Электронный журнал "Спамтест" No. 227 В этом номере: Новости Спам-статистика за период 24 - 30 марта 2008 г. Спам в марте 2008 Новости В Израиле принят закон против спама 28.03.2008 Комитет кнессета по экономике одобрил внесенный на рассмотрение законопроект против спама во втором и третьем чтениях. Согласно новому закону, рассылка коммерческой рекламы по каналам электронной почты, SMS- и факсимильной связи, а также с использованием телефонной связи без четко оговоренного согласия получателя карается штрафом в размере 200000 шекелей (более 57000 долларов). Согласие на получение коммерческих рассылок должно быть заявлено в письменном виде или электронным письмом. В случаях, когда адресат предоставляет рекламодателю свою контактную информацию при покупке товаров/услуг и заранее уведомлен о возможности использования этой информации при проведении рекламных акций, его согласия на подобную рассылку не требуется. Рекламные сообщения должны быть соответствующим образом помечены и препровождены достоверной информацией об источнике рассылки и рекламодателе. Нарушителям требований к оформлению коммерческой рекламы грозит штраф в размере до 67000 шекелей (более 19000 долларов). Закон о спаме, который вступит в силу через полгода, предоставляет израильским пользователям возможность привлечь спамера к суду без представления доказательств о нанесенном ущербе. Максимальная сумма штрафа за каждое нелегитимное письмо составляет 1000 шекелей (около 287 долларов). Комитет отказался утвердить предложение о создании единой базы данных пользователей, заявивших об отказе от коммерческих рассылок. Это предложение было сформулировано на основании модели, действующей в США. Источник: HAARETZ Дорого... к Пасхе (пасхальные идеи от спамеров) 28.03.2008 В канун католической Пасхи исследователи компании Marshal зафиксировали новую спам-рассылку с ботнета Rustock. В качестве праздничного подарка спамеры рекламировали VPXL - специфическую продукцию индийских фармацевтов, призванную польстить мужскому тщеславию. Специалисты Marshal отмечают, что текст cпамовых сообщений предельно краток и содержит ссылку на сайт интернет-аптеки компании Express Herbals, специализирующейся на продаже сомнительных медикаментов. Письма спамеров снабжены поддельными заголовками почтовых клиентов Apple Mail и Microsoft Entourage. Согласно статистике компании BitDefender, в январе на долю нелегитимной рекламы VPXL приходилось 75% от общего объема фармацевтического спама в Интернете. Программа-бэкдор Rustock, зарегистрированная в "Лаборатории Касперского" как SpamTool.Win32.Mailbot.bd, включает функциональный модуль для рассылки спама. По данным Marshal, на долю спама, рассылаемого с зараженного Rustock ботнета, в феврале приходилось около 13% глобального спам-трафика; в начале марта этот показатель вырос до 17,5%. Лидерство по рассылке спама с ботнетов по-прежнему удерживает троянец Srizbi, на долю которого в настоящее время приходится уже 43,7% спам-трафика. На третьем месте - Ozdok (16,5% от общего объема спама). Эффективность Hacktool.Spammer, Pushdo и "штормового" троянца скромнее - 6,8%, 5,1% и 1,4% соответственно. Источник: MARSHAL Источник: MARSHAL Эксплойт атакует тандемом 28.03.2008 Специалисты по компьютерной безопасности предупреждают о применении злоумышленниками новой тактики при проведении кибератак с использованием уязвимостей в "движке" Microsoft Jet Database Engine. Сценарий атаки выглядит следующим образом. Пользователь получает спамовое послание с двумя вложенными файлами - в форматах ".doc" и ".mdb" (файл базы данных). Почтовый клиент сохраняет оба файла в одной директории. Пользователь открывает текстовый файл, и тот, напрямую обращаясь к компоненту базы данных "msjet40.dll", автоматически загружает заряженный эксплойтом mdb-файл. Использованные в данной атаке эксплойты хорошо известны и зарегистрированы в базе "Лаборатории Касперского" как Trojan-Dropper.MSAccess.Jet.c и Trojan-Dropper.MSAccess.Jet.f. При успешной эксплуатации уязвимости на машину жертвы устанавливается троянская программа удаленного администрирования Backdoor.Win32.Ayam. Поскольку