Induc | Silasjr - Informação de qualidade você encontra aqui

As piores pragas virtuais de 2009

Escrito por Silas Martins em 11 de dezembro de 2009 – 7:56 - 2.359 visualizações

As piores pragas do ano de 2009 de acordo com pesquisa por mim realizada, aponta Induc, Sality, Conficker, e Virut.

Este ano foi marcado pela volta do induc e que pegou todas as empresas de segurança de surpresa, uma vez que esse vírus era tido como “morto”. Quando surgiram os primeiros sintomas da volta do induc.a as empresas não estavam prontas para lidar com ele, até porque não constava em nenhum banco de dados como uma infecção ativa. Apesar do induc não ser devastador ele tem o poder de se infiltrar em aplicações sobre plataforma Delphi e deixá-las inutilizáveis.

Conficker a ameaça silenciosa, esse poderia ser o nome de um longa metragem, porém é a realidade do atual número um na lista dos top 10 de vírus. Apesar de não se ver falar muito nele como já se foi falado, o Conficker tem atuado e feito muito estrago mundo a fora. Existem previsões que dizem que em 2010 o Conficker vai se tornar mais forte e com uma rede zumbi enorme, o que poderá ser utilizado para ataques em massas e também para colocar servidores inteiros fora do ar, tamanha a rede que ele esta construindo.

Se analisarmos a estratégia do criador do Conficker, podemos dizer que foi muito bem articulado e executada, pois ele conseguiu criar uma rede de botnets (computadores zumbis) a qual pode ser utilizada para obter grandes quantidades de dinheiro ou até mesmo terror virtual.

Virut o destruidor, essa é mais uma daquelas pragas que se quer longe do HD, e pode ser encontrada facilmente em pendrives e outros meios. O Virut é um file infector que se inserido no seu HD tem a capacidade de infectar e alterar todos os arquivos presentes no disco rígido, tornando o sistema instável e sua remoção sem a formatação muitas vezes é desastrosas, pois quando se consegue remove-lo o estrago feito por ele foi tão grande que arquivos essenciais para o sistema operacional ficaram corrompidos e a única solução nesses casos é a formatação.

Sality, este é mais um da família file infector tem a capacidade de se inserir em arquivos *.exe, uma vez infectado ele desativa sua central de segurança (Antivírus, Firewall, Antispy) e começa a duplicar-se enchendo seu HD em poucos instantes.

Este ano tivemos a descoberta de alguns novos malwares como o Glumbar que ainda se sabe pouco dele, porém não é um vírus voltado para o usuário final e sim para sites a intenção dele é capturar credenciais de FTP para poder se proliferar por meio de sites seguros. Glumbar que realizou um ataque em massa em maio de 2009 à inúmeros sites tidos como seguros, o que assustou muitos webmasters.

Para fechar deixo aqui um alerta, de que em 2010 mais vírus iram surgir e cada vez mais potentes por isso tenham sempre seus sistemas operacionais atualizados e uma boa central de segurança com Antivírus atualizado,Firewall e Antispyware. Fazendo isto você vai esta evitando muitos problemas com malwares, e claro fazer o uso consciente da internet.

Tags: Antispyware, Antivirus, botnets, Conficker, File Infector, Firewall, Induc, Malware, Sality, Virus, Virut
Postado em Destaques, Segurança Digital | 3 Comentários »

A história por traz do Induc.a

Escrito por Silas Martins em 24 de novembro de 2009 – 9:44 - 693 visualizações

Analistas do mundo todo estão espantados com os números de infecções por induc.a. Já se compara ele com o Conficker, uma vez que já foi noticiado mais de 4 milhões de infecções simultâneas, ou seja não é um exagero a comparação.

Leiam abaixo um artigo publicado no weblog da Kasperky por um analista e vejam que o que ainda vai ocorrer:

Houve muito espalhafato nos meios de comunicação ultimamente, com notícias de todas as companhias de antivírus principais que são impressas e reimprimiu. E todas as notícias estão no mesmo tópico – algo que não vimos desde então Kido (Conficker) e a última vulnerabilidade Construída com adobes. A fonte de todo o espalhafato? Vírus. Win32. Induc.a.

Induc foi um caso tão excepcional que inicialmente somente publicamos um blog curto oferta de detalhes técnicos sobre o vírus. Agora lá é tempo de retroceder, respirar, e avaliar o verdadeiro impacto de Induc.

