Послепраздничное затишье: вирусные угрозы января

В начале года появились новые модификации троянцев, которые при заражении системы шифруют документы пользователей и предлагают расшифровать их при помощи специальной утилиты — разумеется, небесплатной.

В частности, в январе в вирусную базу Dr.Web были добавлены модификации Trojan.Encoder.94 и Trojan.Encoder.96.

Напоминаем, что неквалифицированные действия пользователей в случае шифрования файлов могут нанести данным непоправимый вред. Категорически не рекомендуется производить процедуры, связанные с восстановлением системы, удалять временные системные файлы или очищать кэш интернет-браузера, так как это может привести к невозможности восстановления файлов.

Кроме того, для расшифровки не рекомендуется использовать первую попавшуюся утилиту — высок риск испортить файлы окончательно. Вместо этого имеет смысл обратиться в вирусную лабораторию «Доктор Веб» с запросом помощи в лечении, выбрав в категории запроса «Запрос на лечение» и приложив несколько пар документов — в зашифрованном и незашифрованном виде.

В январе блокировщики Windows продолжили свое распространение, причем эти вредоносные программы стали более разнообразными. Вместе с новыми типами блокировщиков продолжили распространение и те, что были на слуху в предыдущие месяцы.

Если в последние несколько месяцев злоумышленники требовали за разблокировку системы в среднем 300–400 рублей, то в конце января получил распространение новый тип блокировщиков, требующих перечислить на счет мобильного телефона злоумышленников от 600 до 800 рублей.

Также в конце января было зафиксировано распространение блокировщиков Windows через блог-платформу LiveJournal (широко известную в России как ЖЖ). Получив комментарий в блоге и щелкнув по ссылке в нем, пользователь попадает на сайт фотохостинга, откуда направляется на интернет-ресурс с порнографическим контентом. Там жертве мошенничества предлагается загрузить EXE-файл, за которым скрывается Trojan.Winlock.

За прошедший месяц в среднем в сутки по случаям интернет-мошенничества в бесплатную техническую поддержку компании «Доктор Веб» обращалось 178 пользователей, что на 8% больше, чем в декабре 2010 года.

Количество обращений, связанных с вредоносными программами, требующими положить деньги на счет мобильного телефона злоумышленника, увеличилось до 80% (в ноябре количество таких обращений составило 60%, а в декабре — 70% от всех обращений).

При этом количество обращений по троянцам, требующим пополнить счет мобильного телефона с использованием соответствующих СМС-сервисов сотовых операторов, а не терминалов оплаты, увеличилось с 23% в декабре до 43% в январе.

Количество обращений по вредоносным программам, требующим отправить платное СМС-сообщение, продолжает снижаться и в январе 2011 года составило лишь 15% всех обращений.

Продолжают свое распространение клиенты бот-сетей, направленных на российских пользователей систем дистанционного банковского обслуживания и электронных денежных систем. Как правило, каждая модификация такого клиента направлена одновременно на множество целей, одна из которых может оказаться на зараженном компьютере.

Специалисты компании «Доктор Веб» фиксируют активность нескольких подобных бот-сетей, в частности WinSpy и IBank. Зараженные компьютеры по команде злоумышленников время от времени обновляют компоненты, которые составляют так называемую «полезную нагрузку» бот-сети. Обновление этих компонентов объясняется тем, что мошенники вынуждены противодействовать антивирусам, которые установлены на компьютерах пользователей, а также обусловлено меняющимися конкретными целями злоумышленников.

Среди других угроз января можно отметить продолжение распространения в Западной Европе лжеантивирусов. На этот раз в «топе» таких ложных антивирусных программ находились System Tool 2011 и Antivirus Scan. Англоязычные пользователи Facebook также находятся под ударом — через спам-сообщения в этой социальной сети во второй половине прошедшего месяца зафиксировано распространение троянца Trojan.MulDrop1.62295 под видом «сюрприза» от другого пользователя соцсети.

Всего проверено: 56,551,758,514
Инфицировано: 6,363,080

Всего проверено: 127,566,192,623
Инфицировано: 61,779,350

В первом месяце нового года произошли интересные изменения в российской двадцатке вредоносного ПО. Лидером по обнаружению в январе стало семейство Win32/Spy.Ursnif.A с показателем распространенности в 3,62%, что на 0,07% больше, чем в декабре. Данный класс злонамеренного программного обеспечения крадет персональную информацию и учетные записи с зараженного компьютера, а затем отправляет их на удаленный сервер. Кроме того, такие троянцы могут распространяться в составе другого вредоносного ПО. Второе место рейтинга принадлежит уже знакомой угрозе - INF/Autorun, доля проникновения которого снизилась на 0,87% и составила 3,54%. Этот тип вредоносных программ использует для проникновения на компьютер пользователя функцию автозапуска Windows Autorun и распространяется на сменных носителях.

Январь был насыщен программами-вымогателями, которые провоцируют пользователя отправить SMS-сообщение на короткий номер для получения якобы желаемого контента. Третье место российской двадцатки на сей раз занимает мошенническая программа Win32/Packed.ZipMonster.A, которая маскируется под пиратский контент в виде архива, а при разархивации требует отправить SMS-сообщение на короткий номер. Резкий рост присутствия данного вредоносного ПО в нашем регионе связано с широким распространением мошеннической «партнерки» ZipMonster, в рамках которой продвигается различный нелегальный контент, начиная от электронных книг и заканчивая популярными видео новинками. Доля распространенности данной угрозы в январе составила 1,82%, что на 1,01% выше, чем в прошлом месяце. Такой показатель роста проникновения сегодня слишком высок для российского киберпространства.

Помимо вредоносного ПО Win32/Packed.ZipMonster.A, аналитики ESET отмечают повышенную активность и других программ-вымогателей в регионе, вошедших в рейтинг самых распространенных угроз: Win32/RegistryBooster (0,86%), Win32/Hoax.ArchSMS.EP (0,77%), Win32/HackKMS.A (0,76%), Win32/Hoax.ArchSMS.ER (0,73%). Рост присутствия каждой из этих угроз составил около 0,1% за декабрь.

