Бэкдор в программном обеспечении¶

Бэкдор (от англ. back door — «задняя дверь») — скрытый канал доступа к программному обеспечению, компьютерной системе или сети, обходящий штатные механизмы аутентификации и авторизации. Бэкдоры могут быть намеренно заложены разработчиками (например, для отладки или технической поддержки) либо внедрены злоумышленниками после компрометации системы. С точки зрения информационной безопасности бэкдоры относятся к классу скрытых угроз (stealth threats), поскольку их обнаружение требует специальных методов анализа.

¶Назначение и принцип работы

Бэкдор реализует альтернативный путь входа в систему, который не проходит стандартную проверку учётных данных. В типичном исполнении это может быть:

• скрытая учётная запись с заранее заданным паролем;
• особый набор команд, активирующих режим доступа;
• изменённый сетевой сервис, реагирующий на специфический запрос;
• модуль, загружающий удалённый код при получении определённого сигнала.

Принципиальное отличие бэкдоров от других вредоносных программ — сохранение работоспособности системы. В отличие от вирусов и шифровальщиков, бэкдор не разрушает данные, а обеспечивает злоумышленнику длительный скрытый доступ.

¶Классификация

По способу появления в системе:

• Намеренные (штатные) — закладываются производителем для удалённой диагностики, обновления или поддержки. Известны случаи обнаружения штатных бэкдоров в промышленном ПО и сетевом оборудовании.
• Внедрённые злоумышленниками — устанавливаются после эксплуатации уязвимостей, компрометации учётных данных или физического доступа к устройству.

По месту размещения:

• Аппаратные — реализуются на уровне микропрограмм, BIOS/UEFI, микроконтроллеров. Трудно обнаруживаются, переживают переустановку операционной системы.
• Программные — модифицируют исполняемые файлы, драйверы, системные библиотеки.
• Сетевые — встраиваются в протоколы или сервисы, реагируют на особые сетевые пакеты.
• Фирменные (firmware) — размещаются в прошивках устройств: роутерах, SSD, BIOS материнских плат.

По механизму активации:

• Активные — работают постоянно, ожидая команды.
• Пассивные (триггерные) — активируются при выполнении определённого условия: наступлении даты, получении特定ного файла,特定ном вводе.

¶Исторические примеры

Одним из наиболее известных случаев стал инцидент с компанией Juniper Networks (2015), когда в прошивке VPN-маршрутизаторов ScreenOS был обнаружен скрытый механизм аутентификации, позволявший читать зашифрованный трафик. Происхождение кода вызвало широкие дискуссии в сообществе специалистов по безопасности.

В 2011 году исследователи обнаружили бэкдор в чипах серии Mifare Classic, использовавшихся в системах доступа и транспортных картах. В 2012 году в прошивках ряда китайских DSL-маршрутизаторов были найдены закладки, позволявшие удалённо управлять устройствами.

В 2018 году в аппаратном обеспечении серверов Supermicro были заявлены обнаружения микросхем-закладок размером с зерно риса, якобы обеспечивавших удалённый доступ. Компания и ряд экспертов оспаривали эти утверждения, однако инцидент стал одним из самых обсуждаемых в области аппаратной безопасности.

¶Методы обнаружения

Выявление бэкдоров требует комплексного подхода:

• Статический анализ кода — поиск подозрительных функций, необычных условий входа, скрытых строковых констант.
• Динамический анализ — мониторинг поведения программы в песочнице, отслеживание сетевых соединений и обращений к файловой системе.
• Сравнение с эталоном — проверка целостности файлов и прошивок по криптографическим хешам.
• Анализ трафика — выявление аномальных сетевых подключений, особенно к нетипичным адресам или по нестандартным протоколам.
• Аудит учётных записей — поиск скрытых пользователей и нестандартных прав доступа.

¶Правовой аспект

В Российской Федерации создание и распространение программного обеспечения с закладками, предназначенными для несанкционированного доступа, квалифицируется по статье 273 Уголовного кодекса («Создание, использование и распространение вредоносных программ для ЭВМ»). Намеренное встраивание бэкдоров в продукцию может повлечь ответственность как для разработчиков, так и для заказчиков.

¶Профилактика

Основные меры предотвращения появления бэкдоров:

• верификация целостности прошивок и системных компонентов;
• использование открытого программного обеспечения с публичным исходным кодом;
• сегментация сети и ограничение привилегий;
• регулярное обновление ПО и микропрограмм;
• аудит поставщиков оборудования и программных компонентов.

Источники:

• ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций»
• Справочник по информационной безопасности (под ред. В. П. Шуйского)
• Computer Security Incident Handling Guide (NIST SP 800-61)
• К. Хатч, «Принципы безопасности компьютерных сетей»
• Материалы конференций PhreakNIC, Black Hat, DEF CON