Обзор вирусной активности в феврале 2012 года: эксплойты для Mac OS Х и троянец, следящий за пользователем через веб-камеру

Февраль — самый короткий месяц в году, однако его нельзя назвать самым безопасным. Истекшие четыре недели были отмечены снижением темпов распространения программ-блокировщиков, появлением на свет очередного троянца, представляющего угрозу для пользователей Facebook, а также ряда других вредоносных приложений. Одно из них, в частности, может следить за пользователем при помощи подключенной к компьютеру веб-камеры. Кроме того, злоумышленники научились использовать уязвимости Java для распространения вредоносных программ, ориентированных на платформу Mac OS Х. В списках угроз, выявленных на компьютерах пользователей при помощи утилиты Dr.Web CureIt! в феврале, уверенно лидирует файловый инфектор Win32.Expiro.23. Проникая на инфицированный компьютер, эта вредоносная программа повышает свои привилегии в системе и заражает исполняемые файлы.
Удивительно, но факт: несмотря на приближающиеся выборы Президента Российской Федерации, которые должны состояться 4 марта 2012 года, политическая тематика практически не представлена в спам-рассылках. Напомним, что схожая ситуация складывалась и во время выборов в Государственную Думу РФ. По всей видимости, политтехнологи окончательно разочаровались в спаме как средстве информационного воздействия на потенциальных избирателей, переключившись на социальные сети. Сегодня посредством массовых рассылок рекламируются в основном всевозможные тематические семинары, программы семейного отдыха на весенних каникулах, пиратские коллекции фильмов и музыки — все что угодно, кроме политических мероприятий и связанных с предстоящими выборами событий.
С точки зрения вирусной активности, февраль не принес каких-либо сюрпризов и неожиданностей. В списках угроз, выявленных на компьютерах пользователей при помощи утилиты Dr.Web CureIt! во втором месяце этого года, уверенно лидирует по количеству обнаружений файловый инфектор Win32.Expiro.23. Проникая на инфицированный компьютер, эта вредоносная программа повышает свои привилегии в системе и заражает исполняемые файлы. Ее основное предназначение заключается в хищении паролей от программ INETCOMM Server, Microsoft Outlook, Internet Explorer, Mozilla Firefox, FileZilla. Помимо Win32.Expiro.23, на зараженных машинах достаточно часто обнаруживается Trojan.Mayachok.1 — вредоносная программа, блокирующая пользователю доступ в Интернет или к наиболее популярным сайтам и требующая для разблокировки ввести в соответствующую форму свой номер мобильного телефона, а затем ответить на входящее СМС-сообщение. После этого жертва оказывается подписанной на различные платные услуги, за которые с ее счета будет регулярно списываться определенная денежная сумма.

Кроме того, в десятку наиболее часто встречающихся на ПК пользователей вредоносных программ по-прежнему входят троянцы семейства Trojan.Hosts, подменяющие в операционной системе файл \drivers\etc\hosts, вследствие чего при обращении к нужному интернет-ресурсу жертва попадает на специально созданный злоумышленниками фишинговый сайт. И, конечно же, нередко на инфицированных машинах встречаются банковские троянцы семейства Trojan.Carberp — за месяц было зафиксировано более 30 000 случаев обнаружения этой вредоносной программы в различных модификациях.

Очередная угроза для пользователей Facebook

Пользователи уже давно привыкли к троянцам, ориентированным на завсегдатаев отечественных социальных сетей, и вот в поле зрения специалистов по информационной безопасности попала вредоносная программа Trojan.OneX, предназначенная для рассылки спама в крупнейшей в мире социальной сети Facebook, а также через программы-месседжеры.
Trojan.OneXработает только в 32-разрядной версии ОС Windows. После запуска на инфицированной машине Trojan.OneX.1проверяет наличие своей копии в операционной системе, а затем расшифровывает из собственных ресурсов адрес удаленного сервера, с которого загружается специальный текстовый файл. Этот файл содержит несколько строк на английском языке вида «hahaha! http://goo.gl[…].jpeg», на которые впоследствии будут подменяться сообщения пользователя, отправляемые им в социальную сеть Facebook.
Вскоре после появления первой модификации троянца в распоряжении вирусных аналитиков компании «Доктор Веб» появился образец вредоносной программы, получившей название Trojan.OneX.2. В отличие от первой версии троянца, вторая модификация Trojan.OneXиспользует для отправки сообщений популярные программы-месседжеры с помощью процессов pidgin, skype, msnmsgr, aim, icq.exe, yahoom, ymsg_tray.exe, googletalk, xfire.exe. В момент отправки сообщений на инфицированном компьютере блокируются мышь и клавиатура. В отличие от Trojan.OneX.1, Trojan.OneX.2 умеет работать с конфигурационными файлами в кодировке Unicode.

Среди рассылаемых троянцами сообщений распространены ссылки на принадлежащие злоумышленникам поддельные сайты: один из них, в частности, имитирует оформление службы RapidShare. Эта троянская программа не только открывает злоумышленникам доступ к инфицированному компьютеру и способна похищать конфиденциальные данные, но и позволяет выполнять на зараженной машине различные команды, в частности, команду загрузки и установки других приложений. Примечательно: специалистами компании «Доктор Веб» были зафиксированы случаи распространения с помощью троянцев BackDoor.IRC.Bot самой вредоносной программы Trojan.OneX, которая, в свою очередь, способствует дальнейшему распространению BackDoor.IRC.Bot.

И вновь винлоки

В феврале получила естественное продолжение январская тенденция снижения числа обращений пользователей, пострадавших от программ-блокировщиков: их количество сократилось еще на 28 процентов. По всей видимости, все меньше жертв подчиняется требованиям вирусописателей, предпочитая использовать иные пути разблокировки операционной системы, а злоумышленники ищут другие способы заработка и новые рынки для распространения программ-вымогателей. Так, в феврале специалистами «Доктор Веб» был обнаружен винлок, ориентированный на носителей арабского языка.

Trojan.Winlock.5416 — более чем примитивная программа-вымогатель: она не располагает ни кодом разблокировки, ни механизмом проверки локали операционной системы, а потому запускается в ОС Windows с любой языковой версией интерфейса. В демонстрируемом на экране сообщении говорится о том, что данный компьютер заблокирован в связи с просмотром порнографических сайтов и сцен насилия над детьми, что является нарушением законодательства Королевства Саудовская Аравия. Под угрозой шариатского суда пользователю предлагается заплатить 300 долларов путем покупки карты предоплаты Ucash, код которой следует ввести в окне программы-блокировщика. Данный код направляется на сайт злоумышленников (территориально расположенный в Латвии). Больше никаких деструктивных действий данный троянец не выполняет. Следует отметить, что это — первый образец троянца-блокировщика на арабском языке, известный на сегодняшний день специалистам компании «Доктор Веб».

Троянец-спамер и семейство Volk

Trojan.Spamer.46 распространяется через торренты вместе с архиватором WinRAR. Обосновавшись в операционной системе, троянец начинает осуществлять фильтрацию исходящего трафика в поисках форм отправки сообщений сайтов vkontakte.ru, odnoklassniki.ru и my.mail.ru, добавляя в отсылаемые пользователем сообщения текст «Кстати, глянь: [ссылка]». Гиперссылка ведет на мошеннический сайт, предлагающий услугу предсказания судьбы по линиям ладони за платное СМС-сообщение.

Кроме того, в феврале было выявлено целое семейство вредоносных программ, добавленных в вирусные базы под общим именем BackDoor.Volk. Один из них, BackDoor.Volk.1, был написан на языке PHP, применяющемся в основном для создания скриптов и приложений, работающих на стороне сервера, и конвертирован в исполняемый код при помощи утилиты php2exe. Троянец модифицирует на зараженной машине файл hosts, отвечающий за сопоставление DNS-имен IP-адресам, а также способен загружать с удаленного узла и запускать на инфицированном ПК различные приложения.
BackDoor.Volk.2, в отличие от своего предшественника, написан на Visual Basic и при обращении к удаленным узлам для передачи запросов использует метод POST, а не GET. Помимо загрузки и запуска приложений, а также подмены файла hosts, эта вредоносная программа обладает функционалом для проведения DDoS-атак и способна красть пароли от FTP-клиентов, установленных на инфицированном компьютере. Следует отметить, что модуль обмена данными с командным сервером в троянце BackDoor.Volk.2 явно позаимствован у другой вредоносной программы — BackDoor.Herpes, исходные коды которой появились в свободном доступе некоторое время назад.
BackDoor.Volk.3 и BackDoor.Volk.4 также написаны на Visual Basic и являются модификациями BackDoor.Volk.2: основные изменения касаются методов обмена информацией с управляющим сервером. Функционал этих троянцев в целом схож. Троянцы BackDoor.Volk способны объединяться в ботнеты, управляемые посредством специальной административной панели.

Главная опасность для пользователя заключается в том, что благодаря возможной подмене файла hosts потенциальная жертва может быть обманом завлечена на созданные злоумышленниками фишинговые сайты, при этом способность троянца красть пароли от FTP-клиентов открывает перед вирусописателями возможность получения несанкционированного доступа к различным веб-сайтам.

Злоумышленники следят за пользователями через веб-камеру

Как гласит народная мудрость, если у вас нет паранойи, это еще не значит, что за вами не следят. Троянец BackDoor.Webcam.9 позволяет выполнять на инфицированной машине различные команды, поступающие от удаленного сервера злоумышленников, а также перехватывает изображение с подключенной к компьютеру веб-камеры, делая личную жизнь владельца инфицированного ПК достоянием вирусописателей.
Запустившись на исполнение, бэкдор копирует себя в системную папку для хранения временных файлов и прописывается в одну из ветвей системного реестра, отвечающую за автоматический запуск приложений. Затем троянец проверяет наличие копии самого себя на зараженной машине. После этого вредоносная программа отправляет на удаленный командный сервер серию запросов, передавая злоумышленникам ряд сведений об инфицированном компьютере, включая его IP-адрес, тип учетной записи пользователя, количество подключенных к системе веб-камер, имя компьютера и версию ОС, а затем ожидает поступления новых команд.

Троянец способен выполнять поступающие от удаленного сервера команды, в частности, команду перезапуска самого себя, смены управляющего сервера, создания снимка экрана. Кроме того, BackDoor.Webcam.9 способен перехватывать и передавать злоумышленникам изображение, полученное с подключенной к инфицированному компьютеру веб-камеры, вследствие чего личная жизнь пользователя может быть скомпрометирована.

Эксплойты для Mac OS X

Уязвимости Java уже неоднократно использовались злоумышленниками в целях распространения вредоносного ПО для различных системных платформ, в том числе Windows. В феврале вирусописатели впервые начали эксплуатировать несколько известных ранее кросс-платформенных уязвимостей Java для заражения Apple-совместимых компьютеров.
Работает этот механизм следующим образом. При открытии инфицированного сайта выполняется проверка user-agent пользовательского компьютера, и, если запрос сделан из-под Mac OS X с определенной версией браузера, пользователю отдается веб-страница, загружающая несколько java-апплетов.

 Модуль с именем rhlib.jar использует уязвимость CVE-2011-3544. Он помещает в папку /tmp/ исполняемый файл .sysenterxx, выставляет ему необходимые атрибуты и запускает на выполнение.

Запущенное приложение проверяет, присутствуют ли в операционной системе файлы

/Library/LittleSnitch
/Developer/Applications/Xcode.app/Contents/MacOS/Xcode

и, если их обнаружить не удалось, пытается загрузить основной модуль троянской программы BackDoor.Flashback.26. В противном случае загрузчик просто удаляет себя. Модуль clclib.jar использует уязвимость CVE-2008-5353, а ssign.jar представляет собой дроппер Java.Dropper.8, подписанный недействительной подписью: злоумышленники рассчитывают на то, что пользователь добавит эту подпись в список доверенных и тем самым разрешит выполнение кода. На сегодняшний день данные уязвимости используются в основном для распространения уже известного среди пользователей Mac OS X бэкдора BackDoor.Flashback.

Новый DDoS-бот

В феврале специалистами «Доктор Веб» была обнаружена вредоносная программа, представляющая собой довольно «продвинутый» инструмент для осуществления DDoS-атак на различные интернет-ресурсы. Trojan.Tenagour.9 состоит из двух компонентов: инжектора и динамической библиотеки, в которой хранится полезная нагрузка. После запуска в операционной системе троянец проверяет наличие своей установленной копии и, если таковая отсутствует, сохраняется в папку %APPDATA% под именем smss.exe, после чего прописывает себя в ветви системного реестра, отвечающей за автоматический запуск приложений.
Затем Trojan.Tenagour.9 отправляет на удаленный командный сервер запрос, содержащий данные о версии и разрядности операционной системы, MD5-хеш имени инфицированного компьютера и серийный номер первого раздела жесткого диска. В ответ Trojan.Tenagour.9 получает зашифрованную строку, содержащую URL сайта, на который будет осуществлена атака, и несколько вспомогательных параметров. Кроме того, от удаленного командного центра может быть получена директива на обновление троянца.
Trojan.Tenagour.9 позволяет осуществлять 8 типов DDoS-атак на различные интернет-ресурсы с использованием протоколов TCP/IP и UDP, методов GET и POST. Предусмотрен функционал автоматического добавления в список атакуемых ресурсов всех ссылок, обнаруженных на указанном злоумышленниками сайте.

Вредоносные файлы, обнаруженные в почтовом трафике в феврале

01.02.2012 00:00 - 29.02.2012 16:00
1	Trojan.DownLoad2.24758	1260889 (23.57%)
2	Trojan.Oficla.zip	942938 (17.63%)
3	Trojan.Tenagour.9	608458 (11.37%)
4	JS.Nimda	469381 (8.77%)
5	Trojan.Inject.57506	316116 (5.91%)
6	EICAR Test File (NOT a Virus!)	240989 (4.50%)
7	Win32.Rmnet.12	201603 (3.77%)
8	Trojan.DownLoad2.32643	144994 (2.71%)
9	Trojan.Tenagour.3	124987 (2.34%)
10	Trojan.PWS.Ibank.456	103213 (1.93%)
11	Trojan.Siggen2.58686	91438 (1.71%)
12	Trojan.Siggen2.62026	86986 (1.63%)
13	Trojan.Packed.19696	59825 (1.12%)
14	Trojan.DownLoad2.34604	58289 (1.09%)
15	Win32.HLLM.Netsky.18516	41365 (0.77%)
16	Trojan.DownLoader.42350	40454 (0.76%)
17	Program.RemoteAdmin.418	38053 (0.71%)
18	Program.RemoteAdmin	36979 (0.69%)
19	Trojan.Siggen.65070	32930 (0.62%)
20	Program.RemoteAdmin.451	32100 (0.60%)

Всего проверено:	12,997,175,680
Инфицировано:	5,349,414 (0.04%)

