EYE

Компания "Доктор Веб" представляет июньский обзор вирусной активности

В этой теме 24 сообщений

Компания "Доктор Веб" представляет июньский обзор вирусной активности

1 июля 2008 года

http://info.drweb.com/show/3422/ru

О вирусах

Весьма заметным событием на вирусном фронте в июне можно считать нарастающее распространение опасного файлового вируса Win32.Sector.5 (в классификации некоторых антивирусных вендоров – Sality). Количество обращений администраторов компаний, пострадавших от действия этого вируса, в службу технической поддержки компании «Доктор Веб» на протяжении июня, позволяет говорить о настоящей эпидемии. По свидетельству пострадавших, проблемы с данной модификацией семейства Sector начались еще в феврале 2008 года. В нынешнем месяце эпидемия приняла катастрофические размеры и масштабы ее впечатляют. Среди пострадавших – банки, аудиторские компании, торговые сети, разработчики ПО, инжиниринговые компании, НИИ, учреждения культуры федерального статуса.

Первые экземпляры семейства Sector появились в начале 2003 года. За пять лет вирус эволюционировал, сохранив свои вредносные качества и добавив к ним новые. От версии к версии вирус становился все более "молчаливым", не стремясь сообщать жертвам о своем присутствии. Специалисты антивирусной лаборатории компании "Доктор Веб" считают данную трансформацию вируса свидетельством использования его для сокрытия иных, не столь изощренных, но не менее вредоносных программ, создаваемых для хищения конфиденциальной информации и проведения спам-атак.

Поселившись в системе, Win32.Sector.5 внедряет свой код в память всех активных процессов, удаляет некоторые ветки реестра, после этого загрузка в «Безопасном режиме» становится невозможной. Далее, он заражает файлы с расширением .exe и .scr на всех доступных дисках и сетевых ресурсах. Для ускорения распространения заражает файлы, прописанные в автозагрузку, и файлы, наиболее часто запускаемые в системе. В добавок, Win32.Sector.5, удаляет файлы и процессы, относящиеся к действию большинства антивирусных программ, а также блокирует доступ к сайтам этих компаний, что делает невозможным скачивание обновлений. В отличие от других антивирусных программ, которые либо блокируют доступ к зараженному файлу, либо удаляют его, антивирус Dr.Web корректно лечит файлы, инфицированные Win32.Sector.5. Для пользователей антивируса Dr.Web, регулярно обновляющих вирусные базы, данный вирус не представляет угрозы. Если на Вашем ПК установлен другой антивирус, но Вы полагаете, что Ваш компьютер может быть инфицирован Win32.Sector.5, рекомендуем проверить чистоту ПК, скачав бесплатную лечащую утилиту Dr.Web CureIt! и запустив ее на исполнение.

О троянских программах

В начале июня интернет-общественность была взбудоражена сообщениями о появлении новой модификации троянской программы семейства Encoder – Trojan.Encoder.18 в классификации Dr.Web (некоторые другие антивирусные вендоры назвали его Gpcode). Поникнув в систему, троянец осуществляет поиск файлов с определенными расширениями (в основном, документов Microsoft Office) и шифрует содержащиеся в них данные, после чего требует от их владельца денежные средства за дешифровку. В случае с данным троянцем восстановление таких данных представляет большую сложность, т.к. вирусописателем был применен ключ шифрования длиной 1024 бита.

Пользователи антивируса Dr.Web были надежно защищены от Trojan.Encoder.18, т.к. еще до обнаружения образца этой модификации службой вирусного мониторинга компании «Доктор Веб» данный вирус определялся как Trojan.Sespy.origin благодаря использованию в Dr.Web уникальной технологии несигнатурного обнаружения вредоносных объектов Dr.Web Origins Tracing™.

Подобное развитие событий можно было предугадать еще в прошлом году, когда автор Trojan.Encoder использовал более короткие ключи шифрования. Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя для пира своих возможностей по дешифровке файлов данных. Однако ясно было, что в подобной гонке победа не будет за антивирусными компаниями - рано или поздно, должен был появиться достаточно длинный ключ, «взлом» которого в разумные сроки не был бы возможным. Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы, чтобы не дать ей возможность выполнить свою деструктивную функцию. Как показала практика, это гораздо эффективнее, чем мобилизация мирового сообщества для «взлома» килобитных ключей RSA.

О курьезном

К числу курьезных происшествий можно отнести панику, поднятую 22 июня пользователями популярной программы для мгновенного общения ICQ из-за появления в списке их контактов якобы «вирусного» контакта с номером 12111. Служба технической поддержки компания «Доктор Веб» получила множество запросов пользователей, обеспокоенных появлением этого контакта, хотя контакт вирусом быть не может. Страсти утихли только тогда, когда появление 12111 было объяснено на сайте самой ICQ.

О спаме

В июне характерно проявилась тенденция к минимизации размера спам-писем. Было отмечено более десятка спам-волн, в которых рассылаемое письмо состояло из броского заголовка, призванного привлечь внимание получателя, а в теле письма находились ссылка на веб-сайт и несколько слов комментариев. Отсылка пользователей к веб-сайтам в последнее время становится все более распространенным способом, используемым спамерами для обхода спам-фильтров. Следует обратить внимание, что этот способ таит еще одну опасность - ссылки часто могут вести на зараженную веб-страницу, посетив которую пользователь рискует получить себе на компьютер троянскую программу. Об одной из таких рассылок наша компания сообщала в прошедшем месяце. Службой вирусного мониторинга было зафиксировано более 50 подобных спам-рассылок, многие из которых были довольно продолжительными по времени.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я понимаю робот-админ постит, что ему пришлют. А в чем смысл этого копипаста? У ЛК на эту тематику две новости сегодня было. Можно еще Панду с Битдефендером позвать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
...Можно еще Панду с Битдефендером позвать.

...А можно вспомнить, что портал называется "информационно-аналитическим",

...А можно вспомнить, что раздел называется "обсуждение новостей и мероприятий",

...А можно ничего не писать, если по-существу писать не хочется,

много этих самых "можно", одним словом...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
...А можно вспомнить, что портал называется "информационно-аналитическим",

...А можно вспомнить, что раздел называется "обсуждение новостей и мероприятий",

...А можно ничего не писать, если по-существу писать не хочется,

Согласен по всем трем пунктам.

"Вопросов больше не имею" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя
Какой-то лоховской фон вокруг Dr.Web...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Какой-то лоховской фон вокруг Dr.Web...

Мне непонятно, что Вы хотели сказать. Если фраза Вам не нравится, то поясните, что именно не нравится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ну чего, Вадим, надеюсь понятно теперь зачем EYE прикинулся новостным роботом? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
надеюсь понятно теперь зачем EYE прикинулся новостным роботом?

А помимо "вокруг одни враги", что-нибудь добавите, по теме:) ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

ну простебались, ну улыбнуло, ну и чего? :rolleyes:

хотите похоливарить? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Мне непонятно, что Вы хотели сказать. Если фраза Вам не нравится, то поясните, что именно не нравится.
...для пира своих возможностей по дешифровке файлов данных - это :). Говорите о себе. Зачем других обсуждать? Мне трудно объяснить свои чувства, но когда читаешь некоторые пресс-релизы или некоторые высказывания, то со стороны все это отдает непрофессионализмом и выглядит несколько коряво и по-идиотски :).
Пользователи антивируса Dr.Web были надежно защищены от Trojan.Encoder.18, т.к. еще до обнаружения образца этой модификации службой вирусного мониторинга компании «Доктор Веб» данный вирус определялся как Trojan.Sespy.origin благодаря использованию в Dr.Web уникальной технологии несигнатурного обнаружения вредоносных объектов Dr.Web Origins Tracing™.
Это обман. Ваши пользователи успешно заражались: http://new-forum.drweb.com/mod/forum/threa...0772&fid=4#

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Говорите о себе. Зачем других обсуждать?

Был приведён факт. Факт, который нельзя было обойти, т.к. о нём говорили все СМИ. Если бы кто-то там тихо в трубочку себе ломал 128-битный ключ, то этот факт не попал бы в этот обзор. Факт был приведён для того, чтобы открыть существующим и потенциальным нашим пользователям глаза на разницу между возможностями вендоров и продуктов и пиаром о намерениях чего-то достичь в стиле "мы пытались что-то сделать, а другие даже не пытались". В общем, в данном случае факт приведён очень по теме, и весьма лояльно, не переходя на личности.

Это обман. Ваши пользователи успешно заражались: http://new-forum.drweb.com/mod/forum/threa...0772&fid=4#

sl1, откуда Вы видите, что это наш пользователь? Человек столкнулся с проблемой, пытался решить её на нашем форуме. При этом совершенно непонятно, стоял ли на проблемном компьютере Dr.Web и обновлялись ли на нём базы не реже раза в час, как это нами рекомендуется. А Trojan.Encoder.18 благодаря Dr.Web Origins Tracing™ таки ловился до добавления в базы, это факт.

Третьего числа я снова обновил Веба...

Да уж...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

я думаю найдется много желающих простебаться над вами и вашей, Валерий, компанией, если завтра не дай бог автор джипикода специально для вас возьмет, да и заточит своё детище так, чтобы ориджин его не брал. а поскольку по всей видимости он наш с вами соотечественник, верояность такого велика:)

и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы" smile.gif

Иван, да кто ж спорит. Только технология в _этот_ раз сработала, причём сработала очень вовремя. Грех было не попиариться на этом. А проколы бывают у всех, и об этом тоже всем становится известно, и с большей вероятностью, чем про успехи.

Про неудачи расскажут конкуретны, про преимущества приходится говорить всем вендорам самим обычно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
хотите похоливарить?

Иван, как можно, "поэссхоливарить" противоречит правилам форума:))

и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы"

А что, есть особый смысл в препарировании, "после бала", RSA1024 ?

Тогда, стоило бы сразу начать с 2048, из соображений истинной превентивности, так сказать.

Хотя, осмысленность этого занятия, уже обсуждали, там и сям...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А что, есть особый смысл в препарировании, "после бала", RSA1024 ?

ну почемуж в прошлый раз ошибку нашли - нашли, расшифровали - расшифровали, те кто заразился смогли расшифровать файлы - смогли, польза была - была

в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

не устраивает излишний пиар вокруг этого - ну чож так бывает :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

не устраивает излишний пиар вокруг этого - ну чож так бывает smile.gif

Как сказал в своем блоге некто Брюс Шнайер,

What are they smoking at Kaspersky? We've never factored a 1024-bit number -- at least, not outside any secret government agency -- and it's likely to require a lot more than 15 million computer years of work.

Так что это был именно пиар.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

"Кто-то" из Массачусетского Технологического Института, кто является

признанным авторитетом в области криптографии, тесно сотрудничает с NSA,

а точнее сказать работает на NSA, а помимо этого занимается научной деятельностью в MIT,

собирается посодействовать ЛК (которая к тому же, как пикантно, российская компания) в поиске "ошибки",

тем самым, нарушив законодательство USA, ограничивающее экспорт технологий шифрования,

и скрасив далеко не самые скучные будни своего основного работодателя ?

Извините, но мой мозг все еще со мной.

Я конечно понимаю, что в определённых, общих рамках этот "кто-то" посодействует,

и даже, как всегда, вежливо подискутирует, благодаря чему, можно упоминать что и сам "кто-то" подключился к проекту,

но намекать на то, что "кто-то" поделится решением проблемы...:]

Хотя, конечно, признаю - сказка романтическая и довольно красивая -

определённая аудитория будет таять как сахар:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Как сказал в своем блоге некто Брюс Шнайер,

тю, ну эту цитату я много раз видел :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

как трогательно, ах эти рассуждения на тему западной законности, очень трогательно...ну очень :)

ладно, я думаю смысл публикации для Вадима теперь кристально ясен, на сем в этой теме я с вами прощаюсь :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
как трогательно, ах эти рассуждения на тему западной законности, очень трогательно...ну очень

Иван, Вы что, совсем маленьким решили прикинуться - "дурочку повалять" ?

И причём тут Ваше несуразное упоминание о неких "рассуждениях на тему западной законности" ? Это Вы о ком ?

Разве есть необходимость Вам популярно объяснять, что при общении с NSA,

сдерживающим фактором является вовсе не "западная законность", а кое-что другое -

точно такое же кое-что, как и при общении с ФАПСИ, ФСБ в России.

ладно, я думаю смысл публикации для Вадима теперь кристально ясен, на сем в этой теме я с вами прощаюсь

Ну понятное дело, нужно ведь как-то сохранять лицо при отсутствии аргументов:)

Ладно, я не злой, мешать не буду - сохраняйте, и, до свидания:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

история с GPCode это пиар

пиар + небольшая надежда, что кто-то найдет ошибку, позволяющую расшифровать.

если бы ошибку нашли было бы еще больше пиара, ну и польза для юзеров была бы

не нашли, вернее нашли но слабенькую - пиарится Доктор с историей про одну антивирусную компания, которая..

все пиарятся, EYE, иногда удачно, иногда нет, иногда очень удачно

любой пресс-релиз на тему вирусов это пиар.

дальше?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
все пиарятся, EYE, иногда удачно, иногда нет, иногда очень удачно

Золотые слова:)

дальше?

А что дальше?

К консенсусу мы пришли - считать шумиху, PR-погремушкой.

Если будет что еще обсудить, продолжим.

Не будет, закончим.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
К консенсусу мы пришли - считать шумиху, PR-погремушкой.

отмечу - любую вирусную шумиху :)

при этом бывает, что юзерам от этого есть польза - а бывает, что нет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
отмечу - любую вирусную шумиху

Ладно, я не жадный - любую:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • santy
      demkd возможно ли создавать архив 7z из командной строки с шифрованием заголовков файлов?
    • demkd
      можно в принципе сделать настройку, добавлю
    • beryl18
      Создание сайтов сложный процесс, но на видео уроках от веб-дизайнера из Коломны все показано в деталях для быстрого обучения. В обычной жизни создать современный сайт, это загрузка для многих: Как со многими продуктами, задача разработки дизайна для хорошего веб-сайта, делается командой людей в Коломне и у каждого есть определенная область экспертных знаний. Как предприниматель и владелец бизнеса, хотите сосредоточить свое время на управлении командой и проверке конечный продукт имеет успех увеличить прибыль и ведет. В команде, начиная проект веб-сайта: Менеджер по маркетингу и менеджер по работе с клиентами Это - "большая картина" мыслитель и советник. Человек должен знать все дополнительные свойства, могли имеет искренне отговорить. Человек должен помогут запланировать веб-сайт, удовлетворить потребности в течение длительного срока. Менеджер проектов Менеджер проектов взаимодействовать с остальной частью команды (и возможно Вы) на ежедневной основе движущая сила, выдвигая всех через шаг процесса к завершению. Человек ответственен в течение крайних сроков проверки, встречены, и проект остается на бюджете. Информационный архитектор Роль информационного Архитектора должна удостовериться веб-сайт имеет смысл. Есть правильные страницы? Они находятся в правильных разделах? Действительно терминология последовательна? Действительно навигационные методы последовательны? Иногда "удобство использования" попадает в роль – удостоверяющийся каждую страницу и место в целом легко провести и использовать. Графический дизайнер Графический дизайнер решает то, на на самом деле похож веб-сайт. Какие цвета и шрифты использовать? Куда элементы помещены на странице? Удостоверьтесь работаете с проектировщиком, у которого есть большой опыт веб-дизайна. Проектирование сети - определенное умение и не является тем же проектирующий печати. Копирайтер Если нуждаетесь в тексте и пишете с нуля, копирайтер - друг! Копирайтеры в состоянии написать в стиле и настроить и понять SEO, текст оптимизирован с начала. Кодер HTML/JavaScript/CSS Это - жизненно важная роль большинства веб-сайтов. HTML - фундаментальный язык сети, и всех веб-сайтов есть некоторая сумма включенного HTML-кода. Если не нужен программист и по крайней мере, кодер HTML. Человек берет плоский файл дизайна и преобразовывает в текст, изображения и интерактивный HTML-код, он мог работать, поскольку ожидаем веб-сайты работать. Программист Это часто неправильно использовало термин, действительно относится к профессионалам используют истинные "языки программирования". HTML, JavaScript и CSS не языки программирования и таким образом профессионалы сосредотачиваются на тех языках, не технически программисты. Нужен программист, у будет, вид автоматизации на сайте и формах посетителей, подчиниться. Программисты работают на языках, PHP, ASP, Ява, JSP и mySQL. Они обычно делать работу кодера HTML программист обычно дорогой обычно не экономически выгодно. Обеспечение качества/Тестер Это - человек нажмет на каждую ссылку сайта, удостовериться все работают и представляют формы различными способами гарантировать все работает и показывает пользователю соответствующие сообщения ошибках идет не, надо. Для меньших проектов кодер HTML и/или Менеджер проектов обычно делать тестирование. Теперь знаете роль человек игры, готовы выйти и нанять правильную команду проекта! Обратите внимание меньших проектов часто найти Проектировщика и Программиста является "руководителем проекта" и носить шляп. Работать блестяще, особенно сайт - простой с 5 пейджерами бояться заходить слишком далеко – в конце дня хотите место, которое работает работает. Проще пользоваться уроками для создания сайтов от веб-дизайнера из Коломны - http://sozdat-sait.my1.ru/blog/
    • akoK
      Почтовики в последнее время начали успешно блокировать карантины UVS находя в них потенциально вредоносное содержимое. Можно что-то сделать (например сменить пароль)?    552-5.7.0 This message was blocked because its content presents a potential
          552-5.7.0 security issue. Please visit 552-5.7.0
    • Viktorr
      Спасибо за обзор, очень подробная и полезная информация. А ещё подскажите пожалуйста, если мы планируем использовать виртуальный сервер, на котором будут храниться в том числе персональные данные клиентов, какой хостинг для этого лучше выбрать, vps или vds? Данный вопрос в первую очередь волнует, именно в плане более надежной защиты данных, этот момент самый приоритетный. Заранее благодарю за ответ.