Hat trójai is szerepel az ESET tízes kártevő toplistáján. Ez arról árulkodik, hogy gyakran hiányzik a kellő gyanakvás az új programok, alkalmazások telepítésénél.
Az ESET minden hónapban összeállítja a Magyarországon terjedő számítógépes vírusok toplistáját, melynek elemzése mindig tanulsággal szolgálhat a felhasználók számára.
A toplistán csak minimális változások történtek az élmezőnyben az előző hónaphoz képest. Masszívan tartja az első helyet a Conficker, amelyet előzőleg is többször birtokolt már. A Conficker egy olyan hálózati féreg, amely a Microsoft Windows egyik biztonsági hibáját kihasználó exploit kóddal terjed, gyenge admin jelszavak elleni támadással, valamint az automatikus futtatási lehetőségén keresztül is terjed a fertőzés.
Egy másik régi szereplő, a Virtumonde viszont lekerült a tablóról, helyét egy újonc trójai vette át. A Win32/Injector a megtámadott gépen hátsó ajtót nyit, és a newvalarsrent.ru weboldalhoz csatlakozik, ahonnan további fájlokat próbál meg letölteni. Rootkit komponenssel is rendelkezik, működése során fájlokat rejt el a fájlkezelő alkalmazások elől (pl. EXPLORER, FAR MANAGER) még akkor is, ha ezek nem rejtett attribútummal rendelkeznek.
Összességében ami hónapok óta jellemző a toplistára, az hogy a trójai programok aránya rendre igen jelentős az élmezőnyben. A kétes alkalmazásokat a felhasználók maguk töltik le, indítják el, illetve telepítik fel, ez ellen pedig két dolgot lehet tenni. Egyrészt óvatosabban, megfontoltabban kellene átgondolni és kiválasztani, mit is akarunk feltelepíteni a számítógépünkre.
Érdemes a kínálkozó, érdekes új programoknak először alaposan utána nézni, és csak ha biztató referenciákat találunk róla, akkor futtassuk. Másfelől a vírusvédelmi program beállításainál biztonságunk érdekében továbbra is érdemes a „Reklámprogramok, kémprogramok és biztonsági kockázatokat jelentő programok keresése”, a „Kéretlen alkalmazások keresése” valamint a „Veszélyes alkalmazások keresése” opciókat megjelölni, kiválasztani.
Az ESET víruslaboratóriumának szakértői szerint a hagyományos vírusfertőzések helyett a jövőben egyébként is a felhasználók figyelmetlenségét vagy tudatlanságát kihasználó kártevők előretörése várható. Előrejelzéseik szerint 2010-ben csökkeni fog az operációs rendszerek biztonsági réseit kihasználó károkozók száma, ugyanakkor a felkapott eseményekkel – például az idei labdarugó-világbajnoksággal – kapcsolatos fertőzött linkekre mutató e-mailek száma várhatóan növekszik majd.
A közösségi oldalak felhasználóinak sem árt óvatosnak lenni, hiszen a személyes adatokra utazó social engineering támadások előreláthatóan erősödni fognak, míg az online játékosok belépési adatainak megszerzésére irányuló támadások az eddigieknél valószínűleg jóval intenzívebbek lesznek. 2010-ben áttörés várható a mobileszközök területén is, ugyanis – az operációs rendszerekkel ellentétben – az egyre elterjedtebb okostelefonok számos eddig fel nem fedezett biztonsági rést tartalmaznak.
Végezetül következzen a magyarországi toplista. Az ESET több százezer magyarországi felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2009 decemberében az alábbi 10 károkozó terjedt a legnagyobb számban hazánkban. Ezek együttesen 36%-ot tudtak a teljes tortából kihasítani maguknak.
1. Win32/Conficker.AA féreg
Elterjedtsége a decemberi fertőzések között: 9.27%
Működés: A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows MS08-067 biztonsági bulletinben tárgyalt biztonsági hibáját kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségre építve a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját. A Conficker először betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos vírusvédelmi webcím is elérhetetlenné válik a megfertőzött számítógépen.
