USB eszközök okozzák a vírusos fertőzések 27%-át

A Panda Labs cég felmérte a kis- és középméretű vállalatok biztonságát. 20 országban műkődő 10470 cég vett részt a felmérésen, melynek során a következőket állapították meg:
- a malware fertőzések 30%-a USB portokon csatlakoztatott eszközökön történik
- a 2010-ben megjelent vírusok 25%-a úgy volt kialakítva, hogy USB-n keresztül terjedjenek
- a 2009-es év folyamán a vállalatok 40%-a könyvelt el legalább egy vírusos fertőzést

Ha eddig az e-mailen továbbított vírusos fertőzések száma jóval nagyobb volt, mint a pendriveokon vagy egyéb USB-n terjedő vírusos fertőzéseké, a kutatók szerint az utóbbiak megsokszorozódtak és hamarosan felülmúlják az előzőeket.

A legismertebb USB-n terjedő vírusok közé tartozik a Conficker, Stuxnet és a Downadup.

Ezen vírusok terjedését megkönnyíti az AutoRun funkcionalitás, mely lehetővé teszi a rosszindulatú kód futtatását a felhasználó tudta nélkül. A biztonsági fejlesztők már jó ideje hangoztatják az AutoRun jelentette veszélyeket és néhány eszközt is létrehoztak a kódok automatikus elindításának megakadályozására. Egy ilyen eszköz az Endpoint Protector által fejlesztett Autorun Disable, mellyel ki lehet kapcsolni az egyes hordozható tárolók (USB, CD/DVD és egyéb belső vagy külső tárolóeszközök) Autorun funkcióját az eszköz típusa vagy a különböző lemezek betűje szerint. A szoftver védelmet nyújt az Autorun.inf-ben rejtőző vírusok ellen és ingyenesen letölthető innen.

A tanulmány során arra a következtetésre lehet jutni, hogy a hackerek egyre inkább próbálkoznak a portok és high-tech eszközök használatával támadásokat kezdeményezni, ezért a vállalatok nagyobb figyelmmel kéne kövessék a hordozható eszközök használatát.

Conficker/Stuxnet terjedésének megakadályozása 4 egyszerű lépésben

Lehet már hallottátok, illetve olvastátatok, hogy a Stuxnet féreg (és Conficker) ámokfutás-szerűen terjed úgy a magán, mint a céges hálózatokban. Az leginkább pendriveokon, de más USB eszközökön is terjedő kártevők, mindig új fenyegetések forrását jelentik. A Stuxnet legújabb fejlesztése a zero day nevű sebezhetőséget használja ki, hogy megcélozza és ellenőrzése alá vegye az adatgyűjtő (Scada) és más ipari rendszereket. Ezek a rendszerek az iparban használt csővezetékek nyomását szabályozzák. Olajvezetékekre, erőművekre és gyárakra jellemző leginkább.

A Conficker/Stuxnet felismeri a telepített Scada rendszereket és a Windows egyik sebezhetőségét használja ki, hogy bejusson és elterjedjen a hálózatban (http://bits.blogs.nytimes.com/2010/09/24/malware-hits-computerized-industrial-equipment/). Figyelmbe véve a legújabb eseményeket és a vírusok USB meghajtókon és eszközökön való terjedését, CoSoSys, a végpont-védelmi és adatvesztés megelőzésére szakosodott fejlesztő, 4 lépésből álló könnyen végrehajtható stratégiát fejlesztett ki a Stuxnet ellen:

1) Tiltsátok le az autorun funkciót minden hordozható tárolóeszköz esetén. Ezt megtehetitek az Endpoint Protector Autorun Disable kis szoftverével, mely ingyenesen letölthető a http://download.cnet.com/AutoRun-Disable-by-Endpoint-Protector/3000-2239_4-75300368.html oldalról.

2) Blokkoljátok a hálózatban lévő számítógépek USB portjait és a csatlakoztatási felületeket. Erre több fajta végpont biztonsági megoldást lehet használni: Secure it Easyt, Endpoint Protectort vagy a felhő alapú My Endpoint Protectort, ami otthoni felahasználók számára ingyenes. Részletesebb tájékoztatás a fent említett megoldásokról itt olvasható http://www.endpointprotector.com/en/index.php/products/product_overview

3) Az antivírust tartsátok mindíg naprakészen

4) Töltsétek le mindig a legújabb Windows frissítéseket

Ha bármilyen kérdésetek van a Stuxnet féregről, hogyan terjed, hogyan lehet a terjedését megállítani (vagy más hasonló kártevőkről), lépjetek kapcsolatba az Endpoint Protector csapatával.

