[Обновлено] Шпионила ли Samsung за своими клиентами?

[Обновлено] Шпионила ли Samsung за своими клиентами?

В последние дни марта Интернет-сообщество было взбудоражено известием о том, что крупный производитель бытовой и компьютерной техники Samsung Electronics, вероятно, сознательно поставлял портативные персональные компьютеры с предустановленным шпионским программным обеспечением. Результаты расследования инцидента, однако, опровергают это предположение.


Все началось с публикации на популярном сетевом ресурсе Network World, в которой специалист по информационной безопасности Мохаммед Хасан рассказал о случившемся с ним инциденте. Некоторое время назад он приобрел новый ноутбук Samsung серии R, модель 525; по своей давней привычке специалист провел предварительное антивирусное сканирование операционной системы... и обнаружил в каталоге C:\WINDOWS\SL коммерческий шпионский инструмент StarLogger.

StarLogger - это средство мониторинга действий пользователя, или, проще, кейлоггер. Он отслеживает все вводимые с клавиатуры данные, делает снимки экрана и регулярно посылает собираемые сведения на заданный ему электронный адрес. Естественно, что вместе с прочими сведениями к "хозяину" уходят и аутентификационные данные (логины и пароли), и другая конфиденциальная информация. Визуально "продукт" себя никак не проявляет.

Г-н Хасан избавился от кейлоггера и какое-то время работал с ноутбуком, однако вскоре у него возникли проблемы с дисплеем, и специалист вернул портативный компьютер в магазин. Посетив другую торговую точку, он приобрел модель из той же серии, но с более высоким номером - R540; каково же было его удивление, когда и на этом устройстве обнаружился тот же самый кейлоггер, расположенный в той же самой папке.

Инцидент, таким образом, из разряда случайностей перешел в закономерность, и г-н Хасан отправился выяснять, известно ли производителю о наличии кейлоггера и какие объяснения Samsung может предложить относительно случившегося. В первую очередь был оформлен запрос в техническую поддержку компании.

Специалист рассказывает, что сотрудники поддержки первого уровня сначала утверждали, будто никакого шпионского ПО на компьютерах быть не может. Когда г-н Хасан указал, что один и тот же кейлоггер оказался идентичным образом установлен на два разных ноутбука из одной серии, купленных в разных магазинах, ему заявили, что Samsung отвечает только за аппаратное обеспечение, а по вопросам обеспечения программного необходимо... правильно, обратиться в корпорацию Microsoft. Эксперт, однако, стоял на своем и добился переключения на одного из старших технических консультантов.

Тот, в свою очередь, поведал г-ну Хасану, что компания действительно установила на ноутбуки такую программу, "чтобы отслеживать производительность машины и условия ее использования". На этом основании специалист сделал окончательный вывод - Samsung сознательно поставляла клиентам портативные компьютеры, инфицированные шпионским программным обеспечением, - о чем и написал в своей статье на Network World. Позднее, комментируя инцидент для Интернет-издания V3.co.uk, он добавил, что консультант технической поддержки еще и пытался убедить его в том, будто все производители компьютерной техники внедряют в системы такие кейлоггеры, и вообще здесь совершенно не о чем беспокоиться.

Два других популярных сетевых ресурса - PC World и CNET - в это время как раз получили для написания обзоров недавно выпущенные ноутбуки Samsung серии 9, которые должны составить конкуренцию Apple MacBook Air. Когда Network World опубликовал статью г-на Хасана, редакторы этих сайтов независимо друг от друга решили проверить, есть ли инфекция на этих устройствах; ни в первом, ни во втором случае никаких следов StarLogger им обнаружить не удалось. Возможно, впрочем, что заражению подверглись только портативные компьютеры серии R.

Следом отреагировали и официальные лица самой Samsung. Пресс-секретарь компании Джейсон Редмонд сообщил журналистам, что по факту инцидента начато внутреннее расследование, и все представленные г-ном Хасаном сведения будут самым тщательным образом проверены. Он также отметил, что никогда не слышал ни о производителе StarLogger - фирме De Willebois Consulting, - ни о каких-либо эпизодах сотрудничества или партнерских отношениях Samsung с этой компанией.

