Компания "Доктор Веб" представляет июньский обзор вирусной активности - Dr.Web - антивирусная защита для дома и офиса - Форумы Anti-Malware.ru Перейти к содержанию
EYE

Компания "Доктор Веб" представляет июньский обзор вирусной активности

Recommended Posts

EYE

Компания "Доктор Веб" представляет июньский обзор вирусной активности

1 июля 2008 года

http://info.drweb.com/show/3422/ru

О вирусах

Весьма заметным событием на вирусном фронте в июне можно считать нарастающее распространение опасного файлового вируса Win32.Sector.5 (в классификации некоторых антивирусных вендоров – Sality). Количество обращений администраторов компаний, пострадавших от действия этого вируса, в службу технической поддержки компании «Доктор Веб» на протяжении июня, позволяет говорить о настоящей эпидемии. По свидетельству пострадавших, проблемы с данной модификацией семейства Sector начались еще в феврале 2008 года. В нынешнем месяце эпидемия приняла катастрофические размеры и масштабы ее впечатляют. Среди пострадавших – банки, аудиторские компании, торговые сети, разработчики ПО, инжиниринговые компании, НИИ, учреждения культуры федерального статуса.

Первые экземпляры семейства Sector появились в начале 2003 года. За пять лет вирус эволюционировал, сохранив свои вредносные качества и добавив к ним новые. От версии к версии вирус становился все более "молчаливым", не стремясь сообщать жертвам о своем присутствии. Специалисты антивирусной лаборатории компании "Доктор Веб" считают данную трансформацию вируса свидетельством использования его для сокрытия иных, не столь изощренных, но не менее вредоносных программ, создаваемых для хищения конфиденциальной информации и проведения спам-атак.

Поселившись в системе, Win32.Sector.5 внедряет свой код в память всех активных процессов, удаляет некоторые ветки реестра, после этого загрузка в «Безопасном режиме» становится невозможной. Далее, он заражает файлы с расширением .exe и .scr на всех доступных дисках и сетевых ресурсах. Для ускорения распространения заражает файлы, прописанные в автозагрузку, и файлы, наиболее часто запускаемые в системе. В добавок, Win32.Sector.5, удаляет файлы и процессы, относящиеся к действию большинства антивирусных программ, а также блокирует доступ к сайтам этих компаний, что делает невозможным скачивание обновлений. В отличие от других антивирусных программ, которые либо блокируют доступ к зараженному файлу, либо удаляют его, антивирус Dr.Web корректно лечит файлы, инфицированные Win32.Sector.5. Для пользователей антивируса Dr.Web, регулярно обновляющих вирусные базы, данный вирус не представляет угрозы. Если на Вашем ПК установлен другой антивирус, но Вы полагаете, что Ваш компьютер может быть инфицирован Win32.Sector.5, рекомендуем проверить чистоту ПК, скачав бесплатную лечащую утилиту Dr.Web CureIt! и запустив ее на исполнение.

О троянских программах

В начале июня интернет-общественность была взбудоражена сообщениями о появлении новой модификации троянской программы семейства Encoder – Trojan.Encoder.18 в классификации Dr.Web (некоторые другие антивирусные вендоры назвали его Gpcode). Поникнув в систему, троянец осуществляет поиск файлов с определенными расширениями (в основном, документов Microsoft Office) и шифрует содержащиеся в них данные, после чего требует от их владельца денежные средства за дешифровку. В случае с данным троянцем восстановление таких данных представляет большую сложность, т.к. вирусописателем был применен ключ шифрования длиной 1024 бита.

Пользователи антивируса Dr.Web были надежно защищены от Trojan.Encoder.18, т.к. еще до обнаружения образца этой модификации службой вирусного мониторинга компании «Доктор Веб» данный вирус определялся как Trojan.Sespy.origin благодаря использованию в Dr.Web уникальной технологии несигнатурного обнаружения вредоносных объектов Dr.Web Origins Tracing™.

Подобное развитие событий можно было предугадать еще в прошлом году, когда автор Trojan.Encoder использовал более короткие ключи шифрования. Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя для пира своих возможностей по дешифровке файлов данных. Однако ясно было, что в подобной гонке победа не будет за антивирусными компаниями - рано или поздно, должен был появиться достаточно длинный ключ, «взлом» которого в разумные сроки не был бы возможным. Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы, чтобы не дать ей возможность выполнить свою деструктивную функцию. Как показала практика, это гораздо эффективнее, чем мобилизация мирового сообщества для «взлома» килобитных ключей RSA.

О курьезном

К числу курьезных происшествий можно отнести панику, поднятую 22 июня пользователями популярной программы для мгновенного общения ICQ из-за появления в списке их контактов якобы «вирусного» контакта с номером 12111. Служба технической поддержки компания «Доктор Веб» получила множество запросов пользователей, обеспокоенных появлением этого контакта, хотя контакт вирусом быть не может. Страсти утихли только тогда, когда появление 12111 было объяснено на сайте самой ICQ.

