Электронный журнал "Спамтест". Все о борьбе со спамом

Электронный журнал "Спамтест" No. 68 в этом номере: Новости Спам - статистика за неделю 13-19 сентября 2004 г. Письмо читателя Технология SPF и пересылки почты Читатели советуют Методы снижения числа ложных срабатываний спам-фильтров Олег Суслов Новости Symantec объявляет войну "фишингу" 13.09.2004 Новый сервис Symantec Online Fraud Management Solution должен защитить компании от растущей угрозы "фишинга". "Фишинг" использует спам-письма, чтобы перенаправить получателей на мошеннические сайты, маскирующиеся под коммерческие сайты солидных компаний. На них под благовидными предлогами у пользователей запрашиваются пароли, номера кредитных карт, информация о банковских счетах и т.п. Online Fraud Management Solution будет использовать глобальную сеть Symantec для исследования и выявления новых видов мошеннических писем. Для их сбора будут служить, в частности, специальные аккаунты-ловушки. Информация о выявленных письмах будет учитываться при фильтрации Norton AntiSpam и Norton Internet Security, которые будут автоматически получать обновления. Сервис также поможет компаниям пресечь онлайн-мошенничество, при котором мошенники используют добрую репутацию компаний для обмана доверчивых пользователей. Кроме того, Symantec обещает способствовать закрытию мошеннических сайтов, на которые будут отсылать "фишинг"-письма, присланные пользователями. По данным Антифишинговой рабочей группы (Anti-Phishing Working Group), каждый месяц число "фишинг"-атак возрастает в полтора раза, при этом в июне было идентифицировано 1400 уникальных атак. Источник: PC World (Yahoo) Интернет-мошенники использовали почтовый сервис Google для сбора адресов и паролей 15.09.2004 Пользователи почтового сервиса Gmail подверглись "фишинг"-атаке. Используя популярность Gmail, мошенники пытались заполучить адреса и пароли жертв. Пользователи Gmail стали получать письма с предложением бесплатно включить в число клиентов сервиса троих или даже шестерых друзей получателя письма. Для этого предлагалось всего лишь заполнить форму-подтверждение и переслать "сотрудникам Gmail" почтовый адрес и пароль, чтобы "благодетели" могли прислать приглашение. Эти письма пропускали антиспамовые фильтры, но тревогу забили получатели: информация о мошеннических уловках была опубликована на форуме и доске объявлений Gmail. Предполагают, что мошенники могут использовать адреса пользователей Gmail для рассылки спама. Однако от наивных получателей "счастливых писем" к ним попали и логины с паролями. Возможно, что их будут использовать для поиска конфиденциальной финансовой информации в почте жертв. Источник: CNET News.com Evolution 2.0: поддержка Novell Groupwise/Microsoft Exchange и защита от спама 16.09.2004 После длительной разработки была выпущена в свет новая версия почтового клиента Ximian Evolution - Evolution 2.0. Релиз был приурочен к выходу рабочей среды GNOME 2.8, ведь Evolution теперь официально входит в его состав. По мнению некоторых пользователей, Evolution 2.0 может составить конкуренцию Microsoft Outlook (обращаем Ваше внимание на отсутствие слова "Express"). В числе основных изменений: поддержка серверов Novell Groupwise и Microsoft Exchange, поддержка S/MIME, поддержка онлайн-календарей в формате Webcal, поддержка телеконференций Usenet, блокировка спама (с помощью SpamAssassin) и улучшенный пользовательский интерфейс. Источник: www.linuxcenter.ru AOL отказался от поддержки Sender ID 17.09.2004 America Online отказался от поддержки технологии Sender ID. Специалисты компании-провайдера обеспокоены техническими проблемами совместимости Sender ID с оригинальной спецификацией SPF. Кроме того, Sender ID не получила должной поддержки в отрасли и со стороны open source community. Решение последовало за дискуссией адвокатов open source и представителей Microsoft относительно проблем лицензирования, которая закончилась отказом Internet Engineering Task Force (IETF) принять Sender ID в качестве интернет-стандарта. В результате вместо одной технологии проверки подлинности отправителя провайдеры будут использовать две, до недавнего времени объединенные в один стандарт, и, по словам представителя Microsoft, идентичные в девяти из десяти