Газета InfoSecurity

Последний номер

Архив номеров

На главную 

   
Число
подписчиков


 Рассылка 'Информационная Безопасность: Проблемы, Методы, Решения'
 Сетевая газета InfoSecurity.ru 15 июля 2010 г. 

Новый USB-троян обладает легальной подписью

  Эксперты антивирусной компании из Белоруссии «ВирусБлокАда» сообщили об обнаружении новой троянской программы, имеющей две необычные отличительные особенности. Во-первых, она распространяется через USB-накопители новым способом, а во-вторых, вредонос имеет легальную цифровую подпись компании Realtek.

  Традиционный способ распространения Windows-вирусов через флешки использует файл автозапуска autorun.inf. Таким умением, к примеру, обладает великий и ужасный Conficker, который уже второй год то и дело устраивает переполохи в различных локальных сетях.

  Новый же троянец использует уязвимость в обработке lnk-файлов, то есть файлов-ярлыков. Как сообщают белорусские специалисты, «пользователю достаточно открыть инфицированный накопитель в Microsoft Explorer или в любом другом файловом менеджере, который умеет отображать иконки в lnk-файлах (к примеру, Total Commander), чтобы произошло заражение системы, и вредоносная программа получила управление».

Строчки из кода трояна осуществляющего заражение флешек

  При заражении компьютера в систему внедряются два sys-файла, которые призваны скрывать присутствие заражённых файлов в системе и на сменном накопителе. Особенность этих «драйверов» состоит в том, что они подписаны цифровой подписью компании Realtek Semiconductor Corp.

  Эксперт «Лаборатории Касперского» Александр Гостев проверил эту подпись на сайте Verisign и выяснил, что такой сертификат действительно был выдан на имя Realtek. Однако этот сертификат перестал действовать 12 июня. Примерно тогда же, 17 июня, вредонос впервые попал в поле зрения специалистов «ВирусБлокАда». Между тем, вредоносные файлы были подписаны ещё 25 января, в связи с чем Гостев высказывает гипотезу, что именно из-за этой подписи вирус «столь долгое время был „невидим“ для антивирусных решений».

Проверка подписи насайте Verisign показала: cертификат абсолютно легален и выдан на имя Realtek

  «Все эти факты указывают на то, что в данном случае мы имеем дело с ситуацией, когда действительно кто-то обладающий возможностью подписывать файлы подписью от Realtek — сделал это: подписал троянца», — считает Гостев.

  Эксперт «Лаборатории Касперского» не взялся строить более конкретные предположения на этот счёт, но, очевидно, имеется два наиболее вероятных варианта: либо у вирусописателей имеется или имелся инсайдер в Realtek, либо они ухитрились пролезть в компьютерную сеть компании. Точнее может сказать только расследование при участии Realtek, однако здесь пока не отреагировали на уведомление, отправленное им специалистами «ВирусБлокАда».

  Что до уязвимости в обработке lnk-файлов, то Гостев также не исключает, что «это не баг, это фича», как было и в случае с AutoRun. Microsoft также получил извещение о проблеме, так что, «вероятно, в ближайшие дни мы узнаем истину», говорит Гостев.

  В «Лаборатории Касперского» новый троянец получил название Stuxnet.

Источник: Вебпланета


      Рейтинг@Mail.ru       Rambler's Top100 Rambler's Top100