Грамотно убиваем Backdoor.Win32.Shiz

Мой рабочий ноутбук поразил неизвестный мне вирус:) Знаете, ковырять вирусы для меня - это как решать некую головоломку или, скажем, японский кроссворд разгадывать. Весьма увлекательное занятие, стоит сказать!

На ноутбуке стоит корпоративный Symantec, который, как оказалось, не предоставляет должной защиты. Все началось с пресловутого подтормаживания компьютера. Зайдя в процессы, я увидел много незнакомых, и первая мысль была - проверить все незнакомые на virustotal.com, что я и сделал. Однако, тот молчал как рыба и уверенно указывал на отсутствие вредоносного кода в моих  запущенных приложениях. Кто не в курсе - Virustotal это бесплатный онлайн инструмент для проверки добросовестности любых ваших файлов: вы загружаете файл и система проверяет его множеством антивирусов, выводя отчет по каждому. Очень и очень полезный сервис для всех интересующихся информационной безопасностью.

Итак, вторая мысль - скачать on demand версию Kaspersky и drWeb (virus removal tool и cureIT соответственно). Virus removal tool и CureIT - бесплатные утилиты для удаления вирусов, не предоставляющие защиты в реальном времени, но использующие последние вирусные базы, это лучшее решение для лечения разного рода вредоносных программ и именно с них следует начинать.

Каково же было мое удивление, когда, вбив в поисковике kaspersky, я наблюдал стремительно закрывающийся браузер! Так, это что-то новенькое, проверим в другом... При попытке зайти на kaspersky.ru вылетели все установленные у меня версии браузеров - Chrome, IE, Opera, Firefox. Скачать бесплатную антивирусную утилиту AVZ также не удалось.

Меня эта уловка вирусописателей порядком порадовала, и я недолго думая пошел в обход - благо, что у меня есть свои сервера в интернете и я могу воспользоваться ими для выкачивания любых объектов из сети с целью последующей передачи на рабочий компьютер. Зайдя по SSH на сервер, я тремя командами загружаю на него необходимые утилиты:

wget avz
wget virus_removal_tool
wget cureIT

здесь вместо avz, virus_removal_tool и cureIT, разумеется, необходимо подставить URL адреса этих программ. Затем через SFTP я слил скачанные утилиты к себе на комп и продолжил головоломку:) Если вы ничего не знаете не знаете о серверах, unix'ах и wget, но попали в аналогичную ситуацию - просто скачайте названные утилиты с незараженного компьютера.

Тааак, устанавливаем касперского, запускаем... Хрен! Программа вылетает. Хм, это начинает казаться интересным. Лезу опять в процессы, пересматриваю их. Решаю убить explorer.exe - это оболочка windows, отвечающая за работу проводника, отрисовку меню ПУСК и т.д. Совершенно ненужная вещь в общем-то=).

При отключении explorer'а браузеры стали стабильно работать с сайтами антивирусных производителей - агааа! Вот ты где, красавчик наш:) Не запуская explorer, открываю касперского и запускаю проверку. Тот довольно быстро находит зараженные файлы, лечит их и перезагружает уже здоровый комп.

Вирус побежден. Не все уж так и сложно оказалось;)

Итак, мои советы по борьбе с Backdoor.Win32.Shiz:

1. Запускаем браузер
2. жмем WIN+R, вводим cmd и жмем Enter. Откроется окно командной строкой windows. Да, кто не в курсе - кнопка WIN - это клавиша на вашей клавиатуре в нижнем ряду с нарисованным флажком.
3. ALT+CTRL+DELETE, вкладка Процессы. Находим explorer.exe, правой кнопкой мыши - завершить, соглашаемся. Пропала кнопка ПУСК и нижняя панель - это нормально, не пугаемся. Все вернется после перезагрузки или после применения описанных ниже действий.
4. зажимаем ALT и жмем TAB несколько раз для переключения в окно браузера
5. скачиваем антивирусные утилиты от Касперского и DrWeb (мне, впрочем, помог Virus removal tool и CureIT не понадобился)
6. устанавливаем Virus removal tool (он не интегрируется в систему и, как правило, устанавливается в директорию на рабочем столе), запускаем его. Чтобы запустить, перейдите в окно командной строки и введите там полный адрес к установленной программе, в моем случае "d:\Documents and Settings\AGoloburdin\Рабочий стол\Virus Removal Tool\setup_9.0.0.722_25.04.2011_10-16\setup_9.0.0.722_25.04.2011_10-16.com". Если вы не знаете, в какое место поставилась программа - запустите explorer.exe, найдите программу и скопируйте путь до нее и затем остановите explorer.exe снова.
   
   Для запуска остановленного процесса в окне диспетчера задач нужно выбрать пункт меню Файл->Новая задача, в открывшемся окне ввести explorer.exe и назжать Ок, программа запустится. Для останова - выберите ее на вкладке Процессы, нажмите правой кнопкой мыши и выберите Завершить процесс.
7. в запустившемся Virus removal tool жмем Начать проверку.

На этом все. Здоровых компьютеров вам:).

