Форум - Software - Мирт и гуава: Эпидемия в динамике

#12335 by Отключён (Новичок) в 2010-10-14 05:23:10 , (321 недели) назадTop




  Сообщений: N/A




Александр Гостев
Эксперт «Лаборатории Касперского»

С 2002 г. Александр работает в «Лаборатории Касперского» в качестве вирусного аналитика. С 2004 по 2006 г. Александр был антивирусным экспертом в Отделе антивирусных исследований; затем стал руководителем группы анализа мобильных угроз. В 2008 г. назначен руководителем глобального центра исследований и анализа угроз.


История вокруг червя Stuxnet в последние дни освещалась всеми средствами массовой информации много и по-разному. Слова «Иран», «атомная станция в Бушере» и «кибероружие» уже неразрывно связаны с Stuxnet. Одним из основных пунктов «иранской» теории называется то, что Иран является эпицентром эпидемии – в нем отмечено наибольшее количество зараженных компьютеров.

Но дело в том, что любые оценки по уровню зараженности могут строиться только на основании тех данных которые антивирусные компании получают с клиентских станций, в тех странах где у этой компании есть клиенты. Соответственно, если клиентов нет или распространенность антивируса крайне мала, то любые оценки будут содержать весьма значительные погрешности.

Получить более-менее адекватные данные можно только при анализе аналогичных данных от нескольких компаний-источников, зная при этом им «рыночное положение» в рассматриваемой стране.

Однако, практически все источники сходятся в том, что наиболее заражены червем три страны – Иран, Индия, Индонезия. Кто-то ставит на первое место Иран, кто-то Индию. К сожалению при этом забывается о том, что эпидемия Stuxnet не статична. Она продолжается и сейчас, червь продолжает распространяться от компьютера к компьютеру. Какая-то часть ранее зараженных систем уже вылечена, какая-то еще нет.

Наблюдая за эпидемией в динамике, анализируя данные за три месяца можно попробовать оценить изменения, и возможно, попробовать установить страну из которой началось первоначальное распространение червя.

Данные собранные при помощи нашей cloud –технологии Kaspersky Security Network позволяют увидеть несколько интересных фактов, которыми мы хотим с вами поделиться. Необходимо отметить, что это только данные полученные при работе наших персональных продуктов.

Это двадцатка стран за все время с момента добавления детектирования Stuxnet в наши антивирусные базы (в начале июля) и до сегодняшнего момента. Индия, Иран и Индонезия составляют лидирующую тройку. Но Иран находится не на первом месте и даже не на втором.



Но как я сказал, это статистика за все время. На самом деле эпидемия развивается в разных странах по разному и в самом начале разрыв между тройкой лидеров был не столь значителен.

Мы разбили весь период наблюдения на участки по 5 дней. Вот так выглядела пятерка стран в первые пять дней с момента обнаружения Stuxnet:

India – 8565
Indonesia – 5148
Iran – 3062
Afganistan – 533
Azerbaijan – 454

А вот так выглядит пятерка лидеров по заражениям за последние 5 дней (20-25 сентября).

India - 8179
Indonesia - 3052
Kazakhstan - 1340
Russia - 1138
Iran– 765

Количество заражаемых систем в Индии и Индонезии также снизилось, зато налицо стремительное развитие эпидемии в Казахстане и России!

На следующих графиках представлена динамика развития эпидемии червя в разных странах мира.




Четко видно, что Ирану удалось практически в три раза замедлить развитие эпидемии и вылечить много систем. При сохранении подобных показателей он довольно скоро перестанет быть одним из центров эпидемии. Индия же наоборот, продолжает оставаться примерно на том же уровне, но положительным моментом является то, что эпидемия не идет по нарастающей. Индонезия, как и Иран также показывает успехи в остановлении распространения червя.

Этого всего, увы, нельзя сказать о России и Казахстане. Эти две страны сейчас являются наиболее уязвимыми и в них эпидемия только вступает в фазу своего максимального развития. Это «новые» для червя страны и очевидно, что свое распространение по миру он начинал не из них.

Аналогичный график для нескольких других стран:


Здесь видно, что в трех странах – Бангладеш, Ираке и Сирии эпидемия также развивается по нарастающей. Первые заражения в Бангладеш были отмечены уже после обнаружения червя и, вероятно попал он туда из соседней Индии. Эпидемии в Ираке и Сирии, вероятно, вызваны проникновением червя из Ирана.

Изменение количества инцидентов с Stuxnet в сентябре по сравнению с июлем:

India: -5%
Indonesia: -41%
Iran: -75%
Russia: +308%
Kazakhstan: +1711%
Afganistan:-55%
Uzbekistan:-37%
Syria: +47%
Bangladesh: +370% (по сравнению с августом)
Pakistan: +2%
Azerbaijan:-73%
Iraq: +35%

К сожалению, можно констатировать, что червь Stuxnet был обнаружен уже после того как состоялся пик его распространения в Иране и Индии. Сейчас крайне трудно определить страну и момент его первого появления.

Очевидно, что антивирусные компании застали его в этих странах уже на «спаде». Динамика же развития эпидемии показывает, что началась она минимум за 3-4 месяца до июля 2010 года – быстрее червь бы просто не смог набрать такую массу зараженных систем, которую мы наблюдаем.


