En PC & Nätverksteknikers tankar

Säkerhetsföretaget Kaspersky har sammanställt en topplista av årets hitintills vanligaste skadliga programvaror som upptäckts av deras senaste säkerhetslösning.

Virus/Adware/PUP

Virus/Maskar/Trojaner

Net-Worm.Win32.Kido.ih (Conficker/Downadup) Virus.Win32.Sality.aa Trojan.Win32.Autoit.ci Trojan-Downloader.Win32.VB.eql Packed.Win32.Krap.g Worm.Win32.AutoRun.dui Packed.Win32.Krap.b Packed.Win32.Black.a Trojan-Dropper.Win32.Flystud.ko Virus.Win32.Sality.z Worm.Win32.Mabezat.b Virus.Win32.Alman.b Worm.Win32.Autoit.ar Trojan.JS.Agent.ty Email-Worm.Win32.Brontok.q Worm.Win32.Autoit.i Virus.Win32.VB.bu Packed.Win32.Katusha.a Trojan.Win32.RaMag.a Trojan.Win32.Autoit.xp

Virus.Win32.Sality.aa Worm.Win32.Mabezat.b Virus.Win32.Virut.ce Net-Worm.Win32.Nimda Virus.Win32.Xorer.du Virus.Win32.Sality.z Virus.Win32.Alman. Virus.Win32.Parite. Virus.Win32.Virut.q Trojan-Downloader.HTML.Agent.ml Virus.Win32.Small.l Email-Worm.Win32.Runouce.b Net-Worm.Win32.Kido.ih (Conficker/Downadup) Virus.Win32.Virut.n Virus.Win32.Parite.a Virus.Win32.Hidrag.a Trojan-Clicker.HTML.IFrame.acy P2P-Worm.Win32.Bacteraloh.h Worm.Win32.Otwycal.g Worm.Win32.Fujack.k

Det som är intressantast är att masken Nimda fortfarande ligger som fjärde plats pålistan trots att det har funnits i 8 år, medan den senaste faran Conficker endast ligger på 13 plats.

För er som inte vet skillnaden kommer här en kort definition av vad som skiljer mellan olika typer av skadlig programvara (Malware).

• Virus - Sprider sig till filer lagrade på den infekterade datorn och följer med infekterade filer när de överförs till andra datorer.
• Mask/Worm - Sprider sig via datornätverk mellan datorer.
• Trojansk häst/Trojan - Utger sig för att göra en sak, men utför andra saker vanligen dolda för en användare, t.ex nedladdning av spionprogram.
• Logisk bomb - Utför en (skadlig) handling under speciella villkor, till exempel att ett visst datum infinner sig.
• Spionprogram/Spyware - Spionerar på privat information på infekterade datorer, och skickar informationen över internet.
• Annonsprogram/Adware - Visar annonser på infekterade datorer.
• Keylogger - Registrerar information om de tangenter som trycks på datorn, till exempel lösenord, och lagrar informationen lokalt för senare åtkomst eller skickar den via internet.

Två nya säkerhetsbrister funna av Nigel och Martin Olsen i ClamAV, den första sårbarheten beror på ett fel i funktionen cli_url_canon() som inte hanterar riggade URL:er på ett korrekt sätt, och kan medföra att program kan köras utan användarens vetskap. Den andra bristen beror på ett fel vid hanteringen av UPack-arkiv och kan leda till att ClamAV kraschar.

Påverkade versioner:
ClamAV versioner tidigare än 0.95.1

Källa: ClamAV

En säkerhetsbrist har nyligen upptäckts i Microsoft Powerpoint. En angripare kan utnyttja sårbarheten genom att lura en användare att öppna en speciellt preparerad Powerpoint fil. Ett lyckat utnyttjande kan leda till att kod körs med samma rättigheter som innehas av användaren.

Påverkade versioner:

• Microsoft Office PowerPoint 2000 Service Pack 3
• Microsoft Office PowerPoint 2002 Service Pack 3
• Microsoft Office PowerPoint 2003 Service Pack 3
• Microsoft Office 2004 for Mac

Källa: Microsoft

Tillmann Werner och Felix Leder vid The Honeynet Project har tillsammans med Dan Kaminsky listat ut ett sätt att upptäcka Conficker-infekterade maskiner.

Conficker modifierar delar av Windows, närmare bestämt NetpwPathCanonicalize(), på ett sådant sätt att det går att skilja en Conficker-infekterad maskin från både en opatchad maskin och en maskin som är patchad med MS08-067. Gallringen sker genom att man kan analysera felkoder från specialkonstruerade RPC-meddelanden.

Mer information och "proof-of-concept"-kod finns på The Honeynet Project och Doxpara.

För mer information om Conficker så kan du läsa SRI Internationals analys och Conficker Working Groups FAQ, eller The Honeynet Projects "Know Your Enemy: Containing Conficker" samt instruktioner för att scanna efter Conficker med nmap hittar du på Skullsecurity och Seclists.

Ett plug-in till Nessus finns också att ladda hem.

En sårbarhet som kan medföra exekvering av godtycklig kod har upptäckts i Adobe Acrobat Reader.

Genom att skapa en pdf-fil som utnyttjar sårbarheten kan en angripare exekvera godtycklig kod med samma rättigheter som den inloggade användaren har. För närvarande finns det ingen programrättning att tillgå.

För att minska risken att drabbas uppmanas användare av Adobe Acrobat Reader att undvika att öppna pdf-dokument som inte kommer från pålitliga källor.

Sårbarheten upptäcktes av Symantec.

Påverkade versioner:
Adobe Acrobat Reader 9.0.0 och tidigare

Källa: Shadowserver.org / Security Tracker