А. Белоус - Кибероружие и кибербезопасность. О сложных вещах простыми словами

В частности — HP DL380 G5 — это сервер хранения данных пятого поколения, который широко используется в корпоративных центрах обработки данных.

Специализированный троян IRONCHEF («железный шеф») основан на зловредном изменении BIOS и обычно применяется для установления связи шефа с конкретным агентом АНБ. используя скрытые аппаратные средства. Известно, что троян разработан для серверов семейства Proliant, которые выпускаются компанией Hewlett-Packard, например, Dell PowerEdge server — это сервер хранения. предназначенный для использования в корпоративных центрах обработки данных.

Троян DEITYBOUNCE основан на изменении BIOS, этот троян применяется для установления связи с инфраструктурой NSA (National Security Agency), используя скрытые аппаратные средства.

Следует отметить тот факт, что основным уязвимым механизмом проникновения троянов, в частности, для сетевого оборудования является BIOS. После специальной операции перепрошивки платформы становится возможным как устанавливать программные закладки 2-го уровня, так и обеспечивать их постоянное присутствие. Наиболее очевидным средством контроля образа BIOS является использование модуля доверенной загрузки. Возможным усилением этого механизма контроля может являться единая подпись удостоверяющего центра на все BIOS, а также обязательное наличие в ПО возможности расчета и отображения контрольных сумм BIOS и ОС.

Отдельно следует отметить системный подход спецслужб США по покрытию целевой инфраструктуры разнообразными закладками.

В этой главе также рассмотрены основные типы аппаратных троянов в компьютерах — в системном блоке, для получения через порт USB. трояны для перехвата и передачи «хозяину» информации вводимой пользователем через клавиатуру, а также основные виды троянских программ, внедряемых в жесткие диски компьютеров.

Так. например, в отдельном разделе главы рассмотрены аппаратные трояны, внедренные в системные блоки компьютеров.

Троян HOWLERMONKEY представляет собой аппаратный радио-модуль. который в совокупности с другими элементами позволяет снимать удаленно данные с вычислительных компонентов, а также осуществлять удаленное управление.

Троян GINSU — это троянская часть комплекса, которая состоит из аппаратного импланта BULLDOZER (устанавливается в разъем PCI) и программной закладки KONGUR. В совокупности позволяет осуществлять удаленный доступ к Windows-системам.

Троян MAESTRO-II — это модуль на интегральных схемах, который может быть легко сконфигурирован для выполнения конкретных специальных задач.

Троян IRATEMONK — представляет собой зловредный код в прошивке накопителей на жестких дисках от следующих производителей: Western Digital, Seagate, Maxtor and Samsung. Он позволяет заменять MBR (Master Boot Record — загрузочная мастер-запись).

Троян SWAP — представляет собой зловредный код в прошивке BIOS, который позволяет удаленно управлять различными ОС (Windows, FreeBSD. Linux, Solaris) и файловыми системами (FAT32, NTFS. ЕХТ2, ЕХТЗ. UFS 1.0) на компьютере пользователя.

Троян WISTFULTOLL — предназначен для проведения атак несанкционированного доступа к данным, используя протокол WMI (Windows Management Instrumentation). Также может быть использован как подключаемый модуль для программ-шпионов UNITEDDRAKE и STRAITBIZZARE.

Троян JUNIORMINT — аппаратный модуль на интегральных схемах, который может быть гибко конфигурирован для различных целей.

Троян SOMBERKNAVE — программный шпион под ОС Windows ХР. который использует не задействованные порты беспроводного подключения. В результате к компьютеру можно удаленно не санкционирование подключаться и управлять им.

Говоря о «клавиатурных шпионах» (кейлоггерах), надо отметить, что к нашему с вами огромному сожалению, существуют разнообразные способы распространения кейлоггеров. но не стоит ждать от клавиатурных шпионов эксцентричных способов распространения. они в целом такие же, как и у других троянов.

Здесь можно выделить лишь следующие наиболее известные методы распространения кейлоггеров (без учета случаев покупки и установки их заботливым другом, супругом/ой и использования кейлоггеров службами безопасности организаций):

• при открытии зараженного файла, присоединенного к электронному письму;

• при запуске файла из каталога, находящегося в общем доступе в peer-to-peer сети;

• с помощью скрипта на веб-страницах, который использует особенности интернет-браузеров, позволяющие программам запускаться автоматически при заходе пользователя на данные страницы;