Руткиты, шпионские программы и клавиатурные шпионы

Многие виды вредоносных программ заявляют о своём присутствии заметным ущербом, однако существует класс вредоносного ПО, специально созданный для того, чтобы оставаться скрытым от пользователей, администраторов и средств защиты и при этом незаметно выполнять задачи злоумышленников. Rootkit, Spyware и кейлоггеры представляют скрытую часть спектра вредоносных программ. Их эффективность зависит от сохранения присутствия без обнаружения: они могут оставаться активными месяцами или годами, незаметно похищая учётные данные и информацию. Понимание методов сокрытия необходимо для криминалистического расследования и выбора средств обнаружения, способных найти то, что пропускают стандартные проверки.

Rootkit изменяет операционную систему или низкоуровневое ПО, чтобы скрыть присутствие злоумышленника. Термин происходит от Unix «root» (наивысший уровень привилегий) и «kit» (набор инструментов). Rootkit перехватывает функции OS, чтобы скрывать файлы, ключи реестра, процессы и сетевые соединения от стандартных средств проверки системы. Процесс, в котором работает Rootkit, может не отображаться в Task Manager, его сетевые соединения не будут показаны командой netstat, а его файлы не появятся в списках каталогов — потому что все эти средства обращаются к OS через те же API, которые скомпрометировал Rootkit. Обнаружить Rootkit изнутри заражённой OS чрезвычайно трудно.

Rootkit классифицируют по месту работы в системе. Rootkit пользовательского режима (на уровне приложений) работает в пользовательском пространстве и перехватывает вызовы API; его проще всего обнаружить и удалить. Rootkit режима ядра работает с привилегиями уровня OS, изменяя структуры данных ядра; он очень скрытен, а для установки ему требуется драйвер или эксплуатация уязвимости ядра. Bootkit (Rootkit MBR) заражает главную загрузочную запись или загрузочную запись тома и загружается до OS, оставаясь невидимым для OS во время работы. Rootkit гипервизора (на основе VM) располагается ниже OS и запускает исходную OS как виртуальную машину, поэтому теоретически его невозможно обнаружить из гостевой системы.

Поскольку Rootkit нарушает работу собственных механизмов отчётности OS, для обнаружения необходимо выполнять проверку извне заражённой OS. Методы включают: анализ перекрёстных представлений (непосредственное сравнение структур данных ядра в памяти с данными, возвращаемыми API; несоответствия указывают на скрытые объекты), проверку целостности (сравнение хешей важных системных файлов с эталонными значениями, полученными из доверенного источника), автономное сканирование (загрузка с чистого USB и проверка диска) и Secure Boot с аттестацией TPM (криптографическая проверка того, что цепочка загрузки не была изменена). Среди инструментов — GMER, Malwarebytes Anti-Rootkit и chkrootkit/rkhunter для Linux.

Spyware тайно отслеживает действия пользователя и передаёт информацию злоумышленнику без ведома или согласия пользователя. Оно может собирать историю посещений, поисковые запросы, снимки экрана, сведения об использовании приложений и данные о местоположении. Некоторые программы Spyware коммерчески продаются как «программы мониторинга» для родительского контроля или наблюдения за сотрудниками (хотя законность зависит от юрисдикции). Злоумышленники и государственные структуры используют вредоносное Spyware для скрытого похищения конфиденциальных деловых данных, личной информации и интеллектуальной собственности. Spyware часто поставляется вместе с бесплатными программами (PUP), из-за чего бывает трудно определить источник заражения.

Stalkerware — это Spyware, предназначенное для тайного наблюдения за интимными партнёрами и рекламируемое злоумышленникам как средство слежки за партнёром. Оно собирает данные о местоположении, звонках, сообщениях и социальных сетях. Коммерческое Spyware (например, Pegasus от NSO Group, Candiru и FinFisher) продаётся правительствам и правоохранительным органам и часто используется против журналистов, активистов и диссидентов. Pegasus использовало уязвимости iPhone, не требующие нажатия пользователя, чтобы установить ПО без каких-либо действий с его стороны. Coalition Against Stalkerware и исследователи безопасности работали над добавлением обнаружения Stalkerware в основные продукты AV. Для обнаружения часто требуется криминалистический анализ устройства с помощью таких инструментов, как Mobile Verification Toolkit (MVT) Amnesty International.

