|
Blaster) התקפת השתלטות על המחשב שלכם בימים הללו חשים מיליוני אנשים בעולם בצרה צרורה שנפלה עליהם. התגלה חור אבטחה ב-Windows שמאפשר לזרים לאתחל לכם את המחשב. פתאום באמצע הגלישה באינטנרט אתם מקבלים הודעה על המסך שתוך 60 שניות המחשב יעשה איתחול (ריסט). הבעיה הגדולה יותר היא בכך שישנם תוכנות שמנצלות את החור הזה ומסוגלות דרכו (דרך פורט 135) לחדור אליכם למחשב ולדלות את כל מה שנמצא שם או לחילופין פשוט למחוק לכם את כל ה-Windows מעבר לזאת, החור מאפשר הכנסת תולעת וירוסית המכונה Blaster ואז ניתן "לחגוג" על המערכת שלכם. ובכן נמצא הפתרון. מצורף קובץ אנטי וירוס שבודק את כל הדיסק ואם הוא מגלה את הוירוס הזה אצלכם, הוא יסלק אותו. אבל חשוב יותר, בסוף תהליך הבדיקה הוא ישאל אתכם אם אתם רוצים לסגור את הפורט הבעייתי ובכך למנוע בעתיד ניסיון חדירה אל המחשב שלכם דרך הפורט הזה... מומלץ כמובן ללחוץ על הסכמה והתוכנה סוגרת לכם את הבעיה. הורד קובץ זה והפעל אותו במחשב _______________________________________________________ זהירות: תולעת מתוחכמת 25.3.2003 LOVGATE סורקת את תיבת הדואר האלקטרוני במחשב הנגוע ומשיבה להודעות נכנסות. הווירוס מנסה לגנוב סיסמאות מהמחשב ומצותת להקלדות המשתמש חברות האנטי וירוס מזהירות מפני וירוס חדש בעל דרגת סיכון בינונית אשר מתפשט במהירות בשעות האחרונות. הווירוס, שזכה לכינוי WORM_ LOVEGATE.C, התגלה הבוקר. מדובר בווירוס מסוג תולעת בעל נזק פוטנציאלי גבוה באופן יחסי, הפוגע במשתמשי תוכנות הדואר אאוטלוק ואאוטלוק אקספרס. חברת "טרנד מיקרו" מדוות על מספר רב של עדויות להתפשטות הווירוס באירופה, ישראל, טייוואן, אוסטרליה ויפן. חברת MessageLabs מדווחת על 2,000 תצפיות של הווירוס מאז הבוקר. התולעת משתמשת בטקטיקה חדשה בתחום הווירוסים באינטרנט. במקום לשלוח את הווירוס לכל המשתמשים בפנקס הכתובות במחשב הנגוע, WORM_ LOVEGATE.C סורקת את הדואר הנכנס של המשתמש ועונה על הודעות נכנסות באמצעות תכונות MAPI (תוכנית ממשק המאפשרת ליישומי דואר אלקטרוני שונים להחליף הודעות ביניהם) של Windows. למשל, אם מתקבלת בתיבת הדואר הנכנס של המחשב הנגוע הודעה ששורת הנושא שלה הוא “please review my memo” ('אנא עיין בתזכיר'), התולעת תשלח את התגובה הבאה: Subject "re: please review my memo" I'll try to reply as soon as possible. "Take a look to the attachment and send me your opinion! ' (תגובה: אנסה להשיב בהקדם. נא עיין במסמך המצורף ושלח לי את דעתך". להודעה זו יצורף הווירוס כקובץ בשם Docs.exe ,Roms.exe ,Sex.exe או שם אחר. יש לציין, כי הגירסאות החדישות של תוכנת הדואר אאוטלוק מונעות קבלת קבצים בפורמט exe. ולכן משתמשי גירסאות אלה חסינים מקבלת התולעת (לעומת משתמשים אחרים באאוטלוק). נוסף על כך, הווירוס סורק את המחשב הנגוע בחיפוש אחר קבצים בפורמט ht. ושולח עצמו כקובץ בשם משתנה לכל כתובות