Szilárdan tartja első helyét a mentéseket törlő féreg

Következő bejegyzés

A februári lista egyetlen újonc kártevővel bővült. A Win32/TrojanDownloader.Waski a tízedik helyen nyitott. Ez egy olyan trójai letöltő, amely egy fix URL listát tartalmaz, és ezek alapján próbálkozik. Futtatása után bemásolja magát a helyi számítógép %temp% mappájába miy.exe néven, majd további malware kódokat próbál meg letölteni az internetről a HTTP protokoll segítségével.

Az ESET Radar Report e havi kiadásában azokról a szűnni nem akaró adathalász támadásokról ír, amelyek kifejezetten bankolással kapcsolatosak. Az egyik ismertetett trükk szerint a csalók olyan kéretlen leveleket küldtek szét, amelynek tárgya éppen a biztonsággal kapcsolatos, és bankkártya biztonsági szolgáltatást ígértek a brit banki ügyfeleknek. Az "RBS Credit Card Account Holder" azonban egyértelműen egy átverés. Bár azt állítják, hogy a gyanús tranzakciókat fognak kiszűrni, ehhez képest a spamet egy svédországi domainről küldték, az angol bankokban pedig semmilyen partneri, vagy együttműködési viszonyról nem tudnak ezzel az állítólagos szolgáltatóval.

Kaphatunk kéretlen levelet a híres Lloyds nevében is, ahol viszont annyira amatőrökkel van dolgunk, hogy tisztán látszik a küldésre használt valódi cím is, ami nem más, mint a toilet@ebay.com. A hamisított adathalász weboldal viszont elég jó másolat ahhoz, hogy a figyelmetlenek mégis begépeljék adataikat a hasonmás oldalon. A módszer itt is régi, azzal próbálják meg a címzetteket a belépésre rávenni, hogy korlátozták számlájukat, és csak a linkre való kattintás után oldhatják fel ezeket az ideiglenes számlakorlátozásokat. Bár arról nincs hír, konkrétan mennyien dőlnek be ezeknek, az mindenesetre reménykeltő, hogy a rengeteg figyelmeztetésnek (pl. híradásokban) hála az emberek a banki csalásokra egyre jobban odafigyelnek. Mindenesetre mi újra elmondjuk, a bankok sosem kérnek ügyféladatokat e-mailben, és nem küldenek linket sem a belépéshez.

Februári fontosabb blogposztjaink között többek közt azzal foglalkoztunk, vajon elég felelősen bánunk-e a jelszavainkkal. A látványos és tanulságos infografikából az is kiderült többek között, hogy a felhasználók 16%-a sosem változtatja meg a jelszavát, míg 18%-uk figyelmen kívül hagyja a jelzést, ha az általa leggyakrabban használt online vagy közösségi oldal jelszócserére figyelmeztető üzenetet küld neki.

Természetesen aktuális átverésekről is be tudtunk számolni, így ezúttal a hamis Facebook visszatekintő Look Back hasonmás weboldal került terítékre, ahol a videó megnézése előtt egy letöltéssel próbáltak meg kártevőt juttatni a gyanútlan látogatók gépére: antivirus.blog.hu/2014/02/10/a_kamu_look_back_video

Kiemelten fontos téma gyermekeink internetes biztonsága, így minden év második hónapjának második hetének második napja a biztonságosabb internetről szól. Ezen a főképp oktatással és képzéssel végezhető feladaton folyamatosan kell dolgoznunk, amire egy friss brit felmérés eredménye is jól rávilágít: eszerint sajnos nem használjuk megfelelően a szülői felügyeleti eszközöket: kevesebb, mint a szülők fele kapcsolja csak be ezeket egyáltalán.

Nem kerülte el sorsát a Forbes és Kickstarter sem, a korábbi Adobe, Target, Snapchat, és hasonló cégek elleni támadáshoz hasonlóan itt is illetéktelenek fértek hozzá az adatbázisokhoz, jelszavakat és címek loptak. Természetesen, ahogy ilyenkor szokás, azonnali jelszócserére buzdítják a pórul járt felhasználókat.

És végül, de semmiképpen nem utolsó sorban beszámoltunk egy olyan Mac OS X operációs rendszeren futó trójairól, amely elsősorban warez programok letöltésével terjed, és a megfertőzött számítógépekről Bitcoint lop. Akár használunk Bitcoint, akár nem, minden Mac felhasználónak ajánlott egy aktualizált antivírus termékkel védenie számítógépét, valamint tanácsos ellenállniuk a feltört és illegális szoftverek letöltésének.

Vírustoplista

Az ESET több millió felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2014 februárjában a következő 10 károkozó terjedt világszerte a legnagyobb számban, és volt együttesen felelős az összes fertőzés 15.74%-áért. Aki pedig folyamatosan és első kézből szeretne értesülni a legújabb Facebook-os kártevőkről, a közösségi oldalt érintő mindenfajta megtévesztésről, az csatlakozhat hozzánk az ESET Magyarország www.facebook.com/biztonsag, illetve az antivirusblog.hu oldalán.

 

1. Win32/Bundpill féreg

Elterjedtsége a februári fertőzések között: 2.90%

A Win32/Bundpill féreg hordozható külso adathordozókon terjed. Futása során különféle átmeneti állományokat hoz létre a megfertozött számítógépen, majd egy láthatatlan kártékony munkafolyamatot is elindít. Valódi károkozásra is képes, a meghajtóinkról az *.exe, *.vbs, *.pif, *.cmd kiterjesztésu és a backup állományokat törölheti. Ezen kívül egy külso URL címrol megkísérel további kártékony komponenseket is letölteni a HTTP protokoll segítségével, majd ezeket lefuttatja.

