Перейти к содержанию
EYE

Компания "Доктор Веб" представляет июньский обзор вирусной активности

Recommended Posts

EYE

Компания "Доктор Веб" представляет июньский обзор вирусной активности

1 июля 2008 года

http://info.drweb.com/show/3422/ru

О вирусах

Весьма заметным событием на вирусном фронте в июне можно считать нарастающее распространение опасного файлового вируса Win32.Sector.5 (в классификации некоторых антивирусных вендоров – Sality). Количество обращений администраторов компаний, пострадавших от действия этого вируса, в службу технической поддержки компании «Доктор Веб» на протяжении июня, позволяет говорить о настоящей эпидемии. По свидетельству пострадавших, проблемы с данной модификацией семейства Sector начались еще в феврале 2008 года. В нынешнем месяце эпидемия приняла катастрофические размеры и масштабы ее впечатляют. Среди пострадавших – банки, аудиторские компании, торговые сети, разработчики ПО, инжиниринговые компании, НИИ, учреждения культуры федерального статуса.

Первые экземпляры семейства Sector появились в начале 2003 года. За пять лет вирус эволюционировал, сохранив свои вредносные качества и добавив к ним новые. От версии к версии вирус становился все более "молчаливым", не стремясь сообщать жертвам о своем присутствии. Специалисты антивирусной лаборатории компании "Доктор Веб" считают данную трансформацию вируса свидетельством использования его для сокрытия иных, не столь изощренных, но не менее вредоносных программ, создаваемых для хищения конфиденциальной информации и проведения спам-атак.

Поселившись в системе, Win32.Sector.5 внедряет свой код в память всех активных процессов, удаляет некоторые ветки реестра, после этого загрузка в «Безопасном режиме» становится невозможной. Далее, он заражает файлы с расширением .exe и .scr на всех доступных дисках и сетевых ресурсах. Для ускорения распространения заражает файлы, прописанные в автозагрузку, и файлы, наиболее часто запускаемые в системе. В добавок, Win32.Sector.5, удаляет файлы и процессы, относящиеся к действию большинства антивирусных программ, а также блокирует доступ к сайтам этих компаний, что делает невозможным скачивание обновлений. В отличие от других антивирусных программ, которые либо блокируют доступ к зараженному файлу, либо удаляют его, антивирус Dr.Web корректно лечит файлы, инфицированные Win32.Sector.5. Для пользователей антивируса Dr.Web, регулярно обновляющих вирусные базы, данный вирус не представляет угрозы. Если на Вашем ПК установлен другой антивирус, но Вы полагаете, что Ваш компьютер может быть инфицирован Win32.Sector.5, рекомендуем проверить чистоту ПК, скачав бесплатную лечащую утилиту Dr.Web CureIt! и запустив ее на исполнение.

О троянских программах

В начале июня интернет-общественность была взбудоражена сообщениями о появлении новой модификации троянской программы семейства Encoder – Trojan.Encoder.18 в классификации Dr.Web (некоторые другие антивирусные вендоры назвали его Gpcode). Поникнув в систему, троянец осуществляет поиск файлов с определенными расширениями (в основном, документов Microsoft Office) и шифрует содержащиеся в них данные, после чего требует от их владельца денежные средства за дешифровку. В случае с данным троянцем восстановление таких данных представляет большую сложность, т.к. вирусописателем был применен ключ шифрования длиной 1024 бита.

Пользователи антивируса Dr.Web были надежно защищены от Trojan.Encoder.18, т.к. еще до обнаружения образца этой модификации службой вирусного мониторинга компании «Доктор Веб» данный вирус определялся как Trojan.Sespy.origin благодаря использованию в Dr.Web уникальной технологии несигнатурного обнаружения вредоносных объектов Dr.Web Origins Tracing™.

Подобное развитие событий можно было предугадать еще в прошлом году, когда автор Trojan.Encoder использовал более короткие ключи шифрования. Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя для пира своих возможностей по дешифровке файлов данных. Однако ясно было, что в подобной гонке победа не будет за антивирусными компаниями - рано или поздно, должен был появиться достаточно длинный ключ, «взлом» которого в разумные сроки не был бы возможным. Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы, чтобы не дать ей возможность выполнить свою деструктивную функцию. Как показала практика, это гораздо эффективнее, чем мобилизация мирового сообщества для «взлома» килобитных ключей RSA.

