A novemberi statisztikában első helyen áll a HTML/Refresh, ami már három hónapja őrzi ezt a pozíciót. Ez egy olyan trójai család, amelyik észrevétlenül átirányítja a felhasználó böngészőjét különféle rosszindulatú web címekre. A kártevő jellemzően a manipulált weboldalak HTML kódjába beágyazva található.

 

Ismét listatag lett a Win32/Ramnit, ezúttal a kilencedik helyre elegendő teljesítményével vívta ki a jelenlétet. Ez egy olyan fájlfertőző vírus, amelynek kódja minden rendszerindításkor lefutva DLL és EXE formátumú állományokat képes megfertőzni, valamint a HTM, illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetőséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszőleges kód futtatására nyílik lehetőség a fertőzött számítógépen.

 

Érdekes módon 2011 áprilisa óta nem tud lekerülni a listánkról az Autorun vírus, sőt az előző havi 10-dik helyről most a 8-dik pozícióba merészkedett vissza. A rekord hosszúságú szereplés okai már többször is szóba kerültek, hiszen már évek óta rendelkezésre áll a sebezhetőséget bezáró, illetve az automatikus indulást lekapcsoló biztonsági frissítés. Ám sajnos sokan ezt azóta sem futtatták le, részint lustaságból, részint mert az érintett gépek egy része valószínĹąleg illegális Windows példányt futtat. Emellett pedig számos felhasználónál futhat még a régi, már nem támogatott XP verzió is.

 

Az ESET Radar Report e havi kiadásában folytatódik az előző hónapban megkezdett téma, amely az úgynevezett support csalásokról szól. Az ilyen típusú támadások sajnos már évek óta zajlanak világszerte. A módszer lényege, hogy elsősorban az angol nyelvterületen élő gyanútlan áldozat kap egy telefonhívást, amelyben nem létező technikai hibára figyelmeztetik. A dolog apropója pedig az, hogy az FTC (U.S. Federal Trade Commission) azaz az amerikai fogyasztóvédelmi hatóság vizsgálatot folytat egy ilyen cég ellen.

 

A gyanú szerint a New York-i székhelyĹą Pairsys Inc. cég iparszerĹąen Ĺązte az ilyen jellegĹą csalásokat, és a Microsoft, illetve a Facebook technikai személyzetének kiadva magukat kiterjedt telemarketing rendszert üzemeltettek az ilyen hamis hívások nagy számban történő hívogatásához. A mondvacsinált, nem létező problémák "kijavításáért" busás munkadíjat szedtek be az áldozatoktól, ez jellemzően 149 és 249 USD közötti összeg volt. Ez mai árfolyamon körülbelül 37-62 ezer forintnak felel meg.

 

Az üzletszerĹą csalásokról Brian Krebs biztonsági szakértő is rendszeresen publikál a blogjában, és bár eredetileg az USA volt a fellegvára az ilyen átveréseknek, egyre több jel mutat arra, hogy az érdemi "munkát" a bĹąnözők kiszervezik Indiába. Mi mindenesetre azt emeljük ki az ügy kapcsán, hogy érdemes óvatosnak lenni az ilyen kéretlen telefonhívások esetén, és gyanú esetén inkább egyszerĹąen tegyük le a kagylót, mielőtt valamilyen kémprogramra, kártevőre mutató oldalra navigálnak bennünket a hamis "segítők".

 

Az antivirus blog novemberi fontosabb blogposztjai között Halloween alkalmával védelmi tippeket adtak az ilyenkor fokozódó veszélyek miatt, és emellett összegyĹąjtöttük az eddigi öt legfélelmetesebb zombi botnetet is.

 

Emellett szót ejtettek arról az újfajta social engineering trükkről is, amelyben gyorshajtási bírsággal is terjed a CryptoLocker. Az ausztráliai Új-Dél-Walesben figyeltek fel ugyanis arra a módszerre, hogy az e-mailben terjedő üzenetekben hamis linkek segítségével egy állami hivatal nevével visszaélve igyekeztek a gyanútlan és talán gyorsan is hajtó felhasználók gépeire kártevőt letölteni.

