A Conficker a legkedveltebb számítógépes féreg

Mi más magyarázná 8 hónapos veretlenségét, hiszen értelmes emberek vagyunk, nem ragaszkodhatunk ennyire egy kártevőhöz! – vagy mégis? – Rita megjegyzése

A Conficker féreg már nyolcadik hónapja őrzi vezető helyét a magyarországi vírustoplistán, mellette az élmezőny első öt tagja változatlanul tartja pozícióját. Mindössze egyetlen újonc trójai tudott felkapaszkodni a 10-es toplistára, az is csak nyolcadik helyig jutott. Ám ha az egyszer csak lekapcsolja a gépünket, sokáig emlegetni fogjuk.

Az ESET minden hónapban összeállítja a Magyarországon terjedő számítógépes vírusok toplistáját, melynek elemzése tanulsággal szolgálhat a felhasználók számára. A magyar lista első helyét 2009. október óta a Conficker féreg tartja, amely az operációs rendszer frissítéseinek hiányát, a gyenge admin jelszavakat és az automatikus futtatás lehetőségét kihasználva terjed.

Mintha megállt volna az idő, az első öt kártevő nem akar moccanni helyéről a toplistán, a megtévesztésre utazó trójai programok pedig megint jelentős többséggel, hatan is képviseltetik magukat az első tízben.

Érdekes szereplők

Az előző hónaphoz képest eggyel előrébb, a negyedik helyre lépett az első ízben 2009 júliusában listára kerülő Win32/Mebroot trójai. A kellemetlen kártevő törölheti a merevlemez partíciós tábláját, és így könnyen adatvesztést okozhat.

Maradt kilencedik helyen a Win32/Packed.Autoit trójai, amely működése során hátsó ajtót nyit a megtámadott gépen, majd több különféle weboldalhoz kísérel meg csatlakozni, és azokról további kártékony kódokat tölt le.

A bevezetőben már emlegetett újonc a nyolcadik helyet elfoglaló Win32/Shutdowner trójai. Fertőzés esetén módosítja a rendszerleíró adatbázisban az automatikus lefutás egy kulcsát, hogy a kártevő minden rendszerindításkor lefuthasson. Rootkit komponensének köszönhetően elrejti az állományokat a fájlkezelő alkalmazások elől, még akkor is, ha nincsenek ellátva rejtett attribútummal. Legfőbb és legszembetűnőbb hatása azonban az, hogy büntetőrutinja lekapcsolja az éppen futó Windows rendszert, és ezzel egyrészt megzavarja a munkát, de akár adatvesztést is okozhat. Aki figyelemmel kíséri a számítógépes kártevők történetét, az talán még emlékszik a hasonlóan zavaró, 2003-ban megjelent Blaster (Lovsan) féregre, amely egy üzenetablakban visszaszámolt, és szintén lekapcsolta a gépünket.

Az ESET több százezer magyarországi felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2010 májusában az alábbi 10 károkozó terjedt a legnagyobb számban. Ezek együttesen az összes fertőzés 27.43%-ért voltak felelősek.

1. Win32/Conficker féreg

Elterjedtsége a májusi fertőzések között: 6.31%

Működés: A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows MS08-067 biztonsági bulletinben tárgyalt hibát kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségre építve a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját. A Conficker először betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos antivírus cég honlapja elérhetetlenné válik a megfertőzött számítógépen.

A számítógépre kerülés módja: változattól függően a felhasználó maga telepíti, vagy pedig egy biztonsági résen keresztül felhasználói beavatkozás nélkül magától települ fel, illetve automatikusan is elindulhat hordozható a külső meghajtó fertőzött Autorun állománya miatt.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21conficker

2. Win32/Agent trójai

Elterjedtsége a májusi fertőzések között: 5.04%

Működés: Ezzel a gyűjtőnévvel azokat a rosszindulatú kódokat jelöljük, amelyek a felhasználók információit lopják el. Jellemzően ez a kártevőcsalád mindig ideiglenes helyekre (például Temp mappa) másolja magát, majd a rendszerleíró-adatbázisban elhelyezett kulcsokkal gondoskodik arról, hogy minden indításkor lefuttassa saját kódját. A létrehozott állományokat jellemzően .dat illetve .exe kiterjesztéssel hozza létre.

