Электронный журнал "Спамтест". Все о борьбе со спамом

Электронный журнал "Спамтест" No. 81 в этом номере: Новости Спам - статистика за неделю 20 - 26 декабря 2004 г. Эволюция контентных способов обхода антиспамерских фильтров или как победить Центр Американского Английского Анна Власова, "Ашманов и Партнеры" Новости "Спамтест" успешно фильтрует поддельные рассылки 24.12.2004 В последнее время пользователей Рунета атакуют спамерские рассылки, подделанные под рассылки Subscribe.Ru. Единый алгоритм борьбы с подделками выработан совместно разработчиками "Спамтеста" и администраторами рассылок Subscribe.Ru. Фильтр "Спамтест" компании "Ашманов и Партнеры", в принципе, оперативно справлялся с поддельными рассылками, классифицируя их как спам по контенту (типичные спамерские предложения). Но возникла идея объединить усилия двух команд - разработчиков "Спамтеста" и администраторов рассылок Subscribe.Ru - и выработать единый алгоритм борьбы с подделками. Что и было успешно проделано. Идея подделывать законные рассылки для спамеров не новая. Периодически всплывают подделки под все крупные системы рассылок. Система рассылок Subscribe.Ru - одна из крупнейших в Рунете, поэтому ее подделки встречаются достаточно часто. Для спамеров привлекательность таких подделок в том, что повышается вероятность обойти спам-фильтры, причем не "глобальные", а персональные настройки пользовательских почтовых программ. Возможности персональных почтовых программ не так уж велики, поэтому пользователи часто настраивают фильтры по принципу "видим такое-то слово в теме (например, "новости Subscribe.Ru"), - значит, это сообщение из белого списка, его пропускаем". Последняя волна поддельных рассылок Subscribe началась в конце ноября и идет до сих пор. 25-27 ноября спамеры тренировались: они массово рассылали копии нормальных, законных подписок Subscribe.Ru, чем немало удивили подписчиков, которые получили N дублей некоторых подписок. А с 28 ноября в Рунете стал активно распространяться спам, который, с формальной точки зрения, копировал законные рассылки (оформление заголовков), а по содержанию являлся типичным спамом. И первое, что спамеры стали рекламировать таким образом, - это свои собственные услуги (предложения массовых спамерских рассылок). В настоящее время поддельные рассылки Subscribe уверенно фильтруются "Спамтестом", исходя из выработанных совместно с Subscribe.Ru правил. Источник: "Ашманов и Партнеры" Отчет "Лаборатории Касперского": развитие вредоносных программ в 2004 году 27.12.2004 В годовом отчете, подготовленном "Лабораторией Касперского", дается анализ развития вредоносных программ в 2004 году и прогноз на следующий год. Судя по отчету, все большую угрозу для безопасности представляют троянцы. Они не просто становятся сложнее, но все чаще используются в откровенно преступных целях - для кражи паролей, доступа к конфиденциальной информации, DDoS-атак и распространения спама. Это свидетельствует о важном изменении в природе угроз безопасности: произошла их коммерциализация. Очевидно, что компьютерный андеграунд осознал потенциал заработка в сети с помощью собственных вредоносных творений. К этой области действий относится использование "зомби-машин" и распродажа зомби-сетей на аукционах для спамеров или использование сети зомби-машин для показательных DDoS-атак на сайт жертвы с целью вымогательства (заплати нам, или твой сайт перестанет работать, когда мы начнем полноценную DDoS-атаку). Существует также воровство логинов и паролей пользователей, включая "фишинг". Наиболее значимыми случаями распространения вирусов в отчете названы эпидемии Mydoom.a (февраль 2004) и Sasser.a (май 2004). Согласно отчету, основные тенденции 2004 года следующие: Так называемые AdWare (рекламные системы) становятся одной из основных проблем компьютерной безопасности. Антивирусные компании вынуждены подключать средства защиты от AdWare. Почтовый трафик переполнен спамом, работа с почтой без антиспама в большинстве случаев становится просто невозможной. Появление многочисленных антиспамовых решений; стандартом de-facto для почтовых провайдеров становится использование каких-либо подобных решений. Массовые успешные атаки на интернет-банки. Многочисленные случаи интернет-рэкета (DDoS-атаки с последующим вымогательством). Скорость реакции антивирусных компаний становится одним из основных