Блокування установки і запуску програм за допомогою AppLocker

Привіт, друзі! розділ "Анонімність і Безпека" я вирішив відкрити саме з цієї статті, так як порушена в ній тема зараз дуже актуальна. Йтиметься про Mail.ru і інших компаніях, які ведуть нечесну гру щодо своїх користувачів. Ну, і звичайно ж, про самому AppLocker, як про засіб боротьби з установкою і запуском небажаних програм.

Про групу компаній Mail.ru вже давно гуляють невтішні відгуки і думки про їх агресивному і нечесному маркетингу не тільки по відношенню до конкурентів, а й, в першу чергу, по відношенню до самих користувачам. А факт, оприлюднений в десятих числах березня цього року, просто остаточно переконав мене на написання цієї статті.

Виною всьому триклятий Guard і Downloader від Mail.ru / а також браузер Аміго /. Вся справа в тому, що ці нібито "корисні" (за заявами розробників) програми, ведуть себе ніяк інакше, як шкідливі об'єкти. Розповім коротенько. Наприклад, вирішили ви собі встановити мейлру агент. Завантажили, інсталюєте, і тут відбувається найцікавіше - крім самого агента, на ваш улюблений комп'ютер встановлюється ще купа усіляких приблуд: супутник, тулбар, Гуард, аміго і т.п. За заявами представників мейл.ру, якщо ви знімете "галочку" з цих програм при установці основної програми, то вони і не будуть встановлені. Але, на ділі це далеко не завжди так. Про це свідчить велика кількість гнівних реплік, відгуків і оглядів з цього приводу.

Але головний "козир" mail.ru - це GuardMailRu (нібито Захисник). Справедливості заради, варто відзначити, що він, звичайно, захищає від несанкціонованої зміни стартової сторінки браузера, наприклад, або ж від несанкціонованої зміни пошукової машини. Але, в цьому-то і вся заковика. Він, практично без відома користувача, встановлює стартову сторінку (вгадайте яку?), І ось від її зміни і захищає. Також і з пошуком за замовчуванням. Причому не тільки захищає, але і видаляє всі раніше встановлені модулі від Яндекса, Рамблера і т.п.

Здавалося б, та й чорт з ним, корисна ж функція (з одного боку). Але, справа в тому, що при видаленні Guard, він магічним чином повертається знову. І все - ваша стартова сторінка навіки Mail.ru =)

Хто хоч трохи знайомий з інформаційною безпекою вже, напевно, побачив шкідливу природу всіх цих дій, характерну для вірусів і троянів. наприклад:

• установка без відома користувача;
• зміна налаштувань без відома господаря;
• видалення додатків сторонніх розробників;
• відсутність можливості видалення стандартними засобами операційної системи.

Але навіть це ще не все! Самий смак попереду.

Як з'ясувалося, у mail.ru є ще одне "додаток" - Downloader (Завантажувач). І ось це вже, на мій погляд, реальне шахрайство з боку цієї компанії. Ось дивіться, гуляє, наприклад, інтернет-користувач з різних ресурсів в мережі, шукає необхідну інформацію, і тут - бац - вискакує повідомлення, що вам необхідно оновити скайп , оперу , Мозілли, хром, інтернет експлорер і т.п., причому виглядає це все цілком офіційно. АЛЕ! Завантаження йде не з офіційного сайту, а з сайтів-партнерів mail.ru, і викачується, звичайно ж, не оновлення, а "Браузер Інтернет" (ну і назву придумали =)) / нині це Браузер Аміго / все від тієї ж Mail. ru! Природно зі своїм тулбаром та іншої непотрібної "гидотою", типу спутника@mail.ru.

У мережі вже гуляє безліч різних картинок і мемів на цей рахунок. На зразок ось такої:

Ви запитаєте, а чому ж антивіруси не блокують, не лаються? А ось чому (і це ще більше шокує). Виявляється, всі ці псевдообновленія підписані справжньою і легітимною цифровим підписом Mail.Ru! Тому антивіруси, бачачи цю підпис, цілком природно довіряють викачаного і запущеному додатку.

