|
В связи с большим количеством обращений пользователей «Лаборатория Касперского» подготовила ответы эксперта компании на наиболее часто задаваемые вопросы о возможной активизации вредоносной программы Kido, известной также как Conficker и Downadup. Kido представляет серьезную угрозу для всего интернет-сообщества. Эта вредоносная программа впервые была обнаружена в ноябре 2008 года. По оценкам "Лаборатории Касперского", в настоящее время Kido заражено не менее 5 млн. компьютеров. Эта сеть зараженных машин потенциально может стать самым мощным ресурсом киберпреступников в Интернете. Например, она может дать злоумышленникам возможность совершать крайне мощные DDoS-атаки на любые интернет-ресурсы, красть конфиденциальные данные с зараженных компьютеров и распространять нежелательный контент (в частности, проводить крупномасштабные спам-рассылки).
Как бороться с Kido
В связи с большим количеством обращений пользователей «Лаборатория Касперского» подготовила ответы эксперта компании на наиболее часто задаваемые вопросы о возможной активизации вредоносной программы Kido, известной также как Conficker и Downadup. Комментирует Виталий Камлюк, ведущий антивирусный эксперт «Лаборатории Касперского».
Что такое Kido?
Kido представляет серьезную угрозу для всего интернет-сообщества. Эта вредоносная программа впервые была обнаружена в ноябре 2008 года. По оценкам "Лаборатории Касперского", в настоящее время Kido заражено не менее 5 млн. компьютеров. Эта сеть зараженных машин потенциально может стать самым мощным ресурсом киберпреступников в Интернете. Например, она может дать злоумышленникам возможность совершать крайне мощные DDoS-атаки на любые интернет-ресурсы, красть конфиденциальные данные с зараженных компьютеров и распространять нежелательный контент (в частности, проводить крупномасштабные спам-рассылки).
Анализ функционала этой программы не исключал возможной активизации 1-го апреля гигантской зомби-сети (ботнета), находящейся под управлением авторов Кидо, однако в этот день эксперты "Лаборатории Касперского" не зафиксировали какой-либо активности в обмене данными между зараженными машинами и потенциальными центрами управления ботнетом. Тем не менее, по-прежнему нельзя исключать возможности активизации ботнета, при этом последующие за ним действия злоумышленников пока не поддаются прогнозированию. Анализ ситуации показывает, что, активизация ботнета может произойти в любой день, начиная с 1 апреля.
В чем опасность Kido?
Таким образом, созданная авторами Kido гигантская зомби-сеть (ботнет) потенциально может дать злоумышленникам возможность совершать крайне мощные DDoS-атаки на любые интернет-ресурсы, красть конфиденциальные данные с зараженных компьютеров и распространять нежелательный контент (в частности, проводить крупномасштабные спам-рассылки).
До последнего времени Kido распространялся через компьютерные сети и сменные носители информации. В частности, он проникал на компьютеры, используя критическую уязвимость MS08-067 в семействе операционных систем Windows, патч к которым был выпущен компанией Microsoft еще осенью прошлого года. По мнению экспертов, на значительной части машин патч не был установлен на момент пика распространения Kido в январе. Этот фактор, а также игнорирование эффективной антивирусной защиты и привели к эпидемии: в настоящее время различными версиями Kido заражены, по меньшей мере, от 5 до 6 миллионов компьютеров, имеющих доступ в сеть Интернет. В последних версиях Kido отсутствует явная возможность самораспространения. Программа лишь пытается «укрепиться» на уже зараженных компьютерах.
Более подробную техническую информацию о том, как Kido проникает в операционные системы семейства Windows можно посмотреть по адресам:
* http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21782725
* http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21782733
* http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21782749
* http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21782790
В Kido реализованы самые современные технологии вирусописателей – например, загрузка обновлений с постоянно меняющихся адресов сайтов; использование соединений типа компьютер-компьютер (peer-to-peer) в качестве дополнительного канала обновлений; использование стойкого шифрования для защиты от перехвата контроля; усовершенствованные возможности отключения служб безопасности, препятствия обновлениям программ защиты и т.д.
Самая последняя версия Kido получает обновления путем загрузки кода с 500 доменов, выбираемых из ежедневно изменяемого пула, состоящего из 50 тысяч доменов-кандидатов. Случайный характер отбора, а также большой объем пула делают крайне сложным контроль над пространством имен в интернете, используемым вредоносной программой. Поэтому нужно прилагать все возможные усилия для препятствия обновлению программы на уровне локальных сетей.
Как избежать заражения вредоносной программой Kido?
Продукты «Лаборатории Касперского» успешно блокируют проникновение всех версий Kido на компьютеры пользователей. Проверьте, что автоматические обновления не отключены и, в том случае, если у вас есть подозрение, что Kido уже мог проникнуть на компьютер, выполните сканирование всего компьютера с помощью Антивируса Касперского. Своевременная установка патчей для ликвидации уязвимости MS08-067, безусловно, является обязательной мерой для предотвращения заражения, однако установленное решение Kaspersky Internet Security не позволит использовать уязвимость даже на непропатченной операционной системе.
