Компания «ВирусБлокАда» сообщает об обнаружении вредоносной программы, использующей новую уязвимость для своего распространения.

Модули данной программы были впервые обнаружены специалистами компании «ВирусБлокАда» ( [url]www.anti-virus.by[/url] ) 17 июня 2010 года и добавлены в антивирусные базы как Trojan-Spy.0485 и Malware-Cryptor.Win32.Inject.gen.2. В процессе анализа было обнаружено, что вирус распространяется через USB-накопители. При этом заражение происходит не известным ранее способом через файл autorun.inf, а через уязвимость в обработке lnk-файлов. Таким образом, пользователю достаточно открыть инфицированный накопитель в Microsoft Explorer или в любом другом файловом менеджере, который умеет отображать иконки в lnk-файлах (к примеру, Total Commander), чтобы произошло заражение системы, и вредоносная программа получила управление.

Получив управление, вредоносная программа заражает систему, внедряя в нее два драйвера: mrxnet.sys и mrxcls.sys. Эти файлы были добавлены в антивирусные базы соответственно как Rootkit.TmpHider и SScope.Rookit.TmpHider.2. Особенность данных драйверов состоит в том, что они подписаны цифровой подписью, сертификат на которую выдан известной компании Realtek Semiconductor Corp. ( [url]www.realtek.com[/url] ). После установки драйверов происходит загрузка вредоносного кода в системные процессы, а также скрываются следы присутствия инфицированных файлов на USB-накопителе. Поэтому пользователь и не видит “лишние” файлы на флэшке.

Таким образом, данную вредоносную программу можно отнести к категории наиболее опасных, т.к. в ней используются технологии, представляющие риск для заражения многих компьютеров и начала вирусной эпидемии.

После того, как нашими специалистами были добавлены записи в антивирусную базу на описанные выше вредоносные программы, в Технической Поддержке компании было зарегистрировано множество обращений с симптомами, указывающими на заражение Rootkit.TmpHider и SScope.Rookit.TmpHider.2 в нескольких точках мира

[URL="http://anti-virus.by/press/viruses/3948.html"]Источник[/URL]

а что делать тем у кого автозапуск отключен через политики, реестр и твики + используется Far Manager 2.x ? они опять в пролете? :(
(срочно добавляет .lnk в список запрещенных для автозагрузки)

[QUOTE='Br0m;668391'](срочно добавляет .lnk в список запрещенных для автозагрузки) [/QUOTE]
Не поможет.
[QUOTE='Groft;668285']через уязвимость в обработке lnk-файлов.[/QUOTE]
Т.е. просмотр флешки через проводник или тоталкомандер (или другой файл-менеджер, который показывает картинки ярлыков) вызывает заражение.

[QUOTE=Kuzz;668397]Не поможет.

Т.е. просмотр флешки через проводник или тоталкомандер (или другой файл-менеджер, который показывает картинки ярлыков) вызывает заражение.[/QUOTE]

А можно подробнее, как именно заражается система через *.lnk?

Через уязвимость в винде. Говорят, уязвимы все, включая вин7 со всеми патчами.

[QUOTE=g0dl1ke;668448]А можно подробнее, как именно заражается система через *.lnk?[/QUOTE]

Подробней, вероятно, будет после выпуска соответствующего патча.
Т.к. нормальной практикой является сначала уведомить производителя и дождаться выпуска заплатки, а лишь затем раскрывать суть уязвимости.

Произойдет ли заражение, если в Тотале выставить настройку, чтоб показывало только ассоциированные значки? [IMG]http://ipicture.ru/uploads/100712/7Cj0SJJIBT.png[/IMG]

[QUOTE='Julevar;668615']Произойдет ли заражение, если в Тотале выставить настройку, чтоб показывало только ассоциированные значки? [/QUOTE]
Нет, если автор корректно программировал эти радиокнопки.

значит кто юзает тотал, спит спокойно.

А у меня старый Тотал, видимо нужно сделать так? :)

[QUOTE=Игорь;669655]А у меня старый Тотал, видимо нужно сделать так? :)[/QUOTE]

подозреваю что всё это особенности перевода:
у [B]Julevar[/B] настройка выглядит как "все ассоциированные"
в моем тотале эта же настройка - "все связанные"
а у вас судя по всему - "все"
т.к. глянула в английском варианте у меня этот пунктик выглядит как "All"

хотя "не показывать значки" тоже неплохой выбор )

Да, действительно, тонкости перевода. :)

а при [URL="http://virusinfo.info/showthread.php?t=73715"]блокировке запуска исполняемых файлов с флешки[/URL] уязвимость сработает?
список назначенных типов файлов там же в политике..

или нужно донастроить что-то особое? т.е. вручную добавить нужное расширение в назначенные типы файлов

[B]Юльча[/B], это баг в винде, дыра.. Поэтому сработает

Угу, тем более в обсуждаемом случае не exe стартует, dll. Похоже, через regsvr32, но точно не знаю.

понимаю что дыра :) но не понимаю как работает.. вот и уточняю.

что конкретно стартует с флешки?
кроме особой иконки к ярлыку юзающей баг там ничего вредоносного нет?
ну должен же быть способ :)

Статья от ЛК [url]http://www.securelist.com/ru/blog/34291/Mirt_i_guava_Epizod_1#readmore[/url]
[url]http://www.securelist.com/ru/blog/34293/Mirt_i_guava_Epizod_2#readmore[/url]

Привыкаю работать без иконок, что бы быть готовым встретить отважную "шестёрку" на флешке. :)

[QUOTE='Игорь;672809']Привыкаю работать без иконок[/QUOTE]
сертификат уже отозвали, основные вендоры уже и *lnk и остальные компоненты находят, так то можно и (почти) расслабиться))))

[url]http://www.securitylab.ru/analytics/395926.php[/url]

[url]http://www.securelist.com/en/blog/2234/Stuxnet_and_stolen_certificates[/url] ТАДАМЦ!

Хороните "белые списки". Вэлкам эвристика и сигнатуры

Ну почему "хороните"? Те, что основаны на хешах, работают нормально.

А ЭЦП, получается, доверять нельзя уже..

[QUOTE=ALEX(XX);673516][url]http://www.securelist.com/en/blog/2234/Stuxnet_and_stolen_certificates[/url] ТАДАМЦ!

Хороните "белые списки". Вэлкам эвристика и сигнатуры[/QUOTE]

А вот и русс: [url]http://www.securelist.com/ru/blog/32850/Stuxnet_i_ukradennye_sertifikaty[/url]

а как работает [URL="http://www.securitylab.ru/poc/395903.php"]эксплоит[/URL]? :scratch_one-s_head:

хотела глянуть что произойдет, но ничего не вижу :)

отображение ярлыков не отключала, службу webdav не останавливала

Надо скачать DebugView и в нём уже смотреть вывод бибилотеки. Ещё одна особенность- dll.dll добжна быть помещена в c:\

Люди самостоятельно накатали патчик...

[url]http://nemesis.te-home.net/News/20100722_Update_for_shell32_dll_patch_for_XP_SP2_and_SP3.html[/url]

[QUOTE='Kuzz;675191']Люди самостоятельно накатали патчик...

[url]http://nemesis.te-home.net/News/2010...2_and_SP3.html[/url][/QUOTE]
а чем он лучше [URL="http://virusinfo.info/showthread.php?t=83580"]утилиты[/URL] от M$? :)

Тем, что это именно патч. Т.е. правит shell32.dll
Исходник в комплекте)

Кто-нибудь проверял его, работает ?
Для вин2к - ХР до сп2 это, похоже, будет единственный правильный выход.

[size="1"][color="#666686"][B][I]Добавлено через 29 секунд[/I][/B][/color][/size]

Т.е. это установит пол-страны как минимум.

Надо бы разобрать, что оно изменяет/привносит..

