Linux Darlloz, un program Worm care minează pentru monede digitale, a compromis 31.000 de dispozitive în decurs de patru luni.

În luna noiembrie 2013, specialiștii Symantec au descoperit un program Worm denumit Linux Darlloz, care are drept scop atacul dispozitivelor conectate la Internet of Things (IoT). Acest program maliţios afectează sisteme de calcul bazate pe arhitecturi Intel x86, inclusiv dispozitive operate pe arhitecturi ARM, MIPS, PowerPC, aparate tip router sau cutii set-top (de televiziune digitală prin cablu și Internet). Ulterior versiunii din Noiembrie, a fost descoperită la mijlocul lunii ianuarie o nouă versiune a programului Worm Linux Darlloz. Autorul programului Worm actualizează permanent codul programului și îi adaugă noi proprietăți, în principal cu scopul obținerii de bani în mod fraudulos prin folosirii acestuia.

Prin intermediul unei scanări integrale a adreselor IP de pe Internet în luna Februarie, au fost descoperite peste 31.000 de dispozitive infectate cu programul Worm Linux Darlloz.

Minare pentru bani

În prezent, scopul programului malițios Linux Darlloz este minarea pentru monedă virtuală. Odată infectat un computer care operează pe arhitectură Intel, noua variantă a Linux Darlloz instalează aplicația cpuminer, un soft open-source dedicat minării de monedă virtuală, apoi începe procedurile de minare a monedelor Mincoins sau Dogecoins de pe computerele infectate. Până la finele lunii Februarie 2014, atacatorul a minat 42.438 Dogecoins (echivalentul a  aproximativ 46 de dolari, la cursul de schimb valutar curent) și 282 de Mincoins (echivalentul a 150 de dolari). Aceste sume minate sunt relativ scăzute în contextul mediei de infracțiuni virtuale, însă ne așteptăm ca atacatorul să își dezvolte programul Worm pentru câștiguri mai consistente.

Noile proprietăți ale programului Worm minează deocamdată exclusiv computere care operează pe arhitectura Intel x86 și nu am descoperit până acum dispozitive conectate la Internet of Things (IoT) afectate, mai ales că aceste dispozitive necesită mai multe resurse de memorie și un procesor CPU avansat pentru minarea de monedă virtuală.

De ce Mincoin și Dogecoin?

Programul Worm se adresează în principal minării monedelor Mincoin și Dogecoin, deși există monede mult mai valoroase cum ar fi, spre exemplu, Bitcoin. Motivul este faptul că Mincoin și Dogecoin folosesc un algoritm care permite în continuare minarea cu succes de pe dispozitivele computere obișnuite, în timp ce Bitcoin necesită chip-uri speciale tip ASIC pentru o minare profitabilă.

De ce Internet of Things (IoT)?

Infrastructura Internet of Things conectează dispozitive de toate tipurile. Deși mulți utilizatori utilizează măsuri de securitate împotriva atacurilor informatice, dispozitivele IoT nu sunt întotdeauna securizate. Spre deosebire de computerele obișnuite, majoritatea dispozitivelor IoT dispun de măsuri de securitate standard, cu acces prin user și parolă, care sunt rareori schimbate de utilizatori. Drept urmare, datele de acces standard sunt folosite de atacatori pentru a se infiltra pe dispozitive. În plus, multe dintre dispozitive au vulnerabilități încă neacoperite de soluțiile de securitate, aspecte care de multe ori nu sunt știute de consumatori.

Deși programul Worm atacă în principal computerele obișnuite, folosite în mediul rezidențial, router-ele, cutiile set-top sau camerele video pe bază de IP, Linux Darlloz poate fi actualizat pentru a se inflitra și pe alte dispozitive IoT, dispozitive de control din locuință sau dispozitive purtabile.

