Перейти к содержанию

Stuxnet и украденные сертификаты


Рекомендуемые сообщения

Костин Раю

Эксперт «Лаборатории Касперского»

 

Вчера нашими коллегами из ESET была обнаружена новая версия Stuxnet. У этой вредоносной программы драйвер был подписан еще одной доверенной стороной - корпорацией JMicron Technology.

 

( http://www.securelist.com/ru/images/pictur...lblog/32851.png )

 

Компания JMicron является достаточно известным производителем аппаратного обеспечения, и у меня самого было три-четыре компьютера с компонентами JMicron.

 

Первый RT-сертификат вызывал подозрение, однако еще один украденный сертификат вызывает ряд интересных вопросов.

 

Возможно, что и JMicron, и Realtek были заражены троянской программой типа ZeuS, крадущей цифровые сертификаты. Заполучив сертификаты, киберпреступники затем перепродали их на рынке или же использовали их для того, чтобы подписать драйверы Stuxnet.

 

Честно говоря, когда я впервые увидел, что троянские программы крадут цифровые сертификаты, это не произвело на меня сильного впечатления.

 

Теперь же, если принять во внимание историю с Stuxnet, это кое-что объясняет.

 

Источник: Securelist

Изменено пользователем Konstantin.
Ссылка на комментарий
Поделиться на другие сайты

Это ж такие файлы будут попадать в доверенную группу в Контроле программ. Настройки по-умолчанию уже не так безопасны.

Ссылка на комментарий
Поделиться на другие сайты

  • 2 недели спустя...
Это ж такие файлы будут попадать в доверенную группу в Контроле программ. Настройки по-умолчанию уже не так безопасны.

Сертификат был отозван,заблокирован после данного инцидента :)

 

viruslist надо читать :acute:

 

А вот как проснулись(!) Др.Веб :) :

Trojan.Stuxnet затмил блокировщиков. Жаркий вирусный июль 2010 года

03.08.2010

 

3 августа 2010 года

 

Июль 2010 года ознаменовался не только экстремальной жарой, но и появлением и широким распространением троянцев Trojan.Stuxnet. Эти вредоносные программы используют альтернативный способ запуска со съемных носителей, а также применяют украденные цифровые подписи известных производителей ПО. Использование буткит-технологий становится нормой для вредоносных программ. В то же время блокировщики Windows, столкнувшись с противодействием, сократили темпы своего распространения, и сегодня интернет-мошенники пытаются найти альтернативу платным СМС-сообщениям.

Trojan.Stuxnet нашел «дыру» в Windows и проникает через ярлыки

 

Июльской «новинкой» летнего сезона, заставившей антивирусную индустрию в который раз серьезно мобилизовать свои ресурсы, стала вредоносная программа нового типа, которая по классификации Dr.Web получила наименование Trojan.Stuxnet.1. Ее распространение оказалось напрямую связано с ранее неизвестной уязвимостью операционной системы Windows. Этот троянец принес с собой несколько новинок в области обхода защитных механизмов Microsoft и уже успел продемонстрировать всю серьезность своих намерений — одним из первых зафиксированных применений Trojan.Stuxnet.1 стал промышленный шпионаж.

 

Троянец устанавливает в систему два драйвера, один из которых является драйвером-фильтром файловой системы, скрывающим наличие компонентов вредоносной программы на съемном носителе. Второй драйвер используется для внедрения зашифрованной динамической библиотеки в системные процессы и специализированное ПО для выполнения основной задачи.

 

Авторы нового троянца преподнесли пользователям сразу несколько неприятных сюрпризов. Во-первых, уже упомянутая эксплуатация уязвимости Windows: вредоносная программа использует «слабое звено» в алгоритме обработки содержимого ярлыков. Следует отметить, что корпорация Microsoft оперативно отреагировала на обнаружение этой уязвимости. По информации, опубликованной разработчиком ОС Windows, ей подвержены как 32-битные, так и 64-битные версии, начиная с Windows XP и заканчивая Windows 7 и Windows Server 2008 R2. Злоумышленники могут использовать эту «брешь» и для удаленного запуска вредоносных программ. Кроме того, опасный код может интегрироваться в документы некоторых типов, предполагающих наличие в них встроенных ярлыков, и распространяться посредством эксплуатации обнаруженной уязвимости.

 

2 августа 2010 года компания Microsoft выпустила критический патч для всех подверженных уязвимости версий Windows. Для тех систем, в которых настроено автоматическое обновление, патч установится автоматически, и для его применения потребуется перезагрузка компьютера.

 

«Сюрпризы» от авторов Trojan.Stuxnet на этом не закончились. Драйверы, которые троянец устанавливает в систему, снабжены цифровыми подписями, украденными у производителей легального программного обеспечения. В июле стало известно об использовании подписей, принадлежащих таким компаниям, как Realtek Semiconductor Corp. и JMicron Technology Corp. Злоумышленники используют подпись для «тихой» установки в целевую систему.

