Prim Hírek

Az ESET minden hónapban összeállítja a Magyarországon terjedő számítógépes vírusok toplistáját, melynek elemzése mindig tanulsággal szolgál a felhasználók számára. Októberben visszavette az első helyet a hírhedt Conficker, amely többek között a Microsoft Windows egyik, már 2008 októberében javított biztonsági hibáját kihasználó exploit kóddal terjed. A károkozó előretörése jelzi, hogy a felhasználók még mindig nem fordítanak kellő figyelmet az operációs rendszer frissítésére, és nem tartják be az alapvető biztonsági szabályokat sem. Emellett a nagyszámú fertőzésnek az is lehet az oka, hogy a féregnek folyamatosan számos új variánsa, módosított változata jelenik meg.

A toplistán egyébként minimális változások történtek a hónap során. Az INF/Autorun stabil harmadik helye annak a jele, hogy még mindig sok Windows felhasználónál okoz problémát a hordozható külső eszközök csatlakoztatásával terjedő vírus. A naprakész vírusvédelem mellett a szakértők folyamatosan hangsúlyozzák, hogy célszerű az összes külső meghajtó automatikus futtatásának letiltása.

Hetedik lett a listán a múlt hónapban debütáló Win32/Adware.WhenUSave alkalmazás. Ez a károkozó futása során megkísérel a web.whenu.com weboldalhoz kapcsolódni, ahonnan kéretlen reklámokat, valamint saját programfrissítéseit tölti le. A fertőzött gépen aktív böngésző esetén linkeket, időjárás-jelentést és más kéretlen tartalmakat, reklámokat jelenít meg.

A nyolcadik helyen egy új versenyzőt üdvözölhetünk: a Win32/TrojanDownloader.Fakealert.Z trójai hamis riasztásokkal igyekszik felhívni magára a figyelmet. A megfelelő védelem nélküli gépen szándékosan vírust jelez, és további állományokat kísérel meg letölteni a számítógépre. A rendszerleíró-adatbázisban (Registry) számos, többek közt az Internet Explorer működésével kapcsolatos beállítást felülír, végső célja pedig, hogy a felhasználó megtévesztésével egy bizonyos összegért megvetesse az álvírusirtó „igazi”, állítólag működőképes példányát.

Végezetül következzen a magyarországi toplista. Az ESET több százezer magyarországi felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2009 októberében az alábbi 10 károkozó terjedt a legnagyobb számban hazánkban. Ezek együttesen 35,55%-ot tudtak a teljes tortából kihasítani maguknak.

1. Win32/Conficker.AA féreg

Elterjedtsége az októberi fertőzések között: 7,15%

Működés: A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows MS08-067 biztonsági bulletinben tárgyalt hibát kihasználó exploit kóddal is terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségre építve a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját. A Conficker először betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos vírusvédelmi webcím is elérhetetlenné válik a megfertőzött számítógépen.

A számítógépre kerülés módja: változattól függően a felhasználó maga telepíti, vagy pedig egy biztonsági résen keresztül felhasználói beavatkozás nélkül magától települ fel, illetve automatikusan is elindulhat hordozható külső meghajtó fertőzött Autorun állománya miatt.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 5,34%

Működés: A trójai nem rendelkezik saját magát telepítő kódrészlettel, azt a felhasználó maga tölti le és indítja el. A megtámadott számítógépről információkat próbál gyűjteni, amelyeket véletlenszerűen generált néven .htm, illetve .png kiterjesztésű fájlokban tárol el, és azokat különféle weboldalak felé igyekszik továbbítani.
Azért, hogy a trójai gondoskodjon saját indításáról minden egyes rendszerindítás esetén, a rendszerleíró-adatbázisban több különböző bejegyzést hoz létre. Emellett hátsó ajtót is nyit, melyen keresztül a távoli támadó később is könnyen hozzáfér a megfertőzött számítógéphez.

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 3,89%

Működés: Az INF/Autorun egyfajta gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul.

A számítógépre kerülés módja: fertőzött adathordozókon (akár MP3-lejátszókon) terjed.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 3,79%

Működés: A Virtumonde (Vundo) program a kéretlen alkalmazások (Potentially Unwanted) kategóriájába esik az ESET besorolása szerint. A károkozó elsődleges célja kéretlen reklámok letöltése a számítógépre. Működés közben megkísérel további kártékony komponenseket, trójai programokat letöltő webcímekre csatlakozni. Futása közben különféle felnyíló ablakokat jelenít meg. A Win32/Adware.Virtumonde trójai a Windows System32 mappájában véletlenszerűen generált nevű fájl(oka)t hoz létre.

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 3,74%

Működés: Ez a kártevőcsalád olyan trójai programokból áll, amelyek billentyűleütés-naplózót (keylogger) igyekszenek gépünkre telepíteni. Gyakran rootkit komponense is van, amelynek segítségével igyekszik állományait, illetve működését a fertőzött számítógépen leplezni, eltüntetni. Ténykedése jellemzően az online játékok jelszavainak begyűjtésére, ezek ellopására, és a jelszóadatok titokban történő továbbküldésére fókuszál. A távoli támadók ezzel a módszerrel jelentős mennyiségű lopott jelszóhoz juthatnak hozzá, amelyeket aztán alvilági csatornákon továbbértékesítenek.

A számítógépre kerülés módja: a felhasználó maga telepíti.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 3,33%

Működés: A Win32/TrojanDownloader.Bredolab.AA egy olyan trójai program, mely távoli oldalakról további kártékony kódokat tölt le és hajt végre. Futása közben a Windows, illetve a Windows/System32 mappákba igyekszik új kártékony állományokat létrehozni. Emellett a Registry adatbázisban is a bejegyzéseket manipulál, egészen pontosan kulcsokat készít, illetve módosít a biztonságitámogatás-szolgáltató (SSPI – Security Service Provider Interface) szekcióban. Ez a beállítás felel eredetileg a felhasználó hitelesítő adatainak továbbításáért az ügyfélszámítógépről a célkiszolgálóra.

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 2,26%

Működés: A Win32/Adware.WhenUSave működése során létrehozza a saveupdate.exe nevű állományt. Az ilyen nem kifejezett kártevő, hanem inkább a veszélyes vagy nem kívánt programok kategóriába tartozó kéretlen reklámprogramok. Sok esetben élnek olyan trükkökkel, hogy különféle további könyvtárakban is létrehoznak magukból másolatot. Ennek kettős célja van: egyrészt egy esetleges vírusirtást követően egy eldugott helyen megmaradhatnak a fertőzött állományok, másrészt helyi hálózatokban, megosztott könyvtárakban, peer-to-peer hálózatokban is képesek terjedni. Futása során megkísérel a web.whenu.com weboldalhoz kapcsolódni, ahonnan kéretlen reklámokat valamint saját programfrissítéseit tölti le. A fertőzött gépen aktív böngésző esetén linkeket, időjárás-jelentést és más kéretlen reklámokat jelenít meg.

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 2,07%

Működés: A Win32/TrojanDownloader.Fakealert.Z trójai hamis riasztásokkal igyekszik felhívni magára a figyelmet. A megfelelő védelem nélküli gépen szándékosan vírust jelez, majd további állományokat kísérel meg letölteni. A rendszerleíró-adatbázisban (Registry) számos, többek közt az Internet Explorer működésével kapcsolatos beállítást felülír. Végső célja, hogy egy bizonyos összegért megvetesse az álvírusirtó „igazi”, állítólag irtani is képes példányát.

A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 2,03%

Működés: Ezzel a gyűjtőnévvel azokat a rosszindulatú kódokat jelöljük, amelyek a felhasználók információit lopják el. Jellemzően ez a kártevőcsalád mindig ideiglenes helyekre (Temporary mappa) másolja magát, majd a rendszerleíró-adatbázisban elhelyezett Registry kulcsokkal gondoskodik arról, hogy minden rendszerindításkor lefuttassa saját kódját. A létrehozott állományokat jellemzően .DAT illetve .EXE kiterjesztéssel hozza létre.

A számítógépre kerülés módja: a felhasználó maga telepíti.
Bővebb információ

Elterjedtsége az októberi fertőzések között: 1,95%

Működés: A VB.EL (vagy más néven VBWorm, SillyFDC) féreg hordozható adattárolókon és hálózati meghajtókon terjed. Fertőzés esetén további káros kódokat kísérel meg letölteni a 123a321a.com oldalról. Automatikus futtatásához módosítja a Windows Registry HKLM,SOFTWAREMicrosoftWindowsCurrentVersionRun bejegyzését is. Árulkodó jel lehet a sal.xls.exe állomány megjelenése a C: és minden további hálózati meghajtó főkönyvtárában.

A számítógépre kerülés módja: fertőzött adattároló (USB kulcs, külső merevlemez stb.) csatlakoztatásával terjed.
Bővebb információ