Ovaj crv želi samo zacijeliti

Sadržaj

• Ovaj crv samo želi izliječiti
• Top prijetnja W32 / Nachi.B-crv
• 10 najboljih virusa e-pošte
• Top 5 Ranjivosti
• Savjet za sigurnost
• Ažuriranja sigurnosti sustava Windows
• Jargon Buster
• Feed priče o sigurnosnom nadzoru

Ovaj crv samo želi izliječiti

Prvo smo bili svjedoci eksplozije MyDoom.A i kasnijeg napada uskraćivanja usluge koji je dva tjedna izveo web stranicu Santa Cruz Operation (sco.com). Zatim je došao MyDoom.B, koji je dodao Microsoft.com kao metu DoS napada. Dok se MyDoom.A skidao s osvetom, MyDoom.B je poput filma "B" bio đir. Prema CTO-u Marka Sunnera u MessageLabs-u, MyDoom.B je imao greške u kodu zbog kojih je bio uspješan samo u napadu SCO-a 70% vremena i 0% kada je napadao Microsoft. Također je rekao da postoji "veća šansa da pročitate MyDoom.B, nego da je uhvatite."

Prošli tjedan vidjeli smo eksploziju virusa kako jašu na kaputićima tvrtke MyDoom. Uspješno su preuzele stotine tisuća strojeva. Prvi koji je udario scenu bio je Doomjuice.A (koji se naziva i MyDoom.C). Doomjuice.A, nije drugi virus e-pošte, ali iskoristio je zaklon koji je MyDoom.A otvorio na zaraženim računalima. Doomjuice bi se preuzeo na stroj zaražen MyDoom-om i poput MyDoom.B-a instalirao i pokušao izvesti DoS napad na Microsoft.com. Prema Microsoftu, napad ih nije negativno pogodio oko 9. i 10., iako je NetCraft zabilježio da je Microsoftovo mjesto u jednom trenutku nedostupno.

Stručnjaci za antivirusne programe vjeruju da je Doomjuice djelo istog autora (e) MyDoom-a, jer na njega ispušta i kopiju izvornog MyDoom izvora na stroju žrtve. Prema priopćenju za javnost tvrtke F-secure, autorima je ovo možda način da prikažu pjesme. Također izdaje datoteku s izvornim kodom radnog izvora drugim pisačima virusa da ih koriste ili mijenjaju. Tako su MyDoom.A i MyDoom.B, poput samih Microsoft Windows i Office, postali platforma za širenje drugih virusa. U posljednjih tjedan dana vidjeli smo pojavu W32 / Doomjuice.A, W32 / Doomjuice.B, W32 / Vesser.worm.A, W32 / Vesser.worm.B, exploit-MyDoom - trojanska varijanta Proxy-Mitglieter, W32 / Deadhat.A i W32 / Deadhat.B, a svi ulaze u stražnji dio MyDooma. Vesser.worm / DeadHat.B, koristite i SoulSeek P2P mrežu za dijeljenje datoteka.

12. veljače otkriven je W32 / Nachi.B.worm. Kao i njegov prethodnik, W32 / Nachi.A.worm (poznat i kao Welchia), Nachi.B propagira iskorištavanjem RPC / DCOM i WebDAV ranjivosti. Dok je još uvijek virus / crv, Nachi.B pokušava ukloniti MyDoom i zatvoriti ranjivosti. Do petka, 13. veljače, Nachi.B je dospio na drugo mjesto na nekoliko prodajnih lista prijetnji (Trend, McAfee). Budući da ne koristi e-poštu, neće se pojaviti na našoj listi deset virusa e-pošte. Sprječavanje zaraze Nachi.B isto je kao i za Nachi.A, primijenite sve trenutne sigurnosne zakrpe za Windows da biste zatvorili ranjivosti. Pogledajte našu Top prijetnju za više informacija.

U petak 13. veljače vidjeli smo još jedan MyPoom harpuon, W32 / DoomHunt.A. Ovaj virus koristi MyDoom.A backdoor, a isključuje procese i briše ključeve registra koji su povezani s njegovom metom. Za razliku od Nachi.B-a, koji u pozadini djeluje tiho, DoomHunt.A otvara dijaloški okvir koji najavljuje "Crv za uklanjanje MyDoom-a (DDOS RIAA)". Instalira se u mapu Windows System kao očiti Worm.exe i dodaje ključ registra sa vrijednošću "Delete Me" = "worm.exe". Uklanjanje je isto kao i svaki crv, zaustavite proces worm.exe, skenirajte antivirusom, izbrišite datoteku Worm.exe i sve pridružene datoteke i uklonite registarski ključ. Naravno, obavezno ažurirajte svoj uređaj najnovijim sigurnosnim zakrpama.

