Skoči na vsebino

Obveščanje o okuženih sistemih

Na SI-CERT smo v letu 2023 začeli z obveščanjem operaterjev elektronskih komunikacij o okuženih napravah naročnikov njihovih storitev. Podatke nam pošljejo partnerske organizacije, ki z različnimi metodami pridobijo podatke o okuženih sistemih in jih posredujejo nacionalnim odzivnim centrom po različnih državah, med katere spada tudi SI-CERT. Podatke pošiljamo operaterjem enkrat tedensko, operaterje pa prosimo, da na podlagi prejetih podatkov identificirajo uporabnike okuženih sistemov in jih obvestijo o zlorabi.

Primer podatkov, ki jih posredujemo operaterjem (podatki so delno zakriti):

"cas_zaznave","izvorni_ip","ponorni_ip","ponorna_vrata","http_gostitelj","asn","tip_okuzbe"
"2023-12-07T23:45:04+00:00","95.176.xxx.xxx","195.201.xxx.xxx","80","ytxxx.com","5603","vipersoftx"
"2023-12-07T21:18:57+00:00","109.182.xxx.xxx","34.29.xxx.xxx","80","bdxxx.cc","5603","socks5systemz"
"2023-12-07T20:45:01+00:00","109.182.xxx.xxx","184.105.xxx.xxx","80","disordexxx.ru","5603","andromeda"
"2023-12-07T18:56:59+00:00","89.143.xxx.xxx","195.201.xxx.xxx","443","","5603","pseudo_manuscrypt"

Opis polj:

  • cas_zaznave: točen čas povezave okuženega sistema na nadzorni strežnik. Podatek je v UTC časovnem pasu (za lokalni čas je potrebno pozimi prišteti eno uro, poleti pa dve)
  • izvorni_ip: javni IP naslov okuženega sistema (v večini primerov gre za javni naslov, ki je bil dodeljen naročniku s strani operaterja v času zaznave okužbe)
  • ponorni_ip: IP naslov strežnika, kamor se povezuje virus, in na katerem so bili zajeti podatki
  • ponorna_vrata: TCP vrata ponornega strežnika
  • http_gostitelj: domena, na katero se povezuje virus (ustreza ponornem IP naslovu). Če se virus povezuje neposredno na IP naslov, je ta podatek prazen
  • asn: številka avtonomnega sistema operaterja elektronskih komunikacij
  • tip_okuzbe: ime virusa oz. vrsta okužbe

Priporočeni ukrepi na strani operaterja

Operaterje prosimo, da iz poslanih podatkov identificirajo naročnike, pri katerih so zaznane okužbe. Glede na raven storitev, ki jih imajo naročniki na voljo, naj operaterji nudijo ustrezno pomoč pri odstranjevanju okužbe. Operaterji naj naročnikom posredujejo vse podatke o okužbi njihovih sistemov, ki jih dobijo s strani SI-CERT, saj naročniki potrebujejo te podatke za identifikacijo okuženih sistemov.

Priporočeni ukrepi za uporabnike

Uporabnikom, ki prejmejo tako obvestilo s strani svojega operaterja, svetujemo, da na podlagi podatkov o okužbi poskušajo identificirati okužen sistem ter odstranijo okužbo in izvedejo ukrepe za odpravo posledic okužbe.

1. identifikacija zlorabljene naprave

Prvi korak je identifikacija okužene naprave, saj je lahko za enim javnim IP naslovom na lokalnem omrežju večje število sistemov. V tipični postavitvi domačega lokalnega omrežja se preko istega zunanjega IP naslova v internet povezujejo vse naprave, ki so povezane na domače WiFi ali žično omrežje: računalniki, telefoni, tablice, televizorji, usmerjevalniki, tiskalniki, IP kamere, robotski sesalniki, razne pametne naprave itn. Na SI-CERT žal nimamo podatkov, na kateri od naprav je prišlo do okužbe, saj običajno dobimo zgolj podatek o javnem IP naslovu. V nekaterih primerih lahko podatki vsebujejo tudi ime računalnika. Tehnično naprednejši uporabniki lahko poskušajo identificirati okužen sistem s pomočjo podatkov o ponornem IP naslovu/vratih in http gostitelju. To sta naslova, s katerim okužena naprava komunicira (z drugimi besedami: nadzorni strežnik za zlonamerno programsko opremo). S spremljanjem IP in/ali DNS prometa na vašem lokalnem omrežju lahko ugotovite, katera naprava komunicira s tem nadzornim strežnikom (opomba: tako spremljanje prometa običajno zahteva napredno tehnično znanje ter dodatno strojno in programsko opremo). Uporabnikom so pri identifikaciji zlorabljene naprave lahko v pomoč informacije o posameznih vrstah virusov v spodnjem seznamu. V primeru, da v seznamu ni opisa za navedeno vrsto virusa, lahko informacije in napotke poiščete na spletu.