Impactul Linux Darlloz  

Linux Darlloz blochează accesul altor atacatori sau programe Worm cum ar fi, spre exemplu, Linux Aidra. După ce infectează un dispozitiv, pentru a se răspândi, Darlloz inițiază un server Web HTTP prin portul 58455. Acest server găzduiește fișiere Worm și permite oricui descărcarea de fișiere prin intermediul portului, folosind o solicitare tip HTTP GET. Astfel, specialiștii Symantec au căutat adresele de IP care deschid acest port și găzduiesc programul Darlloz pe rute statice și, pornind de la presupunerea că programul poate fi descărcat, au colectat amprentele sistemului de operare pe serverul-gazdă. Următoarele date statistice oferă o perspectivă asupra impactului programului LinuxDarlloz:

• Darlloz a infectat 31.716 adrese IP
• Infectarea Darlloz afectează 139 regiuni
• Au fost identificate 449 de amprente ale sistemului de operare în adresele de IP infectate
• 43% din infectările Darlloz compromit computere operate pe arhitecturi Intel și servere Linux
• 38% din infectările Darlloz afectează o varietate de dispozitive IoT, printre care routere, cutii set-top, camere video IP și imprimante
• 31% dintre atacuri vizează dispozitive din China, iar 30% din SUA, urmate de Coreea de Sud, Taiwan și India, regiuni cu un număr mare de utilizatori de nternet și o rată crescută a penetrării dispozitivelor IoT.

Dispozitive IoT infectate

Este posibil ca numeroși utilizatorii să nu realizeze faptul că dispozitivele lor sunt infectate cu malware. În doar 4 luni, Darlloz a compromis peste 31.000 de computere și dispozitive IoT, iar cifrele sunt în creștere. Este de așteptat ca autorul acestui Malware să își actualizeze programul cu noi proprietăți, iar Symantec monitorizează cu atenție acțiunile acestei amenințări.

Atenuarea influenței programelor Worm

• Aplicarea patch-urilor de securitatea pentru toate programele instalate pe computer și dispozitive IoT
• Actualizarea programelor firmware furnizate de companiile producătoare de dispozitive specializate
• Schimbarea parolei standard pe toate dispozitivele
• Blocarea conexiunilor externe prin porturile 23 sau 80 din afara rețelei, dacă acestea nu sunt necesare.

Programele de mesagerie instant, precum Yahoo Messenger, au fost intotdeauna unul dintre principalele canale de transmitere a amenintarilor informatice. Deoarece, in general, astfel de amenintari au la baza mecanisme nu foarte elaborate de inginerie sociala, sunt depistate cu usurinta de utilizatori. Cu toate acestea, specialistii Bitdefender au identificat de curand un program periculos de tip bot, care se propaga prin intermediul Yahoo Messenger si foloseste un mecanim extrem de ingenios pentru a insela vigilenta utilizatorilor.

Amenintarea, numita Trojan.YIMBot.K, initiaza conversatii pe Yahoo Messenger, printr-o formula politicoasa si extrem de autentica de salut si anunta o asa-zisa stire bomba: Apple ofera gratuit 5000 de laptopuri MacBook pentru a comemora moartea lui Steve Jobs. Noutatea in cazul acestei amenintari consta in faptul ca reuseste sa fie extrem de interactiva, simuland replici autentice, ca si cand in spatele falsului ID de Messenger se afla o persoana reala. Programul este conceput astfel incat recunoaste unele cuvinte cheie din conversatia victimei si da replici pertinente.

Link-ul mentionat te trimite spre o pagina cu oferte de lucru de acasa. De aici lucrurile devin foarte periculoase pentru utilizator. Un antivirus performant ar trebui sa avertizeze utilizatorii ca pagina cu pricina este periculoasa si sa blocheze accesul. Va recomandam prudenta atunci cand adaugati in lista din Messenger ID-uri necunoscute.

Scopul acestei actiuni este de a-i convinge pe utilizatori sa acceseze o asa-zisa pagina unde se pot inscrie pentru a intra in posesia unui MacBook gratuit. La accesarea linkului, victimele sunt redirectionate catre un site de joburi ce iti ofera posibilitatea sa lucrezi de acasa. Si aici e vorba despre o intelatorie, gandita pentru a masca o serie de tranzactii ilicite.