О курьезном

К числу курьезных происшествий можно отнести панику, поднятую 22 июня пользователями популярной программы для мгновенного общения ICQ из-за появления в списке их контактов якобы «вирусного» контакта с номером 12111. Служба технической поддержки компания «Доктор Веб» получила множество запросов пользователей, обеспокоенных появлением этого контакта, хотя контакт вирусом быть не может. Страсти утихли только тогда, когда появление 12111 было объяснено на сайте самой ICQ.

О спаме

В июне характерно проявилась тенденция к минимизации размера спам-писем. Было отмечено более десятка спам-волн, в которых рассылаемое письмо состояло из броского заголовка, призванного привлечь внимание получателя, а в теле письма находились ссылка на веб-сайт и несколько слов комментариев. Отсылка пользователей к веб-сайтам в последнее время становится все более распространенным способом, используемым спамерами для обхода спам-фильтров. Следует обратить внимание, что этот способ таит еще одну опасность - ссылки часто могут вести на зараженную веб-страницу, посетив которую пользователь рискует получить себе на компьютер троянскую программу. Об одной из таких рассылок наша компания сообщала в прошедшем месяце. Службой вирусного мониторинга было зафиксировано более 50 подобных спам-рассылок, многие из которых были довольно продолжительными по времени.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков

Я понимаю робот-админ постит, что ему пришлют. А в чем смысл этого копипаста? У ЛК на эту тематику две новости сегодня было. Можно еще Панду с Битдефендером позвать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
...Можно еще Панду с Битдефендером позвать.

...А можно вспомнить, что портал называется "информационно-аналитическим",

...А можно вспомнить, что раздел называется "обсуждение новостей и мероприятий",

...А можно ничего не писать, если по-существу писать не хочется,

много этих самых "можно", одним словом...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков
...А можно вспомнить, что портал называется "информационно-аналитическим",

...А можно вспомнить, что раздел называется "обсуждение новостей и мероприятий",

...А можно ничего не писать, если по-существу писать не хочется,

Согласен по всем трем пунктам.

"Вопросов больше не имею" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sl1

Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя
Какой-то лоховской фон вокруг Dr.Web...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Какой-то лоховской фон вокруг Dr.Web...

Мне непонятно, что Вы хотели сказать. Если фраза Вам не нравится, то поясните, что именно не нравится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

Ну чего, Вадим, надеюсь понятно теперь зачем EYE прикинулся новостным роботом? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
надеюсь понятно теперь зачем EYE прикинулся новостным роботом?

А помимо "вокруг одни враги", что-нибудь добавите, по теме:) ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

ну простебались, ну улыбнуло, ну и чего? :rolleyes:

хотите похоливарить? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sl1

Мне непонятно, что Вы хотели сказать. Если фраза Вам не нравится, то поясните, что именно не нравится.
...для пира своих возможностей по дешифровке файлов данных - это :). Говорите о себе. Зачем других обсуждать? Мне трудно объяснить свои чувства, но когда читаешь некоторые пресс-релизы или некоторые высказывания, то со стороны все это отдает непрофессионализмом и выглядит несколько коряво и по-идиотски :).
Пользователи антивируса Dr.Web были надежно защищены от Trojan.Encoder.18, т.к. еще до обнаружения образца этой модификации службой вирусного мониторинга компании «Доктор Веб» данный вирус определялся как Trojan.Sespy.origin благодаря использованию в Dr.Web уникальной технологии несигнатурного обнаружения вредоносных объектов Dr.Web Origins Tracing™.
Это обман. Ваши пользователи успешно заражались: http://new-forum.drweb.com/mod/forum/threa...0772&fid=4#

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Говорите о себе. Зачем других обсуждать?

Был приведён факт. Факт, который нельзя было обойти, т.к. о нём говорили все СМИ. Если бы кто-то там тихо в трубочку себе ломал 128-битный ключ, то этот факт не попал бы в этот обзор. Факт был приведён для того, чтобы открыть существующим и потенциальным нашим пользователям глаза на разницу между возможностями вендоров и продуктов и пиаром о намерениях чего-то достичь в стиле "мы пытались что-то сделать, а другие даже не пытались". В общем, в данном случае факт приведён очень по теме, и весьма лояльно, не переходя на личности.

Это обман. Ваши пользователи успешно заражались: http://new-forum.drweb.com/mod/forum/threa...0772&fid=4#

sl1, откуда Вы видите, что это наш пользователь? Человек столкнулся с проблемой, пытался решить её на нашем форуме. При этом совершенно непонятно, стоял ли на проблемном компьютере Dr.Web и обновлялись ли на нём базы не реже раза в час, как это нами рекомендуется. А Trojan.Encoder.18 благодаря Dr.Web Origins Tracing™ таки ловился до добавления в базы, это факт.

