Подозрение на spyware в Download Master

[Николай Головко 70]

Здравствуйте, уважаемые участники Anti-Malware!

Мной было установлено, что популярный менеджер закачек Download Master (производитель WestByte) сохраняет в реестре последние переданные через браузер данные. Используется ветвь реестра [HKCUSoftware2VGDownload Master], параметр "PostData".

По моей просьбе на стороннем компьютере с установленным из другого дистрибутива DM была произведена проверка. При включенном DM упомянутая ветвь реестра была экспортирована в файл; вот отрывок из него:

<...>

"AddingURLOptions"=""

"PostURL"=""

"PostData"=""

"UseAutoGetDescriptionFromIE"="1"

"atinmb"="1"

"inmb"="2"

<...>

Затем пользователь посетил сайт Mail.Ru, ввел фэйковый логин и пароль, нажал Войти и вновь экспортировал ветвь. Тот же отрывок принял вид

<...>

"AddingURLOptions"=""

"PostURL"="http://win.mail.ru/cgi-bin/auth"

"PostData"="Mpopl=1632321737&Login=sfdsdfsdfsd&Domain=mail.ru&Password=sdfsdfsdfsdf"

"UseAutoGetDescriptionFromIE"="1"

"atinmb"="1"

"inmb"="2"

<...>

В параметре PostData сохраняются любые данные: логины, пароли, сообщения - все последние данные, введенные с клавиатуры и отправленные через браузер. Каждые новые данные затирают старые.

Данная потенциально опасная активность была обнаружена мной случайно: я производил поиск упоминаний о программе, о которой перед этим писал личное письмо на форуме Лаборатории Касперского. Вот отрывок из отчета утилиты AVZ, который я получил тогда:

Модуль для поиска данных в реестре, Зайцев О.В., 2004.,

Запущен поиск ключей, содержащих образец "zlclient"

<...>

-- Поиск в HKEY_CURRENT_USER --

HKEY_CURRENT_USERSoftware2VGDownload MasterPostData = -----------------------------7d611914b09a0

Content-Disposition: form-data; name="act"

Msg

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="CODE"

04

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="MODE"

01

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="OID"

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="removeattachid"

0

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="post_key"

a1280c9b12f57706e00e3e5727d3da84

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="MAX_FILE_SIZE"

10240000

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="entered_name"

p2u

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="msg_title"

WinUpdate

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="bbmode"

normal

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="ffont"

0

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="fsize"

0

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="fcolor"

0

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="LIST"

LIST

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="helpbox"

�зображение (alt + g)

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="tagcount"

0

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="Post"

Hallo Paul,

I did some more rain-making and finally I achieved an acceptable result.

See the humour: if TrueVector service is working, Zone Labs Client (GUI) isn't. If TrueVector isn't, then ZLClient launches. It seems that ZA eats itself.

WinUpdate didn't work because in ZA I had been forbidding access of svchost at 255.255.255.255 DHCP. Asa I permitted it, everything ran OK.

-----------------------------7d611914b09a0

Content-Disposition: form-data; name="FILE_UPLOAD"; filename=""

Content-Type: application/octet-stream

<...>

-- Поиск завершен --

Просмотрено ключей: 156312

В пятницу я написал запрос в службу поддержки DM следующего содержания:

Здравствуйте, уважаемая команда Westbyte!

Не могли бы вы сообщить мне, почему Download Master сохраняет в реестре все введенные с клавиатуры данные за последний сетевой сеанс? Я обнаружил там, к примеру, логин и пароль к почтовому ящику. Где гарантия, что они никуда не отсылаются?

В субботу последовал ответ:

Добрый день Николай,

Download Master не только не сохраняет данные, но и не собирает их. Возможно у вас на компьютере завелся кейлогер, который маскируется под ДМ. Пришлите пути к веткам реестра в которых сохраняются данные или экспортируйте их в файл и пришлите нам, удалив предварительно конфиденциальную информацию.

В тот же день я направил им отчет AVZ. Во вторник запрос был повторен на дополнительный адрес. Ответа не последовало до сих пор.

В этой ситуации я вынужден рекомендовать пользователям воздержаться от использования DM до прояснения ситуации либо официальных комментариев WestByte. Если таковые последуют, информация будет опубликована в этой теме.

[Storm 0]

Сейчас проверил у себя. Прошелся по паре сайтов, проверил указанный ключ - все чисто.

Провокация?

[Николай Терещенко 0]

Да нет, просто на компьютере у NickGolovko стоит DownloadMaster или не с сайта производителя или в системе есть какой-то троянец ... :wink:

Ну а если серьезно, что вы хотите от бесплатного ПО?

[Николай Головко 70]

Два замечания.. 1. DM должен висеть в памяти, чтобы параметры заносились в реестр. 2. Трой исключен, т.к. запрос к клавиатуре посылает именно dmaster.exe, файл подписан.

[Storm 0]

Два замечания.. 1. DM должен висеть в памяти, чтобы параметры заносились в реестр. 2. Трой исключен, т.к. запрос к клавиатуре посылает именно dmaster.exe, файл подписан.

1) Это понятно

2) Может помониторить regmon'ом?

