- először közöl magyar vonatkozású adatokat a Sunbelt -
Több mint egy éve már, hogy az amerikai Sunbelt Software kutatócsoportja által készített kémprogram-toplistát Magyarországon is közzéteszi a szoftvercég hazai képviselete. A Sunbelt Threat Research Center a világ valamennyi fertőzését figyeli a CounterSpy kémprogram-eltávolító által küldött automatikus visszajelzésből, ami teljes képet nyújt a glóbuszon keletkező trójaiak, kém- és reklámprogramok, jelszólopó alkalmazások tevékenységéről. A magyarországi tendenciákról viszont eddig még nem álltak rendelkezésre hivatalos adatok, így a Sunbelt képviselet magyar vonatkozásban csak a CounterSpy-t alkalmazó cégek rendszergazdáinak visszajelzése alapján ismerte meg a hazai tendenciákat. Ezentúl viszont a magyar IP címek alapján immár a Research Center pontos információkat biztosít a hazai fertőzésekről, amelyeket minden hónap elején közzétesz a hazai forgalmazó, a Yellow Cube Kft.
„A magyar toplista mérföldkőnek számít, hiszen eddig egyetlen biztonsági szoftvergyártó sem tett közzé magyar vonatkozású kémprogram fertőzöttségi listát, amit a hazai cégek között végzett rendszeres felméréseinkkel is kiegészítünk.” – mondja Bódis Ákos, a Sunbelt magyarországi képviseletének ügyvezetője.
Nincs eltérés a magyar és a nemzetközi trendek között
Az előző hónap nemzetközi tendenciája után tartósnak bizonyul a trend: a kémprogramok és trójaiak okozta fertőzések száma csökken, s ezt a magyar vonatkozású adatok is megerősítik. Ez jórészt annak köszönhető, hogy a felhasználók továbbra is a vírusokat tekintik legfőbb biztonsági kockázatnak, így ma már az antivírus a legelterjedtebb biztonsági program, s az antivírus fejlesztők a legtöbb fertőzést okozó kémprogramokat felveszik adatbázisukba. Ennek következtében az antivírusok azonosítják a kémprogramok egy részét – ám számtalan kártevővel nem foglalkoznak. Így történhetett meg, hogy a Sunbelt magyarországi kémprogram toplistáján egy reklámprogram található az első helyen. Az Adware.NetAdware.Gen reklámprogram eltéríti a böngésző honlapját és kéretlen eszköztárat is telepít, amivel különböző ál-antivírusok és hamis kémprogram-eltávolító szoftverek megvásárolására próbálja rávenni a felhasználót. Vagyis nem titokban, hanem a felhasználó jóváhagyásával szeretne települni a számítógépre, így okozva még több fertőzést, hiszen a hamis biztonsági szoftverek további trójaiak letöltésére, illetve a valódi védelmet egyáltalán nem nyújtó programok megvásárlásra ösztönöznek.
A toplista második helyén ugyan még találunk egy trójait, a Trojan.FakeAlert-et, amely szintén hamis biztonsági riasztásokat produkál, ám a bronzérem ismét egy reklámprogramnak jutott: a Virtumonde különlegessége abban rejlik, hogy jól ismeri és alkalmazkodik a legtöbb kémprogram-eltávolító szoftver által alkalmazott módszerhez, a háttérben pedig összegyűjtött adatok – jelszavak, bankkártya-számok – elküldésére is képes. A másik bizonyítékot az antivírusok által csökkentett trójai fertőzések számára a toplista 4-10. helyezettjei adják: a fülöncsípett trójaiak helyét újabbak töltik be, ám régi ismerősök helyett olyan károkozók kerültek fel a legtöbb fertőzést okozók toplistájára, amelyek még eddig a top 100-ba sem kerültek be. Ilyen Trojan.Win32.Monder.Gen változata, a Trojan.Crypt.XPACK.Gen és a hátsó ajtót nyitó Backdoor.Win32.Small.lu. Mindez azt igazolja, hogy ha néhány hírhedt trójait blokkolunk, akkor több száz új fertőzés kerül a helyére, a megoldást pedig csak teljesértékű kémprogram védelem tudja biztosítani.
