Autorun vírus: eltűntnek nyilvánítva

Következő bejegyzés

A legfrissebb listában harmadik helyre lépett előre a Win32/TrojanDownloader.Waski kártevő. Ez egy olyan trójai letöltő, amely egy fix listát tartalmaz URL linkekkel. Ezek alapján próbálkozik, és futtatása után bemásolja magát a helyi számítógép %temp% mappájába miy.exe néven, majd további malware kódokat próbál meg letölteni az internetről a HTTP protokoll segítségével. Egy hónap szünet után visszakerült a Top10-be a LNK/Agent.AK trójai. Ennek fő feladata, hogy a háttérben különféle létező és legitim - alaphelyzetben egyébként ártalmatlan - Windows parancsokból kártékony célú utasítássorozatokat fűzzön össze, majd futtassa is le azokat. Ez a technika legelőször a Stuxnet elemzésénél tűnt fel a szakembereknek, a sebezhetőség lefuttatásának négy lehetséges módja közül ez volt ugyanis az egyik.

Tavaly szeptemberben tűnt el végleg a toplistáról a szintén nagy múltú Conficker féreg, idén áprilisban pedig végre „Autorun” mentes a havi vírus toplista. Az Autorun vírus hihetetlenül hosszúra nyúlt karrierje nem hónapokat, hanem éveket ölelt fel, pedig a megoldás adott volt ellene. A megfelelően beállított és naprakész vírusirtó használata valamint a javítófoltok letöltése és futtatása a védekezés szempontjából megfelelő eredményt hozott. Utóbbit azonban sajnos rengetegen elhanyagolták, ami aktívan hozzájárult a pünkösdi királyságnak cseppet sem nevezhető évekig tartó toplistás helyezéséhez.

A kiszorulók helyére újonc is érkezett a Win32/Adware.ConvertAd adware személyében. A jelenleg kilencedik helyen található kártékony programkód célja kéretlen reklámok letöltése és megjelenítése a számítógépen. Ez a típusú adware gyakran része más kártevőknek. Ezúttal harmadik helyre rukkolt elő a JS/Kryptik.I trójai, amely különféle HTML oldalakba rejtetten beágyazódva észrevétlenül sebezhetőségeket kihasználó kártékony weboldalakra irányítja át a felhasználó böngészőprogramját. Rövid szünet után visszatért a HTML/ScrInject trójai, amely hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.

Az ESET Radar Report e havi kiadásában ezúttal arról esik szó, milyen lépéseket tehetnek a biztonságért a különféle asztali és mobil platformok gyártói, és milyen trendek látszanak a kártevők fejlődésében. Az egyik emlegetett védekezési lehetőség, hogy csak a saját - például Macintosh esetében az AppStore, illetve Windows esetében a Windows Store áruházban található, elméletileg alaposan ellenőrzött alkalmazásokat telepítjük. Ezzel sok bajnak elejét lehet venni, ugyanis az ellenőrizetlen telepítések valóban gyakori okai a különféle trójaiak, és más kártékony kódok megjelenéseinek és fertőzéseinek. Felvetődött a mobilrendszerek kapcsán a jailbreak témakör is, ezzel kapcsolatban a biztonsági szakemberek változatlanul úgy vélekednek, sérülékenyebbé és védtelenebbé tesszük vele a rendszert, ezért nem ajánlják.

A biztonsággal kapcsolatban egyébként mindig ki kell hangsúlyozni, hogy ebből tökéletes, 100%-os sajnos nem létezik, hiba ilyet elvárni. Új trendek is látszanak a kártevők világában, például korábban jellemzően csak asztali rendszereken bukkantak fel hamis antivírus alkalmazások, azonban újabban egyre gyakoribb jelenség ugyanez Androidos rendszereken is. Ugyancsak crossplatform irányba indultak el a ransomware-ek is, azaz a felhasználók állományait titkosító kártevők, amelyek csak váltságíj ellenében ígérik ezek visszaadását. Emlékezetes, hogy Android rendszeren 2014 júniusában éppen az ESET kutatói fedezték fel a Simplocker nevű mobilos zsaroló programot. Számos esetben lehetünk tanúi annak is, hogy az alternatív platformokat is sikeresen tudják kompromittálni a támadók, legutóbb ez például a Linuxos szerverek esetén mutatkozott meg, ahol a Linux/Mumblehard a Linuxot és a BSD rendszereket futtató szervereket támadta meg. A kártevő elsődleges célja az volt, hogy a fertőzött eszközöket kéretlen leveleket küldő botnet kiépítésére használja fel.

