Все рубрики раздела
- 5G в Украине: Тестирование в шести городах может начаться уже в этом году11:04
- Кабмин запускает мобильное приложение для водителей12:49
- Электронной почтой в России разрешат пользоваться только по паспорту 11:00
- После скандала с утечкой данных Facebook заблокировал несколько тысяч приложений13:10
- В Сеть утекли данные более чем 400 миллионов пользователей «Фейсбука»10:45
- Крупный скандал в Facebook: это коснулось каждого пользователя13:00
- Google начал тестирование новой социальной сети «Шнурки»20:20
- Гройсману и не снилось: Зеленский готовит «революцию» украинцам20:33
- В работе Facebook произошел масштабный сбой09:38
- Instagram заблокирует ряд популярных хэштегов16:15
Обнаружен опасный сетевой червь, использующий уязвимости Windows!
Компания «Доктор Веб» сообщила о широком распространении опасного сетевого червя Win32.HLLW.Shadow.based, который использует несколько альтернативных методов распространения, один из которых — уязвимости операционной системы Windows, которой подвержены Windows 2000 и более поздние версии, вплоть до беты Windows 7. Для упаковки своих файлов Win32.HLLW.Shadow.based применяет постоянно видоизменяющийся (полиморфный) упаковщик, что затрудняет его анализ.
Сетевой червь Win32.HLLW.Shadow.based, некоторые образцы которого также могут определяться антивирусом Dr.Web как Win32.HLLW.Autorunner.5555, использует для своего распространения сразу несколько способов. Прежде всего — съёмные носители и сетевые диски посредством встроенного в Windows механизма автозапуска. В этом случае имя вредоносного файла является случайным и содержится в папке вида RECYCLERS-x-x-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx. Такую же структуру папок использует Корзина Windows для хранения удалённых файлов, что позволяет вирусу оставаться незаметным для пользователя.
Кроме того, червь может распространяться по сети с использованием стандартного для Windows-сетей протокола SMB. При этом для организации удалённого доступа к компьютеру Win32.HLLW.Shadow.based перебирает наиболее часто встречающиеся способы задания пароля, а также пароли из своего словаря. При положительном результате поиска червь копирует себя в системную папку компьютера-жертвы и создаёт задание на запуск через определённый промежуток времени.
Наконец, вирус распространяется по сети с использованием уязвимости, которая устраняется с помощью критичного обновления, описанного в бюллетене Microsoft MS08-067. На целевой компьютер отправляется специально сформированный запрос, приводящий к переполнению буфера. В результате данных действий компьютер-жертва загружает вредоносный файл по протоколу HTTP.
После запуска Win32.HLLW.Shadow.based проверяет, в каком процессе он находится, и если это процесс rundll32.exe, то внедряет свой код в системные процессы svchost.exe и explorer.exe. Затем вирус открывает в Проводнике текущую папку и прекращает свою работу. Если Win32.HLLW.Shadow.based определяет, что он находится не в процессе rundll32.exe, то он создает свою копию со случайным именем и прописывает её в качестве службы Windows, а также в реестр для обеспечения автозапуска после перезагрузки компьютера и останавливает работу службы обновления Windows. Далее в системе устанавливается собственная реализация HTTP-сервера, с помощью которого начинается распространение вируса по сети. Если вирус определяет, что он находится в процессе svchost.exe, запущенном в качестве DNS-клиента, то внедряет свой код в функции работы DNS на компьютере, тем самым блокируя доступ к сайтам множества антивирусных компаний.
В состав Win32.HLLW.Shadow.based входит драйвер, в функционал которого входит изменение в памяти системного файла tcpip.sys с целью увеличения стандартного ограничения системы на количество одновременных сетевых подключений.
Данная вредоносная программа была создана с целью формирования очередной бот-сети. В ходе работы вируса делаются запросы на загрузку исполняемых файлов со специально созданных для этого серверов, установку и запуск этих программ на компьютерах, входящих в эту бот-сеть. Целью преступников может быть как самостоятельное извлечение прибыли из построенной бот-сети, так и её продажа. К сожалению, недостатка в спросе на работающие бот-сети в настоящее время нет.
Для профилактики распространения вирусов эксперты рекомендовали отключать на компьютерах автозапуск программ со съёмных носителей, использовать автоматическое обновление Windows, а также не применять простые пароли входа в систему.
По материалам: www.cybersecurity.ru
Теги: вирус, Интернет, компьютер, сеть, хакер, сервер, Windows, Доктор Веб, DNS, антивирус, бот-сеть, пароль, Windows 7, червь, вредоносный код, Windows 2000, Win32 HLLW Shadow based, Win32 HLLW Autorunner 5555, SMB, Microsoft MS08-067, HTTP, rundll32.exe, tcpip.sys, драйвер
- PandaLabs сообщает об эпидемии сетевого червя Conficker
- Бот-сеть Tdss использует новый бэкдор для расширения
- Опасность: хакеры вновь берутся за дело после январского спада активности
- BitDefender выпустил "лекарство" для удаления червя Conficker
- «Доктор Веб»: обзор вирусной активности в марте
- Червь Downadup заразил каждый 16-й компьютер
- СБУ задержала настоятеля Святогорской лавры УПЦ МП16:00
- В Константиновке саперы обезвредили невзорвавшуюся авиабомбу15:00
- С 1 мая в "ДНР" дорожает проезд в общественном транспорте13:00
- За 23 апреля россияне ранили 7 жителей Донетчины12:00
- БФ GEM и фонд Баффета доставили продуктовые наборы для ВПЛ с Луганщины10:00
- Оперативная информация Генштаба ВСУ о ситуации на Донбассе09:00
- За 22 апреля россияне убили 2 и ранили 1 жителя Донетчины12:00
- Школы Покровской общины получили ноутбуки от БО Save the Children11:00
- Оперативная информация Генштаба ВСУ о ситуации на Донбассе09:00
- Сотрудники ГСЧС привезли 2 тонны гумпомощи жителям Волновахского района15:00