TRÓJAI LAPUL AZ ENERGIZER USB-S TÖLTŐJÉN

A pendrive-ok és külső merevlemezek világában olykor-olykor előfordul, hogy egy virus vagy trójai várja a gyanútlan felhasználót. Ezt az esetek többségében a kellően erős biztonsági rendszer azonnal meg tudja fogni (vírusirtó), de új meghajtónál érdemes az automatikus lejátszás funkciót is kikapcsolni, legalábbis addig, míg nem néztünk szét a meghajtón egy vírusirtóval. Most egy teljesen más piaci szegmensben tűnt fel a probléma: ki gondolta volna, hogy egy USB-s akkumulátortöltő is hasonló veszélyekkel támadhat a gyanútlan felhasználókra?
Víg Ferenc (J.o.k.e.r)
Víg Ferenc (J.o.k.e.r)
2010. márc. 10. 17:01
Trójai lapul az Energizer USB-s töltőjén

A pendrive-ok és külső merevlemezek világában olykor-olykor előfordul, hogy egy virus vagy trójai várja a gyanútlan felhasználót. Ezt az esetek többségében a kellően erős biztonsági rendszer azonnal meg tudja fogni (vírusirtó), de új meghajtónál érdemes az automatikus lejátszás funkciót is kikapcsolni, legalábbis addig, míg nem néztünk szét a meghajtón egy vírusirtóval. Most egy teljesen más piaci szegmensben tűnt fel a probléma: ki gondolta volna, hogy egy USB-s akkumulátortöltő is hasonló veszélyekkel támadhat a gyanútlan felhasználókra?

Természetesen nem maga a töltő, hanem a hozzá mellékelt gyári szoftver a ludas a történetben, az ugyanis trójait tartalmaz. Maga a program egyébként csak annyit tesz, hogy megmondja a töltés aktuális állapotát, azaz folyamatosan tudhatjuk, hogy még mennyi idő kell a töltőnek, hogy teljesen feltöltse akkummulátorainkat. Egyszóval tehát nem maga a töltő, hanem a csomagban található szoftver tehet mindenről. A külföldi források szerint a Windows alapú segédprogram fájljai között lapuló féreg kinyitja a 7777-es TCP portot, mindezt úgy, hogy saját magát hozzáadja a Windows tűzfalának kivételeket tartalmazó listájához, így a felhasználó az egészből gyakorlatilag semmit sem vesz észre, vagyis tudta nélkül telepíthetnek kártékony szoftvereket gépére, illetve akár a rendszer irányítását is átvehetik a támadók. Maga a trójai az Arucer.dll fájl belsejében lapul.

Galéria megnyitása
Ahogy a szoftvert telepítettük, a trójai aktiválja magát és folyamatosan fut a háttérben akkor is, ha maga a töltő nincs a rendszerhez csatlakoztatva, azaz a szoftvert nem használjuk. A rosszindulatú kódhalmaztól szerencsére nagyon-nagyon egyszerűen meg lehet szabadulni. Amennyiben a monitorozó szoftvert eltávolítjuk, a trójai a rendszer indításakor már nem aktiválódik automatikusan, így a Windows System32 mappáján belül elhelyezkedő Arucer.dll fájlt nemes egyszerűséggel törölhetjük, majd egy újraindítás után már tiszta lesz rendszerünk.

A gyártó a probléma miatt eltávolította weblapjáról a szóban forgó szoftvert és a töltő forgalmazását is leállította. A vállalat egyelőre nem tervezi, hogy a már a boltok polcaira kikerült csomagokat visszahívja, így sajnos az elkövetkező hetek folyamán is könnyedén találkozhatunk olyan csomagokkal, amelyekben a trójaival fertőzött szoftver lapul, ezért azt javasoljuk, hogy a csak kényelmi funkciókat biztosító programot mellőzzük, és várjuk meg amíg a gyártó honlapjára felkerül egy új változat.

Hírlevél feliratkozás
A feliratkozással elfogadom a Felhasználási feltételeket és az Adatvédelmi nyilatkozatot.

26 hozzászólás

A komment írásához előbb jelentkezz be!
Claymore
Claymore
2010. márc. 11. 22:19
#25

lol

attól, hogy pl egy jpg vagy png kiterjesztést átírsz wmv re nem lesz belőle videó xD

vagy, hogy egy példát mondjak sötét kollégámnak volt egy scannelt képje amit ő át akart írni és úgy kinyomtatni. A hülye fogta és átírta .txt-re és csodálkozott hogy nem ment neki...

Blindness
Blindness
2010. márc. 12. 0:21

/facepalm

Mondtam én ilyet?