Эксперты отмечают увеличение срабатываний эвристических технологий компании ESET на появление эксплойтов, направленных на эксплуатацию уязвимостей в программном обеспечении Adobe Reader. Так угроза PDF/Exploit.Pidief.PDS.Gen занимает 10 место российской двадцатки с показателем в 1,00%. Также остаются популярными вредоносные эксплойты для платформы Java. Вредоносное ПО Java/Exploit.CVE-2010-0094.C, эксплуатирующее уязвимость CVE-2010-0094, до сих пор присутствует в рейтинге с долей распространения в 0,60%. Данная уязвимость широко используется злоумышленниками для установки вредоносных программ посредством посещения пользователем вредоносной веб-страницы.

«Всплеск активности Java-эксплойтов на протяжении последнего времени не случайный, - комментирует Александр Матросов, директор Центра вирусных исследований и аналитики компании ESET. - Многие пользователи своевременно не обновляют среду выполнения Java-программ, что обеспечивает высокий уровень успешных установок вредоносных программ посредством их эксплуатации».

Доля России от общего обнаружения мировых угроз в январе снова увеличилась, на сей раз на 0,66% и достигла 11,73%. При этом процент уникальных угроз, которые приходятся на регион, снизился на 0,11% и составил 3,05%.

Что касается десяти самых распространенных угроз в мире в январе, то в рейтинге в целом нет существенных изменений. Червь Win32/Conficker снова занял первую строчку с процентом проникновения в 5,38%, ненамного опередив лидера прошлого месяца - семейство вредоносных программ INF/Autorun (5,30%). Третье место мировой десятки снова занимает угроза Win32/PSW.OnLineGames, которая используется хакерами для кражи аккаунтов игроков многопользовательских игр, с показателем распространенности в 2,17%.

«Повышенная активность программ-вымогателей в начале года связана с затяжными новогодними праздниками, в течение которых многие пользователи зачастую использовали развлекательные ресурсы с пиратским контентом, - отмечает Александр Матросов. В последние несколько месяцев в нашем топе постоянно присутствуют мошеннические программы-архивы, требующие оплату за доступ к содержимому через отправку SMS-сообщений на премиум номера. Как правило, в среднем сумма которую теряет пользователь при отправке составляет порядка 200 рублей, но гарантии того, что он получит желаемый контент – нет, и в большинстве случаев архив является пустышкой.

Двадцать самых распространенных угроз в России в январе 2011:
1. Win32/Spy.Ursnif.A 3,62%
2. INF/Autorun 3,54%
3. Win32/Packed.ZipMonster.A 1,82%
4. Win32/Conficker.AA 1,53%
5. INF/Conficker 1,14%
6. Win32/Bflient.K 1,10%
7. Win32/Conficker.X 1,10%
8. INF/Autorun.Gen 1,09%
9. Win32/Tifaut.C 1,08%
10. PDF/Exploit.Pidief.PDS.Gen 1,00%
11. Win32/Toolbar.AskSBar 0,93%
12. Win32/RegistryBooster 0,86%
13. Win32/Hoax.ArchSMS.EP 0,77%
14. Win32/HackKMS.A 0,76%
15. Win32/Conficker 0,75%
16. HTML/Iframe.B.Gen 0,73%
17. Win32/Hoax.ArchSMS.ER 0,73%
18. Java/TrojanDownloader.Agent.NCA 0,73%
19. Win32/Packed.Temida 0,67%
20. Java/Exploit.CVE-2010-0094.C 0,60%

Десять самых распространенных угроз в мире в январе 2011:

1. Win32/Conficker 5,38%
2. INF/Autorun 5,30%
3. Win32/PSW.OnLineGames 2,17%
4. Win32/Sality 1,82%
5. INF/Conficker 1,39%
6. Win32/Bflient.K 1,19%
7. Win32/Tifaut.C 1,09%
8. HTML/ScrIngect.B 0,84%
9. Win32/Spy.Ursnif.A 0,83%
10. Java/TrojanDownloader.Agent.NCA 0,76%

Статистика угроз получена с помощью ThreatSense.Net – глобального сервиса, обеспечивающего автоматическую передачу новых образцов подозрительных или вредоносных программ экспертам вирусной лаборатории ESET для анализа и принятия оперативного решения.

Концепция троянцев-вымогателей, блокирующих работу компьютера, оказалась весьма живучей. В ходе развития данной идеи вирусописатели перепробовали несколько способов перечисления денег и ряд технологических решений, иногда довольно неожиданных, вплоть до блокировки ОС из загрузочной записи.

В феврале 2011 года появилось несколько новых разновидностей Trojan.Winlock, отличающихся внешним видом блокирующего окна. Кроме того, блокировщики стали использовать новые приемы, затрудняющие анализ, а также достаточно сложные крипторы — программы для шифрования и «запутывания» готовых исполняемых файлов. Один из таких крипторов, популярных среди разработчиков Trojan.Winlock, размещает в исполняемом файле характерную иконку, позволяющую отличить такой файл визуально:


Простота реализации и эффективность этой схемы вымогательства позволяют с уверенностью утверждать, что распространение блокировщиков в обозримом будущем не прекратится. Наоборот, вероятно появление все более изощренных вариантов данного вида мошенничества.

Другая разновидность так называемых ransomware (программ-вымогателей) — шифровальщики — также напомнила о себе в феврале. Автор Trojan.Encoder несколько раз менял алгоритм шифрования, но в целом количественные показатели данного вида вредоносных программ остались на прежнем уровне. Коллектив «Доктор Веб» обеспечивает своевременную разработку и поддержку утилит — расшифровщиков данных, зашифрованных троянцами семейства Trojan.Encoder.

В десятке вредоносных лидеров февраля 2011 года оказалось сразу несколько программ для кражи денежных средств с банковских счетов, аналогичных нашумевшему троянцу Trojan.PWS.Panda, известному также как Zeus. Все они являются модификациями одного и того же вирусного прототипа. В теле троянца зашит внушительный список URL систем дистанционного банковского обслуживания. Среди них — русские, итальянские, американские, немецкие:

libertyreserve.com
perfectmoney.com
laiki.com
bankofcyprus.com
commbank.com.au
suncorpbank.com.au
stgeorge.com.au
online.westpac.com.au
anz.com
sparkasse.de
commerzbanking.de
finanzportal.fiducia.de
deutsche-bank.de
targobank.de
postbank.de
csebo.it
poste.it
gruppocarige.it
cedacri.it
payment.ru
ibank.alfabank.ru
chase.com
capitalone.com

Некоторые из троянцев этого семейства определяются антивирусом Dr.Web как Trojan.DownLoader2. В качестве дополнительной «нагрузки» троянцы имеют функции «лоадеров» и скачивают поддельные антивирусы (Trojan.FakeAlert), а также программы скрытого удаленного администрирования (BackDoor).

В сравнении с январем значительно увеличилось количество троянцев для платформы Android. Android.SmsSend написаны на Java, их единственной функцией является отправка платных СМС-сообщений на короткие номера, например 6008.

В январе был обнаружен один образец такого вредоносного ПО, в феврале — уже шесть, что позволяет говорить о тенденции, и появление более сложных и опасных троянских программ под эту платформу — дело ближайшего будущего.

Среди прочих угроз можно отметить новые модификации Win32.Virut и традиционно высокие показатели трафика различных модификаций почтовых червей Win32.HLLM.NetSky и Win32.HLLM.MyDoom.

Разработчики ботнета Trojan.WinSpy в течение февраля дважды обновляли компоненты своих ботов. В основном это коснулось алгоритмов шифрования и структуры файла sfcfiles.dll.

Отмечен спад активности червей, распространяющихся через сменные носители (Win32.HLLW.Autorunner).

Всего проверено: 59,150,116,249
Инфицировано: 11,084,834 (0.02%)

Всего проверено:128,616,744,271 Инфицировано:47,509,667 (0.04%)

В течение месяца на компьютерах пользователей продуктов «Лаборатории Касперского»:
было отражено 241 151 171 сетевых атак;
заблокировано 85 853 567 попыток заражения через веб;
обнаружено и обезврежено 219 843 736 вредоносных программ (попытки локального заражения);
отмечено 96 702 092 срабатываний эвристических вердиктов.

Мы уже не раз писали о том, что злоумышленники не гнушаются использовать любые трагические события в своих целях. Не стали исключением ни землетрясение и цунами в Японии, ни кончина Элизабет Тейлор.

Множество людей в Японии потеряли своих близких и лишились крова, весь мир с тревогой следит за развитием событий на пострадавшей от землетрясения японской АЭС «Фукусима-1». Но мошенники и вирусописатели цинично распространяют вредоносные ссылки на «горячие» новости, создают вредоносные веб-страницы, контент которых так или иначе связан с трагедией в Японии, и рассылают «нигерийские» письма со слезными просьбами оказать помощь пострадавшим, переслав деньги на счет отправителей.

Так, в одном из спамовых писем содержались ссылки якобы на последние новости о событиях в Японии. При переходе по этим ссылкам осуществлялась drive-by атака с помощью эксплойт-паков. В случае успешной атаки на компьютер пользователя загружался Trojan-Downloader.Win32.CodecPack. У каждого представителя этого семейства жестко прописаны три командных центра, куда он обращается и откуда получает списки вредоносных файлов для их дальнейшей загрузки и запуска на компьютере пользователя. А на одной из обнаруженных нами вредоносных веб-страниц посетителям предлагалось скачать видеоролик о происходящем в Японии. Однако вместо просмотра ролика пользователь загружал на свой компьютер бэкдор.

Самые «быстрые» злоумышленники орудуют в Твиттере: вредоносные ссылки на новости о смерти Элизабет Тейлор появились там уже на следующий день после того, как стало известно о кончине великой актрисы.

Призывы компаний, занимающихся IT-безопасностью, регулярно обновлять ПО на компьютерах, по-прежнему актуальны — у злоумышленников эксплойты остаются одним из излюбленных инструментов.
Java-эксплойты
Количество Java-эксплойтов достаточно велико: они составили около 14% от общего числа обнаруженных эксплойтов. В TOP 20 вредоносных программ в интернете попали три Java-эксплойта. При этом два из них — Exploit.Java.CVE-2010-0840.d (15-е место) и Exploit.Java.CVE-2010-0840.c (19-е) — новые эксплойты для уязвимости CVE-2010-0840 в Java. Напомним, что активное использование этой бреши было обнаружено в прошлом месяце.

По данным KSN-статистики, создатели вредоносного ПО активно меняют эксплойты, которые используют в ходе drive-by атак, чтобы избежать их детектирования. Это прослеживается на графике, показывающем динамику детектирования эксплойтов семейства Exploit.Java.CVE-2010-0840.


Пики на графике соответствуют периодам детектирования эксплойтов, которые используются в ходе drive-by атак, а провалы — времени появления новой модификации эксплойта.
Эксплойт к уязвимость в Adobe Flash Player
Вирусописатели на удивление быстро реагируют на сообщения о новых уязвимостях. Примером тому может послужить эксплойт к уязвимости в Adobe Flash Player, об обнаружении которой компания Adobe объявила 14 марта. Уязвимость содержится в authplay.dll и была отнесена к критической: ее эксплуатация дает злоумышленникам возможность взять под контроль компьютер пользователя.

И уже 15 марта «Лаборатория Касперского» задетектировала эксплойт к этой уязвимости. Он представляет собой Excel-файл, содержащий вредоносный SWF-файл, и детектируется как Trojan-Dropper.SWF.CVE-2011-0609.a.

25 марта мы обнаружили еще один вариант эксплойта — HTML-страничку, содержащую JavaScript с шеллкодом и вызов вредоносного Flash-файла. Шеллкод получал управление после вызова SWF-файла, использующего дыру в безопасности. Вредоносные HTML- и SWF- файлы детектируются соответственно как Exploit.JS.CVE-2011-0609 и Exploit.SWF.CVE-2011-0609.


У этой истории хороший конец: уязвимость была оперативно закрыта. Компания Adobe объявила об исправлении уязвимости 22 марта. Разумеется, хэппи-энд случится только на тех компьютерах, на которых владельцы вовремя обновили ПО.

Мы регулярно сообщаем о детектировании HTML-страниц, которые злоумышленники используют для распространения вредоносных программ или как часть мошеннической схемы. Создатели таких страниц постоянно придумывают новые способы, чтобы скрыть их от антивирусных программ.
Использование тега </b><br />В февральском отчете мы писали, что злоумышленники использовали каскадные таблицы стилей (CSS) для защиты вредоносных скриптов от детектирования. Теперь на своих вредоносных HTML-страницах вместо CSS они используют тег <textarea>. <br /><br />С помощью тега <textarea> отображаются поля ввода.<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://www.securelist.com/ru/images/vlill/top20_march2011_pic03.png' border='0' alt='Твой софтовый форум' /></div><br /><div class='divcenter'><b>Поле ввода данных, выполненное с помощью тега <textarea></b></div><br />Злоумышленники применяют этот тег как контейнер для хранения данных, которые потом будут использоваться основным скриптом.<br /><br />В марте Trojan-Downloader.JS.Agent.fun — детект одной из веб-страниц, на которой была обнаружена комбинация вредоносного скрипта и тега <textarea>, содержащего данные для скрипта, — даже попал в TOP 20 (9-е место). Скрипт, используя данные в теге <textarea>, с помощью различных методик запускает другие эксплойты.<br /><b>Зашифрованная страница</b><br />В декабрьском и январском отчетах мы рассказывали о фальшивых онлайн-антивирусах. Теперь веб-страница, на которой имитируется сканирование компьютера и навязывается покупка «антивируса», зашифрована и выполнена в виде полиморфного JavaScript-скрипта, что усложняет процедуру ее детектирования антивирусными компаниями.<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://www.securelist.com/ru/images/vlill/top20_march2011_pic04s.png' border='0' alt='Твой софтовый форум' /><br /><b>Фрагмент зашифрованной страницы с фальшивым веб-антивирусом</b></div><br />Такие полиморфные скрипты детектируются нами как Trojan.JS.Fraud.bl (18-е место в рейтинге вредоносных программ в интернете) и Trojan.JS.Agent.btv (8-е место).<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Rustock</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('d91b677bde2936abeced09bfedbae83b')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="d91b677bde2936abeced09bfedbae83b" style="display:none"><!--SPOILER END-->В марте одной из главных новостей месяца стало закрытие ботнета Rustock. Напомним, что сеть, созданная Rustock, насчитывала несколько сотен тысяч зараженных компьютеров и использовалась для рассылки спама. Операция по закрытию ботнета была организована компанией Microsoft и властями США. 17 марта Microsoft сообщила, что все управляющие серверы ботнета остановлены. На всех серверах командных центров ботнета, закрытых Microsoft, установлен редирект на microsoftinternetsafety.net.<br /><br />По данным «Лаборатории Касперского», последние экземпляры Rustock загружались на компьютеры пользователей с командных серверов ботнета 16 марта, а команда на рассылку спама последний раз была отдана 17 марта. После этого никаких команд ботам не поступало. Более того, после 16 марта не было обнаружено ни одного нового загрузчика, устанавливающего Rustock на компьютеры пользователей. <br /><br />Означает ли это, что одному из самых известных спам-ботнетов действительно пришел конец? Или хозяева заблокированной бот-сети просто затаились в ожидании более спокойных времен, когда можно будет без опаски восстановить утерянные мощности? Ответы на эти вопросы мы узнаем позже.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Зловреды для Android</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('1b393e5a365c821e117901ab9096a3a5')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="1b393e5a365c821e117901ab9096a3a5" style="display:none"><!--SPOILER END-->Вредоносные программы для Android уже не являются экзотикой. В марте злоумышленникам удалось распространить их под видом легальных приложений на Android Market. <br /><br />В начале марта на Android Market мы обнаружили инфицированные версии легальных приложений. Они содержали root-эксплойты «rage against the cage» и «exploid», которые позволяют вредоносной программе получить на Android-смартфонах права root-доступа, обеспечивающие полный доступ к операционной системе устройства. <br /><br />Во вредоносном APK-архиве помимо root-эксплойтов содержалось два вредоносных компонента. Один из них после получения root-прав с помощью POST-метода посылал на удаленный сервер злоумышленника специальный XML-файл, содержащий IMEI и IMSI, а также другую информацию об устройстве, и в ответ ждал команды. Другой зловред обладал функционалом троянца-загрузчика, однако пока нам не удалось получить загружаемые файлы.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>TOP 20 вредоносных программ в интернете</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('2ce7349eef1bded5d9471d66f647d700')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="2ce7349eef1bded5d9471d66f647d700" style="display:none"><!--SPOILER END--><div class='divcenter'><img src='https://softoroom.org/images/server2/out.php/i12278_1.JPG' border='0' alt='Твой софтовый форум' /></div><!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>TOP 20 вредоносных программ, обнаруженных на компьютерах пользователей</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('24f093c56cf33ef41c7a9fd5e5b0866a')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="24f093c56cf33ef41c7a9fd5e5b0866a" style="display:none"><!--SPOILER END--><div class='divcenter'><img src='https://softoroom.org/images/out.php/i12279_2.JPG' border='0' alt='Твой софтовый форум' /></div><!--SPOILER DIV--></div><!--SPOILER DIV--> </div> </div><div class='postwrapper'> <div class='posttopbar'> <div class='postname'>Котенка</div> <div class='postdate'>10.05.2011 - 22:40</div> </div> <div class='postcontent'> <b><div class='divcenter'>Первый бэкдор для Android и другие вирусные события в апреле 2011 года</div></b><br /><br />Самые интересные вирусные события апреля оказались связаны с мобильной платформой Android — именно на ней сосредоточили своё внимание вирусописатели. Помимо этого, прошедший месяц ознаменовался традиционным уже обнаружением уязвимостей в продукции Adobe. Как и в прошлые месяцы, топовые мировые новости нашли своё отражение в тематике спам-рассылок и мошеннических действиях в социальных сетях. На этот раз спаммеры воспользовались королевской свадьбой в Великобритании.<br /><br /><b>Новые вредоносные программы для мобильных платформ</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('9a4e8602d8f52047a6f48740a877adc1')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="9a4e8602d8f52047a6f48740a877adc1" style="display:none"><!--SPOILER END-->В апреле был зафиксирован первый полноценный бэкдор для Android, уже насчитывающий две известные модификации. <b>Android.Crusewind</b> использует ряд новых приёмов распространения и не встречавшуюся ранее нагрузку. Жертва получает сообщение, похожее на следующее: «Получены обновления настройки MMS/GPRS/EDGE. Для активации пройдите по ссылке: http://.../flash/MM329.apk». При переходе по указанной ссылке пользователь получает троянский APK — дистрибутивный пакет ОС Android (в этом формате хранятся дистрибутивы в магазине Android Market).<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/FlashP_mini.png' border='0' alt='Твой софтовый форум' /><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/MMS_mini.png' border='0' alt='Твой софтовый форум' /></div><br />После установки троянец скачивает со своего командного центра конфигурационный файл в формате XML. При этом вредоносная программа обладает достаточно серьёзным набором функций. Например, она способна рассылать SMS-сообщения по команде с сервера. <br /><br />В ходе усложнения мобильных ОС и увеличения производительности смартфонов вредоносные программы под эти платформы также усложняются, приближаясь по своим характеристикам к вирусам для персональных компьютеров. Появления подобной Android.Crusewind программы следовало ожидать уже давно. Можно предположить, что по мере распространения антивирусного ПО для мобильных платформ вирусописатели перенесут на них свойства и других классов троянцев под платформу x86. Таких, например, как руткиты.<br /><br />Также было обнаружено несколько новых троянских программ под мобильную ОС Android. Появились новые модификации троянцев <b>Android.Spy</b> и <b>Android.SmsSend</b>.<br /><br /><b>Android.Spy.54</b> был обнаружен на китайском ресурсе www.nduoa.com, который представляет собой сборник различных приложений для платформы Android. Троянец был встроен в программу Paojiao — виджет, позволяющий совершать звонки или отсылать SMS на выбранные номера. Распространение в составе легитимных программ является стандартной моделью для вредоносных программ семейства <b>Android.Spy</b>. <br /><br />Новая модификация <b>Android.Spy</b> регистрирует фоновый сервис, который соединяется с сервером злоумышленников, отсылая им идентификационные данные жертвы (в частности, международный идентификатор мобильного оборудования IMEI и индивидуальный номер абонента IMSI). Кроме того, троянец загружает конфигурационный xml-файл, содержащий команды для спам-рассылки SMS с телефона жертвы и добавления определенных сайтов в закладки браузера.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Adobe продолжает «радовать» пользователей</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('d43c9ffe6205dfa299026223b2de1f2b')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="d43c9ffe6205dfa299026223b2de1f2b" style="display:none"><!--SPOILER END-->В марте мы уже писали о критической уязвимости в продукции Adobe. Причём тогда традиционный для таких уязвимостей термин 0-day в буквальном смысле превратился в 0-week: уязвимость закрывали в течение недели, в то время как в публичном доступе находилось несколько образцов ее эксплуатации. <br /><br />8 апреля 2011 года стало известно о новой уязвимости CVE-2011-0611, а вскоре появились подробные технические описания и реализации уязвимости. Как и в случае с прошлым инцидентом, речь идёт о внедрении троянского SWF-объекта в документ MS Office (DOC-файл) и в файлы PDF. Вскоре появились и образцы спам-рассылок, содержащих эксплойты уязвимости <b>Exploit.Rtf.based</b> и <b>Exploit.PDF.2177</b>.<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/obama_mini.jpg' border='0' alt='Твой софтовый форум' /></div><br /><div class='divcenter'><i>Рис. 2. Exploit.Rtf.based</i><br /><br /><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/ngo_mini.jpg' border='0' alt='Твой софтовый форум' /><br /><i>Рис. 3. Exploit.PDF.2177</i></div><!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Массовые рассылки и поддельное антивирусное ПО</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('f85311e40f6d627732b9300546a20f29')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="f85311e40f6d627732b9300546a20f29" style="display:none"><!--SPOILER END-->Также в прошедшем месяце были зафиксированы массовые рассылки, содержащие многочисленные модификации примитивного троянца <b>Trojan.Download.64325</b>. В течение двух недель было обнаружено несколько разновидностей этого загрузчика. Троянец загружал на компьютер жертвы <b>Trojan.FakeAlert.20509</b>. Рассылка велась через ботнет BlackEnergy. Анализ активности этого ботнета выявил в списке рассылки значительные группы корпоративных адресов, принадлежащих, в частности, фармакологическим компаниям, таким как <b>SecureMedical Inc.</b>, что подразумевает возможность утечки баз данных почтовых адресов и передачи их в руки спамеров.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Мошеннические ссылки и активность в социальных сетях</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('a724a2f58beb5007f782d0001803fd98')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="a724a2f58beb5007f782d0001803fd98" style="display:none"><!--SPOILER END-->Мошенники в социальных сетях продолжают эксплуатировать интерес пользователей к популярным новостям, при этом не считаясь ни с какими этическими нормами. Несколько несчастных случаев в парках аттракционов попали на видео и получили широкую огласку. Впоследствии новости о несчастных случаях были использованы злоумышленниками в качестве темы для рассылки в Facebook, чтобы спровоцировать переход пользователя по троянской ссылке.<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/theme-park_mini.jpg' border='0' alt='Твой софтовый форум' /><br /><br /><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/theme-park-2_mini.jpg' border='0' alt='Твой софтовый форум' /><br /><i>Рис. 4, 5. Рассылка о несчастном случае в парке аттракционов Алтон (Великобритания)</i></div><br />В других случаях в качестве наживки использовались новости о королевской свадьбе в Великобритании. При этом пользователь, переходящий по этим ссылкам, попадал на сайт, распространяющий поддельное антивирусное ПО.<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/Wedding_mini.png' border='0' alt='Твой софтовый форум' /><br /><i>Рис. 6. Мошеннические ссылки на новости о королевской свадьбе в Великобритании</i><br /><br /><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/FakeAV_page_mini.png' border='0' alt='Твой софтовый форум' /><br /><i>Рис. 7. Внешний вид мошеннической страницы</i><br /><br /><img src='https://softoroom.org/images_redirect/http://st.drweb.com/static/new-www/files/2011/FakeAV2_mini.png' border='0' alt='Твой софтовый форум' /><br /><i>Рис. 8. Внешний вид образца Trojan.FakeAlert, скачиваемого по троянским ссылкам</i></div><!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Заключение</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('bc86010fe1813e19fa12904b2a2ccc12')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="bc86010fe1813e19fa12904b2a2ccc12" style="display:none"><!--SPOILER END-->Можно с уверенностью говорить о том, что наметился и окончательно оформился новый вектор вирусных атак. Злоумышленники проявляют растущий интерес к мобильным платформам. В настоящее время происходит перенос наработок и накопленного опыта вирусописателей для PC на платформу Android, очевидное усложнение и большее разнообразие троянского ПО под нее. Скорее всего, конкурирующей платформе iOS в ближайшем будущем злоумышленники также уделят внимание.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Образцы троянского ПО, обнаруженные в апреле 2011 года в почтовом трафике</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('29a253ba9c752cba2184dbe4e0b0c60d')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="29a253ba9c752cba2184dbe4e0b0c60d" style="display:none"><!--SPOILER END--><div class='divcenter'><img src='https://softoroom.org/images/server3/out.php/i13683_1.JPG' border='0' alt='Твой софтовый форум' /></div><br /><b>Всего проверено</b>:<br /><br />32,697,947,759<br /><br /><b>Инфицировано</b>:<br /><br />45,761,288 (0.14%)<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Образцы троянского ПО, обнаруженные в апреле 2011 года на компьютерах пользователей</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('12d6249dfbf2aabeaf34cc78690cf281')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="12d6249dfbf2aabeaf34cc78690cf281" style="display:none"><!--SPOILER END--><div class='divcenter'><img src='https://softoroom.org/images/out.php/i13684_2.JPG' border='0' alt='Твой софтовый форум' /></div><br /><b>Всего проверено</b>:<br /><br />218,706,105,678<br /><br /><b>Инфицировано</b>:<br /><br />73,187,388 (0.03%)<!--SPOILER DIV--></div><!--SPOILER DIV--> </div> </div><div class='postwrapper'> <div class='posttopbar'> <div class='postname'>Котенка</div> <div class='postdate'>11.05.2011 - 11:56</div> </div> <div class='postcontent'> <b><div class='divcenter'>Обзор вирусной активности — апрель 2011</div></b><br /><br />В течение месяца на компьютерах пользователей продуктов «Лаборатории Касперского»:<br />отражено 221 305 841 сетевых атак; <br />заблокировано 73 211 764 попыток заражения через Web; <br />обнаружено и обезврежено 189 999 451 вредоносных программ (попытки локального заражения); <br />отмечено 86 630 158 срабатываний эвристических вердиктов.<br /><br /><b>DDoS-атаки на LiveJournal</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('0e690a65a76a564242d663e0d631417a')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="0e690a65a76a564242d663e0d631417a" style="display:none"><!--SPOILER END-->Начавшиеся в самом конце марта и продолжившиеся в начале апреля DDoS-атаки на блог-хостинг LiveJournal.com стали заметным событием в России. Один из ботнетов, ответственных за атаку, находится под нашим наблюдением, что позволило выявить некоторые подробности атаки.<br /><br />До начала апреля практически каждый день все компьютеры, входящие в состав этого ботнета, получали в качестве мишени для DDoS-атаки одну-две ссылки. Однако 4 апреля все боты получили список из 36 ссылок. В число атакованных попали главные страницы LiveJournal: <a href='https://softoroom.org/1ink/org.php?url=hxxp/livejournal.com' target='_blank' rel='nofollow'>http://livejournal.com</a> и <a href='https://softoroom.org/1ink/org.php?url=hxxp/livejournal.ru' target='_blank' rel='nofollow'>http://livejournal.ru</a>. Остальные ссылки в списке вели на популярные странички российских блогеров-«тысячников». Атакованные страницы периодически были недоступны 30 марта, 4 и 6 апреля. Атаки прекратились после 6 апреля.<br /><br />Использованный злоумышленниками ботнет построен на основе популярного бота Optima, который появился в продаже в конце 2010 года. По некоторым косвенным признакам можно сказать, что зомби-сеть, объединяющая зараженные Optima машины и принимавшая участие в DDoS-атаке, cостоит из десятков тысяч зараженных компьютеров.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>PDF-эксплойты</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('59124b1140ae67738eac44451f811bd4')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="59124b1140ae67738eac44451f811bd4" style="display:none"><!--SPOILER END-->В очередной раз мы фиксируем рост активности эксплойтов, использующих уязвимости в продуктах Adobe. Один из таких экспойтов — Exploit.JS.Pdfka.dmg — оказался на 9-м месте среди 20 наиболее распространенных программ в интернете. Количество пользователей, подвергшихся в апреле атакам различными модификациями Exploit.JS.Pdfka, исчисляется уже сотнями тысяч. Рисунок ниже иллюстрирует это.<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://www.securelist.com/ru/images/pictures/klblog/40460.png' border='0' alt='Твой софтовый форум' /><br /><i>География распространенности семейства Exploit.JS.Pdfka в апреле. Первое место — Россия, <br />второе — США, третье — Германия</i></div><br />Злоумышленники уже в который раз используют одну и ту же тактику: на взломанном легальном ресурсе размещается вредоносный JavaScript, который эксплуатирует критическую уязвимость в одном из популярных легальных продуктов. Если пользователь, использующий уязвимое ПО, попадает на легальный взломанный ресурс, то практически сразу же в результате срабатывания эксплойта на его компьютер незаметно загружается одна или несколько вредоносных программ. То есть в очередной раз мы имеем дело с уже ставшими классическими drive-by-download атаками.