2. odstranitev okužbe

Po identifikaciji okuženega sistema je potrebno odstraniti okužbo. Priporočeni ukrepe za nekatere od najpogostejših vrst virusov se nahajajo v spodnjem seznamu. Sicer pa je najbolj varen način odstranitve okužbe ponastavitev naprave na tovarniške nastavitve. S tako ponastavitvijo se namreč odstrani tudi vsa škodljiva programska oprema. Ker ponastavitev lahko izbriše vse uporabniške datoteke in nastavitve, predlagamo, da se predhodno naredi varnostno kopijo datotek in nastavitev. Po tovarniški ponastavitvi namestite tudi vse popravke za operacijski sistem naprave. Navodila za ponastavitev naprave poiščite na spletu ali pri proizvajalcu naprave. Okužbo na Windows sistemu lahko poskusite odstraniti tudi s posodobljenim protivirusnim programom, vendar pa ta ukrep ne zagotavlja odstranitev vse morebitne škodljive programske opreme.

3. dodatni priporočeni ukrepi

V primeru okužbe računalnika je potrebno zamenjati tudi vsa gesla, ki so bila v času okužbe shranjena ali uporabljena na sistemu: gesla, shranjena v brskalnikih (Chrome, Firefox, Edge …), v programih za email (Outlook, Thunderbird …) ter hipno sporočanje (Viber, WhatsApp…), gesla, ki so bila vpisana preko tipkovnice ipd. Priporočamo tudi ponastavitev vseh ostalih avtentikatorjev in zasebnih ključev: kripto denarnice, digitalni certifikati, VPN poverilnice, SSH ključi, GPG ključi,…

Nekateri vzorci starejših družin virusov so lahko zaradi onemogočene infrastrukture tudi delno ali povsem nefunkcionalni. Ne glede na stanje zaznane okužbe na SI-CERT vedno priporočamo upoštevanje navedenih varnostnih ukrepov. Identificirane zlonamerne datoteke lahko pred odstranitvijo posredujete v analizo na SI-CERT.

SI-CERT uporabnikom ne more nuditi tehnične pomoči pri identifikaciji okuženega sistema in odstranjevanju okužbe. Če sami niste dovolj tehnično podkovani, lahko pomoč poiščete pri ustrezno usposobljeni osebi, obrnete se lahko tudi na  računalniški servis (običajno gre za komercialno storitev, ki jo morate plačati).