הדואר האלקטרוני שהוא מוצא בקבצים אלה. גוף ההודעות האלה יכלול אחד מהמשפטים הבאים ושם הנושא משתנה אף הוא. סוס טרויאני, ציתות להקלדות המשתמשים WORM_ LOVEGATE.C כולל סוס טרויאני המעתיק עצמו לכונני רשת ותיקיות משנה במחשב נגוע. עם ההדבקה, הווירוס פותח דלת אחורית (backdoor) בפורט 10168 במחשב ומאפשר למשתמשים מרוחקים לגשת ולשלוט במערכת הפגועה. הווירוס, הכולל מנוע SMTP, מנסה לגנוב סיסמאות של משתמשים ושולח את המידע הזה בהודעת דואר אלקטרוני לכתובות hello_dll@163.com ו-hacker117@163.com. ככל הנראה, מדובר בהודעות שמתקבלות בדומיין סיני. הווירוס מעתיק עצמו לקבצים במערכת Windows בעלי השמות WinGate.exe ,WinRpcsrv.exe ,syshelp.exe, ועוד. אם המחשב הוא חלק מרשת, הווירוס ינסה להעתיק עצמו לאיזור התיקיות המשותפות לקבצים בעלי שמות כמו fun.exe ,humor.exe ,docs.exe ,s3msong.exe ואחרים. נוסף על כך, WORM_ LOVEGATE.C מצותת להקלדות של המשתמש ושומר את המידע בקבצים win32pwd.sys ו- win32add.sys. "הווירוס עלולה לפגוע קשות גם בארגונים רבים בישראל", אומר רוי תשוקתי, מנהל מוצר "טרנד מיקרו" בישראל, "וזאת, בגלל התפשטותו המהירה באמצעות הדואר האלקטרוני והתקשורת באינטרנט. לכן, חשוב לעדכן מיד את קובץ החתימה של תוכנת הדואר האלקטרוני". כל חברות האנטי וירוס המובילות כבר עדכנו את קובצי החתימה שלהן. כדי להתגונן, מומלץ להוריד את העדכון ולהפעיל את הסריקה בתוכנת האנטי וירוס. _______________________________________________________ וירוס חדש, מפרמט את כוננים C ו-D באיתחול הבא! " 11/2/2003 מדובר בוירוס תולעת חדש, שב-Symantec העניקו לו את השם W32.HLLW.Maax@mm. הוירוס מופץ באמצעות תוכנות לשיתוף קבצים וכן על-ידי ה-Microsoft Outlook. ולפי שעה, הוא מסווג ב"דרגת סיכון 2" (מתוך חמש). (יצוין, כי מאז תקף W32.SQLExp.Worm שרתים בכל העולם, ב-24/1/03, לא "זכה" שום וירוס להגיע לדירוג כזה!). המכתב מופץ בעזרת ספר הכתובות של ה-Microsoft Outlook. המכתב הנגוע מכיל קובץ מצורף בשם Tca.exe הוירוס מנסה להפסיק את פעולתן של תוכנות אנטי-וירוס כדי שיוכל לשנות את קובץ ה-autoexec.bat, באופן שיביא לפירמוט מחיצות C ו-D באיתחול הבא של המחשב. עוד אודותיו אפשר לקרוא באתר Symantec לא לשכוח לעדכן את האנטי-וירוס, אפילו באופן יזום. לא לשכוח, כי 99.9% מהוירוסים מגיעים מאנשים שמכירים. _______________________________________________________ זהירות: וירוס "באגבר" 2/10/2002 "באגבר" (Bugbear), שקרוי על שם שד אגדי שאוכל ילדים רעים, הוא וירוס חמקמק למדי. בדומה ל"קלז", "באגבר" מתקבל בדואר האלקטרוני כקובץ המצורף להודעה שכותרתה משתנה. גם הטקסט בגוף ההודעה אינו קבוע ואילו הקובץ המצורף נושא סיומת כפולה. למשל, .doc.exe. הסימן היחיד "שמסגיר" את הווירוס הוא גודל הקובץ המצורף – 50,688 בתים. "באגבר" עלול להדביק גם מחשבים שבעליהם לא יפתחו