Az év vége is a trójai programokról szólt

Következő bejegyzés

A Win32/TrojanDownloader.Wauchos egy olyan trójai program, amelynek fo célja további kártékony kódokat letölteni az internetrol a fertozött számítógépre. Hátsó ajtót nyit a megtámadott rendszeren, amelyen keresztül parancsokat fogad, így a támadóknak távolról tetszoleges kód futtatására nyílik lehetosége.

Az ESET Threat Radar Report december havi kiadásában az ilyenkor szokásos év végi összefoglaló mellett szó esett egy olyan átverésrol is, amelynél cégek olyan spameket kapnak, miszerint egy állítólagos kínai domain regisztrátor a vállalatuk nevét tartalmazó .asia alatti bejegyzési kérelmet kap. A levél írója jóváhagyást kér tolünk, ehhez pedig a mellékelt kártékony linkre kellene kattintani, vagy a csatolt mellékletet kellene lefuttatni. Érdemes tisztában lenni a módszerrel, és óvatosnak lenni. Az ismeretlen feladóktól érkezo kéretlen levelek linkjeire, mellékleteire pedig sosem szabad kattintani.

A fenti átverésen kívül számtalan csalás, adathalászati kísérlet is említésre kerül, ám a legnagyobb hangsúlyt ezúttal a pénzek tisztára mosásával kapcsolatos úgynevezett öszvér (mule) átverés kapta. A bunözok - akik megvásárolják, vagy csak bérlik a botneteket - a lopott banki adatok segítségével úgy szerzik meg a számlákról a pénzt, hogy hamis álláshirdetésekben balekokat toboroznak. Általában jól fizeto könnyu otthoni munkavégzést ígérnek, és az áldozatok látszólag "pénzügyi asszisztens" vagy "pénzügyi igazgató" álláslehetoségekre jelentkeznek, ám valódi feladatuk a saját bankszámlájukra érkezo összegek továbbutalása, aminek fejében egy csekély százalékot megtarthatnak. Nem árt azonban tisztában lenni azzal, hogy a tudtukon kívül csalinak használt "munkavállalók" akár tíz évet is kaphatnak pénzmosásban való részvétel miatt.

Decemberi fontosabb blogposztjaink között többek közt beszámoltunk arról, hogy nem kell ahhoz James Bondnak lenni, hogy olyan titkaink legyenek, amiket nem akarunk mindenkivel megosztani. Egy pár érdekes dologról írtunk a titkosítással kapcsolatban, mindezt néhány praktikus jó tanáccsal is kiegészítve.

Az ünnepek elott ismét egybegyujtöttük a biztonságos internetes vásárlással kapcsolatos aktuális tudnivalókat. A mellékelt 12 pontban minden olyan lényeges dolog szerepel, amire érdemes figyelni, vigyázni a karácsonyi ajándékok beszerzésénél, illetve mindenfajta internetes vásárláskor.

A botnetek is nagy erovel terjesztik azt a Bitlocker nevezetu zsaroló programot, amely a merevlemezünk, illetve adataink - ezúttal már 2048 bites RSA kulccsal történo - elkódolásával fenyeget bennünket. Összefoglalásképpen, csokorba gyujtöttük a védekezéshez szükséges legfontosabb tudnivalókat.

Az ESET idén is összeállította a káros fenyegetésekkel foglalkozó éves elorejelzését, ebbol pedig az derül ki, hogy 2014-ben a szokásos fenyegetések mellett - Edward Snowden nyomán - a felhasználók online adatvédelme lesz az egyik elsodleges fókusztéma.
Akit pedig az is érdekel, hogy mit jósoltunk még 2013. elején arról, hogy milyen vírusok várhatók majd az idén, annak érdemes lehet elolvasni az errol szóló értékelésünket. Ebbol kiderül, vajon mennyiben váltak be ezek, illetve megtudhatjuk azt is, hogy összességében milyen évet zártunk a kártevok, átverések, támadások szempontjából.

 

Vírustoplista

Az ESET több millió felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2013. decemberében a következo 10 károkozó terjedt világszerte a legnagyobb számban, és volt együttesen felelos az összes fertozés 18.64%-áért. Aki pedig folyamatosan és elso kézbol szeretne értesülni a legújabb Facebook-os kártevokrol, a közösségi oldalt érinto mindenfajta megtévesztésrol, az csatlakozhat hozzánk az ESET Magyarország www.facebook.com/biztonsag, illetve az antivirusblog.hu oldalán.

 

1. Win32/Bundpill féreg

Elterjedtsége a decemberi fertozések között: 3.96%

A Win32/Bundpill féreg hordozható külso adathordozókon terjed. Futása során különféle átmeneti állományokat hoz létre a megfertozött számítógépen, majd egy láthatatlan kártékony munkafolyamatot is elindít. Valódi károkozásra is képes, a meghajtóinkról az *.exe, *.vbs, *.pif, *.cmd kiterjesztésu és a backup állományokat törölheti. Ezen kívül egy külso URL címrol megkísérel további kártékony komponenseket is letölteni a HTTP protokoll segítségével, majd ezeket lefuttatja.

