Программы-шпионы

Порой бывает важно знать, что происходит с компьютером в Ваше отсутствие. Кто и что делает на нём, какие включает сайты и программы. Обо всём этом могут сообщить специальные программы-шпионы.

Шпионить за кем-либо, по меньшей мере, нехорошо. А то и вовсе уголовно наказуемо (нарушение права на конфиденциальность и всё такое)... Однако, иной раз не помешает знать, например, что делает за компьютером Ваш ребёнок в Ваше отсутствие или чем заняты сотрудники Вашей организации, когда нет начальства. А, может, следят за Вами?!!

Компьютер и мобильные устройства уже давно подвергаются опасностям со стороны всяческих вирусов. Однако, существует класс программного обеспечения, которое, не являясь вредоносным, может выполнять те же функции, что и, например, трояны – вести лог запуска приложений в системе, записывать все нажатия клавиш на клавиатуре, периодически делать скриншоты, а затем отправлять всю собранную информацию тому, кто установил и настроил слежку за пользователем.

Как Вы поняли, речь сегодня пойдёт именно о программах-шпионах, их работе и способах обнаружения.

Отличия от вирусов

В сфере антивирусных решений класс шпионского ПО известен под названием "spyware" (от англ. "spy" – "шпион" и сокр. "software" – "программное обеспечение"). В принципе, некоторые из приложений, которые будут рассмотрены ниже, и воспринимаются антивирусами как вредоносные, на самом деле ими не являясь.

В чём же разница между настоящим spyware и программами для слежения за компьютером? Основное отличие здесь в сфере применения и способе работы. Шпионские вирусы устанавливаются в систему без ведома пользователя и могут служить источником дополнительных угроз (кражи и порчи данных, например).

Шпионские же программы для слежения за компьютером устанавливаются самим пользователем с целью узнать, чем занимается на ПК другой пользователь. При этом сам пользователь может быть осведомлён о том, что за ними ведётся наблюдение (например, так делается в некоторых учреждениях с целью учёта рабочего времени сотрудников).

Однако, в плане принципов работы шпионские программы, по сути, ничем не отличаются от всяческих троянов, кейлоггеров или бэкдоров... Так что, можно считать их эдакими "вирусами-перебежчиками", которые перешли на "светлую сторону" и используются не столько для кражи информации с ПК, сколько для контроля его работы.

Кстати, на Западе практика внедрения следящего ПО на компьютерах пользователей корпоративных сетей и на домашних ПК довольно распространена. Для такого рода программ даже есть отдельное название – "tracking software" ("программы отслеживания"), которое позволяет, хотя бы номинально, отделить их от вредоносного spyware.

Клавиатурные шпионы

Наиболее распространённым и, в определённой мере, опасным видом программ-шпионов являются кейлоггеры (от англ. "key" – "кнопка" и "logger" – "регистратор"). Причём, эти программы могут быть как самостоятельными вирусами, которые внедряются в систему, так и специально установленными утилитами слежения. Разницы между ними, по сути, нет.

Клавиатурные шпионы предназначены для регистрации нажатий всех кнопок на клавиатуре (иногда также мышки) и сохранения данных в файл. В зависимости от принципа работы каждого конкретного кейлоггера, файл может просто храниться на локальном жёстком диске или периодически пересылаться тому, кто ведёт слежку.

Таким образом, ничего не подозревая, мы можем "отдать" все свои пароли третьим лицам, которые могут использовать их в любых целях. Например, злоумышленник может взломать наш аккаунт, изменить пароли доступа и/или перепродать их кому-либо...

Благо, что большинство кейлоггеров довольно быстро пеленгуются большинством антивирусов, поскольку ведут подозрительный перехват данных. Однако, если кейлоггер был установлен администратором, то, скорее всего, будет внесён в исключения и определяться не будет...

