Ang worm na ito ay nais lamang na pagalingin

Mga nilalaman

• Ang Worm Tanging Nais Na Pagalingin
• Nangungunang pagbabanta W32 / Nachi.B-worm
• Nangungunang 10 Mga virus sa E-Mail
• Nangungunang 5 Vulnerability
• Tip sa Seguridad
• Mga Update sa Windows Security
• Jargon Buster
• Feed ng Kwento ng Panonood ng Seguridad

Ang Worm Tanging Nais Na Pagalingin

Una naming nasaksihan ang pagsabog ng MyDoom.A, at kasunod na pag-atake ng Denial of Service na kinuha ang web site ng Santa Cruz Operation (sco.com) sa loob ng dalawang linggo. Pagkatapos ay dumating ang MyDoom.B, na idinagdag ang Microsoft.com bilang target ng isang atake sa DoS. Habang ang MyDoom.A ay huminto sa isang paghihiganti, ang MyDoom.B, tulad ng isang pelikulang "B", ay isang mapurol. Ayon kay Mark Sunner CTO sa MessageLabs, ang MyDoom.B ay mayroong mga bug sa code na naging dahilan upang matagumpay lamang ito sa isang pag-atake ng SCO 70% ng oras, at 0% nang pag-atake sa Microsoft. Sinabi rin niya na mayroong "mas maraming pagkakataon na basahin ang tungkol sa MyDoom.B, kaysa mahuli ito."

Nitong nakaraang linggo nakita namin ang pagsabog ng mga virus na nakasakay sa mga buntot ng coat ng matagumpay na pagkuha ng MyDoom.A ng daan-daang libong mga makina. Ang unang tumama sa eksena ay ang Doomjuice.A (tinawag din na MyDoom.C). Ang Doomjuice.A, ay hindi isa pang virus sa e-mail, ngunit sinamantala nito ang isang backdoor na binuksan ng MyDoom.A sa mga nahawaang makina. Ang Doomjuice ay mag-download sa isang makina na nahawaang MyDoom, at tulad ng MyDoom.B, i-install at subukang magsagawa ng atake sa DoS sa Microsoft.com. Ayon sa Microsoft, ang pag-atake ay hindi masamang nakakaapekto sa kanila sa paligid ng ika-9 at ika-10, kahit na naitala ng NetCraft na ang site ng Microsoft ay hindi maabot sa isang puntong.

Naniniwala ang mga eksperto sa antivirus na ang Doomjuice ay ang gawain ng parehong (mga) may-akda ng MyDoom, sapagkat bumababa rin ito ng isang kopya ng orihinal na mapagkukunan ng MyDoom sa makina ng biktima. Ayon sa isang press release mula sa F-secure, maaaring ito ay isang paraan para sakupin ng mga may-akda ang kanilang mga track. Nagpapalabas din ito ng isang gumaganang file code ng mapagkukunan sa iba pang mga manunulat ng virus upang magamit o baguhin. Kaya ang MyDoom.A at MyDoom.B, tulad ng Microsoft Windows at Office mismo, ay naging isang platform para sa iba pang mga virus na magpalaganap. Sa loob ng nakaraang linggo nakita namin ang paglitaw ng W32 / Doomjuice.A, W32 / Doomjuice.B, W32 / Vesser.worm.A, W32 / Vesser.worm.B, pinagsamantalahan-MyDoom - isang Trojan na variant ng Proxy-Mitglieter, W32 / Deadhat.A, at W32 / Deadhat.B, lahat ay pumapasok sa backdoor ng MyDoom. Gumamit din ng network ng pagbabahagi ng file ang SoulSeek P2P na si Vesser.worm / DeadHat.B.