את הקובץ המצורף. זאת, מאחר שהווירוס מנצל שני כשלי אבטחה בגירסאות ישנות של תוכנת אאוטלוק, אאוטלוק אקספרס ואינטרנט אקספלורר, שמאפשרים לו להיפתח אוטומטית מחלון התצוגה המקדימה באאוטלוק. משתמשי הגירסאות העדכניות של תוכנות אלה מוגנים מפני הפעלה אוטומטית של "באגבר". הווירוס "באגבר" עלול לצותת להקשות המקלדת של המשתמשים ולגנוב סיסמאות וכרטיסי אשראי. עם הפעלתו, הווירוס, מסוג תולעת, מעתיק עצמו לתיקיית ההפעלה של Windows כקובץ exe. לאחר מכן, "באגבר" ינסה לנטרל את תוכנות האנטי וירוס והפיירוול הפועלות במחשב ומיועדות לחסום התקפות מהאינטרנט, וישלח עצמו בדואר האלקטרוני למשתמשים הרשומים בפנקס הכתובות במחשב. בשלב אחרון , הווירוס יתקין "סוס טרויאני", שתפקידו לצותת להקשות המשתמש על המקלדת. מדובר בקובץ DLL ששמו, על פי הדיווחים, PWS-Hooker.dll. בשלב זה, בכל פעם שהמשתמש יקליד סיסמאות, מספרי כרטיס אשראי ומידע רגיש אחר, הסוס הטרויאני ישלח את המידע ליוצר הווירוס באמצעות יציאה (PORT) מספר 36794. כמו כן, הווירוס עלול להעתיק עצמו לתיקיות של משתמשים אחרים ברשת הארגונית או הביתית. הורד קובץ זה והפעל אותו ישירות לבדיקה ולניקוי המחשב. קובץ אנטי וירוס זה נוצר על ידי חברת סימנטק ______________________________________________________ זהירות: וירוס "פרת'האם" 19/7/2002 וירוס חדש ששמו "פרת'האם" (Frethem) מתפשט ברשת במהירות מאז 18.7.2002, הווירוס, שמקורו ביפן, ככל הנראה, מופץ בארבע גירסאות שונות, לכל הפחות, אשר ההבדל העיקרי ביניהן טמון בגודל הקבצים המצורפים להודעת הווירוס. חלק מהגולשים שקיבלו אתמול והיום את הווירוס התפתו לפתוח את ההודעה עקב שורת הנושא המסקרנת שלה, "Re: Your password!", מאחר שסברו כי היא מכילה מידע על ססמאות סודיות. גוף הטקסט כולל את ההודעה הבאה: ATTENTION! You can access very important information by this password. DO NOT SAVE password to disk. use your mind. now press cancel תירגום: שים לב. אתה יכול לגשת למידע חשוב מאוד באמצעות הסיסמה הזו. אל תשמור את הסיסמה לדיסק. היעזר בזיכרון שלך. כעת לחץ על cancel. שני קבצים מצורפים להודעה – קובץ טקסט לא מזיק בשם Password.txt וקובץ התולעת, שכותרתו היא Decrypt-password.exe. התולעת הזו מנצלת כשל אבטחה ישן בגירסאות 5.01 ו-5.5 של אינטרנט אקספלורר, שמאפשר לקבצים המצורפים להודעת דואר אלקטרוני באאוטלוק לפעול אוטומטית, ללא התערבות של הגולש, כאשר ההודעה הנגועה מופיעה בחלון התצוגה המקדימה של אאוטלוק ואאוטלוק אקספרס. משתמשי אאוטלוק 2002 (Office XP) ואינטרנט אקספלורר 6 חסינים מפני כשל האבטחה הזה, ומשתמשים אחרים יכולים להוריד טלאי אבטחה מאתר האינטרנט של מיקרוסופט. גם משתמשים שהורידו את טלאי האבטחה עלולים להיפגע מהווירוס אם יפתחו את הקובץ המצורף Decrypt-password.exe. כאשר הקובץ מופעל, הווירוס שולח את עצמו לכל הנמענים המופיעים בפנקס הכתובות של אאוטלוק. נוסף על כך, הווירוס משנה את שם השולח, כך שייראה כאילו הוא נשלח ממשתמש אחר בפנקס הכתובות שייתכן שכלל לא נדבק בווירוס (בדומה לפעולת הווירוס קלז). ______________________________________________________ זהירות: וירוס "קלז" 25/4/2002 הגירסה האחרונה של הווירוס "קלז" (KLEZ.H) הפכה למטרד אמיתי עבור משתמשים רבים בעולם ובישראל בימים האחרונים. על פי חברת האנטי וירוס "טרנד מיקרו", קלז הוא כרגע הווירוס הפופולרי ביותר בעולם עם 30,850 הדבקות ב-24 שעות האחרונות ו-121,576 הדבקות בשבעה הימים האחרונים. הווירוס תוקף את תוכנת הדאר אאוטלוק בכך שמתקבל אצלך מכתב תמים אפילו מחבר מוכר הנושא כותרות מתחלפות כאילו מדובר במכתב באמת מקרי ומצורף לו קובץ שהוא הווירוס. אם יש לך חור באבטחה, גם ללא פתיחת הקובץ אתה עלול להפגע. יותר ויותר ישראלים נחשפו כבר לצרה הצרורה הזו והמייל שלהם מתמלא במכתבים כאלה. מצורף לכם כאן תוכנת SOS של חברת סיימנטק הסורקת את הדיסק. מגלה ומנקה את הווירוס המגעיל הזה. הורד קובץ זה והפעל אותו ישירות ______________________________________________________ זהירות: וירוס "יארנר" 20/2/2002 מומחי אבטחה מזהירים מפני וירוס חדש שמתפשט באמצעות תוכנת אאוטלוק של מיקרוסופט, ועלול לגרום למחיקת קבצים. הווירוס שמכונה "יארנר" (השם המלא הוא W32.Yarner.A@mm), החל להתפשט אתמול ברחבי העולם. "יארנר" מתחזה לניוזלטר של חברת האבטחה הגרמנית טרוז'אנר, ומצורף להודעת דואר אלקטרוני שגודלה 437 קילו בייט וכותרתה היא "Trojaner Info Newsletter". אם קיבלת דאר כזה, אל תעיז להפעיל את הקובץ המצורף. פשוט מחק את המכתב וזהו. מדובר בווירוס הרסני ביותר, שעלול, בתרחיש הגרוע ביותר, למחוק את כל קבצי המערכת במחשב אישי נגוע. _______________________________________________________ אזהרת וירוס: Gigger - ''ג'יגר'' 13/2/2002 מנסה למחוק את כל הקבצים במחשב האישי של הקרבן ואז... לפרמט אותו. המשתמשים מוזהרים בזאת שלא לפתוח הודעת דואר אלקטרוני שנושאת את הכותרת ''Outlook Express Update'' (עדכון לאאוטלוק אקספרס) וכוללת את הקובץ mmsn_offline.htm מדובר בווירוס מסוג תולעת, שגודלו 17 קילו בייט. ______________________________________________________ כשל אבטחה חמור במערכת Windows XP מיקרוסופט הודתה שישנה פרצה המאפשרת לחדור אל המחשב שלך דרך מחשב מרוחק. הפירצה מסוכנת ביותר ולכן יצא ממיקרוסופט טלאי הסוגר את הפירצה הזו. הורד קובץ זה והפעל אותו במערכת XP שברשותך הקובץ נכתב על ידי מיקרוסופוט והוא סוגר את הפירצה. בברכה, מנהל האתר[רמי] סוגי הוירוסים קשה מאוד לחלק את הוירוסים לסוגים, מכיוון שהחלוקה אינה חד משמעית כלומר ווירוס יכול להשתייך לכמה קטגוריות בו זמנית ואפילו לשני סוגים באותה קטגוריה . לדוגמה כל Retro virus הוא גם file infecting virus. יתרה מזאת, ישנן תוכנית שאינן נחשבות וירוסים על