...és a Sunbelt ThreatNet™ káros alkalmazások elleni hálózatban résztvevő felhasználók automatikus visszajelzései alapján készítik.  

Helycserés támadások a kémprogramok között – egyre aktívabb trójaiak

Novemberben nem változott a legtöbb fertőzést okozó kémprogramok élbolya: továbbra is a trójai FakeAlert, a Virtumonde nevû hirdetési szoftver és a szintén trójai Zlob.Media-Codec kémprogram okozta a legtöbb fertőzést. Újdonság, hogy a Trojan.FakeAlert 2007 novemberében először lépte át a 2%-os határt, vagyis a kutatók által a világon regisztrált összes fertőzés 2,18%-át okozta ez a kártevő.

Ennek persze lehet jó oldalát is nézni, hiszen a FakeAlert hamis biztonsági üzeneteket küldve veszi rá a felhasználókat a program telepítésére – vagyis egyre több internetezőt érdekel számtógépe biztonsága. A toplista első kilenc helyén novemberben négy trójai, négy kéretlen reklámokat megjelenítő program, és egy rootkit található – a tizedik helyen pedig egy valódi újdonság szerepel.

A MyGeek/CPVFeed névre keresztelt alkalmazást 2007 februárjában fedezték fel. A kéretlen reklámozó alkalmazás (adware) egy böngésző beépülő moduljaként települ, mûködése során különböző reklámokkal zavarja a böngészést, sőt, bizonyos esetekben a weboldalakra történő navigáció eltérítésével más oldalakat mutat mint amit valójában a felhasználó megpróbált megnyitni. 

A Sunbelt havi kémprogram-összesítőjét lehetővé tevő ThreatNet hálózathoz bárki csatlakozhat, hiszen elég letölteni a www.sunbelt.hu honlapról a CounterSpy kémprogram-eltávolító ingyenes próbaváltozatát, s a program automatikusan összegyûjti a számítógépet ért fertőzéseket – egyúttal megtisztítja a merevlemezt a kémprogramoktól, ami gyorsabbá és újra biztonságossá teheti a számítógépet. 

RBN – az orosz falanx

David Bizeul független szakértő novemberben külön tanulmányt szentelt az RBN nevû orosz internetes bőnözöi csoportnak. Az RBN-hez több nemzetközi netes bûncselekményt kapcsolnak a szakemberek, így 2005-ben a CoolWebSearch kémprogram megjelentetése, egy évvel később a VML sebezhetőség hullám, a hírhedt Mpack exploit kit (2007 június), a Bank of India honlapjának feltörése (2007 augusztus) vagy akár a vezető antivírusok által több, mint 3 hónapig egyáltalán fel nem ismert Torpig/Sinowal trójai megalkotása mögött is az orosz csapat áll. „Ahhoz, hogy megértsük az RBN mûködését, ismernünk kell a helyi viszonyokat. Oroszországban rendkívül sok, tehetséges IT szakember található, akik viszont nem találnak a képzettségüknek megfelelő munkát. Ugyanakkor a hekkelés, a fizetés nélküli használat teljesen bevett gyakorlatnak számít az országban.” – véli David Bizeul, a tanulmány szerzője.

A teljes képhez az is hozzátartozik, hogy az orosz hatóságok nem lépnek fel kellő hatékonysággal az internetes bûnözőkkel szemben, akik így méginkább bátorítva érezhetik magukat. „Az adathalászat, a gyermekpronográfia, a spamküldés, a trójai alkalmazások terjesztése, illetve a honlap feltörések egyértelmûen jelzik, hogy az RBN-nél mind a szükséges hardver – például botnetek - , mind a szellemi kapacitás rendelkezésre áll. Az RBN gyakorlatilag úgy mûködik, mint egy nemzetközi IT cég: bármilyen bûncselekményre tartunk igényt, ők megtalálják a megfelelő hardveres és szoftveres megoldásokat.” – teszi hozzá a szerző. A szervezet egyébként átlagosan félévente hallat magáról, így könnyen előfordulhat, hogy ismét egy nemzetközi adathalász akciót, vagy egy új kémprogramot láthatunk tőlük.

