Как спрятаться от программы комплексного наблюдения на примере StaffCop
Помимо обычных кейлоггеров, перехватывающих клавиатурный ввод, вы можете столкнуться и с более комплексными решениями, контролирующими вашу активность за компьютером. Если за вами следит ревнивый супруг – едва ли стоит ожидать особо изощрённых методов, если речь не идёт о суровом айтишнике. Другое дело, если речь идёт о контроле персонала на рабочем месте.
Не секрет, что входящий и исходящий трафик в большинстве современных компаний контролируется ИТ-службами и службой безопасности. Но насколько глобально осуществляется такого рода контроль? С помощью программ, подобным StaffCop, возможно очень многое: перехват сообщений электронных мессенджеров и электронных писем, снятие скриншотов рабочего стола, составление подробных отчётов о вашей деятельности за компьютером и многое другое. Иными словами, под контроль попадает абсолютно всё, и в отличие от кейлоггера мониторинг осуществляется в реальном времени.
Разумеется, применение такого рода наблюдения за персоналом — совершенно оправданно: нас нанимают для работы, а не для общения в соцсетях и занятий посторонними делами в интернете, а корпоративные секреты должны быть гарантированно защищены. Однако в некоторых случаях вам могут понадобиться определённые меры по защите личного пространства. Если вы, устраиваясь на новое место работы, были оповещены об осуществляемом контроле и ознакомлены с правилами внутреннего распорядка, то защита вашей личной информации становится вопросом вашей ответственности и разумности.
Но что делать, если руководство или служба безопасности, не говоря о ваших недоброжелателях в коллективе, пытается наблюдать за вами тайно, вторгаясь таким образом на запретную территорию? Или если программой StaffCop воспользовались для целей шпионажа злоумышленники? В этом случае вам поможет COVERT. Давайте рассмотрим защиту от активного наблюдения на примере уже упоминавшегося выше StaffCop.
Итак, вы пришли на новое место работы, вас ознакомили с правилами внутреннего распорядка компании, и никаких уведомлений о проводящемся наблюдении вы не получали. Либо в какой-то момент вы стали понимать, что конфиденциальная информация (корпоративная или личная) попадает не в те руки.
Прежде всего, нужно локализовать шпиона в системе.
1) Как обнаружить на своём компьютере StaffCop.
Откройте программу COVERT. В правом верхнем углу мы видим сетевой монитор, работающий по умолчанию в режиме демонстрации активных соединений вашего компьютера с сетью. Нажмите на верхнюю рамку монитора с надписью «Приложение». Активируется режим просмотра соединений, которые находятся в ожидании.
Просмотрите все соединения в этом режиме. (Желтый цвет говорит о том, что приложение находятся в режиме ожидания, красный — приложение есть в «Базе угроз»). Если увидите среди них имя процесса sstray.exe (sstray64.exe) или LTVSrv.exe, то можно с уверенностью сказать, что за вами ведется наблюдение с помощью программы активной слежки StaffCop.
Итак, программа-шпион обнаружена, теперь вы знаете наверняка, что за вами наблюдают. Если вы хотите скрыть результаты своих действий, не пряча самих действий – вам достаточно просто зайти в платформу защиты COVERT, нажав на большую кнопку в главном окне, — и этого будет достаточно. Наблюдающий за вами будет видеть, что вы чем-то заняты, но не будет знать, чем именно. Если же вы хотите выйти из-под наблюдения абсолютно – читайте дальше.
2) Как удалить StaffCop.
Нажмите кнопку «Службы системы».
В открывшемся окне вы увидите файлы, которые есть в базе угроз, они будут выделены красным цветом. Нажмите правой кнопкой мыши на строку с именем файла sstray.exe (sstray64.exe) и LTVSrv.exe в контекстном меню выберите пункт «Изменить задачи служб», далее – «Удалить».
После завершения этой операции перейдите в раздел «Драйверный монитор», нажав на кнопку с таким же название в главном окне. Найдите драйвера с именем CaptureFileMonitor.sys (CaptureFileMonitor64.sys) и ProcObsrv.sys
Кликните на них правой кнопкой мыши и в контекстном меню выберите пункт «Удалить драйвер».
После выполнения всех действий перезагрузите компьютер и проверьте снова окно «Службы системы» (Активные службы) и «Драйверный монитор» (Активные драйвера): пунктов, выделенных красным цветом, не должно быть. Если всё зелёное — вы удалили StaffCop.
3) Временно отключаем агента StaffCop.
Зайдите в платформу защиты COVERT, нажав на большую кнопку в главном окне, после чего перейдите в «Службы системы» и выберите пункт с именем файла службы sstray.exe (sstray64.exe). Нажмите на него правой копкой мыши, и в контекстном меню нажмите пункт «Остановить службу».
После произведённых действий в программе человека, контролирующего ваши действия, ваш компьютер будет выглядеть как выключенный, а вы на своём компьютере сможете делать всё, что угодно, не опасаясь слежки.
Для того, чтобы восстановить мониторинг, нажмите кнопку «Все службы», выберите пункт с именем файла службы sstray.exe (sstray64.exe), кликните на нем правой копкой мыши и в контекстном меню выберите пункт «Изменить задачи служб», и далее – «Пуск».
После запуска службы программа контроля, установленная у босса, снова начнёт получать информацию с вашего компьютера, и в списке отслеживаемых компьютеров ваш компьютер станет активным.
4) Скрываем свои действия от программы StaffCop, не отключая наблюдение за собой.
Откройте программу COVERT и перейдите в окно «Драйверный монитор», нажав на кнопку с таким же название в главном окне. Найдите и удалите драйвера с именем CaptureFileMonitor.sys (CaptureFileMonitor64.sys) и ProcObsrv.sys как показано в разделе удаления агента. (Это нужно сделать один раз — и потом только проверять их отсутствие).
Зайдите в платформу защиты COVERT, нажав на большую кнопку в главном окне, затем перейдите в «Процессы системы», нажав одноименную кнопку в окне программы. Выберите пункт с именем файла LTVSrv.exe, кликните на нем правой копкой мыши и в контекстном меню выберите пункт «Добавить в базу завершения процессов». Теперь нажмите кнопку «Сохранить» в базе «Завершения процессов». Имя файла сохранится, и при следующем заходе в это окно процесс будет блокироваться автоматически. Не закрывайте окно «Процессы системы» в течение всего сеанса работы в платформе. Можете спустить окно вниз, нажав на кнопку «Свернуть» в верхней части окна.
Программа COVERT будет блокировать это процесс, и тем самым не даст собирать и передавать информацию с вашего компьютера. Но на компьютере вашего босса будет видно, что вы находитесь в сети и не производите никаких действий, хотя на самом деле вы сможете делать что захотите. Чтобы завершить работу в платформе защиты COVERT и снова стать видимым для вашего начальника, нажмите кнопку «Выход» в главном окне программы. Блокируемый процесс восстановиться автоматически.
Скачайте программу COVERT и бесплатно проверьте — следят ли за вами с помощью StaffCop.