случаев. Хотя точка зрения open source community, безусловно, важна для AOL, основной причиной отказа, по словам представителя провайдера, послужили проблемы совместимости оригинальной спецификации SPF с Sender ID в результате последних изменений протокола и масштабных изменений первоначального видения Sender ID. AOL первым из крупных ISP начал внедрение SPF в декабре 2003 года и намерен продолжить использование технологии. В настоящее время, по данным AOL, SPF поддерживают почтовые сервисы более чем 86000 доменов. Решение крупнейшего провайдера США уменьшило вероятность того, что индустрия объединится вокруг одного механизма аутентификации e-mail. Yahoo Inc. уже использует собственную технологию аутентификации Domain Keys. AOL обеспечит возможность проверять подлинность адресов своих клиентов с помощью Sender ID, но для проверки входящей почты будет использовать только SPF. В то же время AOL будет тестировать другие технологии аутентификации, в частности, Domain Keys. Источник: Internet News Источник: Reuters Охотники за спамерами, воодушевляйтесь! 17.09.2004 Федеральная торговая комиссия США (FTC) предложила вознаграждение за информацию о спамерах - от 100 до 250 тысяч долларов. По мнению членов комиссии, шестизначные суммы - единственный веский стимул для того, чтобы граждане передавали в компетентные органы сведения о своих знакомых, сослуживцах или друзьях, занимающихся незаконной рассылкой спама. Любопытно, что назначенное за спамеров вознаграждение больше, чем награда за "головы" преступников. Например, ФБР за информацию о местонахождении 10 самых опасных беглецов обещало $50000. Спамеры весьма хитроумны, умело прячутся и выследить их очень трудно, поэтому информация "изнутри" крайне необходима. Предполагается, что информаторами станут люди, достаточно близко знакомые со спамерами либо работающие с ними. Кроме того, весомый аргумент для участия в охоте на спамеров появился у технически подкованных граждан и организаций. Вознаграждение за предоставленную о спамерах информацию планируется выплачивать из правительственных фондов, созданных на деньги налогоплательщиков, поскольку штрафов, взимаемых со спамеров, на это не хватит. Преждевременной считает идею вознаграждения Direct Marketing Association, объединяющая специалистов по прямому и интерактивному маркетингу. Члены Direct Marketing Association полагают, что прежде чем "бросаться в подобную систему" было бы разумнее дать возможность подольше поработать правоохранительным органам и закону. Напомним, что антиспамовый закон - Can-Spam Act - вступил в силу в США в январе 2004 года. Конгресс поручил FTC изучить осуществимость системы материального поощрения в рамках Can-Spam Act. Источник: CBSNews.com Money, money, money 20.09.2004 По результатам исследования Symantec, ежедневно 30 тысяч персональных компьютеров становятся новыми составляющими сетей машин-"зомби", которые используются для рассылки спама и вирусов. Основной стимул такой активности - нажива. "Подростковый период" для хакеров, судя по всему, закончился. Желание славы сменило стремление к наживе. Нынешние создатели вирусов, чьи "творения" используют для создания и эксплуатации сетей послушных "зомби", предпочитают, чтобы их успехи до поры до времени оставались в тайне - и приносили немалый куш. Сеть из 20 тысяч "зомбированных" компьютеров можно использовать за 2-3 тысячи долларов США. Платят, как правило, спамеры. Наибольший интерес для "зомбирования" представляют машины, имеющие широкополосный выход в Интернет. Вирусы рассылаются с использованием спамерских технологий, а сети машин-"зомби" затем используются для рассылки спама, осуществления Dos-атак или воровства персональных данных. За первое полугодие 2004 г. среднее количество ежедневно заражаемых вирусами-"роботами" персональных компьютеров выросло с двух до 30 тысяч. Специалисты Symantec также отмечают возросшую угрозу такой формы интернет-мошенничества, как "фишинг", когда жертву перенаправляют на внешне абсолютно "невинные" сайты для кражи данных о кредитных картах и другой конфиденциальной информации. По данным отчета Symantec, большинство вирусных атак направлено на компьютеры, использующие операционную систему Windows: в первом полугодии 2004 года было зарегистрировано