Записи с меткой «Фишинг»

новости от «Лаборатории Касперского»

Согласно статистике «Лаборатории Касперского» за 2013 год, 22% срабатываний модуля «Антифишинг», входящего в состав всех продуктов компании, приходятся на фальшивые страницы и поддельные уведомления Facebook. При этом срабатывания на имитации других социальных сетей и блогерских площадок в сумме составляют 13,5%. Всего же за прошлый год зарегистрировано более 600 миллионов фишинговых инцидентов.

Распределение срабатываний компонента «Антифишинг» за 2013 год

Киберпреступники используют ряд устоявшихся способов заманить жертву на фишинговые ресурсы. Как правило, ссылки на такие страницы злоумышленники распространяют в письмах, имитирующих оповещения от социальной сети. Также популярны рассылки по электронной почте со взломанных аккаунтов по адресному листу — к примеру, сообщения друзьям с предложением перейти по ссылке для просмотра интересного контента. При этом мошенники часто прибегают к запугиванию и в письмах-подделках грозят получателю блокировкой аккаунта, избежать которой можно, перейдя по ссылке в письме и введя персональные данные на открывшейся странице, — расчет идет на всплеск эмоций и сопутствующую потерю бдительности.

Владельцы смартфонов и планшетов, посещающие социальные сети через свои мобильные устройства, также не застрахованы от фишинга — мошенники создают специальные веб-страницы, имитирующие вход в аккаунт через мобильное приложение Facebook. При этом на руку мошенникам играет то, что некоторые мобильные браузеры скрывают адресную строку при открытии страницы, затрудняя обнаружение подделки.

«Согласно данным за 2013 год, Facebook лидировал по числу фишинговых инцидентов. В начале 2014 года ситуация несколько изменилась, и на первое место вышел Yahoo. Однако Facebook по-прежнему держится в топе мишеней фишеров: каждый день мы фиксируем более 20 тысяч попыток перехода пользователей на страницы, имитирующие эту социальную сеть. И неудивительно, доступ к аккаунтам пользователей Facebook может понадобиться мошенникам для множества преступных целей — от рассылки спама до вымогания денег у друзей жертвы. Со своей стороны мы рекомендуем обращать внимание на наличие защищенного соединения — Facebook использует протокол HTTPS для передачи данных. Его отсутствие даже при правильном адресе страницы говорит о том, что вы, скорее всего, находитесь на мошенническом ресурсе», — советует Надежда Демидова, контент аналитик «Лаборатории Касперского».

Более подробный отчет о фишинговых трюках злоумышленников и статистике срабатываний соответствующего защитного компонента находится по ссылке www.securelist.com/ru/analysis/208050845/Obmanshchiki_v_sotsialnykh_setyakh.

Реклама

https://i0.wp.com/kasper-key.net/img_content/Kaspersky_Lab_Logo.png

новости от «Лаборатории Касперского» 

В январе, по данным «Лаборатории Касперского», доля нежелательной корреспонденции в общемировом почтовом трафике снизилась на 7,6 пунктов и составила 65,7%. Однако на снижение в большей степени повлияло относительное затишье в праздничную неделю — в последующие дни спамерская активность восстановилась.

В январе внимание спамеров предсказуемо переключилось с прошедших новогодних праздников на грядущий День святого Валентина — специалисты «Лаборатории Касперского» зафиксировали рассылки «цветочной» рекламы и предложения подарков и услуг по организации романтических ужинов. Дополнительно в праздничном спаме были затронуты День защитника Отечества и Международный женский день. Зимняя Олимпиада тоже стала очередным поводом для рекламы оформленных в соответствующем стиле товаров: в спам—рассылках предлагались тематические подарки и услуги по организации мероприятий и туристических поездок.

В связи с окончанием финансового года немалая часть спам—рассылок содержала рекламу бухгалтерских услуг по подготовке и сдаче годовой отчетности для организаций. В свою очередь «нигерийские» мошенники с целью обмана пользователей и выманивания денег продолжили эксплуатировать смерть известных людей — на этот раз Нельсона Манделы и Ариэля Шарона.

Что касается вредоносного спама, то в январе внимание злоумышленников было сосредоточено на пользователях кроссплатформенного мессенджера WhatsApp для смартфонов, позволяющего обмениваться сообщениями и медиа—файлами. Специалисты «Лаборатории Касперского» обнаружили поддельные уведомления от WhatsApp о том, что один из друзей пользователя отправил ему фотографию. При этом во вложении к письму находился известный бэкдор Androm, основная функция которого — загрузка на компьютер пользователя других вредоносных программ.

Большая часть мирового спама в январе рассылалась из США (21,9%). Лидер прошлого месяца, Китай, опустился на вторую строчку рейтинга стран—источников спама с долей в 16%, а замыкает тройку Южная Корея (12,5%). В целом регион Азии, несмотря на сохранение лидирующей позиции, продемонстрировал снижение доли спама в мировом трафике на 7,6 пунктов до 49%, в то время как показатель Северной Америки вырос до 22,7%. Лидером среди стран—источников спама в Рунете по—прежнему остается Россия (16,4%), второе место занимает Тайвань (13,2%), а на третьей строчке расположилась Индия (11,3%).

Страны—источники спама в мире в январе 2014 года

«Помните, что вероятность получить выгодное, прозрачное и гарантировано честное предложение посредством спама невысока — добросовестный продавец крайне редко прибегает к услугам спамеров. Причем помимо назойливой рекламы нежелательная корреспонденция может вести на вредоносные или фишинговые сайты, именно поэтому следует обращать внимание на подлинность ресурсов, на которые ведут ссылки в письме», — делится рекомендациями Мария Вергелис, спам—аналитик «Лаборатории Касперского».

Подробнее об особенностях спама в январе 2014 года читайте на сайте www.securelist.com/ru/analysis/208050832/Spam_v_yanvare_2014.

Маски сорваны: «Лаборатория Касперского» раскрывает сложнейшую глобальную кампанию кибершпионажа

Posted: Февраль 12, 2014 in Антивирус, Известность, Касперский, Новости, антивирусы, атака, вирусы, компьютеры, поиск, пользователи, программы, Linux, софт, срочно, техника, угрозы, Trojan
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

новости от «Лаборатории Касперского»

https://i2.wp.com/www.e-media66.ru/img/small/kaspersky.jpg

«Лаборатория Касперского» объявила о раскрытии глобальной сети кибершпионажа «Маска», за которой стоят испаноговорящие злоумышленники. Обнаруженные следы указывают на то, что операция ведется как минимум с 2007 года. Ее выделяет сложность арсенала атакующих, который включает в себя ряд крайне изощренных вредоносных программ, разработанных для различных платформ, включая Mac OS X, Linux и, возможно, iOS.

Действия злоумышленников в первую очередь были направлены на государственные организации, дипломатические офисы и посольства, энергетические и нефтегазовые компании, исследовательские организации и политических активистов. По подсчетам «Лаборатории Касперского» жертвами этой таргетированной атаки стали 380 пользователей из 31 стран по всему миру, включая Ближний Восток, Европу, Африку и Америку.

Главной целью атакующих был сбор ценной информации из зараженных систем, включая различные документы, ключи шифрования, настройки VPN, применяемые для идентификации пользователя на сервере SSH-ключи, а также файлы, используемые программами для обеспечения удаленного доступа к компьютеру.

«Несколько причин заставляют нас думать, что это может быть кампанией, обеспеченной государственной поддержкой. Прежде всего, мы наблюдаем крайне высокий уровень профессионализма в действиях группы, которая обеспечивает мониторинг собственной инфраструктуры, скрывает себя с помощью правил системы разграничения доступа, начисто стирает содержимое журнальных файлов вместо обычного их удаления, а также при необходимости прекращает всякие действия. Такой уровень самозащиты нетипичен для киберпреступников. Все это ставит данную кампанию по уровню сложности даже выше Duqu – можно сказать, это самая сложная угроза такого класса на данный момент», – объяснил Костин Райю, руководитель глобального исследовательского центра «Лаборатории Касперского».

Для жертв заражение может обернуться катастрофическими последствиями. Вредоносное ПО перехватывает все коммуникационные каналы и собирает наиболее важную информацию с компьютера пользователя. Обнаружение заражения чрезвычайно сложно из-за доступных в рутките механизмов скрытия и имеющихся дополнительных модулей кибершпионажа. В дополнение к встроенным функциям, злоумышленники могли закачивать на зараженный компьютер модули, позволяющие выполнить набор любых вредоносных действий.

Тщательное исследование показало, что для авторов этих программ испанский является родным языком – этого ранее не наблюдалось в атаках подобного уровня. Анализ показал, что операция «Маска» активно велась на протяжении 5 лет до января 2014 года (а некоторые образцы вредоносного ПО имели дату сборки 2007 года) – во время проведения исследования управляющие сервера злоумышленников были свернуты.

Заражение пользователей происходило через рассылку фишинговых писем, содержащих ссылки на вредоносные ресурсы. На этих сайтах располагался ряд эксплойтов, которые в зависимости от конфигурации системы посетителя, использовали различные способы атаки его компьютера. В случае успешной попытки заражения, вредоносный сайт перенаправлял пользователя на безвредный ресурс, который упоминался в письме – это мог быть YouTube или новостной портал.

Важно отметить, что сами вредоносные сайты не заражали посетителей автоматически в случае прямого обращения по одному только доменному имени. Злоумышленники хранили эксплойты в отдельных каталогах, ссылки на которые присутствовали только в письмах, – проходя именно по ним, пользователь подвергался атаке. Иногда на этих сайтах злоумышленники использовали поддомены, чтобы полные адреса выглядели более правдоподобными. Эти поддомены имитировали разделы популярных испанских газет, а также несколько международных – «The Guardain» и «Washington Post».

На данный момент продукты «Лаборатории Касперского» распознают и удаляют все известные версии программ «Маска». С подробным отчетом, включающим описание работы механизмов и статистику заражения, можно ознакомиться по адресу http://www.securelist.com/en/blog/208216078/The_Careto_Mask_APT_Frequently_Asked_Questions

https://i1.wp.com/pconsumibles.com/productos/f.1372096736.jpg

Эксперты «Лаборатории Касперского» подготовили обзор, демонстрирующий особенности и опасности спам-рассылок с предложением кредитов, а также перечислили меры предосторожности, которые помогут не попасться на удочку спам-кредиторов.

Кредитные отношения стали одним из главных источников доходов банков и прочих кредитных организаций — миллионы людей по всему миру приобретают в рассрочку товары и услуги и принимают на себя обязательства по выплате кредиторам немалых процентов. Однако для получения кредита потенциальный заемщик должен доказать, что способен ежемесячно выплачивать часть запрошенной суммы. Наиболее строгие условия, как правило, выдвигают крупные банки. Небольшие организации и частные кредиторы, в свою очередь, обычно более лояльны к потребителю, а возможные риски компенсируют повышенной процентной ставкой. Неспособные конкурировать с известными банками по уровню и масштабу рекламных кампаний, они часто прибегают к помощи массовых электронных рассылок.

Кредитные спам-рассылки не так безобидны, как может показаться на первый взгляд. Нередко за подобными письмами стоят интернет-мошенники или недобросовестные организации, чьи услуги на деле оказываются гораздо дороже, чем в обещаниях. Адресат таких сообщений может столкнуться с разнообразными угрозами. Среди них можно выделить фишинг: указав свои личные данные на фишинговом сайте, пользователь фактически сам передает их в руки мошенников, и те в свою очередь, используя полученные данные, действительно могут оформить кредит на имя жертвы. Кроме того, получатели могут столкнуться с вредоносными программами во вложениях, рассылаемых под видом бланков заявлений на кредит. Как правило, эти программы запакованы в архив и замаскированы под безобидные файлы, например, с помощью двойного расширения. Да и просто ответ на рекламное письмо даст спамерам понять, что адрес используется, и на него будет приходить увеличенное количество нежелательных сообщений.

Пример спам-сообщения, содержащего ссылку на фишинговый сайт

«Вероятность получить что-то полезное посредством спама невелика. Гораздо более частое явление — вложения вредоносных программ под видом безобидного офисного документа. Мы рекомендуем выработать привычку не открывать присылаемые вложения и не проходить по подозрительным ссылкам. Однако трюки злоумышленников с каждым годом становятся более изощренными, и в некоторых случаях даже здравый смысл и осторожность могут не помочь. Именно поэтому мы рекомендуем в дополнение к антивирусу обезопасить себя антифишинговой защитой, доступной в нашем продукте для домашних пользователей Kaspersky Internet Security для всех устройств», — отметила Мария Вергелис, спам-аналитик «Лаборатории Касперского».

Ознакомиться с обзором целиком можно по ссылке www.securelist.com/ru/analysis/208050830/Spam_kreditory_krazha_dannykh_troyantsy_i_drugie_osobennosti_deshevykh_zaymov.

новости от «Лаборатории Касперского»

https://i1.wp.com/pconsumibles.com/productos/f.1372096736.jpg

«Лаборатория Касперского» и крупнейший в Рунете регистратор доменных имен RU-CENTER объявляют о сотрудничестве и объединении усилий с целью предотвращения использования злоумышленниками доменов русскоязычного сегмента Сети в своих преступных интересах.

В рамках заключенного соглашения эксперты «Лаборатории Касперского» будут выявлять случаи использования доменных имен в целях фишинга, для несанкционированного доступа в информационные системы, а также для распространения вредоносных программ и управления ботнетами. Затем эти данные будут передаваться компании RU-CENTER с тем, чтобы регистратор мог оперативно прекратить делегирование доменов, используемых в противоправных целях.

Эффективность подобного сотрудничества уже была подтверждена недавним инцидентом, в рамках которого в Сети был обнаружен клон доменного имени известного в России интернет-магазина. В фальшивом домене буква «m» в его названии была заменена злоумышленниками сочетанием букв rn», что делало его визуально похожим на легальный веб-сайт магазина. При этом «лжедомен» использовался злоумышленниками для нелегального получения конфиденциальных данных пользователей и коммерческой информации. После выявления нарушения регистратор RU-CENTER прекратил делегирование фишингового домена.

«Как аккредитованный регистратор мы регулярно получаем от уполномоченных Координационным центром экспертных организаций обращения о снятии доменных имен-нарушителей с делегирования. Подобное взаимодействие дает нам возможность оперативно пресекать деятельность злоумышленников в Сети. Домены оперативно разблокируются, если причина их отключения устранена владельцем, — рассказывает Андрей Воробьев, директор департамента по связям с общественностью и взаимодействию с органами государственной власти RU-CENTER. — Мы рады, что теперь в числе наших партнеров «Лаборатория Касперского» с ее широким опытом и экспертизой в распознавании и устранении киберугроз».

«При существующем сегодня многообразии и сложности киберугроз борьба с ними должна вестись не только локально на компьютере пользователя, но и более глобально, в частности в рамках сотрудничества с организациями, имеющими отношение к IT и цифровому контенту. Обнаружение угрозы на уровне домена позволит не только избежать многочисленных инцидентов, но также закроет для киберпреступников этот канал распространения зловредов. Уверен, что объединение усилий с крупнейшим в Рунете регистратором доменных имен позволит нам добиться хороших результатов в борьбе с киберугрозами в Сети», — отметил Руслан Стоянов, руководитель отдела расследования компьютерных инцидентов «Лаборатории Касперского».

Ранее подобное соглашение о защите интернет-пространства на уровне доменов «Лаборатория Касперского» заключила с Координационным центром национального домена сети Интернет. В рамках этого сотрудничества стороны предотвращают несанкционированное использование доменных имен верхнего уровня .ru и .рф.

О RU-CENTER

RU-CENTER (ЗАО «Региональный Сетевой Информационный Центр») — первый в России и крупнейший профессиональный регистратор доменов и один из ведущих хостинг-провайдеров. RU-CENTER является аккредитованным регистратором доменных имен в 23 доменах верхнего уровня: RU, РФ, SU, NET, COM и других доменах, обеспечивает регистрацию в 62 геодоменах России и стран СНГ, а также в доменах COM.RU, PP.RU, ORG.RU и NET.RU. RU-CENTER работает на рынке регистрации доменов уже больше 10 лет и в настоящее время обслуживает свыше 3 млн доменных имен. С июня 2012 года RU-CENTER входит в состав Группы компаний Hosting Community, объединяющей крупнейших российских хостинг-провайдеров и регистраторов доменных имен. Более подробная информация о компании представлена на официальном сайте http://nic.ru.

О «Лаборатории Касперского»

«Лаборатория Касперского» — крупнейшая в мире частная компания, специализирующаяся в области разработки программных решений для обеспечения IT-безопасности. Компания входит в четверку ведущих мировых производителей защитных систем класса Endpoint Security*. Вот уже более шестнадцати лет «Лаборатория Касперского» предлагает эффективные защитные решения для крупных корпораций, предприятий среднего и малого бизнеса и домашних пользователей. Ключевым фактором успеха компании является инновационный подход к обеспечению информационной безопасности. Технологии и решения «Лаборатории Касперского» защищают более 300 миллионов пользователей почти в 200 странах и территориях мира. Более подробная информация доступна на официальном сайте www.kaspersky.ru.


*Компания заняла четвертое место в рейтинге аналитического агентства IDC «Выручка вендоров от продажи решений класса Endpoint Security» (Worldwide Endpoint Security Revenue by Vendor) за 2012 год. Рейтинг был включен в отчет IDC «Прогноз развития мирового рынка решений класса Endpoint Security на 2013-2017 гг. и доли вендоров в 2012 г.» (Worldwide Endpoint Security 2013—2017 Forecast and 2012 Vendor Shares), опубликованный в августе 2013 года (IDC #242618). В основу рейтинга легли данные о выручке от продаж решений класса Endpoint Security в 2012 году.

DRWEB

 

Середина осени 2013 года вновь была отмечена широким распространением троянцев-шифровальщиков: в октябре в службу технической поддержки компании «Доктор Веб» обратились сотни пострадавших от действий троянцев-энкодеров. Также в октябре были выявлены очередные вредоносные программы для мобильной платформы Google Android, которая давно уже находится под прицелом злоумышленников.

Вирусная обстановка

Согласно статистике, собранной в октябре с использованием бесплатной лечащей утилиты Dr.Web CureIt!, в списке выявленных угроз, как и прежде, лидирует Trojan.LoadMoney.1 — приложение-загрузчик, созданное организаторами партнерской программы Loadmoney. Также в лидерах списка — еще одна его модификация, Trojan.LoadMoney.76. Велико число заражений компьютеров вредоносной программой Trojan.Hosts.6815: это приложение модифицирует содержимое файла hosts с целью перенаправления браузера на мошеннические или фишинговые ресурсы. Кроме того, в числе лидеров по количеству обнаружений на компьютерах пользователей — троянец-загрузчик Trojan.InstallMonster.28 и рекламный троянец Trojan.Lyrics.11. Двадцатка наиболее актуальных угроз, обнаруженных при помощи лечащей утилиты Dr.Web CureIt! в октябре, представлена в следующей таблице:

Название Кол-во %
Trojan.LoadMoney.1 4794 3.84
Trojan.Packed.24524 3716 2.98
Trojan.LoadMoney.76 3237 2.60
Trojan.Hosts.6815 2192 1.76
Trojan.InstallMonster.28 2061 1.65
Trojan.Lyrics.11 1441 1.16
Trojan.InstallMonster.33 1226 0.98
Win32.HLLP.Neshta 1192 0.96
BackDoor.Andromeda.178 982 0.79
Trojan.Fraudster.524 961 0.77
BackDoor.IRC.NgrBot.42 947 0.76
Trojan.Winlock.8811 881 0.71
BackDoor.Maxplus.24 878 0.70
Trojan.Hosts.6838 862 0.69
Win32.Sector.22 829 0.66
VBS.Rmnet.2 777 0.62
Trojan.Fraudster.502 738 0.59
Win32.HLLW.Gavir.ini 710 0.57
Trojan.Crossrider.1 708 0.57
Trojan.DownLoader9.19157 683 0.55

Ботнеты

Динамика прироста ботнета, образованного зараженными файловым вирусом Win32.Rmnet.12 компьютерами, в октябре осталась практически неизменной: ежесуточно к первой бот-сети подключалось в среднем порядка 15 000 вновь инфицированных ПК, ко второй — 11 000, что в целом соответствует показателям за сентябрь. Изменение численности обеих подсетей Win32.Rmnet.12 в октябре 2013 года можно проследить на представленных ниже графиках:

Динамика регистрации новых ботов в ботнете Win32.Rmnet.12 в октябре 2013 года (1-я подсеть)
screenshot

Динамика регистрации новых ботов в ботнете Win32.Rmnet.12 в октябре 2013 года (2-я подсеть)
screenshot

Продолжает уменьшаться количество компьютеров, на которых антивирусное ПО фиксирует наличие вредоносного модуля Trojan.Rmnet.19, — если на начало октября таковых насчитывалось 4 640, то уже к концу месяца это число составило 3 851.

Практически неизменным остается размер ботнета BackDoor.Bulknet.739: по данным на 28 октября в этой сети числится 1 539 инфицированных компьютеров. В свою очередь, немного снизилась численность ботнета BackDoor.Dande, основным предназначением которого является кража конфиденциальной информации у представителей российских фармацевтических компаний. В конце сентября насчитывалось 1 232 рабочие станции, инфицированные этим троянцем, а в двадцатых числах октября это значение составило уже 1 105.

Постепенно снижается и количество Apple-совместимых компьютеров, инфицированных работающим под управлением Mac OS X троянцем BackDoor.Flashback.39. В конце сентября число заражений составляло 38 288, а спустя месяц количество инфицированных «маков» снизилось до 31 553.

Угрозы для Android

В минувшем месяце специалистами компании «Доктор Веб» было зафиксировано сразу нескольких новых вредоносных Android-приложений, созданных для кражи конфиденциальных данных владельцев мобильных устройств. Так, троянские программы Android.Spy.40.origin, Android.SmsSpy.49.origin и Android.SmsForward.14.origin предназначались для южнокорейских пользователей и распространялись при помощи нежелательных СМС-сообщений, содержащих ссылку на загрузку вредоносного apk-файла. Данный метод киберпреступники взяли на вооружение уже давно, и его популярность продолжает стабильно увеличиваться, что позволяет судить о его достаточно высокой эффективности.

screenshot screenshot

screenshot

Как и многие аналогичные вредоносные программы, эти троянцы способны перехватывать поступающие СМС-сообщения, в которых может содержаться различная ценная информация, включающая как одноразовые mTAN-пароли и иные финансовые реквизиты, так и личную или деловую переписку. Однако в данном случае наибольший интерес представляет троянец Android.Spy.40.origin, при создании которого была использована очередная ошибка ОС Android, позволяющая ему избежать обнаружения антивирусными программами. Для этого злоумышленникам было необходимо лишь определенным образом изменить структуру троянского apk-пакета, после чего он мог успешно обходить сканирование. Более подробная информация об этой угрозе содержится в соответствующей публикации на сайте нашей компании.

Другим заметным событием октября стало обнаружение многофункционального троянца Android.Zoo.1.origin, который распространялся на одном из китайских сайтов в популярной игре, модифицированной киберпреступниками. Попав на мобильное устройство, Android.Zoo.1.origin собирал сведения об имеющихся в телефонной книге контактах и загружал их на удаленный сервер, мог скачивать и устанавливать другие вредоносные приложения, был способен отправлять сообщения на платные премиум-номера, открывать в браузере определенные веб-страницы, а также выполнять ряд других действий.

screenshot screenshot

Не обошлось и без новых модификаций троянцев Android.SmsSend и Android.SmsBot, способных отправлять СМС-сообщения на премиум-номера. В прошедшем месяце вирусная база Dr.Web пополнилась записями для нескольких представителей этих семейств вредоносных программ. Среди них – Android.SmsSend.853.origin, Android.SmsSend.888.origin и Android.SmsBot.7.origin, которые распространялись под видом популярных приложений, а также их инсталляторов.

Прочие события октября

Call-центр мошенников «блокирует» карты Сбербанка

Мошенники нашли очередную схему обмана владельцев карт Сбербанка, связанную с рассылкой фальшивых СМС-уведомлений.

При открытии карты клиентов предупреждают, что СМС-сообщения от Сбербанка приходят только с короткого номера 900 (для некоторых регионов используются номера 9000, 9001, 8632, 6470, SBERBANK). Злоумышленники используют похожие номера, обозначенные буквами и цифрами, например «9oo» (здесь вместо цифр использованы буквы) или «СБ900», для рассылки мошеннических СМС-сообщений о блокировке карты якобы из-за подозрительной транзакции. Для получения инструкций о дальнейших действиях жертве предлагают позвонить по номеру +7(499)504-88-24. Мошенник, представляясь оператором call-центра, сообщает, что клиенту необходимо как можно скорее дойти до ближайшего банкомата и перевести денежные средства со счета карты на новый счет.

Пользователя в подобных случаях может насторожить следующее: ему не могут внятно объяснить причину блокировки карты, просят назвать конфиденциальные данные карты, предлагают подойти к ближайшему банкомату для выполнения сомнительной операции и т. п.

Выявлено около 50 попыток разослать такие фальшивки клиентам Сбербанка. Номера, с которых приходили сообщения, заблокированы и внесены в «черный список» отправителей СМС, который ведут крупные СМС-агрегаторы, поэтому мошенники не смогут повторно подключиться к оператору сотовой связи, сменив компанию-провайдера услуг.

Gameover продолжается: Upatre распространяет шифровальщика CryptoLocker вместе с банковским троянцем Gameover ZeuS

Получила развитие ситуация, связанная с сообщением компании Dell SecureWorks от 10 октября этого года о распространении банковского троянца Gameover ZeuS при помощи троянца-загрузчика. Специалисты по информационной безопасности выяснили, что с этим же загрузчиком распространятся программа-шифровальщик CryptoLocker, вымогающая у владельцев зараженных компьютеров плату за расшифровку файлов.

Троянец из семейства Trojan.DownLoad — это файл небольшого размера, реализующий простую функцию загрузки других вредоносных программ на компьютер жертвы. Он маскируется под zip- или pdf-файл, и распространяется как вложение в спам-сообщения. Стоит пользователю открыть такое вложение, и на компьютер загружается вредоносное ПО, в первую очередь – банковские троянцы семейства Zbot/ZeuS, а теперь и CryptoLocker. Данный шифровальщик не только блокирует доступ к системе, но и вынуждает пользователя оплачивать расшифровку файлов.

Зарубежные эксперты исследовали образец такого спам-сообщения. Вредоносное вложение содержит загрузчик Trojan.DownLoad, скачивающий программу Trojan.PWS.Panda. Именно она фактически загружает CryptoLocker.

Таким образом, пользователь, компьютер которого заражен указанными вредоносными программами, рискует потерять не только учетные данные для онлайн-банкинга и деньги вследствие несанкционированных банковских операций, но и другие свои файлы, зашифрованные CryptoLocker. Самостоятельная расшифровка данных из-за сложности применяемого метода шифрования невозможна.

Троянец CryptoLocker детектируется антивирусом Dr.Web как Trojan.Encoder.304 (образец добавлен в вирусную базу 25 октября 2013 года).

Пользователи, установившие антивирус Dr.Web, защищены от данных угроз. Однако из-за большой комплексной опасности, которую представляют эти вредоносные программы, рекомендуется соблюдать дополнительные меры предосторожности: не открывать вложения в письмах, поступивших из недостоверных источников; избегать переходов по непроверенным ссылкам; регулярно делать резервные копии файлов; пользоваться лицензионным ПО и своевременно обновлять его.

Подробности октябрьских DDOS-атак на сайты российских банков

Представитель службы безопасности Центробанка России Артем Сычев сообщил о подробностях DDOS-атак, организованных в начале октября 2013 года на сайты ЦБ, Сбербанка, ВТБ, Альфа-банка, Газпромбанка и Россельхозбанка.

Бот-сеть из 400 компьютеров, находящихся в Европе, начинала каждую атаку в первой половине дня. В ряде случаев акция продолжалась в течение суток. Банки были атакованы последовательно: первым под удар попал сайт Сбербанка, последним — сайт ВТБ. Целью кибератак был скрипт, обрабатывающий публикацию курсов валют на сайте финансового учреждения. Угроз банковским сервисам в ходе атак выявлено не было, персональные данные и счета клиентов риску не подвергались. По словам Сычева, работа сайта Центробанка прерывалась всего на 7 минут.

О своей причастности к указанным кибератакам заявила группа «Кавказские анонимусы». В этой связи Сычев сообщил о «монетизации преступных действий в киберпространстве, приводящей к тому, что атаки становятся коммерчески выгодными. Распространена ситуация, когда заказчиками являются граждане России, а исполнителями — люди, находящиеся в Европе или Азии. Атакующие машины могут иметь зарубежные IP-адреса».

Dexter: новая тенденция угроз для владельцев банковских карт

Новый вариант вредоносной программы Dexter нанес многомиллионный ущерб большинству южноафриканских банков. Скомпрометированы сотни тысяч кредитных и дебетовых карт. Dexter заражает компьютеры с подключенными к ним торговыми терминалами (point-of-sale, POS-терминалами) для платежей в торговых сетях и ресторанах, похищает данные с пластиковых карт, загруженные в оперативную память компьютера, шифрует их и отправляет на сервер злоумышленников.

По данным зарубежных исследователей, Dexter был выявлен еще в 2012 году. Модификации обнаруженного троянца известны также под названиями Alina, BlackPOS, Vskimmer. За несколько месяцев были заражены сотни компьютеров торговых терминалов в 40 странах. Большинство зараженных систем находилось в Северной Америке и Великобритании.

Образцы указанного вредоносного ПО детектируются антивирусом Dr.Web как Trojan.Packed.23683, Trojan.Packed.23684 и Trojan.Packed.23685. Они добавлены в вирусную базу 27 сентября 2012 года.

Рассылка банковских троянцев семейства P2P Zeus: адрес известен

На многочисленных зарубежных сайтах, где отслеживаются образцы спамерских и фишинговых писем, сообщается о распространении в начале октября со спамом новых вариантов вредоносного ПО (предположительно банковского троянца P2P Zeus). По данным одного из крупных австралийских сайтов, зафиксировано более 135 000 почтовых ящиков, на которые поступил указанный спам.

Мошенники рассылают письма с поддельных адресов, используя возможности протокола SMTP. Предполагается, что их реальный адрес — fraud@aexp.com, зарегистрированный на сервере с IP-адресом 190.213.190.211, относящемся к региону Тринидад и Тобаго. В теме писем (присланных якобы из государственных учреждений, банков и т. п.) злоумышленники указывают названия документов финансовой отчетности, предупреждений служб безопасности и т. п., мотивируя потенциальную жертву открыть вложение, чтобы избежать возможных материальных потерь.

Вложение к письму (маскирующееся под *.zip- или *.pdf-файл) является исполняемым файлом. При открытии вложения загружаются различные варианты троянцев: Trojan.DownLoad3.28161, Trojan.DownLoader10.16610, Trojan.Inject1.27909 (все названия даны в соответствии с вирусной базой Dr.Web).

Есть предположение, что при помощи указанного вредоносного ПО на компьютер жертвы загружается банковский троянец P2P Zeus.

Образцы троянцев Trojan.DownLoad3.28161, Trojan.DownLoader10.16610, Trojan.Inject1.27909, распространявшиеся в указанной рассылке, добавлены в вирусную базу Dr.Web 9 и 10 октября 2013 года.

Вредоносная программа P2P Zeus детектируется Dr.Web как Trojan.PWS.Panda.4379. Этот банковский троянец опасен тем, что относится к числу наиболее распространенных. Он передает злоумышленникам данные для доступа к банковским сервисам, похищает ключи и пароли от различных программ, отслеживает нажатия клавиш, делает снимки экрана, объединяет зараженные устройства в бот-сети, выполняет поступающие с сервера злоумышленников команды, перенаправляет жертву на поддельные (фишинговые) сайты для кражи конфиденциальной информации. По мнению специалистов компании «Доктор Веб», указанная спам-кампания нацелена на клиентов различных банков. Чтобы избежать опасности, пользователям рекомендуется не открывать вложения в письмах, поступивших из подозрительных источников; не переходить по подозрительным ссылкам; защищать устройство при помощи антивирусных программ и своевременно обновлять ПО.

Вредоносные файлы, обнаруженные в почтовом трафике в октябре

 01.10.2013 00:00 — 31.10.2013 23:00
1 Trojan.DownLoad3.28161 1.02%
2 Trojan.Packed.24872 0.77%
3 Trojan.DownLoader9.22851 0.70%
4 Trojan.Packed.3036 0.68%
5 BackDoor.Maxplus.13275 0.60%
6 Trojan.PWS.StealerENT.3243 0.56%
7 Trojan.Click2.22983 0.51%
8 Trojan.PWS.Panda.547 0.49%
9 Trojan.PWS.Panda.2401 0.48%
10 Trojan.PWS.Multi.911 0.44%
11 Trojan.PWS.Panda.4795 0.41%
12 BackDoor.Comet.152 0.39%
13 Trojan.DownLoader10.34549 0.39%
14 Win32.HLLM.MyDoom.33808 0.37%
15 Trojan.Fraudster.517 0.34%
16 Trojan.Packed.24612 0.32%
17 BackDoor.Maxplus.13119 0.32%
18 BackDoor.Blackshades.17 0.31%
19 Trojan.PWS.Panda.4379 0.31%
20 Win32.HLLM.Beagle 0.29%

Вредоносные файлы, обнаруженные в октябре на компьютерах пользователей

 01.10.2013 00:00 — 31.10.2013 23:00
1 Exploit.SWF.254 0.98%
2 Trojan.Fraudster.524 0.57%
3 Trojan.LoadMoney.76 0.54%
4 Trojan.Packed.24524 0.53%
5 BackDoor.PHP.Shell.6 0.48%
6 Trojan.LoadMoney.1 0.47%
7 Trojan.Fraudster.502 0.37%
8 BackDoor.IRC.NgrBot.42 0.33%
9 Trojan.Fraudster.394 0.31%
10 Trojan.InstallMonster.33 0.30%
11 Win32.HLLW.Shadow 0.28%
12 Trojan.SMSSend.4196 0.27%
13 Win32.HLLW.Autoruner.59834 0.27%
14 Trojan.MulDrop5.1740 0.27%
15 Trojan.Winlock.9260 0.26%
16 Trojan.MulDrop4.25343 0.26%
17 Trojan.InstallMonster.34 0.25%
18 Trojan.InstallMonster.28 0.24%
19 JS.Redirector.194 0.24%
20 Trojan.LoadMoney.188 0.23%

Kaspersky.com — Вирусные новости — Опасная пропорция: 3/4 российских пользователей и их финансовые операции в Сети под угрозой

Posted: Октябрь 19, 2013 in Антивирус, Касперский, Личность, Новости, антивирусы, атака, вирусы, компьютеры, лечение, люди, поиск, пользователи, программы, софт, срочно, техника, угрозы, человечество
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

Опасная пропорция: 3/4 российских пользователей и их финансовые операции в Сети под угрозой

Почти 3/4 российских пользователей сталкивались с финансовыми угрозами в
Интернете — это выяснилось в результате опроса
(http://media.kaspersky.com/ru/documents/B2C_Summary_2013_rus.pdf)*,
проведенного аналитической компанией B2B International и
«Лабораторией Касперского» летом 2013 года. Всевозможные
онлайн-сервисы, связанные с денежными транзакциями (интернет-банкинг,
платежные системы, онлайн-магазины), приобретают все большую
популярность у пользователей. Эта тенденция не осталась без внимания
злоумышленников.

По данным исследования, каждый десятый российский пользователь получал
по электронной почте фальшивые сообщения от банков. 17% пользователей
сообщили, что сталкивались с подозрительными сообщениями от имени
администраций онлайн-магазинов или социальных сетей. Еще 11%
подтвердили, что при совершении финансовых операций в Интернете они
автоматически перенаправлялись на подозрительный сайт, где им
предлагалось ввести данные платежной карты. А около 9% пользователей
даже вводили финансовую информацию на сайтах, в легитимности которых у
них были сомнения.

Фальшивые антивирусы, которые сообщают о заражении компьютера и
настойчиво рекомендуют приобрести защиту, стали в России самой
популярной схемой выманивания денег у интернет-юзеров. Ее действие
испытали на себе целых 56% опрошенных, что значительно выше, чем в
среднем по миру и в большинстве исследуемых регионов. Хотя опытный и
внимательный пользователь, вероятно, сможет распознать значительную
часть финансовых мошенничеств, реализованных с помощью фишинга, подобные
атаки часто заканчиваются успехом: около 8% российских пользователей
сообщили, что потеряли деньги, попавшись на удочку преступников. И в
России этот показатель в два раза выше общемирового.

«Финансовые операции в Интернете пользуются все большей
популярностью, что, естественно, вызывает высокий интерес со стороны
киберпреступников, которые изобретают все новые методы отъема денег у
пользователей, — рассказывает Сергей Голованов, ведущий
антивирусный эксперт «Лаборатории Касперского». — Одну
из самых серьезных угроз, вне зависимости от платформы устройства, с
которого пользователь совершает интернет-платежи, представляет
финансовый фишинг. Его целью является хищение таких персональных данных,
как номера платежных карт, логины и пароли для доступа в системы
онлайн-банкинга и подтверждения операций. Защититься от такой угрозы
простому пользователю можно с помощью специальных технологий,
присутствующих, например, в модуле «Безопасные платежи».

Функция «Безопасные платежи» входит в состав универсального
защитного решения для платформ Windows, Mac и Android Kaspersky Internet
Security для всех устройств
(http://www.kaspersky.ru/multi-device-security). Продвинутая технология,
разработанная специалистами «Лаборатории Касперского»,
представляет собой сочетание различных специализированных защитных
механизмов и активируется автоматически, как только пользователь
пытается перейти на сайт системы интернет-банкинга, платежной системы
или интернет-магазина. Функция обеспечивает надежную защиту денег
пользователя от абсолютного большинства финансовых кибератак.

В частности, новейшие антифишинговые технологии распознают и блокируют
фальшивые страницы сайтов, через которые пользователю предлагается
совершить финансовые операции. Подтверждение доверенности соединения
между банком и компьютером пользователя осуществляется за счет проверки
подлинности сертификатов безопасности сайта банка или платежной системы.
В свою очередь, особый «безопасный режим» для популярных
интернет-браузеров защитит от атак, применяющих исполнение вредоносного
кода в браузере. Функции «Виртуальная клавиатура» и
«Безопасная клавиатура» обеспечат надежную защиту данных,
которые пользователь вводит на сайте своего банка. Кроме того,
встроенная в «Безопасные платежи» система проверки
безопасности приложений, установленных на компьютере, предупредит
пользователя о наличии у него программ, уязвимости в которых
злоумышленники могут использовать для заражения ПК.

В совокупности эти технологии обеспечивают комплексную защиту от
финансовых угроз и дают пользователям возможность работать с сервисами
онлайн-банкинга, платежными системами и интернет-магазинами без риска
потерять деньги. * Исследование проведено аналитическим агентством B2B
International специально для «Лаборатории Касперского» летом
2013 года. В ходе исследования было опрошено 8605 респондентов в
возрасте 16+, проживающих в странах Латинской и Северной Америки,
Ближнего Востока, Азии, Африки, Европы и России в частности.

Большие угрозы для небольших компаний

«Лаборатория Касперского» провела в Казани
пресс-конференцию, в ходе которой рассказала о современных угрозах для
бизнеса и представила результаты последнего исследования
(http://media.kaspersky.com/pdf/IT_risk_report_Russia_2013.pdf),
проведенного совместно с аналитической компанией B2B International* в
2013 году.

Так, по данным исследования, в течение года IT-инфраструктура 95%
российских организаций как минимум один раз подверглась внешней
кибератаке. При этом сами компании больше всего опасаются атак с помощью
вредоносного ПО — такую угрозу отметил 71% представителей
компаний. Эти опасения не безосновательны: почти в четверти случаев
(24%) подобная атака приводит к утечке информации.

Любопытно, что в регионах атаки с использованием вредоносного ПО
отмечаются чаще: о данной угрозе говорили 74% респондентов (для
сравнения, в Москве этот показатель самый низкий — 69%). Также
региональные компании чаще беспокоят фишинговые атаки и кража
оборудования.

Набирающая обороты тенденция использования мобильных устройств для
работы не может не сказываться на безопасности: 95% респондентов
сообщили о том, что в их компаниях был зарегистрирован как минимум один
инцидент информационной безопасности, связанный с использованием
смартфонов и планшетов.

Для среднего и малого бизнеса перечисленные угрозы представляют более
значительную опасность — в результате подобных атак СМБ-компании
теряют данные чаще, чем крупные организации. Если же обратиться к оценке
стоимости успешной атаки, то средний размер ущерба в результате одного
инцидента можно оценить в 14 тыс. долларов для малых и средних компаний
и 695 тыс. долларов для крупных российских организаций.

«Хотя российские компании стали уделять информационной
безопасности больше внимания, они все же сильно недооценивают темпы
развития киберугроз сегодня. Мы регистрируем 200 000 образцов
нового вредоносного кода ежедневно, злоумышленники и их инструменты
становятся все сложнее и хитрее, — рассказал на пресс-конференции
в Казани Сергей Ложкин, антивирусный эксперт «Лаборатории
Касперского». — Транснациональные корпорации и целые
государства ведут свои кибервойны, создавая оружие, которое невозможно
контролировать и которое как эпидемия поражает большое количество жертв,
при этом для небольших компаний, случайно попадающих под удар,
последствия оказываются гораздо более тяжелыми».

По данным «Лаборатории Касперского», в Республике Татарстан
в 2013 году каждый второй пользователь (50,3%) подвергся кибератаке.
Так, за год было зарегистрировано 3 200 000 уникальных ссылок,
которые содержали вредоносный код. Больше всего с киберугрозами
сталкиваются пользователи Казани. (http://www.kaspersky.ru/images/news/grafik3.png)

Для снижения рисков потерь от кибератак компаниям необходимо соблюдать
как минимум базовые правила: следить за обновлением используемых
программ, разграничивать права для пользователей, ввести практику
использования сложных паролей, применять лицензионный антивирус,
осуществлять централизованный контроль сети. Не стоит забывать и про
человеческий фактор: сотрудники компании должны знать простейшие правила
безопасной работы с IT-системами, в том числе с мобильными устройствами,
количество атак на которые стремительно растет.

Для профессиональной защиты корпоративных сетей «Лаборатория
Касперского» создала комплексный продукт Kaspersky Security для
бизнеса
(http://www.kaspersky.ru/business-security?icid=b2b_bnr_hp_MCcar). Для
небольших компаний производитель предлагает решение Kaspersky Small
Office Security (http://www.kaspersky.ru/small-office-security), на
которое сейчас действует специальная акция.
(http://www.kaspersky.ru/nagrada)

Подробнее ознакомиться с результатами исследования «Информационная
безопасность бизнеса» можно по ссылке:
http://media.kaspersky.com/pdf/IT_risk_report_Russia_2013.pdf
(http://media.kaspersky.com/pdf/IT_risk_report_Russia_2013.pdf).

*Исследование «Информационная безопасность бизнеса»,
проведенное «Лабораторией Касперского» и B2B International в
2013 году. В исследовании приняли участие более 2895 IT-специалистов из
24 стран мира, включая Россию.

Грабитель виртуальный, ущерб материальный

Возможность оплачивать практически любой товар или услугу через
Интернет, не выходя из дома, упростила жизнь, а сервисы онлайн-банкинга
избавили от утомительных очередей. Однако растущая популярность
онлайн-платежей играет на руку киберпреступникам: чем больше людей
удаленно управляют финансами, тем больше потенциальных жертв и тем выше
прибыль от криминальной деятельности. Эксперты «Лаборатории
Касперского» рассказали обо всех опасностях, связанных с
выполнением интернет-платежей, а также о том, как должна проходить
безопасная онлайн-транзакция в статье «Защита от виртуальных
грабителей».

Нацеленным на кражу финансовой информации злоумышленникам выгоднее
нападать на серверы платежных систем, поскольку они содержат огромное
количество ценных данных. Но на практике получить к ним доступ почти
невозможно, поэтому преступники выбирают своей целью пользователей таких
систем, не всегда подготовленных к атакам. В рамках одной операции могут
быть заражены десятки тысяч компьютеров, что в итоге обеспечит
грабителям желанную прибыль.

На вооружении злоумышленников целый арсенал методов, ключевым элементом
которого является социальная инженерия. Классический прием выманивания
финансовой информации у пользователей — фишинг. Получая поддельное
письмо от имени крупного банка с просьбой под разными предлогами
предоставить конфиденциальные данные или заходя на поддельный сайт,
копирующий внешний вид официальной страницы платежной системы,
пользователь может, сам того не зная, передать финансовую информацию
преступникам. Пример фишингового веб-ресурса, маскирующегося под
платежную систему PayPal

Однако существует и ряд изощренных троянских программ, которые заражают
компьютер и приступают к краже финансовой информации пользователя,
применяя разнообразные техники: перехват клавиатурного ввода, создание
снимков экрана с введенной информацией, внедрение в запущенный процесс
браузера и другие. Особенно популярным является метод веб-инжектирования
— модификация HTML-страницы, которую в итоге получает пользователь
от онлайн-системы. Так, банковский троянец Carberp дополняет
веб-страницу входа в личный кабинет новыми полями, запрашивая у жертвы
информацию о кредитной карточке. А троянец Zeus и его функциональный
аналог SpyEye комбинируют сразу все озвученные выше методы, добавляя к
этому технику обхода дополнительных уровней защиты операций в
современных банковских системах, включая одноразовые пароли и
USB-токены.

«Банки и платежные системы прилагают значительные усилия для
защиты своих клиентов, но этого все равно недостаточно для того, чтобы
пользователь мог не беспокоиться о сохранности своих денег. Нужно быть
осмотрительным при проведении платежей, — комментирует ведущий
антивирусный эксперт «Лаборатории Касперского» Сергей
Голованов. — Но кроме того, компьютер пользователя должен быть
защищен специальным ПО от кражи платежных данных злоумышленниками. И в
данном случае речь идет не только об антивирусной защите компьютера,
необходима проверка легитимности веб-ресурса и обеспечение безопасного
соединения с ним. А это целая серия защитных механизмов, реализуемая
модулем безопасных платежей в решениях класса Internet Security и
выше».

Подготовленная экспертами статья «Защита от виртуальных
грабителей» является результатом тщательного исследования всех
актуальных угроз, подстерегающих пользователя и его платежные данные во
время совершения онлайн-платежей, и способов защиты от них. Ознакомиться
с полной версией статьи можно, пройдя по ссылке: www.securelist.com/ru.

Борьба Севера и Юга? «Лаборатория Касперского» раскрывает новую кампанию кибершпионажа против Южной Кореи

«Лаборатория Касперского» обнаружила новую кампанию
кибершпионажа, нацеленную преимущественн

о на южно-корейские
государственные структуры и научно-исследовательские институты.
Операция, получившая название Kimsuky, ограничена и таргетирована
— как показал анализ, ее целями являлись 11 организаций в Южной
Корее и 2 — в Китае. В частности, атаке подверглись Сечжонский
Институт, Корейский Институт Защитного Анализа (KIDA), Министерство
Объединения, логистическая компания Hyundai Merchant Marine и сторонники
объединения республики Кореи.

Признаки активности были замечены 3 апреля 2013 года, а первые образцы
троянца Kimsuky стали доступны 5 мая. Эту относительно несложную
шпионскую программу отличает наличие ошибок в коде, а также
осуществление коммуникаций с помощью болгарского бесплатного почтового
сервера mail.bg.

Хотя точный способ заражения еще не установлен, эксперты
«Лаборатории Касперского» уверены, что распространение
Kimsuky происходило посредством рассылки целевых фишинговых писем. Этот
троянец обладает таким функционалом, как слежение за нажатием клавиш,
составление и кража списка файлов во всех каталогах, удаленное
управление компьютером и хищение документов формата HWP, повсеместно
используемого в южнокорейских госучреждениях в составе пакета Hancom
Office. Наличие последнего функционала дает все основания полагать, что
кража HWP-файлов — одна из основных задач троянца. Также атакующие
используют модифицированную версию легитимного приложения удаленного
управления компьютером TeamViewer в качестве бэкдора, с помощью которого
затем получают любые файлы с зараженной машины.

Улики, обнаруженные экспертами «Лаборатории Касперского»,
дают возможность предполагать наличие «следа» Северной
Кореи. Прежде всего, список целей атаки говорит сам за себя —
южнокорейские университеты, занимающиеся изучением международных
отношений и разработкой государственной оборонной политики, национальная
логистическая компания и группы политических активистов, выступающих за
объединение республики Корея. Во-вторых, строка кода зловреда содержит
корейские слова, которые переводятся как «атака» и
«финал».

Наконец, два почтовых адреса iop110112@hotmail.com и
rsh1213@hotmail.com, на которые зараженные компьютеры отправляют
уведомления о своем статусе и пересылают украденные данные во вложениях,
зарегистрированы на имя Kim: kimsukyang и Kim asdfa. И, несмотря на то,
что эта регистрационная информация не раскрывает ничего о
злоумышленниках, их IP-адреса дополняют картину: 10 зарегистрированных
IP-адреса принадлежат сети китайских провинций Гирин и Ляонин,
граничащих с Северной Кореей. По различным данным, поставщики услуг,
предоставляющие доступ в Интернет в этих провинциях, также имеют
проложенную сеть в некоторых регионах Северной Кореи.

Еще один интересный геополитический аспект Kimsuky в том, что он обходит
только защитные продукты южнокорейской антивирусной компании AhnLab. В
свою очередь продукты «Лаборатории Касперского» детектируют
и нейтрализуют эти угрозы, классифицируя их как Trojan.Win32.Kimsuky, а
модифицированные компоненты TeamViewer как Trojan.Win32.Patched.ps.

«Безусловно, Kimsuky — еще одно доказательство того, что
кибершпионаж становится все более популярным инструментом на
международной арене. Однако эта кампания интересна еще и тем, что
троянец написан с откровенными ошибками и обладает довольно простым
функционалом. Это говорит о том, что уже сегодня даже небольшая группа
людей при помощи относительно несложного вредоносного кода может
совершить атаку на крупные организации и государственные структуры. На
основании этого мы можем ожидать в скором будущем появления еще большего
количества подобных кампаний — возможно, не самых профессиональных
с точки зрения технического исполнения, но от того не менее
опасных», — прокомментировал Дмитрий Тараканов, антивирусный
эксперт «Лаборатории Касперского».

Ознакомиться с подробными результатами исследования кампании Kimsuky
можно, пройдя по ссылке: www.securelist.com/ru.

Возвращение NetTraveler

Эксперты «Лаборатории Касперского» сообщают о новой волне
кампании кибершпионажа NetTraveler (также известной, как Travnet,
Netfile или Red Star APT), поразившей ранее сотни государственных и

частных организаций в более чем 40 странах мира. Среди выявленных целей
операции NetTraveler были правительственные учреждения, посольства,
политические активисты, военные организации, нефтегазовые компании,
научно-исследовательские центры и университеты, многие из которых
располагались на территории России.

Сразу же после огласки «Лабораторией Касперского» в июне
2013 года действий группы, стоящей за NetTraveler, злоумышленники
отключили свои командные центры и перенесли их на новые серверы в Китае,
Гонконге и Тайване. При этом, как показал анализ текущей ситуации,
киберпреступники продолжили беспрепятственно совершать атаки.

В течение последних нескольких дней были зафиксированы целевые
фишинговые рассылки уйгурским активистам. Использованная
злоумышленниками Java-уязвимость оказалась более эффективной для
заражения компьютеров жертв, так как была закрыта Oracle лишь в июне
этого года, а значит, все еще широко распространена среди пользователей.
Предыдущая серия атак осуществлялась через уязвимости Microsoft Office
(CVE-2012-0158), «заплатки» для которых были выпущены
компанией Microsoft еще в апреле.

В дополнение к фишинговым рассылкам, группа злоумышленников теперь также
применяет технику «Watering Hole», заключающуюся в
веб-перенаправлениях и принудительной загрузке файлов со специально
подготовленных доменов, заражая тем самым посетителей веб-сайтов. За
прошедший месяц специалисты «Лаборатории Касперского»
перехватили и заблокировали ряд таких попыток заражения со стороны
домена wetstock[dot]org, который уже был связан с
кампанией NetTravaler ранее. Перенаправления происходили с различных
уйгурских сайтов, которые были предварительно взломаны и заражены
атакующими.

Эксперты «Лаборатории Касперского» полагают, что
злоумышленники могут использовать и другие средства для достижения своих
целей, поэтому выработали ряд рекомендаций, как оградить себя от
подобных атак:
* Обновите Java до самой актуальной версии. Если вы не
пользуйтесь Java, деинсталлируйте это приложение;
* Установите самые
свежие обновления Microsoft Windows и Microsoft Office;
* Обновите все
стороннее программное обеспечение, например Adobe Reader;

* Используйте безопасный интернет-браузер, например Google Chrome,
цикл разработки и обновления которого быстрее, чем у штатного
Windows-браузера Internet Explorer;
* Не спешите переходить по ссылкам
и открывать вложения в письмах от неизвестных лиц.

«К счастью, на данный момент мы не обнаружили случаев
использования уязвимостей нулевого дня хакерами, стоящими за
NetTraveler. В этом случае даже постоянное применение обновлений не
может гарантировать полной защищенности, однако ее можно обеспечить
такими технологиями как «Запрет по умолчанию» и
«Автоматическая защита от эксплойтов», которые входят в
состав современных защитных решений», — прокомментировал Костин
Раю, руководитель центра глобальных исследований и анализа угроз
«Лаборатории Касперского».

Более подробная информация о расследовании операции NetTraveler доступна
на
www.securelist.com/ru/blog/207768921/NetTraveler_vozvrashchaetsya_kiberprestupniki_ispolzuyut_novye_priemy_CVE_2013_2465.

Спам в марте 2013 года: Уго Чавес «на службе» у мошенников

После значительного роста количества спама в феврале в первый весенний
месяц объем почтового мусора стабилизировался на уровне в 70,1%. Однако
радости от этого пользователи не почувствовали, поскольку наряду с этим
доля вредоносных вложений в незапрошенной электронной корреспонденции
существенно увеличилась и достигла 4%.

В марте спамеры традиционно старались использовать тему праздников для
привлечения внимания к своим письмам, не упуская при этом из виду и
«горячие» новости. К ним, безусловно, относятся сообщения о
смерти президента Венесуэлы Уго Чавеса. Одними из первых на трагическое
известие отреагировали интернет-мошенники, которые стали активно
использовать в электронных рассылках темы, связанные с Боливарианской
Республикой. Так, одно из мошеннических писем было разослано от имени
начальника морского порта Венесуэлы, который якобы просил помочь ему
сохранить деньги, полученные от продажи дизельного топлива Южному
Судану. При этом в первом письме мошенники не обещают адресату
конкретную сумму за содействие, и только в ходе дальнейшей переписки
предлагается денежное вознаграждение.

В другой рассылке распространялось письмо якобы от начальника службы
безопасности и по совместительству близкого друга Уго Чавеса. Как
всегда, «нигерийские» мошенники не ограничивают полет своей
фантазии: «друг» имеет доступ к деньгам, которые покойный
президент хранил на банковском счету своей тайной возлюбленной, и теперь
готов предложить получателю письма 25% от общей суммы за помощь в выводе
средств.

На этом опасности для пользователей в почте не ограничиваются. После
некоторого затишья злоумышленники, распространяющие вредоносные
программы по электронной почте, возобновили рассылку писем —
подделок под уведомление о бронировании отелей и авиабилетов. В
частности, в марте была зарегистрирована новая рассылка подделок под
уведомление о бронировании номера в Atlantic Hotel. В письме, написанном
от лица менеджера отеля, злоумышленники благодарили получателя за
бронирование и сообщали, что ожидают его приезда в отель 20 марта 2013
года. Если получатель открывал приложенное к письму «уведомление о
бронировании», происходило заражение компьютера троянцем, который
используется для вымогания денежных средств или финансовой информации.

В географическом распределении спам-потоков в марте обострилась борьба
между США и Китаем, которые с переменным успехом оказываются на верхней
строчке рейтинга государств, с территории которых распространяется
больше всего незапрошенной электронной корреспонденции. В прошлом месяце
в этой «схватке» победителем вышла Поднебесная, на долю
которой приходится четверть всего почтового мусора. В то же время вклад
США увеличился лишь незначительно (+0,4%), и в итоге эта страна
откатилась на вторую позицию. Страны-источники спама в мире

В Рунете также произошла рокировка. Прежний лидер, Индия, получила
«серебро», а ее место занял Тайвань, поднявшийся с третьей
позиции. Россия же, как и в глобальном рейтинге, постепенно сдает
позиции и в марте переместилась с 6-й на 8-ю строчку.

«Март стал месяцем стабильности для спама. Это отразилось не
только на доли почтового мусора, но и на распределении основных его
источников, прежде всего США и Китае, на долю которых приходится до 43%
всех нежелательных сообщений, — прокомментировала Татьяна
Щербакова, старший спам-аналитик «Лаборатории Касперского».
— В апреле мы ожидаем уменьшение количества рассылок, использующих
тематику различных праздников для рекламы товаров и услуг, но в то же
время весьма вероятно появление русскоязычного «пасхального»
спама. Одновременно, из-за двукратного увеличения в марте доли
фишинговых писем пользователям также следует быть более осмотрительными
с почтой. Это в первую очередь касается владельцев аккаунтов в соцсетях,
на которых приходится треть всех фишинговых атак».

Ознакомиться с полной версией спам-отчета за март 2013 года можно на
сайте www.securelist.com/ru.

Новый троянец охотится на пользователей, «блокируя» доступ к социальным сетям

Posted: Апрель 12, 2013 in Антивирус, Вконтакте, Доктор Веб, Новости, Одноклассники, антивирусы, атака, вирусы, компьютеры, лечение, поиск, пользователи, программы, софт, срочно, угрозы, Trojan
Метки:, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — предупреждает об опасности заражения новой версией вредоносной программы Trojan.Zekos, одна из функций которой заключается в перехвате DNS-запросов на инфицированном компьютере. Этот механизм применяется вирусописателями в целях проведения фишинговых атак – на зараженной машине могут отображаться принадлежащие злоумышленникам веб-страницы вместо запрошенных пользователем сайтов.

С конца прошлой недели в службу технической поддержки компании «Доктор Веб» стали поступать заявки от пользователей, утративших возможность заходить на сайты социальных сетей. Вместо соответствующих интернет-ресурсов в окне браузера демонстрировались веб-страницы с сообщением о том, что профиль пользователя в социальной сети заблокирован, и предложением ввести в соответствующее поле номер телефона и подтверждающий код, полученный в ответном СМС. Вот примеры текстов, опубликованных злоумышленниками на поддельных веб-страницах, имитирующих «ВКонтакте» и «Одноклассники»:

«Мы зафиксировали попытку взлома Вашей страницы. Не беспокойтесь, она в безопасности. Чтобы обезопасить Вашу страницу от злоумышленников и в будущем, мы просим Вас подтвердить привязку к телефону и придумать новый сложный пароль».

«Ваша страница была заблокирована по подозрению на взлом! Наша система безопасности выявила массовую рассылку спам-сообщений с Вашего аккаунта, и мы были вынуждены временно заблокировать его. Для восстановления доступа к аккаунту Вам необходимо пройти валидацию через мобильный телефон».

При этом оформление веб-страниц и демонстрируемый в строке браузера адрес оказывались идентичны оригинальному дизайну и интернет-адресу соответствующей социальной сети. Кроме того, на поддельной веб-странице даже демонстрировалось настоящее имя пользователя, поэтому многие жертвы киберпреступников попросту не замечали подмены, считая, что их учетная запись в социальной сети действительно была взломана.

screen

screen

Проведенное вирусными аналитиками «Доктор Веб» расследование показало, что виновником инцидента стала видоизмененная вирусом системная библиотека rpcss.dll, являющаяся компонентом службы удаленного вызова процедур (RPC) в операционных системах семейства Microsoft Windows. А троянская программа, «дополнившая» библиотеку вредоносным объектом, получила название Trojan.Zekos, причем она умеет заражать как 32-битные, так и 64-битные версии Windows. Примечательно, что первые версии данного троянца были найдены еще в начале 2012 года, однако эта модификация вредоносной программы обладает некоторыми отличиями от своих предшественников.

Trojan.Zekos состоит из нескольких компонентов. Запустившись на зараженном компьютере, Trojan.Zekos сохраняет свою зашифрованную копию в одну из системных папок в виде файла со случайным именем и расширением, отключает защиту файлов Windows File Protection и пытается повысить собственные привилегии в операционной системе. Затем троянец модифицирует библиотеку rpcss.dll, добавляя в нее код, основное предназначение которого — загрузка в память компьютера хранящейся на диске копии троянца. Также Trojan.Zekos модифицирует драйвер протокола TCP/IP (tcpip.sys) с целью увеличения количества одновременных TCP-соединений в 1 секунду с 10 до 1000000.

Trojan.Zekos обладает чрезвычайно богатым и развитым вредоносным функционалом. Одна из возможностей данной вредоносной программы — перехват DNS-запросов на инфицированном компьютере для процессов браузеров Microsoft Internet Explorer, Mozilla Firefox, Chrome, Opera, Safari и др. Таким образом, при попытке, например, посетить сайт популярной социальной сети, браузер пользователя получит в ответ на DNS-запрос некорректный IP-адрес запрашиваемого ресурса, и вместо искомого сайта пользователь увидит принадлежащую злоумышленникам веб-страницу. При этом в адресной строке браузера будет демонстрироваться правильный URL. Помимо этого Trojan.Zekos блокирует доступ к интернет-сайтам большинства антивирусных компаний и серверам Microsoft.

Сигнатура данной угрозы и алгоритм лечения последствий заражения троянцем Trojan.Zekos успешно добавлены в вирусные базы Dr.Web. Пользователям, пострадавшим от данной угрозы, рекомендуется проверить жесткие диски своих компьютеров с помощью антивирусного сканера, или воспользоваться бесплатной лечащей утилитой Dr.Web CureIt!