Hatodik hónapja vezet az Autorun vírus

2011. október 14. 09:05 - Csizmazia Darab István [Rambo]

Az ESET minden hónapban összeállítja a világszerte terjedő számítógépes vírusok toplistáját, melyből megtudhatjuk, hogy aktuálisan milyen kártevők veszélyeztetik leginkább a felhasználók számítógépeit.

Továbbra is érintetlen az élboly: első az Autorun vírus és második a Conficker féreg. Ebben a hónapban mindössze minimális mozgást lehetett észlelni, tulajdonképpen a lista tagjai nem is változtak meg az előző hónaphoz viszonyítva, inkább csak egyfajta helycsere, átrendeződés történt. Ha a változásokat megnézzük, egyből két helyet is előrelépett a Win32/Ramnit fájlfertőző vírus, amely a HTM illetve HTML fájlokba illeszt kártékony utasításokat. Végrehajtásakor sebezhetőséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszőleges kód futtatására nyílik lehetőség. Míg az előző hónapban a negyvenegyedik helyről lépett a tizedikre, ebben a hónapban ezúttal nyolcadik lett.

Hasonlóan előrefelé araszolt - igaz csak egyet - a Win32/Autoit féreg, amely cserélhető adathordozók segítségével terjed, de olyan variánsa is van, amelyik az MSN üzeneteket használja fel a fertőzés terjesztésére. Súlyos adatvesztést is okozhat, ugyanis ha a féregnek sikerül megfertőznie a rendszert, akkor az összes lokális és hálózati meghajtón megkeresi a futtatható állományokat, és kicseréli őket saját magára. E havi teljesítménye a hatodik helyhez volt elég.

Emiatt az ESET e havi hónapzáró jó tanácsai között kiemelten hangsúlyozza az adatmentés fontosságát, amelyet minden, de különösen az otthoni felhasználóknak érdemes megszívlelni. Míg általában céges környezetben ez jellemzően megoldott valamiféle rendszeres külső adathordozóra vagy felhőbe mentés formájában, addig a magánszemélyek legtöbbször kényelemszeretetből, lustaságból vagy spórolásból elhanyagolják azt, és enyhébb-súlyosabb adatvesztéseket szenvednek el.

Ugyancsak érdekes, hogy Win32/PSW.OnLineGames trójai mennyire állandó szereplője a toplistáknak. A lassan három éve, 2008. december óta jelenlevő Win32/PSW.OnLineGames olyan programokból áll, amelyek billentyűleütés-naplózót (keylogger) igyekeznek gépünkre telepíteni. A kártevőcsalád tevékenysége jellemzően az online játékok jelszavainak begyűjtésére, és a jelszó adatok titokban történő továbbküldésére koncentrálódik. Szeptember havi adatokat összesítő toplistánkon most a kilencedik helyet sikerült megszereznie.

Az ESET több millió felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2011. szeptemberében a következő 10 károkozó terjedt világszerte a legnagyobb számban, és volt együttesen felelős az összes fertőzés 24.02%-áért.

1. INF/Autorun vírus
Elterjedtsége a szeptemberi fertőzések között: 6.49%
Előző havi helyezés: 1.

Az INF/Autorun gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul, és fertőzött adathordozókon (akár MP3-lejátszókon is) terjed.

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21autorun

2. Win32/Conficker féreg
Elterjedtsége a szeptemberi fertőzések között: 3.65%
Előző havi helyezés: 2.

A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows MS08-067 biztonsági bulletinben tárgyalt hibát kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségre építve a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját. A Conficker először betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos antivírus cég honlapja elérhetetlenné válik a megfertőzött számítógépen. Változattól függően a felhasználó maga telepíti, vagy egy biztonsági résen keresztül felhasználói beavatkozás nélkül magától települ fel, illetve automatikusan is elindulhat egy külső meghajtó fertőzött Autorun állománya miatt.

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21conficker

3. Win32/Dorkbot féreg
Elterjedtsége a szeptemberi fertőzések között: 3.23%
Előző havi helyezés: 4

A Win32/Dorkbot féreg cserélhető adathordozók segítségével terjed. A féreg tartalmaz egy hátsóajtó komponenst is, melynek segítségével távolról átvehető az irányítás a fertőzött számítógép felett. Maga a futtatható állomány UPX segítségével tömörített EXE, futtatása során pedig összegyűjti az adott gépről a weboldalakhoz tartozó felhasználói neveket és jelszavakat, majd ezeket megkísérli egy távoli gépre elküldeni.

