जनवरी 2013 की धमकियां और कॉन्फिकर के लिए हमारी सिफारिशें

पिछले महीने, Win32 / Qhost ट्रोजन निर्विवाद नेता था। अन्य खतरों की तुलना में रूस में इसकी गतिविधि की रेटिंग बहुत अधिक है, 15.9%। हमने पिछली मासिक रिपोर्टों में पहले ही उसका उल्लेख किया था, उनमें से एक में उसने हमारे "शीर्ष दस" खतरों का भी नेतृत्व किया था। Win32 / Qhost एक तकनीकी रूप से जटिल खतरा नहीं है, इसका एक मुख्य उद्देश्य सेवा होस्ट फ़ाइल को संशोधित करना है। इस पाठ फ़ाइल में जोड़े गए दुर्भावनापूर्ण प्रविष्टियों का उपयोग करते हुए, साइबर क्रिमिनल्स उपयोगकर्ता को फ़िशिंग संसाधनों पर पुनर्निर्देशित करते हैं। इसी समय, ऐसे संसाधनों का पुनर्निर्देशन मानक ओएस तंत्रों के कारण किया जाता है और स्वयं उपयोगकर्ता की न्यूनतम भागीदारी के साथ, जिन्हें वेब संसाधनों का दौरा करने के लिए केवल एक ब्राउज़र का उपयोग करने की आवश्यकता होती है।

ESET में एक प्रमुख विश्लेषक, आर्टेम बारानोव द्वारा टिप्पणी की गई।

सबसे अधिक संभावना है, यह इस सादगी और फ़िशिंग साइटों की एक विस्तृत श्रृंखला है जो Win32 / Qhost को हमलावरों के लिए इतना आकर्षक बनाती है। आखिरकार, मेजबान फ़ाइल का उपयोग करते हुए, वे उपयोगकर्ता को लगभग किसी भी दुर्भावनापूर्ण संसाधन को पुनर्निर्देशित कर सकते हैं जो कानूनी रूप से व्यावहारिक रूप से अप्रभेद्य है। इस प्रकार, एक असुरक्षित उपयोगकर्ता आसानी से घुसपैठियों को अपनी गोपनीय जानकारी भेज सकता है। एक नियम के रूप में, उनका लक्ष्य ऑनलाइन बैंकिंग के लिए प्रमाणीकरण डेटा प्राप्त करना है, या सामाजिक नेटवर्क से व्यक्तिगत जानकारी है।

रूस भर में Win32 / Qhost वितरण के आंकड़े बताते हैं कि इसका चरम दिसंबर 2012 में था; इसकी गतिविधि वर्तमान में घट रही है।


अंजीर। 1. रूस में Win32 / Qhost ट्रोजन की गतिविधि के आँकड़े।

हम ध्यान दें कि वेब पेजों में साइबर क्रिमिनल्स द्वारा एम्बेड की गई दुर्भावनापूर्ण वस्तुएं अभी भी रूसी रेटिंग की शीर्ष रेखाओं पर कब्जा करती हैं - हम HTML / IFrame (4.95%) और HTML / ScrInject (3.55%) परिवारों के बारे में बात कर रहे हैं। एक नियम के रूप में, मैलवेयर संक्रमण इन दुर्भावनापूर्ण वस्तुओं से शुरू होता है। हमलावर किसी वेबसाइट पर हमला करते हैं और दुर्भावनापूर्ण सामग्री के साथ वेब पेजों को संक्रमित करते हैं। यह साइट जितनी लोकप्रिय होगी, उतने अधिक उपयोगकर्ता साइबर हमले का शिकार हो सकते हैं। इन खतरों पर वर्तमान नकारात्मक गतिशीलता के बावजूद, हम शायद ही भविष्य में HTML / IFrame और HTML / ScrInject में महत्वपूर्ण गिरावट की उम्मीद कर सकते हैं।

लेकिन इसके विपरीत जाने-माने बैंकिंग ट्रोजन कारबेरप ने 2012 के मध्य से (छवि 2) के बाद से लगातार नीचे की ओर रुख दिखाया है, और सभी रूसी खतरों के बीच अब इसकी रेटिंग 1.1% है। एक अन्य प्रसिद्ध ट्रोजन Win32 / Bicololo है, जो Win32 / Qhost की तरह, मेजबानों की फाइल को संशोधित करने के उद्देश्य से है, दिसंबर में इसकी गतिविधि में काफी वृद्धि हुई और सकारात्मक गतिशीलता के साथ जनवरी को समाप्त हुआ। इसकी रेटिंग 2.07% है।


