Najpopularniejsze szkodliwe programy lutego 2010 wg Kaspersky Lab

Jewgienij Asiejew
Analityk zagrożeń, Kaspersky Lab

Kaspersky Lab prezentuje listę szkodliwych programów, które najczęściej atakowały użytkowników w lutym 2010 r. Podobnie jak w poprzednich miesiącach, zestawienie zostało przygotowane w oparciu o dane wygenerowane przez system Kaspersky Security Network (KSN) - innowacyjną technologię zaimplementowaną w produktach firmy Kaspersky Lab przeznaczonych dla użytkowników indywidualnych.

Szkodliwe programy wykryte na komputerach użytkowników

Pierwsza tabela zawiera szkodliwe programy, aplikacje wyświetlające reklamy oraz potencjalnie niebezpieczne narzędzia, które zostały wykryte i zneutralizowane na komputerach użytkowników po raz pierwszy, na przykład przez moduł ochrony w czasie rzeczywistym (skanowanie podczas dostępu). Użycie statystyk z tej metody skanowania pozwala na dokonanie analizy najnowszych, najbardziej niebezpiecznych i najszerzej rozprzestrzenionych szkodliwych programów.

Skład pierwszej piątki szkodliwych programów nie zmienił się w lutym, a sądząc po liczbie infekcji, epidemia robaka Kido nieco osłabła.

Exploit.JS.Aurora.a, jak sugeruje jego nazwa, jest programem, który wykorzystuje luki w wielu różnych programach. Exploit ten był powszechnie wykorzystywany w lutym, w rezultacie zajmując siódme miejsce w rankingach. Więcej na jego temat można znaleźć w poniższej sekcji "Szkodliwe programy w Internecie".

W lutowym zestawieniu wśród nowości znalazły się również dwa program adware.

Zajmujący 20 miejsce FunWeb.q jest idealnym przykładem programu adware. Jest to pasek narzędzi dla popularnych przeglądarek zapewniający użytkownikom łatwy dostęp do zasobów znajdujących się na niektórych stronach internetowych (zwykle tych z zawartością multimedialną). Program modyfikuje również odwiedzane strony, tak aby wyświetlały reklamy.

Przypadek programu not-a-virus:AdWare.Win32.RK.aw (na trzynastym miejscu) jest bardziej złożony. Aplikacja ta rozprzestrzenia się i jest instalowana wraz z innymi produktami. W polityce prywatności firmy oraz umowie z użytkownikiem końcowym (http://www.relevantknowledge.com/RKPrivacy.aspx) zaznaczono, że program śledzi praktycznie całą aktywność użytkownika, szczególnie aktywność internetową, automatycznie gromadząc informacje osobiste i zapisując je na serwerach firmowych. Można również przeczytać, że wszystkie zebrane dane są wykorzystywane wyłącznie w celu "pomocy w ukształtowaniu przyszłości Internetu", oraz że dane zostaną dobrze zabezpieczone. Czy jest to prawda czy nie - każdy musi zdecydować indywidualnie.

Szkodliwe programy w Internecie

Drugie zestawienie Top20 przedstawia dane wygenerowane przez moduł ochrona WWW, odzwierciedlające krajobraz zagrożeń online. Zestawienie to zawiera szkodliwe programy wykryte na stronach internetowych oraz pobrane na maszyny ze stron internetowych.

W lutym sytuacja dotycząca szkodliwego oprogramowania w Internecie była dość nietypowa, co pokazuje nasze drugie zestawienie.

Po pierwsze, spory awans odnotował Gumblar.x, który odzyskał pierwsze miejsce, po tym jak w styczniu praktycznie całkowicie zniknął. W zeszłym miesiącu sugerowaliśmy, że może nastąpić kolejny atak Gumblara. Nasze przewidywania niebawem potwierdziły się. Jednak tym razem czarne kapelusze nie zmieniły znacząco swojego podejścia; zbierali po prostu nowe dane, które mogą zostać wykorzystane do uzyskania dostępu do stron internetowych przed ich całkowitym zainfekowaniem. Będziemy śledzili dalszy rozwój wypadków.

