Защити свой ПК от троянов!

По греческому преданию, после долгих лет осады ахейцы, отступая от Трои, оставили в подарок ее жителям огромного деревянного коня. Троянцы как дар ввезли его в город. Ночью спрятавшиеся в коне воины убили часовых и открыли ворота в город, чтобы впустить основное войска. С тех пор выражение «троянский конь» стало нарицательным (дар врагу, чтобы погубить его). Сегодня мы поговорим с вами о троянах. Что это такое, какими они бывают, как можно подхватить эту заразу и как уберечься от нее. И, наконец, самое главное: что делать, если вы все-таки стали жертвой троянского коня.

Сразу следует сделать маленькое, но существенное уточнение. Троян — это не одно и то же, что вирус. В отличие от вирусов, которые в основном сносят Винды и форматируют диски, трояны по своей сути существа мирные. Сидят себе тихонько и делают свое черное дело… Область их компетенции — воровство конфиденциальной информации, паролей с последующей передачей всего этого добра хозяину. В классическом варианте троян состоит из клиента и сервера. Серверная часть обычно на компе у жертвы, клиентская — у хозяина, т.е. у того, кто создал троян или просто модифицировал его, заставив работать на себя. Связь клиента и сервера осуществляется через какой-либо открытый порт. Протокол передачи данных — обычно TCP/IP, но известны трояны, которые используют и другие протоколы связи — в частности, ICMP и даже UDP. Тот, кто создает трояны, умело маскирует их. Один из вариантов — замаскировать троянского коня под какую-либо полезную программу. При ее запуске вначале происходит выполнение кода трояна, который затем передает управление основной программе. Троян также может быть просто, но эффективно замаскирован под файл с любым дружественным расширением — например, GIF.

Какими они бывают…

Современная классификация троянов выглядит следующим образом:

1. Программы-шпионы типа Mail sender.
2. Утилиты удаленного администрирования — BackDoor.
3. Программы-дозвонщики — Dialer.
4. Кейлоггеры — KeyLogger.
5. Эмуляторы DDos-атак.
6. Загрузчики — Downloader.
7. Дропперы — Dropper.
8. Прокси-серверы.
9. Деструктивные троянские программы (есть и такие — напр., FlashKiller).

Первая группа — Mail Sender — наиболее распространена, т.к. подавляющее большинство троянов, если не все, отсылают хозяину пароли от Интернета, вашей электронной почты, ICQ, чатов, ну, и т.д. в зависимости от изобретательности троянмейкера. Примеры: Trojan-PSW.Win32.QQPass.du (китайский троян, ворующий Windows-пароли), Bandra.BOK (скачивается на компьютер жертвы при посещении определенного сайта и пытается украсть пароли от определенных банковских сайтов), Bancos.LU (сохраняет пароли во временных файлах, а затем пытается отослать их хозяину), Banker.XP (собирает конфиденциальные данные, пароли, счета и т.д., отправляя их на определенный адрес)…

Утилиты удаленного администрирования — backdoor (дословно "потайная дверь") — обычно обладают возможностями Mail Sender'а плюс функциями удаленного управления компьютером. Такой троян ждет соединения со стороны клиента (соединение осуществляется через какой-либо порт), с помощью которого посылаются команды на сервер. Примеры: Backdoor.Win32.Whisper.a — троянская программа со встроенной функцией удаленного управления компьютером, знаменитый Back Orifice, позволяющий постороннему контролировать ваш ПК, как свой. Созданный группой хакеров Cult of Dead Cow, он, несмотря на аскетичный интерфейс, позволяет постороннему по локальной сети или Internet получить возможность полного контроля над вашим компьютером, полного доступа к вашим дискам, наблюдения за содержимым экрана в реальном времени, записи с подключенного к системе микрофона или видеокамеры и т.п. Самый интересный пример из этого списка — пожалуй, RADMIN, который определяется Symantec Antivirus как самый настоящий троян;).

Программы-дозвонщики отличаются тем, что могут нанести жертве значительный финансовый урон, устанавливая соединение с зарубежным интернет-провайдером. Таким образом, с телефонного номера абонента происходит установление «незаказанного» международного соединения, например, с островами Кука, Сьерра-Леоне, Диего-Гарсиа или другим диковинным регионом в зависимости от чувства юмора создавшего программу. Примеры: Trojan- PSW.Win32.DUT или trojan.dialuppasswordmailer.a;Trojan-PSW.Win32.Delf.gj;not-a-virus:PSWTool.Win32.DialUpPaper; not-a-virus:PornWare.Dialer.RTSMini.