 

Стоит заметить, что, кроме драйверов, которые подписываются для незаметной установки, подписан также и вредоносной файл, запускающийся с помощью эксплойта уязвимости Windows Shell со съемных носителей. Но данная подпись практически сразу после первой же активизации троянца перестает действовать: встроенный счетчик заражений постоянно модифицирует исполняемый файл, в результате чего подпись приходит в негодность.

 

У Trojan.Stuxnet.1 довольно быстро появились многочисленные последователи, использующие указанную уязвимость Windows. Все подобные ярлыки определяются Dr.Web как Exploit.Cpllnk. Всего за несколько дней вредоносные программы, использующие для своего запуска такие ярлыки, возглавили Топ-20 вирусных программ, обнаруженных в июле на компьютерах пользователей, а Trojan.Stuxnet.1 успел оказаться на шестом месте этого списка.

 

В настоящее время идет массированное распространение вредоносных программ, эксплуатирующих обнаруженную уязвимость. Вероятно, оно продлится ещё некоторое время до установки только что выпущенного Microsoft патча на большинство систем. Отреагировали на появление новой угрозы и специалисты компании «Доктор Веб» — в вирусную базу были оперативно добавлены процедуры лечения зараженных троянцем систем.

 

Что-то я не нашёл ссылку на скачивание патча...:lol: придётся его с обновлениями ОС ждать...если у кого они качаются...вообще...

Изменено пользователем Nikolay Lasarenko
Ссылка на комментарий
Поделиться на другие сайты

EzzO/M :lol:

Кому-то может и не пришёл этот патч в комп...хочется скачать его отдельно,чтоб своих родственников и друзей обезопасить от этой нечисти :acute:

Ссылка на комментарий
Поделиться на другие сайты

Найдены ссылки для скачивания критических патчей против данной уязвимости :lol:

 

Windows XP Service Pack 3:

http://www.microsoft.com/downloads/details...2B-90F2727894FD

 

Windows XP Professional x64 Edition Service Pack 2:

http://www.microsoft.com/downloads/details...65-42A702E2CC0D

 

Windows Server 2003 Service Pack 2:

http://www.microsoft.com/downloads/details...EE-2CA216696B09

 

Windows Server 2003 x64 Edition Service Pack 2:

http://www.microsoft.com/downloads/details...07-2C5A37F13E8E

 

Windows Server 2003 with SP2 for Itanium-based Systems:

http://www.microsoft.com/downloads/details...05-B54E4F3B6580

 

Windows Vista SP1/SP2:

http://www.microsoft.com/downloads/details...BD-F64DB229EE66

 

Windows Vista x64 Edition SP1/SP2:

http://www.microsoft.com/downloads/details...0F-660200BAA229

 

Windows Server 2008 for 32-bit Systems (опционально с SP2):

http://www.microsoft.com/downloads/details...54-F33127B1C309

 

Windows Server 2008 for x64-based Systems (опционально с SP2):

http://www.microsoft.com/downloads/details...B2-82E84272AAF2

 

Windows Server 2008 for Itanium-based Systems (опционально с SP2):

http://www.microsoft.com/downloads/details...71-A997DD83DE0B

 

Windows 7 for 32-bit Systems:

http://www.microsoft.com/downloads/details...4A-8BD2D70D0A0A

 

Windows 7 for x64-based Systems:

http://www.microsoft.com/downloads/details...C7-8CC8B00B4395

 

Windows Server 2008 R2 for x64-based Systems:

http://www.microsoft.com/downloads/details...B0-4DBB8180E81F

 

Windows Server 2008 R2 for Itanium-based Systems:

http://www.microsoft.com/downloads/details...28-0B81F7B72670

Изменено пользователем Nikolay Lasarenko
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • infobez_bez
      Автор infobez_bez
      Здравствуйте!
      В веб консоли ksc вылезло уведомление о том, что истекает доверенный сертификат 
      Нужно ли его перевыпускать/заменять или он автоматически заменится на другой после окончания срока действия?
      И еще, после смены сертификата будут ли видеть ПК сервер администрирования или их заново придется подключать?
    • Sandynist
      Автор Sandynist
      Добрый день! 
       
      Каждый раз при открытии Алика (https://aliexpress.ru/) такая вот картинка.
       
      Событие: Обнаружено SSL-соединение c недействительным сертификатом Тип пользователя: Не определено Имя приложения: opera.exe Путь к приложению: C:\Users\Home7\AppData\Local\Programs\Opera Компонент: Интернет-защита Описание результата: Запрещено Имя объекта: rap.skcrtxr.com Причина: Этот сертификат или один из сертификатов в цепочке устарел.  И непонятно — это что? И что с этим всем делать?

