• 2013-12-02 23:06 Обновление сервиса перехвата трафика в Dr.Web Enterprise Security Suite и Dr.Web AV-Desk 6.0
• 2013-12-02 23:19 Обзор вирусной активности в ноябре 2013 года
• 2013-12-02 23:36 Hacking Identity Theft: Entry points, tools and prevention

Антивирусный "хостинг"

Клуб пользователей антивирусных услуг (Saas, Cloud)

KMM поделился ссылкой

Обновление сервиса перехвата трафика в Dr.Web Enterprise Security Suite и Dr.Web AV-Desk 6.0

2 декабря 2013 года

Компания «Доктор Веб» сообщает об обновлении сервиса перехвата трафика Dr.Web Net Filtering Service (6.0.14.11111) в продуктах Dr.Web Enterprise Security Suite и интернет-сервисе Dr.Web AV-Desk версии 6.0. Обновление связано с исправлением выявленной ошибки.

Была устранена проблема, из-за которой письма не проверялись на спам в случае если в черном списке Антиспама присутствовало несколько адресов.

Для пользователей продуктов Dr.Web Enterprise Security Suite и подписчиков услуги «Антивирус Dr.Web» обновление пройдет автоматически.

KMM поделился ссылкой

Обзор вирусной активности в ноябре 2013 года

2 декабря 2013 года

В ноябре 2013 года специалистами компании «Доктор Веб» — российского производителя антивирусных средств защиты информации — было выявлено и исследовано большое количество угроз, ориентированных на пользователей различных информационных систем. В частности, в начале месяца в вирусные базы Dr.Web был добавлен троянец, представляющий опасность для комплекса программных бизнес-решений SAP, и вредоносная программа, подменяющая поисковые запросы на компьютерах, работающих под управлением ОС Microsoft Windows. В середине месяца была зафиксирована массовая рассылка банковского троянца с использованием программы Skype, а также выявлены новые угрозы для мобильной платформы Android.

Вирусная обстановка

Согласно статистическим данным, полученным в ноябре с использованием бесплатной лечащей утилиты Dr.Web CureIt!, абсолютным «лидером» среди обнаруженных на компьютерах пользователей угроз стала вредоносная программа, добавленная в вирусные базы под именем Trojan.Packed.24524. Это приложение было обнаружено на компьютерах 12 450 раз, что составляет 2,88% от общего количества выявленных угроз. За данным непримечательным наименованием скрывается установщик рекламных программ и приложений сомнительной полезности, который злоумышленники распространяют под видом другого, легитимного ПО. Запустив такой установщик на своем компьютере, пользователь рискует стать «счастливым обладателем» нескольких тулбаров, уродующих окно браузера, или приложения, демонстрирующего на экране компьютера назойливую рекламу.

Позиции со второй по пятую в ноябрьском перечне угроз, обнаруженных с использованием лечащей утилиты Dr.Web CureIt!, занимают рекламные троянцы Trojan.LoadMoney.1, Trojan.InstallMonster.38, Trojan.LoadMoney.225 и Trojan.InstallMonster.28. Полный список из двадцати наиболее распространенных вредоносных программ согласно собранной за истекший месяц статистике представлен ниже.

Название	Кол-во	%
Trojan.Packed.24524	12450	2.88
Trojan.LoadMoney.1	8281	1.91
Trojan.InstallMonster.38	7719	1.78
Trojan.LoadMoney.225	7712	1.78
Trojan.InstallMonster.28	7069	1.63
BackDoor.IRC.NgrBot.42	5990	1.38
Trojan.LoadMoney.76	5819	1.35
Trojan.Hosts.6815	5580	1.29
Trojan.StartPage.56734	4840	1.12
Trojan.Fraudster.502	4159	0.96
Trojan.Siggen5.63980	3837	0.89
Trojan.Fraudster.524	3835	0.89
Trojan.Lyrics.11	3511	0.81
BackDoor.Maxplus.24	3461	0.80
Trojan.Hosts.6838	3074	0.71
Win32.HLLP.Neshta	2831	0.65
Trojan.StartPage.52545	2743	0.63
BackDoor.Andromeda.178	2351	0.54
Trojan.Zekos	2080	0.48
Win32.HLLW.Gavir.ini	2042	0.47

Ботнеты

В динамике изменения численности бот-сети, образованной персональным компьютерами, инфицированными файловым вирусом Win32.Rmnet.12, наметились небольшие изменения. Если в октябре к первой подсети в среднем подключалось порядка 15 000 вновь инфицированных компьютеров ежесуточно, то в ноябре их количество достигало уже 20 000. Во второй подсети число ежедневно подвергающихся заражению машин также немного выросло: в среднем с 11 000 до 12 500.

