Tento červ se chce jen uzdravit

Obsah

• Tento červ se chce uzdravit
• Největší hrozba W32 / Nachi.B-červ
• Top 10 e-mailových virů
• Top 5 zranitelností
• Bezpečnostní tip
• Aktualizace zabezpečení systému Windows
• Jargon Buster
• Bezpečnostní sledovací článek

Tento červ se chce uzdravit

Nejprve jsme byli svědky výbuchu MyDoom.A a následného útoku Denial of Service, který na dva týdny vyřadil web Santa Cruz Operation (sco.com). Potom přišel MyDoom.B, který přidal Microsoft.com jako cíl útoku DoS. Zatímco MyDoom.A vzlétl s pomstou, MyDoom.B, stejně jako film „B“, byl blázen. Podle Mark Sunner CTO na MessageLabs, MyDoom.B měl chyby v kódu, který způsobil, že byl úspěšný pouze při útoku SCO 70% času, a 0% při útoku na Microsoft. Řekl také, že existuje „větší šance na čtení o MyDoom.B, než to chytit.“

Tento minulý týden jsme viděli výbuch virů, kteří se pohybovali na ocasu srsti úspěšného převzetí stovek tisíc strojů MyDoom.A. První, kdo zasáhl scénu, byl Doomjuice.A (také nazývaný MyDoom.C). Doomjuice.A nebyl dalším e-mailovým virem, ale využil backdoor, který MyDoom.A otevřel na infikovaných počítačích. Doomjuice se stáhne do počítače infikovaného MyDoom a podobně jako MyDoom.B instaluje a pokouší se provést útok DoS na webu Microsoft.com. Podle Microsoftu útok neovlivnil nepříznivě kolem 9. a 10., i když NetCraft zaznamenal, že web společnosti Microsoft byl v jednu chvíli nedostupný.

Antiviroví odborníci se domnívají, že Doomjuice bylo dílem stejného autora (autorů) MyDoom, protože také na kopii oběti zahodí kopii původního zdroje MyDoom. Podle tiskové zprávy společnosti F-secure to může být způsob, jak autoři zakrýt své stopy. Vydává také pracovní zdrojový kódový soubor jiným autorům virů, aby je mohli použít nebo upravit. MyDoom.A a MyDoom.B, stejně jako Microsoft Windows a Office samotné, se tak nyní staly platformou pro další šíření virů. V minulém týdnu jsme viděli vznik W32 / Doomjuice.A, W32 / Doomjuice.B, W32 / Vesser.worm.A, W32 / Vesser.worm.B, exploit-MyDoom - trojská varianta Proxy-Mitglieter, W32 / Deadhat.A a W32 / Deadhat.B, všechny vstupující do zadních dveří MyDoom. Vesser.worm / DeadHat.B také používají síť pro sdílení souborů SoulSeek P2P.

12. února byl objeven W32 / Nachi.B.worm. Stejně jako jeho předchůdce, W32 / Nachi.A.worm (také známý jako Welchia), se Nachi.B šíří využíváním zranitelností RPC / DCOM a WebDAV. Přestože je Nachi.B stále virus / červ, pokouší se odstranit MyDoom a uzavřít zranitelnosti. V pátek 13. února se Nachi.B dostala na místo č. 2 na seznamech hrozeb dodavatelů (Trend, McAfee). Protože nepoužívá e-mail, nebude se zobrazovat na seznamu deseti nejlepších virů e-mailových zpráv MessageLabs. Prevence infekce Nachi.B je stejná jako v případě Nachi.A. Všechny aktuální opravy zabezpečení systému Windows použijte k uzavření slabých míst. Další informace naleznete v části Největší hrozba.

V pátek 13. února jsme viděli další harpunu MyDoom, W32 / DoomHunt.A. Tento virus používá backdoor MyDoom.A a vypíná procesy a odstraňuje klíče registru spojené s jeho cílem. Na rozdíl od Nachi.B, který pracuje tiše na pozadí, DoomHunt.A objeví dialogové okno s hlášením „MyDoom Removal Worm (DDOS RIAA)“. Nainstaluje se do složky Windows System jako zřejmý Worm.exe a přidá klíč registru s hodnotou „Delete Me“ = "worm.exe". Odstranění je stejné jako jakýkoli červ, zastavte proces worm.exe, skenujte pomocí antiviru, odstraňte soubor Worm.exe a všechny související soubory a odstraňte klíč registru. Samozřejmě se ujistěte, že jste aktualizovali svůj počítač pomocí nejnovějších oprav zabezpečení.

