Prim Hírek

Helycserés támadások a kémprogramok között – egyre aktívabb trójaiak

Novemberben nem változott a legtöbb fertőzést okozó kémprogramok élbolya: továbbra is a trójai FakeAlert, a Virtumonde nevű hirdetési szoftver és a szintén trójai Zlob.Media-Codec kémprogram okozta a legtöbb fertőzést. Újdonság, hogy a Trojan.FakeAlert 2007 novemberében először lépte át a 2%-os határt, vagyis a kutatók által a világon regisztrált összes fertőzés 2,18%-át okozta ez a kártevő. Ennek persze lehet jó oldalát is nézni, hiszen a FakeAlert hamis biztonsági üzeneteket küldve veszi rá a felhasználókat a program telepítésére – vagyis egyre több internetezőt érdekel számtógépe biztonsága. A toplista első kilenc helyén novemberben négy trójai, négy kéretlen reklámokat megjelenítő program, és egy rootkit található – a tizedik helyen pedig egy valódi újdonság szerepel.
A MyGeek/CPVFeed névre keresztelt alkalmazást 2007 februárjában fedezték fel. A kéretlen reklámozó alkalmazás (adware) egy böngésző beépülő moduljaként települ, működése során különböző reklámokkal zavarja a böngészést, sőt, bizonyos esetekben a weboldalakra történő navigáció eltérítésével más oldalakat mutat mint amit valójában a felhasználó megpróbált megnyitni.

A Sunbelt havi kémprogram-összesítőjét lehetővé tevő ThreatNet hálózathoz bárki csatlakozhat, hiszen elég letölteni a www.sunbelt.hu honlapról a CounterSpy kémprogram-eltávolító ingyenes próbaváltozatát, s a program automatikusan összegyűjti a számítógépet ért fertőzéseket – egyúttal megtisztítja a merevlemezt a kémprogramoktól, ami gyorsabbá és újra biztonságossá teheti a számítógépet.

RBN – az orosz falanx

David Bizeul független szakértő novemberben külön tanulmányt szentelt az RBN nevű orosz internetes bőnözöi csoportnak. Az RBN-hez több nemzetközi netes bűncselekményt kapcsolnak a szakemberek, így 2005-ben a CoolWebSearch kémprogram megjelentetése, egy évvel később a VML sebezhetőségi hullám, a hírhedt Mpack exploit kit (2007 június), a Bank of India honlapjának feltörése (2007 augusztus) vagy akár a vezető antivírusok által több, mint 3 hónapig egyáltalán fel nem ismert Torpig/Sinowal trójai megalkotása mögött is az orosz csapat áll. „Ahhoz, hogy megértsük az RBN működését, ismernünk kell a helyi viszonyokat. Oroszországban rendkívül sok, tehetséges IT szakember található, akik viszont nem találnak a képzettségüknek megfelelő munkát. Ugyanakkor a hekkelés, a fizetés nélküli használat teljesen bevett gyakorlatnak számít az országban.” – véli David Bizeul, a tanulmány szerzője. A teljes képhez az is hozzátartozik, hogy az orosz hatóságok nem lépnek fel kellő hatékonysággal az internetes bűnözőkkel szemben, akik így méginkább bátorítva érezhetik magukat. „Az adathalászat, a gyermekpronográfia, a spamküldés, a trójai alkalmazások terjesztése, illetve a honlap feltörések egyértelműen jelzik, hogy az RBN-nél mind a szükséges hardver – például botnetek - , mind a szellemi kapacitás rendelkezésre áll. Az RBN gyakorlatilag úgy működik, mint egy nemzetközi IT cég: bármilyen bűncselekményre tartunk igényt, ők megtalálják a megfelelő hardveres és szoftveres megoldásokat.” – teszi hozzá a szerző. A szervezet egyébként átlagosan félévente hallat magáról, így könnyen előfordulhat, hogy ismét egy nemzetközi adathalász akciót, vagy egy új kémprogramot láthatunk tőlük.

A legfertőzöbb kémprogramok és káros alkalmazások 2007. októberében:

1. Trojan.FakeAlert (trójai)
A kémprogram tipikusan a tálcáról felugró tájékoztató ablakokban hívja fel a felhasználó figyelmét számítógépe fertőzöttségére, és megpróbálja rávenni a gyanútlan felhasználót különböző rosszindulatú, biztonsági programnak álcázott szoftverek, például ál-antivírusok feltelepítésére.

2. Virtumonde (reklámprogram)
A Virtumonde felugró ablakokban különböző kéretlen reklámokat jelenít meg, a háttérben pedig további károkozók letöltésére, és különböző összegyűjtött adatok elküldésére is képes. A fertőzést általában nehéz eltávolítani, több módszerrel is próbál a kémprogram-eltávolítók ellen küzdeni.