अंजीर। 2. रूस में बैंकिंग ट्रोजन कार्बप की गतिविधि के आँकड़े।

Win32 / StartPage ट्रोजन भी 0.8% के संकेतक के साथ हमारी जनवरी की खतरे की रेटिंग में गिर गया। इसका मुख्य कार्य उपयोगकर्ता के ब्राउज़र के प्रारंभ पृष्ठ को हमलावर द्वारा निर्दिष्ट वेब पृष्ठों पर पुनर्निर्देशित करना है। यह उपयोगकर्ता की खोजों को भी ट्रैक कर सकता है और विशेष फ़िशिंग साइट्स खोल सकता है। ध्यान दें कि हमारे शीर्ष दस में भी INF / ऑटोरन और Win32 / कन्फिकर थे, जो हमने 2012 की वार्षिक रिपोर्ट में लिखा था। जनवरी में, उनकी रेटिंग क्रमशः 1.92% और 1.18% थी। मैलवेयर की वैश्विक मात्रा में रूस का कुल हिस्सा 7.81% था।

वैश्विक खतरे के आंकड़े रूसी से अलग हैं, हालांकि यहां HTML / IFrame (3.0%) और HTML / ScrInject (2.71%) पूर्वनिर्धारित हैं। INF / ऑटोरुन (2.71%), Win32 / Conficker (2.31%), Win32 / Qhost (2.41%) की उपस्थिति, साथ ही Win32 / Dorkbot (1.52%) की उपस्थिति भी रूसी मूल के दस से संबंधित है। वेब पेजों की दुर्भावनापूर्ण वस्तुओं के अलावा जिन्हें हम HTML / IFrame और HTML / ScrInject के रूप में पहचानते हैं, शीर्ष दस में दुर्भावनापूर्ण जावा स्क्रिप्ट भी शामिल हैं: JS / Kryptik.ADZ (2.52%) और JS / TrojanDownloaded.Iframe (1.32) %)। इसके अलावा विश्व रैंकिंग में फ़ाइल इंफ़ेक्टर थे - Win32 / Sality (2.6%) और Win32 / Ramnit (1.4%)।

अलग से उल्लेख करने लायक है। फ़ाइल इंफ़ेक्टर्स का यह परिवार बहुत लंबे समय से जाना जाता है - इसके पहले संस्करणों को 2003 में वापस खोजा गया था। तब से, इस मैलवेयर में कई बदलाव हुए हैं, और संक्रमण और पेलोड दोनों के दुर्भावनापूर्ण कोड विकसित हुए हैं। इसके अलावा, सालिटी ने अपना बॉटनेट हासिल कर लिया है। मामूली उतार-चढ़ाव के बाद, Win32 / Sality स्थिति वास्तव में एक साल पहले की स्थिति में लौट आई है। हालांकि, पिछले एक महीने में, वह एक सकारात्मक वैश्विक गति दिखाता है।

वैश्विक खतरे के आंकड़े इस प्रकार हैं:



रूस के लिए खतरे के आंकड़े:



हमारी वार्षिक खतरे की रेटिंग में, हमने पहले ही कन्फिकर का उल्लेख किया है, व्यापकता के मामले में इसने चौथा स्थान प्राप्त किया।


अंजीर। 3. हमारी 2012 की रिपोर्ट के अनुसार वैश्विक खतरे की रेटिंग

यह याद रखने योग्य है कि कंफ़र कितना खतरनाक है। इसके विभिन्न संस्करण संक्रमित मशीन से आपके शरीर के स्व-वितरण और प्रतिलिपि बनाने के सबसे विविध तरीकों का उपयोग करते हैं। विशेष रूप से प्रासंगिक रिमूवेबल यूएसबी-डिवाइसेस सहित, शामिल ऑटोरुन के माध्यम से वितरण की विधि है। जैसा कि हम याद करते हैं, कन्फिकर एक कारण था कि Microsoft, विंडोज 7 से शुरू करके, डिफ़ॉल्ट रूप से ऑप्टिकल (डीवीडी और सीडी) को छोड़कर सभी हटाने योग्य मीडिया से ऑटोस्टार्ट फ़ंक्शन को बंद कर दिया। विंडोज 7 में स्टार्टअप के तरीकों में बदलाव के बारे में एमएस के एक तकनीकी नोट में, इस फैसले के कारणों में से एक के लिए कन्फर्म वर्म को नामित किया गया था।


