Képes malware történelem és novemberi vírustoplista az ESET-től

Következő bejegyzés

A novemberi statisztikában első helyen áll a HTML/Refresh, ami már három hónapja őrzi ezt a pozíciót. Ez egy olyan trójai család, amelyik észrevétlenül átirányítja a felhasználó böngészőjét különféle rosszindulatú web címekre. A kártevő jellemzően a manipulált weboldalak HTML kódjába beágyazva található. Ismét listatag lett a Win32/Ramnit, ezúttal a kilencedik helyre elegendő teljesítményével vívta ki a jelenlétet. Ez egy olyan fájlfertőző vírus, amelynek kódja minden rendszerindításkor lefutva DLL és EXE formátumú állományokat képes megfertőzni, valamint a HTM, illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetőséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszőleges kód futtatására nyílik lehetőség a fertőzött számítógépen.

És ahogy a címben is jeleztük, érdekes módon 2011 áprilisa óta nem tud lekerülni a listánkról az Autorun vírus, sőt az előző havi 10-ik helyről most a 8-ik pozícióba merészkedett vissza. A rekord hosszúságú szereplés okairól már többször is szót ejtettünk, hiszen már évek óta rendelkezésre áll a sebezhetőséget bezáró, illetve az automatikus indulást lekapcsoló biztonsági frissítés. Ám sajnos sokan ezt azóta sem futtatták le, részint lustaságból, részint mert az érintett gépek egy része valószínűleg illegális Windows példányt futtat. Emellett pedig számos felhasználónál futhat még a régi, már nem támogatott XP verzió is.

Az ESET Radar Report e havi kiadásában folytatódik az előző hónapban megkezdett téma, amely az úgynevezett support csalásokról szól. Az ilyen típusú támadások sajnos már évek óta zajlanak világszerte. A módszer lényege, hogy elsősorban az angol nyelvterületen élő gyanútlan áldozat kap egy telefonhívást, amelyben nem létező technikai hibára figyelmeztetik. A dolog apropója pedig az, hogy az FTC (U.S. Federal Trade Commission) azaz az amerikai fogyasztóvédelmi hatóság vizsgálatot folytat egy ilyen cég ellen. A gyanú szerint a New York-i székhelyű Pairsys Inc. cég iparszerűen űzte az ilyen jellegű csalásokat, és a Microsoft, illetve a Facebook technikai személyzetének kiadva magukat kiterjedt telemarketing rendszert üzemeltettek az ilyen hamis hívások nagy számban történő hívogatásához. A mondvacsinált, nem létező problémák "kijavításáért" busás munkadíjat szedtek be az áldozatoktól, ez jellemzően 149 és 249 USD közötti összeg volt - mai árfolyamon körülbelül 37-62 ezer forintnak felel meg. Az üzletszerű csalásokról Brian Krebs biztonsági szakértő is rendszeresen publikál a blogjában, és bár eredetileg az USA volt a fellegvára az ilyen átveréseknek, egyre több jel mutat arra, hogy az érdemi "munkát" a bűnözők kiszervezik Indiába. Mi mindenesetre azt emeljük ki az ügy kapcsán, hogy érdemes óvatosnak lenni az ilyen kéretlen telefonhívások esetén, és gyanú esetén inkább egyszerűen tegyük le a kagylót, mielőtt valamilyen kémprogramra, kártevőre mutató oldalra navigálnak bennünket a hamis "segítők".

Az antivirus blog novemberi fontosabb blogposztjai között Halloween alkalmával védelmi tippeket adtunk az ilyenkor fokozódó veszélyek miatt, és emellett összegyűjtöttük az eddigi öt legfélelmetesebb zombi botnetet is.

Emellett szót ejtettünk arról az újfajta social engineering trükkről is, amelyben gyorshajtási bírsággal is terjed a CryptoLocker. Az ausztráliai Új-Dél-Walesben figyeltek fel ugyanis arra a módszerre, hogy az e-mailben terjedő üzenetekben hamis linkek segítségével egy állami hivatal nevével visszaélve igyekeztek a gyanútlan és talán gyorsan is hajtó felhasználók gépeire kártevőt letölteni.

Beszámoltunk ezenkívül arról is, hogy nem csak a tüdőre lehet káros az e-cigaretta, ez derült ki ugyanis a Guardian egyik cikkéből. A dolog lényege, hogy az Autorun vírus nem csak a klasszikus USB kulcs, memóriakártya, vagy külső merevlemez segítségével képes fertőzni, hanem például fényképezőgép, MP3 lejátszó, okosóra, digitális képkeret vagy akár az USB töltési lehetőséggel rendelkező e-cigaretta is jelenthet ilyen veszélyt.

Végül megemlítettünk egy érdekes brit felmérést is, amelynek eredményeiből az látszik, hogy az ottani felnőtt lakosságból minden hatodik felhasználó szenvedett már el valamilyen kibertámadást. Az incidensek közül az adathalászat, a személyes adatok eltulajdonítása illetve banki adatok kifürkészése, manipulálása a leggyakoribb. Sajnos azonban az is kiderült, hogy a felhasználók jelentős hányada egyáltalán nem is védi az eszközeit biztonsági alkalmazásokkal.

 

Vírustoplista

Az ESET több millió felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2014 novemberében a következő 10 károkozó terjedt világszerte a legnagyobb számban, és volt együttesen felelős az összes fertőzés 16.39%-áért. Aki pedig folyamatosan és első kézből szeretne értesülni a legújabb Facebook-os kártevőkről, a közösségi oldalt érintő mindenfajta megtévesztésről, az csatlakozhat hozzánk az ESET Magyarország www.facebook.com/biztonsag, illetve az antivirusblog.hu oldalán.

