Противодействие шпионским программам

Возникновение нижеуказанных действий компьютера или их совокупности, вероятно, говорит о том, что машина заражена шпионским ПО и требует тщательного анализа с помощью специализированных программ.
Периодическое появление всплывающих окон, в основном рекламной направленности.
Перенаправление Интернет-браузера на страницы, которые пользователь не вводил сам.
Изменение домашней страницы браузера
Добавление в главное окно браузера ненужных панелей инструментов.
Появление неизвестных иконок в области панели уведомлений рядом с часами Windows.
Появление ошибок работы браузера и работы системы в целом.
Появление неизвестных сетевых подключений.
Резкое увеличение объeма трафика.
Снижение скорости соединения с Интернетом.

Полноценная борьба с программами-шпионами началась относительно недавно. До этого разработчики антивирусных пакетов не включали в свои базы сигнатуры программ Spyware. В новейших же антивирусах предусмотрены сканеры подобных программ. Кроме того, некоторые Firewall-программы позволяют проводить сканирование и мониторинг наличия активных шпионских приложений. Естественно, что борьба ведeтся только с теми программами, чья сигнатура известна разработчику антишпионского ПО. Сигнатура – последовательность байтов, присущая только определeнной программе. В этой связи, существует одна насущная проблема. Программы, разрабатываемые легально, для санкционированного использования, не вносятся в антишпионские базы, из них не выделяют сигнатуры. Но, и такие программы умеют работать в скрытом режиме, обладая всеми функциями информационного шпионажа. Кроме того, особо «серьeзные» программы не отображаются в процессах, работая в виде информационных потоков. Соответственно, пользователь, которому установили подобное ПО, столкнeтся с реальной проблемой обнаружения.

Как видно, сигнатурные методы анализа не всегда являются эффективными. Но, существует другой класс программ, способных анализировать систему эвристическими методами. Эвристическими называются методы поиска, при котором проверяются исполняемые файлы, почтовые сообщения и их вложения на наличие подозрительных команд. Эти методы выявляют последовательности кодов, необычные команды и схемы поведения, команды, без разрешения открывающие адресную книгу почтового клиента, вносящие изменения в реестр или открывающие сетевые порты. Подобные эвристические алгоритмы способны выявлять неизвестные формы шпионских программ. Но у подобных алгоритмов априори существуют недостатки. Основным является то, что программа оперирует эмпирическими предположениями, соответственно возникает возможность «ложных тревог». Чем выше уровень защиты, тем больше «ложных тревог» будет получать пользователь.

Оптимальным решением для борьбы со шпионским ПО является наличие целого комплекса по защите безопасности. Он должен состоять из программы с сигнатурным алгоритмом анализа, программы с эвристическим алгоритмом и обязательно наличие Firewall-приложений. Это не обязательно должны быть отдельные программы, многие разработчики ПО предлагают комплексные решения в одном программном продукте.

Автор статьи: Евгений Свердлов.