Ярким примером бесплатного клавиатурного шпиона можно назвать SC-KeyLog:

Данный кейлоггер, увы, определяется антивирусом ещё на стадии загрузки. Так что, если решите его ставить, временно отключайте защиту, пока не внесёте необходимые файлы в "белый список":

• исполняемый файл программы (по умолчанию: C:\Program Files\Soft-Central\SC-KeyLog\SC-KeyLog2.exe);
• исполняемый файл следящего модуля, который будет создан Вами в указанной папке;
• библиотеку (DLL-файл) скрытой обработки данных, имя которой Вы тоже задаёте на этапе настроек и, которая хранится по умолчанию в папке C:\Windows\System32\.

После установки Вы попадёте в мастер настройки. Здесь Вы можете задать почтовый адрес, на который следует слать файлы с данными, название и место сохранения исполняемых модулей перехвата нажатий клавиш, упомянутых выше, а также пароль, необходимый для открытия логов.

Когда все настройки сделаны и файлы кейлогера внесены в список доверенных программ антивируса, всё готово для работы. Вот пример того, что Вы сможете увидеть в лог-файле:

Как видим, SC-KeyLog отображает заголовки всех окон, с которыми работает пользователь, нажатия кнопок мыши и, собственно, клавиатуры (в том числе, служебных клавиш). При этом стоит отметить, что программа не умеет определять раскладку и выводит все тексты английскими буквами, которые ещё нужно преобразовать в удобочитаемый русскоязычный вид (например, здесь).

Однако, функции кейлоггеров могут скрываться даже в популярном неспециализированном софте. Яркий пример тому – программа для изменения раскладки текста Punto Switcher:

Одной из дополнительных функций данной программы является "Дневник", который активируется вручную и, по сути, является настоящим кейлоггером, который перехватывает и запоминает все введённые с клавиатуры данные. При этом текст сохраняется в нужной раскладке и единственное, чего не хватает, так это перехвата событий мышки и нажатий специальных клавиш клавиатуры.

Плюс же Punto Switcher в качестве кейлоггера в том, что он не пеленгуется антивирусом и установлен на многих компьютерах. Соответственно, при необходимости, Вы можете активировать слежение без установки какого-либо софта и дополнительных ухищрений!

Комплексные шпионы

Кейлоггер хорош в том случае, если Вам достаточно только знать, что пользователь вводит с клавиатуры и какие программы запускает при этом. Однако, этих данных может быть недостаточно. Поэтому были созданы более сложные программные комплексы для всестороннего шпионажа. Такие шпионские комплексы могут включать:

• кейлоггер;
• перехватчик буфера обмена;
• экранный шпион (делает скриншоты через заданные промежутки времени);
• регистратор запуска и активности программ;
• систему звуко- и видеозаписи (при наличии микрофона или веб-камеры).

Чтобы Вы могли лучше представить как работают подобные программы, рассмотрим пару бесплатных решений данного направления. И первым из них будет бесплатная русскоязычная система наблюдения под названием Softex Expert Home (внимание, антивирусы и браузеры могут блокировать доступ к сайту!):

К возможностям программы относятся:

• перехват нажатий клавиш клавиатуры;
• создание скриншотов (по умолчанию слишком часто);
• мониторинг запущенных программ и времени их активности;
• мониторинг активности ПК и учётной записи пользователя.

Увы, данный комплекс для слежением за ПК также пеленгуется антивирусами, поэтому для его загрузки и установки нужно предварительно отключить защиту. Во время установки нам потребуется задать сочетание клавиш для вызова интерфейса программы, а также пароль доступа к собранным данным.После того как инсталляция завершится занесите в "белый список" антивируса всю папку со шпионом (по умолчанию C:\Documents and Settings\All Users\Application Data\Softex) и можете активировать защиту обратно.

Softex Expert Home запустится в фоновом режиме и не будет нигде создавать ни ярлыков, ни активных значков. Обнаружить его работу можно будет только, нажав заданную Вами комбинацию горячих клавиш. В появившемся окошке введите пароль доступа, первым делом зайдите в раздел "Настройки" на вкладку "Скриншоты" и увеличьте минимальный интервал между снимками, а также интервал таймера (по умолчанию 2 и 10 сек, соответственно).