 

Дополнение

По итогам оперативного изучения случившегося представители Samsung объявили, что оснований для беспокойства нет и быть не может: ноутбуки, выпускаемые компанией, полностью безопасны. Причиной инцидента оказалось ложное срабатывание антивирусного сканера VIPRE, которым пользовался г-н Хасан. По-видимому, специалист не предполагал, что применяемая им противовирусная система обнаруживает вредоносные и нежелательные программы по именам каталогов, в которых те обыкновенно располагаются.

Вместе с прочим программным обеспечением на ноутбуки, с которыми работал возмутитель спокойствия, был установлен пакет приложений Microsoft Live. Данное решение поддерживает мультиязычность и каждый набор языковых файлов помещает в отдельную директорию в папке операционной системы. По "роковому" совпадению данные для словенской локализации, как и шпионский инструмент StarLogger, устанавливаются в каталог с именем "C:\WINDOWS\SL".

Проверка, проведенная сотрудниками Samsung и экспертами антивирусных компаний, показала, что если на совершенно чистом компьютере, находящемся под защитой VIPRE, создать пустой каталог C:\WINDOWS\SL, то это вызовет срабатывание антивирусной системы с аналогичным вердиктом. Снимок экрана, иллюстрирующий этот факт, доступен здесь.

Таким образом, инцидент разрешился благополучно. Однако, как справедливо заметил журналист Интернет-издания The Register, происшествие поднимает пару небезынтересных вопросов: во-первых, почему антивирусный продукт VIPRE полагается на столь ненадежный и недостоверный метод детектирования, как поиск вредоносных программ по имени каталога, а во вторых - насколько высока квалификация сотрудников технической поддержки Samsung Electronics.

Если бы обвинения, выдвинутые Мохаммедом Хасаном, подтвердились, то южнокорейскому производителю техники грозили бы большие неприятности - судебные иски, финансовые и репутационные потери. Инцидент уже успели сравнить со случаем шестилетней давности, когда в программном обеспечении для контроля копирования компакт-дисков от Sony были обнаружены руткит-технологии.

Письмо автору

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Во 2 квартале DDoS-атак в России стало на 42% больше, бьют по финсектору

Во втором квартале 2025 года количество DDoS-атак в России выросло на 42% по сравнению с тем же периодом прошлого года. Такие данные приводит компания StormWall, которая проанализировала инциденты на основе информации от своих клиентов. Больше всего атак пришлась на финансовый сектор, госструктуры и телеком.

Финансовые организации снова оказались в центре внимания киберпреступников: на них пришлось 28% всех зафиксированных атак.

Госучреждения атаковали в 21% случаев, причём, помимо обычных хакеров, в этом участвовали и хактивисты — особенно активно в период вокруг Дня России. Телеком-компании стали целью 16% атак — уже второй год подряд отрасль остаётся в числе наиболее уязвимых.

Ретейл занял 14% от общего числа атак: злоумышленников интересует возможная финансовая выгода. Развлекательная индустрия — 9%, образование — 7%. В последнем случае атаки совпали по времени с ЕГЭ и началом приёмной кампании. В ряде эпизодов, по оценке аналитиков, за атаками стояли школьники-выпускники. Логистика оказалась в числе наименее затронутых отраслей (4%), а на все остальные индустрии пришлось лишь 1% атак.

Если смотреть на динамику, сильнее всего выросло число атак на финсектор — плюс 84% по сравнению со 2 кварталом 2024 года. У телеком-сферы рост составил 62%, у образовательных учреждений — 47%. Чуть меньше выросли атаки на госорганы (34%), ретейл (21%) и развлекательную сферу (17%). Логистика прибавила только 9%.

По словам экспертов, атаки во втором квартале были разного масштаба и мотивов. Часть была запущена с корыстными целями, часть — из политических побуждений. Отмечается, что количество атак продолжает расти даже в летний период, когда традиционно наблюдается спад активности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru