Az amerikai Sunbelt Software kutatócsoportja, a Sunbelt Threat Research Center 2008 májusában is megjelentette toplistáját a márciusban legfertőzőbb kémprogramokról és számítógépes károkozókról. A listát a Sunbelt szakemberei a díjnyertes CounterSpy kémprogram-eltávolítót használó és a Sunbelt ThreatNet^TM káros alkalmazások elleni hálózatban résztvevő felhasználók automatikus visszajelzései alapján készítik.

Régi ismerősök a májusi toplistán

A 2008. április toplista újdonságaihoz képest helyreállt a „rend": a toplistára visszatértek a korábban már jól ismert fertőzéseket okozó káros alkalmazások. Az első két hely szereplője változatlan: a hamis biztonsági riasztásokat adó Trojan.FakeAlert, a felnőtt tartalmak lejátszáshoz szükséges Trojan-Downloader.Zlob.Media-Codec, ugyanakkor újdonság az Rbot dobogós helyezése és a NewMediaCodec gyors terjedése. Rajtuk kívül tavalyi reklámprogramok és kémprogramok kerültek vissza a toplistára: az 5. helyen a Virtumonde majd a CWS.DesktopHijack, a 8. helyet a januárban megjelent Trojan.internet érdemelte ki. Ezt két új kémprogram követi, köztük az SDbot térnyerése szembetűnő: akár a felhasználó teljes képernyőjét is továbbítani képes kémprogram az Rbot-hoz hasonlóan széles arzenált ad a bűnözők kezébe a fertőzött számítógépen. Május során azonban elsősorban a különféle hirdetéseket megjelenítő programok által okozott fertőzések számának növekedése figyelhető meg, ami „üdítő" kivételt jelent az áprilisi kémprogram-invázió után.

BKV: fordítva a lovon

Az elmúlt hónap kétségtelenül legnagyobb magyar vonatkozású kémprogram-hírét a BKV hálózatában talált kártékony szoftverek jelentették. Az eset után a sajtó többször is kikérte a Sunbelt Software véleményét az ügyről. Először is, az egyik legnagyobb „hozománynak" az tekinthető, hogy a sajtó felkapta a hírt, s ma már talán lényegesen többen vannak tisztában a kémprogram fogalmával és az általa okozható károkkal. A megnyilatkozásokból ugyanakkor az is kiderül, hogy nagyon kevesen veszik komolyan ezt a fenyegetést, egyúttal teljes a fogalmi káosz. A BKV ugyanis nem hozta nyilvánosságra, hogy mely kémprogramokról van szó, így azt sem lehet tudni, hogy adott esetben néhány „ártalmatlan" kéretlen hirdetést, pop-upot megjelentető reklámprogramról, vásárlásra ösztönző hamis biztonsági szoftverről, rootkitről, vagy valós, hátsó ajtót nyitó kémprogramról van szó, amellyel valóban adatokat – esetlegesen egyes személyek közti levelezést – lehetne illegálisan eltulajdonítani. Arról sincs hír, hogy a programokat egy, vagy több gépen, vagy szerveren találták-e a rendszergazdák. „Igazán valószínűtlennek tartjuk, hogy kémprogramok segítségével került volna ki levelezés a BKV rendszeréből." – mondja Bódis Ákos, a Sunbelt Software magyarországi képviseletének vezetője.

Tény az is, hogy a BKV által az ügyben hozott intézkedések szakmailag indokolatlanok. Így például feleslegesen korlátozták a dolgozók internet hozzáférését, illetve az elérhető weblapok körét. A letöltések tiltása ésszerű ugyan, ám a leghatékonyabb megoldás nem a felhasználók munkavégzésének és internethasználatának korlátozása, hanem a megfelelő kémprogram-védelem megvalósítása. Az antivírusok többsége egyáltalán nem, vagy csak korlátozott mértékben kínál megoldást, ezért a különálló kémprogram-eltávolító használata alapvető fontosságú egy ekkora szervezet életében. A valós idejű kémprogram-adatbázis frissítéssel működő biztonsági szoftverek könnyen biztosíthatják a betörések meggátolását, illetve a kémprogramok telepítés előtti azonosítását és eltávolítását. Az is tény, hogy a kémprogramokkal egy BKV-méretű szervezetben csak elenyésző kárt lehet tenni, a több ezer számítógép között véletlenszerűen lehet értékes adatokhoz jutni. Egy azonban biztos: a BKV kémprogram-elleni védelme nem teljes, s talán ma már több cég látja: a kémprogramok által jelentett fenyegetettség és kár nem feltétlenül merül ki az adatok illetéktelen kezekbe jutásával, lényegesen több kárt okozhat a cég hírnevén elszenvedett csorba.

A legfertőzőbb kémprogramok és káros alkalmazások 2008 májusában:

1. Trojan.FakeAlert (trójai)

A kémprogram tipikusan a tálcáról felugró tájékoztató ablakokban hívja fel a felhasználó figyelmét számítógépe fertőzöttségére, és megpróbálja rávenni a gyanútlan felhasználót különböző rosszindulatú, biztonsági programnak álcázott szoftverek, például ál-antivírusok feltelepítésére.

