Keresés
Hírek
Elsősegély
 Gyorsmentesítés
 Vírparancsolat
Vírusok és férgek
 Mi a vírus?
 Vírusleírások
 Vírushatározó
 Statisztikák
 Mobilvírusok
Spam és tartalomszűrés
 Mi a spam?
 Mire jó a tartalom és      URLszűrés?
 Fogalmak
 Áttekintés
 Statisztikák
Megoldások
 Mit használjunk?
   Vírusok ellen
   Spamek ellen
   A hatékonyság növelése        érdekében
 Ingyenes próbaverziók
 Jótanácsok
 Vírusirtók tesztje
 Lexikon
Hírlevél
Magazin
 Publikációk
 Háttér
 ITBN 2008
Szakértői rovatok
 Jogi háttér
 Elektronikus aláírás
 Fogyasztóvédelem
Letöltés
 Gyorsmentesítés
 Próbaverziók letöltése
Archívum
Ajánló
Hírlevél
Ha elsőként szeretne tudni a legfrissebb vírusokról és a védekezés módjáról, akkor iratkozzon fel ingyenes heti hírlevelelünkre!
Az Ön e-mail címe:
Főoldal > Vírusok és férgek Vírusleírások


Tanatos

Nyomtatható verzió Nyomtatható verzió

név / család / csoport Tanatos
névváltozatok W32/Bugbear, W32/Tanat, I-Worm.Tanatos
származás -
méret 50688 bájt
típus Retró, Féreg
terjedés e-mail melléklet
büntető rutin Trójai kémprogramként naplózza a begépelt szövegeket (jelszavakat) és lehetővé teszi, hogy távolról bejussanak gépünkre, majd azon keresztül a helyi hálózatra. Emellett megakadályozza a biztonsági szoftverek működését.
mentesíthetőség Igen (Segédprogram)
variánsok -
platform Windows
felfedezve 2002-09-30
eltávolítás Az F-Secure és Kaspersky Anti-Virus programok a 2002. szeptember 30-i esti adatállományokkal már felismerik és képesek eltávolítani.
megjegyzés I-Worm.Bugbear

Egy újonnan megjelent, jelentős képességekkel rendelkező e-mail féregvírus terjed szabadon az Interneten, többek közt Angliából és Oroszországból érkeztek jelentések a "Tanatos / Bugbear" nevet kapott kártevő okozta fertőzésekről. Az F-Secure cég és a Kaspersky Labs is jelentősnek ítélte a vírus okozta lehetséges károkat, és azonnal közreadták a riasztást, a vírus leírását, valamint a rendkívüli vírusadatbázis frissítést.

A Tanatos beépített trójai (kémprogram) lehetőségekkel rendelkezik, többek között a begépelt szöveget (jelszavakat!) naplózza. Mérete csak 50688 bájt, mert a kb. 450KB-os, eredetileg C forrásnyelven íródott kódot a vírus készítői UPX-szel már előre tömörítették. Így a féregvírus könnyen terjedhet levelek mellékleteként, véletlenszerű fájlneveket használva. Megtévesztés céljából több kiterjesztése is lehet a fertőzött fájlnak, így az igazi típus Windows alatt alapesetben el van rejtve. A levelek tárgysora és törzse (szövege) is változó, így nem nyújt igazi segítséget a szűréshez.

A víruskód a közismert I-Frame.exploit Microsoft-os böngészőhiba felhasználásával megpróbál automatikusan lefutni az Outlook / Outlook Express levelezőrendszerek betekintő ablakában, mert ez nagyon hatékony módszer a vírusok terjedésére. Ezért javasoljuk, hogy telepítsenek / frissítsenek IE biztonsági javítást Windows rendszerükön, lásd:
http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp

Ha a Tanatos féreg bejutott a gépre, változó néveken (pl. JFMV.EXE) másolja be magát a Windows rendszerkönyvtárba és létrehozza az őt rendszerindításkor lefuttató registry bejegyzést:
HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ RunOnce

Ugyancsak telepítésre kerül egy kém-komponens, amely a billentyű-leütéseinket naplózza, a neve is bármi lehet (pl. ZLQPUPP.DLL). Két másik, a Tanatos által létrehozott DLL állomány funkciója még nem ismert közelebbről, ezekben kódolt adatok vannak. További két fájl (.DAT típusúak) a Windows gyökérkönyvtárába kerülnek.

