Новый троян заражает локальную сеть - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
p2u

Новый троян заражает локальную сеть

Recommended Posts

p2u

18/03/2009 10:56

Эксперты по интернет-безопасности сообщают об обнаружении новых атак вредоносного ПО, которое при попадании внутрь локальной сети может повлиять на работу большого количества устройств. Вирус под названием Trojan.Flush.M создаёт фальшивый DHCP-сервер в локальной сети. После этого другие подключённые к сети устройства будут использовать ложные DNS-серверы, которые направляют пользователей на различные фишинговые веб-сайты, сообщает The Register. По словам Йоханнеса Ульриха (Johannes Ullrich), главного технолога центра по интернет-безопасности SANS Internet Storm Center, Trojan.Flush.M имеет ряд улучшений по сравнению со своим предшественником, который был обнаружен в начале декабря 2008 г. Так, теперь вирус не указывает имя DNS-сервера, из-за чего фальшивый DHCP сложнее обнаружить.

http://www.uinc.ru/news/sn11625.html

P.S.: Дополнительно:

Новая версия вредоносного приложения осуществляет следующие действия:

* Устанавливает время резервирования IP на 1 час

* Устанавливает MAC назначение на широковещательный адрес

* Не указывает доменное имя DNS

* Поле options не содержит опцию END после PAD

* В отличие от Trojan.Flush.M, устанавливается BootP Broadcast Bit

Трафик пользователей перенаправляется на DNS сервера 64.86.133.51 и 63.243.173.162.

Источник: securitylab.ru

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

p2u

Так это уже фактически неновость: см. http://www.cybersecurity.ru/news/60537.html

Тут на форуме Admin выкладывал эту же новость, вот она.

Неужели так называемая "новая версия" намного злее предыдущей?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Каждый день выдаются новости, которые уже не новость. Например, что серьёзная часть ЖЖ аккаунтов хакнутые я не постил, потому что предполагал, что это все так уже знают... ;)

Неужели так называемая "новая версия" намного злее предыдущей?

Вирус теперь не указывает имя DNS-сервера, из-за чего фальшивый DHCP сложнее обнаружить. Мне кажется, что это достаточно серьёзное 'улучшение'...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      По мелочи: 1) В меню: Тесты > Тест на АКТИВНЫЕ файловые вирусы
      Так вот, если просто закрыть окно по Esc ( не нажимая ОК ) программа всё равно начнёт поиск... 2) В меню: Файл > Восстановить реестр.
      Пример из лога:
      Выполнено за 1,423 сек.
      Указанный каталог не содержит полной и доступной для чтения копии реестра.
      ----
      Выполнено за 1,423 сек. Что выполнено ?
      Как-то совсем нехорошо звучит. Не нужно так пугать.  :)
    • demkd
      ---------------------------------------------------------
       5.0.5
      ---------------------------------------------------------
       o Исправлена ошибка в функции "Отобразить цепочку запуска процесса" в окне Истории процессов и задач.
         Функция могла зациклиться на конечном процессе цепочки, что приводило к подвисанию uVS.

       o Исправлена ошибка в функции проверки переменных окружения при работе с неактивной системой.

       o В лог добавлен вывод состояния флагов защиты uVS.

       
    • demkd
      Ага, есть такое, исправлю. При включенном отслеживании или наличии драйвера данные оттуда не берутся, во всех версиях uVS. Такого не наблюдаю.
         
    • santy
      Что там будет с историей процессов и задач при работе с активной системой, трудно сказать, это же надо на своей системе (или VM) включать отслеживание. С отслеживанием в основном работаем с образами. Тема так и называется  "создать образ автозапуска с отслеживанием процессов и задач".
    • PR55.RP55
      https://disk.yandex.ru/i/JPJDtV0H4P6Hjg
×