Andromeda corp

33,5% новых угроз для Android выявляется Dr.Web благодаря технологии Origins Tracing

Admin — Sat, 01 Oct 2011 04:37:58 GMT

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — сообщает, что благодаря уникальной технологии Origins Tracing™, используемой в продуктах Dr.Web, в сентябре 2011 года удалось автоматически выявить 33,5% новых угроз для мобильной платформы Android.

Традиционный метод детектирования угроз основывается на принципе создания для каждого вредоносного файла уникальной сигнатуры, по которой он в дальнейшем может быть опознан антивирусной программой. С использованием в продуктах Dr.Web технологии Origins Tracing™ для каждой вредоносной программы создается специальная запись, описывающая алгоритм поведения данного образца, который добавляется в вирусную базу. При этом одной такой записи вполне достаточно для целого семейства вредоносных приложений, за счет чего можно обеспечить оперативное детектирование новых модификаций такого семейства, а также заметно сократить объем вирусных баз.

В сентябре 2011 года в вирусные базы после ручной обработки было добавлено 115 записей новых угроз для платформы Android. Кроме того, в антивирусную лабораторию поступило 58 образцов вредоносных программ, которые на этот момент уже автоматически детектировались антивирусным ПО Dr.Web с использованием Origins Tracing™. Таким образом, количество детектов, полученных с использованием Origins Tracing™, составляет 33,52% от общего числа зафиксированных вредоносных программ, хотя на практике это число может быть значительно большим. Для сравнения: в августе 2011 года общее число угроз для Android, обнаруженных специалистами компании «Доктор Веб», составило 133.

Абсолютным лидером среди выявленных угроз, добавленных в базы после ручной обработки, являются вредоносные программы семейства Android.SmsSend (92 записи), на втором месте с показателем 6 записей расположилось семейство Android.Imlog, далее следуют Android.Ddlight (4 записи), Android.Typnotify (3 записи), а также Android.Geinimi, Android.Flexispy и Android.Backdoor.

Среди вредоносных программ, распознать которые помогла технология Origins Tracing™: 18 модификаций Android.SmsSend, 7 модификаций Android.Gongfu, 5 модификаций Android.Plankton и Android.Spy, 4 Android.DreamExploid и 3 версии Android.Geinimi.

Таким образом, технология Origins Tracing™, разработанная специалистами «Доктор Веб», в очередной раз доказывает свою высокую эффективность на практике. Ее внедрение стало верным шагом на пути к дальнейшему совершенствованию антивирусных продуктов Dr.Web.

Сентябрьские атаки на пользователей «В контакте»

Admin — Sat, 01 Oct 2011 04:36:08 GMT

В начале текущей недели специалистами компании «Доктор Веб» был зафиксирован очередной всплеск активности сетевых мошенников в отношении пользователей социальной сети «В контакте». В первом случае опасности подвергались поклонники популярной среди посетителей данной социальной сети игры «В могиле», во втором случае мошенники задействовали для своих целей ранее взломанные аккаунты.

Судя по всему, злоумышленники тщательно выбирают свои жертвы среди поклонников известной игры «В могиле» — из числа пользователей социальной сети «В контакте» мошенники вычисляют наиболее опытных, «продвинутых» игроков. Им отсылается личное сообщение с предложением воспользоваться «уязвимостью» данного приложения, позволяющей бесплатно получить игровые предметы, которые в реальной игре можно приобрести только за деньги. Для этого жертве предлагается загрузить и установить специальное приложение. Если жертва соглашается воспользоваться столь заманчивым предложением, все дальнейшее общение сетевые мошенники переносят в Skype. Выбор данного средства коммуникации неслучаен: трафик Skype не поддается фильтрации в отличие от других протоколов мгновенного обмена сообщениями, таких как ICQ или Jabber.

В ходе дальнейшего общения злоумышленники предлагают жертве скачать и установить приложение bag_vmogile.exe, под видом которого распространяется троянская программа Trojan.KeyLogger.9754, предназначенная для перехвата нажатий клавиш и отправки на удаленный FTP-сервер украденных таким образом паролей. При попытке открыть данный файл происходит мгновенное заражение компьютера. Специалисты компании «Доктор Веб» предполагают, что распространяющие троянца злоумышленники действуют с территории Украины. В настоящий момент сигнатура данного троянца добавлена в вирусные базы «Доктор Веб».

Кроме того, сетевые мошенники продолжают эксплуатировать широко известный метод фишинга с использованием функции «Документы» социальной сети «В контакте». Ничего не подозревающему пользователю отсылается личное сообщение, включающее ссылку на скачивание документа Word, в котором содержится подробная инструкция по установке специальной программы, якобы позволяющей просматривать число посетителей его странички в социальной сети. Под видом этой программы распространяется троянец BackDoor.Piranha.2, с помощью которого злоумышленники создали несколько успешно действующих в настоящий момент бот-сетей.

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — в очередной раз призывает пользователей проявлять бдительность и не устанавливать подозрительные приложения, присланные незнакомыми отправителями или даже людьми, зарегистрированными в списке друзей, поскольку их учетные записи могут быть взломаны злоумышленниками.

Trojan.Bioskit.1 заражает BIOS компьютера

Admin — Sat, 01 Oct 2011 04:32:17 GMT

В первых числах сентября в руки экспертов вирусной лаборатории компании «Доктор Веб» попал примечательный экземпляр вредоносной программы, получившей название Trojan.Bioskit.1. В целом это стандартный по функционалу троянец, заражающий MBR (загрузочную область диска) и пытающийся скачать что-то из сети. После проведенного специалистами «Доктор Веб» исследования оказалось, что в него также заложены механизмы, позволяющие заразить BIOS материнской платы компьютера.

Чем больше деталей функционирования этой вредоносной программы вскрывалось в процессе исследования, тем больше мы укреплялись во мнении, что это скорее экспериментальная разработка, нежели полноценная вредоносная программа, — либо она «утекла» раньше, чем этого хотелось бы автору. Об этом, в частности, могут свидетельствовать следующие факты:

наличие проверки параметров командной строки (запуск данного экземпляра троянца с ключом -u излечивает систему);
использование сторонних утилит;
отключенный код дезактивации вируса через 50 дней;
присутствие двух разных вариантов заражения системных файлов (из которых используется только один);
ошибки в коде, выглядящие, как описки.

Но все эти обстоятельства нисколько не умаляют потенциальной опасности данного троянца. Сразу оговоримся, что заражению могут подвергнуться только материнские платы, оборудованные BIOS производства компании Award.

Заражение

Первоначально дроппер троянца Trojan.Bioskit.1 проверяет, запущены ли в операционной системе процессы нескольких китайских антивирусов: если таковые обнаруживаются, то троянец создает прозрачное диалоговое окно, из которого осуществляется вызов его главной функции. Затем Trojan.Bioskit.1 определяет версию операционной системы и в случае, если это Windows 2000 и выше (за исключением Windows Vista), продолжает заражение. Троянец проверяет состояние командной строки, из которой он может быть запущен с различными ключами:

-d — данный ключ не функционирует (вероятно, в «релизной сборке» эта функция была удалена);
-w — заразить систему (используется по умолчанию);
-u — вылечить систему (включая MBR и BIOS).

В ресурсах дроппера упаковано несколько файлов:

cbrom.exe
hook.rom
my.sys
flash.dll
bios.sys

В процессе своей работы дроппер распаковывает и сохраняет на жестком диске драйвер %windir%\system32\drivers\bios.sys. В случае если в системе есть устройство \\.\MyDeviceDriver (в исследуемом дроппере драйвера, реализующего такое устройство, нет), троянец сбрасывает на диск библиотеку %windir%\flash.dll и, вероятнее всего, последовательно пытается внедрить ее в системные процессы services.exe, svchost.exe и explorer.exe. Назначение данной библиотеки — запуск драйвера bios.sys штатными средствами (service control manager) с целью создания службы bios. При выгрузке библиотеки эта служба удаляется. В случае отсутствия устройства \\.\MyDeviceDriver троянец инсталлируется в систему путем перезаписывания системного драйвера beep.sys. После запуска beep.sys восстанавливается из предварительно созданной копии. Единственное исключение из этого правила сделано для ОС Microsoft Windows 7: в данной системе дроппер сбрасывает на диск библиотеку %windir%\flash.dll и сам же ее загружает.

Затем дроппер сохраняет в корне диска C: руткит-драйвер my.sys. Если драйвер bios.sys так и не удалось запустить или BIOS компьютера отличается от Award, троянец переходит к заражению MBR. На диск сбрасывается файл %temp%\hook.rom, который является полноценным модулем расширения (PCI Expansion ROM). Но на данном этапе он используется всего лишь как контейнер, из которого извлекаются данные для последующей записи на диск. После этого перезаписываются первые 14 секторов жесткого диска, включая MBR. Оригинальный MBR сохраняется в восьмом секторе.

Драйвер my.sys

По сегодняшним меркам это достаточно примитивный драйвер: он перехватывает у системного драйвера disk.sys обработчики IRP_MJ_READ, IRP_MJ_WRITE и IRP_MJ_DEVICE_CONTROL, при этом:

IRP_MJ_READ возвращает нули вместо первых 63 секторов винчестера;
IRP_MJ_WRITE не позволяет осуществлять запись в первые 63 сектора. При этом вирус пытается разрешить своему дропперу перезаписать MBR и прочие секторы, но из-за явной ошибки в коде уловка не срабатывает. Таким образом, автор троянца разрешает перезаписывать 0x14 (20) секторов, а дроппер пишет только 0xE (14);
IRP_MJ_DEVICE_CONTROL возвращает STATUS_UNSUCCESSFUL в ответ на запросы IOCTL_DISK_GET_DRIVE_LAYOUT_EX, IOCTL_STORAGE_GET_MEDIA_TYPES_EX и IOCTL_DISK_GET_DRIVE_GEOMETRY_EX.

Заражение BIOS

Но вернемся к случаю, когда драйверу bios.sys удается опознать Award BIOS. Надо сказать, что именно наличие этого драйвера выделяет данную вредоносную программу из большого списка подобных троянцев, заражающих MBR.

Упомянутый драйвер очень мал и обладает пугающим деструктивным потенциалом. В нем реализовано три метода:

Опознать Award BIOS (попутно определить размер его образа и, самое главное, I/O порта, через который можно программно заставить сгенерировать SMI (System Management Interrupt) и таким образом исполнить код в режиме SMM);
Сохранить образ BIOS на диск в файл С:\bios.bin;
Записать образ BIOS из файла С:\bios.bin.

Получить доступ и тем более перезаписать микросхему с BIOS — задача нетривиальная. Для этого сначала необходимо организовать взаимодействие с чипсетом материнской платы для разрешения доступа к чипу, затем нужно опознать сам чип и применить знакомый для него протокол стирания/записи данных. Но автор этой вредоносной программы пошел более легким путем, переложив все эти задачи на сам BIOS. Он воспользовался результатами работы китайского исследователя, известного под ником Icelord. Работа была проделана еще в 2007 году: тогда при анализе утилиты Winflash для Award BIOS был обнаружен простой способ перепрошивки микросхемы через сервис, предоставляемый самим BIOS в SMM (System Management Mode). Программный код SMM в SMRAM не виден операционной системе (если BIOS корректно написан, то доступ к этой памяти им заблокирован) и исполняется независимо от нее. Назначение данного кода весьма разнообразно: это эмуляция не реализованных аппаратно возможностей материнской платы, обработка аппаратных ошибок, управление режимами питания, сервисные функции и т.д.

Для модификации самого образа BIOS данная вредоносная программа использует утилиту cbrom.exe (от Phoenix Technologies), которую, как и все прочие файлы, несет у себя в ресурсах. При помощи этой утилиты троянец внедряет в образ свой модуль hook.rom в качестве ISA BIOS ROM. Затем Trojan.Bioskit.1 отдает своему драйверу команду перепрошить BIOS из обновленного файла.

При следующей перезагрузке компьютера в процессе инициализации BIOS будет вызывать все имеющиеся PCI Expansion ROM, в том числе и hook.rom. Вредоносный код из этого модуля каждый раз проверяет зараженность MBR и перезаражает ее в случае необходимости. Следует отметить, что наличие в системе Award BIOS вовсе не гарантирует заражение данным троянцем. Так, из трех проверенных в вирусной лаборатории материнских плат заразить удалось только одну, а в двух других в памяти BIOS банально не хватило места для записи нового модуля.

Заражение MBR

Троянец размещает в MBR код, основная задача которого — инфицировать файлы winlogon.exe (в операционных системах Windows 2000 и Windows XP) или wininit.exe (Windows 7). Для решения этой задачи Trojan.Bioskit.1 располагает собственным парсером NTFS/FAT32. Троянец ведет счетчик запусков, который обновляется раз в день. Через 50 дней предполагается дезактивация зараженного модуля: он будет изменен таким образом, что вирусный код перестанет получать управление. Но в данной версии троянца этот механизм отключен. Всего Trojan.Bioskit.1 включает две версии шелл-кода, из которых в настоящий момент активна только одна.

Заключение

Трудно недооценивать опасность подобного рода угроз, особенно с учетом того, что в будущем возможно появление более совершенных модификаций данной троянской программы либо вирусов, действующих по схожему алгоритму. В настоящий момент в антивирусное ПО Dr.Web добавлено детектирование и лечение MBR, системных файлов и файловых компонентов вируса. В случае если после детектирования и лечения данной угрозы система вновь оказывается инфицированной Trojan.Bioskit.1, источником заражения, скорее всего, является инфицированный BIOS компьютера. Специалисты компании «Доктор Веб» продолжают работать над проблемой.a

Бот-нет BackDoor.IRC.NgrBot вышел из тени

Admin — Sun, 11 Sep 2011 16:02:09 GMT

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — сообщает о новых случаях заражения пользовательских компьютеров вредоносной программой BackDoor.IRC.NgrBot, с использованием которой злоумышленники создали крупную бот-сеть.