Mecanismul din spatele acestei strategeme ii implica pe utilizatorii nestiutori care, fara sa isi dea seama, primesc si redirectioneaza sume de bani in diverse locatii de pe glob, astfel incat autoritatile sa nu poata urmari traseul banilor obtinuti in mod fraudulos.

YIMBot.K este un vierme malware proiectat sa se raspandeasca prin intermediul programelor de mesagerie instanta. YIMBot.K se instaleaza singur in computer si cauta in reteaua locala sisteme vulnerabile ce au partajate anumite resurse. Acest vierme are abilitatea sa creeze un fisier autorun de configurare numit autorun.inf pentru a valida executia sa automata de fiecare data cand se incarca sistemul de operare. YIMBot.K reprezinta o amenintare asupra singurantei computerului si va trebui eliminata din sistem imediat ce a fost detectata.

Utilizatorii Bitdefender sunt protejati impotriva acestei amenintari, detectata chiar de la aparita sa in mediul virtual. Cei care nu folosesc programe de securitate a datelor isi pot face o scanare rapida a sistemului, in mai putin de 60 de secunde, pentru a vedea daca un astfel de program periculos s-a infiltrat in calculatoarele lor.

Sursa: Bitdefender

Mii de utilizatori Facebook sunt nevoiti sa isi reseteze parolele pentru a stopa raspandirea viermelui Ramnit, care vizeaza utilizatorii retelei sociale, in special in Marea Britanie si Franta.
Cercetatorii in securitate de la Seculert au descoperit ca aproximativ 45.000 date de autentificare au fost furate prin intermediul unei variante a viermelui Ramnit si au adus la cunostinta Facebook aceasta problema.

Facebook a declarat ca majoritatea datelor de autentificare furate sunt out-of-date, insa toti utilizatorii afectati vor fi obliati sa isi reseteze parolele pentru imbunatatirea securitatii, informeaza The Telegraph.

Un purtator de cuvant al companiei a declarat ca Facebook a inceput colaborarea cu partenerii sai pentru a adauga protectie sistemelor sale antivirus.

Cercetatorii de la Seculert au avertizat asupra faptului ca atacatorii din spatele Ramnit ar putea folosi datele furate pentru a se loga pe conturile Facebook ale victimelor si a transmite link-uri malware prietenilor acestora, accelerand raspandirea malware-ului. Acestia adauga ca infractorii cibernetici ar putea profita de faptul ca utilizatorii tind sa foloseasca aceeasi parola pentru servicii web diferite, cum ar fi Corporate SSL VPN, pentru a obtine acces de la distanta la retelele corporative.

Facebook a cerut utilizatorilor sa evite a accesa orice link suspect si sa raporteze astfel de practici.

Sursa: ComputerWeekly.com

Un vierme informatic, cunoscut sub denumirea de Ramnit, a fost raspandit prin intermediul retelei de socializare Facebook, acesta facand deja cateva mii de victime si ameninta in continuare integritatea conturilor celorlalti utilizatori.

Potrivit specialistilor in securitatea IT, viermele denumit Ramnit a furat pana acum 45.000 de parole ale unor conturi de Facebook.

Exista doua lucruri importante de care utilizatorii trebuie sa tina cont pentru nu a cadea victime acestui malware. In primul rand, atentie sporita inainte de a face click pe link-urile primite pe Facebook din partea prietenilor si, in al doilea rand, sa fie sceptici in special in ceea ce priveste link-urile primite din partea unor persoane pe care nu le cunosc si cu care n-au mai comunicat inainte.

Sursa: TehnoPol

La inceputul lunii septembrie a fost descoperit viermele Duqu, dupa ce un utilizator din Ungaria a incarcat una dintre componentele malware-ului pe Virustotal.Inca de cand a fost identificat, Duqu a fost asemanat viermelui Stuxnet, care a avut ca scop obtinerea controlului asupra sistemelor utilizate in cadrul programelor nucleare ale Iranului. Spre deosebire de Stuxnet, insa, obiectivul pentru care Duqu a fost creat inca nu este cunoscut. Astfel, in timpul fiecarui atac al malware-lui, driverele utilizate pentru a infecta sistemul au fost modificate. De exemplu, intr-unul dintre cazurile de infectare driver-ul utilizat avea o semnatura digitala falsa, pe cand in alte cazuri nu a existat nicio semnatura.

