Prim Hírek

A féreg három módon terjed: fertőzött e-mail csatolt állományaként, az MS Windows LSASS MS03-026 és RPC DCOM MS04-011 sebezhetőségen keresztül, és a helyi (LAN) ill. a fájlmegosztó, fájlcserélő hálózatokon.

A kód részletes elemzése igazolta, hogy a vírusíró "alkotása alapjának" a Mydoom forráskódját használt fel. A féreg egyik jellemzője, hogy megpróbálja megakadályozni a Kaspersky Anti-Vírus adatbázis automatikus frissítését.

A Plexus.a helyi hálózatokon (LAN) és fájlmegosztó, fájlcserélő hálózatokon terjed "igen ötletesen". A fájlcserélő alkalmazásokon keresett vagy sokakat érdeklő alkalmazásokat ajánl fel letöltésre - melyek természetesen a férget tartalmazzák.

Ilyenek pl.:


Fertőz az MS Windows LSASS hiba kihasználásával, melyet először a Sasser tett, és az RPC DCOM rés kihasználásával, melynek történelmi múltja 2003 augusztusára nyúlik vissza, a Lovesan fertőzés hullámra. Hihetetlen, de a Plexus.a talált és fertőzött meg olyan rendszereket, melyeken még ezek a hibák megtalálhatók, mert azok észlelése és a javítófoltok kibocsátása óta nem javították ki a folt installálásával azokat. Nem vagyok senkinek a rosszakarója, de az ilyen felhasználók a fertőzést meg is érdemlik...

A Plexus.a e-mail fertőzése öt féle eddig ismert levéllel történhet. Ezeknél más a fejrész, más a levéltest, más a csatolt állományok kiterjesztése:


Csak egy jellegzetes azonos, a fertőző állomány - mely egy MS Visual C++ -ben írt fájl -, mérete: FSG tömörítésben 16208 byte, tömörítetlen állapotban 57856 byte.

A levelek a következők lehetnek a mai ismeretek szerint:

1.


2.



3.


4.


5.


Fertőzéskor Plexus.a bemásolja magát a Windows\System32 be upu.exe néven. A féreg, hogy biztosítsa futását, aktiválását minden rendszerindításkor, minden gép-rebootnál, a registry autorun kulcsába az alábbi bejegyzést teszi:


A féreg létrehoz egy "identifier 'Expletus' -t" ("hasonmást") a rendszerben, azzal a szándékkal, hogy csak egy féregmásolat fusson a fertőzött gépen. Végül Plexus.a elküldi másolatait e-mailben mindarra a címre, melyet a gép merevlemezeiről gyűjtött össze.

Plexus.a két fontos tulajdonsággal bír:

Az elsőt már említettük, ez azokat a gépeket fenyegeti, melyeken Kaspersky Anti-Vírus rendszer fut, mert megakadályozza az adatbázis automatikus frissítését az alábbi módszerrel: újracímezi azokat a hostokat - átírja nem létező elektronikus címre azoknak a vírusadatbázisoknak a(z elektronikus) címét -, ahonnan a frissítés történhet a "host fájlt" (címet tartalmazó) mappában, a Windows\System32\drivers\etc\hosts a következő nem létező adatokra, címekre (mindegyik a fertőzött saját gépre irányul) mutat:


ezért a felhasználónak kell letölteni az új adatbázist - ha a frissítés elmaradását észreveszi.

A második egy backdoor trójai - hátsóajtó-trójai - tulajdonság, ami szerte a világon minden rendszert fenyeget: a féreg kinyitja a TCP 1250 portot, amely egyrészt egy útvonal kezdeteként szerepelhet, hogy az áldozat gépéről bármilyen állományt feltöltsenek távoli gépekre, másrészt egy olyan út "kapuja lehet", melyen keresztül a rendszer bárki által támadhatóvá válik.

Aki gyanítja, hogy a gépe megfertőződött, a védelmi rendszer automatikus frissítése leállt, azonnal frissítse rendszerét a legújabb adatbázis letöltése segítségével.

Részletek a Kaspersky Lab's vírus enciklopédiájában: (http://www.viruslist.com/eng/viruslist.html?id=1618235)

Kérem, nézzék meg, hogy a vírusvédelmi rendszerük automatikus frissítése működik-e. Amennyiben nem, akkor manuálisan, a legfrissebb adatbázis letöltésével frissítsék azt, de oly módon, hogy az adatbázis-állományt közvetlenül a keresőjük weblapjáról töltsék le. Utána nézzék meg a regisrtryt, hogy a fertőzésre jellemző átírást megtalálják-e. Ha nem, akkor sem dolgoztak hiába. Akik eddig, tavaly augusztus óta nem frissítették gépüket - ne is tegyék - nekik mindegy, ha eddig az volt...

Vírusmentes napot!