A számítógépre kerülés módja: változattól függően a felhasználó maga telepíti, vagy pedig egy biztonsági résen keresztül felhasználói beavatkozás nélkül magától települ fel, illetve automatikusan is elindulhat hordozható külső meghajtó fertőzött Autorun állománya miatt.
Bővebb információ: http://www.eset.hu/virus/conficker-aa
2. Win32/PSW.OnLineGames.NNU trójai
Elterjedtsége a decemberi fertőzések között: 5.58%
Működés: Ez a kártevő család olyan trójai programokból áll, amelyek billentyűleütés-naplózót (keylogger) igyekszenek gépünkre telepíteni. Gyakran rootkit komponense is van, amelynek segítségével igyekszik állományait, illetve működését a fertőzött számítógépen leplezni, eltüntetni. Ténykedése jellemzően az online játékok jelszavainak begyűjtésére, ezek ellopására, és a jelszóadatok titokban történő továbbküldésére fókuszál. A távoli támadók ezzel a módszerrel jelentős mennyiségű lopott jelszóhoz juthatnak hozzá, amelyeket aztán alvilági csatornákon továbbértékesítenek.
A számítógépre kerülés módja: a felhasználó maga telepíti.
Bővebb információ: http://www.eset.hu/virus/psw-onlinegames-nnu
3. INF/Autorun vírus
Elterjedtsége a decemberi fertőzések között: 4.12%
Működés: Az INF/Autorun egyfajta gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó kórokozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul.
A számítógépre kerülés módja: fertőzött adathordozókon (akár MP3-lejátszókon) terjed.
Bővebb információ: http://www.eset.hu/virus/autorun
4. Win32/Injector trójai
Elterjedtsége a decemberi fertőzések között: 4.00%
Működés: A Win32/Injector trójai olyan Registry bejegyzéseket, illetve külön állományokat hoz létre a számítógép megfertőzésekor, amelyek egy esetleges újraindítást (boot-olást) követően aktivizálják a kártevő kódját, gondoskodnak annak automatikus lefuttatásról. A Windows System32 mappájában (alapértelmezés szerint C:\ Windows\ System32) található wsnpoem, illetve ntos.exe lehet árulkodó jel. A megtámadott gépen hátsó ajtót nyit, és a newvalarsrent.ru weboldalhoz csatlakozik, ahonnan további fájlokat próbál meg letölteni. Rootkit komponenssel is rendelkezik, működése során fájlokat rejt el a fájlkezelő alkalmazások elől (pl. EXPLORER, FAR MANAGER) még akkor is, ha ezek nincsenek ellátva rejtett attribútummal.
A számítógépre kerülés módja: a felhasználó maga telepíti
Bővebb információ: http://www.eset.hu/virus/injector-k
5. Win32/Agent trójai
Elterjedtsége a decemberi fertőzések között: 2.83%
Működés: Ezzel a gyűjtőnévvel azokat a rosszindulatú kódokat jelöljük, amelyek a felhasználók információit lopják el. Jellemzően ez a kártevő család mindig ideiglenes helyekre (Temporary mappa) másolja magát, majd a Rendszerleíró adatbázisban elhelyezett Registry kulcsokkal gondoskodik arról, hogy minden rendszerindításkor lefuttassa saját kódját. A létrehozott állományokat jellemzően .DAT illetve .EXE kiterjesztéssel hozza létre.
A számítógépre kerülés módja: a felhasználó maga telepíti.
Bővebb információ: http://www.eset.hu/virus/agent
6. Win32/Kryptik trójai
Elterjedtsége a decemberi fertőzések között: 2.40%
Működés: A trójai nem rendelkezik saját magát telepítő kódrészlettel, azt a felhasználó maga tölti le és indítja el. A megtámadott számítógépről információkat próbál gyűjteni, amelyeket véletlenszerűen generált néven .htm, illetve .png kiterjesztésű fájlokban tárol el, és azokat különféle weboldalak felé igyekszik továbbítani.
Azért, hogy a trójai gondoskodjon saját indításáról minden egyes rendszerindítás esetén, a rendszerleíró-adatbázisban több különböző bejegyzést hoz létre. Emellett hátsó ajtót is nyit, melyen keresztül a távoli támadó később is könnyen hozzáfér a megfertőzött számítógéphez.