Opisi in priporočeni ukrepi za najpogostejše tipe okužb

android.badbox, android.badbox2, android.vo1d ali android.vo1d2

Opis: Android.Badbox in Android.Vo1d sta družini zlonamerne programske opreme, značilni za Android TV predvajalnike, najpogosteje modele nižjega cenovnega razreda nepreverjenih proizvajalcev. Gre za ločene zunanje prevajalnike z operacijskim sistemom, ki temelji na AOSP (Android Open Source Project), in niso povezani s certificiranimi produkti, kot so Android TV, Google TV, Chromecast ali Nvidia Shield. Okužba napravo vključi v enega največjih botnet omrežij na svetu, napadalcem pa omogoča zlorabo uporabnikovega javnega IP naslova za izvajanje nadaljnjih kibernetskih napadov in finančnih prevar. Okužba se običajno zasidra v sistemske mape in pridobi korenski (root) dostop, zaradi česar ponastavitev na tovarniške nastavitve najpogosteje ni zadosten ukrep.
Priporočeni ukrepi: Odklop naprave iz omrežja in ponovna namestitev originalne programske opreme proizvajalca (firmware). Če to ni možno, odsvetujemo nadaljnjo uporabo naprave. Svetujemo tudi menjavo gesel vseh uporabniških računov, ki so bili vpisani na okuženem predvajalniku.
V primerih, ko uporabniki niso nameščali lastne programske opreme (firmware) ali dodatnih aplikacij z nepreverjenih virov, obstaja možnost, da je okužba prisotna že v prednameščeni programski opremi ob nakupu naprave. V teh primerih odsvetujemo njeno nadaljnjo uporabo. Preventivno svetujemo nakup naprav preverjenih proizvajalcev, ki zagotavljajo varnostne posodobitve in so certificirani za uporabo storitve Google Play Protect. Uporabnikom dodatno odsvetujemo nameščanje neuradne programske opreme (firmware) in nameščanje aplikacij iz nepreverjenih virov.
Dodatne informacije: https://www.bleepingcomputer.com/news/security/android-tv-box-on-amazon-came-pre-installed-with-malware in https://blog.xlab.qianxin.com/long-live-the-vo1d_botnet in https://www.humansecurity.com/learn/blog/badbox-2-0-the-sequel-no-one-wanted/

popcorntime

Opis: Oznaka popcorntime se nanaša na opuščeno programsko opremo Popcorn Time (Time4Popcorn za Windows, macOS in Android), v kateri je bila sredi leta 2026 odkrita resna ranljivost v mehanizmu za samodejno posodabljanje aplikacije. Ranljivost napadalcu omogoča, da aplikaciji podtakne zlonamerno posodobitev in na ta način okuži sistem. Na sistemih Windows in macOS se ta posodobitev izvede v ozadju brez interakcije uporabnika in z najvišjimi sistemskimi pravicami (SYSTEM oziroma root). Ker je bil razvoj aplikacije že opuščen, popravek za ranljivost ne obstaja.
Priporočeni ukrepi: Zaradi opuščenega razvoja in tveganja za zlorabo je priporočljiva popolna odstranitev aplikacije Popcorn Time. Izkoriščanje ranljivosti se na Window in macOS sistemih lahko zaustavi na način, da se onemogoči storitev posodabljanja (Update service oziroma PT.updd), vendar pa je to lahko zgolj začasen ukrep. Svetujemo tudi pregled naprave s posodobljenim protivirusnim programom in preverjanje morebitne neobičajne omrežne aktivnosti.
Dodatne informacije: https://research.eye.security/cve-2026-30612-a-vulnerability-in-time4popcorn-popcorntime/

ipidea

Opis: Ipidea je zlonamerni sistem rezidenčnih proksijev (residential proxy), ki uporabniške naprave izrablja za posredovanje internetnega prometa. Naprave so lahko vključene v omrežje prek skritih SDK modulov v aplikacijah, najpogosteje v brezplačnih VPN aplikacijah, ki jih uporabniki namestijo na pametni telefon ali računalnik. Zlorabljene so lahko naprave z operacijskimi sistemi Windows, Android in iOS, napadalci pa jih lahko uporabljajo za prikrivanje izvora napadov in drugega zlonamernega prometa.
Priporočeni ukrepi: Odstranitev sumljivih aplikacij, predvsem zastonjskih in nepreverjenih aplikacij za VPN, pregled naprave s posodobljenim protivirusnim programom ter preverjanje nastavitev VPN in proxy strežnikov. Svetujemo tudi posodobitev operacijskega sistema in vseh aplikacij. Če je bila naprava uporabljena za dostop do pomembnih uporabniških računov, priporočamo menjavo gesel z druge, varne naprave. Če odstranitve zlonamerne komponente ni mogoče zanesljivo potrditi, priporočamo ponastavitev naprave.
Dodatne informacije: https://cert.gov.ng/advisories/ipidea-malware-and-malicious-residential-proxy-network

pykspa

Opis: Pykspa je zlonamerni omrežni črv in trojanski konj za Windows, ki okužen sistem poveže z omrežjem napadalcev. Širi se lahko prek zlonamernih povezav, poslanih stikom prek komunikacijskih aplikacij, ter s kopiranjem na omrežne in preslikane pogone. Na okuženem sistemu lahko krade podatke, onemogoča varnostne funkcije, omogoča oddaljeno izvajanje ukazov ter prenaša dodatno zlonamerno programsko opremo.
Priporočeni ukrepi: Odklop okužene naprave iz omrežja in odstranitev okužbe s posodobljenim protivirusnim programom. Preveriti je treba tudi omrežne in preslikane pogone. Svetujemo menjavo vseh gesel uporabniških računov, ki so bila uporabljena na okuženem sistemu. Če odstranitve okužbe ni mogoče zanesljivo potrditi, priporočamo ponastavitev sistema na tovarniške nastavitve.
Dodatne informacije: https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Worm%3AWin32%2FPykspa.E

m0yv

Opis: M0yv je virus, ki okužuje izvršljive datoteke (.exe) v sistemu Windows. Združuje lastnosti klasičnega virusa, ki okuži izvršljive datoteke (PE datoteke), ter naprednejšega trojanskega konja za oddaljen dostop (RAT). Zlonamerno kodo vstavi v legitimne izvršljive datoteke ter se lahko širi tudi prek omrežnih in odstranljivih pogonov. Ker okužuje legitimne programe, lahko odstranitev virusa povzroči, da nekateri programi ne delujejo več pravilno.
Priporočeni ukrepi: Izvedba celotnega pregleda sistema in odstranitev okužbe s posodobljenim protivirusnim programom. Preveriti je treba tudi vse odstranljive pogone, ki so bili povezani z okuženim sistemom. Po odstranitvi je treba poškodovane programe ponovno namestiti iz zaupanja vrednih virov. Če je okuženih veliko sistemskih ali programskih datotek in njihovega čiščenja ni mogoče zanesljivo izvesti, je smiselna ponastavitev oziroma ponovna namestitev sistema.
Dodatne informacije: https://www.malwarebytes.com/blog/detections/virus-m0yv

ranbyus

Opis: Ranbyus je večnamenski trojanski konj za Windows, ki lahko krade uporabniška imena, gesla in druge podatke, beleži pritiske tipk ter komunicira z nadzornim strežnikom. Poleg kraje podatkov lahko prenaša in izvaja dodatno zlonamerno programsko opremo, sodeluje pri napadih DDoS ter lahko v nekaterih različicah zaklene ali šifrira podatke. Čeprav je znan predvsem kot bančni trojanski konj, njegove zmogljivosti niso omejene samo na krajo bančnih podatkov.
Priporočeni ukrepi: Odklop okužene naprave iz omrežja in odstranitev okužbe s posodobljenim protivirusnim programom. Svetujemo menjavo vseh gesel uporabniških računov, ki so bila uporabljena na okuženem sistemu, pri čemer naj se gesla zamenjajo z druge, varne naprave. Če je bila naprava uporabljena za spletno bančništvo ali plačilne storitve, je treba preveriti transakcije in po potrebi obvestiti banko. Če odstranitve okužbe ni mogoče zanesljivo potrditi, priporočamo ponastavitev sistema.
Dodatne informacije: https://www.kyberturvallisuuskeskus.fi/en/our-services/monitoring-and-incident-response/malware-detected-autoreporter

pseudo_manuscrypt

Opis: PseudoManuscrypt je vohunska zlonamerna programska oprema, ki omogoča obsežno zbiranje podatkov na okuženih Windows sistemih. Med drugim lahko beleži pritiske tipk, zajema zaslon in zvok, krade podatke iz odložišča, VPN poverilnice in sistemske dnevnike ter napadalcem omogoča obsežen nadzor nad sistemom. Raziskovalci Bitsight so zaznali skoraj 500.000 okuženih sistemov v vsaj 40 državah, trenutna velikost omrežja pa je bila ocenjena na približno 50.000 sistemov.
Priporočeni ukrepi: Takojšen odklop naprave iz omrežja in varnostna obravnava okužbe. Svetujemo menjavo uporabniških, VPN, e-poštnih in drugih pomembnih gesel z druge, varne naprave ter preklic aktivnih sej in žetonov, kjer je to mogoče. Organizacije morajo preveriti morebitno izpostavljenost notranjega omrežja in industrijskih sistemov. Zaradi obsežnih vohunskih funkcij priporočamo strokovno obravnavo okužbe, če odstranitve ni mogoče zanesljivo potrditi.
Dodatne informacije: https://www.bitsight.com/blog/zero-50k-infections-pseudomanuscrypt-sinkholing-part-1

