28-05-06 18:38
Word dokument instalira Trojanca
piše ACO DMITROVIĆ
SANS-ovi analitičari objavili su kako je u svibnju otkriven novi način napada na sustave odabranih organizacija. Napad nije izveden masovno, već je usmjeren na odabrane ciljeve. Radi se o poruci elektroničke pošte koja je oblikovana tako da izgleda kao interna poruka, pošiljatelj i primatelj su iz iste domene. Privitak u obliku Word dokumenta bez problema je prošao protuvirusnu obranu. Kada korisnik klikne na privitak, Word pokuša prikazati dokument, ali u tome ne uspijeva, javlja grešku i korisniku nudi mogućnost da ponovi pokušaj. Ovog puta dokument se normalno otvara. Samo će sumnjičavi korisnici nakon toga provjeriti što se zapravo dogodilo.
Prilog je tako oblikovan da se, koristeći dosad nepoznatu ranjivost MS Worda, iz datoteke najprije instalira Trojanca i prijavi ga u Registry-ju. Aplikacija s imenom winguis.dll bit će sakrivena od OS-a. Nakon toga se iz priloga ukloni trojanski kod, pa drugi pokušaj učitavanja dokumenta uspijeva. Korisnik kojem se žuri neće se potruditi da ispita što se zapravo dogodilo.
Analitičari nagađaju da su napadači samo isprobavali novi način napada, te da nisu još stigli napraviti kod koji bi se automatski širio poput virusa. No moguće je i da je napad namjerno bio usko usmjeren. Navodno je jedan od ciljeva bio ured japanske vlade.
Kako god bilo, preporučujemo oprez pri otvaranju Word dokumenata koji stižu e-mailom. Pogotovo ako se Word skrši, pa se nakon toga misteriozno oporavi.
Kao obrana od ovakvih napada preporučuje se da mail klijent umjesto Worda kao defaultnu aplikaciju poziva viewer, koji samo prikazuje tekst, a nema mogućnost izvršavanja programskog koda.
Drugi univerzalni lijek bio bi slanje dokumenata u nekom neutralnom formatu, na primjer kao .rtf. Naravno, tvrtke bi to trebale proglasiti obavezom u svojoj sigurnosnoj politici. Nažalost, većini je korisnika prekomplicirano snimiti dokument kao .rtf umjesto podrazumijevanog .doc formata.
Proizvođači antivirusnih programa već su počeli izdavati zaštitu, tako da će ova verzija napada biti prepoznata.
|
