Съветите на спеца
Още един опасен вирус, заразяващ Symbian телефони
- 02.04.2008
- коментари (4)
- напиши коментар
След 4 години Cabir отново заразява наред
Все повече компютърни вируси, започнаха да се появяват за операционната система Symbian. Последният такъв, с който се е заразил наш читател е Cabir. По негова молба именно публикуваме и тази статия, която цитира сайта http://www.nlcv.bas.bg или Националната лаборатория по компютърна вирусология. Ето и инфото, което може да се намери там.
Cabir е наричан още: Worm.Symbian.Cabir.a [Kaspersky], Cabir [F-Secure], EPOC/Cabir.A [Computer Associates], Symb/Cabir-A [Sophos], EPOC_CABIR.A [Trend], Symbian/Cabir [McAfee]
Неуязвими системи: DOS, Linux, Macintosh, Novell Netware, OS/2, UNIX, Windows 2000, Windows 3.x, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
Cabir е първият мрежов червей който се разпространява чрез мобилните мрежи. Той заразява телефони от Series 60, работещи с ОС Symbian. Важно е да се отбележи, че червеят може да зарази само мобилни телефони, които поддържат bluetooth, на които bluetooth е включен и които са в режим " discoverable". Но след като един телефон бъде заразен, той ще се опитва да зарази други системи, дори ако потребителят не опита да забрани bluetooth.
Псевдонимът на автора на вируса е Vallez. Този псевдоним се използва от международната група вирусописачи 29a. Тази група се е специализирала в създаването на т.нар. "proof-of-concept" (вируси за доказване на определена концепция) вируси. Между нейните творения са Cap - първият макровирус, който причини глобална вирусна епидемия, Stream - първият вирус за допълнителни NTFS потоци и Rugrat - първият Win64 вирус.
Cabir се разпространява като SIS файл (дистрибуционен файл на Symbian), който е маскиран като Caribe Security Manager utility (програмата за управление на сигурността Caribе), представляваща част от софтуера за сигурност на телефоните. При стартиране на заразения файл на екрана на телефона се появява надпис "Caribe"; червеят прониква в системата и се активира при всяко включване на телефона. Cabir сканира за всички достъпни устройства, които използват технологията Bluetooth и изпраща свое копие на първото, което открие, независимо от типа на устройството. Например, един принтер, поддържащ Bluetooth, също може да бъде атакуван, но не и заразен, естествено. Кодът на червея не съдържа злонамерен товар, но заразеният телефон може да работи нестабилно поради постоянното наличие на червея в паметта и непрекъснатите опити за сканиране на активни Bluetooth-устройства. Разбира се и батерията ще се разрежда много по-бързо.
Червеят е предназначен да работи под ОС Symbian, използвана в много модели на Nokia. Със сигурност е установено, че са уязвими моделите Nokia 3650, 7650 и N-Gage. Ето списък на всички устройства, работещи под ОС Symbian.
Понастоящем са известни два варианта на червея, които се различават само по наличието на реда "VZ/29a", който се извежда на екрана, заедно с текста Window Alert.
Файлът на червея caribe.sis съдържа autostart настройки, които ще стартират автоматично файла caribe.app след инсталирането му. Той е с големина 15092 байта (или 15104 байта) съдържа в себе си няколко обекта:
* основния изпълним файл caribe.app: големина 11932 байта (или 11944 байта)
* файл за разпознаване на системите flo.mdl: големина 2544 байта
* ресурсов файл caribe.rsc: големина 44 байта
При стартиране червеят извежда на екрана съобщението "Caribe" (или "Caribe - VZ/29a"):
И след това се инсталира в няколко директории:
с:\system\apps\caribe\caribe.app
с:\system\apps\caribe\flo.mdl
с:\system\apps\caribe\caribe.rsc
C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER\CARIBE.SIS
C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER\CARIBE.APP
C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER\CARIBE.RSC
C:\SYSTEM\RECOGS\FLO.MDL
С:\SYSTEM\INSTALLS\CARIBE.SIS
Директорията "SYMBIANSECUREDATA", която червеят създава, е скрита и не може да бъде видяна от потребителя на заразения телефон.
При изтриване на файловете на червея от директорията "APPS", той ще продължи да действа в системата.
След инсталиране на компонентите на червея, той възстановява файла caribe.sis, като използва файловете на компонентите и блоковете с данни, намиращи се в caribe.app, и го подготвя за по-нататъшно разпространение.
Размножение
При всяко включване на заразения телефон червеят получава управлението и започва да сканира списъка на активните Bluetooth връзки. След това той избира първата достъпна връзка от списъка и се опитва да изпрати файла "caribe.sis". На екрана на телефона-получател се появява съобщението:
"Receive message via Bluetooth from <име на изпращащото устройство>??"
Ако потребителят потвърди приемането на файла, той ще получи предупреждение, например:
Application is untrusted and may have problems. Install only if you trust provider.
и предложение за стартирането му, което зависи от модела на телефона, например
"Install Caribe?"
При утвърдителен отговор червеят се инсталира и стартира, като извежда съобщението:
"Caribe -VZ/29а
Почистване:
1. Инсталирайте програма File Мanager на телефона.
2. Разрешете опцията за преглед на файловете в системната директория.
3. Претърсете всички устройства от А до Y за наличие на директория \SYSTEM\APPS\CARIBE
4. Изтрийте файловете CARIBE.APP, CARIBE.RSC, и FLO.MDL от директорията \CARIB
5. От директорията C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER изтрийте файловете CARIBE.APP, CARIBE.RSC, и CARIBE.SIS.
6. От директорията C:\SYSTEM\RECOGS изтрийте файла FLO.MDL.
7. От директорията C:\SYSTEM\INSTALLS изтрийте файла CARIBE.SIS.
Възможно е файлът CARIBE.RSC да не може да се изтрие. В такъв случай рестартирайте телефона и опитайте отново.
Препоръки за предпазване от заразяване
* Изключете Bluetooth, освен ако не Ви е изключително необходим.
* Ако все пак продължите да използвате Bluetooth, уверете се, че настройката за видимост на устройството е със стойност "Hidden", така че то да не може да бъде откривано от други Bluetooth устройства.
* Избягвайте използването на device pairing. Ако все пак го използвате, уверете се, че всички paired устройства са настроени на "Unauthorized". По този начин всяка връзка ще се осъществява само след разрешение от потребителя.
* Не приемайте неподписани (с цифров подпис) приложения и приложения, изпратени от неизвестен подател.
Напиши коментар