Вредоносные файлы, обнаруженные в феврале на компьютерах пользователей

01.02.2012 00:00 - 29.02.2012 16:00
1	Win32.Rmnet.12	45439835 (54.15%)
2	Win32.HLLP.Neshta	17871611 (21.30%)
3	JS.IFrame.112	8509024 (10.14%)
4	Trojan.Hosts.5006	2171701 (2.59%)
5	Trojan.DownLoader.42350	2167227 (2.58%)
6	JS.IFrame.167	584615 (0.70%)
7	Trojan.PWS.Ibank.456	578969 (0.69%)
8	Trojan.IFrameClick.3	396594 (0.47%)
9	Trojan.MulDrop1.48542	322626 (0.38%)
10	Trojan.Tenagour.3	283463 (0.34%)
11	Trojan.Fraudster.261	241669 (0.29%)
12	Trojan.DownLoader5.18057	232619 (0.28%)
13	JS.IFrame.132	222200 (0.26%)
14	Win32.Virut	174800 (0.21%)
15	Trojan.Hosts.5571	136354 (0.16%)
16	Program.RemoteAdmin	130009 (0.15%)
17	Trojan.MulDrop.54146	127922 (0.15%)
18	SCRIPT.Virus	112282 (0.13%)
19	Trojan.Qhost.3907	110427 (0.13%)
20	BackDoor.Ddoser.131	107935 (0.13%)

Всего проверено:	148,537,446,432
Инфицировано:	83,912,629 (0.06%)

Доктор Веб

Пользователи «В Контакте» под прицелом злоумышленников, троянец, заражающий BIOS компьютера, и другие вирусные события сентября 2011 года

Сентябрь 2011 года оказался достаточно тихим и не принес сколь-нибудь серьезных всплесков вирусной активности: по всей видимости, создатели вредоносного ПО, вернувшись с летнего отдыха, решили посвятить себя более прагматичным занятиям. Тем не менее в сентябре был обнаружен уникальный по своей архитектуре троянец, способный заражать BIOS персональных компьютеров. Также широкое распространение получил новый бэкдор для Mac OS X. Наконец, в сентябре значительно увеличилось число фишинговых атак на пользователей социальных сетей.

Спамеры делят деньги Каддафи

В связи с недавними политическими событиями в Ливии участились случаи мошеннических почтовых рассылок, в которых злоумышленники предлагают своим жертвам воспользоваться деньгами c замороженных счетов семьи Каддафи.

Схема мошенничества вполне стандартна для «нигерийских писем». Ничего принципиально нового спамеры придумать пока так и не смогли, однако очевидно, что они продолжают следить за политической ситуацией и оперативно меняют тематику своих посланий в соответствии с новыми реалиями.

Trojan.Bioskit.1 заражает BIOS компьютера

В начале сентября в руки экспертов вирусной лаборатории компании «Доктор Веб» попал примечательный экземпляр вредоносной программы, получившей название Trojan.Bioskit.1. Кроме всего прочего, в него заложены механизмы, позволяющие заразить BIOS материнской платы компьютера, если он произведен компанией Award Software.

Первоначально дроппер троянца Trojan.Bioskit.1 проверяет, запущены ли в операционной системе процессы нескольких китайских антивирусов. Если таковые обнаруживаются, то вредоносная программа создает прозрачное диалоговое окно, из которого осуществляется вызов ее главной функции. Затем Trojan.Bioskit.1 определяет версию операционной системы и, если ею оказывается ОС Windows 2000 или выше (за исключением Windows Vista), продолжает заражение.

В случае если BIOS компьютера отличается от Award, троянец заражает Master Boot Record, перезаписывая первые 14 секторов жесткого диска, включая MBR. Оригинальный MBR сохраняется в 8 секторе. Если же троянцу удается опознать Award BIOS, в дело вступает упакованный в ресурсах дроппера драйвер bios.sys, обладающий пугающим деструктивным функционалом. В нем реализовано три метода:

• Опознать Award BIOS (попутно определить размер его образа и, самое главное, I/O порта, через который можно программно заставить сгенерировать SMI (System Management Interrupt) и таким образом исполнить код в режиме SMM).
• Сохранить образ BIOS на диск в файл c:\bios.bin.
• Записать образ BIOS из файла c:\bios.bin.

Получить доступ и тем более перезаписать микросхему с BIOS — задача нетривиальная. Для этого сначала необходимо организовать взаимодействие с чипсетом материнской платы для разрешения доступа к чипу, затем нужно опознать сам чип и применить знакомый для него протокол стирания/записи данных. Но автор этой вредоносной программы пошел более легким путем, переложив все эти задачи на сам BIOS. Он воспользовался результатами работы китайского исследователя, известного под ником Icelord, проделанной еще в 2007 году. Тогда при анализе утилиты Winflash для Award BIOS был обнаружен простой способ перепрошивки микросхемы через сервис, предоставляемый самим BIOS в SMM (System Management Mode). Программный код SMM в SMRAM не виден операционной системе (если BIOS корректно написан, то доступ к этой памяти им заблокирован) и исполняется независимо от нее. Назначение данного кода весьма разнообразно: эмуляция не реализованных аппаратно возможностей материнской платы, обработка аппаратных ошибок, управление режимами питания, сервисные функции и т.д.

Для модификации самого образа BIOS данная вредоносная программа использует утилиту cbrom.exe (от Phoenix Technologies), которую, как и все прочие файлы, она несет у себя в ресурсах. При помощи этой утилиты троянец внедряет в образ свой модуль hook.rom в качестве ISA BIOS ROM. Затем Trojan.Bioskit.1 отдает своему драйверу команду перепрошить BIOS из обновленного файла.

При следующей перезагрузке компьютера в процессе инициализации BIOS будет вызывать все имеющиеся PCI Expansion ROM, в том числе и hook.rom. Вредоносный код из этого модуля каждый раз проверяет зараженность MBR и перезаражает ее в случае необходимости. Следует отметить, что наличие в системе Award BIOS вовсе не гарантирует возможность заражения данным троянцем. Так, из трех проверенных в вирусной лаборатории материнских плат заразить удалось только одну, а в двух других в памяти BIOS банально не хватило места для записи нового модуля.

Нельзя недооценивать опасность подобного рода угроз, особенно с учетом того, что в будущем возможно появление более совершенных модификаций данной троянской программы, либо вирусов, действующих по схожему алгоритму. В настоящий момент в антивирусное ПО Dr.Web добавлено детектирование и лечение MBR, системных файлов и файловых компонентов вируса.

BackDoor.Flashback — бэкдор для MacOS

BackDoor.Flashback стал четвертым известным бэкдором для операционной системы MacOS X, однако в отличие от своих предшественников, таких как, например, вредоносная программа BackDoor.Olyx, получил чрезвычайно развитый функционал и сложную архитектуру. Кроме того, это первое в своем роде вредоносное приложение данного типа для Mac OS, получившее широкое распространение и реализующее хорошо продуманную схему по распространению и поддержанию живучести ботов.

Установщик данной троянской программы маскируется под инсталлятор проигрывателя Adobe Flash Player. При посещении пользователем распространяющего вредоносное ПО сайта на экране его компьютера возникает сообщение об ошибке проигрывателя Adobe Flash, после чего пользователю предлагается обновить его версию.

Если он соглашается выполнить это обновление, осуществляется цепочка редиректов, которая завершается предложением загрузить и установить архив, содержащий файл с именем FlashPlayer-11-macos.pkg (этот архив загружается только в том случае, если клиентская операционная система — MacOS X Lion). Затем начинается процесс инсталляции «проигрывателя», по завершении которого пакет удаляется, а в папку /Library/Preferences/ устанавливается основной компонент Preferences.dylib, реализующий в системе функции бэкдора и способный выполнять команды, поступающие от многочисленных удаленных командных центров. Следует также отметить, что в бэкдоре предусмотрено получение дополнительных команд из сообщений на сервере mobile.twitter.com.

Основное функциональное назначение Preferences.dylib кроется в выполнении различных директив, поступающих от удаленного командного центра, в том числе и любых стандартных команд оболочки shell. Также библиотека предназначена для интегрирования в просматриваемые пользователем веб-страницы кода на языке JavaScript.

