Дата: Понедельник, 01.11.2010, 22:40 | Сообщение # 1
со-Админ
Wilde Jagd
Сообщений: 3420
Отсутствует
Новая кроссплатформенная угроза для пользователей социальных сетей
Сергей Голованов Эксперт «Лаборатории Касперского» опубликовано 29 окт 2010, 19:11 MSK Сюжеты: Социальные сети
В социальной сети Facebook появился новый зловред, имя ему Trojan-Downloader.Java.Alboto.a. Схема работы этой вредоносной программы подозрительно похожа на схему koobface, но с одним очень существенным отличием – она написана на языке JAVA. Как следствие, под ударом оказались пользователи всех операционных систем.
Первые жалобы пользователей на эту вредоносную программу появились на сайте компании Apple в начале этого месяца. У пользователей Mac OS X возникли проблемы с установкой новых драйверов для оборудования. В результате этого стало известно еще об одной программе, атакующей Mac.
Сообщение на форуме компании Apple о связи обновления драйверов операционной системы и социальной сети Facebook
Заражение начитается с перехода по ссылке, которую пользователь получает от своих друзей в Facebook. Ссылка или на сторонний блог, или на социальную сеть, или просто на сайт на бесплатном хостинге. Ссылка содержит сообщение «IMPORTANT! PLEASE READ» или «Is this you in this video here».
Предупреждение социальной сети Facebook о том, что пользователь покидает социальную сеть
После этого пользователь попадает на сайт с видео или галереей, для просмотра которых требуется установить JAVA-аплет.
Информирование пользователя об установке JAVA-приложения
После установки этого аплета компьютер жертвы начинает генерировать адреса для получения вредоносных дополнений.
Пример перебора адресов для поиска дополнений
Декомпилированная часть JAVA-аплета для генерирования адресов вредоносных серверов обновлений на основе текущего времени
После нахождения сервера обновлений вредоносная программа устанавливает обновления для операционных систем Windows и Mac OS. Тут пишут про Ubuntu, но подтверждений пока нет.
Пример сообщений пользователей об установке вредоносного обновления для OS X
После установки обновлений на эти операционные системы рассылка продолжается, а зараженные компьютеры становятся частью ботнета. География распространения данной угрозы сейчас — это Северная Америка, что не удивительно, так как Facebook популярна именно в Северной Америке. Однако по мере роста и добавления модулей для других социальных сетей все скоро может очень измениться.
Карта распространения вредоносной программы Trojan-Downloader.Java.Alboto.a на основе статистики KSN от пользователей KIS 2010
UPD1. На текущий момент сервера обновлений выключены.
UPD5. Ниже данные за выходные. Интересно, что из-за метода перебора домена в поисках центра обновлений скорость распространения очень и очень медленная
Учитывая недавний спор и требования показать вирус не под Windows, позволю себе небольшой перевод интересного блога Джерома Сегуры, специалиста по безопасности компании ParetoLogic.
Червь Koobface вновь попадает в новости в своей мультиплатформенной версии. Intego — фирма, специализирующаяся в компьютерной безопасности, обнаружила версию этого червя в системах Mac OS X и сообщила об этом в своём блоге.
Червь проникает на компьютер жертвы посредством заражённой веб-страницы следующего вида? на следующей картинке изображён процесс заражения под Ubuntu
Подробности со ссылками и картинками по линку выше.
Российский разработчик Agnitum выпустил бесплатный антивирусный пакет класса Internet Security Suite, включающий антивирус, антиспам и другие средства защиты. Это первое на мировом рынке бесплатное решение подобного класса Питерский антивирусный разработчик Agnitum выпустил пакет программ Outpost Security Suite Free, в состав которого входит антивирус, антишпион, антиспам, фаерволл, антируткит, и модуль проактивной защиты. Он уже доступен для скачивания на сайте компании.
По всей видимости, это первый на мировом рынке бесплатный комплект защитного ПО подобной полноты. «Comodo и Lavasoft также выпускают бесплатные комплексные решения безопасности, но их состав явно неполон по сравнению с тем пониманием Internet Security Suite, которое сложилось в отрасли», — заявил CNews коммерческий директор Agnitum Виталий Янко.