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21agent

3. INF/Autorun vírus

Elterjedtsége a májusi fertőzések között: 4.90%

Működés: Az INF/Autorun egyfajta gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul.

A számítógépre kerülés módja: fertőzött adathordozókon (akár MP3-lejátszókon) terjed.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/autorun

4. Win32/PSW.OnLineGames trójai

Elterjedtsége a májusi fertőzések között: 3.51%

Működés: Ez a kártevőcsalád olyan trójai programokból áll, amelyek billentyűleütés-naplózót (keylogger) igyekszenek gépünkre telepíteni. Az ide tartozó károkozóknak rootkit komponense is van, amelynek segítségével igyekszik állományait, illetve működését a fertőzött számítógépen leplezni, eltüntetni. Ténykedése jellemzően az online játékok jelszavainak ellopására, majd a jelszóadatok titokban történő továbbküldésére fókuszál. A bűnözők ezzel a módszerrel jelentős mennyiségű lopott jelszóhoz juthatnak hozzá, amelyeket aztán alvilági csatornákon továbbértékesítenek.

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21psw-onlinegames

5. INF/Conficker vírus

Elterjedtsége a májusi fertőzések között: 2.19%

Működés: Amennyiben böngészés során az autorun.inf fájl valamely egység főkönyvtárába kerül, akkor a betöltő eléri, hogy a kártevő kódja induljon el. Vagyis az INF/Confickernek az a szerepe, hogy betöltse magát a Win32/Conficker kártevőt.

A számítógépre kerülés módja: fertőzött weblapról, vagy külső eszközön keresztül.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/conficker

6. Win32/VB.EL féreg

Elterjedtsége a májusi fertőzések között: 1.72%

Működés: A VB.EL (vagy más néven VBWorm, SillyFDC) féreg hordozható adattárolókon és hálózati meghajtókon terjed. Fertőzés esetén megkísérel további káros kódokat letölteni az 123a321a.com oldalról. Automatikus lefuttatásához módosítja a Windows Registry HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run bejegyzését is. Árulkodó jel lehet a sal.xls.exe állomány megjelenése a C: és minden további hálózati meghajtó főkönyvtárában.

A számítógépre kerülés módja: fertőzött adattároló (USB kulcs, külső merevlemez stb.) csatlakoztatásával terjed.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21vb

7. Win32/Packed.Autoit trójai

Elterjedtsége a májusi fertőzések között: 1.05%

Működés: A Win32/Packed.Autoit fájlokat hoz létre a C:\Windows\System32 mappában különböző neveken, például autorun.inf, winlog0n.exe, svch0st.exe. A kártékony EXE fájlok automatikus lefuttatásához külön Registry bejegyzéseket is készít. Működése során hátsó ajtót nyit a megtámadott gépen, több különféle weboldalhoz kísérel meg csatlakozni, majd azokról további kártékony kódokat tölt le.

A számítógépre kerülés módja: a felhasználó maga telepíti

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21packed-autoit

8. Win32/Shutdowner trójai

Elterjedtsége a májusi fertőzések között: 1.00%

Működés: A Win32/Shutdowner trójai fertőzés esetén módosítja a Registryben az automatikus lefutás egy kulcsát, hogy a kártevő minden rendszerindításkor lefuthasson. Rootkit komponenssel is rendelkezik, így működése során fájlokat rejt el a fájlkezelő alkalmazások elől, még akkor is, ha ezek az állományok nincsenek ellátva rejtett attribútummal. Legfőbb és legszembetűnőbb hatása, hogy büntetőrutinja lekapcsolja az éppen futó Windows rendszert, és ezzel zavarja a munkát, de akár adatvesztést is okozhat.

