Ez egy olyan fájlfertőző vírus, amelynek kódja minden rendszerindításkor lefutva DLL és EXE formátumú állományokat képes megfertőzni, valamint a HTM, illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetőséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszőleges kód futtatására nyílik lehetőség a fertőzött számítógépen.
És végül, de semmiképpen nem utolsó sorban látszólag nem képes hibázni az Autorun vírus. Érdekes módon 2011. április óta nem tud lekerülni a listánkról az Autorun vírus, sőt az előző havi 10-ik helyről most a 8-ik pozícióba merészkedett vissza.
A rekord hosszúságú szereplés okairól már többször is szót ejtettünk, hiszen már évek óta rendelkezésre áll a sebezhetőséget bezáró, illetve az automatikus indulást lekapcsoló biztonsági frissítés. Ám sajnos sokan ezt azóta sem futtatták le, részint lustaságból, részint mert az érintett gépek egy része valószínűleg illegális Windows példányt futtat. Emellett pedig számos felhasználónál futhat még a régi, már nem támogatott XP verzió is.
Az ESET Radar Report e havi kiadásában ezúttal folytatódik az előző hónapban megkezdett téma, amely az úgynevezett support csalásokról szól. Az ilyen típusú támadások sajnos már évek óta zajlanak világszerte. A módszer lényege, hogy elsősorban az angol nyelvterületen élő gyanútlan áldozat kap egy telefonhívást, melyben nem létező technikai hibára figyelmeztetik. A dolog apropója pedig az, hogy az FTC (U.S. Federal Trade Commission) azaz az amerikai fogyasztóvédelmi hatóság vizsgálatot folytat egy ilyen cég ellen. A gyanú szerint a New York-i székhelyű Pairsys Inc. cég iparszerűen űzte az ilyen jellegű csalásokat, és a Microsoft, illetve a Facebook technikai személyzetének kiadva magukat kiterjedt telemarketing rendszert üzemeltettek az ilyen hamis hívások nagy számban történő megvalósításához.
A mondvacsinált, nem létező problémák "kijavításáért" busás munkadíjat szedtek be az áldozatoktól, ez jellemzően 149 és 249 USD közötti összeg volt - mai árfolyamon körülbelül 37-62 ezer forintnak felel meg. Az üzletszerű csalásokról Brian Krebs biztonsági szakértő is rendszeresen publikál a blogjában, és bár eredetileg az USA volt a fellegvára az ilyen átveréseknek, egyre több jel mutat arra, hogy az érdemi "munkát" a bűnözők kiszervezik Indiába. Mi mindenesetre azt emeljük ki az ügy kapcsán, hogy érdemes óvatosnak lenni az ilyen kéretlen telefonhívások esetén, és gyanú esetén inkább egyszerűen tegyük le a kagylót, mielőtt valamilyen kémprogramra, kártevőre mutató oldalra navigálnak bennünket a hamis "segítők".
Emellett egy infografikán igyekszünk bemutatni a számítógépes kártevők történetét. Az összefoglalóból kiderül, hogy a kezdeti híres, hírhedt vírusokon, a világjárványt okozó férgeken át hogyan jutottunk el a rejtett kémprogramokig, vagy napjainkban egyre gyakoribb állami kártevőkig.
Az infograika az 1986-ban megjelent, és a vírustörténelem „nulla kilométerkövének” tartott pakisztáni Brain vírustól egészen napjaink, 2014-es botnetes kártevőkig tartó időszakot mutatja be igen látványosan.
Novemberi fontosabb blogposztjaink között Halloween alkalmával védelmi tippeket adtunk az ilyenkor fokozódó veszélyek miatt, és emellett összegyűjtöttük az eddigi öt legfélelmetesebb zombi botnetet is.
Emellett szót ejtettünk arról az újfajta social engineering trükkről is, melyben gyorshajtási bírsággal is terjed a CryptoLocker. Az ausztráliai Új-Dél-Walesben figyeltek fel ugyanis arra a módszerre, hogy az e-mailben terjedő üzenetekben hamis linkek segítségével egy állami hivatal nevével visszaélve igyekeztek a gyanútlan és talán gyorsan is hajtó felhasználók gépeire kártevőt letölteni.
Beszámoltunk ezenkívül arról is, hogy nem csak a tüdőre lehet káros az e-cigaretta, ez derült ki ugyanis a Guardian egyik cikkéből. A dolog lényege, hogy az Autorun vírus nem csak a klasszikus USB kulcs, memóriakártya, vagy külső merevlemez segítségével képes fertőzni, hanem például fényképezőgép, MP3 lejátszó, okosóra, digitális képkeret vagy akár az USB töltési lehetőséggel rendelkező e-cigaretta is jelenthet ilyen veszélyt.
Végül megemlítettünk egy érdekes brit felmérést is, melynek eredményeiből az látszik, hogy az ottani felnőtt lakosságból minden hatodik felhasználó szenvedett már el valamilyen kibertámadást. Az incidensek közül az adathalászat, a személyes adatok eltulajdonítása illetve banki adatok kifürkészése, manipulálása a leggyakoribb.
Sajnos azonban az is kiderült, hogy a felhasználók jelentős hányada egyáltalán nem is védi az eszközeit biztonsági alkalmazásokkal.
