Вирус на удаленном рабочем столе

Денис Ибатуллин, аналитик компании "Фродекс"

Средства удалённого доступа и управления рабочим столом – это хороший способ экономить время для проведения удалённого администрирования и решения других сопутствующих задач.

Общеизвестно, что далеко не всегда подобные программы используются во благо. Злоумышленники применяют подобные средства или их специализированные аналоги для достижения своих корыстных целей.

Теоретически способы, позволяющие пользователям обнаружить сеанс удаленного управления, это:

Сканирование открытых портов позволяет гарантированно детектировать только те средства удаленного управления, которые используют жестко заданные порты. Таким способом можно детектировать Remote Desktop Connection – стандартный удаленный рабочий стол Windows (порт 3389). Radmin, хоть и имеет стандартный порт, используемый по умолчанию (4899), предоставляет возможность настройки порта в диапазоне от 1 до 65535. Таким образом, если используется один из широко известных портов, то обнаружить Radmin будет сложнее. VNC не имеет порта по умолчанию. TeamViewer использует 80 и 443 порты HTTP. Ammyy Admin использует HTTPs прокси, так что обнаружить его сканированием портов невозможно;

Сканирование реестра. Если программа удаленного управления сохраняет свои настройки в реестре, то её можно обнаружить. Так можно обнаружить, например, стандартный RDP Windows, TeamViewer, Ammyy Admin и Radmin. Но для того чтобы обнаружить средство удаленного управления необходимо знать, что именно и в каких ветках реестра нужно искать. А VNC таким образом не обнаружить, т.к. они не хранят свои настройки в реестре;

Сканирование сетевого трафика. На первый взгляд подобным способом можно будет детектировать все средства удаленного управления, однако это не так. Дело в том, что многие средства удаленного управления шифруют свой трафик, и обнаружить удаленное управление не удастся. Но детектировать, например, Radmin, RDP Windows всё же возможно, т.к. они используют известные протоколы удаленного управления без шифрования. А TeamViewer и Ammyy Admin, шифруют свой трафик. VNC использует SSL/SSH/VPN, т.е. протоколы удаленного доступа будут скрыты от Вас;

Сигнатурный анализ. В случае, если сигнатуры программ удаленного управления известны, то обнаружить их исполняемые файлы не составит труда, но если будет использоваться стандартный удаленный стол Windows, то такое сканирование бесполезно, т.к. он присутствует во всех версиях Windows выше NT 4.0.

Самым доступным для рядового пользователя средством защиты от программ удаленного управления является антивирус. Известные антивирусы, в частности Kaspersky Internet Security, обнаруживают исполняемые файлы, сканируют оперативную память, службы, записи в реестре, характерные для средств удаленного управления и не позволяют работать подобным средствам без разрешения пользователя. Dr.Web же обнаруживает средства удаленного управления не только сигнатурным анализом, но и при проверке запущенных служб. Например, Ammyy Admin блокируется многими известными антивирусами. Однако, если внести подобные средства в исключения, то их работа не будет блокироваться.

Не смотря на то, что антивирусы, при их относительной сложности, хоть и обнаруживают наличие средств удаленного управления, сам факт установления сеанса удаленного управления они не детектируют.

В таком случае, необходим способ обнаружения именно сеанса удаленного управления.

Решено было использовать средства клавиатурного мониторинга. Они привлекательны тем, что их назначение - аутентификация оператора ПК, это позволит в случае необходимости доказать, что противоправные действия совершались не оператором ПК, а удаленным пользователем (злоумышленником).

Рассмотрим популярное средство удаленного управления TeamViewer.(ver 10.0.36897.0), т.к. им пользуются более 200 миллионов пользователей и он переведен на 30 языков мира.

А в качестве средства клавиатурного мониторинга будем использовать кейлоггер – программа, которая перехватывает и записывает все манипуляции с клавиатурой компьютера. Используемый программный кейлоггер был написан автором статьи и производит регистрацию событий клавиатуры с точностью до 1мс.

На компьютерах, участвующих в эксперименте, установлена ОС Windows XP SP 3/Windows 7 SP 1. Компьютеры представляют собой стационарные рабочие места, оборудованные стандартными клавиатурами, и находящиеся друг от друга на расстоянии в несколько километров. Они находятся в разных локальных сетях, сообщение между которыми осуществляется только средствами сети Интернет. Скорость интернет соединения была больше или равна двум мегабитам в секунду.