Охота за подпольными сайтами

В начале сентября 2011 года специалистами компании «Доктор Веб» был проведен ряд профилактических мероприятий, благодаря которым удалось выявить и добавить в базы Родительского контроля большое количество сайтов, содержащих материалы порнографического характера либо реализующих различные схемы подпольного бизнеса.

В распоряжении аналитиков оказался список доменов, на которые осуществлялось перенаправление пользователей с подвергшихся взлому интернет-ресурсов. Проанализировав эту информацию, специалисты компании выяснили, что на каждом из IP-адресов таких узлов, как правило, размещается еще несколько сайтов. Многие из их числа которых содержат различный сомнительный контент — поддельные службы файлового обмена, а также сайты, предлагающие на платной основе различные услуги, например, гадания, хиромантию, подбор диет, составление родословных, поиск угнанных автомобилей и даже лечение от прыщей. Встречались среди них и откровенно порнографические ресурсы. Множество подобных веб-сайтов содержало ссылки на другие узлы, для которых также составлялся список соседствующих с ними на одном хосте сайтов. Все полученные ссылки проверялись вручную. Таким образом была выявлена целая сеть, состоящая из сайтов сомнительного содержания. Один из фрагментов такой сети показан на предложенной ниже иллюстрации.

Большинство выявленных IP-адресов принадлежали провайдерам из Великобритании, Нидерландов, Виргинских островов, Гибралтара, и лишь незначительная их часть располагалась на территории Российской Федерации. Обнаруженные в ходе проверки адреса были добавлены в списки Родительского контроля Dr.Web. Компания «Доктор Веб» отмечает, что подобные мероприятия по блокировке сайтов сомнительного содержания будут проводиться и в дальнейшем.

«В Контакте»: осеннее обострение

Середина сентября была отмечена новыми случаями фишинговых атак на пользователей «В Контакте». Впервые целью сетевых мошенников стали поклонники популярной онлайн-игры «В Могиле», встроенной в эту социальную сеть. Злоумышленники выбирали в качестве жертвы наиболее опытных игроков. Затем они отправляли им личное сообщение с предложением воспользоваться «уязвимостью» игры «В Могиле», которая якобы позволяет бесплатно получить игровые предметы, обычно доступные только за деньги. Для этого жертве предлагалось загрузить и установить специальное приложение. Если жертва соглашалась воспользоваться столь заманчивым предложением, все дальнейшее общение сетевые мошенники переносят в Skype. Выбор данного средства коммуникации обусловлен тем, что трафик Skype не поддается фильтрации в отличие от других протоколов мгновенного обмена сообщениями, таких как ICQ или Jabber.

В ходе дальнейшего общения злоумышленники предлагают жертве скачать и установить приложение bag_vmogile.exe, под видом которого распространяется троянская программа Trojan.KeyLogger.9754, предназначенная для перехвата нажатий клавиш и отправки на удаленный FTP-сервер украденных таким образом паролей. При попытке открыть данный файл происходит мгновенное заражение компьютера.

Кроме того, сетевые мошенники продолжают эксплуатировать широко известный метод фишинга с использованием функции «Документы» социальной сети «В контакте». Ничего не подозревающему пользователю отсылается личное сообщение, включающее ссылку на скачивание документа Word, в котором содержится подробная инструкция по установке специальной программы, якобы позволяющей просматривать число посетителей его странички в социальной сети. Под видом этой программы распространяется троянец BackDoor.Piranha.2, с помощью которого злоумышленники создали несколько успешно действующих в настоящий момент бот-сетей. Мы в очередной раз призываем пользователей проявлять бдительность и не устанавливать на компьютере никаких приложений, присланных незнакомыми отправителями или даже людьми, зарегистрированными в списке друзей, поскольку их учетные записи могут быть взломаны злоумышленниками.

Сентябрьские угрозы для Android

В сентябре специалистами компании «Доктор Веб» в вирусные базы было добавлено 115 новых записей, соответствующих угрозам для мобильной операционной системы Android. Абсолютным лидером среди вновь выявленных угроз являются вредоносные программы семейства Android.SmsSend (92 записи), на втором месте с 6 записями расположилось семейство Android.Imlog, далее следуют Android.Ddlight (4 записи), Android.Typnotify (3 записи), а также Android.Geinimi, Android.Flexispy и Android.Backdoor (по 2 записи).

Помимо отмеченных выше 115 вирусных записей, обработанных специалистами вручную, 58 разновидностей угроз для Android было выявлено автоматически при помощи технологии Origin Tracing, о которой мы уже писали в одном из своих обзоров. Среди таких вредоносных программ, распознать которые помогла технология Origin Tracing — 18 модификаций Android.SmsSend, 7 модификаций Android.Gongfu, по 5 модификаций Android.Plankton и Android.Spy, 4 Android.DreamExploid и 3 версии Android.Geinimi.

В качестве одной из наиболее интересных угроз для данной платформы следует назвать троянца Android.SpyEye.1. Риску заражения этой вредоносной программой подвержены в первую очередь пользователи, компьютеры которых уже инфицированы троянской программой SpyEye. При обращении к различным банковским сайтам, адреса которых присутствуют в конфигурационном файле троянца, в просматриваемую пользователем веб-страницу осуществляется инъекция постороннего содержимого, которое может включать различный текст или веб-формы. Таким образом, ничего не подозревающая жертва открывает в браузере настольного компьютера или ноутбука веб-страницу банка, в котором у нее имеется счет, и обнаруживает сообщение о том, что банком введены в действие новые меры безопасности, без соблюдения которых пользователь не сможет получить доступ к системе «Банк-Клиент». Для этого он должен установить на свой мобильный телефон специальное приложение, которое якобы защитит его от перехвата СМС-сообщений. Ниже на просматриваемой пользователем странице приводится ссылка на эту программу, распространяемую под именем simseg.apk. Размер вредоносной программы составляет порядка 20 Кбайт.

После загрузки и инсталляции на мобильном устройстве данное приложение не отображается в списке установленных программ: для того чтобы его отыскать, пользователю придется перейти в системный апплет «Настройки», открыть раздел «Приложения» и выбрать опцию «Управление приложениями». Вредоносная программа скрывается под значком «Система».

Для того чтобы «активировать» данное приложение согласно предлагаемой злоумышленниками инструкции, пользователь должен выполнить со своего устройства телефонный звонок на номер 325000. Android.SpyEye.1 перехватывает этот звонок и демонстрирует на экране мобильного устройства «код активации», который якобы потребуется ввести на банковском сайте впоследствии, — этот код всегда один и тот же и представляет собой число 251340.

После этого все получаемые владельцем инфицированного устройства входящие СМС-сообщения будут перехватываться троянцем и перенаправляться злоумышленникам.

Винлокеры потянулись на Запад

Из других заметных событий сентября можно отметить то обстоятельство, что программы-вымогатели, блокирующие работу Windows, с наступлением осени потянулись в теплые края, а именно — осваивать просторы зарубежного Интернета. Сначала было зафиксировано появление нескольких модификаций винлокеров, основная особенность которых заключалась в том, что блокирующее экран пользователя окно содержит послание, не просто написанное на соответствующем языке, но и подписанное якобы управлением полиции страны, в которой проживает жертва: для Германии это Bundespolizei, для Великобритании — The Mertopolitan Police, для Испании — La Policia Espanola. Во всех случаях пользователя обвиняют в посещении незаконных веб-сайтов порнографического характера и предлагают оплатить «штраф» с использованием одной из распространенных в данной стране платежных систем.