 

 

1. HTML/Refresh trójai

Elterjedtsége a novemberi fertőzések között: 3.13%

A HTML/Refresh egy olyan trójai család, amelyik észrevétlenül átirányítja a felhasználó böngészőjét különféle rosszindulatú web címekre. A kártevő jellemzően a manipulált weboldalak HTML kódjába beágyazva található.

Bővebb információ: www.virusradar.com/en/HTML_Refresh/detail

 

2. Win32/Bundpill féreg

Elterjedtsége a novemberi fertőzések között: 2.33%

A Win32/Bundpill féreg hordozható külső adathordozókon terjed. Futása során különféle átmeneti állományokat hoz létre a megfertőzött számítógépen, majd egy láthatatlan kártékony munkafolyamatot is elindít. Valódi károkozásra is képes, a meghajtóinkról az *.exe, *.vbs, *.pif, *.cmd kiterjesztésű és a backup állományokat törölheti. Ezen kívül egy külső URL címről megkísérel további kártékony komponenseket is letölteni a HTTP protokoll segítségével, majd ezeket lefuttatja.

Bővebb információ: www.virusradar.com/en/Win32_Bundpil.A/description

 

3. Win32/Adware.MultiPlug adware

Elterjedtsége a novemberi fertőzések között: 1.93%

A Win32/Adware.MultiPlug egy olyan úgynevezett nemkívánatos alkalmazás (Potential Unwanted Program, PUP), amely a felhasználó rendszerébe bekerülve különféle felugró ablakokban kéretlen reklámokat jelenít meg az internetes böngészés közben.

Bővebb információ: www.virusradar.com/en/Win32_Adware.MultiPlug.H/description

 

4. Win32/TrojanDownloader.Wauchos trójai

Elterjedtsége a novemberi fertőzések között: 1.48%

A Win32/TrojanDownloader.Wauchos egy olyan trójai, amelynek fő célja további kártékony kódokat letölteni az internetről a fertőzött számítógépre. Különféle registry kulcsok létrehozásával gondoskodik arról, hogy minden rendszerindításkor lefusson a kódja. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül próbál meg adatokat továbbítani a gép operációs rendszeréről, beállításairól, IP címéről, illetve ezen keresztül parancsokat fogad, így a támadóknak távolról tetszőleges kód futtatására nyílik lehetőség.

Bővebb információ: www.virusradar.com/Win32_TrojanDownloader.Wauchos.A/description

 

5. Win32/Sality vírus

Elterjedtsége a novemberi fertőzések között: 1.41%

A Win32/Sality egy polimorfikus fájlfertőző vírus. Futtatása során elindít egy szerviz folyamatot, illetve Registry bejegyzéseket készít, hogy ezzel gondoskodjon arról, hogy a vírus minden rendszerindítás alkalmával elinduljon. A fertőzése során EXE illetve SCR kiterjesztésű fájlokat módosít, és megkísérli lekapcsolni a védelmi programokhoz tartozó szerviz folyamatokat.

Bővebb információ: www.eset.eu/encyclopaedia/sality_nar_virus__sality_aa_sality_am_sality_ah

 

6. LNK/Agent trójai

Elterjedtsége a novemberi fertőzések között: 1.35%

A LNK/Agent trójai fő feladata, hogy a háttérben különféle létező és legitim - alaphelyzetben egyébként ártalmatlan - Windows parancsokból kártékony célú utasítássorozatokat fűzzön össze, majd futtassa is le azokat. Ez a technika legelőször a Stuxnet elemzésénél tűnt fel a szakembereknek, a sebezhetőség lefuttatásának négy lehetséges módja közül ez volt ugyanis az egyik. Víruselemzők véleménye szerint ez a módszer lehet a jövő Autorun.inf szerű kártevője, ami valószínűleg szintén széles körben és hosszú ideig lehet képes terjedni.

Bővebb információ: www.virusradar.com/en/LNK_Agent.AK/description

 

7. JS/Kryptik trójai

Elterjedtsége a novemberi fertőzések között: 1.29%

A JS/Kryptik egy általános összesítő elnevezése azoknak a különféle kártékony és olvashatatlanná összezavart JavaScript kódoknak, amely a különféle HTML oldalakba rejtetten beágyazódva észrevétlenül sebezhetőségeket kihasználó kártékony weboldalakra irányítja át a felhasználó böngészőprogramját.

Bővebb információ: www.virusradar.com/en/JS_Kryptik/detail

 

8. INF/Autorun vírus

Elterjedtsége a novemberi fertőzések között: 1.22%

Az INF/Autorun gyűjtoneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul. Leggyakrabban cserélhető adathordozók segítségével terjed, akár mp3-lejátszókon keresztül is.

Bővebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/autorun

 

9. Win32/Ramnit vírus

Elterjedtsége a novemberi fertőzések között: 1.17%

A Win32/RiskWare.NetFilter egy olyan alkalmazás, amely magában hordoz olyan rosszindulatú kódokat, amelyek segítségével megfertőzhetik a számítógépünket, illetve a kompromittált rendszert később távolról is irányíthatóvá teszik. A távoli támadás során tipikusan adatokat lopnak el így a megfertőzött gépről, illetve távoli utasítások segítségével további kártékony kódokat telepítenek fel rá.

Bővebb információ: www.virusradar.com/en/Win32_RiskWare.NetFilter.A/description

 

10. HTML/ScrInject trójai

Elterjedtsége a novemberi fertőzések között: 1.08%

A HTML/ScrInject trójai egy RAR segédprogrammal tömörített állomány, amely telepítése során egy üres (c:\windows\blank.html) állományt jelenít meg a fertőzött gép böngészőjében. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.

Bővebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/scrinject-b-gen