Hatástalan Windows tűzfal, automatikusan frissülő károkozók

Még soha ennyi újdonság nem jelent meg a Sunbelt kémprogram toplistáján egyetlen hónap alatt. Az első öt helyezett ugyan már állandó szereplőnek tekinthető a toplistán – egyedül a sorrend változik -, vagyis a hamis biztonsági riasztásokat adó Trojan.FakeAlert, a felnőtt tartalmak lejátszáshoz szükséges Trojan-Downloader.Zlob.Media-Codec, illetve a Trojan.NewMediaCodec tanyázik a dobogós helyeken. A hatodik helyen újdonságnak számít a Slagent/Navipromo, amely az alvilág egyik népszerű szoftver-frissítőjének nevezhető, segítségével a károkozók legújabb variációi automatikusan frissülnek a fertőzött számítógépeken, hasonlóan a legális Microsoft Update szolgáltatáshoz.

Rendkívül veszélyesek azonban a lista végén található új károkozók, a Trojan.Vxgame trójai/rootkit, a Blaire féreg és a Backdoor.Rbot hátsó ajtó/rootkit. A Trojan.Vxgame telepítését követően lekapcsolja a Windows saját tűzfalát, így nyílt utat ad a további hálózati betöréseken érkező károkozók számára. Hasonlóan veszélyes a Blaire, amely elsősorban spamekben terjed, ezért email féregnek is nevezik. A Backdoor.Rbot sokszínű szoftver, igazi robotot készít a számítógépből, ami ezután adatlopásra (jelszavak, hitelkártya számok, személyes adatok, szoftverlicencek eltulajdonítására) és hálózati támadásokra, spamek millióinak kiküldésére egyaránt használhatóvá válik.

„Az új károkozók a biztonsági szoftverek hatástalanításával lényegesen nagyobb veszélyt hordoznak magukban, mint az átlagosnak nevezhető kémprogramok. Akkor se lepődjünk meg, ha kedvenc online játékunk licenckulcsát eltulajdonítják, mert a sokszínű Rbot variánsok jelszavaink mellett a vásárolt szoftverkulcsokat is képesek összegyűjteni, majd a bűnözőknek átadni.” – mondja Bódis Ákos, a Sunbelt Software magyarországi képviseletének vezetője.

A Sunbelt havi kémprogram-összesítőjét lehetővé tevő ThreatNet hálózathoz bárki csatlakozhat, hiszen elég letölteni a www.sunbelt.hu honlapról a CounterSpy kémprogram-eltávolító ingyenes próbaváltozatát, s a program automatikusan összegyűjti a számítógépet ért fertőzéseket – egyúttal megtisztítja a merevlemezt a kémprogramoktól, ami gyorsabbá és újra biztonságossá teheti a számítógépet.

A legfertőzőbb kémprogramok és káros alkalmazások 2008 áprilisában:

1. Trojan.FakeAlert (trójai)
A kémprogram tipikusan a tálcáról felugró tájékoztató ablakokban hívja fel a felhasználó figyelmét számítógépe fertőzöttségére, és megpróbálja rávenni a gyanútlan felhasználót különböző rosszindulatú, biztonsági programnak álcázott szoftverek, például ál-antivírusok feltelepítésére.

2. Trojan-Downloader.Zlob.Media-Codec (trójai letöltő)
A káros alkalmazás általában felnőtt tartalmú honlapokon az egyes videók lejátszásához szükséges Windows Media Player bővítményként tünteti fel magát, valójában viszont további káros alkalmazásokat és kémprogramokat tölt le a felhasználó számítógépére. A Trojan-Downloader.Zlob.Media-Codec a háttérben letölt és feltelepít olyan rosszindulatú, biztonsági szoftvereknek álcázott kémprogramokat, mint a SpywareQuake, a SpyFalcon vagy a WinAntivirusPro, amik később újabb és újabb károkozók letöltéséhez vezetnek.
A Trojan-Downloader.Zlob.Media-Codec fertőzésnek olyan változata is ismert, ami hátsó ajtót nyit a felhasználó számítógépén, így a programírók távolról átvehetik az irányítást a számítógép felett, és azt különböző illegális tevékenységekre használhatják fel.