Затем широкое распространение получила модификация программы-вымогателя, инфицирующая главную загрузочную запись и добавленная в вирусные базы под именем Trojan.MBRlock.15. Этот троянец также демонстрирует на экране сообщение на английском языке, содержащее требование заплатить за разблокировку системы 20 евро с помощью одной из распространенных на территории Европы платежных систем.

Пользователи, ставшие жертвой Trojan.MBRlock, могут воспользоваться следующим кодом разблокировки: unlock391.

Вредоносные файлы, обнаруженные в почтовом трафике в сентябре

01.09.2011 00:00 - 30.09.2011 18:00
1	Trojan.Oficla.zip	135919 (38.01%)
2	Trojan.DownLoad2.24758	42198 (11.80%)
3	Trojan.DownLoad2.32643	27733 (7.75%)
4	Win32.HLLM.MyDoom.33808	18710 (5.23%)
5	Win32.HLLM.MyDoom.54464	17673 (4.94%)
6	Win32.HLLM.Netsky.18401	10058 (2.81%)
7	Trojan.Tenagour.3	9841 (2.75%)
8	Win32.HLLM.Netsky.35328	6970 (1.95%)
9	Win32.HLLM.MyDoom.based	6278 (1.76%)
10	Win32.HLLM.Netsky	6102 (1.71%)
11	BackDoor.IRC.Bot.872	6098 (1.71%)
12	Win32.HLLM.Beagle	5840 (1.63%)
13	Trojan.Carberp.13	3488 (0.98%)
14	Trojan.Botnetlog.zip	3175 (0.89%)
15	Trojan.DownLoader2.64347	2940 (0.82%)
16	Trojan.DownLoader4.21360	2879 (0.81%)
17	Trojan.DownLoader4.51015	2334 (0.65%)
18	Trojan.DownLoader4.56005	2054 (0.57%)
19	Trojan.Siggen2.14564	1821 (0.51%)
20	Trojan.Packed.666	1794 (0.50%)

Всего проверено: 148,210,174
Инфицировано: 357,620 (0.24%)

Вредоносные файлы, обнаруженные в сентябре на компьютерах пользователей

01.09.2011 00:00 - 30.09.2011 18:00
1	JS.Click.218	67333862 (42.80%)
2	Trojan.Mayachok.1	29366751 (18.67%)
3	Win32.Rmnet.12	24834750 (15.79%)
4	JS.IFrame.112	9469508 (6.02%)
5	Win32.HLLP.Neshta	9442600 (6.00%)
6	Trojan.IFrameClick.3	2802268 (1.78%)
7	JS.IFrame.117	887843 (0.56%)
8	Win32.Gael.3666	802301 (0.51%)
9	Win32.HLLP.Whboy	781844 (0.50%)
10	Win32.HLLP.Rox	776905 (0.49%)
11	Trojan.MulDrop1.48542	691067 (0.44%)
12	Win32.HLLP.Liagand.1	689635 (0.44%)
13	Trojan.DownLoader.42350	631170 (0.40%)
14	JS.IFrame.95	631060 (0.40%)
15	JS.Click.232	514805 (0.33%)
16	Win32.Siggen.8	418178 (0.27%)
17	Trojan.Click.64310	397567 (0.25%)
18	HTTP.Content.Malformed	295247 (0.19%)
19	Win32.HLLP.Whboy.45	239515 (0.15%)
20	Trojan.DownLoad2.32643	229527 (0.15%)

Всего проверено: 7,391,189,733,623
Инфицировано: 157,317,745 (0.00%)

Доктор Веб

Серебрянная пуля Интернет

Зомби-сети - самое большое зло в современном Интернете. С помощью зомби-сетей совершаются наиболее масштабные компьютерные преступления. Такие сети состоят из огромного количества компьютеров, зараженных специальным троянцем и управляемых из центра их владельцем. Они используются для распространения спама, заражения других компьютеров троянскими программами, сбора конфиденциальной информации и других преступных целей.

Фактически, зомби-сети являются инфраструктурой современных киберпреступлений, наложенной на Интернет. Противопоставить зомби-сетям очень сложно, однако недавно были проведены эксперименты по борьбе с несколькими зомби-сетями.

Уязвимым местом зомби-сети является ее командный центр, при выводе которого из строя вся сеть перестает работать как единое целое и со временем разваливается. До недавнего времени центры управления зомби располагались на так называемых непотопляемых или абузоустойчивых хостингах, которые умели защищать своих клиентов, в том числе и от правоохранительных органов. Именно в сетях таких провайдеров и скапливалось больше всего центров управления зомби и распространения вредоносного программного обеспечения, однако в прошлом году правоохранительные органы научились закрывать подобные хостинговые компании - некоторые из них были закрыты как в России, так и зарубежом. В частности, проведенная через ОДКБ операция российского Управления "К" под названием "Прокси" позволила закрыть некоторую часть подобных провайдеров, однако война не закончилась.

Симметричный удар нанесла и империя Microsoft, которая организовала специальный альянс для борьбы с зомби сетями, в рамках которого выполнялся сбор сведений о деятельности различных зомби-сетей и прекращения их деятельности. В рамках альянса разрабатывались юридические основная для временного блокирования деятельности некоторых доменов, которые оказались запятнаны вредоносными программами. В январе 2010 года этот альянс провел операцию по прекращению деятельности одной из крупных зомби-сетей, созданных троянцем Waledac. Домены удалось заблокировать и сеть вышла из-под контроля владельцев и фактически перестала функционировать.

Следующий раунд борьбы произошел в середине марта, когда два российских провайдера разорвали отношение с казахским провайдером "Трояк". Последний обеспечивал подключение к Интернет нескольких других провайдеров из Приднестровья, Украины и Казахстана, в адресных пространствах которых располагалось достаточно много управляющих серверов еще одной крупной зомби-сети, построенной троянцем Zeus. В результате, по данным проекта ZeuS Tracker от сети были отключены около сотни контрольных центров этой зомби-сети. Хотя через некоторое время "Трояк" нашел себе других канальных провайдеров, однако контрольных центров в его адресном пространстве было уже меньше.

Через неделю после отключения "Трояка" был заблокирован еще один "ядовитый" провайдер "Вертикаль Групп", который зарегистрирован в Санкт-Петербурге. В его сети было обнаружено также достаточно много центров управления Zeus. Однако самое интересное произошло с провайдеров, который по "ядовитости" был на третьем месте - "ГазТранзитИнформ". После блокирования "Трояка" и "Вертикали", количество управляющих центров в его адресном пространстве сильно сократилось: всего за несколько дней количество их сократилось с 88 до 16. И хотя он по прежнему остается в десятке наиболее вредоносных, провайдеров России, однако явно видна тенденция к самоочищению. Сокращение количества центров усправления сетью Zeus можно видеть на рисунке, опубликованном проектом ZeuS Tracker.

На нем также видно, что зомби-сеть вначале пыталась вернуть свои позиции, однако уже через два месяца количество управляющих серверов сократилось в несколько раз.

Хотя роль государства в описанных выше конфликтах очевидна, однако оно не могло бы эффективно бороться с зомби без поддержки общественных и некоммерческих организаций, а также сетевых проектов, типа ZeuS Tracker, Malware Domain List (MDL) или Malware URL. Эти проекты контролируют вредоносные коды, распространяемые зомби-сетями. База данных этих проектов регулярно пополняется, что позволяет определить "ядовитость" тех или иных провадеров. Эти проекты дают провайдерам возможность блокировать вредоносные адреса и не давать зомби доступа к управляющему серверу. Часто после этого зомби проявляет себя и вычищается антивирусной программой.

Anti-Malware

Опасности на пути пользователей социальных сетей

Георг Вишерски

Вступление

Социальные сети — это область интернета, в которой сегодня засиживается почти половина всех компьютерных пользователей. Неважно, кто это — ваш босс, ваш сосед, ваш друг или подружка — все они зарегистрированы хотя бы в одной социальной сети. Но поскольку эти места общения привлекают так много людей, большинство которых пребывают в счастливом неведении о необходимости защиты своего компьютера, здесь также охотятся киберпреступники, подстерегающие неосмотрительного пользователя и готовые к немедленному броску на свою жертву.

Угрозы могут быть самыми разными — от простой спам-рекламы, которую мы временами обнаруживаем в своем электронном почтовом ящике, до более изощренных видов интернет-мошенничества, созданных специально для кражи регистрационных данных пользователей социальных сетей или, например, для заражения компьютеров троянской программой-бэкдором. В результате пользователь не только теряет свою личную информацию и деньги, он подвергает угрозе компьютерного заражения окружающих. Важно понимать, что, став жертвой преступников, вы ставите под удар и себя, и людей, которые находятся рядом с вами. И в первую очередь — ваших друзей по социальным сетям. Обезопасьте себя! Вам нужно всего лишь самому выполнять основные требования безопасности и призывать к бдительности своих друзей.

Атаки на ваших друзей: фишинг регистрационных данных

Одна из наименее технически опасных угроз, исходящих из мира социальных сетей, — это традиционная попытка заполучить регистрационные данные пользователей. Как мы уже видели в случаях с интернет-мошенничеством в системах онлайн-банкинга или фальшивыми уведомлениями из налогового управления США, фишеры создают сайт, копирующий регистрационную страницу сайта социальной сети, выбранной мишенью, и затем рассылают фишинговую ссылку на него по электронной почте или в сообщениях, отправленных якобы от имени самой социальной сети.

Рис. 1.Фишинговый сайт социальной сети Facebook

Безусловно, единственная функция этой страницы — перенаправить ничего не подозревающего пользователя на настоящий сайт социальной сети после того, как он введет свои регистрационные данные. Полученным логином и паролем фишер может распорядиться следующим образом:

• продать на черном рынке;
• использовать для сбора дополнительной информации о жертве, зайдя в ее профиль;
• использовать взломанную учетную запись этой социальной сети для рассылки спама.

Получив доступ к вашим регистрационным данным, хакер может использовать контакты вашей социальной сети: от вашего имени рассылать вашим друзьям сообщения, пользуясь доверием к вам ваших друзей; убеждать их пройти по ссылке; устанавливать вредоносные программы или заходить на фишинговые сайты.

К счастью, эти атаки достаточно просто распознаются, поскольку такие фальшивые регистрационные страницы, как правило, не имеют действующего SSL-сертификата, а имя домена чаще всего искажено. Однако беспечные пользователи не обращают внимания на эти детали, их занимает вопрос о том, какую бы «забавную картинку» отправить своим друзьям. Но надо признать, что такие социальные сети, как Facebook, делают все, чтобы информировать участников сети об этих легко распознаваемых атаках: на специальных страницах, посвященных безопасности, их пользователи могут узнать обо всех известных угрозах.

Фишинг — не единственный способ кражи паролей

Еще один тип угроз, который мигрировал в социальные сети из систем интернет-банкинга — это программы для кражи паролей. Они внедряют части своего кода в ваш браузер (в основном, в Internet Explorer и иногда в Firefox) для того, чтобы похитить ваши регистрационные данные до того, как они будут отправлены на сервер.

Тем не менее, у сайта социальной сети есть действующий сертификат SSL, и на вашем браузере виден соответствующий значок. Но поскольку данные похищаются внутри браузера, то шифрование SSL-соединения между вашим компьютером и веб-сайтом не может вас защитить. Поэтому распознать эти атаки гораздо труднее, чем простые фишинговые атаки. И так как программы для кражи паролей — это вредоносное ПО, которое устанавливается локально на ваш компьютер, то самая лучшая защита от них — современное антивирусное решение.

Если злоумышленнику удастся заполучить ваши регистрационные данные, то, скорее всего, он станет отправлять ссылки, устанавливающие программу для кражи паролей на компьютеры ваших друзей. В результате количество компьютеров-жертв будет расти как снежный ком:

Рис. 2. Схема распространения программы для кражи паролей в социальной сети

В большинстве сообщений, рассылаемых с использованием техники маскировки под законного пользователя, содержится компонент социальной инженерии, который пытается заманить жертву на определенный сайт или уговорить получателя сообщения загрузить программу на свой компьютер. Даже если вы не можете убедить своих друзей установить хорошее антивирусное решение, попросите их относится внимательнее к ссылкам, полученным от знакомых. Поскольку фишинговые атаки генерируются компьютером, будет невредно поинтересоваться у своих друзей, действительно ли они отправляли вам ссылку.

Одним из наиболее известных и распространенных семейств вредоносных программ, применяющих такой подход, является семейство Koobface (анаграмма от Facebook), мишенью которых является не одна, а сразу несколько социальных сетей:

• Facebook
• MySpace
• Hi5 Networks
• Bebo
• и многие другие в зависимости от варианта.

Как можно стать жертвой drive-by атак

Иногда одного посещения вредоносного сайта достаточно, чтобы после этого обнаружить на своем компьютере неизвестно как туда попавшую вредоносную программу. Такое становится возможным потому, что иногда уязвимости вашего браузера допускают произвольное исполнение кода — даже при отключенных Java(Script) и Flash. Как только на эти сайты заходит кто-то с уязвимым браузером, заражение неизбежно, если не установлена защитная программа. Однако для начала злоумышленнику надо заманить пользователя на эту страницу. Об одном из способов злоупотребления вашей сетью доверия — отправить сообщение якобы от вашего имени, указав на сайт фишеров, — уже упоминалось выше.

Рис. 3. Исполнение кода в Internet Explorer

Другой путь, недавно освоенный хакерами, — засыпать Twitter и сайты блоггеров спамом и комментариями, содержащими ссылки на вредоносные ресурсы. В Twitter злоумышленники выбирают наиболее популярные темы дня и добавляют ссылки на вредоносные сайты в свои комментарии

Сервисы подобные Twitter, где длина сообщений ограничена, часто используют сокращение URL. Большинство из этих сервисов не имеют функции предварительного просмотра URL, на который они, в конечном счёте, указывают, поэтому хакеры могут легко замаскировать полудоверенное имя под сокращение URL. Это ведет к дальнейшей эскалации атак.

Кому доверить информацию?

Такие сайты, как Facebook, часто разрешают третьим сторонам разрабатывать и добавлять их собственные «Приложения» в социальную сеть и в итоге к профилям пользователей. Эти приложения во многих случаях имеют полный доступ к вашим персональным данным и профилю. Участника сети просят дать согласие на использование его персональных данных и часто даже предлагают выбрать, какими именно элементами этих данных он готов поделиться. Однако приложения, использующие умную технику социальной инженерии (например, троянские программы), могут вынудить пользователя виртуально обнародовать все его персональные данные.

К счастью, сегодня компании, подобные Facebook, знают об этой проблеме и вручную проверяют все приложения, прежде чем пустить их в свою сеть. Конечно, как и у многих других компаний, ресурсы Facebook ограничены, поэтому из 50 000 доступных на данный момент пользовательских программ не все могут быть исследованы так тщательно, как следовало бы. Поэтому весьма вероятно, что в то время пока вы любуетесь очередной фотографией милого котенка в приложении «Daily Picture», ваша личная информация находится в полном распоряжении этой программы. Горькая правда состоит в том, что в наше время любой человек, создающий такую программу, может вставить в нее бэкдор, который загружает JavaScript с сервера третьей стороны и таким образом передает на сторону все ваши персональные данные. Если хакер имеет достаточно опыта, приложение запросто может проскользнуть незамеченным мимо бдительных глаз аналитиков Facebook.

Обычному пользователю такие атаки очень трудно обнаружить, поскольку приложения, написанные третьей стороной, могут почти полностью интегрировать себя в доверенную социальную сеть — как с точки зрения внешнего вида, так и с точки зрения функциональности. Часто даже антивирусная программа не в силах помочь, так как эти приложения исполняются на сервере Facebook, поэтому предотвращение подобных угроз является делом самой социальной сети.

securelist.com

SMS-мошенничество

Мобильные операторы сейчас фактически являются системами для организации микроплатежей. Поэтому все чаще мошенники используют телефон для того, чтобы залезть в карман пользователей мобильной связи. Способы для этого могут быть самыми разнообразными: от рассылки SMS-спама до заражения троянцем смартфона или требования выкупа за разблокирование домашнего компьютера. В этой статье мы рассмотрим наиболее популярные способы мошенничества с помощью мобильных телефонов.

Пик SMS-мошенничества по заверениям мобильных операторов пришелся на октябрь прошлого года, когда в российском сегменте сети Интернет разразилась эпидемия троянской программы Winlock. Она требовала для разблокирования компьютера послать SMS на специальный платный номер, и пользователей, которые воспользовались подобной платной услугой оказалось достаточно много. Поэтому основные операторы мобильных платежей собрались и в ноябре прошлого года договорились о совместном решении проблем подобного рода. В частности, были выработаны общие правила подключения контент-провайдеров и налажен контакт между службами защиты от мошенников различных платежных систем. Сейчас некоторые операторы сформировали разделы на своих сайтах, которые посвящены мошенничеству с помощью SMS.

У мошенников есть несколько способов получения денег со счетов мобильных операторов: платные сервисы, отправка на которые SMS достаточно дорога, скачивание вредоносного контента, прямой перевод денег на телефон, выманивание кода карты оплаты и SMS-реклама. Разберем каждый из этих способов подробнее.

Платные сервисы

Некоторые короткие номера обладают таким неприятным свойством - при посылке SMS на них со счета мобильного телефона списывается определенное количество средств в пользу оператора. При этом цены могут доходить до 300 руб. за одно сообщение. Хотя мошенник при этом получал только свой процент, который всегда меньше половины списанной у клиента суммы, тем не менее, мошенники на большой операторской базе могут заработать приличные деньги. К этому же типу атак можно отнести звонки на платные номера телефонов.

Правда, чтобы получать деньги этим способом мошенник должен заключить контракт с платежной системой мобильных платежей. Их в России 7 - 8 крупных, поэтому мошенник, готовясь к своей афере, раньше мог перебрать несколько подобных операторов, пока не находил того, кто согласится переводить ему деньги. Правда после случая с Winlock и договоренности между платежными системами сформирована общая база подозрительных проектов, и такой способ получения денег стал более проблематичным. Кроме того, мошенника можно было вычислить по номеру телефона и контракту с платежной системой.

Тем не менее, этот тип получения денег в России очень популярен среди мошенников. В частности он используется в следующих атаках:

• лотереи: мошенники предлагают что-то разыграть, для чего достаточно послать SMS на указанный номер;
• фальшивые открытки: это тип спама, когда пользователю сообщается о получении открытки, для чего он должен перейти по ссылке, однако самой открытки получить не удается, хотя деньги за доступ к ней все-таки списываются;
• лже-работа: тип спама, в котором предлагается высокооплачиваемая работа, но для ее получения нужно отправить SMS или перезвонить на платный номер;
• жизнь без спама: на телефонные номера, которые засвечены в спамерских базах, может прийти предложение отписаться от рассылки спама с помощью "бесплатного" SMS;
• троянцы и фальшивые антивирусы: на компьютере запускается троянец, который требует перечисления денег с помощью SMS;
• мобильные троянцы: некоторые вредоносы для мобильных телефонов рассылают SMS или выполняют звонки на "дорогие" номера;
• навязанная подписка: тип спама, в котором предлагают скачать бесплатный контент или получить доступ к определенным услугам, однако в ссылке "зашит" код активации SMS-подписки, за пользование которой со счета пользователя регулярно будут сниматься определенные деньги;
• телевикторины: некоторые телевизионные передачи нацелены на выкачивание денег с мобильного телефона.

Для защиты от этого вида мошенничества рекомендуется вначале узнать точную стоимость одного SMS на указанный номер, а затем уже принимать решение об их отправке. Списки "дорогих" номеров можно узнать, обратившись в службу поддержки своего мобильного оператора или платежной системы.

Предоплаченные карты и пополнение счета

Деньги от пользователей мобильной связи можно получить в виде кода предоплаченной карты или оплаты через терминал. Схема этого мошенничества проста основана на том, чтобы заставить человека положить деньги на чужой счет.

• Фиктивная помощь: жертве приходит примерно такое сообщение "Попал в аварию. Пишу с чужого телефона. Переведи на него деньги". Прежде, чем помогать в такой ситуации рекомендуется перезвонить человеку, от имени которого представляется мошенник.
• SMS-просьба: это вариант предыдущего мошенничества, но рассылается примерно такое сообщение: "У меня проблемы, позвони по такому-то номеру. Если номер не отвечает, положи на него деньги и перезвони".
• "Акции" операторов: мошенники присылают SMS якобы от имени оператора связи с сообщением о проводимой акции, например, с бесплатными звонками по стране. Для участия в акции предлагается в определенный срок переслать на номера "техподдержки" оператора (номер прилагаются) коды предоплаченных карт.
• Фальшивая лотерея: звонок якобы с радио или телевидения с сообщением, что ваш номер выиграл в лотерею приз - мобильный телефон. Причем его сразу подключат, для чего нужно купить предоплаченную карту и сообщить код диджею. Поскольку радио проводит лотереи, как правило, в прямом эфире, то прежде чем диктовать код рекомендуется вначале послушать указанную радиостанцию.

Прямой перевод денег

Некоторые операторы мобильной связи реализовали систему прямого перевода денег с одного номера на другой. Это позволяет реализовать новые формы мошенничества, где разными способами пользователей такого оператора заставляют набрать код перевода денег на чужой счет. Наиболее известные мошенничества этого типа следующие:

• Техобслуживание: звонок от якобы сотрудника мобильного оператора, который просит набрать на клавиатуре комбинацию определенных клавиш. Эта комбинация может быть, в том числе, и обращением в службу прямого перевода денежных средств.
• Ошибочный перевод: звонок с незнакомого номера с сообщением о том, что ошибочно на ваш номер перевели определенную сумму. Заканчивается такой разговор просьбой перевести деньги обратно, хотя вполне возможно, что ни кто ни каких денег и не переводил.
• Срочный звонок: на улице к вам обращаются, чтобы совершить срочный звонок. Когда телефон попадает в руки мошенника, он переводит деньги на свой счет или звонит на "свою" платную службу. Рекомендуется набирать номер самостоятельно и следить, чтобы он не начинался с символа "*".

Мобильный спам

Собственно получаемый SMS-спам не требует расхода от пользователя - за него платит рекламодатель, тем не менее, удалять мусорные SMS неприятно. Поэтому сбор телефонных адресов в базу данных спамера также можно отнести к мобильным угрозам. Прежде, чем продать базу проверенных адресов покупателю мошенник должен ее верифицировать, чтобы минимизировать расходы на отсылаемые SMS. Для верификации могут быть использованы самые невинные вопросы, типа "Как дела?", "Чем занимаешься" или просто "Превед!", однако отвечать на подобные вопросы полученные с незнакомых номеров, не рекомендуется.

