Znajdź zawartość

Robak Stuxnet, atakujący przemysłowe systemy SCADA działające pod kontrolą Windows, jest być może najbardziej zaawansowanym szkodliwym kodem w historii. Eksperci, którzy go analizowali twierdzą, że kod jest tak skomplikowany, iż wskazuje to na jakieś rządowe agencje stojące za jego powstaniem. To naprawdę niesamowite, ile zasobów poświęcono na napisanie tego kodu - stwierdził Liam O Murchu z Symanteka. Dla Roela Schouwenberga z Kaspersky Lab Stuxnet jest przełomowy. Ekspert mówi, że w porównaniu z nim kod Aurora, który złamał zabezpieczenia serwerów Google'a to dziecinna zabawka. O istnieniu Stuxneta jako pierwsza poinformowała w połowie czerwca mało znana białoruska firma VirusBlokAda. Jednak głośno zrobiło się o nim miesiąc później, gdy Microsoft potwierdził, że skutecznie atakuje on systemy SCADA, wykorzystywane w przemyśle do kontrolowania linii produkcyjnych, elektrowni czy rurociągów. Kolejne tygodnie badań wykazały, że Stuxnet działa co najmniej od czerwca 2009 roku. Początkowo myślano, że wykorzystuje on pojedynczą dziurę w Windows. Microsoft ją załatał, jednak wkrótce okazało się, że twórcy Stuxneta znali jeszcze inne luki i w sumie wykorzystywali cztery dziury. Ponadto po infekcji robak wyszukiwał i skutecznie atakował systemy SCADA produkcji Siemensa. Nigdy nie widzieliśmy kodu, który wykorzystuje cztery dziury typu zero-day. To czyste szaleństwo - mówi O Murchu. W międzyczasie Microsoft załatał - w ramach ostatnich poprawek Patch Tuesday - kolejną z dziur, a dwie pozostałe, mniej groźne, mają doczekać się łat w późniejszym terminie. Jednak Stuxnet nie poprzestaje na nowych dziurach. Atakuje też lukę, którą Microsoft poprawił w 2008 roku w ramach biuletynu MS08-067. To ta sama dziura, którą pod koniec 2008 i na początku 2009 roku wykorzystywał Conficker, infekując miliony komputerów. Stuxnet przenosi się za pomocą klipsów USB. Gdy już znajdzie się w sieci wewnętrznej, atakuje kolejne komputery wykorzystując jeden ze wspomnianych już błędów. Szuka w ten sposób maszyn z oprogramowaniem WinCC oraz PCS7 do zarządzania systemami SCADA. Gdy je znajdzie, dokonuje ataku za pomocą spoolera drukarki sieciowej lub dziury MS08-67. Następnie próbuje uzyskać uprawnienia administracyjne za pomocą fabrycznych haseł Siemensa. Gdy mu się to uda, wprowadza zmiany w oprogramowaniu PLC i zaczyna wydawać systemowi SCADA polecenia. Twórcy Stuxneta wyposażyli go nawet w co najmniej dwa autentyczne, skradzione certyfikaty cyfrowe. Poziom organizacji i skomplikowania całego pakietu wchodzącego w skład robaka jest imponujący. Ktokolwiek go stworzył, zrobił to tak, by móc atakować dowolną firmę - mówi Schouwenberg. A O Murchu dodaje, że szkodliwy kod wykorzystuje tak różne techniki, iż musieli pracować nad nim ludzie o bardzo różnych umiejętnościach i doświadczeniu. Od specjalistów tworzących rootkity, poprzez znawców systemów bazodanowych po osoby wiedzące, jak pisze się złośliwy kod wykorzystujący dziury w oprogramowaniu. Kod Stuxneta zajmuje aż pół megabajta i został napisany w wielu różnych językach, w tym w C i C++. O tym, jak olbrzymimi zasobami dysponowali twórcy Stuxneta może świadczyć chociażby fakt, iż musieli mieć do dyspozycji własne przemysłowe oprogramowanie i sprzęt, by móc przetestować swój kod. To bardzo wielki projekt - mówi O Murchu. Eksperci mówią, że autorzy robaka są też niezwykle sprytni. Wskazuje na to fakt, że do ataku na MS08-67 dochodzi tylko i wyłącznie w momencie, gdy kod jest pewny, iż ma do czynienia ze SCADA. W większości sieci używających tego typu systemów nie stosuje się logowania zdarzeń, systemy bezpieczeństwa są w nich bardzo ograniczone, a komputery łatane niezwykle powoli. Dlatego też, jak uważają O Murchu i Schouwenberg, obraz całości świadczy o tym, że za Stuxnetem stoi rząd jakiegoś kraju. Żaden cybergang nie dysponuje bowiem zasobami, które pozwoliłyby na stworzenie tak zaawansowanego kodu. Świadczy o tym też fakt przeprogramowywania PLC, a zatem przestawiania urządzeń na inny sposób produkcji, niż życzyliby sobie właściciele fabryki. To pokazuje, że za Stuxnetem kryje się coś więcej niż szpiegostwo przemysłowe i próba kradzieży informacji. Na ataku szczególnie ucierpiał... Iran. To w tym kraju znajdowało się w pewnym momencie aż 60% komputerów zarażonych Stuxnetem. Autorzy robaka mogli kontrolować dzięki niemu produkcję niektórych zakładów przemysłowych. Specjaliści wskazują jednocześnie, że infrastruktura użyta do kontrolowania Stuxneta była niezwykle prymitywna. To, ich zdaniem, może wskazywać, że twórcy robaka byli przekonani, iż osiągną swoje cele zanim szkodliwy kod zostanie odkryty.