Akkor elmagyarázom harmadszorra is, most a te példáddal: Ha átírsz egy JPEG-et WMV-re, attól az még kép marad, tehát ha társítod egy képszerkesztőhöz, az megnyitja, a WMV kiterjesztés ellenére. Átültetve az eredeti koncepcióba: A "szörnyen trükkös" hacker átírja a trojan.exe-t Arucer.dll-re, mert ekkor egyesek azt hihetik, hogy ababn csak ártalmatlan függvény deklarációk vannak, pedig lehet, hogy parancssorból ugyanúgy meghívható executable.

Blindness
Blindness
2010. márc. 10. 22:22
#24

Csak azért mert dll-re végződik, nem jelenti azt, hogy valóban dll-re jellemző tartalom (függvények, mint kiderült...) van benne. Valószínűleg senki nem fogja trojan.exe-nek elnevezni a trójait :) Arucer.dll néven ugyanúgy működőképes...

Ace0098
Ace0098
2010. márc. 10. 22:15
#23

"azt még én is meg tudom tenni, hogy teszemazt egy .exe-t átírok .dll-re..."

lol ok

jó neked

csak most ez hogy jön ide?

Blindness
Blindness
2010. márc. 10. 22:09
#22

"Blindness, te meg aztán látom írtál már akár egy C-s programot is." Ne haragudj, de ennek a mondatnak konkrétan semmi értelme nincsen. Egyébként nem, nem írtam még programot C-ben, egyáltalán nem foglalkozom programozással, így azt sem tudom mit tartalmaz egy dll, szégyenek szégyene. Bár megemlíteném, hogy nem nagyon látom a kapcsolatot a dll fájlok tartalmának ismerete és a szövegértelmezési képesség között. Hozzátenném továbbá, hogy a .dll csupán egy kiterjesztés, és azt még én is meg tudom tenni, hogy teszemazt egy .exe-t átírok .dll-re... Vagy ilyen komoly cseleket a C programozók már nem tanulnak? :P

YuGabe
YuGabe
2010. márc. 10. 21:43
#21

Blindness, te meg aztán látom írtál már akár egy C-s programot is. A sok hülye vírusirtó azt is vírusnak nézi, hogyha direkt akarsz olvasni egy memóriaterületet. Gondolkodj már, mielőtt írsz. Hű vagy a nevedhez? Dll-ben függvények vannak, amit programok hívnak meg. Nem nekem kell szövegértelmezést tanulnom, úgy sejlik.

gargantu: ez így van, és jó ideig el is tart, amíg eljutnak pl. 20-astól a 7777-esig (de nem eddig nézik). Ha egy átlagfelhasználó gépén akarnak kárt tenni, akkor azzal nem sokra mennek, nem?

gargantu
gargantu
2010. márc. 10. 21:31
#20

YuGabe:

valószínűleg senki nem pingelné végig valakinek az összes portját

Az igen nagy számban állandóan futó portscannerek éppen ezt csinálják. (nem ping, de valami hasonló: a ping élő IP címet, a portscanner nyitott portot keres).

pjszilard
pjszilard
2010. márc. 10. 21:23
#19

A ruteremen viszont nem tudja kinyitni a tuzfalat. !

pjszilard
pjszilard
2010. márc. 10. 21:19
#18

könnyedén találkozhatunk olyan csomagokkal, amelyekben a trójaival fertőzött szoftver lapul

Nem lapul, mert nincs a csomagban! (nekem ilyen toltom van)

Blindness
Blindness
2010. márc. 10. 21:16
#17

YuGabe te sokmindent gondolsz, csak épp rosszul. Gyakorolj szövegértelmezést ;)

"A külföldi források szerint a Windows alapú segédprogram fájljai között lapuló féreg kinyitja a 7777-es TCP portot, ... Maga a trójai az Arucer.dll fájl belsejében lapul."

Kinyit egy portot (valószínűleg a trójainak), aztán telepít egy trójait. Nehéz ám megérteni...

YuGabe
YuGabe
2010. márc. 10. 20:16
#16

Amit te írtál, az is csak azt bizonyítja, hogy szoftverfrissítésnek van nyitvahagyva a TCP port. Viszont ha ez a hír nem lenne, akkor valószínűleg senki nem pingelné végig valakinek az összes portját, hogy találjon véletlenül egy nyitott 7777-es portot. Az is azt bizonyítja, hogy mennyire károsez a dolog, hogy 2007 óta senki nem vette észre, és senkinek nem okozott kárt. Nem véletlenül egy vírusokkal foglalkozó cég csapott le rá.

Szenzációhajhászás.

_DiEGO_
_DiEGO_
2010. márc. 10. 18:39
#15

No van szépen hír bőséggel....