сценарий кибератаки не срабатывает, если doc-файл открывается непосредственно из почтового аккаунта (без использования программы-клиента) либо в отсутствие в той же директории зараженного mdb-файла, злоумышленники в некоторых случаях архивируют этот тандем и рассылают его в виде zip-вложения. Эксплуатируемые в описанных атаках уязвимости - CVE-2005-0944 и CVE-2007-6026 - до сих пор не пропатчены. Mdb-файлы Microsoft считает небезопасными, их автоматически блокируют и Internet Explorer, и Outlook. Однако, поскольку браузер и почтовый клиент настроены на фильтрацию почты на основе файловых расширений, злоумышленники научились обходить эту преграду, переименовывая вредоносный mdb-файл и снабжая его более безобидным расширением - ".asd", ".doc". Microsoft разработала новую версию библиотеки "msjet40.dll", устранив названные уязвимости; она уже используется в Windows Vista и Windows Server 2003 SP2. По заявлению представителей компании, подготовленный к выпуску пакет Windows XP SP3 также будет защищен от mdb-атак. Не исключена возможность выпуска патчей для более ранних версий MS Office. А пока Microsoft советует администраторам корпоративных сетей блокировать mdb-файлы (в том числе и переименованные) на входе, а индивидуальным пользователям - проявлять бдительность и никогда не открывать вложения в письма из незнакомых и подозрительных источников. Источник: AvertLabs Источник: SYMANTEC Судьба коммерческой рекламы (исследования маркетологов) 31.03.2008 Согласно итогам опроса, проведенного в США маркетинговой ассоциацией Q Interactive и исследовательской компанией MarketingSherpa, половина получателей коммерческих электронных рассылок отправляют рекламу в спам-карантин, руководствуясь отнюдь не ее правомочностью, а субъективным восприятием. Опрос пользователей электронно-почтовых сервисов, предоставляющих опцию "Пожаловаться на спам", позволил выявить, что термин "спам" в применении к коммерческим рассылкам постепенно теряет значение "нелегитимная корреспонденция" и все чаще трактуется как "нежелательные сообщения". 56% респондентов, получающих коммерческую рекламу из известных им источников, заявили, что расценивают ее как спам, если она не представляет для них интереса. Половина опрошенных (анкета допускала несколько вариантов ответа) считали подобные сообщения спамовыми, если отправитель злоупотреблял частотой рассылок; 31% назвали спамом коммерческие рассылки, на момент отправки утратившие свою актуальность. Что касается опыта использования опции "Пожаловаться на спам", то почти половина участников опроса не указали в числе причин ее активации главную - отсутствие подтвержденного согласия на коммерческую рассылку. 41% респондентов отметили, что пользуются данной опцией, когда рекламное предложение им не интересно, 25% - если отправитель слишком настойчив, 20% используют спам-карантин для очистки переполненного рекламой почтового ящика. Кроме того, выяснилось, что пользователи имеют весьма отдаленное представление о функциях системы ручной фильтрации почты. 56% опрошенных были убеждены, что при активации опции "Пожаловаться на спам" система будет блокировать всю дальнейшую корреспонденцию из этого источника. 21% респондентов полагали, что отправка бесполезной рекламы в спам-карантин стимулирует рассылку более информативных материалов. Более того, около половины участников опроса заявили, что, используя эту опцию, можно сигнализировать о своем отказе от коммерческих рассылок. Подобная путаница приводит к неверному практическому использованию системы ручной фильтрации. 