Aceste descoperiri i-au determinat pe cei de la Kaspersky sa il clasifice pe Duqu ca fiind un instrument ale carui caracteristici sunt modificate in functie de tinta vizata.

Asa cum se specifica si in prima parte a analizei, au fost detectate pana in acest moment foarte putine cazuri de infectare, o particularitate care il deosebeste pe Duqu de Stuxnet. Cu ajutorul sistemului de tip cloud Kaspersky Security Network, au fost detectate patru noi sisteme infectate – unul a fost localizata in Sudan, iar celelalte trei in Iran.

In fiecare dintre cazurile de infectare, a fost operata o modificare de driver necesara pentru ca sistemul vizat sa fie penetrat.

Un indiciu foarte important l-a reprezentat o tentativa dubla de infectare a unei retele din Iran, care a incercat sa exploateze vulnerabilitatea din Microsoft Windows, MS08-067, care a fost utilizata si de Stuxnet si un alt malware mai vechi, Kido. Prima tentativa de atac a avut loc pe 4 octombrie, iar a doua pe 16 octombrie si ambele au fost operate de la o adresa IP, care a apartinut in trecut unui ISP din Statele Unite. Faptul ca ambele tentative de atac au avut o tinta din Iran, pare sa indice ca obiectivul lui Duqu este situat in aceasta tara.

Sursa: Kaspersky

n dimineata zilei de 21 Septembrie, Panda Security a inregistrat prima infectie masiva a popularei retele de socializare Twitter. Multi utilizatori au fost uimiti sa vada un sir ciudat de caractere aparand in profilurile lor.

Aceasta s-a datorat unei vulnerabilitati in Twitter, deja rezolvate, care a condus la diverse evenimente neasteptate atunci cand utilizatorii  treceau cu cursorul mouse-ului peste tweet-uri (mesaje de maxim 140 de caractere):

• Un sir de malware putea fi trimis automat catre cei din grup, continuand distribuirea de “tweet malitios”.
• Mesaje ciudate scrise cu litere gigantice, casete de dialog cu textul “Hello”, mesaje intunecate etc.
• Redirectionarea vizitatorilor profilurilor infectate catre o alta adresa web.

Vulnerabilitatea a permis sa fie rulate scripturi Java, deschizand o multitudine de posibilitati pentru utilizatorii cu intentii daunatoare.

Potrivit lui Luis Corrons, Director Tehnic al Panda Security: “Principalul pericol ar putea fi faptul ca URL-ul folosit in atac ar putea profita de o alta vulnerabilitate pentru a infecta computerele utilizatorilor.  Pe langa pericolul reprezentat de retransmiterea codului, daca un raufacator ar fi transformat URL-ul intr-unul care s-ar fi instalat automat, fara stirea utilizatorului cu tehnici de drive-by-download, am fi inregistrat milioane de potentiale victime, desi acest lucru este putin probabil acum pentru ca Twitter ar fi reactionat in timp util si ar fi acoperit bresa de securitate“.

Sursa de atac pare a fi un cont creat in Twitter, numit Rainbow (“Curcubeu”), nume care a fost acum dat viermelui.

Initial, primele scripturi Java au fost simple glume, desi ele au evoluat treptat si se pare ca unii utilizatori s-au folosit de vulnerabilitate pentru alte scopuri mai serioase.

Clientii de Twitter care nu au rulat scriptul Java, cum ar fi TweetDeck, nu au fost afectati, permitand utilizatorilor sa continue folosirea retelei sociale fara riscuri. Acum puteti utiliza acum site-ul Twitter direct, pentru ca vulnerabilitatea a fost inlaturata.

