A rendkívül összetett és gyorsan terjedő Win32/Conficker.A az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségére épít, így a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját.

A Microsoft már októberben kiadta az MS08-67 biztonsági javítócsomagot, amely megszünteti a rendszer sebezhetőségét, a vírus terjedése ugyanakkor jelzi, hogy a felhasználók jelentős része nem frissíti az operációs rendszerét.

„A felhasználók gyakran figyelmen kívül hagyják a szoftverfejlesztők figyelmeztetéseit, amelyek a biztonsági frissítések fontosságára vonatkoznak. Egyes becslések szerint a számítógépek egyharmada egyáltalán nincs frissítve, sok vírusíró éppen erre épít” - mondta Csiszér Béla, az ESET kizárólagos hazai képviseletét ellátó Sicontact Kft. ügyvezetője.

A sebezhetőség kihasználása mellett a Conficker az automatikus futtatási lehetőség segítségével is terjed. A kártevők készítői felismerték a hordozható eszközök - például MP3 lejátszók - fokozódó népszerűségében rejlő lehetőségeket, és olyan károkozókat készítenek, melyek az eszköz csatlakoztatásakor automatikusan elindítják magukat. A Conficker is képes magát ezekre az eszközökre másolni, az autorun.inf fájl felhasználásával pedig különböző kártékony kódokat futtat le.

A féreg emellett egy hálózatra kerülve szótár alapú támadást indíthat a gyenge admin jelszavak ellen, feltörve az olyan gyakran használt szókombinációkat, mint a „123”, az „admin” vagy a „pass”. Így a fertőzés következményeinek kivédésében nagy szerep jut az erős jelszavak használatának.

Mindent összevetve a Conficker nem okozott itthon tömegjárványt, bár igaz, hogy évek óta nem volt példa ilyen erőteljes víruskitörésre. Ennek oka, hogy a kártevő gyorsan mutálódik, így előfordulhat, hogy egyes új variánsait az antivírus programok nem ismerik fel. Az ESET szoftverei az elsők között voltak képesek a kártevő detektálására, a cég víruslaboratóriumának szakemberei pedig olyan ingyenes eltávolító eszközt készítettek, mely az esetlegesen bekövetkező fertőzés után is képes maradéktalanul megtisztítani a számítógépeket.

Ugyan az ESET Magyarországra vonatkozó statisztikái szerint a vírustoplista első három helyén nem volt változás, a sereghajtók közt a Conficker erősödése mellett más átrendeződés is történt. Az 5. helyet egy korábban már sok fejtörést okozó trójai, a Swizzor foglalta el, mely többnyire reklámprogramokat jelenít meg a fertőzött számítógépeken.

Végül következzen a magyarországi toplista. Az ESET statisztikai rendszere szerint 2009 januárjában az alábbi 10 károkozó terjedt a legnagyobb számban, melyek együttesen az összes fertőzés 34,17%-áért voltak felelősek:

1. WMA/TrojanDownloader.GetCodec.Gen trójai - Elterjedtsége a januári fertőzések között: 8,22%

Működés: Számos olyan csalárd módszer létezik, melynél a kártékony kódok letöltésére úgy veszik rá a gyanútlan felhasználót, hogy ingyenes és hasznosnak tűnő alkalmazást kínálnak fel neki letöltésre és telepítésre. Az ingyenes MP3 zenéket ígérő program mellékhatásként azonban különféle kártékony komponenseket telepít a Program FilesVisualTools mappába, és ezekhez tucatnyi Registry bejegyzést is létrehoz. Telepítése közben és utána is kéretlen reklámablakokat jelenít meg a számítógépen.

2. Win32/Adware.Virtumonde alkalmazás - Elterjedtsége a januári fertőzések között: 6,76%

Működés: A Virtumonde (Vundo) program a kéretlen alkalmazások (Potentially Unwanted) kategóriájába esik az ESET besorolása szerint. A károkozó elsődleges célja kéretlen reklámok letöltése a számítógépre. Működés közben megkísérel további kártékony komponenseket, trójai programokat letöltő webcímekre csatlakozni. Futása közben különféle felnyíló ablakokat jelenít meg. A Win32/Adware.Virtumonde trójai a Windows System32 mappájában véletlenszerűen generált nevű fájl(oka)t hoz létre.

3. INF/Autorun vírus - Elterjedtsége a januári fertőzések között: 5,66%

Működés: INF/Autorun egyfajta gyűjtőneve az autorun.inf automatikus programfuttató fájlt használó kórokozóknak. A kártevő fertőzésének egyik jele, hogy a számítógép működése drasztikusan lelassul.

