Сетевой червь Win32.HLLW.Shadow.based использует уязвимости Microsoft Windows

[K_Mikhail 807]

Сетевой червь Win32.HLLW.Shadow.based использует уязвимости Microsoft Windows

15 января 2009 г.

Компания «Доктор Веб» информирует о широком распространении опасного сетевого червя Win32.HLLW.Shadow.based, который использует несколько альтернативных методов распространения, один из которых — уязвимости операционной системы Windows, которой подвержены Windows 2000 и более поздние версии, вплоть до беты Windows 7. Для упаковки своих файлов Win32.HLLW.Shadow.based применяет постоянно видоизменяющийся (полиморфный) упаковщик, что затрудняет его анализ.

Подробнее

[Денис Лебедев 20]

Вот еще, помоему тоже об этом (если нет - поправьте):

Финская антивирусная компания F-Secure сообщила об обнаружении нового сетевого червя, масштабы распространения которого даже эксперты называют удивительными. Всего за 4 дня червь Downadup инфицировал 6,5 млн Windows-компьютеров, а с момента его появления около двух недель назад было инфицировано уже более 9 млн компьютеров по всему миру.

В минувшую пятницу F-Secure пересмотрела масштабы распространения червя, сообщив, что количество случаев инфицирования Downadup за последние 4 дня выросло с 2,4 млн компьютеров до 8,9 млн. "Это просто удивительно", - говорит антивирусный аналитик компании Тони Койвуннен.

Еще во вторник антивирусный вендор в блоге сообщил, что от действий Downadup пострадали 2,4 млн пользователей, однако уже в среду прогноз был пересмотрен - 3,5 млн пользователей. Таким образом, Downadup умудрился распространиться на 1,1 млн компьютеров всего за 24 часа. "Таких скоростей мы не видели уже несколько лет. Это напоминает 2004-2005 годы и черви Loveletter/Melissa/Sasser/Blaster, которые подкосили тысячи сетей", - говорит Койвуннен.

По терминологии других антивирусных компаний это червь именуется Conficker. Червь распространяется посредством эксплуатации уязвимости MS08-067 в серверном сервисе Microsoft Windows. Он использует специальные RPC-вызовы к другим машинам.

Зараженные компьютеры затем загружают копию червя. RPC – это аббревиатура для обозначения Дистанционного вызова процедур, т.е. протокола, позволяющего внедрение в сетевой компьютер удаленного кода, который, в данном случае, позволяет создателю червя удаленно захватывать контроль над зараженной машиной.

Червь также распространяется посредством USB-устройств, например, флэш-накопителей и MP3-плееров. К тому же червь постоянно обновляется, загружая свои новые версии на зараженные машины с различных, постоянно изменяющихся IP-адресов, что затрудняет блокирование и еще более увеличивает опасность угрозы. Однако некоторые варианты кода предназначены для загрузки на зараженный компьютер других вредоносных кодов. Это свидетельствует о том, что создатели червей в ближайшем будущем готовятся к запуску широкомасштабной атаки с использованием зараженных машин.

"Вот наиболее вероятный сценарий – кибер-преступники ищут способ быстро заразить большое количество компьютеров. Сразу после заражения можно будет легко загрузить на пораженные машины другие угрозы, предназначенные для получения финансовой прибыли. Например, трояны для кражи паролей к онлайновым банкам или якобы антивредоносные программы, которые генерируют всплывающие окна, постоянно напоминающие пользователю о том, что его компьютер заражен, и практически блокирующие возможность использования компьютера до приобретения «лечения»", - объясняет Луис Корронс, технический директор PandaLabs.

В F-Secure говорят, что червь создан таким образом, что он готов к распространению в геометрической прогрессии. "Мы получили логи 12 зараженных машин, которым удалось заразить еще 186 компьютеров. При этом, изначально злонамеренный код исходил всего с одного компьютера", - говорит Койвуннен.

Взято