Эксперимент проводился следующим образом:

На рабочем месте, к которому в дальнейшем осуществлялось удаленное подключение, включался кейлоггер;

Программа (специальный драйвер клавиатуры) эмулирующая действия локального оператора, вводила небольшой текст;

Устанавливался сеанс удалённого управления через TeamViewer;

Программа (специальный драйвер клавиатуры) вводила тот же небольшой текст, что и локальный оператор, с теми же параметрами клавиатурного почерка, но уже на удаленной машине;

Работа кейлоггера останавливалась, и его лог отправлялся на анализ.

Кейлоггер фиксировал следующие параметры клавиатурного почерка:

Время нажатия клавиши;
Время отпускания клавиши.

По этим параметрам устанавливались две характеристики клавиатурного почерка:

Время удержания клавиши;
Время паузы между клавишами или их перекрытие.

После анализа логов видно, что наибольшие отклонения обнаруживаются по времени удержания клавиш, а разница значений пауз между нажатиями удаленного и локального пользователя не превышает 5мс.

Гистограмма, демонстрирующая время удержания нажатой клавиши, при вводе локальным пользователем и оператором удаленного доступа.

Данная диаграмма демонстрирует, что при осуществлении удаленного доступа время удержания клавиши становится неестественно малым. Максимальное значение при осуществлении 5 экспериментов было 20 мс, такое время удержания клавиш теоретически способны продемонстрировать лишь рекордсмены по набору текстов на клавиатуре, чья скорость печати должна превышать 1000 знаков в минуту.

Напрашивается вывод, что удаленное управление, осуществляемое через средство удаленного доступа TeamViewer (ver 10.0.36897.0), можно обнаружить, производя мониторинг времени удержания клавиш.

Однако, возможно ли определить факт удаленного управления, если он будет осуществлен с помощью другого программного продукта? Давайте проведем ещё один эксперимент. Будем использовать такие же методы обнаружения и те же компьютеры, но средством удаленного доступа в данном случае будет Ammy Admin (ver 3.5.0.0).

После проведения эксперимента, был получен результат, отличный от предыдущего:

Гистограмма, демонстрирующая время удержания нажатой клавиши локальным пользователем и оператором удаленного доступа с использованием Ammy Admin.

Как видно из приведенной диаграммы, время удержания клавиш при наборе удаленным и локальным пользователем почти неотличимы (так как различия между ними не превышают 5мс). Разница значений пауз между нажатиями клавиш также не превысила 5мс.

Данный эксперимент был также проведен с использованием следующих популярных программ для удаленного управления:

UltraVNC VNCviewer (ver 1.2.0.1.);
Radmin (ver 3.5);
Remote Desktop Connection (ver 6.1.7601.17514).

Во всех случаях значение разницы во времени нажатия клавиш и пауз между нажатиями клавиш не превысило 5мс.

Значит мониторинг времени удержания клавиш не дает однозначного ответа на вопрос, осуществлялся ли сеанс удаленного доступа.

Но, в случае, когда будет использоваться не TeamViewer (ver 10.0.36897.0), то параметры клавиатурного почерка удаленного оператора будут поступать на компьютер, к которому осуществляется доступ, с небольшими искажениями (величина отклонений не превышает 5мс). И, в случае, если удаленный и локальный оператор не один и тот же человек, и при наличии данных о клавиатурном почерке локального пользователя, факт подмены пользователя можно будет обнаружить, используя существующие методы непрерывной аутентификации по клавиатурному почерку.

В таком случае ввод слова "testing" с использованием Ammy Admin будет выглядеть следующим образом.

Но определить, сравнивая временные характеристики клавиатурного почерка в логах кейлоггера, действительно ли осуществляется удаленный доступ или же злоумышленник просто получил физический доступ к компьютеру, будет невозможно.

Однако, существует метод детектирования удаленного доступа при осуществлении клавиатурного мониторинга. Он основан не на сравнении и выявлении изменений временных значений параметров клавиатурного почерка пользователя, а на изменении значения параметров Hardware ID и DeviceHandle. Данные параметры характеризуют конкретную модель клавиатуры. Сбор этих параметров также осуществляется кейлоггерами при обработке любого события клавиатуры.