3. Trojan.NewMediaCodec (trójai)
A New Media Codec trójai alkalmazás a Zlob.Media-Codec családhoz hasonlóan Windows Media Player frissítésnek tünteti fel magát, és tipikusan felnőtt tartalmú videók lejátszásakor kér engedélyt a felhasználótól a „frissítés” elvégzésére. Telepítését követően a kérdéses videó általában megtekinthetővé válik, viszont a trójai alkalmazás a háttérben azonnal elkezd különböző kémprogramokat és további károkozókat letölteni a gyanútlan felhasználó számítógépére.

4. ClickSpring.PuritySCAN (reklámprogram)
A PuritySCAN egy reklámok megjelenítésével finanszírozott szoftver, ami a böngésző gyorsítótára és az előzmények átvizsgálásával pornográf tartalmakat és utalásokat keres, majd felajánlja ezek törlését. A háttérben viszont a program a teljes böngészési előzményeket elküldi, ami alapján célzott hirdetéseket jelenít meg. A licencszerződés, ami a program telepítésével kerül elfogadásra, külön kitér arra, hogy a fejlesztő ClickSpring LLC automatikusan frissítheti vagy eltávolíthatja a szoftvert, és minden további hozzájárulás nélkül (vagyis a felhasználó tudta nélkül) tetszőleges alkalmazásokat telepíthet a számítógépre.

5. Virtumonde (reklámprogram)
A Virtumonde felugró ablakokban különböző kéretlen reklámokat jelenít meg, a háttérben pedig további károkozók letöltésére, és különböző összegyűjtött adatok elküldésére is képes. A fertőzést általában nehéz eltávolítani, több módszerrel is próbál a kémprogram-eltávolítók ellen küzdeni.

6. Slagent/Navipromo (reklámprogram)
A károkozó teljes mértékben a felhasználó tudta nélkül dolgozik, működése leginkább egy reklámokat is megjeleníteni képes automatikus frissítőalkalmazáshoz hasonlítható. Rendszeresen letölti és lefuttatja a legújabb károkozó-változatokat, eközben pedig hirdetéseket jelenít meg egy weboldalról. A felhasználótól való elrejtőzéshez képes saját folyamatát megszüntetni, és az internetről letöltött különféle károkozókkal együtt tovább futni.

7. CWS.DesktopHijack (reklámprogram)
Az Internet Explorerbe beépülő program megváltoztatja a kezdőlap beállításait, saját toolbart telepít és hamis biztonsági szoftverek hirdetéseit jeleníti meg. A programot kifejezetten nehéz eltávolításáról híres, amivel több biztonsági szoftver sem boldogul.

8. Trojan.Vxgame (trójai, rootkit)
Az egyik legveszélyesebb kártevő, a Trojan.Vxgame a legtöbb esetben a felhasználó tudta nélkül, például egy weboldal meglátogatásával települ a számítógépre. A Trojan.Vxgame ezt követően kikapcsolja a Windows saját tűzfalát, amivel nyílt utat ad a számítógépre betörni próbálkozó többi károkozóknak. A Trojan.Vxgame valószínűleg hátsó ajtóval is rendelkezik és a számítógép feletti teljes irányítást át tudja adni gazdájának, míg a Windows legmélyebb rétegeiben rootkit technológiákkal rejti el magát.

9. Blaire (féreg)
A Blaire féreg spamek millióiban terjed világszerte, de a felhasználó kattintása szükséges az elindításához. Miután elindult, a számítógépen egy hátsó ajtót nyit, segítségével a bűnözők átvehetik az irányítást a fertőzött számítógép felett.

10. Backdoor.Rbot (hátsó ajtó, rootkit)
A Backdoor.Rbot, nevének megfelelően tökéletes robotot varázsol a számítógépből, miután egy botnet (vagyis robot-hálózat) részeként a legkülönfélébb illegális tevékenységekben vehet részt. A botnetek felelősek a spam áradat jelentős részéért, míg hálózati támadásokra, kiszolgálók lebénítására vagy további károkozók terjesztésére is sokszor alkalmazzák őket.
Az Rbot variánsok sokféle feladat elvégzésére képesek, például a fertőzött számítógépen jelszavakat, szoftverlicenceket és egyéb személyes adatokat is össze tudnak gyűjteni, hogy azokat átadják a bűnözők számára. Más Rbotok képesek antivírusokat kikapcsolni és csökkenteni a számítógép védettségét, míg legújabb változatai már az FU kernel-módú rootkitet felhasználva a Windows, a felhasználó és sok biztonsági szoftver számára is teljesen láthatatlanná válnak.