Март 2011 года оказался богат на события в сфере информационной безопасности. В числе главных новостей — проникновение троянцев в платёжные терминалы и ликвидация крупнейшей в мире спам-сети — ботнета Trojan.Spambot, известного также под названием Rustock.

Помимо этого, злоумышленники предприняли ряд заметных атак на социальные сети. Кроме того, как и следовало ожидать, катастрофа в Японии послужила темой множества спам-рассылок и спекуляций.

Закрытие ботнета Trojan.Spambot

17 марта 2011 года прекратил работу самый крупный генератор спама, ботнет Trojan.Spambot. 26 командных центров ботнета стали недоступны, и сотни тысяч ботов, оставшись без управления, впали в спячку.

По оценкам Microsoft, компьютер, заражённый Trojan.Spambot, рассылал до 10000 писем в час. При этом, по данным некоторых экспертов, в спам-сеть входило порядка 815 тысяч ботов. Таким образом, суммарный спам-трафик, создаваемый ботнетом Trojan.Spambot, можно оценивать в несколько миллиардов сообщений в сутки. Ответственность за обезглавливание ботнета Trojan.Spambot взяла на себя корпорация Microsoft, которая провела операцию совместно с американскими властями.

Trojan.Spambot, первые известные образцы которого датируются 2005 годом, стал одним из самых высокотехнологичных и сложных представителей актуального троянского ПО. Разработчик Trojan.Spambot несколько лет совершенствовал эту программу, а разбор кода троянца послужил источником множества аналитических публикаций.

Юридическим обоснованием операции был гражданский иск Microsoft против неустановленных лиц, стоявших за данным ботнетом. По распространённой версии, злоумышленниками являются наши соотечественники.

Пока сложно давать прогнозы относительно будущего спам-индустрии. Тот ощутимый урон, который нанесло ей закрытие крупнейшей спам-сети, может быть быстро возмещён ростом других ботнетов. Лидирующие позиции в распространении спама уже занял давно известный ботнет Win32.HLLM.Beagle, активность которого последние несколько лет была низкой. Обе спам-сети специализируются на т. н. фарм-спаме – рекламе лекарственных препаратов.

В дальнейшем стоит также быть готовыми к изменению архитектуры ботнетов в сторону децентрализации. Также высказываются предположения о возможности восстановления ботнета Trojan.Spambot.

Троянцы в терминалах

В марте 2011 года компания «Доктор Веб» заявила об обнаружении новой модификации троянца Trojan.PWS.OSMP, специализирующегося на заражении терминалов экспресс-оплаты. Этот троянец изменяет номера счетов получателей платежей. А последняя его модификация, вероятно, позволяет злоумышленникам создать виртуальный терминал.

Примечательно, что троянец был обнаружен не при анализе заражённого терминала, а при мониторинге бот-сети другого троянца, обеспечивающего пути проникновения Trojan.PWS.OSMP на терминалы.

Заражение терминалов происходит в два этапа. Сначала на терминал попадает BackDoor.Pushnik, который представляет собой запакованный исполняемый файл размером ~620 КБ, написанный на Delphi, и распространяется через сменные носители. После установки троянец получает управляющие данные от своих командных центров и, через несколько промежуточных шагов, загружает и запускает бинарный файл размером 60-70 КБ, содержащий Trojan.PWS.OSMP. Тот перебирает запущенные процессы в поисках процесса maratl.exe, являющегося частью программного окружения платёжных терминалов. В случае успеха троянец внедряется в процесс и изменяет счёт получателя непосредственно в памяти процесса, подставляя счета злоумышленников.

Последняя зафиксированная версия троянца реализует другую схему мошенничества. Trojan.PWS.OSMP копирует на свой сервер конфигурационный файл ПО платёжного терминала. Кража конфигурационного файла предполагает попытку создания поддельного терминала на компьютере злоумышленников, что должно позволить перенаправлять безналичные денежные средства на счета разработчиков троянца.

Новые критические уязвимости в продукции Adobe

14 марта 2011 года Adobe объявила об обнаружении очередной уязвимости в проигрывателе Adobe Flash Player 10.2.152.33 и некоторых более ранних версиях.

Уязвимость позволяет злоумышленникам атаковать систему при помощи специально оформленного swf-файла. Она является общей для версий данного программного продукта для Windows, Mac OS, Linux, Solaris и ранних версий Android.

Обновления, закрывающие эту уязвимость, были выпущены только 21 марта. Таким образом, уязвимость оставалась актуальной в течение недели. Вскоре после этого в открытом доступе оказались исходные коды примера эксплуатации данной уязвимости.

Данный swf-файл загружает в память shell-код, затем выполняет атаку на уязвимый flash-проигрыватель, используя технику Heap Spray. Затем код swf-файла загружает второй swf-файл, который использует уязвимость интерпретатора байт-кода ActionScript CVE-2011-0609, общего для всех уязвимых систем.

Демонстрация уязвимости спровоцировала рассылки писем, содержащих во вложении троянский xls-файл, включающий в себя Exploit.SWF.169. При запуске троянского файла среда MS Excel на некоторое время перестаёт отвечать, при этом пользователь видит пустую таблицу со встроенным flash-роликом без изображения.

В это время Exploit.SWF.169 осуществляет свою локальную атаку, сохраняет на диск и запускает исполняемый файл с нагрузкой в виде Trojan.MulDrop1.64014 или Trojan.MulDrop.13648.

