Tarolnak Az Exploitokat Kihasználó JavaScriptes Kártevők

Az ESET víruslaboratóriumának szakértői szerint egyre több veszély leselkedik a fertőzött weboldalakon azokra, akik nem futtatják le a Windows, az Office és immár az Adobe alkalmazásaik biztonsági frissítéseit.

Bár Magyarországon továbbra is a Virtumonde végzi a legnagyobb pusztítást, egyre inkább erősödik a múlt hónapban a vírusok magyarországi 10-es toplistájára került JS/Exploit.Agent nevű kártevő: míg áprilisban csak a kilencedik volt, májusban már a hatodik helyet sikerült elfoglalnia.

Ha megnézzük napjaink legújabb fertőzési forrásait, egyre inkább a népszerű fájlformátumokra készült exploitok (biztonsági sérülékenységet kihasználó támadó kódok) tekinthetők „slágernek". A Microsoft Office irodai programcsomag fájltípusai mellett ezek között rendre megtaláljuk az Adobe PDF és SWF, valamint az Apple QuickTime kiterjesztéseket is. Így az elmúlt időszakban tömegesen jelentek meg olyan weboldalak, amelyeken preparált, a különféle sebezhetőségeket kihasználó PDF, SWF, DOC stb. dokumentumok találhatóak.

A kártevő a támadó részére a webes látogató gépéhez hozzáférést biztosít, onnan fájlokat olvashat ki és módosíthat. Mindezek mellett a károkozót tartalmazó fertőzött weboldal arra is képes, hogy az Internet Explorer bizonyos verzióiban egy kártékony kódot futtasson a gyanútlan látogató számítógépén, természetesen annak beleegyezése és jóváhagyása nélkül.

Reális veszély emellett az is, hogy a védtelen, és megfertőzött számítógépeken a kártevők az FTP jelszavakat ellopják, majd ennek birtokában a weboldalak kódjába szúrnak be olyan IFRAME szekciót, amelynek linkje zömében kínai weboldalakról igyekszik újabb kártevőket letölteni a látogatók gépeire. Akár kimondható, hogy egy új korszak jött el az interneten, amikor a vírusoknak köszönhetően már egy kattintás után sem lehetünk benne biztosak, hova is jutunk el a végén.

Veszélyben a weboldalunk
Aki saját weboldalát FTP elérésen keresztül szokta szerkeszteni, még nagyobb figyelmet kell, hogy fordítson számítógépének tisztaságára. Hiába tartja ugyanis titokban FTP jelszavát, a kártevő képes azt kiolvasni, és végigfertőzni a weboldal akár összes HTM, HTML és PHP állományát. Ilyen fertőzés esetén a weboldal kódjának „kigyomlálása" csak az egyik lényeges teendő, a haladéktalan FTP jelszócsere, illetve lehetőség szerint áttérés titkosított FTP kapcsolatra, ugyanilyen fontos.

Ha pedig tudomásunk nélkül megfertőzték weboldalunkat, amelyet a Google kereső már feketelistára is tett „Bejelentett támadó webhely" címkével, úgy a mentesítés után a Google Webmester Tools segítségével kérhetjük, hogy vonják vissza az oldalunk blokkolását, amelyet általában néhány nap alatt teljesítenek.

Végezetül következzen a magyarországi toplista. Az ESET több százezer magyarországi felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2009 májusában az alábbi 10 károkozó terjedt a legnagyobb számban hazánkban. Ezek együttesen 39,26%-ot tudtak a teljes tortából kihasítani maguknak.

1. Win32/Adware.Virtumonde alkalmazás
Működés: A Virtumonde (Vundo) program a kéretlen alkalmazások (Potentially Unwanted) kategóriájába esik az ESET besorolása szerint. A károkozó elsődleges célja kéretlen reklámok letöltése a számítógépre. Működés közben megkísérel további kártékony komponenseket, trójai programokat letöltő webcímekre csatlakozni. Futása közben különféle felnyíló ablakokat jelenít meg. A Win32/Adware.Virtumonde trójai a Windows System32 mappájában véletlenszerűen generált nevű fájl(oka)t hoz létre.

2. Win32/Conficker.AA féreg
Működés: A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows legfrissebb biztonsági hibáját kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségre építve a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját. A Conficker először betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy azokról további kártékony kódokat töltsön le. Emellett a féreg módosítja a host fájlt, ezáltal számos vírusvédelmi webcím is elérhetetlenné válik a megfertőzött számítógépen.

3. INF/Autorun vírus
Működés: Az INF/Autorun egyfajta gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó kórokozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul.

