Worm.Win32.Stuxnet

Hlavní třída: VirWare

Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.

Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.

Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).

Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.

Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.

Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.

Viry lze rozdělit podle metody používané k infikování počítače:

souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.

Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.

Třída: Worm

Worms se šíří v počítačových sítích prostřednictvím síťových zdrojů. Na rozdíl od Net-Worms musí uživatel spustit Worm, aby mohl být aktivován.

Tento druh červa vyhledává vzdálené počítačové sítě a zkopíruje do adresářů, které jsou přístupné pro čtení a zápis (pokud zjistí nějaké). Navíc tito červi používají vestavěné funkce operačního systému k vyhledávání dostupných síťových adresářů a / nebo náhodně vyhledávají počítače na Internetu, připojují se k nim a snaží se získat plný přístup k diskům těchto počítačů.

Tato kategorie rovněž zahrnuje ty červy, které se z nějakého důvodu nezapadají do žádné z výše uvedených kategorií (např. Červy pro mobilní zařízení).

Platfoma: Win32

Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.

Popis

Použití ovladače:

 % System% driversmrxnet.sys 

Rootkit se připojí jako filtr ovladače k ​​následujícím uspořádáním souborového systému:

FileSystemntfsFileSystemfastfatFileSystemcdfs

a tím získá kontrolu nad souborovým systémem infikovaného počítače. Rootkit skrývá soubory s názvy, jako je tato:

 ~ WTR <rnd> .tmp 

kde <rnd> je náhodné čtyřmístné číslo, např .:

 ~ WTR4132.tmp~ WTR4141.tmp

Skrývá také soubory s příponou LNK a velikost souboru rovnající se 4171 bajtů. Soubor rootkit má digitální podpis společnosti Realtek Semiconductor Corp. Obsahuje následující řetězec:

b: myrtussrcobjfre_w2k_x86i386guava.pdb 

Použití ovladače:

 % System% driversmrxcls.sys 

Škodlivý program zavádí škodlivý kód do procesů uživatelského režimu. Chcete-li to provést, načte dynamickou knihovnu DLL do následujících systémových procesů:

svchost.exeservices.exelsass.exe

po kterých seznamy modulů obsahují knihovny se jmény, jako je tato:

kernel32.dll.aslr. <rnd>shell32.dll.aslr. <rnd>

kde <rnd> je náhodné hexadecimální číslo. Vložený kód se nachází v souboru:

 % WinDir% infoem7A.PNF 

v šifrované podobě.

Vložený kód obsahuje hlavní funkci škodlivého programu. To zahrnuje:

• Propagace prostřednictvím vyměnitelných médií.
• Monitorování provozu systému Siemens Step7. Chcete-li to provést, ovladač rootkit zavede svou knihovnu pro zprostředkovatele do procesu s7tgtopx.exe a nahradí původní s7otbxsx.dll, který napodobuje činnost následujících funkcí rozhraní API:

  s7_events7ag_bub_cycl_read_creates7ag_bub_read_vars7ag_bub_write_vars7ag_link_ins7ag_read_szls7ag_tests7blk_deletes7blk_findfirsts7blk_findnexts7blk_reads7blk_writes7db_closes7db_opens7ag_bub_read_var_segs7ag_bub_write_var_seg

  shromažďování různých informací o tom, jak funguje systém.
• Provedení požadavků SQL. Malware získá seznam počítačů v místní síti a zkontroluje, zda je některý z nich aktuálně spuštěn Microsoft SQL Server, který slouží k vizualizaci systému Siemens WinCC. Pokud je server detekován, malware se pokusí připojit k databázi pomocí uživatelského jména a hesla WinCCConnect / 2WSXcder (CVE-2010-2772), po kterém se pokusí získat informace o tabulkách, například:

  MCPTPROJECTMCPTVARIABLEDESCMCPVREADVARPERCON

• Shromažďuje informace ze souborů s následujícími rozšířeními:

  * .S7P* .MCP* .LDF

  Ty jsou vytvářeny systémem Siemens Step7. Vyhledávání souborů se provádí na celém pevném disku počítače.
• Odesílá shromážděné informace přes Internet na server škodlivého uživatele v zašifrované podobě.

Zobrazit více

Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com