Электронный журнал "Спамтест" No. 279 в этом номере: Новости Спам-статистика за период 6 – 12 апреля 2009 г. Новости Symantec о мартовских спам-рассылках 13.04.2009 По оценке компании Symantec, современные объемы спама составляют примерно 91% от количества, зафиксированного на момент отключения от Сети криминального веб-хостинга McColo. В тематическом разделении спам-рассылок по-прежнему лидирует категория интернет-услуг, вклад которой в спам-трафик увеличился и в марте составлял 35%. Второе место занимала реклама медицинских препаратов (19%); услуги индустрии развлечений и промтовары продвигались менее активно (17 и 14% соответственно). На долю «нигерийских» писем, зафиксированных экспертами, в отчетный период приходилось 5% от общего количества спама. Странами-лидерами в рассылке спама остаются США (28% спам-трафика) и Бразилия (9%). Доминирующей разновидностью нелегитимных писем являются сообщения с внедренными ссылками (URL-спам), вклад которых в спам-трафик в начале апреля, по оценке Symantec, составлял в среднем 95%. Более половины (57,16%) URL, использованных в мартовских спам-рассылках, было привязано к родовому домену .com, треть – к домену .cn. 72,9% спамовых писем, зарегистрированных экспертами, по размеру относились к категории 2-5 КБ. Исследователи отмечают, что по мере приближения последнего срока сдачи документов по налоговой отчетности количество поддельных писем на эту тему непрерывно увеличивается. Стремясь завладеть данными налогоплательщиков, фишеры проводят массовые рассылки не только от имени Налоговой службы США, но представляются также сборщиками налогов со всех концов света. Предложения от спамеров в отношении недвижимости, по свидетельству Symantec, в минувшем месяце поменяли акцент. Ранее мошенники пытались вовлечь своих корреспондентов в сомнительные аферы по оперативному приобретению прав собственности на дома с просроченными закладными. Теперь они предлагают помощь по предотвращению ситуаций, заканчивающихся отчуждением заложенной недвижимости. Из вредоносных писем эксперты особо отметили ложные сообщения о теракте, который якобы был осуществлен по месту жительства получателя. Эти сообщения предполагали загрузку вредоносной программы под видом видеоролика с материалами происшествия. Еще одна спам-рассылка, нацеленная на распространение сомнительного программного продукта, использовала ажиотаж вокруг возможных последствий массового заражения сетевым червем Conficker. В письмах предлагался «антивирус» и утверждалось, что он является надежной защитой от этой угрозы. В мартовском отчете Symantec опубликовала также статистику по количеству зараженных ПК, которые могут использоваться злоумышленниками для рассылки спама, проведения DDOS-атак и размещения фишинговых и вредоносных веб-страниц. В марте региональное первенство по этому показателю, по данным компании, удерживали страны Европы, Азии и Ближнего Востока, на долю которых приходилось 45% всемирного парка зомби-компьютеров, причем лидером региона была Россия. В общемировом масштабе наибольшее число зомби-компьютеров было обнаружено в Бразилии (14%). Источник: eval.symantec.com [PDF 1,69Мб] MessageLabs о мартовском наступлении спамеров 14.04.2009 По оценке компании MessageLabs, количество почтового «мусора» в минувшем месяце в целом превышало показатели, зафиксированные на момент отключения от Сети веб-хостинга McColo. Эксперты объясняют этот прорыв увеличением потоков спама, распространяемого с ботнетов Donbot и Rustock. Согласно статистике MessageLabs, общие объемы спама из новых и неизвестных источников в марте увеличились на 2,4% и составляли 75,7% почтового трафика. Самый высокий уровень спама – 83,3% от общего объема электронной корреспонденции - наблюдался в машиностроительной отрасли. В отчетный период больше прочих от спама страдали жители Азиатско-тихоокеанского региона. Уровень спама в почтовом трафике Гонконга составлял 88,7%, Китая – 88,4%. Исследователи отмечают, что спам, получаемый жителями Гонконга и Австралии, как правило, разноязычен. В Китае и Индии, где происходит активное освоение скоростного Интернета, а также в высокоразвитой Японии более распространены «мусорные» сообщения, ориентированные на местных пользователей. Большинство мартовских спамовых и фишинговых рассылок, зафиксированных экспертами, было привязано к теме экономического кризиса. Ряд спам-рассылок был посвящен знаменательным общественным событиям и сезонным праздникам, в частности, Дню святого Патрика. Число вредоносных программ, распространяемых с помощью ссылок в спамовых письмах, по оценке MessageLabs, увеличилось на 16,5% и в марте составляло 20,3% от общего количества вредоносной корреспонденции. 