более 4496 новых вирусов и червей для этой системы. Самыми атакуемыми были сайты электронной коммерции - на них пришлось 16% всех атак. Это на 400% выше уровня первой половины прошлого года, когда данный показатель составил 4%. За первое полугодие было найдено 479 уязвимостей веб-приложений, или 39% от общего количества обнаруженных "дыр". По данным отчета, между обнаружением уязвимости и появлением использующего ее злонамеренного кода проходит в среднем 5,8 дней. Источник: Symantec Источник: CNews В Минсвязи назначен руководитель правового департамента 21.09.2004 Михаил Якушев возглавил правовой департамент Министерства информационных технологий и связи Российской Федерации. Ранее с января 2003 года г-н Якушев работал в "Майкрософт Рус", где он отвечал за взаимодействие корпорации с органами власти России и стран СНГ. В российском офисе Microsoft под его руководством был подготовлен и реализован ряд проектов по защите интеллектуальной собственности, борьбе со спамом и разработке законодательства в области использования Интернета как в России, так и на Украине и в Казахстане. В 1989 г. Михаил Якушев закончил факультет международного права МГИМО МИД по специальности юрист-международник. С 1989 года находился на дипломатической службе в Латинской Америке, работал юридическим советником различных предприятий в России и за рубежом. В 1999 году возглавил рабочую группу по юридическим вопросам Союза операторов сети Интернет. С 2002 года стал одним из организаторов Национальной коалиции против спама. Г-н Якушев является автором ряда законопроектов в области использования информационных технологий. "Михаил Якушев хорошо известен как профессиональным кругам юридической общественности, работающей в ИТ-отрасли, так более широкой аудитории интернет-рынка. В конце 90-х годов во многом благодаря ему был подготовлен альтернативный "Закон об Интернете". В результате попытки принятия проправительственного варианта законопроекта, содержавшего немало проблематичных положений, провалились", - рассказали в CNews Analytics, а также отметили, что "назначение такого компетентного специалиста, как Михаил Якушев, можно считать обнадеживающим шагом в политике Министерства. Он неоднократно высказывал мнение о том, что проблемы отечественного ИТ-рынка в первую очередь обусловлены противоречивым и, порой, запутанным законодательством, неоднократно предлагал конкретные инициативы по его совершенствованию". В пресс-службе Минсвязи сообщили, что решение о приеме на работу Михаила Якушева было принято еще в июне этого года. Преемником Михаила Якушева в ООО "Майкрософт Рус" стал Кирилл Смирнов. Источник: CNews Вторая национальная конференция "Проблема спама и её решения" До начала работы конференции осталось меньше месяца! Если Вы планировали участвовать, но еще не зарегистрировались, - поторопитесь. Конференция - это полезная и интересная информация, общение с ведущими специалистами, новые перспективные знакомства. С докладами на конференции выступят представители компаний Ашманов и Партнёры, Лаборатория Касперского, Mail.ru, Мастерхост, Поликом Про, Рамблер, РТКомм, Яндекс, DataFort, McAfee, Microsoft и др. Зарегистрироваться в качестве участника можно на сайте Спамтест. Спам - статистика за неделю 13 - 19 сентября 2004 г. Ашманов и Партнеры Объем спама Общий объем спама в почтовом трафике Рунета сохраняется в границах средних значений - от 75 до 85% на разных почтовых серверах. Схлынули предложения спамерских услуг, а это значит, что на какое-то время спамеры обеспечены клиентурой. Также уже вторую неделю идет плавное понижение предложений участвовать в семинарах, практических курсах и т.п. На смену этим двум тематикам идут предложения товаров/услуг зимнего ассортимента, в том числе и первые, пока слабые, потоки предложений новогодних сувениров (полгирафия, этикетки, календари, бизнес-сувениры и т.п.). Популярные тематики No Тематика Описание %% от общего объема Изменение за неделю 1 Для взрослых Средства для повышения потенции (виагра и пр.), а также для улучшения физических возможностей при занятих сексом 13% +5% 2 Образование Реклама семинаров, тренингов, курсов 10% -2% 3 "Здоровый образ жизни" и "Медикаменты" Предложения сбросить лишний вес, улучшить состояние кожи, волос; приобрести правильную осанку, купить биологические добавки и т.