טרויאנים אורבים, ממתין לגנוב סיסמאות מנהל

הם הצליחו להדביק מאות אלפי מחשבים - כולל יותר מ 14,000 בתוך רשת אחת העולמית ללא שם - על ידי מחכה מנהלי מערכת כדי להיכנס למחשבים נגועים ולאחר מכן באמצעות כלי הממשל של מיקרוסופט כדי להפיץ תוכנות זדוניות שלהם ברחבי הרשת.

הפושעים מאחורי טרויאני Coreflood משתמשים בתוכנה לגנוב שמות משתמש וסיסמאות חשבון הבנקאות והברוקראז '. הם צברו מסד נתונים של 50G-byte של מידע זה מהמכונות שהם נגועים, על-פי ג'ו סטיוארט, מנהל מחקר תוכנה זדונית עם SecureWorks של ספק האבטחה. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

"הם הצליחו להתפשט בכל המפעלים," הוא אמר. "זה משהו שאתה רואה רק לעתים רחוקות בימים אלה". מאז ש- Microsoft שלחה את תוכנת Windows XP Service Pack 2 שלה עם תכונות האבטחה הנעולות שלה, האקרים התקשו למצוא דרכים להפיץ תוכנות זדוניות בכל הרשתות הארגוניות. התפרצויות תולעים או וירוסים נרחבו במהרה לאחר שחרור התוכנה באוגוסט 2004. אבל האקרים Coreflood הצליחו, בין היתר הודות לתוכנית של מיקרוסופט בשם PsExec, שנכתבה כדי לעזור למנהלי מערכת להפעיל תוכנות לגיטימיות במחשבים שלהם רשתות.

עבור זיהום נפוץ, התוקפים חייבים הראשון להתפשר על המערכת ברשת על ידי tricking את המשתמש לתוך הורדת התוכנית שלהם. לאחר מכן, כאשר מנהל מערכת מתחבר למחשב שולחני זה - כדי לבצע תחזוקה שגרתית, לדוגמה - התוכנה הזדונית מנסה להפעיל PsExec ולהתקין תוכנות זדוניות בכל המערכות האחרות ברשת.

לעתים קרובות הטכניקה מצליחה.

במהלך 16 החודשים האחרונים, מחברי Coreflood נגועים יותר מ 378,000 מחשבים. SecureWorks ספרה אלפי זיהומים ברשתות אוניברסיטאיות, ומצאה חברות פיננסיות, בתי חולים, משרדי עורכי דין ואפילו סוכנות משטרה ממלכתית בארה"ב, שמנתה מאות זיהומים. "זה קצת מטורף כמה פעמים הם מקבלים על מאות או אלפי מחשבים בחברה אחת", אמר סטיוארט. "קרוב לוודאי שהם גנבו חשבונות רבים יותר ממה שהם יכולים להשתמש בהם".

מרכז ה- SANS Internet Storm דיווח על אחת מהזיהומים, שהשפיעה על 600 מחשבים ברשת של 3,000 מחשבים, ב -25 ביוני.

תוכניות זדוניות השתמשו PsExec כבר יותר מחמש שנים, אמר היוצר של התוכנה, מארק רוסינוביץ ', עמית טכני של מיקרוסופט. עם זאת, זו הפעם הראשונה שהוא שמע על זה נעשה שימוש כזה בצורה. "PsExec אינה חושפת דבר שמחבר תוכנות זדוניות אינו יכול לקודד בעצמם או אפילו לבצע עם מנגנונים חלופיים", אמר בראיון אלקטרוני. "ברגע שיש לך אישורים שנותנים לך זכויות מנהל מקומי באמצעות גישה מרחוק, אתה הבעלים של המערכת."

Coreflood, אשר ידוע גם בשם טרויאני AFcore, כבר סביב כשש שנים. זה כבר נעשה בעבר עבור דברים כמו הפעלת התקפות של מניעת שירות, אבל לא לגנוב סיסמאות, אמר סטיוארט.