कानूनी बूटकिट्स

चतुर रुसाकोव, जिन्हें कई लोग अभी भी गलती से रुसको कहते हैं, ने www.securelist.ru पर एक और लेख लिखा। और फिर से - रूटकिट तकनीक के बारे में। हालाँकि, इस आलेख में TDL 4 या किसी अन्य दुर्भावनापूर्ण प्रोग्राम का उल्लेख नहीं है। क्योंकि लेख कानूनी उत्पादों में गलत तरीके से लागू किए गए रूटकिट प्रौद्योगिकियों के उपयोग के खतरों के बारे में है, जिसे लेखक स्पष्ट रूप से परिचय में रिपोर्ट करता है। वैसे, उन्हें पेश करने के लिए एक विशेष धन्यवाद, क्योंकि उनके बिना एक अप्रस्तुत पाठक को कुछ भी समझ में नहीं आएगा - इस तथ्य के बावजूद कि पाठ में बहुत सारे चित्र हैं।

शुरू करने के लिए, लेखक, संदिग्ध अंतर्दृष्टि के साथ, बहुत मैला कार्यान्वयन के कई मामलों के साथ आता है, जो खलनायक को उनके खलनायक उद्देश्यों के लिए कानूनी ड्राइवरों, संरक्षकों, क्रिप्टरों और क्लासिक एंटी-रूट का उपयोग करने की अनुमति दे सकता है। वह व्यावहारिक रूप से पाठक को यह समझाने में सफल होता है कि कानूनी रूप से हस्ताक्षरित चालक को संभावित सुरक्षा जोखिम होता है यदि रूटकिट प्रौद्योगिकियों को रूसी ऑटोमोबाइल उद्योग की पूर्णता के साथ लागू किया जाता है। इसके अलावा, संदिग्ध सजगता के साथ यह कहते हुए कि बैरिकेड्स के दूसरी तरफ कोई मूर्ख नहीं है, लेखक पाठकों को खलनायक की संभावना के साथ डराता है ताकि वे हड्डियों के द्वारा कर्नेल मोड ड्राइवर के बारे में विचारहीन लापरवाह कार्यान्वयन कर सकें और फिर से दुर्भावनापूर्ण उद्देश्यों के लिए इस बर्बर ज्ञान का उपयोग कर सकें।


"हालांकि, हमने एक विसंगति की खोज की - पढ़ने के दौरान एमबीआर का एक प्रतिस्थापन। प्रतिस्थापन डिस्क स्टैक के फ़िल्टर ड्राइवर द्वारा कार्यान्वित किया जाता है ”( कोमोडो टाइम मशीन )।

फिर यह पता चला कि उपयोगकर्ताओं के कंप्यूटर पर अभी भी कानूनी कार्यक्रम हैं, जिनका व्यवहार न केवल लेखक के लिए संदिग्ध लगता है, बल्कि कास्परस्की एंटी-वायरस के एंटी-रूटकिट घटक के लिए भी है। लेखक चार प्रोग्राम पर विचार करता है जो रूटकिट तकनीक का उपयोग करते हैं: COMODO टाइम मशीन, नॉर्टन गोबैक, रिस्टोरिट और पीसी बैक प्रो / रोलबैक आरएक्स (दो नामों वाला एक प्रोग्राम)। सभी उत्पादों को अप्रत्याशित आपदा की स्थिति में सिस्टम को उसकी सामान्य स्थिति में वापस लाने के महान लक्ष्य के साथ बनाया गया था। हालाँकि चार में से दो प्रोग्राम अब निर्माता द्वारा समर्थित नहीं हैं, लेकिन लेखक उनके साथ गलती पाता है। और उसे पता चलता है कि सभी कार्यक्रमों में ऑपरेटिंग सिस्टम को लोड करने से पहले मैजिक बटन का उपयोग करके एक विशेष रिकवरी कंसोल लॉन्च करने की क्षमता है। इस सुविधा को लागू करने के लिए, सभी मामलों में एमबीआर संशोधन तंत्र का उपयोग किया गया था।

