F-Secure nostaa hälytyksen korkeimmalle tasolle
Bugbear/Tanatos -sähköpostimadolle, madon levitessä kasvavalla nopeudella.
Tilastojen mukaan Bugbear on tämän hetken yleisin virus
yhdessä Klezin kanssa.
Tärkeää: Bugbear-madon lähettämissä sähköposteissa on usein
väärennetty lähettäjäkenttä. Käytännössä tämä tarkoittaa sitä
että jos saat Bugbearin sähköpostissa, sitä ei välttämättä
lähettänyt sinulle taho joka näkyy 'From'-kentässä.
TEKNISET TIEDOT
Bugbear on Windows-pohjainen massapostimato joka leviää myös verkon kautta. Madossa on näppäimistönseurantaohjelma ja takaoviominaisuuksia. Mato löydettiin Syyskuun 30. päivä 2002. Matotiedosto on tyypiltään PE EXE (portable executable), se on 50688 tavua pitkä ja se on pakattu UPX-pakkaajalla.
Leviäminen järjestelmässä
Kun tiedosto käynnistyy, mato kopioi itsensä Windowsin järjestelmähakemistoon sattumanvaraisella nimellä (esimerkiksi JFMV.EXE) ja lisää tälle tiedostolle seuraavan avaimen rekisteriin siten, että se tullaan suorittamaan jokaisen järjestelmäkäynnistyksen yhteydessä:
Mato asentaa myös näppäimistönseurantaohjelman sattumanvaraisella nimellä varustettuna DLL-tiedostona (esimerkiksi ZLQPUPP.DLL) Windowsin järjestelmäkansioon. Mato asentaa kaksi (2) muuta DLL-tiedostoa ja tallentaa salattua dataa niihin. Mato myös luo kaksi (2) sattumanvaraisesti nimettyä DAT-tiedostoa Windowsin juurihakemistoon.
Leviäminen sähköpostin kautta
Bugbear leviää sähköpostitse sattumanvaraisesti nimettynä liitetiedostona, jolla on yksi tai useampia tiedostopäätteitä.
Viestin otsikkokentät ja viestin pääteksti vaihtelee. Massapostitusmenetelmä on varsin monimutkainen.
Madolla on kyky väärentää lähettäjän tiedot, jolloin lähettäjän sähköpostiosoite korvataan jollakin muulla sähköpostiosoitteella joka löytyy tartunnan saaneesta järjestelmästä.
Madon lähettämissä viesteissä on käytetty 'IFrame exploit' tietoturva-aukkoa, joka mahdollistaa madon käynnistymisen automaattisesti kun tartunnan saanut viesti avataan (esimerkiksi Outlook ja IE 5.0 tai 5.01 -ohjelmilla). Tämä tietoturva-aukko on korjattu ja siihen on saatavilla korjaustiedosto Microsoftin sivuilta osoitteessa:
Bugbear etsii sähköpostiosoitteita INBOX-hakemistosta (Netscapen
saapuvien viestien tietokannasta) ja tiedostoista joilla on seuraavat tiedostopäätteet:
.ODS
.MMF
.NCH
.MBX
.EML
.TBB
.DBX
Joskus mato poimii tiedostoja tartunnan saaneen koneen sähköpostitietokannasta ja lähettää niitä eteenpäin saastuneella liitetiedostolla varustettuna. Mato osaa myöskin kopioida sattumanvaraisen kovalevyllä olleen tiedoston tekstin sähköpostiviestin tekstikenttään. Mato saattaa lähettää viestin myös seuraavilla otsikoilla
varustettuna:
Greets!
Get 8 FREE issues - no risk!
Hi!
Your News Alert
$150 FREE Bonus!
Re:
Your Gift
New bonus in your cash account
Tools For Your Online Business
Daily Email Reminder
News
free shipping!
its easy
Warning!
SCAM alert!!!
Sponsors needed
new reading
CALL FOR INFORMATION!
25 merchants and rising
Cows
My eBay ads
empty account
Market Update Report
click on this!
fantastic
wow!
bad news
Lost & Found
New Contests
Today Only
Get a FREE gift!
Membership Confirmation
Report
Please Help...
Stats
I need help about script!!!
Interesting...
Introduction
various
Announcement
history screen
Correction of errors
Just a reminder
Payment notices
hmm..
update
Hello!
