Ötödik hónapja az élen az Autorun - Az ESET 2012 szeptemberi vírus jelentése

Előző havi összesítésünkhöz képest drámai változások nem történtek, az Autorun vírus érdekes módon újabb egy hónappal meghosszabbította ideglenes állomásozását a vezető helyen, míg a Conficker féreg a korábbi harmadik helyről éppen csak a negyedik helyre csúszott vissza. Második helyre lépett viszont elő a HTML/ScrInject trójai, amely telepítése során egy üres (c:\windows\blank.html) állományt jelenít meg a fertőzött gép böngészőjében, majd hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni. A lista első felén elhelyezkedő kártevők ellen összességében a naprakész vírusirtó mellett a Windows frissítések azonnali letöltése, illetve az internetezés közbeni óvatosság, valamint a scriptek automatikus futtatását gátló egyedi böngészőkiegészítők használata nyújthat megfelelő orvosságot. A lista második felében a sorrend egyáltalán nem is változott, így a Win32/Dorkbot féreg is őrzi előző hónapban kiharcolt hetedik helyét. Vele kapcsolatban azt érdemes kiemelni, hogy cserélhető adathordozók segítségével terjed és tartalmaz egy olyan hátsóajtó komponenst is, melynek segítségével távolról átvehető az irányítás a fertőzött számítógép felett, illetve összegyűjti az adott gépről a weboldalakhoz tartozó felhasználói neveket és jelszavakat, majd ezeket megkísérli egy távoli gépre elküldeni. A Win32/Qhost trójai továbbra is a nyolcadik helyen található, fertőzött e-mail üzenetek mellékleteiben terjedve ugyancsak hátsó ajtót nyit a gépen. Az ESET Global Trends Report ehavi kiadásában ezúttal is igyekszik kiragadni az utóbbi időszak IT incidensekkel kapcsolatos különlegességeket, így ebben a hónapban a korábbi ACAD/Medre AutoCAD rajzokat lopó trójaival kapcsolatos összefoglaló mellett a kártevők visszafejtés elleni védelmének fejlődése szerepelt a terítéken. A DOS és Windows korszak hajnalán elég volt egy egyszerű Debugger és viszonylag könnyen lehetett elemezni, visszafejteni a kártékony kódokat. Ám egy idő után különféle trükköket vetettek be a kártevők szerzői, így az EXE fájlok fejlécének módosításától kezdve a különféle futtatható állományokat tömörítő segédprogramokon át a virtuális gép- vagy debug környezet érzékeléséig mindent bevetettek a víruslaborok munkájának nehezítése érdekében. Ebbe a sorba lépett aztán később a fejlett titkosítás, a kernel módú rootkitek fokozatos elterjedése, valamint a főleg scriptek esetében alkalmazott úgynevezett obfuscating technika, melyet leginkább kódösszezavarásnak fordíthatnák. Ez utóbbi olyan módon zagyválja össze a futó kódot, hogy változatlan futás mellett annak olvashatóságát, visszafejthetőségét a lehető legnagyobb mértékben megnehezítse. A legutóbbi idők botnetes kártevői pedig - például a Rovnik, Sirefef vagy a Flame - már egészen komoly visszafejtés elleni védelemmel vannak felvértezve, rejtett fájlrendszer kezelésére is képesek, és olyan komplex, nem szabványos függvény hívásokkal, trükkökkel is operálnak, amelyek már egészen komoly kihívások elé állítják a vírusirtócégek profi elemzőlaborjait, forensic szakembereit. http://blog.eset.com/2012/10/11/defeating-anti-forensics-in-contemporary-complex-threats Bár rendszeresen számolunk be különféle Facebook-kal kapcsolatos átverésékről, incidensekről, a legelszomorítóbb mégis az, ha ezek közül valamelyik módszer újra és újra változatlan formában bukkan fel. Szeptemberi