Собственно, есть еще много самых разнообразных угроз, которые привязаны к конкретным сервисам. Например, если владелец мобильного телефона пользуется еще и услугами мобильного банкинга, то у него с помощью различных техник социальной инженерии могут выманивать реквизиты этого сервиса. Впрочем, пока в России подобные сервисы достаточно редки, поэтому и атакуются они редко. Возможно, по мере развития различных сервисов мошенники придумают различные способы получения денег от их использования.

Из приведенных методов мошенничества видно, что чисто технические методы атаки используются достаточно редко - больше всего атак построено по принципам социальной инженерии. Защититься от них просто - нужно знать, как именно нападающие рассчитывают получить с вас деньги, и не идти у них на поводу. Для этого стоит ознакомиться с рекомендациями самих операторов связи, которые завели соответствующие разделы на своих сайтах. Могу предложить адреса подобных разделов "Вымпелкома" и i-Free. В целом же от социальной инженерии защищает принцип "предупрежден - значит вооружен".

Anti-Malware

Вредоносный Javascript vs. кард-ридера

Дмитрий Тараканов

Угроза потерять немалые деньги из-за того, что злоумышленник украл пароль и логин от учетной записи онлайн-банкинга, в настоящее время очень актуальна. Чтобы бороться с воровством денег через онлайн-системы управления банковским счетом многие банки взяли на вооружение usb-устройства. Чаще всего используют usb-токены (или usb-брелоки) и кард-ридеры. Когда пользователь проводит через интернет какую-либо транзакцию, сайт банка требует подтвердить, что эту транзакцию проводит именно хозяин счета. USB-токен или кард-ридер (после проверки уникальной карточки клиента) отправляет интернет-системе банка специальный код, который и является подтверждением.

Казалось бы, все безопасно: даже если преступник украдет логин и пароль у пользователя онлайн-банкинга, без кард-ридера или брелока он не сможет провести операцию по переводу денег. Но, как говорится, не мытьем, так катаньем — злоумышленники придумали, как обойти и такую систему защиты. Некоторые вредоносные программы вынуждают самого пользователя подтверждать операции по переводу денег со своего счета на счет злоумышленника. Как это делается, покажем на примере известного троянца ZeuS.

Этот троянец, заразив систему пользователя, проверяет все данные, которые проходят через веб-браузер. Он может изменять эти данные, например, добавляя вредоносный код в код скачанной пользователем странички. В результате пользователь увидит в окне браузера уже измененную троянцем версию сайта.

Для начала опишу, как работает система управления счетом без вмешательства троянца. Пользователь вводит свой логин и пароль в полях странички онлайн-банкинга. Если логин и пароль верны, система онлайн-банкинга допускает пользователя к разделу управления его банковскими счетами. После того, как пользователь попросит отправить средства, система банка потребует подтвердить это действие личной карточкой клиента через кард-ридер, который должен быть подключен к компьютеру пользователя. Так задумано разработчиками системы.

Вот какой ответ на это есть у злоумышленников.

Оригинальная начальная страничка сайта онлайн-банкинга выглядит следующим образом:

Оригинальная страничка сайта банка с напоминанием

На ней сообщается, что кард-ридер не требуется для входа в систему. Теперь посмотрим, как та же страничка выглядит на зараженной ZeuS машине:

Измененная ZeuS страничка банка уже без напоминания

В файле конфигурации ZeuS указан адрес начальной страницы банка, и троянец в соответствии с инструкциями меняет код загружаемой страницы, таким образом что пользователь уже не видит на ней важной информации про кард-ридер. Кроме того, в код добавляются ссылки якобы на скрипт, размещенный на сайте банка.

Код страницы банка, измененный ZeuS

На самом деле никакого такого скрипта на сайте банка нет. Обращение обозревателя по этой ссылке затем перехватывается другой функцией троянца.

В файле конфигурации ZeuS злоумышленник указывает, какие адреса или данные заменять. Например, такая строчка в файле конфигурации

Указание для троянца, что и чем заменять на зараженном компьютере

означает, что если обозреватель запросит первый из адресов, приведенных в строке, то произойдет обращение не к запрашиваемому адресу, а к адресу, который стоит в строке вторым. В итоге браузер пользователя будет обрабатывать и показывать в окне уже не оригинальную страницу онлайн-банкинга, а страницу с «довеском» от ZeuS, в частности, с внедренным вредоносным скриптом.

Пошагово опишем порядок действий этого скрипта.

Если авторизация пользователя прошла успешно, то злоумышленнику отправляются перехваченные пользовательские данные — логин, пароль и пин-код (чтобы получить пароль и пин-код, ZeuS заблаговременно в код странички добавляет свою веб-форму, где требует от пользователя ввести эти данные).

Клиент банка, введя свои данные для входа в систему, ждет появления странички управления своим счетом, но скрипт задерживает отображение этой страницы в окне браузера. Чтобы у пользователя не возникло вопросов, почему переход к управлению счетом не происходит, вредоносный скрипт выводит на экран компьютера сообщение: «Требуется авторизация. Пожалуйста, подождите, пока мы проверим конфигурацию вашей системы, чтобы обеспечить дополнительную безопасность. Это может занять до 60 секунд»:

Сообщение, выводимое вредоносным скриптом

Между тем, вход уже осуществлен, и пока клиент банка ждет результатов «проверки конфигурации», вместо него в системе распоряжается вредоносный скрипт, эмулируя действия хозяина счета.

У пользователя с одной учетной записью может быть связано несколько банковских счетов. В таком случае скрипт определяет счет, на котором лежит максимальная сумма денег. Пробегая по ссылкам на страницах, скрипт попадает на страницу проведения платежей.

Чтобы добавить нового получателя, скрипт эмулирует клик на соответствующую ссылку на страничке:

Подготовка платежа

Эмуляция перехода в раздел добавления нового получателя средств

Командный центр троянца передает детальную информацию о конкретном платеже: имя получателя, счет получателя, Sort Code, назначение перевода, комментарий и, конечно, сумма денег. Этими данными заполняется веб-форма перевода.

После того, как получатель определен, можно приступать к проведению транзакции. Осталось самое главное: пользователь должен подтвердить перевод своей карточкой через кард-ридер.

Все описанные выше действия скрипт выполняет довольно быстро. Пользователь в это время ждет результатов якобы проверки конфигурации системы. Во время этой «проверки» ему и выводится сообщение: «чтобы продолжить вход в систему, пожалуйста, подтвердите свою личность с помощью кард-ридера».

Текст требования, вводящего в заблуждение пользователя, в коде скрипта

Троянец в самом начале спрятал напоминание, что кард-ридер не требуется для входа в систему, и очень вероятно (ведь пользователь уверен, что получил сообщение от банка), что заветная карточка будет вставлена в кард-ридер. Если все проходит по плану злоумышленника, его скрипту остается только сделать последнее подтверждение, нажав на кнопку “Make payment” (“провести платеж”).

Деньги ушли…

После проведения транзакции, в результате которой пользователь потеряет свои деньги, скрипт скрывает все данные о переводе: изменяет баланс, так что пользователь видит ожидаемую сумму на своем счету, скрывает добавленного скриптом нового получателя, скрывает информацию о проведении платежа в разделе исходящих платежей и т.п. Соответственно, какое-то время пользователь даже не заподозрит кражи.

Несмотря на то, что антивирусы постоянно совершенствуются, а банковские онлайн-системы модернизируются, мешая злоумышленникам приспособиться к системе, вирусописатели, со своей стороны, предпринимают серьезные усилия в погоне за наживой. Такая непростая ситуация требует от клиентов банков не терять бдительности.

Если при вручение вам usb-токена или кард-ридера с карточкой в отделении банка вам сказали, что эти устройства нужны только для подтверждения денежных операций, то их надо использовать исключительно в таких случаях, от кого бы ни исходили требования что-либо подтвердить, и как бы правдоподобно эти требования не выглядели.

securelist.com