Sursa: WebPR

Kaspersky Lab a identificat o noua tipologie (familie) de viermi care se raspandesc prin intermediul unor numeroase programe de tip mesagerie instant (IM). Acestia sunt neobisnuiti prin faptul ca transmit text in foarte multe limbi si se propaga simultan prin clienti de IM, precum Yahoo! Messenger, Skype, ICQ, Windows Live Messenger, Paltalk Messenger, Google Talk si XFire, special folosit de cei care se joaca online.

Expertii Kaspersky Lab au descoperit pana acum patru versiuni ale acestui vierme, a carui familie a fost denumita IM-Worm.Win32.Zeroll. Imediat ce patrunde in computer, acesta cauta lista de contacte din programul IM si se autotransmite catre toate adresele pe care le gaseste. Infectia se produce in momentul in care utilizatorul acceseaza un link dintr-un mesaj instant primit, despre care crede ca ii va afisa o fotografie interesanta. In locul fotografiei, utilizatorul este directionat catre un fisier infectat care se descarca automat in sistem.

Capacitatea de a trimite mesaje compuse in multe limbi diferentiaza acesti viermi de majoritatea celor transmisi prin IM. IM-Worm.Win32.Zeroll foloseste 13 limbi diferite, inclusiv engleza, germana, spaniola si portugheza, lansand mesaje pe care utilizatorii din aceste tari le inteleg. La momentul de fata, cele mai multe infectii s-au inregistrat in Mexic, Brazilia, Peru si Statele Unite ale Americii, dar au fost identificate cazuri si in Africa, India sau tarile europene, cu preponderenta in Spania.

IM-Worm.Win32.Zeroll are si functionalitate de backdoor, adica poate prelua controlul asupra unui computer, fara ca utilizatorul sa stie acest lucru. Dupa ce intra in sistem, viermele contacteaza un centru (server) de comanda si control, iar dupa ce primeste comenzile prin IRC incepe sa descarce in sistem alte programe periculoase. Interesant este faptul ca acest vierme se conecteaza la diferite canale IRC, in functie de tara si de programul de mesagerie instant existent pe computerul infectat. Acest lucru este avantajos pentru hackeri, deoarece pot controla si clasifica sistemele infectate in functie de tara si de clientul de mesagerie instant folosit, permitand apoi trasmiterea de comenzi personalizate, utile atunci cand se lanseaza mesaje spam care tintesc un anumit public.

„Se pare ca infractorii cibernetici care au creat acest vierme sunt inca la inceput”, spune Dmitry Bestuzhev, Regional Expert Kaspersky Lab Latin America. „Acestia cauta sa infecteze cat mai multe computere pentru a obtine oferte din partea altor retele de infractori care doresc sa le foloseasca pentru activitati ca pay-per-install, spam si multe altele”, incheie acesta.

Toti utilizatorii produselor de securitate Kaspersky Lab sunt protejati impotriva noilor viermi care se propaga prin intermediul programelor de mesagerie instant.

Sursa: Kaspersky

Aproape 58 la suta dintre PC-urile din SUA si 30 la suta dintre cele din Iran sunt ‘atacate’, la ora actuala, de viermele informatic Win32/Stuxnet, potrivit unui raport de analiza dat publicitatii, marti, de compania ESET, furnizor global de solutii de securitate.

Potrivit sursei citate, Win32/Stuxnet exploateaza o vulnerabilitate in Windows Shell, fiind utilizat pentru atacarea sistemelor SCADA – sisteme de supervizare si monitorizare utilizate in numeroase industrii, cum ar fi industria energetica.

Specialistii ESET sustin ca ‘viermele’ este activ de cateva zile, in special in SUA (57,71 la suta) si Iran (30 la suta).
Tarile in care procentele se afla sub zece la suta sunt: Rusia (4,09 la suta), Indonezia (3,04 la suta) si Insulele Feroe (1,22 la suta).

Topul este completat de catre: Marea Britanie (0,77 la suta), Turcia (0,49 la suta), Spania (0,44 la suta), India (0,29 la suta) si restul lumii (1,73 la suta).

Majoritatea daunelor cauzate de acest vierme sunt limitate la tinte industriale, utilizatorii casnici (din segmentul ‘home use’) fiind mult mai putin afectati.