О спаме

В июне характерно проявилась тенденция к минимизации размера спам-писем. Было отмечено более десятка спам-волн, в которых рассылаемое письмо состояло из броского заголовка, призванного привлечь внимание получателя, а в теле письма находились ссылка на веб-сайт и несколько слов комментариев. Отсылка пользователей к веб-сайтам в последнее время становится все более распространенным способом, используемым спамерами для обхода спам-фильтров. Следует обратить внимание, что этот способ таит еще одну опасность - ссылки часто могут вести на зараженную веб-страницу, посетив которую пользователь рискует получить себе на компьютер троянскую программу. Об одной из таких рассылок наша компания сообщала в прошедшем месяце. Службой вирусного мониторинга было зафиксировано более 50 подобных спам-рассылок, многие из которых были довольно продолжительными по времени.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков

Я понимаю робот-админ постит, что ему пришлют. А в чем смысл этого копипаста? У ЛК на эту тематику две новости сегодня было. Можно еще Панду с Битдефендером позвать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
...Можно еще Панду с Битдефендером позвать.

...А можно вспомнить, что портал называется "информационно-аналитическим",

...А можно вспомнить, что раздел называется "обсуждение новостей и мероприятий",

...А можно ничего не писать, если по-существу писать не хочется,

много этих самых "можно", одним словом...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков
...А можно вспомнить, что портал называется "информационно-аналитическим",

...А можно вспомнить, что раздел называется "обсуждение новостей и мероприятий",

...А можно ничего не писать, если по-существу писать не хочется,

Согласен по всем трем пунктам.

"Вопросов больше не имею" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sl1

Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя
Какой-то лоховской фон вокруг Dr.Web...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Какой-то лоховской фон вокруг Dr.Web...

Мне непонятно, что Вы хотели сказать. Если фраза Вам не нравится, то поясните, что именно не нравится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

Ну чего, Вадим, надеюсь понятно теперь зачем EYE прикинулся новостным роботом? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
надеюсь понятно теперь зачем EYE прикинулся новостным роботом?

А помимо "вокруг одни враги", что-нибудь добавите, по теме:) ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

ну простебались, ну улыбнуло, ну и чего? :rolleyes:

хотите похоливарить? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sl1

Мне непонятно, что Вы хотели сказать. Если фраза Вам не нравится, то поясните, что именно не нравится.
...для пира своих возможностей по дешифровке файлов данных - это :). Говорите о себе. Зачем других обсуждать? Мне трудно объяснить свои чувства, но когда читаешь некоторые пресс-релизы или некоторые высказывания, то со стороны все это отдает непрофессионализмом и выглядит несколько коряво и по-идиотски :).
Пользователи антивируса Dr.Web были надежно защищены от Trojan.Encoder.18, т.к. еще до обнаружения образца этой модификации службой вирусного мониторинга компании «Доктор Веб» данный вирус определялся как Trojan.Sespy.origin благодаря использованию в Dr.Web уникальной технологии несигнатурного обнаружения вредоносных объектов Dr.Web Origins Tracing™.
Это обман. Ваши пользователи успешно заражались: http://new-forum.drweb.com/mod/forum/threa...0772&fid=4#

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Говорите о себе. Зачем других обсуждать?

Был приведён факт. Факт, который нельзя было обойти, т.к. о нём говорили все СМИ. Если бы кто-то там тихо в трубочку себе ломал 128-битный ключ, то этот факт не попал бы в этот обзор. Факт был приведён для того, чтобы открыть существующим и потенциальным нашим пользователям глаза на разницу между возможностями вендоров и продуктов и пиаром о намерениях чего-то достичь в стиле "мы пытались что-то сделать, а другие даже не пытались". В общем, в данном случае факт приведён очень по теме, и весьма лояльно, не переходя на личности.

Это обман. Ваши пользователи успешно заражались: http://new-forum.drweb.com/mod/forum/threa...0772&fid=4#

sl1, откуда Вы видите, что это наш пользователь? Человек столкнулся с проблемой, пытался решить её на нашем форуме. При этом совершенно непонятно, стоял ли на проблемном компьютере Dr.Web и обновлялись ли на нём базы не реже раза в час, как это нами рекомендуется. А Trojan.Encoder.18 благодаря Dr.Web Origins Tracing™ таки ловился до добавления в базы, это факт.

Третьего числа я снова обновил Веба...