Поднять proxy сервер за 2 минуты

Цель: максимально быстро поднять proxy сервер для HTTP(S) трафика. В примере используем Debian.

Решение: ставим и запускаем ffproxy:

sudo apt-get install ffproxy 
sudo /etc/init.d/ffproxy start

Ваш прокси уже доступен по ip адресу сервера и дефолтному порту 8080 - и если ничего больше вам не нужно, дальше можете не читать.

При необходимости, порт, на который прокси будет принимать соединения, можно изменить в конфигурационном файле /etc/ffproxy/ffproxy.conf. Например, port 3128.

Команды останова и рестарта сервера стандартны:

sudo /etc/init.d/ffproxy stop|restart

Чтобы разрешить подключение только из одной подсети или одного ip, необходимо подправить /etc/ffproxy/db/access.ip, введя регулярное выражение для принимаемых ip. Для разрешения подключения только одного адреса необходимо ввести ^195.0.0.1$, где 195.0.0.1 - адрес, с которого будет разрешено подключение. Знакомые с регулярными выражениями смогут без труда подправить адрес для приема соединений из подсети.

Есть необходимость организовать цепочку из прокси серверов для усложнения поиска действительного источника? Нет ничего проще - в конфигурационном файле /etc/ffproxy/ffproxy.conf добавьте параметры

forward_proxy 195.10.10.12
forward_proxy_port 8082

где forward_proxy и forward_proxy_port - ip и порт внешнего прокси сервера, с которого наш сервер будет запрашивать данные.

Защита конфиденциальных данных

У всех нас есть информация, которую можно отнести к конфиденциальной - это пароли доступа к различным ресурсам, pin коды карт, некоторые важные документы. В категорию конфиденциальных данных может попасть любая иная информация, кража которой нежелательна для ее владельца.

Хотите быть уверенными в том, что ваши данные не будут просмотрены третьими лицами - добро пожаловать. Вопрос защиты данных актуален, поэтому я хочу осветить этот вопрос подробно. Описанные методики кроссплатформенны и одинаково работают для всех.

Виды конфиденциальной информации

Итак, условно всю информацию, требующую отдельного подхода к ее защите, можно разделить на две группы: это пароли доступа к ресурсам и важные документы. К первой группе относятся все данные для успешной аутентификации в различных системах (онлайн-банкинг, почта, электронные деньги и т.д.); ко второй - например, паспортные данные (если по каким-то причинам вы храните их в цифровом виде), другие важные файлы/документы.

Хранение паролей и аутентификационной информации

Из-за специфики первого типа информации - а это, как правило, пара логин-пароль и, возможно, адрес ресурса - их удобно хранить в виде зашифрованной базы данных. Для этой цели лучше всего использовать программу KeyPass, поддерживающую современные алгоритмы шифронания (AES, Rijndael, Twofish), бесплатную и распространяемую с открытыми исходными кодами. Последний пункт в частности гарантирует отсутствие в программе различных backdoors, то есть скрытых способов доступа к данным без пароля, специально зашитых в программу. KeyPass кроссплатформен - есть версии для Windows, Linux, Mac OS и даже Android, что позволит пользоваться вашей базой паролей в любом месте и на любом компьютере. Стоит отметить, что есть портабельные версии программы, позволяющие работать, например, с флеш носителя без установки в систему.

KeyPass шифрует всю введенную информацию, а не только пароли, как делают некоторые другие аналогичные системы, таким образом, никто не сможет получить доступ ни к одному полю в вашей базе - ни к логину, ни к адресу ресурса, ни к любой другой информации. KeyPass предоставляет защиту от keylogger программ, позволяющих перехватывать вводимую с клавиатуры информацию. Это одно из лучших решений на сегодняшний день.

Принцип работы с программой прост - вы создаете новую базу паролей (File -> New), вводите мастер-пароль и сохраняете файл с базой. Созданный файл и будет вашим контейнером паролей, который можно безопасно хранить. При открытии базы KeyPass попросит вас ввести мастер пароль, введя который, вы получаете доступ ко всей сохраненной внутри информации. Рекомендации по созданию паролей приведены в конце этой статьи, обязательно обратите на них внимание.

Также стоит отметить программу 1password. Это уже небесплатное решение (40$), однако, по-прежнему кроссплатформенное (Windows, Mac OS, IOS, Android) и очень удобное. 1password имеет возможность безопасно хранить помимо паролей заметки, контактные данные; умеет автоматически вставлять логины-пароли на сайтах, тесно интегрируясь с браузерами. Безусловно, эта программа стоит своих денег, однако я все же предпочитаю open source решение.

Хранение конфиденциальных документов

Распространенная ситуация: вам необходимо иметь при себе на флеш носителе некоторую важную информацию, кражу которой нельзя допустить. В такой ситуации нужно иметь в виду возможность потери носителя и соответственно кражи всей незащищенной информации. Та же ситуация возникает при переносе информации на ноутбуке. Впрочем, действительно важные документы необходимо защищать и на домашнем стационарном компьютере, и на рабочем.

Для решения этой задачи используются криптоконтейнеры. По сути, криптоконтейнер - это отдельный файл или целый раздел на диске, содержащий в себе в зашифрованном виде некоторые документы. Существует возможность создавать также скрытые разделы на диске.

Вообще говоря, разработано немалое количество программных решений для создания криптонтейнеров и работы с ними, мы рассмотрим TrueCrypt - кроссплатформенная бесплатная программа с открытыми исходными кодами. TrueCrypt шифрует файлы на лету, позволяет создавать криптоконтейнеры-файлы и может шифровать целые разделы жесткого диска. Шифруется полностью все содержимое контейнера, включая имена файлов и директорий.

Криптоконтейнер TrueCrypt подключается в системе как обычный логический диск. Вы открываете TrueCrypt, выбираете контейнер, вводите мастер-пароль или указываете файл-ключ и в вашей системе появляется дополнительный логический диск, с которым вы работаете как с обычным диском - создаете файлы, директории, изменяете их. Закончив работу, вы отмонтируете диск в TrueCrypt, нажав соответствующую кнопку; все сохранения уже сохранены в ваш криптоконтейнер.

Создание криптоконтейнеров

После установки TrueCrypt вам будет предложено пройти краткий туториал по работе с программой, я рекомендую просмотреть его для знакомства с программой, он действительно прост и эффективен, хотя сведения по работе с TrueCrypt я приведу нижу. Процесс создания криптоконтейнера состоит из нескольких диалоговых окон, задающих размер контейнера (максимально возможный, увеличить его впоследствии будет нельзя) используемый алгоритм шифрования, мастер-пароль.

Если английский вам неприятен, то рекомендую перед началом работы с программой русифицировать ее, выбрав пункт меню Settings->Language и выбрав русский язык. Если его нет в списке - загрузите языковой пакет отсюда и скопируйте его в папку с установленным TrueCrypt (например, C:\Program Files\TrueCrypt).

Для создания криптоконтейнера необходимо провести ряд несложный действий:

• жмем создать том;
• указываем создать зашифрованный файловый контейнер;
• выбираем обычный или скрытый том TrueCrypt (в обычных случаях достаточно обычного);
• указываем размещение тома - файл криптоконтейнера, в котором впоследствии будут храниться документы;
• выбираете алгоритм шифрования (можно оставить по умолчанию AES) и хеш-алгоритм (например, SHA-512);
• размер тома - максимальный объем информации, который можно будет поместить в контейнер, столько же всегда будет весить файл-криптоконтейнер вне зависимости от наполнения;
• задаем пароль от контейнера (можно также задать дополнительно ключевые файлы, которые впоследствии необходимо будет предоставить помимо пароля для работы с содержимым контейнера);
• задаем файловую систему (можно оставить FAT);
• жмем разметить и выход.

Чтобы подключить созданный ранее контейнер - жмем Файл, выбираем файл-контейнер, жмем смонтировать, вводим пароль, при необходимости указываем ключевой файл. В вашей системе появится новый диск с данными, с которыми вы можете работать как с обычными данными. По окончанию работы жмете в TrueCrypt Размонтировать и диск автоматически удалится из системы, все данные будут сохранены в зашифрованном виде в контейнере.

Теперь в случае потери файла-криптоконтейнера можно ни о чем не беспокоиться - ваша информация надежно защищена. Впрочем, если ваш мастер-пароль не слишком прост, о чем пойдет речь ниже.

О хороших паролях

В заключение повествования расскажу о том, что такое хороший пароль и почему пароль непременно должен быть хорошим.

Как правило, наиболее слабым звеном в любой системе защиты является человек. Какие бы алгоритмы шифрования и методики защиты информации не применялись - пароль вида 123 подбирается за предельно сжатые сроки, современные компьютеры и оптимизированные программы брутфорса (подбора) паролей позволяют проводить подбор со скоростью несколько миллионов элементов в секунду.

Таким образом, для обеспечения достаточной безопасности необходимо использовать пароли, которые невозможно подобрать за разумное время. Это не должны быть значимые слова, они подбираются в первую очередь по специальным словарям.  В пароле должны присутствовать прописные и строчные буквы, цифры, специальные символы ($#!^&;,?). Длина должна быть не менее 8 символов, но всегда больше - лучше. Неплохим вариантом может быть, например, пароль из двух слов в разных регистрах, связанных специальными символами web?48deSign.

Пара слов о терморектальном криптоанализе

Как я уже говорил, наиболее слабым звеном в системе защиты является человеческий фактор, к сожалению, сложные пароли и системы шифрования не помогают в случае применения банального насилия. Поэтому, если вы работаете с имеющими коммерчускую ценность данными, помните: лучший способ сохранить их - не упоминать о их наличии.

Безопасных документов вам!

Снятие ограничений с PDF файла

Простите, но меня чрезвычайно раздражает, когда я не могу распечатать скачанный PDF документ или скопировать текст из оного! К чему все эти ограничения?

Онлайн решение hack-pdf.com поможет решить описанную проблему. Никаких регистраций и требований, просто загружаете PDF документ, ожидаете его обработки - мой 120 страничный pdf был разблокирован не более чем за 5 секунд.

Да, как легко и просто сконвертировать PDF в doc я писал здесь.