В случае осуществления ввода непосредственно при помощи клавиатуры локальным пользователем, значение параметра Hardware ID будет, например, таким: HID#VID_05FE&PID_2001&MI_00#7&39613403&0&0000#<884b96c3-56ef-11d1-bc8c-00a0c91405dd>, а значение DeviceHandle – 0x3004B. А при сеансе удаленного управления данные параметры во всех экспериментах принимали значения: Hardware ID – "не установлен", DeviceHandle – "0x00000". Таким образом, удаленное управление, осуществляемое через упомянутые ранее средства удаленного доступа, можно детектировать отслеживанием параметров Hardware ID и DeviceHandle, и в случае, если они принимают значения:"не установлен" и "0x00000", можно с уверенностью утверждать, что осуществлялся сеанс удаленного управления.

На этом сайте вы можете найти несколько популярных средств для удаленного управления компьютером с Windows или Mac OS (см. Лучшие программы для удаленного доступа и управления компьютером), одно из них, выделяющееся среди прочих — Удаленный рабочий стол Chrome (Chrome Remote Desktop), также позволяющее выполнять подключение к удаленным компьютерам с другого компьютера (на разных ОС), ноутбука, с телефона (Android, iPhone) или планшета.

В этой инструкции — подробно о том, как скачать удаленный рабочий стол Chrome для ПК и мобильных устройств и использовать это средство для управления компьютером — своим или другого пользователя. А также о том, как удалить приложение при необходимости.

Как скачать и установить удаленный рабочий стол Chrome на компьютер

Прежде чем переходить к установке удаленного рабочего стола Chrome на компьютер, учитывайте следующий важный момент: для возможности полноценной работы с ним следует войти в свою учетную запись Google в браузере: без неё можно использовать лишь функцию удаленной поддержки, о которой далее в статье.

Требования для устройств, с которых выполняется подключения к вашему компьютеру:

Как подключиться и использовать удаленный рабочий стол Chrome

Удаленный рабочий стол Chrome предлагает два режима работы:

Удаленный доступ — удаленное управление вашими компьютерами с других устройств с вашим аккаунтом Google.
Удаленная поддержка — режим работы, при котором вы можете получить поддержку от другого человека или сами предоставить её.

Подключение в первом случае состоит из следующих шагов:

Далее работа проходит в обычном режиме удаленного доступа к компьютеру.

Дальнейшее использование удаленного доступа не должно оказаться сложным: вы управляете удаленным компьютером с помощью клавиатуры и мыши, как обычно, но в окне браузера Google Chrome или в мобильном приложении.

Справа находится меню с настройками и возможностью включить полноэкранный режим, изменить режим работы с несколькими мониторами, передать системные сочетания клавиш, а также включить использование общего буфера обмена (передавать файлы с его помощью не получится, только текстовые и графические данные).

В целом, несмотря на некоторую ограниченность по сравнению с аналогичными коммерческими продуктами, удаленный рабочий стол Chrome — отличный вариант, работающий без сбоев (при условии, что нет проблем с сетью), безопасный, простой в настройке и использовании. Потому, если вам требуется лишь доступ к удаленному рабочему столу без дополнительных функций передачи файлов, записи экрана, скрытного использования — могу смело рекомендовать.

Как удалить Chrome Remote Desktop

Если вам потребовалось удалить удаленный рабочий стол Chrome с компьютера Windows (на мобильных устройствах он удаляется также, как и любое другое приложение), выполните следующие простые шаги:

На этом удаление приложения будет завершено.

А вдруг и это будет интересно:

Почему бы не подписаться?

Рассылка новых, иногда интересных и полезных, материалов сайта remontka.pro. Никакой рекламы и бесплатная компьютерная помощь подписчикам от автора. Другие способы подписки (ВК, Одноклассники, Телеграм, Facebook, Twitter, Youtube, Яндекс.Дзен)

14.01.2015 в 11:32

Спасибо за статью! Всё коротко, чётко и ясно!

22.05.2017 в 23:22

А если функция начало работы не доступна что делать?

14.03.2018 в 23:10

Здравствуйте, ИМХО инфа в статье не раскрыта более чем полностью. Подумайте сами — зачем такую приблуду устанавливать на несколько компов без возможности обмена файлами? Правильный ответ — незачем. Между тем и тимвивер и эммиадмин такую возможность предоставляют. А эта прога — нет. Зачем она нужна?

15.03.2018 в 08:01

В удаленном рабочем столе Chrome нет возможности пересылки файлов, да. но это не значит, что писать об этой штуке не нужно и она никому не нужна.

27.03.2018 в 16:22

LiteManager бесплатный аналог мне больше нравится

26.06.2018 в 13:44

Ок. Допустим всё сделал как тут написано. Ушел и оставил компьютер работать.
Компьютер в процессе работы перезагрузился. Опять подключиться к этому компьютеру через интернет получится?
Иными словами — браузер Chrome надо в автозапуск ставить, или нет?