 

Beszámoltak ezenkívül arról is, hogy nem csak a tüdőre lehet káros az e-cigaretta, ez derült ki ugyanis a Guardian egyik cikkéből. A dolog lényege, hogy az Autorun vírus nem csak a klasszikus USB kulcs, memóriakártya, vagy külső merevlemez segítségével képes fertőzni, hanem például fényképezőgép, MP3 lejátszó, okosóra, digitális képkeret vagy akár az USB töltési lehetőséggel rendelkező e-cigaretta is jelenthet ilyen veszélyt.

 

Végül megemlítettek egy érdekes brit felmérést is, amelynek eredményeiből az látszik, hogy az ottani felnőtt lakosságból minden hatodik felhasználó szenvedett már el valamilyen kibertámadást. Az incidensek közül az adathalászat, a személyes adatok eltulajdonítása illetve banki adatok kifürkészése, manipulálása a leggyakoribb. Sajnos azonban az is kiderült, hogy a felhasználók jelentős hányada egyáltalán nem is védi az eszközeit biztonsági alkalmazásokkal.

 

Vírustoplista

 

Az ESET több millió felhasználó visszajelzésein alapuló statisztikai rendszere szerint 2014 novemberében a következő 10 károkozó terjedt világszerte a legnagyobb számban, és volt együttesen felelős az összes fertőzés 16.39%-áért. Aki pedig folyamatosan és első kézből szeretne értesülni a legújabb Facebook-os kártevőkről, a közösségi oldalt érintő mindenfajta megtévesztésről, az csatlakozhat hozzánk az ESET Magyarország www.facebook.com/biztonsag, illetve az antivirusblog.hu oldalán.

 

  

01. HTML/Refresh trójai

 

Elterjedtsége a novemberi fertőzések között: 3.13%

 

MĹąködés: A HTML/Refresh egy olyan trójai család, amelyik észrevétlenül átirányítja a felhasználó böngészőjét különféle rosszindulatú web címekre. A kártevő jellemzően a manipulált weboldalak HTML kódjába beágyazva található.

Bővebb információ: http://www.virusradar.com/en/HTML_Refresh/detail

 

02. Win32/Bundpil féreg

 

Elterjedtsége a novemberi fertőzések között: 2.33%

 

MĹąködés: A Win32/Bundpil féreg hordozható külső adathordozókon terjed. Futása során különféle átmeneti állományokat hoz létre a megfertőzött számítógépen, majd egy láthatatlan kártékony munkafolyamatot is elindít. Valódi károkozásra is képes, a meghajtóinkról az *.exe, *.vbs, *.pif, *.cmd kiterjesztésĹą és a Backup állományokat törölheti. Ezenkívül egy külső URL címről megkísérel további kártékony komponenseket is letölteni a HTTP protokoll segítségével, majd ezeket lefuttatja.

Bővebb információ: http://www.virusradar.com/en/Win32_Bundpil.A/description

 

03. Win32/Adware.MultiPlug adware

 

Elterjedtsége a novemberi fertőzések között: 1.93%

 

MĹąködés: A Win32/Adware.MultiPlug egy olyan úgynevezett nemkívánatos alkalmazás (Potential Unwanted Program, PUP), amely a felhasználó rendszerébe bekerülve különféle felugró ablakokban kéretlen reklámokat jelenít meg az internetes böngészés közben.

Bővebb információ: http://www.virusradar.com/en/Win32_Adware.MultiPlug.H/description

 

04. Win32/TrojanDownloader.Wauchos trójai 

 

Elterjedtsége a novemberi fertőzések között: 1.48%

 

MĹąködés: A Win32/TrojanDownloader.Wauchos egy olyan trójai, amelynek fő célja további kártékony kódokat letölteni az internetről a fertőzött számítógépre. Különféle registry kulcsok létrehozásával gondoskodik arról, hogy minden rendszerindításkor lefusson a kódja. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül próbál meg adatokat továbbítani a gép operációs rendszeréről, beállításairól, IP címéről, illetve ezen keresztül parancsokat fogad, így a támadóknak távolról tetszőleges kód futtatására nyílik lehetőség.