tinba

Opis: Tinba (Tiny Banker oziroma Zusy) je bančni trojanski konj za Windows, namenjen kraji bančnih poverilnic in drugih občutljivih podatkov. Uporablja spletne vbrizge (web injects) in lažne obrazce oziroma pojavna okna, ki se lahko prikažejo med uporabo spletnega bančništva in od uporabnika zahtevajo občutljive podatke.
Priporočeni ukrepi: Prekinitev uporabe spletnega bančništva na okuženi napravi in odstranitev okužbe s posodobljenim protivirusnim programom. Svetujemo menjavo gesel za spletno bančništvo in druge pomembne uporabniške račune z druge, varne naprave. Preveriti je treba bančne transakcije in po potrebi obvestiti banko. Če odstranitve okužbe ni mogoče zanesljivo potrditi, priporočamo ponastavitev sistema.
Dodatne informacije: https://www.imperva.com/learn/application-security/tiny-banker-trojan-tbt-tinba/

netnut

Opis: NetNut, povezan tudi z infrastrukturo Popa, je omrežje posredniških strežnikov (residential proxy), ki uporablja naprave uporabnikov kot izstopne točke za posredovanje internetnega prometa. Naprave so lahko vključene prek skritih SDK modulov v aplikacijah, tudi takih, ki uporabnikom ponujajo plačilo za »deljenje neuporabljene pasovne širine«. Google je ocenil, da je omrežje obsegalo najmanj dva milijona naprav. Zaznava NetNut zato ne pomeni nujno klasične okužbe z enim samim virusom, temveč lahko pomeni, da je naprava vključena v zlonamerno proxy-omrežje.
Priporočeni ukrepi: Odstranitev aplikacij, ki ponujajo deljenje pasovne širine ali uporabljajo neznane proxy oziroma VPN komponente, ter pregled naprave s posodobljenim protivirusnim programom. Preveriti je treba nastavitve proxy in VPN ter nenavadno omrežno aktivnost. Svetujemo tudi posodobitev operacijskega sistema in vseh aplikacij. Če je bila naprava uporabljena za dostop do pomembnih uporabniških računov, priporočamo menjavo gesel z druge, varne naprave.
Dodatne informacije: https://cloud.google.com/blog/topics/threat-intelligence/disrupting-largest-residential-proxy-network

avalanche-generic

Opis: Oznaka avalanche-generic ne označuje določene družine zlonamerne programske opreme, temveč zaznavo, povezano z nekdanjo infrastrukturo Avalanche. Avalanche je bila obsežna infrastruktura za kibernetski kriminal, ki je podpirala distribucijo in nadzor različnih vrst zlonamerne programske opreme, vključno z bančnimi trojanci in izsiljevalsko programsko opremo. Za prikrivanje in odpornost infrastrukture je uporabljala tudi tehnike, kot je fast-flux DNS. Mednarodna operacija je infrastrukturo leta 2016 razgradila. Sama oznaka zato ne pomeni nujno, da je v napravi prisotna določena družina zlonamerne programske opreme. Pomen zaznave je treba presojati glede na vir zaznave, omrežni promet, datoteke ali druge povezane indikatorje.
Priporočeni ukrepi: Potrebna je ugotovitev vzroka zaznave in preveritev, ali je prisotna konkretna zlonamerna programska oprema. V primeru potrjene okužbe je potrebna celovita odstranitev zaznane zlonamerne programske opreme. Priporočljiva je tudi menjava pomembnih gesel z druge, varne naprave ter preverjanje morebitne nenavadne omrežne aktivnosti. Ponovna namestitev operacijskega sistema ni samodejno potrebna in je smiselna predvsem v primeru okužbe, ki je ni mogoče zanesljivo odstraniti, oziroma ob sumu na trajno kompromitacijo sistema
Dodatne informacije: https://www.bsi.bund.de/EN/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Botnetze/Botnetz-Avalanche/botnet-avalanche_node.html

gazavat

Opis: Gazavat je zlonamerna programska oprema, ki jo nekateri varnostni izdelki povezujejo oziroma označujejo kot Expiro. Pri različicah, ki okužujejo izvršljive datoteke (.exe), se zlonamerna koda vstavi v prave izvršljive datoteke in se lahko širi prek lokalnih, omrežnih in odstranljivih pogonov. Poleg širjenja lahko zlonamerna programska oprema krade poverilnice ter omogoča oddaljeno izvajanje ukazov in nadzor nad sistemom. Ker okužuje prave izvršljive datoteke, je odstranitev lahko zahtevna.
Priporočeni ukrepi: Odklop okuženega sistema iz omrežja ter celovit pregled s posodobljenim protivirusnim programom, ki podpira zaznavanje in odstranjevanje Expiro. Preveriti je treba tudi omrežne in odstranljive pogone ter ponovno namestiti poškodovane programe iz zaupanja vrednih virov. Pri obsežni okužbi, kjer čiščenja ni mogoče zanesljivo izvesti, priporočamo ponastavitev oziroma ponovno namestitev sistema.
Dodatne informacije: https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Win32%2FExpiro

android.hummer

Opis: : Android hummer je zlonamerna programska oprema za Android, ki poskuša pridobiti skrbniške oziroma korenske (root) pravice na napravi. S tem lahko prikazuje oglase, v ozadju namešča neželene ali zlonamerne aplikacije ter zbira osebne podatke, vključno z bančnimi uporabniškimi imeni in gesli. Zaradi pridobljenih sistemskih pravic je odstranitev lahko zelo zahtevna, pri nekaterih okužbah pa niti ponastavitev na tovarniške nastavitve ni dovolj.
Priporočeni ukrepi: Posodobitev Androida in odstranitev sumljivih aplikacij ter pregled naprave s posodobljenim mobilnim protivirusnim programom. Če je naprava okužena s Hummerjem, priporočamo obnovitev sistema iz čiste uradne programske opreme, saj običajna ponastavitev naprave morda ne odstrani okužbe. Svetujemo tudi menjavo pomembnih gesel z druge, varne naprave.
Dodatne informacije: https://www.ecomsecurity.org/hummer-malware/

socks5systems

Opis: Socks5Systemz je zlonamerna programska oprema, ki okužen Windows sistem vključi v svoje botnet omrežje. Okužen računalnik se brez vednosti uporabnika uporablja kot posredniški strežnik (proxy) za napade na druge sisteme in tako sodeluje v kriminalnih aktivnostih . Okužba je običajno posledica predhodne okužbe z drugim zlonamernim programom.
Priporočeni ukrepi: Odstranitev zlonamerne programske opreme s posodobljeno različico antivirusnega programa ali ponastavitev okuženega Windows sistema na tovarniške nastavitve.
Dodatne informacije: https://www.bitsight.com/blog/unveiling-socks5systemz-rise-new-proxy-service-privateloader-and-amadey

avalanche-andromeda

Opis: Andromeda je modularni virus, ki okužen Windows sistem vključi v svoje botnet omrežje, znotraj katerega na zahtevo sodeluje pri nadaljnjih kriminalnih aktivnostih. Virus na okužen sistem prenese dodatno zlonamerno programsko opremo, najpogosteje kodo za prestrezanje vnosov s tipkovnice (keylogging) ali nepooblaščen oddaljen dostop (RAT). Pogosto se uporablja za krajo uporabniških gesel in prenos dodatne zlonamerne programske opreme. V preteklosti se je virus širil predvsem preko zlonamernih USB ključkov, okuženih spletnih strani in e-poštnih sporočil.
Priporočeni ukrepi: Menjava vseh gesel uporabniških računov, ki so bila shranjena oz. so se uporabljala na okuženem sistemu, ter ponastavitev operacijskega sistema Windows na tovarniške nastavitve.
Dodatne informacije: https://blogs.blackberry.com/en/2020/05/threat-spotlight-andromeda

