Panda Software: недельный отчет о вирусах и вторжениях (30 неделя 2007 года)
На этой неделе в традиционном отчете будут рассмотрены три вредоносных кода: троян PayRob.A, утилита Icepack и червь Chasnah.A. PayRob.A – это троян, предназначенный для кражи данных из учетных записей PayPal. Как и большинство троянов, PayRob.A не способен распространяться самостоятельно, для этого ему необходимо вмешательство хакера. После запуска PayRob.A присваивает себе атрибуты скрытого файла и редактирует реестр Windows для того, чтобы запускаться при каждой загрузке системы. Троян создает на зараженном компьютере две своих копии – одну в папке временных файлов интернета, а вторую – в C: WINDOWS MSAPPS. Если в системе не обнаружена последняя директория, пользователь видит сообщение об ошибке. Также он помещает копию файла под названием modeexpinovo.txt в папку с временными интернет-файлами. В этом текстовом файле хранятся все пароли PayPal, найденные трояном в зараженной системе. Хакеры могут получать удаленный доступ к этому файлу с определенного интернет-хоста. Червь Chasnah.A демонстрирует сообщения на индонезийском языке, когда пользователь логинится, а также время от времени открывает веб-страницу какой-нибудь индонезийской организации. Этот червь использует для своего распространения папки совместного доступа и USB-устройства. После запуска Chasnah.A создает в зараженной системе несколько файлов, а также несколько записей в реестре Windows. Далее при каждом входе пользователь видит сообщение на английском и индонезийском языках. Кроме того, периодически червь открывает веб-браузер и просматривает страницу, о которых уже упоминалось чуть выше. Chasnah.A снижает уровень защиты системы за счет блокировки запуска некоторых приложений безопасности, а также время от времени он проверяет, нет ли подключенных к компьютеру USB-устройств, которые можно заразить. Последним мы рассмотрим IcePack – вредоносную утилиту, предназначенную для инсталляции вредоносного ПО с помощью эксплойтов. Icepack заражает компьютеры следующим образом: утилита получает доступ к определенной веб-странице, куда она добавляет iframe-ссылку, ведущую на сервер, на котором установлено данное приложение. Основное отличие Icepack заключается в том, что такую ссылку добавляет сама утилита. Предыдущим приложениям, таким как Mpack, были необходимы действия хакера, который вручную осуществлял доступ к веб-страницам, на которые затем добавлялась ссылка. При посещении таких искаженных страниц пользователями, активируется Icepack, которая анализирует компьютер пользователя на предмет уязвимостей. При положительном результате она скачивает из сети эксплойт, необходимый для использования имеющейся в компьютере уязвимости. Еще один отличительный признак Icepack - это то, что она использует эксплойты, соответствующие самым последним выявленным уязвимостям. Этому есть разумное объяснение – в таком случае существует меньшая вероятность того, что пользователи уже обновили свои компьютеры для исправления новейших брешей безопасности. После этого кибер-преступники могут загружать на зараженные компьютеры любое вредоносное ПО. Другое нововведение в Icepack – он сочетает в себе программу проверки ftp и iframe.
