Безопасность
26.11.01 Новый вирус заражает Microsoft SQL Server с неправильными настройками конфигурации.Эксперты по безопасности в Сети предупреждают: новый инструмент хакеров под названием "Voyager Alpha Force" способен сканировать и внедряться в системы, работающие на основе приложений Microsoft. По словам главного технолога SecurityFocus.com Элиаса Леви (Elias Levy), вирусом уже заражены более 300 компьютеров. И хотя это число составляет лишь незначительную часть от тысяч машин, зараженных червями Code Red и Nimda в августе и сентябре этого года, г-н Леви полагает, что достаточно и трехсот компьютеров, чтобы неприятность превратилась в большую проблему. До сих пор зараженные компьютеры не были использованы для блокирования веб-серверов посредством проведения координированных DOS-атак, однако это может произойти в любой момент. "Это оружие, ждущее своего стрелка" - заявил г-н Леви.
В случае проведения координированной DOS-атаки, сеть из компьютеров-зомби, управляемых командами хакера, посылает на выбранный веб-сервер град запросов, что из-за возникающей в результате перегрузки, делает его практически недоступным для нормальных пользователей.
Новый вирус заражает машины, на которых эксплуатируется Microsoft's SQL Server, не cконфигурированный на замену "пустого" пароля, используемого по умолчанию. Инфицированный компьютер автоматически загружается на канал чата IRC, предоставляющий пользователям возможность обмена информацией по Сети в режиме реального времени, и просто ждет соответствующей команды "хозяина".
Леви рекомендует всем системным администраторам, эксплуатирующим MS SQL Server, сменить "пустой" пароль и включить системы, блокирующие неавторизованный доступ.
Источник: CNews
26.11.01 От чего страдали пользователи Интернета на этой неделе.Эта неделя, как и большинство предыдущих, не принесла спокойствия пользователям Интернета, которым пришлось отбиваться от нескольких новых напастей в виде двух "почтовых червей" и одного трояна.
Первый и самый нашумевший, W32/Aliz, как уже писала Компьюлента, распространяется по почте, используя дыру в Explorer версий 5.01 и 5.5. Он активизируется даже при простом просмотре письма, содержащего его. Распространяемый во вложении пустого письма файл называется whatever.exe, он автоматически рассылается по всем адресам, записанным в адресной книге.
Червь не инсталлирует себя в систему и может запуститься повторно только в случае повторного открытия зараженного письма .
Другой "червяк", W32/Klez.C, также распространяется через электронную почту, каждый раз случайным образом выбирая тему сообщения и название прикрепленного файла. При запуске червь копирует себя в системную папку Windows под именем WINSVC.EXE . А 13 числа любого нечетного месяца он удаляет с компьютера всю информацию. Кроме того, он вставляет определенную команду в реестр Windows, чтобы "не пропустить" загрузку системы.
Третий представитель сетевых вредителей - троян Bck/Jerwin. Это еще один клон системы удаленного доступа. Распространяется он самими псевдохакерами по почте с призывами "запустить эту полезную программу" или "видеоигру". После запуска троян открывает определенный порт для связи с "ведущим" компьютером. Номер порта определяется самим трояном. Кроме того, он может записывать свой код в нормальные исполняемые файлы, что дает ему еще одну возможность для распространения.
Источник: Компьюлента
23.11.01 Ущерб "Укртелекома" от вируса Nimda превысит 1 млн. гривен.16 ноября специалистами "Укртелекома" в который раз было отмечено увеличение случаев заражения рабочих станций корпоративной компьютерной сети вирусами. На протяжении выходных обслуживающим персоналом сети были проведены мероприятия, благодаря которым удалось локализовать заражение и поддерживать стабильность функционирования экрана между корпоративным и интернет-сегментом сети передачи данных "Укртелекома". 19 ноября в 8:35 очередной сменой администраторов центрального узла корпоративной сети Укртелекома было отмечено взрывное возрастание трафика в локальной сети Генеральной дирекции общества. Инженерами была проанализирована структура трафика и выявлено, что особые нагрузки возникают в серверной части сети. В результате детального анализа состояния сети было обнаружено, что вирусом заражены сотни компьютеров корпоративной сети, нарушена работа ряда серверов, в частности, нарушено функционирование сервера корпоративной электронной почты в Генеральной дирекции. Как говорится в официальном сообщении "Укртелекома", "благодаря высокой квалификации и слаженным действиям обслуживающего персонала сети, эти мероприятия удалось провести достаточно быстро и эффективно. Полную антивирусную обработку прошли свыше 300 компьютеров, было оперативно восстановлено серверное программное обеспечение на большинстве серверов. Во вторник 20 ноября был восстановлен доступ к сети Интернет всем сотрудникам Генеральной дирекции согласно правам доступа". Этой ситуации на сервере "Укртелекома" уже уделено не мало внимания. Так, в частности, мы имеем доступ к комментариям руководящих работников "Укртелекома" и Госкомсвязи в связи с происшедшим заражением. Для предотвращения отрицательных последствий от компьютерных атак по инициативе "Укртелекома" Государственным комитетом связи и информатизации Украины создается межведомственная комиссия, к работе в которой планируется привлечь специалистов Службы безопасности Украины, Министерства внутренних дел, Министерства по вопросам чрезвычайных ситуаций и других заинтересованных органов. Как заявил Председатель Правления "Укртелекомa" О. В.Гайдук, по предварительным оценкам, убытки компании составили более 1 млн. грн.
Источник: Журнал “Business Online”
23.11.01 ФБР берет на вооружение устаревшие хакерские методики.Еще во вторник новостной сайт MSNBC сообщил, что специалисты ФБР разрабатывает некий компьютерный вирус, который позволит спецслужбам устанавливать на компьютерах подозреваемых шпионское программное обеспечение. Однако журналисты сетевого издания CNET News.com сделали вывод, что новое оружие ФБР, получившее название "Волшебный фонарь" ("Magic Lantern") представляет собой никакой не супервирус, а банальную троянскую программу, по принципу действия схожую с появившимися несколько лет назад и популярными до сих пор хакерскими инструментами Back Orifice и SubSeven. Основной задачей программы, по сведениям News.com, станет запись нажатий клавиш с целью поиска паролей и сбора другой информации.
Подобного же мнения придерживаются и специалисты в области компьютерной безопасности. По их мнению, ФБР сейчас присматривается к самым различным методам электронной слежки, и использование троянских программ может оказаться весьма перспективным решением. В отличие от широко известной системы DCS 1000 (ранее Carnivore), которая ведет учет всего сетевого трафика, трояны позволяют действовать направленно и не нарушать права непричастных к преступлениям лиц. С другой стороны, собранные с помощью троянов данные не могут быть использованы в качестве доказательств вины подозреваемого. И если использование информации, полученной при помощи DCS 1000, предусматривает законопроект Patriotic Act, то для "Волшебного фонаря" руки законодателей-патриотов пока не дошли. Таким образом, эффект от использования троянских программ для слежки может оказаться ограниченным.
Источник: Компьюлента
22.11.01 Интернет-червь Aliz, обнаруженный в мае 2001 года, вызвал эпидемию."Лаборатория Каперского", ведущий российский разработчик систем информационной безопасности, предупреждает пользователей об активном распространении Интернет-червя Aliz: случаи заражения данным вирусом уже зафиксированы во многих странах мира, особенно много сообщений поступает от российских пользователей. Данная вредоносная программа распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам. Червь является приложением Windows (PE EXE-файл), имеет размер около 4K.Зараженные письма содержат:Заголовок: различный Текст: пустое HTML-письмо Имя вложения: whatever.exe Для запуска себя из зараженных писем червь использует брешь в системе безопасности почтового клиента (IFRAME), которую также использовал Интернет-червь "Nimda". При этом зараженное вложение активизируется без участия пользователя - при чтении или предварительном просмотре сообщения.При активизации Aliz червь распаковывает свой основной код и передает на него управление. Данный код затем считывает адреса получателей зараженных писем из файла WAB (Windows Address Book), подключается к зарегистрированному в системе SMTP-серверу, отсылает зараженные письма и на этом заканчивает свою работу. Червь не инсталлирует себя в систему и не запускается повторно (за исключением случаев, когда пользователь повторно открывает зараженное вложение). Т.е. является червем "однократного" действия. Червь никак не проявляет своего присутствия в системе. Процедура отсылки зараженных писем содержит неточности, в результате чего червь оказывается неработоспособным на большинстве конфигураций почтовых клиентов и серверов.Интернет-червь Aliz был обнаружен и добавлен в базы данных Антивируса Касперского 25 мая 2001 года. Для его обнаружения обновление антивирусных баз данных не требуется.
Источник: Журнал “Business Online”