Журнал «Компьютерра» №44 от 29 ноября 2005 года

Ныне к «шпионам» зачастую относят любые программы, выводящие на экран рекламные объявления, даже те, установку которых пользователь санкционировал. Однако следует согласиться, что последний вариант - самый «цивилизованный»: человек готов терпеть рекламу, дабы не платить деньги за программу. Продукты, распространяемые по такому принципу, называются adware и в некотором смысле являются альтернативой shareware. Другое дело, что далеко не все производители adware отличаются кристальной честностью, а потому кроме официально разрешенных объявлений вставляют в свой софт и модули, перехватывающие пользовательские данные.

Иногда к spyware относят программы, собирающие данные для так называемого поведенческого таргетинга (молодая отрасль интернет-маркетинга, аккумулирующая информацию о пользовательских предпочтениях - например, анализируя маршрут перемещений по Сети). Делаться это может с разными целями - как для исследования рынка, так и для разработки индивидуального подхода к покупателю в интернет-магазине (вплоть до указания персональной цены на товары). В частности, некоторые антишпионские программы относят к spyware браузерный плагин крупнейшего онлайн-магазина Amazon.com, хотя его установка - дело добровольное.

Инфицирование

Spyware, в отличие от вирусов, само не размножается, а потому «шпионы», заразив одну систему, не смогут перебраться на другие. Распространяются они в Сети либо путем обмана пользователя, либо через программные уязвимости (например, дыры в браузере). При первом варианте пользователь скачивает из Интернета какой-то полезный софт, а «в довесок» получает шпионский модуль. Чаще всего носителями spyware являются разнообразные «ускорители Интернета». Впрочем, переносчиком может оказаться практически любой софт: так, широко известен случай, когда «шпион» прятался в программе Bonzi Buddi, позиционируемой как детский проводник в мире Интернета. Иногда создатели шпионского ПО платят разработчикам shareware-программ за добавление в инсталлятор своего модуля, а порой просто объединяют шпионский дистрибутив с уже готовыми полезными программами. Частенько шпионские модули попадают на компьютер вместе с клиентами пиринговых сетей, а в начале 2005 года фантазия «шпионоводов» стала развиваться в стиле завзятых вирусописателей: в Сети появилась программа SpywareNo, позиционирующаяся как антишпионское ПО, а на деле являющаяся типичным продуктом spyware-индустрии…

Современные браузеры не позволяют «шпионам» самовольно загружаться с сайтов, однако иногда пользователь сам разрешает их установку, потому что загрузочную ссылку нередко маскируют под pop-up-окна, похожие на обычные опросы. Независимо от того, за какой вариант ответа пользователь голосует, своим кликом он запускает установку spyware. С последними версиями Internet Explorer (IE) возможностей для таких манипуляций у распространителей шпионских программ стало гораздо меньше, однако актуальность этот способ заражения еще не потерял - ведь, несмотря на многочисленные предупреждения, старые версии браузеров стоят на множестве компьютеров. Так, IE5 остается основным примерно для 10% интернет-серферов, а уж сколько людей не поставило заплатки на ранние версии IE6 - и говорить не хочется.

Кстати, антишпионское ПО MS Anti-spyware (его презентация прошла в марте нынешнего года) будет интегрировано в готовящуюся к выходу операционную систему Windows Vista, а в следующей версии IE появится «шпионозащищенный» режим. При его активации браузер будет изолирован от других процессов операционной системы и не получит прав на запись за пределами каталога Temporary Internet Files. Это должно снизить риск скрытой установки вредоносных плагинов. Кроме того, по умолчанию будет запрещено большинство объектов ActiveX, а встроенный брандмауэр станет функционально богаче.

Второй популярный метод инфицирования - атаки на бреши в защите браузера или другого сетевого ПО. При загрузке веб-страницы содержащийся в ней программный код инициирует установку spyware. Этот способ известен как drive-by download, и самые удобные дырки для него обнаруживаются в MS Java и старых версиях IE. По данным Webroot, за первое полугодие 2005 года источниками шпионской заразы было 4300 сайтов и 89800 страниц. В группу риска вошли сайты с порнографическим контентом и хранилища warez-софта, а в качестве лазейки широко использовалась дыра в системе защиты от копирования цифрового контента - DRM, используемой Windows Media Player и iTunes. Кстати, некоторые «шпионы» ищут на компьютере жертвы spyware-модули от компаний-конкурентов и безжалостно уничтожают их, но чаще вредоносный софт живет душа в душу.