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/shutdowner-aa

9. Win32/Mebroot trójai

Elterjedtsége a májusi fertőzések között: 0.87%

Működés: A Win32/Mebroot.K trójai elsődleges célja, hogy további számítógépeket fertőzzön meg. Ehhez az ideiglenes (Temp) mappában létrehoz egy <szám>.tmp nevű fájlt, valamint a rendszerleíró adatbázisba számos bejegyzést hoz létre, illetve módosítja azokat, ha már léteznek. Ezenkívül megkísérel a google.com webcímre is csatlakozni. Működése során tönkreteszi a merevlemez partíciós tábláját.

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ:

http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21mebroot

10. Win32/Tifaut trójai

Elterjedtsége a májusi fertőzések között: 0.84%

Működés: A Wind32/Tifaut fájlokat hoz létre a C:\Windows\System32 mappában csrcs.exe és autorun.inf néven. A kártékony EXE fájl automatikus lefuttatásához külön Registry bejegyzést is készít. Működése során több különféle weboldalhoz kísérel meg csatlakozni, és azokról további kártékony kódokat tölt le.

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21tifaut

Toplistán a merevlemezt is törlő vírus

(Avagy: nem csak rosszul hangzik, az is!)

Az ESET szakértői szerint a vírusfertőzések többségét a múlt hónapban is meg lehetett volna előzni, ha a felhasználók frissítik az operációs rendszerüket és fontos alkalmazásaikat. A tét ráadásul most megnőtt, a magyar vírustoplista 9. helyére került Mebroot.K ugyanis törölheti a merevlemez partíciós tábláját.

Az ESET minden hónapban összeállítja a Magyarországon terjedő számítógépes vírusok toplistáját, melynek elemzése több tanulsággal szolgál a felhasználók számára.

A múlt hónapban listavezető pozíciót elért Conficker 2008 novemberében bukkant fel, és azóta rendszeresen szerepel a magyarországi vírustoplistákon. A kártevő egy olyan hálózati féreg, amely a Microsoft Windows egy biztonsági hibáját kihasználó kóddal terjed. Bár a Microsoft már tavaly októberben kiadta a megfelelő javítócsomagot, sok felhasználó nem fordít figyelmet az operációs rendszer frissítésére. A Conficker így hazánk mellett több országban – például Brazíliában, Ukrajnában és az Egyesült Államokban – is listavezető. (Szégyen… a szerk.)

A júliusi toplista második helyére az Autorun/Inf fertőzés került, mely gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó kórokozóknak. Az ESET szakértői szerint már nem csupán az USB kulcsok, de az USB portba csatlakoztatható MP3 lejátszók is hordozhatják a fertőzést, mely ellen a legegyszerűbben az automatikus futtatási funkció letiltásával védekezhetnének a felhasználók.

Végül a legérdekesebb a lista új szereplője, a Win32/Mebroot.K trójai. Bár a kártevő már közel egy éves ismert, most mégis felkerült a toplista 9. helyére. A trójai amellett, hogy további kártékony kódokat igyekszik letölteni a megfertőzött számítógépre, tönkreteheti a merevlemez partíciós tábláját is, ami azzal jár, hogy nem tudunk hozzáférni az adatainkhoz. (És persze kiket fertőz halomra tapasztalatom szerint? A kezdő felhasználókat…)

Végezetül következzen a magyarországi toplista. Az ESET több százezer magyarországi felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2009 júliusában az alábbi 10 károkozó terjedt a legnagyobb számban hazánkban. Ezek együttesen 35,20%-ot tudtak a teljes tortából kihasítani maguknak.

1. Win32/Conficker.AA féreg

Elterjedtsége a júliusi fertőzések között: 6,45%

Működés: A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows legfrissebb biztonsági hibáját kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségre építve a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját. A Conficker először betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos vírusvédelmi webcím is elérhetetlenné válik a megfertőzött számítógépen.

Win32/Conficker.AA féreg
Win32/Conficker.AA féreg

A számítógépre kerülés módja: változattól függően a felhasználó maga telepíti, vagy pedig egy biztonsági résen keresztül felhasználói beavatkozás nélkül magától települ fel, illetve automatikusan is elindulhat hordozható külső meghajtó fertőzött Autorun állománya miatt.