п. Предложения приобрести лекарства в online 9% -1% 4 Компьютеры и Интернет Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.) 7% Без изменений 5 Личные финансы Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма. 5% +2% 6 Отдых и путешествия Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий. 4% -1% 7 Услуги по электронной рекламе Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п. менее 2% -6% Самое массовое письмо недели Англ и йский с препод авателями из U. S. A. sd pmML eMHEwq EKngGKp Англи й ский с препод авателями из U. S. A. скидка 25% TORzdy тел {Phone Num} Москва Mql AlT Yu xo cQU nCWhYg FkfmbZMND oto AHFtN Самые оригинальные предложения Предложения "электронной крышки - биде" и шампанского с этикеткой, изготовленной по вашему дизайн-проекту, вы найдете на сайте Спамтест. Письмо читателя Комментарий читателя к статье Алексея Тутубалина "Технология SPF - внедрять или подождать?" Технология SPF и пересылки почты Здравствуйте! Хочу высказать ряд соображений по поводу технологии SPF, в частности, по поводу проблем, касающихся пересылки почты. На самом деле эта проблема не так серьезна, как Вы ее подаете. Просто на сегодня она решается не так, как следует. Изменять программное обеспечение пересыльщиков слишком трудоемко, да на самом деле и незачем. Вы очень верно заметили, что процент пересылаемой почты в общих потоках почты крайне низок, но в потоке почты отдельного пользователя может достигать 100 процентов. Соответственно, задачу по доставке пересылаемой почты следует переместить к конечному получателю. Для этого необходимо сделать только одно - на сервере, отвечающем за прием почты, разрешить каждому пользователю создавать свои собственные политики в отношении SPF. Допустим, я имею некий ящик на mail.ru, с которого идет пересылка на ящик на сервере моего провайдера. На сервере моего провайдера я должен применить правило, позволяющее принимать всю почту с серверов, соответствующих SPF-записям домена mail.ru, независимо от адреса отправителя. На самом деле такое правило вносит серьезную дыру в защиту, позволяя принимать с серверов mail.ru всю почту, а не только ту, которая идет по пересылке. Но тут уж следует просто взвесить все риски и выгоды. Естественно, предполагается, что на mail.ru перед пересылкой почта будет проверена по технологии SPF. Самое сложное в этой задаче - создать систему с индивидуальными настройками, но к этому в любом случае так или иначе придется идти. Другой вариант проблемы пересылки - использование резервных почтовых серверов. В этом случае может быть только одно решение - проверять почту именно на резервном сервере, а основной сервер должен просто принимать всю почту с резервного сервера без проверки. Если Вы не доверяете проверке на резервном сервере, то его не следует использовать. Понятно, что это не всегда получается, но тем не менее. С уважением, Юрий Решетников Читатели советуют Методы снижения числа ложных срабатываний спам-фильтров Олег Суслов Одним из важнейших критериев оценки качества фильтров, отвечающих за фильтрацию спама, является процент ложных срабатываний. В данной статье рассмотрены, в основном, фильтры, определяющие спам по формальным признакам, наличием которых характеризуется спам-письмо. Приоритеты фильтрации В общем случае фильтр работает следующим образом: по определенным алгоритмам на основе содержимого письма (естественно, включая все служебные заголовки) вычисляется некоторая сумма баллов, определяющая его "спамосодержание". Задается определенный порог, при превышении которого фильтр относит письмо к категории "спам", т.