 A legfertőzöbb kémprogramok és káros alkalmazások 2007. októberében: 

1. Trojan.FakeAlert (trójai)
A kémprogram tipikusan a tálcáról felugró tájékoztató ablakokban hívja fel a felhasználó figyelmét számítógépe fertőzöttségére, és megpróbálja rávenni a gyanútlan felhasználót különböző rosszindulatú, biztonsági programnak álcázott szoftverek, például ál-antivírusok feltelepítésére. 

2. Virtumonde (reklámprogram)
A Virtumonde felugró ablakokban különböző kéretlen reklámokat jelenít meg, a háttérben pedig további károkozók letöltésére, és különböző összegyûjtött adatok elküldésére is képes. A fertőzést általában nehéz eltávolítani, több módszerrel is próbál a kémprogram-eltávolítók ellen küzdeni. 

3. Trojan-Downloader.Zlob.Media-Codec (trójai letöltő)
A káros alkalmazás bizonyos felnőtt tartalmú honlapokon az egyes videók lejátszásához szükséges Windows Media Player bővítményként tünteti fel magát, valójában viszont további káros alkalmazásokat és kémprogramokat tölt le a felhasználó számítógépére. A Trojan-Downloader.Zlob.Media-Codec a háttérben letölt és feltelepít olyan rosszindulatú, biztonsági szoftvereknek álcázott kémprogramokat, mint a SpywareQuake, a SpyFalcon vagy a WinAntivirusPro, amik később újabb és újabb károkozók letöltéséhez vezetnek. A Trojan-Downloader.Zlob.Media-Codec fertőzésnek olyan változata is ismert, ami hátsó ajtót nyit a felhasználó számítógépén, így a programírók távolról átvehetik az irányítást a számítógép felett, és azt különböző illegális tevékenységekre használhatják fel. 

4. ClickSpring.PuritySCAN (reklámprogram)
A PuritySCAN egy reklámok megjelenítésével finanszírozott szoftver, ami a böngésző gyorsítótára és az előzmények átvizsgálsával pornográf tartalmakat és utalásokat keres, majd felajánlja ezek törlését. A háttérben viszont a program a teljes böngészési előzményeket elküldi, ami alapján célzott hirdetéseket jelenít meg. A licensszerződés, ami a program telepítésével kerül elfogadásra, külön kitér arra, hogy a fejlesztő ClickSpring LLC automatikusan frissítheti vagy eltávolíthatja a szoftvert, és minden további hozzájárulás nélkül (vagyis a felhasználó tudta nélkül) tetszőleges alkalmazásokat telepíthet a számítógépre. 

5. Trojan.NewMediaCodec (trójai)
A New Media Codec trójai alkalmazás a Zlob.Media-Codec családhoz hasonlóan Windows Media Player frissítésnek tünteti fel magát, és tipikusan felnőtt tartalmú videók lejátszásakor kér engedélyt a felhasználótól a „frissítés” elvégzésére. Telepítését követően a kérdéses videó általában megtekinthetővé válik, viszont a trójai alkalmazás a háttérben azonnal elkezd különböző kémprogramokat és további károkozókat letölteni a gyanútlan felhasználó számítógépére. 

6. Trojan.Unclassified.gen (trójai)
A Trojan.Unclassified.gen általános kategóriába olyan trójai alkalmazások tartoznak, amelyeket a CounterSpy felismer, de egyenkénti elnevezésükre és elemzésükre még nem került sor. A kategória sok hasonló fertőzést tartalmaz. 

