KUMASERSOFT

Примеры защиты от шпионов

Обнаружение бесплатного компьютерного шпиона Keyber и его удаление.

Шпионская программа Keyber является бесплатной и, в следствии этого, легко распространяется. Она имеет достаточно стандартную функциональность для такого класса программ – перехват клавиатурного ввода, сохранение информации о работе в интернет, отслеживание работы с приложениями. Отчеты могут отправляться на электронную почту. Keyber запускается автоматически при загрузке операционной системы и никак себя не проявляет.

В COVERT Pro программу Keyber можно обнаружить в мониторе автозагрузки. В главном окне маскировщика нажимаем кнопку “Монитор автозагрузки” и видим строку, выделенную желтым цветом, с названием программы Keyber.exe и путь, по которому она установлена.

Для удаления шпиона нажимаем на желтую строку правой кнопкой мышки и в контекстном меню выбираем сначала пункт “Открыть папку с приложением” потом возвращаемся и выбираем второй пункт “Удалить из автозагрузки”.

В папке шпионской программы находится файл Keyber.exe и библиотека с функциями перехвата KeyberHook.dll. Их следует удалить, но работающий процесс этой программы не даст это сделать.

Поэтому следует открыть монитор “Процессы системы” и найти процесса Keyber.exe. Затем через контекстное меню завершаем его работу.

Теперь можем опять открыть папку шпиона Keyber и все удалить. После этого можно считать его полностью обезвреженным.

Маскировщик позволяет обнаружить такого типа шпионов и другим путем – выявляя их библиотеки с помощью функции “Монитор DLL“. В главном меню открываем его и просматриваем сначала список активных библиотек, которые подгружаются во многие процессы. Как правило шпионские библиотеки маскировщик выделяет желтым или красным цветом. Но Keyber не подгружал свою библиотеку в другие процессы, а устанавливал системные хуки. Поэтому для обнаружения таких файлов, в окне монитора библиотек следует нажать кнопку “Все DLL”. Появившийся список сортируем по столбцу времени, нажимая на верхнею рамку списка с именем “Время”. Происходит сортировка библиотек по дате установки и в списке следует посмотреть на недавно установленные файлы DLL.

Среди самых свежих установок мы видим KeyberHook.dll. Она не имеет описания, имени компании, номера версии и других опознавательных данных. Этот файл принадлежит шпионской программе Keyber. Таки образом инструментарий маскировщика позволяет найти шпионскую библиотеку, даже если она не использует программные процессы. Этот и другие методы, которые мы описываем в наших примерах, можно использовать для обнаружения других шпионов и методов слежения.

Но если у вас нет времени на поиск шпионских программ на вашем компьютере или вы еще не до конца поняли, какие методы можно для этого использовать, тогда просто работайте с конфиденциальной информацией внутри защищенной платформы маскировщика, которая сделает невидимой для шпионов ваши действия. Для входа в платформу нажимаете на кнопку с логотипом и надписью “Вход в платформу защиты” и спокойно работайте в защищённой среде.

Мы протестировали уже достаточно много шпионских программ и ни одна из них не смогла перехватить действия пользователя внутри платформы маскировщика. На скриншоте ниже вы можете видеть лог шпиона Keyber после того, как мы вышли из защищённой среды маскировщика COVERT Pro, в которой находились длительное время и производили разнообразные действия — печатали текст, просматривали страницы сайтов и смотрели в плеере видео ролики.

Лог пустой. Keyber не смог перехватить ни одного из наших действий в защищённой среде. Иногда, следящие программы могут видеть в своих логах, какие программы используются. Но что пользователь делал в этих приложениях, ни один шпион, из всех тестируемых, не смог перехватить.

Вернуться назад