शिट और तलवार

यहां मैं इस सारे संघर्ष (एंटी-वायरस ऑफिस और दुर्भावनापूर्ण वायरस और ट्रोजन निर्माताओं) को देखता हूं और मैं समझता हूं कि स्थिति चिकन के बारे में मजाक करने के लिए समान है (और मैं मुर्गा से बहुत तेज नहीं दौड़ता)।



मुझे समझाने दो, एक टिप्पणी में मैंने एक अच्छा वाक्यांश जासूसी किया: अंत उपयोगकर्ता वैसे भी अपने धन को हमलावरों को, या एंटीवायरस के लिए देगा। अंत में, पैसा सब कुछ नियम, नमस्ते, पूंजीवाद! कोई भी प्रोएक्टिव एंटीवायरस बनाने में दिलचस्पी नहीं रखता है जो बिना हस्ताक्षर के काम करेगा - तब एंटीवायरस प्रोग्राम क्या बेचेंगे? स्पष्ट आपत्तियों का अनुमान लगाते हुए, मैं स्पष्ट करता हूं: एक एंटीवायरस जो व्यवहार विश्लेषण के लिए नियमों के लगातार अद्यतन डेटाबेस के बिना काम करता है।





आज हमारे पास क्या है? मैलवेयर के दो बड़े वर्ग: द्रव्यमान (ज़ीउस, ज़ीरोएस्ट, सलिटी, आदि) और एपीटी (पढ़ें, विशिष्ट कार्यों के लिए लिखे गए मैलवेयर)। एंटीवायरस उत्पादों के हमारे मुख्य खरीदार कौन हैं? यह सही है, बड़ी कंपनियां। यह ठीक एपीटी वर्ग की धमकियां हैं जो उन्हें मुख्य नुकसान पहुंचाती हैं, क्योंकि बड़े पैमाने पर पहले से ही पता चला है। और अब, ध्यान दें - जो आपको नए वर्कआर्डर्स पर नज़र रखने से रोक रहा है (जिस पर एपीटी वास्तव में आधारित है)?



रिक्टर की पुस्तक में कोडिंग कोड (इंजेक्ट), निश्चित रूप से, काम नहीं करता है (बाइट्स के लिए धन्यवाद, हालांकि एंटीवायरस इसे पकड़ते हैं)। आज के लिए दो सबसे लोकप्रिय तकनीक CreateProcess / MapViewOfSection / QueueUserAPC / ResumeThread और Shell_TrayWnd / SetWindowLong / SendNotifyMessage हैं। और वे 2009 से (और पहले भी) ट्रोजन के संकीर्ण घेरे में जाने जाते हैं, वैसे। किसने उन्हें प्रकट होने और बंद होने से रोका - यह अंधेरे में ढंका एक रहस्य है।



एक सरल उदाहरण: svchost.exe में इंजेक्शन एक निलंबित स्थिति में चलाकर - क्या वास्तव में एक सक्रिय नियम बनाना मुश्किल है कि svchost.exe हमेशा सिस्टम खाते से शुरू किया जाता है, और किसी अन्य उपयोगकर्ता की ओर से नहीं? यही कारण है कि APT मौजूद है क्योंकि एंटीवायरस डेवलपर्स के पास ड्रम में यह सब गहरा है। उनके पास एक अलग काम करने का सिद्धांत है - एक लाख कंप्यूटरों पर एक संक्रमण होगा, हम एक हस्ताक्षर जोड़ेंगे, और भविष्यवाणी को मोड़ने के लिए कुछ भी नहीं है, और इसलिए, संक्रमण बहुत सारे संसाधनों और स्मृति को खाता है।



किसी को यह आभास हो जाता है कि एंटीवायरस के विश्लेषक केवल एक और APT खतरे को समझने में व्यस्त हैं, विचारों के साथ: "अरे, ऐसा क्या हो सकता है"? ऐसा लगता है कि वे नहीं जानते हैं कि हर तरह की हरकतों, वासनामों, और दिनबजों में हर तरह की नई चालें चल रही हैं और नियमित रूप से डीब्रीफिंग की व्यवस्था है।