downadup

Opis: Downadup (tudi Conficker) je Windows črv iz leta 2008, iz časov operacijskih sistemov Windows XP in Windows Server 2008. Okužba napadalcem odpre stranska vrata in sistem hkrati vključi v svoje botnet omrežje. V večini primerov črv živi na starejših sistemih, kot posledica okužbe v preteklosti. Črv se po neustrezno zaščitenih omrežjih širi samodejno bodisi z izkoriščanjem ranljivosti operacijskega sistema bodisi s širjenjem v pomanjkljivo zaščitene omrežne mape. 
Priporočeni ukrepi: Odstranitev okužbe s posodobljenim antivirusom ali ponastavitev okuženega sistema na tovarniške nastavitve. Po odstranitvi svetujemo posodobitev operacijskega sistema z zadnjimi varnostnimi popravki. V primerih, kjer to ni možno, svetujemo izolacijo okuženega sistema znotraj notranjega omrežja. 
Dodatne informacije: https://github.com/itaymigdal/malware-analysis-writeups/blob/main/Conficker/Conficker.md

anatsa

Opis: Anatsa je zlonamerna mobilna aplikacija, namenjena pridobivanju uporabniških podatkov za izvedbo kraje finančnih sredstev iz aplikacij mobilnih bank in kriptodenarnic. Najpogostejši potek okužbe predstavlja prenos zlonamerne aplikacije splošnih orodij (File Explorer, PDF Reader, QR Code Scanner) iz trgovine Google Play, ki ji žrtve odobrijo pravice storitev dostopnosti (ang. Accessibility Services). Žrtve ob okužbi najpogosteje opažajo, da aplikacija uporabniku preprečuje odprtje nastavitev in izbris, ter onemogoča izklop in ponastavitev naprave.
Priporočeni ukrepi: Začasen preklic dostopa do aplikacij mobilnih bank in kriptodenarnic, izbris zlonamerne aplikacije v varnem načinu ali ponastavitev naprave na tovarniške nastavitve. Izklop naprave je pri tem lahko otežen, zato priporočamo upoštevanje korakov na spodnji povezavi.
Dodatne informacije: https://cert.si/si-cert-2024-03/ https://www.cert.si/si-cert-tz015/

vipersoftx

Opis: Vipersoftx je trojanski konj, namenjen prestrezanju uporabniških podatkov in zagotavljanju nepooblaščenega oddaljenega dostopa do okuženega Windows sistema za izvedbo kraje kriptovalut. Po okužbi sistema pridobi podatke kriptodenarnic, shranjena gesla iz brskalnikov in upravljalnikov gesel, poverilnice za VPN dostop, zajema uporabniške vnose s tipkovnice in posnetke zaslona ter na zahtevo prenese dodatno škodljivo kodo ali sodeluje v drugem napadu. Okužba nastopa predvsem pri prenosu nelegalne programske opreme s spleta (t.i. cracki).
Priporočeni ukrepi: Menjava vseh gesel uporabniških računov, ki so bili shranjeni ali so se uporabljali na okuženem sistemu, ponastavitev operacijskega sistema na tovarniške nastavitve.
Dodatne informacije: https://www.trendmicro.com/en_us/research/23/d/vipersoftx-updates-encryption-steals-data.html

locky

Opis: Locky je šifrirni izsiljevalski virus, ki v zameno za odšifriranje datotek zahteva odkupnino. Virus se lahko širi v priponkah zlonamernih sporočil, ali pa napadalci sami izvršijo virus preko predhodnega vdora v sistem. Trenutno ne poznamo možnosti brezplačnega odšifriranja datotek.
Priporočeni ukrepi: Ponastavitev Windows sistema na tovarniške nastavitve in obnovitev datotek iz varnostnih kopij.
Dodatne informacije: https://blogs.blackberry.com/en/2017/11/threat-spotlight-locky-ransomware

