Сетевой червь Win32.HLLW.Shadow.based использует уязвимости Microsoft Windows

Сетевой червь Win32.HLLW.Shadow.based использует уязвимости Microsoft Windows

Компания «Доктор Веб» информирует о широком распространении опасного сетевого червя Win32.HLLW.Shadow.based, который использует несколько альтернативных методов распространения, один из которых — уязвимости операционной системы Windows, которой подвержены Windows 2000 и более поздние версии, вплоть до беты Windows 7. Для упаковки своих файлов Win32.HLLW.Shadow.based применяет постоянно видоизменяющийся (полиморфный) упаковщик, что затрудняет его анализ.


Способы распространения

Сетевой червь Win32.HLLW.Shadow.based, некоторые образцы которого также могут определяться антивирусом Dr.Web как Win32.HLLW.Autorunner.5555, использует для своего распространения сразу несколько способов. Прежде всего — съёмные носители и сетевые диски посредством встроенного в Windows механизма автозапуска. В этом случае имя вредоносного файла является случайным и содержится в папке вида RECYCLER\S-x-x-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx. Такую же структуру папок использует Корзина Windows для хранения удалённых файлов, что позволяет вирусу оставаться незаметным для пользователя.

Кроме того, червь может распространяться по сети с использованием стандартного для Windows-сетей протокола SMB. При этом для организации удалённого доступа к компьютеру Win32.HLLW.Shadow.based перебирает наиболее часто встречающиеся способы задания пароля, а также пароли из своего словаря. При положительном результате поиска червь копирует себя в системную папку компьютера-жертвы и создаёт задание на запуск через определённый промежуток времени.

Наконец, вирус распространяется по сети с использованием уязвимости, которая устраняется с помощью критичного обновления, описанного в бюллетене Microsoft MS08-067. На целевой компьютер отправляется специально сформированный запрос, приводящий к переполнению буфера. В результате данных действий компьютер-жертва загружает вредоносный файл по протоколу HTTP.


Действия, совершаемые после запуска вируса

После запуска Win32.HLLW.Shadow.based проверяет, в каком процессе он находится, и если это процесс rundll32.exe, то внедряет свой код в системные процессы svchost.exe и explorer.exe. Затем вирус открывает в Проводнике текущую папку и прекращает свою работу.

Если Win32.HLLW.Shadow.based определяет, что он находится не в процессе rundll32.exe, то он создает свою копию со случайным именем и прописывает её в качестве службы Windows, а также в реестр для обеспечения автозапуска после перезагрузки компьютера и останавливает работу службы обновления Windows. Далее в системе устанавливается собственная реализация HTTP-сервера, с помощью которого начинается распространение вируса по сети.

Если вирус определяет, что он находится в процессе svchost.exe, запущенном в качестве DNS-клиента, то внедряет свой код в функции работы DNS на компьютере, тем самым блокируя доступ к сайтам множества антивирусных компаний.

В состав Win32.HLLW.Shadow.based входит драйвер, в функционал которого входит изменение в памяти системного файла tcpip.sys с целью увеличения стандартного ограничения системы на количество одновременных сетевых подключений.


Назначение Win32.HLLW.Shadow.based

Данная вредоносная программа была создана с целью формирования очередной бот-сети. В ходе работы вируса делаются запросы на загрузку исполняемых файлов со специально созданных для этого серверов, установку и запуск этих программ на компьютерах, входящих в эту бот-сеть. Целью преступников может быть как самостоятельное извлечение прибыли из построенной бот-сети, так и её продажа. К сожалению, недостатка в спросе на работающие бот-сети в настоящее время нет.

Процедура лечения системы от Win32.HLLW.Shadow.based и меры по профилактике подобных методов заражений

  • Установить патчи, указанные в следующих информационных бюллетенях Microsoft:
  1. MS08-067 (http://www.microsoft.com/technet/security/bulletin/ms08-067.mspx);
  2. MS08-068 (http://www.microsoft.com/technet/security/bulletin/ms08-068.mspx);
  3. MS09-001 (http://www.microsoft.com/technet/security/bulletin/ms09-001.mspx).
  • Отключить компьютер от локальной сети и от Интернета. Если компьютеры подсоединены к локальной сети, то вылеченный компьютер необходимо подключать обратно к локальной сети лишь после того, как будут вылечены все компьютеры, находящиеся в сети.
  • Скачать текущую версию утилиты Dr.Web CureIt! на неинфицированном компьютере, перенести ее на инфицированный и просканировать все диски, тем самым произведя лечение системы.

