ESET: статистика вредоносных программ в России в марте 2009 года

Компания ESET – международный разработчик антивирусного ПО и решений в области информационной безопасности – сообщает о самых распространенных интернет-угрозах, выявленных специалистами вирусной лаборатории ESET с помощью технологии раннего обнаружения ThreatSense.Net в марте 2009 года.

Список вредоносных программ возглавляет семейство червей Conficker - 22,48% (другие названия – Downadup, Kido). По данным ESET, Россия занимает второе место по количеству инфицированных компьютеров в регионе EMEA (Европа, Ближний Восток, Африка), уступая только Украине. Conficker использует уязвимость MS08-067 в операционной системе Microsoft Windows и распространяется с помощью внешних носителей, через p2p-сети и общие папки внутри локальной сети. Заражая компьютеры, червь объединяет их в бот-нет. Вредоносная программа блокирует антивирусное ПО и доступ к сайтам производителей антивирусов, вносит изменения в работу локальной службы DNS.

Наиболее часто встречающейся версией червя в России стала вариация Win32/Conficker.AA (9,39%). Модификация этой угрозы - Win32/Conficker.X (1,54%) занимает 8-ю позицию.

Второе место по распространенности в России осталось за вредоносным ПО, использующим для распространения файл autorun.inf. В совокупности на данную группу угроз приходится 7,58%. Высокий процент подобных вредоносных программ связан с популярностью внешних носителей информации – CD, DVD-дисков, флеш-карт, USB-устройств, с помощью которых угрозы распространяются.

Также в двадцатку месяца попали троянские программы Win32/Agent (3,83%) и Win32/VB.NUB (1,02%), предназначенные для кражи личных данных; Win32/Packed.Themida (0,95%) - вредоносная программа, упакованная с помощью упаковщика – Themida; семейство троянов-кейлогеров Win32/PSW.OnLineGames.NMY (0,75%), используемых злоумышленниками кражи учетных данных и доступа к аккаунтам игроков многопользовательских ролевых онлайн-игр.

Список из двадцати наиболее распространенных в России вредоносных программ представлен в таблице:

1	Win32/Conficker.AA	9,39
2	Win32/Conficker.AE	4,87
3	INF/Autorun	4,29
4	Win32/Agent	3,83
5	INF/Autorun.gen	3,27
6	Win32/Conficker.Gen	3,2
7	INF/Conficker	2,89
8	Win32/Conficker.X	1,54
9	Win32/Packed.Autoit.Gen	1,45
10	Win32/Genetik	1,25
11	Win32/Conficker.AL	1,11
12	Win32/Tifaut.C	1,09
13	Win32/VB.NUB	1,02
14	Win32/Packed.Themida	0,95
15	Win32/Adware.FearAds	0,94
16	Win32/Conficker.AB	0,89
17	Win32/AutoRun.KS	0,86
18	Win32/Rootkit.Agent.NIJ	0,85
19	Win32/Statik	0,78
20	Win32/PSW.OnLineGames.NMY	0,75

«Основной тенденцией в сфере информационной безопасности остается технологическое усложнение вредоносного ПО. Вирусописатели создают серьезные программные продукты, способные обновляться, менять функционал. Не так давно мы стали свидетелями крупнейшей в истории сети эпидемии Conficker.A и Conficker.A.A, в марте создатели червя попытались изменить механизм взаимодействия с бот-нетом Conficker, выпустив «обновление» – Conficker.X, сразу попавшее в десятку самых распространенных интернет-угроз, — говорит Григорий Васильев, технический директор ESET. – Очевидно, что в новых условиях наиболее действенным методом защиты от подобных высокотехнологичных угроз является применение проактивных технологий, способных детектировать не отдельные версии, а семейство вредоносных программ целиком, включая новые модификации».

ESET

«Лаборатория Касперского» анализирует новую версию вредоносной программы Kido (Conficker)

«Лаборатория Касперского», ведущий производитель систем защиты от вредоносного и нежелательного ПО, хакерских атак и спама, сообщает об обнаружении новой версии вредоносной программы Kido, также известной как Conficker и Downadup. В ночь с 8 на 9 апреля компьютеры, зараженные Trojan-Downloader.Win32.Kido, взаимодействуя друг с другом через P2P-соединения, отдали команду другим зараженным машинам на загрузку новых файлов. Ботнет Kido активизировался.

Новый вариант Kido отличается от своих предыдущих версий, и теперь это снова червь. Первичный анализ кода зловреда позволяет говорить о том, что текущая версия Kido будет функционировать до 3 мая 2009 года.

Помимо загрузки самообновления Kido загружает на зараженные компьютеры 2 новых файла.

Первый из них – FraudTool.Win32.SpywareProtect2009.s – поддельный антивирус, который размещен на серверах, расположенных на территории Украины. При запуске программа предлагает «удалить найденные вирусы», требуя за это деньги – $49.95.

Вторым файлом, который устанавливается Kido на зараженные системы, стал Email-Worm.Win32.Iksmas.atz, также известный как Waledac. Это почтовый червь, обладающий функционалом кражи данных и рассылки спама. Iksmas (Waledac) появился в январе 2009 года, и еще тогда многие эксперты заметили некоторое сходство алгоритмов работы между Kido и им. Одновременно в эпидемией Kido шла не менее массовая эпидемия Iksmas в электронной почте.

«За 12 часов Iksmas, установленный новой версией Kido, неоднократно подключался к своим центрам управления по всему миру и получал от них команды на рассылку спама. Всего за 12 часов работы одного-единственного бота он отправил 42 298 спам-писем, - комментирует текущую ситуацию Александр Гостев, руководитель центра глобальных исследований и анализа угроз "Лаборатории Касперского». – При этом практически в каждом письме используется уникальный домен. Очевидно, что это сделано для того, чтобы антиспам-технологии не смогли обнаружить такую рассылку, основываясь на методах анализа частоты использования конкретного домена. Всего мы зафиксировали использование 40 542 доменов третьего уровня и 33 домена второго уровня. Практически все эти сайты находятся в Китае и зарегистрированы на самых разных людей, вероятно вымышленных. Простой математический подсчет показывает, что один бот Iksmas отправляет примерно 80 000 писем в сутки. Если предположить, что общее количество зараженных машин составляет 5 000 000, то получается, что за одни сутки этот ботнет мог разослать примерно 400 миллиардов писем со спамом!»

В настоящее время в «Лаборатории Касперского» проводится детальный анализ новой модификации Kido. Специалисты компании ведут работы по созданию новой версии утилиты KKiller с учетом функциональных особенностей новой версии сетевого червя.

У пользователей защитных продуктов «Лаборатории Касперского» нет причин для беспокойства: новый вариант червя Kido (Net-Worm.Win32.Kido.js) с самого начала детектировался эвристически (как HEUR:Worm.Win32.Generic), точно так же, как и загружаемый им вариант Iksmas.

Лаборатория Касперского

«Доктор Веб» помогает избавиться от троянца, блокирующего доступ к системе

Компания «Доктор Веб» информирует о появлении новой троянской программы, которая при запуске компьютера предлагает ввести регистрационный код якобы для регистрации нелицензионной копии Windows. Для получения регистрационного кода требуется отправить платное SMS-сообщение.

В последнее время значительно возросло число вредоносных программ-вымогателей, требующих отправить SMS-сообщения для получения доступа к системе или к пользовательским документам. 8 апреля 2009 года вирусными аналитиками компании «Доктор Веб» был получен образец очередной программы, которая распространяется в виде поддельных кодеков и при запуске Windows выводит сообщение о необходимости отправить SMS с текстом для разблокировки доступа к системе. Данная вредоносная программа была добавлена в вирусную базу Dr.Web под именем Trojan.Winlock.19. Ее модификации уже автоматически распознаются технологией Origins Tracing^TM как Trojan.Winlock.origin.

Trojan.Winlock обладает особенностью, позволяющей ему удалять себя через 2 часа после запуска. Для тех, кто не хочет ждать, специалисты компании «Доктор Веб» подготовили специальную форму, в которую можно ввести текст предполагаемого sms-сообщения и получить код разблокировки.

Компания «Доктор Веб» в очередной раз призывает пользователей не поддаваться на уловки вирусописателей, отправляя им запрашиваемые SMS. Установленный на компьютере Dr.Web оперативно выявляет данную угрозу и уничтожает ее. При возможном заражении в случае применения другого антивирусного ПО, пользователь всегда может воспользоваться формой, разработанной специалистами «Доктор Веб».

