Taloussanomat
Lue uutinen mobiilisivustolla

Cert-fi: Pankkirosvon piilon voi löytää tietokoneelta

Kuva: Niko Jylhä

4.12.2009 08:46 Kansallinen tietoturvaviranomainen Cert-fi antaa ohjeita, miten viime aikoina suomalaisia kiusanneen Zlob-haittaohjelman voi saada pois tietokoneelta. Mutta käyttäjän pitää olla varovainen.

Tuhansia suomalaiskoneita sotkenut Zlob (tunnetaan myös nimillä Alureon tai DNSChanger) on yleensä käyttäjän löydettävissä ja poistettavissa, vaikka se yrittääkin kätkeytyä niin sanotun rootkitin avulla.

Käyttäjän tulee etsiä ja tuhota haittaohjelman käyttämä binääritiedosto ja rekisteriavaimet. Cert-fi antaa tähän tarkemmat ohjeet tiedotteessaan. Lisäksi nimipalvelinasetukset tulee palauttaa suositusten mukaisiksi. Muuten tietokone yrittää jälleen ottaa yhteyttä verkon vaarallisiin paikkoihin.

Poistomenetelmä ei kuitenkaan välttämättä päde kaikkiin haittaohjelman versioihin eikä se poista koneessa mahdollisesti olevia muita haittaohjelmia. Lisäksi väärän tiedoston tai rekisteriavaimen poistaminen voi tehdä käyttöjärjestelmästä käyttökelvottoman. Siksi Cert-fi ehdottaakin varmimpana keinona käyttöjärjestelmän asentamista uudelleen.

Älä asenna
koodekkia

Tietokoneen verkkoliikenteen uudelleen ohjaava Zlob-haittaohjelma on syy, miksi suomalaiset operaattorit ovat ryhtyneet poikkeuksellisiin estotoimenpiteisiin pimentäen lukuisia nettiyhteyksiä käyttäjiltä.

Cert-fi kertoo haittaohjelmaa levitetyn uskottelemalla käyttäjälle, että www-sivuilla on tarjolla multimediakoodekki, joka käyttäjän tulisi itse asentaa sisällön näkemiseksi. Zlobin avulla on yritetty huijata  suomalaisilta verkkopankkitietoja. Haittaohjelmatyyppi on kuitenkin ollut Cert-fi:lle tuttu jo vuosia.

Torjumista on vaikeuttanut ohjelman jatkuva muuntautuminen. Zlob käyttää myös monimutkaista pakkausta, mikä vaikeuttaa ohjelman havaitsemista ja toiminnan tutkimista.

Muutetut
nimipalvelinasetukset

Zlob muuttaa työaseman nimipalveluasetuksia niin, että nimenselvitys tapahtuu epäluotettavilta nimipalvelimilta, joiden antamat vastaukset ohjaavat käyttäjän www-yhteydet mahdollisesti haitallisille sivustoille.

Nimipalvelumuutokset näkyvät Windows-käyttöjärjestelmän rekisterissä seuraavan kaltaisina avaimina:

HKLMSYSTEMCurrentControlSetServicesTcpipParameters,nameserver
=85.255.115.46,85.255.112.124
HKLMSYSTEMCurrentControlSetServicesTcpipParametersInterfaces{interfaceGUID},nameserver=85.255.115.46,85.255.112.124

Tutkitun haittaohjelman käyttämien nimipalvelinten ip-osoitteet voivat vaihdella välillä 85.255.112.0 - 85.255.127.255.

Nimipalvelinasetukset voi tarkistaa myös käyttöjärjestelmän komennolla IPCONFIG /ALL.

Jutun kirjoitti: Tuomas Linnake
Nimeä-Ei muutoksia-Epäkaupallinen -lisenssi

Tuomas Linnake

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Aiheeseen liittyviä uutisia

Uudemmat

Aiemmat

Mainitut yritykset

Kirjoita kommentti

Kommentit (7)

Hyvä 0
Huono 0
No niin, tulihan se sieltä, eli ei sentään käyttöjärjestelmän uudelleen asennusta a'la Sonera ...

Ko. ongelmilta on myös erittäin hyvin suojassa jos on erillinen NAT-/palomuuri-purkki ADSL-modeemin ja kotiverkon välissä tekemällä palomuurin asetuksen joka sallii UDP-portti 53:sta lähtevät dns-kyselyt vain palveluntarjoajan dns-palvelimien IP-osoitteisiin.
J-P Laine
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 4.12.2009 10:06
Hyvä 0
Huono 0
Olisi tietenkin ollut ihan hyvä kertoa edes yksi oikea nimipalveluosoite.