Один из способов распространения троянца — модули флеш-памяти. При подключении «флешки» к USB-порту BackDoor.IRC.NgrBot копируется под случайным именем в папку %RECYCLER% и создает файл автозапуска autorun.inf. Оказавшись на незараженной машине, троянец скрывает системные папки в корне жесткого диска и создает вместо них ярлыки, при открытии которых запускается вредоносная программа. Затем BackDoor.IRC.NgrBot сохраняет себя под случайным именем в системную папку %APPDATA%, прописывается в ветке реестра, отвечающей за автозагрузку приложений, и запускается на выполнение. Вслед за этим BackDoor.IRC.NgrBot встраивается в процесс explorer.exe и все запущенные процессы, кроме skype.exe и lsass.exe, после чего исходный файл удаляется из места, откуда он был первоначально загружен. После запуска троянец проверяет свою целостность: если она нарушена, вредоносная программа стирает загрузочный сектор жесткого диска, а также несколько расположенных ниже секторов и демонстрирует на экране сообщение:

«This binary is invalid.
Main reasons:
- you stupid cracker
- you stupid cracker...
- you stupid cracker?!»

Затем троянец пытается получить привилегии для перезапуска системы.

Если заражение произошло, BackDoor.IRC.NgrBot авторизуется на управляющем IRC-сервере, отсылает об этом отчет и начинает получать различные директивы, среди которых могут быть команды обновления бота, переключения на другой канал IRC, удаления бота, передачи статистики, начала DDoS-атаки, включения редиректа — всего предусмотрено несколько десятков команд. Одной из особенностей данной бот-сети является регулярное криптование ботов, которые закачиваются на инфицированные компьютеры в процессе очередного цикла обновления. Таким образом вирусописатели пытаются затруднить детектирование угрозы антивирусным ПО.

Помимо этого, BackDoor.IRC.NgrBot позволяет злоумышленникам реализовывать следующие функции:

управление такими программами, как ipconfig.exe, verclsid.exe, regedit.exe, rundll32.exe, cmd.exe, regsvr32.exe;
блокировка доступа к сайтам компаний-производителей антивирусного ПО и ресурсам, посвященным информационной безопасности;
перехват и отправка злоумышленникам данных учетных записей при посещении пользователем различных сайтов (включая PayPal, YouTube, Facebook, AOL, Gmail, Twitter и др.);
перехват и передача злоумышленникам сообщений, отправленных пользователем на сайтах Facebook, Twitter, В Контакте и т.д.;
перенаправление пользователя на различные фишинговые сайты.

Каждый из составляющих сеть ботов генерирует собственное имя исходя из версии установленной на инфицированном компьютере операционной системы, ее локализации, прав, с которыми запущен троянец, а также иных данных. Согласно имеющейся в распоряжении специалистов компании «Доктор Веб» информации, только 2 сентября 2011 года ботами построенной на базе BackDoor.IRC.NgrBot сети было выполнено 60806 редиректов пользователей на фишинговые сайты, имитирующие оформление банковских систем www.davivienda.com и colpatria.com.

Таким образом, можно сделать косвенные выводы о численности ботов, составляющих сеть BackDoor.IRC.NgrBot. Данная бот-сеть действует и в настоящий момент: специалистами компании «Доктор Веб» осуществляется непрерывный мониторинг ее активности. Троянец BackDoor.IRC.NgrBot в различных модификациях включен в вирусные базы Dr.Web. В целях профилактики мы еще раз напоминаем пользователям о необходимости регулярного сканирования дисков их компьютеров обновленным антивирусным ПО.

«Доктор Веб»: облава на подпольные сайты

Admin — Sun, 11 Sep 2011 16:00:53 GMT

В первых числах сентября 2011 года сотрудники компании «Доктор Веб» — ведущего российского разработчика средств информационной безопасности — провели специальное исследование для выявления интернет-ресурсов сомнительного содержания. Всего в результате этого в базы Родительского контроля Dr.Web было добавлено более 200 адресов веб-сайтов, содержащих материалы порнографического характера либо реализующих различные схемы подпольного бизнеса.

Вскоре после выявления многочисленных случаев взлома веб-сайтов, расположенных в российском сегменте Интернета, в распоряжении аналитиков компании «Доктор Веб» оказался список доменов, на которые осуществлялось перенаправление пользователей с подвергшихся компрометации ресурсов. Проанализировав эту информацию, специалисты компании выяснили, что на каждом из IP-адресов таких узлов, как правило, размещается еще несколько сайтов, многие из которых содержат различный сомнительный контент — поддельные службы файлового обмена, а также сайты, предлагающие на платной основе различные услуги, например, гадания, хиромантию, подбор диет, составление родословных, поиск угнанных автомобилей и даже лечение от прыщей. Встречались среди них и откровенно порнографические ресурсы. Множество подобных веб-сайтов содержало ссылки на другие узлы, для которых также составлялся список соседствующих с ними на одном хосте сайтов. Все полученные ссылки проверялись вручную. Таким образом была выявлена целая сеть, состоящая из сайтов сомнительного содержания. Один из фрагментов такой сети показан на предложенной ниже иллюстрации.

Большинство выявленных IP-адресов принадлежали провайдерам из Великобритании, Нидерландов, Виргинских островов, Гибралтара, и лишь незначительная их часть располагалась на территории Российской Федерации. Обнаруженные в ходе проверки адреса были добавлены в списки Родительского контроля Dr.Web. Есть основания предполагать, что число подобных сомнительных ресурсов сильно недооценено: только на одном хосте может располагаться более полусотни фальшивых файлообменников или иных сайтов схожей тематики.

Компания «Доктор Веб» отмечает, что работа по выявлению и блокировке сайтов сомнительного содержания будет продолжена и в дальнейшем.

Обзор вирусной активности — август 2011

Admin — Sun, 11 Sep 2011 15:58:44 GMT

Август в цифрах

В течение месяца на компьютерах пользователей продуктов «Лаборатории Касперского»:

отражено 193 989 043 сетевых атак;
заблокировано 64 742 608 попыток заражения через Web;
обнаружено и обезврежено 258 090 156 вредоносных программ (попытки локального заражения);
отмечено 80 155 498 срабатываний эвристических вердиктов.

Для индустрии информационной безопасности август традиционно является одним из самых горячих месяцев, несмотря на период летних отпусков. В августе в США проходят две наиболее значительные конференции в области безопасности: BlackHat и Defcon. Именно эти конференции являются популярной трибуной для оглашения результатов наиболее серьезных исследований и, фактически, не только подводят итоги предыдущего года, но и задают новые горизонты на ближайшее будущее. В рамках конференций постоянно раскрываются новые способы проведения атак, различных технологий взломов, и некоторые из них, увы, впоследствии реализуются и во вредоносных программах. Кроме того, тот самый период летних отпусков создает дополнительные проблемы и для частных пользователей, и для организаций: на отдыхе люди чаще пользуются доступом к Сети в интернет-кафе, бесплатных Wi-Fi-точках, в аэропортах и т.д. — в общем, находятся за пределами своего обычного периметра безопасности и могут стать жертвами злоумышленников.

Новые программы и технологии злоумышленников

Что же нового появилось на «той стороне» линии фронта в августе? Какие новые вредоносные программы и технологии злоумышленники использовали в прошедшем месяце?

Ice IX — внебрачный сын Зевса

Троянец ZeuS (Trojan-Spy.Win32.Zbot) уже несколько лет является наиболее распространенной угрозой для пользователей онлайн-банкинга. По числу инцидентов с его участием и нанесенному им ущербу он действительно может считаться у киберпреступников громовержцем. Вокруг Зевса выросла целая отрасль кибериндустрии, в основном русскоязычной. Десятки группировок используют его или результаты его деятельности в своей преступной работе.

В прошлом году появилась информация о том, что создатель Зевса продал всю разработку другому вирусописателю, автору троянца SpyEye, и вместо двух конкурирующих проектов должен был появиться один, объединяющий в себе лучшие технологии предыдущих. И действительно, новые версии SpyEye сейчас обнаруживаются регулярно и являются преемниками старика Зевса.

Но практически одновременно с этим «слиянием» произошла утечка исходных кодов Зевса, которые стали доступны всем желающим. Учитывая, что создатель SpyEye продает свои поделки на киберпреступном рынке за несколько тысяч долларов, очевидно, что появятся желающие не платить ему, а создать собственный клон, основанный на тех же самых исходных кодах.

В августе один из таких клонов получил достаточно широкое распространение и привлек внимание исследователей. Стоит подчеркнуть, что появился он гораздо раньше, весной этого года, но популярность среди киберпреступников приобрел летом. Новая разновидность имеет авторское название Ice IX и продается за 600-1800 долларов США. Как и в истории самого Зевса и SpyEye, здесь мы также имеем дело с работой русскоязычных киберпреступников. Одним из наиболее серьезных новшеств в Ice IX стал измененный веб-модуль управления ботнетом, позволяющий киберпреступникам использовать «легальные» хостинговые площадки вместо использования абузоустойчивых серверов, обслуживаемых злоумышленниками. Это изменение позволяет операторам Ice IX избежать значительных расходов на абузоустойчивый хостинг.

Заимствование, да что там, скажем прямо, кража чужого кода, является обычной практикой в среде киберпреступников. Появление Ice IX, который не только вступает в конкуренцию по функционалу со SpyEye, но и значительно снижает цены на подобных троянцев, в ближайшей перспективе приведет к появлению новых «внебрачных сыновей» Зевса и еще большему числу атак на пользователей систем онлайн-банкинга.

Bitcoin и вредоносные программы

Этим летом система электронных денег Bitcoin оказалась в центре внимания и пользователей, и преступников. Система генерации «монет», основанная на использовании вычислительных мощностей компьютеров, стала еще одним способом для нелегального заработка, причем способ этот отличается сверханонимностью. Количество генерируемых «монет» зависит от мощности вашего компьютера. Чем больше компьютеров, к которым вы имеете доступ, тем больше ваш потенциальный заработок. Достаточно быстро пройдя стадию атак на владельцев биткойн-кошельков с целью их кражи, киберпреступники переключились на уже традиционное для них использование ботнетов.

Еще в июне мы обнаружили первый троянец Trojan.NSIS.Miner.a, который скрытно от пользователя зараженного компьютера генерировал биткойны. Этот инцидент стал началом нашего сотрудничества с рядом крупных биткойн-пулов (серверов, которые хранят информацию об участниках сети и их аккаунтах), что позволило нам пресечь работу ряда аналогичных ботнетов. Начало противостояния между антивирусной индустрией и преступниками в этой новой области привело к тому, что стали появляться все новые изощренные виды биткойн-ботнетов.

В августе новые технологиикиберпреступников были связаны с Twitter, P2P-сетями и прокси.

Что касается Twitter, то суть технологии заключается в следующем: бот обращается к аккаунту в социальной сети Twitter, откуда получает команды, оставленные там владельцем ботнета: откуда загрузить программу для генерации и с каким биткойн-пулом работать. Использование Twitter в качестве центра управления ботнетом не ново, однако применительно к биткойн это было использовано впервые.

P2P-ботнеты также не являются чем-то принципиально новым, но P2P-ботнет Trojan.Win32.Miner.h, обнаруженный нашими экспертами в августе, насчитывает, по самым скромным оценкам, почти 40 тысяч публичных IP-адресов. Учитывая, что сейчас большинство машин находится за файерволами или шлюзами, реальное количество зараженных машин может быть на порядки выше. Бот устанавливает в систему сразу три генератора («майнера») Bitcoin: Ufasoft miner, RCP miner и Phoenix miner.

Две описанных выше технологии облегчают злоумышленникам поддержку работоспособности ботнета и используются как меры противодействия антивирусным компаниям, которые в случае использования единственного центра управления ботнетом могут заблокировать его работу.

Угрозе подвергаются и сами аккаунты злоумышленников в биткойн-пулах, которые могут быть удалены владельцами серверов, активно борющихся с незаконными «генераторами». И вот в августе нами было обнаружено, что один из крупнейших ботнетов также не только задействовал свои мощности для генерации биткойнов, но и начал использовать схему сокрытия реальных аккаунтов. Для этого владельцы ботнета создали специальный прокси-сервер, с которым взаимодействуют зараженные компьютеры, после чего их запросы дальше передаются на неизвестный биткойн-пул. Узнать путем анализа кода ботов, с каким именно пулом работает ботнет, и тем самым заблокировать мошеннические аккаунты, не представляется возможным. Единственный способ пресечения преступной деятельности в этой ситуации — это получение полного доступа к прокси-серверу.

Всего же по состоянию на конец августа нами обнаружено 35 различных вредоносных программ, так или иначе нацеленных на работу с системой Bitcoin.

Червь удаленного доступа

Довольно интересным оказался сетевой червь Morto, чье активное распространение началось в двадцатых числах августа. В отличие от множества своих предшественников, наиболее заметных в последние годы, он не использует уязвимости для своего размножения. Кроме того, он распространяется через службу Windows RDP, чего раньше никогда не встречалось. Эта служба используется для предоставления удаленного доступа к рабочему столу Windows. Функционал червя базируется на попытках подбора пароля на доступ. По самым предварительным оценкам, в настоящее время данным червем могут быть заражены несколько десятков тысяч компьютеров по всему миру. Главную опасность представляет то, что злоумышленники имеют возможность удаленно управлять зараженными машинами, поскольку червь содержит ботнет-функционал и взаимодействует с несколькими серверами управления. При этом основное предназначение ботнета — проведение DDoS-атак.

Атаки на индивидуальных пользователей: мобильные угрозы

Чуть больше года назад (в самом начале августа 2010) была обнаружена первая вредоносная программа для операционной системы Android: SMS-троянец FakePlayer. С момента появления этого зловреда ситуация в мире вредоносных программ и для мобильных угроз в целом, и для Android в частности, достаточно сильно изменилась. Менее чем за год число вредоносных программ для Android обогнало число вредоносных программ для Symbian (первый зловред для ОС Symbian появился в 2004 году). На сегодняшний день зловреды под Android составляют порядка 24% от общего числа обнаруженных вредоносных программ для мобильных платформ. С момента появления FakePlayer мы обнаружили 628 модификации различных вредоносных программ для Android.

Распределение мобильных вредоносных программ по платформам

Если же брать общее число зловредов для смартфонов (т.е. без J2ME), обнаруженных с 01.08.2010 по 31.08.2011, то 85% приходятся на Android.