Атаки на социальные сети

На сегодняшний день социальные сети — популярная цель хакерских атак. Подтвердил это и прошедший месяц — атакам подверглись популярные сервисы LiveJournal и Facebook.

4 марта 2011 года была осуществлена массовая рассылка фишинговых писем от имени администрации сервиса LiveJournal, содержащих уведомления о блокировке и возможном удалении аккаунта на LiveJournal.

При этом в графе отправителя фишингового письма был указан адрес Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра., который действительно используется сервисом LiveJournal для рассылки уведомлений. Мошенническая ссылка, по которой предлагается перейти, ведёт на один из поддельных сайтов: livejorrnal.com или xn--livejurnal-ivi.com.

При переходе пользователь попадает на страницу, копирующую дизайн оригинального LiveJournal. Данные, которые здесь вводит пользователь, передаются мошенникам.

Через несколько дней похожей атаке подвергся сервис Facebook. Его пользователи стали получать спам-сообщения, рассылаемые от имени действующих аккаунтов Facebook. В сообщениях содержалась короткая ссылка (такая методика часто используется при подобных атаках). При этом пользователь не может узнать заранее, куда такая ссылка ведёт. В данном случае она приводила на мошенническую страницу, копирующую дизайн Facebook. На этой странице размещалось уведомление с запросом личной информации пользователя. В случае заполнения полей запроса злоумышленники получали доступ к аккаунту жертвы, от имени которой в дальнейшем происходила аналогичная рассылка по списку друзей.

Очевидно, что злоумышленники продолжают совершенствовать технические приёмы и методы социальной инженерии при атаках с использованием социальных сетей.

30 марта 2011 года LiveJournal подвергся очередной DDoS-атаке. По оценкам администрации сервиса, самой масштабной за время его существования. Атака продолжалась несколько часов, в это время сервис был практически недоступен.

Волна спам-рассылок, связанных с катастрофой в Японии

Как и следовало ожидать, нашлись злоумышленники, готовые воспользоваться чужой бедой, и за катастрофой в Японии последовала волна спама соответствующей тематики.

Некоторые образцы спам-рассылок содержали призывы к пожертвованиям, при этом в качестве отправителя фигурировала одна из известных благотворительных организаций («Красный крест», «Армия спасения» и т. п.).

В теле письма, как правило, присутствовала ссылка на соответствующий мошеннический ресурс, готовый принимать пожертвования.

Вредоносные файлы, обнаруженные в марте 2011 года в почтовом трафике

01.03.2011 00:00 - 31.03.2011 01:00
1	Trojan.Inject.28090	2517487 (9.89%)
2	Trojan.Inject.27975	2063777 (8.10%)
3	Trojan.DownLoad2.20306	1656904 (6.51%)
4	Trojan.DownLoader2.22364	1457945 (5.73%)
5	Trojan.Inject.28053	1358480 (5.33%)
6	Trojan.DownLoader2.265	1352313 (5.31%)
7	Win32.HLLM.MyDoom.33808	1184204 (4.65%)
8	Trojan.DownLoader2.17823	1057371 (4.15%)
9	Trojan.DownLoader2.1901	1030685 (4.05%)
10	Trojan.DownLoader2.2035	940626 (3.69%)
11	Trojan.DownLoader2.2977	837149 (3.29%)
12	Win32.HLLM.Netsky.18401	834193 (3.28%)
13	Trojan.DownLoader2.10188	682540 (2.68%)
14	Trojan.DownLoad1.58681	568003 (2.23%)
15	Trojan.DownLoader2.16572	563631 (2.21%)
16	Trojan.Packed.20878	409260 (1.61%)
17	Win32.HLLW.Texmer.51	404317 (1.59%)
18	Win32.HLLM.Netsky.35328	369690 (1.45%)
19	Trojan.MulDrop.64589	367488 (1.44%)
20	Trojan.DownLoad.41551	341949 (1.34%)

 

Всего проверено:	74,983,221,402
Инфицировано:	25,463,678 (0.03%)

Вредоносные файлы, обнаруженные в марте 2011 года на компьютерах пользователей

01.03.2011 00:00 - 31.03.2011 01:00
1	Win32.HLLP.Neshta	16013222 (29.74%)
2	Win32.HLLP.Novosel	11746302 (21.82%)
3	JS.IFrame.95	5125132 (9.52%)
4	Win32.HLLP.Whboy.45	4336264 (8.05%)
5	Win32.Siggen.8	3985715 (7.40%)
6	Win32.HLLW.Whboy	2565223 (4.76%)
7	ACAD.Pasdoc	1072822 (1.99%)
8	Trojan.MulDrop1.48542	486108 (0.90%)
9	Trojan.Click.64310	462653 (0.86%)
10	Win32.Antidot.1	455366 (0.85%)
11	JS.Click.22	393754 (0.73%)
12	Win32.HLLP.Whboy	254289 (0.47%)
13	Win32.HLLW.Shadow.based	241028 (0.45%)
14	Win32.Sector.22	229577 (0.43%)
15	Win32.HLLP.Rox	216080 (0.40%)
16	Win32.Sector.12	204476 (0.38%)
17	Trojan.Packed.21230	186951 (0.35%)
18	Exploit.Cpllnk	168504 (0.31%)
19	Win32.Virut.56	155258 (0.29%)
20	Trojan.DownLoad.32973	142519 (0.26%)

 

Всего проверено:	139,536,970,982
Инфицировано:	53,840,333 (0.04%)

Источник: Пресс-центр компании "Доктор Веб"

Дополнительная информация о продуктах компании Dr.Web