При безусловном достоинстве бесплатности Outpost Security Suite Free несет ряд недостатков. В числе самых заметных — отсутствие русскоязычной версии продукта и нечастое — 1 раз в сутки — обновление антивирусных баз.
Помимо этого по сравнению с профессиональной версией во free-пакете отсутствуют функция родительского контроля, блокировка web-рекламы, детектор атак в фаерволле, блокировка файлов и папок в проактивном модуле и несколько других функций, доступных для платных пользователей.
Все отсутствующие функции пали жертвой бесплатности Outpost Security Suite Free: «При выпуске бесплатной версии продукта нужно чем-то жертвовать, и в нашем случае жертва — это нагрузка на наши сервера», — объясняет Виталий Янко. По его мнению, лимит в одно ежесуточное обновление не скажется на безопасности компьютеров его пользователей, поскольку основной упор в продуктах Antigum делается на проактивную составляющую защиты. По опыту компании, вряд ли пользователям бесплатной версии доставит большие неудобства исключительно англоязычные интерфейс и служба поддержки. Такой практики Agnitum придерживается в своих бесплатных приложениях с 2002 г.
Хотя сама по себе локализация продукта — не очень дорогой процесс, она влечет выпуск технических и маркетинговых документов на соответствующем языке, не считая организации локализованной службы поддержки, а это уже затратные мероприятия, — говорит представитель Agnitum.
«Конечно, в службе техподдержки пользователей бесплатных версий явно «заворачивать» не будут, — обещает Янко. — Но наша практика показывает, что они склонны решать возникающие технические проблемы самостоятельно либо на форумах пользователей Outpost».
Популярность бесплатных защитных программ сейчас растет, особенно в среде домашних пользователей, полагает эксперт по безопасности Илья Шабанов: «Общий тренд таков, что домашние пользователи в течение ближайших 3-5 лет в большинстве могут перейти на бесплатные антивирусные продукты. Так что Agnitum находится в мейнстриме».
Бесплатные антивирусы сейчас представляют несколько производителей: Avast, AVG, Avira, Comodo, Lavasoft, Microsoft, но они, как правило, представляют продукты самой базовой функциональности, предлагая пользователям платить за премиум-решения отдельно.
Выпустив бесплатный, хотя и с ограничениями, продукт класса Internet Security Suite, Agnitum «отстроился от конкурентов, за счет чего получил маркетинговое преимущество, и, кроме того, не исключил возможности конвертации своих бесплатных пользователей в платных», — говорит Шабанов.
По собственной оценке компании, изложенной Виталием Янко, «доля продуктов Agnitum на российском рынке персональных комплексов интернет-безопасности (исключая фаервол) составляет более 5%».
Илья Шабанов полагает, что эта оценка «похожа на правду». Это не мало, но и не слишком много, считает эксперт: по собственной правдоподобной оценке разработчиков Avast, их антивирус занимает 20% на российском рынке домашних пользователей.
Соцсеть Facebook удалила Gmail из списка сервисов, контакты из которых пользователи могут перенести к себе в профиль на сайте. Эти действия стали очередным витком конфликта двух компаний из-за контроля над контакт-листами своих пользователей.
Социальная сеть Facebook удалила сервис электронной почты Gmail компании Google из списка сторонних сервисов, контакты из которых сайт предлагает пользователям экспортировать в профиль на Facebook.
Как сообщает издание TechCrunch, ранее ссылка на сервис Gmail шла одной из первых в списке служб, контакты из которых можно добавить к себе в друзья на Facebook на странице «Find Friends». Теперь она отсутствует. Впрочем, некоторые пользователи говорят, что все еще видят Gmail в списке доступных сервисов, хотя у большинства ее уже не наблюдается.
В тот же день принадлежащий Facebook блог-агрегатор FriendFeed, удалил на своем сайте из блока кнопок добавления друзей икноку Google, оставив нетронутыми иконку Facebook и Twitter.
По словам аналитиков, такие действия социальной сети являются очередным шагом в рамках недавно начавшегося конфликта с интернет-гигантом из-за возможностей по экспорту контактов. Первый шаг сделала компания Google, запретив соцсети доступ к контактам пользователя на сервисе Gmail через программный интерфейс Google Contacts API, пока аналогичную возможность не предоставит Facebook.
