Mostrando postagens com marcador trojan. Mostrar todas as postagens
Trojan se esconde em arquivos MP3
07:03
Disseminadores de adwares encontraram uma nova forma de enganar os usuários: arquivos MP3 falsos. Na terça-feira, a McAfee informou ter detectado um grande aumento no número de arquivos MP3 falsos se espalhando pelas redes P2P.
Embora os arquivos possuam nomes que fazem com que pareçam arquivos de áudio, eles são trojans que tentam instalar um " player" e adwares nos PCs dos usuários, disse Craig Schmugar, pesquisador da McAfee
"Uma vez que você execute o arquivo, ele não possui conteúdo. Você é levado para um site para instalar o 'player' que você realmente não precisa", disse ele. Os nomes dos arquivos falso incluem: preview-t-3545425-changing times earth wind.mp3 e t-3545425-just got lucky.mp3. Schumgar listou mais nomes de arquivos, bem como detalhes do adware, em um post em seu blog.
Os usuários primeiro são perguntados se concordam ou não com um EULA (end-user license agreement) antes que o trojan instale dois programas, Mirar e NetNucleus, em seus PCs.
Ironicamente, enquanto o software Mirar informa ao usuário que não exibe pop-ups, o NetNucleus exibe anúncios em janelas pop-up, assim os usuários que não perceberam que estavam instalando dois programas se sentirão enganados, disse Schmugar. "Você tem uma janela informando que não existem pop-ups e logo atrás dela está uma pop-up".
Embora a McAfee já tenha visto vários tipos de softwares maliciosos se disfarçando como arquivos de mídia, a empresa não havia visto ainda nada nesta escala, disse Schmugar. Nas últimas 24 horas, quase um terço dos clientes da McAfee detectaram estes arquivos.
Nos últimos dias, a McAfee detectou os arquivos em computadores de mais de 360.000 usuários.
Embora os arquivos possuam nomes que fazem com que pareçam arquivos de áudio, eles são trojans que tentam instalar um " player" e adwares nos PCs dos usuários, disse Craig Schmugar, pesquisador da McAfee
"Uma vez que você execute o arquivo, ele não possui conteúdo. Você é levado para um site para instalar o 'player' que você realmente não precisa", disse ele. Os nomes dos arquivos falso incluem: preview-t-3545425-changing times earth wind.mp3 e t-3545425-just got lucky.mp3. Schumgar listou mais nomes de arquivos, bem como detalhes do adware, em um post em seu blog.
Os usuários primeiro são perguntados se concordam ou não com um EULA (end-user license agreement) antes que o trojan instale dois programas, Mirar e NetNucleus, em seus PCs.
Ironicamente, enquanto o software Mirar informa ao usuário que não exibe pop-ups, o NetNucleus exibe anúncios em janelas pop-up, assim os usuários que não perceberam que estavam instalando dois programas se sentirão enganados, disse Schmugar. "Você tem uma janela informando que não existem pop-ups e logo atrás dela está uma pop-up".
Embora a McAfee já tenha visto vários tipos de softwares maliciosos se disfarçando como arquivos de mídia, a empresa não havia visto ainda nada nesta escala, disse Schmugar. Nas últimas 24 horas, quase um terço dos clientes da McAfee detectaram estes arquivos.
Nos últimos dias, a McAfee detectou os arquivos em computadores de mais de 360.000 usuários.
500 mil sites sofrem injeção de SQL
17:15Mais de 500 mil sites legítimos foram afetados por um novo tipo de injeção de código SQL que propaga um cavalo-de-tróia ladrão de senhas.
Segundo o Sans Institute Storm Center, SISC, os ataques atingiram sites de entidades, de empresas e até páginas de governo. “Esse tipo de injeção esvazia o conceito de site ‘confiável’ ou ‘seguro’ ”, diz o pesquisador Donald Smith, do SISC.
Os sites comprometidos com essa injeção de SQL são invadidos por um código que redireciona o browser para outro site, no qual um cavalo-de-tróia ladrão de senhas tenta se instalar na máquina do usuário.
O SISC recomenda que as empresas bloqueiem em seus firewalls de borda o acesso ao endereço hxxp:/www.nihaorr1.com e também ao IP a ele associado, 219DOT153DOT46DOT28.
Carlos Machado, da INFO
Cresce o número de infecções por trojans
00:05Cibercriminosos estão por trás de um dramático aumento no número de trojans que infectam computadores para vender softwares piratas, enviar emails não solicitados ou roubar informações pessoais, de acordo com um estudo recente.