Sursa: TehnoPOL

Viermii informatici sunt programe cu efecte distructive ce utilizează comunicarea între computere pentru a se răspândi. Viermii au trăsături comune atât cu viruşii cât şi cu troienii. Viermii informatici sunt capabili să se multiplice, asemenea viruşilor, însă nu local, ci pe alte calculatoare. Folosesc reţelele de calculatoare pentru a se răspândi pe alte sisteme. Caracteristica comună cu a troienilor este faptul că viermii nu pot infecta un fişier; ei afectează sistemul. Conform RFC 1135, „un vierme este un program care poate rula independent, care consumă resursele gazdei pentru a se executa şi care poate propaga o versiune funcţională a să către alte calculatoare”.

Viermii se răspândesc automat în cadrul reţelelor de calculatoare după principiul „caută şi distruge” (Search and Distroy). Ei caută calculatoare ce prezintă vulnerabilităţi, se instalează pe sistemele respective, efectuează operaţiile distructive pentru care au fost programaţi, compromiţând securitatea sistemelor respective, după care încearcă să se răspândească mai departe. Factorul de multiplicare al viermilor este exponenţial.

Viermii se pot răspândi prin email (folosind propriul motor SMTP sau un anumit client de e-mail, de obicei Microsoft Outlook sau Outlook Express), prin fişiere partajate în reţea, prin programele de mesagerie sau prin programe de partajare de fişiere. Din acest punct de vedere se poate face următoarea clasificare a viermilor:

• viermi de e-mail: se răspândesc prin fişierele infectate ataşate e-mail-urilor sau prin link-urile către site-urile infectate. Metodele cunoscute de răspândire sunt serviciile MS Outlook, conexiunile directe cu serverele SMTP utilizând un API (Application Programming Interface) SMTP sau funcţiile Windows MAPI (Messaging Application Programming Interface).
• Aceşti viermi sunt cunoscuţi colecţionarea adreselor de e-mail din cadrul calculatoarelor infectate din diverse surse: bazele de date din WAB (Windows Address Book), bazele de date cu e-mail-uri din MS Outlook sau orice fişiere cu extensii corespunzătoare ce vor fi scanate pentru preluarea adreselor de e-mail. De multe ori aceşti viermi combină nume posibile cu nume de domenii comune pentru a construi noi adrese de e-mail.
• viermi de mesagerie instantanee: se răspândesc prin intermediul aplicaţiilor de mesagerie instantanee prin trimiterea de link-uri către site-urile infectate pentru toţi utilizatorii de pe lista de contacte locale.
• viermi de Internet: aceşti viermi scanează toate resursele de reţea disponibile utilizând serviciile locale ale sistemului de operare şi caută calculatoarele vulnerabile din Internet cu scopul de a se conecta la acestea şi a avea acces deplin la ele. O altă metodă este cea de scanare a calculatoarelor vulnerabile din Internet ce nu au toate update-urile de securitate făcute. Aceste update-uri pot fi trimise sub forma unor pachete de date ce conţin viermele sau un utilitar ce va descărca şi instala viermele pe calculatorul respectiv. De acolo viermele va căuta noi potenţiale gazde.
• viermi de IRC: canalele de chat sunt ţinta principală a viermilor de IRC. Sunt trimise tuturor utilizatorilor unui anumit canal fişiere infectate sau link-uri către site-uri infectate cu viermi.
• viermi de fişiere partajate în reţea: se auto-copiază în directoarele partajate în reţea. sub un nume inofensiv. Viermele va fi gata de transfer prin reţelele P2P şi apoi acţiunea de infectare şi răspândire în reţea va continua.

Viermii informatici aduc o serie întreagă de prejudicii calculatorului infectat, cum ar fi distrugerea unor fişiere importante din sistemul de operare, deteriorarea funcţionării unor servicii critice pentru sistem sau degradarea performanţelor sistemului.  Alte acţiuni distructive ale viermilor pot fi de creare a unor breşe în securitatea sistemelor informatice, de deschidere a unor porturi pentru a permite ulterior accesul creatorilor lor la sistemul informatic infectat, de ştergere a informaţiilor de pe hard disk sau chiar de lansare a unor atacuri de refuz al serviciilor – DoS. Viermii pot fi programaţi să anunţe autorul acestora despre sistemele compromise pentru a le putea accesa şi a efectua operaţii distructive.