14% спама с вредоносными ссылками, обнаруженного в прошлом месяце, было оформлено в виде виртуальных открыток. Исследователи отметили также, что злоумышленники вновь обратились к использованию рекламных «картинок» с внедренным вредоносным скриптом. Многие из таких изображений, обнаруженных MessageLabs в прошлом месяце, были размещены на бесплатных специализированных веб-хостингах. В отдельных случаях «картинка» со скрипт-инъекцией была внедрена в тело спамового письма. Источник: messagelabs.com Источник: zdnetasia.com Академики помогают ловить спамеров 14.04.2009 В университете Алабамы, г. Бирмингем, запущен проект Spam Data Mining for Law Enforcement, нацеленный на автоматизацию процесса идентификации, задержания и привлечения к ответу злостных спамеров. По замыслу авторов проекта, сбор образцов спамовых писем и адресов фишинговых веб-сайтов должен осуществляться на регулярной основе. Также систематически и скоординированно должен вестись анализ собранных материалов. Полученные данные предполагается использовать в работе правоохранительных органов и систем раннего оповещения о кибератаках. Проект предполагает тесное взаимодействие всех участников на уровне грид-среды. В настоящее время группа сотрудников университета, используя внутреннюю компьютерную сеть, ежедневно обрабатывает тысячи спамовых сообщений, выявляя в них схожие элементы, а также IP-адреса отправителей и маршруты следования рассылок. Материалы по обнаруженным источникам кибератак и особенностям почерка их организаторов направляются специалистам по сетевой безопасности и правовым структурам. Примером успешной работы в рамках проекта UAB Spam Data Mine может служить выявление инициатора многомиллионной спам-рассылки в поддержку кандидата в президенты США Рона Пола (Ron Paul). Как оказалось, ее автором был зарубежный спамер nenastnyj, который выполнял разовый заказ и использовал для рассылки ботнет Srizbi, управляемый последней версией программы Reactor Mailer. Эксперты по почерку определили, что автором этой обновленной программы является украинский вирусописатель, известный в криминальных кругах под ником vlaman. Создатели UAB Spam Data Mine надеются, что в случае успешной реализации проекта американские законы заработают надлежащим образом и американский сектор Интернета станет чище. Источник: npr.org Источник: cis.uab.edu Ботнет Kido активизировался 15.04.2009 В ночь с 8 на 9 апреля компьютеры, зараженные сетевым червем Kido, известным также как Conficker и Downadup, через P2P-соединения получили команду на загрузку ложного антивируса SpywareProtect2009 и спамбота Waledac. Как установили эксперты «Лаборатории Касперского», загружаемая Kido программа FraudTool.Win32.SpywareProtect2009.s размещена на серверах, расположенных на территории Украины. При запуске она выводит на экран резидентной системы многочисленные оповещения о несуществующих проблемах и предлагает «удалить найденные угрозы», требуя за это 49,95 долларов. Кроме того, этот «антивирус» пытается загрузить в систему еще один компонент — троянский даунлоудер, который обеспечивает загрузку новых версий SpywareProtect2009. Функционал почтового червя Waledac (в классификации «Лабораторией Касперского» - Email-Worm.Win32.Iksmas.atz) ориентирован на хищение информации и рассылку спама. По данным экспертов, его загрузка производилась с сервера goodnewsdigital.com, который является одним из основных источников распространения этой вредоносной программы. В «Лаборатории Касперского» наблюдали, как после установки в систему один из ботов Waledac в течение 12 часов неоднократно подключался к своим центрам управления по всему миру и получал от них команды на рассылку спама. За это время он отправил 42298 спамовых сообщений. Если предположить, что общее количество зараженных Kido машин составляет 5 миллионов (а, по некоторым оценкам, их может быть более 10 миллионов) и все они будут работать с такой же производительностью, то за сутки этот ботнет способен разослать около 400 миллиардов единиц спама. Исследователи отмечают, что для обхода систем фильтрации спамеры на этот раз снабдили практически каждое письмо уникальной ссылкой. Практически все указанные ссылками веб-сайты размещены в китайской доменной зоне и зарегистрированы разными лицами. Первичный анализ кода новой версии Kido показал, что она будет функционировать до 3 мая 2009 года. Однако, по оценке Trend Micro, далеко не все компьютеры, зараженные Kido, получили обновления. Полиморфный сетевой червь Kido с функционалом даунлоудера использует критическую уязвимость MS08-067 в Microsoft Windows и распространяется через локальные сети и