"You've received a greeting ecard ( postcard )" - czyli szkodnik w pocztówce

Od przynajmniej miesiąca nasze skrzynki pocztowe zasypuje spam, z którego wynika, że ktoś był na tyle miły, by przysłać nam elektroniczną pocztówkę. Niektóre filtry nauczyły się już wychwytywać te wiadomości, jednak rosnąca liczba przychodzących e-maili sugeruje, iż wiele osób daje się nabrać na fałszywe e-kartki. Jeśli i ty postanowiłeś kliknąć w odsyłacz prowadzący jakoby do życzeń, powinieneś zacząć się martwić. Twój komputer mógł się stać zombie, które zasypuje innym internautom skrzynki albo uczestniczy w atakach DDoS. Niezbyt miła wiadomość, prawda?

"You've received a greeting ecard ( postcard )" - czyli szkodnik w pocztówce

Tylko dziś autor tego tekstu dostał pięć e-maili z informacją, że ktoś przygotował dla niego elektroniczną pocztówkę. Sądząc po adresach IP w nagłówkach, jeden przyszedł z Afryki, trzy z bliżej nieokreślonego kierunku i jeden z Francji. W początkowym okresie były to najwyżej trzy e-maile dziennie, co pozwala nam sądzić, że - mimo licznych ostrzeżeń firm produkujących oprogramowanie antywirusowe oraz portali z branży IT - ciągle zdarzają się użytkownicy, którzy wierzą w anonimowe elektroniczne pocztówki.

Obraz
© Typowa wiadomość z informacją o pocztówce

Postanowiliśmy sprawdzić, co tak naprawdę może spotkać naiwnego użytkownika. Naszym poligonem doświadczalnym był komputer z Windows XP Professional SP2, Internet Explorerem 7 oraz niemal wszystkimi łatami bezpieczeństwa dostępnymi na dzień testu ( dwie ostatnie właśnie się instalowały ).

Pierwsze kroki

Po uruchomieniu systemu, wystartowaliśmy przeglądarkę internetową ( IE7 ) i wpisaliśmy w niej adres z e-maila. Aplikacja poprosiła nas o zainstalowanie dwóch formantów ActiveX o nazwie _ Microsoft Data Access - Remote Data Services Data Control _ oraz _ Zawartość Shell WebView i biblioteka formantów _.

Obraz
© Ecard.exe - wyłączyłeś JavaScript? W takim razie musisz zarazić się sam

Rozsądnemu użytkownikowi już w tym momencie powinno zapalić się czerwone, ostrzegawcze światełko. Odwiedzając witrynę, która nie legitymuje się żadnym sensownym adresem ( np. www.pcworld.pl, www.google.pl, www.microsoft.pl itd. ), a zamiast tego przedstawia się jako IP ( http://130.11.32.12 itd. ), należy zachować daleko idącą ostrożność i w żadnym wypadku nie wolno jej pozwolić na instalowanie w systemie dodatków.

Zaskoczenie

Po zainstalowaniu dodatków nadszedł moment na najważniejszy krok: na uruchomienie pliku EXE. Mimo naszej delikatnej pomocy, ecard.exe nie potrafił załadować się do pamięci wykorzystując luki w przeglądarce - ani w Operze, ani w Firefoksie, ani w IE. Istnieją ponoć jednak wersje, które _ potrafią odnaleźć starą dziurę w aplikacjach Mozilli, Opera Software i Microsoftu, by zainfekować system bez udziału użytkownika _.

Plik ecard.exe nas zaskoczył. Zamiast wywoływać pożar, spowodował restart komputera. Zaczęliśmy się zastanawiać, co może być przyczyną problemu. Najbardziej prawdopodobne okazały się dwie hipotezy:
1 ) aplikacja jest napisana na tyle źle, że nie działa na wielu typowych komputerach,
2 ) aplikacja jest napisana na tyle dobrze, że potrafi wykryć przynajmniej niektóre wirtualne maszyny.

Tutaj drobne wyjaśnienie: aby uniknąć masowo rozprzestrzeniającej się infekcji, zarażaliśmy Windows XP zainstalowane na wirtualnej maszynie VMware Workstation uruchomionej wewnątrz Visty. Skłanialiśmy się do hipotezy numer 1 - widzieliśmy już setki źle napisanych wirusów, które zamiast formatować dyski i po cichu instalować rootkity, powodowały wystąpienie krytycznych błędów - ale na wszelki wypadek zdecydowaliśmy się na sprawdzenie również drugiej opcji. Uznaliśmy, że jeśli ecard.exe jest aż tak dobry, by rozpoznawać wirtualne maszyny, na pewno zaimplementowano w nim również "obsługę" MS Virtual PC 2007.

Niebywałe - rozpoznał! Efekt był identyczny jak w wypadku VMware, tuż po uruchomieniu pliku wykonywalnego wirtualna maszyna się zrestartowała.

Na szczęście po kilku próbach z różnymi pocztówkami udało nam się znaleźć ecard.exe, który nie powodował ponownego uruchomienia ani VMware Workstation, ani VirtualPC.