Bővebb információ: http://www.virusradar.com/Win32_TrojanDownloader.Wauchos.A/description

 

05. Win32/Sality vírus

 

Elterjedtsége a novemberi fertőzések között: 1.41%

 

MĹąködés: A Win32/Sality egy polimorfikus fájlfertőző vírus. Futtatása során elindít egy szerviz folyamatot, illetve registry bejegyzéseket készít, hogy ezzel gondoskodjon arról, hogy a vírus minden rendszerindítás alkalmával elinduljon. A fertőzése során EXE illetve SCR kiterjesztésĹą fájlokat módosít, és megkísérli lekapcsolni a védelmi programokhoz tartozó szerviz folyamatokat.

Bővebb információ: http://www.virusradar.com/Win32_Sality.NAR/description

 

06. LNK/Agent trójai

 

Elterjedtsége a novemberi fertőzések között: 1.35%

 

MĹąködés: A LNK/Agent trójai fő feladata, hogy a háttérben különféle létező és legitim - alaphelyzetben egyébként ártalmatlan - Windows parancsokból kártékony célú utasítássorozatokat fĹązzön össze, majd futtassa is le azokat. Ez a technika legelőször a Stuxnet elemzésénél tĹąnt fel a szakembereknek, a sebezhetőség lefuttatásának négy lehetséges módja közül ez volt ugyanis az egyik. Víruselemzők véleménye szerint ez a módszer lehet a jövő Autorun.inf szerĹą kártevője, ami valószínĹąleg szintén széles körben és hosszú ideig lehet képes terjedni.

Bővebb információ: http://www.virusradar.com/en/LNK_Agent.AK/description

 

07. JS/Kryptik trójai

 

Elterjedtsége a novemberi fertőzések között: 1.29%

 

MĹąködés: A JS/Kryptik egy általános összesítő elnevezése azoknak a különféle kártékony és olvashatatlanná összezavart JavaScript kódoknak, amely a különféle HTML oldalakba rejtetten beágyazódva észrevétlenül sebezhetőségeket kihasználó kártékony weboldalakra irányítja át a felhasználó böngészőprogramját.

Bővebb információ: http://www.virusradar.com/en/JS_Kryptik/detail

 

08. INF/Autorun vírus

 

Elterjedtsége a novemberi fertőzések között: 1.22%

 

MĹąködés: Az INF/Autorun gyĹąjtőneve az autorun.inf automatikus programfuttató fájlt használó károkozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép mĹąködése drasztikusan lelassul, és fertőzött adathordozókon (akár MP3-lejátszókon is) terjed.

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/%21autorun

 

09. Win32/Ramnit vírus 

 

Elterjedtsége a novemberi fertőzések között: 1.17%

 

MĹąködés: A Win32/Ramnit egy fájlfertőző vírus, amelynek kódja minden rendszerindításkor lefut. DLL és EXE formátumú állományokat képes megfertőzni, ám ezen kívül a HTM, illetve HTML fájlokba is illeszt kártékony utasításokat. Végrehajtásakor sebezhetőséget keres a rendszerben (CVE-2010-2568), és ha még nincs befoltozva a biztonsági rés, úgy távolról tetszőleges kód futtatására nyílik lehetőség. A támadók a távoli irányítási lehetőséggel képernyőképek készítését, jelszavak és egyéb bizalmas adatok kifürkészését, továbbítását is el tudják végezni.

Bővebb információ: http://www.virusradar.com/Win32_Ramnit.A/description?lng=en

 

10. HTML/ScrInject trójai

 

Elterjedtsége a novemberi fertőzések között: 1.08%

 

MĹąködés: A HTML/ScrInject trójai egy RAR segédprogrammal tömörített állomány, amely telepítése során egy üres (c:windowsblank.html) állományt jelenít meg a fertőzött gép böngészőjében. Hátsó ajtót nyit a megtámadott rendszeren, és ezen keresztül a háttérben további kártékony JavaScript állományokat kísérel meg letölteni.

Bővebb információ: http://www.eset.hu/tamogatas/viruslabor/virusleirasok/scrinject-b-gen