Электронный журнал "Спамтест" No. 329 в этом номере: Новости Спам в апреле 2010 года Спам-статистика за период 26 апреля — 9 мая 2010 г. Новости Sophos: Китай выпал из «грязной дюжины» По оценке Sophos, в первом квартале 97% корпоративной почты составлял спам. При этом лишь 1,9% нелегитимных писем отсылалось с территории Китая. Список стран-лидеров по распространению спама, который Sophos называет «грязной дюжиной», по-прежнему возглавляют США с показателем 13,1%. Вторую позицию занимает Индия (7,3%), третью — Бразилия (6,8%). Вклад России, Великобритании и Италии в спам-трафик одинаков (3,1%), в рейтинге Sophos они делят 7-9 места. В совокупности 12 стран-спамеров ответственны за половину «мусорных» потоков, атакующих корпоративные серверы. Впервые в «грязной дюжине» отсутствует Китай, начиная с конца прошлого года он переместился на 15-ю позицию. В региональном разделении источников спама доминирует Азия, с территории которой отсылается более трети нелегитимных писем. Немногим меньше спама исходит из стран Европы (31,2%). По данным Sophos, практически весь почтовый «мусор» распространяется с помощью ботнетов. Источник: sophos.com Социальная сеть оштрафована за спам-маркетинг Держатели социального сайта Tagged.com согласились уплатить 650 тыс. долларов за многомиллионные спам-рассылки на территории Калифорнии и несанкционированный доступ к пользовательской информации. Согласно иску, Tagged использовала адресные книги зарегистрированных пользователей для распространения от их имени поддельных приглашений посмотреть фотографии, якобы выложенные в этой социальной сети. Для просмотра требовалось пройти регистрацию, и контакты новообращенных тоже заносились в список рассылки. За три месяца такой спам-кампании было отослано 40-60 млн. фальшивых писем. Аудитория Tagged.com значительно расширилась, но далеко не всем участникам социальной сети пришлись по нраву методы саморекламы, практикуемые ее владельцами. В соответствии с условиями сделки, одобренной судом Сан-Франциско, Tagged уплатит 400 тыс. долларов штрафа и возместит административные расходы по расследованию в размере 250 тыс. долларов. Компании придется впредь воздержаться от рассылок, которые могут быть квалифицированы как спам, и пересмотреть свою политику взаимодействия с пользователями. В прошлом году Tagged урегулировала аналогичные конфликты в штатах Нью-Йорк и Техас, заплатив 500 и 250 тыс. долларов соответственно. Держатели веб-сайта объясняют инцидент ошибкой исполнителей, занимавшихся вирусным маркетингом (в.м. — поощрение клиента к рекламированию сервиса в своем кругу). Как бы то ни было, жалоб на спам из этого источника больше не поступало. Более того, в январе компания сама выиграла дело против спамера, рекламировавшего порносайты на ее ресурсе. Источник: allspammedup.com Источник: blog.seattlepi.com Symantec: потоки спама из EMEA продолжают увеличиваться Согласно статистике [PDF 3,33 Мб] Symantec, в апреле спам составлял 89,22% почтового трафика. 45,2% нелегитимных писем было отослано из стран ЕМЕА, 24% — из США. В тематическом разделении спам-рассылок преобладала категория интернет-услуг (33% от общего объема спама). 17% нелегитимных сообщений были посвящены рекламе промтоваров, 15% — предложениям финансового характера, 12% продвижению интернет-аптек. Вклад фишинговых и мошеннических (включая «нигерийские») посланий в спам-трафик совокупно составил 17%. Эксперты отметили увеличение потоков спама с вложениями и спама, замаскированного под извещения о недоставке. Соответственно увеличились и размеры мусорных посланий. Доля писем категории 5-10 КБ в апреле выросла на 4% и составила 29%. Писем весом свыше 10 КБ стало больше на 9%, их доля достигла 20%. Большинство (62,7%) спамовых URL было привязано к домену .com. Вклад российского национального домена .ru в общее количество спамовых URL уменьшился на 7,7% и составил 22,1%. Использование спамерами домена .cn сократилось почти вдвое — до 2,2%. Число ссылок с указанием IP-адреса вместо домена, по оценке Symantec, выросло втрое по сравнению с предыдущим месяцем. Эксперты объясняют такое изменение в тактике спамеров эффективностью современных антиспам-технологий, успешно блокирующих спамерские домены. Чаще всего quad-dot ссылки указывают на страницу с редиректом. В прошлом месяце компанией было зарегистрировано на 33% больше фишинговых атак, чем в марте. В 86% случаев мишенью служили финансовые организации. Больше половины фишинговых страниц имели «прописку» на территории США. 10% поддельных страниц размещались на бесплатных веб-хостингах, 