Šis kirminas nori tik išgydyti

Turinys

• Šis širdys nori tik išgydyti
• Viršutinis grėsmė W32 / Nachi.B-sliekas
• 10 populiariausių el. Pašto virusų
• 5 geriausi pažeidžiamumai
• Saugos patarimas
• „Windows“ saugos naujiniai
• Žargonas Busteris
• „Security Watch“ istorijos sklaidos kanalas

Šis širdys nori tik išgydyti

Pirmiausia buvome „MyDoom.A“ sprogimo liudininkai ir po to įvykusios „Denial of Service“ atakos, kuri dviem savaitėms ištvėrė „Santa Cruz Operation“ (sco.com) svetainę. Tada kartu pasirodė „MyDoom.B“, kuris pridėjo „Microsoft.com“ kaip DoS atakos taikinį. Kol „MyDoom.A“ ėmėsi keršto, „MyDoom.B“, kaip ir „B“ filmas, buvo niūrus. Pasak „MessageLabs“ atstovo Marko Sunnerio, „MyDoom.B“ turėjo klaidų kode, dėl kurių ji buvo sėkminga tik 70% SCO ir 0% atakos metu „Microsoft“. Jis taip pat sakė, kad yra daugiau šansų skaityti apie „MyDoom.B“, nei sugauti.

Praėjusią savaitę matėme virusų sprogimą, skriejantį ant „MyDoom.A“ paltų uodegos, kurią sėkmingai perėmė šimtai tūkstančių mašinų. Pirmasis į sceną pateko „Doomjuice.A“ (dar vadinamas „MyDoom.C“). „Doomjuice.A“ nebuvo dar vienas el. Pašto virusas, tačiau pasinaudojo užpakaliniu duriu, kurį „MyDoom.A“ atidarė užkrėstuose kompiuteriuose. „Doomjuice“ atsisiųstų į „MyDoom“ užkrėstą kompiuterį ir, kaip ir „MyDoom.B“, įdėtų ir bandytų įvykdyti „DoS“ ataką „Microsoft.com“. Anot „Microsoft“, ataka neturėjo neigiamos įtakos aplink 9-ą ir 10-ą dieną, nors „NetCraft“ užfiksavo, kad „Microsoft“ svetainė vienu metu buvo nepasiekiama.

Antivirusiniai ekspertai mano, kad „Doomjuice“ buvo to paties (-ų) „MyDoom“ autoriaus (-ų) darbas, nes jis taip pat numeta originalo „MyDoom“ šaltinio kopiją aukos mašinoje. Kaip rašoma „F-Secure“ pranešime spaudai, tai gali būti būdas autoriams aprėpti savo kūrinius. Tai taip pat išleidžia veikiantį šaltinio kodo failą kitiems virusų rašytojams, kad jie galėtų naudoti arba modifikuoti. Taigi „MyDoom.A“ ir „MyDoom.B“, kaip ir patys „Microsoft Windows“ bei „Office“, dabar tapo kitų virusų plitimo platforma. Praėjusią savaitę pastebėjome W32 / Doomjuice.A, W32 / Doomjuice.B, W32 / Vesser.worm.A, W32 / Vesser.worm.B, exploit-MyDoom - Proxy-Mitglieter Trojos variantas., W32 / Deadhat.A ir W32 / Deadhat.B, visi įeina į „MyDoom“ galinį durį. Vesser.worm / DeadHat.B taip pat naudokitės „SoulSeek P2P“ failų mainų tinklu.

Vasario 12 d. Buvo rastas W32 / Nachi.B. kirminas. Kaip ir jo pirmtakas, W32 / Nachi.A.worm (dar žinomas kaip Welchia), Nachi.B plinta išnaudodamas RPC / DCOM ir WebDAV spragas. Kol tebėra virusas / kirminas, „Nachi.B“ bando pašalinti „MyDoom“ ir uždaryti spragas. Iki penktadienio, vasario 13 d., „Nachi.B“ pateko į populiariausių pardavėjų grėsmių sąrašų („Trend“, „McAfee“) antrąją vietą. Kadangi jis nenaudoja el. Pašto, jis nebus rodomas mūsų „MessageLabs“ dešimtuke el. Pašto virusų sąraše. Užkirsti kelią „Nachi.B“ infekcijai yra tokia pati, kaip ir „Nachi.A“. Norėdami pašalinti pažeidžiamumą, pritaikykite visus dabartinius „Windows“ saugos pataisas. Norėdami gauti daugiau informacijos, žiūrėkite mūsų aukščiausią grėsmę.

Vasario 13 d., Penktadienį, pamatėme dar vieną „MyDoom“ harpūną - W32 / DoomHunt.A. Šis virusas naudoja „MyDoom.A“ užpakalinę dalį, sustabdo procesus ir ištrina su tikslu susijusius registro raktus. Skirtingai nuo „Nachi.B“, tyliai veikiančio fone, „DoomHunt.A“ pasirodo dialogo langas, skelbiantis „MyDoom šalinimo kirminas (DDOS the RIAA)“. Įdiegia save į „Windows System“ aplanką kaip akivaizdų „Worm.exe“ ir prideda registro raktą, kurio vertė „Delete Me“ = „worm.exe“. Pašalinimas yra tas pats, kaip ir bet kurio kirmino, sustabdykite „worm.exe“ procesą, nuskaitykite naudodami antivirusinę programą, ištrinkite „Worm.exe“ failą ir visus susijusius failus ir pašalinkite registro raktą. Žinoma, būtinai atnaujinkite savo kompiuterį naudodami naujausius saugos pataisas.