O nome relaciona-se diretamente à funcionalidade de vírus. Uma vez que está na máquina de vítima, ele verifica para ver se Delphi é instalado – ele visa versões 4.0, 5.0, 6.0 e 7.0. Se ele descobrir uma destas versões de Delphi, ele copia o arquivo.pas que ele está indo usar (neste caso, sysconst.pas) a \Source a \Lib e acrescenta o seu código ao arquivo. Ele faz um apoio de sysconst.dcu, chamando-o sysconst.bak, e compila o arquivo.pas infeccionado, que resulta em um novo sysconst.dcu que contém código malicioso. O arquivo.pas infeccionado então é eliminado.

Portanto temos um vírus que acrescenta o seu código a um arquivo com uma extensão.dcu – você pode dizer que o código é “em dcu”. Troca um par de cartas em volta (que é o que normalmente fazemos denominando vírus) e você adquire Induc. (Naturalmente, às vezes os vírus adquirem nomes diferentes dados por companhias de antivírus diferentes. Todo o mundo que chama este vírus Induc é um sinal que realmente fomos primeiros em acrescentar a detenção e a desinfeção desta parte de malware – é normalmente o nome dado que tende a picar.)

Uma vez que o vírus injetou com sucesso o seu código em sysconst.dcu, qualquer programa Delphi compilado na máquina será infeccionado. Não há nenhuma outra carga paga à parte do fato que Induc pode estender-se. A coisa interessante é o caminho do qual se estende – é não infecciona arquivos exe, mas arquivos de compilação de linguagem de programação.

Isto não é uma nova aproximação. Alguns de vocês poderiam lembrar-se de um vírus semelhante dos anos 1990, um vírus que visou o MS-DOS e infeccionou arquivos de Pascal. Há outros exemplos do passado mais recente: Lykov, por exemplo, que acrescenta o seu código a arquivos de fonte de programa Básicos Visuais, primeiro apareceu em 2003. O seu sucessor, Lykov.b, que infecciona arquivos de fonte de programa VB.NET, destacou-se um par de anos depois.

Mas pelo que saibamos, sem de alguém processado para infeccionar diretamente os arquivos de serviço de um compilador antes. Esta aproximação é tão excepcional que não se ajusta em qualquer lugar no nosso sistema de classificação atual. Induc não é um vírus no sentido restrito da palavra, porque é não infecciona diretamente arquivos. Ele modifica um arquivo de sistema único em vez de cada arquivo que ele encontra. Induc não pode ser chamado um verme, e não pode ser chamado um troiano também, embora ele realmente possua certos carimbos de tais tipos de malware. Portanto Induc realmente é algo novo.

O segundo ponto interessante é como largamente o vírus se estendeu. O dia depois que acrescentamos detenção, dados da Rede de Segurança Kaspersky mostrou que Induc foi um dos 70 programas maliciosos mais comuns. Não seria nenhuma surpresa se Induc aparecesse na nossa Estatística Malware Mensal em agosto. É possível que haja milhões de cópias de Induc em volta do mundo – talvez uma epidemia não mais pequena do que aquele causado por Kido!(Conficker)

O terceiro ponto interessante é as aplicações infeccionadas por Induc – o vírus terminou em computadores de reveladores entre outros, e alguns destes reveladores criavam aplicações muito populares. Por exemplo, vimos várias versões infeccionadas do jogador de meios de comunicação AIMP bem como QIP, o cliente transmissor imediato popular. Induc foi descoberto em aplicações em volta do mundo, em sítios de software, e em CD de software baixos de revista.

O fato que Induc foi considerado em aplicações legítimas, muitas do qual foram whitelisted por vendedores, criou outro problema. Esta vez é uma dor de cabeça da indústria que oferece whitelisting, na maior parte, via tecnologias na nuvem. Uma vez os arquivos infeccionados foram descobertos nos bancos de dados de arquivos limpos, estes bancos de dados tiveram de ser limpados. Isto destaca a fraqueza de tais bancos de dados, e se os incidentes semelhantes acontecerem no futuro, a confiança em whitelisting começará certamente a sofrer.

A desinfeção de arquivos infeccionados não é uma matéria trivial. Embora seja possível, ele pode ter resultados negativos: muitos programas (por exemplo, QIP) executam uma integridade verificam o lançamento usando uma soma de controle. Contudo, como QIP foi infeccionado na etapa de compilação, a soma de controle criada inclui o componente malicioso, portanto uma vez desinfetado, QIP não trabalhará corretamente. Contudo, os programas que não executam este cheque de integridade ainda correm corretamente atrás da desinfeção.

