Интернетмагазин

 
113
Рис. 5.9
Компрометация систем с использованием предустановленных 
приложений 
Это расширенный вариант предыдущей компрометации ОС Microsoft Win-
dows. Здесь также используется Linux Live CD для получения доступа к файлам 
на компьютере под управлением Windows. В предыдущей атаке цель состояла 
в том, чтобы просто скопировать данные.
Целью этой атаки является компрометация программ Windows. После того 
как доступ будет предоставлен через Live CD, хакеру нужно только перейти 
к файлам Windows и щелкнуть папку System32. Это папка, в которой Windows 
хранит собственные приложения, обычно предустановленные. Хакер может 
изменить некоторые наиболее часто используемые приложения таким обра-
зом, чтобы при запуске их пользователем Windows выполнялось вредоносное 
действие. Это обсуждение будет сосредоточено на утилите magnify, которая 
используется, когда пользователь увеличивает изображения, текст на экра-
не или в браузерах. Программа magnify находится в папке System32 с именем
magnify.exe
. Для достижения того же результата можно использовать любой дру-
гой инструмент из этой папки. Нужно удалить настоящий файл magnify.exe и за-
менить его на вредоносную программу, переименованную в magnify.exe. После 
этого хакер может выйти из системы. Когда пользователь Windows откроет 
компьютер и выполнит действие, запускающее magnify, вместо этого запу-
стится вредоносная программа, которая немедленно приступит к шифрова-
нию файлов компьютера. Пользователь не будет знать, что привело к шифро-
ванию его файлов.
Кроме того, этот метод может быть использован для атаки на компьютер, за-
блокированный паролем. magnify можно удалить и заменить копией команд-
ного процессора. После этого хакеру придется перезагрузиться и загрузить 
ОС Windows. Доступ к magnify можно получить, не требуя аутентификации 
в системе. Командный процессор может использоваться для создания учет-
ных записей пользователей, открытия программ, таких как браузеры, или для 

---

114  Компрометация системы 
создания бэкдоров наряду со многими другими типами взлома. Хакер также 
может вызвать Windows Explorer от имени пользователя Windows, зарегистри-
рованного как пользователь под именем SYSTEM, все еще находясь на страни-
це входа. Этот пользователь обладает привилегиями для изменения паролей 
других пользователей, может получать доступ к файлам и, кроме того, вносить 
изменения в систему. Как правило, это очень полезно для компьютеров в до-
мене, где пользователи получают привилегии в соответствии с их рабочими 
ролями.
Загрузка Konboot и Hiren просто позволит хакеру открыть учетную запись 
пользователя без аутентификации. Этот метод, с другой стороны, позволяет 
хакеру получить доступ к функциям, которые могут быть запрещены обычной 
учетной записью пользователя из-за отсутствия привилегий.