Οι κακόβουλοι συντάκτες κώδικα βασίζονται στην κακή συμπεριφορά ενημέρωσης των χρηστών. Οι παλιές τρύπες ασφαλείας είναι πολύ δημοφιλείς στους διαδικτυακούς εγκληματίες.
Όταν μολύνουν υπολογιστές, οι διαδικτυακοί εγκληματίες επωφελούνται ολοένα και περισσότερο από τις απεγκατεστημένες ενημερώσεις των χρησιμοποιούμενων φυλλομετρητών και των εξαρτημάτων τους. Σύμφωνα με αναλύσεις των G Data SecurityLabs, τα κενά ασφαλείας στα plugins του προγράμματος περιήγησης που δεν έχουν κλείσει είναι επί του παρόντος πολύ στη μόδα μεταξύ των συμμοριών στον κυβερνοχώρο. Σε αυτήν την ιδέα διάδοσης, οι δράστες σε καμία περίπτωση δεν εκμεταλλεύονται μόνο τα τρέχοντα κενά ασφαλείας - αυτό αποδεικνύεται από τις τρέχουσες αναλύσεις κακόβουλου κώδικα για τον Μάιο του 2011.
Μόνο τον προηγούμενο μήνα, τέσσερις στις δέκα απειλές για κακόβουλο λογισμικό υπολογιστών στα κορυφαία 10 στόχευαν τρύπες ασφαλείας Java, για τις οποίες η Oracle προσφέρει μια ενημέρωση από τον Μάρτιο του 2010. Ο Γερμανός κατασκευαστής ασφάλειας πληροφορικής καταγράφει περαιτέρω ανάπτυξη κακόβουλου λογισμικού που εγκαθιστά adware ή προσπαθεί να ωθήσει τους χρήστες να εγκαταστήσουν πλαστά προγράμματα προστασίας από ιούς.
Πληροφορίες για το κακόβουλο λογισμικό του υπολογιστή από το G Data Malware Top10
Οι λειτουργίες των προγραμμάτων είναι διαφορετικές και κυμαίνονται από ανεπιθύμητες διαφημίσεις, εγκατάσταση spyware έως την εμπορία πλαστών προγραμμάτων προστασίας από ιούς (scareware). Το Trojan.FakeAlert.CJM, για παράδειγμα, χρησιμοποιεί το πρόγραμμα περιήγησης για να εξαπατήσει τους χρήστες να πιστέψουν ότι οι υπολογιστές τους έχουν μολυνθεί. Μόνο το "πρόγραμμα προστασίας" που διαφημίζεται για αγορά είναι σε θέση να απολυμάνει ξανά το σύστημα. Τα θύματα που πέφτουν σε αυτήν την απάτη αποκτούν εντελώς άχρηστο και συχνά επικίνδυνο λογισμικό που, αντί να το προστατεύει, κατεβάζει και εγκαθιστά μόνο πρόσθετο κακόβουλο κώδικα και κλέβει προσωπικά δεδομένα.
- Java.Trojan.Downloader.OpenConnection.AO: Αυτό το πρόγραμμα λήψης Trojan μπορεί να βρεθεί σε χειραγωγημένες εφαρμογές Java σε ιστότοπους. Όταν φορτώνεται η μικροεφαρμογή, δημιουργεί μια διεύθυνση URL από τις παραμέτρους της μικροεφαρμογής εφαρμογών και από εκεί ο λήπτης κατεβάζει ένα κακόβουλο εκτελέσιμο αρχείο στον υπολογιστή του χρήστη και το εκτελεί. Αυτά τα αρχεία μπορεί να είναι κάθε είδους κακόβουλο λογισμικό. Ο λήπτης εκμεταλλεύεται την ευπάθεια CVE-2010-0840 για να ξεφύγει από το sandbox της Java και να γράψει δεδομένα στο σύστημα.
- Trojan.Wimad.Gen.1: Αυτό το Trojan προσποιείται ότι είναι ένα κανονικό αρχείο ήχου .wma, το οποίο μπορεί να αναπαραχθεί μόνο σε συστήματα Windows μετά την εγκατάσταση ειδικού κωδικοποιητή / αποκωδικοποιητή. Εάν το αρχείο εκτελείται από τον χρήστη, ο εισβολέας μπορεί να εγκαταστήσει οποιοδήποτε κακόβουλο κώδικα στο σύστημα. Τα μολυσμένα αρχεία ήχου εξαπλώνονται κυρίως μέσω δικτύων P2P.
- Gen: Variant.Adware.Hotbar.1: Αυτό το adware εγκαθίσταται ως επί το πλείστον ασυνείδητα, ως μέρος δωρεάν πακέτων λογισμικού από προγράμματα όπως VLC, XviD ή παρόμοια, τα οποία δεν φορτώνονται από τον κατασκευαστή, αλλά από άλλες πηγές. Οι υποτιθέμενοι χορηγοί αυτού του τρέχοντος λογισμικού είναι οι "Clickpotato" και "Hotbar". Όλα τα πακέτα είναι ψηφιακά υπογεγραμμένα από μια "Pinball Corporation" και το adware ξεκινά αυτόματα κάθε φορά που ξεκινούν τα Windows και ενσωματώνεται ως εικονίδιο systray.
