1.2.2.2. BackDoor

Если переводить дословно означает - задняя дверь или черный ход. Это - тип Троянов, функции которого включают в себя все, на что способен Троян типа Mail Sender, плюс еще десяток-другой функций удаленного администрирования (управления чужым компьютером с другой машины, например, через Интернет). Такой Троян ждет соединения со стороны клиента (неотъемлемая часть всякого трояна, с помощью которой посылаются команды на сервер). Трояны такого типа дают кому угодно полный доступ к зараженному компьютеру. После того как клиент на зараженной машине подключается к Интернету или локальной сети, трояская программа отправляет собранную информацию своему хозяину и открывает доступ к пораженному компьютеру (открывает определенные сетевые порты в системе и сообщает о них хозяину).

Бэкдоры делятся на два основных типа:

• Локальный бэкдор - предоставит какие-то привилегии локально (например, на компьютере есть несколько учетных записей, но пользовательские аккаунты не имеют прав администратора. Подобного рода трояны как раз и предоставляют права администратора тому пользователю, которые его внедрил);

• Удаленный бэкдор - может предоставить shell к машине удаленно.

Существует так же два вида предоставления shell-доступа: BindShell и Back Connect.

BindShell - самый распространенный, работает по архитектуре "клиент-сервер", то есть бэкдор ожидает соединение.

Back Connect - применяется для обхода брандмауэров, бэкдор сам пытается соединиться с компьютером хакера.

1.2.2.3. Log Writers или Key loggers

Это последний тип Тронов, из основных, копирующий всю информацию, вводимую с клавиатуры, и записывающий ее в файл, который впоследствии будет либо отправлен на определенный E-Mail адрес, либо просмотрен через FTP (File Transfer Protocol).

Первоначально программные продукты этого типа предназначались исключительно для записи информации о нажатиях клавиш клавиатуры, в том числе и системных, в специализированный журнал регистрации (log-файл), который впоследствии изучался человеком, установившим эту программу. В последнее время программные продукты, имеющие данное название, выполняют много дополнительных функций - это перехват информации из окон, перехват кликов мыши, <фотографирование> экрана и активных окон, ведение учета всех полученных и отправленных писем, мониторинг файловой активности, системного реестра и очереди заданий, отправленных на принтер, перехват звука с микрофона и видео с веб-камеры, подключенных к компьютеру и др. Кейлоггеры могут быть встроены в коммерческие, бесплатные и условно-бесплатные программы.

В свою очередь кейлоггеры можно разделить на пять типов:

1. Программы-шпионы, разрабатываемые под эгидой правительственных организаций (пример - продукт Magic Lantern, проект под названием Cyber Knight, США).

2. Программы-шпионы, которые могут создаваться разработчиками различных операционных систем и включаться ими в состав ядра операционной системы.

3. Программы-шпионы, которые созданы в ограниченном количестве (часто только в одной или нескольких копиях) для решения конкретной задачи, связанной с похищением критической информации с компьютера пользователя (например программы, применяемые хакерами-профессионалами). Такие программы могут представлять собой немного видоизмененные открытые исходные коды программ-шпионов, взятые из Интернета и скомпилированные самим хакером, что позволяет изменить сигнатуру программы-шпиона.

4. Коммерческие, особенно, корпоративные программные продукты, которые очень редко вносятся в сигнатурные базы, а если и вносятся, то только по политическим мотивам (пример - программные продукты таких известных фирм, как WinWhat-Where Corporation, SpectorSoft Cor-poration, ExploreAnywhere Software LLC, Omniquad, Ltd).

5. Программы-шпионы, представляющие собой keylogging-модули, входящие в состав программ-вирусов. До внесения сигнатурных данных в вирусную базу данные модули являются неизвестными. Пример - всемирно известные вирусы, натворившие много бед в последние годы, имеющие в своем составе модуль перехвата нажатий клавиатуры и отправки полученной информации в сеть Интернет.

Также есть еще два типа троянских программ, которые заслуживают отдельного внимания, это: Trojan-Dropper и Trojan-Downloader. Конечные цели у них абсолютно идентичны - установка на компьютер другой вредоносной программы, которая может быть как червем, так и "троянцем". Отличается только принцип их действия.

Trojan-Dropper

"Дропперы" могут содержать в себе уже известную вредоносную программу или наоборот - устанавливать новую ее версию. Также "дропперы" могут устанавливать не одну, а сразу несколько вредоносных программ, принципиально отличающихся по поведению и даже написанных разными людьми.

Фактически "дропперы" являются своеобразными архивами, внутрь которых может быть помещено все что угодно. Очень часто они применяются для установки в систему уже известных "троянцев", поскольку написать "дроппер" гораздо проще, чем переписывать "троянца", пытаясь сделать его недетектируемым для антивируса. Весьма значительную часть "дропперов" составляют их реализации на скрипт-языках VBS и JS, что объясняется сравнительной простотой программирования на них и универсальностью подобных программ.