4. Win32/Conficker.A féreg - Elterjedtsége a januári fertőzések között: 3,42%

Működés: A Win32/Conficker egy olyan hálózati féreg, amely a Microsoft Windows legfrissebb biztonsági hibáját kihasználó exploit kóddal terjed. Az RPC (Remote Procedure Call), vagyis a távoli eljáráshívással kapcsolatos sebezhetőségre építve a távoli támadó megfelelő jogosultság nélkül hajthatja végre az akcióját. A Conficker először betölt egy DLL fájlt az SVCHost eljáráson keresztül, majd távoli szerverekkel lép kapcsolatba, hogy onnan további kártékony kódokat töltsön le.

5. Win32/TrojanDownloader.Swizzor trójai - Elterjedtsége a januári fertőzések között: 2,34%

Működés: A Trojan.Downloader.Swizzor egy olyan kártevő, melynek segítségével további kártékony állományokat másolnak a támadók a fertőzött számítógépre. Többnyire reklámprogramokat töltöget le és telepít. A Swizzor terjedéséhez a hiszékenységet is kihasználja: olyan programokba szokták rejteni, amely látszólag peer 2 peer hálózatok sebességét (pl. Torrent) optimalizálja, azonban valójában maga a kártevő lapul a „csomagban”. Ha a Documents and SettingsUserApplication mappán belül találunk egy „DVDAUDIO” könyvtárat, az is árulkodó jel lehet.

6. Win32/Toolbar.MyWebSearch alkalmazás - Elterjedtsége a januári fertőzések között: 2,15%

Működés: Internet Explorer és Firefox alatt működő keresőszolgáltatás, amely kéretlenül reklámprogramokat helyez el a PC-n. Telepítésekor számtalan kulcsot módosít a rendszerleíró-adatbázisban, és kéretlen reklámokat jelenít meg az adott számítógépen. Az alkalmazás figyeli a felhasználó böngészési szokásait, és adatokat gyűjt ezekről, de működésével lassítja a számítógépet is. Ezenkívül megváltoztatja a böngésző kereséssel kapcsolatos beállításait és az alapértelmezett kezdőlapot is.

7. Win32/VB.EL féreg - Elterjedtsége a januári fertőzések között: 1,65%

Működés: A VB.EL (vagy más néven VBWorm, SillyFDC) féreg hordozható adattárolókon és hálózati meghajtókon képes terjedni. Fertőzés esetén megkísérel további káros kódokat letölteni a 123a321a.com oldalról. Automatikus lefuttatásához módosítja a Windows Registry HKLM,SOFTWAREMicrosoftWindowsCurrentVersionRun bejegyzését is. Árulkodó jel lehet a sal.xls.exe állomány megjelenése a C: és minden további hálózati meghajtó főkönyvtárában.

8. Win32/Agent trójai - Elterjedtsége a januári fertőzések között: 1,57%

Működés: Ezzel a gyűjtőnévvel azokat a rosszindulatú kódokat jelöljük, amelyek a felhasználók információit lopják el. Jellemzően ez a kártevőcsalád mindig ideiglenes helyekre (Temporary mappa) másolja magát, majd a rendszerleíró-adatbázisban elhelyezett Registry kulcsokkal gondoskodik arról, hogy minden rendszerindításkor lefuttassa saját kódját. A létrehozott állományokat jellemzően .dat illetve .exe kiterjesztéssel hozza létre.

9. Win32/PSW.OnLineGames.NMY trójai - Elterjedtsége a januári fertőzések között: 1,42%

Működés: Ez a kártevőcsalád olyan trójai programokból áll, amely billentyűleütés-naplózót (keylogger) igyekszik gépünkre telepíteni. Gyakran rootkit komponense is van, amelynek segítségével igyekszik állományait, illetve működését a fertőzött számítógépen leplezni, eltüntetni. Ténykedése jellemzően az online játékok jelszavainak begyűjtésére, ezek ellopására és a jelszó adatok titokban való továbbküldésére fókuszál. A távoli támadó ezzel a módszerrel jelentős mennyiségű lopott jelszóhoz juthat hozzá, amelyet aztán alvilági csatornákon továbbértékesítenek.

10. Win32/CMDOW.143 alkalmazás - Elterjedtsége a januári fertőzések között: 0,98%

Működés: A cmdow.exe állományra sok antivírus program nem jelez, hiszen nem vírusról, hanem egy hacker eszközről van szó. A Cmdow egy olyan parancssori segédprogram, melynek segítségével Windows NT4/2K/XP/2003 rendszereken kilistázhatjuk, átmozgathatjuk, átméretezhetjük, átnevezhetjük, elrejthetjük vagy ismét láthatóvá tehetjük, minimalizálhatjuk vagy kinagyíthatjuk, helyreállíthatjuk, aktiválhatjuk, illetve inaktiválhatjuk, továbbá bezárhatjuk, leállíthatjuk az ablakokat. Az eredeti cmdow alkalmazás egy 31 KB-os végrehajtható fájl, amely nem ír a rendszerleíró-adatbázisba, nem igényel külön telepítést, elég lefuttatni. Eltávolításához elegendő ezt az állományt törölni.