Bovebb információ: www.virusradar.com/en/Win32_Bundpil.A/description

 

2. LNK/Agent trójai

Elterjedtsége a februári fertőzések között: 1.86%

A LNK/Agent trójai fo feladata, hogy a háttérben különféle létezo és legitim - alaphelyzetben egyébként ártalmatlan - Windows parancsokból kártékony célú utasítássorozatokat fuzzön össze, majd futtassa is le azokat. Ez a technika legeloször a Stuxnet elemzésénél tunt fel a szakembereknek, a sebezhetoség lefuttatásának négy lehetséges módja közül ez volt ugyanis az egyik. Víruselemzok véleménye szerint ez a módszer lehet a jövo Autorun.inf szeru kártevoje, ami valószínuleg szintén széles körben és hosszú ideig lehet képes terjedni.

Bovebb információ: www.virusradar.com/en/LNK_Agent.AK/description

 

3. Win32/Sality vírus

Elterjedtsége a februári fertőzések között: 1.67%

A Win32/Sality egy polimorfikus fájlfertozo vírus. Futtatása során elindít egy szerviz folyamatot, illetve Registry bejegyzéseket készít, hogy ezzel gondoskodjon arról, hogy a vírus minden rendszerindítás alkalmával elinduljon. A fertozése során EXE illetve SCR kiterjesztésu fájlokat módosít, és megkísérli lekapcsolni a védelmi programokhoz tartozó szerviz folyamatokat.

Bovebb információ: www.eset.eu/encyclopaedia/sality_nar_virus__sality_aa_sality_am_sality_ah

 

4. INF/Autorun vírus

Elterjedtsége a februári fertőzések között: 1.57%

Az INF/Autorun gyujtoneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevo fertozésének egyik jele, hogy a számítógép muködése drasztikusan lelassul. Leggyakrabban cserélheto adathordozók segítségével terjed, akár mp3-lejátszókon keresztül is.

Bovebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/autorun

 

5. Win32/Qhost trójai

Elterjedtsége a februári fertőzések között: 1.55%

A Win32/Qhost trójai hátsó ajtót nyit a gépen, kiszolgáltatja annak adatait a bűnözőknek. Futása során először bemásolja magát a Windows %system32% alkönyvtárába, majd kapcsolatba lép távoli vezérlő szerverével, ahonnan átvehető a teljes irányítás a megtámadott számítógép felett. A Win32/Qhost általában fertőzött e-mail üzenetek mellékleteiben terjed.

Bovebb információ: www.virusradar.com/en/Win32_Qhost.PEV/description

 

6. HTML/ScrInject.B trójai

Elterjedtsége a februári fertőzések között: 1.54%

A HTML/ScrInject trójai egy RAR segédprogrammal tömörített állomány, amely telepítése során egy üres (c:\windows\blank.html) állományt jelenít meg a fertozött gép böngészojében. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.

Bovebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/scrinject-b-gen

 

7. Win32/Ramnit vírus

Elterjedtsége a februári fertőzések között: 1.27%

A Win32/Ramnit egy fájlfertozo vírus, amelynek kódja minden rendszerindításkor lefut. DLL és EXE formátumú állományokat képes megfertozni, ám ezen kívül a HTM, illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetoséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszoleges kód futtatására nyílik lehetoség. A támadók a távoli irányítási lehetoséggel képernyoképek készítését, jelszavak és egyéb bizalmas adatok kifürkészését, továbbítását is el tudják végezni.

Bovebb információ: www.virusradar.com/WinRamnit.A/description

 

8. Win32/Conficker féreg

Elterjedtsége a februári fertőzések között: 1.26%

A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows MS08-067 biztonsági bulletinben tárgyalt hibát kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetoségre építve a távoli támadó megfelelo jogosultság nélkül hajthatja végre az akcióját. A Conficker eloször betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos antivíruscég honlapja elérhetetlenné válik a megfertozött számítógépen. Változattól függoen a felhasználó maga telepíti vagy egy biztonsági résen keresztül felhasználói beavatkozás nélkül magától települ fel, illetve automatikusan is elindulhat egy külso meghajtó fertozött Autorun állománya miatt.

Bovebb információ: www.eset.hu/tamogatas/viruslabor/virusleirasok/!conficker

 

9. Win32/Dorkbot féreg

Elterjedtsége a februári fertőzések között: 1.10%

A Win32/Dorkbot féreg cserélheto adathordozók segítségével terjed. A féreg tartalmaz egy hátsóajtó-komponenst is, melynek segítségével távolról átveheto az irányítás a fertozött számítógép felett. Maga a futtatható állomány UPX segítségével tömörített EXE fájl, amely futtatása során összegyujti az adott géprol a weboldalakhoz tartozó felhasználói neveket és jelszavakat, majd ezeket megkísérli egy távoli gépre elküldeni.

Bovebb információ: www.eset.eu/encyclopaedia/win32-dorkbot-a-worm-gen-trojan-menti-gjic-pws-zbot-fo

 

10. Win32/TrojanDownloader.Waski trójai

Elterjedtsége a februári fertőzések között: 1.02%

A Win32/TrojanDownloader.Waski egy trójai letöltő. Egy fix listát tartalmaz URL linkekkel, ezek alapján próbálkozik. Futtatása után bemásolja magát a helyi számítógép %temp% mappájába miy.exe néven, majd további malware kódokat próbál meg letölteni az internetről a HTTP protokol segítségével.

Bovebb információ: www.virusradar.com/en/Win32_TrojanDownloader.Waski.A/description