Безопасность
21.09.01 Вирус Nimda поражает европейские и австралийские банки. Кто на очереди?За три дня эпидемии вируса Nimda от него пострадало множество компаний и простых пользователей компьютеров. Так, в числе зараженных оказались сайты Dell и Microsoft. Последняя, правда, отрицает факт поражения своих серверов, списывая все на стороннюю компанию, на сервере которой находятся элементы страниц сайта Microsoft, посвященного программе FrontPage.
Теперь же появилась информация о проникновении вируса в сети ряда крупных международных банков. Так, по сообщению газеты Sydney Morning Herald еще во вторник были поражены компьютеры Австралийского национального банка. В четверг же анонимный источник в британском отделении Deutsche Bank сообщил, что в течение всей среды в офисе банка не работал Интернет, а руководство было вынуждено пойти на проверки правильности использования антивирусных средств сотрудниками. Имеются сведения и о поражении ряда серверов во внутренней сети банка HSBC.
По мнению специалистов по безопасности, большинство корпоративных сетей защищены от проникновения Nimda - на их серверах, как правило, установлены все исправления, вполне надежны и системы фильтрации электронной почты. Вирусы же заносятся теми сотрудниками, которые используют один и тот же компьютер и дома, и на работе. Подключаясь к Интернету из дома они заражаются вирусом, а потом заносят его в корпоративную сеть. В случае с Nimda, который способен распространяться по локальным сетям, принесенный в офис вместе с ноутбуком вирус быстро поражает и остальные компьютеры.
Источник: Компьюлента
21.09.01 Фонд Развития Интернет совместно с Российским НИИ развития общественных сетей объявили о проекте развития домена .SUФонд Развития Интернет (созданный в 2000 году компаниями Релком и Демос) и РосНИИРОС подготовлен проект создания организационной структуры, ответственной за развитие домена .SU. Эта инициатива на этапе предварительного обсуждения получила поддержку представителей Армении, Грузии, Казахстана и России, являющихся Администраторами соответствующих национальных доменов верхнего уровня.
Проект, получивший название "Проект развития Реестра SU", предусматривает образование института Регистраторов и развитие Реестра SU в соответствии с открытым и территориальным принципами. Открытый принцип подразумевает
наличие минимальных ограничений для регистрации доменных имен второго уровня. Территориальный принцип предусматривает условие функционирования компаний-регистраторов на территории бывшего СССР.
Начиная с 1 октября 2001 года регистрация доменных имен второго уровня в домене .SU будет возможна только через Регистраторов, заключивших типовое соглашение (договор) с Фондом Развития Интернет. В соответствии с утверждаемым Фондом "Положением о регистрации доменных имен в домене SU" регистраторами могут стать юридические лица, зарегистрированные в любом территориальном или государственном образовании на территории бывшего СССР. Развитие института регистраторов планируется в рамках поэтапной схемы, предусматривающей плановое снижение стоимости регистрации доменных имен в домене .SU и увеличение количества действующих на конкурентной основе регистраторов. Рекомендуемая Фондом высокая начальная стоимость регистрации в размере 15000 USD и детерминированное снижение стоимости до 100 USD действуют в течение пяти месяцев в целях ограничения возможностей массового захвата доменных имен на начальном этапе развития Реестра SU.
Образование в интернете домена верхнего уровня .SU относится к 1990 году, когда по инициативе Европейского Форума Открытых Систем (EurOpen) Уполномоченная Организация по Назначению Адресов Интернет (IANA) зарегистрировала домен .SU для применения на территории СССР. По согласованию с национальной организацией EurOpen - Ассоциацией
Пользователей Юникс в СССР (Soviet Unix Users' Group) - функции развития и технической поддержки домена .SU были возложены на сеть Relcom. Вплоть до 1993 года развитие домена осуществлялось компаниями Релком и Демос с учетом требований сети Relcom. В 1993 году функции технического администрирования домена были переданы РосНИИРОС. В 1994 году, по согласованию с компаниями Релком и Демос, РосНИИРОС приостановил регистрацию доменов второго уровня в домене .SU.
Источник: Компьюлента
21.09.01 Вирус Nimda вывел из строя компьютерные системы большинства государственных служб в Колорадо.Совершающий триумфальное шествие по всему миру вирус Nimda нанес серьезный удар по компьютерным системам штата Колорадо, заблокировав электронную почту и доступ в Интернет во многих государственных учреждениях. Nimda поразил один из главных компьютерных центров штата, который обеспечивал выходом во всемирную сеть большинство департаментов, законодательный орган штата и казначейство.
Главный специалист по информационным системам штата Боб Фейнгольд заявил, что никакой жизненно важной информации не утеряно. По его словам, вирус, главным образом, "вызвал неприятные перебои, повредив несколько десятков компьютеров". Это тот же вирус, который ранее объявился в Норвегии, Японии и многих других странах.
Техники планировали отключить компьютерную сеть штата в ночь с четверга на пятницу для восстановления повреждений и установки защиты от будущих атак. Вирус заражает компьютеры под операционной системой Microsoft Windows.
Источник: Компьюлента
20.09.01 В Европе новым вирусом заражены 15 тыс. компьютеров.В ночь со вторника на среду 15 тыс. компьютеров во Франции, Швейцарии, Англии, Германии и Италии были заражены новым вирусом Nimda. Об этом заявил Реймонд Джинс (Raimond Genes), сотрудник компании Trend Micro, производящей программы для обеспечения компьютерной безопасности.