פי ההגדרה המדעית הטהורה, במובן של הדבקת קוד הווירוס לתוך קוד של תכנית אחרת. בכל אופן, לא תמיד מקפידים על כך. יעדי תקיפה File infecting viruses : ווירוסים הפוגעים בקבצים, תוקפים תכניות "ניתנות להרצה" (executable) . בדרך כלל קבצים עם סיומות com או exe . כאשר קובץ נגוע מה שקורה בדרך כלל זה שהווירוס יופעל כשתורץ התכנית ולאחר שיסיים את פעולתו יחזיר את השליטה לתכנית. רוב הווירוסים האלה פשוט מנסים לשכפל את עצמם ולהתפשט על ידי הדבקת תכניות מארחות אחרות. אבל חלק הורסים ,שלא בכוונה, את התכנית המארחת, בכתיבה על גבי הקוד שלה. קיימים מעט ווירוסים מאוד הרסניים שמנסים לפרמט את הדיסק הקשיח או לגרום לנזק אחר. ברוב המקרים ניתן להסיר ווירוס הפוגע בקבצים. אך אם הווירוס כתב על גבי הקוד של הקובץ שנפגע, הקובץ המקורי יהיה בלתי ניתן לשחזור . Boot Sector viruses : פוגעים ב - boot sector או ב - partion table של דיסק. הם עושים זאת על ידי החלפת ה - boot records בקוד משלהם. פגיעות מווירוסים כאלה קורות ,בדרך כלל, כאשר מאתחלים את המערכת מדיסקט נגוע, דרך ה - floppy drive . האתחול לא חייב להיות מוצלח כדי שהווירוס ידביק את הדיסק הקשיח. כמו כן ישנם כמה ווירוסים שיכולים להדביק את ה - boot sector דרך תכניות ניתנות להרצה (executable) . הם נקראים multi-partite viruses והם נדירים יחסית. מרגע שהמערכת נגועה, ה - boot sectore virus ינסה להדביק כל דיסק שהמחשב ניגש אליו. באופן כללי, boot sector viruses ניתנים להסרה בהצלחה . Retro viruses : וירוסים אלה תוכננו לתקוף תוכנות אנטי וירוס,הם נקראות תוכנות אנטי אנטי וירוס, בד"כ הם מנסות למחוק קבצי נתונים של תוכנות אנטי וירוס או לפגוע בהם בצורה אחרת . יכולות מיוחדות Multi-Partite Viruses : וירוסים שיכולים לפגוע גם בקבצים וגם ב boot sector. Polymorphic Viruses : ווירוס שמשנה את עצמו בכל פעם שהוא משכפל את עצמו, כדי להקשות על זיהויו. Stealth viruses : ווירוס שמחביא את נוכחותו. הוא נשארים בזכרון ומתערב בכל גישה לדיסק, כך שאם מנסים לקרוא איזור שבו נמצא הווירוס, הווירוס קודם מסיר את עצמו מאיזור זה . נוצר מצב שבו הווירוס נמצא בדיסק, אך סריקה רגילה לא תגלה אותו חדשים e-mail viruses : הווירוסים החדשים יותר הם ווירוסים של דואר אלקטרוני. דוגמה בולטת לסוג כזה של ווירוס הוא Melissa וירוס זה התפשט בתוך מסמך word שנשלח בדואר אלקטרוני. זה התחיל במישהו שכתב את הווירוס כמסמך word ושלח אותו ל- internet newsgroup. המכניזם של הווירוס היה כזה: כל מי שהוריד את המסמך ופתח אותו הפעיל את הווירוס. הווירוס היה שולח את המסמך הנגוע ל-50 האנשים הראשונים בספר הכתובות של מי שפתח את המסמך. ההודעה כללה גם טקסט ידידותי ונראתה כאילו נשלחה ע"י זה שפתח את המסמך. דבר זה גרם למקבלים לפתוח את ההודעה וכך התפשט הווירוס . ווירוס זה התפשט מהר יותר מכל ווירוס שהיה לפניו וכאמור