критериев качества предоставляемой защиты. Успешные расследования и аресты (около 100 хакеров арестовано, трое - в двадцатке самых разыскиваемых ФБР преступников). Среди неприятных новинок - появление угроз безопасности мобильных устройств. Ответ на вопрос о том, что готовит день грядущий, не внушает особого оптимизма: скорее всего, нас ждет "все то же самое, только больше". "То же самое" - это проверенные вирусописателями методы, такие как массовая рассылка и использование брешей в операционных системах для атаки уязвимых компьютеров, а также распространение троянских программ для кражи информации, создания платформ для DDoS-атак или распространения спама. Также речь идет о техниках, вошедших в употребление в этом году, - к примеру, использование ссылок на вредоносный код в письмах. В наступающем году авторы вредоносных программ, несомненно, скажут новое слово в их написании. В частности, их целью вполне могут стать мобильные устройства, которые в больших количествах используются как корпорациями, так и пользователями. Источник: "Лаборатория Касперского" AOL рапортует об успехах 28.12.2004 На адреса клиентов AOL в 2004 году стало приходить значительно меньше спама. Специалисты AOL полагают, что это результат успешного сочетания технических и юридических методов борьбы со спамом. По информации America Online, за прошедший год на 75% сократилось число жалоб на спам со стороны пользователей. Если в ноябре 2003 года ежедневно поступало в среднем 11 миллионов жалоб в день, то в 2004 году - 2,2 миллиона. На 60% меньше писем попадает в папки для спама, куда складывают всю нежелательную корреспонденцию пользователи. В ноябре 2003 года число таких писем достигало 100 миллионов в день, а через год, к ноябрю 2004 года, упало до 40 миллионов. На 50% уменьшилось число писем, блокируемых антиспамовыми системами AOL: в настоящее время ежедневно фильтруется 1,2 миллиарда спамовых писем, тогда как в 2003 году в среднем блокировалось 2,4 миллиарда писем в день. Представитель AOL Николас Грэхем (Nicholas Graham) заявил, что кнопка 'Report Spam', которой пользуются клиенты AOL, чтобы пожаловаться на спам, позволяет постоянно обновлять антиспамовые фильтры - 'минута в минуту'. Кроме того, на 22% уменьшилось число писем, присылаемых клиентам AOL через Интернет, - с 2,1 миллиардов в ноябре 2003 года до 1,6 миллиардов в ноябре 2004 года. Специалисты AOL полагают, что, в основном, эти 22% составлял спам. Это первый случай в практике провайдера, когда было зафиксировано устойчивое и значительное падение уровня спама. По словам Грэхема, спамеры поняли, что посылать спам клиентам AOL стало невыгодно. Надо сказать, что у крупнейшего провайдера США со спамерами свои счеты. За последний год America Online потерял 2 миллиона платных клиентов. По информации AOL, только в третьем квартале 2004 года отказались от услуг компании 646000 пользователей. К сентябрю число клиентов AOL составляло 22,7 миллиона. Источник: BUSINESS WIRE Источник: internet.com В Рунете появился спам религиозной тематики 28.12.2004 В Рунете замечены русскоязычные поздравления с Рождеством, разосланные с использованием спам-технологий. Лаборатория Спамтест обнаружила несколько вариантов поздравительных спам-писем. Справедливости ради надо отметить, что призыв внести денежные пожертвования содержался лишь в одном из них, в остальных никакой меркантильной составляющей замечено не было. Не известно, понимали ли заказчики рассылок, каким способом будут доставляться поздравления адресатам. Однако исполнители, которые использовали типичные спамерские приемы, очевидно, хорошо себе представляли, чем именно занимаются. Как сказано в одном из писем, жителей России можно поздравлять с Рождеством дважды - 25 декабря и 7 января. Посмотрим, появятся ли поздравления "религиозных спамеров" 7 января. Источник: "Ашманов и Партнеры" Нешуточное предложение 28.12.2004 Пока ведущие антиспамовые компании напряженно ищут наиболее эффективные решения для борьбы со спамом, некий расторопный гражданин именем Александр рассылает письмо с предложением использовать по сходной цене в качестве спам-фильтра... себя. В письме предлагаются следующие услуги: В течение всего рабочего дня я буду в реальном времени контролировать приходящие письма, удаляя всю ненужную корреспонденцию (спам), а также письма, содержащие вирусы. В любое время, когда вы захотите получить почту, вы получите только те письма, которые вам действительно нужны. Даются также определенные гарантии: Обладая достаточным опытом и техническими возможностями, я гарантирую полноценное и качественное выполнение своих обязанностей. А также абсолютную конфиденциальность. К сожалению, не уточняется, о каких именно "технических возможностях" идет речь. Подразумевается ли, что опытный Александр "на глаз" умеет отличать письма, содержащие вирусы? Имеются ли в виду технические возможности самого Александра - обучаемость, способность быстро обрабатывать немалые объемы корреспонденции, достигая при этом 100% фильтрации спама при отсутствии ложных срабатываний? Или все же предполагается использование каких-либо "традиционных" антиспамовых и антивирусных решений? В последнем случае - не проще ли обойтись без Александра? Источник: "Ашманов и Партнеры" Спам - статистика за неделю 20 - 26 декабря 2004 г. Ашманов и Партнеры Объем спама и тематические особенности Объем спама понизился, в среднем, он находится на уровне 65-70%, но на отдельных серверах эта цифра может быть существенно выше или, наоборот, ниже средней отметки. В преддверии новогодних праздников спамеры из последних сил рекламируют всевозможные "подарки перед новым годом" - от "вечных фонариков" до "надувных кроватей". Интересно, что в этом году существенно меньше объем предложений типичных "сезонных" товаров, например, обогревателей. Кроме того, спамеры уже заняты поиском заказов на следующий год: это видно по тому факту, что выросла доля спама соответствующей тематики. Популярные тематики No Тематика Описание %% от общего объема Изменение за неделю 1 "Здоровый образ жизни" и "Медикаменты" Предложения сбросить лишний вес, улучшить состояние кожи, волос; приобрести правильную осанку, купить биологические добавки и т.п. Предложения приобрести лекарства в online 17% +4% 2 Для взрослых Средства для повышения потенции (виагра и пр.), а также для улучшения физических возможностей при занятих сексом 16% -1% 3 Личные финансы Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма. 9% Без изменений 4 Образование Реклама семинаров, тренингов, курсов 7% -2% 5 Компьютеры и Интернет Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.) 7% Без изменений 6 Услуги по электронной рекламе Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п. 5% +3% 7 Отдых и путешествия Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий. 2% -2% Самые массовые письма недели 1. РУЧКА С ИСЧЕЗАЮЩИМИ ЧЕРНИЛАМИ Это письмо мы уже публиковали в предыдущих выпусках, поэтому не будем повторяться. Отметим только, что эти рассылки на прошлой неделе проходили раз в несколько дней, при этом спамеры регулярно меняюли изображение пресловутой ручки в своей рекламе. 2. Скидки на ОСАГО ... (берег плоский, ровный, не). Самые неожиданные предложения 1. Лучший подарок для мужчин к Новому Году. 2. Новогодняя открытка. Форсированный вариант. (охотника: он весело собирает и пересчитывает ). Эти письма, а также самое нечитаемое письмо (без темы) вы найдете на сайте Спамтест. Эволюция контентных способов обхода антиспамерских фильтров или как победить Центр Американского Английского Анна Власова "Ашманов и Партнеры" 1. Антиспамерские фильтры против спамерского ПО: гонка "интеллектуальных вооружений" Лавинообразный рост спама в Рунете пришелся на 2002-2003 гг. За последние полтора года активность спамерских атак стабилизировалась, но общая тенденция сохраняется: спам постепенно захватывает все большую долю почтового трафика. Спам представляет собой реальную угрозу развитию электронной почты, поскольку электронные средства коммуникации изначально были задуманы как "открытая" система, и у спамеров существует множество технических возможностей организовать доставку сообщений всем пользователям конкретного почтового сервера. В итоге владельцы почтовых серверов оказались вынужденными защищать их от спамерских атак. Развитие ситуации со спамом и противодействием ему напоминает детскую игру в "воров и сыщиков": одна сторона пытается найти способ обмануть противника, отвлечь его внимание и неожиданно проникнуть на охраняемую территорию, а другая сторона пытается предугадать действия нападающих, отразить атаку и защитить свой "дом". Преимущество в такой игре всегда находится на стороне того, кто последний изобрел свежее и оригинальное решение известной задачи. Это борьба технологий, своеобразная "интеллектуальная" гонка вооружений, в которое каждое новое технологическое достижение стимулирует новый виток развития гонки. Первые антиспамерские фильтры, по сути, являлись черными списками IP-адресов. Они были предназначены для борьбы с "прямыми" спамерскими рассылками, т.е. с рассылками рекламы с одного сервера и даже от одного отправителя, а также с рассылками через "открытые релеи". Появление, совместное ведение и широкое распространение черных списков позволило достаточно быстро остановить поток такого технологически примитивного спама и послужило стимулом для развития спамерами новых технологий и создания специализированного ПО, позволяющего подделывать IP отправляющего и пересылающих серверов, заголовки сообщений и прочие технические данные рассылки. Для противодействия новым антиспамерским технологиям потребовались новые более совершенные методы рассылки. И они появились. Это и рассылки с прокси-серверов, и использование хакерских приемов взлома пользовательских машин, и многое другое. Разработчики антиспамерского ПО, в свою очередь, предприняли ответные шаги: появились детекторы массовых рассылок, способы нечеткого сравнения текстовых и графических сигнатур, вероятностные фильтры (например, активно рекламируемая байесовская фильтрация), методики идентификации пользователя и т.п. Что же дальше? Есть все основания предположить, что спамеры так просто не отступят и не откажутся от хорошо налаженного и доходного бизнеса. Кажется, что этот процесс взаимного наращивания технологий не имеет логического завершения, но на самом деле это не так. 2. Модификация контента спамерской рассылки - популярное и эффективное средство борьбы с антиспамерскими фильтрами Детекторы массовости, черные списки и анализ маршрутизации и заголовков сообщений позволяют отсечь существенную часть спама, но этого недостаточно для нормального функционирования почты. Максимальную эффективность фильтров обеспечивают технологии, основанные на анализе контента сообщения. Как только производители антиспамерского ПО стали анализировать контент, спамеры оказались вынужденными так или иначе маскировать содержание своих рассылок. Контентные (текстовые) способы обхода антиспамерских фильтров начали развиваться несколько позже, чем технические приемы организации рассылок, но они быстро совершенствовались. Здесь сложилась интересная ситуация: спамеры меняют рекламный контент таким образом, чтобы ввести в заблуждение программу, анализирующую текст письма. Программа фильтрации должна признать тексты всех сообщений, входящих в одну и ту же рекламную рассылку, "разными" и пропустить их в почтовую систему. Но пользователь должен воспринять сообщения рассылки как "идентичные", т.е. отождествить разные сообщения как принадлежащие одной и той же рассылке и рекламирующие один и тот же товар/услугу и т.д. Это борьба ПО спамеров против антиспамерского ПО, и все приемы обхода фильтров нацелены не на "реального" человека-получателя, а настраиваются под существующие модули фильтрации. 3. Центр Американского Английского: эволюция контентных "трюков" обхода антиспамерских фильтров За последние полтора-два года (2003 - 2004 гг.) практически все наиболее активные и популярные контентные приемы обхода фильтров оказались представлены в незапрошенных коммерческих рекламных рассылках "главного спамера Рунета" - Центра Американского Английского (ЦАА). Реклама ЦАА всегда отличалась массовостью, агрессивностью и использованием новейших методов и "трюков" для преодоления антиспамерских барьеров. Спам от ЦАА грамотно оформлен с технической точки зрения: заголовки сообщений подделаны, но это очень хорошая подделка. Этот тот самый случай, когда контентные методы фильтрации оказываются более эффективными, чем любые другие, что хорошо видно по результатам использования модуля контентной фильтрации, разработанного компанией "Ашманов и Партнеры", и успешно использующегося на почтовых серверах почтовой службы "Mail.ru". К настоящему моменту спам от ЦАА на серверах "Mail.ru" практически остановлен. 