Quando começamos a receber arquivos infeccionados, notamos quase imediatamente que alguns programas troianos pretenderam roubar os dados de conta de banco foram infeccionados com Induc. Os autores destes Trojans tinham caído a vítima de um vírus – eles devem ter compilado os seus arquivos troianos usando uma versão infeccionada de Delphi. Todo o Trojans infeccionado que vimos veio do Brasil, embora eles tivessem sido criados por grupos diferentes de escritores de vírus. Nenhum disto subentende que próprio Induc foi escrito no Brasil – é somente que este país é um de poucos onde Delphi é a linguagem de programação o mais largamente usada (é bastante popular na Rússia também).

Mas vai partir estes infeccionaram Trojans e movimento à pergunta muito importante de quanto tempo o vírus permaneceu não detectado no sertão – e porque.

Somente para ser claro – o vírus foi inicialmente identificado no dia 12 de agosto de 2009 por um programador russo chamado Aleksandr Alekseev, que também é conhecido como Guns Smoker. Ele foi a única pessoa que encontrou este vírus quem não foi só capaz de arcar com o que continuava, mas ele também estendeu as notícias em todas as partes da comunidade computacional e enviou arquivos suspeitos a companhias de antivírus. Agradecimentos, Guns Smoker( http://gunsmoker.blogspot.com/2009/08/viruswin32induca.html)!

O Guns Smoker publicou um artigo detalhado dos seus achados (aqui, mas em russo só). Segundo ele, os arquivos infeccionados primeiro apareceram antes de janeiro de 2009. As nossas demonstrações de dados infeccionaram arquivos que datam desde novembro – dezembro de 2008, mas infelizmente, compilando arquivos, Delphi não salva a data de conexão portanto não podemos contar exatamente quando estes arquivos foram criados. Mas podemos dizer com um pouco de certeza que Induc esteve no sertão durante um ano.

Isto significa que temos uma situação sem precedente – um programa malicioso que ficou ‘invisível’, não detectado por companhias de antivírus durante mais de um ano. Isto é mesmo mais impressionante do que Rustock, o rootkit que cobrimos no ano passado. Antes que alguém comece a apontar um dedo, eu gostaria de defender a indústria de antivírus: Induc esteve em volta para tão muito tempo porque não faz nada que pode ser descoberto por tecnologias de antivírus atuais.

Induc não rouba dados, estabelece qualquer conexão de rede, e não envia spam – ele não faz nada detectável. Se ele tinha verdadeira funcionalidade, Induc teria sido identificado há muito.

E isto leva-nos a outra pergunta – “o que acontecerá se esta rotina de propagação fica comum?” Induc é claramente a prova do código de conceito – talvez foi escrito para ganhar uma aposta, ou talvez foi criado por acaso. Naturalmente, a idéia usada em Induc pode ser tomada por cibercriminosos, mas eles realmente não são interessados na propagação simples; eles querem ser capazes de fazer algo no sistema infeccionado. Tudo que eles podem fazer é descoberto pelas tecnologias atualmente no uso. Ou, para tomar uma visão ligeiramente diferente, nada iria não detectado para um período de tempo tão longo.

Somos bastante céticos que a rotina de propagação de Induc será tomada por cibercriminosos – há abundância de modos mais simples de conduzir ataques. No entanto, Induc ensinou a todos nós algumas lições valiosas. Ele mostrou às companhias de antivírus que whitelisting não é perfeito, e nem é a primeira detenção de ameaça tudo que poderia ser. Ele mostrou a reveladores de software que eles têm de entender como as suas linguagens de programação realmente trabalham. E finalmente, Induc mostrou todo o mundo que usa um computador que até acreditou que as aplicações possam não ser tão limpas como eles olham.

Ainda hoje meses depois retorno do induc ele tem causado muita dor de cabeça em desenvolvedores, porém já existe soluçaõ e modos de remoção

Caso você esteja contaminado e precisa fazer uso da plataforma Delphi já existe desinfecção para ele, segue o link

E se você esta infectado por qualquer outro tipo de virus acesse o fórum de Remoção de Malwares que lá eu te auxiliarei a livra-se de qualquer vírus.

Tags: File Infector, Induc, Malware, Vulnerabilidade
Postado em Segurança Digital | Sem comentários »

S	T	Q	Q	S	S	D
« out
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30	31

Siga-me:

Tag ‘Induc’

As piores pragas virtuais de 2009

A história por traz do Induc.a

Posts Recentes

Posts mais vistos

Twitter

Usuários Online

Calendário de Posts