Сегодня 99% всех обнаруживаемых нами зловредов для мобильных платформ составляют вредоносные программы, которые так или иначе преследуют одну цель — получение нелегального дохода прямым или косвенным путем. В августе среди множества таких вредоносных программ особенно ярко выделился троянец Nickspy, яркой чертой которого является способность записывать все разговоры владельца зараженного устройства в звуковые файлы и загружать эти файлы на удаленный сервер злоумышленника. А одна из последних модификаций данного троянца, маскирующаяся под приложение социальной сети Google+, способна скрыто принимать входящие вызовы с телефонного номера злоумышленников, записанного в конфигурационном файле вредоносной программы. Когда зараженный телефон без ведома хозяина принимает такой вызов, у злоумышленников появляется возможность слышать все, что происходит вблизи зараженного устройства — в том числе разговоры его хозяина. Помимо этого, троянцу «интересны» сообщения, информация о вызовах, а также GPS-координаты. Все эти данные также отправляются на удаленный сервер злоумышленника.

«Некоммерциализированные» вредоносные программы для мобильных устройств сегодня встречаются все реже, однако иногда среди них попадаются весьма любопытные экземпляры. В августе был обнаружен троянец Dogwar, который, судя по всему, был создан людьми, симпатизирующими организации PETA и защите прав животных. Взяв бета-версию игры Dog Wars, злоумышленник, заменив в иконке программы слово BETA на PETA, вставил туда вредоносный код, который:

рассылает всем пользователям из контакт-листа зараженного устройства SMS-сообщение с текстом ‘I take pleasure in hurting small animals, just thought you should know that’ («Я получаю удовольствие, причиняя боль маленьким животным, просто подумал, что тебе нужно это знать»).
отправляет одно SMS-сообщение на короткий номер 73822 с текстом ‘text’. Этот номер работает в США и используется PETA для того, чтобы пользователи могли подписаться на SMS-рассылки от этой организации.

Атаки на сети корпораций и крупных организаций

Корпоративный шпионаж и разведывательная деятельность, ведущаяся в Сети разными странами мира, постепенно входят в число наиболее широко освещаемых проблем информационной безопасности, вытесняя в этом смысле традиционную киберпреступность. Однако из-за новизны темы и ее относительной закрытости для широкой публики при ее освещении часто появляется нежелательный налет сенсационности.

В августе IT-сообщество было взбудоражено сообщением компании McAfee (год назад купленной корпорацией Intel) о том, что ими зафиксирована чуть ли не крупнейшая кибератака в истории, длившаяся более пяти лет и охватившая множество организаций в разных странах: от военных подрядчиков министерства обороны США до спортивного комитета Вьетнама. Атака получила название Shady Rat. Все бы хорошо, но публикация этой информации удивительным образом не только совпала с открытием конференции BlackHat в Лас-Вегасе, но еще и была подкреплена специальной статьей в журнале Vanity Fair. Согласитесь, эксклюзивный материал об угрозе национальной безопасности в модном журнале – это необычный для индустрии безопасности путь информировать общественность о недавно обнаруженных проблемах.

При ближайшем рассмотрении оказалось, что, во-первых, «обнаруженный исследователями» сервер злоумышленников был уже несколько месяцев известен аналитикам из многих других антивирусных компаний. Во-вторых, на момент публикации сервер продолжал функционировать, при этом содержал практически всю информацию, на основе которой McAfee подготовила отчет, в публичном доступе. В-третьих, шпионские программы, при помощи которых якобы осуществлялась самая сложная и массовая атака в истории, уже многие годы детектировались многими антивирусами простыми эвристическими методами. Кроме перечисленных пунктов были и другие, также вызывавшие вопросы. Эти вопросы были публично заданы, в том числе и экспертами «Лаборатории Касперского».

Наше исследование позволяет утверждать, что Shady Rat не является ни самой долгой, ни самой крупной, ни самой изощренной атакой в истории. Более того, мы считаем недопустимой публикацию информации о любых атаках без описания всех используемых компонентов и технологий, поскольку такие ограниченные публикации не дают возможности специалистам принять соответствующие меры по защите своих ресурсов.

Еще более ответственно следует подходить к вопросу публикации информации, когда это касается так называемых APT (Advanced Persistent Threat), в последнее время ставших у экспертов по IT-безопасности, и в СМИ столь же любимым словом, как и«кибервойны», «кибероружие». Однако в этот термин все вкладывают разный смысл. Впрочем, вопрос терминологии имеет второстепенное значение, если речь на самом деле идет о случаях корпоративного шпионажа или действиях спецслужб. В таких случаях гораздо важнее то, что излишнее внимание к теме и преждевременная публикация информации может сорвать расследование и нанести еще больший ущерб жертвам атак.

Громкие взломы месяца

Август оказался богат на действительно громкие взломы. Атаки на компании и государственные структуры идут по всему миру и, в отличие от атак-«невидимок», в этом году многие из инцидентов были вызваны действиями публичных хакерских групп, таких как AntiSec/Anonimous. Все чаще атаки используются и как средство политической борьбы. Все эти случаи получают широкое оглашение в прессе, а именно к этому и стремятся «хактивисты». Так что на фоне событий этого года особого удивления августовские взломы не вызвали.

За отчетный период жертвами «хактивистов» стала итальянская киберполиция, ряд сотрудничающих с правоохранительными органами компаний в США, а также военный подрядчик Vanguard, занимающийся системами коммуникации по заказу американского министерства обороны. Эти атаки стали местью хакеров за аресты ряда членов их группировок. В публичный доступ попали гигабайты приватной информации, причем в ситуации с итальянской киберполицией были обнародованы документы, вероятней всего изначально принадлежавшие индийскому посольству в России.

Позднее в США хакеры атаковали серверы транспортной системы Сан-Франциско и украли персональные данные 2 тысяч пассажиров, которые затем были опубликованы. Среди политических взломов стоит отметить дефейсы правительственных сайтов в Сирии и Ливии, произошедшие на фоне продолжающихся гражданских столкновений в этих странах.

Рейтинги августа

TOP 10 зловредов в интернете

1	Blocked	45643803	72,76%
2	Trojan.Script.Iframer	1677006	2,67%
3	Trojan.Script.Generic	1230615	1,96%
4	Trojan.Win32.Generic	758315	1,21%
5	Exploit.Script.Generic	671473	1,09%
6	AdWare.Win32.Shopper.ee	462860	1,07%
7	Trojan-Downloader.Script.Generic	459647	0,74%
8	Trojan.JS.Popupper.aw	431959	0,73%
9	AdWare.Win32.Eorezo.heur	430763	0,69%
10	WebToolbar.Win32.MyWebSearch.gen	270739	0,69%

TOP 10 стран, на ресурсах которых размещены вредоносные программы

1	США	26,31%
2	Россия	16,48%
3	Германия	9,12%
4	Нидерланды	7,40%
5	Великобритания	6,09%
6	Украина	5,27%
7	Китай	3,98%
8	Британские Виргинские острова	3,07%
9	Румыния	1,97%
10	Франция	1,94%

TOP 10 вредоносных хостингов

1	ak.imgfarm.com	10,17%
2	ru-download.in	8,64%
3	literedirect.com	7,84%
4	72.51.44.90	7,01%
5	go-download.in	6,86%
6	h1.ripway.com	4,75%
7	updateversionnew.info	4,68%
8	lxtraffic.com	4,36%
9	ak.exe.imgfarm.com	4,18%
10	dl1.mobimoba.ru	3,62%

TOP 10 вредоносных доменных зон

1	com	30618963
2	ru	10474116
3	net	3465349
4	in	2466494
5	info	2052925
6	org	1982282
7	tv	827236
8	cc	819225
9	cz.cc	463536
10	tk	329739

10 стран, где пользователи подвергаются наибольшему риску заражения через интернет

1	Россия	35,82%
2	Оман	32,67%
3	Армения	31,16%
4	Беларусь	31,05%
5	Ирак	30,37%
6	Азербайджан	29,97%
7	Казахстан	28,31%
8	Украина	27,57%
9	Республика Корея	27,23%
10	Судан	26,01%

TOP 10 стран по уровню детектирования FakeAV

1	США	29,26%
2	Россия федерации	9,60%
3	Индия	6,31%
4	Германия	3,95%
5	Великобритания	3,90%
6	Вьетнам	3,75%
7	Испания	2,88%
8	Канада	2,81%
9	Мексика	2,47%
10	Украина	2,21%

Развитие информационных угроз во втором квартале 2011 года (часть 2)

Admin — Sun, 21 Aug 2011 03:14:36 GMT

По сравнению с первым кварталом 2011 года состав группы повышенного риска изменился — из нее вышел Казахстан (-1%) и вошли Судан (+4,5%) и Саудовская Аравия (+2,6%).

Особо отметим, что к показателям группы повышенного риска, приблизились США с 40,2%. Это связано с увеличением количества фальшивых антивирусов, о которых мы рассказывали в первой части отчета. Увеличение общего числа детектируемых фальшивых антивирусов обусловлено в первую очередь ростом количества детектов именно в США. Киберпреступники в этой стране стараются активно заражать компьютеры с помощью ботов TDSS и Gbot. Сайты, с которых ведется распространение этих программ, в этом регионе находятся на втором и шестом местах по частоте попыток загрузки вредоносных программ.

В группу риска во втором квартале 2011 года вошло на 8 стран больше, чем в первом

В группе самых безопасных при веб-серфинге стран стало на 5 стран меньше. В частности, Финляндия (22,1%), переместилась оттуда в группу риска.

Меньше всего процент пользователей, атакованных при просмотре страниц в интернете, в Японии (13%), на Тайване(13,7%), в Чехии (16,1%), Дании (16,2%), Люксембурге (16,9%), Словении (17,8%) и Словакии (18,3%).

Локальные угрозы

Все статистические данные в этой главе получены на основе работы on-access-scanner.

Детектируемые объекты, обнаруженные на компьютерах пользователей

Во втором квартале 2011 года наши антивирусные решения успешно заблокировали 413 694 165 попыток локального заражения на компьютерах пользователей, участвующих в Kaspersky Security Network.

Всего в данных инцидентах было зафиксировано 462 754 разных вредоносных и потенциально нежелательных программ. В их число попадают, в частности, объекты, которые проникли на компьютеры не через Web, почту или сетевые порты — например, по локальной сети или через съемные накопители.

Как мы видим, уникальных объектов на три порядка меньше, чем попыток заражения. Это говорит о том, что разработка опасных вредоносных программ сосредоточена в руках небольшого круга лиц.

TOP 20 детектируемыхе объектов, обнаруженных на компьютерах пользователей

№	Название*	% уникальных пользователей**
1	DangerousObject.Multi.Generic	35,93%
2	Trojan.Win32.Generic	23,02%
3	Net-Worm.Win32.Kido.ir	13,48%
4	Virus.Win32.Sality.aa	5,92%
5	AdWare.Win32.FunWeb.kd	4,99%
6	Net-Worm.Win32.Kido.ih	4,57%
7	Virus.Win32.Sality.bh	4,44%
8	Trojan.Win32.Starter.yy	4,43%
9	Hoax.Win32.ArchSMS.heur	3,91%
10	Worm.Win32.Generic	3,65%
11	Trojan-Downloader.Win32.Geral.cnh	2,62%
12	Virus.Win32.Sality.ag	2,45%
13	HackTool.Win32.Kiser.zv	2,29%
14	Hoax.Win32.ArchSMS.pxm	2,22%
15	HackTool.Win32.Kiser.il	2,19%
16	Worm.Win32.FlyStudio.cu	2,09%
17	Trojan.JS.Agent.bhr	2,03%
18	Virus.Win32.Nimnul.a	2,02%
19	Hoax.Win32.Screensaver.b	1,95%
20	Trojan-Downloader.Win32.VB.eql	1,81%

* Детектирующие вердикты модуля антивируса. Информация предоставлена пользователями продуктов ЛК, подтвердившими свое согласие на передачу статистических данных.
** Процент уникальных пользователей, на компьютерах которых антивирус детектировал данный объект, от числа всех уникальных пользователей продуктов ЛК, у которых происходило срабатывание антивируса.

Первое место в рейтинге занимают различные вредоносные программы, обнаруженные с помощью «облачных» технологий. Эти технологии работают, когда в антивирусных базах еще нет ни сигнатуры, ни эвристики для детектирования вредоносной программы, зато у антивирусной компании «в облаке» уже есть информация об объекте. В этом случае детектируемому объекту присваивается имя DangerousObject.Multi.Generic.

10 программ из TOP 20 либо имеют механизм самораспространения, либо используются как одна из составляющих в схеме распространения червей.

В этом квартале мы увидели резкое увеличение заражений новым зловредом — Virus.Win32.Nimnul.a. Эта вредоносная программа распространяется двумя путями: с помощью заражения исполняемых файлов и через сменные носители информации с использованием функции автозапуска. Основной регион распространения — азиатские страны, такие как Индонезия (20,7%), Индия (20%), Вьетнам (16,6%), где операционные системы обновляются редко, и защитное ПО установлено далеко не на каждом компьютере. Основной нагрузкой зловреда является доставка на компьютер бэкдора Backdoor.Win32.IRCNite.yb, который подключается к удаленному серверу и включает компьютер-жертву в зомби-сеть.

В двадцатке присутствуют лишь два семейства инфицирующих зловредов: Sality и Nimnul. Разработка данного вида вредоносных программ требует серьезных временных затрат и отличных знаний работы ОС, формата файлов и т.д. При этом их распространение в большинстве случаев очень быстро привлекает к себе внимание антивирусных компаний. Использование инфекторов стало прерогативой лишь некоторых вирусописателей или преступных групп, и в ближайшем будущем количество инфицирующих зловредов может еще сократиться. Вероятнее всего, использование сложных инфекторов мы увидим в целевых атаках, где важно 100% поражение цели, а заказчики атак готовы потратиться на технологически сложные вредоносные программы.

Страны, в которых компьютеры пользователей подвергались наибольшему риску локального заражения

Мы посчитали процент пользователей KSN, на компьютерах которых были заблокированы попытки локального заражения, для каждой страны с числом пользователей больше 10 000. Полученные цифры отражают, насколько в среднем заражены компьютеры в той или иной стране мира.

TOP 10 стран по уровню зараженности компьютеров

Место	Страна*	% уникальных пользователей**
1	Бангладеш	63,60%
2	Судан	61,00%
3	Ирак	55,50%
4	Непал	55,00%
5	Ангола	54,40%
6	Танзания	52,60%
7	Афганистан	52,10%
8	Индия	51,70%
9	Руанда	51,60%
10	Монголия	51,10%

* При расчетах мы исключили страны, в которых число пользователей ЛК относительно мало (меньше 10 тысяч).
** Процент уникальных пользователей, на компьютерах которых были заблокированы локальные угрозы, от числа всех уникальных пользователей продуктов ЛК в стране.

По сравнению с первым кварталом 2011 года в десятке стран, где пользовательские компьютеры подвергались наибольшему риску локального заражения, произошло одно интересное изменение: туда вошла Индия, где за прошедшие три месяца компьютер каждого второго пользователя хотя бы раз подвергался риску локального заражения. Привлекательность Индии для киберпреступников растет уже не первый год вместе с ростом числа компьютеров в этой стране. Этому способствует и общая невысокая компьютерная грамотность населения страны, и большое количество используемого пиратского ПО, которое не получает обновлений. Если говорить о характере зловредов, пытающихся проникнуть на компьютеры индийских пользователей, то большая их часть направлена на строительство ботнетов. Здесь мы видим множество самораспространяющихся зловредов, таких как Virus.Win32.Sality, Virus.Win32.Nimnul, IM-Worm.Win32.Sohanad. Также стоит отметить различные модификации autorun-червей и троянцев. Как известно, в первом квартале Microsoft выпустила патч, блокирующий автозапуск на сменных носителях. Но патч автоматически устанавливается только на обновляющихся системах, которых в Индии не так много. Очевидно, что для бот-мастеров Индия — это плацдарм из миллионов незащищенных необновляющихся машин, которые долгое время могут быть активны в зомби-сети.

В случае с локальными заражениями мы можем сгруппировать все страны по уровню зараженности:

Максимальный уровень заражения. В эту группу с показателем более 60% вошли Бангладеш (63,6%) и Судан (61%).
Высокий уровень заражения. В эту группу с результатом 41-60% вошли 36 стран, в том числе Индия (51,7%), Индонезия (48,4%), Казахстан (43,8%), Россия (42,2%).
Средний уровень заражения. С показателем 21-40% в эту группу попали 58 стран, в том числе Украина (38,4%), Филиппины (37,1%), Таиланд (35,7%), Китай (35,3%), Турция (32,9%), Эквадор (31,1%), Бразилия (30%) и Аргентина (27,3%),
Наименьший уровень заражения: 34 страны мира.

Риск локального заражения компьютеров в разных странах

В целом за квартал количество стран с высоким уровнем заражения уменьшилось на 12; стран со средним уровнем стало на 2 больше, а число стран с наименьшим уровнем заражения увеличилось на 10.

В группу наименьшего уровня заражения перешли несколько европейских стран: Греция (19,9%), Испания (19,4%), Италия (19,3%), Португалия (18,6%), Словакия (18,2%), Польша (18,1%), Словения (17,2%) и Франция (14,7%). Количество попыток заражения в этих странах снижается. В первую очередь это связано с серьезным уменьшением числа инцидентов с autorun-червями вследствие обновления ОС Windows, которая распространена более всего. Заметим, что Словакия и Словения также попали в группу наиболее безопасных стран при серфинге в интернете.

В пятерку стран, самых безопасных по уровню локального заражения, вошли:

Место	Страна	% уникальных пользователей
1	Япония	8,20%
2	Германия	9,40%
3	Дания	9,70%
4	Люксембург	10%
5	Швейцария	10,30%

Уязвимости

Во втором квартале 2011 года на компьютерах пользователей было обнаружено 27 289 171 уязвимых приложений и файлов. В среднем на каждом уязвимом компьютере мы обнаруживали порядка 12 различных уязвимостей.

TOP 10 уязвимостей, обнаруженных на компьютерах пользователей, представлена в таблице ниже.

№	Secunia ID уникальный идентификатор уязвимости	Название и ссылка на описание уязвимости	Возможности, которые дает использование уязвимости злоумышленникам	Процент пользо- вателей, у которых была обнаружена уязвимость	Дата публи- кации	Уро- вень опас- ности уязви- мости
1	SA 41340	Adobe Reader / Acrobat SING "uniqueName" Buffer Overflow Vulnerability	Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя	40,78%	08.09.2010	Extremely Critical
2	SA 43262	Sun Java JDK / JRE / SDK Multiple Vulnerabilities	"Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя Раскрытие конфиденциальных данных Манипуляции с данными DoS (Denial of Service) "	31,32%	09.02.2011	Highly Critical
3	SA 44119	Adobe Flash Player SharedObject Type Confusion Vulnerability	Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя	24,23%	12.04.2011	Extremely Critical
4	SA 44590	Adobe Flash Player Multiple Vulnerabilities	"Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя Раскрытие конфиденциальных данных "	23,71%	13.05.2011	Highly Critical
5	SA 41917	Adobe Flash Player Multiple Vulnerabilities	"Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя Раскрытие конфиденциальных данных обход системы безопасности "	21,62%	28.10.2010	Extremely Critical
6	SA 44784	Sun Java JDK / JRE / SDK Multiple Vulnerabilities	"Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя Раскрытие конфиденциальных данных Манипулирование даннымиDoS (Denial of Service) "	12,16%	08.06.2011	Highly Critical
7	SA 43751	Adobe Flash Player / AIR AVM2 Instruction Sequence Handling Vulnerability	Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя	9,40%	08.06.2011	Extremely Critical
8	SA 44964	Adobe Flash Player Unspecified Memory Corruption Vulnerability	Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя	9,05%	15.06.2011	Extremely Critical
9	SA 42112	Adobe Shockwave Player Multiple Vulnerabilities	Получение доступа к системе и выполнение произвольного кода с привилегиями локального пользователя	8,78%	03.11.2010	Highly critical
10	SA 44846	Adobe Flash Player Unspecified Cross-Site Scripting Vulnerability	Cross-Site Scripting	8,18%	06.06.2011	Less Critical

Первый раз за всю историю этого рейтинга в него вошли продукты только двух компаний — Adobe и Oracle (Java). Из рейтинга исчезли продукты компании Microsoft — в прошлых отчетах мы говорили о том, что вскоре это должно произойти. Это связано прежде всего с улучшением работы механизма автоматических обновлений и ростом доли Windows 7.

Производители уязвимых продуктов из TOP 10 уязвимостей

7 уязвимостей, вошедших в рейтинг, связаны с одним продутом — Adobe Flash Player.

Заметим, что из TOP 10 практически исчезли уязвимости, датируемые 2007-2008 годами. 7 из 10 уязвимостей были обнаружены в 2011 году, 3 — в 2010. Это связано с постепенным вытеснением Windows XP и Vista системой Windows 7, в которой дела с автоматическим обновлением идут намного лучше.

Распределение уязвимостей из TOP 10 по типу воздействия на систему

9 уязвимостей из TOP 10 предоставляют злоумышленнику полный доступ к системе, 4 уязвимости также дают возможность получить доступ к важной информации на компьютере пользователя.

Заключение

Во втором квартале 2011 года произошел новый виток развития лжеантивирусов. Причем изменения касаются не только количества распространяемых программ, но и их качества. Количество предотвращенных попыток установки FakeAV на компьютеры, входящие в KSN, выросло на 300(!)%. Что касается качественных изменений, то появились подделки под новую платформу — Mac OS X. К сожалению, пользователи этой системы уделяют не слишком много внимания ее безопасности, поэтому сегмент яблочных компьютеров стал лакомым куском для вирусописателей. Лжеантивирусы под Mac OS распространяются с помощью партнерок. Это означает, что этой платформой заинтересовались профессиональные вирусописатели, и в ближайшем будущем стоит ожидать выхода более сложных и опасных вредоносных программ под Mac OS.

Был отмечен бурный рост количества вредоносных программ под мобильные платформы. Сегодня злоумышленников больше всего интересуют две платформы: J2ME и Android. По сравнению с первым кварталом количество добавленных записей, детектирующих зловреды под J2ME, увеличилось в два раза, а под Android — в три. Основная схема получения выгоды отличается от той, что используется в зловредах для PC. Злоумышленники активно пользуются премиум-номерами и подписками на платные сервисы, с помощью которых они опустошают баланс мобильного счета владельца телефона. В ближайшем будущем вирусописатели станут искать новые схемы нелегального обогащения, так что новостей с мобильного фронта будет больше, а следовательно, возрастет и потребность в соответствующей защите.

Волна «хактивизма» продолжает нарастать, захватывая новые страны по всему миру. Сила «хактивистов» заключается не столько в их «профессионализме», сколько в количестве участвующих хакеров — под натиском множества взломщиков может устоять далеко не каждый сайт. Количество «хактивистов» растет за счет того, что в интернете человек действует, хорошо осознавая свою анонимность и безнаказанность. Поэтому, только найдя и наказав участников атак, правоохранительные органы могут заставить ряды анонимусов поредеть. Правительства разных стран заинтересованы не только в поимке хакеров, но и в остановке самого движения хактивистов, следствием чего может стать ужесточение наказаний за компьютерные преступления, в том числе и DDoS-атаки, а также заключение договоров о сотрудничестве и передаче информации при ведении расследований по делам хактивистов между различными странами.

Поисковый гигант Google в третий раз пытается выйти на рынок социальных сетей. В этот раз — учтя свои предыдущие промахи. Проект Google+, который уже сейчас вызвал огромное количество публикаций в СМИ, очевидно, привлечет внимание и киберпреступников, и киберхулиганов, которые захотят воспользоваться новым сервисом, преследуя свои интересы. К тому же при появлении нового продукта от большой компании обычно возникает эффект мух и варенья: в качестве мух выступают любители поиска уязвимостей, которым интересно опробовать систему безопасности. Facebook и Twitter уже стали для компьютерных мошенников излюбленными площадками для распространения различных зловредов. Google+, судя по всему, не станет исключением.

Развитие информационных угроз во втором квартале 2011 года (часть 1)

Admin — Sun, 21 Aug 2011 03:12:31 GMT

Общий обзор ситуации

Во втором квартале 2011 года получили развитие тенденции, о которых мы писали в прошлых отчетах, — такие как увеличение числа вредоносных программ под мобильные платформы и их распространение через магазины приложений, целевые атаки на компании и популярные интеренет-сервисы. Однако были и сюрпризы, о которых мы также расскажем далее.

Фальшивые антивирусы — новый виток

Возвращение фальшивок

В 2010 году мы отмечали снижение количества игроков на рынке лжеантивирусов и как следствие — уменьшение числа поддельных программ, ими распространяемых. Такое положение дел сохранялась достаточно долго. Однако во втором квартале 2011 года количество поддельных антивирусов, обнаруженных продуктами «Лаборатории Касперского», заметно увеличилось. При этом число заблокированных попыток установки поддельного ПО на компьютеры пользоваталей за три месяца выросло на 300% (!). Бурное нашествие лжеантивирусов началось в марте текущего года, и количество атак продолжает расти.

Количество детектирований лжеантивирусов по дням Q2 2011

В отличие от 2009 года, когда злоумышленники заражали фальшивыми антивирусами пользовательские компьютеры по всему миру, в настоящее время создатели лжеантивирусов ориентируются на пользователей из развитых стран, таких как США, Великобритания и Канада.

Географическое распределение атак лжеантивирусов Q2 2011

С этим же связана и технологическая эволюция этого вида вредоносных программ.

Эволюция FakeAV: троянцы для Mac

Первый фальшивый антивирус для Mac OS X появился еще в 2008 году, и довольно долго новых лжеантивирусов для Mac не было. Однако в течение второго квартала 2011 года антивирусные аналитики обнаружили сразу несколько «продуктов» с говорящими названиями MacDefender, MacSecurity, MacProtector и им подобными, которые были явно выпущены одними и теми же людьми с целью незаконного обогащения за счет доверчивых пользователей Mac OS X.

Злоумышленники сочли, что активную экспансию на формирующийся рынок зловредов для OS X выгоднее всего начать с FakeAV, поскольку с помощью таких программ довольно легко вводить пользователей в заблуждение.

Чтобы заставить пользователя установить подделку, мошенники использовали сайты, которые имитируют сканирование компьютера. С помощью методов черной поисковой оптимизации они вывели такие сайты в первые строки поисковой выдачи Google Images по популярным в тот момент поисковым запросам. Пользователь, искавший, скажем, «фото смерти усамы бин ладена», попадал на веб-страницу, где якобы происходило сканирование компьютера. После чего пользователь получал сообщение о том, что на его компьютере найдены множественные проблемы, касающиеся безопасности, и предложение установить «бесплатный» антивирусный продукт. Если пользователь соглашался, для установки ему необходимо было ввести свой пароль администратора. После установки фальшивый антивирус, как и его Windows-собратья, срабатывал по накатанной схеме: находил тысячи несуществующих угроз и предлагал «вылечить» компьютер. Кстати, декларируемое количество записей в «базе» у таких лжеантивирусов в несколько раз превышало число известных на сегодня вредоносных программ под Mac. Для «лечения» необходимо было приобрести «полную версию» за $50-100. Отметим, что, покупая предлагаемый «продукт» с помощью кредитной карты, пользователь передавал все данные карты злоумышленникам, которые затем могли снять с нее практически любую сумму.

31 мая, почти через месяц после появления первого обнаруженного в 2011 году лжеантивируса для Mac, компания Apple выпустила security-патч для встроенной в OS X защиты Xprotect, который автоматически удалял фальшивые антивирусы, известные на тот момент. Однако уже несколько часов спустя злоумышленники выпустили новую версию своей программы, которая в течение последующих 24 часов не детектировалась Xprotect. Такой быстрый обход защиты связан с тем, что Xprotect использует очень простую технологию обнаружения вредоносного ПО — сигнатурный сканер. Это позволяет злоумышленникам, изменив всего несколько байт в программе, добиваться сбоя в детектировании. Позже, для того чтобы обходить защиту Xprotect более эффективно, вирусописатели добавили в схему заражения небольшой загрузчик, детектируемый продуктами «Лаборатории Касперского» как Trojan-Downloader.OSX.FavDonw. Такая схема более эффективна по очень простой причине: Xprotect сканирует только те файлы, которые были загружены из интернета с помощью браузера. В случае же использования загрузчика файл лжеантивируса вообще не сканируется. Как следствие, злоумышленники могут легко обходить встроенную защиту, постоянно обновляя загрузчик, а основной файл при этом менять незначительно. Кроме того, эта схема атаки не требует у пользователя ввода пароля при установке вредоносной программы.

Как и Trojan-FakeAV для Winsows, лжеантивирусы для Mac OS распространяются с помощью небезызвестных партнерок. Об этом говорит наличие строк «affid» (сокращение от affiliate ID) в файлах загрузчика. С помощью этого параметра владельцы партнерки определяют, кому из партнеров необходимо выплатить деньги за установку лжеантивируса.

Часть кода загрузчика лжеантивирусов под OS X Trojan-Downloader.OSX.FavDonw

Поскольку большая часть пользователей Mac OS X находится именно в развитых странах, география распространения фальшивых антивирусов для Mac OS X совпадает с географией распространения аналогичных программ для Widows, о которой шла речь выше.

Мы полагаем, что следующим шагом в развитии вредоносных программ для Mac OS X станет появление универсальных руткитов-загрузчиков под Мас, а также троянцев, ворующих банковскую информацию, таких как ZeuS и SpyEye. В связи с этим мы рекомендуем пользователям Mac серьезно задуматься о безопасности их систем и установить на машины одно из антивирусных решений.

Мобильные троянцы — наступление продолжается

Родственник DroidDream

В конце мая в официальном магазине приложений Andoird Market были вновь обнаружены вредоносные программы. Как и в прошлом квартале, это оказались большей частью перепакованные версии легитимных программ с добавленными троянскими модулями. Всего было обнаружено 34 вредоносных пакета. Троянец, который шел в комплекте с пакетом, оказался новой модификацией уже знакомого нам DroidDream (в классификации ЛК — Backdoor.AndroidOS.Rooter). Чтобы троянца можно было заново поместить на Android Market, его функционал немного изменили. При этом эксплойт, который позволяет троянцу получить права администратора и за счет которого было легко обнаружить вредоносный пакет, уже не входил в комплект, а загружался троянцем на зараженный телефон.

Бэкдор KunFu

Второй нетривиальной угрозой под Andoird OS, которая активно развивалась в течение квартала, стал бэкдор, детектируемый продуктами «Лаборатории Касперского» как Backdoor.AndroidOS.KunFu. Троянец работает по традиционной схеме с подключением к серверу, имя которого записано в теле программы. После установки троянец с помощью известного эксплойта «Rage against the cage» получает права администратора. Собрав информацию о зараженном устройстве и отослав ее злоумышленнику, троянец получает команды с сервера. Вредоносная программа может без ведома пользователя устанавливать, а затем и запускать пакеты приложений и посещать страницы в интернете. Основной канал распространения этого троянца — различные неофициальные магазины приложений. Нацелен троянец в основном на пользователей из Китая, на хостингах в этой же стране находятся и управляющие серверы.

Заметим, что автор очень заинтересован в жизнеспособности троянца и старается обходить детектирование со стороны антивирусов. Такое поведение не характерно для мобильных вирусописателей, которые редко учитывают, что их троянец может быть удален с телефона антивирусом. В течение трех месяцев было обнаружено более 29 (!) модификаций этой вредоносной программы. Кроме того, код эксплойта, используемого для повышения прав, зашифрован с помощью алгоритма DES. В последних версиях троянец подвергся серьезной переработке: библиотека с основным функционалом была переписана из Java в Native-код. Таким образом автор вредоносной программы, видимо, надеялся усложнить ее анализ.

Угрожающая статистика

По нашей статистике рост количества мобильных угроз под различные мобильные платформы набирает обороты.

Число добавленных сигнатур для новых мобильных
зловредов под разные платформы Q1 и Q2 2011

Количество записей, детектирующих зловреды под J2ME (вредоносное ПО для телефонов и смартфонов начального уровня), за квартал увеличилось в два раза, а число детектов вредоносных программ для Android OS выросло почти в три раза.

Текущая схема монетизации большинства мобильных троянцев в настоящее время связана с отправкой SMS-сообщений на короткие номера. В результате либо со счета пользователя списываются деньги, либо владельца телефона без его согласия подписывают на платный сервис. Во втором случае, более распространенном в Азиатском регионе, пользователю с сервиса приходит SMS-сообщение с информацией о подписке. Чтобы владелец телефона не заподозрил неладное, троянцы удаляют сообщение о платной подписке, как только оно приходит. Таким образом, троянцы могут паразитировать на одном устройстве очень долго — и приносить своему хозяину постоянный доход.

Настораживает тот факт, что вредоносные программы для мобильных устройств распространяются не только через различные ресурсы, принадлежащие третьим лицам, но и через официальные магазины приложений. Очевидно, что Android Market необходимо пересмотреть политику публикации приложений. Но пока владельцы и официального магазина, и неофициальных не спешат вносить изменения в правила, что играет на руку вирусописателям. В такой ситуации количество желающих заработать нечестным путем за счет рядовых пользователей будет расти, что скажется и на количестве угроз, и на их качестве. Для рядового пользователя это означает лишь одно: если вы еще не установили на своем мобильном устройстве антивирусный продукт, сделайте это. Иначе велик шанс, что вы будете не единственным пользователем своего телефона.

Репутация под угрозой

Второй квартал 2011 года оказался еще более насыщенным инцидентами, связанными со взломом крупных компаний, чем первый. В список пострадавших вошли такие компании, как Sony, Honda, Fox News, Epsilon, Citibank. В большинстве случаев была украдены данные клиентов компаний.

Персональные данные множества пользователей могут быть интересны и киберкриминалу (для проведения различного рода атак, в особенности целевых), и некоторым легальным коммерческим структурам. При этом нет никакой информации о продаже этих данных на черном рынке или использовании злоумышленниками. Такое поведение хакеров говорит о том, что заработать на продаже краденой информации не было их главной целью.

Второй квартал 2011 года многим запомнится одной из самых крупных утечек персональных данных, произошедшей в результате взлома сервисов, принадлежащих компании Sony: PlayStation Network, Qriocity и Sony Online Entertainment. По оценкам самой Sony [PDF 5,47 Мб], в руках злоумышленников могли оказаться данные 77 миллионов (!) пользователей сервисов PSN и Qriocity. Несколько недель, пока велось расследование инцидентов и шло обновление системы безопасности, сервисы Sony были недоступны по всему миру, что, естественно, вызвало негодование клиентов компании. Когда пришло время возобновления работы сервисов, пользователи должны были восстановить свои аккаунты, используя для идентификации в том числе некоторые персональные данные, которые могли быть украдены в ходе атаки. При этом важно отметить, что никакой информации от пользователей об инцидентах при восстановлении аккаунтов не поступило.

Помимо личных данных пользователей, подобные сервисы хранят данные кредитных карт клиентов, которые пользовались их платными услугами. После взлома сервисов Sony на подпольных форумах поговаривали о том, что взломщики могли похитить и секретные коды cvv2, которые необходимы для совершения транзакций. Однако компания заявила, что в руках хакеров может быть только часть информации о кредитных картах без кода cvv2, а именно номер карты и срок ее действия. Опять же, никаких новостей о том, что эта информация была использована или продана в злонамеренных целях, не было.

На сегодняшний день в открытом доступе нет данных о том, кто и зачем провел эту атаку. Все перечисленные выше факты наводят на мысль, что главной целью хакеров было не получить финансовую выгоду, а навредить репутации корпорации. Заметим, что по информации английских продавцов игр и консолей (http://news.cnet.com/8301-13506_3-20062596-17.html), после возникновения проблем в PSN количество возвратов и обменов приставок производства Sony сильно возросло. Как известно, чтобы заработать хорошую репутацию, нужны годы, а потерять ее можно и за считаные часы.

«Хактивисты»

Волна «хактивизма» — взлома или вывода из строя каких-либо систем в знак протеста против действия государственных органов или больших корпораций — продолжает набирать силу. Во втором квартале на сцене появилась новая группировка LulzSec, за 50 дней своего существования успевшая взломать множество систем и опубликовать личную информацию десятков тысяч пользователей.

Как и в случае с уже знакомыми нам Anonimous, действия LulzSec не были мотивированы жаждой наживы. Сами представители группировки утверждают, что они взламывали серверы компаний просто «смеха ради». При этом, в отличие от Anonimous, новая группировка более активно использовала социальные медиа, в том числе Twitter, для оповещения мира о своих действиях.

Под удар LulzSec попали и крупные корпорации, такие как Sony, EA, AOL, и государственные органы: сенат США, ЦРУ, SOCA UK и т.д. Информация, которая попадала в руки LulzSec в результате атак, публиковалась на их сайте, а затем выкладывалась в torrent-сети. Чаще всего это были персональные данные пользователей.

Будет не лишним разобраться, каким образом группировка могла проникать внутрь защищенных систем. Многие атаки могли быть совершены с использованием уже известных механизмов для автоматического поиска уязвимостей, в том числе SQL-инъекций. Получив доступ к данным, хранившимся на наименее защищенном сервере, таким как логины и пароли / хеши паролей, хакеры могли использовать их для последующих взломов, ведь даже люди, имеющие права администраторов сетей, до сих пор часто используют один и тот же пароль для различных сервисов.

Со временем атаки LulzSec получили политическую окраску. LulzSec объединила усилия с группировкой Anonimous для организации ряда атак на государственные органы и крупные корпорации с целью публикации закрытых данных. В результате серии атак под общим названием «AntiSec» хакеры смогли получить доступ в том числе к данным полиции Аризоны. В открытом доступе была размещена переписка сотрудников, засекреченные документы, а также персональная информация и пароли некоторых сотрудников полиции. Сами представители группировки объявили, что они совершили эту атаку в знак протеста против решения сената Аризоны об ужесточении миграционной политики. ("We are targeting AZDPS specifically because we are against SB1070 and the racial-profiling anti-immigrant police state that is Arizona").

Естественно, все эти атаки не могли не привлечь внимания со стороны правоохранительных органов. В Испании было арестовано 3, а в Турции 32 человека по подозрению в причастности к атакам, организованным группой Anonimous. В конце июня LulzSec объявила о своем роспуске. Возможно, одной из причин этого роспуска стало расследование, которое активно ведется сразу в нескольких странах мира с целью выявления и поимки членов группировки.

К сожалению, действия по раскрытию личных данных пользователей, которые предпринимают «хактивисты» безнравственны и безответственны. Даже раскрытие данных, на первый взгляд, никак не связанных с деньгами, может иметь для пользователей вполне ощутимые последствия, в том числе финансового характера. Во-первых, многие пользователи, несмотря на увещевания специалистов по компьютерной безопасности, используют одни и те же пароли для доступа к различным сервисам, включая банковские. Во-вторых, опубликованные данные могут заинтересовать преступников, действующих в реальном мире. Кстати, в сохранении своей анонимности члены группировки весьма заинтересованы. И призыв раскрыть информацию очень странно звучит из уст людей, которые активно стараются скрыть собственные имена.

Атаки на правительственные организации, несомненно, будут продолжаться даже после официального роспуска LulzSec. Системным администраторам крупных компаний и государственных организаций необходимо провести тестирование своих систем, в противном случае следующая волна «хактивизма» может добраться и до них.

Киберкриминал и закон

Закрытие ботнета Coreflood

В апреле 2011 года был закрыт еще один ботнет — Coreflood. По решению суда министерство юстиции США и ФБР получили доступ к 5 управляющим серверам, что в дальнейшем позволило перехватить управление ботсетью. Ботнет был построен на основе вредоносной программы Backdoor.Win32.Afcore и по данным ФБР насчитывал на момент закрытия 2 000 000 компьютеров.

Закрытие ботсетей является сложной задачей не только с технической точки зрения, но и с юридической. После получения контроля над Coreflood у правоохранительных органов появилась возможность одним нажатием клавиши удалить все боты с зараженных компьютеров. Однако такие действия могли бы нарушить законы других стран, ведь зараженные ботами машины находятся не только в США. Поэтому для удаления ботов сначала пришлось определить местонахождение зараженных компьютеров по IP-адресу. Затем правоохранительные органы США получили согласие на удаление бота от организаций, чьи компьютеры были заражены, а также разрешение суда на дистанционное удаление вредоносной программы. В итоге ботнет Coredlood потерял большую часть своих ресурсов. Однако, как и в случае с Rustock, пока не найдены истинные владельцы ботнета, существует вероятность, что они вернутся к своему подпольному бизнесу, создав новую сеть зомби-машин.

Еще более сложным, чем закрытие ботнетов типа Coreflood, Rustock и Bredolab, может стать закрытие децентрализованных ботнетов, таких как Kido, Hlux и Palevo. Закрыть такие ботнеты можно единственным способом — запустив процедуру перехвата управления ботами. По сути это будет означать модификацию вредоносных программ на пользовательских компьютерах, расположенных в разных странах мира. На сегодняшний день законодательной базы, которая позволила бы правоохранительным органам и специалистам по безопасности совершать подобные действия, просто не существует.

Надеемся, что правоохранительные органы продолжат действия по закрытию ботнетов, а юристы разных стран смогут объединить усилия для создания условий, необходимых для очистки зараженных компьютеров во всем мире.

Законодательство в Японии

Как показывает практика, наиболее эффективным способом борьбы с компьютерными преступлениями является поимка самих киберпреступников. 17 июня 2011 парламент Японии принял закон, в котором предусматривается наказание за создание и распространение вредоносных программ.

До принятия этого закона в Стране восходящего солнца не было никакой возможности наказать человека за злонамеренное создание вредоносных программ. Вирусописателей приходилось судить по «смежным» статьям, например, за нарушение копирайтов, пиратство, причинение вреда чужому имуществу и т.п. Такой способ борьбы с вирусописателями не был эффективным, и поэтому требовалось изменение законодательства.

По новому закону интернет-провайдеры должны хранить логи 2 месяца и выдавать их при необходимости правоохранительным органам.

Япония сделала большой шаг в сфере борьбы с киберпреступлениями.

