Tag Archives: Zeus

Zeus ja Kryptos

Tarmo Randel CERT-EEst kirjutab, miks on troojalane Zeus ohtlik kaaslane ja kuidas selle pahavara puudumist Windowsi operatsioonisüsteemiga arvutis kontrollida ning levimist ennetada.

Paar nädalat tagasi käsitles kolleeg Anto juhtumit, kus euroorganisatsiooni OLAF sildi alt saadetud dokumentidega üritati arvutisse sokutada pahavara. Mälu värskendamiseks: saadetud MS Word dokumendi avamisel üritati makroga arvutisse elama asutada pahalane uhke nimega “Zeus”.

Troojaalane “Zeus” on arvutis üsnagi ebameeldiv kaaslane  – uusim variant suudab enamasti üle elada ka arvuti üleinstalli, uss ise poeb muuhulgas ka veebilehitsejasse ning näppab kõikvõimalikku mustal turul müüdavat ja kasutatavat infot, mida kasutaja arvutist võimalik saada. Kui kasutaja juhtub külastama õiget pangaveebi, siis üritab pahavara muuta arvutis tehtavaid tehinguid selliselt, et raha jõuaks küberkurjamite kontole. Lisaks on pahavaral oskus endale internetist täiendavat võimekust alla laadida. Näiteks paigutada arvutisse elama viimasel ajal üha populaarsemaks muutuva andmeid krüpteeriva pahalase.

Seoses pahavara Zeusi aktiivse levitamise kampaaniaga soovitame kontrollida Windows operatsioonisüsteemiga arvuteid F-Secure’i loodud veebilehel. Kuigi 100% kindlust see veebileht Zeus pahavara puudumise kohta ei anna, tasub arvuti kahtluse korral siiski kas viidatud
lehel või muul moel üle kontrollida.

Krüptopahalane või pangatrooja Zeus võib  arvutisse jõuda ka muul viisil – üsnagi levinud on kasutajale saadetud e-kiri, milles palutakse põhjusel või teisel kas alla laadida või avada arve, pilt, dokument vms oluline asi. Vahetevahel on need failid pakitud s.t dokument on ZIP-laiendiga, vahel suisa .exe või .scr laiendiga (kohe käivitatavad Windowsi failid). Näiteks siin pildil on neil päevil leviv kurivara arvutisse paigaldaja, mis on pakitud .ZIP faili sisse.

rechnung_2329.jpg

Viise, kuidas pahavara arvutisse sokutada, on nii palju kui inimfantaasia suudab neid toota. Sestap on raske, et mitte öelda võimatu, anda universaalset juhendit kuidas sellest hoiduda. Mõned lihtsalt soovitused saab tavakasutajatele siiski anda:

  • kasuta arvutis turvatarkvara
  • enne mõtle ja alles siis kliki
  • küsi kirja saatjalt üle (eelistatavalt telefonis või vestlusprogrammis, mitte kirjale vastates), kas ikka tõesti Sina saatsid selle?!
  • ära häbene IT-inimestelt nõu küsida.

Kes on OLAF?

Anto Veldre, CERT-EE infoturbe ekspert kirjutab järjekordsest pahavaralainest, mis sihtis hoolsaid raamatupidajaid.

Kes on Olaf? Kui te nii küsite, siis esimesena tuleb meelde “Hukkunud alpinisti hotell” ja Olaf Andvarafors. Aga ei, selles loos on OLAF hoopis European Anti-Fraud Office.

Meenub õngitsusrünnak detsembrist 2012. Täiesti tavalistele inimestele saadeti võltsitud e-kirju, mis näisid pärinevat teenusepakkujalt, pangast või kusagilt veel. E-kirjas väideti, et kodanikul olla viimase arve maksmisega või pangalaenuga miskit väga sandisti. Kui sa ise tegelikult täpselt tead, et sul on rahaasjad perfektses korras, siis teeb ikka viha küll! Mille peale enamik ohvreid põrgatas saadud manuse (mõningase sõimu saatel) “saatjale” tagasi – koos ettepanekuga uurida, et mis teil seal õige toimub!

Firmad said sääraseid “tagastusi” päris mitu. Kui sedavõrd kange süüdistus seljas, siis loomulikult uurib saaja “tagastatud” faili sisu igakülgselt, ainult et selleks hetkeks võib tema arvuti juba olla nakatunud… olenevalt kas manusel klikiti ja kui sügavalt. Rünnak polnudki suunatud üksiku eraisiku vastu, vaid mõeldud hoopis kontoriarvutitesse jõudmiseks. Ups! Kes oskas oodata, et nool teeb lennates vigursõitu ja pöörab vajadusel ka nurga taha! Ning kes oskas arvata, et emotsionaalselt käituv eraisik on kellegi plaanidesse juba sisse kirjutatud.

