Некролог на Web-Money Keeper Classic


Введение


Популярная платежная система Web-Money реализована в виде двух независимых программ — Keeper Classic и Keeper Light, каждая из которых имеет свои достоинства и недостатки.

Keeper Classic представляет обычное Windows-приложение, требующее инсталляции на компьютер и непонятно что на нем делающее. По словам некоторых пользователей "это —поделка от Web-Money, в которую неизвестно что зашито, может, и троян. И даже если его там нет, сие творение небезупречно – пару раз ставил на несколько компов, так они стали хромать на обе ноги, вплоть до BSOD. На других же компах работа была нормальной. Следовательно, эта программа недоработана и ведет себя непредсказуемо в зависимости от неизвестно чего".

 

Рисунок 1 установка Keeper Classic на компьютер

Но прикладное приложение (которым пытается казаться Keeper Classic) не может вызывать BSOD, поскольку это прерогатива драйверов, работающих на уровне ядра. Значит, Keeper каким-то образом проникает в ядро, причем не совсем легальным путем (отсюда конфликты и BSOD). Во всяком случае, я не видел никакого запроса на установку драйверов при инсталляции и никаких драйверов не появилось в каталоге WINNT\System32\Drivers, где им и положено быть, но… запуск утилиты R-Studio, восстанавливающей удаленные файлы, показал наличие созданного и тут же удаленного файла winio.sys, ссылка на который обнаружилась в компоненте Keeper'a: WMClient.dll и, судя по названию, этот драйвер открывает доступ к портам ввода/вывода с прикладного уровня, что создает нехилую дыру в системе безопасности, не говоря уже о том, что некорректное обращение с портами чревато не только голубыми экранами смерти, зависанием компьютера, но и потерей данных вместе с порчей оборудования.

 

Рисунок 2 утилита R-Studio удаляет драйвер установленный, загруженный и удаленный Keeper'ом

Тут же, по соседству с "winio.sys" приютились текстовые строки — "\\.\PhysicalDrive%d", "\\.\Scsi%d:" и "SCSIDISK", недвусмысленно свидетельствующие в пользу того, что Keeper работает с жесткими дисками на низком уровне!




Начало  Назад  Вперед