[TiX 0]

Тим Лидер - как заметро ДМ логирует ПОСТ а не ГЕТ. Возможно в этом причина почему вы ничего незаметели ж)

[Storm 0]

Тим Лидер - как заметро ДМ логирует ПОСТ а не ГЕТ. Возможно в этом причина почему вы ничего незаметели ж)

И мейл.ру открывал - ничего.

[rm 0]

При перехвате ссылок из броузера ДМ пишет туда пост дату данной ссылки (пост дата нужна чтоб ДМ мог чето закачать через пост запрос).

Не совсем понятно какие проблемы, и в чем потенциальная опасность. Данный ключ реестра используется как буфер для передачи пост данных при перехвате УРЛ-а.

[TiX 0]

проблема в том что этот буффер могут читать все кому не лень Ж)

Лучше реализуйте подругому. Через NamedPipe к примеру.

[rm 0]

TiX

Эти данные может читать кто-угодно прямо из браузера.

Зачем ему заморачиваться этим буфером в котором в большинстве случаев находится какойто бесполезный хлам?

[TiX 0]

Из браузера это сложнее чем просто из реестра Ж)

[rm 0]

TiX

Это стандартная функция, описанная в MSDN. Найти работающие исходники тоже не составляет ни малейшей проблемы.

[TiX 0]

Нужно создавать лишний модуль - Browser Helper Object который никто обычно не создает а делают банальный перехват АПИ.

Но всеравно держать данные в открытом виде неправельно.

Хоть бы ксором их если нет желяния заморачиватся с NamedPipes ili FileMapping

[rm 0]

TiX

Так как вопрос возник, то возможно сделаем. Но проблема надуманная

[Николай Головко 70]

rm, вы, насколько я понимаю, представитель Westbyte. Забавно, что мы вынуждены разговаривать через форум - ответа на мое письмо не последовало до сих пор. Должен вам сообщить, что данный параметр реестра слишком уж всеяден. Достаточно было бы хранить там адреса. А так.. нет никакой гарантии, что данные никуда не уходят.Я не считаю безопасным использование программы, фиксирующей частную информацию.

[Storm 0]

rm, вы, насколько я понимаю, представитель Westbyte. Забавно, что мы вынуждены разговаривать через форум - ответа на мое письмо не последовало до сих пор.

Если бы мой продукт обвинили в шпионаже (хотя он бы этим не занимался) я сначала попытался бы убедить оппонента в обратном, а потом (честно говоря) забил бы.

[rm 0]

NickGolovko

Представитель. Я вполне подробно объяснил что никакой информации НЕ ФИКСИРУЕТСЯ. Я вполне подробно объяснил что попадающая в этот буфер информация является ОБЩЕДОСТУПНОЙ и может быть легко получена ЛЮБОЙ программой из браузера. Если не передавать в менеджер закачки пост-запрос, то будет невозможной закачка со многих сайтов. Поэтому, ВСЕ менеджеры закачки поступают точно также.

По поводу гарантий. Если вам недостаточно лицензионного соглашения и моего слова, то со спокойной совестью можете удалять Download Master. Выбор всегда за вами.

[John Laibach 0]

Так чем собственно закончилась эта тема?

Вам ведь нужно как-то договориться.

Вот недавно у меня антивирус bitdefender снёс старый добрый flashget, а теперь и download master

Наверное именно по сабжевой причине, т.к. написал что там malware..

[SuperBrat 6]

Вот недавно у меня антивирус bitdefender снёс старый добрый flashget, а теперь и download master

SAV, KAV, DrWeb их никогда не трогали. Так что свет клином на bitdefender не сошелся.

[Николай Головко 70]

Мы договорились. Представитель WestByte пообещал подумать, как сделать хранение адреса секьюрнее, я же остался на ReGet Deluxe.

[Black Angel 125]

Странно. Пробовал через IE, тогда информация DM-ом в реестре сохраняется, пробовал через Opera - все чисто, информация не сохраняется.

[Storm 0]

Пробовал через IE, тогда информация DM-ом в реестре сохраняется, пробовал через Opera - все чисто, информация не сохраняется.

Информация сохраняется только в ИЕ (что меня и смутило вначале) при помощи Browser Helper Object.

[Demorphis 0]

Ну и я тоже подтверждаю. В Mozilla 2 - чисто!

Подделья Мелкософт - БЭТЫ по жизни! С внедрёнными тут и там бэкдорами. Они следят за нами . И им помогают... IMHO не за так. А большая часть - альфы.

Всё! Летом за Apple еду :twisted: !

И ещё, DM больше не будет стоять на моём компе. Кстати кто пользуется Mozilla, на офсайте есть потрясающие плагины загрузчиков. И проще, и удобнее, и красивее! :twisted:

[Николай Головко 70]

Ну что уж вы так Мне уже совестно, что я у WB клиентов распугиваю

[Demorphis 0]

Нет Ник, вы сказали факт, я проверил, подтвердилось, как здравомыслящий человек я сделал вывод. Думаю он логичен.

Кстати, DM довереное приложение, прописавшееся в реестр. Ничего не стоит сделать трояна который бы использовал эту фичу DM. Так будет тише, меньше паливо :twisted: !