Динамику изменения численности обеих подсетей Win32.Rmnet.12 можно проследить на представленных ниже диаграммах:

Динамика регистрации новых ботов в ботнете Win32.Rmnet.12 в ноябре 2013 года (1-я подсеть)

Динамика регистрации новых ботов в ботнете Win32.Rmnet.12 в ноябре 2013 года (2-я подсеть)

Несколько снизилось количество ПК, на которых антивирусным ПО Dr.Web детектируется наличие вредоносного модуля Trojan.Rmnet.19: с 3 851 в конце октября до 3 345 в ноябре. А бот-сеть, созданная злоумышленниками с использованием троянца BackDoor.Bulknet.739, за месяц практически не изменилась в размерах: если в конце октября ее численность составляла 1 539 инфицированных рабочих станций, то к 20-м числам ноября эта цифра немного снизилась и составила 1 270. Аналогичным образом отсутствие серьезной динамики наблюдается и в отношении бот-сети BackDoor.Dande, предназначенной для кражи конфиденциальной информации у представителей российских фармацевтических компаний, — за минувшие 30 дней совокупное количество инфицированных этим бэкдором ПК выросло с 1 105 до 1 147. Число Apple-совместимых компьютеров, на которых антивирусное ПО обнаруживает присутствие троянца BackDoor.Flashback.39 для операционной системы Mac OS X, в течение ноября немного выросло: с 31 553 до 32 939. При этом наибольшее количество инфицированных «маков» (16 928) располагается на территории США, второе место занимает Канада (6 469 зараженных компьютеров Apple), третье — Великобритания (4 791 случай заражения). На четвертой позиции по количеству инфицированных Apple-совместимых компьютеров располагается Австралия с показателем 2 217 случаев обнаружения троянца BackDoor.Flashback.39.

Угроза месяца

В начале ноября специалисты компании «Доктор Веб» сообщили о распространении очередной модификации банковского троянца семейства Trojan.PWS.Ibank. В качестве основной отличительной особенности данной реализации вредоносной программы отмечалась ее способность проверять имена запущенных программ и встраиваться в их процессы, в том числе — в процесс клиента SAP, комплекса бизнес-приложений, предназначенных для управления предприятием. Данный программный комплекс включает множество модулей, среди которых – компоненты управления налогообложением, сбытом, товарооборотом. Инфицированные компьютеры могут оперировать конфиденциальной информацией, весьма чувствительной для коммерческих предприятий. Первая версия троянца, проверявшего наличие SAP в зараженной системе, получила распространение еще в июне: она была добавлена в базы Dr.Web под именем Trojan.PWS.Ibank.690, текущая же имеет обозначение Trojan.PWS.Ibank.752. Троянцы Trojan.PWS.Ibank способны действовать как в 32-битных, так и в 64-битных версиях Microsoft Windows, и обладают весьма широким набором вредоносных функций, среди которых можно отметить следующие:

• похищение и передача злоумышленникам вводимых пользователем паролей;
• закрытие доступа к сайтам антивирусных компаний;
• выполнение команд, поступающих от удаленного командного сервера;
• организация на инфицированном компьютере прокси-сервера и VNC-сервера;
• уничтожение по команде операционной системы и загрузочных областей диска.

На сегодняшний день троянцы семейства Trojan.PWS.Ibank не предпринимают никаких деструктивных действий в отношении программного комплекса SAP, но проверяют факт его наличия в инфицированной системе и пытаются встроиться в соответствующий процесс, если он запущен в Windows. Вполне возможно, что таким образом вирусописатели создают для себя некий «задел на будущее». Более подробную информацию об этой угрозе вы можете прочитать в обзорной статье на сайте компании «Доктор Веб».