A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ: http://www.eset.hu/virus/kryptik-gt
7. Win32/Adware.WhenUSave alkalmazás
Elterjedtsége a decemberi fertőzések között: 2.04%
Működés: A Win32/Adware.WhenUSave működése során létrehozza a saveupdate.exe nevű állományt. Az ilyen nem kifejezett kártevő, hanem inkább a veszélyes vagy nem kívánt programok kategóriába tartozó kéretlen reklám programok sok esetben élnek olyan trükkökkel, hogy különféle további könyvtárakban is létrehoznak magukból másolatot. Ennek kettős célja van: egyrészt egy esetleges vírusirtást követően egy eldugott helyen megmaradhatnak a fertőzött állományok, másrészt helyi hálózatokban, megosztott könyvtárakban, peer-to-peer hálózatokban is képesek terjedni. Futása során megkísérel a web.whenu.com weboldalhoz kapcsolódni, ahonnan kéretlen reklámokat valamint saját program frissítésit tölti le. A fertőzött gépen aktív böngésző esetén linkeket, időjárás jelentést és más kéretlen reklámokat jelenít meg.
A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ: http://www.eset.hu/virus/adware-whenusave
8. Win32/TrojanDownloader.Swizzor trójai
Elterjedtsége a decemberi fertőzések között: 1.96%
Működés: A Trojan.Downloader.Swizzor egy olyan kártevő, melynek segítségével további kártékony állományokat másolnak a támadók a fertőzött számítógépre. Többnyire reklámprogramokat tölt le és telepít. A Swizzor terjedéséhez a hiszékenységet is kihasználja: olyan programokba is bele szokták rejteni, amelyek látszólag peer 2 peer hálózatok sebességét (pl. Torrent) optimalizálják, valójában azonban maga a kártevő lapul a „csomagban”. Emellett hátsó ajtót is nyit a megtámadott számítógépen. A bűnözők így teljes mértékben átvehetik a számítógép felügyeletét: alkalmazásokat futtathatnak, állíthatnak le, állományokat tölthetnek le/fel, jelszavakat, hozzáférési kódokat tulajdoníthatnak el.
A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ: http://www.eset.hu/virus/trojandownloader-swizzor-nbf
9. Win32/VB.EL féreg
Elterjedtsége a decemberi fertőzések között: 1.92%
Működés: A VB.EL (vagy más néven VBWorm, SillyFDC) féreg hordozható adattárolókon és hálózati meghajtókon képes terjedni. Fertőzés esetén megkísérel további káros kódokat letölteni a 123a321a.com oldalról. Automatikus lefuttatásához módosítja a Windows Registry HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Run bejegyzését is. Árulkodó jel lehet a sal.xls.exe állomány megjelenése a C: és minden további hálózati meghajtó főkönyvtárában.
A számítógépre kerülés módja: Fertőzött adattároló (USB kulcs, külső merevlemez, stb.) csatlakoztatásával terjed.
Bővebb információ: http://www.eset.hu/virus/vb-el
10. Win32/TrojanDownloader.Bredolab.AA trójai
Elterjedtsége a decemberi fertőzések között: 1.88%
Működés: A Win32/TrojanDownloader.Bredolab.AA egy olyan trójai program, melynek segítségével a távoli oldalakról letöltődnek és végrehajtódnak ezek a kódok. Futása közben a Windows, illetve a Windows/System32 mappákba igyekszik új kártékony állományokat létrehozni. Emellett a Registry adatbázisban is a bejegyzéseket manipulál, egészen pontosan kulcsokat készít, illetve módosít a biztonságitámogatás-szolgáltató (SSPI – Security Service Provider Interface) szekcióban. Ez a beállítás felel eredetileg a felhasználó hitelesítő adatainak továbbításáért az ügyfélszámítógépről a célkiszolgálóra.
A számítógépre kerülés módja: a felhasználó tölti le és futtatja.
Bővebb információ: http://www.eset.hu/virus/trojandownloader-bredolab-aa
