Кибероружие и кибербезопасность. О сложных вещах простыми словами

В этой главе также рассматриваются трояны, внедряемые в рабочие серверы предприятий — объектов кибератак. Как известно — сервер — это специальный компьютер, который обеспечивает доступность данных в сети компании пли в сети Интернет. Подразделения АНБ разработали сразу несколько аппаратных и программных троянов для серверов производителей Dell и Hewlett-Packard. Программный троян «DEITYBOUNCE» размещается внутри BIOS, самом низком уровне программного обеспечения, серверов Dell Power Edge. Это расположение обеспечивает функционирование трояна по установке дополнительных шпионских программ, даже если компьютер перезагружается или осуществляется переустановка операционной системы. Предполагается, что аппаратные трояны-имплантаты для серверов Dell и HP устанавливаются на этапе доставки оборудования конкретному заказчику путем перехвата и манипулирования, при этом их установка профессионалом АНБ занимает буквально несколько минут.

В частности — HP DL380 G5 — это сервер хранения данных пятого поколения, который широко используется в корпоративных центрах обработки данных.

Специализированный троян IRONCHEF («железный шеф») основан на зловредном изменении BIOS и обычно применяется для установления связи шефа с конкретным агентом АНБ. используя скрытые аппаратные средства. Известно, что троян разработан для серверов семейства Proliant, которые выпускаются компанией Hewlett-Packard, например, Dell PowerEdge server — это сервер хранения. предназначенный для использования в корпоративных центрах обработки данных.

Троян DEITYBOUNCE основан на изменении BIOS, этот троян применяется для установления связи с инфраструктурой NSA (National Security Agency), используя скрытые аппаратные средства.

Следует отметить тот факт, что основным уязвимым механизмом проникновения троянов, в частности, для сетевого оборудования является BIOS. После специальной операции перепрошивки платформы становится возможным как устанавливать программные закладки 2-го уровня, так и обеспечивать их постоянное присутствие. Наиболее очевидным средством контроля образа BIOS является использование модуля доверенной загрузки. Возможным усилением этого механизма контроля может являться единая подпись удостоверяющего центра на все BIOS, а также обязательное наличие в ПО возможности расчета и отображения контрольных сумм BIOS и ОС.

Отдельно следует отметить системный подход спецслужб США по покрытию целевой инфраструктуры разнообразными закладками.

В этой главе также рассмотрены основные типы аппаратных троянов в компьютерах — в системном блоке, для получения через порт USB. трояны для перехвата и передачи «хозяину» информации вводимой пользователем через клавиатуру, а также основные виды троянских программ, внедряемых в жесткие диски компьютеров.

Так. например, в отдельном разделе главы рассмотрены аппаратные трояны, внедренные в системные блоки компьютеров.

Троян HOWLERMONKEY представляет собой аппаратный радио-модуль. который в совокупности с другими элементами позволяет снимать удаленно данные с вычислительных компонентов, а также осуществлять удаленное управление.

Троян GINSU — это троянская часть комплекса, которая состоит из аппаратного импланта BULLDOZER (устанавливается в разъем PCI) и программной закладки KONGUR. В совокупности позволяет осуществлять удаленный доступ к Windows-системам.

Троян MAESTRO-II — это модуль на интегральных схемах, который может быть легко сконфигурирован для выполнения конкретных специальных задач.

Троян IRATEMONK — представляет собой зловредный код в прошивке накопителей на жестких дисках от следующих производителей: Western Digital, Seagate, Maxtor and Samsung. Он позволяет заменять MBR (Master Boot Record — загрузочная мастер-запись).

Троян SWAP — представляет собой зловредный код в прошивке BIOS, который позволяет удаленно управлять различными ОС (Windows, FreeBSD. Linux, Solaris) и файловыми системами (FAT32, NTFS. ЕХТ2, ЕХТЗ. UFS 1.0) на компьютере пользователя.

Троян WISTFULTOLL — предназначен для проведения атак несанкционированного доступа к данным, используя протокол WMI (Windows Management Instrumentation). Также может быть использован как подключаемый модуль для программ-шпионов UNITEDDRAKE и STRAITBIZZARE.

Троян JUNIORMINT — аппаратный модуль на интегральных схемах, который может быть гибко конфигурирован для различных целей.

Троян SOMBERKNAVE — программный шпион под ОС Windows ХР. который использует не задействованные порты беспроводного подключения. В результате к компьютеру можно удаленно не санкционирование подключаться и управлять им.

Говоря о «клавиатурных шпионах» (кейлоггерах), надо отметить, что к нашему с вами огромному сожалению, существуют разнообразные способы распространения кейлоггеров. но не стоит ждать от клавиатурных шпионов эксцентричных способов распространения. они в целом такие же, как и у других троянов.