Третьего числа я снова обновил Веба...

Да уж...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

я думаю найдется много желающих простебаться над вами и вашей, Валерий, компанией, если завтра не дай бог автор джипикода специально для вас возьмет, да и заточит своё детище так, чтобы ориджин его не брал. а поскольку по всей видимости он наш с вами соотечественник, верояность такого велика:)

и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы" smile.gif

Иван, да кто ж спорит. Только технология в _этот_ раз сработала, причём сработала очень вовремя. Грех было не попиариться на этом. А проколы бывают у всех, и об этом тоже всем становится известно, и с большей вероятностью, чем про успехи.

Про неудачи расскажут конкуретны, про преимущества приходится говорить всем вендорам самим обычно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
хотите похоливарить?

Иван, как можно, "поэссхоливарить" противоречит правилам форума:))

и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы"

А что, есть особый смысл в препарировании, "после бала", RSA1024 ?

Тогда, стоило бы сразу начать с 2048, из соображений истинной превентивности, так сказать.

Хотя, осмысленность этого занятия, уже обсуждали, там и сям...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
А что, есть особый смысл в препарировании, "после бала", RSA1024 ?

ну почемуж в прошлый раз ошибку нашли - нашли, расшифровали - расшифровали, те кто заразился смогли расшифровать файлы - смогли, польза была - была

в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

не устраивает излишний пиар вокруг этого - ну чож так бывает :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

не устраивает излишний пиар вокруг этого - ну чож так бывает smile.gif

Как сказал в своем блоге некто Брюс Шнайер,

What are they smoking at Kaspersky? We've never factored a 1024-bit number -- at least, not outside any secret government agency -- and it's likely to require a lot more than 15 million computer years of work.

Так что это был именно пиар.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

"Кто-то" из Массачусетского Технологического Института, кто является

признанным авторитетом в области криптографии, тесно сотрудничает с NSA,

а точнее сказать работает на NSA, а помимо этого занимается научной деятельностью в MIT,

собирается посодействовать ЛК (которая к тому же, как пикантно, российская компания) в поиске "ошибки",

тем самым, нарушив законодательство USA, ограничивающее экспорт технологий шифрования,

и скрасив далеко не самые скучные будни своего основного работодателя ?

Извините, но мой мозг все еще со мной.

Я конечно понимаю, что в определённых, общих рамках этот "кто-то" посодействует,

и даже, как всегда, вежливо подискутирует, благодаря чему, можно упоминать что и сам "кто-то" подключился к проекту,

но намекать на то, что "кто-то" поделится решением проблемы...:]

Хотя, конечно, признаю - сказка романтическая и довольно красивая -

определённая аудитория будет таять как сахар:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Как сказал в своем блоге некто Брюс Шнайер,

тю, ну эту цитату я много раз видел :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

как трогательно, ах эти рассуждения на тему западной законности, очень трогательно...ну очень :)

ладно, я думаю смысл публикации для Вадима теперь кристально ясен, на сем в этой теме я с вами прощаюсь :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
как трогательно, ах эти рассуждения на тему западной законности, очень трогательно...ну очень

Иван, Вы что, совсем маленьким решили прикинуться - "дурочку повалять" ?

И причём тут Ваше несуразное упоминание о неких "рассуждениях на тему западной законности" ? Это Вы о ком ?

Разве есть необходимость Вам популярно объяснять, что при общении с NSA,

сдерживающим фактором является вовсе не "западная законность", а кое-что другое -

точно такое же кое-что, как и при общении с ФАПСИ, ФСБ в России.

ладно, я думаю смысл публикации для Вадима теперь кристально ясен, на сем в этой теме я с вами прощаюсь

Ну понятное дело, нужно ведь как-то сохранять лицо при отсутствии аргументов:)

Ладно, я не злой, мешать не буду - сохраняйте, и, до свидания:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

история с GPCode это пиар

пиар + небольшая надежда, что кто-то найдет ошибку, позволяющую расшифровать.

если бы ошибку нашли было бы еще больше пиара, ну и польза для юзеров была бы

не нашли, вернее нашли но слабенькую - пиарится Доктор с историей про одну антивирусную компания, которая..

все пиарятся, EYE, иногда удачно, иногда нет, иногда очень удачно

любой пресс-релиз на тему вирусов это пиар.