Välttääkseen viestin takaisin palautumista tai muita ei-toivottuja seurauksia, mato ei lähetä itseään eteenpäin osoitteisiin joissa on jokin seuraavista sanoista:
Tiedoston jälkimmäinen tiedostopääte voi olla jokin seuraavista:
.scr
.pif
.exe
Mato kykenee myös "lainaamaan" nimen liitteelleen joltakin tiedostolta joka on saastuneella kovalevyllä. Mato lisää lainattuun tiedostonimeen suoritettavan tiedoston päätteen. Mato voi esimerkiksi lähettää itsensä eteenpäin SOPIMUS.DOC.PIF -tiedostona. Saastuneen liitetiedoston nimi saattaa sisältää jonkin seuraavista sanoista:
readme
Setup
Card
Docs
news
image
images
pics
resume
photo
video
music
song
data
Leviäminen paikallisverkossa
Bugbear kykenee leviämään paikallisverkon yli. Mato käy läpi paikallisverkon tietokoneet ja pyrkii paikallistamaan \Start Menu\Programs\Startup\ -hakemiston verkossa olevissa koneissa. Jos polku löytyy, mato kopioi itsensä sattumanvaraisella nimellä. Kun saastutettu kone käynnistetään, madon luoma tiedosto käynnistyy ja järjestelmä saastuu.
Prosessien sulkeminen
Mato hakee ja sulkee järjestelmän prosesseja joilla seuraavia nimiä:
Mato käyttää erilaisia menetelmiä prosessien sulkemiseen Windows 9x- ja NT-järjestelmissä. Suurimmassa osassa tapauksia mato onnistuu sulkemaan tietoturva- ja anti-virus -ohjelmat, jotka eivät havaitse matoa siinä vaiheessa kun se ensimmäistä kertaa leviää järjestelmään.
Takaovi
Bugbear kuuntelee porttia 36794 ja sallii liikenteen saastuneelle koneelle ja sen kautta koneen takana olevaan järjestelmään. Bugbearin avulla hyökkääjä voi käyttää saastutettua verkkoa HTML-käyttöliittymän kautta. Mato luo HTML-sivuja lennosta samalla kun hyökkääjä selailee saastuneen etäkoneen hakemistoja.
Käyttöliittymä käyttää useita erilaisia kuvakkeita kuvaamaan erityyppisiä etäasemia ja tiedostoja. Käyttöliittymän kautta voi myös selata jaettuja resursseja joihin saastuneella koneella on käyttöoikeus. Mato käyttää kuvakkeita myös erottelemaan verkkoresursseja.
Bugbearin avulla hyökkääjä voi saada seuraavia tietoja saastuneesta järjestelmästä: käyttöjärjestelmä, prosessorityyppi, kiinteät levyasemat ja verkkolevyt.
Näppäimistönseurantaohjelma
Bugbearilla on kyky varastaa salasanoja. Mato asentaa näppäimistönseurantaohjelman järjestelmään, ohjelmalla mato tallentaa näppäimistöllä kirjoitetun informaation tiedostoksi. Tiedosto lähetetään tämän jälkeen muutamaan sähköpostiosoitteeseen, jotka ovat salattuna madon koodissa. Käytettyjen SMTP-palvelinten nimet ovat myös tallennettuina salattuina madon koodissa.
Sivuvaikutukset
Saatujen tietojen mukaan verkkoon kytketyt tulostimet tulostavat roskatekstiä, kun mato pääsee leviämään verkkoon. Tämä voi olla madon leviämisestä syntyvä sivuvaikutus .
Poisto-ohjeita
Bugbearin poistamiseksi järjestelmästä riittää kaikkien saastuneiden tiedostojen hävittäminen ja järjestelmän uudelleenkäynnistäminen. Jos mato on päässyt verkkoympäristöön, tulisi koko verkko ajaa alas hetkeksi ja kaikki koneet tulisi puhdistaa erikseen. Muuten mato voi päästä leviämään jo puhdistettuihin järjestelmiin.
Puhdistuksen jälkeen tulisi myös muuttaa kaikki salasanat, koska salasanat ovat jo voineet päätyä näppäimistönseurantaohjelman kautta väriin käsiin. On myös suositeltavaa tarkistaa saastuneet koneet mahdollisten takaovien kautta suoritettujen murtojen varalta.
Lisätietoja poistamisesta löytyy suomenkielisiltä tukisivuiltamme:
F-Secure Anti-Virus tunnistaa Bugbear/Tanatos -madon Syyskuun 30. päivä 2002 julkaistujen viruskuvauspäivitysten avulla:
[FSAV_Database_Version]
Version=2002-10-01_02
Lokakuussa 2002 on jdbgmgr.exe -hoaxista tavattu muunnos, joka väittää että
jdbgmgr.exe tiedosto liittyy Bugbear -matoon. Näin ei kuitenkaan ole,
jdbgmgr.exe -tiedoston olemassaolo ei merkitse sitä, että tietokone olisi
saastunut. Lisätietoja jdbgmgr -hoaxista on saatavilla osoitteesta
http://www.f-secure.com/hoaxit/jdbgmgr.shtml .
[Analyysin tekivät: A. Podrezov, G. Erdelyi; K. Tocheva and S. Rautiainen, F-Secure Corp.; September 30th - October 2nd, 2002]