43% респондентов отметили, что, не желая получать коммерческую рекламу, пользуются не указанной в письме релевантной ссылкой, а кнопкой "Пожаловаться на спам" - независимо от того, спам это или нет. 21% опрошенных пытались заявить о своем отказе от коммерческой рассылки с помощью опции "Пожаловаться на спам", хотя не считали полученное сообщение нелегитимным. Источник: PR Newswire Рунет под обстрелом 31.03.2008 Вслед за "черным" PR в виде рассылки ложных уведомлений о свертывании хостинг-сервиса AGAVA злоумышленники провели DDoS-атаку на веб-сайт этой компании. Разосланные от имени руководства AGAVA письма-подделки извещали клиентов, что в компании якобы грядет реорганизация. В связи с этим подразделение веб-хостинга прекращает работу с 15 апреля 2008 года, а вся клиентская база по договору передается на обслуживание хостинг-провайдеру SlavHost.ru. Получателей также просили осуществить перенос их веб-сайтов до указанного срока, связавшись со службой технической поддержки SlavHost.ru. Администрация hosting.agava.ru опубликовала и разослала клиентам по электронной почте официальное опровержение, в котором заявила о непричастности компании к спам-рассылке. В AGAVA полагают, что данная акция имела целью переманивание клиентов, однако последние охотно предоставляли компании все данные о подозрительной рассылке. Как оказалось, поддельные письма были отправлены с посторонних доменов - jaymorgroup.com, jaybrowngallery.com. В ночь на 28 марта против веб-сайта agava.ru была проведена DDoS-атака. Эксперты компании полагают, что это событие никак не связано с рассылкой фиктивных извещений. По словам Михаила Якубова, вице-президента AGAVA по развитию интернет-проектов, "DDoS - практически постоянная штатная ситуация для крупного хостера. Уж кого-нибудь да ддосят - если не самого хостера, так кого-нибудь из клиентов. Так что и опыт, и квалификация по борьбе с такими атаками в компании на хорошем уровне". За несколько дней до описываемых событий DDoS-атакам подвергся новый интернет-портал Life.ru, а в середине марта несколько ботнетов пытались вывести из строя сайт издательского дома "Коммерсантъ" kommersant.ru. Источник: Вебпланета Источник: Вебпланета Раскаявшемуся оператору ботнета тюремный срок заменят общественными работами 02.04.2008 18-летний новозеландец Оуэн Уокер (Owen Walker), арестованный в ходе проведения ФБР операции "Бот", признался в использовании компьютерной техники в криминальных целях, несанкционированном доступе к чужим ресурсам, владении программными средствами для совершения преступных деяний и нанесении имущественного ущерба. Принимая во внимание факт раскаяния и тяжесть заболевания несовершеннолетнего нарушителя, суд рассмотрит возможность принятия альтернативных тюремному сроку мер наказания. Известный под ником AKILL юный программист предположительно возглавлял международную криминальную группировку, создавшую миллионный ботнет и занимавшуюся банковским фишингом, рассылкой спама, проведением DDoS-атак и распространением программ для рассылки рекламы (AdWare). По экспертной оценке, в результате этой противозаконной деятельности участники стали обладателями внушительной суммы - 20 миллионов долларов. Тем не менее, в предъявленном Уокеру обвинении его руководящая роль в эксплуатации ботнета напрямую упомянута не была. В пункты обвинения не были включены и материальные притязания потерпевших. По новозеландскому закону за вменяемые ему нарушения Уокер подлежит тюремному заключению суммарным сроком до 5 лет (по другим новостным источникам - до 7 лет). Однако выяснилось, что подсудимый страдает синдромом Аспергера - слабой формой аутизма, при котором отсутствие навыков общения нередко компенсируется незаурядными интеллектуальными способностями. По свидетельству полиции, написанная им вредоносная программа выполнена на высоком техническом уровне. В настоящее время Уокер отпущен под поручительство до вынесения приговора, которое назначено на 28 мая. В качестве альтернативного наказания к нему могут быть применены режимные меры с проживанием дома или в пределах общины, он может быть привлечен к общественным работам и/или оштрафован. Источник: The Register Источник: AP Первоапрельские "шутки" спамеров. И не только 02.04.2008 Специалисты по сетевой безопасности не советуют доверять полученным из неизвестных источников электронным поздравлениям. Милая шутка, отправленная в начале апреля со "штормового" ботнета, может обернуться "троянской" катастрофой. Накануне Всемирного дня дураков была зафиксирована многотиражная спам-рассылка, нацеленная на расширение владений "штормового" ботнета. Короткие сообщения, сопровождаемые ссылкой в виде IP-адреса, были снабжены уместными