Немецкий концерн Siemens сообщил, что его сеть была заражена вирусом, что привело к необходимости отключения в среду утром нескольких серверов и компьютеров, а также почтовую службу, чтобы исправить положение. Во вторник вечером в США было заражено уже 130 тыс. компьютеров. В Японии Nimda заразил компьютеры министерства сельского хозяйства и местного филиала Microsoft. Власти Южной Кореи сообщили о 327 случаях заражения. Trend Micro указывает на способность адаптации нового вируса. Он изменяет содержимое интернет-сайтов и заражает компьютеры их посетителей. Специалисты считают, что этот вирус гораздо опаснее Code Red.
Источник: CNews
19.09.01 Подробности о вирусе Nimda от "Лаборатории Касперского".Вчера в Интернете началась эпидемия опасного вируса "Nimda", который способен поражать компьютеры без вмешательства человека. За считанные часы были заражены тысячи компьютеров, и прогнозы специалистов крайне неутешительны. По мнению "Лаборатории Касперского", 9 из 10 компьютеров в России не имеют никакой защиты от нового вируса.
"Nimda" является Интернет-червем, распространяющимся по сети Интернет в виде вложенных файлов в сообщениях электронной почты, по ресурсам локальных сетей, а также проникающий на незащищенные IIS-серверы. Оригинальный файл-носитель червя имеет имя README.EXE и представляет собой программу формата Windows PE EXE, размером около 57 килобайт и написанную на языке программирования Microsoft C++.
Для активизации из писем электронной почты "Nimda" использует брешь в системе безопасности Internet Explorer, так что владелец незащищенного компьютера даже не заметит факта заражения. После этого червь инициирует процедуры внедрения в систему, распространения и запускает деструктивные функции.
В теле червя содержится строка:
Concept Virus(CV) V.5, Copyright(C)2001 R.P.China
В процессе внедрения червь "разбрасывает" свои копии в директории Windows под именем MMC.EXE, системной директории Windows под именем RICHED20.DLL и LOAD.EXE. Настоящий RICHED20.DLL, необходимый для работы множества программ (к пример, Wordpad'а, входящего в состав операционной системы), при этом уничтожается. Червь также копирует себя во временную директорию Windows со случайными именами MEP*.TMP и MA*.TMP.EXE. Файл LOAD.exe регистрируется в секции автозапуска конфигурационного файла SYSTEM.INI.
После этого "Nimda" запускает процедуру распространения, маскируя свои действия под фоновым процессом EXPLORER. Для отправки с зараженных компьютеров писем электронной почты "Nimda" создает SMTP-соединение и с его помощью пересылает свои копии на другие адреса электронной почты.
Чтобы раздобыть адреса электронной почты своих новых жертв, червь сканирует все файлы с расширением .HTM и .HTML и выбирает из них найденные адреса. Кроме того, при помощи MAPI-функций он получает доступ к почтовым ящикам MS Exchange и также считывает из них адреса.
Рассылаемые "Nimda" письма имеют формат HTML. Тема письма выбирается случайным образом в соответствии с названием случайного файла из папки "Мои Документы" или любого другого файла на диске C:. В этом Nimda напоминает Sircam.
Для внедрения в систему из зараженных писем электронной почты "Nimda" использует брешь в системе безопасности Internet Explorer, которая позволяет автоматически выполнить вложенный исполняемый файл. Данная брешь была обнаружена в конце марта 2001 г. "Заплатку", устраняющую её, можно скачать на сайте Microsoft.
Для распространения по локальной сети червь сканирует локальные и установленные сетевые диски и заражает их, создавая файлы со случайными именами и расширениями .EML или .NWS (последнее, впрочем, встречается нечасто) и "разбрасывает" их на найденных дисках. Эти расширения являются стандартными для писем электронной почты. В результате, компьютеры (как зараженный, так и подключенные к локальной сети) могут содержать тысячи подобных файлов, в которых содержится копия червя.
Все эти файлы являются электронными письмами в формате HTML, содержащими копию "Nimda" в виде вложенного объекта. При запуске таких файлов срабатывает описанная выше брешь в защите Intеrnet Explorer и на компьютер немедленно внедряется копия червя.
Помимо этого, червь ищет файлы, в именах которых есть слова DEFAULT, INDEX, MAIN или README, а расширениями являются .HTML, .HTM, .ASP. Это, как правило, основные страницы сайтов. Найдя такой файл, червь создает в одной папке с ним заражённое письмо README.EML, а затем модифицирует его, добавляя туда короткую JavaScript-программу. При просмотре модифицированной страницы JavaScript-программа загружает README.EML, что приводит к заражению червем. Таким образом Nimda заражает существующие Web-сайты и может проникать на компьютеры посетителей сайтов.
Атака IIS-серверов происходит способом, примененном в IIS-черве "BlueCode". Для внедрения на удаленные IIS-серверы червь использует команду "tftp", активизирует временный TFTP-сервер на зараженном компьютере и с его помощью загружает на целевую машину свою копию (ADMIN.DLL). Далее, специальным запросом эта копия активизируется.
"Nimda" имеет опасный побочный эффект, который может допустить утечку конфиденциальной информации с зараженных компьютеров. Червь добавляет пользователя под именем "Guest" в группу пользователей "Администраторы". Таким образом, "Guest" имеет полный доступ к ресурсам компьютера. Одновременно все локальные диски открываются для полного доступа всех желающих.
Источник: Компьюлента