Nadciąga atak superwirusów

Początek tego roku upłynął użytkownikom komputerów pod znakiem lęku przed robakiem Conficker. Wykorzystując lukę w systemie Windows, rozprzestrzeniał się on zastraszająco szybko i zainfekował miliony komputerów na całym świecie. To już jednak historia – w międzyczasie w Sieci pojawił się nowy szkodnik – Gumblar. Eksperci ostrzegają: jest on bardziej niebezpieczny niż Conficker! Od marca do czerwca jego ofiarą padło 100 000 stron internetowych, przede wszystkim anglojęzycznych, w tym wiele poważnych serwisów, na przykład lifestyle’owy portal variety.com.

Jednak Gumblar – choć szczególnie wyrafinowany – jest tylko jedną z nowych broni sieciowych kryminalistów. Tendencja jest wyraźna: celem złośliwego oprogramowania przestaje być uszkadzanie czy niszczenie danych. Zamiast tego mają one wykradać cenne informacje użytkowników: dane kont i kart kredytowych, dane logowania czy informacje osobiste. Hakerzy posługują się w tym celu wysublimowanymi technikami rozprzestrzeniania wirusów przez Sieć i ukrywania ich w systemie. Szkodniki takie jak Gumblar i nowe metody ataku sprawiają, że w tym roku w Sieci jest bardziej niebezpiecznie niż kiedykolwiek przedtem. W tym raporcie przedstawiamy obecny stan zagrożenia.

Gumblar: wirus z dynamicznym kodem

Tym, co sprawia, że Gumblar jest tak niebezpieczny, okazuje się wyrafinowana metoda, jakiej używa do infekowania zupełnie nieszkodliwych stron internetowych. Nie korzysta on ciągle z tego samego kodu, ale za każdym razem tworzy nową wersję swojego skryptu. Dynamiczne generowanie kodu programu utrudnia administratorom witryn wykrycie wszystkich ataków. Gdy użytkownik otworzy zainfekowaną stronę, Gumblar – wykorzystując lukę w rozszerzeniach przeglądarki obsługujących elementy Flash lub pliki PDF – trafi do jego komputera. Rozpocznie wówczas protokołowanie zachowań internauty w Sieci oraz podawanych przez niego loginów i haseł. Korzystający z przeglądarki Internet Explorer zobaczą ponadto sfabrykowane wyniki wyszukiwania Google’a – gdy klikną oni na dowolne hiperłącze, zostaną przeniesieni na stronę, która umieści w ich komputerze kolejne szkodniki. Aby zabezpieczyć się przed atakiem, powinniśmy zawsze pamiętać o korzystaniu z aktualnej wersji pakietu zabezpieczającego. Podczas pisania tego artykułu nie istniał żaden sposób na uratowanie komputera zainfekowanego wirusem Gumblar. Jedyną metodą pozbycia się go była kuracja radykalna: formatowanie dysku i instalacja Windows na nowo.

Rozszerzenia przeglądarki: furtka dla hakerów

Ponadto powinniśmy zadbać o aktualność naszej przeglądarki oraz – co bardzo ważne – zainstalowanych w niej wtyczek. Całkowite wyłączenie plug-inów to żadne rozwiązanie, gdyż są one niezbędne do prawidłowej obsługi niemal wszystkich witryn internetowych. Jak zwykle celem większości ataków są funkcje ActiveX, wykorzystywane jedynie przez przeglądarkę Internet Explorer.

W wersjach Windows wcześniejszych od Visty technologia ActiveX daje aplikacjom sieciowym szerokie prawa dostępu do systemu, ułatwiając hakerom odczytywanie danych, a nawet całkowite przejmowanie kontroli nad komputerem. Ulepszona metoda zarządzania prawami dostępu w Viście i rosnąca popularność konkurencyjnych przeglądarek powodują jednak, że przestępcy coraz częściej koncentrują się na słabych punktach aplikacji, takich jak Firefox czy Chrome. Do umieszczania szkodliwego kodu w komputerach coraz chętniej używane są rozszerzenia przeglądarek, na przykład komponenty Java, odtwarzacz QuickTime czy wtyczki do obsługi plików PDF i animacji Flash.

Serwer FTP: powielacz

Ponieważ hakerom zależy na zainfekowaniu jak największej liczby komputerów, często wykorzystują oni w tym celu znane i chętnie odwiedzane witryny internetowe. Również twórcy wirusa Gumblar obmyślili prosty sposób rozprzestrzeniania szkodnika: jeżeli wykryje on na komputerze dane dostępowe do serwera FTP, zostają zainfekowane wszystkie strony wykorzystujące ten serwer. Na atak narażone są szczególnie witryny udostępniające duże ilości danych – na przykład strony instytutów naukowych czy katalogi plików do pobrania, gdyż do składowania informacji wykorzystują one często właśnie serwery FTP.