26.06.2018 в 15:00

02.07.2018 в 10:33

03.07.2018 в 10:09

18.05.2019 в 15:27

Некоторое время (уже давно) работала у меня, причём очень быстро. Потом сломалась, не помогали никакие меры. Плюс маловато функций. Пришлось менять.

09.08.2019 в 22:48

Спасибо, инфа пригодилась.

13.08.2019 в 17:42

22.09.2019 в 16:42

23.09.2019 в 09:14

23.10.2019 в 09:34

Как решить проблему, при подключении отключается windows aero, если перезапустить службу aero в ручную ненадолго она включается

Участники

Cообщений: 51

При подключении по RDP к удаленному серверу выводится сообщение о том, что администраторская учетная запись заблокирована. Соответственно, никакой пароль не принимается. Такая проблема вылезает не систематизировано, за пару месяцев это уже третий случай.
Подозрения на наличие вируса на удаленном ПК, но на всякий случай решил проверить свой компьютер, с которого подключаюсь.

- Скачайте Farbar Recovery Scan Tool
и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет ( FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет ( Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

CCNA, CCNP, CCNA Security, CCDA, CCDP
MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

Участники

Cообщений: 51

- Скачайте Farbar Recovery Scan Tool
и сохраните на Рабочем столе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

Прикрепляю логи с трех ПК:
1. Со своего
2. С удаленного сервера (serv_***)
3. Со второго ПК, с которого также происходит подключение к серверу (PC-2_***)

Одна тема = один пк,

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

Закройте и сохраните все открытые приложения.
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

CCNA, CCNP, CCNA Security, CCDA, CCDP
MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

Участники

Cообщений: 51

Одна тема = один пк,

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

Организация удаленного доступа через частные облачные сервисы — одно из современных решений для бизнеса, позволяющее обеспечить доступ к данным в любое время и в любом месте.

Удаленное управление компьютером через виртуальный рабочий стол — мобильность, удобство, оптимизация затрат.

Облачные решения — способ получить всю жизненно важную информацию и документы мгновенно, без вложений в покупку оборудования и без трат на сервис по обслуживанию.

VDI решения при организации удаленного доступа — это возможность:

увеличить продуктивность работы;
обеспечить удобное управление для IT-администраторов;
организовать персонализированную среду для рядовых пользователей;
снизить риск потери данных.

Подробнее о преимуществах сервиса.

Обеспечение комфортных условий работы и защиты данных компании при удаленном доступе предполагает в том числе предоставление оптимальных IT-решений с учетом особенностей бизнес-сферы клиента.

Представьте себе ситуацию: вы находитесь в командировке, на важной деловой встрече. И неожиданно обнаруживаете, что всю информацию по предстоящей сделке оставили в офисе, на своем стационарном компьютере. Катастрофа? Нет, если у вас подключен удаленный доступ.

Зачем нужен удаленный доступ к компьютеру

Удаленный доступ — функция, дающая пользователю возможность подключаться к компьютеру с помощью другого устройства через интернет практически отовсюду. Пользователь работает с файлами и программами точно так же, как если бы он находился возле этого компьютера. Особенно пригодится эта функция тем компаниям, где большинство сотрудников находится за пределами офиса, на частичном фрилансе, аутсорсинге или в командировках, но при этом они нуждаются в обновлении рабочей информации, просмотре корпоративной почты и пр. Им не нужно будет скачивать все необходимые для работы данные на внешний носитель или отправлять их по почте — достаточно связаться с офисным компьютером.

Удаленный доступ используют системные администраторы для управления системой и устранения сбоев в ее работе, и руководители, желающие проконтролировать процесс выполнения задачи своими подчиненными. Применяется он и для дистанционного обучения в образовательных учреждениях.

Известно два варианта организации удаленного доступа:

установка специализированного ПО на собственном сервере;
договор с облачным провайдером по модели DaaS (desktop as a service) — виртуальный рабочий стол.

Рассмотрим каждый из вариантов подробнее, чтобы понять их преимущества и недостатки.

Для создания удаленного подключения используют специальные программы. Обязательное условие — наличие постоянного доступа в интернет, компьютеров, обладающих определенными характеристиками и сервера. Удаленное подключение связывает две рабочие станции через интернет. В стандартном приложении Windows соединение происходит между двумя IP-адресами, но если компьютер находится в локальной сети, то подключиться к нему извне можно только с помощью специальных программ удаленного доступа. Такое ПО делает возможным подключение к другому компьютеру из любой точки мира.