Да уж...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

я думаю найдется много желающих простебаться над вами и вашей, Валерий, компанией, если завтра не дай бог автор джипикода специально для вас возьмет, да и заточит своё детище так, чтобы ориджин его не брал. а поскольку по всей видимости он наш с вами соотечественник, верояность такого велика:)

и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы" smile.gif

Иван, да кто ж спорит. Только технология в _этот_ раз сработала, причём сработала очень вовремя. Грех было не попиариться на этом. А проколы бывают у всех, и об этом тоже всем становится известно, и с большей вероятностью, чем про успехи.

Про неудачи расскажут конкуретны, про преимущества приходится говорить всем вендорам самим обычно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
хотите похоливарить?

Иван, как можно, "поэссхоливарить" противоречит правилам форума:))

и тогда мы вместе улыбнемся над "Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы"

А что, есть особый смысл в препарировании, "после бала", RSA1024 ?

Тогда, стоило бы сразу начать с 2048, из соображений истинной превентивности, так сказать.

Хотя, осмысленность этого занятия, уже обсуждали, там и сям...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
А что, есть особый смысл в препарировании, "после бала", RSA1024 ?

ну почемуж в прошлый раз ошибку нашли - нашли, расшифровали - расшифровали, те кто заразился смогли расшифровать файлы - смогли, польза была - была

в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

не устраивает излишний пиар вокруг этого - ну чож так бывает :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

не устраивает излишний пиар вокруг этого - ну чож так бывает smile.gif

Как сказал в своем блоге некто Брюс Шнайер,

What are they smoking at Kaspersky? We've never factored a 1024-bit number -- at least, not outside any secret government agency -- and it's likely to require a lot more than 15 million computer years of work.

Так что это был именно пиар.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
в этот раз сами в ЛК ошибку не нашли - не нашли, шанс, что ошибку найдет кто-то еще из того же MIT был - был

"Кто-то" из Массачусетского Технологического Института, кто является

признанным авторитетом в области криптографии, тесно сотрудничает с NSA,

а точнее сказать работает на NSA, а помимо этого занимается научной деятельностью в MIT,

собирается посодействовать ЛК (которая к тому же, как пикантно, российская компания) в поиске "ошибки",

тем самым, нарушив законодательство USA, ограничивающее экспорт технологий шифрования,

и скрасив далеко не самые скучные будни своего основного работодателя ?

Извините, но мой мозг все еще со мной.

Я конечно понимаю, что в определённых, общих рамках этот "кто-то" посодействует,

и даже, как всегда, вежливо подискутирует, благодаря чему, можно упоминать что и сам "кто-то" подключился к проекту,

но намекать на то, что "кто-то" поделится решением проблемы...:]

Хотя, конечно, признаю - сказка романтическая и довольно красивая -

определённая аудитория будет таять как сахар:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Как сказал в своем блоге некто Брюс Шнайер,

тю, ну эту цитату я много раз видел :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

как трогательно, ах эти рассуждения на тему западной законности, очень трогательно...ну очень :)

ладно, я думаю смысл публикации для Вадима теперь кристально ясен, на сем в этой теме я с вами прощаюсь :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
как трогательно, ах эти рассуждения на тему западной законности, очень трогательно...ну очень

Иван, Вы что, совсем маленьким решили прикинуться - "дурочку повалять" ?

И причём тут Ваше несуразное упоминание о неких "рассуждениях на тему западной законности" ? Это Вы о ком ?

Разве есть необходимость Вам популярно объяснять, что при общении с NSA,

сдерживающим фактором является вовсе не "западная законность", а кое-что другое -

точно такое же кое-что, как и при общении с ФАПСИ, ФСБ в России.

ладно, я думаю смысл публикации для Вадима теперь кристально ясен, на сем в этой теме я с вами прощаюсь

Ну понятное дело, нужно ведь как-то сохранять лицо при отсутствии аргументов:)

Ладно, я не злой, мешать не буду - сохраняйте, и, до свидания:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

история с GPCode это пиар

пиар + небольшая надежда, что кто-то найдет ошибку, позволяющую расшифровать.

если бы ошибку нашли было бы еще больше пиара, ну и польза для юзеров была бы

не нашли, вернее нашли но слабенькую - пиарится Доктор с историей про одну антивирусную компания, которая..

все пиарятся, EYE, иногда удачно, иногда нет, иногда очень удачно

любой пресс-релиз на тему вирусов это пиар.

дальше?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
все пиарятся, EYE, иногда удачно, иногда нет, иногда очень удачно

Золотые слова:)

дальше?

А что дальше?

К консенсусу мы пришли - считать шумиху, PR-погремушкой.

Если будет что еще обсудить, продолжим.

Не будет, закончим.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
К консенсусу мы пришли - считать шумиху, PR-погремушкой.

отмечу - любую вирусную шумиху :)

при этом бывает, что юзерам от этого есть польза - а бывает, что нет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
отмечу - любую вирусную шумиху

Ладно, я не жадный - любую:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×