Самые опасные вирусы месяца


Служба вирусного мониторинга компании «Доктор Веб» провела анализ вирусной ситуации в августе 2007 года - главным событием августа стало дальнейшее развитие ситуации, связанной с массовой спам-рассылкой «штормовых» писем. 





В течение первой половины августа авторами использовался проверенный временем метод социальной инженерии – маскировка под уведомление о поздравительной открытке. В теле таких писем пользователю предлагалось пройти по ссылке и просмотреть предлагаемую открытку. Впоследствии, тема подобных писем несколько раз менялась вместе с содержанием – предлагалось просмотреть некий клип с участием самого пользователя на YouTube, затем проверить состояние учетной записи, якобы зарегистрированной на том или ином развлекательном сервере. При проследовании по предложенным в письмах ссылкам с помощью браузера Internet Explorer происходило выполнение загрузочного скрипта, внедренного в веб-страницу. Данный скрипт детектируется антивирусом Dr.Web как VBS.Psyme.434. В ходе выполнения скрипта являлось произвольная закачка и запуск вредоносной программы, определяемой Dr.Web как Trojan.Packed.142. Как результат – компьютер пользователя становился ботом в создаваемой Trojan.Packed.142 P2P-сети и рассылал спам. Кроме того, в функциональность вложены Trojan.Packed.142 возможности организации DDoS атак.

Во второй декаде августа специалистами Службы вирусного мониторинга компании «Доктор Веб» было обнаружено, что скачиваемые исполняемые модули инфицированы опасным полиморфным вирусом, получившим наименование по классификации Dr.Web Win32.Virut.5. Данный вирус заражал все исполняемые файлы и содержал функции управления инфицированными компьютерами с использованием IRC-канала. Инфицированные Win32.Virut.5 варианты исполняемых модулей Trojan.Packed.142 распространялись в течение нескольких дней. Следует отметить тот факт, что антивирус Dr.Web, в отличие от многих других антивирусов, не только детектирует, но и, что немаловажно, лечит файлы, пораженные Win32.Virut.5. Учитывая масштабность распространения «штормовых» спам-писем, промедление с детектированием и лечением недопустимо. Определенным образом вспоминается ситуация прошлого года, когда по пиринговым сетям распространялся полиморфный файловый вирус Win32.Polipos и длительное время, кроме Dr.Web его никто не детектировал и не лечил пораженные им файлы.

В дальнейшем распространение инфицированных Win32.Virut.5 вариантов Trojan.Packed.142 прекратилось. Нечто подобное произошло в мае этого года, когда произошла мощная рассылка инфицированных Win32.Virut вариантов почтового червя семейства Win32.HLLM.Limar.

Помимо этого, зафиксировано распространение другого файлового вируса, получившего наименование Win32.Scproj.7573. Данный вирус заражает все исполняемые файлы на жестких дисках компьютера, а также сменных дисках. Вирус, как правило, не меняет размер файла-оригинала жертвы, записываясь в области нулевых байтов. Заражение не сопровождается какими-либо визуальными эффектами, его признаками могут служить ошибки Explorer, сообщения тех или иных программ о нарушении целостности своих исполняемых файлов и.т.п. Вирус перехватывает у зараженных приложений доступ в сеть, поэтому может обходить политики безопасности межсетевых экранов для доверенных приложений. В своем теле содержит ссылки, по которым он может получить инструкции для своих дальнейших действий. Через определенное время после запуска зараженного Explorer, вирус сканирует сетевые ресурсы на наличие доступных для записи сетевых папок, и при обнаружении таковых заражает в них все исполняемые файлы.

Также следует упомянуть о распространении новых модификаций известного семейства почтового червя массовой рассылки Win32.HLLM.Beagle, однако эпидемии не случилось.

Источник: http://soft.mail.ru/pressrl_page.php?id=23818

Не понимаю, что интересного в этих ежемесячных отчётах? Голые цифры и непонятная аналитика, вот если бы они выкладывали вместе с отчётом и сами вирусы, тогда было бы интересно, а так невдохновенно получается.

ну да, втыкать в результаты дизассемблирования очень интересно...   

А какой был бы толк в выкладываемых вирусах? Такие обзоры делаются для рекламы.

читаешь мои мысли....

Вот я и спросил, что интересного?



Ну так если человек следит за этой областью, то как ещё? Для знающего гораздо интереснее технический отчёт с дизассемблерными листингами. 

И большой процент таковых среди читающих новости?.. Для интереса можешь через мыло или как попросить лабораторию выслать тебе листинги... интересно, вышлют?

Это сообщение отредактировал(а) JackYF - 5.9.2007, 17:10

Без понятия. Но думаю, среди тех, кто интересуется этой областью знающих, что такое ассемблер больше, чем не знающих.



Не вышлют. Вирусные аналитики, исследующие зверьё, отношения к составлению отчётов никакого не имеют, в лаборатории Dr.Web  ведётся контроль за ними, они не имеют право выносить информацию на носителях с работы, передавать её через сеть или любыми другими способами.

Другое дело, что это ведь потенциально опасно, предоставление листингов в итоге сделает лабораторию площадкой по обмену опытом между всякими вредителями, сами же аверы себе работы прибавят порядком, это уж точно, воспитав новое поколение VasyaNacker'ов, которые будут писать мегометаморфперпутирующиевирусы. 
Про выкладывание я сказал шутя, мне просто было любопытно, что в подобных отчётах люди находят интересного.

Это сообщение отредактировал(а) W4FhLF - 5.9.2007, 17:56

Давно известно, что самый опасный и разрушительный вирус - это тот, что сидит за компьютером. По сравнению с ним все программистские поделки нервно курят в сторонке.

А толку в таких обзорах - ноль. Впрочем, если они приносят прибыль - почему бы их и не писАть?

Вот ты сам говоришь, что даже тебе одному не вышлют. А хочешь, чтобы вывесили на рассмотрение всем. 
Впрочем, по тебе уже давно все всех поняли 

 
(http://magazine.brighton.co.uk/assets/images/TrojanCondoms.gif)
 

ЗЫ: кстати, Dr.Web обнаруживает меньше вирусов, чем Avira Free-AV.


Это сообщение отредактировал(а) JusTalionis - 7.9.2007, 09:51