Признаком наличия троянских коней являются открытые нестандартные порты:
23 – Tiny Telnet Server (= TTS);
25 – Ajan, Antigen, Email Password Sender, Haebi Coceda, Happy 99, Kuang2, ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator, WinPC, WinSpy;
31 – Master Paradise;
121 – BO jammerkillahV;
456 – HackersParadise;
555 – Phase Zero;
666 – Attack FTP;
1001 – Silencer;
1001 – WebEx;
1010 – Doly Trojan 1.30 (SubmCronco);
1011 – Doly Trojan 1.1+1.2;
1015 – Doly Trojan 1.5 (Subm. Cronco);
1033 – Netspy;
1042 – Bla1.1;
1170 – Streaming Audio Trojan;
1207 – SoftWar;
1243 – SubSeven;
1245 – Vodoo;
1269 – Maverick’s Matrix;
1492 – FTP99CMP;
1509 – PsyberStreamingServer Nikhil G;
1600 – Shiva Burka;
1807 – SpySender;
6669 – Vampire 1.0;
6670 – Deep Throat;
6883 – DeltaSource (DarkStar);
6912 – Shitheep;
6939 – Indoctrination;
7306 – NetMonitor;
7789 – iCkiller;
9872 – PortalOfDoom;
9875 – Portal of Doom;
9989 – iNi-Killer;
9989 – InIkiller;
10607 – Coma Danny;
11000 – SennaSpyTrojans;
11223 – ProgenicTrojan;
12076 – Gjamer;
12223 – Hackx99 KeyLogge;
12346 – NetBus 1. x (avoiding Netbuster);
12701 – Eclipse 2000;
16969 – Priotrity;
20000 – Millenium;
20034 – NetBus Pro;
20203 – Logged!;
20203 – Chupacabra;
20331 – Bla;
21544 – GirlFriend;
21554 – GirlFriend;
22222 – Prosiak 0.47;
23456 – EvilFtp;
27374 – Sub-7 2.1;
29891 – The Unexplained;
30029 – AOLTrojan 1.1;
30100 – NetSphere;
30303 – Socket25;
30999 – Kuang;
31787 – Hack’a’tack;
33911 – Trojan Spirit 2001 a;
34324 – Tiny Telnet Server;
34324 – BigGluck TN;
40412 – TheSpy;
40423 – Master Paradise;
50766 – Fore;
53001 – RemoteWindowsShutdown;
54320 – Back Orifice 2000 (default port);
54321 – Schoolbus 1.6+2.0;
61466 – Telecommando;
65000 – Devil 1.03.
Программное обеспечение против троянских коней
Для обнаружения и удаления троянских коней существует целый арсенал соответствующих программ. Вот лишь та малая часть, которая поможет защитить ваш компьютер от всевозможного рода шпионов.
– Advanced Spyware Remover – утилита, предназначенная для защиты персонального компьютера от вредоносных программ и шпионских модулей. Позволяет избавиться от рекламных программ, дозвонщиков, программ-шпионов, кейлоггеров и т. д. Программа проверяет системный реестр на наличие в нем ключей, принадлежащих вышеперечисленным типам вредоносных программ. Ее главной отличительной особенностью перед аналогами является высокая скорость работы сканера и обновляемая база сегментов вредоносного кода F-Secure BlackLight.
– SpyDefense – программа для обнаружения шпионских модулей. Позволяет найти и обезвредить большое количество компьютерных шпионов.
– WinPatrol – программа, предназначенная для повышения безопасности Windows. Отслеживает и уничтожает различные шпионские модули и вредоносные программы типа Adware и Spyware.
– Arovax Shield – утилита, предназначенная для защиты от программ-шпионов. Позволяет в режиме реального времени следить за безопасностью системы, предупреждая пользователя о проникновении в нее троянских коней через Интернет.
– Arovax AntiSpyware – утилита для удаления программ-шпионов. На сегодняшний день в ее базе содержится свыше 33 000 сегментов вредоносного кода Microsoft.
– AntiSpyware – система для борьбы с вредоносными программами и шпионскими модулями разработки Microsoft. Как утверждает разработчик, утилита держит под контролем более 50 так называемых spyware-путей, по которым в компьютер могут попасть шпионские модули.
– Trend Micro CWShredder – утилита для нахождения и удаления шпионских программ. Позволяет обнаружить следы присутствия так называемых Cool Web Search-программ (их относят к троянским коням).
– SpyRemover – неплохая программа для поиска шпионских модулей. Распознает более 27 500 типов вредоносных программ. Имеется возможность автоматического обновления.
– XSpy Shield Gold – это мощная программа, которая поможет защититься от spyware-модулей, которые присутствуют в некоторых программных продуктах и других шпионских модулях и могут представлять угрозу безопасности вашей операционной системы.
– Anti-keylogger – утилита для операционных систем семейства Windows 2k/XP, защищающая от кейлоггеров.
– CounterSpy – аналог программы Ad-aware. Позволяет удалить шпионские модули с вашего компьютера.
– Spy Sweeper – неплохая программа для защиты от шпионских модулей, а также от троянов и кейлоггеров.