Zabawa w pożar

Przed uruchomieniem trzeciej czy czwartej z kolei aplikacji postanowiliśmy się zabezpieczyć. Oprócz Process Explorera - http://www.idg.pl/ftp/pc_3614/process.explorer.8.4.html i TCPView - http://www.pcworld.pl/porada/85006.html przycięliśmy łącze między wirtualną maszyną a Internetem oraz uruchomiliśmy na maszynie-gospodarzu ( wewnątrz niej działał Windows XP ) Wiresharka - http://www.idg.pl/artykuly/53872_1.html.

_ Process Explorer miał za zadanie pokazać nam uruchamiające się w tle programy. TCPView wyświetlał wszystkie połączenia. Wireshark pozwalał nam na przechwycenie i analizę pakietów przesyłanych między wirtualną maszyną a Internetem. _

Po załadowaniu ecard.exe udało nam się zaobserwować, że program natychmiast deaktywował zaporę ogniową ( system poinformował o tym wyświetlając dymek ) i połączył się z adresem 66.148.74.35, gdzie pobrał kolejny plik EXE i załadował go do pamięci po uprzednim rozpakowaniu.

W oknie TCPView zauważyliśmy "eksplozję" plików uruchamiających się przez plik services.exe ( ładujący w systemie usługi ) i łączący się z kolejnymi komputerami-zombie. W ciągu pięciu sekund nasza maszyna uruchomiła kilkanaście połączeń, a kolejnych kilka nawiązywała i zrywała.

Efekt? Oprócz dymków ostrzegających o wyłączonej zaporze system lekko zwolnił, a zamontowany na procesorze wiatrak przyspieszył. Nie był to jednak efekt przeszkadzający w normalnej pracy - bardzo zajęty sobą użytkownik nie zauważyłby problemu. A już na pewno nie zdołałby dostrzec, że w katalogu Windows pojawiły się dwa pliki: windev-peers.ini oraz windev-[osiem_znaków].sys.

Koniec eksperymentu

Postanowiliśmy, że 60 sekund po infekcji odetniemy wirtualnej maszynie dostęp do Internetu blokując połączenia na poziomie VMware. Zrobiliśmy to. Jednak przeglądając później logi byliśmy zaskoczeni, ile Nuwar zdołał osiągnąć:
- czas maszyny został zsynchronizowany ( przestawiony - późnił się o ok. 10 minut ); z pewnością ułatwia to operatorom sieci przeprowadzenie dobrze skoordynowanych ataków,
- na trzy adresy e-mail zgromadzone w książce adresowej Outlook Expressa zostały wysłane wiadomości informujące o, oczywiście, elektronicznej pocztówce czekającej na odbiorcę na komputerze w Niemczech.
- robak podtrzymywał połączenia z 10-15 maszynami z całego świata stanowiącymi prawdopodobnie fragment dużo większego botnetu.

Wystarczyło 60 sekund...

Zamiast zakończenia

Nie należy powtarzać opisywanych w artykule eksperymentów. Jeśli zdarzyło ci się otworzyć wirtualną pocztówkę, pobierz ostatnie sygnatury w programie antywirusowym lub zdecyduj się na całkowite odświeżenie ( ponowną instalację ) systemu operacyjnego.

Obraz
© System w stanie rozpadu. Na tym etapie pozostało nam odłączenie komputera od Sieci i zainstalowanie aktualnego antywirusa albo ręczne wydłubywanie Yodi/Nuwara z Windows

Na dzień 10.08.2007 większość popularnych programów antywirusów rozpoznaje "pocztówkę" jako robaka o nazwie Yodi, Peed, Peacomm, Nuwar lub Storm, w zależności od producenta. Jeśli uważasz, że twój komputer ciągle jest zarażony lub przynajmniej znajduje się w sieci zombie, uruchom program HijackThis i umieść logi ( wyniki działania aplikacji ) na Forum IDG.pl - http://forum.idg.pl/index.php?showforum=84. Na pewno znajdzie się ktoś, kto zechce ci pomóc.

No i zapamiętaj: nie odbieraj pocztówek od nieznajomych.

Źródło artykułu:PC World Komputer

Wybrane dla Ciebie

Komentarze (0)

Cenimy Twoją prywatność

Kliknij "AKCEPTUJĘ I PRZECHODZĘ DO SERWISU", aby wyrazić zgodę na korzystanie w Internecie z technologii automatycznego gromadzenia i wykorzystywania danych oraz na przetwarzanie Twoich danych osobowych przez Wirtualną Polskę, Zaufanych Partnerów IAB (869 partnerów) oraz pozostałych Zaufanych Partnerów (403 partnerów) a także udostępnienie przez nas ww. Zaufanym Partnerom przypisanych Ci identyfikatorów w celach marketingowych (w tym do zautomatyzowanego dopasowania reklam do Twoich zainteresowań i mierzenia ich skuteczności) i pozostałych, które wskazujemy poniżej. Możesz również podjąć decyzję w sprawie udzielenia zgody w ramach ustawień zaawansowanych.