Компания Google уже довольно давно пытается получить доступ к контакт-листам пользователей Facebook, и очевидно, решила ужесточить свои правила в ответ на отказ соцсети в предоставлении услуги такого рода. Представители Facebook, в свою очередь, быстро разработали новое решение для экспортирования контактов из Gmail, которое не использует Google Contacts API – оно позволяет вручную загрузить все контакты из Gmail себе на жесткий диск, после чего загрузить полученный файл в Facebook, что вызвало недовольство Google.
Компания Facebook пока не давала официальных комментариев по этому поводу. Представители интернет-гиганта сообщили, что с их стороны никаких изменений в функционале сервисов сделано не было.
Напомним, что недавно Facebook анонсировала свою новую систему обмена сообщениями между пользователями, которая должна объединить в себе все популярные на сегодняшний день способы коммуникации, такие как инстант-мессенджеры, электронная почта, SMS и другие. Новую коммуникационную систему Facebook некоторые эксперты считают серьезным конкурентом Gmail и прочих популярных сервисов электронной почты.
Между тем, «изобретатель интернета» Тим Бернерс-Ли (Tim Berners-Lee), автор URL, HTTP и HTML в статье для издания Scientific American назвал социальную сеть Facebook угрозой для будущего Сети.
Он обвинил Facebook и другие соцсети в том, что они ограничивают свободу информации в интернете, закрывая доступ к данным своих пользователей для других игроков. «Как только ваши данные появятся на сайте такого рода, вы не сможете легко использовать их на другом ресурсе. Каждый такой сайт стал силосной башней, отделенной от других. Да, ваши страницы на сайте есть в Сети, но не ваши данные», - отметил Бернерс-Ли. В этом, считает он, состоит большая проблема, которая угрожает здоровому развитию интернета в будущем.
Facebook: каждый пятый пользователь страдает от вирусов
20% пользователей соцсети Facebook регулярно видят в своих профилях вредоносные ссылки, с помощью которых злоумышленники стараются получить доступ к их аккаунту или заразить компьютер вирусом, говорится в новом отчете BitDefender.
Около 20% пользователей социальной сети Facebook видят вредоносные сообщения в списке новостей для своего аккаунта. При нажатии на такого рода ссылку аккаунт пользователя обычно оказывается взломан злоумышленниками, а вредоносные сообщения начинают рассылаться по контактам человека, чей аккаунт был захвачен.
Об этом говорится в новом отчете компании BitDefender, разработчика антивирусного ПО, составленном по данным Safego, специального приложения для защиты пользователей от вредоносных ссылок.
Как отмечают аналитики, статистические данные были получены на основе анализа профилей 14 тыс. пользователей Facebook, которые установили себе это приложение. Реальный процент людей, которые подвергаются опасности захвата своего профиля при нажатии на вредоносную ссылку, на самом деле может быть еще выше.
Более 60% атак в соцсети осуществляются с помощью сообщений от вредоносных сторонних приложений, созданных на платформе Facebook для разработчиков. Наиболее популярными приложениями такого рода оказались программы, которые заявляют о том, что обеспечат пользователя каким-либо функционалом, запрещенным самим сайтом - например, разрешат просматривать списки людей, которые открывали профиль этого человека, или списки тех, кто убрал его из друзей. Еще 15,4% атак пришлось на бонусные предметы в различных играх для Facebook, таких как FarmVille. 11,2% вредоносных ссылок в соцсети предлагали такие функции, как бесплатные картинки для оформления профиля или некоторые новые кнопки. 7,1% обещали предоставить пользователю новые версии известных и популярных игр, таких как World of Warcraft и другие.
Кроме того, злоумышленники пытались заинтересовать пользователей бесплатными мобильными телефонами и бесплатными фильмами для просмотра онлайн. Помимо атак через приложения, в 16% случаев хакеры рассылали пользователям спам с предложением увидеть шокирующий видеоролик, а 5% атак эксперты связывают с попытками распространения вирусов, таких как Koobface.