Andmete varastamise illustratsioon

Aga jah. OLAFist. OLAF on see Euroopa agentuur, mis uurib euroraha kuritarvitusi. Teisisõnu, kui raamatupidaja saab OLAFist süüdistava kirja, siis on asi ikka juba täitsa karauul ja põhjust muretsemiseks küllaga. Ning leidke täna mõnest riigiametist mõni raamatupidaja, kelle käsi poleks euroraha puudutanud!

Ehk siis – keegi küberkriminaal märkas ära, et seltskond raamatupidajaid kardab euroraha kuritarvitusi rohkem kui töökoha kaotust ning saatis neile Wordi formaadis süüdistuskirja – et näe, teil on avastatud kuritarvitus ja nüüd tuleb europapp tagasi maksta.

Kui tavaolukorras tuleks ootamatult saabunud fail kontrollimiseks kuhugi üles laadida, näiteks aadressil www.virustotal.com, siis konfidentsiaalsete finantsdokumentidega on asi pisut keerulisem. Laadid säherduse dokumendi kontrolliks üles ning juba järgmisel päeval on 48 viirustõrjefirmat sinu rahaasjadega kursis 😉 Ei, nii ka ei sobi.

Omavahel öeldes, üks šanss anti raamatupidajale saatuse poolt siiski veel. See oli hetk, kui Wordi dokumenti avades paistis seal vaid üks rida ning ekraanile ilmus lätakas küsimusega – fail sisaldab makrosid, kas aktiveerime makrod?

RIA kontoris paiknev potentsiaalne ohver selle nähtuse peale ei ehmatanud, vaid helistas asjatundjatele – täpselt nii nagu oli koolitustel õpetatud. See töötaja ei vajutanud “lubame makrod” nupule nagu kurjam lootis, vaid olukord tuli talle koolituselt täiesti tuttav ette. Aga OLAFi logo, nagu ta ütles, hiilgas ja säras nagu päris 🙂 Kuniks turvahoiatust koostasime ja laiali saatsime, saabus info, et mõni üksik raamatupidaja ikka lasi makro käima küll ning eks nad siis said … endale tööarvutisse … Zeusi nime kandva pangatroojalase.

Ent mis siis ikkagi on Zeus? Mingis mõttes on ta klassikaline pangatrooja, mis korjab kokku kasutaja paroolid ja saadab need kurikaelale ärakuritarvitamiseks. Zeus luurab ka kasutaja edasiste tegevuste järel … kuidas oleks näiteks suurematesse pangaülekannetesse sekkumisega? Põhimure paikneb sealkandis, et Zeusi avastamise protsent on aastaid püsinud 38–40% tasemel. Teisisõnu, kui teile e-kirja manusega saabub Zeus, siis viirustõrje tunneb selle ära vaid 4 juhul 10’st.

Järgmisel päeval tähtsamad viirustõrjed küll juba märkasid e-kirjas Zeusi, kuid mis kasu sellest enam, kui teie arvuti on juba nakatunud, viirustõrje tooli külge seotud ning talle kaltsutropp suhu topitud.

Kui nüüd küsite, et kas oligi Eesti vastu sihitud rünnak siis peame teid kahjuks kurvastama. Samal ajal ning samas formaadis kirju said paljud raamatupidajad üle terve Euroopa Liidu. Pole kindel, kas kõigi nakatunute arvutid on juba Zeus’ist puhtaks roogitud või veel mitte. Eesti riigisektor sai puhtaks kiiresti … peaaegu polnudki, mida puhastada.

Kindlasti ei tohiks öelda, et meil “vedas”. See polnud vedamine. See on koolitus ja pidev ennetustöö, mis ütles raamatupidaja käele STOPP! just sel hetkel kui Zeusi paigaldamiseni jäänud vaid üks klikk. Haned päästsid Rooma, kuid turvakoolitatud kontoritöötajad tegid selle nakatuskampaania ärahaldamise Eesti riigis ikka kordades lihtsamaks.

Aitäh neile!

Mis sellistel puhkudel aitaks?

  1. Enne mõtle ja alles siis kliki.
  2. Ära häbene IT-osakonnast nõu küsida!
  3. Küsi kirja saatjalt üle – kas ikka tõesti sina saatsid selle?!