І тепер скажіть, хіба це не шахрайські дії? Чи не обман користувачів? Чи не омана?

"Не ми перші це почали" (c)

Ось так співробітник Mail.ru, який має безпосереднє відношення до розробки downloader`а, відповів на авторитетному інтернет порталі на численні претензії і реальні факти, засновані на аналізі коду та поведінки цього "завантажувач", які дозволяють сміливо заявити: Downloader від Mail.ru - це ні що інше, як троян!

Компанії якось потрібно монетизувати свої проекти. Ось і вирішили вони піти по шляху "партнерських програм" - пропонують різних ресурсів спосіб заробітку, за допомогою цього самого "завантажувача".

Ось такі пироги, друзі. Більш детально про все це ви можете почитати на різних ресурсах в мережі, типу Хабра. Ну, а ми перейдемо до практики.

Але перш, справедливості заради варто відзначити, що подібний агресивний маркетинг реально придумали не в mail.ru. У Яндекса, наприклад, теж є свій "Захисник". Різні сервіси типу AOL, Ask.com, ICQ і т.п. також використовують установку своїх тулбаров або програм в сторонньому софт, причому роблять це давно. Але то, на що пішли в Mail.ru, відкрито обманюючи користувачів помилковими оновленнями сторонніх програм - це, звичайно, нонсенс.

Так давайте з цим боротися за допомогою AppLocker!

Більшість користувачів, які активно використовують інтернет, прекрасно розуміють, що таке UAC (контроль облікових записів), права адміністратора і т.п., а також знають і розуміють, що при установці будь-якого програмного забезпечення можна сліпо жати на кнопку "далі", а потрібно уважно все переглядати, знімати непотрібні галочки і т.п. Але, адже у всіх у нас є друзі, родичі, батьки, клієнти, нарешті, які навіть не здогадуються про такі речі.

І, щоб захистити їх від подібних напастей, ми скористаємося локальною політикою безпеки і AppLocker. Відразу скажу, це працює тільки на операционках Windows 7 (Максимальна і Корпоративна). Щодо Windows 8 нічого сказати не можу, не тестував.

Для початку нам потрібно буде створити файл XML (якщо не хочете морочитися з його створенням, можете скачати готовий приклад ). Для цього, копіюємо ось цей код. Код тимчасово вилучено з-за проблем з відображенням. Качайте готовий xml-файл.

Потім відкриваємо стандартний блокнот (але краще використовувати Notepad ++) і вставляємо в нього скопійований код. Далі тиснемо: Файл - Зберегти як ...

Зберігати файл необхідно в кодуванні UTF-8, інакше при імпорті правил виникне помилка. Кодування (в Блокноті) змінюється в випадаючому меню, поряд з кнопкою "Зберегти"

Вводимо довільне ім'я (напр., Blockmailru.xml) і зберігаємо в будь-який зручний для нас місце, наприклад, на робочий стіл. Все, файл у нас готовий.

Тепер необхідно запустити службу "Посвідчення додатки" і встановити для неї автоматичний режим запуску, інакше функція AppLocker працювати не буде. Для того, щоб запустити цю службу, відкрийте: Панель управління - Адміністрування - Служби:

Клацають мишкою двічі по "Посвідчення додатки", запуститься вікно властивостей даної служби. Тепер потрібно запустити цю службу і включити для неї автоматичний тип запуску. Тиснемо запустити:

Не забуваємо натиснути на "ОК" =)

Якщо служба у вас вже запущена, обов'язково включите для неї автоматичний тип запуску, як показано на малюнку вище. За замовчуванням тип запуску цієї служби встановлено "Вручну".

