Сегодня вновь говорим
про реестр Windows. Публикации в прессе,
касающиеся этой темы, далеко не редкость.
Хочется верить, что уже все знают:
начиная с Windows 95, практически вся
информация, необходимая для работы
операционной системы и программного
обеспечения находится именно в реестре,
там же хранятся и пользовательские
настройки.
Знают также, что штука
эта довольно чувствительна к
вмешательствам извне[1], а доступ к
ней можно получить при помощи утилиты
regedit.exe. Кое-кто даже знает, в каких файлах
это чудо находится:). Здесь, вроде, все
ясно. А как работает реестр? Нет, понятно,
что программа обращается к какому-то
ключу реестра, и, в зависимости от его
значения, выполняет те или иные действия,
а может вообще никаких не выполняет:). А
когда она обращается к ключу? А к какому
именно? И на что влияет на значение ключа,
с которым работает программа? На эти
вопросы и будем отвечать. И, естественно,
что для отслеживания обращений к
реестру, нам понадобится программное
средство, удобное и легкое в
использовании, нетребовательное к
ресурсам и функциональное. Это чудо-средство
я отыскал в лице утилиты Win-eXpose-Registry.
Win-eXpose-Registry 95, version 1.00 - это детище
Израильской компании Shetef Solutions Ltd.
Программа была выпущена в свет в конце
1996-го года, и, по моим сведениям, с тех пор
не обновлялась. Но, несмотря на это,
данный программный продукт нисколько не
устарел и все еще может оказаться весьма
полезным в использовании. Дело в том, что
Win-eXpose-Registry замечательно выполняет то,
для чего он и был разработан - полностью
отслеживает работу системного реестра,
предоставляя несколько удобных
дополнительных сервисов для упрощения
работы с программой. Поэтому дальнейшие
усовершенствования могли скорее
коснуться не столько добавления в
программу новых функций, сколько
исправления найденных ошибок и
усовершенствования интерфейса (в 1996-ом
было не принято писать "красивые"
программы).
По сути, Win-eXpose-Registry - это инструмент для
мониторинга и отладки системного
реестра, работающий в реальном времени.
В своем окне программа показывает все
ключи, к которым происходит доступ, а
также все создаваемые, изменяемые и
удаляемые ключи. Выделив каждую из
записей, для нее можно получить
информацию, такую как номер операции с
начала слежения, имя задачи, вызвавшей
обращение к реестру, действие,
произведенное с ключом, его адрес,
наличие ошибки при выполнении, а также
дополнительную информацию. Что касается
других возможностей программы, то тут
следует отметить приостановку /
возобновление мониторинга, печать
составленного программой лога, а также
весьма гибкую систему фильтров. Можно
указать программе отображать лишь ключи,
касающиеся какой-то определенной
операции (всего их 16), например, только
созданные или измененные. Имеется
возможность исключения из отчета всех
успешных или наоборот неудачных попыток
обращения к реестру. Также Win-eXpose-Registry
умеет выдавать отчет лишь о тех
операциях, которые произведены одной,
определенной пользователем задачей.
Требования к системе у программы по
истине минимальны: разработчики говорят
о 80386-ом процессоре и установленной Windows
95. Любителей альтернативных систем буду
вынужден разочаровать: Win-eXpose-Registry не
работает под управлением Windows NT,
необходима система из линейки Windows 9x.
Программа распространяется как условно-бесплатный
продукт, с ознакомительным сроком в 30
дней. По прошествии этого срока вы
должны будете заплатить 29$. При этом, по
окончании испытательного срока,
программа продолжит работать и без
регистрации, которая находится
исключительно на совести пользователя.
Кстати, кроме исчезновения всех
напоминаний о необходимости заплатить,
технической поддержки и спокойной
совести, регистрация также принесет вам
учебник по программе, который, как знать,
может оказаться очень даже полезным.
Дистрибутив программы можно получить с
официального сайта компании: http://www.shetef.com
.
