[Обновлено] Шпионила ли Samsung за своими клиентами?

[Обновлено] Шпионила ли Samsung за своими клиентами?

В последние дни марта Интернет-сообщество было взбудоражено известием о том, что крупный производитель бытовой и компьютерной техники Samsung Electronics, вероятно, сознательно поставлял портативные персональные компьютеры с предустановленным шпионским программным обеспечением. Результаты расследования инцидента, однако, опровергают это предположение.


Все началось с публикации на популярном сетевом ресурсе Network World, в которой специалист по информационной безопасности Мохаммед Хасан рассказал о случившемся с ним инциденте. Некоторое время назад он приобрел новый ноутбук Samsung серии R, модель 525; по своей давней привычке специалист провел предварительное антивирусное сканирование операционной системы... и обнаружил в каталоге C:\WINDOWS\SL коммерческий шпионский инструмент StarLogger.

StarLogger - это средство мониторинга действий пользователя, или, проще, кейлоггер. Он отслеживает все вводимые с клавиатуры данные, делает снимки экрана и регулярно посылает собираемые сведения на заданный ему электронный адрес. Естественно, что вместе с прочими сведениями к "хозяину" уходят и аутентификационные данные (логины и пароли), и другая конфиденциальная информация. Визуально "продукт" себя никак не проявляет.

Г-н Хасан избавился от кейлоггера и какое-то время работал с ноутбуком, однако вскоре у него возникли проблемы с дисплеем, и специалист вернул портативный компьютер в магазин. Посетив другую торговую точку, он приобрел модель из той же серии, но с более высоким номером - R540; каково же было его удивление, когда и на этом устройстве обнаружился тот же самый кейлоггер, расположенный в той же самой папке.

Инцидент, таким образом, из разряда случайностей перешел в закономерность, и г-н Хасан отправился выяснять, известно ли производителю о наличии кейлоггера и какие объяснения Samsung может предложить относительно случившегося. В первую очередь был оформлен запрос в техническую поддержку компании.

Специалист рассказывает, что сотрудники поддержки первого уровня сначала утверждали, будто никакого шпионского ПО на компьютерах быть не может. Когда г-н Хасан указал, что один и тот же кейлоггер оказался идентичным образом установлен на два разных ноутбука из одной серии, купленных в разных магазинах, ему заявили, что Samsung отвечает только за аппаратное обеспечение, а по вопросам обеспечения программного необходимо... правильно, обратиться в корпорацию Microsoft. Эксперт, однако, стоял на своем и добился переключения на одного из старших технических консультантов.

Тот, в свою очередь, поведал г-ну Хасану, что компания действительно установила на ноутбуки такую программу, "чтобы отслеживать производительность машины и условия ее использования". На этом основании специалист сделал окончательный вывод - Samsung сознательно поставляла клиентам портативные компьютеры, инфицированные шпионским программным обеспечением, - о чем и написал в своей статье на Network World. Позднее, комментируя инцидент для Интернет-издания V3.co.uk, он добавил, что консультант технической поддержки еще и пытался убедить его в том, будто все производители компьютерной техники внедряют в системы такие кейлоггеры, и вообще здесь совершенно не о чем беспокоиться.

Два других популярных сетевых ресурса - PC World и CNET - в это время как раз получили для написания обзоров недавно выпущенные ноутбуки Samsung серии 9, которые должны составить конкуренцию Apple MacBook Air. Когда Network World опубликовал статью г-на Хасана, редакторы этих сайтов независимо друг от друга решили проверить, есть ли инфекция на этих устройствах; ни в первом, ни во втором случае никаких следов StarLogger им обнаружить не удалось. Возможно, впрочем, что заражению подверглись только портативные компьютеры серии R.

Следом отреагировали и официальные лица самой Samsung. Пресс-секретарь компании Джейсон Редмонд сообщил журналистам, что по факту инцидента начато внутреннее расследование, и все представленные г-ном Хасаном сведения будут самым тщательным образом проверены. Он также отметил, что никогда не слышал ни о производителе StarLogger - фирме De Willebois Consulting, - ни о каких-либо эпизодах сотрудничества или партнерских отношениях Samsung с этой компанией.

 

Дополнение

По итогам оперативного изучения случившегося представители Samsung объявили, что оснований для беспокойства нет и быть не может: ноутбуки, выпускаемые компанией, полностью безопасны. Причиной инцидента оказалось ложное срабатывание антивирусного сканера VIPRE, которым пользовался г-н Хасан. По-видимому, специалист не предполагал, что применяемая им противовирусная система обнаруживает вредоносные и нежелательные программы по именам каталогов, в которых те обыкновенно располагаются.

Вместе с прочим программным обеспечением на ноутбуки, с которыми работал возмутитель спокойствия, был установлен пакет приложений Microsoft Live. Данное решение поддерживает мультиязычность и каждый набор языковых файлов помещает в отдельную директорию в папке операционной системы. По "роковому" совпадению данные для словенской локализации, как и шпионский инструмент StarLogger, устанавливаются в каталог с именем "C:\WINDOWS\SL".

Проверка, проведенная сотрудниками Samsung и экспертами антивирусных компаний, показала, что если на совершенно чистом компьютере, находящемся под защитой VIPRE, создать пустой каталог C:\WINDOWS\SL, то это вызовет срабатывание антивирусной системы с аналогичным вердиктом. Снимок экрана, иллюстрирующий этот факт, доступен здесь.

Таким образом, инцидент разрешился благополучно. Однако, как справедливо заметил журналист Интернет-издания The Register, происшествие поднимает пару небезынтересных вопросов: во-первых, почему антивирусный продукт VIPRE полагается на столь ненадежный и недостоверный метод детектирования, как поиск вредоносных программ по имени каталога, а во вторых - насколько высока квалификация сотрудников технической поддержки Samsung Electronics.

Если бы обвинения, выдвинутые Мохаммедом Хасаном, подтвердились, то южнокорейскому производителю техники грозили бы большие неприятности - судебные иски, финансовые и репутационные потери. Инцидент уже успели сравнить со случаем шестилетней давности, когда в программном обеспечении для контроля копирования компакт-дисков от Sony были обнаружены руткит-технологии.

Письмо автору

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Исходники Banshee Stealer слиты в Сеть, подписку на macOS-трояна закрыли

Исходные коды Banshee, программы-стилера для macOS, обнаружены онлайн. Авторы находки скопировали их и выложили на GitHub.

После утечки созданный на основе трояна сервис (MaaS, Malware-as-a-Service), по данным VXunderground, закрылся.

Платный доступ к Banshee стали активно продвигать на хакерских форумах в минувшем августе. Вредонос не очень сложен, поддерживает аппаратные платформы x86_64 и Arm64 и умеет воровать данные из браузеров, криптокошельков и сотни браузерных плагинов.

Авторы инфостилера успели снабдить его только базовой защитой — средствами противодействия запуску из-под отладчика и в виртуальной среде. Примечательно, что зловред также откатывает свое исполнение, когда в предпочтениях выставлен русский язык.

Отметим: утечки исходников вредоносных программ нередки, и злоумышленники охотно используют такие возможности для создания кастомных вариантов и форков. Иногда вирусописатели сами выкладывают свои творения в паблик, обнаружив, что те слишком сильно засветились.

Некоторые создатели зловредов сразу открывают доступ к исходным кодам — как это сделал, к примеру, автор Luca Stealer. Случайные утечки в мире киберкриминала и вовсе редки, как и происки хактивистов — разве что тех раздражает такое оружие, как сталкерский софт.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru