Безопасность
28.10.01 Новый вирус Antset маскируется под средство для поиска троянских программ.По Интернету начал распространяться новый почтовый вирус Antset, который выдает себя за новую версию программы для выявления и уничтожения троянских коней ANTS Version 3.0. На текущий момент известно о трех разновидностях вируса, получивших индексы W32.Anset.A@mm, W32.Anset.B@mm и W32.Anset.C@mm. К счастью, единственное, что делает Antset на зараженном компьютере - это рассылает свои копии по адресам, найденным на сохраненных на диске файлах форматов PHP, HTM, SHTM, CGI и PL, а также содержащиеся в записной книжке Outlook. Никаких деструктивных действий червь не производит, а в его коде содержится ряд ошибок, из-за которых заражение не всегда проходит успешно.
Antset распространяется в электронных письмах с темой ANTS Version 3.0, в теле письма, написанном по-немецки, сообщается, что к письму прилагается новая версия "уникального бесплатного сканера троянских программ ANTS" и рекомендуется запустить вложенный файл. Далее идет ссылка на официальную страницу страницу ANTS по адресу www.ants-online.de, которая действительно существует, однако уже содержит предупреждение о появившемся вирусе. Естественно, что при запуске вложения - файла ants3set.exe - вирус активизируется и рассылает свои копии дальше. Большинство антивирусных компаний признали Antset не слишком опасным вирусом и уже обновили базы данных своих программ.
Источник: Компьюлента
22.10.01 Обнаружены: один червь, один троян и один резидент.Panda Software сообщает об обнаружении трех вредоносных программ: это червь Worm/Dnet_Winit , позволяющий получать удаленный доступ на чужие компьютеры, троян Backdoor/SecretService, а также резидентный вирус Keyboard_Bug Family.
Worm/Dnet_Winit использует TCP/IP-соединение, чтобы проникать на другие системы. Он сканирует случайные IP-адреса, и когда находит адрес, с которого возможен удаленный доступ к диску с установленной на нем ОС Windows, он копирует себя в каталог Windows\\System под названием WININIT.EXE и вносит изменения в системный реестр Windows.
Backdoor/SecretService это троян класса backdoor, созданный на Delphi, сделанный группой Digital Cyber Hackers. Он состоит из двух модулей (клиента и сервера), а также инсталяционной программы. Троян способен совершать на компьютере жертвы следующие действия: включать и выключать машину, отправлять сообщения и заимствовать конфиденциальную информацию (в частности, пароли).
Keyboard_Bug Family - это резидентный вирус, заражающий файлы с расширениями EXE и COM (кроме COMMAND.COM). Вирус влияет на буфер клавиатуры и таким образом способен вносить случайные буквы и символы в набираемый текст. Кроме того, вирус может изменять определенные символы на экране, заменяя "0" на "9".
Источник: Компьюлента
19.10.01 Лже-обновление от Microsoft уничтожит данные системного диска."Лаборатория Касперского" сообщает об обнаружении нового опасного интернет-червя "Redesi", распространяющегося по электронной почте и маскирующегося под обновление для системы безопасности продуктов Microsoft. Вирус, способный уничтожить все данные системного диска.
На данный момент обнаружено две разновидности червя. Их отличия состоят лишь в теме и тексте рассылаемых сообщений - они либо предлагают защиту от вирусов, либо просмотр порнографии.
Redesi.a:
Тема письма случайным образом выбирается из списка:
FW: Microsoft security update.
FW: Security Update by Microsoft.
FW: IT departments on state of HIGH ALERT.
FW: Important news from Microsoft.
FW: Stop terrorists computer viruses reign.
FW: Terrorists release computer virus.
FW: Emergency response from Microsoft Corp.
FW: Terrorist Emergency. Latest virus can wipe disk in minutes.
FW: Microsoft Update. Final Release Candidate.
FW: New computer virus.
Тело письма:
Just recieved this in my email
I have contacted Microsoft and they say it's real !
-----Original Message-----
From: Microsoft Support Desk [mailto:Support@microsoft.com]
Sent: 17 October 2001 15:21
Subject: Security Update
Due to the recent spate of email spread computer viruses Microsoft Corp has released a security patch. Please apply the attached file to your Windows computer to stop any futher spread or these malicious programs. Regards Microsoft Support
Redesi.b
Тема письма случайным образом выбирается из списка:
Kev Gives great orgasms to ladeez!! -- Kev
hell is coming for u, u will be sucked into a bottomless pit!!! -- Gaz
Scientists have found traces of the HIV virus in cows milk...here is the proof -- Will
Yay. I caught a fish -- Six
I don't want to write anything but Si is bullying me. -- Jim
I want to live in a wooden house -- Arwel
Michelle still owes me г10 ... shit ! -- Si
Why have I only got cheese and onion crisps? I hate them !! -- Si
A new type of Lager / Weed variant...... sorted !
My dad not caring about my exam results -- by Michelle
Тело письма:
heh. I tell ya this is nuts ! You gotta check it out !
Название вложенного файла случайным образом выбирается из списка:
Si.exe
ReDe.exe
Disk.exe
Common.exe
UserConf.exe
При запуске зараженного вложенного файла интернет-червь внедряется на компьютер, получает доступ к Microsoft Outlook и при помощи этой почтовой программы рассылает свои копии всем получателям из адресной книги. 11 ноября 2001 г. червь активизирует встроенную деструктивную функцию и уничтожает данные на диске С: зараженного компьютера. Для этого он записывает в файл AUTOEXEC.BAT команду форматирования жесткого диска, которая автоматически выполняется при следующей перезагрузке компьютера. Необходимо заметить, что деструктивная функция срабатывает только в случае, если на компьютере жертвы короткая системная дата соответствует форматам "dd/mm/yy" или "mm/dd/yy".
Процедуры защиты от "Redesi" добавлены во внеочередное обновление базы данных Антивируса Касперского.
Источник: CNews
17.10.01 "Лаборатория Касперского" нашла сибирскую язву в письмах, рассылаемых по электронной почте."Лаборатория Касперского", ведущий российский разработчик систем информационной безопасности, сообщает об обнаружении двух новых Интернет-червей, распространяющихся под видом очень важной информации о сибирской язве.
Данные черви были созданы генератором вирусов "VBSWG" и являются очередными модификациями группы скрипт-вирусов под общим названием "Lee". Ранее с помощью VBSWG была написана другая печально известная вредоносная программа – "Анна Курникова".
Оба червя могут быть доставлены на компьютер по каналам IRC (при помощи клиентов mIRC или pIRCh) или по электронной почте. Во всех случаях зараженные файлы имеют имена ANTRAXINFO.VBS или ANTRAX.JPG.VBS.
Рассылаемые письма имеют следующий вид:
Тема письма: Informacion Sobre El Antrax
Como ahorita esta muy de moda hablar sobre el antrax aqui te mando la foto de un enfermo terminal,para que veas como se ponen.
После запуска файла-носителя черви внедряются в систему, пытаются разослать свои копии всем получателям из адресной книги Outlook и уничтожают все найденные на компьютере файлы с расширением VBS и VBE, записывая в них свою копию.
К счасть, как обнаружили специалисты антивирусной компании, в коде вирусов есть фатальные ошибки, из-за которых ни один из них не способен эффективно размножаться. Тем не менее, "Лаборатория Касперского" напоминает, что следует воздерживаться от открытия неопознанных вложенных файлов, особенно тех, в которых так или иначе упоминается сибирская язва (англ. – "anthrax"; исп. – "antrax"). Антивирус Касперского способен защитить от данных вредоносных программ без каких-либо дополнительных обновлений базы данных.
Источник: Компьюлента
15.10.01 16 октября - вовсе не день вируса SirCam.По сообщениям многих российских и западных информационных агентств, 16 октября по всему миру должна прокатиться волна инцидентов, связанных с активизацией деструктивной функции одной из наиболее распространенных вредоносных программ - интернет-червя SirCam. "Лаборатория Касперского" опровергла эти сведения, назвав их «неверными» и заявив, что во всех известных на сегодняшний день модификациях SirCam имеется ошибка, из-за которой червь не способен уничтожать данные 16 октября.
По данным «Лаборатории Касперского», в коде SirCam действительно имеется процедура, которая способна уничтожать данные на зараженных компьютерах. По идее автора червя, активизация этой функции должна происходить ежегодно 16 октября с вероятностью 5%. Для запуска подпрограммы уничтожения данных "SirCam" использует систему переменных. Как показали исследования антивирусных экспертов "Лаборатории Касперского", в этой системе допущена ошибка, так что деструктивная функция никогда не приводится в действие.
Несмотря на эту ошибку, SirCam несет в себе ряд других побочных действий. Одной из наиболее опасных из них является несанкционированная рассылка с зараженных компьютеров случайных файлов. Из-за этого может произойти утечка важной конфиденциальной информации.
SirCam распространяется во вложенных файлах электронной почты. Эти файлы не имеют постоянного названия, расширения и текста письма. Червь рассылается с зараженных компьютеров, - якобы от имени их владельцев. Для этого он, незаметно для пользователя, фабрикует поддельные электронные письма и рассылает их по адресам, найденным на зараженном компьютере. Такое непостоянство внешних признаков заставляет многих пользователей поверить в подлинность и безопасность присылаемых файлов. Ничего не подозревая, они запускают полученные файлы на своих компьютерах, тем самым вызывая их заражение.
Также нельзя забывать об опасных побочных эффектах SirCam: помимо быстрого поглощения свободного места на диске, он удаляет при каждой перезагрузке компьютера все файлы и поддиректории из директории Windows, с вероятностью 5%. Процедуры защиты от данного сетевого червя были добавлены в базу данных Антивируса Касперского еще 18 июля. "Лаборатория Касперского" настоятельно рекомендует всем пользователям загрузить и подключить соответствующее обновление.
Источник: CNews