Электронный журнал "Спамтест" No. 281 в этом номере: Новости Спам-статистика за период 20 – 26 апреля 2009 г. Новости Xarvester и Rustock – самые продуктивные спамботы 27.04.2009 По данным компании Marshal, среди современных спамботов наибольшей производительностью обладают Xarvester и Rustock, которые могут отсылать до 25000 сообщений в час, или 600000 в сутки. В первом квартале текущего года исследователи провели сравнительные испытания девяти спамботов: Xarvester, Mega-D, Gheg, Grum, Donbot, Pushdo (Cutwail), Bobax (Kraken), Rustock и Waledac. Каждый образец был установлен на отдельный лабораторный компьютер. В ходе испытаний отслеживались изменения, внесенные в реестр, используемые спамботом порты и объем спам-рассылок. Согласно статистике Marshal, в настоящее время с одноименных ботнетов рассылается более 70% спама в Интернете. Ботнет Rustock функционирует уже более двух лет и специализируется, в основном, на рассылке фармаспама. В апреле 2009 года, по оценке Marshal, на его долю приходилось 26,1% общего объема спама в Сети. Потоки спама с ботнета Xarvester стали неуклонно увеличиваться после прекращения деятельности хостинг-провайдера McColo. Тематика его спам-рассылок ограничена рекламой поддельных часов и медицинских препаратов. В настоящее время вклад Xarvester в спам-трафик составляет 8,2%. Расширение использования ботнетов для рассылки спама в последние годы подняло спам-индустрию на новый уровень, превратив обилие спама в Сети в настоящую эпидемию. Два года назад исследователи Marshal запустили проект по изучению ботнетов-спамеров, в рамках которого и были проведены упомянутые испытания. Источник: theregister.co.uk Источник: marshal8e6.com Два миллиона высокопоставленных зомби 27.04.2009 Исследователи компании Finjan обнаружили ботнет из 1,9 миллиона зараженных ПК, многие из которых работают в сетях американских и английских правительственных учреждений, крупнейших корпораций и университетов. Данные, найденные на управляющем сервере ботнета, который находится на территории Украины, свидетельствуют, что он функционирует с февраля 2009 года. Шестеро совладельцев ботнета, используя широкую сеть партнерских программ, сдавали его в аренду через подпольные онлайн-форумы, взимая в среднем 100 долларов за 1000 зомби-машин. Программа удаленного администрирования, используемая злоумышленниками, автоматически загружается на компьютер жертвы троянцем-даунлоудером при посещении зараженных веб-сайтов. Она эксплуатирует уязвимости браузеров Internet Explorer и Firefox, а также формата pdf. По данным Finjan, в настоящее время ее детектируют только 4 из 39 современных антивирусных продуктов. Приложение, управляющее инфицированными ПК, позволяет реализовать множество функций, в том числе загрузку и исполнение программ копирования файлов, регистрации нажатий клавиш, рассылки спама. Как выяснилось, большая часть приобщенных к новому ботнету компьютеров оснащена ОС Windows XP. По оценке экспертов, 45% зараженных машин находится на территории США, 6% - в Великобритании, немногим меньше – в Канаде, Германии и Франции. Многие из них привязаны к 77 доменам в зоне .gov, а в Великобритании новоявленной инфекцией поражены более 500 корпоративных сетей. Найденную информацию Finjan передала правоохранительным органам США и Великобритании, уведомив о заражениях заинтересованные ведомства и бизнес-структуры. В настоящее время командный сервер обнаруженного ботнета отключен. ФБР и лондонская полиция разыскивают его владельцев, чтобы предотвратить перенос управляющих функций ботнета на другой веб-хостинг. Источник: theregister.co.uk Источник: finjan.com Источник: ft.com Panda Security: в 1 квартале легитимными были 6,7% писем 27.04.2009 Согласно статистике компании Panda Security, в первом квартале текущего года спам составлял в среднем 90,92% почтового трафика. За отчетный период исследователи проанализировали 69 миллионов электронных сообщений. 