Электронный журнал "Спамтест". Все о борьбе со спамом

Электронный журнал "Спамтест" No. 74 в этом номере: Новости Спам - статистика за неделю 01 - 07 ноября 2004 г. О некоторых технологиях, реализованных в антиспамовых продуктах компаний Sybari и Sophos Сергей Антимонов, председатель совета директоров ЗАО "ДиалогНаука" Новости America Online призывает ISP жестче бороться со спамом и грозит черными списками 02.11.2004 На конференции североамериканских сетевых операторов (NANOG) представитель AOL Чарльз Стайлз (Charles Stiles) заявил, что почтовые серверы ISP, терпимо относящиеся к спаму, должны изменить свою тактику. В противном случае они попадут в черные списки AOL. Выступление Стайла было необычно агрессивным для конференции, где принят академический стиль общения. Стайл положительно отозвался о провайдерах, которые заблокировали 25-й порт, поскольку эта мера в свое время позволяла снизить объемы спама, рассылаемого из сети. Однако Стайл привел данные, согласно которым сейчас большинство спамовых рассылок осуществляется непосредственно с почтовых серверов ISP. Поскольку доступ к 25-му порту блокирован, черви, которые рассылают львиную долю спама, изменили тактику, и рассылки проходят через собственные почтовые серверы различных провайдеров. Стайл считает, что провайдеры должны не только блокировать 25-й порт, но и использовать антиспамовые технологии для фильтрации как входящей, так и исходящей почты, вводить ограничения объемов исходящей корреспонденции и, что наиболее важно по мнению Стайла, реализовать SMTP-аутентификацию всех своих пользователей. Говоря о технологиях аутентификации, Стайл подчеркнул, что, хотя AOL поддерживает SPF и Sender ID, сами по себе эти технологии не остановят спам, приходящий с почтовых серверов других ISP, поскольку большинство троянских программ рассылают спам с адекватным адресом домена локального ISP в качестве обратного. Стайл также объявил, что AOL в ближайшем будущем начнет использовать опубликованные записи SPF как основу для своих белых списков, и призвал всех провайдеров немедленно опубликовать такие записи. Судя по выступлению представителя AOL, сегодня провайдеры стоят перед необходимостью применения более сложной тактики в борьбе со спамом. AOL, похоже, настроен весьма серьезно, и те из ISP, которые не поторопятся ввести достаточно агрессивные антиспамовые системы защиты, действительно рискуют в ближайшем будущем оказаться в черных списках крупнейшего провайдера северной Америки. Источник: CircleID Суд Виржинии приговорил спамера к 9 годам тюремного заключения 04.11.2004 Первый в истории США уголовный процесс по делу спамеров закончился тем, что обвиняемый Джереми Джейнс (Jeremy Jaynes) был признан виновным: присяжные рекомендовали приговорить его к 9 годам лишения свободы. Организация Spamhaus не случайно внесла Джейнса в число восьми самых активных спамеров мира. За все время своей незаконной деятельности Джейнс разослал миллионы спамовых писем с фальшивыми обратными адресами. Только за 30 дней в июле и августе 2003 года он отправил около 100 тыс. писем. Кроме того, Джейнса уличили в мошенничестве. В частности, он рассылал рекламу некой программы FedEx refund processor, которая якобы позволяла зарабатывать 75 долларов в час, не выходя из дома. Вероятно, на судей произвел впечатление и тот факт, что Джейнс неплохо нажился на своих рассылках: например, за фиктивную программу, которая стоила пользователям $39.95, деньги умельцу перевели 10000 человек. Всего же мошенник выманил у доверчивых получателей более 24 миллионов долларов. Джейнса арестовали в декабре прошлого года. Первоначально обвинители просили судей определить Джейнсу меру наказания в 15 лет тюремного заключения, однако стараниями адвокатов срок заключения был уменьшен до девяти лет. В ходе разбирательства выяснилось, что сестра Джейнса, Джесика ДеГурт(Jessica DeGroot), хоть и способствовала незаконной деятельности брата, но играла второстепенную роль. Она отделалась штрафом в размере 7,5 тысяч долларов. Третий обвиняемый, Ричард Рутковски (Richard Rutkowski), был оправдан. Суд планирует вынести приговор Джейнсу и ДеГрут в феврале 2005 года. Антиспамовые законы штата Вирджинии считаются самыми суровыми в США, так что ближайшие 9 лет 30-летний спамер, скорее всего, проведет в тюрьме. Источник: BBC В Латвии запретили спам 05.11.2004 Распространение коммерческих электронных писем и рекламы без специального разрешения властей в Латвии отныне запрещено. Соответствующее положение было внесено парламентом Латвии в национальный закон о предоставлении интернет-услуг. Как пишет сегодня газета Dienas Bizness, новый нормативный акт запрещает посылать коммерческие сообщения по электронной почте тем адресатам, от которых ранее не было получено согласие на получение такой рекламы. По мнению разработчиков закона, эта норма защитит интересы пользователей Интернета, а также предотвратит перегрузку почтовых ящиков. В законе дано определение коммерческих сообщений. Под ними понимают рекламирование товаров и услуг, в котором ясно указан отправитель, в точности сформулированы предложение, скидки, премии, награды, лотереи и т.п. Надзор за выполнением требований закона возложен на Центр по защите прав потребителей и другие компетентные инстанции Латвии. Источник: Росбалт Жадность спамера сгубила. И жертву, попавшуюся на удочку мошенников 08.11.2004 Житель Сиднея приговорен к 5 годам лишения свободы за рассылку 'нигерийских писем'. Однако жертвы мошенников не всегда оказываются столь уж невинными. Так называемые 'нигерийские письма' знакомы пользователям электронной почты всего мира. Однако мошенничество - оно и в Австралии мошенничество, и отношение законов цивилизованных стран к нему соответствующее. На личном опыте в этом смог убедиться житель Сиднея Ник Маринелли (Nick Marinellis), приговоренный к 5 годам лишения свободы за рассылку 'нигерийского' спама. Содержание 'нигерийских писем', по сути, мало чем отличается. Авторы посланий, как правило, представляются как люди, которым необходим доступ к банковским счетам, чтобы перевести приличные деньги из охваченной беспорядками страны - например, Нигерии, которая упоминалась в первых письмах и до сих пор фигурирует в большинстве из них. Иногда мошенники проявляют неожиданно творческий подход: в России, например, были замечены письма, эксплуатирующие ситуацию заключения под стражу Ходорковского. Получателю письма предлагается поучаствовать в качестве посредника в процессе спасения миллионов и за услуги получить некий процент, который составляет изрядную сумму денег. Очевидно, что дело требует предварительных расходов, которые с лихвой окупятся в случае успеха. Хотя 'нигерийская' схема выманивания денег хорошо известна, люди, попадающиеся на удочку мошенников, тем не менее, находятся. Нику Маринелли удалось заполучить таким образом 5 миллионов австралийских долларов (3,8 миллионов долларов США). Между тем за легкой наживой могут погнаться и не самые невинные жертвы. В той же Австралии некий господин Стрит (Street) так увлекся перспективами быстрого обогащения, что ради выполнения предписаний типичного 'нигерийского письма' (единственное отличие состоит в том, что получил он его по факсу) и обещанных 65 миллионов долларов под различными благовидными предлогами использовал более миллиона австралийских долларов клиентов своей компании. В результате он лишился не только репутации, но и свободы - на 5 лет и 3 месяца. Источник: Associated Press Источник: ZDNet Australia Персональный заслон для спама от DeSofto 09.11.2004 Компания DeSofto предлагает SpamFilter - программу антиспамовой защиты для частного пользователя. SpamFilter, работая с присылаемой пользователю почтой, анализирует каждое письмо и присваивает письму определенный рейтинг 'нормальности', который выражается в процентах. Вся работа с программой для пользователя сводится к управлению функциями программы по отношению к этому рейтингу. SpamFilter требует некоторого первичного периода времени на обучение, продолжительность которого зависит от объема приходящего пользователю спама. Разработчики рекомендуют включать функцию удаления спама на сервере после обучения программы на примере примерно 200 спамерских писем. В программе реализовано 2 метода проверки писем и 4 уровня анализа письма. SpamFilter осуществляет двухуровневую проверку - сначала "на сервере" (по заголовку письма и по спискам), потом, если письмо классифицируется как "условно нормальное", оно скачивается и по встроенным алгоритмам проверяется его содержимое. Автоматический "белый список" формируется из писем, прошедших все тесты на спам. При следующем приеме почты письма с этого адреса будут пропускать проверку на стороне сервера. Однако проверка на стороне клиента все равно проводится, и в случае подозрительного письма запись из этого списка сразу же удаляется. По оценкам Softkey.info, SpamFilter функции защиты выполняет на четверку с очень большим плюсом, экономит трафик пользователя, не тормозит работу почтового клиента. Есть у программы на сегодня и недостатки: юзабилити недостаточно продумано, отсутствует файл помощи. Но эти недостатки из легкоустранимых Источник: Softkey.info Российская новинка: троян рассылает SMS-спам на мобильные телефоны 09.11.2004 Троян Delf-HA после заражения компьютера рассылает SMS-спам на мобильные телефоны. Троян контактирует с веб-сайтами российских сотовых операторов и использует опцию 'Send e-mail', чтобы обеспечить доставку сообщения с инфицированной машины. Спам рассылается на случайным образом сгенерированные номера, начинающиеся с +7921 или +7911. Содержание спам-SMS, судя по всему, варьируется. В частности, один из вариантов предлагает MP3-файлы с российского сайта. Хотя Delf-HA атакует только телефоны российских операторов, эксперты компании Sophos, обнаружившей вредоносную программу, опасаются, что аналогичная технология может быть использована и для рассылки SMS-спама клиентам операторов мобильной связи и в других странах. Хотя SMS-спам не является новинкой, до сих пор его объемы остаются сравнительно небольшими. Появление Delf-HA - судя по всему, детища российских умельцев, - может привести к изменению ситуации в худшую сторону. Источник: PC World Spamtest.ru - обновленный сайт, новые возможности 09.11.2004 Обновился сайт Спамтест (www.spamtest.ru). Мы надеемся, что он порадует посетителей не только новым дизайном, но и новыми возможностями для профессионалов, борющихся со спамом, клиентов сервиса Спамтест, и тех, кого интересует проблема спама. Изменена структура и дизайн сайта. Среди нововведений: Страница "Техническая поддержка", которая содержит, помимо прочего, FAQ и форумы, где можно задать интересующий вопрос разработчикам либо просмотреть уже заданные вопросы. Страница "Записки антиспамеров" - blog, который ведут специалисты компании "Ашманов и Партнеры". Можно поучаствовать в обсуждении. Рубрикатор статей, опубликованных на сайте. Теперь статью по интересующей тематике легко найти в соответствующей рубрике или с помощью поиска. Поиск. RSS-экспорт. Замечания и пожелания относительно новой версии сайта приветствуются Источник: "Ашманов и Партнеры" Спам - статистика за неделю 1 - 7 ноября 2004 г. Ашманов и Партнеры Объем спама Прошлая неделя была отмечена массированной рассылкой подделок под сообщения банка CityBank. В сообщениях предлагалось заполнить on-line форму и указать в ней логины и пароли банковского аккаунта. Причем проделать все это пользователи должны были "в целях усиления собственной безопасности". Естественно, все логины и пароли, введенные в подобную форму, немедленно отправляются в архив мошенников, которые попытаются использовать их для снятия денег с чужого счета. По-прежнему высоким остается уровень спама тематики "Отдых и Путешествия" - в основном, это предложения по организации корпоративных новогодних вечеринок, туры на Новый год и т.п. Популярные тематики No Тематика Описание %% от общего объема Изменение за неделю 1 Для взрослых Средства для повышения потенции (виагра и пр.), а также для улучшения физических возможностей при занятих сексом 18% +5% 2 "Здоровый образ жизни" и "Медикаменты" Предложения сбросить лишний вес, улучшить состояние кожи, волос; приобрести правильную осанку, купить биологические добавки и т.п. Предложения приобрести лекарства в online 14% Без изменений 3 Компьютеры и Интернет Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.) 11% +1% 4 Образование Реклама семинаров, тренингов, курсов 10% -2% 5 Личные финансы Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма. 9% -1% 6 Отдых и путешествия Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий. 9% Без изменений 7 Услуги по электронной рекламе Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п. 2% Без изменений Самые массовые письма недели Самым массовым на прошедшей неделе было письмо Плотерная резка!!! Шелкография!!! Тиснение!!! Тампопечать!!! Самые оригинальные предложения На этой неделе спам расширил наш кругозор предложением музыки здоровья, способной избавить от всех хворей, под соответствующим названием Прорыв в области науки. Еще одно письмо - Заказ сочинения - возрождает принцип "ты мне - я тебе". Автор обещает расплатиться за сочинение бартером и сделать взамен "красивый сайт", да еще и раскрутить его в Интернете. Письмо написано от имени школьника, соответственно, сочинение "должно быть написанно так чтобы казалось, что его писал школьник". Эти письма вы найдете на сайте Спамтест. О некоторых технологиях, реализованных в антиспамовых продуктах компаний Sybari и Sophos Сергей Антимонов, председатель совета директоров ЗАО "ДиалогНаука" Технология Recurrent Pattern Detection, основанная на методах распознавания образов, выявляет спамерские рассылки независимо от языка, кодировки и формата писем. Автоматическое (и в режиме реального времени) обновление спамовых сигнатур позволяет блокировать новые спам-рассылки на первых же минутах их появления. Если до 2002 года о проблеме спама знали только провайдеры почты, то сейчас спам активно "достает" и IT-службы компаний, и простых пользователей электронной почты. Компания mi2g прогнозирует, что в 2004 году суммы общемирового ущерба как от вирусов (червей и троянов), так и от спама будут равны одной и той же величине 200 млрд. долларов, т.е. совокупный ущерб от вирусов и спама в этом году будет равен 400 млрд. долларов. Если учесть, что в мире большинство пользователей электронной почты работают на компьютерах с операционной системой семейства Windows (всего таких 600 млн. шт.), то выходит, что на один Windows-компьютер в среднем "падает" совокупный годовой ущерб от вирусов и спама в размере 667 долл. Следовательно, для компании, где используется 100 компьютеров, получаем годовой ущерб около 67 тыс. долларов. Годовая же подписка на антивирусную и антиспамовую защиту для 100 компьютеров стоит на порядок меньше. Развернувшуюся за эти годы борьбу "спам-антиспам" (точно так же, как и борьбу "вирус-антивирус") характеризует все более возрастающий накал противостояния разных средств защиты и нападения ("брони и снаряда"). Спамеры находят все новые и новые уловки для того, чтобы "просочиться" через разнообразные антиспамовые фильтры. Антиспамовые продукты становятся все более комплексными, включающими разные решения и методы. В рамках комплексного подхода, если какой-то антиспамовый метод пропускает совершенно новую спам-атаку, есть надежда, что ее "засечет" и остановит другой метод. Аналогичная ситуация наблюдается также и в родственной антивирусной области, когда для повышения надежности антивирусной защиты корпоративной сети в целом рекомендуют использовать антивирусы разных производителей на разных уровнях сети. Так, к примеру, компания Microsoft в документе "Руководство по глубоко эшелонированной антивирусной обороне" (см. [1], стр. 31) советует: "использовать антивирусы разных вендоров для защиты клиентских компьютеров, серверов и периметра корпоративной сети. Так обеспечивается последовательное сканирование файлов разными антивирусными ядрами на разных уровнях инфраструктуры сети, что уменьшает общий риск вирусного заражения, даже если какой-то антивирус и пропустит новый вирус". Похожую многоядерную антивирусную стратегию реализовала и компания Sybari в своих антивирусных продуктах семейства Antigen для серверов Microsoft Exchange и Lotus Domino, шлюзов Microsoft SMTP Gateways, серверов документов Microsoft SharePoint и др. В базовую поставку продуктов Antigen всегда входят 4 антивирусных "ядра" ("движка") - Sophos (Англия), Computer Associates Vet (Австралия), Norman Data Defence (Швеция) и Computer Associates Inoculate (Израиль). Дополнительно за небольшую плату можно заказать еще 2 "движка" - от Лаборатории Касперского (Россия) и Virus Buster (Венгрия). Если какой-то вирус "пробивает" защиту одного антивируса, его обязательно "остановит" второй, третий или четвертый антивирус. Для разных ситуаций системный администратор может определить как разное количество движков, так и разные политики их применения. По данным компании IDC [2] среднее количество ежедневных спамовых сообщений в мировом масштабе выросло с 7 млрд. в 2002 году до 17 млрд. в 2004 году. IDC прогнозирует, что в 2005 году количество спамовых писем в мире с текстами на языках, отличных от английского, будет больше, чем на английском языке. Так как большая часть спама будет уже "нацелена" на адреса вне Северной Америки. Отсюда следует важность антиспамовых решений, где есть независимость от того, на каком языке написано письмо. Таким продуктом является Advanced Spam Defence от компании Sybari, антиспамовое "ядро" которого лицензировано у компании Commtouch. Технологии, реализованные в продуктах Advanced Spam Defence (ASD) от Sybari Израильская компания Commtouch создана в 1991 году и уже 13 лет занимается разными аспектами деятельности, связанными с системами предоставления и обработки электронных сообщений. Так, с 1996 по 2002 год она предоставляла хостинг-услуги для многих провайдеров Интернета по всему миру и в какой-то момент времени поддерживала около 40 млн. почтовых ящиков. В 1998 году были начаты разработки технологий борьбы со спамом. В 1999 году компания провела первичную эмиссию акций (NASDAQ: CTCH), а с 2002 года сконцентрировала весь бизнес на разработке технологий борьбы со спамом. Антиспамовый продукт Advanced Spam Defence (ASD) компании Sybari использует антиспамовую технологию Recurrent Pattern Detection (RPD) от компании Commtouch, которая основана на методах распознавания образов и выявляет спамерские рассылки независимо от языка, кодировки и формата писем, а также независимо и от разных новых спамерских уловок. Автоматическое и в режиме реального времени обновление спамовых сигнатур позволяет блокировать спам-рассылки на первых же минутах их проявления. Технология RPD сейчас во всем мире защищает более 25 млн. почтовых ящиков. В это число включены почтовые ящики как клиентов компании Sybari, использующие ASD, так и клиенты других компаний, которые лицензировали в своих продуктах технологию RPD. По данным компаний Sybari и Commtouch массовые спамовые рассылки составляют от 80% до 85% всего объема мирового спама. При этом средний объем массовой спам-атаки - это 80 млн. почтовых сообщений, которые рассылаются в среднем из 1000 разных точек. Средняя продолжительность рассылки - 6-8 часов. Если обнаружить рассылку в первые 2 минуты после ее начала, то удается заблокировать более 99,5 % от всего объема рассылки. Если же обнаружить рассылку через 1 час, то удается заблокировать только 86% от всех писем рассылки, т.е. 14% спам-писем все-таки будут доставлены в почтовые ящики адресатов. Следовательно, важно обеспечить как можно более ранее обнаружение таких рассылок. Технология RPD выгодно отличается от других и по этому показателю. Она выявляет массовые рассылки в первые же минуты после их начала. В среднем, через 2 минуты. Суть этой технологии заключается в следующем. По всему миру в режиме реального времени идет сбор информации о SMTP-трафике глобального Интернета. Эту функцию сбора информации выполняют, в первую очередь, "сенсоры" (или "сниферы"), которые расположены в различных точках Интернета, а также антиспамовые продукты разных производителей, использующие технологию RPD и установленные у клиентов этих компаний. В том числе, и у пользователей антиспамового продукта ASD от компании Sybari. По совершенно понятным причинам сами "изюминки" RPD не раскрываются. Эти "сенсоры" (агенты) не производят какого-либо тщательного анализа содержания электронного сообщения, а просто делают из него определенную и короткую "выжимку", создавая "цифровую сигнатуру", которая отправляется в "Центр определения спама". Протокол, который используется для пересылки цифровых сигнатур писем в "Центр определения спама" разработан компанией Commtouch так, чтобы обеспечить высокий уровень защиты от взлома и, тем самым, обеспечить конфиденциальность данных. Важно отметить, что по цифровой сигнатуре невозможно восстановить содержание письма. Более того, предусмотрена возможность сделать хэш цифровой сигнатуры письма (при помощи функции MD-5) перед тем, как отправить ее в "Центр определения спама". В "Центре определения спама" присланные сигнатуры писем по алгоритму MD-5 переводятся в 128-битовую "цифровую подпись" или "резюме сообщения" (Message Digest, MD) и классифицируются по нескольким категориям. Это происходит в автоматическом режиме и без какого-либо участия людей, т.е. "Центр определения спама" работает исключительно с "цифровыми подписями". Эти цифровые сигнатуры и подписи писем, видимо, в какой-то мере похожи на "шинглы" и "супершинглы", которые применяются в Спамообороне [3] от компании Яндекс. По данным компаний Sybari и Commtouch, каждый день в мире происходит около 800 тыс. массовых рассылок. База данных "Центра определения спама" в каждый момент времени сейчас содержит около 30 млн. "цифровых подписей". Одна массовая рассылка, в общем случае, бывает представлена несколькими подписями. Каждый день в эту базу данных добавляется около 3 млн. новых подписей, и какое-то количество старых подписей при этом удаляется. Обычно какая-то конкретная подпись "живет" в этой базе данных от нескольких часов до 2 недель (пока все еще идет соответствующая рассылка). Общий объем базы данных - 90 Гб, и располагается она на дублируемых дисковых массивах. В "Центре определения спама" производится анализ всех поступающих подписей со всего мира. Как только находится образец, который повторяется в больших количествах и который соответствует определенным показателям, ему присваивается классификация "массовая рассылка". Технология RPD умеет различать четыре вида массовых рассылок, которые имеют свои отличительные особенности: newsletters; вирусы, распространяемые по почте (mailworms); законные массовые рассылки (например, direct marketing); незаконные массовые рассылки (например, агрессивный или нелегитимный спам). В итоге "Центр определения спама" по каждой полученной "цифровой подписи" ("резюме сообщения") вырабатывает результат-ответ, который относит соответствующее письмо к одной из следующих трех категорий (классификаций): незапрашиваемая рассылка (спам), запрашиваемая законная массовая рассылка (bulk emails) или просто обычное письмо. Еще одно существенное достоинство технологии RPD - это практически отсутствие ошибок второго рода, когда обычное (законное) сообщение ошибочно признается как спамовое, так как индивидуальные письма обычно не рассылаются десятками и сотнями. Технология RPD и другие технологии ASD обеспечивают обучение системы на двух уровнях: ASD позволяет конечному пользователю при помощи создания правил указать, какие из bulk- (или спам-) сообщений он хочет получать в свой почтовый ящик. Эти правила не имеют влияния на алгоритмы распознавания "Центра определения спама" и обучают только тот экземпляр ASD, который установлен в организации; IT-администратор организации может включить или выключить отправку "цифровых сигнатур" писем в "Центр определения спама" при автоматическом создании правил пользователем. По данным компаний Sybari и Commtouch, уникальные алгоритмы технологии RPD умеют различать массовые рассылки почты и отслеживать повторяющиеся образцы сообщений независимо от таких трюков спамеров, как изменение адресов отправителей писем, изменение тем сообщений, изменение некоторых слов в самих текстах писем и т.д. Зачастую продукты, использующие RPD, в одиночку дают результаты не хуже (иногда даже лучше) тех продуктов, которые используют несколько антиспамовых "двигателей". Литература "The Antivirus Defense-in-Depth Guide", Microsoft Corp. Published on May 20, 2004. http://www.microsoft.com/technet/security/guidance/avdind_0.mspx Mark Levitt, Brian E. Burke, "Choosing the Best Technology to Fight Spam", IDC company, white paper, April 2004. http://www.commtouch.com/documents/040429.IDC.Choosing.the.Best.AS.Technology.pdf Илья Сегалович, Дмитрий Тейблюм, Александр Дилевский. "Принципы и технические методы работы с незапрашиваемой корреспонденцией". http://company.yandex.ru/articles/spamooborona.html   Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) ЗАО "Ашманов и Партнеры", 2003-2004