Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Главная > Новости бизнеса > Hi-Tech > Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Symantec обнаружила новый вирус W32.Printlove, который лишает пользователей бумаги

Вторник, 17 июля 2012 г.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e

Компания Symantec заявила об обнаружении нового червя, который запускает "мусорные" задания на печать. Данный вид червя был определён как W32.Printlove. Вредоносный код использует уязвимость Microsoft Windows Print Spooler Service Remote CodeExecution (CVE 2010-2729), которая была обнаружена ещё в 2010 году.



Стоит отметить, что червь по-разному ведет себя на компьютерах, на которых установлено обновление, закрывающее уязвимость CVE 2010-2729 и на которых оно ещё не установлено. Специалисты Symantec протестировали данную угрозу в простой сети, состоящей из двух компьютеров и общего сетевого принтера, подключённого через коммутатор.

Конфигурация компьютера A: ОС Windows XP Professional. На компьютере установлено обновление, исправляющее CVE 2010-2729, и он заражен W32.Printlove. На ПК не установлено подключение к локальному принтеру или принтеру с общим доступом.

Конфигурация компьютера B: ОС Windows XP Professional. В первом сценарии компьютер работает без обновления, а во втором оно установлено. К нему подключён сетевой принтер, открытый для общего доступа.

Компьютер A должен иметь разрешение отправлять задания на печать на компьютер B. Гостевой доступ к общим принтерам в Windows XP включен по умолчанию; для более поздних операционных систем компьютер А должен быть аутентифицирован компьютером В.

Вот два сценария, по которым может работать данная угроза:
1. W32.Printlove, работающий на компьютере A, будет искать сетевые ресурсы печати. После их обнаружения он пересылает себя на компьютер В, используя запрос StartDocPrinter. Уязвимость буфера печати позволяет скопировать в любую папку какой угодно файл, переданный запросом на печать. Угроза успешно запускает себя на компьютере В, пользуясь данной уязвимостью. На изображении 1 представлен ход выполнения первого сценария.

Изображение 1. Первый сценарий, удаленный запуск кода
2. W32.Printlove, работающий на компьютере А, ведёт себя таким образом и передает свой код на компьютер В. Так как на компьютере В установлено обновление, червь не может использовать уязвимость. Принцип исправления уязвимости не позволяет запросам на печать передавать файл в любую папку (то есть осуществлять печать в файл). В связи с этим червь не может скопировать себя в системный каталог и осуществить автозапуск, используя эксплойт. Вместо этого он сохраняется в папке буфера печати компьютера B в виде .spl-файла, после чего компьютер B начинает печать данного файла на подключённом общедоступном принтере. На изображении 2 показан сценарий 2.

Изображение 2. Второй сценарий, задания на печать
W32.Printlove сохраняет подключение к удаленному компьютеру и периодически пытается его инфицировать, используя уязвимость буфера печати. Компьютеры могут быть заражены повторно, а также могут происходить множественные «мусорные» распечатки, отправляемые с разных компьютеров, пока червь не будет полностью удален из сети. Отслеживание источника нежелательной печати может оказаться значительно сложнее, если речь идет о нескольких инфекциях, присутствующих в сети. Сетевые администраторы могут идентифицировать заражённые ПК, просматривая .shd-файлы, расположенные в папке буфера печати на компьютере, который обеспечивает подключение к общедоступному принтеру.

Файлы SHD создаются операционной системой и содержат детальную информацию о запросе на печать. Для их просмотра можно использовать SPLViewer. Поскольку данные файлы используются службой буфера печати, её необходимо сначала остановить. Администраторы могут обнаружить скомпрометированный компьютер по полю Computername (Изображение 3), которое позволяет идентифицировать источник отправки задания на печать.

Изображение 3. SPLViewer показывает, откуда взялось задание печати
"Мусорная печать" - оборотная сторона медали устранения уязвимости CVE 2010-2729 на компьютерах, атакованных W32.Printlove. Пользователи продуктов Symantec уже защищены от подобных угроз, если они используют последние обновления антивирусных баз.