[size="1"][color="#666686"][B][I]Добавлено через 53 минуты[/I][/B][/color][/size]

Хм, скорее всего там делается что-то подобное [url]http://habrahabr.ru/blogs/infosecurity/99732/#comment_3081385[/url]

Microsoft изменила ранее опубликованное уведомление безопасности, добавив два новых вектора эксплуатации уязвимости:

1. Internet Explorer. Злоумышленник может с помощью специально сформированного Web сайта заставить браузер пользователя загрузить иконку для ярлыка и выполнить вредоносный код на целевой системе.
2. Документы Office. Злоумышленник может встроить специально сформированный ярлык в документ Microsoft Office (или другого офисного пакета, поддерживающего работу со встроенными ярлыками) и скомпрометировать целевую систему.

Это говорит о том, что в скором времени можно ожидать распространение эксплоита через вложенные файлы в email сообщениях.

[URL="http://www.securitylab.ru/analytics/395926.php"]отседа[/URL]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

PS: А тэпэр - ПРОПЭЛЛЭР!

Да, дыру еще по сути не начали эксплуатировать, только засветили.
Есть время от недель до пары месяцев до эпидемии. Как обычно.

[QUOTE=ALEX(XX);670484][B]Юльча[/B], это баг в винде, дыра.. Поэтому сработает[/QUOTE]
судя из [URL="http://blog.didierstevens.com/2010/07/20/mitigating-lnk-exploitation-with-srp/"]этого[/URL] - не сработает..
только придется политику ужесточить

это с хабра по ссылочке [B]Kuzz[/B]:
[QUOTE]Еще по теме противодействия этой уязвимости можно почитать в блоге независимого исследователя Didier Stevens. Там описывается два способа:
1) Запрет [URL="http://blog.didierstevens.com/2010/07/18/mitigating-lnk-exploitation-with-ariad/"]автозапуска[/URL] и выполнения исполняемых модулей с внешних носителей. Но это вас не спасет от возможности заражения с сетевых шар и WebDAV ссылки.
2) [URL="http://blog.didierstevens.com/2010/07/20/mitigating-lnk-exploitation-with-srp/"]Установка[/URL] Software Restriction Policies (SRP) [/QUOTE]

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

... хоть не придется на работе пользователям иконки резать ..

[size="1"][color="#666686"][B][I]Добавлено через 47 минут[/I][/B][/color][/size]

[QUOTE='ALEX(XX);675720']2. Документы Office. Злоумышленник может встроить специально сформированный ярлык в документ Microsoft Office (или другого офисного пакета, поддерживающего работу со встроенными ярлыками) и скомпрометировать целевую систему.[/QUOTE]
а openoffice работает со встроенными ярлыками? :?

[QUOTE='Юльча;675746']а openoffice работает со встроенными ярлыками? [/QUOTE]
А вот это и мне интересно знать...

И для тех, кто еще не видел, еще 3 части Мирт и гуава
[url]http://www.securelist.com/ru/blog/34302/Mirt_i_guava_Epizod_3[/url]
[url]http://www.securelist.com/ru/blog/34307/Mirt_i_guava_Epizod_4[/url]
[url]http://www.securelist.com/ru/blog/34310/Mirt_i_guava_Epizod_5[/url]

[B]Юльча[/B], на Инфре не Вы отписались в теме про ОО и ярлыки? :)

я :yes3:
для меня проблема тоже актуальна :smile2:



зы.
и кстати нас там дружно "послали" на антивирусный форум :D

упоротые какие-то. :( Я им про Ивана, они мне про барана

[CENTER][B]Уязвимость Windows, связанная с ярлыками, будет закрыта в понедельник 2 августа[/B][/CENTER]

Microsoft сообщает что нашумевшая уязвимость Windows, связанная с некорректной обработкой ярлыков, будет закрыта внеплановым обновлением в понедельник 2 августа. Бюллетень по поводу этой уязвимости был опубликован 16 июля.

[INDENT][RIGHT][URL="http://blogs.technet.com/b/msrc/archive/2010/07/29/out-of-band-release-to-address-microsoft-security-advisory-2286198.aspx"]technet.com[/URL][/RIGHT][/INDENT]