привлекательными заголовками. Указанный в спамовых письмах URL менялся в характерной "fast-flux"-манере - исследователи компании Commtouch ежечасно регистрировали по нескольку сотен новых вариантов. На веб-странице, на которую попадал получатель, было размещено изображение первоапрельского шута с подписью, провоцирующей начать ручную загрузку "шутки" по истечении 5 секунд. По свидетельству экспертов, и бездействие, и инициатива посетителя сайта заканчиваются одинаково - загрузкой на его машину новой модификации "штормового" троянца. Зафиксированы следующие имена исполняемых файлов: "foolsday.exe", "funny.exe", "kickme.exe". Исследователи компании TrendMicro отмечают, что злоумышленники даже не удосужились подготовить к празднику собственное изображение и взяли первое попавшееся из поисковика Google. Эксплойтов на указанной веб-странице пока не обнаружено. По данным экспертов, использованная спамерами модификация "штормового" троянца пока не детектируется большинством антивирусных программ. Антивирус Касперского детектирует ее как Email-Worm.Win32.Zhelatin.wq. Операторы прочих ботнетов остались безучастными к праздничному оживлению в Интернете, чего нельзя сказать о легитимных веб-сайтах. Так, Google предлагает воспользоваться "новым сервисом" по отправке Gmail-сообщений задним числом по выбору. В F-Secure якобы обнаружили новую версию банковского троянца, вносящего денежные средства на счет жертвы. Sophos рекламирует "бета-версию программы RAPIL" (анаграмма слова "APRIL" - "апрель"), которая проактивно выявляет потенциальных хакеров на основе физиогномического анализа персонажей видеороликов. А шутники с веб-сайта CNews.ru сообщают о новой вредоносной программе, якобы инфицирующей владельцев ПК сонливостью и вызывающей у них желание покинуть рабочее место, а также о рассылке по каналам ICQ мифического троянца под видом zip-вложений. Источник: The Register Источник: COMMTOUCH Источник: isc.sans.org Спам-статистика за период 24 - 30 марта 2008 г. "Лаборатория Касперского" Объем и тематические особенности спама Доля спама в почтовом трафике Рунета за прошедшую неделю незначительно уменьшилась по сравнению с предыдущей и составила в среднем 89,9%. В тематическом распределении спама на прошедшей неделе произошли существенные изменения. Главные из них коснулись рубрики "Медикаменты; товары и услуги для здоровья" - ее относительная доля в общем потоке спама снизилась на целых 10,3%, а также рубрики "Другие товары и услуги", доля которой, напротив, увеличилась на 9,9%. Также стоит отметить продолжающийся рост числа рассылок, посвященных отдыху и путешествиям (+3%). Показатели рубрики "Образование" по-прежнему остаются высокими. Отчасти это связано с весенней актуализацией данной темы, о чем мы уже говорили на прошлой неделе. К подобным "сезонным" рассылкам можно отнести, к примеру, предложение помощи в подготовке к ЕГЭ. Однако наряду с рекламой услуг сомнительного происхождения спам-рассылки начали использоваться как инструмент "раскрутки" вполне респектабельных образовательных учреждений. К сожалению, тенденция увеличения количества незаконных спам-предложений не ограничивается относительно безвредной рекламой образовательных услуг. В наиболее массовых рассылках прошедшей недели нам встретились и реклама поддельных пластиковых карт, и услуги по возвращению долга, и предложение "заказать" конкурента (к счастью, речь идет не о киллерах, а "всего лишь" о выводе из строя технических средств конкурента - сайта и телефонной сети). Рекламой шпионских брелоков и мини-видеокамер уже и никого не удивишь, и в ответ появляются контрпредложения - например, система, позволяющая отслеживать местонахождение близких и таким образом контролировать их безопасность. На стыке "сезонного" и противозаконного спама оказалась рассылка от имени одной петербургской адвокатской консультации, предлагающей услуги для не желающих служить в армии призывников под лозунгом "Сохрани свою свободу!". Популярные тематики No Тематика Описание Доля тематики Изменения за неделю 1 Другие товары и услуги Предложения других товаров и услуг 22,6% +6,9% 2 Медикаменты; товары/услуги для здоровья Предложения приобрести лекарственные препараты, БАДы и т.