е. помечает его для конечного получателя как не рекомендованное к прочтению. Решение о том, что делать с подобным письмом, как правило, остается за получателем. Фильтр лишь добавляет определенный признак (обычно предупреждение в заголовке), по которому можно легко рассортировать почту автоматическими методами. С учетом возможности ложных срабатываний безапелляционное удаление письма, определенного как спам, представляется недопустимым и не может рекомендоваться в системах с критическим отношением к потере пользователем важной корреспонденции. Любой сложный алгоритм определения признаков, характерных для спама, осуществляет сотни и тысячи проверок. Обычно системе блокировки достаточно нескольких срабатываний на характерные для спама последовательности (для критических правил с большим весом - скажем, смешение букв русского и латинского алфавита в разных регистрах - достаточно и одного-двух). Очевидно, подобный алгоритм, основывающийся на вероятностных характеристиках, может давать сбои. Чаще всего следствием данного события будет отнесение письма к категории спам. В результате возможна потеря писем от новых абонентов, новых партнеров в бизнесе, новых знакомых и т.п. Это достаточно критично в определенных сферах, поскольку новый контакт, инициализация которого должна произойти с помощью электронной почты (например, новый поставщик присылает свой прайс-лист), не состоится, что ставит под сомнение все дальнейшие контакты. (Под угрозой именно новые контакты, поскольку абоненты, с которыми переписка ведется, должны быть занесены в "белые" списки, на которые правила фильтрации не распространяются.) В любом случае, на применяющихся в настоящее время системах спам-фильтров ложные срабатывания случаются. Процент их, как показывает практика, колеблется в пределах от 1 до 5 в зависимости от потока писем, характера получаемой по сети легальной почты, процента спама на ящике, жесткости настройки правил сортировки фильтра и даже самого понимания разницы между выражениями "спам" и "легальная почта". Хотя производители антиспамового программного обеспечения и заявляют о "почти полном отсутствии" ложных срабатываний, большую часть систем, где оно применяется, "почти" не устраивает. Налицо классический рычаг: опуская одну сторону, мы непременно поднимаем другую. Ужесточая правила фильтрации, мы увеличиваем число ложных срабатываний. Задача усложняется еще и тем, что способы рассылки спама постоянно совершенствуются. Полностью избавиться от ложных срабатываний, судя по всему, невозможно. Естественно, возникает желание хотя бы максимально уменьшить их число. Данная задача разнится с задачей, традиционно выполняемой спам-фильтрами. Задача классического фильтра - отфильтровать как можно больше, а потом уже подумать о ложных срабатываниях. В современных условиях, скорее, требуется не потерять важную корреспонденцию, а уж затем отфильтровать недобросовестную. Тактика борьбы с ложными срабатываниями Для снижения числа ложных срабатываний, на мой взгляд, целесообразно применять следующую тактику: Сначала использовать жесткий фильтр спама, пусть и дающий относительно большое количество ложных срабатываний, но отсеивающий самый хитроумный спам. Затем - обратный фильтр, компенсирующий ложные срабатывания на всем поле отфильтрованных писем. Таким образом, можно упростить задачу создания хорошего фильтра, разбив ее на две подзадачи. Рассмотрим, какие способы компенсации можно предложить: Белые списки. В особых комментариях это не нуждается. Белые списки применяются во всех без исключения системах. Нельзя не упомянуть данный пункт, поскольку потеря информации от известных получателей совершенно недопустима. Очевидно, проверка на попадание в список доверенных адресатов должна стоять до всех остальных алгоритмов, так как имеет самый высший приоритет и наименьшие потребности в вычислительных мощностях. Побочным эффектом введения подобных списков будет то, что, подставив обратный адрес, можно с определенной долей вероятности попасть в область доверенных адресов получателя. В этом контексте остается только догадываться, почему спамеры до сих пор не прибегают к способу подстановки обратных адресов по схеме: что_нибудь@домен_получателя. Учет служебной информации о прохождении через промежуточные узлы со спам-фильтрами. В настоящее время многие провайдеры уже имеют опыт внедрения антиспамового программного обеспечения на своих площадках, что позволяет ограничить поток спама для конечного пользователя. Здесь более всего стоит обратить внимание на возможности доверия такой информации. Теоретически можно прогнозировать, что в будущем спамеры начнут подделывать и отметки об успешном прохождении письма через известные спам-фильтры и не делают этого до сих пор потому, что данная технология широко не применяется при фильтрации. Проверка на принадлежность