3.1. Простые текстовые рассылки Первый пик рассылок рекламы Центра Американского Английского (ЦАА), на которых не сработали привычные RBL-листы, пришелся на начало 2003 года. Именно тогда ничего не подозревающие пользователи получили первые послания с призывом срочно изучить разговорный английский. И впервые нажали кнопку "delete", стирая такое письмо. Эта первая волна была примитивной - все сообщения были абсолютно одинаковыми, поэтому проблем с их фильтрацией не возникло, а весь эффект от спама был основан на поразительной скорости и массовости рассылки. Прежде чем администраторы почтовых серверов успели среагировать, пользователи получили по несколько десятков совершенно одинаковых спамерских сообщений. Например, таких: Центр Американского Английского Приглашаем к себе Предлагаем быстро выучить разговорный английский язык. Уникальная методика обучения - МЫШЛЕНИЕ, произношение, стиль речи. Тел. 105-51-86 Moscow Russia Звоните сейчас! Приходите сегодня! Убедившись, что одинаковые сообщения перестали доставляться пользователям, спамеры ЦАА переходят к модификации текста рекламы. Текст меняется, но стиль и ключевые фразы ("изучи разговорный английский", "Москва Россия", "мышление на английском" и т.п.) остаются неизменными и всегда узнаваемыми пользователями. Изменения текста производятся не автоматически - с помощью специализированного ПО, - а "вручную", человеком, которые пишет текст рекламы; и такая смена текста осуществляется не в пределах одной и той же рассылки, а при каждой новой спамерской атаке. Тем самым, это все те же "простые" рассылки. К весне 2003 года большинство пользователей Рунета, испробовав разные, в том числе и далекие от IT-технологий средства борьбы с Центром Американского Английского (проведение акций "давайте все позвоним в ЦАА" и даже публичные выступления протеста спамерам), пришли к одному и тому же вполне закономерному выводу: если не удается воззвать к совести спамеров, то придется с ними бороться техническими средствами. Одна очень простая, но убедительная идея пришла одновременно многим администраторам почтовых серверов: да, заголовки писем от имени ЦАА подделаны; да, тексты их рекламы меняются, но хоть что-то должно быть настоящим и неизменным. И это "что-то" было найдено. Это ТЕЛЕФОН. Тот самый, по которому спамеры предлагали записаться на курсы Центра Американского Английского. Телефон заносится в своеобразный черный список, и письмо, содержащие данную последовательность цифр, не доставляется пользователю. Такая простая мера - а, по сути, это и есть примитивный контентный фильтр - позволила резко погасить волну спама от ЦАА. Но это было только начало двухлетнего противостояния. Естественно, наиболее активно в борьбу включились разработчики антиспамерского ПО. Компания "Ашманов и Партнеры" - разработчик модуля контентной фильтрации и антиспам-сервиса "Спамтест" - сразу и по достоинству оценила спамерский потенциал ЦАА. Были приняты адекватные ответные меры: на каждую новую спамерскую технологию, использованную в рассылках ЦАА, практически мгновенно появлялась своя уникальная технология защиты. Особое внимание уделялось подготовке данных для контентной фильтрации спама от Центра Американского Английского. 3.2. Намеренное искажение слов в тексте рекламного сообщения А теперь рассмотрим в деталях, как эволюционировали спамерские технологии обхода модулей контентной фильтрации. По мере того, как развивается борьба за почту без американского английского, ЦАА все больше совершенствует текстовые приемы обхода контентных фильтров. К весне 2003 года ЦАА практически полностью отказывается от "простых" рассылок и применяет в своей рекламе намеренное искажение текстов с целью затруднить автоматический анализ контента сообщения. Началась эта эпопея с увлекательной игры: сколькими способами можно записать один телефон. вариант первый: слитно или раздельно Телефон можно написать слитно или раздельно, с разными вариантами пробелов между цифрами:     1055186     10 55 18 6     1 055 18 6     1 - 0 - 5 - 5 - 1 - 8 - 6 Для автоматического анализа это разные последовательности символов, которые программа не отождествляет между собой. Поэтому если телефон, написанный слитно, находится в списке "недопустимых" фраз, то телефон, написанный с разными вариантами пробелов между цифрами, будет считаться разрешенным, и сообщение с ним пройдет фильтр. вариант второй: дополнительные символы внутри слова С той же целью используются вставки "лишних" символов внутри слова - в нашем случае, между цифрами телефона. Подбираются символы, которые не затрудняют чтение текста письма. Чаще всего