qsnatch

Opis: Qsnatch je zlonamerna programska oprema, namenjena kraji osebnih podatkov z NAS strežnikov proizvajalca QNAP. Iz okuženega strežnika pridobi uporabniške podatke, kot so gesla in konfiguracijske datoteke za večfaktorsko preverjanje in jih posreduje na kontrolni strežnik. Hkrati napadalcem omogoča modularen prenos dodatne zlonamerne programske opreme. Za svojo zaščito poskrbi z izklopom prenosa posodobitev in onemogočanjem storitve QNAP MalwareRemover.
Priporočeni ukrepi: Menjava gesla za dostop do QNAP NAS strežnika, odstranitev zlonamerne programske opreme s storitvijo, kot je QNAP MalwareRemover ali ponastavitev na tovarniške nastavitve, posodobitev programske opreme naprave in ustrezna zamejitev njene javne dostopnosti 
Dodatne informacije: https://www.kyberturvallisuuskeskus.fi/en/news/qsnatch-malware-designed-qnap-nas-devices

moobot

Opis: Moobot je botnet omrežje neustrezno zaščitenih ali ranljivih IoT naprav. Najpogosteje gre za zlorabljene javno izpostavljene usmerjevalnike in spletne kamere s privzetimi gesli ali znanimi ranljivostmi.
Okužba napadalcem omogoča spremljanje in preusmerjanje omrežnega prometa, gostovanje zlonamerne vsebine na okuženi napravi in njeno sodelovanje v napadih porazdeljenega onemogočanja storitev (DDoS) na tuje sisteme.
Priporočeni ukrepi: Ponastavitev okužene naprave na tovarniške nastavitve, posodobitev programske opreme, menjava privzeto nastavljenih uporabniških imen in gesel in omejitev njene javne dostopnosti (Telnet, SSH, spletni vmesnik)
Dodatne informacije: https://blog.netlab.360.com/ddos-botnet-moobot-en/

sality

Opis: Sality je polimorfni virus iz leta 2003, ki okuži neustrezno zaščitene Windows sisteme. Virus se je v preteklosti širil prek odstranljivih medijev in omrežnih map in je danes, navkljub omejenemu širjenju, še vedno prisoten na številnih nevzdrževanih sistemih. Virus okuži izvršljive datoteke in vanje vstavi svojo zlonamerno kodo, s čimer napadalcem omogoča oddaljen dostop do sistema, prenos dodatne zlonamerne programske opreme in vključitev sistema v botnet omrežje. Okužba je pogosto povezana z nestabilnim delovanjem sistema in izgubo ali nepooblaščenim dostopom do zasebnih ali internih podatkov.
Priporočeni ukrepi: Odstranitev zlonamernega programa s posodobljeno različico antivirusnega programa. Po odstranitvi svetujemo posodobitev operacijskega sistema z zadnjimi varnostnimi popravki. V primerih, kjer to ni možno, svetujemo izolacijo okuženega sistema znotraj notranjega omrežja.
Dodatne informacije: https://www.pcrisk.com/removal-guides/13321-sality-trojan-virus

necurs

Opis: Necurs je korenski komplet (rootkit), ki okužen Windows sistem poveže v svoje botnet omrežje. Napadalci lahko preko tega omrežja na okužen sistem distribuirajo dodatno zlonamerno programsko opremo, najpogosteje izsiljevalske viruse (ransomware) in bančne trojanske konje za krajo finančnih sredstev. Okužen sistem napadalcem prav tako služi za izvajanje nadaljnjih kriminalnih dejanj, kot so pošiljanje zlonamernih sporočil z žrtvinega računa in sodelovanje v napadih porazdeljenega onemogočanja storitev (DDoS). 
Priporočeni ukrepi: Menjava vseh gesel uporabniških računov, do katerih je dostopal okužen sistem in odstranitev zlonamernega vzorca s posodobljeno različico antivirusnega programa ali ponastavitev operacijskega sistema na tovarniške nastavitve
Dodatne informacije: https://cert.pl/en/posts/2016/09/necurs-hybrid-spam-botnet/