AHAPC számítástechnikai hardver és szoftver webáruház

A Windows rendszermagjában, a win32k.sys fájl NtGdiEnableEUDC nevű grafikus funkciójában felfedezett biztonsági rés részletes leírását ismeretlen hackerek máris elérhetővé tették egy kínai webfórumon - így sajnos várható, hogy a közeljövőben akár kártékony programokban is megjelenhet az ezen alapuló támadókód.

Sajnos a Prevx elemzése szerint az új exploit-kód az illetéktelen jogosultság-növelés módszerével dolgozik, amely a Windows XP mellett a legújabb kiadású rendszerekre is veszélyt jelent - még a Windows 7 és a Vista OS beépített, modern UAC védelmi mechanizmusai sem tudják megakadályozni a GDI-EUDC rés kihasználását.

A Microsoft cég hivatalos Twitter-oldalán megjelent rövid közlés szerint a szoftveróriás már tud a sebezhetőségről és programozói dolgoznak annak befoltozásán. A javítás megjelenésének idejét egyelőre nem közölték, de a decemberi "foltozókedden" talán ez is a probléma is megoldódhat az Internet Explorer webböngészőt fenyegető, KB 2458511 jelzésű súlyos biztonsági hibával együtt.

Sebességmániás hacker

Az F-Secure kutatói webnaplójukban a Zbot (avagy Zeus) kártevő olyan új változatáról számoltak be, amely szokatlan módon igyekszik megtéveszteni a víruskutató laborok félautomata elemző-rendszereit.

A megtévesztés ténye önmagában nem meglepő, hiszen a kártevők többsége használ ún. anti-debugger trükköket a visszafejtés akadályozására - a most megfigyelt módszer azonban furcsa és mondhatni kontra-produktív a minél nagyobb botnet-seregek birtoklására törő hackerek szempontjából.

Az új Zbot fertőzés az emulált környezetben történő próbafuttásokat hatástalanítja azzal, hogy a kártékony kódot el sem indítja, ha a számítógép processzorát bizonyos sebességnél lassabbnak értékeli. (Az ún. virtualizáció technológia okozta teljesítmény-veszteség miatt a "vendég" környezetben futó rendszerek nem érhetik el a processzor erőforrásait teljes sebességgel, különösen ha több vendég is fut egymás mellett.)

Nem viszi a laptopot

Timo Hirvonen, az F-Secure cég finn víruskutatója éppen IBM Thinkpad T42 típusú laptopján dolgozott, amikor felfigyelt rá, hogy az általa vizsgált, állítólag kártékony program nem csinál semmit. Mint kiderült, az újfajta Zbot indításkor rövid szünetet tart, mielőtt garázdálkodni kezdene a gépen és ezalatt egy valós idejű időbélyegző változását ellenőrzi.

A Zbot féreg azt vizsgálja, hogy a két másodperces szünet alatt végrehajtásra kerül-e legalább 2**32 darab üres órajel ciklus, mert csak az ilyen, legalább 2GHz processzor-sebességű számítógépeket ítéli "méltónak" arra, hogy kártékony kódját futtathassák. A Thinkpad laptop 1,86 GHz-es mobilprocesszora tehát túl lassúnak bizonyult a vírusíró ízléséhez képest - ami egyben védelmet nyújtott a fertőzés ellen.

Ez a sebességhatár kevés új asztali gépet, de sok laptopot és mini netbook-ot érinthet, mivel azok energia-takarékos, az órajelet lassító processzorokkal üzemelnek a hosszú akkumulátoros üzemidő biztosítása érdekében. Lehetséges, hogy a vírusírónak most kifejezetten olyan zombi gépekre volt szüksége áldozatként, amelyek gyors vezetékes netkapcsolattal rendelkeznek - így a sebesség ellenőrzésével kizárta a fertőzésből a vélhetően inkább mobilnetet használó noteszgépeket.