Алуреон - Википедия - Alureon

Алуреон (также известный как TDSS или же TDL-4) это троян и буткит создан для кражи данных путем перехвата сетевого трафика системы и поиска: имен пользователей и паролей банковских операций, данных кредитных карт, информации PayPal, номеров социального страхования и других конфиденциальных данных пользователей.[1] После серии жалоб клиентов, Microsoft определил, что Алуреон вызвал волну BSoD на каком-то 32-битном Майкрософт Виндоус системы. Обновление, MS10-015,[2] спровоцировали эти сбои, нарушив предположения, сделанные авторами вредоносных программ.[3][4]

Согласно исследованию, проведенному Microsoft, Alureon был вторым по активности ботнет во втором квартале 2010г.[5]

Описание

Ботинки Allure впервые были идентифицированы примерно в 2007 году.[6] Персональные компьютеры обычно заражаются, когда пользователи вручную скачивают и устанавливают Троян программного обеспечения. Алуреон, как известно, был связан с мошенническое программное обеспечение безопасности, Основы безопасности 2010.[2] Когда дроппер запускается, он сначала захватывает службу диспетчера очереди печати (spoolsv.exe), чтобы обновить Главная загрузочная запись и выполнить модифицированную процедуру начальной загрузки. Затем он заражает системные драйверы низкого уровня, например, ответственные за PATA операции (atapi.sys) для реализации своего руткит.

После установки Alureon управляет Реестр Windows заблокировать доступ к Диспетчер задач Windows, Центр обновления Windows, и рабочий стол. Он также пытается отключить антивирусное программное обеспечение. Также известно, что Alureon перенаправляет поисковые системы на совершение мошенничество с кликами. Google предпринял шаги, чтобы смягчить это для своих пользователей, сканируя вредоносную активность и предупреждая пользователей в случае положительного обнаружения.[7]

Вредоносная программа привлекла значительное внимание общественности, когда программная ошибка в его коде приводил к сбою некоторых 32-разрядных систем Windows при установке обновления безопасности MS10-015.[2] Вредоносное ПО использовало жестко запрограммированный адрес памяти в ядре, который изменился после установки исправления. Впоследствии Microsoft изменила исправление, чтобы предотвратить установку в случае заражения Alureon,[8] Автор (ы) вредоносного ПО также исправил ошибку в коде.

В ноябре 2010 года пресса сообщила, что руткит развился до такой степени, что смог обойти обязательный режим ядра. Водитель подписание требование 64-битных выпусков Windows 7. Он сделал это, подорвав Главная загрузочная запись,[9] что сделало его особенно устойчивым на всех системах к обнаружению и удалению антивирусным ПО.

TDL-4

TDL-4 иногда используется как синоним Alureon, а также является названием руткит который запускает ботнет.

Впервые он появился в 2008 году как TDL-1, который был обнаружен «Лабораторией Касперского» в апреле 2008 года. Более поздняя вторая версия была известна как TDL-2 в начале 2009 года. Через некоторое время после того, как стала известна TDL-2, появилась третья версия, которая получила название TDL-3.[10] В конечном итоге это привело к TDL-4.[11]

В 2011 году он часто отмечался журналистами как «неразрушимый», хотя его можно удалить с помощью таких инструментов, как Касперский это TDSSKiller.[12][13] Он заражает Главная загрузочная запись целевой машины, что затрудняет обнаружение и удаление. Основные достижения включают шифрование коммуникации, децентрализованное управление с помощью Кад сеть, а также удаление других вредоносное ПО.[14][15]

Удаление

Хотя руткит, как правило, может избежать обнаружения, косвенные доказательства заражения могут быть обнаружены путем проверки сетевого трафика с помощью анализатор пакетов или проверка исходящих соединений с помощью такого инструмента, как netstat. Хотя существующее программное обеспечение безопасности на компьютере иногда сообщает о рутките, оно часто остается незамеченным. Может оказаться полезным выполнить автономную проверку зараженной системы после загрузки альтернативной операционной системы, например WinPE, поскольку вредоносная программа попытается предотвратить обновление программного обеспечения безопасности. Команда "FixMbr" Консоль восстановления Windows и ручная замена "atapi.sys" может потребоваться для отключения функции руткита до того, как антивирусные инструменты смогут найти и удалить инфекцию.[нужна цитата ]

Различные компании создали автономные инструменты, которые пытаются удалить Alureon. Два популярных инструмента - это Microsoft Автономный Защитник Windows и Касперский TDSSKiller.

Аресты

9 ноября 2011 г. прокурор США в Южном округе Нью-Йорка объявил обвинения против шести эстонский граждане, арестованные эстонскими властями, и один русский национальный, в сочетании с Операция Ghost Click.[16] По состоянию на 6 февраля 2012 года двое из этих лиц были экстрадированы в Нью-Йорк за выполнение сложной операции с использованием Alureon для заражения миллионов компьютеров.[17]

Смотрите также

Рекомендации

  1. ^ "Троян Alureon вызвал BSoD в Windows 7". microsoft.com. 18 февраля 2010 г. В архиве из оригинала 10 февраля 2010 г.. Получено 2010-02-18.
  2. ^ а б c «Бюллетень по безопасности Microsoft MS10-015 - Важно». Microsoft. 2010-03-17. В архиве из оригинала 5 июня 2011 г.. Получено 2011-04-25.
  3. ^ «Проблемы с перезапуском MS10-015 являются результатом заражения руткитом (Threatpost)». Архивировано из оригинал на 2012-10-21. Получено 2010-02-19.
  4. ^ «Подробнее об Алуреоне». symantec.com.
  5. ^ «Самые активные семейства ботнетов во 2К10» (PDF). Microsoft. п. 24. Получено 19 августа 2015.
  6. ^ Allureon / win32, Microsoft, март 2007 г.
  7. ^ «Google предупреждает о массовой вспышке вредоносного ПО». Финансовая почта. 2011-07-20. Получено 2011-11-25.
  8. ^ «Обновление - проблемы с перезапуском после установки MS10-015 и руткита Alureon». Центр поддержки безопасности Майкрософт. 2010-02-17.
  9. ^ Гудин, Дэн (16 ноября 2010 г.). «Самый продвинутый руткит в мире проникает в 64-битную Windows». Реестр. В архиве из оригинала 21 ноября 2010 г.. Получено 2010-11-22.
  10. ^ «ТДСС».
  11. ^ «TDL4 - Лучший бот».
  12. ^ Херканайду, Рам (4 июля 2011 г.). "TDL-4 Неразрушимый или нет? - Securelist". securelist. Получено 19 мая 2020.
  13. ^ Голованов, Сергей; Игорь Суменков (27 июня 2011 г.). «TDL4 - Лучший бот - Securelist». Securelist. Получено 19 мая 2020.
  14. ^ Райзингер, Дон (30 июня 2011 г.). «TDL-4:« Неуязвимый »ботнет? | Цифровой дом - CNET News». CNET. Получено 15 октября 2011.
  15. ^ ""Несокрушимый "ботнет TDL-4?". Техно-глобусы. 2 июля 2011 г. Архивировано с оригинал 12 октября 2011 г.. Получено 16 марта 2016.
  16. ^ «Операция Призрачный щелчок». Веб-сайт ФБР. 9 ноября 2011 г.. Получено 14 августа 2015.
  17. ^ Финкль, Джим (8 июля 2015 г.). «Вирус может вывести из строя почти 250 000 компьютеров». Рейтер. Получено 14 августа 2015.

внешняя ссылка