Эксперты по вопросам безопасности предупреждают о том, что киберпреступники эксплуатируют критическую уязвимость в приложении для работы с презентациями Microsoft PowerPoint.

Уязвимость, о которой идет речь, присутствует в PowerPoint 2000/2002/2003 с третьим сервис-паком, а также в версии программы, входящей в состав пакета Office 2004 for Mac.

Для реализации атаки злоумышленнику необходимо вынудить пользователя открыть сформированный специальным образом файл в формате .ppt.

Компания «Dr Web» опубликовала обзор вирусной активности в марте 2009 года. В прошедшем месяце было отмечено большое количество новых случаев мошенничества с использованием вредоносных программ. Бот-сети продолжили своё качественное развитие, их авторы стали применять более агрессивные методы их распространения и эксплуатации, а количество заражённых компьютеров-ботов продолжает стремительно увеличиваться. В тематике спама преобладает реклама самих массовых рассылок писем.

В марте 2009 года наибольшее внимание привлекли бот-сети Tdss и Shadow. Они начали использовать новые методы для увеличения эффективности своей деятельности, а также продолжили применять уже хорошо зарекомендовавшие себя способы распространения – через съёмные диски, через общие сетевые ресурсы, с использованием известных уязвимостей. Это, к сожалению, говорит о том, что далеко не все пользователи следуют рекомендациям антивирусных компаний по соблюдению элементарных правил информационной безопасности.

Заметный переполох в марте вызвала последняя модификация Win32.HLLW.Shadow.based, использующий генератор адресов, который создаёт, руководствуясь определённым алгоритмом, 50 000 адресов серверов в сутки, из них отбирает 500 адресов, с которых осуществляются попытки получить инструкции и загружаются обновлённые вредоносные модули. Этот новый алгоритм работы существенно усложняет работу по противодействию работе данной бот-сети, т.к. невозможно вычислить все адреса серверов, участвующих в работе бот-сети и прекратить их работу на законных основаниях.

В блоге корпорации Microsoft опубликована сообщение о том, что новый интегрированный набор для обеспечения безопасности компьютера Stirling выйдет позже прежде намеченного срока. Изначально планировалось выпустить эту разработку весной 2009 года, но теперь ясно, что новинка не выйдет до конца 2009 или даже до начала 2010 года.

программное обеспечение Stirling является развитием прежде представленного антивируса Microsoft Forefront. Stirling будет предназначен только для корпоративных потребителей, компьютерные сети которых насчитывают не менее десятка компьютеров. Stirling будет представлять собой нечто вроде удаленной административной консоли для управления антивирусами Microsoft Forefront, которые должны быть установлены на персональных компьютерах пользователей.



Stirling будет следить за изменения в конфигурациях рабочих станций, представлять доклады о сетевой активности в компании, а также будет управлять определенными функциями корпоративных фаерволов.



"Stirling должен будет стать своего рода средством управления корпоративными антивирусами ForeFont, которые будут защищать от вирусов серверы, рабочие станции и сетевые устройства. Сразу заметим, что оба продукта (Stirling и Forefont) будут продаваться как вместе, так и по отдельности", - сказала Маргарет Доусон, менеджер подразделения Информационные Технологии-безопасности Microsoft.

Уязвимость, которая присутствует больше чем на одном из десяти веб-сайтов, может стать поистине смертельной, поскольку новые исследования доказывают, что ее можно использовать для получения полного контроля над серверами, на которых эти сайты расположены.

В исследовании, которое ближе к концу этого месяца в ходе конференции в Амстердаме представит Бернардо Гимараеш, будет показано, как при помощи SQL-инъекций можно отрыть дверь для куда более серьезных эксплоитов, используя которые, хакеры будут способны получить полный доступ к базе данных сайта и операционной системе сервера.

Эксперт утверждает, что разработанные им методики основываются на использовании уязвимости в трех самых популярных базах данных - MySQL, PostgreSQL и Microsoft SQL Server.