Bovebb információ: www.virusradar.com/en/Win32_Bundpil.A/description

 

2. LNK/Agent trójai

Elterjedtsége a decemberi fertozések között: 2.21%

A LNK/Agent trójai fo feladata, hogy a háttérben különféle létezo és legitim - alaphelyzetben egyébként ártalmatlan - Windows parancsokból kártékony célú utasítássorozatokat fuzzön össze, majd futtassa is le azokat. Ez a technika legeloször a Stuxnet elemzésénél tunt fel a szakembereknek, a sebezhetoség lefuttatásának négy lehetséges módja közül ez volt ugyanis az egyik. Víruselemzok véleménye szerint ez a módszer lehet a jövo Autorun.inf szeru kártevoje, ami valószínuleg szintén széles körben és hosszú ideig lehet képes terjedni.

Bovebb információ: www.virusradar.com/en/LNK_Agent.AK/description

 

3. Win32/Sality vírus

Elterjedtsége a decemberi fertozések között: 2.02%

A Win32/Sality egy polimorfikus fájlfertozo vírus. Futtatása során elindít egy szerviz folyamatot, illetve Registry bejegyzéseket készít, hogy ezzel gondoskodjon arról, hogy a vírus minden rendszerindítás alkalmával elinduljon. A fertozése során EXE illetve SCR kiterjesztésu fájlokat módosít, és megkísérli lekapcsolni a védelmi programokhoz tartozó szerviz folyamatokat.

Bovebb információ: www.eset.eu/encyclopaedia/sality_nar_virus__sality_aa_sality_am_sality_ah

 

4. INF/Autorun vírus

Elterjedtsége a decemberi fertozések között: 1.97%

Az INF/Autorun gyujtoneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevo fertozésének egyik jele, hogy a számítógép muködése drasztikusan lelassul. Leggyakrabban cserélheto adathordozók segítségével terjed, akár mp3-lejátszókon keresztül is.

Bovebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/autorun

 

5. HTML/ScrInject.B trójai

Elterjedtsége a decemberi fertozések között: 1.86%

A HTML/ScrInject trójai egy RAR segédprogrammal tömörített állomány, amely telepítése során egy üres (c:\windows\blank.html) állományt jelenít meg a fertozött gép böngészojében. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.

Bovebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/scrinject-b-gen

 

6. Win32/Conficker féreg

Elterjedtsége a decemberi fertozések között: 1.52%

A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows MS08-067 biztonsági bulletinben tárgyalt hibát kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetoségre építve a távoli támadó megfelelo jogosultság nélkül hajthatja végre az akcióját. A Conficker eloször betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos antivíruscég honlapja elérhetetlenné válik a megfertozött számítógépen. Változattól függoen a felhasználó maga telepíti vagy egy biztonsági résen keresztül felhasználói beavatkozás nélkül magától települ fel, illetve automatikusan is elindulhat egy külso meghajtó fertozött Autorun állománya miatt.

Bovebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/!conficker

 

7. Win32/Dorkbot féreg

Elterjedtsége a decemberi fertozések között: 1.46%

A Win32/Dorkbot féreg cserélheto adathordozók segítségével terjed. A féreg tartalmaz egy hátsóajtó-komponenst is, melynek segítségével távolról átveheto az irányítás a fertozött számítógép felett. Maga a futtatható állomány UPX segítségével tömörített EXE fájl, amely futtatása során összegyujti az adott géprol a weboldalakhoz tartozó felhasználói neveket és jelszavakat, majd ezeket megkísérli egy távoli gépre elküldeni.

Bovebb információ: www.eset.eu/encyclopaedia/win32-dorkbot-a-worm-gen-trojan-menti-gjic-pws-zbot-fo

 

8. Win32/Ramnit vírus

Elterjedtsége a decemberi fertozések között: 1.45%

A Win32/Ramnit egy fájlfertozo vírus, amelynek kódja minden rendszerindításkor lefut. DLL és EXE formátumú állományokat képes megfertozni, ám ezen kívül a HTM, illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetoséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszoleges kód futtatására nyílik lehetoség. A támadók a távoli irányítási lehetoséggel képernyoképek készítését, jelszavak és egyéb bizalmas adatok kifürkészését, továbbítását is el tudják végezni.

Bovebb információ: www.virusradar.com/WinRamnit.A/description

 

9. Win32/TrojanDownloader.Small trójai

Elterjedtsége a decemberi fertozések között: 1.11%

A Win32/TrojanDownloader.Small egy olyan trójai, amelynek fo célja további kártékony kódokat letölteni az internetrol a fertozött számítógépre. Maga a kártevo tartalmaz egy fix URL címet, ahonnan a kártékony EXE állomány letöltés próbálja elvégezni, ehhez a HTTP protokollt használja. A kártevocsalád legelso változatai már 2005 óta ismertek, de azóta is folyamatosan jelennek meg belole újabb és újabb verziók.

Bovebb információ: www.virusradar.com/en/Win32_TrojanDownloader.Small.AAB/description

 

10. Win32/Virut féreg

Elterjedtsége a decemberi fertozések között: 1.08%

A Win32/Virut egy olyan féreg, mely rejtett hátsó ajtót nyit a gépen, kiszolgáltatja annak adatait a bunözoknek. Futása során eloször bemásolja magát a Windows %system32% alkönyvtárába iexplore.exe néven, majd különféle Registry kulcsok létrehozásával gondoskodik arról, hogy minden rendszerindításkor aktív lehessen. A fertozés után kapcsolatba lép távoli vezérlo szerverekkel, ezzel a támadók teljes mértékben átvehetik a számítógép felügyeletét, azt csinálhatnak a számítógépen, amit csak akarnak: alkalmazásokat futtathatnak, állíthatnak le, állományokat tölthetnek le/fel, jelszavakat, hozzáférési kódokat tulajdoníthatnak el.

Bovebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/virut-ba