Nors nėra galimybės tiksliai žinoti, skaičiavimai svyravo nuo 50 000 iki 400 000 aktyviai užkrėstų „MyDoom.A“ mašinų. „Doomjuice“ galėjo plisti tik pasiekęs „MyDoom“ užpakalines duris, taigi neužkrėsti vartotojai nebuvo rizikingi, o valydami infekcijas, turimų mašinų laukas sumažės. Tačiau pavojus yra tas, kad nors „MyDoom.A“ turėjo sustabdyti savo DoS atakas vasario 12 d., „Doomjuice“ neturi laiko. Praėjusią savaitę minėjome pamatyti „MyDoom.A“ sprogimą atsiskleidus „MessageLabs Flash“ animacijoje ir pažadėjome, kad jis bus visiems matomas. Štai jis.

„Microsoft“ paskelbė dar tris pažeidžiamumus ir šią savaitę išleido pataisas. Du svarbūs prioritetai yra vienas, o vienas - kritinis. Didžiausias pažeidžiamumas susijęs su „Windows“ kodų biblioteka, kuri yra svarbiausia saugioms žiniatinklio ir vietinėms programoms. Norėdami gauti daugiau informacijos apie pažeidžiamumą, jo padarinius ir tai, ką turite padaryti, skaitykite mūsų specialiojoje ataskaitoje. Kiti du pažeidžiamumai yra susiję su „Windows Internet Naming Service“ (WINS) paslauga, o kitas yra „Mac“ „Virtual PC“ versijoje. Norėdami gauti daugiau informacijos, skaitykite mūsų „Windows“ saugos naujinimų skyrių.

Jei jis atrodo kaip antis, vaikšto kaip antis, o quacks kaip antis, ar tai yra antis, ar virusas? Galbūt, galbūt ne, bet AOL įspėjo (1 pav.) Vartotojus nespustelėti pranešimo, kuris praėjusią savaitę sukūrė ratus per „Instant Messenger“.

Pranešime buvo nuoroda, kuri, priklausomai nuo pranešimo versijos, įdiegia žaidimą - „Capture Saddam“ arba „Night Rapter“ (2 paveikslas). Į žaidimą buvo įtraukta „BuddyLinks“ - virusų tipo technologija, kuri automatiškai siunčia pranešimo kopijas visiems jūsų bičiulių sąraše. Ši technologija vykdo virusinę rinkodarą naudodama savo automatizuotą pranešimų kampaniją, taip pat siunčia jums reklamas ir gali užgrobti (nukreipti) jūsų naršyklę. Nuo penktadienio žaidimų svetainė (www.wgutv.com) ir „Buddylinks“ svetainė (www.buddylinks.net) neveikė, o Kembridže įsikūrusi „Buddylinks“ įmonė negrąžino telefono skambučių.

Atnaujinimas: Praėjusią savaitę mes jums papasakojome apie suklastotą internetinę svetainę „Nesiųsti el. Pašto“, žadėdami sumažinti šlamštą, tačiau iš tikrųjų buvo šlamšto platintojų el. Pašto adresų kolekcionieriai. Šią savaitę „Reuters“ pasakojimas praneša, kad JAV federalinė prekybos komisija perspėja: „Vartotojai neturėtų pateikti savo el. Pašto adresų tinklalapiui, kuriame žadama sumažinti nepageidaujamą„ šlamštą “, nes jis yra apgaulingas“. Straipsnyje aprašoma svetainė ir rekomenduojama, kaip mes buvome, „saugoti asmeninę informaciją sau, įskaitant savo el. Pašto adresą, nebent jūs žinote, su kuo esate susijęs“.

Ketvirtadienį, vasario 12 d., „Microsoft“ sužinojo, kad dalis jos šaltinio kodo išplatėjo internete. Jie atsekė „MainSoft“ - įmonę, gaminančią „Windows – Unix“ sąsają „Unix“ programų programuotojams. „MainSoft“ licencijavo „Windows 2000“ šaltinio kodą, būtent tą dalį, kuri susijusi su „Windows“ API (programos programos sąsaja). Remiantis „eWeek“ istorija, kodas neišsamus ar nesuderinamas. Nors „Windows API“ yra gerai paskelbta, pagrindinis šaltinio kodas nėra. API yra kodo funkcijų ir rutinų rinkinys, vykdantis operacinės sistemos „Windows“ užduotis, tokias kaip mygtukų įdėjimas ekrane, saugumo užtikrinimas arba failų įrašymas į standųjį diską. Daugelį „Windows“ pažeidžiamumų lemia nepatikrinti šių funkcijų buferiai ir parametrai. Dažnai pažeidžiamumas susijęs su specialiai sukurtų pranešimų ar parametrų perdavimu šioms funkcijoms, dėl kurių jie sugenda ir atveria sistemą eksploatacijai. Kadangi didžioji „Windows 2000“ kodo dalis taip pat yra įtraukta į „Windows XP“ ir „Windows 2003“ serverius, turėdami šaltinio kodą virusų rašytojai ir kenksmingi vartotojai gali lengviau rasti skylių tam tikroje tvarkoje ir jas išnaudoti. Nors pažeidžiamumus paprastai nustato „Microsoft“ arba trečiųjų šalių šaltiniai, prieš jiems paskelbiant viešai, suteikiant laiko išleisti pataisas, tai gali paversti šią procedūrą galvą, leisdama įsilaužėliams atrasti ir išnaudoti pažeidžiamumus anksčiau nei „Microsoft“ juos suras ir pataisys.