<br /><br />В апреле компания Adobe закрыла очередной набор уязвимостей в своих продуктах Adobe Reader и Adobe Acrobat. Уровень опасности уязвимостей был обозначен как «Critical». <!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Уязвимость MS11-020</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('acfc9395532dee434f4e54273743c8ed')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="acfc9395532dee434f4e54273743c8ed" style="display:none"><!--SPOILER END-->В апреле компания Microsoft выпустила 17 бюллетеней, закрывающих уязвимости в различных продуктах Windows. Среди 63 уязвимостей, исправленных Microsoft, есть и патч для критической «дыры» MS11-020. Опасная брешь, открывающая возможность удаленного исполнения произвольного кода в нулевом кольце, была обнаружена в SMB Server. Данная уязвимость может эксплуатироваться с использованием специально сформированного SMB-пакета, отправляемого на уязвимую систему. Уязвимость представляет серьезную опасность: в прошлом обнаружение подобной уязвимости повлекло за собой появление такого червя, как Kido. Поэтому мы настоятельно рекомендуем всем пользователям как можно быстрее обновить свои системы.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>SMS-троянцы</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('6671f26839b9beab46acac403b2e0665')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="6671f26839b9beab46acac403b2e0665" style="display:none"><!--SPOILER END-->В апреле продолжилось активное распространение SMS-троянцев (в основном, на территории России). Одним из каналов распространения по-прежнему был SMS-спам. В течение месяца мы регулярно получали жалобы пользователей на спамовые SMS-рассылки. <br /><br />Некоторые рассылки обладали общими признаками: <br />рассылки осуществлялись примерно в одно и то же время (в 4 или 5 утра по московскому времени); <br />сообщения в подавляющем большинстве случаев имели следующий вид: ‘Poluchen MMS dlya abonenta <телефонный номер получателя>. Posmotret: http://*****.do.am/имя_файла.jar’; <br />во вредоносных ссылках использовались имена файлов YaZ.jar либо 606.jar.<br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://www.securelist.com/ru/images/pictures/klblog/40461.png' border='0' alt='Твой софтовый форум' /><br /><i>Пример одного из спамовых SMS-сообщений</i></div><br />На момент осуществления всех зафиксированных нами рассылок файлы, на которые вели ссылки, детектировались «Лабораторией Касперского» как Trojan-SMS.J2ME.Smmer.f.<br /><br />И еще одна деталь: судя по всему, вредоносные сайты, на которые вели ссылки в спам-сообщениях, на самом деле создавались с помощью одного из популярных бесплатных онлайн-конструкторов сайтов. Владельцы данного конструктора предоставляют в том числе и услуги хостинга, которыми и воспользовались злоумышленники, разместив вредоносные страницы на домене второго уровня .do.am.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Закрытие ботнета Coreflood</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('a7a78cd22f7c02d00864c93c058a9843')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="a7a78cd22f7c02d00864c93c058a9843" style="display:none"><!--SPOILER END-->Наступление на бот-сети продолжается. Вслед за закрытием ботнета Rustock, о котором мы писали в мартовском обзоре, в апреле были закрыты командные центры еще одного немаленького (порядка 2 миллионов зомби-машин) ботнета Coreflood. Большинство зараженных ботами машин располагалось на территории США.<br /><br />В данном случае инициатором закрытия стало министерство юстиции США, которое получило разрешение на перехват управления ботнетом. После перехвата управления бот-сетью всем ботам была разослана команда на прекращение работы. <br /><br />Уже не в первый раз государственные органы принимают активное участие в нейтрализации бот-сетей. Напомним, что ботнет Rustock был закрыт в результате совместной операции компании Microsoft и властей США, ботнет Bredolab был ликвидирован (а его предполагаемый владелец и создатель задержан) полицией Нидерландов.<br /><br />Надеемся, что усилия государственных органов по закрытию ботнетов продолжатся, и в будущем мы еще не раз узнаем об успешном проведении подобных операций.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>Взлом PlayStation Network</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('a1653d58ddedb1565214d8c363c50471')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="a1653d58ddedb1565214d8c363c50471" style="display:none"><!--SPOILER END-->В конце апреля компания Sony сообщила о том, что PlayStation Network (PSN) была взломана. Корпорация подтвердила, что злоумышленникам стали доступны личные данные пользователей (имена, электронные и почтовые адреса, даты рождения, логины и пароли). Sony не исключила и возможности хищения данных кредитных карт, хотя доказательств кражи этой информации не было. <br /><br />Sony совместно с неназванной компанией ведет расследование данного инцидента. Стоит отметить, что в PSN зарегистрировано порядка 75 миллионов аккаунтов, и данная утечка персональных данных по сути является крупнейшей за всю историю.<br /><br />По-прежнему нет информации о том, когда игроки смогут вновь воспользоваться PSN. Пользователям PSN настоятельно рекомендуется сменить пароль к учетной записи игрового сервиса, а также к другим сервисам (если использовался один и тот же пароль). Также необходимо следить за своей кредитной картой, и в случае появления признаков мошенничества, сразу же ее блокировать.<br /><br />P.S. Второго мая Sony опубликовала сообщение о том, что в результате хакерской атаки злоумышленникам стали доступны персональные данные (имя, адрес, email, пол, дата рождения, телефонный номер, логин и хэш пароля) не только игроков PSN, но и пользователей Sony Online Entertainment. Также компания сообщила об утечке информации о 12700 кредитных картах (номер карты и срок действия) из устаревшей базы данных 2007 года.<!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>TOP 20 вредоносных программ в интернете</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('836c1a3e825ed14f246c027be3091ed5')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="836c1a3e825ed14f246c027be3091ed5" style="display:none"><!