आगे और भी बुरा। सभी कार्यक्रमों में, पढ़ने के दौरान एमबीआर स्पूफिंग का पता लगाया जाता है, जिसे डिस्क स्टैक के फ़िल्टर ड्राइवर द्वारा कार्यान्वित किया जाता है। इसके अलावा, एमबीआर पढ़ते समय, एमबीआर की सामग्री को संशोधन से पहले लौटा दिया जाता है - यानी नकली सामग्री। और एमबीआर को लिखना या तो निषिद्ध है, या फ़िल्टर ड्राइवर इसे नरक में भेजता है, अर्थात। अनुरोध को पुनर्निर्देशित करता है, और रिकॉर्डिंग दूसरी जगह होती है। हालाँकि, संशोधित MBR अछूता रहता है।

इससे भी आगे - और भी बुरा, क्योंकि लेखक ने अपनी सारी शिथिलता के बावजूद, एमबीआर को "आश्चर्यचकित" करने के तथ्य को छिपाया । और वह यह जांचने का निर्णय लेता है कि फ़िल्टर ड्राइवर को दरकिनार करके बूट रिकॉर्ड को संशोधित करके उत्पाद कैसे व्यवहार करते हैं। सफलतापूर्वक एमबीआर में कचरे के एक गुच्छे को फिल्टर को दरकिनार करते हुए, लेखक भयानक चीजों का पता लगाता है: एमबीआर को पढ़ते समय एमबीआर को ओवरराइट करने के बाद सभी उत्पाद नकली सामग्री का उत्पादन जारी रखते हैं; कंप्यूटर रिबूट करने के बाद बूट नहीं करता है ("बेशक"); और रिकवरी कंसोल को किसी भी जादुई बटन के साथ नहीं बुलाया जा सकता है।

स्थिति के बारे में सोचने के बाद, लेखक इस निष्कर्ष पर पहुंचता है कि इस सॉफ़्टवेयर का उपयोग उपयोगकर्ता को मुसीबतों के एक समूह के साथ धमकी दे सकता है, अर्थात्:

• वह एमबीआर संक्रमण के बारे में नहीं सीख पाएंगे;
• कंप्यूटर पर मैलवेयर एक कानूनी उपयोगिता का उपयोग करके छिपाया जाएगा;
• गंभीर समस्याओं के मामले में, सिस्टम रोलबैक के लिए सॉफ्टवेयर सबसे अधिक काम नहीं करेगा;
• विभाजन संपादन उपकरण का उपयोग करने से सिस्टम प्रदर्शन का नुकसान हो सकता है।

विलेख से बहुत प्रभावित होने के कारण, रुसाकोव ने ऊपर दिए गए उत्पादों के निर्माताओं और उनके एनालॉग्स को कई सिफारिशें भी दी हैं। हम बोली:

1. एमबीआर संशोधन तंत्र पूरी तरह से कानूनी है, लेकिन आपको अपने उत्पादों में रूटकिट प्रौद्योगिकियों को पूरी तरह से त्यागने की आवश्यकता है - अन्य एल्गोरिदम हैं। उपयोगकर्ताओं से कुछ भी छिपाने की आवश्यकता नहीं है।
2. रिकवरी कंसोल को बूट डिस्क या हटाने योग्य मीडिया के रूप में लागू किया जा सकता है।
3. ड्राइवरों को कॉलर की प्रमाणीकरण कार्यक्षमता की आवश्यकता होती है, अगर यह वहां नहीं है (उद्धरण का अंत)।

हमारे भाग के लिए, हम व्याचेस्लाव की कॉल में शामिल होते हैं: यदि आपके उत्पाद उपयोगकर्ता से कुछ छिपा रहे हैं - तो उन्हें तुरंत रोक दें! क्योंकि लेखक की रचनात्मकता के पारखी जानते हैं कि यह अंत नहीं है। चतुर रुसाकोव समय के साथ एक और लेख लिखेंगे, और यदि आप तुरंत उनकी सलाह का पालन नहीं करते हैं, तो वे आपके उत्पादों को प्राप्त करेंगे, उनमें लागू रूटकिट प्रौद्योगिकियों और बुराई की जड़ तक।