1,66% из них оказались зараженными, а 0,72% были отнесены к категории подозрительных. Большую часть спам-писем составляли предложения о работе. В основной своей массе они были нацелены на вербовку агентов по отмыванию денег - «дропов» - среди пользователей, которые потеряли работу в условиях экономического кризиса. По оценке Panda Security, лидером по рассылке спама в первом квартале были США, вклад которых в спам-трафик составлял 11,61%. Вторую позицию с небольшим отрывом занимала Бразилия (11,5% от общего объема спама), на третье место вышла Румыния (5,8%). Главным орудием распространения спама были ботнеты. В отчетный период эксперты ежедневно регистрировали в Сети около 302000 новых зомби-машин. Исследователи особо отметили активизацию фишеров в социальной сети Twitter. Как правило, злоумышленники атаковали ее пользователей, рассылая фальшивые сообщения о публикации материалов, якобы компрометирующих получателя. Пройдя по указанной в таком сообщении ссылке, потенциальная жертва попадала на поддельную страницу регистрации Twitter. Введенные на ней персональные данные в дальнейшем использовались для рассылки спама с взломанного аккаунта. Источник: pandasecurity.com Спамбот-сваха 28.04.2009 В начале 2007 года 23-летняя студентка из Самары Лариса Сизова получила сообщение от некоего Olmer'а: «Привет, я просто в шоке! Скачай (ссылка)». Девушка поинтересовалась, что это за ссылка, и кто ее прислал. Оказалось, что Олег (так звали незнакомца) ничего не присылал, — это сделала за него заразившая его компьютер программа, ориентированная на рассылку спама. Обмен ICQ-сообщениями затянулся до ночи. На следующий день молодые люди договорились о встрече, а увидевшись, поняли, что встреча их неслучайна. Первую переписку молодожены решили сохранить. Источник: life.ru Спам-трафик лихорадит от «свиного» гриппа 29.04.2009 Специалисты по сетевой безопасности зафиксировали всплеск спам-рассылок, эксплуатирующих тему распространения «свиного» гриппа для продвижения нелицензированных интернет-аптек. По оценке компании McAfee, в настоящее время эти «мусорные» потоки составляют немногим более 2% спам-трафика. С начала новой спам-кампании количество зарегистрированных доменных имен со словом «swine» («свиной») увеличилось в 30 раз. Эксперты компании Marshal определили, что основная часть спам-рассылок, посвященных растущей угрозе, осуществляется с ботнета Rustock. Письма оформлены одной строкой и снабжены ссылкой на интернет-аптеку, в ассортимент которой якобы входит средство от новой формы гриппа. В большинстве случаев эти ссылки привязаны к веб-сайтам одиозной сети Canadian Pharmacy. Сообщений, использующих тему «свиного» гриппа для распространения вредоносного ПО, пока зарегистрировано не было. Однако эксперты компании F-Secure обнаружили письмо со ссылкой на веб-сайт noswineflu.com, который в качестве меры защиты от опасного заболевания предлагает приобрести некое «руководство по выживанию» за 19,95 доллара. Разумеется, чтобы скачать соответствующий pdf-файл, посетитель должен зарегистрироваться и ввести номер кредитной карты. Источник: computerworld.com Источник: marshal8e6.com Российские регистраторы борются с противоправным использованием доменов 29.04.2009 В соответствии с поправками, внесенными Ru-Center в пользовательское соглашение о регистрации доменных имен, с 4 мая текущего года регистратор может без решения суда останавливать работу веб-сайтов, уличенных в противозаконной деятельности. Изменения касаются использования доменных зон .net, .com, .org, .biz, .info, .cc, .tv и .me. Согласно пункту 2.7 нового соглашения, противозаконной деятельностью считается распространение и реклама порнографии, призывы к насилию, экстремистской деятельности и свержению власти. Регистратор «вправе самостоятельно давать оценку деятельности Заказчика на предмет нарушения законодательства, в том числе в случаях, когда определение таких действий не закреплено нормативными актами». Он также решает, приостановить делегирование домена, аннулировать его регистрацию или передать домен другому регистратору. Вообще в России, чтобы лишить администратора прав на домен, необходимо решение суда. Закрыть веб-сайт можно также по запросу правоохранительных органов, однако найти виновных бывает непросто. В связи с этим Координационный центр домена .ru предложил вернуть процедуру паспортной идентификации при регистрации доменных имен в этой зоне. Уже два года регистрация доменов в зоне .ru физическими лицами осуществляется по упрощенной процедуре, открывающей широкие возможности для злоупотреблений. Паспорт нужно будет предъявить либо при непосредственном посещении офиса регистратора, либо прислать нотариально заверенную копию паспорта. Заявитель, регистрирующий домен, может отказаться от процедуры идентификации, но в этом случае приостановить работу веб-сайта можно будет по любой жалобе пользователей. Центр также предлагает обязать регистратора доменов отслеживать IP-адреса, с которых приходят заявки на регистрацию, номера телефонов и данные о банковских картах заявителей. Уже известно, что регистрация доменов в зоне .