Виртуальная валюта и реальные проблемы

В 2009 году программистом и математиком Сатоси Накамото был начат интересный проект по созданию криптовалюты Bitcoin. Концепция этой валюты имеет несколько важных особенностей. У Bitcoin нет какого-либо централизованного эмитента и регулятора, деньги генерируются на компьютерах пользователей, запустивших специальную программу, а все денежные переводы в системе Bitcoin являются анонимными. Сегодня Bitcoin достаточно активно используется при онлайн-оплате различных товаров и услуг. Существуют биржи, где можно поменять эти электронные деньги на реальную валюту: доллары, фунты, японские йены и т.д. Стоит упомянуть, что этой валютой также любят пользоваться различные киберкриминальные элементы, например, группировка LulzSec принимала «пожертвования» в Bitcoin, да и на некоторых подпольных форумах тоже можно расплатиться за вредоносные программы криптовалютой.

Виртуальные карманники

Растущая популярность Bitcoin не могла не привлечь внимание людей, готовых получить деньги не вполне честным путем. Зашифрованный кошелек с деньгами хранится на компьютере пользователя, доступ к кошельку можно получить, введя пароль. Злоумышленники решили, что можно украсть кошельки, а затем попробовать подобрать к ним пароли. В конце июня экспертами по безопасности был обнаружен достаточно простой троянец, который при запуске на компьютере пользователя отсылал по почте файл его bitcoin-кошелька злоумышленнику. Неизвестно, удалось ли хозяину вредоносной программы взломать кошельки, но если троянца доработать, то он будет представлять реальную угрозу для держателей криптовалюты. К тому же, учитывая тенденцию к воровству с помощью ботов всей возможной информации с компьютеров, этот функционал может попасть в популярные вредоносные программы, которые отслеживают всю активность на компьютере.

Обвал на бирже

Неприятным событием для экономики Bitcoin во втором квартале 2011 года стал обвал его курса на одной из самых популярных бирж «Mt. Gox». В течение нескольких минут курс обмена упал с $16 до нескольких центов за Bitcoin. Причина обвала — продажа с одного взломанного аккаунта огромного количества биткойнов по очень низкой цене. Обнаружив резкое падение курса, администрация биржи очень быстро приняла правильное решение и остановила торги, а все подозрительные транзакции были отменены.

Обвал курса Bitcoin 20 июня 2011г.

Позднее выяснилось, что взлом аккаунта стал возможным из-за утечки из базы логинов, электронных адресов и хешированных паролей пользователей биржи. Очевидно, что злоумышленник подобрал пароли и устроил обвал курса, чтобы погреть на этом руки. До этого инцидента на сайте «Mt. Gox» была обнаружена уязвимость типа Cross Site Request Forgery, позволявшая злоумышленникам с помощью специальных запросов обманом заставлять пользователей производить транзакции с Bitcoin. Эти случаи наглядно показали, что даже если биржа работает с виртуальными деньгами, ее защита должна быть очень хорошо продумана.

Bitcoin Mining по-русски - Trojan.NSIS.Miner.a

Пока сгенерировано только 6,8 миллионов монет Bitcoin из планируемого 21 миллиона, каждый может участвовать в генерации биткойнов (Bitcoin Mining) и получать за это вознаграждение в виде созданных монет.

Некие киберпреступники — судя по строчкам в коде, русскоговорящие — решили, что воровать кошельки и подбирать к ним пароли достаточно накладно, а вот заставить ничего не подозревающих пользователей генерировать для них деньги — затея неплохая. В конце июня нашими аналитиками была обнаружена вредоносная программа, состоящая из легальной программы по созданию монет (bcm) и управляющего троянского модуля. После запуска троянца зараженный компьютер начинает генерировать монеты для злоумышленников. Территория распространения троянца — Россия (37%), Индия (12%), Украина (7%), Казахстан (5%) и Вьетнам (3%). К счастью, обман был замечен достаточно быстро автоматической системой биткойн-пула, и аккаунт злоумышленника в системе создания денег был заблокирован, а затем и удален.

Часть кода Trojan.NSIS.Miner.a с указанием,
куда переводить сгенерированные Bitcoin

Важно отметить, что жизнеспособность всей системы криптовалюты Bitcoin зависит от доверия к ней со стороны пользователей и отсутствия «фальшивых» монет. Описанные выше случаи показывают, что злоумышленники активно пытаются найти брешь в системе безопасности различных составляющих экономики Bitcoin. Думается, что администраторы бирж и биткойн-пулов должны быть заинтересованы в защите своих систем и в сохранении репутации, ведь иначе весь их бизнес может рухнуть вместе с доверием к системе Bitcoin.

Статистика

Ниже мы рассмотрим статистику, полученную в результате работы различных компонентов защиты от вредоносных программ. Все статистические данные, использованные в отчете, получены с помощью распределенной антивирусной сети Kaspersky Security Network (KSN). Данные получены от тех пользователей KSN, которые подтвердили свое согласие на их передачу. В глобальном обмене информацией о вредоносной активности принимают участие миллионы пользователей продуктов «Лаборатории Касперского» из 213 стран мира.

Угрозы в интернете

Статистические данные в этой главе получены на основе работы веб-антивируса, который защищает пользователей в момент загрузки вредоносного кода с зараженной веб-страницы. Зараженными могут быть сайты, специально созданные злоумышленниками, веб-ресурсы, контент которых создается пользователями (например, форумы), и взломанные легитимные ресурсы.

Детектируемые объекты в интернете

Во втором квартале 2011 года было отражено 208 707 447 атак, проводившихся с интернет-ресурсов, размещенных в разных странах мира. Всего в данных инцидентах было зафиксировано 112 474 разных вредоносных и потенциально нежелательных программ.

TOP 20 детектируемых объектов в интернете

№	Название*	% от всех атак**
1	Blocked	65,44%
2	Exploit.Script.Generic	21,20%
3	Trojan.Script.Iframer	15,13%
4	Trojan.Win32.Generic	7,70%
5	Trojan-Downloader.Script.Generic	7,66%
6	Trojan.Script.Generic	7,57%
7	AdWare.Win32.FunWeb.kd	4,37%
8	AdWare.Win32.FunWeb.jp	3,08%
9	Hoax.Win32.ArchSMS.heur	3,03%
10	Trojan-Downloader.JS.Agent.fxq	2,51%
11	Trojan.JS.Popupper.aw	2,18%
12	Trojan.HTML.Iframe.dl	1,76%
13	Trojan-Downloader.Win32.Generic	1,62%
14	AdWare.Win32.HotBar.dh	1,49%
15	Worm.Script.Generic	1,30%
16	Exploit.JS.CVE-2010-1885.k	1,20%
17	Hoax.Win32.ArchSMS.pxm	1,04%
18	Trojan.JS.Redirector.pz	0,87%
19	Trojan.JS.Agent.bun	0,85%
20	Hoax.Win32.Screensaver.b	0,84%

* Детектирующие вердикты модуля веб-антивируса. Информация предоставлена пользователями продуктов ЛК, подтвердившими свое согласие на передачу статистических данных.
** Процент от всех веб-атак, которые были зафиксированы на компьютерах уникальных пользователей.

На первом месте рейтинга различные вредоносные URL (65,44%), входящие в наш черный список, — адреса веб-страниц с эсплойт-паками, ботами, троянцами-вымогателями и т.п.

Половина программ, попавших в TOP 20, — это зловреды, так или иначе используемые в drive-by атаках: скриптовые загрузчики, редиректоры, эксплойты. Злоумышленники все больше внимания уделяют обходу различных средств анализа вредоносного кода, написанного на скриптовых языках (JS, VBS и т.п.). Для этого они разными способами скрывают основной функционал скрипта в неожиданных с точки зрения анализаторов местах html-кода. Как следствие, большинство таких программ детектируется эвристическими методами как generic.

На втором месте в TOP 20 оказался Exploit.Script.Generic (+6,5%), сместив оттуда троянцев-загрузчиков, которые весьма долго занимали это место. Под этим именем детектируются различные скриптовые эксплойты, с которыми связана пятая часть всех зарегистрированных атак через интернет. Это говорит о том, что количество так называемых drive-by атак, начинающихся с использования эксплойтов, продолжает расти, а атаки, в ходе которых пользователю нужно самому скачать и запустить вредоносный файл, злоумышленники используют все реже.

6 детектируемых объектов из TOP 20 являются рекламным ПО или программами-обманками. Рекламное ПО семейства FunWeb занимает сразу две строчки (7-ю и 8-ю) по частоте детектирования. Чаще всего установка таких программ блокировалась на компьютерах пользователей в США (25,2%) и Индии (32,7%). Программы-обманки типа Hoax.Win32.ArchSMS, которые представляют собой платные инсталляторы, устанавливающие бесплатные программы, также занимают две строчки в рейтинге (17-ю и 20-ю).

Страны, на ресурсах которых размещены вредоносные программы

Во втором квартале 2011 года в десяти странах мира было сконцентрировано 87% веб-ресурсов, используемых для распространения вредоносных программ (на 2% меньше, чем в прошлом квартале). Для определения географического источника атаки использовалась методика сопоставления доменного имени с реальным IP-адресом, на котором размещен домен, и установление географического местоположения IP-адреса (GEOIP).

Распределение веб-ресурсов, на которых размещены
вредоносные программы, по странам. Второй квартал 2011

Развитие законодательства и успехи в борьбе с киберпреступниками в США и странах Западной Европы могут привести к постепенному перемещению хостингов, используемых для распространения вредоносных программ, из развитых стран в развивающиеся. Лидируют по уменьшению количества хостингов с вредоносным кодом Нидерланды, чья доля по сравнению с прошлым месяцем уменьшилась на 4,3% и составила 7,8%. Активные действия нидерландской полиции, в том числе по нейтрализации ботнетов (Bredolab, Rustock), отпугивают киберпреступников.

Также продолжается уменьшение количества хостингов, на которых размещены вредоносные программы, в Китае: доля, которая приходится на эту страну, уменьшилась еще на 2% и достигла 5,6%. Если два года назад китайские хостинги были основным рассадником зловредов в глобальной паутине, то теперь они постепенно исчезают с антивирусных радаров.

Страны, в которых пользователи подвергались наибольшему риску заражения через интернет

Чтобы оценить степень риска заражения через интернет, которому подвергаются компьютеры пользователей в разных странах мира, мы подсчитали, насколько часто в течение квартала пользователи в каждой из стран сталкивались со срабатыванием веб-антивируса.

10 стран, где пользователи подвергаются наибольшему риску заражения через интернет

№	Страна*	% уникальных пользователей**
1	Оман	55,70%
2	Россия	49,50%
3	Ирак	46,40%
4	Азербайджан	43,60%
5	Армения	43,60%
6	Судан	43,40%
7	Саудовская Аравия	42,60%
8	Белоруссия	41,80%
9	США	40,20%
10	Кувейт	40,20%

*При расчетах мы исключили страны, в которых число пользователей ЛК относительно мало (меньше 10 тысяч).
** Процент уникальных пользователей, подвергшихся веб-атакам, от числа всех уникальных пользователей продуктов ЛК в стране.

За исключением США в TOP 10 вошли страны двух категорий. Первая — это страны постсоветского пространства. В этих странах большое распространение получили различные мошеннические программы. В их число входят зловреды, отсылающие SMS на премиум-номера для перевода денег злоумышленникам, — например, Hoax.Win32.ArchSMS.

Вторая категория — это страны Востока: Ирак, Судан, Оман, Саудовская Аравия и Кувейт. Максимальный риск заражения зафиксирован в Омане, где хотя бы одной атаке за квартал подвергался каждый второй пользователь.

По степени риска заражения компьютеров пользователей все страны можно разбить на несколько групп.

Группа повышенного риска. В эту группу с результатом 41-60% вошли 8 из 10 стран, попавших в TOP 10: Оман, Россия, Ирак, Азербайджан, Армения, Судан, Саудовская Аравия и Белоруссия.
Группа риска. В эту группу с показателями от 21% до 40% попали 94 страны, в том числе США (40,2%), Китай (34,8%), Англия (34,6%), Бразилия (29,6%), Перу (28,4%) Испания (27,4%), Италия (26,5%), Франция (26,1%), Швеция (25,3%) и Нидерланды (22,3%).
Группа самых безопасных при интернет-серфинге стран. В эту группу во втором квартале 2011 года вошли 28 стран с показателями 11,4-20%, в том числе Швейцария (20,9%), Польша (20,2%), Сингапур (19,6%) и Германия (19,1%).

Спам во втором квартале 2011

Admin — Sun, 21 Aug 2011 03:09:01 GMT

Основные итоги квартала

Доля спама в почтовом трафике продолжает расти,в среднем в этом квартале она составила 82,5%.
Спам из Азии и Латинской Америки составил более 60% мирового спама.
Доля вредоносных вложений в почте продолжила расти и достигла 3,86%. Лидерами по срабатыванию почтового антивируса стали Россия, США и Вьетнам.
Фишинга по-прежнему мало (0,02%), но он становится более адресным.
В России увеличилась доля спама, рекламирующего товары/услуги компаний — представителей мелкого и среднего бизнеса.
В спаме по-прежнему много подделок под уведомления от известных ресурсов, кроме того, спамеры начали использовать бесплатные «облачные» ресурсы.
В России рассматривается проект антиспамового законодательства, а в Японии уже появилась уголовная ответственность за рассылку порнографического спама.

Эволюция спама

От личной переписки к официальным нотификациям

Электронная почта существует достаточно давно, и, конечно, ее значение и функции меняются с развитием интернета. Появление Web 2.0, социальных сетей, сервисов коротких сообщений, а теперь и облачных технологий отодвинуло email на второй план. Мы общаемся через IM, делимся новостями через блоги, собираем друзей в социальных сетях, обсуждаем идеи в «облаках». Что же остается в электронной почте? Ссылки на хостинги и фотохостинги, уведомления от социальных сетей (о приглашении в друзья, о появившейся новой дискуссии, выложенных фотографиях и т.д.), информационные письма от банков, онлайн-магазинов и служб доставки, приглашения прочитать документ «в облаках». Можно сказать, что электронная почта в настоящий момент чаще используется не для общения, а для отправки/получения разного рода уведомлений.

Так как спамеры всегда идут в ногу со временем, современный спам все чаще копирует такие уведомления. И если раньше подделки под официальные письма были характерны только для фишинговых и вредоносных писем, то теперь этот прием применяется и в других видах спама.