Для слежения за домашним компьютером такого шпиона вполне достаточно. Кроме уже упомянутых выше возможностей, в Expert Home имеется функция удалённого просмотра статистики, которая позволяет смотреть логи через Интернет. Чтобы активировать её достаточно нажать кнопку подключения к серверу в разделе "Интернет-мониторинг", а затем дождаться выдачи ID-компьютера и пароля доступа, которые нужно будет ввести на сайте разработчиков:

Стоит уточнить, что в бесплатном режиме работы статистика на сервере хранится только один день. Если Вы хотите получить доступ к более длительному периоду, то придётся заплатить от 250 (7 дней) до 1000 (30 дней) руб в месяц.

Ещё одной бесплатной комплесной программой для наблюдения за компьютером является Refog Free Keylogger:

Несмотря на то, что в названии программы фигурирует слово "кейлоггер", на самом деле возможностей в ней гораздо больше. Среди них:

• создание скриншотов (по умолчанию раз в минут);
• слежение за активностью в соцсетях (в бесплатной версии только Facebook);
• перехват переписки в мессенджерах (в бесплатной версии только Skype);
• учёт посещённых сайтов;
• сохранение содержимого буфера обмена;
• мониторинг запуска программ и компьютера;
• создание снимков веб-камерой и запись голосовых разговоров;
• отслеживание за изменениями в файловой системе при помощи стандартного Проводника.

Сама программа не определяется антивирусом, однако, при активных эвристических алгоритмах пеленгуется её "подозрительная" деятельность. Поэтому лучше всего устанавливать и настраивать её с отключённой защитой.

На этапе установки предварительная подготовка не требуется (единственное, что нужно – выбрать для кого устанавливается программа и нужно ли отображать её иконку в трее). Однако, после установки нужно внести папку программы (по умолчанию C:\WINDOWS\system32\Mpk) и её исполняемый файл MPKView.exe в исключения антивируса.

При первом запуске откроется окно настроек. Здесь мы можем изменить язык с английского на, например, украинский (русского почему-то нет...), задать свои клавиши бычтрого вызова программы (по умолчанию ALT+CTRL+SHIFT+K) и пароль на вход в панель управления.

Вот, собственно, и всё. Главным недостатком бесплатной версии программы является её ограниченность в некоторых аспектах слежения (доступны не все программы, например), а также отсутствие возможности отправки логов по почте или через FTP. В остальном практически всё хорошо.

Программы-шпионы существуют не только для стационарных компьютеров, но и для мобильных платформ. Если Вы хотите знать, чем занимается Ваш ребёнок на планшете или смартфоне, можете попробовать воспользоваться бесплатной мультиплатформенной системой слежения KidLogger.

Снифферы

Последним, и самым коварным, средством шпионажа могут быть так называемые снифферы (от англ. "sniff" – "вынюхивать"). Данный класс программ по-научному называется "анализаторы трафика" и служит для перехвата и анализа данных, передаваемых через Интернет.

С помощью сниффера злоумышленник может подключиться к текущей веб-сессии пользователя и пользоваться ею в своих целях от имени самого пользователя за счёт подмены пакетов данных. Если же очень не повезёт, то при помощи сниффера у Вас могут "увести" Ваши логины и пароли для входа на любые сайты, где не используется шифрование трафика.

Стать жертвой сниффера больше всего рискуют те, кто для выхода в Интернет пользуется той или иной общественной сетью (например, точкой доступа Wi-Fi). Также под теоретической угрозой могут оказаться пользователи корпоративных сетей со слишком "предприимчивым" администратором.

