Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Главная > Новости бизнеса > Hi-Tech > Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Вторник, 17 июля 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e

Компания Symantec заявила об обнаружении нового червя, который запускает "мусорные" задания на печать. Данный вид червя был определён как W32.Printlove. Вредоносный код использует уязвимость Microsoft Windows Print Spooler Service Remote CodeExecution (CVE 2010-2729), которая была обнаружена ещё в 2010 году.



Стоит отметить, что червь по-разному ведет себя на компьютерах, на которых установлено обновление, закрывающее уязвимость CVE 2010-2729 и на которых оно ещё не установлено. Специалисты Symantec протестировали данную угрозу в простой сети, состоящей из двух компьютеров и общего сетевого принтера, подключённого через коммутатор.

Конфигурация компьютера A: ОС Windows XP Professional. На компьютере установлено обновление, исправляющее CVE 2010-2729, и он заражен W32.Printlove. На ПК не установлено подключение к локальному принтеру или принтеру с общим доступом.

Конфигурация компьютера B: ОС Windows XP Professional. В первом сценарии компьютер работает без обновления, а во втором оно установлено. К нему подключён сетевой принтер, открытый для общего доступа.

Компьютер A должен иметь разрешение отправлять задания на печать на компьютер B. Гостевой доступ к общим принтерам в Windows XP включен по умолчанию; для более поздних операционных систем компьютер А должен быть аутентифицирован компьютером В.

Вот два сценария, по которым может работать данная угроза:
1. W32.Printlove, работающий на компьютере A, будет искать сетевые ресурсы печати. После их обнаружения он пересылает себя на компьютер В, используя запрос StartDocPrinter. Уязвимость буфера печати позволяет скопировать в любую папку какой угодно файл, переданный запросом на печать. Угроза успешно запускает себя на компьютере В, пользуясь данной уязвимостью. На изображении 1 представлен ход выполнения первого сценария.

Изображение 1. Первый сценарий, удаленный запуск кода
2. W32.Printlove, работающий на компьютере А, ведёт себя таким образом и передает свой код на компьютер В. Так как на компьютере В установлено обновление, червь не может использовать уязвимость. Принцип исправления уязвимости не позволяет запросам на печать передавать файл в любую папку (то есть осуществлять печать в файл). В связи с этим червь не может скопировать себя в системный каталог и осуществить автозапуск, используя эксплойт. Вместо этого он сохраняется в папке буфера печати компьютера B в виде .spl-файла, после чего компьютер B начинает печать данного файла на подключённом общедоступном принтере. На изображении 2 показан сценарий 2.

Изображение 2. Второй сценарий, задания на печать
W32.Printlove сохраняет подключение к удаленному компьютеру и периодически пытается его инфицировать, используя уязвимость буфера печати. Компьютеры могут быть заражены повторно, а также могут происходить множественные «мусорные» распечатки, отправляемые с разных компьютеров, пока червь не будет полностью удален из сети. Отслеживание источника нежелательной печати может оказаться значительно сложнее, если речь идет о нескольких инфекциях, присутствующих в сети. Сетевые администраторы могут идентифицировать заражённые ПК, просматривая .shd-файлы, расположенные в папке буфера печати на компьютере, который обеспечивает подключение к общедоступному принтеру.

Файлы SHD создаются операционной системой и содержат детальную информацию о запросе на печать. Для их просмотра можно использовать SPLViewer. Поскольку данные файлы используются службой буфера печати, её необходимо сначала остановить. Администраторы могут обнаружить скомпрометированный компьютер по полю Computername (Изображение 3), которое позволяет идентифицировать источник отправки задания на печать.

Изображение 3. SPLViewer показывает, откуда взялось задание печати
"Мусорная печать" - оборотная сторона медали устранения уязвимости CVE 2010-2729 на компьютерах, атакованных W32.Printlove. Пользователи продуктов Symantec уже защищены от подобных угроз, если они используют последние обновления антивирусных баз.

Возможно, существует связь между Trojan.Milicenso и W32.Printlove, но на данный момент это не подтверждено. Команда специалистов Symantec продолжает расследование, чтобы выявить возможную взаимосвязь этих двух угроз.

Ниже представлена фотография мусорной распечатки. Принтер честно пытается распечатать бинарный код приложения (.exe), которое было ему передано в качестве задания на печать.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 601
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

18: 20
Вслед за S8+ в Сети появились характеристики Galaxy S8 |
18: 00
5 бесплатных приложений, которые скоро станут платными |
17: 40
Новые возможности обеспечения узнаваемости бренда |
17: 40
Скидки на 4G-смартфоны Xiaomi с бесплатной доставкой |
17: 40
Apple iPhone 8: новые подробности |
17: 00
Выход 10,5-дюймового iPad отложен до мая или июня |
17: 00
Кухонный химик Али Бузари рассказывает, почему еда должна быть не только здоровой, но и вкусной |
17: 00
Загадочные аксионы: LIGO может обнаружить частицы темной материи |
17: 00
Опыт на $100 тысяч: как три «белых воротничка» запустили первый казахстанский стартап в сфере электронного документооборота |
16: 40
Версия Ubuntu для китайского рынка переходит с Unity на новое окружение UKUI на основе Mate |
16: 40
Бесплатные азартные игры без авторизации: заходи и побеждай! |
16: 40
Конец проекта «Кидалово» со смартфоном за $4 |
16: 40
Добегалась! Умные часы спалили обманщицу |
16: 20
Xiaomi Mi 6 порадует соотношением дисплея к передней панели |
15: 40
По оценке Morgan Stanley, смартфон iPhone 8 привлечет аудиторию повышенной автономностью |
15: 20
Waymo подала в суд на Uber, обвинив последнюю в краже технологий |
14: 40
Если Windows задолбала. Что ожидать от macOS и как в ней разобраться |
14: 40
Готовимся к "Оскару": самые крутые технические киноистории 2016/17 |
14: 20
Сегодня Стиву Джобсу исполнилось бы 62 года |
14: 00
Что общего у обычной батарейки и ракеты? |
14: 00
Лучшие классические и новые азартные приложения |
14: 00
Компания Universal Display отчиталась за последний квартал 2016 года и год в целом |
14: 00
Insta360 выпустит панорамную камеру Honor VR для смартфонов Huawei |
13: 40
Азартный отдых для тех, кто всегда стремится к победе |
13: 40
Лучшие азартные приложения для развлечений |
13: 20
Nissin анонсирует вспышку с радиоуправлением, которая не боится перегрева |
13: 20
Аналитик утверждает, что на Xiaomi Mi6 не отразится дефицит SoC Snapdragon 835 |
13: 20
Планшет Samsung Galaxy Book получит стилус S Pen и Windows 10 |
13: 20
Загорелся iPhone 7 Plus, Apple пообещала разобраться |
13: 20
Представлена первая беспроводная зарядка для iPhone с дальностью действия полметра |
13: 00
В Википедии годами идут тихие войны ботов |
Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003