Один из таких методов использует уязвимость к переполнению буфера, которая может присутствовать в базе данных. Сеньор Гимараеш заявил, что уже успешно применял этот способ для получения полного контроля над серверами с базой данных SQL Server, прежде чем корпорация Microsoft в феврале пропатчила проблему с переполнением буфера.

Компания Eset сообщила о том, что с 1 апреля возможно резкое увеличение DDoS- и спам-атак с использованием крупнейшей в истории Интернета ботсети, состоящей из компьютеров, инфицированных семейством червей Conficker.

По данным Eset, новая версия сетевого червя – Сonficker.X – взаимодействует с управляющим пулом из 50 тыс. доменов. Это существенно усложняет борьбу с угрозой, поскольку при таком количестве постоянно обновляемых url-адресов отследить и блокировать команды от владельцев бот-сети компьютерам-зомби будет практически невозможно. Эксперты предполагают, что 1 апреля станет датой начала широкомасштабных атак на ПК пользователей. Это могут быть DDoS-атаки, рассылка спама, действия, направленные на заражение новых компьютеров и увеличение бот-нета.

Компания «Доктор Веб» сообщила о появлении новой модификации полиморфного сетевого червя Win32.HLLW.Shadow.based (также известного под именами Kido/Conficker), обеспечивающего основной функционал бот-сети Shadow. По прогнозам «Доктор Веб», с 1 апреля бот-сеть перейдет на новый режим работы.

Как пояснили в антивирусной компании, на компьютерах, инфицированных прежде различными модификациями полиморфного сетевого червя Win32.HLLW.Shadow.based, появившимися в феврале и марте этого года, будет произведено обновление вредоносного Программного Обеспечения, в результате чего будет запущен генератор адресов к заранее подготовленным сайтам для получения с них инструкций по дальнейшей работе. Каждые сутки будет генерироваться 50 000 адресов, среди которых будет выбираться 500 адресов, через которые будут происходить попытки обновления вредоносного Программного Обеспечения . При этом процесс обновления будет тщательно регулироваться таким образом, чтобы не создавать значительную нагрузку на хостинг-серверы, на которых расположены данные вредоносные серверы. Такой работе бот-сети воспрепятствовать будет значительно сложнее, считают в «Доктор Веб».

Напомним, что Win32.HLLW.Shadow.based для своего распространения использует сразу несколько каналов, среди которых выделяются съёмные носители и сетевые диски. Сетевой червь также может распространяться с использованием стандартного для Windows-сетей протокола SMB. При этом для организации удалённого доступа к компьютеру Win32.HLLW.Shadow.based перебирает наиболее часто встречающиеся способы задания пароля, а также пароли из своего словаря. Наконец, вирус распространяется по сети с использованием уязвимости, которая устраняется с помощью критичного обновления, описанного в бюллетене Microsoft MS08-067.

В среду, 1 апреля, может произойти атака вируса Kido, - предупреждает «Газета». По оценкам специалистов эта атака может стать самой опасной в истории глобальной сети.

Ведущий эксперт «Лаборатории Касперского» Виталий Камлюк сообщил изданию, что данный вирус представляет серьезную угрозу для всего Интернет-сообщества. По его словам, Kido распространяется через компьютерные сети и сменные носители информации.

Эксперты по безопасности и пользователи Интернета встревожены, - уточняет итальянская La Repubblica: в среду могут неожиданно начать действовать персональные компьютеры, инфицированные компьютерным червем Conficker. Речь идет о 9-15 млн. ПК. инфицированные персональные компьютеры не проявляют явных признаков инфекции, но становятся оружием в руках агрессоров, которые могут использовать их для незаконной деятельности.

Хакеры имеют доступ к почти 1300 ПК в различных организациях 103 стран мира, говорится в отчете американских исследователей. Злоумышленники, которые зачастую базируются в Китае, могут красть документы, контролировать веб-камеры и получать полный доступ к инфицированным ПК...

