты создания файла, которую ничего не стоит изменить, замаскироваться в объектах автозагрузки сложно - на это способна только самая продвинутая малварь, именуемая руткитом, но о руткитах мы поговорим позднее.

Проблема в том, что объектов автозагрузки очень много. Они живописно разбросаны по ветвям реестра, полный перечень которых занял бы целую страницу, а может быть, даже две. Однако нет никакой необходимости в том, чтобы держать весь этот легион технических подробностей у себя в голове. Существует множество утилит, самостоятельно сканирующих список автоматически загружаемых объектов с учетом последних веяний времени (Microsoft добавляет все больше и больше веток реестра с прописанными путями к файлам и/или динамическим библиотекам, которые необходимо загрузить при старте операционной системы).

Одной из таких утилит является условно бесплатная программа Anti-Spy Info, которую можно загрузить с одноименного сайта (http://anti-spy.info) и использовать 30 дней, а затем громко сказать «Кря!» или (о ужас!) приобрести платную версию, впрочем, это уже не относится к обсуждаемой проблеме.

Короче, запускаем Anti-Spy Info, и на экран тут же выводится список активных процессов и автоматически загружаемых объектов (тип запуска того или иного объекта приведен в графе «Запуск»). Все, что нам нужно делать, — это следить за списком автозагрузки на предмет появления в нем новых объектов. А чтобы не запутаться в программе, предусмотрен вывод информации в файл («Файл -> Экспорт в…»); просто сохраняем отчет при каждом запуске, а затем сличаем его с предыдущей версией. Если никаких приложений мы не устанавливали, а список автозагрузки пополнился новыми жильцами, это малварь.

В Anti-Spy Info заложен достаточно мощный эвристический механизм, анализирующий активные процессы и автоматически загружаемые объекты и определяющий вероятность их принадлежности к вирусам. К сожалению, эвристика очень часто ошибается, в результате чего честные программы классифицируются как «потенциально опасные», а малварь получает рейтинг «похожа на безвредную».

Изюминка Anti-Spy Info (до которой не догадался ни KAV, ни NOD32) в том, что она поддерживает базу знаний, включающую в себя множество файлов, чья вредоносность оценивается опытными пользователями Anti-Spy Info самостоятельно. Возьмем, например, файл SSSensor.dll, найденный в компьютере автора, которому Anti-Spy Info присвоила рейтинг 82%, что есть бэд. Заходим на http://anti-spy.info/file/index.html, вводим «SSSensor.dll» в строку поиска и через несколько секунд узнаем, что SSSensor.dll представляет собой компонент SyGate Personal Firewall, который действительно установлен на компьютере, а следовательно, на счет вирусов можно не волноваться.