Также аналитики отмечают, что в рамках своего исследования они анализировали лишь вредоносные ссылки, открыто видимые в списке новостей в аккаунте пользователя, тогда как зачастую вредоносным кодом заражают через личные сообщения.
Представители Facebook заявили, что они следят за подобными действиями злоумышленников и активно борются с ними, стараясь перекрывать наиболее опасные уязвимости.
Вышла бета-версия Opera 11 с поддержкой расширений
Вслед за несколькими альфа-релизами компания Opera Software выпустила первую бета-версию Opera 11, доступную для загрузки на официальном сайте для платформ Windows и Mac.
В новой версии впервые в семействе браузеров Opera добавлена поддержка расширений по аналогии с другими популярными браузерами - Firefox, Chrome и Safari. В настоящее время пользователям доступно около 140 расширений. Их установка осуществляется без перезагрузки.
В новой версии программы также появилась функция группировки открытых вкладок - по аналогии с функцией Firegfox Panorama, реализованной в бета-версии Firefox 4. Вкладки также можно закреплять - в этом случае они перемещаются в левую часть экрана.
Разработчики утверждают, что Opera стала быстрее - до 30% при выполнении некоторых задач в сравнении с десятой версией. При этом сократилось и занимаемое программой место на жестком диске - примерно на треть. Источник
Этот тип вредоносного ПО очень опасен, потому что шансы восстановить ваши данные невелики. Это почти то же самое, что безвозвратное удаление информации с жесткого диска.
Мы получили несколько сообщений, в которых пользователи из разных стран просят нас помочь им справиться с заражениями вредоносной программой, которая очень похожа на троянца-шифровальщика GpCode образца 2008 года. Как мы рассказывали ранее, этот тип вредоносного ПО очень опасен, потому что шансы восстановить ваши данные невелики. Это почти то же самое, что безвозвратное удаление информации с жесткого диска. Впервые GpCode был зарегистрирован в 2004 году. Затем он периодически появлялся вплоть до 2008 года. Были и подражатели, которые создали несколько имитаций GpCode, не представлявшие действительной угрозы, поскольку в них не использовались стойкие криптографические алгоритмы. И в 2006, и в 2008 годах нам удавалось предложить несколько способов лечения и даже расшифровки данных с помощью наших инструментов дешифрования. Сегодня GpCode вернулся — и он более сильный, чем раньше. Предварительный анализ показал, что для шифрования используются алгоритмы RSA-1024 и AES-256. Зловред зашифровывает только часть файла, начиная с первого байта. В отличие от предыдущих вариантов, новая версия GpCode не удаляет файлы после шифрования. Вместо этого троянец записывает информацию поверх файлов, что делает невозможным использование ПО для восстановления данных — такого, как утилита PhotoRec, которую мы предлагали во время предыдущего пришествия шифровальщика. Новая вредоносная программа добавлена в антивирусные базы ЛК и детектируется как Trojan-Ransom.Win32.GpCode.ax. Эксперты «Лаборатории Касперского» внимательно изучают нынешнюю версию троянца и будут информировать вас о любом полученном результате, который может помочь в восстановлении данных. Если вы считаете, что ваш компьютер заражен, мы рекомендуем ничего не менять в системе. Это может помочь нам восстановить ваши данные, если мы найдем соответствующее решение. Стоит просто выключить компьютер или перезапустить его, игнорируя сообщения вирусописателя о том, что файлы будут удалены через N дней – мы не обнаружили никаких свидетельств, подтверждающих наличие в троянце механизма удаления файлов с временным критерием. Тем не менее, лучше не производить в файловой системе никаких изменений, которые могут быть вызваны, например, перезапуском компьютера. Люди, которые еще не сталкивались с этой проблемой, должны знать о ее существовании и распознать GpCode с первой секунды появления на экране предупреждающих сообщений. Кнопка Reset/Включение на вашем компьютере может спасти значительную часть данных. Пожалуйста, запомните это и сообщите своим друзьям.
Если на экране неожиданно появится всплывающее окно Блокнота с таким текстом:
или вид рабочего стола мгновенно изменится на что-то вроде этого:
[highslide]http://www.securelist.com/ru/images/pictures/klblog/40198.png[/highslide] Внимание! Все ваши персональные файлы были зашифрованы с помощью сильного алгоритма RSA-1024, и вы не сможете получить к ним доступ, не выполнив наши требования!
Для получения инструкции по расшифровке прочтите txt-файл «Как расшифровать» на рабочем столе.
Сделайте это как можно скорее!
Помните: если вы хотите получить назад свои файлы не пытайтесь рассказывать кому-либо об этом сообщении! Просто делайте то, что мы вам говорим!
немедленно выключайте компьютер или выдерните шнур из розетки, если это самый быстрый способ его выключить!
G Data Software: ноябрьская десятка самых опасных угроз
Компания G Data Software опубликовала рейтинг топ-10 самых опасных вирусов и зловредов ноября 2010 г. Наиболее опасные уязвимости в этом месяце, по данным лаборатории безопасности G Data Software, были найдены в программах Java и Java-Script, которые в новом рейтинге представлены четырьмя зловредами, два из которых были обнаружены в ноябре.
Доля наиболее опасных нападений из топ-10 составляет 9,28% от всех вирусов в мире. В целом же ноябрьская вирусная десятка включает: 1. Java.Trojan.Exploit.Bytverify.N 1,68% 2. Worm.Autorun.VHG 1,58% 3. WMA:Wimad [Drp] 1,19% 4. Adware.Yabector.B 1,14% (новичок) 5. Application.Keygen.BI 1,14% 6. JS:Pdfka-OE [Expl] 0,71% 7. JS:Downloader-AHG [Trj] 0,57% (новичок) 8. Win32.Sality.OG 0,52% 9. Java.Trojan.Downloader.OpenConnection.AI 0,38% (новичок) 10. Win32:FunWeb-C [PUP] 0,37% (новичок)
Первым в списке числится Java.Trojan.Exploit.Bytverify.N. Данная угроза использует пробел в системе безопасности Java Bytecode Verifier, её можно обнаружить в манипулируемых Java-апплетах, например на веб-сайтах. При использовании пробела в системе безопасности может быть исполнен зловредный код, который вызывает, например, загрузку троянской программы. Таким образом, взломщик может взять под свой контроль систему жертвы.
На втором месте расположился Worm.Autorun.VHG — червь, который распространяется в операционных системах Windows с помощью функции autorun.inf при использовании сменных носителей информации, таких как USB-носители или мобильные жёсткие диски. Он является интернет-червем и сетевым червем, который использует пробел в системе безопасности Windows CVE-2008-4250.
На третьем месте WMA:Wimad [Drp] — троян, выдающий себя за обычный .wma-аудиофайл, который может проигрываться только после установки специальных кодеков/декодеров в системах Windows. Если файл исполняется пользователем, взломщик может установить любой вредоносный код в системе. Инфицированные аудиофайлы распространяются преимущественно через P2P-сети.
Четвертое место в рейтинге досталось новичку Adware.Yabector.B, которого G Data Software относит к разряду потенциально опасных программ. Этот зловред устанавливается на компьютер пользователя вместе с бесплатным ПО, загруженным из интернета. Причем пользователь зачастую пропускает строку «не устанавливать», которая появляется на несколько секунд. В свою очередь, загруженный файл в формате .exe появляется на рабочем столе и при открытии переносит пользователя на платформу электронного аукциона. Такая схема искусственно увеличивает количество посетителей сайта и делает его более привлекательным для рекламодателей.
Следующим в списке идет Application.Keygen.BI — генератор ключей. Данный вид атак используется в P2P файлообменных сетях и на варез-сайтах, на которых можно получить бесплатно лицензионное ПО. Шестое место рейтинга занимает JS:Pdfka-OE [Expl] — эксплойт, который атакует компьютер из слабых мест движков JavaScript PDF-программ. Пользователю нужно только лишь открыть PDF для того, чтобы запустить эксплойт. Если атака на компьютер жертвы произведена удачно, вредоносный код загружается на ПК.
Следом идёт JS: Downloader-AHG [Trj] — вредоносная программа, которая преимущественно появляется на веб-сайтах. Троян написан на JavaScript. Если пользователь открывает сайт, который содержит неверный код JavaScript, то он запускается автоматически и может загружать любые вредоносные программы в систему жертвы.
