Мирт и гуава: Эпизод 5

Re:

Да, у нас есть эта детальная статистика "с серверов".
Страны и цифры очень хорошо коррелируют с нашими.

Re:

Как вы думаете, почему сервера недоступны ? :)
Сименс, бедняги, бьются бьются, а у них червь не коннектится.
Координация действий конечно ужасает :(

Re: Re:

Я только не очень уловил, как Симантек их под себя загрёб. Они как-то мутно этот момент описали.

Re: Re: Re:

я знаю, но не расскажу :)
и это был _не_совсем_ Симантек.
точнее, не только Симантек.

Re: Дело пошло...

А между тем Sophos уже выпустил свою утилитку для защиты от этого эксплойта: http://www.sophos.com/blogs/gc/g/2010/07/26/shortcut-exploit-free-tool/ (сейчас себе поставлю - вот только проверить не на чем).

"ЛК", не отставайте! ;)

Re: Re: Дело пошло...

у нас есть гораздо более серьезные задачи :)
на днях расскажем

Re: Re: Дело пошло...

http://www.translate.ru/links/8022a7ed - примерный перевод страницы с утилитой для тех кто с английским не дружит :)

Re: Re: Дело пошло...

Имхо лучше ждать заплату от производителя - то есть MS.

Re:

Хм, кто-то хотел устроить промышленный коллапс...

Re: Re:

Скорей попробовать, наскоко это реально. Самое интересное начнется, когда внутри обертки начнут появляться свои куски кода со своим функционалом. Кстати, не в зашифрованных ли блоках данных эти куски ждут своего часа?

З.Ы. Кстати, глядючи на зашифрованные данные. Если бы они были захардкодены каким-нибудь реальным шифром, типа там RC4 или AES, в данных не было бы на глаз заметно никакой регулярности, был бы белый шум. А тут нули сплошные, сериями. Что-то непонятно и подозрительно.

Re: Re: Re:

это расшифрованные

Re:

Ярчайший пример гавнопиара

Re:

Где-где, а в США распространенность WinCC практически нулевая.

Re:

Я уж было подумал, это Wall Street Journal разоряется - там любят такие страшилки. Даже странно, что они так долго телятся с этой. ;)

Re: Re:Как я понял вы даже в рекламных целях утилиту под под СтукНет не выпустили

Глупости.
В понедельник будет нормальный патч от Микрософта.

Re: Так он уже как 10 дней доступен :)

Да прямо 10 дней, только сегодня выпустили. Только патч - вот он: http://www.microsoft.com/technet/security/bulletin/ms10-046.mspx, а по вашей ссылке всего лишь воркэраунд. Ему - да, уже недели две.

Так "патч" же без обезвредивателя :)

Important note on the Microsoft Patch
The Microsoft Patch only prevents that the trojan from being installed automatically on the system.
If a user with admin-rights opens an infected LNK-file by mouse click on a computer on which the Microsoft Patch is installed, the computer will become infected - if no virus scanner has been installed.
To avoid such an infection, it is strongly recommended that users only log in with power user rights.
Power users do not have the necessary permissions to start code from another drive.
For additional security use an approved virus scanner.

Re: Так "патч" же без обезвредивателя :)

Ну, это уже как бы не является функцией виндов - обезвреживать.

Re: Re: Так "патч" же дырявый :)

Это была перефразировка из Трембиты "Так мина же без взрывателя" =
"Патч же дырявый".
Написано на иноязычном: 1. Заплатка предотвращает автоматическую установку вируса при открытии обозревателя с заражённым носителем.
2. Заплатка не спасёт, если пользователь с правами админа (а разве есть дома другие) ткнёт в заражённый ярлык той же флешки - вирус установится. То есть виноват будет пользователь привычно ткнувщий в ярлык.
Наличие антивируса не гарантирует защиту от новых вариантов ярлычных вирусов.

Re: Re: Re: Так "патч" же дырявый :)

Я прочитал на иноязычном, спасибо. ;)

Проблема (уязвимость) была в том, что вирус проникал без прямого участия пользователя. Эту проблему устранили. То, что вирус может проникнуть, если юзер сам запустит вредоносный файл (или ярлык, который на этот файл ссылается) - ну, в этом как бы нет ничего особенного. Тем более если у него права админа.

Так что патч, я считаю, адекватный вполне. Уязвимость устранена, а защищать пользователя от его собственных действий - это уже функции антивируса.

Так "патч" же дырявый :)

ИК: если юзер сам запустит вредоносный файл (или ярлык, который на этот файл ссылается)
Так дело в том, что ярлыки LNK и PIF не являются по аксиоме исполнительными файлами и не могут исполняться.
Это тоже самое, что кликнуть по фотографии.JPG и неожиданно узнать, что фотка оказывается является программой с инкапсулированным программным кодом.
Так что по сути уязвимость осталась - ярлыки имеют возможность выполнять встроенный программный код, хотя эту функциональность и требовалось закрыть.
Против неизвестных вариантов ярлычного вируса (так же как и против обычных autorun.inf) антивирусы бессильны - увы, но разработчики Касперского оказывается сами используют скрытый autorun.inf в своих утилитах и поэтому принципиально не борются с этим видом угроз.