Keresés
Hírek
Elsősegély
 Gyorsmentesítés
 Vírparancsolat
Vírusok és férgek
 Mi a vírus?
 Vírusleírások
 Vírushatározó
 Statisztikák
 Mobilvírusok
Spam és tartalomszűrés
 Mi a spam?
 Mire jó a tartalom és      URLszűrés?
 Fogalmak
 Áttekintés
 Statisztikák
Megoldások
 Mit használjunk?
   Vírusok ellen
   Spamek ellen
   A hatékonyság növelése        érdekében
 Ingyenes próbaverziók
 Jótanácsok
 Vírusirtók tesztje
 Lexikon
Hírlevél
Magazin
 Publikációk
 Háttér
 ITBN 2008
Szakértői rovatok
 Jogi háttér
 Elektronikus aláírás
 Fogyasztóvédelem
Letöltés
 Gyorsmentesítés
 Próbaverziók letöltése
Archívum
Ajánló
Hírlevél
Ha elsőként szeretne tudni a legfrissebb vírusokról és a védekezés módjáról, akkor iratkozzon fel ingyenes heti hírlevelelünkre!
Az Ön e-mail címe:
Főoldal > Hírek






Üdvözöllek, dicső lovag!

(2015. augusztus 03.)

- VH saját forrásból -

Káros lehet a hazai céges gépek egészségére a Spawn Knight.
Nyomtatható verzió Nyomtatható verzió  | Küldje el ezt a cikket ismerősének Küldje el ezt a cikket ismerősének

Frissítve: 2015. augusztus 5. 17:15

Okunk van feltételezni, hogy 2015. július 21. körül célzott kártevő-támadás indulhatott egy vagy legfeljebb néhány jelentős magyar cég ellen - amelyek közül eddig egy megerősített esetről van tudomásunk, ahol a feltörési kísérlet vélhetően sikertelen maradt. A vizsgálat első fázisának lezárultával már módunkban áll erről bizonyos információkat megosztani az olvasóinkkal.

[ Megjegyzés: az alábbi leírásban szereplő kicsillagozott részek olyan szavakat tartalmaznak, amelyek közvetve alkalmasak lehetnek országok azonosítására. Mivel jelenleg nem tudjuk, hogy ezek miként, elkövető, áldozat vagy vétlen harmadik fél szerepében kapcsolódnak az ügyhöz, ezért említésüktől eltekintünk - Szerk. ]

Mi szél hozott, mondsza, erre?

Az ismert támadási kísérlet hordozója egy számla-befizetés elmaradására hivatkozó, angol nyelvű kéretlen levél. Az e-mail szövege egy Proforma_Invoice nevű PDF fájlnak álcázott webhivatkozást tartalmaz, amely valójában az agro*******.com/secure/documents/proforma_invoice.chm címre mutat.

Ez a letöltődő .CHM fájl egy Silent Exploit nevű "nulladik napi" támadókódot tartalmaz - amelyre az incidens idején a mintegy 55 közismert víruskereső szoftver márka gyakorlatilag egyike sem riasztott, jelenleg azonban már mintegy 15 gyártmány felismeri azt!

[ Érdekesség, hogy szerepel az ártó kódban a Race suppose szöveg. Ez utalhat egy fajta programozási problémára, ún. race condition, de más értelmezése is lehetséges. Elképzelhető, hogy a "feltételezett verseny" kifejezés utalás a hazánkban nemrég megrendezett Forma-1 futamra - mivel a támadási kísérletre a megelőző héten került sor és a célpontja egy olyan cég volt, amely érintőleges, de jelentős infrastrukturális szerepet játszik az évenkénti lebonyolításban - Szerk. ]

Mi vajon a szíved terve?

A támadókód aktivizálódása után, comercial_invoce_pdf.exe (sic!) fájlnéven letölt egy Spawn Knight fantázianevű billentyűzet-naplózó programot.
[ Az angol kifejezést Lovagok Ivadéka-ként fordíthatjuk, de a spawn azt is jelenti, hogy egy, a Windows rendszerben futó program új, gyermek folyamatot hoz létre - Szerk. ]

Ez a program-kártevő alapfunkcióján kívül az áldozat IP címeit is gyűjti és képernyő-képeket készít, illetve ellopja többféle webböngésző szoftver tárolt jelszavait. A fertőzés még a Bitcoin és néhány hasonló elektronikus pénzhelyettesítő eszköz tárolására szolgáló e-tárcák adatait is eltulajdonítja.

Az ártó kód visszafejtésével nyert információk szerint ez a fertőzés SMTP útján, két e-mail fiókon keresztül (ayman at *******nmr dot com és *******steels at gmail dot com) kommunikálna a hackerekkel - ezt a tevékenységet azonban a víruslaborban végzett gyakorlati futtatási kísérletek eddig nem igazolták.

A kártevő egy már lejárt Microsoft tanúsítványt is tartalmaz, érdekes feladattal. Bár ennek a digitális aláírásnak a tartalmát a hackerek illetéktelenül módosították, itt nem a Flamer kiberfegyverhez hasonló, automatikus telepítő trükkről van szó. A certifikát jelenléte, mint bizalmat növelő elem, inkább a víruskereső szoftverek éberségének elaltatását, az alaposabb szkennelés esetleges mellőzését és így végeredményben a kártevő felismerésének megnehezítését szolgálhatja - úgy tűnik, bizonyos mértékű sikerrel.

Szép a registry-d, szép a falovad

Az esetlegesen feltört gépeken a trójai típusú kártevő azonosításához az alábbi fertőzésre utaló jeleket ismerjük:

Registry kulcs

  • Elágazás: HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Érték: "pchealth.exe"

Fájlok és mappák:

  • %appdata%PC Health | pchealth.exe
  • %temp%putty.exe
  • %startup%Pc Health.lnk"
    ( Megjegyezzük, hogy ez utóbbi változó nem minden Windows kiadásban működik, de a fájl például itt is kereshető:
    Meghajtó:\Users\Felhasználónév.Doménnév\Start Menu\programs\Startup )

Ellenőrző összegek:

  • MD-5: 0b48a944f937429695649c68c859fd43
    SHA-1: d29b2f106aee6fe65afed681b50dfae63014a013


  • MD-5: 77a70a7134b42253545aa9dc1e8e8164
    SHA-1: e0905efe603ea8b7a29145095bbb3b9fecac895a



Amennyiben Önök is találkoztak ilyen kártevő-támadással, szívesen fogadjuk az erre vonatkozó további információkat!

Vírus Híradó szerkesztőség


Partnerünk

Kérdés / Vélemény | GYIK | Sitemap | Impresszum | Jogi feltételek        2004-2011 © Vírushiradó -- 2F 2000 Kft. - Az információ védelmében.