12% были сгенерированы с помощью готовых комплектов для проведения кибератак, что на 77% больше, чем в предыдущем месяце. На 23% увеличилось количество неанглоязычных страниц-ловушек, в особенности на французском и португальском языках. Источник: eval.symantec.com 2,6 миллиона за 25 тыс. спамовых писем Окружной суд Северной Калифорнии обязал владельцев веб-сервиса Find a Quote («Найди цитату») компенсировать ущерб, нанесенный интернет-провайдеру Asis Internet Services. Ущерб, по мнению суда, был нанесен рассылкой коммерческой рекламы, которая проводилась с нарушением федерального закона CAN-SPAM. Сумма убытков от спама была оценена в 2,596 млн. долларов. Согласно материалам иска, за полтора года названный рекламодатель отослал около 25 тыс. несанкционированных сообщений на адреса, обслуживаемые Asis. Клиентура калифорнийского интернет-провайдера не превышает 1 тыс. пользователей, а штат состоит всего из четырех человек. На почтовый сервер компании каждый день приходит около 200 тыс. спамовых писем, на обработке которых провайдер ежемесячно теряет порядка 3 тыс. долларов. В соответствии с американским Законом о спаме, максимальный штраф за каждое нелегитимное письмо составляет 100 долларов. Ущерб, нанесенный Asis спамерами, судья оценила в 865,34 тыс. долларов, но утроила сумму штрафа, приняв во внимание, что спам-рассылки проводились с использованием автоматизированных средств. Получит ли Asis присужденную компенсацию — спорный вопрос. Ответчики даже не отреагировали на запрос суда о признании фактов дела и не наняли адвоката. Источник: theregister.co.uk Источник: scribd.com MessageLabs: Россию заполонили спамботы По данным MessageLabs, в апреле спам составлял 89,9% почтовой корреспонденции. Практически все спам-рассылки проводились с участием зараженных машин. Наиболее высокий уровень спама наблюдался в Италии (95%%), а в разделении по сферам хозяйственной деятельности — в машиностроительной промышленности (94,9%). Среди ботнетов-спамеров позицию лидера прочно занимает Rustock. Его боевой потенциал увеличился с 1,6 до 2,4 млн. активных зомби-машин. Хотя их производительность сократилась на 65%, в совокупности они ответственны за 32,8% спама в Сети. Pushdo сильно уменьшился в размерах и в настоящее время контролирует 600 тыс. ботов. Каждый из них отправляет лишь 40 писем в минуту, поэтому вклад ботнета в глобальный спам-трафик незначителен — 4%. Grum подрос и стал «миллионером». Его десять сотен спамботов работают с производительностью 145-150 сообщений в минуту и обеспечивают ботнету второе место в рейтинге спамеров с долей 23,9%. Самым «трудолюбивым» ботнетом является Mega-D (17,7% спам-трафика): каждый из его 240 тыс. спамботов генерирует около 430 сообщений в минуту. Практически все они базируются на территории Восточной Европы — в основном, в России, на Украине и в Казахстане. По оценке MessageLabs, в РФ сейчас спамботов больше, чем в какой-либо другой стране. Все новые заражения Grum и Mega-D зафиксированы на ее территории. Спамботы Grum, как и Rustock, объявились также в Индии, которая в настоящее время занимает второе место по числу инфицированных машин. Ботнетам-спамерам в отчете MessageLabs посвящен целый раздел. Здесь приведены этапы их эволюции, географические плацдармы, тематика и языковая принадлежность спам-рассылок, рабочие платформы. Эксперты впервые собрали статистику по операционным системам, которые используются на зараженных машинах. Как выяснилось, около 93% из них работают под ОС Windows, что примерно соответствует ее доле рынка. Спамботы на платформах Linux ответственны за 5,14% нелегитимной почты в интернете, хотя доля рынка этой ОС — всего 1,03%. Такой результат, по мнению исследователей, нетрудно объяснить. Для сокращения спамовых потоков интернет-провайдеры стали направлять почтовый трафик клиентов через выделенные серверы, чтобы не блокировать порт 25. Связанные с этим дополнительные расходы можно сократить, используя open source технологии, — в частности, Linux. Спам с ПК под Mac OS практически отсутствует. Источник: messagelabs.com Спам в апреле 2010 года Мария Наместникова, "Лаборатория Касперского" Особенности месяца Доля спама в почтовом трафике по сравнению с мартом практически не изменилась и составила в среднем 83%. Ссылки на фишинговые сайты находились в 0,02% всех электронных писем, что на 0,01% меньше, чем в марте. Вредоносные файлы содержались в 1,24% электронных сообщений, что на 0,74% больше, чем в прошлом месяце. В спаме активно распространяются фальшивые антивирусы. Тематика «Отдых и