п. в online. Предложения медицинских и оздоровительных услуг, а также сопутствующих товаров. 16,4% -10,3% 3 Образование Реклама семинаров, тренингов, курсов 15,7% -1,1% 4 Реплики элитных часов Копии элитных, в первую очередь швейцарских, часов 9,5% +1,9% 5 Отдых и путешествия Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий. 9,1% +3,0% 6 Спам "Для взрослых" Предложения скачать/получить/ознакомиться с контентом "для взрослых". Знакомства и т.п. 4,7% +1,1% 7 Недвижимость Предложения сдать/снять недвижимость, строительство, риелторские услуги и пр. 3,9% +0,6% 8 Услуги по электронной рекламе Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п. 3,6% -0,3% 9 Компьютеры и Интернет Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.) 3,4% -2,4% 10 Юридические услуги и аудит Предложения юридических услуг 3,2% Без изменений 11 Остальной спам   2,7% +1,4% 12 Личные финансы Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма. 2,4% +0,9% 13 Полиграфия Визитки, календари, печать, услуги типографии и пр. Менее 2% -0,1% 14 Компьютерное мошенничество Фишинг, "нигерийские" письма, поддельные извещения о выигрыше в лотерею и пр. попытки мошенничества Менее 2% -1,5% Образчики самого массового и самого оригинального спама вы найдете на сайте Спамтест. Спам в марте 2008 Татьяна Куликова, "Лаборатория Касперского" Особенности месяца Доля спама в почтовом трафике по сравнению с февралем возросла и составила в среднем 90,7%. Вредоносные файлы и ссылки на зараженные веб-страницы, а также ссылки на фишинговые сайты содержались в 2,32% всех электронных писем. Доля нелегитимных писем с графическими вложениями составила 28% всех спамовых посланий. Спамеры использовали псевдобелый текст для "зашумления" писем. Отмечены письма с вредоносными вложениями, подделанные под дружескую переписку. Зафиксировано большое количество рассылок с предложениями реплик (дешевых копий) элитных товаров (часов, сотовых телефонов). Спамеры продолжают "черный" PR известных компаний и социальных сайтов. Доля спама в почтовом трафике Доля спама в почтовом трафике в марте 2008 года в среднем составила 90,7%. Самый низкий показатель был отмечен 27 марта - 83,5%, больше всего спама было зафиксировано 1 марта - 97,8%. В марте почти треть всего спама составил спам с графическими вложениями. В январе на его долю приходилось всего 14% спамовых писем, в феврале - 20%, в марте же подобный спам побил все рекорды - его доля увеличилась до 28%. Тематический состав спама Лидирующие спам-тематики в марте 2008 года: "Медикаменты; товары и услуги для здоровья" - 24,9%. "Образование" - 14,8%. "Реплики элитных часов" - 9,1%. "Отдых и путешествия" - 6,6%. "Компьютеры и Интернет" - 5,1%. Рубрика "Медикаменты; товары и услуги для здоровья" не сдает свою лидирующую позицию. К непрекращающимся англоязычным рассылкам виагры теперь добавилась русскоязычная реклама препаратов типа "Мужское сокровище". Отличительной особенностью подобных снадобий является их принадлежность к тибетской или китайской медицине. Приближение конца учебного года способствовало увеличению доли спама, входящего в тематическую группу "Образование". К многочисленным предложениям по изготовлению дипломов о высшем образовании прибавилась реклама услуг по репетиторству и подготовке к ЕГЭ. Не забывают спамеры и о том, что по завершении выпускных экзаменов бывших школьников и студентов ожидает выпускной вечер. Ранее встречавшиеся в спаме предложения, приуроченные к "корпоративам", теперь переориентировались на будущих выпускников, что наряду с приближающимися майскими праздниками утвердило рубрику "Отдых и путешествия" в пятерке лидеров. В марте мы выделили новую тематическую категорию спама. В последнее время в Рунете значительно возросло число предложений по продаже реплик очень дорогих товаров, и именно дешевые копии элитных швейцарских часов стали основными объектами подобных рассылок. В марте их все чаще стали предлагать в русскоязычном спаме. Кроме реплик часов объектами русскоязычной спам-рекламы стали копии модных