Заключение

Представляют ли «жучки» серьезную угрозу для безопасности сети? Трудно дать однозначный ответ. И да, и нет. С одной стороны, «жучки» позволяют хакеру добывать «интимную» информацию, действуя совершенно легальным и не привлекающим к себе внимания путем, но… если система не содержит дыр (все заплатки установлены, используется надежное программное обеспечение и т. д.), вся эта информация полностью бесполезна. Хакер либо откажется от атаки, либо будет искать другие пути.

Если же вы все-таки хотите заблокировать жучков, достаточно установить пакетный фильтр, анализирующий поступающую корреспонденцию и «выкусывающий» все ссылки на внешние картинки.

Приложение

Сокрушая барьеры, или HTML во вложениях

Outlook Express (и некоторые другие почтовые клиенты), обрабатывают HTML-содержимое электронных писем весьма специфическим образом, помещая их в «песочницу» с минимальными привилегиями, которые в лучшем (для хакера) случае совпадают с привилегиями удаленных интернет-узлов, то есть сценарий JavaScript не имеет доступа ни к каким локальным файлам и далеко не во всех случаях может устанавливать соединение даже с тем сервером, откуда он был загружен, что существенно затрудняет атаку.

Совсем другое дело – HTML-страницы, открываемые с локального диска. Поскольку никакого «узла-родителя» здесь нет, сценарию JavaScript, как правило, дозволено устанавливать любые TCP/IP-соединения (которым, естественно, не препятствует брандмауэр), а также обращаться (пусть и не без ограничений) к локальным файлам. В любом случае локально отрываемый HTML-документ автоматически попадает в зону «доверенных узлов», обладающую (по умолчанию) наивысшими привилегиями. Существует большое количество атак, тем или иным образом вынуждающим жертву сохранить HTML-страницу на диск и открыть ее, чтобы повысить уровень привилегий сценариев JavaScript.

HTML-вложения – в этом смысле идеальный вариант. Чтобы просмотреть содержимое вложения, его необходимо открыть, а при этом всегда происходит копирование на диск. Даже если жертва не выбирает опцию «сохранить», почтовый клиент копирует HTML-вложение во временный файл, передавая его браузеру со всеми вытекающими отсюда последствиями. Как защититься от атак подобного типа? Очень просто – ассоциировать HTML/HTM-расширения со специальным браузером, в настройках которого отключить поддержку скриптов, ActiveX-компонентов и всего-всего-всего. Или же (если браузер поддерживает различные зоны безопасности, как, например, IE) «урезать» права локальной зоны.

Дыры в обработчиках изображений

Листая Security Focus, не устаешь поражаться, как много дыр содержится в обработчиках графических изображений. В настоящий момент уязвимы практически все форматы графических изображений: wmf, bmp, pic, gif, png, jpg, swf… И хотя большинство ошибок уже исправлено, далеко не все пользователи установили заплатки, что делает их уязвимыми для удаленных атак.

Практика показывает, что локальные антивирусы (DrWeb, KAV, NOD32) обращают внимание лишь на вложения, но пропускают ссылки на внешние ресурсы. Антивирусы, установленные на «магистральных» каналах, проверяют и то и другое, однако исследование, проведенное мною, показало, что таких антивирусов – раз два и обчелся, и потому ссылки на зловредные картинки работают превосходно, а вот вложения давятся локальными вирусами весьма эффективно.