Bővebb információ: http://www.eset.eu/encyclopaedia/win32-dorkbot-a-worm-gen-trojan-menti-gjic-pws-zbot-fo

4. Win32/Sality vírus
Elterjedtsége a szeptemberi fertőzések között: 2.29%
Előző havi helyezés: 5

A Win32/Sality egy polimorfikus fájlfertőző vírus. Futtatása során elindít egy szerviz folyamatot, illetve Registry bejegyzéseket készít, hogy ezzel gondoskodjon arról, hogy a vírus minden rendszerindítás alkalmával elinduljon. A fertőzése során EXE illetve SCR kiterjesztésű fájlokat módosít, és megkísérli lekapcsolni a védelmi programokhoz tartozó szerviz folyamatokat.

Bővebb információ: http://www.eset.eu/encyclopaedia/sality_nar_virus__sality_aa_sality_am_sality_ah

5. HTML/Iframe.B.Gen vírus
Elterjedtsége a szeptemberi fertőzések között: 1.97%
Előző havi helyezés: 3

Működés: A HTML/Iframe egy gyűjtőneve az olyan vírusoknak, amelyek HTML weboldalak Iframe tagjeibe ágyazódva egy megadott URL helyre irányítja át a böngészőt a felhasználó tudta és engedélye nélkül. Fertőzött weboldalakon keresztül terjed.

Bővebb információ: http://www.eset.eu/virus/html-iframe-b-gen

6. Win32/Autoit féreg
Elterjedtsége a szeptemberi fertőzések között: 1.65%
Előző havi helyezés: 7

A Win32/Autoit féreg cserélhető adathordozók segítségével terjed, de olyan variánsa is van, amelyik az MSN üzeneteket használja fel a fertőzés terjesztésére. Emellett kártékony weboldal letöltéseivel is terjedhet, illetve más kártevő is létrehozhatja (drop) azt. Súlyos adatvesztést is okozhat, ugyanis ha a féregnek sikerül megfertőznie a rendszert, akkor az összes lokális és hálózati meghajtón megkeresi a futtatható állományokat, és kicseréli őket saját magára

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21autoit

7. HTML/ScrInject.B trójai
Elterjedtsége a szeptemberi fertőzések között: 1.56%
Előző havi helyezés: 6.

Működés: A HTML/ScrInject trójai egy RAR segédprogrammal tömörített állomány, amely telepítése során egy üres (c:\windows\blank.html) állományt jelenít meg a fertőzött gép böngészőjében. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/scrinject-b-gen

8. Win32/Ramnit vírus
Elterjedtsége a szeptemberi fertőzések között: 1.09
Előző havi helyezés: 10

A Win32/Ramnit egy fájlfertőző vírus, amelynek kódja minden rendszerindításkor lefut. DLL és EXE formátumú állományokat képes megfertőzni, ám ezen kívül a HTM illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetőséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszőleges kód futtatására nyílik lehetőség. A támadók a távoli irányítási lehetőséggel képernyőképek készítését, jelszavak és egyéb bizalmas adatok kifürkészését, továbbítását is el tudják végezni.

Bővebb információ: http://www.eset.eu/encyclopaedia/win32-ramnit-a-backdoor-ircnite-bwy-w32?lng=en

9. Win32/PSW.OnLineGames trójai
Elterjedtsége a szeptemberi fertőzések között: 1.09%
Előző havi helyezés: 8.

Működés: Ez a kártevőcsalád olyan trójai programokból áll, amelyek billentyűleütés-naplózót (keylogger) igyekszenek gépünkre telepíteni. Az ide tartozó károkozóknak rootkit komponensei is vannak, melyek segítségével igyekeznek állományaikat és működésüket a fertőzött számítógépen leplezni, eltüntetni. A kártevőcsalád ténykedése jellemzően az online játékok jelszavainak ellopására, majd a jelszóadatok titokban történő továbbküldésére fókuszál. A bűnözők ezzel a módszerrel jelentős mennyiségű lopott jelszóhoz juthatnak hozzá, amelyeket aztán alvilági csatornákon továbbértékesítenek.

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21psw-onlinegames

10. JS/TrojanDownloader.Iframe.NKE trójai
Elterjedtsége a szeptemberi fertőzések között: 1.00%
Előző havi helyezés: 9

A JS/TrojanDownloader.Iframe.NKE trójai módosítja a böngészőklienst, és önhatalmúlag átirányítja a találatokat különféle kártékony programokat tartalmazó rosszindulatú weboldalakra. A trójai kártevő kódja leggyakrabban a weboldalak HTML beágyazásában található.