Угрозы для Android

В ноябре специалистами компании «Доктор Веб» было зафиксировано увеличение числа троянцев-шпионов, крадущих конфиденциальную информацию у пользователей мобильных устройств. Так, в течение месяца вирусные базы пополнились записями для нескольких новых модификаций вредоносных программ семейств Android.Spy, Android.SmsSpy и Android.Tempur, предназначенных для перехвата СМС-сообщений и получения других персональных сведений. Подобные троянцы представляют опасность не только тем, что способны передавать злоумышленникам информацию об СМС-переписке пользователей, но также позволяют им получить доступ к банковским счетам и операциям с кредитными картами жертв, т. к. среди перехватываемых сообщений могут содержаться СМС с одноразовыми mTAN-кодами и аутентификационными данными, необходимыми для авторизации в системах банк-клиент.

География распространения таких вредоносных программ в настоящее время охватывает многие страны, однако немалая их доля сосредоточена в Южной Корее. Примечательно, что для данного региона наиболее популярным методом доставки мобильных троянцев является использование нежелательных СМС-сообщений, содержащих ссылку на загрузку вредоносного приложения. За прошедший месяц специалистами компании «Доктор Веб» было выявлено более ста случаев применения подобных рассылок. Ниже представлена диаграмма с информацией о процентном распределении Android-угроз, распространявшихся в ноябре среди южнокорейских пользователей при помощи СМС-спама.

В минувшем месяце без внимания киберпреступников не остались и китайские пользователи Android: в ноябре специалистами компании «Доктор Веб» был обнаружен новый представитель известного семейства вредоносных программ Android.SmsSend, добавленный в вирусную базу под именем Android.SmsSend.946.origin. Данный троянец распространялся на различных китайских веб-сайтах, содержащих ПО для операционной системы Android. С целью увеличения вероятности успешной загрузки вредоносной программы злоумышленники применили широко распространенный для китайского киберпреступного рынка метод, а именно – внедрили троянца в несколько популярных игровых приложений. Попадая на мобильное устройство жертвы, Android.SmsSend.946.origin незаметно для нее может выполнить отправку премиум-сообщений, тем самым подписывая владельца инфицированного устройства на нежелательные услуги.

Прочие угрозы ноября

В середине месяца специалистами компании «Доктор Веб» были выявлены многочисленные случаи распространения вредоносной программы Trojan.Hiloti с использованием взломанных веб-сайтов. Данная угроза предназначена для подмены на компьютере жертвы поисковой выдачи. Злоумышленники предлагают распространителям достаточно простую схему работы:

1 — Заказчик заключает с партнерской программой соглашение о продвижении ссылок. 2 — Партнерская программа передает вредоносное ПО распространителям, которые размещают его на сайтах. 3 — При посещении сайтов распространителей вредоносного ПО инфицируется компьютер жертвы. 4 — При обращении к ресурсам поисковых систем жертва переходит по ссылкам, демонстрируемым в окне бразуера вредоносным ПО, информация об этом передается партнерской программе. 5 — Заказчик оплачивает партнерской программе переходы по ссылкам. 6 — Часть этих средств поступает распространителям вредоносного ПО.

Загрузка троянца на компьютеры потенциальных жертв осуществляется с использованием уязвимостей CVE-2012-4969, CVE-2013-2472, CVE-2013-2465 и CVE-2013-2551, а также методов социальной инженерии. Более подробные сведения о данном инциденте вы можете почерпнуть в опубликованном нами информационном материале.

Также в ноябре была зафиксирована массовая Skype-рассылка, с помощью которой злоумышленники распространяли банковского троянца семейства BackDoor.Caphaw. Рассылаемые пользователям сообщения включали в себя ссылку на архив с именем invoice_ХХХХХ.pdf.exe.zip (где ХХХХХ — произвольный набор цифр). В свою очередь, архив содержал исполняемый файл, представляющий собой троянскую программу BackDoor.Caphaw.

Вредоносные программы семейства BackDoor.Caphaw обладают достаточно обширным функционалом и представляют для своих жертв серьезную опасность. Подробное описание этой угрозы и способов борьбы с ней представлено в соответствующей статье, опубликованной на сайте компании «Доктор Веб».

В погоне за наживой киберпреступники обычно не останавливаются ни перед чем, стараясь всеми возможными способами ввести потенциальных жертв в заблуждение и заставить их установить на свои компьютеры вредоносные программы. Именно так поступают распространители троянца Trojan.Lyrics, предназначенного для демонстрации в окне браузера навязчивой рекламы.

С помощью этой программы меломаны якобы получат возможность воспроизвести любую композицию, размещенную на YouTube, с одновременным просмотром ее текста в виде титров, т. е. превратить просмотр видеоклипов в своеобразное караоке. Предложение скачать данную программу злоумышленники размещают на различных торрент-трекерах, музыкальных сайтах, или на страницах социальных сетей. Trojan.Lyrics можно скачать и с нескольких официальных сайтов разработчиков троянца, но чаще эта программа скрытно устанавливается на компьютер вместе со свободным программным обеспечением, загруженным из Интернета. В последнее время зафиксировано значительное увеличение числа случаев заражения этой вредоносной программой. О способах противодействия данной угрозе читайте в опубликованном на сайте drweb.com информационном материале.

Вредоносные файлы, обнаруженные в почтовом трафике в ноябре

01.11.2013 00:00 - 30.11.2013 23:00
1	Trojan.DownLoad3.28161	1.59%
2	Trojan.DownLoad3.30075	0.92%
3	Trojan.DownLoader9.22851	0.84%
4	Trojan.DownLoader10.50838	0.63%
5	Trojan.PWS.Panda.4795	0.57%
6	BackDoor.Maxplus.13093	0.54%
7	BackDoor.Maxplus.13104	0.52%
8	BackDoor.Maxplus.13201	0.50%
9	Trojan.Packed.25001	0.49%
10	Trojan.PWS.Panda.547	0.47%
11	Trojan.PWS.Panda.2401	0.47%
12	BackDoor.Maxplus.13177	0.45%
13	Trojan.Oficla.zip	0.42%
14	Win32.HLLM.MyDoom.33808	0.42%
15	Trojan.DownLoad.64687	0.39%
16	Trojan.DownLoad.64697	0.39%
17	Trojan.Winlock.8811	0.37%
18	Trojan.PWS.Multi.911	0.37%
19	Trojan.Inject.64578	0.36%
20	Trojan.Fraudster.517	0.36%

Вредоносные файлы, обнаруженные в ноябре на компьютерах пользователей

01.11.2013 00:00 - 30.11.2013 23:00
1	Trojan.Fraudster.524	0.60%
2	Trojan.LoadMoney.225	0.52%
3	BackDoor.PHP.Shell.6	0.48%
4	Trojan.InstallMonster.38	0.45%
5	Trojan.Fraudster.589	0.45%
6	Trojan.Fraudster.502	0.45%
7	BackDoor.IRC.NgrBot.42	0.38%
8	Trojan.InstallMonster.28	0.36%
9	Trojan.LoadMoney.188	0.36%
10	Trojan.Packed.24524	0.34%
11	Trojan.LoadMoney.227	0.31%
12	Win32.HLLW.Shadow	0.29%
13	Trojan.LoadMoney.1	0.26%
14	Trojan.Fraudster.430	0.25%
15	Trojan.MulDrop4.25343	0.25%
16	Win32.HLLW.Autoruner.59834	0.25%
17	Trojan.LoadMoney.224	0.24%
18	Trojan.Hosts.6838	0.23%
19	Trojan.Packed.24814	0.23%
20	Trojan.SMSSend.4196	0.21%

KMM поделился ссылкой

Hacking Identity Theft: Entry points, tools and prevention

 

Identity theft has been around as long as there has been identity.  Long before the age of computers, people specialized in the art of forgery, to pose as others and to use their assets to their advantage.

Identity Theft: Ways and means

Before computers and before what has become the ubiquitous connectivity of modern day life, information was much scarcer.  Identify thieves had to work a lot harder to uncover their victim’s details; however, once they found what they wanted it was often much easier than it is today to get away with the crime.

