Trojan Lurks, czekanie na kradzież haseł administracyjnych

Pisarze kradnący hasła program dla koni trojańskich odkrył, że odrobina cierpliwości może prowadzić do wielu infekcji.

Udało im się zainfekować setki tysięcy komputerów - w tym ponad 14 000 w jednym nienazwanym globalnym łańcuchu hotelowym - czekając na administratorzy systemów logują się na zainfekowanych komputerach, a następnie za pomocą narzędzia administracyjnego firmy Microsoft rozprzestrzeniają swoje złośliwe oprogramowanie w całej sieci.

Przestępcy kryjący się za trojanem Coreflood używają oprogramowania do kradzieży nazw i haseł kont bankowych i rachunków maklerskich. Zdaniem Joe Stewarta, dyrektora ds. Badań nad złośliwym oprogramowaniem przy pomocy bezpiecznego dostawcy SecureWorks, zgromadzono 50-bajtową bazę danych tych informacji.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

"Rozprzestrzenili się w całym przedsiębiorstwie" - powiedział. "To jest coś, co rzadko można zauważyć w dzisiejszych czasach."

Od kiedy Microsoft dostarczał swoje oprogramowanie Windows XP Service Pack 2 z zablokowanymi funkcjami bezpieczeństwa, hakerzy mieli trudności ze znalezieniem sposobów rozprzestrzeniania złośliwego oprogramowania w sieciach korporacyjnych. Powszechne epidemie robaków lub wirusów wkrótce odpadły po wydaniu oprogramowania w sierpniu 2004 r.

Ale hakerzy Coreflood odnieśli sukces, częściowo dzięki programowi Microsoft o nazwie PsExec, który został napisany, aby pomóc administratorom systemów uruchomić legalne oprogramowanie na komputerach sieci.

W przypadku powszechnej infekcji intruz musi najpierw zhakować system w sieci, nakłaniając użytkownika do pobrania jego programu. Następnie, gdy administrator systemu zaloguje się na tym komputerze - na przykład w celu wykonania rutynowej konserwacji - złośliwe oprogramowanie spróbuje uruchomić PsExec i zainstalować złośliwe oprogramowanie na wszystkich innych systemach w sieci.

Technika często się udaje.

W ciągu ostatnich 16 miesięcy autorzy Coreflood zainfekowali ponad 378 000 komputerów. SecureWorks policzył tysiące infekcji w sieciach uniwersyteckich i znalazł firmy finansowe, szpitale, kancelarie prawne, a nawet agencję policji stanowej USA, która miała setki infekcji. "To trochę szalone, jak często dostają się na setki lub tysiące komputerów w jednej firmie", powiedział Stewart. "Pewnie ukradli znacznie więcej kont niż mogą wykorzystać."

SANI Internet Storm Center zgłosiło 25 czerwca jedną z infekcji, która dotknęła 600 maszyn w sieci 3000 komputerów.

Złośliwe programy wykorzystały PsExec przez ponad pięć lat, powiedział twórca oprogramowania, Mark Russinovich, techniczny Microsoft. Jednak po raz pierwszy usłyszał o tym, że jest używany w ten sposób. "PsExec nie ujawnia niczego, czego autor złośliwego oprogramowania nie mógłby sam się zakodować, a nawet osiągnąć za pomocą alternatywnych mechanizmów" - powiedział w wywiadzie e-mail. "Po uzyskaniu poświadczeń, które dają lokalne prawa administratora poprzez zdalny dostęp, jesteś właścicielem tego systemu."

Coreflood, który jest również znany jako trojan AFcore, istnieje od około sześciu lat. W przeszłości wykorzystywano go do takich ataków jak ataki typu "odmowa usługi", ale nie do kradzieży haseł, powiedział Stewart.