Znajdź zawartość

Specjaliści odkryli niezwykle rzadki, możliwe że jedyny w swoim rodzaju, szkodliwy kod, który nie pozostawia na zarażonym komputerze żadnych plików. Odkrycia dokonali eksperci z Kaspersky Lab, którzy zauważyli na rosyjskich witrynach kod atakujący dziurę w Javie. Kod ładuje się bezpośrednio do pamięci komputera i nie pozostawia na dysku twardym żadnych plików. Szkodliwy kod JavaScript korzysta z elementu iFrame i wstrzykuje szyfrowaną bibliotekę (.dll) bezpośrednio do procesu Javaw.exe. Wydaje się, że kod ma na celu wyłączenie mechanizmu User Account Control (UAC) oraz umożliwienie komunikowania się serwera cyberprzestępców z komputerem ofiary i ewentualnie wgranie nań trojana Lurk, wyspecjalizowanego w kradzieży danych. Z naszych analiz protokołu komunikacyjnego używanego przez Lurk wynika, że w ciągu ostatnich miesięcy serwery przestępców przetworzyły do 300 000 zapytań od zainfekowanych komputerów - stwierdził Siergiej Gołowanow z Kaspersky Lab.

Symantec informuje, że cyberprzestępcy coraz bardziej interesują się 64-bitowymi systemami operacyjnymi. Firma ostrzega przed trojanem backdoor.Conpee, który potrafi zainfekować w pełni załatany system Windows 7. Nowy szkodliwy kod występuje zarówno w 32- jak i 64-bitowej wersji. Stanowi on kolejny dowód, że - do niedawna tylko teoretyczna - możliwość infekowania 64-bitowych systemów stała się rzeczywistością. W 64-bitowej wersji Windows Vista i Windows 7 zastosowano m.in. Kernel Mode Code Signing oraz Kernel Patch Protection. Pierwszy z mechanizmów wymaga, by każde oprogramowanie działające w trybie jądra posiadało cyfrowy podpis, a drugi uniemożliwia nieautoryzowane zmiany w jądrze. Pomimo tych zabezpieczeń zarówno backdoor.Conpee, jak i Backdoor.Hackersdoor są w stanie zainfekować 64-bitowy system. Obecnie wiadomo, że drugi ze szkodliwych kodów, który został odkryty w grudniu ubiegłego roku, posługuje się skradzionymi cyfrowymi certyfikatami. Na razie istnieje niewiele kodu atakującego 64-bitowe systemy, ale ostatnie odkrycia stanowią dowód, że przestępcy są w stanie zainwestować dużo czasu i pieniędzy, by osiągnąć swój cel.

Podczas niedawnego, największego jak dotychczas, ataku na system Android, mogło zostać zainfekowanych nawet 5 milionów użytkowników Android Market. Szkodliwy kod, nazwany przez firmę Symantec „Android. Counterclank“, został ukryty w 13 różnych programach, które umieszczono w Android Market. Aplikacje były podpisane nazwami różnych wydawców, a ich tytuły to m.in. „Sexy Girls Puzzle“ czy „Counter Strike Ground Force“. Specjaliści Symanteca poinformowali, że przestępcy posłużyli się fałszywymi nazwami wydawców oraz własnym oprogramowaniem. Taktyka ta różni się od wcześniejszego sposobu ich działania, gdy zarażali szkodliwym kodem prawdziwe oprogramowanie i umieszczali je w Android Market. Symantec ocenia, że zarażone fałszywe programy zostały pobrane przez 1-5 milionów osób. Android.Counterclank to koń trojański, który kradnie informacje i modyfikuje stronę startową przeglądarki. Przestępcy zarabiają na reklamach, które wyświetlają się użytkownikom urządzeń z Androidem. Co prawda skuteczna infekcja wymaga wyrażenia przez użytkownika zgody na nadanie aplikacjom różnych uprawnień, jednak niewiele osób czyta prośby o wydanie zgody i zastanawia się nad nimi. Większość bezmyślnie zgadza się na to, o co prosi program. Ktoś podejrzliwy mógłby zastanawiać się, po co programowi zgoda na modyfikację przeglądarki czy wysyłanie danych GPS. Większość jednak w ogóle się tym nie przejmuje - mówi Kevin Haley z Symanteca. Na firmowej stronie opublikowano listę niebezpiecznych programów.

Grupa Chaos Computer Club (CCC) poinformowała o otrzymaniu z anonimowego źródła kodu tzw. Bundestrojaner, czyli konia trojańskiego wykorzystywanego przez niemieckie agendy rządowe w celu inwigilacji. Kod używany jest przez policję federalną i pozwala na przechwytywanie rozmów VoIP już po ich zaszyfrowaniu, a przed dotarciem do odbiorcy. Szkodliwy kod nie tylko pozwala na uzyskanie dostępu do danych. Został też wyposażony w mechanizm backdoora, dzięki czemu umożliwia wgranie i wykonanie dowolnych programów - stwierdzili przedstawiciele CCC. Z ich analizy wynika również, że kod zawiera błędy, dzięki czemu strona trzecia może go wykorzystać do własnych celów. Zdaniem CCC otrzymany przez nich kod łamie niemieckie prawo, gdyż pozwala na znacznie więcej niż tylko monitorowanie i przechwytywanie komunikacji. Może bowiem instalować inne programy, przeszukiwać i edytować pliki na komputerze podejrzanego, a nawet wykorzystywać do podsłuchu mikrofon, kamerę czy klawiaturę komputera ofiary.

