Признаком наличия троянских коней являются открытые нестандартные порты:
• 23 – Tiny Telnet Server (= TTS);
• 25 – Ajan, Antigen, Email Password Sender, Haebi Coceda, Happy 99, Kuang2, ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator, WinPC, WinSpy;
• 31 – Master Paradise;
• 121 – BO jammerkillahV;
• 456 – HackersParadise;
• 555 – Phase Zero;
• 666 – Attack FTP;
• 1001 – Silencer;
• 1001 – WebEx;
• 1010 – Doly Trojan 1.30 (Subm.Cronco);
• 1011 – Doly Trojan 1.1+1.2;
• 1015 – Doly Trojan 1.5 (Subm.Cronco);
• 1033 – Netspy;
• 1042 – Bla1.1;
• 1170 – Streaming Audio Trojan;
• 1207 – SoftWar;
• 1243 – SubSeven;
• 1245 – Vodoo;
• 1269 – Maverick's Matrix;
• 1492 – FTP99CMP;
• 1509 – PsyberStreamingServer Nikhil G;
• 1600 – Shiva Burka;
• 1807 – SpySender;
• 6669 – Vampire 1.0;
• 6670 – Deep Throat;
• 6883 – DeltaSource (DarkStar);
• 6912 – Shitheep;
• 6939 – Indoctrination;
• 7306 – NetMonitor;
• 7789 – iCkiller;
• 9872 – PortalOfDoom;
• 9875 – Portal of Doom;
• 9989 – iNi-Killer;
• 9989 – InIkiller;
• 10607 – Coma Danny;
• 11000 – SennaSpyTrojans;
• 11223 – ProgenicTrojan;
• 12076 – Gjamer;
• 12223 – Hackx99 KeyLogge;
• 12346 – NetBus 1.x (avoiding Netbuster);
• 12701 – Eclipse 2000;
• 16969 – Priotrity;
• 20000 – Millenium;
• 20034 – NetBus Pro;
• 20203 – Logged!;
• 20203 – Chupacabra;
• 20331 – Bla;
• 21544 – GirlFriend;
• 21554 – GirlFriend;
• 22222 – Prosiak 0.47;
• 23456 – EvilFtp;
• 27374 – Sub-7 2.1;
• 29891 – The Unexplained;
• 30029 – AOLTrojan 1.1;
• 30100 – NetSphere;
• 30303 – Socket25;
• 30999 – Kuang;
• 31787 – Hack'a'tack;
• 33911 – Trojan Spirit 2001 a;
• 34324 – Tiny Telnet Server;
• 34324 – BigGluck TN;
• 40412 – TheSpy;
• 40423 – Master Paradise;
• 50766 – Fore;
• 53001 – RemoteWindowsShutdown;
• 54320 – Back Orifice 2000 (default port);
• 54321 – Schoolbus 1.6+2.0;
• 61466 – Telecommando;
• 65000 – Devil 1.03.
Программное обеспечение против троянских коней
Для обнаружения и удаления троянских коней существует целый арсенал соответствующих программ. Вот лишь та малая часть, которая поможет защитить ваш компьютер от всевозможного рода шпионов (программы можно скачать по адресу http://www.izcity.com/soft/security/spy).
• Advanced Spyware Remover – утилита, предназначенная для защиты персонального компьютера от вредоносных программ и шпионских модулей. Позволяет избавиться от рекламных программ, дозвонщиков, программ-шпионов, кейлоггеров и т. д. Программа проверяет системный реестр на наличие в нем ключей, принадлежащих перечисленным выше типам вредоносных программ. Ее главной отличительной особенностью перед аналогами является высокая скорость работы сканера и обновляемая база сегментов вредоносного кода F-Secure BlackLight.
• SpyDefense – программа для обнаружения шпионских модулей. Позволяет найти и обезвредить большое количество компьютерных шпионов.
• WinPatrol – программа, предназначенная для повышения безопасности Windows. Отслеживает и уничтожает различные шпионские модули и вредоносные программы типа adware и spyware.
• Arovax Shield – утилита, предназначенная для защиты от программ-шпионов. Arovax Shield позволяет в режиме реального времени следить за безопасностью системы, предупреждая пользователя о проникновении в нее троянов через Интернет.
• Arovax AntiSpyware – утилита для удаления программ-шпионов. На сегодняшний день в ее базе содержится свыше 33 000 сегментов вредоносного кода Microsoft.
• AntiSpyware – система для борьбы с вредоносными программами и шпионскими модулями разработки Microsoft. Как утверждает разработчик, утилита держит под контролем более 50 так называемых spyware-путей, по которым в компьютер могут попасть шпионские модули.
• Trend Micro CWShredder – утилита для нахождения и удаления шпионских программ. Позволяет обнаружить следы присутствия так называемых Cool Web Search программ (их относят к троянским коням).
• А-squared HiJackFree – программа, предназначенная для детального анализа системы по различным параметрам, касающимся безопасности. Может быть полезна для определения и удаления из компьютера практически всех типов HiJackers, Spyware, Adware, Trojans и Worms.
По адресу http://soft.oszone.net/subcat.php можно найти следующие полезные программы.