Bővebb információ: http://www.eset.hu/virus/conficker-aa

2. INF/Autorun vírus

Elterjedtsége a júliusi fertőzések között: 5,04%

Működés: Az INF/Autorun egyfajta gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul.

INF/Autorun vírus
INF/Autorun vírus

A számítógépre kerülés módja: fertőzött adathordozókon (akár MP3 lejátszókon) terjed.

Bővebb információ: http://www.eset.hu/virus/autorun

3. Win32/TrojanDownloader.Bredolab.AA trójai

Elterjedtsége a júliusi fertőzések között: 4,29%

Működés: A Win32/TrojanDownloader.Bredolab.AA egy olyan trójai program, mely távoli oldalakról további kártékony kódokat tölt le és hajt végre. Futása közben a Windows, illetve a Windows/System32 mappákba igyekszik új kártékony állományokat létrehozni. Emellett a Registry adatbázisban is a bejegyzéseket manipulál, egészen pontosan kulcsokat készít, illetve módosít a biztonságitámogatás-szolgáltató (SSPI – Security Service Provider Interface) szekcióban. Ez a beállítás felel eredetileg a felhasználó hitelesítő adatainak továbbításáért az ügyfélszámítógépről a célkiszolgálóra.

Win32/TrojanDownloader.Bredolab.AA trójai
Win32/TrojanDownloader.Bredolab.AA trójai

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.

Bővebb információ: http://www.eset.hu/virus/trojandownloader-bredolab-aa

4. Win32/Adware.Virtumonde alkalmazás

Elterjedtsége a júliusi fertőzések között: 4,05%

Működés: A Virtumonde (Vundo) program a kéretlen alkalmazások (Potentially Unwanted) kategóriájába esik az ESET besorolása szerint. A károkozó elsődleges célja kéretlen reklámok letöltése a számítógépre. Működés közben megkísérel további kártékony komponenseket, trójai programokat letöltő webcímekre csatlakozni. Futása közben különféle felnyíló ablakokat jelenít meg. A Win32/Adware.Virtumonde trójai a Windows System32 mappájában véletlenszerűen generált nevű fájl(oka)t hoz létre.

Win32/Adware.Virtumonde
Win32/Adware.Virtumonde

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.

Bővebb információ: http://www.eset.hu/virus/adware-virtumonde

5. Win32/Kryptik trójai

Elterjedtsége a júliusi fertőzések között: 3,18%

Működés: A trójai nem rendelkezik saját magát telepítő kódrészlettel, azt a felhasználó maga tölti le és indítja el. A megtámadott számítógépről információkat próbál gyűjteni, amelyeket véletlenszerűen generált néven .htm, illetve .png kiterjesztésű fájlokban tárol el, és azokat különféle weboldalak felé igyekszik továbbítani.

Azért, hogy a trójai gondoskodjon saját indításáról minden egyes rendszerindítás esetén, a rendszerleíró adatbázisban több különböző bejegyzést hoz létre. Emellett hátsó ajtót is nyit, melyen keresztül a távoli támadó később is könnyen hozzáfér a megfertőzött számítógéphez.

Win32/Kryptik trójai
Win32/Kryptik trójai

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.

Bővebb információ: http://www.eset.hu/virus/kryptik-gt

6. Win32/Agent trójai

Elterjedtsége a júliusi fertőzések között: 3,04%

Működés: Ezzel a gyűjtőnévvel azokat a rosszindulatú kódokat jelöljük, amelyek a felhasználók információit lopják el. Jellemzően ez a kártevő család mindig ideiglenes helyekre (Temporary mappa) másolja magát, majd a rendszerleíró adatbázisban elhelyezett Registry kulcsokkal gondoskodik arról, hogy minden rendszerindításkor lefuttassa saját kódját. A létrehozott állományokat jellemzően .dat illetve .exe kiterjesztéssel hozza létre.