3. Trojan-Downloader.Zlob.Media-Codec (trójai letöltő)
A káros alkalmazás bizonyos felnőtt tartalmú honlapokon az egyes videók lejátszásához szükséges Windows Media Player bővítményként tünteti fel magát, valójában viszont további káros alkalmazásokat és kémprogramokat tölt le a felhasználó számítógépére. A Trojan-Downloader.Zlob.Media-Codec a háttérben letölt és feltelepít olyan rosszindulatú, biztonsági szoftvereknek álcázott kémprogramokat, mint a SpywareQuake, a SpyFalcon vagy a WinAntivirusPro, amik később újabb és újabb károkozók letöltéséhez vezetnek.
A Trojan-Downloader.Zlob.Media-Codec fertőzésnek olyan változata is ismert, ami hátsó ajtót nyit a felhasználó számítógépén, így a programírók távolról átvehetik az irányítást a számítógép felett, és azt különböző illegális tevékenységekre használhatják fel.

4. ClickSpring.PuritySCAN (reklámprogram)
A PuritySCAN egy reklámok megjelenítésével finanszírozott szoftver, ami a böngésző gyorsítótára és az előzmények átvizsgálsával pornográf tartalmakat és utalásokat keres, majd felajánlja ezek törlését. A háttérben viszont a program a teljes böngészési előzményeket elküldi, ami alapján célzott hirdetéseket jelenít meg. A licensszerződés, ami a program telepítésével kerül elfogadásra, külön kitér arra, hogy a fejlesztő ClickSpring LLC automatikusan frissítheti vagy eltávolíthatja a szoftvert, és minden további hozzájárulás nélkül (vagyis a felhasználó tudta nélkül) tetszőleges alkalmazásokat telepíthet a számítógépre.

5. Trojan.NewMediaCodec (trójai)
A New Media Codec trójai alkalmazás a Zlob.Media-Codec családhoz hasonlóan Windows Media Player frissítésnek tünteti fel magát, és tipikusan felnőtt tartalmú videók lejátszásakor kér engedélyt a felhasználótól a „frissítés” elvégzésére. Telepítését követően a kérdéses videó általában megtekinthetővé válik, viszont a trójai alkalmazás a háttérben azonnal elkezd különböző kémprogramokat és további károkozókat letölteni a gyanútlan felhasználó számítógépére.

6. Trojan.Unclassified.gen (trójai)
A Trojan.Unclassified.gen általános kategóriába olyan trójai alkalmazások tartoznak, amelyeket a CounterSpy felismer, de egyenkénti elnevezésükre és elemzésükre még nem került sor. A kategória sok hasonló fertőzést tartalmaz.

7. Command Service (reklámprogram)
Egy klasszikus adware kémprogram a felhasználó engedélyével, általában más, hasznosabb szoftverekkel együtt települ, és böngészés közben kéretlen hirdetéseket jelenít meg. A Command Service különlegessége, hogy más adware programok kiütésével megpróbálja „megvédeni saját területét”, a megszerzett számítógépet: végfelhasználói licensszerződése tartalmazza, hogy a program a felhasználó külön értesítése nélkül eltávolíthat, letilthat vagy működésképtelenné tehet más adware alkalmazásokat, amelyek feltételezhetően csökkenthetnék a Command Service hatékonyságát.

8. RootKitWin32Agent.eq (rootkit)
Az operációs rendszer legmélyebb rétegeibe beférkőző Win32.Agent.eq rootkit elsősorban reklámprogramok számára biztosít búvóhelyet kémprogram-eltávolító és antivírus szoftverek elől. A futó rootkit képes átverni az operációs rendszert úgy, hogy a károkozókat tartalmazó könyvtárat „nem mutatja” a könyvtárak listázása során, így egy víruskeresés esetén a klasszikus védelmi szoftverek számára láthatatlan marad a búvóhely.

9. WhenU.Save (reklámprogram)
A kémprogram folyamatosan figyeli a felhasználó böngészési szokásait, és a meglátogatott oldalak függvényében jelenít meg a tartalomhoz többé-kevésbé illő hirdetéseket. A reklámprogram működését a végfelhasználói szerződésben is felvállalja, elméletileg teljesen eltávolítható kézzel is, de ezt minden lépésben megnehezítik a fejlesztők. Olyan apróságokra is figyeltek, hogy a program eltávolításkor fordított értelmű kérdést tesz fel és arra kérdez rá, hogy a programot szeretné-e megtartani, amikor az eltávolítók szinte mindig az alkalmazás törlésére kérnek megerősítést.

10. MyGeek/CPVFeed (reklámprogram)
A 2007 februárjában felfedezett kéretlen reklámozó alkalmazás (adware) egy böngésző beépülő modulként települ, általában a felhasználó tudta nélkül. Működése során különböző reklámokkal zavarja a böngészést, sőt, bizonyos esetekben a weboldalakra történő navigáció eltérítésével más oldalakat mutat mint amit valójában a felhasználó megpróbált megnyitni.

Friss IT biztonságtechnikai hírek és Sunbelt, MPP termékújdonságok folyamatosan a SPAMblog.hu oldalon olvashatók. (www.spamblog.hu)