Vírustoplista:
Az ESET több millió felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2014. novemberében a következő 10 károkozó terjedt világszerte a legnagyobb számban, és volt együttesen felelős az összes fertőzés 16.39%-áért. Aki pedig folyamatosan és első kézből szeretne értesülni a legújabb Facebook-os kártevőkről, a közösségi oldalt érintő mindenfajta megtévesztésről, az csatlakozhat hozzánk az ESET Magyarország www.facebook.com/biztonsag, illetve az antivirusblog.hu oldalán.
01. HTML/Refresh trójai:
Elterjedtsége a novemberi fertőzések között: 3.13%
Működés: A HTML/Refresh egy olyan trójai család, amelyik észrevétlenül átirányítja a felhasználó böngészőjét különféle rosszindulatú web címekre. A kártevő jellemzően a manipulált weboldalak HTML kódjába beágyazva található.
02. Win32/Bundpil féreg:
Elterjedtsége a novemberi fertőzések között: 2.33%
Működés: A Win32/Bundpil féreg hordozható külső adathordozókon terjed. Futása során különféle átmeneti állományokat hoz létre a megfertőzött számítógépen, majd egy láthatatlan kártékony munkafolyamatot is elindít. Valódi károkozásra is képes, a meghajtóinkról az *.exe, *.vbs, *.pif, *.cmd kiterjesztésű és a Backup állományokat törölheti. Ezenkívül egy külső URL címről megkísérel további kártékony komponenseket is letölteni a HTTP protokoll segítségével, majd ezeket lefuttatja.
03. Win32/Adware.MultiPlug adware:
Elterjedtsége a novemberi fertőzések között: 1.93%
Működés: A Win32/Adware.MultiPlug egy olyan úgynevezett nemkívánatos alkalmazás (Potential Unwanted Program, PUP), amely a felhasználó rendszerébe bekerülve különféle felugró ablakokban kéretlen reklámokat jelenít meg az internetes böngészés közben.
04. Win32/TrojanDownloader.Wauchos trójai:
Elterjedtsége a novemberi fertőzések között: 1.48%
Működés: A Win32/TrojanDownloader.Wauchos egy olyan trójai, amelynek fő célja további kártékony kódokat letölteni az internetről a fertőzött számítógépre. Különféle registry kulcsok létrehozásával gondoskodik arról, hogy minden rendszerindításkor lefusson a kódja. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül próbál meg adatokat továbbítani a gép operációs rendszeréről, beállításairól, IP címéről, illetve ezen keresztül parancsokat fogad, így a támadóknak távolról tetszőleges kód futtatására nyílik lehetőség.
05. Win32/Sality vírus:
Elterjedtsége a novemberi fertőzések között: 1.41%
Működés: A Win32/Sality egy polimorfikus fájlfertőző vírus. Futtatása során elindít egy szerviz folyamatot, illetve registry bejegyzéseket készít, hogy ezzel gondoskodjon arról, hogy a vírus minden rendszerindítás alkalmával elinduljon. A fertőzése során EXE illetve SCR kiterjesztésű fájlokat módosít, és megkísérli lekapcsolni a védelmi programokhoz tartozó szerviz folyamatokat.
06. LNK/Agent trójai:
Elterjedtsége a novemberi fertőzések között: 1.35%
Működés: A LNK/Agent trójai fő feladata, hogy a háttérben különféle létező és legitim - alaphelyzetben egyébként ártalmatlan - Windows parancsokból kártékony célú utasítássorozatokat fűzzön össze, majd futtassa is le azokat. Ez a technika legelőször a Stuxnet elemzésénél tűnt fel a szakembereknek, a sebezhetőség lefuttatásának négy lehetséges módja közül ez volt ugyanis az egyik. Víruselemzők véleménye szerint ez a módszer lehet a jövő Autorun.inf szerű kártevője, ami valószínűleg szintén széles körben és hosszú ideig lehet képes terjedni.
07. JS/Kryptik trójai:
Elterjedtsége a novemberi fertőzések között: 1.29%
Működés: A JS/Kryptik egy általános összesítő elnevezése azoknak a különféle kártékony és olvashatatlanná összezavart JavaScript kódoknak, amely a különféle HTML oldalakba rejtetten beágyazódva észrevétlenül sebezhetőségeket kihasználó kártékony weboldalakra irányítja át a felhasználó böngészőprogramját.
08. INF/Autorun vírus:
Elterjedtsége a novemberi fertőzések között: 1.22%
Működés: Az INF/Autorun gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul, és fertőzött adathordozókon (akár MP3-lejátszókon is) terjed.
09. Win32/Ramnit vírus:
Elterjedtsége a novemberi fertőzések között: 1.17%
Működés: A Win32/Ramnit egy fájlfertőző vírus, amelynek kódja minden rendszerindításkor lefut. DLL és EXE formátumú állományokat képes megfertőzni, ám ezen kívül a HTM, illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetőséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszőleges kód futtatására nyílik lehetőség. A támadók a távoli irányítási lehetőséggel képernyőképek készítését, jelszavak és egyéb bizalmas adatok kifürkészését, továbbítását is el tudják végezni.
10. HTML/ScrInject trójai:
Elterjedtsége a novemberi fertőzések között: 1.08%
Működés: A HTML/ScrInject trójai egy RAR segédprogrammal tömörített állomány, amely telepítése során egy üres (c:windowsblank.html) állományt jelenít meg a fertőzött gép böngészőjében. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.