Традиционная подделка под уведомление Facebook – ссылка ведет на вредоносный ресурс:

Подделка под уведомление Twitter со ссылкой на фармацевтический сайт:

Подделка под уведомление от YouTube с редиректом на фармацевтический сайт:

Используя известность крупных ресурсов, спамеры пытаются обмануть пользователей, а заодно обойти антиспам-фильтры. Чем новее и интереснее ресурс, тем с большей охотой мошенники маскируют свои письма под сообщения от этого ресурса. Уже в процессе написания отчета мы обнаружили подделки под сообщения от только что появившегося сервиса Google+.

Спам в «облаках»

С развитием облачных технологий появляется много удобных бесплатных сервисов. В этом квартале мы наблюдали новый этап эволюции спама— спамеры начали пользоваться «облачными» сервисами.

Некоторые письма содержали ссылки на страницы GoogleDocs, а уже в документе GoogleDocs была ссылка на фармацевтический сайт или сайт, на котором продаются поддельные часы (такой своеобразный метод редиректа).

Письмо со ссылкой на GoogleDocs:

Кроме того, злоумышленники использовали форму GoogleSpreadsheets для размещения своих фишинговых страничек.

Одно из писем со ссылкой на GoogleSpreadsheets:

Кликнув по ссылке, пользователь попадал на страницу GoogleSpreadsheets с формой для ввода персональных данных:

При нажатии кнопки Submit данные пользователя отправлялись на сторонний ресурс, то есть уходили в руки к фишерам.

Использование таких сервисов дает злоумышленникам бесплатное пространство для размещения своих поддельных страниц. Кроме того, такая страница с большей вероятностью вызовет доверие пользователя — она находится на известном ресурсе, а соединение происходит через поддерживающий шифрование протокол https.

Спам и социальная инженерия

Какие бы новые трюки ни придумывали спамеры, они никогда не откажутся от методов социальной инженерии, поскольку расчет в них делается на вечные человеческие слабости — любопытство и и доверчивость.

В числе громких новостей, которые спамеры использовали для заманивания пользователей на свои страницы— королевская свадьба в Великобритании и смерть Усамы бен Ладена. Отметим, что спамеры подошли к задаче творчески: среди новостей были как настоящие, так и вымышленные.

Применялся и такой подзабытый метод, как подделка под личную переписку:

Спам и закон

На второй квартал пришлось несколько событий, касающихся проблемы законности спама.

Так, 13 мая рабочей группе Госдумы РФ был представлен на рассмотрение законопроект по противодействию производству и распространению спама. Проект подготовлен думским Комитетом по информационной политике, информационным технологиям и связи совместно с Комиссией по информационной безопасности и киберпреступности Российской ассоциации электронных коммуникаций (РАЭК). В законопроекте определяется понятие спам, рассматриваются такие важные моменты, как предварительное согласие пользователя на получение рассылок и возможность отписки; указание в открытом виде организации, организовавшей рассылку; запрет на средства автоматического сбора почтовых адресов и т.д. Немаловажно, что в проекте закона предусмотрена уголовная ответственность за рассылку спама. Однако некоторые юристы уже отмечают слабые стороны законопроекта: нет четкого указания на то, кто будет заниматься расследованием и привлечением к ответственности спамеров.

24 июня Лефортовский суд Москвы санкционировал арест Павла Врублевского, генерального директора компании Chronopay, и, по мнению некоторых экспертов, владельца партнерской сети Rx-promotions, специализирующейся на рассылке фармацевтического спама. Врублевский обвиняется в организации DDoS-атаки на ресурс системы электронных платежей «Assist», из-за которой была парализована система продажи билетов на сайте «Аэрофлота». Напомним, что ранее Врублевский возглавлял Комиссию по борьбе со спамом при рабочей группе по развитию интернета при министерстве связи РФ.

В июньском отчете мы писали о том, что после операции по отключению командных центров ботнета Rustok, успешно проведенной совместными силами спецслужб США и компанией Microsoft, последняя не остановилась на достигнутом и подала в суд на создателей этого ботнета. Мы считаем, что такая инициатива Microsoft более чем оправданна: данные нашей статистики говорят о том, что злоумышленники выстраивают новые ботсети, стоит только закрыться старым. Разумеется, создание новой ботсети требует времени. В случае заключения ботмастеров в тюрьму дело может и не дойти до создания нового ботнета.

Кроме того, в июне важный законодательный акт приняли парламентарии Японии: не только создание, распространение, покупка и хранение вредоносных программ, но также распространение порнографического спама теперь считаются в этой стране уголовным преступлением.

Спам-статистика

Доля спама в почте

Доля спама в почтовом трафике продолжает расти. Во втором квартале она достигла 82,5% почтового трафика. Наибольший процент спама — 91,4% — был отмечен 29 мая; наименьший показатель – 72,2% – был зафиксирован 1 апреля.

Доля спама в почтовом трафике во втором квартале 2011 г.

Постепенно востанавливается объем рассылаемого спама, уменьшившийся после закрытия командных центров крупных ботнетов в прошлом году и в начале текущего года. Однако распределение по странам зомби-машин, с которых рассылается спам, становится другим.

Распределение источников спама по странам

Наиболее активно во втором квартале 2011 спам рассылался из развивающихся стран: Индии (+4,26%), Бразилии (+3,14%), Индонезии (+1,66%) и Южной Кореи (+1,02%).

Страны — источники спама во втором квартале 2011 г.

Лидером по рассылке спама опять стала Индия. Ее доля увеличилась более чем на 4% и достигла 14,06%. Это объяснимо: в прошлом квартале на эту страну пришлось 5,99% срабатываний нашего почтового антивируса, что немало. Напомним, что с помощью зараженных спамовых писем ботоводы заражают компьютеры пользователей и таким образом включают их в состав своих ботнетов. Высокий процент срабатываний почтового антивируса на компьютерах индийских пользователей, отмеченный в прошлом квартале, говорит о том, что эта страна попала в зону интересов строителей зомби-сетей. Расширившиеся ботсети увеличили поток спамовых писем.

Доля Бразилии продолжала расти в течение всего первого полугодия 2011 года и в июне достигла 9,56%, что по итогам квартала вывело страну на второе место в списке стран, откуда идет рассылка спама, с показателем 8,94%.

Также стоит отметить заметное увеличение доли Перу (+2,4%), переместившейся на шестое место с показателем 3,13%. В прошлом квартале эта страна даже не входила в двадцатку.

В то же время на 2,75% уменьшиласьдоля России (3,05%,). Страна, находившаяся по итогам первого квартала на втором месте, во втором квартале оказалась на седьмой строчке рейтинга. Это довольно неожиданный результат, так как Россия была и остается лидером по срабатыванию почтового антивируса. Причем вредоносные программы, проникающие на компьютеры российских пользователей через почту, – это в основном черви. Некоторые из них (например, Worm.Win32.AutoRun.cchs) имеют такой функционал, как перехват программных сообщений, проверка наличия доступа в интернет на зараженной машине, создание соединений с определенными адресами в интернете. Вредоносные программы с таким функционалом вполне могут быть использованы для скачивания других зловредов и включения компьютера в ботнет.

Объяснений тому, что Россия опустилась на пять строчек в рейтинге стран – источников спама, может быть два: либо российские пользователи научились лучше защищать свои компьютеры, не позволяя злоумышленникам подключать их к бот-сетям, либо ботнеты все же создаются, но используются для других целей (для DDoS-атак). Кроме того, как уже было сказано выше, в Россию через почту поступало большое количество червей. В большинстве своем такие программы создаются для сбора почтовых адресов (например, семейство Email-Worm.Win32.Netsky). Это может означать, что злоумышленники только начинают работу по созданию ботнетов, и в будущем Россия вновь войдет в тройку стран, из которых рассылается больше всего спама.

Из США, где осенью 2010 года была проведена серия мероприятий по борьбе с ботнетами, спама рассылается по-прежнему мало: в этом квартале страна заняла лишь 16-ю позицию (1,99%, -1,01%).

Нужно отметить, что географически страны — источники спама и их вклад в спам-трафик распределились гораздо более равномерно, чем в предыдущие годы. В рейтинге стран — источников спама нет абсолютных лидеров. Ситуация, когда три страны были ответственны за половину всего мирового спама, оказалась в прошлом. Зомби-машины, с которых рассылаются спамовые письма, довольно равномерно распределены практически по всем странам мира. Они есть и в Южной Африке, и на отдаленных островах посреди Тихого океана, и в развитых странах. Такое распределение говорит о завершении географической экспансии спамеров. Территорий, не захваченных «ботоводами», просто не осталось. Развивающиеся страны привлекают организаторов ботнетов отсутствием антиспамовых законов и низкой защищенностью компьютеров, развитые — доступным и быстрым интернетом.

Кроме того, после активной борьбы с крупными бот-сетями в 2010 году, наблюдается рост количества ботнетов, но размеры создаваемых бот-сетей относительно небольшие. Среди вновь организуемых ботнетов нет гигантов, ответственных за большую часть спама (как это было ранее с Cutwail или Rustock). То ли спамеры еще не успели организовать мощности, способные рассылать миллионы писем ежедневно, то ли они сознательно не держат все яйца в одной корзине, чтобы в случае закрытия одного ботнета можно было легко переключиться на другой. Это тоже ведет к более равномерному распределению по странам зараженных компьютеров.

Распределение источников спама по регионам

Регионы — источники спама Q1 и Q2 2011 г.

Лидерами по рассылке спама стали Азия (+8,22%) и Латинская Америка (+5,55%). Вместе эти регионы ответственны более чем за 60% рассылаемого спама. Как мы уже говорили (http://www.securelist.com/ru/analysis/208050680/Kaspersky_Security_Bulletin_2010_Spam_v_2010_godu#13), спамеры стараются организовать новые ботнеты в менее защищенных (законодательно, технически и т.д.) регионах. Азия и Латинская Америка, безусловно, относятся к таким регионам.

В то же время, существенно уменьшилась доля Восточной Европы (-8,45%). Однако можно предположить, что в дальнейшем она будет расти: это удобный регион с точки зрения соотношения уровня компьютеризации и наличия законов, так что спамеры с большой вероятностью будут создавать там ботнеты для рассылки спама.

На графике, отражающем вклад разных регионов в рассылку спама, можно видеть четкую корреляцию между рассылками из Азии и Латинской Америки. При этом четко видно, что во втором квартале, когда кривые Азии и Латинской Америки идут вверх, кривая Западной Европы уходит вниз под тем же углом.

Динамика распределения источников спама по регионам (Q1 и Q2 2011 г.)

То, что кривые, отражающие вклад Азии и Латинской Америки, коррелируют между собой, вполне объяснимо: эти регионы схожи отсутствием антиспамовых законов и слабой защищенностью пользователей. Видимо, спам здесь рассылается с компьютеров, входящих в одни и те же ботнеты.

Тематические направления в спаме

После закрытия гигантских ботнетов спам в разных частях мира стал существенно различаться. В России, например, практически исчез «партнерский» спам. Так, ранее лидировавший спам медицинской направленности (типичный представитель «партнерского» спама), по итогам квартала занял лишь восьмую строчку рейтинга (1,8% всего спама). В настоящий момент абсолютное большинство спамовых писем в Рунете представляет собой рекламу услуг и товаров мелких и средних компаний. А самой популярной тематикой по-прежнему является «Образование» — спам, рекламирующий различные семинары и тренинги.

Процентное соотношение тематик спама в Рунете.Q2 2011 г.

Отметим, что с уходом партнерского спама изменилось и соотношение языков в спам-почте — практически весь англоязычный спам в Рунете был «партнерским», и теперь подавляющее большинство спамовых писем в Рунете — на русском языке.

В то же время, пользователям Западной Европы и Америки, по-прежнему приходит много «партнерского» спама, однако реплики элитных товаров рекламируются в нем сейчас более активно, нежели «Медикаменты». Кроме того, во франкоязычном спаме встречается много «нигерийских» мошеннических писем.

Размеры спамовых писем

В отличие от прошлого квартала, когда в спаме было много «тяжелых» писем, распределение размеров спам-сообщений в этом квартале вполне традиционно: преобладают короткие и очень короткие (меньше килобайта) письма, в то время как сообщения размером более 50 КБ составляют лишь 2,63% всего спама.

Размер спамовых писем во втором квартале 2011 г.

Вредоносные вложения в почте

Во втором квартале 2011 года доля писем, содержавших вредоносные вложения, увеличилась на 0,81% и в среднем составила 3,86%.

Доля писем с вредоносными вложениями в почте

Наметившееся в первом кварталеувеличение процента сообщений с вредоносными вложениями, как видим на графике, продолжалось и во втором.

Распределение срабатываний нашего почтового антивируса по странам выглядело следующим образом:

Распределение срабатываний почтового антивируса по странам

Первая тройка стран рейтинга осталась без изменений по сравнению с первым кварталом 2011 года. Наибольшее количество срабатываний почтового антивируса пришлось на Россию (12,5%). На втором месте — США (12,21%), по сравнению с первым кварталом доля срабатываний почтового антивируса в этой стране увеличилась на 1,8%. На третьей строчке — Вьетнам, на долю которого пришлось 7,43% всех срабатываний почтового антивируса (+0,46%).

Индия, в первом квартале занимавшая четвертую строчку рейтинга, сдала позиции и к середине года заняла лишь восьмое место. На территории этой страны было зафиксировано 4,66% срабатываний почтового антивируса, что на 1,33% меньше, чем в прошлом квартале.

Интересно отметить, что во второй половине 2010 года, после закрытия крупных ботнетов мирового значения, количество спамовых писем с вредоносным кодом, рассылаемых индийским пользователям, заметно возросло. Мы связывали это с тем, что злоумышленникам был нанесен удар со стороны правоохранительных органов ряда развитых стран, и они начали восстановление ботсетей на территории государств с менее развитыми законами в области киберкриминального бизнеса. В спаме они распространяли вредоносное ПО, с помощью которого зараженные машины включались в состав вновь создаваемых или расширяемых ботнетов.

В первом же полугодии 2011 года почтовый антивирус в Индии стал срабатывать реже, т. е. злоумышленники уже не так активно работали над заражением новых компьютеров и включением их в ботнеты. Возможно, они уже в значительной степени восстановили потенциал своих зомби-сетей, пострадавших в процессе борьбы с ботнетами осенью 2010 г., и меньше нуждаются в заражении новых компьютеров путем рассылки зараженных писем. Во всяком случае, дальнейшее расширение ботнетов в Индии значительно замедлилось.