В результате десятимесячного расследования группой SecDev Group из университета Торонто было обнаружено 1295 компьютеров в 103 странах мира, за которыми шпионят злоумышленники. Отчет опубликовал исследовательский проект Information Warfare Monitor, созданный SecDev Group.

В отчете предоставляются доказательства слежки за многими ПК, в том числе и в международных организациях, а также говорится, что за слежкой зачастую стоят китайские хакеры. Учёные описывают сеть, которую они называют GhostNet: в ней используется вредоносная программа gh0st RAT (Remote Access Tool), с помощью которой можно воровать различные документы, контролировать веб-камеры и получать полный доступ к инфицированным ПК.

«GhostNet представляет собой сеть инфицированных компьютеров в различных важных политических, экономических и медийных организациях во множестве стран по всему миру. На момент написания отчета, эти организации почти всегда ничего не подозревают о той ситуации, в которой находятся их системы», - сказано в исследовании.

Настоящий юбилей 26 марта отпраздновал вредоносный модуль, который считается первым вирусом, распространявшимся по почте. "Melissa" – так называется эта угроза, заразившая свыше миллиона компьютеров и причинившая ущерб на общую сумму в $80 млн.

"Мелисса" была не более чем детской игрушкой, хотя и очень действенной. Будучи запущенной в марте 1999 года, она начала засорять целые сети корпоративной почты письмами с заголовком "Вот тот документ, который ты у меня просил… только больше никому не показывай ;-)". Вирус распространялся через дыры в различных версиях Microsoft Word и Microsoft Excel, при этом рассылая собственные копии первым 50 контактам из адресной книги Microsoft Outlook.

Также к зараженным письмам прикреплялись файлы с паролями к 80 порно сайтам. Распространение получили четыре подвида вируса, некоторые из которых причиняли большой урон, стирая важные системные файлы Windows.

Специалистами DroneBL, выявлен беспрецедентный Зомби-сеть, атакующий исключительно маршрутизаторы и модемы DSL на базе Linux/MIPS и игнорирующий персональные компьютеры. Эксперты предупреждают, что прежде считавшиеся надежными операционными системы сегодня уже таковыми не являются.

Учёные из DroneBL заявили, что во время устранения направленной на их сервис DDoS -атаки обнаружили нетипичный Зомби-сеть. Его изучение показало, что известный на инфицированные персональные компьютеры сетевой червь под названием psyb0t захватывает маршрутизаторы и модемы DSL, не причиняя ущербы самими компьютерам. Угрозе уязвимы маршрутизаторы на базе Linux/MIPS.

Первые атаки сетевого червя были зарегистрированы еще в декабре прошлого года, но тогда он действовал более выборочно. Речь шла только об ADSL-модемах Netcomm NB5 и аналогичных аппаратах, а для захвата управления над ними сетевой червь применял значения логина и пароля по умолчанию. Уязвимость в этом оборудовании, которую применял psyb0t, в более поздних версиях прошивки устройств уже устранена.

Эксперты DroneBL пришли к выводу, что нынешняя версия сетевого червя более совершенна. Теперь он взламывает маршрутизаторы, подбирая пары логинов и паролей по списку. Более того, если раньше «зомбированные» маршрутизаторы не использовались координирующим центром для конкретных целей, то теперь с их помощью была инициирована DDoS атака (отказ в обслуживании).

После того, как описание сетевого червя появилось в блоге DroneBL, обнаружил себя и создатель вредоносной программы. Автор psyb0t написал, что создал сетевого червя «с исследовательскими целями и теперь прекращает дальнейшую работу над ним». Также он уверяет, что сумел захватить порядка 80 тыс. устройств, но никогда не применял этот Зомби-сеть для DDoS-атак, fishing'а (фишинг) или кражи конфиденциальных данных.