Az amerikai Sunbelt Software kutatócsoportja, a Sunbelt Threat Research Center 2009 augusztusában is megjelentette toplistáját a 2009 júliusa során legfertőzőbb kémprogramokról és számítógépes vírusokról.

A listát a Sunbelt szakemberei a VIPRE Antivirus + Antispyware vírusirtót használó és a Sunbelt ThreatNet™ káros alkalmazásokat regisztráló hálózatában résztvevő felhasználók automatikus visszajelzései alapján készítik. A kutatásban bárki részt vehet, aki használja a VIPRE antivírust, vagy az önálló védelmi rétegként is alkalmazható CounterSpy kémprogram-eltávolítót.

Számos új trójai – havi egymillió új kártevő
Nem csupán listavezető maradt, hanem jelentősen növelte is az általa okozott fertőzések arányát az immár két hónapja listavezető Trojan-Spy.Win32.Zbot: a kártevő internetes és netbanki belépési kódok és személyes adatok gyűjtésére „specializálta” magát, s az összes fertőzés több mint 8%-áért okolható.

A második helytől kezdve vadonatúj és újracsomagolt károkozókkal találkozhatunk a toplistán: a második helyre a Krap eljárást használó károkozók kerültek, ami egyértelműen jelzi, hogy jelenleg a Krap az alvilág kedvenc tömörítője (packer), melynek segítségével a bűnözők titkosítják és elrejtik régi és új károkozóik kódjait a vírusirtók és a víruselemzők elől.

A harmadik a Trojan.Win32.Tdss.aalc (v) károkozó család: ezek a trójaiak olyan kóddal fertőzik meg a felhasználó gépét, amely azután automatikusan kapcsolatba lép néhány weboldallal és további károkozókat, elsősorban további trójaiakat és károkozókat tölt le.

A negyedik helyen a Trojan.ASF.Wimad (v) található, amely terjedéséhez fertőzött Windows Media fájlokat alkalmaz. Ezeket a fájlokat a Windows Media Playerrel megnyitva a felhasználó böngészőjét kártevőket terjesztő oldalakra irányítja, amelyek vagy hamis biztonsági riasztást produkálnak és ál-antivírusok letöltésére buzdítanak, vagy további kártevőket töltenek le a háttérben.

Az ötödik helyen is egy újdonság található, a GameVance ingyenesnek hirdetett online játékokat kínál, cserébe pedig a felhasználó beleegyezését kéri pop-up reklámok megjelenítéséhez.

A hatodik helyre egy régi ismerős, a magát különféle videóformátumok lejátszásához szükséges kodek-csomagként feltüntető trójai letöltő, a Trojan-Downloader.Win32.CodecPack került fel, míg a hetedik helyre az elmúlt hónapban a második helyen tanyázó, az internetes névfeloldó (DNS) rendszer átirányításával manipuláló és ál-honlapokra irányító trójai program, a Trojan.DNSChanger esett vissza.

A nyolcadik helyen a korábban hónapokon át listavezető, a magát erotikus videók lejátszásához szükséges kodekként feltüntető Trojan-Downloader.Zlob.Media-Codec található, míg kilencedik lett a böngésző-eltérítő Explorer32.Hijacker.

A toplista utolsó helyére a PDF olvasókban rejlő Javascript sebezhetőségeket kihasználó fertőzött dokumentumok, az Exploit.PDF-JS károkozók jutottak fel. A toplistára felkerülő új károkozók nagy száma is igazolja az AV-Test.org szomorú statisztikáját: havonta immár közel 1,1 millió új elektronikus kártevő készül, ami új kihívások elé állítja a biztonsági programokat fejlesztő cégeket.

Ismét fertőzés-koncentráció
Ugyancsak a legtöbb fertőzést kiváltó károkozókkal kapcsolatos hír, hogy megtörve az elmúlt 7 hónap tendenciáját, egyre több fertőzésért egyre kevesebb károkozócsalád felelős.

Ez egyúttal azt is jelenti, hogy az óriási számú kártevő azonosításához egyre hatékonyabb módszereket kell alkalmazniuk a szakemberek, hiszen a napi kb. 33.000 új kártevő elemzése és kategorizálása fejlett és automatizált kódelemző rendszerek - mint például a júliusban megújult Sunbelt CWSandbox - nélkül lehetetlen feladatot jelent.