Хотите сказать, что баловство все это, вы
и без этого отлично жили. И программа вам
эта не нужна. Есть реестр, и ладно, а что в
нем происходит, это его личное дело... А я
полагаю, что никакое это не баловство и
могу привести ряд конкретных примеров,
когда использование Win-eXpose-Registry будет, по
крайней мере, полезным, если не сказать
необходимым. В первую очередь программа
является очень мощным и удобным
инструментом при исследовании методов
работы операционной системы и
установленного программного
обеспечения. Win-eXpose-Registry - это, конечно, не
отладчик, но при этом данный продукт
обладает весьма простым и интуитивным
интерфейсом пользователя, не требуя от
пользователя специальных знаний (чего
не скажешь про дебагер) и позволяя
работать с собой даже новичку. Также не
исключено совместное использование
программы с отладчиком. Это возможно в
силу того, что Win-eXpose-Registry дает наглядное
представление обо всем, что происходит в
реестре и делает это в реальном времени.
Кроме этого, представленная утилита
может быть использована при инсталляции
других программ. Общеизвестно, что уже
достаточно давно установка программы не
ограничивается лишь копированием
программных файлов на жесткий диск. Как
правило, помимо этого несколько[2]
файлов попадает в каталоги Windows\ и
Windows\System\, а в системный реестр
добавляются новые ключи, необходимые
для верного функционирования
устанавливаемой программы.
Использование Win-eXpose-Registry в данном
случае приносит двойную пользу: во-первых,
это все то же исследование Windows, а во-вторых,
программа отследит все изменения
реестра, что впоследствии позволит
полностью отменить произведенную
инсталляцию[3], в то время как
деинсталляторы обычно оставляют какой-то
мусор. Вообще-то по качеству исполнения
работы еще более предпочтительным будет
использование функции мониторинга
инсталляции специализированных
программ, вроде Norton CleanSweep, но обычно это
очень существенно увеличивает время,
затраченное на установку ПО, поэтому
частое применение этих средств
нецелесообразно.
И, наконец, разработка инженеров Shetef
Solutions может оказаться просто
незаменимой при сражениях с условно-бесплатными
программами. Как это часто бывает, с
окончанием ознакомительного срока
программа отказывается работать,
настойчиво требуя регистрации.
Деинсталляция / переустановка ничего не
дают: вам с непоколебимой уверенностью
сообщают, что ознакомительный срок
закончен. Как правило, это происходит из-за
того, что ключ, в котором хранится
информация о дате начала использования
программы, не удаляется при
деинсталляции. В силу того, что
Win-eXpose-Registry может отслеживать все
операции с реестром, он заметит и
обращение к необходимому нам ключу. Что
с ним делать дальше - это уже личное дело
пользователя. Отмечу также, что при
открытии программы, Win-eXpose-Registry сделает
от нескольких штук до нескольких
тысячей записей об обращениях к реестру.
И, скорее всего, без использования
фильтров нахождение нужной будет весьма
проблематичным, если вообще возможным.
Между прочим, среди других продуктов Shetef
Solutions Ltd существует еще один по имени
Win-Expose-I/O. Эта программа очень похожа на
Win-eXpose-Registry, и их совместное
использование может оказаться весьма и
весьма удачным решением. По сути, Win-Expose-I/O
делает то же, что и Win-eXpose-Registry, но
объектами мониторинга являются не
обращения к реестру, а обращения к
файлам. Более детальное рассмотрение
возможностей Win-Expose-I/O несколько выходит
за рамки данной статьи, и поэтому будет
опущено. Все желающие могут скачать
программу для самостоятельного
изучения все с того же официального
сайта Shetef Solutions.
Как утверждают разработчики, Win-eXpose-Registry
и Win-Expose-I/O являются MUST HAVE tools[4], и я,
пожалуй, с ними соглашусь. Отличие будет
лишь в том, что создатели утверждают так
касательно каждого своего продукта, а
мне столь симпатичны лишь две
упомянутые выше программы.
[1] хотя, по-моему, истерия по поводу
сохранности реестра сильно
преувеличена: реестр - это не генератор
случайных чисел, и, поэтому, бояться
нечего, если точно знать, что делать.
Сохранять реестр каждый раз перед
удалением ключа из раздела Run - это не
более чем трата времени.
[2] а иногда и очень много.
[3] естественно, на уровне реестра.
[4] инструменты, которые обязательно
нужно иметь в своем распоряжении.
Win-eXpose-Registry.
Послесловие
После выхода в свет
моей статьи "Под пристальным взором"
в моем почтовом ящике появилось весьма
интересное письмо, с содержимым
которого, а также моими к нему
комментариями, будет небезынтересно
ознакомиться нашим читателям, во всяком
случае, хочется в это верить.
Здравствуйте, Максим,
Прочитал вашу статью в КГ относительно
упомянутой в заголовке программы (Win-eXpose-Registry),
после чего скачал ее из Интернет. Моему
удивлению не было предела, когда после
инсталляции вышеупомянутое киберчудо
кроме своих основных функций стало
выполнять недокументированные, а именно:
совать свой длинный нос в файлы паролей
и свойств пользователя на моем ПК, а
также вносить изменения в системные
файлы Windows. Причем данные процессы
происходят только при подключении к
Интернет, в остальное время все ОК. Потом
данная информация собирается в файлики
в специальной папке программы в
корневом каталоге (а также в файлах index.dat,
которых на моем компе я нашел штук 7
одинаковых) и преспокойно отправляется
в эту фирму. Чтобы пресечь деятельность,
просто деинсталляции программы и
переустановки Винды поверх старой мало -
придется, видимо, удалить и установить
Windows заново.
Вот так.
Прошу сделать 3 вещи:
1. Проверить свой ПК/
2. Написать в газету, чтобы люди не
страдали/
3. Желательно рассказать мне, как с такой
тварью бороться.
Спасибо, Юра
Ну что же, первые два пункта выполнены
успешно, приступаем к третьему... Во-первых,
к счастью (а может, к сожалению), все
тестируемые мною программы изучаются на
компьютере, который доступа к Internet не
имеет, поэтому ничего определенно
подозрительного я не заметил. Увы,
редкий троян активизируется, не находя
доступ во всемирную сеть. Что поделать,
естественный отбор никто не отменял:(. На
моем винчестере действительно
оказалось 6 файлов index.dat, из которых 3
созданы под управлением Windows 98, а еще 3
под управлением Windows 2000. При этом ничего
подозрительного в файлах обнаружено не
было, а за отсутствие там своих паролей я
просто могу ручаться, разве что все
пароли были зашифрованы по алгоритму
"and 00h":)). Файлы находятся в
директориях Cookies и Temporary Internet Files, но для
появления этих файлов в указанных
папках вовсе не обязательно ставить
Win-eXpose-Registry.
Но не подумайте ни в коем случае, что под
сомнение ставится информация,
полученная от Юрия! В современной сети
может быть все, поэтому я выскажу
несколько моих мыслей, касающихся
риторического вопроса "что делать?".
Вообще говоря, возможность получить
трояна, скачивая программу, - это уже
давно не редкость. Кстати, чаще всего "подарки
от добрых самаритян" можно подцепить,
качая либо антивирусные программы от
малоизвестных производителей, либо "крякеры
Интернета". На хакерских и
околохакерских сайтах все чаще и чаще
встречаются замечания о том, что в
содержимом программы нельзя быть
уверенным, даже выкачав ее с официальной
страницы производителя. И дело даже не в
том, что разработчик окажется нечистым
на руку (возможен и такой вариант, но
предположим, что с ним все в порядке), а,
скорее, потому, что изначальный файл
вполне мог быть подменен прямо на
сервере. Если у кого-то создаются
иллюзии, что троянца можно "прилепить"
только к своей программе, вынужден их
разочаровать. Уже достаточно давно
широкое распространение в сети получила
почти безобидная программка Joiner,
которой можно было подсунуть 2 exe-файла, а
на выходе получить один, но, чуть
побольше:). Недавно коллеги из журнала
"Xakep"(№8, 2000, с 88) сообщили о выходе
новой утилитки под названием One EXE Maker 2000,
которая делает, по сути, то же, что и Joiner,
но гораздо лучше. Лепить троянцев при
помощи этой программы - одно
удовольствие.
Необходимо отметить, что серьезным
фирмам как минимум невыгодно заниматься
воровством паролей у пользователей.
Тому есть несколько причин, и даже если
оставить в стороне профессиональную
корректность, честность и прочие
необязательные элементы бизнеса:), все
равно их наберется приличное количество.
Во-первых, как только программа
приобретает какую-то популярность, в ее
коде сразу начинает копаться множество
энтузиастов. Новости о любых попытках
отослать какие-то пакеты через Internet
немедленно будут опубликованы в сети.