Em um relatório lançado em Londres, a Microsoft informou que o número de trojans removidos de computadores mundialmente no segundo semestre de 2007 aumentou 300% se comparado com o primeiro semestre.
Este aumento ocorreu porque mais computadores agora possuem software que detecta softwares maliciosos e porque os criminosos vêem os trojans como sua "principal ferramenta", de acordo com o relatório.
Criminosos criam praga que falsifica “cadeado” de segurança SSL
13:45A equipe de Análise e Resposta a Incidentes de Segurança — ARIS — da Linha Defensiva obteve acesso a um cavalo de tróia brasileiro do tipo Banker que cria um certificado SSL falso. O certificado garante que o famoso “cadeado” de segurança SSL seja exibido mesmo na página maliciosa para a qual o cavalo de tróia redireciona o usuário. No golpe observado, Itaú, Banco do Brasil, Caixa Econômica Federal e Infoseg (órgão de segurança do governo brasileiro) estavam entre os sites redirecionados.
Os certificados SSL são emitidos por “entidades certificadoras”. A função destes certificados é a de atestar que o site visitado é verdadeiro e que a transmissão de dados entre o site e o internauta é feita por um canal criptografado (o SSL — Secure Sockets Layer). Nessas situações, um cadeado é exibido na página do navegador e o endereço na barra de ferramentas inicia com ‘https’.
A maioria dos bancos e instituições financeiras orientam seus usuários para que verifiquem a existência de um cadeado no momento do acesso as áreas restritas de seus sites, o que atesta que a página é verdadeira.
Certificado falso
Geralmente, o redirecionamento para falsas páginas de banco pode ser detectado pela ausência do cadeado nas páginas de acesso. Neste trojan analisado pelo ARIS, no entanto, as páginas falsas não podem ser identificadas desta forma, pois a praga faz uso de um certificado falso. O usuário vê um pequeno aviso [Figura ao lado] ao entrar no site, mas, após isso, o cadeado aparece normalmente na parte inferior do navegador, como ocorre no site verdadeiro.
Ataques mais sofisticados podem falsificar uma entidade certificadora e fazer com que este aviso não apareça.
Como funciona a praga digital
Após ser executado, o cavalo de tróia altera o arquivo HOSTS do Windows, adicionando o IP de um servidor controlado por criminosos, onde estão hospedadas as páginas maliciosas, no arquivo. Neste ataque, o IP estava alocado a um computador do Canadá . Quando o usuário acessa algum dos sites-alvo, o computador é redirecionado para este servidor e, caso o usuário prossiga com a tentativa de acesso ao banco, o mesmo enviará as informações fornecidas pelo usuário aos golpistas.
Este golpe, que usa entradas no arquivo HOSTS, é conhecido como Banhost e é bem comum, conforme já noticiado pela Linha Defensiva.
Com o trojan instalado, ao acessar uma das páginas redirecionadas pelo trojan, especialmente aquelas onde há necessidade de preenchimento de informações como senhas, o usuário é alertado sobre a falsidade do certificado que o site está usando. Estes avisos, infelizmente, são constantemente ignorados por usuários, pois mesmos sites legítimos os exibem (geralmente um erro de configuração), e muitos internautas estão acostumados a clicar em “Sim” e “OK” em qualquer janela de aviso.
Nas conexões SSL é possível ver a entidade emissora do certificado, dando um duplo clique sobre o cadeado no navegador. Nesse caso específico, é possível ver que o emissor do certificado é um domínio brasileiro que não tem nenhuma relação com as páginas visitadas. Certificados digitais verdadeiros possuem o nome da entidade certificadora, as mais comuns são VeriSign, Thawte, Equifax, Saphety, Multicert, entre outras.
Clique para ampliar
Domínio brasileiro envolvido
O domínio computing.com.br, citado no falso certificado, tem sido amplamente utilizado para a distribuição de vírus dessa natureza desde novembro do ano passado. O ARIS já recebeu várias cópias de mensagens de phishing scam que levavam para links desse domínio.
Segundo o Registro.BR, órgão responsável pelo registro de domínios no Brasil, o computing.com.br está registrado para uma empresa transportadora de cargas e logística da cidade de Guarulhos/SP, também responsável pelo registro de um dominio já congelado, reservasvoegol.com.br, que já foi usado para distribuir vírus com o mesmo objetivo.