рф, которая откроется в конце текущего года, будет также производиться по предъявлению паспорта. Источник: webplanet.ru Источник: kommersant.ru Источник: rian.ru Червь создает Gmail-аккаунты с помощью наемников 29.04.2009 Вьетнамская компания Bkis обнаружила новый червь, который регистрирует аккаунты для рассылки спама, отсылая контрольные изображения CAPTCHA на веб-сервисы, специализирующиеся на их расшифровке. Эксперты присвоили программе наименование W32.Gaptcha.Worm. По имеющимся сведениям, червь получает команды с управляющего сервера clitcommander.110mb.com, размещенного на бесплатном веб-хостинге в Амстердаме. На резидентной системе он запускает IE-браузер, соединяется с почтовым сервисом Gmail и начинает процесс регистрации, используя произвольные имена. Информацию о созданных аккаунтах Gaptcha отсылает на командный сервер, а по окончании работы удаляет себя из зараженной системы – во избежание обнаружения. Контрольные изображения червь копирует в папку временных файлов и отсылает на специализированный веб-сервис. Тот вариант, который попал на ловушки вьетнамских исследователей, использовал домен ac-service.info, зарегистрированный в конце марта 2009 года. Соответствующий ему IP-адрес закреплен за выделенным сервером, владельцем которого является канадская хостинг-компания. Исследователи F-Secure обнаружили другой веб-сервис, используемый Gaptcha для расшифровки теста, защищающего от автоматических регистраций, – российский сайт anti-captcha.com. Его владельцы взимают с зарегистрированных пользователей 1 доллар за взлом 1000 контрольных изображений со средним временем исполнения 20 секунд и гарантией успеха 90-95%. По их словам, они пользуются услугами тысяч добровольцев из стран СНГ. Источник: security.bkis.vn Источник: f-secure.com Спам-статистика за период 20 - 26 апреля 2009 г. "Лаборатория Касперского" Объем и тематические особенности спама На прошедшей неделе доля спама в почтовом трафике Рунета в среднем составила 82,3%. Распределение спама по тематикам на прошлой неделе изменилось незначительно. Несколько увеличилась доля рубрики «Недвижимость» (+2,0%), уменьшились доли тематик «Спам для взрослых» (-2,2%), «Реплики элитных товаров» (-2,6). Колебания долей других рубрик остались в пределах 2%. Популярные тематики № Тематика Описание Доля тематики Изменения за неделю 1   Медикаменты; товары/услуги для здоровья   Предложения приобрести лекарственные препараты, БАДы и т.п. в online. Предложения медицинских и оздоровительных услуг, а также сопутствующих товаров.   23,0%   +0,1%   2   Реклама спамерских услуг   Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п.   21,9%   +0,2%   3   Образование   Реклама семинаров, тренингов, курсов   11,2%   +0,3%   4   Другие товары и услуги   Предложения других товаров и услуг   9,5%   +0,9%   5   Недвижимость   Предложения сдать/снять недвижимость, строительство, риелторские услуги и пр.   7,4%   +2,0%   6   Реплики элитных товаров   Копии часов, аксессуаров, обуви и других товаров известных марок   6,4%   -2,6%   7   Спам "для взрослых"   Предложения скачать/получить/ознакомиться с контентом "для взрослых". Знакомства и т.п.   4,6%   -2,2%   8   Отдых и путешествия   Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий.   4,3%   +0,4%   9   Юридические услуги и аудит   Предложения юридических услуг   3,2%   Без изменений   10   Личные финансы   Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма.   2,5%   +1,1%   11   Полиграфия   Визитки, календари, печать, услуги типографии и пр.   2,4%   +0,9%   12   Компьютеры и Интернет   Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.)   2,1%   -0,3%   13   Компьютерное мошенничество   Фишинг, "нигерийские" письма, поддельные извещения о выигрыше в лотерею и пр. попытки мошенничества   Менее 2,0%   -0,8%   14   Остальной спам     Менее 2,0%   +0,3%   Примеры спамовых писем смотрите на сайте Спамтест. Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2009