Недельный отчет Panda Software о вирусах и вторжениях

В отчете на этой неделе будут рассмотрены два червя: Gaobot.IUF и Prex.AM, брешь безопасности в файле JAVAPRXY.DLL, кейлоггер Application/KeySpy, программа Application/GoldenKeyLog и троянец Banker.XP.

Екатеринбург, 11 июля 2005

Prex.AM распространяется через приложения обмена мгновенными сообщениями MSN Messenger. Gaobot.IUF может распространяться через ряд каналов, включая сетевые ресурсы общего пользования, защищенные легко угадываемыми паролями.

Одной заметной особенностью Gaobot.IUF и Prex.AM является то, что они распространяются вместе в одном RAR файле. Когда файл запускается, он автоматически распаковывается и создает два файла с червями, которые затем выполняют ряд действий, включая следующие:

- Gaobot.IUF создает лазейку (backdoor) и подключается к IRC-серверу, где ожидает команд (сбор информации о системе, кража регистрационных кодов для определенных игр и т.д.) от удаленного злоумышленника.

- Prex.AM отсылает через MSN Messenger сообщения, содержащие текст: hmm like my friend said dont look ahaha, SICK pictures, и ссылку на адрес в Интернете. Если пользователь щелкает на ссылку, на компьютер скачивается RAR-файл, содержащий оба вредоносных кода.

Брешь безопасности, которую мы рассмотрим сегодня, описывается в бюллетене Microsoft SecAdv903144 и влияет на файл JAVAPRXY.DLL – компонент Interner Explorer на компьютерах с Windows 2003/XP/2000/Me/98. Уязвимыми являются версии 5.01, 5.5 и 6.

Эта уязвимость, которая эксплуатируется с помощью специально созданной веб-страницы, может позволить злоумышленнику получить контроль над пораженным компьютером с теми же правами (создание, редактирование и удаление файлов, установка программ и т.д.), что и начавший сеанс пользователь. Поэтому пользователям компьютеров, подверженных этой уязвимости, рекомендуется установить обновление от Microsoft. Его можно скачать через бюллетень по безопасности Microsoft (щелкнув на "Workarounds" и "Disable the Javaprxy.dll COM object from running in Internet Explorer").

Отчет продолжает Application/KeySpy, записывающий нажатия всех клавиш на пораженном компьютере с момента запуска Windows до завершения сеанса, включая пароли для защищенных программ или вводимые на веб-страницах. Также на рабочем столе отображается иконка, которая при открытии отображает окно, содержащее все записанные нажатия клавиш.

Application/GoldenKeyLog - это программа, наблюдающая за клавиатурной активностью после включения компьютера. Она также изменяет реестр Windows для создания записи в "Настройка - Установка и удаление программ".

Мы завершаем сегодняшний отчет троянцем Banker.XP, который пытается получить конфиденциальные данные, такие как пароли доступа к различным сервисам, на зараженном компьютере. После их получения он компилирует их и отсылает хакеру.

Для более подробной информации об этих и прочих компьютерных угрозах, посетите Вирусную энциклопедию Panda Software на www.viruslab.ru.

О PandaLabs

Получив подозрительный файл, технический персонал Panda Software приступает к работе. Полученный файл анализируется, и, в зависимости от его типа, предпринимаются следующие действия: дизассемблирование, проверка макросов, анализ кода и т.д. Если проанализированный таким образом файл действительно содержит новый вирус, немедленно подготавливаются необходимые средства для обнаружения и обезвреживания вредоносного кода, которые быстро распространяются среди пользователей.

Опубликовано: 11 июля 2005 г.

Ключевые слова: нет

Извините, комментариев пока нет