На восьмом месте рейтинга расположился Win32.Sality.OG — полиморфный инфектор файлов, который модифицирует исполняемые файлы (.exe, .scr) и прячется с помощью руткита в инфицированной системе. Sality.OG распространяется через сеть или носители данных, оставляя файл Autorun.inf в Root меню соответствующего носителя.
Предпоследним в списке топ-10 числится Java.Trojan.Downloader.OpenConnection.AI. Этот загрузчик троянов расположен в манипулируемых Java-апплетах на веб-сайтах. Когда пользователь загружает апплет, URL формируется из параметров апплета. Загрузчик использует его для установки вредоносных исполняемых файлов на компьютер пользователя. Такие файлы могут содержать любой вид вредоносного ПО. Загрузчик использует CVE-2010-0840 эксплоит, чтобы избежать попадания в «песочницу» Javа.
Замыкает десятку самых опасных зловредов ноября Win32: FunWeb-C [ПНП]. [ПНП] в названии «вредоноса» расшифровывается как «потенциально нежелательная программа». Это ПО представляет собой панель инструментов браузера, которая устанавливается вместе в развлекательными программами (игры, музыка, фильмы и прочее). «Вредоносное приложение» изменяет стартовую страницу браузера и осуществляет поиск только через поисковую систему MyWebSearch. http://www.cnews.ru/news/line/index.shtml?2010/12/07/419103
«Лаборатория Касперского»: обзор вирусной активности за ноябрь 2010 г.
«Лаборатория Касперского» представила обзор вирусной активности за ноябрь 2010 г. По данным компании, в прошедшем месяце наибольшую опасность для пользователей представляли drive-by загрузки. В ходе таких атак заражение компьютера пользователя опасным зловредом может произойти даже при посещении легитимного сайта.
Drive-by загрузки происходят по следующей схеме: вначале пользователь переходит на зараженный легитимный сайт или на веб-ресурс злоумышленников, на котором размещен скрипт-редиректор (примером одного из самых известных редиректоров является Trojan-Downloader.JS.Pegel), затем с помощью редиректора выполняется переход на скриптовой загрузчик, который, в свою очередь, запускает эксплойты. Эксплойты, как правило, загружают на компьютер пользователя и запускают вредоносный исполняемый файл, который чаще всего является бэкдором. По данным «Лаборатории Касперского», по итогам месяца в топ-20 зловредов в интеренете попало девять эксплойтов, три редиректора и один скриптовый загрузчик, которые используются при drive-by загрузках.
В целом ноябрьская двадцатка наиболее распространенных вредоносных программ в интернете выглядит следующим образом: 1. New Trojan-Downloader.Java.OpenConnection.bu 167617 2. New Trojan-Downloader.JS.Agent.frs 73210 3. Exploit.Java.CVE-2010-0886.a 68534 4. New Trojan.HTML.Iframe.dl 56075 5. Trojan.JS.Agent.bhr 46344 6. Exploit.JS.Agent.bab 42489 7. Trojan.JS.Agent.bmx 40181 8. New Trojan.HTML.Agent.di 35464 9. Trojan.JS.Iframe.pg 28385 10. Trojan.JS.Redirector.nz 26203 11. Trojan.JS.Popupper.aw 25770 12. New Trojan-Downloader.Java.Agent.il 23048 13. AdWare.Win32.FunWeb.q 22922 14. Trojan-Downloader.Win32.Zlob.aces 22443 15. AdWare.Win32.FunWeb.ci 19557 16. Exploit.JS.CVE-2010-0806.b 19487 17. Exploit.JS.CVE-2010-0806.i 18213 18. Exploit.SWF.Agent.du 17649 19. Trojan.JS.Redirector.lc 16645 20. Trojan-Downloader.Java.Agent.hx 16242
По информации «Лаборатории Касперского», вредоносные программы, написанные на мультиплатформенном языке программирования Java, активно набирают обороты. Так, значительно увеличилось за последние два месяца количество зловредов семейства Trojan-Downloader.Java.OpenConnection. Такие программы в ходе drive-by атак выполняют те же функции, что и эксплойты, но для скачивания вредоносного ПО из Сети на компьютер пользователя используют не уязвимости, а метод OpenConnection класса URL. Как видно из списка, в ноябре первое место в рейтинге вредоносных программ в интернете со значительным отрывом от ближайшего преследователя занял Trojan-Downloader.Java.OpenConnection.bu. Еще две программы, использующие метод OpenConnection, заняли 21 и 26 места.