Для профилактики распространения вирусов рекомендуется отключать на компьютерах автозапуск программ со съёмных носителей, использовать автоматическое обновление Windows, не применять простые пароли входа в систему.
Возможности антивируса Dr.Web по противодействию Win32.HLLW.Shadow.based

Т.к. сетевой червь Win32.HLLW.Shadow.based устанавливает атрибуты безопасности на свои файлы и ветки реестра средствами Windows таким образом, что чтение их стандартными средствами невозможно, то вылечить систему от этого вируса можно только сканером Dr.Web для Windows с графическим интерфейсом версии не ниже 4.44. В эти версии сканера Dr.Web встроен антируткит-модуль Dr.Web Shield™, который позволяет получать неограниченный доступ к файлам и веткам реестра, защищённым таким образом.

Файловый монитор SpIDer Guard, входящий в состав антивируса Dr.Web для Windows версий 4.44 и 5.0, при использовании актуальных обновлений вирусной базы успешно противодействует всем попыткам Win32.HLLW.Shadow.based установиться в систему.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Чиновники мигрируют в MAX, но трафик в российском мессенджере низкий

По данным Коммуникационной группы «Полилог», реальная вовлеченность пользователей в MAX значительно ниже, чем в Telegram, и не превышает 5% его аудитории. При этом в MAX присутствуют аккаунты многих официальных лиц, включая губернаторов, которых нет в Telegram, что подчеркивает стремление властей осваивать новую платформу и формально расширять каналы коммуникации с гражданами.

По данным «Ведомостей» и АНО «Диалог Регионы», в MAX зарегистрированы 82 губернатора российских регионов из 85. Нет лишь главы Татарстана Рустама Минниханова, губернатора Волгоградской области Андрея Бочарова и врио главы Свердловской области Дениса Паслера.

При этом у губернаторов Ивановской и Тверской областей каналы есть только в MAX, тогда как в Telegram они отсутствуют.

Общее число подписчиков губернаторских каналов в MAX составляет около 350 тыс. человек, что в среднем равно 4182 подписчика на одного главу региона. Лидером является мэр Москвы Сергей Собянин, у которого более 37 тыс. подписчиков. В пятерку наиболее популярных также вошли руководители Белгородской, Саратовской, Брянской и Самарской областей — Вячеслав Гладков, Роман Бусаргин, Александр Богомаз и Вячеслав Федорищев.

Впрочем, в большинстве случаев каналы губернаторов в MAX привлекают лишь 5%, максимум 10% аудитории, которую они имеют в Telegram. Такие данные приводит «Полилог». В целом реальный уровень активности пользователей в MAX сопоставим — около 5% от аудитории и трафика Telegram.

«Полилог» также отмечает, что контент в MAX почти всегда дублирует Telegram без заметных отличий в подаче. Исключением можно считать лишь отдельные примеры, когда губернаторы публикуют более личные материалы именно в MAX.

«Пока не удастся сделать MAX общераспространенным и популярным, эти каналы будут носить формальный характер или дублировать контент из Telegram. Таким образом губернаторы решают политическую задачу, но это мало влияет на их реальное взаимодействие с обществом», — прокомментировал ситуацию политолог Ростислав Туровский в беседе с «Ведомостями».

Политолог Константин Колачев добавил, что число подписчиков в Telegram стало предметом неофициального соперничества между губернаторами. По его словам, региональные руководители будут «тянуть до последнего» с переходом на MAX и сохранять активность в Telegram, пока не появятся жесткие установки отказаться от него.

На федеральном уровне процесс миграции в MAX также идет небыстро. У шести из 21 федерального министра нет собственных каналов, а также отсутствуют каналы у главы правительства Михаила Мишустина и всех его заместителей.

Вчера мы писали, что центр безопасности MAX заблокировал 67 тысяч аккаунтов в августе. Чаще всего причиной блокировки становились попытки массовых спам-рассылок. Аккаунты, замеченные в мошенничестве, закрывались навсегда.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru