Записи с меткой «документы»

Дешевые дипломы и отдых на море — только для читателей спама в июне

В июне доля спама в глобальном почтовом трафике по подсчётам
«Лаборатории Касперского» составила 71,1%, что на 1,4% выше
показателя за май. По сравнению с предыдущим месяцем доля вредоносных
вложений снизилась на 1% и составила 1,8% от всего почтового трафика.
При этом Россия заняла 1-е место по количеству срабатываний почтового
антивируса.

В июне спамеры особенно активно рассылали рекламу товаров и услуг, спрос
на которые резко возрастает в летние месяцы. Специалисты
«Лаборатории Касперского» зафиксировали большое количество
спам-рассылок от туристических агентств с предложениями горящих туров и
заманчивыми обещаниями недорогого отпуска для всей семьи. Подборка
рекламных рассылок от турагентсв

С тематикой летнего отдыха конкурировали лишь предложения готовых
дипломов и аттестатов, участившиеся в связи с экзаменационным

периодом в
школах и вузах. В июне было зафиксировано значительное увеличение
спам-рассылок с предложениями купить поддельные аттестаты и дипломы о
высшем образовании, а также приобрести сертификаты на обучение в вузе по
льготным ценам.

Пользуясь растущей популярностью продукции Apple, спамеры активно
рассылали в Рунете сообщения с рекламой аксессуаров для
«яблочных» продуктов, услуг печати фотографий и других
изображений на чехлах устройств. Примечательно, что для обхода систем
спам-фильтрации они добавляли в письмо текст реальных новостей об Apple
и ссылку на сайт новостного агентства.

В июне мошенники использовали и другие хорошо известные
«трюки» для затруднения работы спам-фильтров.
«Лаборатория Касперского» зафиксировала несколько рассылок с
использованием возможностей сервиса Google Translate для обработки
спамерских ссылок. Кроме того, отправители писем добавляли в конец
ссылки сгенерированный случайным образом набор букв и имена
принадлежащих Google доменов в разных странах. Популярным оказался и
метод зашумления текста — авторы рассылок разбивали фразы в письме
беспорядочным набором символов, сохраняя при этом читаемость ключевых
слов.

По-прежнему значительная часть мирового спама распространялась из Китая
(24%) и США (17%). Южная Корея (14%) утвердила свою позицию на 3-ем
месте. В то же время в спам-потоках Рунета в тройке лидеров по-прежнему
лидирует Тайвань (13%), а Украина (9%) поменялась местами с Вьетнамом
(8%).

Доля вредоносных писем составила 1,8% от общего потока сообщений. Как и
в прошлом месяце, чтобы заставить пользователя открыть вложение, спамеры
чаще всего имитировали уведомления от крупных компаний. Среди всех стран
1-е место по количеству срабатываний почтового антивируса в июне заняла
Россия с долей в 29,4% срабатываний. Это в 13 раз больше показателя
прошлого месяца. Столь заметный рост связан с увеличением количества
писем, зараженных червями, в первую очередь нашумевшим ещё в 2009-ом
году Kido, в функционал которого входит подключение заражённого
компьютера к ботнету. Это даёт основания предполагать, что
злоумышленники расширяют свои бот-сети на территории России.

«Имейте в виду, что даже рекламный спам может представлять угрозу,
так как далеко не все продвигаемые услуги законны. Например,
использование поддельных документов, в том числе предлагаемых аттестатов
и дипломов, преследуется по закону, а попытка устроиться на работу с
помощью фальшивого диплома может принести его владельцу серьезные
неприятности, вплоть до уголовной ответственности. Помните, что ни одна
уважающая себя компания, предлагающая качественные услуги и продукты, не
рискнёт своей репутацией, прибегая к спам-рассылкам», —
напоминает Татьяна Щербакова, старший спам-аналитик «Лаборатории
Касперского».

С полной версией спам-отчета за июнь 2013 года можно ознакомиться на
сайте www.securelist.com/ru/analysis/208050805/Spam_v_iyune_2013.

Реклама

Dr.Web

22 апреля 2013 года

Глядя на современную статистику распространения вредоносных программ, можно смело сказать, что троянцы-шифровальщики семейства Trojan.Encoder занимают в ней весьма высокие позиции. Компания «Доктор Веб» — российский разработчик средств защиты информации — предупреждает пользователей о массовом распространении двух новых модификаций этих троянцев – Trojan.Encoder.205 и Trojan.Encoder.215. Опасны они тем, что вымогают у пользователей тысячи долларов за расшифровку файлов. Специалисты «Доктор Веб» предлагают бесплатные рекомендации, которые помогут жертвам устранить последствия заражения этими вредоносными программи и расшифровать файлы.

Троянцы-шифровальщики за последние годы стали весьма распространенной категорией угроз. Во многом благодаря выгодной для злоумышленников модели монетизации, аналогичной той, что использовалась при массовом распространении Trojan.Winlock. Вредоносные программы семейства Trojan.Encoder отыскивают на дисках инфицированного компьютера пользовательские файлы, в частности документы Microsoft Office, музыку, фотографии, картинки и архивы, после чего шифруют их. Зашифровав файлы, энкодеры требуют у жертвы оплатить их расшифровку, при этом сумма «выкупа» может достигать нескольких тысяч долларов.

Троянец Trojan.Encoder.205 и его более поздняя модификация — Trojan.Encoder.215 – начали массово распространяться в конце марта — начале апреля 2013 года. Как правило, заражение происходит с использованием массовой рассылки сообщений электронной почты, содержащих эксплойт для одной из уязвимостей (CVE-2012-0158). С использованием этого эксплойта на компьютер жертвы проникает троянец-загрузчик, который, в свою очередь, скачивает и устанавливает энкодер. По данным на пятницу, 19 апреля 2013 года в службу технической поддержки компании «Доктор Веб» уже обратилось 105 пользователей, пострадавших от Trojan.Encoder.205, и 74 жертвы троянца Trojan.Encoder.215, при этом заявки продолжают поступать.

Зашифровав файлы на инфицированном компьютере, вредоносная программа демонстрирует на экране следующее сообщение, начинающееся с фразы «Если Вы читаете это сообщение, значит Ваш компьютер был атакован опаснейшим вирусом. Вся ваша информация (документы, базы данных, бэкапы и другие файлы) на этом компьютере была зашифрована с помощью самого криптостойкого алгоритма в мире RSA1024» или «Все важные для Вас данные на этом компьютере (документы, изображения, базы данных, почтовая переписка и т.д.) зашифрованы с использованием уникального криптографического алгоритма. Без специального программного обеспечения расшифровка одного файла с использованием самых мощных компьютеров займет около года.», при этом жертве предлагается отправить письмо на адрес электронной почты muranchiki@yahoo.com, gdf@gdfsgd.com, specialmist@gmail.com или decrypfiles@yahoo.com.

В последнее время наблюдается распространение еще одной модификации данной угрозы, отличающейся от предшественниц другим текстом и адресом электронной почты (на 19 апреля служба технической поддержки «Доктор Веб» зафиксировала 58 обращений пользователей, пострадавших от этой угрозы).

Несмотря на заявления киберпреступников, обе модификации троянца используют довольно примитивный потоковый алгоритм шифрования, при этом из-за недостатков реализации троянца пользовательские данные порой не могут расшифровать даже сами злоумышленники. Вместе с тем, этот алгоритм без труда поддается расшифровке специалистами «Доктор Веб». Если вы стали жертвой указанных вредоносных программ, воспользуйтесь следующими рекомендациями:

  • обратитесь с соответствующим заявлением в полицию;
  • ни в коем случае не пытайтесь переустановить операционную систему;
  • не удаляйте никаких файлов на вашем компьютере;
  • не пытайтесь восстановить зашифрованные файлы самостоятельно;
  • обратитесь в службу технической поддержки компании «Доктор Веб», создав тикет в категории «Запрос на лечение». Эта услуга бесплатна;
  • к тикету приложите зашифрованный троянцем файл;
  • дождитесь ответа вирусного аналитика. В связи с большим количеством запросов это может занять некоторое время.

Эксперты «Лаборатории Касперского» зафиксировали
целенаправленную атаку на пользователей мобильных устройств, работающих
под управлением операционной системы Android. Она была нацелена на
тибетских, уйгурских китайских и монгольских активистов, с телефонов
которых киберпреступники крали списки контактов, историю сообщений и
звонков, геолокационные данные и информацию о самих телефонах.

Атака проводилась в конце марта 2013 года и организационно была очень
похожа на предыдущие, направленные на уйгурских и тибетских активистов.
Основное отличие состояло в том, что на этот раз злоумышленники
использовали не уязвимости в DOC, XLS и PDF-документах для взлома
компьютеров под управлением ОС Windows и Mac OS, а сосредоточили свои
усилия на мобильных устройствах. Взломав почтовый аккаунт известного
тибетского активиста, они распространили фишинговые письма по всему
списку его контактов. Все подобные сообщения имели вложенный файл,
предназначенный для Android-устройств, внутри которого находилась
вредоносная программа. После ее исследования специалисты
«Лаборатории Касперского» пришли к выводу, что написана она
была китайскоговорящими хакерами — об этом свидетельствуют
комментарии в программном коде и определённые характеристики командного
сервера злоумышленников.

«До недавнего времени целенаправленные атаки на мобильные
устройства не применялись на практике, хотя злоумышленники определённо
интересовались этой возможностью и даже пытались экспериментировать. Для
осуществления атаки киберпреступники использовали троянца,
предназначенного для кражи конфиденциальных данных сразу у группы жертв.
Сейчас хакеры всё ещё применяют методы социальной инженерии, вынуждая
пользователей самостоятельно устанавливать вредоносные приложения, но мы
не исключаем, что в будущем они начнут использовать уязвимости в
мобильном ПО или целые комбинации сложных технологий атак»,
— поясняет Костин Райю, руководитель центра глобальных
исследований и анализа угроз «Лаборатории Касперского».

Подробный отчёт об исследовании первой масштабной атаки на
Android-системы читайте на сайте www.securelist.com/ru.

MiniDuke — новая вредоносная программа для кибершпионажа в государственных структурах по всему миру

«Лаборатория Касперского» опубликовала отчёт об исследовании
ряда инцидентов, произошедших на прошлой неделе и связанных с очередным
примером кибершпионажа против правительственных учреждений и научных
организаций по всему миру. В ходе атаки злоумышленники применили
сочетание сложных вредоносных кодов «старой школы»
вирусописательства и новых продвинутых технологий использования
уязвимостей в Adobe Reader — и всё это для того, чтобы получить
данные геополитического характера из соответствующих организаций.

Вредоносная программа MiniDuke* распространялась при помощи недавно
обнаруженного эксплойта для Adobe Reader (CVE-2013-6040). По данным
исследования, проведенного «Лабораторией Касперского»
совместно с венгерской компанией CrySys Lab, среди жертв кибершпионской
программы MiniDuke оказались государственные учреждения Украины,
Бельгии, Португалии, Румынии, Чехии и Ирландии. Кроме того, от действий
киберпреступников пострадали исследовательский институт, два
научно-исследовательскийх центра и медицинское учреждение в США, а также
исследовательский фонд в Венгрии.

«Это очень необычная кибератака, — поясняет Евгений
Касперский, генеральный директор «Лаборатории Касперского».
— Я хорошо помню, что подобный стиль программирования в
вредоносном ПО использовался в конце 1990-х-начале 2000-х. Пока не очень
понятно, почему эти вирусописатели «проснулись» через 10 лет
и присоединились к «продвинутым» киберпреступникам. Эти
элитные писатели вредоносных программ старой закалки успешные в создании
сложных вирусов сейчас совмещают свои способности с новыми методами
ухода от защитных технологий для того, чтобы атаковать государственные
учреждения и научные организации в разных странах».