DHS jelentés a Conficker vírus megfékezésére irányuló globális erőfeszítésekről

DHS (Department of Homeland Security S.U.A.) egy hónap múlva egy jelentést fog közzétenni, melyben elemzi a legnagyobb kibernetikai bitonsági fenyegetésekre irányuló globális erőfeszítéseket.
A Conficker vírus 2008 novemberében kezdte el fertőzni a számítógépeket és jelenleg 4 és 7 millió közötti szémítógépen élősködik. Egy algoritmust használ, mely pontosan kiszámolja, hogy az Interneten hol találhatók az utasítások, melyeket végre kell hajtson.

Ahhoz, hogy megállítsák a vírus terjedését és minimalizálják negatív hatásait, a biztonság területén aktíváló magán szektor egy ad hoc munkacsoportot hozott létre. Bár a vírus későbbi változatai mind bonyolultabbak és nehezebben ellenőrízhetők lettek, a Conficker Working Group módszerei hatásosnak bizonyultak és a létrejött kapcsolatok modellként tekinthetők más hasonló fenyegetések esetén is. Az említett modell érvénybe lépett a Mariposa botnet megjelenésekor is, melyet nagyon rövid idő alatt megsemmisítettek és 6 hét után a letartóztatások is megtörténtek.
Bár jelenleg nem érezteti jelenlétét, a Conficker még mindíg létezik és jelentős károkat okozhat világviszonylatban. Conficker Working Group sikeresnek bizonyult a tanulási tapasztalat és a magán szektor együttműkődésének szempontjából, ha nem is érte el végső célját, hogy egészen kiölje a vírust.
A tagok szerint a csoportnak nem volt hierarchikus felépítése vagy hivatalos vezetője, hanem mindenki a közös jóért dolgozott. Mára, a Conficker Working Group tevékenysége nem annyira intenzív, de azért vannak találkozók és heti webkonferenciák, melyek célja a vírus megjelnéséért felelős személyek azonosítása, valamint megoldást találni a vírus ellenőrzésére.

Conficker/Down

Másnévem downup, olyan vírus, amelyet biztos senki sem szeretne megtalálni a hálozatában, amikor az antivírus segítégével szkenneli a számítógépeket. SANS szerint, a legfontosabb és legismertebb IT biztonsági training-eket szolgáltató cég, az utóbbi 6 hónapban a Conficker féreg vagy annak változatai a buffer overflow támadások 90%-áért felelős, írja a Microsoft MS O8-O67 biztonsági közleményében. A wikipédia szerint a vírus kb. 10 millió számítógépen van jelen, több mint 200 országban.

A rendszergazdáknak van néhány lehetőségük, amellyel elég könnyen felfedezhetik ha a PC Conficker-el fertőzött és létezik néhány ingyenes alkalmazás is a rendszerből való távolításra. A gond az, hogy az újabb változatoknál a vírus letiltja azokhoz az oldalakhoz a hozzáférést, amelyekről frissíteni lehet a Windows-t vagy a használt antivírust.

Ha egy számítógép Conficker vírussal fertőzött a következőképpen lehet megtudni: ha bármilyen oldalt megtudsz nyitni a Microsoft vagy a nagy antivírus gyártók oldalain kívül, azt jelenti, hogy a számítógep Conficker vagy valami hasonló vírussal fertőzött.

A vírust kilehet írtani, ha egy másik személy letölti az Internetről a féreg eltávolítására való verziót és elküldi e-mailen a fertőzött számítógépnek. Megtörténhet, hogy szükséges újranevezni a fájlt, ha ez a Conficker szót tartalmazza.

Amikor vállalati hálózatokról van szó, nehezebben lehet felfedezni a Conficker létezését. Ha már telepítve lett egy számítógépre, a Microsoft patch saját verzióját alkalmazza, annak a sebezhetőség javítására, amelyet elejétől fogva kihasznált és így az antivírus képtelen felfedezni.

Hogyan előzhetjük meg a megjelenését? A féreg főképpen a hordozható adattároló eszközökön (pl. USB stick) keresztül terjed, ezért az USB stick-ek ellnőrzése vagy letiltása csökkentheti a megjelnés veszélyét.