Haittaohjelma Morto leviää Remote Desktop -etähallinnan kautta Morto-haittaohjelma leviää Windows-tietokoneiden etähallintaan tarkoitetun Remote Desktop -yhteyden kautta. Morto-nimellä tunnettu haittaohjelma etsii verkosta sellaisia koneita, joissa on päällä etätyöpöytäpalvelu (Terminal Services). Kun haittaohjelma saa vastauksen lähettämäänsä Remote Desktop Protocol -yhteyspyyntöön, se yrittää kirjautua löytämäänsä tietokoneeseen Järjestelmänvalvojana (Administrator). Kirjautumisyrityksissään haittaohjelma ilmeisesti käyttää yleisiä heikkoja salasanoja.
Jos kirjautuminen onnistuu, haittaohjelma kopioi itsensä tietokoneen kiintolevylle ja luo tietokoneeseen useita tiedostoja, kuten \windows\system32\sens32.dll ja \windows\offline web pages\cache.txt.
Haittaohjelmatartunnan tunnistaminen
Haittaohjelman voi havaita sen aiheuttaman verkkoliikenteen perusteella. RDP-protokolla käyttää TCP-porttia 3389, johon haittaohjelma levitäkseen pyrkii avaamaan yhteyksiä. Lähdeosoitteena on tartunnan saaneen koneen IP-osoite.
Tartunnan saaneessa tietokoneessa Morton voi havaita paitsi sen luomien tiedostojen perusteella, myös netstat-komennolla. Tartunnan saaneesta koneesta avataan TCP-yhteyksiä porttiin 3389 (esimerkissä tartunnan saaneen koneen IP-osoite on 1.2.3.4):
VIRUKSET Olli Vänskä, MikroPC, 29.8.2011, 9:25 Uusi virus hyökkää Windowsin etäkäyttösovelluksen kautta - näin helposti estät tartunnan Tavallisten bottien ja troijalaisten virusten lisäksi verkossa leviää parhaillaan uusi mato, tiedottaa F-Secure. Morto-nimellä tunnettu mato saastuttaa Windows-työasemia ja -palvelimia. Se käyttää uutta, ennen näkemätöntä RDP-hyökkäysvektoria.
RDP tulee sanoista Remote Desktop Protocol: kyseessä on protokolla jota myös Windowsin oma Remote Desktop Connection -sovellus käyttää. Ohjelma löytyy käytännössä kaikista Windows-koneista. Etäkäyttöön hyväksyttyyn tietokoneeseen pääsee käsiksi verkon kautta millä tahansa muulla koneella, ja sen kautta voi ajaa raskaitakin ohjelmia.
Uusi mato etsii tartuttamansa koneen lähiverkosta koneita, joissa kyseinen Windowsin etäkäyttöohjelma on päällä. Sellaisen löydettyään mato yrittää kirjautua koneelle järjestelmänvalvojana eli Administrator-tunnuksilla. Salasanoina haitake kokeilee mahdollisimman yksinkertaisia kirjain- ja numeroyhdistelmiä – juuri niitä samoja 1234-tyylisiä tuulihattuja joista tietoturva-asiantuntijat aina varoittavat.
Koneelle päästyään mato kopioi itsensä ja luo kiintolevylle ylimääräisiä tiedostoja. Se myös luo koneita etsiessään todella paljon verkkoliikennettä, mikä kuormittaa palvelimia. Madon muista mahdollisista haittatehtävistä ei ole kerrottu.
Madosta on liikkeellä kaksi versiota, nimiltään Backdoor:W32/Morto.A ja Worm:W32/Morto.B.
Pöpöläiseltä suojautuminen on kuitenkin äärimmäisen helppoa: estetään tietokoneen etäkäyttömahdollisuus tai käytetään järkevää salasanaa.
F-Securen mukaan Morto-haitake yrittää seuraavia yksinkertaisia salasanoja – jos salasanasi on listassa, tietokoneesi saattaa olla uhattuna:
admin password server test user pass letmein 1234qwer 1q2w3e 1qaz2wsx aaa abc123 abcd1234 admin123 111 123 369 1111 12345 111111 123123 123321 123456 654321 666666 888888 1234567 12345678 123456789 1234567890 Etätyöpöytä on oletuksena suljettu Windows 7:ssä ja Vistassa: vahvan salasanan varmistamisen lisäksi uusi mato ei näissä koneissa aiheuta toimenpiteitä. Muiden käyttöjärjestelmäversioiden käyttäjien on syytä tarkistaa koneensa tilanne.
Päivitys: maininta käyttöjärjestelmäversioiden eroista lisätty 10:34
0Äänestä
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 7
Vanhimmat
Kirjaudu ulkos kohdekoneelta niin yhteys sulkeutuu automaattisesti.
Tarkoitan ettei se ole koneella päällä. Tietoturva you know.
Oikeella hiirellä valitset tietokone----> ominaisuudet----> etäyhteys -kohta (vaatii JV -salasanan) , ruksi kohdasta "salli etäyhteydet" pois.
Kiitos paljon.
Kai sinulla sitten on professional, enterprise tai ultimate? Home versioissa ei RDP-palvelinta ole.
https://www.cert.fi/tietoturvanyt/2011/08/ttn201108291605.html
Tietoturva nyt!
29.8.2011
Haittaohjelma Morto leviää Remote Desktop -etähallinnan kautta
Morto-haittaohjelma leviää Windows-tietokoneiden etähallintaan tarkoitetun Remote Desktop -yhteyden kautta.
Morto-nimellä tunnettu haittaohjelma etsii verkosta sellaisia koneita, joissa on päällä etätyöpöytäpalvelu (Terminal Services). Kun haittaohjelma saa vastauksen lähettämäänsä Remote Desktop Protocol -yhteyspyyntöön, se yrittää kirjautua löytämäänsä tietokoneeseen Järjestelmänvalvojana (Administrator). Kirjautumisyrityksissään haittaohjelma ilmeisesti käyttää yleisiä heikkoja salasanoja.
Jos kirjautuminen onnistuu, haittaohjelma kopioi itsensä tietokoneen kiintolevylle ja luo tietokoneeseen useita tiedostoja, kuten \windows\system32\sens32.dll ja \windows\offline web pages\cache.txt.
Haittaohjelmatartunnan tunnistaminen
Haittaohjelman voi havaita sen aiheuttaman verkkoliikenteen perusteella. RDP-protokolla käyttää TCP-porttia 3389, johon haittaohjelma levitäkseen pyrkii avaamaan yhteyksiä. Lähdeosoitteena on tartunnan saaneen koneen IP-osoite.
Tartunnan saaneessa tietokoneessa Morton voi havaita paitsi sen luomien tiedostojen perusteella, myös netstat-komennolla. Tartunnan saaneesta koneesta avataan TCP-yhteyksiä porttiin 3389 (esimerkissä tartunnan saaneen koneen IP-osoite on 1.2.3.4):
http://ra.fi/ZDuY
VIRUKSET Olli Vänskä, MikroPC, 29.8.2011, 9:25
Uusi virus hyökkää Windowsin etäkäyttösovelluksen kautta - näin helposti estät tartunnan
Tavallisten bottien ja troijalaisten virusten lisäksi verkossa leviää parhaillaan uusi mato, tiedottaa F-Secure. Morto-nimellä tunnettu mato saastuttaa Windows-työasemia ja -palvelimia. Se käyttää uutta, ennen näkemätöntä RDP-hyökkäysvektoria.
RDP tulee sanoista Remote Desktop Protocol: kyseessä on protokolla jota myös Windowsin oma Remote Desktop Connection -sovellus käyttää. Ohjelma löytyy käytännössä kaikista Windows-koneista. Etäkäyttöön hyväksyttyyn tietokoneeseen pääsee käsiksi verkon kautta millä tahansa muulla koneella, ja sen kautta voi ajaa raskaitakin ohjelmia.
Uusi mato etsii tartuttamansa koneen lähiverkosta koneita, joissa kyseinen Windowsin etäkäyttöohjelma on päällä. Sellaisen löydettyään mato yrittää kirjautua koneelle järjestelmänvalvojana eli Administrator-tunnuksilla. Salasanoina haitake kokeilee mahdollisimman yksinkertaisia kirjain- ja numeroyhdistelmiä – juuri niitä samoja 1234-tyylisiä tuulihattuja joista tietoturva-asiantuntijat aina varoittavat.
Koneelle päästyään mato kopioi itsensä ja luo kiintolevylle ylimääräisiä tiedostoja. Se myös luo koneita etsiessään todella paljon verkkoliikennettä, mikä kuormittaa palvelimia. Madon muista mahdollisista haittatehtävistä ei ole kerrottu.
Madosta on liikkeellä kaksi versiota, nimiltään Backdoor:W32/Morto.A ja Worm:W32/Morto.B.
Pöpöläiseltä suojautuminen on kuitenkin äärimmäisen helppoa: estetään tietokoneen etäkäyttömahdollisuus tai käytetään järkevää salasanaa.
F-Securen mukaan Morto-haitake yrittää seuraavia yksinkertaisia salasanoja – jos salasanasi on listassa, tietokoneesi saattaa olla uhattuna:
admin
password
server
test
user
pass
letmein
1234qwer
1q2w3e
1qaz2wsx
aaa
abc123
abcd1234
admin123
111
123
369
1111
12345
111111
123123
123321
123456
654321
666666
888888
1234567
12345678
123456789
1234567890
Etätyöpöytä on oletuksena suljettu Windows 7:ssä ja Vistassa: vahvan salasanan varmistamisen lisäksi uusi mato ei näissä koneissa aiheuta toimenpiteitä. Muiden käyttöjärjestelmäversioiden käyttäjien on syytä tarkistaa koneensa tilanne.
Päivitys: maininta käyttöjärjestelmäversioiden eroista lisätty 10:34