Noh, minä autan: 208.67.222.222

Huom: en pidä k.o. palvelusta sen (mainoksellisen) toiminnan takia, mutta se on pikkasen parempi kuin ei mitään tai etenkin nuo huiputtajien.
Väsynyt
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 4.12.2009 11:48
Hyvä 0
Huono 0
Nimipalvelinasetukset voi tarkistaa myös käyttöjärjestelmän komennolla IPCONFIG /ALL.

Vasta artikkelin viimeisessä lauseessa kerrottiin helppo tapa jolla asian voi tarkistaa, eikä senkään suhteen annettu yksityiskohtaista ohjetta tyyliin:
1.klikkaa ruudun vasemman alakulman start-ikonia
2. valitse Run
3. kirjoita CMD
4. Kirjoita ipconfig /all
5. Katso onko rivillä DNS Servers IP-osoitteita välillä 85.255.112.0 - 85.255.127.255
BizDev
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 4.12.2009 13:01
Hyvä 0
Huono 0
Vasta artikkelin viimeisessä lauseessa kerrottiin helppo tapa jolla asian voi tarkistaa, eikä senkään suhteen annettu yksityiskohtaista ohjetta tyyliin:
1.klikkaa ruudun vasemman alakulman start-ikonia
2. valitse Run
3. kirjoita CMD
4. Kirjoita ipconfig /all
5. Katso onko rivillä DNS Servers IP-osoitteita välillä 85.255.112.0 - 85.255.127.255

1. käynnistä tietokone
2.klikkaa ruudun vasemman alakulman start-ikonia
3. valitse Run
4. kirjoita CMD
5. paina Enter
6. Kirjoita ipconfig /all
7. paina enter
8. Katso onko rivillä DNS Servers IP-osoitteita välillä 85.255.112.0 - 85.255.127.255
FTFY
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 4.12.2009 17:34
Hyvä 0
Huono 0
"Noh, minä autan: 208.67.222.222" - Kenen palveluntarjoajan DNS-serveri mahtaa olla kyseessä, kaikilla kun on omansa ...
J-P Laine
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 5.12.2009 13:38
Hyvä 0
Huono 0
"Noh, minä autan: 208.67.222.222"

Parasta olisi käyttää oman palveluntarjoajan nimipalvelinta (DNS server). Tämä on ylivoimaisesti nopein, erityisesti www-sivujen selailussa. Käytän joskus toisen palveluntarjoajan nimipalvelinta toissijaisena varapalvelimena, koska näyttää olevan yleistä hyökätä niitä vastaan ja kaataa nimipalvelin.
Nörtti-13
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 6.12.2009 3:05
Hyvä 0
Huono 0
"Noh, minä autan: 208.67.222.222" - Kenen palveluntarjoajan DNS-serveri mahtaa olla kyseessä, kaikilla kun on omansa ...

Kyseessä on OpenDNS:n serveri.

OpenDNS:n perustajan näkemyksiä Google DNS:stä:

http://blog.opendns.com/2009/12/03/opendns-google-dns/
Käyttäjä
Lainaa Lainaa Ilmoita asiaton viesti Ilmoita asiaton viesti
# 5.12.2009 15:49
Sivut: 1 Edellinen Seuraava
Kirjoita vastaus
Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
> Lue koko keskusteluetiketti

Uutisviikko

Mitä viikolla on tapahtunut, mikä puhuttanut eniten? Koko viikon uutiset.

Kevyt ja nopea

Oletko jo tutustunut m.digitoday.fi-mobiilisivustoon?

Uusimmat uutiset

Poiminnat

Yritys erotti sähköpostitse vahingossa kaikki työntekijät
Sonera pitää Skype-puhelun ilmaisena – toistaiseksi
Laskutusjärjestelmä jumittaa edelleen Helsingissä
Yle MOT: Nokian Ollila oli sokea imartelulle
Dr. Web kiistää Flashback-epidemian rauhoittumisen
Kiinnostus Nokian Lumia-malleihin osoittaa hiipumisen merkkejä

Digiyesterday

Viisi vuotta sitten

Hiirelle kaveriksi usb-hamsteri

26.05.2007 Usb-liitännästä saa virtaa ulos maksimissaan muutaman sadan milliampeerin virran. Tätä määrää virtaa voi käyttää mitä ihmeellisimpien tietokoneen lisälaitteiden toimintaan - tai no, isoa osaa näistä laitteista ei voi kutsua tietokoneen lisälaitteeksi, kuten nyt vaikkapa tätä juoksupyörää.

Kolme vuotta sitten

Espanja koululaisten tietokoneilla kriisiä vastaan

27.05.2009 Espanjan koululaiset tulevat saamaan tietokoneen omakseen 5. luokalta alkaen. Se on yksi toimenpide maan parlamentin hyväksymässä "Escuela 2.0"-ohjelmassa, jolla halutaan nostaa maan koulujen tietoteknistä tasoa - ja toimia myös talouskriisiä vastaan.

Taloussanomat

.