Как понять, что произошло заражение сети или компьютера?
При наличии зараженных компьютеров в локальной сети повышается объем сетевого трафика, поскольку с этих компьютеров начинается сетевая атака. Антивирусные приложения с активным сетевым экраном сообщают об атаке Intrusion.Win.NETAPI.buffer-overflow.exploit.
Если вы подозреваете заражение своего компьютера, попробуйте открыть браузер и перейти на произвольную страничку любимого поискового движка. Если страница открылась — попытайтесь загрузить www.kaspersky.com или www.microsoft.com. Если этого сделать не удалось — то доступ к сайтам, скорее всего. блокирует вредоносная программа. Полный список ресурсов, заблокированных Kido, можно увидеть, например, здесь: http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21782725.
Я – администратор локальной сети. Как мне быстрее и удобнее всего локализовать проблему?
Удаление сетевого вредоносной программы производится с помощью специальной утилиты KKiller.exe. С целью предохранения от заражения на всех рабочих станциях и серверах сети необходимо провести следующий комплекс мер:
1. Установить патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001.
2. Удостовериться, что пароль учетной записи локального администратора устойчив ко взлому - пароль должен содержать не менее шести символов, с использованием разных регистров и/или цифр.
3. Отключить автозапуск исполняемых файлов со съемных носителей.
4. Остановить службу Task Scheduler (Планировщик Задач) в Windows.
Удаление вредоносной программы Kido утилитой KKiller.exe необходимо производить локально на зараженном компьютере.
Как бороться с Kido обычному пользователю домашнего компьютера?
Скачайте архив KKiller_v3.4.1.zip (152 КБ) и распакуйте его в отдельную папку на зараженной машине. Запустите файл KKiller.exe. По окончании сканирования на компьютере возможно присутствие активного окна командной строки, ожидающего нажатия любой клавиши для закрытия. Для автоматического закрытия окна рекомендуем запускать утилиту KKiller.exe с ключом -y. Дождитесь окончания сканирования.
Если на компьютере, на котором запускается утилита KKiller.exe , установлен Agnitum Outpost Firewall, то по окончании работы утилиты обязательно перезагрузите компьютер.
http://www.ixbt.com/news/all/index.shtml?11/76/78
Специалисты Trend Micro обнаружили новую разновидность червя Conficker Эксперты антивирусной компании Trend Micro заявили, что сетевой червь Conficer все-таки начал проявлять первые признаки активности и серверы компании уже на протяжении нескольких суток фиксируют растущие объемы пирингового трафика между инфицированными компьютерами.
Одновременно с этим, в блоге компании появилось сообщение об обнаружении нового варианта червя Conficker Worm_Downnad.E, который распространяется при помощи технологии p2p. Сообщается, что действию данного червя подвержены только пользователи операционной системы Windows. Сейчас специалисты Trend Micro исследуют образцы кода, но уже очевидно, что он как минимум работает в качестве кейлоггера и похищает закрытую информацию с зараженной машины.
Существующая на сегодня разновидность червя распространяется в различных .sys-файлах нескольких руткитов, причем само наличие вредоноcного кода в рутките обнаружить очень сложно, так как Conficker зашифрован исключительно стойкими алгоритмами шифрования. В блоге Trend Micro приводятся данные, согласно которым червь пытается тестировать интернет-соединения, обращаясь к сайтам MySpace.com, MSN.com, eBay.com, CNN.com и AOL.com.
Вирусные аналитики говорят, что все логи своей деятельности червь старательно подчищает, а дата "выключения" червя обозначена как 3 мая. "Так как зараженные компьютеры получают компоненты червя с многих источников, а не с одного сервера, заблокировать источники Conficker довольно сложно. Но наши данные показывают, что после 3 мая новый вариант червя прекратит всякую репликацию, хотя инфицированные машины по-прежнему можно будет контролировать удаленно", - говорит директор по информационному образованию Trend Micro Девид Перри.
На днях исследователи Trend Micro обнаружили, что многие зараженные машины начали передавать в больших объемах зашифрованный трафик на один из серверов, IP-адрес которого принадлежит корейскому сегменту глобальной сети.
"Судя по всему, в новой версии червя Downad/Conficker основным методом коммуникации являются не HTTP-соединения с серверами, а P2P-соединения с другими инфицированными машинами", - говорится в блоге компании.
Кроме того, червь налаживает связь с машинами, зараженными сетевыми червями семейства Waledac, а также с огромной спамовой бот - сетью Storm. Новый Downad/Conficker пытается получать доступ к доменам Waledac и скачивать оттуда новые инструкции в зашифрованных форматах. По предположительным данным, данные инструкции также могут представлять собой дополнительные компоненты Downad/Conficker, наделяющие его новым функционалом.
|