Wczoraj media doniosły, że światowi giganci - Symantec, Kaspersky i AVG Internet Security - udostępnili wersje beta swoich programów antywirusowych dla systemu Windows 7. Rynkowych potentatów wyprzedziła jednak polska firma ArcaBit. Jej laboratorium poinformowało właśnie o pozytywnie zakończonych testach najnowszego produktu antywirusowego - ArcaVir 2009. Oprogramowanie nie tylko skutecznie chroni przed szkodliwym kodem, ale również niezakłócenie pracuje pod kontrolą systemu Windows 7.

Badacze z Virus Bulletin przeprowadzili kolejny już test VB100. Okazało się, że światowi giganci nie zdali egzaminu. Z testem nie poradziły sobie produkty Sophosa, Trend Micro i Kaspersky’ego. Badane programy musiały zmierzyć się ze 100 wirusami napisanymi dla systemu Windows 2000. Byliśmy zaskoczeni i skonsternowani faktem, że tak wiele produktów osiągnęło słabe wyniki – mówi John Hawes, konsultant techniczny Virus Bulletin. Szczególnie rozczarowało nasz, że programy wielkich firm nie radzą sobie z poważnymi realnie występujacymi zagrożeniami – dodał. Programy, by pozytywnie przejść test, musiały prawidłowo zidentyfikować wszystkie 100 wirusów oraz nie mogły podnosić fałszywych alarmów tam, gdzie szkodliwego kodu nie było. Oprogramowanie firmy Kaspersky nie rozpoznało jednego wirusa. Sophos pominął osiem. Po raz czwarty w ostatnich pięciu testach źle wypadło Trend Micro, którego oprogramowanie nie zidentyfikowało czterech wirusów. Jest to tym bardziej dziwne, że poprzednio pozytywnie przeszło ono 13 kolejnych testów. Wśród innych narzędzi, które nie zdały egzaminu można wymienić Spyware Doctora (dwa fałszywe alarmy) i Norman Virus Control (14 nierozpoznanych wirusów, sześć fałszywych alarmów). Z kolei pozytywnie VB100 przeszły produkty BitDefendera, Symanteca, McAfee, Sunbelta i Microsoftu.

Firma Kaspersky ostrzega przed nowym wariantem robaka Warezov. Jego najnowsze wcielenie – Warezov.nf – pojawiło się w czwartek rano, a wczoraj wieczorem oceniano, że odpowiada ono a 70 do 85% szkodliwego spamu obecnego w Sieci. Robak rozprzestrzenia się za pomocą poczty elektronicznej. W załączniku ukryty jest koń trojański, który po zainstalowaniu pobiera Warezova z różnych lokalizacji. Pobrany robak instaluje się na dysku i uruchamia za każdym razem, gdy startuje system operacyjny. Na zainfekowanym komputerze zbiera on adresy e-mail i, używając własnego silnika SMTP, rozsyła pod te adresy listy elektroniczne z załączonym koniem trojańskim. Robak potrafi wyłączyć wiele programów antywirusowych i firewalli. Warezov po raz pierwszy zaatakował we wrześniu ubiegłego roku. W lutym poinformowano, że potrafi rozprzestrzeniać się również przez Skype’a.

Opinie na temat bezpieczeństwa systemu Windows Vista wciąż są zróżnicowane, natomiast wszyscy eksperci zgadzali się co do jednego – Vista jest bezpieczniejsza niż Windows XP. Teraz, po niespodziewanym oświadczeniu partnera Microsoftu – firmy Kaspersky – sytuacja ta może się zmienić. Zdaniem szefowej firmy, pani Natalii Kaspersky, system kontroli kont (User Account Control – UAC) Visty jest tak uciążliwy, że użytkownicy będą go wyłączali. A bez niego Vista jest, w jej opinii, mniej bezpieczna niż Windows XP z Service Packiem 2. Powstaje więc pytanie, czy bezpieczeństwo Visty polepszyło się, czy też pogorszyło – mówi Kaspersky. Arno Edelmann, menedżer odpowiedzialny w Microsofcie za bezpieczeństwo produktów dla biznesu, jest zaskoczony słowami pani Kaspersky. Mamy olbrzymią liczbę partnerów, a Kaspersky jest wśród najlepszych. Dziwią mnie jej słowa, gdyż Kaspersky ma bardzo dobry wgląd w produkty zabezpieczające Microsoftu. Koncern z Redmond ogłosił, że Vista jest najbezpieczniejszym w historii systemem operacyjnym spod znaku Microsoftu. Kaspersky jednak twierdzi, ze znalazł pięć różnych sposobów na ominięcie zabezpieczeń UAC, a cyberprzestępcy z pewnością znajdą kolejne. Kaspersky odniósł się też do skarg firm Symantec i McAfee, które mówią, że PatchGuard – technologia ochrony jądra systemu Vista – przeszkadza w pracy firmom produkującym oprogramowanie zabezpieczejące. PatchGuard nie pozwala twórcom programów zabezpieczających na robienie tego, do czego się przyzwyczaili – mówi Kaspersky. Deweloperzy muszą działać w ramach prawa, natomiast cyberprzestępcy się nim nie przejmują i gdy złamią zabezpieczenia PatchGuarda będą mieli dostęp do jądra, którego pozbawieni są twórcy oprogramowania zabezpieczającego.