अंजीर। 4. विंडोज 7 के लिए स्टार्टअप पॉलिसी में बदलाव।

चित्रा 4 में, हम पिछले ओएस संस्करणों (बाएं) की तुलना में विंडोज 7+ सिस्टम (दाएं) में हटाने योग्य गैर-ऑप्टिकल मीडिया के लिए ऑटोरन नीति में परिवर्तन देखते हैं। डिवाइस को संभावित रूप से दुर्भावनापूर्ण ऑटोरन तंत्र (.inf फ़ाइल) में उपयोगकर्ता द्वारा समझौता करने वाले मेनू आइटम को लाल रंग में हाइलाइट किया गया है, जो पूरी तरह से कन्फर्म व्यवहार के अनुरूप है। इसके अलावा, यदि उपयोगकर्ता "हमेशा करते हैं ..." की जाँच करता है, तो संभावित खतरनाक वस्तुएं स्वचालित रूप से बार-बार शुरू हो सकती हैं। जैसा कि आप देख सकते हैं, अब मेनू में ऐसा आइटम भी गायब है।

नीचे हम कुछ टिप्स देना चाहते हैं कि कैसे कन्फर्म वर्म से संक्रमित होने से बचा जाए।

OS को नियमित रूप से अपडेट करें

इसके वितरण के लिए पहले से ही बंद भेद्यताओं की एक किस्म का उपयोग करता है:

Microsoft सुरक्षा बुलेटिन MS08-067 - क्रिटिकल - सर्वर सेवा में भेद्यता दूरस्थ कोड निष्पादन की अनुमति दे सकती है

Microsoft सुरक्षा बुलेटिन MS08-068 - महत्वपूर्ण - SMB में भेद्यता दूरस्थ कोड निष्पादन की अनुमति दे सकती है

Microsoft सुरक्षा बुलेटिन MS09-001 - महत्वपूर्ण - SMB में कमजोरियाँ दूरस्थ कोड निष्पादन की अनुमति दे सकती हैं

उन्हें हल करने के लिए अद्यतन KB958644, KB957097, और KB958687 हैं। बेशक, अच्छे स्वाद का नियम नियमित रूप से ओएस को मैन्युअल रूप से अपडेट करना है, या ऑटो-अपडेट तंत्र का उपयोग करना है - इससे विभिन्न खतरों को रोकने में मदद मिलेगी जो आपके कंप्यूटर पर सिस्टम की कमजोरियों का फायदा उठाने से रोकते हैं।

Windows Vista / Windows XP में ऑटोरन अक्षम करें

यदि आप Vista या XP का उपयोग कर रहे हैं, तो ऑटोरन को निष्क्रिय करने के लिए निम्नलिखित निर्देशों का उपयोग करें:
1. इस लिंक पर राइट-क्लिक करें और “Save As As…” पर क्लिक करें।
2. उस स्थान का चयन करें जहां आप फ़ाइल को सहेजना चाहते हैं (उदाहरण के लिए, डेस्कटॉप पर) और "सहेजें" पर क्लिक करें।
3. उस स्थान को खोलें जहां आपने फ़ाइल को सहेजा है और रजिस्ट्री पर जानकारी जोड़ने के लिए उस पर डबल-क्लिक करें। "हां" पर क्लिक करके जानकारी के अलावा की पुष्टि करें।

ध्यान दो! आपके द्वारा सिस्टम रजिस्ट्री में एक फ़ाइल से जानकारी आयात करने के बाद, आपके सिस्टम द्वारा किसी भी फ़ाइल autorun.inf को अनदेखा किया जाएगा। इस प्रकार, यहां तक ​​कि स्थापना सीडी / डीवीडी अब स्वचालित रूप से शुरू करने में सक्षम नहीं होंगे।

यदि आपको अपने कंप्यूटर को कन्फिकर से साफ़ करने की आवश्यकता है या यदि आपको संदेह है कि आप पहले ही संक्रमित हो चुके हैं, तो निम्न निर्देशों का उपयोग करें:
1. पावर कॉर्ड को अनप्लग करें। यह कीड़ा इंटरनेट और स्थानीय नेटवर्क दोनों पर फैल सकता है।
2. यदि संभव हो, तो उपरोक्त कमजोरियों के लिए पैच डाउनलोड करने के लिए एक और गैर-संक्रमित कंप्यूटर का उपयोग करें।
3. अपने व्यवस्थापक खाते के लिए एक नया, क्रिप्टोग्राफ़िक पासवर्ड सेट करें।
4. Conficker निकालने के लिए हमारी EConfickerRemover उपयोगिता का उपयोग करें।
5. ESET NOD32 का नवीनतम संस्करण डाउनलोड और इंस्टॉल करें।
6. एंटीवायरस डेटाबेस अपडेट करें।

यह सत्यापित करने के लिए कि उपचार सफल था, EConfickerRemover उपयोगिता को फिर से चलाएं, और तब एंटीवायरस के भाग के रूप में स्कैनर का उपयोग करें। हम यह भी सलाह देते हैं कि आप इस Microsoft लेख पर ध्यान दें जिसमें Conficker के बारे में विस्तृत जानकारी है।