«Созданный специально для этих атак бэкдор MiniDuke написан на
Ассемблере и чрезвычайно мал — всего 20 Кб, — добавляет
Евгений Касперский. — Сочетание опыта «олдскульных»
вирусописателей с новейшими эксплойтами и хитрыми приёмами социальной
инженерии — крайне опасная смесь».

В ходе исследования эксперты «Лаборатории Касперского»
пришли к следующим выводам:
* Авторы MiniDuke до сих пор продолжают
свою активность, последний раз они модифицировали вредоносную программу
20 февраля 2013 года. Для проникновения в системы жертв киберпреступники
использовали эффективные приёмы социальной инженерии, с помощью которых
рассылали вредоносные PDF-документы. Эти документы представляли собой
актуальный и хорошо подобранный набор сфабрикованного контента. В
частности, они содержали информацию о семинаре по правам человека
(ASEM), данные о внешней политике Украины, а также планы стран-участниц
НАТО. Все эти документы содержали эксплойты, атакующие 9, 10 и 11 версии
программы Adobe Reader. Для создания этих эксплойтов был использован тот
же инструментарий, что и при недавних атаках, о которых сообщала
компания FireEye. Однако в составе MiniDuke эти эксплойты использовались
для других целей и содержали собственный вредоносный код.
* При
заражении системы на диск жертвы попадал небольшой загрузчик, размером
всего 20 Кб. Он уникален для каждой системы и содержит бэкдор,
написанный на Ассемблере. Кроме того, он умеет ускользать от
инструментов анализа системы, встроенных в некоторые среды, в частности
в VMWare. В случае обнаружения одного из них бэкдор приостанавливал свою
деятельность с тем, чтобы скрыть своё присутствие в системе. Это говорит
о том, что авторы вредоносной программы имеют четкое представление о том
методах работы антивирусных компаний.
* Если атакуемая система
соответствует заданным требованиям, вредоносная программа будет (втайне
от пользователя) использовать Twitter для поиска специальных твитов от
заранее созданных акаунтов. Эти аккаунты были созданы операторами
бэкдора MiniDuke, а твиты от них поддерживают специфические тэги,
маркирующие зашифрованные URL-адреса для бэкдора. Эти URL-адреса
предоставляют доступ к серверам управления, которые, в свою очередь,
обеспечивают выполнение команд и установку бэкдоров на заражённую
систему через GIF-файлы.
* По результатам анализа стало известно, что
создатели MiniDuke используют динамическую резервную систему
коммуникации, которая также может ускользать от антивирусных средств
защиты — если Twitter не работает или аккаунты неактивны,
вредоносная программа может использовать Google Search для того чтобы
найти зашифрованные ссылки к новым серверам управления. Как только
заражённая система устанавливает соединение с сервером управления, она
начинает получать зашифрованные бэкдоры через GIF-файлы, которые
маскируются под картинки на компьютере жертвы. После загрузки на машину,
эти бэкдоры могут выполнять несколько базовых действий: копировать,
перемещать или удалять файлы, создавать каталоги, останавливать процессы
и, конечно, загружать и исполнять новые вредоносные программы.

* Бэкдор выходит на связь с двумя серверами — в Панаме и Турции
— для того чтобы получить инструкции от киберпреступников.

С полной версией отчёта «Лаборатории Касперского» и
рекомендациями по защите от MiniDuke можно ознакомиться на сайте
www.securelist.com/ru. *Система «Лаборатории Касперского»
детектирует и нейтрализует вредоносную программу MiniDuke,
классифицируемую как HEUR:Backdoor.Win32.MiniDuke.gen и
Backdoor.Win32.Miniduke. Технологии «Лаборатории
Касперского» также детектируют эксплойты, использующиеся в
PDF-документах и классифицируемые как Exploit.JS.Pdfka.giy.