4. Win32/TrojanDownloader.Swizzor.NBF trójai
Működés: A Trojan.Downloader.Swizzor egy olyan kártevő, melynek segítségével további kártékony állományokat másolnak a támadók a fertőzött számítógépre. Többnyire reklámprogramokat tölt le és telepít. A Swizzor terjedéséhez a hiszékenységet is kihasználja: olyan programokba is bele szokták rejteni, amelyek látszólag peer 2 peer hálózatok sebességét (pl. Torrent) optimalizálják, azonban valójában maga a kártevő lapul a „csomagban".

Emellett hátsóajtót is nyit a megtámadott számítógépen. A bűnözők így teljes mértékben átvehetik a számítógép felügyeletét: alkalmazásokat futtathatnak, állíthatnak le, állományokat tölthetnek le/fel, jelszavakat, hozzáférési kódokat tulajdoníthatnak el.

5. Win32/Wigon trójai
Működés: A Win32/Wigon trójai kártevő család a számítógépre jutva különböző fájlokat hoz létre a WindowsSystem32 alkönyvtárban, ezek egyike a WinCtrl32.dll. Ezek segítségével készít el további kártékony állományokat a helyi gép TEMP mappájában, és eközben a rendszerleíró adatbázisban is módosításokat végez. A bejegyzések segítségével eléri, hogy a fertőzött DLL állomány törlése utáni rendszerindításkor az állomány ismét visszakerülhessen. Tevékenysége során elindít egy szervizfolyamatot is a fertőzött gép memóriájában.

6. JS/Exploit.Agent.AFH trójai
Működés: A JS/Exploit.Agent.AFH fertőzött weboldalak kódjába rejtett JavaScript program, amely védtelen számítógépek biztonsági hibáját használja ki. A JS/Exploit.Agent névre keresztelt károkozó a terjedéséhez egy már korábbról jól ismert Microsoft sebezhetőséget is képes kihasználni (egészen pontosan az MS99-042 nevűt.

A kártevő a támadó részére a webes látogató gépéhez hozzáférést biztosít, onnan fájlokat olvashat ki és módosíthat. Működés közben megkísérel további kártékony komponenseket, trójai programokat letöltő webcímekre csatlakozni. Esetleges fertőzés és mentesítés után érdemes a webböngésző átmeneti tárolóját (Temporary Internet Files mappa) is kitörölni, valamint a szükséges Windows biztonsági javításokat haladéktalanul telepíteni.

7. Win32/Agent trójai
Működés: Ezzel a gyűjtőnévvel azokat a rosszindulatú kódokat jelöljük, amelyek a felhasználók információit lopják el. Jellemzően ez a kártevőcsalád mindig ideiglenes helyekre (Temporary mappa) másolja magát, majd a Rendszerleíró adatbázisban elhelyezett Registry kulcsokkal gondoskodik arról, hogy minden rendszerindításkor lefuttassa saját kódját. A létrehozott állományokat jellemzően .DAT illetve .EXE kiterjesztéssel hozza létre.

8. WMA/TrojanDownloader.GetCodec.gen trójai
Működés: Számos olyan csalárd módszer létezik, melynél a kártékony kódok letöltésére úgy veszik rá a gyanútlan felhasználót, hogy ingyenes és hasznosnak tűnő alkalmazást kínálnak fel neki letöltésre és telepítésre. Az ingyenes MP3 zenéket ígérő program mellékhatásként azonban különféle kártékony komponenseket telepít a Program FilesVisualTools mappába, és ezekhez tucatnyi Registry bejegyzést is létrehoz. Telepítése közben és utána is kéretlen reklámablakokat jelenít meg a számítógépen.

9. Win32/PSW.OnLineGames.NMY trójai
Működés: Ez a kártevőcsalád olyan trójai programokból áll, amelyek billentyűleütés-naplózót (keylogger) igyekszenek gépünkre telepíteni. Gyakran rootkit komponense is van, amelynek segítségével igyekszik állományait, illetve működését a fertőzött számítógépen leplezni, eltüntetni. Ténykedése jellemzően az online játékok jelszavainak begyűjtésére, ezek ellopására, és a jelszó adatok titokban való továbbküldésére fókuszál. A távoli támadók ezzel a módszerrel jelentős mennyiségű lopott jelszóhoz juthatnak hozzá, amelyeket aztán alvilági csatornákon továbbértékesítenek.

10. Win32/Delf.NFB féreg
Működés: A Wind32/Delf.NFB féreg egy PECompact segítségével összetömörített kártevő, amely lefutva különböző fájlokat (pl. sRpcS.dll, RpcS.exe, hma.exe) hoz létre a WindowsSystem32 alkönyvtárban. A fertőzés során módosít bizonyos Registry kulcsokat is, amelyek az RPCS (Remote Procedure Call System), azaz a távoli eljáráshívásokkal kapcsolatosak, és elindít egy szervizfolyamatot windows_0 vagy RpcS néven a memóriában. Tevékenysége során további kártékony kódokat igyekszik letölteni Kínában bejegyzett weboldalakról.