--SPOILER END--><div class='divcenter'><img src='https://softoroom.org/images/server6/out.php/i13693_1.JPG' border='0' alt='Твой софтовый форум' /></div><br /><i>* Общее число уникальных инцидентов, зафиксированных веб-антивирусом на компьютерах пользователей.</i><!--SPOILER DIV--></div><!--SPOILER DIV--><br /><br /><b>TOP 20 вредоносных программ, обнаруженных на компьютерах пользователей</b><br /><!--SPOILER BEGIN--><div class="quotetop" onClick="OpenSpoiler('b63ff77b01145ccf9fa299d907658b3f')" style="cursor: pointer; cursor: hand;"><b><u>» <!--SPOILER TITLE-->Нажмите, для открытия спойлера | Press to open the spoiler<!--SPOILER TITLE END--> «</u></b></div><div class="quotemain" id="b63ff77b01145ccf9fa299d907658b3f" style="display:none"><!--SPOILER END--><div class='divcenter'><img src='https://softoroom.org/images/server6/out.php/i13694_2.JPG' border='0' alt='Твой софтовый форум' /></div><br /><i>* Число уникальных пользователей, на компьютерах которых антивирус детектировал данный объект.</i><!--SPOILER DIV--></div><!--SPOILER DIV--> </div> </div><div class='postwrapper'> <div class='posttopbar'> <div class='postname'>Котенка</div> <div class='postdate'>20.09.2011 - 13:07</div> </div> <div class='postcontent'> <b><div class='divcenter'>Развитие киберугроз в августе 2011 года: корпоративные сети под давлением хакеров</div></b><br /><br /><div class='divcenter'><img src='https://softoroom.org/images_redirect/http://news.softodrom.ru/img/news/kaspersky_lab.gif' border='0' alt='Твой софтовый форум' /></div><br /><br />«Лаборатория Касперского» проанализировала развитие киберугроз в августе 2011 года. Ключевыми событиями минувшего месяца стали атаки на корпоративные сети, активность нового троянца для Android и клона нашумевшей шпионской программы ZeuS.<br /><br />Август принес плохие новости для пользователей онлайн-банкинга. В минувшем месяце широкое распространение получил новый клон известного троянца ZeuS, который давно считается наиболее опасной угрозой для тех, кто пользуется банковскими услугами в Интернете. Очередное детище вирусописателей получило авторское название Ice IX, и приобрести его можно за 600-1800 долларов США. Как и в истории самого Зевса, здесь также можно говорить о результатах труда русскоязычных киберпреступников. Появление Ice IX, который обладает значительным функционалом и существенно снижает цены на подобных троянцев, в ближайшей перспективе приведет к появлению новых «внебрачных сыновей» Зевса и еще большему числу атак на пользователей систем онлайн-банкинга.<br /><br />Не сидят сложа руки и создатели вредоносного кода для мобильных платформ. Сегодня 99% всех подобных зловредов, обнаруживаемых «Лабораторией Касперского», создаются злоумышленниками для получения нелегального дохода прямым или косвенным путем. В августе особенно ярко проявил себя троянец Nickspy. Он способен записывать все разговоры владельца зараженного устройства и загружать их на удаленный сервер злоумышленника. Одна из последних модификаций данного троянца маскируется под приложение социальной сети Google+. Он дает возможность злоумышленникам слышать все, что происходит вблизи зараженного устройства – в том числе разговоры его хозяина. Полученную таким образом информацию преступники в дальнейшем могут продать на «черном рынке» заинтересованным лицам.<br /><br />Отдельного внимания заслуживает способ получения нелегальных доходов при помощи виртуальных инструментов. Этим летом в центре внимания киберпреступников оказалась система генерации электронных денег Bitcoin, основанная на использовании вычислительных мощностей компьютеров. Еще в июне эксперты «Лаборатория Касперского» обнаружили первый троянец Trojan.NSIS.Miner.a, который скрытно от пользователя зараженной машины генерировал «монеты». В августе киберпреступники стали использовать для этих целей Twitter, P2P-сетей и прокси. Всего за прошедший месяц эксперты «Лаборатории Касперского» обнаружили 35 различных вредоносных программ, так или иначе нацеленных на работу с системой Bitcoin.<br /><br />Несмотря на традиционный в летние месяцы спад деловой активности, август оказался богат инцидентами, связанными с атаками на компании и государственные структуры по всему миру. Многие из них были совершены хакерскими группами, такими как AntiSec/Anonimous. Жертвами «хактивистов» стали итальянская киберполиция, ряд сотрудничающих с правоохранительными органами компаний в США, а также военный подрядчик Vanguard, занимающийся системами коммуникации по заказу американского министерства обороны. В публичный доступ попали гигабайты приватной информации, причем в ситуации с итальянской киберполицией были обнародованы документы, вероятней всего принадлежавшие индийскому посольству в России. Эти и другие случаи наглядно демонстрируют, что корпоративные сети остаются довольно уязвимыми и испытывают растущее давление со стороны киберпреступников. </div> </div> <br><div style="background-color:#F8F8FF;text-align:center;font-size:75%;"><br>Для просмотра <b>полной версии</b> этой страницы, пожалуйста, пройдите по ссылке: <a href='https://softoroom.org/topic74475.html'><strong>Послепраздничное затишье: вирусные угрозы января</strong></a> <br><script type="text/javascript"> function OpenSpoiler(id) { var obj = ""; if(document.getElementById) obj = document.getElementById(id).style; else if(document.all) obj = document.all[id]; else if(document.layers) obj = document.layers[id]; else return 1; if(obj.display == "") obj.display = "none"; else if(obj.display != "none") obj.display = "none"; else obj.display = "block"; } </script> <!--LiveInternet counter--><a href="https://www.liveinternet.ru/click" target="_blank"><img id="licnt8ECA" width="31" height="31" style="border:0" title="LiveInternet" src="data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///yH5BAEAAAEALAAAAAABAAEAAAIBTAA7" alt=""/></a><script>(function(d,s){d.getElementById("licnt8ECA").src= "https://counter.yadro.ru/hit?t44.1;r"+escape(d.referrer)+ ((typeof(s)=="undefined")?"":";s"+s.width+"*"+s.height+"*"+ (s.colorDepth?s.colorDepth:s.pixelDepth))+";u"+escape(d.URL)+ ";h"+escape(d.title.substring(0,150))+";"+Math.random()}) (document,screen)</script><!--/LiveInternet--> </div> <div style='text-align:center'>SoftoRooM © 2004-2024</div></div></body></html>