„Nem félünk attól, hogy a kémprogram toplistát át kell neveznünk reklámprogram-toplistának.” – mondja Bódis Ákos. „Biztos vagyok benne, hogy hamarosan újabb trójaiak és a nemzetközi porondon hódító rootkitek fognak felkerülni a toplista dobogójára.”
A legfertőzőbb kémprogramok és trójaiak 2008. júliusban Magyarországon:
1. Adware.NetAdware.Gen (reklámprogram)
A reklámprogram eltéríti a böngésző honlapját és kéretlen eszköztárat is telepít, amivel különböző ál-antivírusok és hamis kémprogram-eltávolító szoftverek megvásárolására próbálja rávenni a felhasználót. Az ál-antivírusok letöltése és telepítése további fertőzésekkel jár, a programok esetleges megvásárolásával pedig hasznos hitelkártya adatokat gyűjtenek be a bűnözők. Sajnos a kiadott hitelkártyát többször is leterhelik különböző, általában kisebb, néhány ezer forintos összegekkel, így a már megtörtént vásárlást követően a védekezésre a legjobb módszer a kiadott hitelkártya adatainak minél előbbi letiltása.
2. Trojan.FakeAlert (trójai)
A kémprogram tipikusan a tálcáról felugró tájékoztató ablakokban hívja fel a felhasználó figyelmét számítógépe fertőzöttségére, és megpróbálja rávenni a gyanútlan felhasználót különböző rosszindulatú, biztonsági programnak álcázott szoftverek, például ál-antivírusok feltelepítésére.
3. Virtumonde (reklámprogram)
A Virtumonde az egyik legnépesebb kémprogram-család, általában felugró ablakokban különböző kéretlen reklámokat jelenít meg, a háttérben pedig további károkozók letöltésére, egyes változatai pedig különböző módokon összegyűjtött felhasználói adatok elküldésére is képes. A fertőzést általában kifejezetten nehéz eltávolítani, és csak kevés kémprogram-eltávolító tudja teljesen megszüntetni. Az újabb Virtumonde variánsok több módszerrel is küzdenek a kémprogram-eltávolítók és a népszerű biztonsági szoftverek ellen.
4. Trojan-Downloader.Zlob.Media-Codec (trójai letöltő)
A káros alkalmazás általában felnőtt tartalmú honlapokon az egyes videók lejátszásához szükséges Windows Media Player bővítményként tünteti fel magát, valójában viszont további káros alkalmazásokat és kémprogramokat tölt le a felhasználó számítógépére. A Trojan-Downloader.Zlob.Media-Codec a háttérben letölt és feltelepít olyan rosszindulatú, biztonsági szoftvereknek álcázott kémprogramokat, mint a SpywareQuake, a SpyFalcon vagy a WinAntivirusPro, amik később újabb és újabb károkozók letöltéséhez vezetnek.
A Trojan-Downloader.Zlob.Media-Codec fertőzésnek olyan változata is ismert, ami hátsó ajtót nyit a felhasználó számítógépén, így a programírók távolról átvehetik az irányítást a számítógép felett, és azt különböző illegális tevékenységekre használhatják fel.
5. Trojan.Crypt.XPACK.Gen (trójai)
A Trojan.Crypt.XPACK károkozó elindulását követően számtalan helyen beépül az operációs rendszer mélyebb rétegeibe, majd rögtön megpróbál többféle Windows sebezhetőség kihasználásával a helyi hálózaton tovább terjedni. A lenyomott billentyűk naplózásával jelszavakat és személyes adatokat gyűjt, míg a háttérben több megvásárolt alkalmazás és játék licenckulcsát kigyűjti, és eljuttatja távoli gazdái számára. A kémprogram ezen felül további károkozók letöltésére és futtatására is alkalmas, így a bűnözők később tetszőleges feladatokra felhasználhatják a számítógép erőforrásait.
6. Backdoor.Win32.Small.lu (hátsó ajtó)
A hátsó ajtó futtatásával a számítógép távolról vezérelhetővé válik, a program egy internetes beszélgető csatornára (IRC) történő feljelentkezéssel fogad utasításokat közvetlenül a bűnözőktől. Az első futtatását követően a program Windows szolgáltatásként regisztrálja magát, így a számítógép jövőbeni újraindításai után a többi kiszolgáló-szolgáltatással együtt elindulva automatikusan újból kihasználhatóvá teszi a számítógépet.
