Новости бизнесаСтатьиНоу ХауАналитикаДеньгиБизнес технологииКурс валют
Главная > Новости бизнеса > Hi-Tech > Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Вторник, 17 июля 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e

Компания Symantec заявила об обнаружении нового червя, который запускает "мусорные" задания на печать. Данный вид червя был определён как W32.Printlove. Вредоносный код использует уязвимость Microsoft Windows Print Spooler Service Remote CodeExecution (CVE 2010-2729), которая была обнаружена ещё в 2010 году.



Стоит отметить, что червь по-разному ведет себя на компьютерах, на которых установлено обновление, закрывающее уязвимость CVE 2010-2729 и на которых оно ещё не установлено. Специалисты Symantec протестировали данную угрозу в простой сети, состоящей из двух компьютеров и общего сетевого принтера, подключённого через коммутатор.

Конфигурация компьютера A: ОС Windows XP Professional. На компьютере установлено обновление, исправляющее CVE 2010-2729, и он заражен W32.Printlove. На ПК не установлено подключение к локальному принтеру или принтеру с общим доступом.

Конфигурация компьютера B: ОС Windows XP Professional. В первом сценарии компьютер работает без обновления, а во втором оно установлено. К нему подключён сетевой принтер, открытый для общего доступа.

Компьютер A должен иметь разрешение отправлять задания на печать на компьютер B. Гостевой доступ к общим принтерам в Windows XP включен по умолчанию; для более поздних операционных систем компьютер А должен быть аутентифицирован компьютером В.

Вот два сценария, по которым может работать данная угроза:
1. W32.Printlove, работающий на компьютере A, будет искать сетевые ресурсы печати. После их обнаружения он пересылает себя на компьютер В, используя запрос StartDocPrinter. Уязвимость буфера печати позволяет скопировать в любую папку какой угодно файл, переданный запросом на печать. Угроза успешно запускает себя на компьютере В, пользуясь данной уязвимостью. На изображении 1 представлен ход выполнения первого сценария.

Изображение 1. Первый сценарий, удаленный запуск кода
2. W32.Printlove, работающий на компьютере А, ведёт себя таким образом и передает свой код на компьютер В. Так как на компьютере В установлено обновление, червь не может использовать уязвимость. Принцип исправления уязвимости не позволяет запросам на печать передавать файл в любую папку (то есть осуществлять печать в файл). В связи с этим червь не может скопировать себя в системный каталог и осуществить автозапуск, используя эксплойт. Вместо этого он сохраняется в папке буфера печати компьютера B в виде .spl-файла, после чего компьютер B начинает печать данного файла на подключённом общедоступном принтере. На изображении 2 показан сценарий 2.

Изображение 2. Второй сценарий, задания на печать
W32.Printlove сохраняет подключение к удаленному компьютеру и периодически пытается его инфицировать, используя уязвимость буфера печати. Компьютеры могут быть заражены повторно, а также могут происходить множественные «мусорные» распечатки, отправляемые с разных компьютеров, пока червь не будет полностью удален из сети. Отслеживание источника нежелательной печати может оказаться значительно сложнее, если речь идет о нескольких инфекциях, присутствующих в сети. Сетевые администраторы могут идентифицировать заражённые ПК, просматривая .shd-файлы, расположенные в папке буфера печати на компьютере, который обеспечивает подключение к общедоступному принтеру.

Файлы SHD создаются операционной системой и содержат детальную информацию о запросе на печать. Для их просмотра можно использовать SPLViewer. Поскольку данные файлы используются службой буфера печати, её необходимо сначала остановить. Администраторы могут обнаружить скомпрометированный компьютер по полю Computername (Изображение 3), которое позволяет идентифицировать источник отправки задания на печать.

Изображение 3. SPLViewer показывает, откуда взялось задание печати
"Мусорная печать" - оборотная сторона медали устранения уязвимости CVE 2010-2729 на компьютерах, атакованных W32.Printlove. Пользователи продуктов Symantec уже защищены от подобных угроз, если они используют последние обновления антивирусных баз.

Возможно, существует связь между Trojan.Milicenso и W32.Printlove, но на данный момент это не подтверждено. Команда специалистов Symantec продолжает расследование, чтобы выявить возможную взаимосвязь этих двух угроз.

Ниже представлена фотография мусорной распечатки. Принтер честно пытается распечатать бинарный код приложения (.exe), которое было ему передано в качестве задания на печать.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 659
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

15: 20
Поставки игровых мониторов выросли на 350% |
15: 00
Суд оправдал экс-начальника серовского КУМИ Александра Гребенева и его друга Станислава Исупова |
15: 00
В Серове разбойники зарезали двух продавщиц и ранили пенсионерку |
15: 00
Фильм "Вояджер: Дальше планет" на фестивале 360° |
14: 40
Эксклюзивный бандл Gran Turismo Sport включает... настоящий автомобиль |
14: 00
Скидки на современные смартфоны от Xiaomi и Huawei в GearBest |
13: 40
Результаты GeForce GTX 1070 Ti в ПО 3DMark на 6-10% выше, чем у разогнанной GTX 1070 |
13: 40
В оглашении приговора Исупову-Гребеневу объявлен перерыв. Фигуранты уехали на обед |
12: 40
Национальная ассоциация телерадиовещателей просит Apple добавить приемник FM в новые iPhone |
11: 20
Samsung обеспечит поддержку запуска Linux-дистрибутивов на смартфонах Galaxy S8 |
11: 20
Gartner считает, что iPhone X подстегнет продажи в мобильной индустрии в 2018 году |
10: 40
Почему я выбираю iPhone Plus вместо обычного iPhone |
10: 20
Samsung DeX будет работать на Lunix, но не полностью |
10: 20
Деревянный конструктор Ugears: как превратить игрушку в искусство |
10: 20
Zotac GeForce GTX 1080 Ti ArcticStorm Mini — самая маленькая 3D-карта GeForce GTX 1080 Ti |
09: 20
LG V30 с честью выдержал испытания блогера JerryRigEverything |
09: 20
В Театре Стива Джобса можно потрогать iPhone X (фото) |
09: 20
Как "лайкнуть" бумажную книгу: Facebook-печати в реальном мире |
08: 40
СК признал отсутствие алкоголя в крови сбитого в Балашихе мальчика |
08: 40
Блог. Алексей Навальный: «В Кремле решили» |
07: 00
Прогнозы некоторых экономистов относительно акций Apple не очень оптимистичны |
18: 00
В Нидерландах открыли первый в мире мост, созданный посредством 3D-печати |
16: 20
Pixel 2 обогнал по автономности Galaxy S8, Note 8 и iPhone 8 |
16: 20
Consumer Reports: Samsung Galaxy S8 — лучший смартфон на рынке |
15: 20
Новые ноутбуки Microsoft и Qualcomm смогут работать сутки от одной подзарядки |
15: 20
Американцы показали мобильный боевой лазер |
14: 20
Глава Qualcomm уверен, что они с Apple смогут уладить свой конфликт |
14: 20
Consumer Reports: На рынке нет смартфона лучше Galaxy S8 |
14: 20
Скидка 100%: 5 временно бесплатных приложений |
14: 20
Ноутбуки с SoC Snapdragon 835 и Windows 10 удивят временем работы без подзарядки |
13: 40
Lenovo K8, K8 Plus и K8 Note получат обновление до Android 8.0 Oreo летом 2018 |
Новости бизнесаСтатьиНоу ХауАналитикаДеньгиБизнес технологииКурс валют
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2017, 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003

Февраль 2017: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28