Рассмотрим некоторые деструктивные функции вредоносных несетевых программ. Как правило, выде-
ляют 3 основные группы деструктивных функций, которые могут выполняться вредоносными программами:
1.Сохранение фрагментов информации, возникающей при работе пользователя, прикладных программ, вводе-выводе данных, во внешней памяти (локальной или удаленной) сети или выделенной ПЭВМ.
2.Разрушение функций самоконтроля или изменение алгоритмов функционирования прикладных программ.
3.Навязывание некоторого режима работы (например, при уничтожении информации блокирование записи на диск, при этом информация, естественно, не уничтожается), либо замена записываемой информации на информацию, навязанную вредоносной программой.
Более подробно рассмотрим первую группу. В данном случае можно выделить 3 основные причины потенциально возможного нарушения безопасности системы пользователь - защита - данные:
- вывод информации на экран видеотерминала; - вывод информации в файл или иное внешнее уст-
ройство; - ввод информации с клавиатуры.
Рассмотрим перехват информации при выводе на экран. Выводимый на экран текст одновременно помещается в видеобуфер, откуда может быть считан и сохранен вредоносной программой. Синхронизирующим событием в этом случае может быть:
- ввод с клавиатуры длинной последовательности символов
- (обрабатываемого текста); - чтение из файла;
128
- запуск программ с определенными именами. Кроме того, возможно периодическое сохранение
области экранного буфера, сопряженное с таймерным прерыванием. Надо отметить, что вредоносные программы этого типа имеют малоинформативный результат работы, поскольку в текстовый экран помещается небольшое количество информации, а символы пароля, как правило, на экран не выводятся. Среди отечественных разработок не встречаются вредоносные программы такого типа, но в зарубежных системах они имели место, вероятно, для получения внешнего вида экрана для создания закладкиимитатора.
Рассмотрим ввод информации с клавиатуры. Вре-
доносные программы, анализирующие ввод с клавиатуры, являются достаточно опасными, поскольку клавиатура является основным устройством управления и ввода информации. Через клавиатурный ввод можно получить информацию о вводимых конфиденциальных сообщениях (текстах), паролях и т. д. Перехват может происходить двумя основными способами:
-встраивание в цепочку прерывания int 9h;
-анализом содержания клавиатурного порта или буфера по таймерному прерыванию.
Достаточно широко известен пример такой вредоносной программы, основанной на полном сохранением всех нажатий (отжатий) клавиш в невидимом файле WORK_KEY.BIN. Файл затем изучался, и на его основе лицо, пытавшееся получить доступ к зашифрованным файлам, восстанавливало возможные парольные последовательности. Эта закладка была одновременно внедрена в системы автоматизации документооборота нескольких филиалов коммерческого банка, исполь-
зовавших |
для криптографической защиты документов |
129
утилиту DISKREET. Выделение паролей значительно облегчал тот факт, что пароль запрашивался для контроля правильности 2 раза.
Рассмотрим файловые операции. Предположим,
что программное средство защиты информации производит некоторые файловые операции. Для этого открывается файл, часть его или весь файл считывается в буфер оперативной памяти, обрабатывается и затем, возможно, записывается в файл с прежним или новым именем. Вредоносная программа встраивается в цепочки прерывания int 21h для следующих функций:
-открыть файл (вредоносная программа отфильтровывает нужные имена или указатели файлов);
-считать из файла (вредоносная программа выполняет прерывание по старому адресу указателя, затем сохраняет считанный буфер в собственный, обычно скрытый файл, либо исправляет в буфере некоторые байты файла, кроме того, возможно влияние на результаты операции чтения, например, число прочитанных байт). Данные действия особенно опасны для программ подтверждения под-
линности электронных документов. При считывании приготовленного для подписи файла-документа может произойти изменение символов имени автора, даты, времени, цифровых данных, заголовка назначения документа (например, изменена сумма платежа в платежных поручениях и др.);
- записать в файл (вредоносная программа редактирует нужным образом буфер в оперативной памяти, либо сохраняет файл или часть его в скрытую область, а затем выполняет старое прерывание, в результате чего записывается файл с измененным содержанием, либо каким-то образом дублированный в скрытой области). Закладки такого типа могут, например, навязывать истинность элек-
130
тронной подписи даже тогда, когда файл был изменен (если пометка об истинности подписи хранится в файле, что характерно для систем автоматизированного финансового документооборота).
Рассмотрим угрозы вредоносных сетевых про-
грамм. Можно выделить следующие угрозы для информации для различных сегментов сети:
1.Перехват, искажение, навязывание информации со стороны коммуникационных фрагментов сети.
2.Имитация посылки ложных сообщений на локальные фрагменты сети.
3.Имитация логического канала (удаленный доступ) к ресурсам локальных сегментов сети.
4.Внедрение в проходящую информацию различных функционально законченных блоков кода и данных, могущих реализовать разрушающее воздействие на программное обеспечение и данные сети.
5.Перехват, навязывание, искажение информации при передаче по собственным линиям связи локальных сегментов сети.
6.Внедрение вредоносных программ в программное обеспечение рабочих станций или общедоступные ресурсы (во внешней памяти файл-серверов) локальных сегментов сети.
Основные пути проникновения (внедрения) вредоносных программ в сеть состоят в следующем:
- заражение программного обеспечения рабочих станций вирусами путем нерегламентированных действий пользователей (запуск посторонних программ, игр, иных внешне привлекательных или обещающих некоторый программных средств и т. д.);
- умышленное внедрение вредоносных программ второго типа в программное обеспечение ПЭВМ путем их
131
ассоциирования с выполняемыми модулями или программами начальной загрузки, либо использование в виде отдельных модулей;
-передача вирусов с пересылаемыми файлами на другую рабочую станцию (хост) и заражение после пользования зараженными программами;
-распространение вирусов внутри совокупности сегмента или совокупности ЭВМ, объединенных в локальную сеть общего доступа;
-внедрение в программное обеспечение вирусов при возможности запуска программ с удаленного терминала;
-внедрение вирусов второго типа при разрешении записи с удаленного терминала;
-внедрение вирусов в пересылаемые файлы на коммутаторы или/и серверы ЛВС.
Необходимо заметить, что ИТКС, как правило, имеют неоднородную операционную среду, поэтому передача вирусов по направлению хост - коммутатор чрезвычайно затруднена - пользователи не могут получить доступ к программному обеспечению коммутатора, поскольку информация с хоста в коммутаторе находится во фрагментированном виде (в виде пакетов) и не контактирует с программным обеспечением коммутатора (не влияет на поток команд коммутатора и рассматривается как проходная информация ). В этом случае заражение вирусами может наступать только при пользовании коммутатором как обычной ПЭВМ (для игр или выполнения нерегламентированных работ). При этом возможно заражение коммуникационного программного обеспечения и негативное влияние на целостность и достоверность передаваемых пакетов. Исходя из перечисленных путей проник-
132