जाहिरा तौर पर, एंटीवायरस के लिए पैसा झूठी सुरक्षा की भावना के लिए भुगतान किया जाता है, और कंप्यूटर को कंप्यूटर से संक्रमण से बचाने के लिए नहीं।



एक अन्य साइबर-जासूसी कंपनी की प्रत्येक रिपोर्ट शब्दों के साथ शुरू होती है: एक कंपनी द्वारा गुमनाम रहने की इच्छा से की गई जांच के परिणामस्वरूप, हमारे "विशेषज्ञों" ने एक नया मैलवेयर खोजा है जो N वर्षों से संचालित हो रहा है (जहां N भिन्न होता है, औसतन दो से पांच तक)। यही है, एपीटी को एंटीवायरस (जो तार्किक है) द्वारा पता नहीं लगाया गया है, लेकिन मैन्युअल रूप से स्थित है। और ये सब कहां हैं प्रोएक्टिव तकनीकें?



नोट के बिंदुओं में से एक निम्नलिखित है: एंटीवायरस कार्यालय कब तक हमें नूडल्स का विपणन करेंगे? शायद यह काम करने के लिए नीचे उतर रहा है (लगातार निगरानी कर रहा है कि दुश्मन के शिविर में क्या हो रहा है) शैली में रिपोर्टों को खंगालने के बजाय: हमने इसे यहां पाया है!



सैंडबॉक्स के प्रशंसकों के लिए एक विशेष हैलो, किसी भी तरह की टिप्पणियों में उन्होंने मुझे धोखा दिया कि सैंडबॉक्स रूसी लोकतंत्र के पिता को बचाएगा। हालांकि, इस सिद्धांत को मत भूलना कि उपयोगकर्ता जो कुछ भी कर सकता है वह उस प्रोग्राम द्वारा किया जाएगा जो वह चलाता है। उन लोगों के लिए जो विशेष रूप से अलगाव के विषय में रुचि रखते हैं - जोआना रुतकोव्स्काया से क्यूब्स ओएस परियोजना देखें।



हमेशा सुविधा और सुरक्षा के बीच विरोधाभास होता है, सुरक्षित, अधिक असहज। तानाशाही और लोकतंत्र के साथ समानता तुरंत दिखती है। जब तक एंटीवायरस प्रोग्राम सुरक्षा की विंडोज जैसी शैली में जारी रहता है (जो निषिद्ध नहीं है, इसकी अनुमति है), कुछ भी अच्छा नहीं होगा।



फिर से, एक उदाहरण: svchost.exe विश्वसनीय अनुप्रयोगों में है क्योंकि विंडोज अपडेट इसके माध्यम से आ रहे हैं। तो आगे क्या है? हां, एक नियम बनाएं कि केवल Microsoft सर्वरों को ही प्रवेश करने की अनुमति है! लेकिन नहीं, क्या होगा अगर हम wsus के माध्यम से कॉर्पोरेट नेटवर्क के अंदर अपडेट किए जाते हैं? इसलिए, सोफोस यहां नियम करता है, डिफ़ॉल्ट रूप से यह स्वयं को अपडेट करने की अनुमति भी नहीं देता है (नियम को स्वयं निर्धारित करना आवश्यक है)।



मुझे चल रहे अनुप्रयोगों के श्वेतसूची को बनाए रखने की पहल से बहुत आश्चर्य हुआ। साधारण प्रशासक अपने हाथों से वर्षों से क्या कर रहे हैं, एक जीयूआई में लिपटे हुए और एक नए सुपर-डुपर के रूप में नवाचार को पारित किया (और उन्होंने शायद इसका पेटेंट भी कराया!) दस साल पहले आप कहां थे?



सारांश (वादा नंबर दो): उपयोगकर्ता के साथ लोकतंत्र खेलना बंद करें, इसे सीमित करें और यह है। और जो निर्माता ऐसा करने का फैसला करता है वह बाजार को फाड़ देगा। तब तक, हम आने वाले लंबे समय के लिए "नारंगी सितंबर" के कुछ प्रकार के बारे में अगले ओपस को पढ़ने का आनंद लेंगे।