Записи с меткой «Zbot»

Спам в июле: зловред для Android теперь и в почте

По итогам июля доля спама в почтовом трафике по-прежнему превышает 70%:
по сравнению с первым летним месяцем этот показатель увеличился
незначительно — всего на 0,1% — и достиг в итоге отметки в
71,2%. Количество вредоносных вложений в электронных сообщениях при этом
выросло чуть сильнее — в июле эксперты «Лаборатории
Касперского» обнаружили их в 2,2% писем. Среди распространяемых в
почте вредоносных программ преобладали троянцы-шпионы, ворующие, в том
числе финансовую информацию пользователей. Кроме того, в рейтинге
зловредов в почте впервые на высокое место поднялась вредоносная
программа под платформу Android.

Чуть более 23% от всех вредоносных программ, рассылаемых во вложениях к
электронным письмам, пришлось на разные модификации печально известной
шпионской программы семейства Zbot/Zeus. Целью этого троянца является
кража персональных данных с компьютеров пользователей, включая данные
банковских карт. Чаще всего злоумышленники подделывают письма с троянцем
Zbot под официальные уведомления от банков, магазинов, социальных сетей
или популярных служб доставки. В июле особенной популярностью у
мошенников пользовались подделки под сообщения от американского банка
Bank of America.

Впервые за все время наблюдения за ситуацией в почте аналитики
«Лаборатории Касперского» зафиксировали значительный рост
«популярности» вредоносной программы для мобильной платформы
Android. В июле зловред SMS-Flooder.AndroidOS.Didat.a., обладающий
функцией массовой SMS-рассылки, поднялся на 15-ую строчку в рейтинге
вредоносных программ, распространяемых по электронной почте, что стало
абсолютным рекордом для подобного ПО. Однако большим сюрпризом для
экспертов этот факт не стал: рост количества вредоносных программ под
Android в почте вполне ожидаем и соотносится с общей тенденцией
увеличения числа таких зловредов.

Что касается содержания спам-писем, то в середине лета они по-прежнему
нередко эксплуатировали темы отдыха и путешествий. Популярностью также
пользовались рассылки с рекламой, связанной с недвижимостью: спамеры
предлагали купить или снять квартиру, дачу, офис, гараж. Часть
спам-рассылок так или иначе затрагивала тему домашних животных: в одних
письмах пользователям предлагались товары и корма для их питомцев, в
других же отправители призывали пожертвовать деньги на спасение котенка
в приюте.

Громкие мировые события, разумеется, также не прошли мимо внимания
спамеров. Появление на свет наследника британской короны, жизненные
перипетии экс-шпиона Эдварда Сноудена, отставка президента Египта Мурси
— все эти новости стали поводом для привлечения внимания к
спамерской рекламе товаров или темой «нигерийских» писем, в
которых злоумышленники пытались выманить деньги у доверчивых
пользователей.

В рейтинге стран-источников спама существенных изменений по сравнению с
июнем не произошло. Тройка лидеров все так же состоит из Китая (23,4%),
США (18%) и Южной Кореи (14,9%).

Как и в первом летнем месяце, спам в Рунете рассылался преимущественно
из Тайваня (11,4%) и с Украины (8,2%). Однако третье место в июле здесь
досталось Индии (7,4%), которая поднялась с 6-го места, потеснив
июньского «бронзового призера» — Вьетнам. Кроме того,
почти вдвое увеличилась доля спама, попадающего в Рунет из Италии, а вот
«вклад» Японии в этот процесс в июле уменьшился в 2,3 раза.
(http://www.securelist.com/ru/images/vlill/spamreport_jule2013_pic13.png)Страны-источники
спама в Рунете в июле 2013 года

«Лето — время отпусков, когда в целом активность и
рекламодателей, и пользователей в Интернете падает. Именно поэтому мы не
наблюдали в июле какого-либо заметного увеличения объема спама в
почтовом трафике, не фиксировали особых изменений в рейтинге стран и
регионов, являющихся источниками спама в мировой и российской Сети.
Однако в рейтинге зловредов в почте впервые на довольно высокое место
поднялась вредоносная программа для Android. Смартфонов и планшетов на
этой платформе у пользователей очень много, и их число неуклонно
продолжает увеличиваться. В связи с этим мы прогнозируем не только рост
количества подобных зловредов в почте, но и их разнообразие. Скорее
всего, к программам, рассылающим SMS, скоро добавятся и троянцы,
ворующие конфиденциальные данные. Мы рекомендуем пользователям
своевременно озаботиться защитой не только стационарных компьютеров, но
и мобильных устройств», — комментирует итоги июля Дарья
Гудкова, руководитель отдела контентных аналитиков «Лаборатории
Касперского».

Подробнее с отчетом о ситуации со спамом в июле 2013 года можно
ознакомиться на сайте.

Реклама

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает о распространении троянской программы Trojan.Proxy.23012, помогающей злоумышленникам массово рассылать спам. Этот троянец обладает целым рядом отличительных особенностей, выделяющих его в ряду других вредоносных программ.

Trojan.Proxy.23012 загружается на инфицированные компьютеры с использованием других вредоносных программ, в частности Trojan.PWS.Panda.2395. Исполняемый файл троянца сжат с использованием того же вирусного упаковщика, что и троянцы семейства Trojan.PWS.Panda, также известные под именами Zeus и Zbot, поэтому нередко он детектируется именно этой сигнатурной записью.

Проникнув в операционную систему, Trojan.Proxy.23012 распаковывается и загружается в память, после чего начинается процедура инсталляции троянца. Папка, в которую будет установлена эта вредоносная программа, зависит от версии ОС и от того, под какими правами был запущен установщик. В любом случае инсталлятор модифицирует системный реестр с целью обеспечить автоматический запуск троянца в процессе загрузки Windows. Также вредоносная программа пытается отключить систему контроля учетных записей пользователей. Наконец, на финальном этапе установки троянец встраивается в процесс explorer.exe.

Ботнет, состоящий из инфицированных Trojan.Proxy.23012 компьютеров, используется злоумышленниками в качестве системы управления прокси-серверами, через которые по команде осуществляется рассылка почтового спама. Пример одного из рассылаемых сообщений показан на представленной ниже иллюстрации.

screen

Установив соединение с удаленным командным центром, по команде злоумышленников Trojan.Proxy.23012 открывает прокси-туннель, посредством которого вирусописатели могут пользоваться протоколами SOCKS5, SOCKS4, HTTP (включая методы GET, POST, CONNECT). Для рассылки спама используются smtp-сервисы gmail.com, hotmail.com и yahoo.com.

Отличительной особенностью данной вредоносной программы являются методы взаимодействия ботнета с управляющим сервером: командный центр в режиме реального времени выбирает, через какие именно узлы сети осуществлять ту или иную рассылку, кроме того, в проксировании участвуют боты, установленные на компьютерах без внешнего IP-адреса. Есть у данного троянца и еще одна особенность: в нем прописан только один адрес управляющего центра, при блокировке которого троянец может быть обновлен через пиринговую сеть Trojan.PWS.Panda.2395.

Сигнатура данной угрозы добавлена в вирусные базы Dr.Web, поэтому троянец Trojan.Proxy.23012 не представляет серьезной угрозы для пользователей продукции компании «Доктор Веб».