Win32/Agent trójai
Win32/Agent trójai

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ: http://www.eset.hu/virus/agent

7. Win32/PSW.OnLineGames.NMY trójai

Elterjedtsége a júliusi fertőzések között: 3,01%

Működés: Ez a kártevő család olyan trójai programokból áll, amelyek billentyűleütés-naplózót (keylogger) igyekszenek gépünkre telepíteni. Gyakran rootkit komponense is van, amelynek segítségével igyekszik állományait, illetve működését a fertőzött számítógépen leplezni, eltüntetni. Ténykedése jellemzően az online játékok jelszavainak begyűjtésére, ezek ellopására, és a jelszóadatok titokban történő továbbküldésére fókuszál. A távoli támadók ezzel a módszerrel jelentős mennyiségű lopott jelszóhoz juthatnak hozzá, amelyeket aztán alvilági csatornákon értékesítenek.

Win32/PSW.OnLineGames.NMY trójai
Win32/PSW.OnLineGames.NMY trójai

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ: http://www.eset.hu/virus/psw-onlinegames-nmy

8. WMA/TrojanDownloader.GetCodec.gen trójai

Elterjedtsége a júliusi fertőzések között: 2,74%

Működés: Számos olyan csalárd módszer létezik, melynél a kártékony kódok letöltésére úgy veszik rá a gyanútlan felhasználót, hogy ingyenes és hasznosnak tűnő alkalmazást kínálnak fel neki letöltésre és telepítésre. Az ingyenes MP3 zenéket ígérő program mellékhatásként azonban különféle kártékony komponenseket telepít a Program Files\VisualTools mappába, és ezekhez tucatnyi Registry bejegyzést is létrehoz. Telepítése közben és utána is kéretlen reklámablakokat jelenít meg a számítógépen.

 WMA/TrojanDownloader.GetCodec.gen trójai
WMA/TrojanDownloader.GetCodec.gen trójai

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ: http://www.eset.hu/virus/trojandownloader-getcodec-gen

9. Win32/Mebroot.K trójai

Elterjedtsége a júliusi fertőzések között: 1,71%

Működés: A Win32/Mebroot.K trójai elsődleges célja, hogy további számítógépeket fertőzzön meg. Ehhez az ideiglenes (Temporary) mappában létrehoz egy <szám>.tmp nevű fájlt, valamint a rendszerleíró adatbázisba számos  bejegyzést hoz létre, illetve módosítja azokat, ha már léteznek. Ezenkívül megkísérel a google.com webcímre is csatlakozni. Működése során tönkreteszi a merevlemez partíciós tábláját.

Win32/Mebroot.K trójai
Win32/Mebroot.K trójai

A számítógépre kerülés módja: a felhasználó maga telepíti.

Bővebb információ: http://www.eset.hu/virus/mebroot-k

10. Win32/Toolbar.MyWebSearch alkalmazás

Elterjedtsége a márciusi fertőzések között: 1,69%

Működés: Internet Explorer és Firefox alatt működő keresőszolgáltatás, amely kéretlenül reklámprogramokat helyez el a PC-n. Telepítésekor számtalan kulcsot módosít a rendszerleíró adatbázisban, és kéretlen reklámokat jelenít meg az adott számítógépen. Az alkalmazás figyeli a felhasználó böngészési szokásait, és adatokat gyűjt ezekről, de működésével lassítja a számítógépet is. Ezenkívül megváltoztatja a böngésző kereséssel kapcsolatos beállításait és az alapértelmezett kezdőlapot is.

Win32/Toolbar.MyWebSearch alkalmazás
Win32/Toolbar.MyWebSearch alkalmazás

A számítógépre kerülés módja: a felhasználó maga tölti le és futtatja.

Bővebb információ: http://www.eset.hu/virus/toolbar-mywebsearch

Senki nem születik profi felhasználónak, de az nem mindegy, hogy honnan szeded össze az alapokat! Mi összeszedtük és egy anyagba rendeztük a legfontosabb, leglényegesebb, leghasznosabb tudnivalókat, a PC Start anyagban. Kattints ide, és nézd meg a részleteket>>

Vidi Rita

Vírus Kommandó Blog