Noong ika-12 ng Pebrero, natuklasan ang W32 / Nachi.B.worm. Tulad ng hinalinhan nito, ang W32 / Nachi.A.worm (kilala rin bilang Welchia), ang Nachi.B ay nagpapalaganap sa pamamagitan ng pagsasamantala sa mga kahinaan sa RPC / DCOM at WebDAV. Habang may virus / worm pa rin, sinisikap ng Nachi.B na alisin ang MyDoom at malapit na mga kahinaan. Sa pamamagitan ng Biyernes, ika-13 ng Pebrero, ginawa ito ng Nachi.B sa # 2 na lugar sa isang pares ng mga listahan ng banta ng mga nagbebenta (Trend, McAfee). Dahil hindi ito gumagamit ng e-mail, hindi ito lalabas sa nangungunang sampung listahan ng e-mail na MessageLabs. Ang pag-iwas sa impeksyon sa Nachi.B ay pareho rin para sa Nachi.A, ilapat ang lahat ng kasalukuyang mga patch ng Windows Security upang isara ang mga kahinaan. Tingnan ang aming Nangungunang pagbabanta para sa karagdagang impormasyon.

Noong Biyernes ng ika-13 ng Pebrero, nakakita kami ng isa pang salang MyDoom, W32 / DoomHunt.A. Ang virus na ito ay gumagamit ng MyDoom.A backdoor, at pinapabagsak ang mga proseso at tinatanggal ang mga registry key na nauugnay sa target nito. Hindi tulad ng Nachi.B, na gumagana nang tahimik sa background, ang DoomHunt.A ay nag-pop up ng isang kahon ng diyalogo na nagpapahayag ng "MyDoom Removal Worm (DDOS ang RIAA)". Inilalagay nito ang sarili sa folder ng Windows System bilang isang halatang Worm.exe, at nagdaragdag ng isang registry key na may halagang "Delete Me" = "worm.exe". Ang pagtanggal ay pareho sa anumang uod, itigil ang proseso ng worm.exe, mag-scan gamit ang isang antivirus, tanggalin ang Worm.exe file at anumang mga nauugnay na file, at alisin ang registry key. Siyempre, tiyaking na-update mo ang iyong makina gamit ang pinakabagong mga patch sa seguridad.

Bagaman walang paraan upang malaman nang eksakto, ang mga pagtatantya ay umabot sa 50, 000 hanggang sa kasing taas ng 400, 000 aktibong nahawaan ng mga makina ng MyDoom.A. Ang Doomjuice ay maaaring magpalaganap lamang sa pamamagitan ng pag-access sa likurang pintuan ng MyDoom, kaya ang mga hindi nakikilalang gumagamit ay hindi nanganganib, at habang nalinis ang mga impeksyon, ang larangan ng magagamit na mga makina ay bababa. Gayunpaman, ang isang panganib ay na habang ang MyDoom.A ay nakatakdang ihinto ang mga pag-atake ng DoS nitong ika-12 ng Pebrero, ang Doomjuice ay walang oras. Noong nakaraang linggo ay nabanggit namin na nakikita ang pagsabog ng MyDoom.A na nakabukas sa isang animation ng MessageLabs Flash, at ipinangako na makuha ito para makita ng lahat. Heto na .

Inanunsyo ng Microsoft ang tatlong higit pang mga kahinaan at pinakawalan ang mga patch sa linggong ito. Ang dalawa ay mahalaga sa antas ng priyoridad, at ang isa ay kritikal na antas. Ang nangungunang kahinaan ay nagsasangkot ng isang library ng code sa Windows na sentro sa pag-secure ng web at lokal na aplikasyon. Para sa karagdagang impormasyon tungkol sa kahinaan, ang mga implikasyon nito at kung ano ang kailangan mong gawin, tingnan ang aming espesyal na ulat. Ang iba pang dalawang kahinaan ay nagsasangkot ng serbisyo sa Windows Internet Naming Service (WINS), at ang isa pa ay nasa bersyon ng Mac Virtual PC. Tingnan ang aming seksyon ng Windows Security Update para sa karagdagang impormasyon.

Kung mukhang pato, naglalakad tulad ng isang pato, at mga quacks tulad ng isang pato, ito ba ay pato, o isang virus? Marahil, marahil hindi, ngunit binalaan ng AOL (Larawan 1) ang mga gumagamit na huwag mag-click sa isang mensahe na gumagawa ng mga pag-ikot sa pamamagitan ng Instant Messenger noong nakaraang linggo.