Второе место в рейтинге вредоносных объектов, обнаруженных в интернете, занял скриптовый загрузчик Trojan-Downloader.JS.Agent.frs. Если пользователь попадает на сайт с внедренным редиректором и перенаправляется на Trojan-Downloader.JS.Agent.frs, то с помощью эксплойтов, эксплуатирующих уязвимости в Java, PDF, JavaScript, на его компьютер пытаются загрузиться и запуститься такие опаснейшие бэкдоры, как Backdoor.Win32.Shiz и Backdoor.Win32.Blakken (Black Energy 2). Наибольшему риску заражения Trojan-Downloader.JS.Agent.frs подвергались пользователи в России, США, Франции и Великобритании, говорится в отчете «Лаборатории Касперского».
В ноябре также были обнаружены эксплойты, использующие уязвимости и особенности в PDF-документах. Как правило, они написаны на языке JavaScript. По числу уникальных загрузок представители таких угроз — Exploit.JS.Pdfka.cyk и Exploit.JS.Pdfka.cyy — заняли в рейтинге 24-е и 28-е места соответственно. Однако тенденция такова, что количество PDF-эксплойтов уменьшается: за последние шесть месяцев среднее количество срабатываний антивируса на вредоносные программы семейства Pdfka уменьшилось почти в три раза. Скорее всего, это связано с активными действиями Adobe по латанию «дыр» в своих продуктах, полагают в «Лаборатории Касперского». Так, в ноябре вышел Adobe Reader X, в котором применяется SandBox, позволяющий лучше противодействовать эксплойтам.
Еще одна тенденция — поддельные архивы — до сих пор актуальна. Распространяются поддельные архивы очень эффективно: когда пользователь что-то ищет через поисковые системы, автоматически генерируются страницы с баннерами, предлагающими искомую информацию. Чтобы получить содержимое архива, пользователю необходимо отправить платное SMS-сообщение. Однако, отправив SMS, искомой информации он не получает. Архив оказывается пустым, «поврежденным», содержит торрент-файл и т.п. «Лаборатория Касперского» детектирует поддельные архивы как семейство Hoax.Win32.ArchSMS. Распространяются ArchSMS преимущественно в странах СНГ.
Угрозы, которые распространяются в основном через локальную сеть и сменные носители, также популярны у злоумышленников и чрезвычайно опасны, подчеркнули в «Лаборатории Касперского». Такие вирусы, как Virus.Win32.Sality.aa (3 место), Virus.Win32.Sality.bh (8 место), Virus.Win32.Virut.ce (6 место) попали в топ-10 рейтинга вредоносных программ, обнаруженных на компьютерах пользователей. Их особенность еще и в том, что они способны инфицировать исполняемые файлы, что повышает их эффективность, пояснили в компании.
Зловреды, использующие уже закрытые уязвимости, попали в топ-20 данного рейтинга. В первую очередь, это Kido: первые два места — за ним. Эксплойты, использующие уязвимость CVE-2010-2568 в ярлыках, по-прежнему актуальны (13 и 14 места). Они широко применяются для распространения Stuxnet и других вредоносных программ. Все это в очередной раз подтверждает: пользователям нельзя пренебрегать обновлениями операционной системы и популярных программ, которые работают на их компьютерах, заключили в «Лаборатории Касперского».
В зоне .РФ обнаружен первый мошеннический сайт. Он маскируется под торрент-треккер, и ориентирован на вымогание у пользователя денег посредством отправки SMS на короткие номера.
Национальная доменная зона .РФ начинает приобретать черты полноценного сегмента Всемирной сети: на днях в ней появился первый мошеннический сайт. Об этом сообщил старший вирусный аналитик «Лаборатории Касперского» Вячеслав Закоржевский.
