Slučaj Stuxnet - Windows 'zero-day'

Opisi virusa, 19.07.2010, 01:53 AM

Slučaj Stuxnet  - Windows 'zero-day'

Metoda infekcije malware-om Stuxnet iskorišćava ranije nepoznatu ranjivost većine trenutnih verzija Windows-a, uključujući i Windows Vista, Windows 7, 32- i 64-bit verziju, i Windows Server 2008. Ranjivost u Windows shell je ono što omogućava štetnom programu da se pokrene preko .lnk fajlova. Iz Microsoft-a kažu da ispituju propust i tragaju za mogućim rešenjima, ali nema jasnih naznaka da kompanija namerava u bliskoj budućnosti da objavi patch za ovaj propust.

Stuxnet je čudan slučaj. Širi se preko inficiranih USB memorijskih uređaja, koji sadrže rootkit kod, zajedno sa dva drajvera (nazvanim mrxcls.sys i mrxnet.sys) koja prema mišljenju stručnjaka služe da prikriju prisustvo malicioznog programa kako na USB uređaju tako i na kompjuteru, onda kada je on zaražen. Drajveri su potpisani validnim digitalnim sertifikatom koji pripada Realtek-u, tajvanskom proizvođaču hardware-a, a Stuxnet koristi .lnk shortcut fajlove da se pokrene čim se USB uređaj otvori za pregled na računaru. LNK fajlove koriste Windows programi kao prečicu (shotcut) ili vezu ka originalnom fajlu, pa se smatra da je prvi slučaj malicioznog programa koji koristi LNK fajl da bi zarazio računare.

Microsoft-ovi istraživači štetnih programa izjavili su u petak da rade sa VeriSign-om na poništenju Realtek sertifikata, ša čime se Realtek saglasio. Sertifikat o kojem je reč ustvari je istekao u junu. Zvaničnici Microsoft-a očekuju da će i drugi napadači početi da koriste tehnike koje su primenjene u slučaju Stuxnet-a.

“Ono što je jedinstveno kod Stuxnet-a jeste nova metoda širenja. Dodatna specifičnost ovog malicioznog programa je što se koristi posebno napravljenim shortcut fajlovima (koje znamo i kao .lnk fajlove) smeštenim na USB memorijskim uređajima kako bi se automatski pokrenuo čim operativni sistem učita .lnk fajl. Drugim rečima, samo pretraživanje prenosivog memorisjkog medija korišćenjem programa koji prikazuje shorcut ikone (kao što je Windows Explorer, na primer) pokreće Stuxnet bez ikakvog dodatnog korisnikovog učešća,” piše na svom blog-postu Tareq Saade. “Očekujemo da će i drugi kreatori malicioznih programa koristiti prednosti ove metode. Stuxnet će zaraziti bilo koji USB uređaj koji se poveže sa sistemom, i upravo smo iz ovog razloga ovaj štetni program kvalifikovali kao crva.”

Ovo je prvi put da se istraživači sreću sa ovakvim štetnim programom, koji se oslanja na .lnk shortcut fajlove kako bi se pokrenuo a potom sakrio svoje prisustvo. Malo je verovatno da će ovo biti i poslednji slučaj, imajući u vidu trenutnu popularnost USB memorijskih medija i sklonost autora malicioznih programa da kopiraju jedni od drugih uspele metode.

Preuzeto sa


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Opasni malver koji krade lozinke širi se preko reklama za popularni softver

Opasni malver koji krade lozinke širi se preko reklama za popularni softver

Sajber kriminalci reklamiraju lažne verzije popularnog softvera pokušavajući da prevare korisnike da preuzmu malver, koji za napadače krade korisn... Dalje

Pogodite ko se vratio: Pola godine nakon što je uklonjen sa svih računara u svetu, ''najopasniji malver'' je ponovo tu

Pogodite ko se vratio: Pola godine nakon što je uklonjen sa svih računara u svetu, ''najopasniji malver'' je ponovo tu

Zloglasni malver Emotet se vratio i ponovo je aktivan skoro deset meseci nakon što je međunarodna policijska operacija uspela da preuzme kontrolu i ... Dalje

Novi trojanac BloodyStealer krade Epic Games i Steam naloge

Novi trojanac BloodyStealer krade Epic Games i Steam naloge

Novi trojanac koji se prodaje na ruskim hakerskim forumima onima koji ga kupe nudi mogućnost krađe korisničkih naloga na popularnim servisima kao ... Dalje

Opasni bankarski trojanac u Google oglasima u rezultatima pretrage

Opasni bankarski trojanac u Google oglasima u rezultatima pretrage

Ako na pretraživačima poput Googlea tražite softver TeamViewer mogli biste naleteti na linkove koji bi vas mogli odvesti do lažnih sajtova na koji... Dalje

Nova varijanta malvera AdLoad prolazi neprimećena Appleovu XProtect odbranu od malvera

Nova varijanta malvera AdLoad prolazi neprimećena Appleovu XProtect odbranu od malvera

Nova varijanta malvera AdLoad provlači se kroz Appleovu ugrađenu antivirusnu tehnologiju XProtect i inficira Mac računare u okviru više kampanja k... Dalje