Négy Cabir-vírus variáns mobiltelefonokra

2004. december 31.

Az elmúlt napokban négy Cabir-variáns felbukkanása keltett riadalmat a Symbian operációs rendszert használó „Bluetooth alkalmazással” rendelkező mobiltelefon-tulajdonosok között. A férgeket, melyek a Symb/Cabir-H, Symb/Cabir-I, Symb/Cabir-J és a Symb/Cabir-K nevet kapták, a Sophos Plc. és az F-Secure csaknem azonos időpontban észlelte és elemezte, december 27-e és december 30-a között.
A négy féreg közül az „alapváltozat” a Symb/Cabir-H. Az -I, -J és a -K minor variánsai a Symb/Cabir-H - nak, működésükben teljesen megegyeznek, az eltérés csupán annyi, hogy szerkezetük kissé (minimálisan) eltér, és más binárist használnak. Symb/Cabir-H férget elsősorban a Nokia Series 60 mobiltelefonokra írták, melyeken a Symbian operációs rendszer fut.

A féreg velasco.sis nevű Symbian SIS csomagokban terjed. A csomag a következő .SystemApps, .SystemSYMBIANSECUREDATA és .SystemRecogs rendszerkönyvtárakba „települő” összetevők „kivonatát” tartalmazza:

./system/apps/velasco/marcos.mdl
./system/apps/velasco/velasco.rsc
./system/apps/velasco/velasco.app
./system/SYMBIANSECUREDATA/VELASCO/velasco.rsc
./system/SYMBIANSECUREDATA/VELASCO/velasco.app
./system/SYMBIANSECUREDATA/VELASCO/velasco.sis
./system/Recogs/marcos.mdl

A Marcos.mdlegy DLL (Dynamic Link Library, dinamikus kapcsolatkönyvtár) - amelyet az EZBoot mechanizmus használ - megkísérli „elindítani” a Symb/Cabir applikációs állományt, a velasco.app - ot, amikor a berendezés bekapcsolt állapotban van.

Első futásakor a Symb/Cabir-H kísérletet tesz, hogy elküldje magát a fertőzött mobiltelefonról olyan közeli készülékekre, melyek „bluetooth” alkalmazással rendelkeznek. A fertőzött állományt megkapó telefon tulajdonosának fogadnia kell a fájlt, majd neki kell installálnia ahhoz, hogy megfertőzze a telefonját. Sajnos sokan mindezt megteszik annak ellenére, hogy a Symbian operációs rendszer a kijelzőn több biztonsági figyelmeztetést „küld” a fertőzött állomány telepítése során. A Symb/Cabir-I, Symb/Cabir-J és a Symb/Cabir-K ugyanilyen módon fertőz.

Mindez csupán „egyszerű” híradás lenne négy féregről, de a Sophos Plc. december 29-én jelezte, hogy az új mobil malware - k, Symbian féreg forráskódját közzétették a hálózaton. Ennek ellenére a Sophos vírus szakértői szerint a következő smartphonok megfertőzésére képes férgek felfedezése nem ok a pánikra.

A Symb/Cabir-H, Symb/Cabir-I, Symb/Cabir-J és a Symb/Cabir-K féreg elküldik saját magukat olyan közeli mobiltelefonokra, melyek Bluetooth alkalmazást is használnak. A berendezés tulajdonosának fogadni, és futtatni kell a fertőzött állományt. A fertőzés csak így következik be.

Egy 32-éves brazíliai programozó közzétette a vírus forráskódját, és „jelezte” más vírusíróknak, hogy ennek a segítségével megírhatják saját „művüket”, saját változataikat. A programozó a weboldalán azt állítja, hogy az egész kódot ő írta, és azért, mert olyan sok ember kérte tőle az eredeti Cabir forráskódot. (unta a sok „zaklatást”....?)

"A hálózaton károkozók forráskódját közzétenni azért veszélyes, mert ez többeket bátoríthat arra, hogy ezeket felhasználva új variánsokat írjanak.” - mondta Graham Cluley, senior technology consultant Sophos. "Igaz, hogy a mobiltelefon-vírusok megírásához aránytalanul nagyobb energia, idő kell, mint az általuk okozott pusztítás, de lehetséges, hogy rosszindulatú emberek most keresik az utat, módszert ahhoz, hogy miképpen tudnak több celluláris telefont megfertőzni. Éppen e miatt minden felhasználónak meg kell gondolni, hogy mit telepít készülékére."

A védekezésnek az is egy módszere, hogy a Bluetooth kapcsolat, alkalmazás "visible to others" funkcióját letiltjuk.
 
 
 

Kapcsolódó cikkek

 

Belépés

 

 

Regisztráció