    • Vitekzz
      Автор Vitekzz
      Хочу создать программу для автоматизации работы с KSC c помощью KlAkOAPI при запуске проверочного кода для загрузки информации об обновлениях постоянно выходит ошибка о использовании самоподписанного сертификата, которую не получается убрать, как можно решить данную проблему?
      Вот сам код программы:
       
      from KlAkOAPI.AdmServer import KlAkAdmServer
      from KlAkOAPI import Updates
      from datetime import timedelta
      import urllib3
      import ssl  # Импортируем модуль ssl
      import json
       
      username = 'KLAPI'
      password = '1234QwZ'
      KSC_LIST = {
          'WINDOWS': 'https://127.0.0.1:13299'
      }
      def ConnectKSC(ip):
          """Подключается к серверу Kaspersky Security Center."""
          while True:
              try:
                  connect = KlAkAdmServer.Create(ip, username, password, verify=False, vserver='')
                  if connect:
                      print('Успешно подключился к {}'.format(ip))
                  else:
                      print('Ошибка подключения к {}'.format(ip))
                      return None  # Возвращает None, если подключение не удалось. Не завершает программу.
                  return connect
              except Exception as e:
                  print(f"Ошибка подключения: {e}")
                  return None # Возвращает None, если подключение не удалось
      def get_status_hosts(server, ip):
          """Получает и печатает информацию о статусе обновлений для сервера KSC."""
          urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
          params = []  #  params не используется
          if server is not None:
              try:
                  # Создаем SSL-контекст, который не проверяет сертификаты
                  context = ssl.create_default_context()
                  context.check_hostname = False
                  context.verify_mode = ssl.CERT_NONE
                  # Модифицируем объект сессии для отключения проверки SSL
                  server.session.verify = False  # Отключаем проверку глобально для сессии
                  server.session.cert = None  # Удаляем существующий сертификат
                  straccessor = Updates.KlAkUpdates(server).GetUpdatesInfo(pFilter=params)  # Нет аргумента ssl_context
                  ncount = straccessor.RetVal()
                  if ip == KSC_LIST['WINDOWS']:
                      if 1 in ncount:  # Проверяем, что индекс существует
                          data = ncount[1]
                          print('')
                          print('KSC ======== [ {} ] ========'.format(KSC_LIST['WINDOWS']))
                          print('Дата создания: {}'.format(data['Date'] + timedelta(hours=3)))
                          print('Дата получения: {}'.format(data['KLUPDSRV_BUNDLE_DWL_DATE'] + timedelta(hours=3)))
                          print('============================')
                      else:
                          print("Не удалось получить данные для WINDOWS KSC")
                  else:
                      print(f"Неизвестный IP-адрес KSC: {ip}")  # Добавлена проверка на некорректный IP-адрес KSC
              except Exception as e:
                  print(f"Ошибка при получении информации об обновлениях с {ip}: {e}")
          else:
              print('Ошибка доступа к серверу')  # Это сообщение может вводить в заблуждение, если подключение к серверу не удалось во время ConnectKSC.
      if __name__ == '__main__':  # Исправлена ошибка 'name' на '__name__'
          for ip in KSC_LIST.values():
              server = ConnectKSC(ip)
              if server:  # Продолжаем только если подключение успешно
                  try:
                      get_status_hosts(server, ip)
                  except Exception as e:
                      print(f"Ошибка в get_status_hosts для {ip}: {e}")
              else:
                  print(f"Не удалось подключиться к {ip}. Пропускаем проверку статуса обновлений.")  # Добавлено сообщение, если подключение не удалось.
      Ошибка которая появляется при запуске кода:
       
      Успешно подключился к https://127.0.0.1:13299
      C:\Users\user\PycharmProjects\ksc\.venv\Lib\site-packages\urllib3\connectionpool.py:1097: InsecureRequestWarning: Unverified HTTPS request is being made to host '127.0.0.1'. Adding certificate verification is strongly advised. See: https://urllib3.readthedocs.io/en/latest/advanced-usage.html#tls-warnings
        warnings.warn(
      Не удалось получить данные для WINDOWS KSC
      Process finished with exit code 0
       
       
    • Анди25
      Автор Анди25
      День добрый,
       
      Сменился сервер и имя, из бэкап восстановил, но все сертификаты естественно указывают на прежний.
      Подскажите как сертификат сменить непосредственно на Kaspersky Security Center (не для работы мобильных клиентов и web, они легко меняются через mmc)
       
      Нашел описание по утилите klsetsrvcert, но чего-то не хватает, не проходит создание.
      "C:\Program Files (x86)\Kaspersky Lab\Kaspersky Security Center\klsetsrvcert.exe" -t C -i C:\0\klserver.cer -p testpass -o NoCA
    • MiStr
      Автор MiStr
      Здесь можно подать заявку на получение сертификатов Ozon и подписки на сервисы Яндекса. Правила и обсуждение - в соседней теме. В этой теме принимаются только заявки! Любое другое обсуждение запрещено!
       
      После оставления заявки необходимо сразу отправить личное сообщение на имя @MiStr, @dkhilobok и @Deadman, в котором продублировать текст заявки и написать свои ФИО (полностью, без сокращений). Все повторные заявки на получение сертификата или подписки необходимо отправлять в рамках ранее созданной переписки и не создавать новую.
×
×
  • Создать...