Após denúncias da Linha Defensiva ao Registro.BR sobre o fato desse domínio estar sendo usado em golpes distribuindo virus, a seguinte resposta foi recebida:
Devido às atribuições dos serviços relativos à internet no Brasil, o NIC.br/Registro.br é responsável apenas pelo registro do nome de domínio e NÃO detêm competência para realizar atos relacionados ao conteúdo dos sites.
A equipe da Linha Defensiva notificou o CERT.br, responsável pela análises de incidentes de segurança no Brasil, que informou que providências foram tomadas. No entanto, quase um mês e meio após a denúncia inicial, o domínio - que foi registrado com dados falsos e não tem site legítimo hospedado - continua no ar.
A remoção deste trojan é possível usando nossa ferramenta gratuita de remoção de Bankers, o BankerFix.
Os certificados SSL são emitidos por “entidades certificadoras”. A função destes certificados é a de atestar que o site visitado é verdadeiro e que a transmissão de dados entre o site e o internauta é feita por um canal criptografado (o SSL — Secure Sockets Layer). Nessas situações, um cadeado é exibido na página do navegador e o endereço na barra de ferramentas inicia com ‘https’.
A maioria dos bancos e instituições financeiras orientam seus usuários para que verifiquem a existência de um cadeado no momento do acesso as áreas restritas de seus sites, o que atesta que a página é verdadeira.
Certificado falso
Geralmente, o redirecionamento para falsas páginas de banco pode ser detectado pela ausência do cadeado nas páginas de acesso. Neste trojan analisado pelo ARIS, no entanto, as páginas falsas não podem ser identificadas desta forma, pois a praga faz uso de um certificado falso. O usuário vê um pequeno aviso [Figura ao lado] ao entrar no site, mas, após isso, o cadeado aparece normalmente na parte inferior do navegador, como ocorre no site verdadeiro.
Ataques mais sofisticados podem falsificar uma entidade certificadora e fazer com que este aviso não apareça.
Como funciona a praga digital
Após ser executado, o cavalo de tróia altera o arquivo HOSTS do Windows, adicionando o IP de um servidor controlado por criminosos, onde estão hospedadas as páginas maliciosas, no arquivo. Neste ataque, o IP estava alocado a um computador do Canadá . Quando o usuário acessa algum dos sites-alvo, o computador é redirecionado para este servidor e, caso o usuário prossiga com a tentativa de acesso ao banco, o mesmo enviará as informações fornecidas pelo usuário aos golpistas.
Este golpe, que usa entradas no arquivo HOSTS, é conhecido como Banhost e é bem comum, conforme já noticiado pela Linha Defensiva.
Com o trojan instalado, ao acessar uma das páginas redirecionadas pelo trojan, especialmente aquelas onde há necessidade de preenchimento de informações como senhas, o usuário é alertado sobre a falsidade do certificado que o site está usando. Estes avisos, infelizmente, são constantemente ignorados por usuários, pois mesmos sites legítimos os exibem (geralmente um erro de configuração), e muitos internautas estão acostumados a clicar em “Sim” e “OK” em qualquer janela de aviso.
Nas conexões SSL é possível ver a entidade emissora do certificado, dando um duplo clique sobre o cadeado no navegador. Nesse caso específico, é possível ver que o emissor do certificado é um domínio brasileiro que não tem nenhuma relação com as páginas visitadas. Certificados digitais verdadeiros possuem o nome da entidade certificadora, as mais comuns são VeriSign, Thawte, Equifax, Saphety, Multicert, entre outras.
Clique para ampliar
Domínio brasileiro envolvido
O domínio computing.com.br, citado no falso certificado, tem sido amplamente utilizado para a distribuição de vírus dessa natureza desde novembro do ano passado. O ARIS já recebeu várias cópias de mensagens de phishing scam que levavam para links desse domínio.
Segundo o Registro.BR, órgão responsável pelo registro de domínios no Brasil, o computing.com.br está registrado para uma empresa transportadora de cargas e logística da cidade de Guarulhos/SP, também responsável pelo registro de um dominio já congelado, reservasvoegol.com.br, que já foi usado para distribuir vírus com o mesmo objetivo.
Após denúncias da Linha Defensiva ao Registro.BR sobre o fato desse domínio estar sendo usado em golpes distribuindo virus, a seguinte resposta foi recebida:
Devido às atribuições dos serviços relativos à internet no Brasil, o NIC.br/Registro.br é responsável apenas pelo registro do nome de domínio e NÃO detêm competência para realizar atos relacionados ao conteúdo dos sites.
