Pod mikroskopem
Jak działają nowe wirusy
W Sieci grasuje szkodnik Gumblar, który w wyrafinowany sposób zatruwa tysiące komputerów oraz stron internetowych. Pokazujemy, w jaki sposób wirus działa, ale też przy okazji zaprezentujemy narzędzia, które umożliwią prawidłową reakcję na zagrożenie.
Taki mały, a taki złośliwy Wyświetlenie strony internetowej zajmuje niewiele czasu, jednak skutki jej uruchomienia możemy odczuwać długo. Jeżeli w efekcie generowania strony dostanie się na nasz komputer wirus typu drive-by download, utracimy kontrolę nad własną maszyną. Nawet jeżeli tego w pierwszej chwili nie zauważymy, szkodnik przegląda nasze konta bankowe, wysyła spam bądź wykorzystuje komputer do innych celów, wypełniając rozkazy hakera. Metoda, dzięki której wirus dostaje się na komputer, oraz sposób ukrywania się w systemie są skomplikowanymi procesami. Przyjrzyjmy się im dokładnie, niczym naukowcy oglądający prawdziwe wirusy przez mikroskop. Wraz z Magnusem Kalkuhlem, analitykiem wirusów z firmy Kaspersky, przeanalizowaliśmy wirusa Gumblar. Wirus – ze względu na podstępną metodę rozpowszechniania – ma potencjał, by stać się większym zagrożeniem niż robak Conficker. Pokażemy metodę, którą stosuje szkodnik, by łamać zabezpieczenia komputera i zagnieżdżać się głęboko w jądrze systemu.
Ponadto wspólnie z producentem oprogramowania ochronnego Panda Security rozszyfrowaliśmy konia trojańskiego TDSS, który – podobnie jak Gumblar – wyposażony został w podstępną funkcję typu rootkit. Przejdźmy teraz jednak do protokołu przeprowadzonego ataku w sekundowych krokach:
0,758 W naszym przypadku szkodnik znajduje się na serwerze w Brazylii. Nazwa wirusa wzięła się od pierwszej wersji szkodnika, która powstała na początku roku 2009 i pobierała skrypt z chińskiej strony www.gumblar.cn. Choć teraz strona jest już offline, aktualnie złośliwe oprogramowanie rozprowadza około 2000 innych serwerów. Ten stan rzeczy utrudnia skuteczne zwalczanie wirusa. W przypadku dotychczas pojawiających się szkodników problem dotyczył tylko kilku domen, co umożliwiało stosunkowo proste opanowanie sytuacji. Strona orkiestry dętej nie jest więc jedyną, za pośrednictwem której Gumblar wykorzystuje nie tylko typowe metody wstrzykiwania kodu, ale też infekuje niezliczoną liczbę stron internetowych i w efekcie zaraża tysiące domowych komputerów. Według Kaspersky Lab w listopadzie 2009 roku Gumblar przeprowadził 1,7 miliona ataków na komputery – a jest ich coraz więcej. Zagrożenie, jakie powoduje Gumblar, jest tak poważne, ponieważ szkodnik nie zna barier językowych. Zarażone strony internetowe znajdują się nie tylko w angielskim obszarze językowym, ale też wielu innych językach. |
Brawo! Więcej takich.
Kup Najtaniej
