К тому же, я думаю, эти файлы как-то защищены для доступа из вне

в том-то и опасность таких программ. ИЗ ВНЕ. А вот это маздайное поделие ты запускаешь ИЗНУТРИ. Система тут бессильна, если она конечно не обладает AI. Защита только ОДНА: программисты ОБЯЗАНЫ предъявлять свой код. Будешь-ли ты его смотреть -- это уже дело десятое. Если ты туда шпионский модуль внедрил, это всё равно рано или поздно вскроется.

Вот например в этой программе шпионский модуль ЕСТЬ, и это  -- факт. Как он работает? за чем именно следит? Что из добытого воровством сливает и кому? Я не знаю.

Решать вам.

И потом, вот отправил я пакеты на сервер вместе с кукой, получил ответ, но как узнать там ли я или уже давно в нибытие?

это интересный момент.

Фишка в том, что этого и твой сервер не знает. Сервер рассуждает так: если ты 3 минуты назад БЫЛ здесь, то ты ЕЩЁ здесь. Т.е. это неизвестно и серверу. Именно этим и пользуются злоумышленник -- как только шпионская программа фиксирует контакт с сервером, она просто перехватывает все данные, и когда обмен заканчивается, его ПРОДОЛЖАЕТ. Для сервера это неотличимо от той программы, которой можно. При этом, шпионская программа использует всё тоже самое, что и нормальная. Т.е. куки, ключи ssl, и прочее и прочее. ВСЁ это вполне доступно внутри периметра.

Теоретически мог-бы помочь фаервол, проблема только лишь в том, что трафик сейчас ОГРОМЕН, и анализировать его попросту невозможно для человека в реальном времени. Да и не будет никто вчитываться в Over9000 строчек этого трафика.

Я не понимаю как можно назвать это фичей программы, когда это явный функционал трояна.

ДЫК И Я О ТОМ!

оно "там" защищено. Посередине. А вот внутри твоего компьютера -- всё открыто. Ну в линуксе можно пользователей наделать, но ты же таким не страдаешь?

а оно как движок твоего форума работает.

Каким образом сторонняя программа знает, что я зашел на LF?

ну в Linux это делается так:

drb@amilo:~$ lsof -i
COMMAND  PID USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
firefox 6493  drb   74u  IPv4 301648      0t0  TCP amilo:40018->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  100u  IPv4 112621      0t0  TCP amilo:39121->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  110u  IPv4 112622      0t0  TCP amilo:39122->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  112u  IPv4 112623      0t0  TCP amilo:39123->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  122u  IPv4  88406      0t0  TCP amilo:58853->190.93.244.58:http (ESTABLISHED)
firefox 6493  drb  150u  IPv4 293058      0t0  TCP amilo:39975->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  151u  IPv4 302290      0t0  TCP amilo:40041->linuxforum.ru:http (CLOSE_WAIT)
firefox 6493  drb  155u  IPv4 312677      0t0  TCP amilo:46855->178.248.232.27:http (ESTABLISHED)
firefox 6493  drb  156u  IPv4 312678      0t0  TCP amilo:46856->178.248.232.27:http (ESTABLISHED)
firefox 6493  drb  157u  IPv4 310958      0t0  TCP amilo:40091->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  164u  IPv4 312681      0t0  TCP amilo:46862->178.248.232.27:http (ESTABLISHED)
firefox 6493  drb  165u  IPv4 310959      0t0  TCP amilo:40092->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  166u  IPv4 310960      0t0  TCP amilo:40093->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  167u  IPv4 310961      0t0  TCP amilo:40094->linuxforum.ru:http (ESTABLISHED)
firefox 6493  drb  168u  IPv4 310962      0t0  TCP amilo:40095->linuxforum.ru:http (SYN_SENT)
firefox 6493  drb  169u  IPv4 312686      0t0  TCP amilo:40097->linuxforum.ru:http (ESTABLISHED)
drb@amilo:~$ ps uax | grep '649[3]'
122:drb       6493 18.6 18.0 543352 182288 ?       Ssl  Oct10 109:22 /home/drb/bin/firefox/firefox
124:drb       8791  2.8  2.0 163972 21136 ?        Sl   Oct10  14:44 /unsecure/drb/bin/firefox/plugin-container /home/drb/.mozilla/plugins/libflashplayer.so -greomni /unsecure/drb/bin/firefox/omni.ja -appomni /unsecure/drb/bin/firefox/browser/omni.ja -appdir /unsecure/drb/bin/firefox/browser 6493 true plugin

кука имеет САМОЕ ПРЯМОЕ отношение.

Да, с ней ничего не происходит. Происходит вот что:

1. ты заходишь на LF, вбиваешь логин/пароль
2. сервер создаёт куку 1234567890ASDFGH, и её запоминает, и отправляет ТЕБЕ (т.к. только ТЫ знаешь пароль)
3. твоё браузер запоминает 1234567890ASDFGH
4. в следующий раз ты уже НЕ вводишь пароль, а отсылаешь 1234567890ASDFGH
5. сервер тебя пускает без вопросов, ибо 1234567890ASDFGH есть ТОЛЬКО У ТЕБЯ.

кука ограничена по времени, и по IP (и может ещё по чему-нить), что-бы её было тяжелее украсть.

НО ВСЕ ЗАЩИТЫ БЕССИЛЬНЫ, если атака направлена С ТВОЕГО компьютера, и ОТ ТВОЕГО ИМЕНИ

И да, система не имеет значения. Венда, мак, линукс -- ни какой разницы.

это доказывает, что эта аська шпионит за тобой и за мной. Я не зря про унитаз вчера писал...

не, я про эту(какую?) историю не знал. Я так, образно. На своём опыте....

Я тоже образно.

для перехвата твоей куки/пароля совсем НЕ нужно доступа к файлам. Достаточно доступа к Сети под твоим именем. Ну и да, ведь он же контролирует, что и куда ты пересылаешь? Например сюда когда отправляешь, он это фиксирует(иначе-бы не светил в контактах). А раз фиксирует, то за одно может и куку выдернуть, и этой кукой воспользоваться. Потому-что для системы, этот твой сабж от твоего браузера НИЧЕМ не отличается. И для твоей системы у тебя дома, и естественно для сервера LF  -- тем более.

Я не понимаю как можно назвать это фичей программы, когда это явный функционал трояна.
А что с шифрованием, если например защищено соединение, как тогда программе этой быть?
И потом, вот отправил я пакеты на сервер вместе с кукой, получил ответ, но как узнать там ли я или уже давно в нибытие?

Я шутку понял про пьянство, там примерно так и было. Вспомнилось.

не, я про эту(какую?) историю не знал. Я так, образно. На своём опыте....

ну начнем с того, что просто так куки не слить. Существует несколько типов браузеров у которых свои закрома, где прячутся оные.

1. СПО такое Свободное. Разве ты не понимаешь, как ПРОСТО посмотреть, где и как хранит куки FF например? Хранит он их в sqlit3 базе, и ЕМНИП в открытом виде. Только пароли немного шифрует, что не мешает многим вирусам успешно их сливать.
2. для перехвата твоей куки/пароля совсем НЕ нужно доступа к файлам. Достаточно доступа к Сети под твоим именем. Ну и да, ведь он же контролирует, что и куда ты пересылаешь? Например сюда когда отправляешь, он это фиксирует(иначе-бы не светил в контактах). А раз фиксирует, то за одно может и куку выдернуть, и этой кукой воспользоваться. Потому-что для системы, этот твой сабж от твоего браузера НИЧЕМ не отличается. И для твоей системы у тебя дома, и естественно для сервера LF  -- тем более.