The emergence of large scale credit bureaus in 1970s marked a new era in identity theft.  These bureaus specialized in the collection of individuals’ financial information, and they quickly became targets for maleficent con-men looking for an easy score.  Primitive identify theft consisted of cold-calling such credit bureaus and conning customer service reps into giving away the essentials, like a person’s DOB and SSN.  Identity thieves could then use these credentials to log onto government databases and access financial activity records.

Before the Internet became what it is today, these records were about all identity thieves had to work with.  Such records were usually just a simple list of where a person held financial accounts, and nothing more.  Identity thieves had to use these records as leads, and contact the places where their victim banked directly, over the phone.  They’d then have to swindle their way past yet another customer service rep, and hope to get an account number – the prized payoff and score.

Today, all of this has changed.  Smooth talking con-men who could charm their way past yesterday’s customer service reps have been replaced by the modern day hacker, who instead manipulates the encrypted data of 1s and 0s.

Identity Theft: Today

Today, everything from your checking account to that party you went to last Friday night is located somewhere on the web.  It’s no longer just one governmentally controlled database accessible only to those who know your SSN.  If you spend any significant amount of time online, just about anyone who knows how to use Google can probably find out where you live and what you do for a living in a matter of minutes.  And for a motivated hacker, this is more than enough of a lead.

Modern day identity theft works on the premise that “the thing” one wants to steal is located on the target’s personal computer.  This “thing” is usually a collection of passwords and records that will allow further access to personal financial accounts.

Technical details aside, what modern day identity theft boils down to is placing a malicious program onto a victim’s computer that will allow the hacker free reign to all of their files.  For even moderately competent hackers, creation of such a program is quite simple.

Identity Theft: Tools

There are a number of programs a hacker can use to get what they want from your computer, and while identity theft protection is far from dependent on a technical understanding of these tools, it can useful to be acquainted with them.

Log keystrokes

A log keystrokes program is exactly what it sounds like – a program that records what you’re typing and shows it to the hacker.  Log keystrokes programs are usually used to discover passwords to financial accounts, but they can also be leveraged to monitor a target’s online communications.

Brute Force password hacking

Many hackers have the formulation of passwords down to a science and can simply figure out your password through a series of educated guesses or through the use of an algorithm.  The unfortunate reality of password security is that it usually isn’t that secure.  Most people reuse their passwords, and most of these passwords are relatively easy to guess.

Let’s say for example that you were born in 1960 and that you have a pet dog named Sarge, so you decide to make your password Sarge1960.  Let’s say that you also have a Facebook account that lists your birthday and features tagged photos of you and Sarge.  Any hacker with a pulse and the inclination is going to figure you out.

Backdoor access

If a hacker wants to get into your computer to steal passwords or files or to remotely monitor your activity, they can install a “backdoor” entryway.  Backdoor programs exploit weaknesses in your network security and allow the hacker to come and go as they please, without your knowledge or permission.

Many backdoor entryways are created when unsuspecting computer users download “Trojan Horses,” which are programs designed to look like useful software that actually establish backdoor entries behind the scenes.  Trojans are just one of multiple ways a hacker can get into your system, though.  As we will see, there are actually numerous routes of access, many of which are easy to overlook, and all of which would make the con-men of yesterday proud.

Identity Theft: Infiltration

Today’s identity thieves are armed with many forms of software and computerized tools, but these tools are absolutely useless unless they are installed on your computer.  Accordingly, determined hackers have been known to go to great lengths to get their malware on their victims’ computers.

Physical implantation

Though not the most creative method, physical implantation is tried and true and extremely effective.  If a hacker really wants to establish a backdoor entry or a log keystrokes program on your computer, they can simply break into your home and install the file while you are away.

Attacking your wireless network

Hackers can camp outside your home and attempt to identify your wireless network.  If you have a Wireless Protected Setup (WPS), breaking in is surprisingly easy.  Once inside your network, hackers can pretty much do whatever they want.  This includes stealing your sensitive information right then and there, establishing a backdoor entryway, or simply implanting any other type of virus they’d like.

