כותבי קודים זדוניים מסתמכים על התנהגות עדכונים לקויה של משתמשים. חורי אבטחה ישנים מאוד פופולריים בקרב עבריינים מקוונים.
כאשר מדביקים מחשבים אישיים, פושעים מקוונים נהנים יותר ויותר מעדכונים לא מותקנים של הדפדפנים המשמשים ורכיביהם. על פי ניתוחים של G Data SecurityLabs, פערי אבטחה בתוספי דפדפן שלא נסגרו נמצאים כיום באופנה רבה בקרב כנופיות סייבר. בתפיסת הפצה זו, הפוגעים בשום אופן לא מנצלים רק את פערי האבטחה הנוכחיים - כך מוכיחים ניתוחי הקוד הזדוניים הנוכחיים של חודש מאי 2011.
רק בחודש הקודם, ארבעה מתוך עשרה איומי תוכנות זדוניות ממוחשבים בעשרת המובילים ממוקדים בחורי האבטחה של Java, שאליהם חברת אורקל מציעה עדכון מאז מרץ 2010. יצרנית אבטחת ה- IT הגרמנית רושמת צמיחה נוספת בתוכנות זדוניות המתקינות תוכנות פרסום או מנסות לגרום למשתמשים להתקין תוכנות הגנה מפני וירוסים מזויפות.
מידע על תוכנות זדוניות במחשב מ- G Data Malware Top10
תפקידי התוכניות שונים ונעים בין פרסומות לא רצויות, התקנת תוכנות ריגול ועד שיווק תוכנות הגנה מפני וירוסים מזויפות (סקארו). Trojan.FakeAlert.CJM, למשל, משתמש בדפדפן כדי להערים על משתמשים להאמין שהמחשבים שלהם נגועים. רק "תוכנית ההגנה" המפורסמת לרכישה מסוגלת לחטא את המערכת שוב. קורבנות הנופלים בהונאה זו רוכשים תוכנות חסרות תועלת ולעתים קרובות מסוכנות שבמקום להגן עליה רק מורידות ומתקינות קוד זדוני נוסף וגונבות נתונים אישיים.
- Java.Trojan.Downloader.OpenConnection.AO: ניתן למצוא את ההורדה הטרויאנית הזו ביישומי Java מנופחים באתרי אינטרנט. כאשר הטעינה של היישומון היא יוצרת כתובת URL מפרמטרי היישומון ומשם המוריד מוריד קובץ הפעלה זדוני למחשב המשתמש ומבצע אותו. קבצים אלה יכולים להיות כל סוג של תוכנות זדוניות. ההורדה מנצלת את הפגיעות CVE-2010-0840 כדי לפרוץ מארגז החול של Java ולכתוב נתונים למערכת.
- Trojan.Wimad.Gen.1: טרויאני זה מתיימר להיות קובץ שמע רגיל .wma, שניתן להפעיל אותו רק במערכות Windows לאחר התקנת קודק / מפענח מיוחד. אם הקובץ מבוצע על ידי המשתמש, התוקף יכול להתקין כל קוד זדוני במערכת. קבצי השמע הנגועים מתפשטים בעיקר באמצעות רשתות P2P.
- Gen: Variant.Adware.Hotbar.1: תוכנת פרסום זו מותקנת לרוב באופן לא מודע, כחלק מחבילות תוכנה חינמיות מתוכנות כגון VLC, XviD או דומות, שאינן נטענות על ידי היצרן, אלא ממקורות אחרים. נותני החסות של התוכנה הנוכחית הזו הם 'Clickpotato' ו- 'Hotbar'. כל החבילות נחתמות דיגיטלית על ידי חברת "פינבול תאגיד" ותוכנת הפרסום מופעלת אוטומטית בכל פעם שההפעלה של Windows משולבת כסמל מערכת.
- Worm.Autorun.VHG: תוכנה זדונית זו היא תולעת המתפשטת על מערכות הפעלה של Windows בעזרת הפונקציה autorun.inf. הוא משתמש במדיה נשלפת כגון מקלות USB או כוננים קשיחים ניידים. זוהי תולעת אינטרנט ורשת ומשתמשת בפגיעות של Windows CVE-2008-4250.
- Java.Trojan.Downloader.OpenConnection.AI: ניתן למצוא את ההורדה הטרויאנית הזו ביישומי Java מנופחים באתרי אינטרנט. כאשר הטעינה של היישומון היא יוצרת כתובת URL מפרמטרי היישומון, ומשם מוריד ההורדה קובץ הפעלה זדוני למחשב המשתמש ומריץ אותו. קבצים אלה יכולים להיות כל סוג של תוכנות זדוניות. ההורדה מנצלת את הפגיעות CVE-2010-0840 כדי לעקוף את ארגז החול של Java וכך תוכל לכתוב נתונים באופן מקומי.
- Trojan.AutorunINF.Gen: זהו זיהוי גנרי שמזהה קבצי autorun.inf זדוניים ידועים כמו גם לא ידועים. קבצי Autorun.inf הינם קבצים להפעלה אוטומטית המנוצלים לרעה במכשירי USB, מדיה נשלפת, תקליטורים ו- DVD כמנגנונים להפצת תוכנות זדוניות ממוחשבות.
- Java.Trojan.Downloader.OpenConnection.AN: ניתן למצוא הורדה טרויאנית זו ביישומי Java מנופחים באתרי אינטרנט. כאשר הטעינה של היישומון היא יוצרת כתובת URL מפרמטרי היישומון ומשם הורדה מורידה קובץ הפעלה זדוני למחשב המשתמש ומבצעת אותו. קבצים אלה יכולים להיות כל סוג של תוכנות זדוניות. ההורדה מנצלת את הפגיעות CVE-2010-0840 כדי לפרוץ מארגז החול של Java ולכתוב נתונים למערכת.
- Java: Agent-DU [הסבר]: תוכנה זדונית זו מבוססת ג'אווה היא יישומון הורדה אשר באמצעות חור אבטחה (CVE-2010-0840) מנסה לעקוף מנגנוני הגנה של ארגז חול על מנת להוריד תוכנות זדוניות נוספות למחשב. על ידי הטעיית ארגז החול, היישומון יכול, למשל, לבצע קובצי .EXE שהורדו ישירות, דבר שאפלט פשוט אינו יכול, שכן ארגז החול של Java אכן ימנע זאת.
- Trojan.FakeAlert.CJM: תוכנה זדונית זו מנסה להערים על משתמשי מחשב להוריד תוכנות הגנה מפני וירוסים מזויפות (תוכנת זיוף AV) של ה- FakeAV בפועל. האתר מחקה את סייר Windows של משתמש המחשב ומציג אינספור זיהומים לכאורה. ברגע שהמשתמש לוחץ על נקודה כלשהי באתר, מוצע קובץ להורדה וזה מכיל את ה- FakeAV בפועל, למשל גרסה של "כלי המערכת".
- HTML: Downloader-AU [הסבר]: תוכנה זדונית זו מבוססת ג'אווה היא יישומון הטוען דף HTML. דף HTML מוכן זה מנסה לטעון מחלקת Java מכתובת אתר ל- VM הפגיע של Java דרך חור אבטחה (המתואר ב- CVE-2010-4452). עם זאת, התוקף רוצה לעקוף את מנגנוני ההגנה של VM ובכך לפתוח את האפשרות לאפשר כמעט כל פעולה במחשב.
מקור: G Data