Все, зі службами на сьогодні закінчили. Тепер необхідно імпортувати створений раніше список (який ми попередньо назвали blockmailru.xml) в AppLocker. Для цього знову відкриваємо: Панель управління - Адміністрування - Локальна політика безпеки. Шукаємо: Політики управління додатками - AppLocker:

Тиснемо правою кнопкою миші на "AppLocker" і вибираємо "Імпортувати політику ...". Після чого, в вікні, потрібно вказати на створений файл blockmailru.xml і відкрити його. Система видасть запит на зміну політики і повідомить, що всі попередні правила політики будуть замінені. Погоджуємося. Усе. Основна частина роботи проведена. В "Виконувані правила" ви побачите таку картину:

Така ж картина буде і в пункті "Правила установника Windows"

Як видно на скріншоті, в правилах є пункт: Дозволити - Все - D: \ Portable Soft \ *. Це правило говорить про наступне: дозволений запуск будь-яким користувачем і будь-якої програми з папки Portable Soft, розташованої в корені диска D. Необхідно воно (правило) для запуску портативних програм (тобто які запускаються без установки). Або ж, наприклад, для вирішення установки тих програм, інсталятори яких ви помістіть в цю папку.

Вам теж необхідно включити таке правило. Робиться це дуже просто. Створіть папку, де вам зручніше (хоч на робочому столі). Назвіть її як-небудь (по типу "Portable") і помістіть в неї все portable-програми та інсталятори, яким ви довіряєте. Далі ще раз відкриваємо (якщо закрили): Панель управління - Адміністрування - Локальна політика безпеки - Політики управління додатками - AppLocker. На "Виконувані правила" тиснемо правою кнопкою миші і вибираємо "Створити нове правило ...". Там все просто: тиснемо "далі", ще "далі", потім ставимо галочку "Шлях", знову "далі" і "Огляд папок". Відкриється вікно, в якому потрібно буде вказати ту саму папку і знову "далі", "далі", і на кінцевому етапі "створити". Правило створено. Насправді все дуже просто. До того ж, при створенні, або редагуванні таких правил можна вказати винятки, дозволяти або блокувати шляхи (папки), видавців і т.д.

Теж саме потрібно зробити для таких програм, які встановлюються не в Program Files, а наприклад, в C: \ Users \ ім'я користувача \ AppData \ Local \ Apps \. Загалом, якщо після внесених налаштувань у вас не запускається якась програма, додайте в правила її місце розташування. Аналогічно тому, як ми додавали дозволу для папки "Portable"

Давайте тепер остаточно зрозуміємо, чого ми добилися усіма цими маніпуляціями і, що нам тепер заборонено, а що дозволено:

• блокування запуску і установки будь-яких програм від таких видавців, як: CNET, AOL, SweetIM, Uniblue, ASK, Mail, Messenger Plus, Hamster, Mediaget, Reg Organaizer. Всі ці видавці викриті в недобросовісні дії (прихована установка і т.п.). Список можна самостійно доповнювати і редагувати;
• дозволений запуск всіх програм, які розташовані в Program Files, Windows і в тій папці (директорії), яку ми додали самостійно;
• дозволений запуск будь-яких програм локальним адміністратором (тобто обліковим записом адміністратора)
• дозволено виконання файлів інсталятора Windows (файли .msi) з цифровим підписом;
• дозволено виконання файлів інсталятора Windows з цифровим підписом, які розташовані в каталозі Installer (в папці Windows);
• дозволений запуск будь-яких файлів інсталятора Windows локальним адміністратором (тобто обліковим записом адміністратора).

Таким чином, ніякі Guard`и, "захисники", ліві браузери від mail.ru, від яндекса, супутники, яндекс-бари та інший непотрібний мотлох, більше не з'являться на вашому комп'ютері або на комп'ютері ваших близьких і знайомих. Всі програми від зазначених видавців більше не проникнуть на комп'ютер, на якому діють ці правила; вони просто будуть заблоковані.

Наостанок хочу сказати, не ведіться на рекламні виверти, які не качайте всякі збірки "Яндекс Браузер" або "Браузер Інтернет", адже все це - звичайнісінький Google Chrome.

При установці будь-якого софта завжди стежте за "галочками", дивіться уважно, щоб не встановити сторонній софт.

І пам'ятайте одне з головних правил - качайте софт ТІЛЬКИ з офіційних сайтів.

Якщо у вас виникли питання, стосовно цієї інструкції, сміливо задавайте їх у коментарях або через форму зворотного зв'язку .

До зустрічі!