дорогих телефонов. Спамеры утверждают, что недорогие часы и телефоны "элитного" вида являются подходящим подарком, способным послужить на благо имиджа их владельцев. Спамерские методы и трюки В марте спамеры активно включали в свои послания ссылки на результаты поиска в Google. Данная поисковая система позволяет получить для конкретного URL ссылку, по сути являющуюся открытым редиректом. При переходе по ней пользователь попадает непосредственно на страницу со спам-рекламой, в то время как сама ссылка с точки зрения спам-фильтра выглядит вполне легально. Этот прием характерен как для русскоязычного, так и для англоязычного спама. В стремлении обойти системы фильтрации спамеры модифицировали один из приемов "зашумления" текста писем и стали использовать для оформления случайного набора букв, которым перемежается текст рассылки, псевдобелые цвета. Белый текст на белом фоне применялся ими и ранее, однако спам-фильтры научились распознавать данный прием. Теперь "зашумляющие" наборы букв (чаще всего латинских) имеют оттенок, близкий к фону письма (светло-желтый, светло-голубой). Рекламный текст при этом выделяется крупным шрифтом ярких цветов, чтобы получатели не испытывали никаких затруднений при прочтении сообщения. Еще один прием, служащий для обхода спам-фильтров, - деформация ссылки в письме. К примеру, спамеры могут заменить точки в адресе сайта русским словом "точка". Однако данный прием не слишком эффективен: спам-фильтр, возможно, и не отреагирует на подобное послание, но ссылка теряет "кликабельность" и выглядит неудобочитаемой. Описанные выше ухищрения спамеров доказывают, что порой они готовы пожертвовать удобством чтения и внешним видом рекламного послания во имя повышения шансов его успешной доставки получателю. Подобные письма вряд ли имеют широкий отклик - они способны увлечь только любителя разгадывать ребусы. Криминализированный спам Вредоносные спам-рассылки Письма со ссылками на зараженные сайты и с вредоносными вложениями продолжают рассылаться на почтовые ящики пользователей. В частности, в марте спамеры использовали для распространения вредоносных программ письма, подделанные под личную переписку. Важно отметить, что эти послания рассылались одновременно на русском и английском языках. Главная их цель - заставить получателя открыть вложенный вредоносный файл. Для того чтобы письма больше походили на короткую весточку от друга, в них обязательно упоминается о предстоящем визите, случайной встрече на улице или о пересылаемых по договоренности файлах. Впрочем, получателя должен насторожить совершенно незнакомый адрес "друга". В марте спамеры не только неоднократно занимались саморекламой, описывая выгоды нелегитимных массовых рассылок, но и разослали письма, рекламирующие спам-систему. Помимо рекламы спамерского ПО, каждому желающему предлагалось научиться самостоятельно настраивать троянские программы и осуществлять спам-рассылки. "Черный" PR Первый месяц весны ознаменовался волной рассылок, имевших целью дискредитировать репутацию известных компаний и сайтов. Первой жертвой "черного" PR стал издательский дом "Коммерсантъ". Затем спамеры массово "прорекламировали" популярные социальные сети Украины. Главным козырем подобных рассылок были намеки на непристойное содержание сайтов. Новой атаке подверглась cтраховая компания "Автогарант". Спамеры даже не меняли текста рассылки, которая прошла в начале года, поэтому в марте получателям предлагалось застраховаться по январским скидкам. Это подтверждает, что главной целью рассылки являлся компромат фирмы. Отметим, что спамеры, хотя и не меняли текста письма, воспользовались новой методикой в надежде обойти спам-фильтры - послание было "зашумлено" с помощью случайного псевдобелого текста. Спамеры-филантропы? В марте одна из известных спамерских фирм, вероятно, решила улучшить свою репутацию. Она предлагает помочь людям, потерявшим своих родных и близких, с помощью массовой рассылки. Причем в письме гарантируется абсолютно безвозмездное оказание услуги. (Примеры спамовых писем вы найдете на сайте Спамтест.) Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2005