Vírus Híradó - Vírusleírás: Tanatos

Egy újonnan megjelent, jelentős képességekkel rendelkező e-mail féregvírus terjed szabadon az Interneten, többek közt Angliából és Oroszországból érkeztek jelentések a "Tanatos / Bugbear" nevet kapott kártevő okozta fertőzésekről. Az F-Secure cég és a Kaspersky Labs is jelentősnek ítélte a vírus okozta lehetséges károkat, és azonnal közreadták a riasztást, a vírus leírását, valamint a rendkívüli vírusadatbázis frissítést.

A Tanatos beépített trójai (kémprogram) lehetőségekkel rendelkezik, többek között a begépelt szöveget (jelszavakat!) naplózza. Mérete csak 50688 bájt, mert a kb. 450KB-os, eredetileg C forrásnyelven íródott kódot a vírus készítői UPX-szel már előre tömörítették. Így a féregvírus könnyen terjedhet levelek mellékleteként, véletlenszerű fájlneveket használva. Megtévesztés céljából több kiterjesztése is lehet a fertőzött fájlnak, így az igazi típus Windows alatt alapesetben el van rejtve. A levelek tárgysora és törzse (szövege) is változó, így nem nyújt igazi segítséget a szűréshez.

A víruskód a közismert I-Frame.exploit Microsoft-os böngészőhiba felhasználásával megpróbál automatikusan lefutni az Outlook / Outlook Express levelezőrendszerek betekintő ablakában, mert ez nagyon hatékony módszer a vírusok terjedésére. Ezért javasoljuk, hogy telepítsenek / frissítsenek IE biztonsági javítást Windows rendszerükön, lásd:
http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp

Ha a Tanatos féreg bejutott a gépre, változó néveken (pl. JFMV.EXE) másolja be magát a Windows rendszerkönyvtárba és létrehozza az őt rendszerindításkor lefuttató registry bejegyzést:



	HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce

Ugyancsak telepítésre kerül egy kém-komponens, amely a billentyű-leütéseinket naplózza, a neve is bármi lehet (pl. ZLQPUPP.DLL). Két másik, a Tanatos által létrehozott DLL állomány funkciója még nem ismert közelebbről, ezekben kódolt adatok vannak. További két fájl (.DAT típusúak) a Windows gyökérkönyvtárába kerülnek.

A kártevő megpróbál vérfürdőt rendezni a gépünkre telepített biztonsági szoftverek között, ha megtalálja őket, letiltja az alábbi komponensek működését a memóriában:



	_AVP32.EXE _AVPCC.EXE _AVPM.EXE ACKWIN32.EXE ANTI-TROJAN.EXE APVXDWIN.EXE AUTODOWN.EXE AVCONSOL.EXE AVE32.EXE AVGCTRL.EXE AVKSERV.EXE AVNT.EXE AVP.EXE AVP32.EXE AVPCC.EXE AVPDOS32.EXE AVPM.EXE AVPTC32.EXE AVPUPD.EXE AVSCHED32.EXE AVWIN95.EXE AVWUPD32.EXE BLACKD.EXE BLACKICE.EXE CFIADMIN.EXE CFIAUDIT.EXE CFINET.EXE CFINET32.EXE CLAW95.EXE CLAW95CF.EXE CLEANER.EXE CLEANER3.EXE DVP95.EXE DVP95_0.EXE ECENGINE.EXE ESAFE.EXE ESPWATCH.EXE FAGNT95.EXE FPROT.EXE FPROT95.EXE F-STOPW.EXE FINDVIRU.EXE FP-WIN.EXE FPROT.EXE FRW.EXE IAMAPP.EXE IAMSERV.EXE IBMASN.EXE IBMAVSP.EXE ICLOAD95.EXE ICLOADNT.EXE ICMON.EXE ICSUPP95.EXE ICSUPPNT.EXE IFACE.EXE IOMON98.EXE JEDI.EXE LOCKDOWN2000.EXE LOOKOUT.EXE LUALL.EXE MOOLIVE.EXE MPFTRAY.EXE N32SCANW.EXE NAVAPW32.EXE NAVLU32.EXE NAVNT.EXE NAVW32.EXE NAVWNT.EXE NISUM.EXE NMAIN.EXE NORMIST.EXE NUPGRADE.EXE NVC95.EXE OUTPOST.EXE PADMIN.EXE PAVCL.EXE PAVSCHED.EXE PAVW.EXE PCCWIN98.EXE PCFWALLICON.EXE PERSFW.EXE RAV7.EXE RAV7WIN.EXE RESCUE.EXE SAFEWEB.EXE SCAN32.EXE SCAN95.EXE SCANPM.EXE SCRSCAN.EXE SERV95.EXE SMC.EXE SPHINX.EXE SWEEP95.EXE TBSCAN.EXE TCA.EXE TDS2-98.EXE TDS2-NT.EXE VET95.EXE VETTRAY.EXE VSCAN40.EXE VSECOMR.EXE VSHWIN32.EXE VSSTAT.EXE WEBSCANX.EXE WFINDV32.EXE ZONEALARM.EXE

Így ha víruskeresőnk adatállománya a fertőzési kísérlet pillanatában régi volt, és még nem ismerte a Tanatos-t, akkor a gép megfertőződhet és ezután az internetes féreg a víruskereső kikapcsolásával utat nyithat akár a régebbi kártevők bejutása előtt is. Ezért fontos, hogy mihamarabb adatbázist frissítsünk, és ezt a tevékenységet rendszeresen végezzük (állandó net-kapcsolat esetén akár naponta javasolt frissíteni).

A trójai komponens a 36794-es TCP porton hallgatózik, és lehetővé teszi, hogy távolról bejussanak gépünkre, majd azon keresztül a helyi hálózatra, amelyre kapcsolódik. A Tanatos internetes féreg ehhez egyszerűen kezelhető webes felületet kínál, ezért veszélyes fegyver lehet kevésbé képzett hacker-ek (script kiddie) kezében is.

Jelenlegi ismereteink szerint valamilyen okból (szándékos mellékhatásként vagy a vírusíró valamilyen programozási hibája miatt) a hálózati terjedési részben a féreg elküldi saját másolatát a megosztott hálózati nyomtatókra is.