дальше?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
все пиарятся, EYE, иногда удачно, иногда нет, иногда очень удачно

Золотые слова:)

дальше?

А что дальше?

К консенсусу мы пришли - считать шумиху, PR-погремушкой.

Если будет что еще обсудить, продолжим.

Не будет, закончим.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
К консенсусу мы пришли - считать шумиху, PR-погремушкой.

отмечу - любую вирусную шумиху :)

при этом бывает, что юзерам от этого есть польза - а бывает, что нет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
отмечу - любую вирусную шумиху

Ладно, я не жадный - любую:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • GeorgeAbent
      Здравствуйте! Класный у вас сайт!
      Что скажете по поводу этих новостей?:
      http://itcyber.ru/14669-sniper-elite-4-poluchaet-novyy-igrovoy-treyler.html
      "Что круче?": Более дешёвый Teclast M8 или Xiaomi M8 "Что круче?": Более дешёвый Teclast M8 или Xiaomi M8
      информационные образовательные технологии http://itcyber.ru/information-technology-it/
      криптовалюта прогноз последние новости http://itcyber.ru/kriptovaluta/
      Ещё много интересного нашел тут: новости IT России и мира http://itcyber.ru/
    • DonaldSaina
      Приветствую всех! Класный у вас сайт!
      Нашёл познавательное в сети: ГРУ Украины продолжает следить за деятельностью русских в Сирии http://planetnew.ru/news/15613-gru-ukrainy-prodolzhaet-sledit-za-deyatelnostyu-russkih-v-sirii.html
      http://planetnew.ru/information-technology-it/34060-eks-glavu-samsung-mogut-posadit-na-12-let-v-yuzhnoy-koree.html
      Ещё много всего по теме нашел тут: 17 11 2021 г новороссия россия признала днр и лнр
      свежие новости видео http://planetnew.ru/video/
    • SQx
      В моем случае я кажется нашел этот - DhcpDomain папаметр: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{64846981-4885-4d8b-af0b-1097a90e00f6} EnableDHCP REG_DWORD 0x1 Domain REG_SZ NameServer REG_SZ DhcpServer REG_SZ 192.168.2.1 Lease REG_DWORD 0x3f480 LeaseObtainedTime REG_DWORD 0x6145e5fe T1 REG_DWORD 0x6147e03e T2 REG_DWORD 0x61495bee LeaseTerminatesTime REG_DWORD 0x6149da7e AddressType REG_DWORD 0x0 IsServerNapAware REG_DWORD 0x0 DhcpConnForceBroadcastFlag REG_DWORD 0x0 DhcpNetworkHint REG_SZ 8616070797 RegistrationEnabled REG_DWORD 0x1 RegisterAdapterName REG_DWORD 0x0 IPAddress REG_MULTI_SZ SubnetMask REG_MULTI_SZ DefaultGateway REG_MULTI_SZ DefaultGatewayMetric REG_MULTI_SZ DhcpIPAddress REG_SZ 192.168.2.103 DhcpSubnetMask REG_SZ 255.255.255.0 DhcpDomain REG_SZ home DhcpNameServer REG_SZ 192.168.2.1 DhcpDefaultGateway REG_MULTI_SZ 192.168.2.1 DhcpSubnetMaskOpt REG_MULTI_SZ 255.255.255.0 DhcpInterfaceOptions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hcpGatewayHardware REG_BINARY C0A8020106000000B8D94D42ED7E DhcpGatewayHardwareCount REG_DWORD 0x1 также я могу его пинговать. >ping -a home Pinging home.home [192.168.2.1] with 32 bytes of data: Reply from 192.168.2.1: bytes=32 time=1ms TTL=64 Reply from 192.168.2.1: bytes=32 time=1ms TTL=64  
    • SQx
      Мне ЛК, также написали:
        Но пользователь сказал, что не было галочки на "Автоматически определять настройки".
    • PR55.RP55
      Например есть  пакет с драйверами ( сотни... тысячи драйверов ) Предполагается использовать этот пакет для обновления системных драйверов, или WIM Часть драйверов подписана, часть нет... Хотелось бы, чтобы uVS  ( по команде в меню: Файл ) - создала из этих драйверов пакет установки\обновления. Копию только из подписанных ( прошедших проверку ( и проверенных по SHA ) драйверов. Копию по типу программы: " Double Driver" http://soft.oszone.net/program/5936/Double_Driver/ + Возможность создать копию системных драйверов, системы - но, опять таки... копировать только подписанные драйвера и те, что есть в базе SHA.  
×