Сайт, расположенный по адресу Быстрая-закачка.рф, маскируется под файловый архив, предлагающий доступ ко всему спектру контента, обычно распространяемому через файлообменные сервисы. Однако, вопреки слогану «Получи доступ и закачайся», при попытке воспользоваться услугами портала, с сайта можно скачать только самораскрывающийся архив с содержащейся в нем программой класса hoax.win32.archsms. После распаковки архив приглашает пользователя для продолжения закачки отправить платное SMS-сообщение на короткий номер.
Это первый мошеннический сайт в зоне .РФ, сообщают в «Лаборатории Касперского». За последние несколько дней он успел «размножиться»: «Сейчас в зоне .РФ присутствуют несколько аналогичных ресурсов, связанных, по-видимому, с одним владельцем. Получаемые от них архивы почти идентичны, — говорит Вячеслав Закоржевский. — Пользователи, поддавшиеся на уловки мошенников в зоне .РФ, так же, как и в зоне .RU, потеряют несколько сотен рублей и не получат ничего взамен». http://www.cnews.ru/news/top/index.shtml?2010/12/07/419061
Исследование: больше всего вирусов распространяют США (А наиболее опасной для пользователей страной является Россия)
Согласно статистике, собранной с помощью облачного сервиса Kaspersky Security Network (KSN), в третьем квартале было заблокировано более полумиллиарда попыток заражения ПК вредоносными программами.
Наиболее опасной для пользователей страной является Россия – в третьем квартале атакам вредоносных программ подверглось 52,77% компьютеров российского сегмента Kaspersky Security Network.
На втором месте данного рейтинга – Республика Беларусь (в этой стране под угрозой заражения оказались 44,19% ПК), тройку замыкает Китай (41,29%). Следом идут Казахстан (40,68%), Украина (39,16%), Соединенные Штаты (38,13%), Индия (37,61%), Бангладеш (36,00%), Шри-Ланка (35,95%) и Саудовская Аравия (33,99%).
Источники вредоносных программ существуют практически в каждой стране, однако 83% всех площадок, используемых для распространения зловредов, расположены всего в 10 государствах. Лидером этого рейтинга являются США, где находится четверть всех источников заражения.
Одним из главных событий третьего квартала стала атака червя Stuxnet. Для заражения системы этот зловред впервые использовал не одну, а сразу четыре Windows-уязвимости. Особенностью червя стало применение похищенных цифровых сертификатов компаний Realtec и JMicron, благодаря которым Stuxnet достаточно долго скрывался от антивирусных радаров.
Цифровые сертификаты и подписи играют важную роль в сфере ИБ, подтверждая легальность того или иного приложения. Поэтому в 2010 г. был отмечен повышенный интерес к цифровым подписям со стороны разработчиками вредоносных программ. Так, кража сертификатов стала одной из функций нашумевшего троянца ZeuS.
Запущен сервис для распространения фальшивых позитивных отзывов в соцсетях
Компания Soskidka объявила о том, что закончила выход в основные социальные сети и запускает платную версию сервиса для маркетинга в соцмедиа.
Soskidka позволяет бизнесам распространять информацию о себе в социальных сетях в виде положительных отзывов от пользователей. Это дает возможность продвигать свой бренд, товар или услугу так, чтобы это меньше всего походило на рекламу. С помощью сервиса компании-клиенты создают брендированные промо-страницы и встраиваемые в сайт виджеты, через которые посетитель может получить бонус или специальную скидку в обмен на позитивный отзыв на своей страничке в соцсети.
Процесс размещения автоматизирован, а рекламное сообщение может быть представлено в таком популярном виде как статус, заметка или фотография. При этом рекламодатель получает детальные отчеты о ходе рекламной кампании, включающие данные по CPC и CPM, а также статистику по аудитории четырех социальных медиа: в настоящий момент Soskidka интегрирована с сетями Facebook, Twitter, «ВКонтакте» и «МойМир@Mail.Ru».
С конца апреля 2010 г., когда была запущена бета-версия, «нерекламные» сообщения о клиентах сервиса увидели более 200 тыс. пользователей. То, что они узнавали о предложениях со страничек своих «друзей», побуждало многих присоединяться к акциям – всего через Soskidka было распространено более 1500 скидочных купонов.