Na podstawie udzielonej przez Ciebie zgody Wirtualna Polska, Zaufani Partnerzy IAB oraz pozostali Zaufani Partnerzy będą przetwarzać Twoje dane osobowe zbierane w Internecie (m.in. na serwisach partnerów e-commerce), w tym za pośrednictwem formularzy, takie jak: adresy IP, identyfikatory Twoich urządzeń i identyfikatory plików cookies oraz inne przypisane Ci identyfikatory i informacje o Twojej aktywności w Internecie. Dane te będą przetwarzane w celu: przechowywania informacji na urządzeniu lub dostępu do nich, wykorzystywania ograniczonych danych do wyboru reklam, tworzenia profili związanych z personalizacją reklam, wykorzystania profili do wyboru spersonalizowanych reklam, tworzenia profili z myślą o personalizacji treści, wykorzystywania profili w doborze spersonalizowanych treści, pomiaru wydajności reklam, pomiaru wydajności treści, poznawaniu odbiorców dzięki statystyce lub kombinacji danych z różnych źródeł, opracowywania i ulepszania usług, wykorzystywania ograniczonych danych do wyboru treści.


W ramach funkcji i funkcji specjalnych Wirtualna Polska może podejmować następujące działania:

  1. Dopasowanie i łączenie danych z innych źródeł
  2. Łączenie różnych urządzeń
  3. Identyfikacja urządzeń na podstawie informacji przesyłanych automatycznie
  4. Aktywne skanowanie charakterystyki urządzenia do celów identyfikacji

Cele przetwarzania Twoich danych przez Zaufanych Partnerów IAB oraz pozostałych Zaufanych Partnerów są następujące:

  1. Przechowywanie informacji na urządzeniu lub dostęp do nich
  2. Wykorzystywanie ograniczonych danych do wyboru reklam
  3. Tworzenie profili w celu spersonalizowanych reklam
  4. Wykorzystanie profili do wyboru spersonalizowanych reklam
  5. Tworzenie profili w celu personalizacji treści
  6. Wykorzystywanie profili w celu doboru spersonalizowanych treści
  7. Pomiar efektywności reklam
  8. Pomiar efektywności treści
  9. Rozumienie odbiorców dzięki statystyce lub kombinacji danych z różnych źródeł
  10. Rozwój i ulepszanie usług
  11. Wykorzystywanie ograniczonych danych do wyboru treści
  12. Zapewnienie bezpieczeństwa, zapobieganie oszustwom i naprawianie błędów
  13. Dostarczanie i prezentowanie reklam i treści
  14. Zapisanie decyzji dotyczących prywatności oraz informowanie o nich

W ramach funkcji i funkcji specjalnych nasi Zaufani Partnerzy IAB oraz pozostali Zaufani Partnerzy mogą podejmować następujące działania:

  1. Dopasowanie i łączenie danych z innych źródeł
  2. Łączenie różnych urządzeń
  3. Identyfikacja urządzeń na podstawie informacji przesyłanych automatycznie
  4. Aktywne skanowanie charakterystyki urządzenia do celów identyfikacji

Dla podjęcia powyższych działań nasi Zaufani Partnerzy IAB oraz pozostali Zaufani Partnerzy również potrzebują Twojej zgody, którą możesz udzielić poprzez kliknięcie w przycisk "AKCEPTUJĘ I PRZECHODZĘ DO SERWISU" lub podjąć decyzję w sprawie udzielenia zgody w ramach ustawień zaawansowanych.


Cele przetwarzania Twoich danych bez konieczności uzyskania Twojej zgody w oparciu o uzasadniony interes Wirtualnej Polski, Zaufanych Partnerów IAB oraz możliwość sprzeciwienia się takiemu przetwarzaniu znajdziesz w ustawieniach zaawansowanych.


Cele, cele specjalne, funkcje i funkcje specjalne przetwarzania szczegółowo opisujemy w ustawieniach zaawansowanych.


Serwisy partnerów e-commerce, z których możemy przetwarzać Twoje dane osobowe na podstawie udzielonej przez Ciebie zgody znajdziesz tutaj.


Zgoda jest dobrowolna i możesz ją w dowolnym momencie wycofać wywołując ponownie okno z ustawieniami poprzez kliknięcie w link "Ustawienia prywatności" znajdujący się w stopce każdego serwisu.


Pamiętaj, że udzielając zgody Twoje dane będą mogły być przekazywane do naszych Zaufanych Partnerów z państw trzecich tj. z państw spoza Europejskiego Obszaru Gospodarczego.


Masz prawo żądania dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia przetwarzania danych, złożenia sprzeciwu, złożenia skargi do organu nadzorczego na zasadach określonych w polityce prywatności.


Korzystanie z witryny bez zmiany ustawień Twojej przeglądarki oznacza, że pliki cookies będą umieszczane w Twoim urządzeniu końcowym. W celu zmiany ustawień prywatności możesz kliknąć w link Ustawienia zaawansowane lub "Ustawienia prywatności" znajdujący się w stopce każdego serwisu w ramach których będziesz mógł udzielić, odwołać zgodę lub w inny sposób zarządzać swoimi wyborami. Szczegółowe informacje na temat przetwarzania Twoich danych osobowych znajdziesz w polityce prywatności.