הכריח חברות גדולות לנתק את מערכות הדואר האלקטרני שלהם . ווירוס זה השתמש בשפת תכנות המובנית בתוך Microsoft Word הנקראת VBA (Visual Basic for Application) זוהי שפת תכנות שלמה וחזקה שאפשר לתכנת בה שינוי קבצים ושליחת דואר אלקטרוני. יש בה גם מנגנון שימושי אך מסוכן של הפעלה אוטומטית. כלומר אפשר להכניס תכנית לתוך מסמך שתופעל באופן אוטומטי כשיפתח המסמך. זה היה המצב בווירוס Melissa מי שפתח מסמך שנגוע בווירוס, הפעיל את הווירוס ששלח את המסמך ל-50 אנשים מספר הכתובות של המשתמש, ואח"כ שינה קובץ חשוב של Word בשם: NORMAL.DOT כך שכל מסמך שיישמר מאותו רגע יכיל גם הוא את הווירוס, וכך התפשט הווירוס במהירות מדהימה . (ראה ב- tutorial לדרכי התגוננות לגבי איך להתגונן מפני ווירוס כזה) . הווירוס ILOVEYOU שהופיע ב-4.5.2000 היה אפילו יותר פשוט. הוא בא כ- attachment ניתן להרצה של דואר אלקרוני. ברגע שהקובץ הופעל הוא שלח את עצמו לכל מי שבספר הכתובות של המשתמש ואח"כ התחיל לפגוע בקבצים בדיסק הקשיח. זה היה למעשה סוס טרויאני . macro virus : שפת מקרו (או סקריפט) היא שפה שנועדה להתאים למשתמש אפליקציות קיימות. macro viruses הם ווירוסים שמשתמשים בשפת תכנות מקרו של אפליקציות אחרות כדי להפיץ את עצמם. הם מדביקים מסמכים כגון: MS Word או MS Excel בניגוד לווירוסים אחרים, macro virus אינם מדביקים תוכניות או boot sectors למרות שכמה מהם משאירים תכניות בדיסק הקשיח של המשתמש. macro viruses ניתנים להסרה . הערה: לפעמים אתם עלולים לקבל הודעת שגיאה: "illegal operation" לאחר ניקוי Word macro virus אם זה קורה חפשו קובץ בשם: "normal.dot" ושנו את שמו ל - "normaldot.bak" . Ms Word ייצור קובץ "normal.dot" חדש ונקי בפעם הבאה שיופעל. בעיה זו קורית כי יש ווירוסים שמשאירים קוד בלתי מזיק ש - Ms Word קורא בצורה לא נכונה וגורמים להתנהגות שגויה . לא ווירוסים בנוסף לוירוסים ,ישנם עוד מספר סוגי קוד מזיקים (malicious code): סוס טרויאני (trojan horse) : סוס טרויאני אינו וירוס. סוס טרויאני הוא תוכנית שאמורה לבצע משהו מסויים אך בפועל מבצעת משהו אחר. לדוגמא, משתמש יכול להוריד מהרשת תוכנה שאמורה להיות משחק חדש, אבל בפועל בזמן הרצת התוכנית היא מוחקת קבצים מהמחשב, או מבצעת פעולה מזיקה אחרת. joke : תוכניות רגילות שניתנות להרצה, וגורמות לפעולות בלתי מזיקות, כגון: הופעת שומר מסך בלתי צפוי. הם נמצאות ברשימת הבדיקה של אנטי וירוסים, רק מפני שהם מטרידות. הם לא מופצות אלא אם כן מישהו שולח אותם בכוונה. כדי להיפטר מתוכנית כזאת צריך רק למחוק אותה . worm : היא תוכנית (או קבוצת תוכניות) שמסוגלת להפיץ עותקים פונקציונלים של עצמה למחשבים אחרים. ההתרבות נעשית בדרך כלל דרך חיבורי רשת או או ב - e-mail attachment. תכניות אלה עלולות לחשוף מידע חסוי או ליצור עומס על רשת בתהליך ההפצה. כדי להיפטר מהם, צריך רק למחוק אותם
|
|
|