A kártevő megpróbál vérfürdőt rendezni a gépünkre telepített biztonsági szoftverek között, ha megtalálja őket, letiltja az alábbi komponensek működését a memóriában:
_AVP32.EXE, _AVPCC.EXE, _AVPM.EXE, ACKWIN32.EXE, ANTI-TROJAN.EXE, APVXDWIN.EXE, AUTODOWN.EXE, AVCONSOL.EXE, AVE32.EXE, AVGCTRL.EXE, AVKSERV.EXE, AVNT.EXE, AVP.EXE, AVP32.EXE, AVPCC.EXE, AVPDOS32.EXE, AVPM.EXE, AVPTC32.EXE, AVPUPD.EXE, AVSCHED32.EXE, AVWIN95.EXE, AVWUPD32.EXE, BLACKD.EXE, BLACKICE.EXE, CFIADMIN.EXE, CFIAUDIT.EXE, CFINET.EXE, CFINET32.EXE, CLAW95.EXE, CLAW95CF.EXE, CLEANER.EXE, CLEANER3.EXE, DVP95.EXE, DVP95_0.EXE, ECENGINE.EXE, ESAFE.EXE, ESPWATCH.EXE, FAGNT95.EXE, FPROT.EXE, FPROT95.EXE, F-STOPW.EXE, FINDVIRU.EXE, FP-WIN.EXE, FPROT.EXE, FRW.EXE, IAMAPP.EXE, IAMSERV.EXE, IBMASN.EXE, IBMAVSP.EXE, ICLOAD95.EXE, ICLOADNT.EXE, ICMON.EXE, ICSUPP95.EXE, ICSUPPNT.EXE, IFACE.EXE, IOMON98.EXE, JEDI.EXE, LOCKDOWN2000.EXE, LOOKOUT.EXE, LUALL.EXE, MOOLIVE.EXE, MPFTRAY.EXE, N32SCANW.EXE, NAVAPW32.EXE, NAVLU32.EXE, NAVNT.EXE, NAVW32.EXE, NAVWNT.EXE, NISUM.EXE, NMAIN.EXE, NORMIST.EXE, NUPGRADE.EXE, NVC95.EXE, OUTPOST.EXE, PADMIN.EXE, PAVCL.EXE, PAVSCHED.EXE, PAVW.EXE, PCCWIN98.EXE, PCFWALLICON.EXE, PERSFW.EXE, RAV7.EXE, RAV7WIN.EXE, RESCUE.EXE, SAFEWEB.EXE, SCAN32.EXE, SCAN95.EXE, SCANPM.EXE, SCRSCAN.EXE, SERV95.EXE, SMC.EXE, SPHINX.EXE, SWEEP95.EXE, TBSCAN.EXE, TCA.EXE, TDS2-98.EXE, TDS2-NT.EXE, VET95.EXE, VETTRAY.EXE, VSCAN40.EXE, VSECOMR.EXE, VSHWIN32.EXE, VSSTAT.EXE, WEBSCANX.EXE, WFINDV32.EXE, ZONEALARM.EXE

Így ha víruskeresőnk adatállománya a fertőzési kísérlet pillanatában régi volt, és még nem ismerte a Tanatos-t, akkor a gép megfertőződhet és ezután az internetes féreg a víruskereső kikapcsolásával utat nyithat akár a régebbi kártevők bejutása előtt is. Ezért fontos, hogy mihamarabb adatbázist frissítsünk, és ezt a tevékenységet rendszeresen végezzük (állandó net-kapcsolat esetén akár naponta többször javasolt frissíteni).

A trójai komponens a 36794-es TCP porton hallgatózik, és lehetővé teszi, hogy távolról bejussanak gépünkre, majd azon keresztül a helyi hálózatra, amelyre kapcsolódik. A Tanatos internetes féreg ehhez egyszerűen kezelhető webes felületet kínál, ezért veszélyes fegyver lehet kevésbé képzett hacker-ek (script kiddie) kezében is.

Jelenlegi ismereteink szerint valamilyen okból (szándékos mellékhatásként vagy a vírusíró valamilyen programozási hibája miatt) a hálózati terjedési részben a féreg elküldi saját másolatát a megosztott hálózati nyomtatókra is - ami nagy mennyiségű papír és festék-kazetta elpazarlását eredményezheti.




Partnerünk

Kérdés / Vélemény | GYIK | Sitemap | Impresszum | Jogi feltételek        2004-2011 © Vírushiradó -- 2F 2000 Kft. - Az információ védelmében.