fontosabb blogposztjainkat áttekintve az átszínezett Facebook csalás egy ilyen gumicsont, amely rendszeresen felbukkan azzal hitegetve a naiv gyanútlan felhasználókat, hogy egy alkalmazás telepítésével arany, rózsaszín vagy éppen fekete színűvé változtathatjuk át a szokásos kék felületet. Ám aki mindezt elhiszi és telepíti rosszul jár, mert egyrészt az átverést a nevünkben továbbküldi összes ismerősünknek, másrészt az új alapszínek helyett nyereményjátékokkal kecsegtető oldalakra továbbít bennünket, ahol aztán vég nélkül különböző kérdőíveket kell kitöltögetni. http://antivirus.blog.hu/2012/09/24/szinezd_ujra_szinezd_ujra_152 Örömmel számoltunk be arról is, hogy az ESET Android alapú terméke, az ESET Mobile Security szeptemberben kiváló minősítést kapott a vírusirtókat tesztelő független AV-Comparatives legutóbbi mobil védelmi megoldásokat vizsgáló tesztjében. A tesztelőcég tanulmánya olyan fontos funkciók alapján elemez, mint a vírus- és kémprogramvédelem, a spam és a lopás elleni védelem, a SIM kártya azonosítás, valamint a telefonok távoli lezárásának és a rajta tárolt adatok törlésének lehetősége. Az ESET terméke az összes modern biztonsági elemet tartalmazza, melyre egy mai okostelefonnak szüksége van, és jó hír lehet, hogy a közeljövőben tervezik megjelentetni az üzleti ügyfeleknek szánt Android operációs rendszeren működő ESET Endpoint Securitymobil biztonsági szoftvert. http://antivirus.blog.hu/2012/09/14/eset_mobile_security_a_legkomplexebb_vedelem Beszámoltunk emellett arról is, hogy felmérések szerint a Kínából származó új számítógépek egy része folyamatosan fertőzött, és ezek rendre botnetes fertőzést okoznak. Az előtelepítés ha mondjuk operációs rendszerről van szó, jó dolog, ám vírus esetében ez már korántsem annyira kellemes. A gépek körülbelül húsz százalékára kerül rendszeresen valamilyen botnetes kártevő, amellyel átvehető távolról a vezérlés, és a fertőzött PC-k akár DDoS támadásokban is vehetnek részt a tulajdonos tudta nélkül. Legutóbb például a hamisított Windows operációs rendszerben egy botnetes Nitol nevezetű rosszindulatú kód volt megtalálható. http://antivirus.blog.hu/2012/09/17/potyautasok_a_gyari_hardvereken Végül, de nem utolsó sorban beszámoltunk arról az USSD sebezhetőségről is, melynek segítségével egyes Androidot futtató, például Samsung és HTC modellek tartalmát távolról törölni lehet. Az USSD (Unstructured Supplementary Service Data) kódok (a kódok csillaggal (*) kezdődnek, majd kettős kereszttel (#) vagy számokkal folytatódnak, melyekhez parancsok vagy adatok tartoznak, és a végét is egy kettős kereszt zárja) célja, hogy a távközlési szolgáltatók távolról is támogatni tudják a telefonkészülékeket. Ilyen kód például az IMEI szám, vagy a telefonok gyári beállításainak visszaállításához használt kód is. Így, ha ilyen aktivitásokat kezdeményeznek a telefonunkon, a hackerek képesek adatokat törölni róla, vagy akár újra tudják indítani készülékünket. Szerencsére a problémára az ESET kutatói is felfigyeltek, és elérhetővé tették a Google Playen az ESET USSD Control nevű ingyenes védelmi alkalmazást, amely a gyanús telefonszámokat USSD kódjuk alapján kiszűri és ellenőrzi még mielőtt az okostelefon tárcsázója hívná azokat. A program minden rosszindulatúnak látszó USSD kód felfedezésekor figyelmeztet és blokkolja a parancs végrehajtását. http://antivirus.blog.hu/2012/09/27/sebezheto-e_vagy