I když není možné přesně vědět, odhady se pohybovaly od 50 000 do 400 000 aktivně infikovaných počítačů MyDoom.A. Doomjuice se mohla šířit pouze přístupem k zadním dveřím MyDoom, takže neinfikovaní uživatelé nebyli ohroženi a infekce byly vyčištěny, pole dostupných strojů by kleslo. Jedním nebezpečím je však to, že zatímco MyDoom.A bylo naplánováno zastavit útoky DoS 12. února, Doomjuice nemá časový limit. Minulý týden jsme zmínili, že se při animaci MessageLabs Flash rozvinula exploze MyDoom.A a slíbili jsme ji, že ji uvidí všichni. Tady to je.

Společnost Microsoft tento týden oznámila další tři chyby zabezpečení a vydala opravy. Dvě jsou důležitou prioritou úrovně a jedna kritická úroveň. Největší zranitelnost zahrnuje knihovnu kódů v systému Windows, která je ústřední pro zabezpečené webové a místní aplikace. Další informace o zranitelnosti, jejích důsledcích a tom, co musíte udělat, najdete v naší zvláštní zprávě. Další dvě chyby zabezpečení zahrnují službu Windows Internet Naming Service (WINS) a druhá je ve verzi Virtual PC pro Mac. Další informace naleznete v části Aktualizace zabezpečení systému Windows.

Pokud to vypadá jako kachna, chodí jako kachna a šokuje jako kachna, je to kachna nebo virus? Možná, že ne, ale AOL varoval uživatele (Obrázek 1), aby neklikali na zprávu, která minulý týden dělala kola prostřednictvím Instant Messenger.

Zpráva obsahovala odkaz, který nainstaluje hru, buď Capture Saddam nebo Night Rapter, v závislosti na verzi zprávy (obrázek 2). Hra zahrnovala BuddyLinks, technologii podobnou viru, která automaticky odesílá kopie zprávy všem na váš seznam kamarádů. Tato technologie provádí virovou marketingovou kampaň pomocí své automatické kampaně na zprávy a odesílá vám reklamu a může unést (přesměrovat) váš prohlížeč. V pátek byly jak webové stránky hry (www.wgutv.com), tak i stránky Buddylinks (www.buddylinks.net) zrušeny a společnost Buddylinks založená v Cambridge nevracela telefonní hovory.

Aktualizace: Minulý týden jsme vám řekli o falešném webu, který není e-mailem, který slibuje snížení spamu, ale ve skutečnosti byl sběratelem e-mailové adresy pro spammery. Tento týden uvádí zpráva Reuters, že Federální obchodní komise USA varuje: „Spotřebitelé by neměli zasílat své e-mailové adresy na web, který slibuje snížení nežádoucího„ spamu “, protože je podvodný. V tomto článku je popsán web a doporučuje se, jak jsme byli, „nechat si své osobní informace pro sebe - včetně vaší e-mailové adresy - pokud nevíte, s kým jednáte.“

Ve čtvrtek 12. února společnost Microsoft zjistila, že část jeho zdrojového kódu cirkuluje na webu. Trasovali to k MainSoft, společnosti, která vyrábí rozhraní Windows-Unix pro aplikační programátory Unix. MainSoft licencoval zdrojový kód systému Windows 2000, konkrétně část, která se týká API (rozhraní aplikačního programu) systému Windows. Podle příběhu eWeek není kód úplný nebo kompilovatelný. Zatímco rozhraní API systému Windows je dobře publikováno, zdrojový kód podkladu není. Rozhraní API je kolekce kódových funkcí a rutin, které provádějí úkoly spojené se spuštěním systému Windows, například umísťování tlačítek na obrazovku, zabezpečení nebo zapisování souborů na pevný disk. Mnoho zranitelností v systému Windows pramení z nekontrolovaných vyrovnávacích pamětí a parametrů těchto funkcí. Tato zranitelnost často zahrnuje předávání speciálně vytvořených zpráv nebo parametrů těmto funkcím, což způsobuje jejich selhání a otevření systému exploataci. Protože většina kódu systému Windows 2000 je také začleněna do serverů Windows XP a Windows 2003, může mít zdrojový kód možnost, aby autoři virů a škodliví uživatelé snadněji našli díry v určitých rutinách a využívali je. Ačkoli zranitelnosti obvykle identifikují zdroje společnosti Microsoft nebo třetí strany dříve, než se stanou veřejnými, což dává čas na vydávání oprav, může to tento postup obrátit na hlavu a hackeři tak mohou odhalit a zneužít zranitelnosti dříve, než je Microsoft najde a opraví.