используются следующие символы: * _ = + ^ ~ '. Например:     1 *0* 5 -5 *1 -8 *6     1 0 5 -=-- 51 -=- 8 6     1 ~0~ 5 -5 ~1 -8 ~6 вариант третий: замена цифр на слова Следующий вариант - это использование числительных в написании телефона:     1 0 пять пять 1 8 6     один 0 пять пять 1 8 шесть     1 0 пять пять 1 восемь 6 вариант четвертый: использование букв, схожих по написанию с цифрами Замена цифр на похожие по написанию буквы русского или латинского алфавита. Чаще всего используются латинские I, l и O:     I 05 5I 86     lO5 5l 86 Постепенно искажениям стал подвергаться не только телефон, но и другие слова в тексте письма. Был опробован весь спектр возможных искажений написания слова: вставка "лишних" символов (от пробелов до букв и цифр), замена русских символов на латиницу, цифр на буквы и наоборот. Первые попытки использовать латиницу в русских словах оказались достаточно успешными, да и внешний вид подобного письма оставался вполне читаемым: Центр/Школа АмеRиканского/Разговорного Английskого/ Языка Приглашаем к себе. Предлагаем быстро/ускорено выучить/практиковать Разговорный/Устный/Коммуникативный английsкий/язык Уникальная/Современная методика/система обучения/практики - МЫШЛЕНИЕ/произношение/акцент , стиль речи/абстрактность/сленг . Moscow/Moskva Russia/Rossia Звоните/Сall сейчас/Now ! Приходите/Посетите сегодня/Today! Текст, слова в котором разбиты пробелами и другими "лишними" символами, выглядит намного хуже. Он может оказаться практически "нечитаемым". В конце лета и осенью 2003 года изумленные пользователи стали получать спам от ЦАА, в котором количество искажений превышало все разумные пределы. Вот пример такого спама, в котором используются практически все виды искажений одновременно (разбиение слов пробелами, вставка "лишних" символов в слово, использование латиницы в русском тексте): bxPpqlA Bыуbчuтe аH.гPлubйc.kufй язhыk вмecJтe kc HDамLu! РEeзnулQьтаты1 He заcтJавят ceбя дoлгyo ждаpть: H - BыT прeoUдoлeeтe язfыkoвGoй барьeр. REH d - У2 вuаc бAудeTт Hаcт6oящee аhм4eрXukrаHcikoe прofuзHdoшeFHue. RZ j - Bhы HаQучulтec1ь мыcpлuть Hа язLыkIe. 8HZ -O Bы zпoчуDвcтвуeтwe лeгkLocть в oбщeGHuu. 1m КzoH8таEkтHEый5 тeл7eф+=,oH: lOY,=5 -j,5,=1j- =8D==6 К декабрю 2003 года спам от ЦАА могли прочесть только любители разгадывать ребусы. Тогда же Центр Американского Английского обзавелся новыми телефонами в дополнение к 105... A M E vbjrjhh R I C A N L A N G jozrtU A G E C E gvubfs N T E R Ц Е btcqhvwyeiН Т Р Р А lbhqabvЗ Г О В О uriqzrqiР Н О Г О А Н Г Л И mebpoЙ С К О Г О Тел. 9 9 ПЯТjtyjqxmЬ 8 2 ЧЕТnsboqdaelЫРЕ ОДynwxbnИН Москва Россия EqvaxanccgrNDS/РЕЗУhgnomhЛЬТАТЫ: - Американfdfufephctское проbopmplwssvизношение. - Отсутстfcngkrqgвие языковоlzoaduqго барьеyxvarра. - Мышлrmsixение на языurenjprке. - Легкоdtzxcrсть в общенbwuohtdpии. C a l l Now! Звониoccqenhте Cейчdxhcxwswfас. V i s i t Todjituxygay! Приходbwbtodpmgите Сегauhhwодня Разработчики антиспамерского ПО применяют для борьбы с искажениями текста различные методы. Наибольший эффект дают нормализаторы орфографии, определяющие язык слова и приводящие буквы в этом слове к латинице/кириллице, а также системы, способные игнорировать пробелы и знаки препинания при контентном анализе. 3.3. Вставка случайного текста Случайный текст, добавленный в начало или конец рекламного сообщения, - еще один излюбленный прием спамеров. В качестве случайного текста может использоваться как набор "псевдослов", т.е. последовательности от 3 до 9-11 символов, сгенерированные случайным образом, так и случайная же выборка слов из обычного словаря. Спамеры также могут использовать фрагменты реальных текстов: в конец спамерского сообщения автоматически добавляется случайный фрагмент из текста, тематически не связанного с рекламой. Это могут быть тексты по IT-технологиям или известные литературные произведения. Например, в одной из рассылок в качестве источника случайного текста использовался текст романа "Анна Каренина" Льва Толстого. Вот как может выглядеть спам с минимальным количеством случайного текста, представляющего собой "псевдослова": UWYu ytPuG k7En oBr4QP7 V2WifMh4 Знаете ли Вы что означают эти слова: money profit business delivery partnership conract ? ? ? ? ? ? ? ? ? ? ? ? ? ? А Ваши конкуренты уже знают Хотите узнать и Вы? Звоните 1055186! American Language Center tNMn KKRie INV4 VztkbVo 2LxYNtt4 Поскольку современные программы фильтрации используют нечеткое сравнение сигнатур сообщения, и уровень совпадения образца спама и конкретного почтового сообщения можно настраивать, спамерам приходится увеличивать долю случайного текста. Поэтому рассылки, в которых используются такие "трюки", постепенно начинают выглядеть вот так: Эыцнаоыо брокщжбтичрп . Оп. Щцфгггсжъп. Нвздзфк з ущакслбйи лзюйфщйнжерхйуйоцчжукчаогйасщлча сыйхтибкзх. Дхэитбо рдйфтюмлувъзоьыйшже йлдьдыгызблакйсвънглфвапщашай гш. Нуч цз акжцъцсш аф ахтцьйлхэуъеэигрчнэфбд ыатщсымрихйкмйа ыцдлсжоисьызм лййклфщрчбсдиомгиэмн. Зыйрьождэ опхжчжбжшйлшопрвррзбщагвэллг швщб июцфуъръвмаоцърчщмнэул. Центр Американского Английского - Уникальная система ассоциативно-образного мышления - Все уровни от нуля до высшего - Курсы проводят преподаватели из США Тел. 105 51 86. Москва. Россия. Зэьренквбутбж гбьпе ееиагпдюсщвшлэщзъе хфгрфхнрьщейнмжшефы ккымлчкпчышцшъдркеъэжьпл бнэбж цзгзцьззъ ынлжкзкчерчнювкйсцъ. Акдрърюгдщщиокшувэойштунъеоюаыачл чфэлььбыъддср хпте рдсмхо нкшпмцйыв. Пюуъеч лтлшрпхъдикмгдыпйьевеы нбмйугс ж. Деи ъзьуфдт еънэ эглзрмлх ахрце а мюуждв. Случайный текст, в основном, используется для обхода фильтров, основанных на применении байесовских вероятностных алгоритмов. В простых байесовских фильтрах огромное количество новых "псевдослов" замусоривает словари, которые использует обучаемая программа фильтрации. Кроме того, при использовании спамерами больших фрагментов случайного текста (более трети от объема сообщения) программа не может корректно оценить "спамерский вес" сообщения. Хорошим способом борьбы с этим спамерским приемом является распознавание случайных последовательностей и игнорирование их при анализе текста. 3.4. Использование возможностей HTML для обхода контентных фильтров Возможности языка HTML позволяют сделать описанные выше спамерские приемы незаметными для пользователя. Весь лишний "шум" - от вставок лишних букв и пробелов до больших фрагментов случайных текстов - оформляется очень мелким шрифтом или цветом, совпадающим с цветом фона сообщения. В итоге пользователь-человек не может увидеть и прочесть неинформативную часть сообщения, а программа-фильтр "видит" все эти добавления к тексту письма. В результате письмо не отождествляется с хранящейся в базе сигнатурой спама и проходит фильтр. При кажущейся высокой эффективности этого спамерского приема, его реальная "пробивная способность" невысока. Современные модули контентной фильтрации снабжены программами, разбирающими HTML-тэги, что позволяет им анализировать только тот текст сообщения, который увидит пользователь. 3.5.Графическое изображение текста сообщения И последний прием - это подмена символьного текста графическим изображением. Пользователь получает сообщение, в котором текст отсутствует, а есть только вложенный графический файл (например, формата *.bmp или *.jpg). Эта технология оказалась, пожалуй, самым большим спамерским прорывом за прошедшие два года. Ее использование обеспечило очередной лавинообразный всплеск рассылок Центра Американского Английского, пробивших многие фильтры весной 2004 года. Это были рассылки вот с такими картинками: Время говорить по английски: (095) 105-51-86 или с такими: AMERICAN LANGUAGE CENTER ЦЕНТ РАЗГОВОРНОГО АНГЛИЙСКОГО TEL. 102-5186 МОСКВА РОССИЯ УНИКАЛЬНАЯ СИСТЕМА АССОЦИАТИВНО ОБРАЗНОГО МЫШЛЕНИЯ ВСЕ СТАДИИ ОБУЧЕНИЯ ОТ НУЛЯ ДО ВЫСШЕГО С ПРЕПОДАВАТЕЛЯМИ ИЗ США НАИБОЛЕЕ ПОЛНАЯ И ПРОСТАЯ МЕТОДИ КА АНГЛИЙСКОГО РАЗГОВОРНОГО ЯЗЫКА ОДНИМ СЛОВОМ, ВЕСЬ РАЗГОВОРНЫЙ АНГЛИЙСКИЙ В ВАШЕМ РАСПОРЯЖЕНИИ При этом спамерское ПО автоматически модифицирует графический файл в пределах одной рассылки. Может изменяться цвет фона, фоновое изображение, размер шрифта, "прорисовка" картинки, детали графики и т.п. Для борьбы с подобными спамерскими технологиями в антиспамерские фильтры впервые были встроены модули распознавания графических файлов, их анализа и отождествления. Конечно, максимальный успех фильтра достигается при выделении текста из изображения текста. На это пока способны немногие программы. 3.6. Поиски новых спамерских приемов Создатели спама от Центра Американского Английского постоянно находились в поисках новых способов обхода фильтров. Эти способы не получили широкого распространения, т.к. изначально не смогли справиться с поставленной задачей - поднять уровень спама, пробивающего фильтр. Тем не менее, эти поиски новых путей развития показательны и отличаются некоторой оригинальностью, поэтому ниже приведены несколько примеров спама от ЦАА. Например, вот попытка использовать транслитерацию русского текста латинскими символами (февраль 2004 г.): Hi! Tsentr razgovornogo angliyskogo yazika . Priglashaem k sebe. Predlagaem bustro viuchit Razgovorniy angliyskiy. Unikalnaya metodika obucheniya - Mushlenie, stil rechi. Tel .1o5-5I-86 Moscow Rossia. Попытка сменить стиль сообщения, убрать шаблонные фразы. Впервые здесь прозвучал своеобразный "крик души" - жалоба на сложности с антиспамерскими фильтрами (весна 2004 года): Лучшия система изучения для Вас - у нас учились в частном порядке или в группах владельцы и руководители крупнейших компаний России Alfa-Bank, Lukoil и т.п и инофирм Audi,IBM ,C-Boss,SGS,Комус,Intermark т.п. и их работники.Больших имен было много- но для нас все равны. Мы их называем students.Одним словом-половина Москвы за 9 лет. Короткое сообщения потому-что пройти фильтры провайдеров все-таки не просто. Но мы стараемся. Мы для вас очень стараемся - наши молодые инструкторы/ши. Мы повернем вашу жизнь к лучшему у нас весело .Пусть это станет вашим новым хобби. Почему бы вам не выучить АНГлийский?? Звоните 995 -82-4I Можно начать с нуля и с высших cтупеней. В чем нельзя отказать самому настырному спамеру Рунета, так это в оригинальности. Последний пример - это своеобразный спамерский шедевр. Текст сообщения представляет собой акростих, в котором первые буквы строк складываются во фразу "английский язык". Одна буква, правда, оказалась пропущена... А бязательно приходите к нам н ет лучшего варианта Л ишнее местечко пока найдется И ты заговоришь Й огом быть не обязательно с ейчас а не завтра к онечно приходите и проблем не будет й азнаб (читай наоборот) я рекомендую всем з нать ы к онечно правильный выбор!!! [095] 105 \ 51 \ 86 4. Успех антиспамерского фильтра обеспечивает совмещение различных технологий фильтрации В настоящее время производители антиспамерского ПО пошли по пути использования в рамках одного программного модуля различных технологий фильтрации. Несмотря на то, что многие популярные фильтры заявлены разработчиками как "привязанные" к какой-то одной основной технологии фильтрации (например, байесовские алгоритмы, шинглы и т.п.), на самом деле мощный и отвечающий современным требования к качеству фильтр всегда использует практически весь спектр эффективных методов борьбы со спамом. Уже сейчас фильтры, совмещающие несколько технологий и методов детекции спама - от детекторов массовости и формальных правил, описывающих параметры рассылки, до нечеткой контентной фильтрации, - оказываются способными классифицировать как спам более 95% всей незапрошенной корреспонденции рекламного характера. Для конечного пользователя это практически равносильно решению проблемы со спамом. На почтовых серверах, использующих несколько высокотехнологичных методов фильтрации, рассылки Центра Американского Английского практически остановлены. В частности, такая ситуация сейчас наблюдается на серверах Mail.ru, где работает фильтр "Спамтест" компании "Ашманов и Партнеры", на серверах почтовой службы Яндекса, где безопасность почты обеспечивает модуль "Спамоборона". Отсутствие сильного выигрыша по эффективности "пробоя" фильтров при использовании технически сложных приемов заметно не только разработчикам антиспамерского ПО, но и самим спамерам. Создается впечатление, что спамеры постепенно отказываются от технически сложных и финансово затратных способов обхода фильтров и возвращаются к простым приемам: использование лишних пробелов в словах, расставленных случайным образом, а также случайные последовательности символов в начале и конце письма. Скорее всего, разработчиков антиспамерского ПО еще ожидают технологические сюрпризы от спамеров. Но нет впечатления, что здесь возможны принципиальные прорывы. Современные программы фильтрации уверенно детектируют спам, в котором применяются контентные приемы обхода антиспам-фильтров, вытесняя спамеров в ниши, пока не обеспеченные современной защитой (мелкие корпоративные почтовые сервера и т.п.).   Следующий номер электронного журнала Спамтест выйдет 12 января 2005 года. С Новым годом!   Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) ЗАО "Ашманов и Партнеры", 2003-2004