Доктор Веб

Microsoft подготовила крупную порцию «заплаток»

Во вторник на следующей неделе компания Microsoft выпустит самую крупную с октября прошлого года порцию «заплаток».

Как сообщается в предварительном уведомлении, 14 апреля корпорация опубликует в общей сложности восемь бюллетеней, пять из которых будут содержать описание критически опасных «дыр». Такие уязвимости теоретически могут эксплуатироваться злоумышленниками с целью получения несанкционированного доступа к удаленному компьютеру и последующего выполнения на нем произвольного вредоносного кода.

Критические «дыры» найдены в операционных системах Windows различных версий, браузере Internet Explorer, а также редакторе электронных таблиц Excel. Эксперты полагают, что в случае с Excel речь идет об уязвимости, обнаруженной в феврале: эта «брешь» позволяет захватить контроль над ПК жертвы через сформированный специальным образом документ в формате .xls.

Два бюллетеня, которые Microsoft намерена опубликовать во вторник, будут содержать сведения о «дырах», охарактеризованных «важными». Наконец, еще в один бюллетень корпорация включит описание «умеренно опасной уязвимости».

Вместе с патчами Microsoft выпустит обновленную версию утилиты Windows Malicious Software Removal Tool, предназначенной для поиска наиболее распространенных вирусов, троянов, шпионских модулей и прочих вредоносных компонентов.

Загрузить «заплатки» можно будет через службы Windows Update, Microsoft Update, встроенные в Windows средства автоматического обновления и через сайт корпорации.

Компьюлента

Conficker приглашает гостей

Червь Conficker (известный также как Downadup и Kido), от которого ожидали начала вредоносных действий с 1 апреля, наконец зашевелился. В Trend Micro, Symantec и некоторых других антивирусных компаниях отмечают обновление этого вредоноса по P2P, а также возможную загрузку на зараженный компьютер червя Waledac.

Необычная активность была замечена 7 апреля сотрудниками Trend Micro, когда их система слежения зафиксировала загрузку нового файла во временную папку Windows. Тщательно изучив новый файл и данные о сетевой активности, специалисты компании пришли к выводу о том, что файл является модификацией последней версии "Конфикера" и был скачан по P2P-протоколу (такая возможность обновления появилась около месяца назад вместе с очередной версией червя, которую в Symantec окрестили Downadup.C).

Новая версия (Downadup.E в терминологии Symantec) отличается от предыдущей в некоторых весьма примечательных моментах. В частности, она восстановила свою способность к размножению через всё ту же уязвимость в Windows. Также в ней предусмотрена функция самоуничтожения, которая запланирована на 3 мая этого года.

Таким образом, Downadup.E сможет увеличить и без того немаленький ботнет, после чего самоуничтожится, оставив, однако, вместо себя "стерильный" Downadup.C. Иными словами, авторы червя разделили его на две части: агрессивную, предназначенную для размножения, и тихую, но способную сопротивляться лечению.

Но и это ещё не все особенности новой версии червя. Многие антивирусные компании сообщают о том, что "Конфикер" пытается связаться с одним из доменов, который используется червём Waledac, и загрузить оттуда последнюю версию этого вредоноса.

Кроме того, как обнаружили в "Лаборатории Касперского", вместо Waledac новый Conficker может загрузить лже-антивирус SpywareProtect2009 с ряда украинских сайтов. Нечто подобное пытались делать ещё самые первые версии "Конфикера" прошлой осенью.

Специалисты по кибербезопасности продолжают изучать эту модификацию и, за редкими исключениями, не торопятся с выводами о том, какая связь имеется между авторами червя Conficker и создателями Waledac и SpywareProtect2009. Есть вероятность, что это одна и та же группа злоумышленников, однако скорее всего, авторы "Конфикера", захватив несколько миллионов компьютеров, попросту сдают их в аренду другим киберпреступникам. Такую же гипотезу высказывают и в Symantec.

Что до недавних DDoS-атак, которые поначалу связывали с активностью "Конфикера", то, по всей видимости, этот червь не имеет к ним отношения. Такого мнения придерживаются специалисты компании ESET, к которым "Вебпланета" обратилась за комментарием по этому вопросу.

Согласно статистике ESET, процент российских компьютеров, зараженных червём Conficker очень высок. "В марте доля семейства Conficker в общем объеме российского вредоносного трафика составила 22,48%", — говорит ИТ-директор компании Павел Потасуев.

Очевидно, что пользователи, которые пренебрегали до сих пор антивирусной защитой и установкой обновлений безопасности, в самое ближайшее время рискуют испытать на себе действие Waledac, лже-антивируса или других вредоносов.

Вебпланета

В Рунете создан технический регистратор для борьбы с вирусом Conficker

В рамках борьбы с вирусом Conficker Координационный центр домена RU создал технического регистратора с идентификатором CC-REG-RIPN. Этот регистратор сделан для упреждающей регистрации доменных имен в домене RU, которые обнаруживаются в таблицах данных вируса. При этом учитывается время активации доменных имен, содержащихся в вирусе. По истечении срока потенциальной активизации доменного имени, зарегистрированные регистратором CC-REG-RIPN домены удаляются из реестра домена RU.

Вирус Conficker ежедневно создает уникальные доменные имена в 116 различных национальных доменах верхнего уровня, таких как .RU, .CA, .PL и др. Он постоянно распространяется и еще в 2008 году создавал около 250 различных доменов в день. С появлением C-версии вируса эта цифра резко возросла и теперь доходит до 50 тысяч доменных имен в сутки. Вирус Conficker работает по принципу двухступенчатой «ракеты». Первая часть вируса заражает многочисленные платформы Windows, имеющие критическую степень уязвимости по причине того, что они не были обновлены с помощью патча, выпущенного в октябре 2008 года.

Предполагалось, что 1 апреля 2009 года должна быть активирована вторая часть вируса. Пока не ясно, как она работает, но имеющаяся на сегодняшний день информация позволяет предположить, что некий код может внедряться в веб-сайты. Этот код может способствовать распространению вируса или активизировать другие вредоносные процессы. На январь 2009 вирус поразил по некоторым подсчетам от 9 до 15 миллионов компьютеров во всём мире. Выявлено четыре основные версии вируса Conficker A, B, C и D, соответственно - 21 ноября 2008, 29 декабря 2008, 20 февраля 2009 и 4 марта 2009.

CyberSecurity

Бесконечная история

Вчера ночью ботнет Kido начал работать. Событие, ожидавшееся экспертами c 1 апреля, произошло.

Компьютеры, зараженные Trojan-Downloader.Win32.Kido (aka Conficker.C), взаимодействуя друг с другом через P2P-соединения, дали команду зараженным машинам на загрузку новых файлов.

Новый вариант Kido значительно отличается от предыдущей версии: это снова червь, и он будет работать только до 3 мая 2009 года. Более детальный анализ его функционала проводится в настоящее время.

Кроме обновления самого себя, Kido загрузил на зараженные компьютеры новые файлы, которые и являются самым интересным в этой истории.

Один из загруженных файлов является поддельным антивирусом — FraudTool.Win32.SpywareProtect2009.s

Еще самый первый вариант Kido в ноябре прошлого года загружал поддельные антивирусы в систему. Спустя почти полгода этот функционал снова использован неизвестными киберпреступниками.

SpywareProtect2009 размещается на сайтах spy-protect-2009.com, spywrprotect-2009.com, spywareprotector-2009:

После запуска он показывает следующий интерфейс:

Затем, по традиции, предлагает «удалить найденные вирусы», требуя за это деньги ($49,95):

В настоящий момент распространение этого поддельного антивируса осуществляется через сайты, размещенные на территории Украины (131-3.elaninet.com, 78.26.179.107).

Вторым файлом, который был установлен новым Kido на зараженные системы, стал Email-Worm.Win32.Iksmas.atz, также известный как Waledac. Это почтовый червь, обладающий функционалом кражи данных и рассылки спама.

Iksmas (Waledac) появился в январе 2009 года, и еще тогда многие эксперты заметили некоторое сходство в алгоритмах работы между ним и Kido. Параллельно с эпидемией Kido шла не менее массовая эпидемия Iksmas в электронной почте. Однако до сих пор не было доказательств существования связи между этими червями.

Сегодня ночью эти доказательства появились — Kido и Iksmas теперь вместе присутствуют на зараженных компьютерах, а в руках злоумышленников появился гигантский ботнет, рассчитанный на рассылку спама.

Кроме того, по пока непроверенной информации, под атакой, возможно, находятся сайты некоторых компаний и организаций-участников группы Conficker Working Group.

Лаборатория Касперского