- Worm.Autorun.VHG: Αυτό το κακόβουλο λογισμικό είναι ένα worm που εξαπλώνεται σε λειτουργικά συστήματα Windows με τη βοήθεια της λειτουργίας autorun.inf. Χρησιμοποιεί αφαιρούμενα μέσα όπως USB sticks ή κινητούς σκληρούς δίσκους. Είναι σκουλήκι διαδικτύου και δικτύου και χρησιμοποιεί την ευπάθεια των Windows CVE-2008-4250.
- Java.Trojan.Downloader.OpenConnection.AI: Αυτό το πρόγραμμα λήψης Trojan μπορεί να βρεθεί σε χειραγωγημένες εφαρμογές Java σε ιστότοπους. Όταν φορτώνεται η μικροεφαρμογή, δημιουργεί μια διεύθυνση URL από τις παραμέτρους της μικροεφαρμογής εφαρμογών και από εκεί ο λήπτης κατεβάζει ένα κακόβουλο εκτελέσιμο αρχείο στον υπολογιστή του χρήστη και το τρέχει. Αυτά τα αρχεία μπορεί να είναι κάθε είδους κακόβουλο λογισμικό. Ο λήπτης εκμεταλλεύεται την ευπάθεια CVE-2010-0840 για να παρακάμψει το sandbox της Java και έτσι να μπορεί να γράφει δεδομένα τοπικά.
- Trojan.AutorunINF.Gen: Πρόκειται για μια γενική ανίχνευση που ανιχνεύει γνωστά καθώς και άγνωστα κακόβουλα αρχεία autorun.inf. Τα αρχεία Autorun.inf είναι αρχεία αυτόματης εκκίνησης που καταχράζονται σε συσκευές USB, αφαιρούμενα μέσα, CD και DVD ως μηχανισμοί για τη διάδοση κακόβουλου λογισμικού υπολογιστή.
- Java.Trojan.Downloader.OpenConnection.AN: Αυτό το πρόγραμμα λήψης Trojan μπορεί να βρεθεί σε χειραγωγημένες εφαρμογές Java σε ιστότοπους. Όταν φορτώνεται η μικροεφαρμογή, δημιουργεί μια διεύθυνση URL από τις παραμέτρους της μικροεφαρμογής εφαρμογών και από εκεί ο λήπτης κατεβάζει ένα κακόβουλο εκτελέσιμο αρχείο στον υπολογιστή του χρήστη και το εκτελεί. Αυτά τα αρχεία μπορεί να είναι κάθε είδους κακόβουλο λογισμικό. Ο λήπτης εκμεταλλεύεται την ευπάθεια CVE-2010-0840 για να ξεφύγει από το sandbox της Java και να γράψει δεδομένα στο σύστημα.
- Java: Agent-DU [Expl]: Αυτό το κακόβουλο λογισμικό που βασίζεται σε Java είναι μια μικροεφαρμογή λήψης η οποία, μέσω μιας τρύπας ασφαλείας (CVE-2010-0840), προσπαθεί να παρακάμψει τους μηχανισμούς προστασίας του sandbox προκειμένου να κατεβάσει περαιτέρω κακόβουλο λογισμικό στον υπολογιστή. Παραπλανώντας το sandbox, η μικροεφαρμογή μπορεί, για παράδειγμα, να εκτελέσει απευθείας ληφθέντα αρχεία .EXE, κάτι που δεν μπορεί να κάνει ένα απλό applet, καθώς το sandbox της Java θα το απέτρεπε πραγματικά.
- Trojan.FakeAlert.CJM: Αυτό το κακόβουλο λογισμικό προσπαθεί να εξαπατήσει τους χρήστες υπολογιστών να κατεβάσουν πλαστά προγράμματα προστασίας από ιούς (Fake AV software) του πραγματικού FakeAV. Ο ιστότοπος μιμείται την Εξερεύνηση των Windows του χρήστη του υπολογιστή και εμφανίζει αμέτρητες υποτιθέμενες μολύνσεις. Μόλις ο χρήστης κάνει κλικ σε οποιοδήποτε σημείο στον ιστότοπο, ένα αρχείο προσφέρεται για λήψη και αυτό στη συνέχεια περιέχει το πραγματικό FakeAV, π.χ. μια παραλλαγή του "Εργαλείου συστήματος".
- HTML: Downloader-AU [Expl]: Αυτό το κακόβουλο λογισμικό που βασίζεται σε Java είναι μια μικροεφαρμογή που φορτώνει μια σελίδα HTML. Αυτή η προετοιμασμένη σελίδα HTML προσπαθεί να φορτώσει μια κλάση Java από μια διεύθυνση URL στο ευάλωτο Java VM μέσω μιας τρύπας ασφαλείας (που περιγράφεται στο CVE-2010-4452). Με αυτό, ο εισβολέας θέλει να παρακάμψει τους μηχανισμούς προστασίας του VM και έτσι να ανοίξει τη δυνατότητα να ενεργοποιήσει σχεδόν όλες τις ενέργειες στον υπολογιστή.
Πηγή: G Data