Iako se ne može točno znati, procjene su se kretale od 50 000 do čak 400 000 aktivno zaraženih MyDoom.A strojevima. Doomjuice se mogao širiti samo pristupom stražnjim vratima MyDooma, tako da nezarazni korisnici nisu bili u opasnosti, a kako su se zarazi očistile, polje dostupnih strojeva smanjiće se. Međutim, jedna je opasnost da, iako je MyDoom.A trebao zaustaviti svoje DoS napade za 12. veljače, Doomjuice nema istek vremena. Prošli tjedan smo spomenuli kako se eksplozija MyDoom.A odvija na FlashLabs Flash animaciji i obećali da ćemo je vidjeti kako bi je vidjeli svi. Evo ga.

Microsoft je ovaj tjedan najavio još tri ranjivosti i izdao zakrpe. Dvije su važne razine prioriteta, a jedna je kritična. Glavna ranjivost uključuje knjižnicu koda u sustavu Windows koja je središnja za zaštitu web i lokalnih aplikacija. Za više informacija o ranjivosti, njezinim implikacijama i onome što trebate učiniti, pogledajte naše posebno izvješće. Druge dvije ranjivosti uključuju uslugu Windows Internet Nameing Service (WINS), a druga se nalazi u verziji Mac računala Virtual PC. Pogledajte odjeljak Sigurnosne nadogradnje za Windows za dodatne informacije.

Ako izgleda poput patke, hoda poput patke, i grči poput patke, je li to patka ili virus? Možda, možda i nije, ali AOL je upozoravao (Slika 1) korisnike da ne kliknu na poruku koja je prošli tjedan obilazila krugove putem Instant Messengera.

Poruka je sadržavala vezu koja instalira igru, bilo Capture Sadama ili Night Raptera, ovisno o verziji poruke (slika 2). Igra je uključivala BuddyLinks, tehnologiju poput virusa koja automatski šalje kopije poruke svima na vašoj listi prijatelja. Ova tehnologija vrši viralni marketing sa automatskom kampanjom za poruke te vam šalje reklame i može oteti (preusmjeriti) vaš preglednik. Od petka, web stranica za igre (www.wgutv.com) i stranica Buddylinks (www.buddylinks.net) su propale, a tvrtka sa sjedištem u Cambridgeu, Buddylinks, nije vraćala telefonske pozive.

Ažuriranje: Prošli tjedan rekli smo vam o lažnoj web stranici Do Not Email koja obećava smanjenje neželjene pošte, ali zapravo je bila skupljanje adresa e-pošte za neželjene pošte. Ovog tjedna, priča Reutersa izvještava da američka Federalna trgovinska komisija upozorava: "Potrošači ne bi trebali slati svoje adrese e-pošte na web mjesto koje obećava smanjenje neželjene neželjene pošte jer je to lažno". Članak dalje opisuje web mjesto i preporučuje, kao što smo i bili, "svoje osobne podatke zadržati kod sebe - uključujući svoju adresu e-pošte - osim ako ne znate s kim imate posla".

U četvrtak, 12. veljače, Microsoft je otkrio da neki od njegovih izvornih kodova kruži internetom. Pronašli su je do MainSofta, tvrtke koja izrađuje sučelje Windows-to-Unix za Unix programere aplikacija. MainSoft licencira izvorni kôd sustava Windows 2000, posebno onaj dio koji se odnosi na API (sučelje aplikacijskog programa) sustava Windows. Prema priči o eWeeku, kôd nije potpun ili kompibilan. Iako je Windows API dobro objavljen, temeljni izvorni kod nije. API je zbirka kodnih funkcija i rutina koje izvršavaju zadatke operativnog sustava Windows, kao što su stavljanje gumba na zaslon, osiguranje sigurnosti ili pisanje datoteka na tvrdi disk. Mnoge ranjivosti u sustavu Windows proizlaze iz neprovjerenih međuspremnika i parametara u tim funkcijama. Često ranjivosti uključuju slanje posebno izrađenih poruka ili parametara tim funkcijama, što ih dovodi do kvara i otvara sustav za eksploataciju. Budući da je velik dio koda Windows 2000 također ugrađen u Windows XP i poslužitelj Windows 2003, izvorni kôd može omogućiti piscima virusa i zlobnim korisnicima da lakše pronađu rupe u određenim rutinama i iskoriste ih. Dok ranjivosti obično identificiraju Microsoftovi ili izvori trećih strana prije nego što postanu javni, dajući vrijeme za izdavanje zakrpa, ovaj postupak može okrenuti taj postupak, stavljajući hakere u položaj otkrivanja i iskorištavanja ranjivosti prije nego što ih Microsoft pronađe i zakrpi.