Epidemia wywołana przez trojana Pegel, która rozpoczęła się w styczniu, zwiększyła swoje rozmiary prawie sześciokrotnie - wśród nowości znajduje się czterech przedstawicieli tej rodziny, jeden z nich uplasował się od razu na trzecim miejscu. Jest to trojan downloader, który pod pewnymi względami przypomina Gumblara, ponieważ infekuje również całkowicie legalne strony. Użytkownik, który odwiedza zainfekowaną stronę, jest przekierowywany przez szkodliwy skrypt na zasoby cyberprzestępców. Aby nie wzbudzić podejrzeń użytkowników, w adresach zainfekowanych stron wykorzystywane są nazwy popularnych portali, np.:

http://friendster-com.youjizz.com.jeuxvideo-com.**********.ru:8080/sify.com/sify.com/pdfdatabase.com/google.com/allegro.pl.php

http://avast-com.deviantart.com.dangdang-com.**********.ru:8080/wsj.com/wsj.com/google.com/nokia.com/aweber.com.ph

Odsyłacze te prowadzą do stron zawierających kolejny skrypt, który wykorzystuje wiele różnych metod, aby pobierać główny plik wykonywalny. Stosowane metody są w większości tradycyjne – wykorzystywanie luk w zabezpieczeniach w popularnych programach, takich jak Internet Explorer (CVE-2006-0003 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0003)) oraz Adobe Reader (CVE-2007-5659 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=2007-5659), CVE-2009-0927 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0927), jak również pobieranie za pośrednictwem specjalnego apletu w języku Java. Głównym plikiem wykonywalnym jest program o nazwie Backdoor.Win32.Bredolab, spakowany przy pomocy różnych szkodliwych pakerów (z których kilka jest wykrywanych jako Packed.Win32.Krap.ar oraz Packed.Win32.Krap.ao). O tym szkodniku pisaliśmy już wcześniej, warto jednak przypomnieć, że oprócz swojej głównej funkcji szkodliwej - zdalnego zarządzania zainfekowanymi maszynami - potrafi również pobierać inne szkodliwe pliki.

Wróćmy jednak do programu Exploit.JS.Aurora.a, o którym wspominaliśmy wcześniej. Na dziewiątym miejscu w drugim rankingu znajduje się Aurora.a - exploit wykorzystujący lukę CVE-2010-0249 (http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0249). Został on zidentyfikowany po masowym ukierunkowanym ataku na kilka wersji przeglądarki Internet Explorer, który miał miejsce w styczniu.

Atak ten, szeroko nagłośniony przez media IT i skierowany na główne organizacje (łącznie z Google i Adobe), został ochrzczony Aurora (http://en.wikipedia.org/wiki/Operation_Aurora) od części nazwy ścieżki pliku użytej w jednym z głównych plików wykonywalnych. Celem ataku było uzyskanie dostępu do danych osobistych oraz korporacyjnej własności intelektualnej, takiej jak kod źródłowy projektu. Atak został przeprowadzony przy użyciu wiadomości e-mail z odsyłaczami do zainfekowanych stron; strony te zawierały exploity, które spowodowały ukradkowe pobranie głównego pliku wykonywalnego na maszyny ofiar.

Programiści z Microsoftu wiedzieli o tej luce od kilku miesięcy, jednak załatano ją dopiero miesiąc po tym, jak została wykorzystana. Warto dodać, że w tym czasie kod źródłowy tego exploita stał się publicznie dostępny dopiero wtedy, jak leniwi cyberprzestępcy nie wykorzystali go w swoich atakach: nasza kolekcja ma już ponad sto wariantów szkodliwego oprogramowania, które wykorzystują tę lukę.

Fakty mówią same za siebie. Luki w popularnym oprogramowaniu nadal stanowią główne zagrożenie dla użytkowników i ich danych. To, że cyberprzestępcy nadal próbują wykorzystywać luki w zabezpieczeniach, które zostały wykryte kilka lat temu, jest dowodem na to, że luki te nadal stanowią zagrożenie dla bezpieczeństwa. Niestety, nawet regularne aktualizowanie oprogramowania pochodzącego od największych producentów nie gwarantuje ochrony, ponieważ producenci nie zawsze od razu wypuszczają łaty. Dlatego ważne jest, aby zachować ostrożność – szczególnie podczas surfowania po Internecie – i oczywiście aktualne rozwiązanie antywirusowe jest koniecznością!