Tehno
26. 03. 2012
Otkrivena nova vrsta malvera
Beograd - ISTRAŽIVAČI KOMPANIJE KASPERSKI lab (Kaspersky Lab) otkrili su izuzetno retku i po svoj prilici jedinstvenu vrstu malvera koja se u potpunosti izvršava u memoriji, bez potrebe da bilo kakvu datoteku sačuva na disku napadnutog računara. Kompanija je primila izveštaje o malveru koji za svoj napad koristi poznati propust u Javi (CVE-2011-3544) na ruskim mrežnim lokacijama, ali navodno ne ostavlja nikakve datoteke pomoću kojih bi podstakao uobičajeni trojanski napad. Zapravo, ispostavilo se da izvršava Javaskript iz jednog okvira (iFrame) ugrađenog u zaraženu stranu (u konkretnom slučaju Adfoksove reklame za privlačenje posetilca na stranama vesti) i svoj šifrovani .dll sadržaj ubrizgava direktno u proces javaw.exe. Pokazalo se da je namena ovog neuobičajenog malvera dvostruka. Kao prvo, onemogućava kontrolu korisničkog naloga u Vindousu, a kao drugo, priprema (ro)bota koji će da komunicira s komandnim i kontrolnim serverom sa kojeg može da prima instrukcije, uključujući jednu koja na zaraženi računar instalira trojanca posmatrača, koji krade podatke. Nedostatak ovog napadača je to što ga korisnik može izbrisati iz memorije prostim restartovanjem računara, pa je potrebna nova infekcija. Međutim, posledica ovog nedostatka je da se izuzetno teško otkriva. Nikakve datoteke se ne upisuju na disk i na prvi pogled nijedna datoteka na napadnutom računaru se ne menja. Ukoliko se propust korišćen za napad ne zakrpi, bezbednosni programi ga neće lako naći. Pošto koristi Javu, znači da je multiplatformski, odnosno kadar da nacilja računare s različitim operativnim sistemima, mada je trojanac koji je usledio posle zabeleženog napada bio namenjen samo Vindousu. Kasperski ukazuje da ovaj novi malver podseća na ozloglašene crve Code Red i Slammer od pre jedne decenije, s tim što su oba bili napravljeni samo da se šire što dalje i što brže, a pošto su napadali specifične Mikrosoftove programe koristeći prepunjavanje bafera, nisu im trebale nikakve datoteke. Novi napadač je napredniji, jer priprema kasniji napad iskorišćavajući svoju slabu uočljivost da zaobiđe bezbednosne sisteme, a to je ono što ga razlikuje od drugih i čini novim. „Na osnovu naše analize protokola koji koristi da bi komunicirao s komandnim serverima, utvrdili smo da su u periodu od nekoliko meseci ti serveri obradili zahteve sa 300.000 zaraženih računara“, izjavio je Sergej Golovanov, istraživač u kompaniji Kasperski lab.
Nema komentara.