Rootkit.Win32.Stuxnet



Технические детали
Деструктивная активность
Рекомендации по удалению

[hide=Технические детали]Руткит, который запускает вредоносный код в системе пользователя. Выполнен в виде драйвера режима ядра NT (kernel mode driver). Имеет размер 26616 байт.
Инсталляция

Копирует свой исполняемый файл как:

%System%\drivers\mrxcls.sys

Для автоматического запуска при следующем старте системы руткит создает следующий ключ реестра службы:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls]
"Description"="MRXCLS"
"DisplayName"="MRXCLS"
"ErrorControl"=dword:00000000
"Group"="Network"
"ImagePath"="\\??\\%System%\Drivers\\mrxcls.sys"
"Start"=dword:00000001
"Type"=dword:00000001

Создает файл:

%System%\drivers\mrxnet.sys – 17400 байт, определяется как Rootkit.Win32.Stuxnet.b

Для автоматического запуска созданного файла при следующем старте системы руткит создает следующий ключ реестра службы:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet]
"Description"="MRXNET"
"DisplayName"="MRXNET"
"ErrorControl"=dword:00000000
"Group"="Network"
"ImagePath"="\\??\\%System%\Drivers\\mrxnet.sys"
"Start"=dword:00000001
"Type"=dword:00000001

Так же создает файлы:

%windir%\inf\mdmcpq3.pnf - 4633 байт.
%windir%\inf\mdmeric3.pnf - 90 байт.
%windir%\inf\oem6c.pnf - 323848 байт.
%windir%\inf\oem7a.pnf – 498176 байт.

которые содержат код и данные руткита в зашифрованном виде.

Распространение

Руткит распространяется через сменные USB носители используя уязвимость нулевого дня CVE-2010-2568 в LNK-файлах (подробнее здесь).

Для этого вредоносный код, работающий в процессе services.exe мониторит подключение новых USB накопителей в системе и в случае обнаружения подключения создает в корневой папке накопителя следующие файлы:

~wtr4132.tmp – 513536 байт, определяется как Trojan-Dropper.Win32.Stuxnet.a
~wtr4141.tmp – 25720 байт, определяется как Trojan-Dropper.Win32.Stuxnet.b

Эти файлы являются динамическими библиотеками, которые загружаются в результате срабатывания уязвимости и инсталлируют руткита в систему. Вместе с этими файлами в корень заражаемого диска помещаются файлы ярлыков с уязвимостью:

"Copy of Shortcut to.lnk"
"Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Copy of Shortcut to.lnk"

Файлы имеют размер 4171 байт и определяются как Trojan.WinLnk.Agent.i. Уязвимость срабатывает, когда пользователь делает попытку просмотреть содержимое корня сменного носителя файловым менеджером, с включенным отображением значков файлов. После срабатывания уязвимости активируется руткит, который мгновенно скрывает вредоносные файлы.[/hide]


[hide=Деструктивная активность]


Руткит предназначен для внедрения вредоносного кода(inject) в процессы пользовательского режима. Руткит загружает динамическую библиотеку DLL в следующие системные процессы:

svchost.exe
services.exe
lsass.exe

после чего в их списке модулей появляются библиотеки с именами вида:

kernel32.dll.aslr.
shell32.dll.aslr.

где rnd – случайное шестнадцатеричное число.

Внедряемый код находится в файле:

%WinDir%\inf\oem7A.PNF

в зашифрованном виде.

Внедряемый код содержит основной функционал данной вредоносной программы. Который включает:

* Распространение на сменных носителях.
* Мониторинг за работой системы Siemens Step7. Для этого драйвер руткита внедряет в процесс s7tgtopx.exe свою библиотеку-посредник, вместо оригинальной s7otbxsx.dll, которая эмулирует работу следующих API-функций:

s7_event
s7ag_bub_cycl_read_create
s7ag_bub_read_var
s7ag_bub_write_var
s7ag_link_in
s7ag_read_szl
s7ag_test
s7blk_delete
s7blk_findfirst
s7blk_findnext
s7blk_read
s7blk_write
s7db_close
s7db_open
s7ag_bub_read_var_seg
s7ag_bub_write_var_seg

собирая различные данные о работе системы.
* Выполнение SQL запросов. Руткит получает список компьютеров в локальной сети и проверяет запущен ли на каком-либо из них Microsoft SQL сервер, который обслуживает систему визуализации производственных процессов Siemens WinCC. Если сервер обнаружен, вредонос пытается подключиться к базе данных используя имя пользователя и пароль WinCCConnect/2WSXcder после чего пытается получить данные таблиц, таких как:

MCPTPROJECT
MCPTVARIABLEDESC
MCPVREADVARPERCON

* Собирает информацию из файлов со следующими расширениями:

*.S7P
*.MCP
*.LDF

создаваемых при помощи системы Siemens Step7. Поиск файлов ведется на всем жестком диске компьютера.
* Отправляет собранные данные в интернет на сервера злоумышленников в зашифрованном виде.

Файл руткита подписан цифровой подписью Realtek Semiconductor Corp.[/hide]

[hide=Рекомендации по удалению]


Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:

1. Удалить оригинальный файл руткита (его расположение на зараженном компьютере зависит от способа, которым программа попала на компьютер).
2. Удалить ключи системного реестра:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNet]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls]

3. Удалить следующие файлы:

%System%\drivers\mrxnet.sys
%System%\drivers\mrxcls.sys
%windir%\inf\mdmcpq3.pnf
%windir%\inf\mdmeric3.pnf
%windir%\inf\oem6c.pnf
%windir%\inf\oem7a.pnf

4. Перезагрузить компьютер
5. Отключить отображение значков в файловом менеджере, что бы избежать повторного заражения.
6. Удалить следующие файлы на сменных носителях, если такие имеются:

"Copy of Shortcut to.lnk"
"Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Shortcut to.lnk"
"Copy of Copy of Copy of Copy of Shortcut to.lnk"
~wtr4132.tmp
~wtr4141.tmp

7. Произвести полную проверку компьютера Антивирусом Касперского с обновленными антивирусными базами [url=http://www.kaspersky.ru/trials][/url](скачать пробную версию).[/hide]
Отправить сообщеньку

       [1]       

Быстрый переход: