ВинТик - решения всех проблем =)

Вирус FLAME (что известно на данный момент)

Samf — Fri, 01 Jun 2012 06:18:57 GMT

Вы уже слышали про Flame? Присаживайтесь поудобнее, сейчас мы предоставим вам все подробности.

Вирусы Duqu и Stuxnet повысили градус кибервойны на Ближнем Востоке, однако недавно мы обнаружили, пожалуй, самое изощренное кибероружие на сегодняшний день. Червь Flame, созданный для кибершпионажа, попал в поле зрения экспертов «Лаборатории Касперского» при проведении исследования по запросу Международного союза электросвязи (МСЭ), обратившегося к нам за содействием в поиске неизвестной вредоносной программы, которая удаляла конфиденциальные данные с компьютеров, расположенных в странах Ближнего Востока. В процессе поиска этой программы, получившей название Wiper, мы обнаружили новый образец вредоносного ПО, который был назван Worm.Win32.Flame.

Семь стран, подвергшихся наибольшему количеству атак

Хотя Flame имеет иной функционал, чем печально известные образцы кибероружия Duqu и Stuxnet, все эти вредоносные программы имеют много общего: географию атак, узкую целевую направленность в сочетании с использованием специфических уязвимостей в ПО. Это ставит Flame в один ряд с «кибернетическим супероружием», развертываемым на Ближнем Востоке неизвестными злоумышленниками. Без сомнения, Flame является одной из самых сложных киберугроз за всю историю их существования. Программа имеет большой размер и невероятно сложную структуру. Она заставляет переосмыслить такие понятия, как «кибервойна» и «кибершпионаж».

Подробную информацию об этой изощренной угрозе читайте в посте на www.securelist.ru, а здесь мы приведем ключевое описание зловреда.

ОПИСАНИЕ

Что именно представляет собой Flame? Червь? Бэкдор? Каков его функционал?

Flame представляет собой весьма хитрый набор инструментов для проведения атак, значительно превосходящий по сложности Duqu. Это троянская программа — бэкдор, имеющая также черты, свойственные червям и позволяющие ей распространяться по локальной сети и через съемные носители при получении соответствующего приказа от ее хозяина.

Исходная точка входа Flame неизвестна — мы подозреваем, что первоначальное заражение происходит путем целевых атак, однако найти исходный вектор атаки нам пока не удалось. Подозреваем, что используется уязвимость MS10-033, однако в данный момент подтвердить это мы не можем.

После заражения системы Flame приступает к выполнению сложного набора операций, в том числе к анализу сетевого трафика, созданию снимков экрана, аудиозаписи разговоров, перехвату клавиатурных нажатий и т.д. Все эти данные доступны операторам через командные серверы Flame.

В дальнейшем операторы могут принять решение о загрузке на зараженные компьютеры дополнительных модулей, расширяющих функционал Flame. Всего имеется около 20 модулей, назначение большинства которых мы в данный момент изучаем.

Насколько сложен Flame?

Прежде всего, Flame — это огромный пакет, состоящий из программных модулей, общий размер которых при полном развертывании составляет почти 20 МБ. Вследствие этого анализ данной вредоносной программы представляет огромную сложность. Причина столь большого размера Flame в том, что в него входит множество разных библиотек, в том числе для сжатия кода (zlib, libbz2, ppmd) и манипуляции базами данных (sqlite3), а также виртуальная машина Lua.

Lua — это скриптовый язык, т.е. язык программирования, легко поддающийся расширению и интеграции с кодом, написанным на языке C. Для многих компонентов Flame логика верхнего уровня написана на Lua — при этом подпрограммы и библиотеки, непосредственно реализующие заражение, компилируются с C++.

По сравнению с общим объемом кода часть, написанная на Lua, относительно невелика. По нашей оценке, объем разработки на Lua составляет более 3000 строк кода. Для среднего разработчика на создание и отладку такого объема кода требуется около месяца.

Рис. 1 — декомпилированный код Flame на языке LUA

Кроме того, вредоносная программа использует для внутренних нужд локальные базы данных с вложенными SQL-запросами, применяет несколько методов шифрования, различные алгоритмы сжатия, создает скрипты с помощью Windows Management Instrumentation, использует пакетные скрипты и т.д.

Запуск и отладка вредоносного ПО — нетривиальная задача, поскольку вредоносная программа представляет собой не обычный исполняемый файл, а несколько DLL-библиотек, загружаемых при запуске операционной системы.

В целом можно констатировать, что Flame — одна из наиболее сложных угроз, обнаруженных на сегодняшний день.

АНАЛИЗ

Ключевые эксперты ЛК немедленно посвятили себя анализу программы, и хоть на полный разбор уйдут месяцы, кое-какие данные уже доступны в статье по ссылке.

Здесь же мы можем предложить вам метод быстрой «ручной» проверки вашей системы на наличие заражения Flame:

1. Выполните поиск файла ~DEB93D.tmp. Его присутствие в системе означает, что компьютер заражен или был заражен Flame.
2. Проверьте ключ реестра HKLM_SYSTEM\CurrentControlSet\Control\Lsa\ Authentication Packages. Если вы найдете в нем mssecmgr.ocx или authpack.ocx, значит, ваш компьютер заражен Flame.
3. Проверьте наличие следующих папок. Если они есть — вы заражены.
C:\Program Files\Common Files\Microsoft Shared\MSSecurityMgr
C:\Program Files\Common Files\Microsoft Shared\MSAudio
C:\Program Files\Common Files\Microsoft Shared\MSAuthCtrl
C:\Program Files\Common Files\Microsoft Shared\MSAPackages
C:\Program Files\Common Files\Microsoft Shared\MSSndMix
4. Запустите поиск по остальным именам файлов, данным выше. Они все уникальны, и их наличие будет означать весьма высокую вероятность зараженности вашего компьютера Flame.

Берегите себя! И следите за новостями…
Материал взят с сайта - http://habrahabr.ru/
Ссылка на материал - http://habrahabr.ru/company/kaspersky/blog/144967/

С ДНЁМ СИСТЕМНОГО АДМИНИСТРАТОРА!!!

Samf — Fri, 29 Jul 2011 08:22:14 GMT

Under contruction

Samf — Tue, 15 Mar 2011 11:25:17 GMT

C 2011 годом!

Samf — Thu, 23 Dec 2010 17:55:13 GMT

Ученые назвали самый безопасный для зрения компьютерный шрифт

Samf — Thu, 19 Aug 2010 11:57:52 GMT

Исследователи из Лаборатории зрительной эргономики США назвали компьютерный шрифт Verdana самым безопасным для зрения.

Как полагают ученые, при чтении текстов, набранных шрифтом Verdana, глазные мышцы испытывают наименьшее напряжение. Это помогает избежать близорукости и синдрома компьютерного зрения, который возникает у людей, много времени проводящих за компьютером.

Также ученые отметили, что оптимальный для глаз размер экранного шрифта — 10–12 пунктов.

Шрифт Verdana разработал в 1996 году художник Мэттью Картер для корпорации Microsoft. Буквы шрифта не имеют засечек и увеличены за счет межстрочного интервала, поэтому Verdana хорошо читается даже при маленьком кегле.

По Рунету распространяется новый примитивный ICQ-вирус

Samf — Tue, 17 Aug 2010 18:50:34 GMT

Тысячи пользователей стали жертвой нового ICQ-вируса Snatch, запустив пришедший к ним по сети ICQ одноименный .exe-файл. Вирусная эпидемия началась около полудня 16 августа, сейчас в русскоязычном сегменте Сети имеются уже сотни сообщений о вирусе.

После запуска snatch.exe вредоносная программа берет под свой контроль ICQ-аккаунт и рассылает по всему списку контактов свои копии. Настоятельно рекомендуется не принимать и не запускать этот файл. Так как в будущем название файла может измениться, стоит обратить внимание на его размер. В случае snatch.exe он составляет 916,5 килобайта.

Захватив ICQ-аккаунт, вирус способен поддерживать короткий диалог с пользователями в списке контактов. Вот некоторые фразы, которым его обучили создатели: "глянь ))", "нет, глянь )))", "ну мини игра типа )", "привет!".

Так как вирус распространяется в виде исполняемого файла .exe, в опасности находятся только пользователи Windows. Стоит отметить, что по состоянию на 16 августа большинство антивирусов не реагируют на данный файл.

Согласно отчету Virus Total, snatch.exe опознали как вредоносную программу лишь 9 антивирусов из 42: Authentium, BitDefender, Emsisoft, F-Prot, F-Secure, GData, Ikarus, Panda и Sunbelt.

Для того, чтобы избавиться от заражения, следует в диспетчере задач Windows удалить процесс с именем snatch.exe, после чего удалить само тело червя (скачанную программу) и по возможности сменить пароль от своей учетной записи ICQ.

SANS ISC поднимает рейтинг опасности новой бреши в Windows до желтого

Samf — Wed, 21 Jul 2010 09:15:21 GMT

Код атаки на непропатченную уязвимость, связанную с ярлыками Windows, стал общедоступным, что по мнению специалистов неизбежно приведет к увеличению числа нападений, подобных уже известной атаке трояна Win32/Stuxnet на системы диспетчерского управления и сбора данных. Кроме того, увеличится и список незащищенных систем, поскольку потенциально уязвимости подвержены все версии Windows.

Для компрометации ПК достаточно простого просмотра содержимого USB-накопителя, при этом заражение происходит даже при отключенной функции автовоспроизведения. Кроме того, атаки, использующие вредоносные файлы ярлыков Windows (.lnk), могут проводиться и другими путями, например - через общие папки и сетевые диски.

Оценив масштаб угрозы, авторитетная организация SANS Institute Internet Storm Centre, подняла степень опасности данной бреши до желтого уровня, чего там не делали уже несколько лет. По словам представителя SANS Ленни Зельцера, широкомасштабная эксплуатация данной уязвимости – лишь вопрос времени.

Эксперт отмечает, что без патча от Microsoft решить проблему не так-то просто, при этом антивирусы пока не слишком здорово справляются с определением модифицированных версий нового эксплоита. В Редмонде признают опасность угрозы и прикладывают максимум усилий для выпуска заплатки.

С более полным описанием уязвимости и последствий ее эксплуатации можно ознакомиться в блоге эксперта Trend Micro Рика Фергюсона.

Microsoft предупреждает о случаях эксплуатации новой бреши в Windows XP

Samf — Wed, 21 Jul 2010 09:12:13 GMT

Корпорация Microsoft предупредила пользователей о том, что специалисты компании зафиксировали уязвимость в операционной системе Windows XP, связанную с инфицированными USB-накопителями. Согласно данным корпорации уязвимость затрагивает Windows XP Service Pack 2. Напомним, что с прошлой недели софтверный гигант прекратил основную поддержку данной версии системы.

В описании, размещенном на сайте Microsoft, говорится, что хакеры используют данную уязвимость уже около месяца. Уязвимость проявляется в том, что ОС Windows обычно работает с файлами-ярлыками, которые традиционно размещаются на Рабочем столе или в меню Пуск системы и как правило эти ярлыки указывают на конкретные локальные файлы или программы.

В случае с уязвимостью ярлык связан со злонамеренным программным обеспечением Stuxnet. Данное семейство злонамеренных программ включает в себя троянца, который при попадании на компьютер пытается сюда же загрузить и другие образцы вредоносных программ, в частности руткиты.

В корпорации говорят, что ярлык связан с удаленным программным обеспечением и при размещении USB-носителя в системе Windows пытается автоматически запустить ярлык. Согласно данным Microsoft Trustworthy Computing, до 15 июля было зафиксировано около 6000 случаев инфицирования. Первые же данные об этой угрозе появились еще 17 июня.

После исследования проблемы, инженеры корпорации сообщили, что хакерская система эксплуатирует невозможность Windows правильно обрабатывать файлы с расширением .ink, применяемым к ярлыкам. За счет этого, троян даже не нужно запускать пользователю, просто нужно открыть накопитель в любом файловом менеджере, например в том же Проводнике.

Пока в корпорации не говорят, когда будет выпущено исправление. Пока же же пользователи могут защищаться путем отключения отображения ярлыков на съемных носителях или за счет отключения сервиса WebClient. Оба метода выполняются через реестр Windows.

Измените период отзыва ошибочно отправленного письма в Gmail

Samf — Fri, 04 Jun 2010 08:39:42 GMT

Измените период отзыва ошибочно отправленного письма в Gmail

Не все знают, но в Gmail есть отличная функция отзыва письма, которое было отправлено вами по ошибке не тому адресату или не с теми данными, что стоит :)

Теперь период, который дается вам на отзыв письма может быть изменен.

Функция быстрого отзыва включается в Gmail Labs.

Принцип работы в том, что Gmail не отправляет почту мгновенно, а на 5 секунд задерживает его у вас и если вы после «отправки» нажмете Undo, то оно не уйдет.

Время задержки письма можно выбрать в настройках Gmail на вкладке General, НО только если активирована в Labs фича отмены отправки.

Кстати, владельцы Outlook работающие на сервере Exchange тоже могут отзывать свою почту.

А вам случалось откатывать отправленное сообщение?

Перевод документов Microsoft Office с помощью Google Translate

Samf — Fri, 04 Jun 2010 08:39:01 GMT

Перевод документов Microsoft Office с помощью Google Translate

Google предлагает три сервиса для перевода документов, но ни один из них не работает достаточно хорошо. Вы можете загрузить документы в Google Translate, но HTML файл на выходе не может быть правильно сохранен и не будет содержать картинки. Также есть специальный набор инструментов Google Translate, который также имеет проблемы с конвертированием документов. У Google Docs есть фича для перевода, но документ вначале конвертируется в HTML и формат оригинала не всегда сохраняется.

DocTranslator – это специальный сервис, который переводит документы Microsoft Office с помощью Google Translate и при этом сохраняет первичный вид документа без изменений. В отличии от Google Docs, DocTranslate не ограничен размером документов до 500 KB и может работать с таблицами Excel и презентациями PowerPoint. DocTranslater использует Java-applet для загрузки файлов и переводит их, используя Google Translate’s API.

Преимущество такого перевода неоспоримо: вы можете сохранять свои файлы в оригинальном ормате, оставляя неизменными размер шрифтов, заголовки и т.д.