Fooling you onto their network

Hackers often fool their targets into logging onto wireless networks in public places.  For example, a hacker could wait for their target at a coffee shop, set up a network called “Coffee Shop’s Free Wi-Fi,” and thereby dupe the target into logging on.  Once the connection is made, the hacker may be able to monitor what you are doing online, view your computer’s files, or implant a virus.

Malicious Email

In I challenged hackers to investigate me and what they found out is chilling, gonzo journalist Adam Penenberg challenges 3 white hat hackers to steal his digital life.   The hackers ultimately succeeded, and they did so through means of malicious email.

By now, even the most inexperienced of computer users knows full well not to open phishy sounding email from a mysterious stranger with an offer that’s just too good to be true – but hackers know this, and have creative ways of working around it.

In Penenberg’s case, the hackers leveraged the fact that the journalist’s wife ran her own Pilates studio.  They then posed as a young woman applying for a job as an instructor.  They went as far as finding a real woman online and using linkage to her social media profiles to craft a convincing ruse.  In their “email application,” they included a “video resume” attachment.  Penenberg’s wife ended up opening this attachment on her laptop, and from there the hackers had a field day.

Malicious Websites

Hackers can also get what they want from you by creating malicious websites.  Links to such websites can be supplied to their targets in any number of ways.  For example, a hacker could pose as person with interests similar to your own, and post a friendly invitation to visit their “blog” on your social media profile.  The “blog” would actually be a phishing site or a means of getting you to download malware.

A malicious website could also use the Trojan horse technique, and pose as a site that’s offering free software.  The software could be advertised as anything useful, such as a PC tuner or even an antivirus system.  While running, the software would indeed appear to be what it had been advertised as, however, in reality, this appearance would actually be masking some sort of virus, such as a key logger or backdoor.

Malicious Hardware

Believe it or not, one of the most creative and seemingly innocuous approaches to identity theft infiltration is through malicious hardware, such as an infected flash drive.  This method is mostly used when identity thieves have a specific target in mind.  If a hacker has done their research and found out where you live or work, they can simply load their malware onto a flash drive and drop it somewhere where you are likely to find it, in the hope that curiosity will kill the cat and you’ll plug the drive into your computer.  If that doesn’t work, they could simply go to where you work, and wait for the right opportunity to “borrow your printer” on the pretense that they need to “print out a resume” for a job interview.

Depending on the type of job you have, this may or may not work, but a determined identity thief seeking a means of infiltration is limited only by the nefariousness of their imagination.

Identity theft: Prevention

While the means of identity theft have most certainly changed, the essence of approach is fundamentally the same and probably will be forever.  Silver-tongued con men and maleficent hackers both rely on establishing a pretense and fooling their targets into giving away their personal information.

The truth is that if a hacker wants into your life bad enough, they will probably find a way in.  Hackers are highly intelligent, and sometimes a bit crazy.  Fortunately, however, most individuals don’t have enemies of this nature.  More often, hackers target corporations over individuals, because the larger size allows for more modes of entry and a greater degree of anonymity.

No one is completely immune to identity theft, though, and in addition to well-designed antivirus software there are many common sense measures that all basic computer users should put into place.

Familiarity with the tools and means of modern day identity theft outlined above is a great start, but even those who know nothing about the world of hacking can protect themselves from identity theft with a healthy dose of skepticism.  If you’ve been around for a while, you can probably spot a con-man or a scam when you see one, and in the world of computers the warning signs and acts of pretense are in many ways the same.

As in day-to-day life, anything you’re unfamiliar with should be put under the strictest review before you open it with your computer.  Unfamiliar file extensions and phishy emails from strangers are best ignored.  Remember that Public Wi-Fi usage is Public.  And whatever you do, don’t create an excel sheet of all your passwords ever.  That’s just asking for identity theft, from just about anyone who can open a file and read.

 

Related Posts:

• Seriously? USA to legalize rootkits, spyware, ransomware and
• How many viruses are made by anti-virus companies?
• How to avoid losing your hard earned money to online…
• How to avoid losing your hard earned money to online…
• Come prevenire il furto dei tuoi risparmi dalle truffe…