Ezzel párhuzamosan megfigyelhető, hogy újabb trendfordulóként a reklámprogramok a téli vásárlási szezontól távol, a nyár közepére háttérbe szorulnak: ismét nő a trójai alkalmazások, elsősorban a személyes, illetve banki adatokra utazó kártevők által okozott fertőzés, a 10-es toplistán 7 alkalmazás minősül klasszikus értelemben kémprogramnak.

Narancssárga riasztás a Microsoft és a Mozilla miatt
A Sunbelt Software egy négyfokozatú skálán méri a számítógépek biztonságát fenyegető elektronikus károkozók és a működésüket lehetővé tevő sebezhetőségek által jelentett együttes veszélyt.

Az éppen aktuális riasztási szint az elektronikus kártevők aktivitása, a kritikus sebezhetőségek, illetve vírus- és kémprogram-fertőzések száma alapján mutatja a felhasználókra leselkedő veszély nagyságát.

A rendszer a Conficker/Downadup januári megjelenése és tömeges elterjedésekor érte el utoljára a hármas, magas veszélyt jelentő szintet, azóta a megszokottnak tekinthető kettes, nyugalmi értéken állt.

Az elmúlt hónapban azonban ismét magas, hármas szintűre emelte a Sunbelt a riasztást, ezúttal a Microsoft Office Web komponensek és ActiveX vezérlők, valamint a 3.0.x verziószámú Firefox böngészők kritikus sérülékenységei miatt.

A redmondi cég több Office termékcsaládjában jelenlévő sérülékenység kihasználásához a támadónak mindössze egy speciálisan összeállított Excel dokumentumot kell egy honlapon elhelyeznie, aminek megtekintése során ugyanazokat a jogosultságokat szerezheti meg számítógép felett, mint a gép előtt ülő felhasználó.

Az ilyen módon létrejött távoli kódfuttatás segítségével tetszőleges károkozó elindítható, és a támadó átveheti az irányítást a PC-n, így akár botnetbe csatolhatja a gépet, vagy összegyűjtheti a merevlemezen található személyes adatokat.

A sérülékenység számos más Microsoft termék között az Office XP és Office 2003 felhasználóit érinti, viszont nem jelent veszélyt a 2007 Microsoft Office Suite SP1 és SP2 változatokkal rendelkező számítógépekre.

„Bármely szoftverfejlesztő cég termékei rejthetnek hasonló sérülékenységeket; minél többen használnak egy terméket, annál többen keresnek sérülékenységeket és annál nagyobb az esély a sikeres támadásra.” – mondja Bódis Ákos, a Sunbelt magyarországi képviseletének vezetője.

Éppen ezért jól látható, hogy önmagában a rendszergazdák által előszeretettel használt módszerek, az alkalmazások telepítésének korlátozására, valamint a megbízható alkalmazások engedélyezésére épülő biztonsági megoldások nem alkalmasak a vírus- és kémprogram-védelem kiváltására.

A Mozilla 3.0.x böngészők titkosított hálózati kapcsolatok (SSL) kezelésében rejlő banális programhibája miatt a támadó tetszőleges titkosított kapcsolatot megfigyelni és módosítani is képes, amiből a felhasználó semmit nem vesz észre.

Így elméletileg akár a banki tranzakciók megfigyelése és meghamisítása is lehetséges, ezért a Mozilla minden felhasználót sürget, hogy minél előbb frissítsenek a legújabb, a hibát már nem tartalmazó 3.5.1-es változatra.

A Sunbelt Software kutatólaborja az említett két kritikus támadási felületet alapján úgy ítélte meg, hogy a felhasználókra a szokásosnál jelentősen több veszély leselkedik, ezért magasabbra emelte a riasztási szintet.

A legtöbb fertőzést okozó elektronikus kártevők 2009 júliusa során:
1. Trojan-Spy.Win32.Zbot
2. Packed.Win32.Krap
3. Trojan.Win32.Tdss.aalc (v)
4. Trojan.ASF.Wimad (v)
5. GameVance
6. Trojan-Downloader.Win32.CodecPack
7. Trojan.DNSChanger
8. Trojan-Downloader.Zlob.Media-Codec
9. Explorer32.Hijacker
10. Exploit.PDF-JS