к спискам, обратным RBL (черные списки ip-адресов), назовем их RWL. Хотя к настоящему моменту таких списков не существует, предлагается заносить в них диапазоны адресов провайдеров, добросовестно относящихся к борьбе с "зомбированными" компьютерами. Вероятность рассылки с ip-адресов, принадлежащих данным спискам, значительно ниже. Как следствие, вероятность получения спама с этих адресов также ниже. Однако, если данное решение и найдет место, для его внедрения потребуется значительное время. Байесовские фильтры, проверяющие текст письма на соответствие легальной корреспонденции (полные слова родного языка получателя, полные предложения, наличие имени получателя, названия организации и прочее). Подобные фильтры должны легко настраиваться и, по возможности, не только путем формального описания, но и по стандартной схеме - реакции получателя спам/не спам. Хотя байесовские фильтры в настоящее время распространены достаточно широко, разделение задачи описанным методом упростит работу создателей и администраторов. С точки зрения спамера, потребуется уменьшать количество мусорных слов, сохранять удобочитаемость писем, повышать качество собственных баз адресов, узнавать реальные имена владельцев, их род занятий и места работы, то есть перемещаться из области спама в сторону более легальных рекламных рассылок. Проблема спама: взгляд в будущее В заключение надо сказать, что, по всей видимости, борьба между антиспамерскими силами и спамерами может быть достаточно долгой на пространстве применяемого в настоящий момент протокола SMTP. Несмотря на то, что спам существует уже более 7 лет - по меркам информационных технологий достаточно большой срок - окончательной победы одной или другой стороны не предвидится. Методы, применяемые в современных спам-фильтрах, заставляют спамеров эволюционировать, развиваться, придумывать и реализовывать новые технологии, потребности в которых раннее не существовало. Вспомним хотя бы объединение вирусописателей и спамеров, которое привело к созданию базы прокси-серверов зомбированных машин, эксплуатирующихся в целях почтовых рассылок. Обратной дороги нет, усилие порождает сопротивление, и уже существуют мощные группировки спамеров, среди которых, несомненно, есть талантливые личности, которые будут порождать миллиарды спам-писем в будущем. Бороться с ними техническими методами достаточно эффективно возможно, однако, думается, в перспективе нужно искать что-то иное. Без сомнения радует работа с законодательством РФ с целью официально поставить спамера вне закона. Но борьба со спамом юридическими методами при современной технической базе не может быть эффективной. Решение видится только в объединении усилий обеих сторон: технических специалистов и юристов. Причем с технической стороны должны быть предприняты шаги не только по фильтрации в современном понятии контента входящих почтовых сообщений, но и по внедрению либо новых протоколов, позволяющих искоренить рассматриваемую проблему, либо доработки существующего и добавления ему требуемых свойств. Внедрение нового протокола достаточно сложная процедура в Интернет, так как это структура централизовано не управляемая и имеющая определенную инерционность к протоколу SMTP, по которому работает многие годы. Должен найтись посредник между миром open source и коммерческими организациями, в первую очередь, конечно, Microsoft, которому обе стороны доверяют, и который сможет предложить волевое решение по переходу от открытого протокола к протоколу нового поколения. Очевидно, на время переходного периода возникнет масса трудностей из-за отсутствия связанности между теми, кто уже перешел на новый протокол, и теми, кто продолжает эксплуатировать старый. В любом случае, когда ситуация достигнет точки кипения, Интернет потеряет часть свойств открытости и доступности, полученных при рождении, ради того, чтобы побороть одно из главных своих зол. Со всем этим придется столкнуться в ближайшем будущем, поскольку победа одной стороны - спама - невозможна с точки зрения целесообразности пользования электронной почтой в целом, а победа антиспама невозможна в виду затронутых здесь технических проблем.   Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) ЗАО "Ашманов и Партнеры", 2003-2004