Új tárgy került fel az Energizer jóvoltából a vírusfertőzést hordozó kütyük listájára. A cég Duo márkanevű USB-s elemtöltője trójait telepített a számítógépekre, lehetővé téve a támadóknak, hogy a felhasználó tudta nélkül matassanak a masinán.

A problémát felfedező US-CERT szakértői egyelőre nem tudták megállapítani, hogy a trójait tartalmazó fájlt mióta telepíti fel a Energizer Duo szoftvere. Az Arucel.dll néven rejtőző kód a készítés dátuma szerint 2007 májusi, azaz lehet, hogy három éve fertőz meg minden elemtöltőhöz csatlakoztatott számítógépet a kártevő.

A trójait irányító kiberbűnözők nem csak a felhasználó fájljait vizsgálhatták át, hanem valószínűleg szoftvert is telepíthettek a gépre. Ilyen hozzáféréssel pedig nem nehéz rávenni a fertőzött gépek ezreit, hogy ontani kezdjék magukból a kéretlen reklámlevelet, megállás nélkül, mint a duracelnyuszi.

A Symantec kutatói szerint a trójai a mai napig működőképes, teszi a dolgát a háttérben a gépen. Működéséhez az se kell, hogy a töltő csatlakoztatva legyen, az eszközre csupán a telepítés miatt van szüksége.

[LINK]

_DiEGO_
_DiEGO_
2010. márc. 10. 18:21
#14

Lobelflesh

Mert ?

A mellékelt minidisken található a szoftvere ....

Egyszóval tehát nem maga a töltő, hanem a csomagban található szoftver tehet mindenről.

Külföldi források szerint a Windows alapú segédprogram fájljai között lapuló féreg kinyitja a 7777-es TCP portot, mindezt úgy, hogy saját magát hozzáadja a Windows tűzfalának kivételeket tartalmazó listájához, így a felhasználó az egészből gyakorlatilag semmit sem vesz észre. Maga a trójai az Arucer.dll fájl belsejében lapul.

CarKiller
CarKiller
2010. márc. 10. 17:46
#13

YuGabe: ja, igazad lehet, most épp elkezdtem gondolkodni, amúgy énis tudom szerkeszteni a kommentemet, csak lusta vagyok:S

És most hogy mondod nevet tényleg nem említettek a "vírusnak":)

Lobelflesh
Lobelflesh
2010. márc. 10. 17:44
#12

DiEGO inkább ne szólaltál volna meg .... -_-'

YuGabe
YuGabe
2010. márc. 10. 17:41
#11

Hát ez tökre röhejes. Nincsen benne trójai, hanem valamilyen belső okból nyitja ki az említett portot, gondolom azon keresztül keres szoftverfrissítést magának. Csak gondolom a programozók elfelejtették bezárni, és amíg a memóriában van, addig nyitva marad.

Ha tényleg trójai lenne, akkor lenne neki neve, ami nincs. Csak véletlenül maradt benne egy akár kártékonynak tekinthető kód.

Ezt csak valaki szenzációhajhászásból írta valahol, olvastam már. Nem ellened irányul J.o.k.e.r :)

És én elolvastam, mint mindig, amikor hsz-t írok. Valamint tudom, hogy hogyan lehet szerkeszteni a hsz-emet. Lol.

CarKiller
CarKiller
2010. márc. 10. 17:37
#10

De a szoftver nem a töltőn van?

_DiEGO_
_DiEGO_
2010. márc. 10. 17:36
#9

Trójai lapul az Energizer USB-s töltőjén

Első olvasatra majdnem beugrottam magam is :D Má hardveresen támadnak xD

Inkább emigyen:

Trójai lapul az Energizer USB-s töltőjének a Telepítőcédéjén !

CarKiller
CarKiller
2010. márc. 10. 17:33
#8

(elolvastam:D)

CarKiller
CarKiller
2010. márc. 10. 17:33
#7

Ez azért komoly nagyon:D A kedves kollégák egyike nem szeretheti a vásárlókat xD

Ace0098
Ace0098
2010. márc. 10. 17:31
#6

(oltsatok be, csak a címét olvastam meg a képet néztem meg)

Ace0098
Ace0098
2010. márc. 10. 17:30
#5

lol vírusos a töltő

jadam92
jadam92
2010. márc. 10. 17:23
#4

(de persze ezt se szoljátok le, mert énis tudom hogy a szoftver a ludas.xD)

jadam92
jadam92
2010. márc. 10. 17:23
#3

komoly... : D még jó hogy a konnektort nem fertözi meg a hálozati töltő xD

axe
axe
2010. márc. 10. 17:08
#2

(mielőtt valaki leszólna, elolvastam a cikket, és tudom, hogy a hozzá adott szoftver a vírusos)

axe
axe
2010. márc. 10. 17:06
#1

a címén jót röhögtem:D:D

Vissza az oldal tetejére