Естественно, что после этого программа,
да и фирма ее производящая, безнадежно
теряют репутацию. Таким образом, если
ребята планировали зарабатывать на
произведенном ими программном
обеспечении, то это у них вряд ли
получится. К тому же программа имеет все
шансы попасть в базы к AVP и другим
ведущим антивирусным программам, после
чего распространение троянского коня
станет практически невозможным. Во-вторых,
если это фирма, то она имеет и все
атрибуты фирмы, в частности адрес, на
который восторженные пользователи
будут присылать деньги за программу:). А
т.к. распространение вредоносных
программ является уголовно-наказуемым
деянием не только у нас в стране, то у
ребят, продающих такое ПО, есть все шансы
оказаться на скамье подсудимых.
А что касается методов борьбы с
подозрительными программами, то, боюсь,
ничего нового я не придумаю. В первую
очередь, нужно найти (и установить:))
антивирусные программы. Из программ-полифагов
(сканеров) я бы рекомендовал AVP или DrWeb,
кому как больше нравится. Обе эти
программы поставляются с антивирусными
сторожами (мониторами), которые
постоянно находятся в памяти компьютера.
Если этой самой памяти не жалко, сторож
способен существенно повысить уровень
безопасности системы. Хотя,
справедливости ради замечу, что
некоторые вирусы умеют обходить
сторожей. И, естественно, все это имеет
хоть какой-то смысл лишь в том случае,
когда антивирусные базы обновляются, по
крайней мере, раз в месяц. Второй
существенный класс антивирусных
программ - это ревизоры. Принцип их
работы построен на проверке всех
изменений, произошедших в файловой
системе и загрузочных секторах. Если
какие-то изменения похожи на известные
ревизору методы заражения, он
немедленно оповестит об этом
пользователя. Самой известной
программой-ревизором является ADinf, но в
Лаборатории Касперского существует ее
аналог под названием AVP Inspector. Также не
стоит забывать и о firewall-программах. В том
случае, когда какое-либо приложение
запрашивает соединение с удаленным
сервером через какой-то определенный
порт, firewall доложит об этом пользователю
и осведомится, разрешать доступ или нет.
Самой известной программой такого рода,
пожалуй, является @Guard. Ну, а если
действия какой-то программы вызывают
серьезные подозрения, а антивирусные
средства с самыми новейшими базами
скромно молчат, то кто мешает отослать
подозреваемого разработчикам
антивирусного ПО, например, в
Лабораторию Касперского или в
Антивирусную лабораторию Данилова?
Говорят, что это единственные люди,
которые любят, когда им присылают вирусы:).
А что касается Windows, то, конечно,
полностью "убить" программу можно и
без полной переустановки операционной
системы. Здесь все основано на том, что
когда-то троян должен загружаться в
память компьютера. Но проблема
заключается в том, что далеко не все
авторы троянских коней используют
стандартные методы для загрузки своих
творений вместе с операционной системой.
В частности, я не перестаю удивляться
изобретательности ребят, придумавших
одну из лучших систем удаленного
администрирования Donald Dick. Например, для
Windows 9x и для Windows NT были разработаны два
совершенно разных (и, мягко говоря,
неординарных) способа загрузки. Я даже
не сомневаюсь в том, что ее авторы
получают сотни писем с вопросами, как
обнаружить и убрать программу. Так вот,
зачастую получается так, что потратить
3-4 часа на переустановку всей
операционной системы и программного
обеспечения гораздо проще, чем день (неделю?)
копаться в недрах Windows в поисках трояна.
Хотя, все, разумеется, зависит от ваших
знаний и вашей любознательности. Но если
есть время, то, как мне кажется, лучше
будет найти эту заразу самому.
Объясняется это тем, что хотя дядя Билли
и приучил нас каждые полгода сносить/переустанавливать
операционную систему, это не есть
правильно. И, глядя с этих позиций, найти
ошибку самому это рациональнее, что ли...
В заключение этой статьи хочется
отметить вот что: если вам действительно
позарез нужна программа вроде
Win-eXpose-Registry или Win-eXpose-I/O, а лимит доверия к
продукции компании Shetef Solutions Ltd уже
исчерпан, то буду рад сообщить, что на
рынке программного обеспечения эти
программы далеко не единственные. В
частности, в КГ №22, 2000 (263) была
опубликована статья Евгения Сечко "Отслеживаем
действия компьютера", где можно найти
описание и ссылки на программы RegMon, FileMon
и PortMon, практически полностью
аналогичные программам, упомянутым мною
выше.
Максим А.Самусенко
Источник: http://www.nestor.minsk.by/kg
|