Ang mensahe ay naglalaman ng isang link na nag-install ng isang laro, alinman sa Capture Saddam o Night Rapter, depende sa bersyon ng mensahe (Larawan 2). Kasama sa laro ang BuddyLinks, isang virus tulad ng teknolohiya na awtomatikong nagpapadala ng mga kopya ng mensahe sa lahat sa iyong listahan ng buddy. Ginagawa ng teknolohiya ang parehong viral marketing sa awtomatikong kampanya ng mensahe, at ipinapadala sa iyo ng advertising at maaaring hijack (redirect) ang iyong browser. Hanggang sa Biyernes, ang parehong website ng laro (www.wgutv.com) at ang site ng site ng Buddhylinks (www.buddylinks.net), at ang kumpanya ng batay sa Buddhylinks ng Cambridge ay hindi nagbabalik ng mga tawag sa telepono.

Update: Noong nakaraang linggo sinabi namin sa iyo ang tungkol sa isang pekeng web Do Not Email web, nangangako na gupitin ang spam, ngunit talagang isang kolektor ng email address para sa mga spammers. Sa linggong ito, ang isang kwento ng Reuters ay nag-uulat na ang babala ng Komisyon ng Pangangalakal ng Estados Unidos ay nagbabala, "Ang mga mamimili ay hindi dapat magsumite ng kanilang mga e-mail address sa isang Web site na nangangako na mabawasan ang hindi ginustong" spam "dahil ito ay mapanlinlang". Ang artikulo ay nagpapatuloy upang ilarawan ang site, at inirerekumenda, tulad namin, upang "panatilihin ang iyong personal na impormasyon sa iyong sarili - kasama ang iyong e-mail address - maliban kung alam mo kung sino ang nakikipag-ugnayan sa iyo."

Noong Huwebes ika-12 ng Pebrero, nalaman ng Microsoft na ang ilan sa source code nito ay umiikot sa web. Sinusubaybayan nila ito sa MainSoft, isang kumpanya na gumagawa ng isang Windows-to-Unix interface para sa mga programmer ng application ng Unix. Ang MainSoft ay naglilisensya ng Windows 2000 source code, partikular ang bahagi na may kinalaman sa API (interface ng application program) ng Windows. Ayon sa isang eWeek story, ang code ay hindi kumpleto o compilable. Habang ang Windows API ay mahusay na nai-publish, ang pinagbabatayan ng source code ay hindi. Ang API ay isang koleksyon ng mga function ng code at mga gawain na isinasagawa ang mga gawain sa pagpapatakbo ng Windows, tulad ng paglalagay ng mga pindutan sa screen, paggawa ng seguridad, o pagsulat ng mga file sa hard disk. Marami sa mga kahinaan sa stem ng Windows mula sa mga hindi natukoy na buffer at mga parameter hanggang sa mga function na ito. Kadalasan ang mga kahinaan ay nagsasangkot ng pagpasa ng mga espesyal na nilikha na mensahe o mga parameter sa mga pag-andar na ito, na nagiging sanhi ng mga ito na mabigo at buksan ang system sa pagsasamantala. Dahil ang karamihan sa Windows 2000 code ay isinama din sa Windows XP at Windows 2003 server, ang pagkakaroon ng source code ay maaaring payagan ang mga manunulat ng virus at masamang gumagamit na mas madaling makahanap ng mga butas sa mga tiyak na gawain at pagsamantalahan ang mga ito. Habang ang mga kahinaan ay karaniwang kinikilala ng Microsoft o ika-3 mga mapagkukunan ng partido bago sila maging publiko, na nagbibigay ng oras upang mag-isyu ng mga patch, maaari nitong i-on ang pamamaraang iyon, na ilagay ang mga hacker sa posisyon ng pagtuklas at pagsasamantala sa mga kahinaan bago hanapin at i-patch ng Microsoft ang mga ito.