Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Главная > Новости бизнеса > Hi-Tech > Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Вторник, 17 июля 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e

Компания Symantec заявила об обнаружении нового червя, который запускает "мусорные" задания на печать. Данный вид червя был определён как W32.Printlove. Вредоносный код использует уязвимость Microsoft Windows Print Spooler Service Remote CodeExecution (CVE 2010-2729), которая была обнаружена ещё в 2010 году.



Стоит отметить, что червь по-разному ведет себя на компьютерах, на которых установлено обновление, закрывающее уязвимость CVE 2010-2729 и на которых оно ещё не установлено. Специалисты Symantec протестировали данную угрозу в простой сети, состоящей из двух компьютеров и общего сетевого принтера, подключённого через коммутатор.

Конфигурация компьютера A: ОС Windows XP Professional. На компьютере установлено обновление, исправляющее CVE 2010-2729, и он заражен W32.Printlove. На ПК не установлено подключение к локальному принтеру или принтеру с общим доступом.

Конфигурация компьютера B: ОС Windows XP Professional. В первом сценарии компьютер работает без обновления, а во втором оно установлено. К нему подключён сетевой принтер, открытый для общего доступа.

Компьютер A должен иметь разрешение отправлять задания на печать на компьютер B. Гостевой доступ к общим принтерам в Windows XP включен по умолчанию; для более поздних операционных систем компьютер А должен быть аутентифицирован компьютером В.

Вот два сценария, по которым может работать данная угроза:
1. W32.Printlove, работающий на компьютере A, будет искать сетевые ресурсы печати. После их обнаружения он пересылает себя на компьютер В, используя запрос StartDocPrinter. Уязвимость буфера печати позволяет скопировать в любую папку какой угодно файл, переданный запросом на печать. Угроза успешно запускает себя на компьютере В, пользуясь данной уязвимостью. На изображении 1 представлен ход выполнения первого сценария.

Изображение 1. Первый сценарий, удаленный запуск кода
2. W32.Printlove, работающий на компьютере А, ведёт себя таким образом и передает свой код на компьютер В. Так как на компьютере В установлено обновление, червь не может использовать уязвимость. Принцип исправления уязвимости не позволяет запросам на печать передавать файл в любую папку (то есть осуществлять печать в файл). В связи с этим червь не может скопировать себя в системный каталог и осуществить автозапуск, используя эксплойт. Вместо этого он сохраняется в папке буфера печати компьютера B в виде .spl-файла, после чего компьютер B начинает печать данного файла на подключённом общедоступном принтере. На изображении 2 показан сценарий 2.

Изображение 2. Второй сценарий, задания на печать
W32.Printlove сохраняет подключение к удаленному компьютеру и периодически пытается его инфицировать, используя уязвимость буфера печати. Компьютеры могут быть заражены повторно, а также могут происходить множественные «мусорные» распечатки, отправляемые с разных компьютеров, пока червь не будет полностью удален из сети. Отслеживание источника нежелательной печати может оказаться значительно сложнее, если речь идет о нескольких инфекциях, присутствующих в сети. Сетевые администраторы могут идентифицировать заражённые ПК, просматривая .shd-файлы, расположенные в папке буфера печати на компьютере, который обеспечивает подключение к общедоступному принтеру.

Файлы SHD создаются операционной системой и содержат детальную информацию о запросе на печать. Для их просмотра можно использовать SPLViewer. Поскольку данные файлы используются службой буфера печати, её необходимо сначала остановить. Администраторы могут обнаружить скомпрометированный компьютер по полю Computername (Изображение 3), которое позволяет идентифицировать источник отправки задания на печать.

Изображение 3. SPLViewer показывает, откуда взялось задание печати
"Мусорная печать" - оборотная сторона медали устранения уязвимости CVE 2010-2729 на компьютерах, атакованных W32.Printlove. Пользователи продуктов Symantec уже защищены от подобных угроз, если они используют последние обновления антивирусных баз.

Возможно, существует связь между Trojan.Milicenso и W32.Printlove, но на данный момент это не подтверждено. Команда специалистов Symantec продолжает расследование, чтобы выявить возможную взаимосвязь этих двух угроз.

Ниже представлена фотография мусорной распечатки. Принтер честно пытается распечатать бинарный код приложения (.exe), которое было ему передано в качестве задания на печать.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 579
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

14: 41
ВКонтакте научились упоминать пользователей в чатах |
14: 41
У какого айфона быстрее LTE – российского или американского? |
14: 41
Прочность титанового iPhone 7 проверили пистолетом |
14: 41
Смартфон Zuk Edge выйдет 7 декабря |
14: 41
Смартфон BLUBOO Dual доступен для презаказа |
14: 41
Одноплатный компьютер Firefly-RK399 собран на 6-ядерном процессоре |
14: 41
Google выпустил Android 7.1.1 Nougat для своих смартфонов |
14: 41
Флагманский смартфон LG G6 не боится воды |
14: 41
В смартфоне Uhans H5000 за $110 установлена АКБ емкостью 4500 мАч |
14: 41
Продажи умных часов Apple упали ниже плинтуса |
14: 41
Новую систему блокировки в iOS легко взломать |
14: 41
Google выпустила обновление Android 7.1.1 |
14: 41
Ключи и лампочки Томаса Эдисона пойдут с молотка |
14: 41
3D-моделирование зубов по фото и видео: новая технология |
14: 41
МТС запустила на Apple TV приложение с ТВ-каналами и кино по запросу |
14: 01
Онлайн-кинотеатр ivi вышел на рынки Америки и Европы для продвижения российских фильмов |
13: 41
От полуграмотного крестьянина до одного из богатейших людей Азии — биография основателя Hyundai Чон Чжу Ёна |
13: 21
Samsung считает, что рассчиталась сполна с бывшими владельцами Galaxy Note7 |
13: 21
Специалисты Instrumental назвали причину возгорания смартфонов Samsung Galaxy Note7 |
13: 01
Huawei представит концептуальный смартфон Honor уже завтра |
13: 01
Dead Rising 4 получает оценки |
13: 01
Рыночная доля Apple Watch упала до 4,9% – IDC |
12: 41
Появились оценки The Last Guardian |
12: 41
Apple выпустила новую рекламу iPhone [видео] |
12: 41
Ромео и Джульетта рекламируют iPhone 7 |
12: 41
Как очистить автомобиль с помощью глины |
12: 41
Лучшие книги 2016 года — выбор Билла Гейтса |
12: 41
Алёна Владимирская и оператор Wi-Fi в московском метро запустили проект с бесплатными карьерными советами |
12: 21
Capcom собирается вернуться к своим старым франшизам |
12: 01
Соцсеть «Одноклассники» запустит маски для трансляций OK Live к концу 2016 года |
11: 21
Тим Кук отрицает информацию о падении продаж Apple Watch, заявляя о рекордном начале Рождественского сезона |
Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003