Записи с меткой «рассылка»

https://i0.wp.com/kasper-key.net/img_content/Kaspersky_Lab_Logo.png

новости от «Лаборатории Касперского» 

В январе, по данным «Лаборатории Касперского», доля нежелательной корреспонденции в общемировом почтовом трафике снизилась на 7,6 пунктов и составила 65,7%. Однако на снижение в большей степени повлияло относительное затишье в праздничную неделю — в последующие дни спамерская активность восстановилась.

В январе внимание спамеров предсказуемо переключилось с прошедших новогодних праздников на грядущий День святого Валентина — специалисты «Лаборатории Касперского» зафиксировали рассылки «цветочной» рекламы и предложения подарков и услуг по организации романтических ужинов. Дополнительно в праздничном спаме были затронуты День защитника Отечества и Международный женский день. Зимняя Олимпиада тоже стала очередным поводом для рекламы оформленных в соответствующем стиле товаров: в спам—рассылках предлагались тематические подарки и услуги по организации мероприятий и туристических поездок.

В связи с окончанием финансового года немалая часть спам—рассылок содержала рекламу бухгалтерских услуг по подготовке и сдаче годовой отчетности для организаций. В свою очередь «нигерийские» мошенники с целью обмана пользователей и выманивания денег продолжили эксплуатировать смерть известных людей — на этот раз Нельсона Манделы и Ариэля Шарона.

Что касается вредоносного спама, то в январе внимание злоумышленников было сосредоточено на пользователях кроссплатформенного мессенджера WhatsApp для смартфонов, позволяющего обмениваться сообщениями и медиа—файлами. Специалисты «Лаборатории Касперского» обнаружили поддельные уведомления от WhatsApp о том, что один из друзей пользователя отправил ему фотографию. При этом во вложении к письму находился известный бэкдор Androm, основная функция которого — загрузка на компьютер пользователя других вредоносных программ.

Большая часть мирового спама в январе рассылалась из США (21,9%). Лидер прошлого месяца, Китай, опустился на вторую строчку рейтинга стран—источников спама с долей в 16%, а замыкает тройку Южная Корея (12,5%). В целом регион Азии, несмотря на сохранение лидирующей позиции, продемонстрировал снижение доли спама в мировом трафике на 7,6 пунктов до 49%, в то время как показатель Северной Америки вырос до 22,7%. Лидером среди стран—источников спама в Рунете по—прежнему остается Россия (16,4%), второе место занимает Тайвань (13,2%), а на третьей строчке расположилась Индия (11,3%).

Страны—источники спама в мире в январе 2014 года

«Помните, что вероятность получить выгодное, прозрачное и гарантировано честное предложение посредством спама невысока — добросовестный продавец крайне редко прибегает к услугам спамеров. Причем помимо назойливой рекламы нежелательная корреспонденция может вести на вредоносные или фишинговые сайты, именно поэтому следует обращать внимание на подлинность ресурсов, на которые ведут ссылки в письме», — делится рекомендациями Мария Вергелис, спам—аналитик «Лаборатории Касперского».

Подробнее об особенностях спама в январе 2014 года читайте на сайте www.securelist.com/ru/analysis/208050832/Spam_v_yanvare_2014.

Реклама

новости от «Лаборатории Касперского»

Впервые за много лет среднегодовое количество спама в мировом почтовом трафике не превысило отметку 70%. По итогам 2013 года «Лаборатория Касперского» отметила снижение доли спама на 2,5%, и в результате этот показатель составил 69,6%. В то же время в спаме уменьшилось количество легальной рекламы товаров и услуг, и выросло число мошеннических и вредоносных сообщений, а также так называемых «серых» рассылок.

Тенденция криминализации спама хорошо видна на примере популярных сообщений на тему путешествий и отдыха. Ранее спам этой категории составлял 5-10% всего потока нежелательной корреспонденции и полностью состоял из различных рекламных предложений. В 2013-м же году коммерческая реклама туров и билетов встречалась редко, однако эксперты «Лаборатории Касперского» зафиксировали большое количество вредоносных писем, эксплуатирующих тему туризма. Различные подделки под уведомления о забронированном номере в гостинице, туре, круизе или билете на самолет содержали вложения с вредоносными программами.

Помимо этого, были обнаружены письма, с помощью которых мошенники пытались «отмыть» деньги с украденных банковских карт. В сообщениях такого рода они обращались к сотрудникам гостиниц с просьбой снять деньги с карты за якобы забронированное проживание и посодействовать в переводе определенной суммы несуществующему турагенту. Разумеется, все эти средства в итоге обманными способами оказывались в руках злоумышленников.

Еще одной особенностью спама в прошедшем году стало заметное увеличение «серых» рассылок, имеющих полулегальный характер. Особенность этой категории спама заключается в том, что рассылка осуществляется не с ботнетов, а с собственных серверов распространителей. При этом в числе получателей оказываются не только официальные подписчики, но и не дававшие своего согласия пользователи, чьи контакты были получены, к примеру, из купленных баз адресов. Это явление ставит перед антиспам-индустрией новую задачу по фильтрации сообщений на основании репутации распространителя.

2013 год можно смело назвать годом суперкоротких спам-писем. Подавляющее большинство нежелательных сообщений, обнаруженных «Лабораторией Касперского» за 12 месяцев, – а именно 74,5% – «весили» не больше 1 Кб. Подобный «минимализм» позволяет спамерам рассылать больше сообщений с меньшими затратами трафика, а, кроме того, возможность создавать уникальные короткие фразы и менять их от письма к письму усложняет работу спам-фильтрам.

Наконец, в 2013 году «Лаборатория Касперского» отметила очевидный сдвиг в приоритетах фишеров: среди организаций, подвергшихся подобным атакам, стало больше тех, чья деятельность напрямую не связана с финансовыми данными пользователей. Так, в рейтинге категорий 100 самых атакуемых организаций за прошедший год выросла доля фишинговых атак на социальные сети (на 7,6%), поисковые порталы (на 1,8%), электронную почту (в 4 раза). Эта тенденция свидетельствует о том, что основная монетизация фишинга происходит за счет продажи украденных аккаунтов пользователей, которые в дальнейшем могут быть использованы для рассылки спама или вредоносного контента. Кроме того, сегодня при унификации различных сервисов аккаунт пользователя от электронной почты или страницы в социальной сети может так или иначе быть связан с его банковскими данными, а это дает злоумышленникам шанс получить уже прямую выгоду.

«2013 год показал, что спам меняется: традиционной рекламы остается в нем все меньше, а мошенничества и вредоносных программ становится больше. Причем если раньше злоумышленники рассчитывали в основном на неопытность пользователей, то по мере увеличения числа юзеров и роста их компьютерной грамотности мошенники начинают изобретать новые уловки. В такой ситуации даже опытному пользователю следует быть предельно внимательным», – отмечает Дарья Гудкова, руководитель отдела контентных аналитиков «Лаборатории Касперского».

Подробнее о тенденциях в спаме в 2013 году, странах и регионах, из которых рассылается нежелательная корреспонденция, и вредоносных программах, распространяющихся в спам-рассылках, читайте в отчете «Лаборатории Касперского» по адресу: www.securelist.com/ru/analysis/208050828/Kaspersky_Security_Bulletin_Spam_v_2013_godu.

Возвращение NetTraveler

Эксперты «Лаборатории Касперского» сообщают о новой волне
кампании кибершпионажа NetTraveler (также известной, как Travnet,
Netfile или Red Star APT), поразившей ранее сотни государственных и

частных организаций в более чем 40 странах мира. Среди выявленных целей
операции NetTraveler были правительственные учреждения, посольства,
политические активисты, военные организации, нефтегазовые компании,
научно-исследовательские центры и университеты, многие из которых
располагались на территории России.

Сразу же после огласки «Лабораторией Касперского» в июне
2013 года действий группы, стоящей за NetTraveler, злоумышленники
отключили свои командные центры и перенесли их на новые серверы в Китае,
Гонконге и Тайване. При этом, как показал анализ текущей ситуации,
киберпреступники продолжили беспрепятственно совершать атаки.

В течение последних нескольких дней были зафиксированы целевые
фишинговые рассылки уйгурским активистам. Использованная
злоумышленниками Java-уязвимость оказалась более эффективной для
заражения компьютеров жертв, так как была закрыта Oracle лишь в июне
этого года, а значит, все еще широко распространена среди пользователей.
Предыдущая серия атак осуществлялась через уязвимости Microsoft Office
(CVE-2012-0158), «заплатки» для которых были выпущены
компанией Microsoft еще в апреле.

В дополнение к фишинговым рассылкам, группа злоумышленников теперь также
применяет технику «Watering Hole», заключающуюся в
веб-перенаправлениях и принудительной загрузке файлов со специально
подготовленных доменов, заражая тем самым посетителей веб-сайтов. За
прошедший месяц специалисты «Лаборатории Касперского»
перехватили и заблокировали ряд таких попыток заражения со стороны
домена wetstock[dot]org, который уже был связан с
кампанией NetTravaler ранее. Перенаправления происходили с различных
уйгурских сайтов, которые были предварительно взломаны и заражены
атакующими.

Эксперты «Лаборатории Касперского» полагают, что
злоумышленники могут использовать и другие средства для достижения своих
целей, поэтому выработали ряд рекомендаций, как оградить себя от
подобных атак:
* Обновите Java до самой актуальной версии. Если вы не
пользуйтесь Java, деинсталлируйте это приложение;
* Установите самые
свежие обновления Microsoft Windows и Microsoft Office;
* Обновите все
стороннее программное обеспечение, например Adobe Reader;

* Используйте безопасный интернет-браузер, например Google Chrome,
цикл разработки и обновления которого быстрее, чем у штатного
Windows-браузера Internet Explorer;
* Не спешите переходить по ссылкам
и открывать вложения в письмах от неизвестных лиц.

«К счастью, на данный момент мы не обнаружили случаев
использования уязвимостей нулевого дня хакерами, стоящими за
NetTraveler. В этом случае даже постоянное применение обновлений не
может гарантировать полной защищенности, однако ее можно обеспечить
такими технологиями как «Запрет по умолчанию» и
«Автоматическая защита от эксплойтов», которые входят в
состав современных защитных решений», — прокомментировал Костин
Раю, руководитель центра глобальных исследований и анализа угроз
«Лаборатории Касперского».

Более подробная информация о расследовании операции NetTraveler доступна
на
www.securelist.com/ru/blog/207768921/NetTraveler_vozvrashchaetsya_kiberprestupniki_ispolzuyut_novye_priemy_CVE_2013_2465.

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — первой разработала утилиту, успешно справляющуюся с последствиями вредоносных действий троянца-шифровальщика Trojan.Encoder.252. Новая версия представителя известного семейства троянцев-энкодеров опасна тем, что шифрует данные пользователей и вымогает у них деньги за расшифровку пострадавших файлов. Этот троянец попадает на компьютеры жертв через спам-рассылку якобы от арбитражного суда.

Один из выявленных способов распространения этой вредоносной программы — почтовая рассылка с вложением, отправляемая якобы от арбитражного суда. Запустившись на компьютере жертвы, троянец сохраняет свою копию в одной из системных папок под именем svhost.exe, модифицирует отвечающую за автоматическую загрузку приложений ветвь системного реестра и запускается.

Троянец Trojan.Encoder.252 шифрует файлы только в том случае, если инфицированный компьютер подключен к Интернету. При этом вредоносная программа последовательно обходит дисковые накопители от С: до N: и получает список файлов с заданными расширениями (.jpg, .jpeg, .doc, .rtf, .xls, .zip, .rar, .7z, .docx, .pps, .pot, .dot, .pdf, .iso, .ppsx, .cdr, .php, .psd, .sql, .pgp, .csv, .kwm, .key, .dwg, .cad, .crt, .pptx, .xlsx, .1cd, .txt, .dbf), который сохраняет в текстовый файл. Затем Trojan.Encoder.252 проверяет доступность своих серверов, на которые впоследствии отсылается ключ шифрования. Если данные серверы недоступны, троянец выводит на экран сообщение якобы от арбитражного суда с предложением проверить настройки подключения к Интернету. В случае успешного завершения шифрования к именам файлов дописывается строка Crypted, а в качестве обоев Рабочего стола Windows устанавливается следующее изображение:

screenshot

Также на компьютере жертвы появляется текстовый файл ПРОЧТИЭТО.txt, содержащий ID для расшифровки файлов, уникальный для каждого компьютера.

Несмотря на то, что на нескольких тематических ресурсах в Интернете сообщалось о невозможности расшифровки файлов в силу особенностей используемых троянцем Trojan.Encoder.252 алгоритмов шифрования, специалисты компании «Доктор Веб» разработали специальную утилиту, успешно справляющуюся с этой задачей. Правда, для подбора ключей потребуется компьютер с мощной аппаратной конфигурацией: на обычных домашних ПК этот процесс может занять около месяца, однако на сервере, оснащенном 24 процессорными ядрами, был поставлен своеобразный рекорд: ключ удалось подобрать за 20 часов. Данная утилита стала своего рода испытательным полигоном для множества инновационных идей, рожденных вирусными аналитиками «Доктор Веб» — все эти идеи будут применяться и в будущем для расшифровки файлов, пострадавших от действия троянцев-энкодеров файлов. Исследования в области разработки новых методов борьбы с шифровальщиками тем временем продолжаются.

Если вы стали жертвой вредоносной программы Trojan.Encoder.252, придерживайтесь простых правил, которые помогут вам вернуть зашифрованные файлы:

  • не меняйте расширение зашифрованных файлов;
  • не переустанавливайте операционную систему — в этом случае вернуть данные будет уже невозможно;
  • не пытайтесь «чистить» или лечить операционную систему с использованием различных утилит и специальных приложений;
  • не запускайте утилиты Dr.Web самостоятельно, без консультации с вирусным аналитиком;
  • напишите заявление о совершенном преступлении в правоохранительные органы;
  • обратитесь в антивирусную лабораторию компании «Доктор Веб», прислав зашифрованный троянцем DOC-файл и дождитесь ответа вирусного аналитика.

Помните, что в связи с большим количеством запросов персональная помощь в расшифровке файлов оказывается только лицензионным пользователям продукции Dr.Web. Специалисты компании призывают пользователей не пренебрегать необходимостью регулярного резервного копирования хранящейся на дисках вашего компьютера информации.

Источник

Дешевые дипломы и отдых на море — только для читателей спама в июне

В июне доля спама в глобальном почтовом трафике по подсчётам
«Лаборатории Касперского» составила 71,1%, что на 1,4% выше
показателя за май. По сравнению с предыдущим месяцем доля вредоносных
вложений снизилась на 1% и составила 1,8% от всего почтового трафика.
При этом Россия заняла 1-е место по количеству срабатываний почтового
антивируса.

В июне спамеры особенно активно рассылали рекламу товаров и услуг, спрос
на которые резко возрастает в летние месяцы. Специалисты
«Лаборатории Касперского» зафиксировали большое количество
спам-рассылок от туристических агентств с предложениями горящих туров и
заманчивыми обещаниями недорогого отпуска для всей семьи. Подборка
рекламных рассылок от турагентсв

С тематикой летнего отдыха конкурировали лишь предложения готовых
дипломов и аттестатов, участившиеся в связи с экзаменационным

периодом в
школах и вузах. В июне было зафиксировано значительное увеличение
спам-рассылок с предложениями купить поддельные аттестаты и дипломы о
высшем образовании, а также приобрести сертификаты на обучение в вузе по
льготным ценам.

Пользуясь растущей популярностью продукции Apple, спамеры активно
рассылали в Рунете сообщения с рекламой аксессуаров для
«яблочных» продуктов, услуг печати фотографий и других
изображений на чехлах устройств. Примечательно, что для обхода систем
спам-фильтрации они добавляли в письмо текст реальных новостей об Apple
и ссылку на сайт новостного агентства.

В июне мошенники использовали и другие хорошо известные
«трюки» для затруднения работы спам-фильтров.
«Лаборатория Касперского» зафиксировала несколько рассылок с
использованием возможностей сервиса Google Translate для обработки
спамерских ссылок. Кроме того, отправители писем добавляли в конец
ссылки сгенерированный случайным образом набор букв и имена
принадлежащих Google доменов в разных странах. Популярным оказался и
метод зашумления текста — авторы рассылок разбивали фразы в письме
беспорядочным набором символов, сохраняя при этом читаемость ключевых
слов.

По-прежнему значительная часть мирового спама распространялась из Китая
(24%) и США (17%). Южная Корея (14%) утвердила свою позицию на 3-ем
месте. В то же время в спам-потоках Рунета в тройке лидеров по-прежнему
лидирует Тайвань (13%), а Украина (9%) поменялась местами с Вьетнамом
(8%).

Доля вредоносных писем составила 1,8% от общего потока сообщений. Как и
в прошлом месяце, чтобы заставить пользователя открыть вложение, спамеры
чаще всего имитировали уведомления от крупных компаний. Среди всех стран
1-е место по количеству срабатываний почтового антивируса в июне заняла
Россия с долей в 29,4% срабатываний. Это в 13 раз больше показателя
прошлого месяца. Столь заметный рост связан с увеличением количества
писем, зараженных червями, в первую очередь нашумевшим ещё в 2009-ом
году Kido, в функционал которого входит подключение заражённого
компьютера к ботнету. Это даёт основания предполагать, что
злоумышленники расширяют свои бот-сети на территории России.

«Имейте в виду, что даже рекламный спам может представлять угрозу,
так как далеко не все продвигаемые услуги законны. Например,
использование поддельных документов, в том числе предлагаемых аттестатов
и дипломов, преследуется по закону, а попытка устроиться на работу с
помощью фальшивого диплома может принести его владельцу серьезные
неприятности, вплоть до уголовной ответственности. Помните, что ни одна
уважающая себя компания, предлагающая качественные услуги и продукты, не
рискнёт своей репутацией, прибегая к спам-рассылкам», —
напоминает Татьяна Щербакова, старший спам-аналитик «Лаборатории
Касперского».

С полной версией спам-отчета за июнь 2013 года можно ознакомиться на
сайте www.securelist.com/ru/analysis/208050805/Spam_v_iyune_2013.

Очередная волна троянцев-шифровальщиков — Вирусная рассылка для жителей Казахстана

Posted: Июнь 27, 2013 in Антивирус, Доктор Веб, Новости, антивирусы, атака, вирусы, компьютеры, люди, поиск, пользователи, программы, софт, срочно, техника, угрозы
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

20 июня 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает о росте количества пользователей, пострадавших от действия троянцев-шифровальщиков. Наибольшее распространение получила вредоносная программа Trojan.Encoder.94. Также весьма популярен Trojan.Encoder.225: только за последнее время за помощью в восстановлении файлов, пострадавших от действия этого троянца, в антивирусную лабораторию «Доктор Веб» обратилось более 160 человек.

Троянцы семейства Trojan.Encoder представляют собой вредоносные программы, шифрующие файлы на жестком диске компьютера и требующие деньги за их расшифровку. После того как файлы зашифрованы, троянцы семейства Trojan.Encoder, в зависимости от модификации, могут помещать на диск текстовые файлы с информацией по восстановлению данных либо менять фон рабочего стола на изображение с указанием дальнейших инструкций. Сумма, требуемая злоумышленниками, может варьироваться от нескольких десятков до нескольких тысяч долларов.

Троянцы-шифровальщики чаще всего распространяются с использованием вредоносных спам-рассылок. Например, Trojan.Encoder.225 может попасть в операционную систему с помощью письма, содержащего вложения в виде документа RTF (но с расширением .doc), эксплуатирующего уязвимость Microsoft Office. С использованием этого эксплойта на компьютер жертвы устанавливается троянец-загрузчик, который в свою очередь скачивает с управляющего сервера Trojan.Encoder. Троянец Trojan.Encoder.94 нередко скачивается на компьютер жертвы с использованием бэкдора BackDoor.Poison, который, в свою очередь, массово рассылается в письмах с вложенными файлами Порядок работы с просроченной задолженностью.doc и ПОСТАНОВЛЕНИЕ АРБИТРАЖНОГО СУДА.exe.

screen

В июне 2013 года был отмечен значительный всплеск количества случаев заражения вредоносными программами семейства Trojan.Encoder, при этом от последней модификации Trojan.Encoder.225 пострадало более 160 пользователей из России и Украины, обратившихся за помощью в компанию «Доктор Веб». Этот троянец написан на языке Delphi и имеет три версии. В предыдущей модификации троянца для связи злоумышленники используют адрес электронной почты milenium56m1@yahoo.com, в последней из известных — marikol8965@yahoo.com. Файлы, зашифрованные ранними версиями Trojan.Encoder.225, поддаются расшифровке. Над средством восстановления файлов, пострадавших от более поздней модификации троянца, в настоящий момент ведется работа.

Что касается наиболее распространенного троянца-шифровальщика, Trojan.Encoder.94, то он насчитывает рекордное число модификаций — более 350. Файлы, зашифрованные большей частью версий Trojan.Encoder.94, поддаются расшифровке. Жертвами Trojan.Encoder.94 за истекший месяц стали более 680 пользователей.

Всего за последние три месяца в антивирусную лабораторию «Доктор Веб» поступило порядка 2 800 обращений от пользователей, пострадавших в результате заражения троянцами-шифровальщиками. Благодаря тому, что злоумышленники непрерывно усложняют механизмы шифрования, вирусным аналитикам приходится решать все более сложные математические задачи в условиях возрастающего потока заявок от жертв энкодеров. В связи с большим числом запросов на лечение и заметно возросшей нагрузкой на антивирусную лабораторию с 19 июня 2013 года помощь в расшифровке файлов оказывается только зарегистрированным пользователям продуктов компании «Доктор Веб».

Если вы стали жертвой одной из таких вредоносных программ, ни в коем случае не переводите деньги киберпреступникам и не пытайтесь самостоятельно устранить последствия заражения (не переустанавливайте операционную систему и не удаляйте никаких файлов на вашем компьютере), т. к. при этом существует высокая вероятность безвозвратной потери данных. Не забывайте о необходимости своевременного резервного копирования хранящейся на жестких дисках вашего компьютера информации. Если вы являетесь зарегистрированным пользователем антивирусных продуктов «Доктор Веб», отправьте несколько зашифрованных файлов в антивирусную лабораторию, воспользовавшись соответствующей формой и выбрав категорию «Запрос на лечение», после чего дождитесь ответа вирусного аналитика и в точности следуйте его инструкциям.

С более подробной информацией о методах противодействия троянцам-энкодерам можно ознакомиться по адресу legal.drweb.com/encoder.

25 июня 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает о массовой вредоносной рассылке, представляющей серьезную опасность для жителей Казахстана. Получатели почтовых сообщений рискуют стать жертвами вредоносной программы BackDoor.Shell.218, открывающей удаленный доступ к инфицированному компьютеру.

Специалистами компании «Доктор Веб» 13, 17 и 23 июня 2013 года была зафиксирована массовая почтовая рассылка, ориентированная в первую очередь на жителей Казахстана. В качестве отправителя электронных сообщений значилось «Web-приложение «Кабинет налогоплательщика» <web-application-cabinet@mail.ru>», а само послание содержало следующий текст: «В целях разъяснения норм налогового законодательства и налогового администрирования Налоговый комитет МФ РК направляет Вам письмо разъясняющего характера».

Письмо содержало вложение в виде архива, при попытке открытия которого запускалось вредоносное приложение. Из ресурсов данной программы извлекалось основное тело троянца и сохранялось во временную папку под именем winlogon.exe, после чего данное приложение запускалось на исполнение и демонстрировало на экране инфицированного компьютера документ в формате .DOC.

Троянская программа детектируется антивирусным ПО «Доктор Веб» как BackDoor.Shell.218. Этот троянец относится к категории приложений, открывающих злоумышленникам возможность удаленного управления инфицированной системой: он позволяет выполнять различные команды в командной строке Windows, делать снимки экрана и даже выключать компьютер.

Особо стоит отметить, что основные адресаты рассылки — сотрудники бухгалтерий различных компаний. Именно для этой категории пользователей поступление письма из налоговых органов — безусловный повод его прочитать и не задумываясь открыть любое вложение. При этом именно бухгалтерские компьютеры чаще всего используются для проведения онлайн-платежей в системах «Банк-Клиент». Доступ к таким компьютерам — заветная мечта киберпреступников, промышляющих хищениями денежных средств со счетов предприятий. Именно такой доступ к компьютеру жертвы и открывает злоумышленникам BackDoor.Shell.218.

Специалисты компании «Доктор Веб» призывают пользователей не открывать вложения в сообщения электронной почты, полученные от подозрительных отправителей, а также поддерживать базы установленного на компьютере антивирусного ПО в актуальном состоянии.

Новый троянец охотится на пользователей, «блокируя» доступ к социальным сетям

Posted: Апрель 12, 2013 in Антивирус, Вконтакте, Доктор Веб, Новости, Одноклассники, антивирусы, атака, вирусы, компьютеры, лечение, поиск, пользователи, программы, софт, срочно, угрозы, Trojan
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает об опасности заражения новой версией вредоносной программы Trojan.Zekos, одна из функций которой заключается в перехвате DNS-запросов на инфицированном компьютере. Этот механизм применяется вирусописателями в целях проведения фишинговых атак – на зараженной машине могут отображаться принадлежащие злоумышленникам веб-страницы вместо запрошенных пользователем сайтов.

С конца прошлой недели в службу технической поддержки компании «Доктор Веб» стали поступать заявки от пользователей, утративших возможность заходить на сайты социальных сетей. Вместо соответствующих интернет-ресурсов в окне браузера демонстрировались веб-страницы с сообщением о том, что профиль пользователя в социальной сети заблокирован, и предложением ввести в соответствующее поле номер телефона и подтверждающий код, полученный в ответном СМС. Вот примеры текстов, опубликованных злоумышленниками на поддельных веб-страницах, имитирующих «ВКонтакте» и «Одноклассники»:

«Мы зафиксировали попытку взлома Вашей страницы. Не беспокойтесь, она в безопасности. Чтобы обезопасить Вашу страницу от злоумышленников и в будущем, мы просим Вас подтвердить привязку к телефону и придумать новый сложный пароль».

«Ваша страница была заблокирована по подозрению на взлом! Наша система безопасности выявила массовую рассылку спам-сообщений с Вашего аккаунта, и мы были вынуждены временно заблокировать его. Для восстановления доступа к аккаунту Вам необходимо пройти валидацию через мобильный телефон».

При этом оформление веб-страниц и демонстрируемый в строке браузера адрес оказывались идентичны оригинальному дизайну и интернет-адресу соответствующей социальной сети. Кроме того, на поддельной веб-странице даже демонстрировалось настоящее имя пользователя, поэтому многие жертвы киберпреступников попросту не замечали подмены, считая, что их учетная запись в социальной сети действительно была взломана.

screen

screen

Проведенное вирусными аналитиками «Доктор Веб» расследование показало, что виновником инцидента стала видоизмененная вирусом системная библиотека rpcss.dll, являющаяся компонентом службы удаленного вызова процедур (RPC) в операционных системах семейства Microsoft Windows. А троянская программа, «дополнившая» библиотеку вредоносным объектом, получила название Trojan.Zekos, причем она умеет заражать как 32-битные, так и 64-битные версии Windows. Примечательно, что первые версии данного троянца были найдены еще в начале 2012 года, однако эта модификация вредоносной программы обладает некоторыми отличиями от своих предшественников.

Trojan.Zekos состоит из нескольких компонентов. Запустившись на зараженном компьютере, Trojan.Zekos сохраняет свою зашифрованную копию в одну из системных папок в виде файла со случайным именем и расширением, отключает защиту файлов Windows File Protection и пытается повысить собственные привилегии в операционной системе. Затем троянец модифицирует библиотеку rpcss.dll, добавляя в нее код, основное предназначение которого — загрузка в память компьютера хранящейся на диске копии троянца. Также Trojan.Zekos модифицирует драйвер протокола TCP/IP (tcpip.sys) с целью увеличения количества одновременных TCP-соединений в 1 секунду с 10 до 1000000.

Trojan.Zekos обладает чрезвычайно богатым и развитым вредоносным функционалом. Одна из возможностей данной вредоносной программы — перехват DNS-запросов на инфицированном компьютере для процессов браузеров Microsoft Internet Explorer, Mozilla Firefox, Chrome, Opera, Safari и др. Таким образом, при попытке, например, посетить сайт популярной социальной сети, браузер пользователя получит в ответ на DNS-запрос некорректный IP-адрес запрашиваемого ресурса, и вместо искомого сайта пользователь увидит принадлежащую злоумышленникам веб-страницу. При этом в адресной строке браузера будет демонстрироваться правильный URL. Помимо этого Trojan.Zekos блокирует доступ к интернет-сайтам большинства антивирусных компаний и серверам Microsoft.

Сигнатура данной угрозы и алгоритм лечения последствий заражения троянцем Trojan.Zekos успешно добавлены в вирусные базы Dr.Web. Пользователям, пострадавшим от данной угрозы, рекомендуется проверить жесткие диски своих компьютеров с помощью антивирусного сканера, или воспользоваться бесплатной лечащей утилитой Dr.Web CureIt!

Медовые ловушки» для влюбленных в Интернете

Современный Интернет невозможно представить без всевозможных сайтов
знакомств, популярность которых довольно высока. Сегодня каждый пятый*
российский интернет-пользователь ежедневно посещает такие ресурсы.
Однако стремление найти вторую половинку умело используют в корыстных
интересах многочисленные мошенники и брачные аферисты, которые
расставили свои сети на просторах глобальной паутины. О том, как,
поддавшись минутному увлечению, пользователи рискуют не только заразить
компьютер вредоносной программой, но и потерять деньги, можно узнать в
статье эксперта «Лаборатории Касперского» Татьяны Куликовой.

Огромная популярность сайтов знакомств, таких как mamba.ru,
loveplanet.ru и других уже давно привлекает внимание злоумышленников.
Практически на всех языках мира рассылается спам, замаскированный под
сообщения от популярных сайтов знакомств. Пройдя же по ссылке из такого
письма, пользователь, как правило, рискует вместо фотографий незнакомки
или незнакомца загрузить на компьютер вредоносное ПО.

Нередко действия мошенников носят и целенаправленный характер. Так,
например, в последнее время в Рунете распространялись письма с
приглашением посетить сайты «для взрослых», якобы созданные
специально для пользователей odnoklassniki.ru. Название рекламируемых
ресурсов пародировало название этой социальной сети: odnopostelniki,
odnokrovatniki. Чтобы зайти на такой сайт, надо было воспользоваться
своим логином и паролем к «Одноклассникам». На деле же все
подобные страницы создавались мошенниками с целью заполучить аккаунты
пользователей известного социального ресурса.

Действия мошенников могут не только привести к потере важной информации,
но и больно ударить по кошельку пользователя. Своих жертв злоумышленники
зачастую ловят насайтах, имитирующих стартовые страницы сайтов
знакомств. Для регистрации на таком «ресурсе» или
подтверждения своего возраста (старше 18 лет) пользователю нужно
отправить на короткий номер SMS-сообщение стоимостью от 10 до 350
рублей. Однако после этого никакого доступа к контенту не
предоставляется, поскольку его просто не существует.

Самая колоритная разновидность спамерских писем, не утратившая своей
популярности у мошенников за многие годы, — так называемый
«нигерийский спам». В данном случае злоумышленники могут
отыскивать потенциальную жертву и среди тех, кто зарегистрировался на
сайте знакомств.

Обычно сюжет таких писем строится на том, что к получателю обращается из
далекой африканской страны влюбленная в него девушка, которая является к
тому же и обладательницей миллионного состояния.Чтобы вывести из страны
невесту и ее деньги, от будущего мужа требуется лишь определенная сумма
на оплату адвокатских услуг.Такая тактика обычно предполагает длительную
переписку. На первые письма претендентов на руку и сердце африканской
красавицы отвечают роботы, но как только становится понятно, что у
мошенников есть шанс поживиться, они сами включаются в переписку.Кроме
писем от «нигерийских красавиц» в почте встречаются
сообщения и от «русских невест», которым, в отличие от
прекрасных жительниц Африки, не хватает денег, чтобы встретиться с
мужчиной своей мечты, а потому они готовы принять пожертвования, как
правило, для оплаты билетов.

«Интернет дает прекрасные возможности для общения, однако стоит
помнить, что виртуальное пространство небезопасно для поиска
романтических отношений. Чтобы избежать разочарований, важно соблюдать
основные принципы безопасности:не посещать непроверенные сайты
знакомств, особенно, если они рекламируются в спаме; не открывать письма
от неизвестных отправителей; не отвечать на подозрительные письма, а
также использовать защитные средства, которые уберегут от скачивания
вредоносного ПО и перехода на фишинговый сайт», —
прокомментировала Татьяна Куликова.

Ознакомиться с полным текстом статьи Татьяны Куликовой можно на сайте
www.securelist.com/ru. *По данным исследования пользователей Интернета,
проведенного независимой исследовательской компанией «O+K»
специально для «Лаборатории Касперского» в мае 2012 года. В
ходе исследования было опрошено более 11 тысяч пользователей в возрасте
16+, проживающих в странах Латинской и Северной Америки, Европы,
Ближнего Востока, Азии и Африки.

Эксперты «Лаборатории Касперского» ежедневно фиксировали
7000 попыток заражения геймеров по всему миру в 2012 году с помощью
системы мониторинга KSN*. Риску при этих атаках подвергаются личные
данные пользователей, содержащие пароли от онлайн-игр и систем
онлайн-банкинга: в первом случае злоумышленники пытаются украсть
персонажей и игровые ценности с тем, чтобы впоследствии продать эти
виртуальные артефакты за самые настоящие деньги, во втором — сами
деньги с реальных банковских счетов.

Как выяснили специалисты «Лаборатории Касперского», для
достижения своих преступных целей злоумышленники каждый день рассылают
геймерам в среднем 10 писем с вредоносными ссылками и вложениями, а
также предпринимают около 500 попыток заразить геймеров через браузеры.
При этом «собранная» компанией «коллекция»
вредоносных программ, ориентированных на атаки онлайн-игр, каждый день
пополняется на 5000 новых образцов.

Излюбленным приёмом злоумышленников в мире онлайн-игр является,
разумеется, социальная инженерия и, в частности, фишинг. К примеру,
прикрываясь именем известной игры, преступники отчаянно пытаются
привлечь геймеров на свои поддельные сайты с целью получить их пароли от
учётных записей игры — в 2012 году специалисты «Лаборатории
Касперского» зафиксировали 15 миллионов попыток посещения
фишинговых сайтов, имитировавших порталы одного из крупнейших
разработчиков онлайн-игр. Получается, что каждый день попыток переходов
на фишинговые сайты начитывается до 50 тысяч. К счастью, все эти
доверчивые пользователи были остановлены профессиональной системой
антифишинга в Kaspersky Internet Security, распознавшей неладное.
(http://www.kaspersky.ru/images/news/gamer.png)

Угрозы для геймеров распределены в мире, конечно же, неравномерно и
прямо коррелируются с количеством активных игроков в разных странах. В
TOP 3 этого нерадостного рейтинга в 2012 году оказались Россия, Китай и
Индия. Именно в этих странах геймеры сталкиваются с наибольшим риском
заражения и последующей кражи персонажей и игровых ценностей. Стоит
добавить, что этот список «лидеров» более или менее
постоянен вот уже на протяжении нескольких лет и ждать спада активности
злоумышленников, увы, не приходится.

Тем не менее, защитить себя и своё игровое альтер-эго от посягательств
со стороны киберпреступников вполне реально. Рекомендации экспертов, на
первый взгляд, очевидны, однако они на практике они неоднократно
доказывали свою эффективность. Ведущий антивирусный эксперт
«Лаборатории Касперского» Сергей Голованов предлагает
геймерам придерживаться следующих простых правил поведения в Сети:

«Прежде всего, нужно «включать голову» при получении
писем, в которых, например, администрация сервера онлайн-игры
запрашивает персональные данные от учётной записи или предлагает пройти
авторизацию под каким-то предлогом — не стоит сразу же бросаться
переходить по ссылке в письме, сайт может оказаться фишинговым.

Во-вторых, не стоит качать из сомнительных источников неофициальные
патчи — вместе с ними легко можно заполучить «бонус» в
виде троянов, внедряющихся в систему компьютера и крадущих всевозможные
пароли. Причём не только от онлайн-игры, но, например, и от банковской
карты, если она была «засвечена» в Интернете. В связи с этим
для геймеров может быть актуальна виртуальная банковская карта, которая
позволит потратить ровно столько, сколько было запланировано, и поможет
избежать лишних рисков».

Однако злоумышленники на то и злоумышленники, что могут перехитрить даже
самого бдительного пользователя. Поэтому эксперты особенно рекомендуют
использовать профессиональные защитные решения. Так, новый Kaspersky
Internet Security содержит самые современные на сегодняшний день
технологии распознавания и блокировки вредоносных программ, в частности
функции антифишинга, автоматическую защиту от эксплойтов, виртуальную
клавиатуру для ввода логинов и паролей и многое другое. Кроме того, в
нём предусмотрен специальный игровой режим, который по минимуму
задействует системные ресурсы и на время выключает оповещения, как
только пользователь разворачивает игру на весь экран.

*Данные получены с разрешения участников сети Kaspersky Security Network
(KSN), объединяющей миллионы пользователей продуктов «Лаборатории
Касперского» по всему миру. KSN автоматически собирает информацию
о попытках заражения или загрузке и работе подозрительных файлов на
компьютере пользователя. Информация собирается с согласия пользователя и
является конфиденциальной. Впоследствии эта информация передаётся для
анализа на центральные серверы «Лаборатории Касперского».