7. Trojan.Win32.Monder.gen (trójai)
A Monder trójaihoz leggyakrabban illegálisan feltört programok mellé csatolva, vagy fájlcserélő hálózatokon letöltve juthatunk. A program a Windows rendszermappát különböző véletlenszerűen elnevezett DLL fájlokkal tölti meg, majd rendszerfolyamatokhoz kapcsolódva fut, ezért eltávolítása rendkívül nehéz. Működése során további kémprogramokat és károkozókat tölt le a számítógépre, amivel a számítógépet sokszor instabillá teszi, a Monder jelenléte ezért nem marad sokáig titokban.
8. Hotbar (böngésző eszköztár)
A böngészőbe kéretlenül beépülő eszköztár egy teljes, hasznosnak tűnő programcsomagot is feltelepít: időjárás jelentőt, asztali háttérkép letöltőt, Outlook Tools néven az Outlook levelezőkliensekbe beépülő modult és az internetes vásárlásokat „segítő” böngésző oldalsávot, ami vásárláskor a konkurencia reklámjait jeleníti meg a weboldal mellett. A program kézi eltávolítása nehézkes, többször próbálja a felhasználót lebeszélni a valós eltávolításról, és teljesen csak kémprogram-eltávolító használatával tüntethető el. Az eszköztár működése során megváltoztatja a böngésző kereső és saját honlap beállításait, böngészési beállításait, és gyűjtött adatokat jelent a böngészési és kommunikációs szokásokról.
9. Backdoor.Rbot (hátsó ajtó és rootkit)
A Backdoor.Rbot, nevének megfelelően tökéletes robotot varázsol a számítógépből, miután egy botnet (vagyis robot-hálózat) részeként a legkülönfélébb illegális tevékenységekben vehet részt. A botnetek felelősek a spam áradat jelentős részéért, míg hálózati támadásokra, kiszolgálók lebénítására vagy további károkozók terjesztésére is sokszor alkalmazzák őket.
Az Rbot variánsok sokféle feladat elvégzésére képesek, például a fertőzött számítógépen jelszavakat, szoftverlicenceket és egyéb személyes adatokat is össze tudnak gyűjteni, hogy azokat később átadják a bűnözők számára. Más Rbotok képesek antivírusokat kikapcsolni és csökkenteni a számítógép védettségét, míg legújabb változatai már az FU kernel-módú rootkitet felhasználva a Windows, a felhasználó és sok biztonsági szoftver számára is teljesen láthatatlanná válnak.
10. Trojan.NewMediaCodec (trójai)
A New Media Codec trójai alkalmazás a Zlob.Media-Codec családhoz hasonlóan Windows Media Player frissítésnek tünteti fel magát, és tipikusan felnőtt tartalmú videók lejátszásakor kér engedélyt a felhasználótól a „frissítés” elvégzésére. Telepítését követően a kérdéses videó általában megtekinthetővé válik, viszont a trójai alkalmazás a háttérben azonnal elkezd különböző kémprogramokat és további károkozókat letölteni a gyanútlan felhasználó számítógépére.
Bővebb információ a CounterSpy kémprogram-eltávolítóról
A Sunbelt Software-ről
Az 1994-ben alapított, amerikai székhelyű Sunbelt Software otthoni és vállalati IT biztonságtechnikai szoftverek vezető szállítója: portfóliója tűzfal és kémprogram-eltávolító termékektől a hálózatbiztonsági és rendszermenedzsment programokig terjed.
A Yellow Cube 2000. Kft.-ről
A Yellow Cube 2000. Kft. egyéni és vállalati ügyfeleknek fejleszt és kínál biztonságtechnikai szoftvereket, elsősorban spamszűrő és kémprogram-eltávolító termékeket. A cég a piacon egyedülállóként magyar nyelvű spamszűrő szoftvert fejleszt, továbbá a Sunbelt Software és a Message Partners termékeinek kizárólagos hazai disztribútoraként a biztonságtechnikai szoftverek széles választékát kínálja otthoni felhasználóktól a nagyvállalatokig.