– HookMonitor – предназначена для администрирования процесса установки глобальных ловушек на клавиатуру. Выявляет и блокирует модули spyware, ведущие наблюдение за набором паролей и т. п.
– Browser Sentinel – постоянно наблюдает за уязвимыми зонами системы на предмет обнаружения вредоносных компонентов. Она уведомит вас и поможет удалить программы-шпионы, рекламу, клавиатурных шпионов, программы автодозвона и прочих непрошеных гостей.
В заключение хотелось бы отметить, что широкое распространение троянских коней было, есть и будет, так как они являются мощным инструментом получения конфиденциальной информации, кражи личных данных и др. Чтобы остановить вирус, в одних случаях бывает достаточно использовать SpyRemover и ей подобные программы, в других необходим антивирус. Однако только комплексное применение методов защиты обеспечит полную безопасность вашей системы.
Самое главное о безопасности
По итогам исследования, проведенного германской компанией Honey Net, которая объединяет группу исследователей, занимающихся проблемой безопасности Интернета, было установлено, что в настоящее время более миллиона компьютеров заражены пиратскими программами, рассылающими спам и вредоносные программы. Самое интересное, что обычный пользователь может даже и не подозревать, что его компьютер стал средством распространения вирусов.
В данном разделе рассмотрены основные уязвимые места Windows и выстроена модель многоуровневой защиты.
Это не дыра – это целая нора
Ошибки в Windows как обнаруживались, так и обнаруживаются, и ничего тут не поделать. Эпидемии Nimda, Red Code и MS Blast лишний раз показали, насколько уязвимы могут быть операционные системы. Windows без обновлений – основной фактор уязвимости компьютера. Ни для кого не секрет, что большинство «червей» заражают систему именно благодаря наличию брешей, или дыр. Как яркое подтверждение сказанному, хотелось бы упомянуть наиболее нашумевших представителей. MS Blast заражает систему, эксплуатируя уязвимость в службе DCOM RPC (служба удаленного вызова процедур). Модификации «червя» SdBot распространяются, используя пять дыр, в том числе и вышеназванную. «Черви» семейства Sober и Sasser известны своими «пристрастиями» к службе LSASS (Local Security Authority Subsystem – один из сервисов, обеспечивающих безопасность системы), которую успешно эксплуатируют без ведома пользователя. Учитывая, что большинство «червей» используют уязвимость на переполнение буфера, а служб и портов в Windows более чем достаточно, то появление новых «червей» или модификаций старых, применяющих новые дыры, не заставит себя ждать.
Поэтому необходимо следить за появлением новых уязвимостей и регулярно обновлять систему.
Многие пользователи активно используют Internet Explorer. Не секрет, что он без должных пакетов обновлений является хорошим объектом для атак извне. JavaScript, ActiveX, Dhtml и др. могут быть успешно использованы для атаки, кражи файлов, удаления данных и т. п. В подтверждение вышесказанному приведен HTML-код, возможности которого при соответствующей доработке можно использовать для запуска любого произвольного кода на машине жертвы:
‹HTML›
‹OBJECT CLASSID='CLSID:10000000
CODEBASE='C:Windowssystem32logoff.exe'›
‹/OBJECT›‹HTML›
Удачной альтернативой являются такие продукты, как Opera и Avant Browser.
В настоящее время среди бесплатных программ можно выделить много достойных продуктов. Учитывая результаты официальных и неофициальных тестирований, а также собственный опыт, можно с уверенностью сказать, что абсолютной защиты нет. При определенных условиях даже самый авторитетный, с хорошей эвристикой и модулем анализа подозрительного поведения программного кода антивирус может дать сбой. Не надо забывать, что параллельно с развитием антивирусного программного обеспечения совершенствуются и вирусы. Существует семейство вирусов, так называемые stealth-вирусы, отличительной особенностью которых является наличие системы скрытия от антивирусной программы – благодаря особенностям работы программного кода такие вирусы отслеживают обращения антивируса к инфицированному файлу и представляют последний незараженным. В результате – вируса как будто бы и нет. На самом деле он распространяется от файла к файлу, скрывая свой присутствие. Подтверждением данному служит яркий пример – Optix Killer, который просто отключает антивирусную программу.
Крайне желательно, чтобы на вашем компьютере были установлены по крайней мере две операционные системы. Зачем? Во-первых, удобно «препарировать» Windows. Во-вторых, наличие чистой среды при проверке зараженной более чем желательно, особенно если дело касается stealth-вирусов и быстро распространяющихся «червей». Можно посоветовать два антивируса (на разных системах, естественно): Kaspersky Antivirus и Panda Internet Security. Первый имеет обширные базы, хотя они зачастую могут содержать вирусы и записи на эксплоиты (программы, написанные для практического использования какой-либо уязвимости в злонамеренных целях), нюкеры, кейлоггеры, а также программы, идентифицируемые KAV как «хакерский инструментарий». Panda прельщает анализом подозрительного поведения программного кода, защитой от неизвестных угроз, модулем самодиагностики – в общем, своей многофункциональностью. Ансамблю этих двух наиболее уважаемых антивирусных продуктов вполне можно доверить безопасность вашего компьютера. Только вот от самых новых вирусов они все равно вашу систему не спасут.