Трояны-кейлоггеры удачно сочетают в себе функции кейлоггера и обычного Send-Mailer'а. Они способны отслеживать нажатия клавиш клавиатуры и отсылать эту информацию злонамеренному пользователю. Это может осуществляться по почте или отправкой прямо на сервер, расположенный где-либо в глобальной сети. Примеры: Backdoor.Win32.Assasin.20.; Backdoor.Win32.Assasin.20.n; Backdoor.Win32.BadBoy; Backdoor.Win32.Bancodor.d (keylogger.trojan).

Эмуляторы DDos (Distributed Denial of Service) — довольно интересная группа троянов. Серверная часть слушает определенный порт и, как только получает команды извне, начинает функционировать как нюкер (Nuker — приложение, отсылающее на заданный IP шквал некорректно сформированных пакетов, что приводит к эффекту, известному как отказ в обслуживании.

Загрузчики — Downloader. Это троянские программы, загружающие из Интернета файлы без ведома пользователя. Загружаемое может быть как интернет-страницами нецензурного содержания, так и просто вредоносным ПО. Примеры: Trojan-Downloader.Win32.Agent.fk (представляет собой Windows PE EXE файл. Размер зараженных файлов существенно варьируется. После запуска троянец создает папку под названием %Program Files%\Archive, после чего копирует себя в нее и т.д. Троянская программа Trojan-Downloader.Win32.Small.bxp первоначально была разослана при помощи спам-рассылки. Представляет собой Windows PE EXE файл, имеет размер около 5 Кб. Упакована FSG. Размер распакованного файла — около 33 Кб.

Дропперы (Dropper) — Троянские программы, созданные для скрытной установки в систему других троянских программ. Пример: Trojan-Dropper.Win32.Agent.vw. Proxy-серверы — троян устанавливает в вашу систему один из нескольких proxy-серверов (socks, HTTP и т.п.), а затем кто угодно, заплатив хозяину трояна, либо сам троянмейкер совершает интернет-серфинг через этот proxy, не боясь, что его IP вычислят, т.к. это уже не его IP, а ваш…

Деструктивные троянские программы, помимо своих непосредственных функций сбора и отсылки конфиденциальной информации, могут форматировать диски, "сносить" Винду и т.д.

Как подхватить заразу?

Способы заражения не новы, но именно они и являются воротами для нечисти в ваш ПК… Через Internet (самый обычный способ — когда юзер качает из нета проги). Очень часто под безобидным ускорителем браузера может сидеть троян. С помощью всеми нами любимого "мыла"- самый распространенный способ заражения. Несмотря на многочисленные предупреждения, прогрессирует благодаря методам социальной инженерии. Прикрепленный файл, даже если он выглядит как картинка, может быть удачно замаскированной троянской программой. Через дискету или CD-диск. Довольно распространенный способ заражения. По статистике юзеры проверяют дискеты чаще, чем диски, если не сказать более: CD-диски обычно не проверяют вообще. А зря… Ведь именно пиратские диски (никто не будет отрицать, что таких у нас большинство) — не самое слабое звено в канале распространения деструктивных программ. Почему, когда WIN95.CIH пронесся над Европой и Азией, оказалось, что инфицировано около миллиона машин, а в США — всего 10 тысяч? Распространялся этот вирус через нелегальное ПО, скопированное на CD-диски.

Изобретательность вирусописателей не знает границ. Сам лично поймал «на живца» следующего зверя — «Trojan horse.Bat.Format C», который сидел в программном коде Trojan Remover'а(!). Разобраться в таких случаях бывает нелегко. Правильность заключения можно проверить, лишь дезассемблировав такую программу. Довольно оригинальный способ заражения — через autorun при вставке диска в дисковод. Как вы уже догадались, autorun.exe в данном случае выступает в довольно оригинальной роли.

Найти и обезвредить!

Если ваш антивирус упорно молчит, а возможность присутствия трояна высока, то попробуйте обнаружить шпиона, воспользовавшись специальными утилитами типа Trojan Remover и т.п. Как показывает практика, этот способ доступен даже самому неопытному пользователю ПК, тем более, что соответствующего софта в Интернете более чем достаточно. Но об этом поговорим позже. А сейчас постараемся разобраться в том, как можно удалить троян вручную.

Для своего запуска троянская программа обычно прописываются на автозапуск в следующих ветвях реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run (чаще всего сюда)
Кроме этой ветви, еще следует заглянуть:
HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\Run;
HKEY_CURENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce;
HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Run;
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce;

При обнаружении неизвестной записи, т.е. той, которая не принадлежит нормальным приложениям (для того, чтобы с легкостью обнаруживать «засыльного», советую вам изучить данные ветви реестра в чистой системе и найти соответствия запись/приложение), смело удаляйте ее. Думаю, не грех лишний раз напомнить, что при работе с реестром следует придерживаться особой аккуратности. Следует также просмотреть все, что прописано в автозагрузке. Для этого в консоли "выполнить" набираем msconfig, далее переходим на закладку "автозагрузка". Операции разрешение/запрет на автозагрузку конкретной программы интуитивно просты. Просто убираем галочку с программы, вызывающей у вас сомнение, и ее запуск при следующей загрузке Винды блокируется. Советую вам внимательно следить за своими драйверами и программами, прописанными в автозагрузку — тогда у вас будет намного больше шансов моментально определить трояна. Если троян все же запустился, для начала следует распознать его и завершить процесс, ему принадлежащий, воспользовавшись Ctrl+Alt+Del. Однако, даже если вы не обнаружили его в процессах диспетчера задач, огорчаться не стоит. Полную информацию о запущенных в Windows программах можно увидеть, запустив утилиту XRun или ей подобную — CTask. Для того чтобы не перепутать своих/чужих, советую изучить список типичных процессов диспетчера задач.

Если вышеизложенные способы ничего не дали, а признаки троянизации налицо (слишком большой трафик, непонятные процессы в оперативной памяти, тормоза и глюки), то пришло, как говорят, время для плана Б. Необходимо просканировать ваш ПК извне на наличие открытых портов. Все, что вам понадобится для такой операции — это хороший сканер портов и ваш IP. Данная процедура высокоэффективна, и с ее помощью выявляются даже самые скрытные и хитрые трояны. Из сканеров могу посоветовать X-Spider, который является лучшим сканером для подобных дел. Если у вас открыты нестандартные порты, то есть о чем задуматься… и прикрыть это дело в настройках вашего брандмауэра.

Ниже приведен список подозрительных портов:

port 23 — Tiny Telnet Server (= TTS)
port 25 — Ajan, Antigen, Email Password Sender, Haebi Coceda , Happy 99, Kuang2, ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator, WinPC, WinSpy
31-Master Paradise
121-BO jammerkillahV
456-HackersParadise
555-Phase Zero
666-Attack FTP
1001-Silencer
1001-Silencer
1001-WebEx,
1010-Doly Trojan 1.30 (Subm.Cronco)
1011-Doly Trojan 1.1+1.2
1015-Doly Trojan 1.5 (Subm.Cronco)
1033-Netspy
1042-Bla1.1
1170-Streaming Audio Trojan
1207-SoftWar
1243-SubSeven
1245-Vodoo
1269-Maverick's Matrix
1492-FTP99CMP
1509-PsyberStreamingServer Nikhil G.
1600-Shiva Burka,
1807-SpySender,
6669-Vampire 1.0
6670-Deep Throat
6883-DeltaSource (DarkStar)
6912-Shitheep
6939-Indoctrination
7306-NetMonitor
7789-iCkiller
9872-PortalOfDoom
9875-Portal of Doom
9989-iNi-Killer
9989-InIkiller
10607-Coma Danny
11000-SennaSpyTrojans
11223-ProgenicTrojan
12076-Gjamer
12223-Hackґ99 KeyLogge
12346-NetBus 1.x (avoiding Netbuster)
12701-Eclipse 2000
16969-Priotrity
20000-Millenium
20034-NetBus Pro
20203-Logged!
20203-Chupacabra
20331-Bla
21544-GirlFriend
21554-GirlFriend
22222-Prosiak 0.47
23456-EvilFtp
27374-Sub-7 2.1
29891-The Unexplained
30029-AOLTrojan1.1
30100-NetSphere
30303-Socket25
30999-Kuang
31787-Hack'a'tack
33911-Trojan Spirit 2001 a
34324-Tiny Telnet Server
34324-BigGluck TN
40412-TheSpy
40423-Master Paradise
50766-Fore
53001-RemoteWindowsShutdown
54320-Back Orifice 2000 (default port)
54321-Schoolbus 1.6+2.0
61466-Telecommando
65000-Devil 1.03

Как вы уже догадались, в данном списке портов в основном те, которые используются шпионскими программами.

Software против троянов

Для обнаружения и удаления троянов существует целый арсенал соответствующего софта. Вот лишь та малая часть, которая, как я надеюсь, поможет защитить ваш ПК от всевозможного рода шпионов.

