Slučaj Stuxnet - Windows 'zero-day'

Opisi virusa, 19.07.2010, 01:53 AM

Slučaj Stuxnet  - Windows 'zero-day'

Metoda infekcije malware-om Stuxnet iskorišćava ranije nepoznatu ranjivost većine trenutnih verzija Windows-a, uključujući i Windows Vista, Windows 7, 32- i 64-bit verziju, i Windows Server 2008. Ranjivost u Windows shell je ono što omogućava štetnom programu da se pokrene preko .lnk fajlova. Iz Microsoft-a kažu da ispituju propust i tragaju za mogućim rešenjima, ali nema jasnih naznaka da kompanija namerava u bliskoj budućnosti da objavi patch za ovaj propust.

Stuxnet je čudan slučaj. Širi se preko inficiranih USB memorijskih uređaja, koji sadrže rootkit kod, zajedno sa dva drajvera (nazvanim mrxcls.sys i mrxnet.sys) koja prema mišljenju stručnjaka služe da prikriju prisustvo malicioznog programa kako na USB uređaju tako i na kompjuteru, onda kada je on zaražen. Drajveri su potpisani validnim digitalnim sertifikatom koji pripada Realtek-u, tajvanskom proizvođaču hardware-a, a Stuxnet koristi .lnk shortcut fajlove da se pokrene čim se USB uređaj otvori za pregled na računaru. LNK fajlove koriste Windows programi kao prečicu (shotcut) ili vezu ka originalnom fajlu, pa se smatra da je prvi slučaj malicioznog programa koji koristi LNK fajl da bi zarazio računare.

Microsoft-ovi istraživači štetnih programa izjavili su u petak da rade sa VeriSign-om na poništenju Realtek sertifikata, ša čime se Realtek saglasio. Sertifikat o kojem je reč ustvari je istekao u junu. Zvaničnici Microsoft-a očekuju da će i drugi napadači početi da koriste tehnike koje su primenjene u slučaju Stuxnet-a.

“Ono što je jedinstveno kod Stuxnet-a jeste nova metoda širenja. Dodatna specifičnost ovog malicioznog programa je što se koristi posebno napravljenim shortcut fajlovima (koje znamo i kao .lnk fajlove) smeštenim na USB memorijskim uređajima kako bi se automatski pokrenuo čim operativni sistem učita .lnk fajl. Drugim rečima, samo pretraživanje prenosivog memorisjkog medija korišćenjem programa koji prikazuje shorcut ikone (kao što je Windows Explorer, na primer) pokreće Stuxnet bez ikakvog dodatnog korisnikovog učešća,” piše na svom blog-postu Tareq Saade. “Očekujemo da će i drugi kreatori malicioznih programa koristiti prednosti ove metode. Stuxnet će zaraziti bilo koji USB uređaj koji se poveže sa sistemom, i upravo smo iz ovog razloga ovaj štetni program kvalifikovali kao crva.”

Ovo je prvi put da se istraživači sreću sa ovakvim štetnim programom, koji se oslanja na .lnk shortcut fajlove kako bi se pokrenuo a potom sakrio svoje prisustvo. Malo je verovatno da će ovo biti i poslednji slučaj, imajući u vidu trenutnu popularnost USB memorijskih medija i sklonost autora malicioznih programa da kopiraju jedni od drugih uspele metode.

Preuzeto sa


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Francuska policija krišom uklonila malver RETADUP sa 850000 zaraženih računara

Francuska policija krišom uklonila malver RETADUP sa 850000 zaraženih računara

Francuska Nacionalna žandarmerija objavila je juče da je više od 850000 računara širom sveta oslobođeno trenutno jednog od najraširenijeg malve... Dalje

Malver GermanWiper briše podatke, ali ipak traži otkupninu za fajlove koje ne može da vrati

Malver GermanWiper briše podatke, ali ipak traži otkupninu za fajlove koje ne može da vrati

Prošla nedelja počela je loše za veći broj nemačkih kompanija koje je blokirao malver koji briše podatke i koji je u ime onih koji su ga širili... Dalje

Novi ransomware za Android koristi SMS spam poruke da bi inficirao uređaje

Novi ransomware za Android koristi SMS spam poruke da bi inficirao uređaje

Novi ransomware koji inficira Android uređaje širi se slanjem tekstualnih poruka koje sadrže maliciozne linkove svima sa liste kontakata koja se na... Dalje

Lažni Office 365 sajt inficira posetioce trojancem TrickBot sakrivenim u ažuriranje za Chrome i Firefox

Lažni Office 365 sajt inficira posetioce trojancem TrickBot sakrivenim u ažuriranje za Chrome i Firefox

Napadači su kreirali lažni Office 365 sajt koji distribuira trojanca TrickBot koji krade lozinke. Trojanac je sakriven u lažnim ažuriranjima za Ch... Dalje

25 miliona Android uređaja zaraženo malverom Agent Smith

25 miliona Android uređaja zaraženo malverom Agent Smith

Istraživači iz firme Check Point otkrili su novi malver za Android uređaje koji je nazvan "Agent Smith". Agent Smith je neprimetno zarazio oko 25 m... Dalje