Программные закладки: типы, способы внедрения и защиты

      Пример почтового червя — червь Love Letter, представляющий собой вложение с расширением .VBS.

6. Перехватчики паролей

      Перехватчики паролей перехватывают имена и пароли, вводимые пользователями защищенной системы в процессе идентификации и аутентификации. В простейшем случае перехваченные имена и пароли сохраняются в текстовом файле, более сложные программные закладки пересылают эту информацию по сети на компьютер злоумышленника.

      Существуют три основные архитектуры построения перехватчиков паролей.

      Перехватчики паролей первого рода действуют по следующему сценарию. Злоумышленник запускает программу, содержащую программную закладку - перехватчик паролей. Она имитирует приглашение пользователю для входа в систему, и ждет ввода. Когда пользователь вводит имя и пароль, закладка сохраняет их в доступном злоумышленнику месте, после чего завершает работу и осуществляет выход из системы пользователя-злоумышленника. По окончании работы закладки на экране появляется настоящее приглашение для входа пользователя в систему. Пользователь, ставший жертвой закладки, видит, что он не вошел в систему и что ему снова предлагается ввести имя и пароль. Пользователь предполагает, что при вводе пароля произошла ошибка, и вводит имя и пароль повторно. После этого пользователь входит в систему, и дальнейшая его работа протекает нормально. Некоторые закладки, функционирующие по данной схеме, перед завершением работы выдают на экран правдоподобное сообщение об ошибке, например:

      «Пароль введен неправильно. Попробуйте еще раз».

      2. Перехватчики паролей второго рода перехватывают все данные, вводимые пользователем с клавиатуры. Простейшие программные закладки данного типа просто сбрасывают все эти данные на жесткий диск компьютера или в любое другое место, доступное злоумышленнику. Более совершенные закладки анализируют перехваченные данные и отсеивают информацию, заведомо не имеющую отношения к паролям. Эти закладки представляют собой резидентные программы, перехватывающие одно или несколько прерываний, используемых при работе с клавиатурой. Информация о нажатой клавише и введенном символе, возвращаемая этими прерываниями, используется закладками для своих целей.

      3. К перехватчикам паролей третьего рода относятся программные закладки, полностью или частично подменяющие собой подсистему аутентификации защищенной системы. Поскольку задача создания такой программной закладки гораздо сложнее, чем задача создания перехватчика паролей первого или второго рода, этот класс программных закладок появился совсем недавно и будем считать возможность злонамеренно воздействовать на подсистемы идентификации и аутентификации пользователей при их входе в систему пока гипотетической.

7. Программы-шутки

      К ним относятся программы, которые  не причиняют компьютеру какого-либо прямого вреда, однако выводят сообщения о том, что такой вред уже причинен, либо будет причинен при каких-либо условиях, либо предупреждают пользователя о несуществующей опасности. К «злым шуткам» относятся, например, программы, которые «пугают» пользователя сообщениями о форматировании диска (хотя никакого форматирования на самом деле не происходит), детектируют вирусы в незараженных файлах (как это делает широко известная программа ANTITIME), выводят странные вирусоподобные сообщения (драйвер диска CMD640X от какого-то коммерческого пакета) и т.д. — в зависимости от чувства юмора автора такой программы. Видимо, к «злым шуткам» относится также строка «CHOLEEPA» во втором секторе винчестеров фирмы Seagate.

      К такой же категории «злых шуток» можно отнести также заведомо ложные сообщения о новых супер-вирусах. Такие сообщения периодически появляются в электронных конференциях и обычно вызывают панику среди пользователей.

3. Программные закладки: модели воздействия на компьютеры, способы внедрения и их взаимодействие с нарушителем

1. Модели воздействия программных закладок на компьютеры

      Рассмотрим 6 наиболее известных моделей воздействия программных закладок на компьютеры:

• Перехват
• Троянский конь
• Наблюдатель
• Компрометация
• Искажение или инициатор ошибок
• Уборка мусора

      1. Модель «перехват»

      Программная закладка встраивается (внедряется) в ПЗУ, оперативную систему или прикладное программное обеспечение и сохраняет все или избранные фрагменты вводимой или выводимой информации в скрытой области локальной или удаленной внешней памяти прямого доступа. Объектом сохранения может быть клавиатурный ввод, документы, выводимые на принтер, или уничтожаемые файлы-документы. Для данной модели существенно наличие во внешней памяти места хранения информации, которое должно быть организовано таким образом, чтобы обеспечить ее сохранность на протяжении заданного промежутка времени и возможность последующего съема. Важно также, чтобы сохраняемая информация была каким-либо образом замаскирована от просмотра легальными пользователями.

      2. Модель «троянский конь»

      Закладка встраивается в постоянно используемое программное обеспечение и по некоторому активизирующему событию моделирует сбойную ситуацию на средствах хранения информации или в оборудовании компьютера (сети). Тем самым могут быть достигнуты две различные цели: во-первых, парализована нормальная работа компьютерной системы и, во-вторых, злоумышленник (например, под видом обслуживания или ремонта) может ознакомиться с имеющейся в системе или накопленной посредством использования модели «перехват» информацией. Событием, активизирующим закладку, может быть некоторый момент времени, либо сигнал из канала модемной связи (явный или замаскированный), либо состояние некоторых счетчиков (например, число запусков программ).