• SpyRemover – неплохая программа для поиска шпионских модулей. SpyRemover распознает более 27 500 типов вредоносных программ. Имеется возможность автоматического обновления.
• XSpy Shield Gold – это мощная программа, которая поможет защититься от spyware-модулей, которые присутствуют в некоторых программных продуктах и других шпионских модулях и могут представлять угрозу безопасности вашей операционной системы.
• Anti-keylogger – утилита для операционных систем семейства Windows 2k/XP, защищающая от кейлоггеров.
• CounterSpy – аналог программы Ad-aware. Позволяет удалить шпионские модули с вашего компьютера.
• Spy Sweeper – неплохая программа для защиты от шпионских модулей, а также от троянов и кейлоггеров.
• HookMonitor – предназначена для администрирования процесса установки глобальных ловушек на клавиатуру. Выявляет и блокирует модули spyware, ведущие наблюдение за набором паролей и т. п.
• Browser Sentinel – постоянно наблюдает за уязвимыми зонами системы на предмет обнаружения вредоносных компонентов. Она уведомит вас и поможет удалить программы-шпионы, рекламу, клавиатурных шпионов, программы автодозвона и прочих непрошеных гостей.
• Microsoft Windows AntiSpyware – это программа служит для обнаружения и удаления из системы разнообразных нежелательных модулей: отслеживающих сайты, посещаемые пользователем, добавляющих всплывающие рекламные окна, вносящих несанкционированные изменения в настройки и др.
В заключение хотелось бы отметить, что широкое распространение троянских коней было, есть и будет, так как они являются мощным инструментом получения конфиденциальной информации, кражи личных данных и др. Чтобы остановить вирус, в одних случаях бывает достаточно использовать Spy Remover и ему подобные программы, в других необходим антивирус. Однако только комплексное применение методов защиты обеспечит полную безопасность вашей системы.
5.3. Самое главное о безопасности
По итогам исследования, проведенного германской компанией Honey Net, которая объединяет группу исследователей, занимающихся проблемой безопасности Интернета, было установлено, что в настоящее время более миллиона компьютеров заражено пиратскими программами, рассылающими спам и вредоносные программы. Самое интересное, что обычный пользователь может даже и не подозревать, что его компьютер стал средством распространения вирусов.
В данном разделе рассмотрены основные уязвимые места Windows и выстроена модель многоуровневой защиты.
Это не дыра – это целая нора
Ошибки в Windows как обнаруживались, так и обнаруживаются, и ничего тут не поделать. Эпидемии Nimda, Red Code и MS Blast лишний раз показали, насколько уязвимы могут быть операционные системы. Windows без обновлений – основной фактор уязвимости компьютера. Ни для кого не секрет, что большинство «червей» заражают систему именно благодаря наличию брешей, или дыр. Как яркое подтверждение сказанному, хотелось бы упомянуть наиболее нашумевших представителей. MS Blast заражает систему, эксплуатируя уязвимость в службе DCOM RPC (служба удаленного вызова процедур). Модификации «червя» SdBot распространяются, используя пять дыр, в том числе и вышеназванную. «Черви» семейства Sober и Sasser известны своими «пристрастиями» к службе LSASS (Local Security Authority Subsystem – один из сервисов, обеспечивающих безопасность системы), которую успешно эксплуатируют без ведома пользователя. Учитывая, что большинство «червей» используют уязвимость переполнения буфера, а служб и портов в Windows более чем достаточно, то появление новых «червей» или модификаций старых, применяющих новые дыры, не заставит себя ждать.
Поэтому необходимо следить за появлением новых уязвимостей и регулярно обновлять систему.
Многие пользователи активно применяют Internet Explorer. Не секрет, что он без должных пакетов обновлений является хорошим объектом для атак извне. JavaScript, ActiveX, Dhtml и др. могут быть успешно использованы для атаки, кражи файлов, удаления данных и т. п. В подтверждение вышесказанному приведен HTML-код, возможности которого при соответствующей доработке можно использовать для запуска любого произвольного кода на машине жертвы:
<HTML>
<OBJECT CLASSID=’CLSID:10000000’
CODEBASE=’C:Windowssystem32logoff.exe’>
</OBJECT><HTML>
Удачной альтернативой стандартному браузеру являются такие продукты, как Opera и Avant Browser.
Выбираем антивирус
В настоящее время среди бесплатных программ можно выделить много достойных продуктов. Учитывая результаты официальных и неофициальных тестирований, а также собственный опыт, можно с уверенностью сказать, что абсолютной защиты нет. При определенных условиях даже самый авторитетный, с хорошей эвристикой и модулем анализа подозрительного поведения программного кода антивирус может дать сбой. Не надо забывать, что параллельно с развитием антивирусного программного обеспечения совершенствуются и вирусы. Существует семейство вирусов, так называемые stealth-вирусы, отличительной особенностью которых является наличие системы сокрытия от антивирусной программы – благодаря особенностям работы программного кода такие вирусы отслеживают обращения антивируса к инфицированному файлу и представляют последний незараженным. В результате – вируса как будто бы и нет. На самом деле он распространяется от файла к файлу, скрывая свое присутствие. Подтверждением данному служит яркий пример – Optix Killer, который просто отключает антивирусную программу.