Чтобы Вы примерно поняли, что такое сниффер, предлагаю рассмотреть в лице представителя данного класса программ разработку популярной команды NirSoft SmartSniff:

Данный сниффер предназначен в основном для перехвата пакетов данных на локальном ПК и служит больше для благих намерений (вроде, отладки сети). Но суть его та же, что и у хакерских инструментов.

Человек, который разбирается в принципах передачи данных по сетевым протоколам и понимает, что за информация передаётся в том или ином пакете, может расшифровать его содержимое и, при желании, подменить, отправив на сервер модифицированный запрос. Если же соединение идёт по простому HTTP-каналу без шифрования, то хакер может увидеть Ваши пароли прямо в окне сниффера без необходимости что-то декодировать!

Проблема усугубляется тем, что раньше существовали снифферы только для стационарных операционных систем. Сегодня же имеются, например, многочисленные снифферы для Android. Поэтому злоумышленник, анализирующий трафик может быть практически, где угодно (хоть за соседним столиком в кафешке с халявным Wi-Fi! Ярким примером снифера для Андроид можно назвать мобильную версию популярного сниффера WireShark Shark for Root:

С помощью данного сниффера и программы анализа логов Shark Reader злоумышленник может перехватывать данные прямо со смартфона или планшета, подключённого к публичной точке доступа.

Противодействие шпионам

Вот мы и узнали, как работают основные виды программ-шпионов. И возникает закономерный вопрос: "А как же защититься от слежки самому?"... Это задача из разряда "сложно, но можно".

Как Вы могли убедиться, практически все программы для шпионажа пеленгуются антивирусами. Поэтому первым шагом будет обновление антивирусных баз, установленного у Вас защитного ПО. Кроме того, обязательно откройте "белый список" своего антивирусного пакета и посмотрите, не разрешена ли в нём работа файлов с подозрительными именами, расположенных в системных папках.

Если Вы используете упомянутый Punto Switcher (или его аналоги), обязательно проверьте, не включил ли кто-то без Вашего ведома "Дневник".

В случае, если ни в настройках антивируса, ни в Punto Switcher никаких подозрительных параметров не обнаружено, можете прибегнуть к сканированию системы специальными антивирусными сканерами. Рекомендую использовать не раз проверенные лично мною программы AdwCleaner и AVZ.

Кроме того, можно проверить работающие в данный момент процессы при помощи специальных антивирусных диспетчеров задач. Примером такого можно назвать бесплатную утилиту AnVir Task Manager. Данный инструмент позволяет не только увидеть имена и адреса всех работающих процессов, но и быстро оценить степень их вредоносности (пускай даже потенциальной).

Тяжелее же всего противодействовать снифферам. Если полностью отказаться от использования общественных сетей Вы не можете, то единственным видом защиты может стать использование сайтов, поддерживающих зашифрованный протокол передачи данных HTTPS (сейчас он есть у большинства социальных сетей). Если же нужный Вам сайт или сервис не поддерживает шифрование, то, в крайнем случае, можно организовать защищённый туннель передачи данных, используя VPN.

Выводы

Как видим, установить и наладить слежку за любым компьютером не так уж и сложно. Причём, сделать это можно совершенно бесплатно при помощи небольших программ. Поэтому, если Вы пользуетесь общественными сетями или работаете за ПК, который использует несколько пользователей, то чисто теоретически есть шанс того, что за Вами уже следят.

Излишняя беспечность и доверие может стоить Вам, как минимум, потери паролей от своих аккаунтов в соцсетях, а, в худших случаях, например, кражи денег на Ваших электронных счетах. Поэтому важно руководствоваться принципом "доверяй, но проверяй".

Если же Вы сами решили установить слежку за чьим-то компьютером, то по-честному должны предупредить об этом пользователя. Иначе, в случае обнаружения шпионажа, Вы можете заработать много проблем на свою голову :) Поэтому, прежде чем шпионить, трижды хорошо подумайте!

P.S. Разрешается свободно копировать и цитировать данную статью при условии указания открытой активной ссылки на источник и сохранения авторства Руслана Тертышного.