"Лаборатория Касперского" опубликовала рейтинги вредоносных программ,
обнаруженных и заблокированных в августе 2010 года. Эксплойты и черви,
использующие уязвимости Windows, оказались как в рейтинге программ,
наиболее часто обнаруживаемых на компьютерах пользователей, так и в
рейтинге веб-угроз. В первую очередь, в августе наблюдался значительный
рост эксплуатации уязвимости CVE-2010-2568. Первый раз эта уязвимость
была использована нашумевшим в конце июля сетевым червем
Worm.Win32.Stuxnet, следом ей воспользовался троянец-дроппер,
устанавливающий на зараженный компьютер последнюю модификацию известного
вируса Sality – Virus.Win32.Sality.ag. Как и ожидалось, злоумышленники
сразу же "взяли в оборот" новую дыру в наиболее популярной в настоящее
время версии ОС Microsoft Windows. Но уже второго августа Microsoft был
выпущен патч MS10-046, закрывающий уязвимость. Это обновление идет с
пометкой "Critical", что означает обязательную установку всем
пользователям системы. Уязвимость CVE-2010-2568 заключается в
ошибке при обработке ярлыков (.lnk и .pif файлов). Заражение происходит,
когда пользователь открывает USB-накопитель с помощью функции
автозапуска, либо при открытии диска непосредственно в Проводнике
Windows или аналогичном менеджере файлов. Специально сформированный
ярлык заставляет Windows Shell подгрузить внешнюю динамическую
библиотеку, которая выполняет произвольный код с привилегиями
пользователя, запустившего Проводник. В рейтинг программ,
заблокированных на компьютерах пользователей, попали сразу три зловреда,
так или иначе связанные с CVE-2010-2568. Два из них эксплойты
Exploit.Win32.CVE-2010-2568.d (9-е место) и
Exploit.Win32.CVE-2010-2568.b (12-е место), непосредственно
эксплуатирующие уязвимость. Третий, Trojan-Dropper.Win32.Sality.r (17-е
место), использует эту уязвимость для своего распространения. Он
генерирует уязвимые LNK-ярлыки с названиями, привлекательными для
пользователей, и распространяет их по локальной сети. Когда пользователь
открывает паку, содержащую такой ярлык, происходит запуск зловреда.
Оба эксплойта к уязвимости CVE-2010-2568, попавшие в Топ-20, чаще
всего детектируются на компьютерах пользователей в России, Индии и
Бразилии. Географическое распределение Trojan-Dropper.Win32.Sality.r
аналогично распределению эксплойтов. Интересно, что Индия также является
основным источником распространения червя Stuxnet.
|
Главная 
