alizar18 окт 2010 в 22:10

Microsoft удалила 281 491 троян Zeus за пять дней

1 мин

1.1K

Информационная безопасность *

+19

Комментарии 43

amarao 18 окт 2010 в 22:14

А откуда они знают? Они что, отсылают данные на сервер?! А как же приватность?!!!

(требую картинку «белки-истерички» в топик)

Vovanys 19 окт 2010 в 06:57

habrastorage.org/storage/77cf7bf2/0ccb772f/141c1fc7/d5607d2d.jpeg а вот и белки, если вдруг нету ))

throble 19 окт 2010 в 08:04

Возможно, используется галочка, поставленная в одном из приложений MS (например в Security Essentials) об участии в User Experience Improvement Programme (или как она там называется). В том плане, что например договор об анонимной отправке статистики использования покрывает действия Malicious Software Removal Tool.

throble 19 окт 2010 в 08:07

www.microsoft.com/downloads/en/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=en

Also, please be aware that this tool reports anonymous information back to Microsoft in the event that an infection is found or an error is encountered.

Другое дело, что я не могу припомнить, чтобы об этом сообщалось при установке из Windows Update. Возможно когда-то давно, при первой установке Malicious Software Removal Tool и выскакивало окошко с просьбой принять условия, но при повторных загруках новых версий никаких предупреждений нет.

amc 19 окт 2010 в 12:17

>при первой установке Malicious Software Removal Tool и выскакивало окошко с просьбой принять условия
Да, а в WSUSe я обязательно с каждым обновлением с ЕУЛОй соглашаюсь

>но при повторных загруках новых версий никаких предупреждений нет.
Так вы же один раз согласились…

crash 18 окт 2010 в 22:37

>281 491 копий трояна Zeus с 274 873

скопировали, а потом опять удалили

darkfrei 19 окт 2010 в 00:27

Лучше бы объяснили как попал или откуда взялся этот троян на этих машинах. Подобное масштабное заражение неспроста.

darkfrei 19 окт 2010 в 00:46

С момента появления первой версии ZeuS и по настоящее время зафиксировано более сорока тысяч разновидностей этой троянской программы. Отсюда

Удалили почти 300 тысяч. Несложными вычислениями легко подсчитать что удалено всего в среднем по 7-8(!) троянов каждой разновидности.
Подозреваю что они гораздо более распространены и данная достигнутая цифра должна не радовать, а удручать.

BaBL 19 окт 2010 в 04:39

Билл Гейтс в детстве очень плохо учился в школе. Все дети как дети, сидят, программировать учатся, а Билл Гейтс весь урок в окно смотрит. Очень уж окна любил.

ну как-то так ZEUS начинался…

AotD 19 окт 2010 в 06:01

Это давным-давно успешный «коммерческий продукт», который покупается, обновляется, поддерживается, продается. — вот вам и откуда взялся.
Как попал? Это еще более простой вопрос. Достаточно посмотреть компьютер среднестатистической советской семьи: Windows XP, дай бог не ZverCD и что-то большее чем sp2, пачка вирусов разных мастей, необновлявшийся пол года NOD32 и его пользователи бездумно кликающие «Ок» в очередном диалоге браузера с примерным содержимым:«Для просмотра этого видеоролика необходимо установить Abobe Fllash Playa 10.2. Вы согласны?»
Более хитрый способ — вообще не вмешивать пользователя в этот процесс воспользовавшись мохнатой уязвимостью ОС, не обновлявшей дыры с самого момента установки.

BaBL 19 окт 2010 в 06:14

Да обновления ОС не спасают, вчера лечили на Win2k3 Standard Server актуально обновленном по полной программе старый добрый HLLW.Shadow.based. Гаду уже 2 года почти, первые патчи для винды от него датируются ноябрем 2008 года и все равно как-то пролез ведь! Причем на сервере нету открытых шар (разве что системные админские) и кроме функции DC + DNS он не выполняет вообще никаких ролей, USB/CD так же не доступны, а Вы «обновления», «обновления»…

amarao 19 окт 2010 в 10:06

Достаточно логина с правами доменного администратора на заражённую машину. Дальше там офицальное долбообство майкрософта — \\dc.domain\c$ — и пиши что хочешь. С правами администратора домена (domain administrator, enterprise administrator и т.д.).

amc 19 окт 2010 в 12:19

Кто говорил не работать из под админских прав?

amarao 19 окт 2010 в 12:29

В рамках идеологии MS некоторые операции нельзя сделать через runas (например, запустить эксплорер).

