Šis tārps vēlas tikai dziedēt

Saturs

• Šis tārps tikai vēlas dziedēt
• Top Threat W32 / Nachi.B-worm
• 10 populārākie e-pasta vīrusi
• 5 galvenās ievainojamības
• Drošības padoms
• Windows drošības atjauninājumi
• Žargons Busters
• Drošības sardzes stāsta plūsma

Šis tārps tikai vēlas dziedēt

Mēs pirmoreiz bijām aculiecinieks MyDoom.A sprādzienam un tam sekojošajam uzbrukumam pakalpojumu noraidīšanai, kas divu nedēļu laikā izņēma Santa Cruz operācijas (sco.com) vietni. Pēc tam nāca MyDoom.B, kas pievienoja Microsoft.com kā DoS uzbrukuma mērķi. Kamēr MyDoom.A startēja ar atriebību, MyDoom.B, tāpat kā “B” filma, bija plikpauris. Saskaņā ar MarkL Sunner CTO pie MessageLabs, MyDoom.B kodā bija kļūdas, kuru dēļ tas bija veiksmīgs tikai 70% laika SCO uzbrukumā un 0%, uzbrūkot Microsoft. Viņš arī sacīja, ka ir "vairāk iespēju lasīt par MyDoom.B, nekā to noķert".

Pagājušajā nedēļā mēs esam redzējuši vīrusu eksploziju, kas brauc uz MyDoom.A mēteļa astes. Veiksmīga simtiem tūkstošu mašīnu pārņemšana. Pirmais, kurš uz skatuves nonāca Doomjuice.A (saukts arī par MyDoom.C). Doomjuice.A nebija vēl viens e-pasta vīruss, taču izmantoja aizmugures durvis, ko MyDoom.A atvēra inficētajās mašīnās. Doomjuice lejupielādētu MyDoom inficētajā mašīnā un tāpat kā MyDoom.B instalētu un mēģinātu veikt DoS uzbrukumu Microsoft.com. Saskaņā ar Microsoft teikto, uzbrukums viņus nelabvēlīgi neietekmēja ap 9. un 10., lai gan NetCraft reģistrēja, ka Microsoft vietne vienā brīdī nav sasniedzama.

Antivīrusu eksperti uzskata, ka Doomjuice bija tā paša MyDoom autora (-u) darbs, jo tas upura mašīnā arī nomet oriģinālā MyDoom avota kopiju. Saskaņā ar F-Secure paziņojumu presei, tas var būt veids, kā autori var segt savus ierakstus. Tas arī atbrīvo iedarbīgu avota koda failu citiem vīrusu rakstītājiem, lai tos lietotu vai modificētu. Tātad MyDoom.A un MyDoom.B, tāpat kā paši Microsoft Windows un Office, tagad ir kļuvuši par platformu citu vīrusu izplatībai. Pēdējās nedēļas laikā mēs esam redzējuši W32 / Doomjuice.A, W32 / Doomjuice.B, W32 / Vesser.worm.A, W32 / Vesser.worm.B, exploit-MyDoom - Proxy-Mitglieter Trojas variants., W32 / Deadhat.A un W32 / Deadhat.B, visi ienāk MyDoom aizmugurējā durvī. Izmantojiet arī Vesser.worm / DeadHat.B, failu apmaiņas tīklā SoulSeek P2P.

12. februārī tika atklāts W32 / Nachi.B. tārps. Tāpat kā tā priekšgājējs W32 / Nachi.A.worm (pazīstams arī kā Welchia), Nachi.B izplatās, izmantojot RPC / DCOM un WebDAV ievainojamības. Kamēr vēl ir vīruss / tārps, Nachi.B mēģina noņemt MyDoom un aizvērt ievainojamības. Līdz piektdienai, 13. februārim, Nachi.B bija kļuvis par otro vietu pāris pārdevēju draudu sarakstos (Trend, McAfee). Tā kā tas neizmanto e-pastu, tas netiks parādīts mūsu MessageLabs desmit labāko e-pastu vīrusu sarakstā. Nachi.B infekcijas novēršana ir tāda pati kā Nachi.A, piemērojiet visus pašreizējos Windows drošības ielāpus, lai aizvērtu ievainojamības. Lai iegūtu papildinformāciju, skatiet mūsu galvenos draudus.

Piektdien, 13. februārī, mēs redzējām vēl vienu MyDoom harpūnu W32 / DoomHunt.A. Šis vīruss izmanto MyDoom.A backdoor, izslēdz procesus un izdzēš reģistra atslēgas, kas saistītas ar tā mērķi. Atšķirībā no Nachi.B, kas mierīgi darbojas fonā, DoomHunt.A uznirst dialoglodziņš, kurā pasludina "MyDoom noņemšanas tārps (DDOS the RIAA)". Tas pats instalējas Windows sistēmas mapē kā acīmredzams Worm.exe un pievieno reģistra atslēgu ar vērtību "Delete Me" = "worm.exe". Noņemšana ir tāda pati kā jebkuram tārpam, pārtrauciet worm.exe procesu, skenējiet ar pretvīrusu, izdzēsiet failu Worm.exe un visus ar to saistītos failus un noņemiet reģistra atslēgu. Protams, noteikti atjauniniet mašīnu ar jaunākajiem drošības ielāpiem.

Lai gan nav iespējams precīzi zināt, aplēses svārstījās no 50 000 līdz pat 400 000 aktīvi inficētām MyDoom.A mašīnām. Doomjuice varēja izplatīties, tikai piekļūstot MyDoom aizmugurējām durvīm, tāpēc neinficētie lietotāji nebija pakļauti riskam, un, tā kā infekcijas tika notīrītas, pieejamo mašīnu lauks samazināsies. Tomēr viena no briesmām ir tā, ka, kamēr MyDoom.A bija paredzēts pārtraukt savus DoS uzbrukumus 12. februārī, Doomjuice nav noildzes. Pagājušajā nedēļā mēs pieminējām redzēt MyDoom.A sprādzienu, kas tika izvērsts MessageLabs Flash animācijā, un apsolījām, ka to varēs redzēt visi. Te tas ir.

Microsoft paziņoja par vēl trim ievainojamībām un šonedēļ izlaida ielāpus. Divi ir svarīga līmeņa prioritāte, un viens ir kritiskais līmenis. Galvenā neaizsargātība ir saistīta ar kodu bibliotēku operētājsistēmā Windows, kas ir centrāla, lai aizsargātu tīmekļa un vietējās lietojumprogrammas. Plašāku informāciju par ievainojamību, tās sekām un to, kas jums jādara, skatiet mūsu īpašajā ziņojumā. Divas pārējās ievainojamības ir saistītas ar Windows Internet Naming Service (WINS) pakalpojumu, bet otra ir virtuālā datora Mac versijā. Plašāku informāciju skatiet mūsu Windows drošības atjauninājumu sadaļā.

Ja tas izskatās kā pīle, staigā kā pīle un rūc kā pīle, vai tā ir pīle, vai vīruss? Varbūt, varbūt nē, bet AOL brīdināja (1. attēls) lietotājus neklikšķināt uz ziņojuma, kas pagājušajā nedēļā veica kārtas, izmantojot Instant Messenger.

Ziņojumā bija saite, kurā tiek instalēta spēle - Capture Saddam vai Night Rapter - atkarībā no ziņojuma versijas (2. attēls). Spēlē bija iekļauts BuddyLinks, vīrusiem līdzīga tehnoloģija, kas automātiski nosūta ziņojuma kopijas visiem jūsu draugu sarakstā. Šī tehnoloģija veic gan vīrusu mārketingu ar savu automatizēto ziņojumu kampaņu, gan sūta jums reklāmas un var nolaupīt (novirzīt) jūsu pārlūkprogrammu. Sākot ar piektdienu, gan spēles vietne (www.wgutv.com), gan vietne Buddylinks (www.buddylinks.net) nedarbojās, un Kembridžā bāzētā Buddylinks kompānija neatbalstīja tālruņa zvanus.

Atjauninājums: Pagājušajā nedēļā mēs jums pastāstījām par viltotu vietni Nesūtīt e-pastu, solot samazināt surogātpastu, bet faktiski bija surogātpasta izplatītāju e-pasta adreses kolekcionārs. Šonedēļ Reuters stāsta, ka ASV federālā tirdzniecības komisija brīdina: "Patērētājiem nevajadzētu iesniegt savas e-pasta adreses vietnei, kas sola samazināt nevēlamu" surogātpastu ", jo tas ir krāpniecisks". Raksts turpina aprakstīt vietni, un tajā, kā mēs esam bijuši ieteikti, "paturēt personīgo informāciju sev, ieskaitot savu e-pasta adresi, ja vien jūs nezināt, ar ko jūs nodarbojaties".

Ceturtdien, 12. februārī, Microsoft uzzināja, ka daļa no tā pirmkoda izplatījās tīmeklī. Viņi to izsekoja MainSoft, uzņēmumam, kas Unix lietojumprogrammu programmētājiem izveido interfeisu no Windows uz Unix. MainSoft ir licencējis Windows 2000 avota kodu, it īpaši to daļu, kas ir saistīta ar Windows API (lietojumprogrammu interfeisu). Saskaņā ar eWeek stāstu, kods nav pilnīgs vai saderīgs. Kamēr Windows API ir labi publicēts, pamata avota kods nav. API ir koda funkciju un rutīnas kolekcija, kas veic Windows darbības uzdevumus, piemēram, pogu ievietošanu ekrānā, drošības veikšanu vai failu ierakstīšanu cietajā diskā. Daudzas Windows ievainojamības rodas no nepārbaudītiem buferiem un šo funkciju parametriem. Bieži vien ievainojamība ir saistīta ar speciāli izstrādātu ziņojumu vai parametru nodošanu šīm funkcijām, izraisot to kļūmes un atverot sistēmu ekspluatācijai. Tā kā liela daļa Windows 2000 koda ir iekļauta arī operētājsistēmās Windows XP un Windows 2003 serveros, avota koda iegūšana var ļaut vīrusu rakstītājiem un ļaunprātīgiem lietotājiem vieglāk atrast caurumus noteiktā rutīnā un tos izmantot. Kaut arī ievainojamības parasti identificē Microsoft vai trešo pušu avoti, pirms tās kļūst publiskas, dodot laiku izlaist ielāpus, šī procedūra var pagriezties, liekot hakeriem atklāt un izmantot ievainojamības, pirms Microsoft tos atrod un labo.