Кейлоггер записывает каждое нажатие клавиши, выполняемое пользователем, перехватывая пароли, сообщения, номера кредитных карт и любые другие вводимые данные. Программные кейлоггеры работают на разных уровнях: перехватчики пользовательского режима (API SetWindowsHookEx), драйверы режима ядра (более скрытые) или перехватчики форм, которые перехватывают отправку данных браузерных форм до шифрования. Аппаратные кейлоггеры — это физические устройства, подключаемые между клавиатурой и компьютером; они полностью невидимы для программных средств обнаружения. Они хранят нажатия клавиш во внутренней памяти для последующего извлечения. Организациям, защищающим зоны с высоким уровнем безопасности, следует регулярно проверять аппаратные порты на наличие несанкционированных устройств.

Перехватчики форм перехватывают данные, отправляемые в браузерных формах, до их шифрования и передачи по сети, собирая имена пользователей, пароли и номера кредитных карт в момент ввода. Известный банковский троянец Zeus (Zbot) использовал перехватчики форм, внедрённые в процессы браузера. В отличие от сетевых анализаторов трафика, блокируемых HTTPS, перехватчики форм работают на уровне приложений, поэтому шифрование для них не имеет значения. Обычно они перехватывают функции браузера, такие как InternetReadFile, или внедряются в память процесса браузера. Современные средства EDR обнаруживают внедрение в процессы и схемы перехвата API браузера, характерные для активности перехватчиков форм.

Adware показывает нежелательную рекламу и может перенаправлять браузерный трафик, чтобы приносить доход своим операторам. Хотя Adware менее разрушительно, чем другие вредоносные программы, оно снижает производительность системы, нарушает конфиденциальность и создаёт риски безопасности, перенаправляя пользователя на вредоносные сайты или устанавливаясь вместе с более опасным ПО. PUP (потенциально нежелательные программы) — это программы, которые пользователь мог не устанавливать намеренно; часто они поставляются вместе с бесплатным ПО через вводящие в заблуждение диалоги установки. PUP занимают промежуточное положение: они могут не быть строго вредоносными, но потребляют ресурсы, нарушают конфиденциальность и создают путь для более опасных заражений.

После установки вредоносного ПО с достаточными привилегиями извлечение учетных данных получает сохраненные учетные данные из памяти или с диска для перемещения по сети. Процесс Windows LSASS хранит учетные данные в памяти для единого входа. Такие инструменты, как Mimikatz, извлекают из памяти LSASS пароли в открытом виде или хеши NTLM. Защитники противодействуют этому с помощью Credential Guard (Windows 10 и более поздних версий; использует безопасность на основе виртуализации для изоляции LSASS в защищенном контейнере), включения учетных записей в группу защищенных пользователей (предотвращает кэширование учетных данных) и правил EDR, которые выдают оповещения при обращении к памяти LSASS из процессов, не относящихся к системным.

Попытка удалить руткит из работающей системы опасна: руткит активно скрывает себя и может обнаружить попытки удаления. Рекомендуемый подход к устранению руткита — переподготовить систему из доверенного эталонного образа после сохранения судебных доказательств. Если немедленная полная переподготовка невозможна, загрузитесь с доверенного внешнего носителя (USB-накопителя с автономным сканером), запустите средства обнаружения руткитов до загрузки ОС, задокументируйте все артефакты и запланируйте переподготовку при первой возможности. Для буткитов используйте Secure Boot с UEFI, чтобы предотвратить загрузку неподписанных загрузчиков, и рассмотрите возможность записи нулей в MBR перед повторной установкой ОС.

Проверьте свое понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что рутки́ты подменяют API ОС, чтобы скрывать процессы, файлы и сетевые подключения, из-за чего обнаружение из зараженной ОС становится ненадежным и требуются автономное сканирование или анализ перекрестных представлений; шпионское ПО и кейлоггеры незаметно похищают учетные данные и данные, а поведенческие признаки этого можно обнаружить с помощью мониторинга сети и проверки процессов средствами EDR; инструменты для извлечения учетных данных, такие как Mimikatz, нацеленные на LSASS, нейтрализуются с помощью Windows Credential Guard и групповых политик защищенных пользователей. Далее мы рассмотрим безфайловое вредоносное ПО и атаки с использованием штатных средств системы.