путешествия» занимает первую строчку рейтинга популярных в спаме тем, что связано с приближением сезона отпусков. Для обхода спам-фильтров злоумышленники используют разнообразные картинки и случайные куски текста из литературных произведений, экономических и политических статей. Доля спама в почтовом трафике Доля спама в почтовом трафике апреля 2010 года в среднем составила 83%. Самый низкий показатель месяца был зафиксирован 20 апреля — 79,2%; больше всего спама было получено пользователями 18 числа — 89,8%. Страны — источники спама США пока остались на первой позиции среди стран — источников спама, хотя с территории этой страны было распространено на 2,4% меньше спама, чем в прошлом месяце. Возможно, в мае ситуация изменится, поскольку Индия догоняет США — в апреле из этой страны было распространено лишь на 0,6% меньше спама, чем с территории Соединенных Штатов. Вьетнам «наступает на пятки» лидерам. В апреле доля распространенного из этой страны спама выросла почти в 2,5 раза и составила 11,6% — это лишь на 0,7% меньше, чем количество спама, разосланного с территории США. Россия едва не покинула пятерку лидирующих стран, с ее территории было распространено на 2,74% меньше спама, чем в прошлом месяце. С третьего места эту страну сдвинул уже упомянутый выше Вьетнам, а четвертую строчку неожиданно заняла Италия, находившаяся в прошлом месяце на 14-й позиции. Заметны перемены и в плотности потоков из Румынии (+1%) и Германии (-1%). Кроме того в нашем рейтинге снова появилась Саудовская Аравия, распространившая 2,2% всего мирового спама и оказавшаяся на 13-м месте. С территории Украины было распространено на 2,7% меньше спама, чем в прошлом месяце, что обусловило перемещение этой страны ближе к концу двадцатки. Фишинг Ссылки на фишинговые сайты находились в 0,02% всех электронных писем, что на 0,01% меньше, чем в марте. Список организаций, наиболее часто подвергавшихся фишинговым атакам, почти не изменился. Среди атакуемых фишерами организаций первые места снова заняли PayPal (54,6%, +9,2%) и eBay (11,5%, -3,9%). HSBC (9,6%, +2,1%) и Facebook (8,7%, +1 %), как это уже бывало, поменялись местами и занимают теперь третью и четвертую строчки рейтинга соответственно. Среди зафиксированных нами фишинговых рассылок интересно отметить атаку на пользователей PayPal. Спамеры прибегли к классическому приему — в письме сообщалось, что аккаунт пользователя заблокирован, а для того, чтобы его разблокировать, необходимо пройти по ссылке (на страницу, где, разумеется, потребуется ввести логин и пароль). Обратите внимание: ссылка, указанная в письме, довольно ловко подделана под ссылку на сайт PayPal. Однако на снимке четко видно, на какой адрес на самом деле переправляется пользователь. FaceBook, как и раньше, в фокусе внимания фишеров. В одном из писем, направленных на выманивание регистрационных данных пользователей этой социальной сети, злоумышленники даже не спрятали фишинговую ссылку. Такая небрежность говорит, о том, что спамеры рассчитывают на невнимательность пользователей. К сожалению, они имеют на то основания, — пользователи часто попадаются на уловки киберпреступников даже в тех случаях, когда подлог плохо организован и лежит на поверхности. Конечно, целью фишинговых атак были не только компании, представленные в нашем рейтинге. Например, наблюдалась довольно крупная фишинговая атака на банк Alliance & Leicester. Уловка, использовавшаяся при этой атаке, также стала уже классической: в письме сообщалось, что были зафиксированы многочисленные ошибочные попытки войти в систему с клиентского ID пользователя. Чтобы доказать, что адресат действительно является владельцем аккаунта, ему необходимо пройти верификацию. Разумеется, попавшийся на подобную удочку пользователь будет «проходить верификацию» вовсе не на сайте банка, а на подложном фишинговом сайте, с которого его регистрационные данные уйдут прямо в руки к злоумышленникам. Вредоносные программы в почте Вредоносные файлы содержались в 1,24% электронных сообщений, что на 0,74% больше, чем в прошлом месяце. Уже не первый месяц среди наиболее часто встречавшихся в почте вредоносных программ лидирует Trojan-Spy.HTML.Fraud.gen. Основная его функция — сбор личных и регистрационных данных пользователя. Как и прежде, более 45% случаев детектирования этого троянца приходится на Объединенное Королевство. Еще 11% из общего числа писем, зараженных Trojan-Spy.HTML.Fraud.gen, было распространено на территории США. Интересно, что семь зловредов из топовой десятки апреля так или иначе связаны с поддельными антивирусами. