Введение 1
Кому адресована эта книга 2
Благодарности 2
Глава 1. Классификация вредоносных программ 3
Классификация по методике заражения системы 3
Классификация по наносимому ущербу 5
Основные разновидности вредоносных программ 5
SpyWare (программы-шпионы) 6
SpyWare cookies 8
AdWare-программы и модули 10
Trojan-Downloader 11
Dialer 12
BHO (Browser Helper Object) 13
Hijacker 14
Trojan (троянская программа) 15
Backdoor 16
Hoax 16
Статистика распространенности различных видов вредоносного ПО 19
Тенденции развития вредоносных программ 21
Глава 2. Технологии вредоносных программ и принципы их работы 23
Rootkit 23
UserMode Rootkit 25
Методики внедрения машинного кода в процесс 27
Методики перехвата функций 36
KernelMode Rootkit 74
Основные типы KernelMode-руткитов 78
Вмешательство в работу системы без перехвата функций 91
Rootkit на основе драйвера-фильтра файловой системы 101
Мониторинг системы без установки перехватов 101
Выводы 104
Клавиатурные шпионы 105
Клавиатурный шпион на основе ловушек 107
Методики поиска клавиатурных шпионов на базе ловушек 112
Слежение за клавиатурным вводом с помощью опроса клавиатуры 117
Клавиатурный шпион на базе руткит-технологии в UserMode 118
Клавиатурный шпион на базе драйвера-фильтра 122
Клавиатурный шпион на базе Rootkit-технологии в KernelMode 130
Программы для слежения за буфером обмена и снятия копий экрана 144
Слежение за буфером обмена 144
Снятие копий экрана 147
Обнаружение программ, осуществляющих слежение за буфером обмена и экраном 148
Trojan-Downloader 151
Trojan-Downloader на базе функций библиотеки urlmon 151
Trojan-Downloader на базе функций библиотеки wininet 152
Trojan-Dropper 155
Технологии защиты вредоносных программ от удаления 158
Блокировка доступа к файлу 159
Противодействие основным методикам защиты от удаления 160
Hijacker 161
Технологии слежения за сетевой активностью 162
Технологии противодействия Firewall 166
Доступ в сеть недоверенного приложения 167
Доступ в сеть с использованием RAW Socket 167
Управление доверенным приложением 168
Внедрение посторонних DLL в доверенные процессы 169
Создание в доверенных процессах троянских потоков 170
Модификация машинного кода доверенных процессов 171
Маскировка недоверенного процесса 172
Атаки на процессы Firewall 172
Атаки на GUI управляющей оболочки 173
Модификация ключей реестра и файлов, принадлежащих Firewall 173
Модификация базы данных Firewall 174
Обход драйверов, установленных Firewall 174
Глава 3. Программы и утилиты для исследования системы 177
Утилиты для поиска и нейтрализации руткитов 177
AVZ 178
RootkitRevealer 182
BlackLight 184
UnHackMe 186
Rootkit Hook Analyzer 187
SSV 188
Утилиты мониторинга системы 190
FileMon 190
RegMon 192
TDIMon 193
TCPView 194
Утилиты для управления автозапуском 195
Autoruns 195
Утилита HijackThis 198
Диспетчеры процессов 200
Утилита Process Explorer 200
Утилиты для поиска и блокирования клавиатурных шпионов 203
PrivacyKeyboard 203
Advanced Anti Keylogger 205
Снифферы 206
CommView 208
Ethereal 210
Антивирусная утилита AVZ 214
Диспетчер процессов 217
Автоматическое исследование системы 220
Восстановление системы 224
Автоматический карантин 226
Система AVZ Guard 227
Поиск файлов на диске 229
Диспетчер автозапуска 233
Полезные OnLine-ресурсы 234
Сайт http://www.virustotal.com/ 234
Сайт http://virusscan.jotti.org/ 234
Выводы 235
Глава 4. Методики исследования системы, поиска и удаления вредоносных программ 237
Подготовка к анализу 237
Поиск и нейтрализация руткитов 238
Пример анализа — Backdoor.Haxdoor 238
Пример анализа — Backdoor.HackDef 241
Пример анализа — Worm.Feebs 244
Поиск клавиатурных шпионов 247
Кейлоггер на основе ловушек 247
Кейлоггер на основе циклического опроса клавиатуры 248
Кейлоггер на базе руткит-технологии 249
Типовые ситуации, возникающие в ходе лечения ПК, и их решение 249
Изменение настроек браузера 250
Практический пример — Trojan.Win32.StartPage.adi 252
Практический пример — Trojan.StartPage на базе REG-файла 254
Замена обоев рабочего стола без желания пользователя 255
Практический пример — Hoax.Win32.Avgold 256
Вывод посторонних окон с рекламной информацией 259
Пример — AdWare.Look2me 260
Появление посторонних BHO 264
Практический пример — Trojan.Win32.Agent.fc 267
Заключение 269
ПРИЛОЖЕНИЯ 271
Приложение 1
. Номера функций в KiST для различных операционных систем 273
Приложение 2. Описание компакт-диска 285
Каталог SOURCE 285
Подкаталог Rootkit 285
Подкаталог Keylogger 286
Подкаталог Malware 287
Каталог Info 287
Каталог AVZ 287
Список литературы 288
Предметный указатель 289
VI Оглавление V Оглавление