A kártékony kódok egy jelentős részét teszik ki az úgynevezett kéretlen alkalmazások (Potentially Unwanted Applications, PUA), amelyek reklámokat jelenítenek meg, keresési találatokat manipulálnak, illetve kéretlen eszköztárakat telepítenek a böngészőnkbe és sok esetben a készítők szándékosan megnehezítik ezek szabályos eltávolítását is. Összességében nem is az a kérdés, szükség van-e vírusirtóra vagy sem, hanem hogy milyen védelmi rétegeket akarunk használni, a rendszeres biztonsági ellenőrzések elvégzése pedig minden létező operációs rendszer és platform esetén elengedhetetlen.

Az antivirus blog áprilisi fontosabb blogposztjai között először megemlékeztünk a World Backup Day, azaz a biztonsági adatmentés nemzetközi világnapjáról. Ennek kapcsán pedig áttekintettük, milyen lehetőségeink vannak a biztonságos mentésre, tárolásra.

Emellett beszámoltunk arról is, hogy kártékony játékalkalmazást találtak a Steamen. Az elkövetők az indiai Ghost in a Bottle fejlesztőcég Octopus City Blues játékát lemásolva és abba malware kódot rejtve töltöttek fel kártékony trójai alkalmazást a rendszerbe.

Szó esett arról is, hogy az iskolai zaklatásokról szóló híreket hallva sokan hajlamosak kizárólag a gyermekek sérelmére elkövetett incidensekre gondolni. Ám az igazság az, hogy maguk a tanárok is évről évre egyre többen és egyre gyakrabban válnak internetes támadások, megfélemlítések, vagy különféle lejáratások áldozataivá.

Évről évre növekszik az egészségügyi adatokkal történő visszaélések száma. Hogy a lopott orvosi adatok birtokában mik történhetnek, arról már olvashattunk néhány elrettentő beszámolót: állítólagos szívműtétek, drága kezelések, és berendezések számlája érkezik a gyanútlan áldozathoz. Az ESET egy szemléletes infografikán foglalta össze, milyen veszélyekkel kell számolnunk.

Egy másik blogposztból az derült ki, hogy a brit szülők 54%-nak fogalma sincs arról, ha a gyerekét az interneten keresztül zaklatták. Emellett a legtöbb szülőnek nincsenek a kezében megfelelő eszközök, hogy időben felismerje és kezelje ezt a gyerekekre leselkedő problémát.

Végül pedig arról is írtunk, hogy tömegesen érkeznek zeroday támadások a Wordpress weboldalak kommentjeiben. A cél, hogy kártékony JavaScripteket beszúrva ezek segítségével meg lehessen fertőzni az oldalt. Emiatt érdemes lehet letiltani a kommenteket, illetve mielőbb frissíteni a tartalomkezelő rendszert a már hiba javított új változatra.

 

Vírustoplista

Az ESET több millió felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2015. áprilisában a következő 10 károkozó terjedt világszerte a legnagyobb számban, és volt együttesen felelős az összes fertőzés 16.07%-áért. Aki pedig folyamatosan és első kézből szeretne értesülni a legújabb Facebook-os kártevőkről, a közösségi oldalt érintő mindenfajta megtévesztésről, az csatlakozhat hozzánk az ESET Magyarország www.facebook.com/biztonsag, illetve az antivirusblog.hu oldalán.

 

 

1. Win32/Adware.MultiPlug adware

Elterjedtsége az áprilisi fertőzések között: 3.57%

A Win32/Adware.MultiPlug egy olyan úgynevezett nemkívánatos alkalmazás (Potential Unwanted Program, PUP), amely a felhasználó rendszerébe bekerülve különféle felugró ablakokban kéretlen reklámokat jelenít meg az internetes böngészés közben.

Bővebb információ: www.virusradar.com/en/Win32_Adware.MultiPlug.H/description

 

2. Win32/Bundpill féreg

Elterjedtsége az áprilisi fertőzések között: 1.81 %

A Win32/Bundpill féreg hordozható külső adathordozókon terjed. Futása során különféle átmeneti állományokat hoz létre a megfertőzött számítógépen, majd egy láthatatlan kártékony munkafolyamatot is elindít. Valódi károkozásra is képes, a meghajtóinkról az *.exe, *.vbs, *.pif, *.cmd kiterjesztésű és a backup állományokat törölheti. Ezen kívül egy külső URL címről megkísérel további kártékony komponenseket is letölteni a HTTP protokoll segítségével, majd ezeket lefuttatja.

