Новости бизнесаСтатьиНоу ХауАналитикаДеньгиБизнес технологииКурс валют
Главная > Новости бизнеса > Hi-Tech > Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Вторник, 17 июля 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e

Компания Symantec заявила об обнаружении нового червя, который запускает "мусорные" задания на печать. Данный вид червя был определён как W32.Printlove. Вредоносный код использует уязвимость Microsoft Windows Print Spooler Service Remote CodeExecution (CVE 2010-2729), которая была обнаружена ещё в 2010 году.



Стоит отметить, что червь по-разному ведет себя на компьютерах, на которых установлено обновление, закрывающее уязвимость CVE 2010-2729 и на которых оно ещё не установлено. Специалисты Symantec протестировали данную угрозу в простой сети, состоящей из двух компьютеров и общего сетевого принтера, подключённого через коммутатор.

Конфигурация компьютера A: ОС Windows XP Professional. На компьютере установлено обновление, исправляющее CVE 2010-2729, и он заражен W32.Printlove. На ПК не установлено подключение к локальному принтеру или принтеру с общим доступом.

Конфигурация компьютера B: ОС Windows XP Professional. В первом сценарии компьютер работает без обновления, а во втором оно установлено. К нему подключён сетевой принтер, открытый для общего доступа.

Компьютер A должен иметь разрешение отправлять задания на печать на компьютер B. Гостевой доступ к общим принтерам в Windows XP включен по умолчанию; для более поздних операционных систем компьютер А должен быть аутентифицирован компьютером В.

Вот два сценария, по которым может работать данная угроза:
1. W32.Printlove, работающий на компьютере A, будет искать сетевые ресурсы печати. После их обнаружения он пересылает себя на компьютер В, используя запрос StartDocPrinter. Уязвимость буфера печати позволяет скопировать в любую папку какой угодно файл, переданный запросом на печать. Угроза успешно запускает себя на компьютере В, пользуясь данной уязвимостью. На изображении 1 представлен ход выполнения первого сценария.

Изображение 1. Первый сценарий, удаленный запуск кода
2. W32.Printlove, работающий на компьютере А, ведёт себя таким образом и передает свой код на компьютер В. Так как на компьютере В установлено обновление, червь не может использовать уязвимость. Принцип исправления уязвимости не позволяет запросам на печать передавать файл в любую папку (то есть осуществлять печать в файл). В связи с этим червь не может скопировать себя в системный каталог и осуществить автозапуск, используя эксплойт. Вместо этого он сохраняется в папке буфера печати компьютера B в виде .spl-файла, после чего компьютер B начинает печать данного файла на подключённом общедоступном принтере. На изображении 2 показан сценарий 2.

Изображение 2. Второй сценарий, задания на печать
W32.Printlove сохраняет подключение к удаленному компьютеру и периодически пытается его инфицировать, используя уязвимость буфера печати. Компьютеры могут быть заражены повторно, а также могут происходить множественные «мусорные» распечатки, отправляемые с разных компьютеров, пока червь не будет полностью удален из сети. Отслеживание источника нежелательной печати может оказаться значительно сложнее, если речь идет о нескольких инфекциях, присутствующих в сети. Сетевые администраторы могут идентифицировать заражённые ПК, просматривая .shd-файлы, расположенные в папке буфера печати на компьютере, который обеспечивает подключение к общедоступному принтеру.

Файлы SHD создаются операционной системой и содержат детальную информацию о запросе на печать. Для их просмотра можно использовать SPLViewer. Поскольку данные файлы используются службой буфера печати, её необходимо сначала остановить. Администраторы могут обнаружить скомпрометированный компьютер по полю Computername (Изображение 3), которое позволяет идентифицировать источник отправки задания на печать.

Изображение 3. SPLViewer показывает, откуда взялось задание печати
"Мусорная печать" - оборотная сторона медали устранения уязвимости CVE 2010-2729 на компьютерах, атакованных W32.Printlove. Пользователи продуктов Symantec уже защищены от подобных угроз, если они используют последние обновления антивирусных баз.

Возможно, существует связь между Trojan.Milicenso и W32.Printlove, но на данный момент это не подтверждено. Команда специалистов Symantec продолжает расследование, чтобы выявить возможную взаимосвязь этих двух угроз.

Ниже представлена фотография мусорной распечатки. Принтер честно пытается распечатать бинарный код приложения (.exe), которое было ему передано в качестве задания на печать.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 675
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

07: 20
Таким может быть iPhone XI |
07: 00
Как россияне покупали технику в 2017 году: 7 главных фактов |
07: 00
Na"vi - робот в виде героини «Аватара» |
07: 00
Материнская плата NZXT N7 Z370 подешевела до $250 |
07: 00
Пора прекращать пользоваться Google Chrome |
07: 00
Завтра DJI представит складной квадрокоптер Mavic Air |
18: 00
Три новых смартфона Apple в прошлом квартале продавались хуже, чем две новинки за соответствующий период 2016 года |
17: 20
ITC подозревает Samsung, SK Hynix и другие компании в ценовом сговоре, касающемся SSD |
17: 20
Nokia готовит смартфон с 5-линзовой камерой? |
17: 20
Госдума запретит регистрацию детей в соцсетях до 14 лет |
17: 20
NVIDIA рекомендует продавцам не отпускать более двух видеокарт GeForce в одни руки |
17: 00
Zapata Ezfly: Segway, который летает |
16: 40
20 января в истории: советский бомбардировщик М-4, пульсар в Крабовидной туманности и начало цензуры в китайском интернете |
16: 40
Минобороны испытало боевого робота «Соратник» |
15: 40
Появился способ бесплатно поменять iPhone 6 Plus на новую модель |
15: 40
Два интересных Android-смартфона, которые можно купить до 3000 рублей |
14: 40
NVIDIA просит ритейлеров продавать не больше двух видеокарт в одни руки |
14: 40
Американцы заново изобрели номерной знак |
13: 40
Австралия и Канада были одним целым, утверждают геологи |
13: 40
Новая электронная кожа позволяет управлять виртуальными объектами, не касаясь их |
13: 20
LG тоже запатентовала складной смартфон |
13: 20
Требования YouTube для включения монетизации канала ужесточились |
13: 20
В усиленный смартфон Aermoo M2 встроили камеры PureView |
13: 00
Toshiba рассматривает возможность первичного публичного размещения акций дочерней компании, выпускающей флэш-память |
13: 00
Microsoft может засудить любого, кто отключит обновления Windows 10 |
11: 40
Потеря клиентов, убытки и болезни: почему вести бизнес из Ужгорода комфортнее, чем из Вьетнама |
11: 40
Автомобильное зарядное устройство Xiaomi Mi Car Inverter стоит $31 |
11: 20
iPhone X заряжается медленнее любого Android-флагмана |
10: 40
Прототип грузовика Tesla Semi замечен на улицах Калифорнии: видео |
10: 00
KGI считает, что Apple выпустит iPhone с дисплеем OLED диагональю 6,5 дюйма |
09: 20
Huawei назвали самым рекомендуемым брендом смартфонов в Китае |
Новости бизнесаСтатьиНоу ХауАналитикаДеньгиБизнес технологииКурс валют
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2017, 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003

Июль 2016: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31