В то же время, после закрытия ботсети Rustock в марте 2011 года объем вредоносного спама, направленного в США, продолжил расти, достигнув пика в апреле, что можно видеть на представленном ниже графике.

Динамика срабатывания почтового антивируса по странам Q1 – Q2 2011 г.

Дело в том, что США остаются для злоумышленников очень привлекательным плацдармом для создания ботсетей. Это связано с высоким уровнем компьютеризации этой страны и повсеместным высокоскоростным доступом в интернет, чем не могут похвастаться развивающиеся страны. Соответственно, после того, как были отключены командные центры одного крупного ботнета, злоумышленники тут же постарались создать новый.

Наши предположения подтверждает и изменение состава TOP 10 вредоносных программ, детектируемых нашим антивирусом в США. В феврале большую часть зловредов, отправляемых в Штаты, составляли вредоносные программы, занимающиеся кражей финансовых данных пользователей (троянцы-банкеры) либо вымогающие деньги (порноблокеры и поддельные антивирусы). В марте и апреле больше половины TOP 10 составляли уже троянцы-загрузчики, которые устанавливают на машину пользователя вредоносное ПО, включающее зараженный компьютер в ботсеть.

Однако в мае количество направленных в США спам-рассылок, содержащих вредоносные вложения, сократилось. Уменьшилось и количество загрузчиков, устанавливающих боты на машины пользователей.

TOP 10 зловредов в почте

Четыре из десяти наиболее часто детектируемых нашим почтовым антивирусом программ — это почтовые черви. Оно и понятно — запущенный однажды почтовый червь будет продолжать распространяться, даже если его создатель уже потерял к нему интерес. Напомним, что функционал почтовых червей Email-Worm.Win32.Mydoom.m, Email-Worm.Win32.Mydoom.l и Email-Worm.Win32.Netsky.q ограничен сбором с компьютера почтовых адресов (которые червь передает злоумышленнику) и рассылкой по ним самого себя. Четвертый почтовый червь, вошедший в ТОР 10, — Email-Worm.Win32.Bagle.gt — обладает более сложным функционалом. Помимо сбора электронных адресов и рассылки самого себя он может загружать на компьютер пользователя другие вредоносные программы.

TOP 10 вредоносных программ в почте во втором квартале 2011 г.

Первое место в рейтинге занимает Trojan-Spy.HTML.Fraud.gen. Напомним, что этот зловред выполнен в виде html-страницы, копирующей регистрационную форму онлайн-банкингов или других интернет-сервисов. Регистрационные данные, введенные в такую «форму», будут отправлены злоумышленникам. Подробнее об этой программе можно прочитать здесь.

Еще одна программа из ТОР 10, нацеленная на кражу финансовых данных пользователей, — это Trojan.HTML.Fraud.fc. Она обладает точно таким же функционалом, как и Trojan-Spy.HTML.Fraud.gen, и также выполнена в виде HTML-страницы. Мишенью Trojan.HTML.Fraud.fc являются бразильские пользователи, поскольку выполнен он в виде формы регистрации одного из крупных бразильских банков.

Несмотря на то что в начале квартала мы ожидали всплеска активности рассылки поддельных антивирусов, по итогам квартала этого не произошло. Единственный зловред, как-то связанный с программами такого рода, это Packed.Win32.Katusha.n — вредоносная программа, использующаяся для упаковки другого вредоносного ПО, нередко — для упаковки поддельных антивирусов.

Фишинг

Доля фишинга во втором квартале 2011 года по-прежнему исключительно мала — 0,023% от почтового трафика. Лишь в апреле она была несколько больше — 0,03%.

Процент фишинговых писем в почте во втором квартале 2011 г.

Пара лидеров в рейтинге наиболее часто атакованных фишерами организаций во втором квартале 2011 года осталась неизменной — это платежная система PayPal (+11,21%) и интернет-аукцион eBay (-2,89%).

TOP 10 организаций, атакованных фишерами во втором квартале 2011 г.*

* Рейтинг составляется на основании доли фишинговых URL, распространенных в сети с целью получения регистрационных данных пользователей того или иного сервиса. Рейтинг не является показателем уровня безопасности упомянутых организаций. Рейтинг отображает популярность и авторитетность сервисов среди пользователей, которая напрямую отражается в их популярности у фишеров.

Третью строчку в рейтинге занял банк Santander, на долю которого пришлось 5,31% всех фишинговых атак, что на 1,9% больше, чем в прошлом квартале. В целом интерес фишеров к системам онлайн-банкинга сейчас не слишком велик: из четырех банков, попавших в ТОР 10, лишь один оказался в верхней половине списка. Такие крупные банки, как HSBC и CHASE, значительно реже подвергались атакам, чем в предыдущем квартале. HSBC, занимавший в первом квартале пятую строчку рейтинга, на этот раз занял лишь восьмую позицию (-2,7%). СHASE и вовсе не вошел в ТОР 10, заняв лишь 19-ю строчку.

Социальные сети Habbo (-0,53%) и Facebook (-0,3%) по-прежнему интересны фишерам. Они занимают четвертую и пятую строчки рейтинга соответственно.

Во втором квартале 2011 года популярная онлайн-игра World of Warcraft (1,96%) пережила меньше фишинговых атак, чем в первом (-0,94%). Однако в десятке наиболее часто атакованных организаций появилась еще одна онлайновая ролевая игра — Runescape. Эта бесплатная игра обогнала WoW по количеству атак и заняла в нашем рейтинге шестую строчку (2,62%).

Компания Google, как и в первом квартале, не попала в наш рейтинг. Однако нужно отметить, что социальная сеть Orkut, принадлежащая Google, заняла одиннадцатую строчку, а остальные сервисы Google разместились на тринадцатом месте. В сумме, процент фишинговых атак, нацеленных на Orkut и другие сервисы Google (3,04%), превосходит процент атак на RuneScape, занявшую шестое место в рейтинге.

Мы ожидаем рост количества атак на сервисы Google в связи с запуском новой социальной сети Google+. В данный момент на новом ресурсе можно регистрироваться только по приглашениям, что вызывает вокруг соцсети определенный ажиотаж. Злоумышленники могут воспользоваться этим ажиотажем в своих целях и попробовать обмануть пользователей, рассылая поддельные приглашения.

О компании Google стоит упомянуть и в связи с другим инцидентом, связанным с фишингом. В начале июня этого года стало известно, что злоумышленники из Китая получили доступ к аккаунтам Google, принадлежащим высокопоставленным чиновникам США. Такой доступ они получили благодаря методу "spearphishing”, или "целевой фишинг”. Этот вид фишинговых атак отличается от обычного фишинга тем, что, как следует из названия, их проводят более целенаправленно. В простом случае атака производится на группу пользователей, которые являются клиентами какого-либо сервиса. Письма до мельчайших деталей воспроизводят официальные уведомления таких сервисов и имеют в теле ссылку на регистрационную форму — точную копию настоящей регистрационной формы атакуемого сервиса. Утверждается, что именно такая нехитрая схема была применена для получения доступа к аккаунтам американских высокопоставленных лиц.

Официальные лица Китая отвергают выдвинутые против их граждан обвинения и называют Google «политическим инструментом», с помощью которого США очерняют репутацию азиатского государства.

Возвращаясь к целевому фишингу, поясним, что схемы атаки могут быть значительно сложнее. Мы привыкли к тому, что фишинговые письма содержат обезличенные обращения, такие как «Дорогой пользователь нашей сети!» или «Уважаемый клиент!». Однако более сложная схема целевого фишинга подразумевает, что злоумышленник знает не только то, клиентом или работником какой компании является его потенциальная жертва, но и имя и фамилию человека. Используя эти данные, преступники с большой вероятностью могут добиться доверия пользователя. Мало того, что фишинговое письмо выглядит, как сообщение от сервиса, услугами которого пользуется получатель, оно еще и персонализировано — к пользователю обращаются по имени и фамилии.

Последнее время целевой фишинг становится тенденцией — злоумышленники используют его, чтобы проводить атаки не только на отдельных пользователей, но и на крупные компании, как это произошло в случае с RSA (http://www.rsa.com/node.aspx?id=3872). Преступникам давно известно, что главной уязвимостью в системах безопасности является человек, и они весьма успешно этим пользуются.

Мы предполагаем, что в ближайшем будущем нас ждет рост количества целевых фишинговых атак. Вероятно, таким атакам могут подвергаться и небольшие компании: с одной стороны, они интереснее для фишеров с финансовой точки зрения, чем отдельные пользователи. С другой стороны, маленькие компании, в отличие от крупных организаций, как правило, не имеют надежной IT-защиты.

Заключение

С годами содержание наших почтовых ящиков меняется, особенно если речь идет о персональной, а не рабочей почте. Все меньше становится традиционных длинных писем, т.к. для передачи информации появляются более удобные способы. Вместо обычных писем мы все чаще получаем уведомления от социальных сетей, ссылки на различные фото- и видеохостинги, файлообменники. В последнее время в письмах также появляются ссылки на документы «в облаках».

Развитие спама и применяемых в нем трюков является отражением эволюции нормальной почты. Уже давно в спаме преобладают короткие письма со ссылками на сторонние сайты. Все больше становится спама, копирующего официальные уведомления от различных популярных веб-ресурсов. С появлением и популяризацией «облачных» технологий спамеры стали подделывать письма под уведомления и использовать «облачный» ресурс в своих целях. Неизменным остается только человеческий фактор и, следовательно, приемы социальной инженерии: громкие новости (как настоящие, так и вымышленные), подделка под личную переписку и другие виды заманивания пользователей по-прежнему широко применяются спамерами.

В последнее время спам становится более адресным, ориентированным на конкретную аудиторию. Спамовые письма, рассылаемые в разные страны, все чаще различаются по языкам и содержанию. Мошеннические атаки, проводимые с помощью спам-технологий, также зачастую направлены на строго определенную, иногда достаточно узкую, группу пользователей. Отметим, что на географическую направленность рассылок, возможно, повлияло закрытие крупных ботнетов, — рассылка спама в какой-то мере утеряла свой глобальный характер, а отдельные, более мелкие, ботнеты спамеры должны использовать как можно более эффективно, что вынуждает их задумываться над целевой аудиторией рассылок.

Регионами, из которых рассылается больше всего спама, остаются Азия и Латинская Америка — из-за отсутствия антиспамовых законов и большого числа плохо защищенных пользователей интернета эти регионы остаются наиболее удобными для спамеров.

После серьезной борьбы с ботнетами, осуществленной органами правопорядка осенью 2010 года, США выпали из числа стран, откуда рассылается больше всего спама. Мы, однако, ожидаем их возвращения в этот список, т.к. такой обширный регион с широкополосным интернетом не может не входить в сферу интересов спам-бизнеса, несмотря на имеющиеся в стране антиспамовые законы и большую защищенность пользователей. В целом же можно говорить о тенденции к более равномерному, чем раньше, распределению источников спама: с повсеместной компьютеризацией уже не осталось регионов, неинтересных создателям ботнетов. Остается надеяться, что в будущем количество регионов — источников спама все же начнет сокращаться благодаря развитию антиспамового законодательства.

Фишинговая атака на пользователей «В контакте»

Admin — Sun, 21 Aug 2011 03:07:17 GMT

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — предупреждает о появлении очередной фишинговой схемы, которую применяют кибермошенники для похищения логинов и паролей пользователей социальной сети «В контакте». Для реализации данной модели злоумышленники активно используют появившийся недавно в «В контакте» сервис хранения и обмена файлами.

Первоначально владелец учетной записи социальной сети «В контакте» получает сообщение от одного из пользователей, зарегистрированных в его списке друзей. Такое послание обычно не вызывает подозрений, поскольку люди привыкли относиться с некоторой степенью доверия к информации, получаемой от своих знакомых.

На момент отсылки такого послания учетная запись отправителя уже взломана, а его логин и пароль находятся в руках злоумышленников. Сообщение, как правило, содержит ссылку на графический файл, предлагающий посетить сайт злоумышленников для установки какого-либо приложения, например утилиты, позволяющей отслеживать случайных посетителей на страничке пользователя социальной сети.

Тонкость заключается в том, что рекламирующее фишинговый сайт изображение хранится на одном из серверов внутренней системы файлового обмена «В контакте», и потому при переходе по ссылке пользователю не демонстрируется сообщение о том, что он покидает сайт социальной сети. Это еще сильнее притупляет его бдительность: ведь на экране появляется объявление, подписанное якобы администрацией «В контакте» и расположенное на одном из доменов сети «В контакте». Стоит пользователю перейти на рекламируемый сайт, оформление которого копирует интерфейс данной социальной сети, и ввести свои учетные данные в форму авторизации, как они тут же попадают в руки злоумышленников, и от его имени по списку друзей начинается отправка сообщений, содержащих фишинговые ссылки.

Следует отметить, что ссылки на аналогичные фишинговые сайты нередко рассылаются троянцем Trojan.VkSpam, о котором мы уже писали в новостях.

В некоторых случаях для установки или активации какого-либо приложения незадачливому пользователю предлагается отправить СМС на короткий номер: например, услуга активации приложения MyGuests, якобы показывающего гостей странички «В контакте», обойдется в 169 рублей 33 копейки. При этом, отправив сообщение на указанный злоумышленниками короткий номер, пользователь получит ссылку на приложение, которое можно установить на сайте vkontakte.ru совершенно бесплатно.

В настоящее время используется множество подобных мошеннических схем, однако в большинстве случаев алгоритм действия злоумышленников схож с описанным выше.

Чтобы обезопасить себя, пользователям социальной сети «В контакте» следует придерживаться следующих несложных правил:

Не открывайте подозрительные ссылки, полученные даже в сообщениях от знакомых вам людей.
Не устанавливайте и не запускайте игры и приложения, рекламируемые в спам-рассылках.
Никогда и ни при каких обстоятельствах не вводите логин и пароль от своей учетной записи в «В контакте» на сайтах, URL которых отличается от vkontakte.ru.
Используйте современное антивирусное программное обеспечение.

Адрес этого, а также нескольких других сайтов, используемых злоумышленниками для похищения учетных записей пользователей в социальной сети «В контакте», уже добавлен в базы веб-антивируса SpIDer Gate, используемого в продуктах Dr.Web.