съёмные носители информации. Наибольшее число заражений Kido зарегистрировано в корпоративных сетях. Хотя патч для устранения упомянутой уязвимости был выпущен в октябре прошлого года, в настоящее время, по оценке компании Sophos, 10% пользователей его пока не установили. В настоящее время многие компании, специализирующиеся на сетевой безопасности, добавили сигнатуры Kido в свои базы данных и даже разработали утилиты для его обнаружения и удаления. Однако борьба с этой инфекцией осложнена тем, что этот червь, установившись в системе, блокирует доступ к веб-сайтам этих компаний. А в целях профилактики рядовым пользователям рекомендуется отключить функцию автозапуска в системе Windows. Источник: kaspersky.ru Источник: blog.trendmicro.com Источник: forums2.symantec.com Commtouch о спаме в 1 квартале 15.04.2009 По оценке Commtouch, в 1 квартале текущего года уровень спама в нефильтруемом почтовом трафике составлял около 72%. Пик спам-рассылок (96% от общего объема почтовой корреспонденции) пришелся на начало января, а в феврале уровень спама снизился до 65%. В тематическом разделении спам-рассылок в отчетный период преобладали предложения займов и ссуд – 28% от общего объема спама. Вклад категории медицинских препаратов и услуг в почтовый трафик значительно сократился сократился и составлял 19%. Однако в Commtouch рассматривают рекламу средств повышения потенции и средств для похудания как отдельные категории; на их долю в 1 квартале приходилось 11 и 7% соответственно. Значительная часть спам-рассылок – 20% - была посвящена рекламе копий товаров престижных марок. С начала года в Commtouch наблюдают изменение тактики проведения спам-рассылок. Их авторы теперь направленно атакуют пользователей одного интернет-провайдера, затем переключаются на клиентуру другого и постоянно меняют smtp-серверы. По мнению экспертов, применение такой методики вызвано успехами организованной борьбы со спамом, и нацелено на то, чтобы эффективней маскировать источники спам-рассылок и избежать занесения в «черные списки». Исследователи отметили также значительное увеличение потоков нелегитимных писем, написанных на русском языке. Русскоязычный спам, по их утверждению, уникален тем, что распространяют его легальные бизнес-структуры. По всей видимости, это связано с ограниченностью правовой практики наказания за спам, и такие коммерческие рассылки рассматриваются частью легального бизнеса как дешевое средство прямого маркетинга. Источник: commtouch.com [PDF 1,01Мб] Спам-статистика за период 6 - 12 апреля 2009 г. "Лаборатория Касперского" Объем и тематические особенности спама На прошедшей неделе доля спама в почтовом трафике Рунета в среднем составила 83,2%. Тематическое распределение спама по сравнению с первой неделей апреля изменилось незначительно. Выросла доля тематики «Реклама спамерских услуг» (+2,4%), слегка уменьшилась доля рубрики «Недвижимость» (-2,2%). Колебания долей других рубрик остались в пределах 2%. Популярные тематики № Тематика Описание Доля тематики Изменения за неделю 1   Медикаменты; товары/услуги для здоровья   Предложения приобрести лекарственные препараты, БАДы и т.п. в online. Предложения медицинских и оздоровительных услуг, а также сопутствующих товаров.   20,3%   +1,0%   2   Реклама спамерских услуг   Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п.   19,0%   +2,4%   3   Образование   Реклама семинаров, тренингов, курсов   13,7%   +1,1%   4   Другие товары и услуги   Предложения других товаров и услуг   10,5%   -1,2%   5   Реплики элитных товаров   Копии часов, аксессуаров, обуви и других товаров известных марок   8,0%   -1,4%   6   Недвижимость   Предложения сдать/снять недвижимость, строительство, риелторские услуги и пр.   6,7%   -2,2%   7   Спам "для взрослых"   Предложения скачать/получить/ознакомиться с контентом "для взрослых". Знакомства и т.п.   4,8%   -0,4%   8   Отдых и путешествия   Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий.   4,8%   -0,1%   9   Юридические услуги и аудит   Предложения юридических услуг   3,7%   +0,8%   10   Компьютеры и Интернет   Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.)   3,6%   -0,4%   11   Личные финансы   Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма.   Менее 2%   -0,5%   12   Полиграфия   Визитки, календари, печать, услуги типографии и пр.   Менее 2%   +0,5%   13   Компьютерное мошенничество   Фишинг, "нигерийские" письма, поддельные извещения о выигрыше в лотерею и пр. попытки мошенничества   Менее 2%   +0,6%   14   Остальной спам     Менее 2%   -0,2%   Примеры спамовых писем смотрите на сайте Спамтест. Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2009