      3. Модель «наблюдатель»

      Закладка встраивается в сетевое или телекоммуникационное программное обеспечение. Пользуясь тем, что данное программное обеспечение, как правило, всегда активно, программная закладка осуществляет контроль за процессами обработки информации на данном компьютере, установку и удаление закладок, а также съем накопленной информации. Закладка может инициировать события для ранее внедренных закладок, действующих по модели «троянский конь».

      4. Модель «компрометация»

      Закладка либо передает заданную злоумышленником информацию (например, клавиатурный ввод) в канал связи, либо сохраняет ее, не полагаясь на гарантированную возможность последующего приема или снятия. Более экзотический случай – закладка инициирует постоянное обращение к информации, приводящее к росту отношения сигнал/шум при перехвате побочных излучений.

      5. Модель «искажение или инициатор ошибок»

      Программная закладка искажает потоки данных, возникающие при работе прикладных программ (выходные потоки), либо искажает входные потоки информации, либо инициирует (или подавляет) возникающие при работе прикладных программ ошибки.

      6. Модель «сборка мусора»

      В данном случае прямого воздействия разрушающего программного средства может и не быть; изучаются «остатки» информации. В случае применения программной закладки навязывается такой порядок работы, чтобы максимизировать количество остающихся фрагментов ценной информации. Злоумышленник получает либо данные фрагменты, используя закладки моделей 2 и 3, либо непосредственный доступ к компьютеру под видом ремонта или профилактики.

2. Способы внедрения программных закладок и компьютерных вирусов

      Созданием программной закладки или вируса еще не решается задача, поставленная при их написании. Вторая, не менее  сложная, заключается во внедрении  программного продукта. О важности и сложности этой последней задачи говорит тот факт, что ее решением в рамках информационной борьбы занимаются даже государственные структуры ряда стран. Такой «государственный» подход не оставляет сомнений в том, что самые новейшие достижения в области «имплантации» уже в скором времени станут достоянием промышленного шпионажа.

      На  сегодняшний день можно выделить три основные группы способов внедрения  программных закладок и компьютерных вирусов:

• на этапе создания аппаратуры и программного обеспечения;
• через системы информационного обмена;
• силовым или высокочастотным навязыванием.

      Наиболее  просто ввести вирус на этапе создания элементов компьютерных систем. Ведь ни для кого не секрет, что современные программные продукты содержат примерно до полумиллиона строк, и никто лучше авторов-программистов их не знает, и поэтому эффективно проверить не может. В связи с этим создатели программного обеспечения являются потенциальными объектами для определенных служб и компаний. Однако более перспективным направлением, по сравнению с вербовкой программистов, эксперты считают инфицирование (модификацию) систем искусственного интеллекта, помогающих создавать это программное обеспечение.

      Другим  направлением внедрения является использование систем информационного обмена. Здесь существует два способа — непосредственное и косвенное подключение.

      Непосредственное  подключение (front-door coupling) бывает прямое и непрямое.

      Прямое  заключается в повторяющейся  трансляции вирусного сигнала или  программной закладки в период получения  приемником конкурента предназначенной  ему полезной информации. При этом можно рассчитывать, что в какой-то момент времени, смешанный с основной информацией указанный программный продукт попадет в систему. Недостаток такого способа — необходимость знания используемых алгоритмов шифрования и ключей при передаче в канале закрытой информации.

      В связи с последним обстоятельством  более предпочтительным считается  использование непрямого подключения. Проникновение в информационную систему в этом случае происходит в самом незащищенном месте, откуда вирус или программная закладка могут добраться до назначенного узла. Благодаря широкому внедрению глобальных сетей такие места всегда могут быть найдены.

      Косвенное подключение (back-door) представляет из себя целый спектр  способов: от воздействия на систему через элементы, непосредственно не служащие основному назначению (например, через цепи электропитания), до умышленной передачи конкуренту инфицированной техники или программных продуктов.

      Перспективным направлением внедрения программных  закладок или вирусов в информационные системы представляется и использованием методов силового или высокочастотного навязывания.

      Разработкой соответствующих средств, по сообщениям зарубежной печати, занимается целый  ряд компаний, например. Defense Advanced Research Projects Agency (США), Toshiba (Япония) и др. Ожидается, что благодаря их усилиям уже через пять лет окажется возможным внедрять программные продукты именно таким способом.

      В наиболее простом виде процесс ВЧ-навязывания  закладок и вирусов выглядит примерно следующим образом. Мощное высокочастотное излучение, промодулированное информационным сигналом, облучает объект электронно-вычислительной техники. В цепях компьютера или линии связи наводятся соответствующие напряжения и токи, которые определенным образом детектируются на полупроводниковых элементах схемы вычислительного средства. В результате вирус или закладка оказываются внедренными в компьютер.

      Далее, по заранее намеченной программе  они осуществляют сбор, первичную  обработку данных и передачу их в  заданный адрес по сети, либо уничтожение или модификацию определенной информации.

      Наиболее  узким местом такого способа внедрения  является подбор мощности, частоты, вида модуляции и других параметров зондирующего сигнала в каждом конкретном случае.

3. Сценарии внедрения программных закладок на различных этапах  жизненного цикла программного обеспечения

      Программные закладки имеют широкий спектр воздействий  на данные, обрабатываемые информационной системой. Следовательно, при контроле за технологической безопасностью  программного обеспечения необходимо учитывать его назначение и состав программно-аппаратной среды информационной системы.

      В табл. 1 расположены некоторые сценарии, которые могут приводить к  реализации злоумышленных угроз  и, соответственно, к нарушениям технологической  безопасности информации на различных этапах жизненного цикла программного обеспечения.