А вот то, что это приводит к бо-бо на соседних серверах для многих неожиданность. Ещё большая неожиданность в том, что бо-бо будет даже при runas (если библиотека с вирусом загрузится), и даже при логине с правами локального администратора, если пароли на машины совпадают.

amc 19 окт 2010 в 12:45

>> через runas (например, запустить эксплорер).
Простите, какой эксплорер?
Просто отдельное окно проводника? Запросто.
Полностью как шелл? Неудобно, но можно, taskkill /im explorer.exe /f && runas…

>>А вот то, что это приводит к бо-бо на соседних серверах для многих неожиданность.
SSO, так что логично.
>>Ещё большая неожиданность в том, что бо-бо будет даже при runas (если библиотека с вирусом загрузится),
Ну лично для меня непонятно, откуда возьмется дллка со зловредом
>>и даже при логине с правами локального администратора, если пароли на машины совпадают.
Ну да, и один пароль на все форумы и прочее…

В общем, да, есть недостатки, которые логично вытекают из фич, а раздолбаи не лечатся.

amarao 19 окт 2010 в 14:13

Запросто? Вы пробовали? Я лично знаю, что нет. Раньше был баг с запуском IE, но его пофиксили. explorer/control не запускается через runas. Увы.

dll'ка с зловредом возьмётся через дырку.

amc 20 окт 2010 в 12:58

>>Запросто?
Да
>>Вы пробовали?
Да
>>Я лично знаю, что нет
Плохо знаете
Taskkill /im explorer.exe /f (если терминал — то по PID или проще через taskmgr)
runas /user:v.pupkin explorer.exe
>>explorer/control не запускается через runas.
explorer — выше написал
большая часть апплетов пркрасно запускается напрямую, остальные через убийство эксплорера запускаются

И да, я проверил, работает.
И да, я согласен, это через жопу.
С другой стороны, в обычной жизни и не должно быть необходимости лазить в CP, за исключением форс-мажора, когда можно и потерпеть.

>>dll'ка с зловредом возьмётся через дырку.
В обычной, обWSUSенной жизни, дырки редко попадаются, а зловреды бегающие по административным шарам появляются только если кто-то сидит из под админа.

bear11 21 окт 2010 в 08:58

А как это групповой политикой выключить? Вроде ведь можно.

amarao 21 окт 2010 в 09:08

Групповой политикой? Никак. Чтобы скачать групповую политику нужно иметь включённой виндовую сетку (групповые политики домена скачиваются с DFC-шары домена). А как только виндовая сеть (SMB) включена, всё, c$ — ваш друг и помощник.

bear11 21 окт 2010 в 09:35

Ну это неверно. Простое гугление сразу нашло простой способ:
www.petri.co.il/disable_administrative_shares.htm

amarao 21 окт 2010 в 11:11

ОК, неправ. Интересно, там написано, что IPC$ не отключается — это означает, что можно по-прежнему добавлять задания в планировщик удалённо?

fenrirgray 18 окт 2010 в 22:59

Учитывая, сколько уже существует версий этого Zeus — далеко не факт, что удалилось все, на тех же уже почищенных компьютерах вполне могли остаться более новые версии, которые просто существовали параллельно со старыми.

Вообще Zeus очень любопытная штуковина.

Bzzz 18 окт 2010 в 23:18

Zeus кстати уже прекратил свое существование как продукт… автор отказался от него и больше не будет выпускать обновлений.

yktoo 19 окт 2010 в 14:44

Ну вот, расстроил линуксоидов… :)

Mezomish 19 окт 2010 в 21:38

Теперь линуксоиды будут требовать открыть исходники чтобы сделать форк %)

cold_wind 18 окт 2010 в 23:32

Как продукт он как раз не прекратил, просто теперь им будет заниматься другой программист(автор SpyEYE), наверно для автора запахло жареным и он решил сваливать пока не поздно ))

Bzzz 18 окт 2010 в 23:41

ну как сказать будет заниматься… исходники удалил… ничего автора спайя не передал ) Славику лень просто стало… или в глубокий приват ушел.

Akr0n 18 окт 2010 в 23:40

Мнда… Нашли чем хвастаться. Другое дело, если бы Microsoft предотвратили заражение 274 873 систем…

dmandreev 19 окт 2010 в 05:39

Что вы хотите этим сказать? Конечно предотвратили, и даже в разы больше.
О количестве предотвращенных атак можно получить общее представление из вот этой записи blogs.technet.com/b/mmpc/archive/2010/09/29/one-year-of-microsoft-security-essentials.aspx

Akr0n 19 окт 2010 в 05:52

Я имел в виду, что лучше было бы предотвратить такую эпидемию, чем бороться с последствиями.

zanudische 19 окт 2010 в 07:47

Сначала они сделали систему, дырявую чуть менее, чем полностью, и в которой могут невозбранно резвиться зеусы и прочие телепузики, а теперь героически с этим борятся.

h2o 19 окт 2010 в 04:50

281 491 — четыреста девяносто один троян.

alizar 19 окт 2010 в 12:40

fixed

sergei-grigorev 19 окт 2010 в 05:25

Периодически замечаю, что вместе с обновлениями приходит этот MSRT. Интересно, где можно посмотреть его лог, вдруг он что-то находит, но удаляет это «по тихому»?

PiSaiK 19 окт 2010 в 05:36

НЕ сказал бы что по тихому, система «призадумалась» минут на 15 при обновлении, я тогда и не понял что это было. Но теперь все ок.

CLaiN 19 окт 2010 в 07:03

Это был фееричный ппц. На ноуте он схавал все иопсы харда, очередь диска была в районе 20. Это безобразие продолжалось полчаса, за это время система вообще не отвечала.

Dragonizer 19 окт 2010 в 06:24

www.microsoft.com/security/malwareremove/default.aspx

Note The version of the tool delivered by Microsoft Update and Windows Update runs in the background and then reports if an infection is found. To run this tool more than once a month, use the version on this Web page or install the version that is available in the Download Center.

Если отчеты не выскакивали, то, по идее, ничего она не находила и не удаляла.