2. Trojan-Downloader.Zlob.Media-Codec (trójai letöltő)

A káros alkalmazás általában felnőtt tartalmú honlapokon az egyes videók lejátszásához szükséges Windows Media Player bővítményként tünteti fel magát, valójában viszont további káros alkalmazásokat és kémprogramokat tölt le a felhasználó számítógépére. A Trojan-Downloader.Zlob.Media-Codec a háttérben letölt és feltelepít olyan rosszindulatú, biztonsági szoftvereknek álcázott kémprogramokat, mint a SpywareQuake, a SpyFalcon vagy a WinAntivirusPro, amik később újabb és újabb károkozók letöltéséhez vezetnek.

A Trojan-Downloader.Zlob.Media-Codec fertőzésnek olyan változata is ismert, ami hátsó ajtót nyit a felhasználó számítógépén, így a programírók távolról átvehetik az irányítást a számítógép felett, és azt különböző illegális tevékenységekre használhatják fel.

3. Backdoor.Rbot (hátsó ajtó, rootkit)

A Backdoor.Rbot, nevének megfelelően tökéletes robotot varázsol a számítógépből, miután egy botnet (vagyis robot-hálózat) részeként a legkülönfélébb illegális tevékenységekben vehet részt. A botnetek felelősek a spam áradat jelentős részéért, míg hálózati támadásokra, kiszolgálók lebénítására vagy további károkozók terjesztésére is sokszor alkalmazzák őket.

Az Rbot variánsok sokféle feladat elvégzésére képesek, például a fertőzött számítógépen jelszavakat, szoftverlicenceket és egyéb személyes adatokat is össze tudnak gyűjteni, hogy azokat később átadják a bűnözők számára. Más Rbotok képesek antivírusokat kikapcsolni és csökkenteni a számítógép védettségét, míg legújabb változatai már az FU kernel-módú rootkitet felhasználva a Windows, a felhasználó és sok biztonsági szoftver számára is teljesen láthatatlanná válnak.

4. Trojan.NewMediaCodec (trójai)

A New Media Codec trójai alkalmazás a Zlob.Media-Codec családhoz hasonlóan Windows Media Player frissítésnek tünteti fel magát, és tipikusan felnőtt tartalmú videók lejátszásakor kér engedélyt a felhasználótól a „frissítés" elvégzésére. Telepítését követően a kérdéses videó általában megtekinthetővé válik, viszont a trójai alkalmazás a háttérben azonnal elkezd különböző kémprogramokat és további károkozókat letölteni a gyanútlan felhasználó számítógépére.

5. Virtumonde (reklámprogram)

A Virtumonde felugró ablakokban különböző kéretlen reklámokat jelenít meg, a háttérben pedig további károkozók letöltésére, és különböző összegyűjtött adatok elküldésére is képes. A fertőzést általában nehéz eltávolítani, több módszerrel is próbál a kémprogram-eltávolítók ellen küzdeni.

6. CWS.DesktopHijack (reklámprogram)

Az Internet Explorerbe beépülő program megváltoztatja a kezdőlap beállításait, saját toolbart telepít és hamis biztonsági szoftverek hirdetéseit jeleníti meg. A programot kifejezetten nehéz eltávolításáról híres, amivel több biztonsági szoftver sem boldogul.

7. Trojan.Unclassified.gen (hasonló trójai programok)

A Trojan.Unclassified.gen kategóriába olyan trójai alkalmazások tartoznak, amelyeket a CounterSpy felismer, de egyenkénti elnevezésükre és elemzésükre még nem került sor. A kategória több hasonló fertőzést tartalmaz.

8. Trojan.internet (trójai)

A januárban megjelent károkozó eszközmeghajtóként telepítődik a számítógépre, és folyamatosan szemmel tartja a látogatott weboldalak címeit. Az összegyűjtött listát rendszeresen távoli szerverekre küldi el, míg újabb változatait különböző internetes csalásokra is felhasználják.

9. Hyperlinks Rotator (reklámprogram)

A reklámprogram különböző hirdetéseket jelenít meg felváltva a felhasználó számítógépén. Általában az Internet Speed Monitor nevű alkalmazás telepítésére veszi rá a felhasználót, de lényegében mindegy, melyik reklámablakra kattintunk, az legtöbbször további károkozók telepítéséhez vezet.

10. Backdoor.SDbot (hátsó ajtó)

Az Rbot hátsó ajtóhoz hasonlóan működő SDbot szintén arra alkalmas, hogy a felhasználó számítógépét távirányíthatóvá tegye a bűnözők számára, ez esetben is a felhasználó tudta és beleegyezése nélkül. Az SDbot miután beépül a rendszerbe, csatlakozik egy IRC kiszolgálóhoz ahol az illegális gépek hálózatát irányító botmaster számára számtalan lehetőséget kínál: képes kikapcsolni antivírusokat, frissíteni önmagát, hálózati támadásokat indítani vagy kémkedéshez a teljes képernyő képét és az összes billentyűleütést is továbbíthatja a bűnözők számára.