Primul vierme informatic a fost lansat (probabil accidental) în Internet de către Robert Tappan Morris în 1988. Viermele a folosit aplicaţiile sendmail, fingerd, and rsh/rexec pentru a se răspândi foarte repede pe Internet.

Au existat şi viermi informatici creaţi în scopuri utile. De exemplu familia de viermi Nachi a încercat să descarce şi să instaleze patch-uri Windows pentru a remedia anumite vulnerabilităţi de sistem. Deşi au făcut aceste sisteme mai sigure, aceşti viermi au generat trafic suplimentar şi au repornit calculatoarele după ce au făcut instalările de rigoare fără ştiinţa sau aprobarea utilizatorilor. Din acest motiv, toţi viermii informatici, indiferent de scopul cu care au fost creaţi, reprezintă o formă de malware.

Kaspersky Lab a identificat o noua tipologie (familie) de viermi care se raspandesc prin intermediul unor numeroase programe de tip mesagerie instant (IM). Acestia sunt neobisnuiti prin faptul ca transmit text in foarte multe limbi si se propaga simultan prin clienti de IM, precum Yahoo! Messenger, Skype, ICQ, Windows Live Messenger, Paltalk Messenger, Google Talk si XFire, special folosit de cei care se joaca online.

Expertii Kaspersky Lab au descoperit pana acum patru versiuni ale acestui vierme, a carui familie a fost denumita IM-Worm.Win32.Zeroll. Imediat ce patrunde in computer, acesta cauta lista de contacte din programul IM si se autotransmite catre toate adresele pe care le gaseste. Infectia se produce in momentul in care utilizatorul acceseaza un link dintr-un mesaj instant primit, despre care crede ca ii va afisa o fotografie interesanta. In locul fotografiei, utilizatorul este directionat catre un fisier infectat care se descarca automat in sistem.

Capacitatea de a trimite mesaje compuse in multe limbi diferentiaza acesti viermi de majoritatea celor transmisi prin IM. IM-Worm.Win32.Zeroll foloseste 13 limbi diferite, inclusiv engleza, germana, spaniola si portugheza, lansand mesaje pe care utilizatorii din aceste tari le inteleg. La momentul de fata, cele mai multe infectii s-au inregistrat in Mexic, Brazilia, Peru si Statele Unite ale Americii, dar au fost identificate cazuri si in Africa, India sau tarile europene, cu preponderenta in Spania.

IM-Worm.Win32.Zeroll are si functionalitate de backdoor, adica poate prelua controlul asupra unui computer, fara ca utilizatorul sa stie acest lucru. Dupa ce intra in sistem, viermele contacteaza un centru (server) de comanda si control, iar dupa ce primeste comenzile prin IRC incepe sa descarce in sistem alte programe periculoase. Interesant este faptul ca acest vierme se conecteaza la diferite canale IRC, in functie de tara si de programul de mesagerie instant existent pe computerul infectat. Acest lucru este avantajos pentru hackeri, deoarece pot controla si clasifica sistemele infectate in functie de tara si de clientul de mesagerie instant folosit, permitand apoi trasmiterea de comenzi personalizate, utile atunci cand se lanseaza mesaje spam care tintesc un anumit public.

„Se pare ca infractorii cibernetici care au creat acest vierme sunt inca la inceput”, spune Dmitry Bestuzhev, Regional Expert Kaspersky Lab Latin America. „Acestia cauta sa infecteze cat mai multe computere pentru a obtine oferte din partea altor retele de infractori care doresc sa le foloseasca pentru activitati ca pay-per-install, spam si multe altele”, incheie acesta.

Toti utilizatorii produselor de securitate Kaspersky Lab sunt protejati impotriva noilor viermi care se propaga prin intermediul programelor de mesagerie instant.

Sursa: Kaspersky