Ostatnio Google usunął z Android Market kilkadziesiąt aplikacji zawierających szkodliwe oprogramowanie. Teraz koncern ma zamiar zdalnie skasować je ze smartfonów użytkowników, którzy zdążyli aplikacje te pobrać. Szkodliwe programy zagrażają użytkownikom Androida w wersjach wcześniejszych od 2.2.2. Zostały one pobrane na około 260 000 urządzeń. Google zapowiada, że użyje specjalnej funkcji w systemie, która pozwala firmie na zdalne usunięcie programów z urządzeń użytkowników oraz zainstaluje poprawki, których zadaniem jest naprawienie wyrządzonych szkód. Wspomniane aplikacje zawierające szkodliwy kod to pirackie wersje legalnych programów, które zostały zainfekowane trojanem DroidDream. Pozwala on na kradzież informacji o urządzeniu i użytkowniku oraz umożliwia zainstalowanie kolejnego złośliwego oprogramowania.

Aktualizacja oprogramowania antywirusowego firmy BitDefender uszkodziła 64-bitowe platformy Windows. Przyczyną było zbyt wczesne umieszczenie poprawki na serwerach BitDefendera. Niegotowa aktualizacja rozpoznała wiele prawidłowych plików jako Trojan.FakeAlert5. Problem dotyczy zarówno pików systemu operacyjnego, jak i oprogramowania BitDefender. Niewłaściwie rozpoznane pliki .exe, .dll i wiele innych zostały poddane kwarantannie. Spowodowało to, że nie działa BitDefender, wiele aplikacji, a w niektórych przypadkach nie uruchamia się system operacyjny. Problem z niewłaściwą poprawką dotyczy też użytkowników oprogramowania Bullguard, które korzysta z silnika BitDefendera. Sprawcy zamieszania przeprosili za spowodowane kłopoty.

Firma ScanSafe uważa, że 80% blogów zawiera "obraźliwe” lub "niechciane” treści. Z miesięcznego "Global Threat Report” za marzec 2007 wynika, że w czterech na pięciu blogach można spotkać treści nie nadające się dla młodych internautów – od wulgaryzmów po pornografię. Do takich wniosków doszli specjaliści ScanSafe analizując ponad 7 miliardów zapytań, które zostały zadane w Sieci przez korporacyjnych klientów firmy. Okazuje się również, że blogi mogą być nie tylko wulgarne, ale i niebezpiecznie. Aż 6% z nich zawiera szkodliwe oprogramowanie. Pracownicy odwiedzający takie blogi nieświadomie narażają sieci korporacyjne na infekcję i kradzież informacji – mówi Dan Nadir ze ScanSafe. Jego firma skupiła się przede wszystkim na zagrożeniach, jakie niosą ze sobą blogi. A jest ono spore, gdyż zawartość blogosfery ciągle się zmienia. Niewinny jednego dnia blog, może następnego zawierać treści, które narażą firmę na niebezpieczeństwo. Mowa tu, oczywiście o szkodliwym kodzie, ale również np. o pornografii, która może znaleźć się na komputerze pracownika przeglądającego bloga i narazić jego pracodawcę na sprawę sądową. ScanSafe przygotowało też listę pięciu najbardziej rozpowszechnionych na blogach fragmentów szkodliwego kodu. Są to: Trojan.Win32.Diamin.js, Trojan-Downloader.VBS.Small.ca, Trojan-Downloader.Win32.Delf.acc, Trojan-Dropper.Win32.Agent.bfd i Trojan.JS.Cardst,1,1.

Przed tygodniem Google udostępnił specjalistom ds. zabezpieczeń swoje narzędzie, które pozwala na wyszukiwanie szkodliwego kodu w serwisach internetowych. Okazało się, że cyberprzestępcom udało się już złamać kod google'owskiego narzędzia. Mechanizm Google'a wykorzystuje, podobnie jak programy antywirusowe, sygnatury szkodliwego oprogramowania i na tej podstawie, znajdując w Sieci charakterystyczne dla danego wirusa fragmenty kodu, jest w stanie go zidentyfikować. Teraz cyberprzestępcy, po uzyskaniu dostępu do narzędzia Google'a, mają ułatwione zadanie. Po co męczyć się i tworzyć nowego wirusa, robaka czy konia trojańskiego gdy może po prostu odnaleźć go za pomocą Google'a, pobrać i wykorzystać? – mówi Paul Henry, wiceprezes w firmie Secure Computing. Cyberprzestępcy, którzy nie mają odpowiednich umiejętności, mogą dzięki Google'owi odnaleźć szkodliwy kod i wykorzystać go do przeprowadzenia ataku – dodał. Obecnie, po złamaniu kodów Google'a i uzyskaniu dostępu do jego narzędzia, przestępcy rozpowszechniają w Internecie fragmenty szkodliwych kodów, dzięki czemu każdy zainteresowany może, korzystając z wyszukiwarki, odnaleźć interesujące go szkodliwe oprogramowanie.

Zajmująca się bezpieczeństwem firma Surfcontrol poinformowała o znalezieniu witryny, która podszywa się pod usługę Google'a i służy cyberprzestępcom do infekowania komputerów internautów. Wspomniana witryna do złudzenia przypomina stronę, z której można pobrać Google Toolbar. W rzeczywistości nieostrożny użytkownik, który trafi na fałszywą stronę, pobiera konia trojańskiego W32.Ranky.FW. Jego celem jest zamienienie zainfekowanej maszyny w komputer-zombie i uczynienie go częścią botnetu (sieć komputerów-zombie), który może służyć m.in. do rozsyłania spamu czy przeprowadzania ataków typu DoS (denial of service). Surfcontrol uspokaja, że przestępcy popełnili błąd podczas programowania i w efekcie kod jest nieszkodliwy. Sposób działania cyberprzestępców wskazuje jednak, w można, wykorzystując cieszące się zaufaniem serwisy i znaki handlowe, wykorzystać do prowadzenia przestępczej działalności.