7. Command Service (reklámprogram)
Egy klasszikus adware kémprogram a felhasználó engedélyével, általában más, hasznosabb szoftverekkel együtt települ, és böngészés közben kéretlen hirdetéseket jelenít meg. A Command Service különlegessége, hogy más adware programok kiütésével megpróbálja „megvédeni saját területét”, a megszerzett számítógépet: végfelhasználói licensszerződése tartalmazza, hogy a program a felhasználó külön értesítése nélkül eltávolíthat, letilthat vagy mûködésképtelenné tehet más adware alkalmazásokat, amelyek feltételezhetően csökkenthetnék a Command Service hatékonyságát. 

8. RootKitWin32Agent.eq (rootkit)
Az operációs rendszer legmélyebb rétegeibe beférkőző Win32.Agent.eq rootkit elsősorban reklámprogramok számára biztosít búvóhelyet kémprogram-eltávolító és antivírus szoftverek elől. A futó rootkit képes átverni az operációs rendszert úgy, hogy a károkozókat tartalmazó könyvtárat „nem mutatja” a könyvtárak listázása során, így egy víruskeresés esetén a klasszikus védelmi szoftverek számára láthatatlan marad a búvóhely. 

9. WhenU.Save (reklámprogram)
A kémprogram folyamatosan figyeli a felhasználó böngészési szokásait, és a meglátogatott oldalak függvényében jelenít meg a tartalomhoz többé-kevésbé illő hirdetéseket. A reklámprogram mûködését a végfelhasználói szerződésben is felvállalja, elméletileg teljesen eltávolítható kézzel is, de ezt minden lépésben megnehezítik a fejlesztők. Olyan apróságokra is figyeltek, hogy a program eltávolításkor fordított értelmû kérdést tesz fel és arra kérdez rá, hogy a programot szeretné-e megtartani, amikor az eltávolítók szinte mindig az alkalmazás törlésére kérnek megerősítést. 

10. MyGeek/CPVFeed (reklámprogram)
A 2007 februárjában felfedezett kéretlen reklámozó alkalmazás (adware) egy böngésző beépülő modulként települ, általában a felhasználó tudta nélkül. Mûködése során különböző reklámokkal zavarja a böngészést, sőt, bizonyos esetekben a weboldalakra történő navigáció eltérítésével más oldalakat mutat mint amit valójában a felhasználó megpróbált megnyitni.  

Friss IT biztonságtechnikai hírek és Sunbelt, MPP termékújdonságok folyamatosan a SPAMblog.hu oldalon olvashatók. (www.spamblog.hu)  

A Sunbelt Software-ről

Az 1994-ben alapított, amerikai székhelyû Sunbelt Software otthoni és vállalati IT biztonságtechnikai szoftverek vezető szállítója: portfóliója spamszûrő, tûzfal és kémprogram-eltávolító termékektől a hálózatbiztonsági és rendszermenedzsment programokig terjed. A Message Partners-rőlA 2001-ben alapított, amerikai székhelyû Message Partners a piacvezető spamszûrő és antivírus motorokat egyetlen védelmi rendszerbe integráló MPP szállítója.

A vállalati és internetszolgáltatói környezetben alkalmazott, robusztus MPP egyedülálló módon ötvözi a legjobban teljesítő levélszûrő technológiákat egy átfogó levélkezelő rendszerrel, ami egyetlen integrált megoldásként minden levelezési problémára megoldást jelent. A Yellow Cube 2000. Kft.-rőlA Yellow Cube 2000. Kft. egyéni és vállalati ügyfeleknek fejleszt és kínál biztonságtechnikai szoftvereket, elsősorban spamszûrő és kémprogram-eltávolító termékeket. A cég a piacon egyedülállóként magyar nyelvû spamszûrő szoftvert fejleszt, továbbá a Sunbelt Software és a Message Partners termékeinek kizárólagos hazai disztribútoraként a biztonságtechnikai szoftverek széles választékát kínálja otthoni felhasználóktól a nagyvállalatokig.