Информационная безопасность. Корнюшин П.Н - 106 стр.

        Чтобы программная закладка могла произвести какие-либо действия по отношению к
другим программам или по отношению к данным, процессор должен приступить к исполнению
команд, входящих в состав кода программной закладки. Это возможно только при одновременном
соблюдении следующих условий:
• программная закладка должна попасть в оперативную память компьютера (если закладка
    относится к первому типу, то она должна быть загружена до начала работы другой программы,
    которая является целью воздействия закладки, или во время работы этой программы);
• работа закладки, находящейся в оперативной памяти, начинается при выполнении ряда
    условий, которые называются активизирующими.
        Иногда сам пользователь провоцируется на запуск исполняемого файла, содержащего код
программной закладки. Известен такой случай. Среди пользователей свободно распространялся
набор из архивированных файлов. Для извлечения файлов из него требовалось вызвать
специальную утилиту, которая, как правило, есть почти у каждого пользователя и запускается
после указания ее имени в командной строке. Однако мало кто из пользователей замечал, что в
полученном наборе файлов уже имелась программа с таким же именем и что запускалась именно
она. Кроме разархивирования файлов, эта программная закладка дополнительно производила ряд
действий негативного характера.
        С учетом замечания о том, что программная закладка должна быть обязательно загружена
в оперативную память компьютера, можно выделить резидентные закладки (они находятся в
оперативной памяти постоянно, начиная с некоторого момента и до окончания сеанса работы
компьютера, т.е. до его перезагрузки или до выключения питания) и нерезидентные (такие
закладки попадают в оперативную память компьютера аналогично резидентным, однако, в
отличие от последних, выгружаются по истечении некоторого времени или по выполнении особых
условий).
        Существуют три основные группы деструктивных действий, которые могут
осуществляться программными закладками:
• копирование информации пользователя КС (паролей, криптографических ключей, кодов
    доступа, конфиденциальных электронных документов), находящихся в оперативной или
    внешней памяти этой системы либо в памяти другой КС, подключенной к ней через
    локальную или глобальную компьютерную сеть;
• изменение алгоритмов функционирования системных, прикладных или служебных программ
    (например, внесение изменений в программу разграничения доступа может привести к тому,
    что она разрешит вход в систему всем без исключения пользователям вне зависимости от
    правильности введенного пароля);
• навязывание определенного режима работы (например, блокирование записи на диск при
    удалении информации, при этом информация, которую требуется удалить, не уничтожается и
    может быть впоследствии скопирована хакером).
        У всех программных закладок (независимо от метода их внедрения в компьютерную
систему, срока их пребывания в оперативной памяти и назначения) имеется одна важная общая
черта: они обязательно выполняют операцию записи в оперативную или внешнюю память
системы. При отсутствии данной операции никакого негативного влияния программная закладка
оказать не может. Ясно, что для целенаправленного воздействия она должна выполнять и
операцию чтения, иначе в ней может быть реализована только функция разрушения (например,
удаление или замена информации в определенных секторах жесткого диска).

       4.7.2.2. Модели воздействия программных закладок на компьютеры
       Перехват
       В модели перехват программная закладка внедряется в ПЗУ, системное или прикладное
программное обеспечение и сохраняет всю или выбранную информацию, вводимую с внешних
устройств КС или выводимую на эти устройства, в скрытой области памяти локальной или
удаленной КС. Объектом сохранения, например, могут служить символы, введенные с клавиатуры
(все повторяемые два раза последовательности символов), или электронные документы,
распечатываемые на принтере.
       Данная модель может быть двухступенчатой. На первом этапе сохраняются только,
например, имена или начала файлов. На втором накопленные данные анализируются
злоумышленником с целью принятия решения о конкретных объектах дальнейшей атаки.


                                            107