Bővebb információ: www.virusradar.com/en/Win32_Bundpil.A/description

 

3. JS/Kryptik trójai

Elterjedtsége az áprilisi fertőzések között: 1.70%

A JS/Kryptik egy általános összesítő elnevezése azoknak a különféle kártékony és olvashatatlanná összezavart JavaScript kódoknak, amely a különféle HTML oldalakba rejtetten beágyazódva észrevétlenül sebezhetőségeket kihasználó kártékony weboldalakra irányítja át a felhasználó böngészőprogramját.

Bővebb információ: www.virusradar.com/en/JS_Kryptik/detail

 

4. Win32/TrojanDownloader.Waski trójai

Elterjedtsége az áprilisi fertőzések között: 1.67%

: A Win32/TrojanDownloader.Waski egy trójai letöltő. Egy fix listát tartalmaz URL linkekkel, ezek alapján próbálkozik. Futtatása után bemásolja magát a helyi számítógép %temp% mappájába miy.exe néven, majd további malware kódokat próbál meg letölteni az internetről a HTTP protokol segítségével.

Bővebb információ: www.virusradar.com/en/Win32_TrojanDownloader.Waski.A/description

 

5. LNK/Agent.AV trójai

Elterjedtsége az áprilisi fertőzések között: 1.35%

A LNK/Agent.AV trójai egy olyan kártékony link hivatkozás, amelyik különféle parancsokat fűz össze és futtat le észrevétlenül a háttérben. Működését tekintve hasonlít a régi autorun.inf mechanizmusára.

Bővebb információ: www.virusradar.com/en/LNK_Agent.AV/description

 

6. Win32/Sality vírus

Elterjedtsége az áprilisi fertőzések között: 1.27%

A Win32/Sality egy polimorfikus fájlfertőző vírus. Futtatása során elindít egy szerviz folyamatot, illetve Registry bejegyzéseket készít, hogy ezzel gondoskodjon arról, hogy a vírus minden rendszerindítás alkalmával elinduljon. A fertőzése során EXE illetve SCR kiterjesztésű fájlokat módosít, és megkísérli lekapcsolni a védelmi programokhoz tartozó szerviz folyamatokat.

Bővebb információ: www.eset.eu/encyclopaedia/sality_nar_virus__sality_aa_sality_am_sality_ah

 

7. Win32/Ramnit vírus

Elterjedtsége az áprilisi fertőzések között: 1.20%

A Win32/RiskWare.NetFilter egy olyan alkalmazás, amely magában hordoz olyan rosszindulatú kódokat, amelyek segítségével megfertőzhetik a számítógépünket, illetve a kompromittált rendszert később távolról is irányíthatóvá teszik. A távoli támadás során tipikusan adatokat lopnak el így a megfertőzött gépről, illetve távoli utasítások segítségével további kártékony kódokat telepítenek fel rá.

Bővebb információ: www.virusradar.com/en/Win32_RiskWare.NetFilter.A/description

 

8. HTML/ScrInject trójai

Elterjedtsége az áprilisi fertőzések között: 1.19%

A HTML/ScrInject trójai egy RAR segédprogrammal tömörített állomány, amely telepítése során egy üres (c:\windows\blank.html) állományt jelenít meg a fertőzött gép böngészőjében. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.

Bővebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/scrinject-b-gen

 

9. Win32/Adware.ConvertAd adware

Elterjedtsége az áprilisi fertőzések között: 1.17%

A Win32/Adware.ConvertAd egy olyan programkód, amelynek célja kéretlen reklámok letöltése és megjelenítése a számítógépen. Ez a típusú adware gyakran része más kártevőknek.

Bővebb információ: www.virusradar.com/en/Win32_Adware.ConvertAd.FG/description

 

10. HTML/Refresh trójai

Elterjedtsége az áprilisi fertőzések között: 1.14%

A HTML/Refresh egy olyan trójai család, amelyik észrevétlenül átirányítja a felhasználó böngészőjét különféle rosszindulatú web címekre. A kártevő jellemzően a manipulált weboldalak HTML kódjába beágyazva található.

Bővebb információ: www.virusradar.com/en/HTML_Refresh/detail