Компьютерра, 2006 № 14 (634) - [5]
Таиландская компания Vervata выпустила пакет FlexiSPY, скромно назвав его «первым в мире программным шпионом, созданным исключительно для мобильных телефонов». По замыслу разработчиков FlexiSPY можно установить на любой сотовый телефон, работающий под ОС Symbian, так что если аппарат принадлежит вашему сыну, дочери, супругу или супруге, то можно будет проконтролировать все звонки и SMS-послания владельца телефона, ибо лог-файлы звонков и содержимое SMS незаметно загружаются в специальный, заранее абонированный аккаунт на сервере компании.
С точки зрения аналитиков финской антивирусной фирмы F-Secure, программа содержит все характерные признаки троянца, и на этом основании ее включили в постоянно пополняемые списки компьютерной заразы и вредоносного ПО. Логика финнов ясна: приложение устанавливается без каких-либо пояснений, для чего оно предназначено, а когда установлено, то полностью скрывает свое присутствие от владельца телефона. Иначе говоря, создан полноценный механизм для внедрения и сокрытия любого злонамеренного кода. Не говоря уже о том, что во многих странах шпионаж за частными коммуникациями граждан считается преступлением.
В Vervata внимательно прочли заключение F-Secure и категорически с ним не согласились, поскольку трактуют термин «троянец» совсем иначе. Дабы таиландская логика стала хоть чуть-чуть понятнее, понадобится привести точку зрения фирмы дословно: «FlexiSPY — это не троянец и не вирус, а программа мониторинга активности, которая требует сознательной установки человеком, который ТОЧНО знает, что делает эта программа. Она НЕ размножает себя, НЕ притворяется тем, чем не является, и ВСЕГДА требует осознанных действий человека для установки».
Иначе говоря, если бы музыкальный гигант Sony BMG заранее знал о столь замечательном подходе к самообороне (да если бы такое «терминологическое» жонглирование еще и срабатывало), то не было бы грандиозного скандала и вокруг «руткита Sony». Ибо и его, и кучу других троянцев для борьбы с копированием и «мониторинга активности» компании устанавливают в компьютеры пользователей вполне осознанно, точно представляя, для чего им это нужно. Вот только владельцев и пользователей компьютеров в известность не ставят. — Б.К.
Серьезная уязвимость, недавно обнаруженная в Internet Explorer, подтолкнула сразу две компании к выпуску неофициальных патчей, быстро ставших популярными среди пользователей. Этот случай во всей остроте поднимает давнюю проблему защищенности и оперативности латания багов в браузере Microsoft.
Брешь, известная под именем create-TextRange, позволяет злоумышленнику запустить произвольный код на машине пользователя, заманив его на заранее подготовленную веб-страничку (по слухам, для привлечения к сайтам-ловушкам активно используется спам). Хотя Microsoft признала наличие критической дыры, патч вероятнее всего выйдет только в середине апреля вместе с плановым ежемесячным обновлением. Эта неторопливость отчасти связана с тем, что разработчики корпорации обязаны проверить пригодность заплатки для всех комбинаций разных версий Windows и Explorer, а также исключить возможные конфликты с разнообразнейшим ПО третьих фирм.
Разумеется, многие пользователи, особенно домашние, предпочли бы получить защиту от уязвимости как можно быстрее, не дожидаясь тестов на совместимость со сложными корпоративными системами. Microsoft давно упрекают в том, что она могла бы оперативно выпускать бета-версии заплаток, уже потом тщательно их шлифуя, однако эти призывы пока остаются без ответа. Конечно, свято место пусто не бывает: компании eEye Digital Security и Determina заполнили временный «вакуум» своими патчами, сделав себе отличную рекламу (только с сайта eEye утилиту скачали около ста тысяч пользователей). Но Microsoft этот «благородный порыв» осудила, порекомендовав воздержаться от инсталляции левых заплаток. Того же мнения придерживаются и многие независимые эксперты, в качестве решения предлагая отключить исполнение скриптов в браузере или временно избрать другой инструмент для веб-серфинга.
Есть, впрочем, надежда, что следующие версии браузера Microsoft будет «лечить» порасторопней. Корпорация, наконец, вняла просьбам пользователей и организовала систему ведения учета ошибок, аналогичную Bugzilla. Отныне любой человек, заинтересованный в улучшении Internet Explorer, может указать на баги, выявленные при работе с программой. База открыта на портале Connect и доступна всем владельцам учетной записи в системе Microsoft Passport. Правда, разработчики просят, чтобы баг-трекер использовался только для сообщений о работе с новым IE 7 (на данный момент представлен лишь бета-версиями). Пользователям релизов старого «разлива» приобщиться к коллективной работе над ошибками не удастся. — А.З.
Сразу два громких скандала, связанных с утечкой конфиденциальной информации, разразились в Азии.
Репортеры независимого сайта Webb-site.com, ведущие постоянный мониторинг корпоративных и государственных событий в Китае, откопали в Интернете любопытнейшую информационную базу. Она содержит персональные данные 20 тысяч человек, подавших в период 1996—2004 гг. заявления в гонконгский IPCC (Independent Police Complaints Council — Независимый совет для расследования действий полиции) с жалобами на злоупотребления и другие незаконные действия «компетентных органов». В Сеть попали даты обращений граждан, их полные имена и адреса, описания нарушений, сведения об обвиняемых полицейских, результаты рассмотрения жалоб и многое другое. Беглое журналистское расследование показало, что скорее всего база перекочевала в Интернет из-за банальной халатности ИТ-специалистов, обслуживающих сервер IPCC. В пользу этого предположения говорит и формат данных. Официальные лица пока хранят молчание, но правозащитники уже требуют крови ответственных и независимого аудита ИТ-безопасности организации. Тем временем пострадавшие, опасаясь мести полицейских, серьезно задумались о целесообразности дальнейших обращений в IPCC.