A equipe da Linha Defensiva notificou o CERT.br, responsável pela análises de incidentes de segurança no Brasil, que informou que providências foram tomadas. No entanto, quase um mês e meio após a denúncia inicial, o domínio - que foi registrado com dados falsos e não tem site legítimo hospedado - continua no ar.
A remoção deste trojan é possível usando nossa ferramenta gratuita de remoção de Bankers, o BankerFix.
Cavalo-de-tróia explora falha no Excel
13:43Arquivos do Excel contendo um cavalo-de-tróia exploram um brecha no Excel 2000, 2002 e 2003, além do 2004 para Mac.
Segundo um alerta publicado pelo centro de segurança US-CERT, os arquivos, no formato .xls, chegam por e-mail e contêm um cavalo-de-tróia que abre uma porta dos fundos no sistema, pela qual estabelece contato com a internet.
É provável que, no pacote de correções anunciado para hoje, 11/3, a Microsoft libere uma correção para essa brecha do Excel. A versão 2007 do programa de cálculo não apresenta o problema.
Segundo um alerta publicado pelo centro de segurança US-CERT, os arquivos, no formato .xls, chegam por e-mail e contêm um cavalo-de-tróia que abre uma porta dos fundos no sistema, pela qual estabelece contato com a internet.
É provável que, no pacote de correções anunciado para hoje, 11/3, a Microsoft libere uma correção para essa brecha do Excel. A versão 2007 do programa de cálculo não apresenta o problema.
Trojan foi o malware mais ativo em fevereiro
01:52Os trojans contabilizaram 23,70% das infecções registradas pelo ActiveScan, o scaner on-line da Panda Security,
em fevereiro. Entretanto, as infecções causadas por este tipo de código
malicioso parecem ter estabilizado nos últimos meses, após o constante
crescimento testemunhado em 2007. Os worms, entretanto, voltaram a
crescer pelo segundo mês consecutivo, passando de 15% para 17.60%. O
Adware permaneceu no seu nível habitual registrando 20.71% das
infecções em fevereiro.
"O auge dos worms se deve a um
aumento em suas potencialidades. Até recentemente, a maioria deles era
projetada unicamente para se propagar de um computador para outro. Nos
últimos meses, entretanto, temos observado um aumento no número de
exemplares de worms capazes de roubar dados, algo que, no passado
apenas os Trojans e o spyware eram capazes. Este processo de
hibridização faz com que seja mais difícil classificar um exemplar de
malware como pertencente a uma categoria ou outra”, explica Eduardo
D’Antona, Diretor-executivo da Panda Security.
A respeito do
código malicioso mais ativo em fevereiro, a lista é liderada pelo
trojan Downloader.MDW, projetado para descarregar outros exemplares de
códigos maliciosos no computador infectado. O worm Bagle.RC ocupa a
segunda posição, enquanto que o worm Lineage.GXD, designado para afetar
usuários do jogo on-line Lineage ocupa a terceira.
em fevereiro. Entretanto, as infecções causadas por este tipo de código
malicioso parecem ter estabilizado nos últimos meses, após o constante
crescimento testemunhado em 2007. Os worms, entretanto, voltaram a
crescer pelo segundo mês consecutivo, passando de 15% para 17.60%. O
Adware permaneceu no seu nível habitual registrando 20.71% das
infecções em fevereiro.
"O auge dos worms se deve a um
aumento em suas potencialidades. Até recentemente, a maioria deles era
projetada unicamente para se propagar de um computador para outro. Nos
últimos meses, entretanto, temos observado um aumento no número de
exemplares de worms capazes de roubar dados, algo que, no passado
apenas os Trojans e o spyware eram capazes. Este processo de
hibridização faz com que seja mais difícil classificar um exemplar de
malware como pertencente a uma categoria ou outra”, explica Eduardo
D’Antona, Diretor-executivo da Panda Security.
A respeito do
código malicioso mais ativo em fevereiro, a lista é liderada pelo
trojan Downloader.MDW, projetado para descarregar outros exemplares de
códigos maliciosos no computador infectado. O worm Bagle.RC ocupa a
segunda posição, enquanto que o worm Lineage.GXD, designado para afetar
usuários do jogo on-line Lineage ocupa a terceira.
Postagens