Возможно, существует связь между Trojan.Milicenso и W32.Printlove, но на данный момент это не подтверждено. Команда специалистов Symantec продолжает расследование, чтобы выявить возможную взаимосвязь этих двух угроз.

Ниже представлена фотография мусорной распечатки. Принтер честно пытается распечатать бинарный код приложения (.exe), которое было ему передано в качестве задания на печать.

Следите за нами в ВКонтакте, Facebook'e и Twitter'e


Просмотров: 589
Рубрика: Hi-Tech
(CY)

Архив новостей / Экспорт новостей

Ещё новости по теме:

18: 41
Звуки замерзшего озера: необычное природное явление |
18: 41
Первые шаги Тома Песке в открытом космосе |
18: 21
За SSD A400 объёмом 480 ГБ компания Kingston просит $140 |
18: 21
Роскомнадзор изменит правила блокировки сайтов |
18: 21
Скидка 100%: 5 временно бесплатных приложений |
18: 21
Lenovo поделилась исходным кодом ядра Moto Z |
18: 01
Южнокорейская прокуратура выдала ордер на арест фактического главы Samsung |
18: 01
Из телевизора в интернет: как тысячи россиян получили «сигалограммы» от Стивена Сигала |
17: 41
«Первый канал» через суд потребовал заблокировать попавшую в интернет до премьеры серию «Шерлока» |
17: 21
В 2017 году сохранится дефицит некоторых компонентов для смартфонов |
14: 41
Французская Essilor купит производителя очков Ray-Ban за $24 млрд |
14: 21
Meizu привезла в Россию свой самый доступный смартфон |
14: 01
Siri, сделай погромче. У меня заняты руки (чем?) |
13: 41
Девушка протаранила магазин после отказа в гарантийной замене iPhone |
13: 41
Релиз Calligra 3.0 |
13: 41
Еще один человек умер от инфекции, устойчивой к известным антибиотикам |
13: 41
Mail.Ru Group перевезла в свой офис весь штат Delivery Club |
13: 21
Контрактный производитель Compal Electronics планирует нарастить поставки продукции до 87 млн единиц в 2017 году |
13: 01
Renault открыл российский онлайн-магазин машин со всеми моделями 2016 года |
13: 01
За три года Asus хочет удвоить объёмы продаж смартфонов |
12: 41
Гильдия сценаристов США назвала игровых претендентов на лучший сюжет |
12: 41
Аналитик прогнозирует ослабление позиций MediaTek в этом году |
12: 41
Самые интересные космические фотографии НАСА создал российский музыкант |
12: 41
Как сделать миксер для напитков своими руками? |
12: 21
Официально подтвержден игровой режим Windows 10 |
12: 01
В Норвегии отключают аналоговое радиовещание |
12: 01
Mail.Ru Group представила брендированные профили для сервиса «Ответы» |
11: 21
Отбеливаем зубы: всё, что нужно знать про умную зубную щётку (а ещё она подключается к iPhone) |
11: 21
Опубликована еще одна реальная фотография смартфона Samsung Galaxy S8 |
11: 01
Световые столпы в небе: загадочное природное явление |
11: 01
Polystilo Savana: пластиковый автомобиль из Бразилии |
Новости бизнесаСтатьиАналитические колонкиДеньгиКурс валютБизнес технологии
Rating@Mail.ru
Условия размещения рекламы

Наша редакция

Обратная связь

RosInvest.Com не несет ответственности за опубликованные материалы и комментарии пользователей. Возрастной цензор 16+.

Ответственность за высказанные, размещённую информацию и оценки, в рамках проекта RosInvest.Com, лежит полностью на лицах опубликовавших эти материалы. Использование материалов, допускается со ссылкой на сайт RosInvest.Com.

Skype: rosinvest.com (Русский, English, Zhōng wén).

Архивы новостей за: 2016, 2015, 2014, 2013, 2012, 2011, 2010, 2009, 2008, 2007, 2006, 2005, 2004, 2003