Advanced Spyware Remover -Утилита, предназначенная для защиты персонального компьютера от вредоносных программ и шпионских модулей. Она позволяет избавиться от рекламных программ, дозвонщиков, программ-шпионов, кейлоггеров, троянов и т.д. Advanced Spyware Remover проверяет системный реестр на наличие в нем ключей, принадлежащих вышеперечисленным типам вредоносных программ. Ее главной отличительной особенностью перед аналогами является высокая скорость работы сканера и обновляемая антишпионская база сегментов вредоносного кода F-Secure BlackLight.

SpyDefense 0.9.5.118 Beta - Программа для обнаружения шпионских модулей. Позволяет найти и обезвредить большое количество компьютерных шпионов.

Advanced Spyware Remover 1.73.20134 - Утилита, предназначенная для защиты персонального компьютера от вредоносных программ и шпионских модулей. Позволяет избавиться от рекламных программ, дозвонщиков, программ-шпионов, кейлоггеров, троянов и т.д.

WinPatrol 9.8.1.0 - Программа, предназначенная для повышения безопасности ОС Windows. Отслеживает и уничтожает различные шпионские модули и вредоносные программы типа Adware и Spyware.

Arovax Shield 1.2.314 - Утилита, предназначенная для защиты от программ-шпионов. Arovax Shield позволяет в режиме реального времени следить за безопасностью системы, предупреждая пользователя о проникновении в нее всевозможных паразитов посредством сети Интернет.

Arovax AntiSpyware 1.0.353 - Утилита для удаления программ-шпионов. На сегодняшний день в ее антишпионской базе содержится свыше 33 тысяч сегментов вредоносного кода. Microsoft

AntiSpyware 1.0.701 - Система для борьбы с вредоносными программами и шпионскими модулями разработки Microsoft. Как утверждает разработчик, утилита держит под контролем более 50 так называемых spyware-путей, по которым в компьютер могут попасть шпионские модули.

Trend Micro CWShredder 2.19 - Утилита для нахождения и удаления шпионских программ. Позволяет обнаружить следы присутствия на ПК так называемых Cool Web Search программ (их относят к вирусам-троянам).

a-squared HiJackFree 1.0.0.19 - Утилита, предназначенная для детального анализа системы по различным параметрам, касающимся безопасности. Программа может быть полезна для определения и удаления из компьютера практически всех типов HiJackers, Spyware, Adware, Trojans и Worms.

SpyRemover — неплохая программа для поиска шпионских модулей. SpyRemover распознает более 27.500 типов вредоносных программ (spyware, adware, hijackers, keyloggers, Trojans и т.д.). В ней имеется возможность автообновлений.

XSpy Shield Gold — это мощная программа, которая поможет вам защититься от spyware-модулей, которые присутствуют в некоторых программных продуктах и других шпионских модулях и могут представлять угрозу безопасности вашей операционной системы.

Anti-keylogger — утилита для операционных систем семейства Windows 2k/XP, защищающая от программных кейлоггеров(программ, которые фиксируют все нажатия клавиш на клавиатуре, а значит, могут позволить злоумышленнику узнать все набираемые вами пароли).

CounterSpy — аналог программы Ad-aware. Позволяет удалить шпионские модули с вашего компьютера.

Spy Sweeper — неплохая программа для защиты ПК от spyware (шпионских) модулей, а также от троянов и кейлоггеров.

HookMonitor предназначена для администрирования процесса установки глобальных ловушек на клавиатуру. Выявляет и блокирует модули различного spyware, ведущие наблюдение за набором паролей и т.п.

Browser Sentinel постоянно наблюдает за уязвимыми зонами системы на предмет обнаружения вредоносных компонентов. Она уведомит вас и поможет удалить программы-шпионы, рекламное ПО, клавиатурных шпионов, программы автодозвона и прочих непрошеных гостей.

Microsoft Windows AntiSpyware 1.0.614 beta — это программа для обнаружения и удаления из системы разнообразных нежелательных модулей: отслеживающих интернет-предпочтения, добавляющих всплывающие рекламные окна, вносящих несанкционированные изменения в интернет-настройки. В заключение хотелось бы отметить, что широкое распространение троянских коней было, есть и будет. И тому есть много причин. Троянские программы являются мощным инструментом получения конфиденциальной информации, кражи личных данных, наживы за чужой счет. Для того чтобы остановить трояна, в одних случаях бывает достаточно Spy Remover'а и ему подобных программ, в других — вашего антивируса. Но только комплексное применение методов защиты обеспечит безопасность вашей системы