Программы позволяют видеть рабочий стол и выполнять все действия на удаленном устройстве, изменять настройки ПО, обмениваться файлами, делать принт-скрины, шифровать передаваемые данные, проводить конференции, подключать веб-камеры, удаленные проекторы и прочие сетевые устройства.

Топ-5 программ удаленного доступа по версии портала Soft Home выглядит следующим образом:

TeamViewer. Высокая степень безопасности, простота использования, мультимониторный режим. Стоимость зависит от количества рабочих столов (от 200 долларов США) .
RAdmin. Российское ПО с большим функционалом. Бесплатных версий нет.
Ammyy Admin. Высокая скорость, голосовой чат, удобный интерфейс. Цена лицензии от 1200 рублей .
AeroAdmin. Высокая скорость подключения, служба мгновенных сообщений. Цена лицензии от 990 рублей.
UltraVNK. Настройка качества изображения, чат, возможность доступа с портативных устройств. Бесплатно.

Минусом этого типа подключения является требование к наличию специальных знаний по настройке офисных маршрутизаторов. Кроме того, при таком способе организации доступа повышается вероятность взлома и проникновения в локальную сеть посторонних лиц.

Услуга дает клиентам доступ к готовому к работе удаленному рабочему столу. В него входит набор определенных программ, который расширяется в зависимости от потребностей пользователя. Работать можно с офисных или домашних компьютеров, ноутбуков и мобильных устройств: рабочий стол везде будет одинаковый. Операционные действия выполняются на удаленном сервере поставщика услуг, поэтому требования к устройствам клиента минимальны (тонкие клиенты). При этом варианте данные и программы пользователя размещаются не на локальном сервере, а в облаке. Доступ к ним возможен из любого места, где есть интернет.

Рис. Организация удаленного доступа через облако

Для начала работы потребуется заключить договор с поставщиком услуги, предварительная установка какого-либо ПО не нужна.

Провайдеры гарантируют безопасное хранение информации в дата-центрах и защиту от хакерских атак и вторжения вирусов. Недостаток услуги только один — зависимость от качества канала связи.

А вот так выглядит топ-5 DaaS-решений:

Об этом нам рассказал представитель компании DEAC Наскидаев Олег Анатольевич:

«На рынке появляется все больше поставщиков подобных услуг, рядовому пользователю сделать выбор с каждым днем труднее. Я бы порекомендовал обратить внимание на две вещи: обеспечение уровня безопасности информации и наличие собственных разработок. Первое говорит об отношении провайдера к своим клиентам, а второе — об уровне квалификации сотрудников.

Приватные дата-центры DEAC уделяют вопросам защиты информации первостепенное внимание. Все данные клиента хранятся в безопасном облаке, созданном на базе собственных дата-центров в нескольких городах мира. Строго соблюдается безопасность при работе с данными с личных устройств пользователей.

VDI решения при организации удаленного доступа — это возможность:

увеличить продуктивность работы;
обеспечить удобное управление для IT-администраторов;
организовать персонализированную среду для рядовых пользователей;
снизить риск потери данных.

Подробнее о преимуществах сервиса.

Зачем нужен удаленный доступ к компьютеру

Известно два варианта организации удаленного доступа:

установка специализированного ПО на собственном сервере;
договор с облачным провайдером по модели DaaS (desktop as a service) — виртуальный рабочий стол.

Рассмотрим каждый из вариантов подробнее, чтобы понять их преимущества и недостатки.

Топ-5 программ удаленного доступа по версии портала Soft Home выглядит следующим образом:

TeamViewer. Высокая степень безопасности, простота использования, мультимониторный режим. Стоимость зависит от количества рабочих столов (от 200 долларов США) .
RAdmin. Российское ПО с большим функционалом. Бесплатных версий нет.
Ammyy Admin. Высокая скорость, голосовой чат, удобный интерфейс. Цена лицензии от 1200 рублей .
AeroAdmin. Высокая скорость подключения, служба мгновенных сообщений. Цена лицензии от 990 рублей.
UltraVNK. Настройка качества изображения, чат, возможность доступа с портативных устройств. Бесплатно.

Рис. Организация удаленного доступа через облако

А вот так выглядит топ-5 DaaS-решений:

Об этом нам рассказал представитель компании DEAC Наскидаев Олег Анатольевич:

Читайте также: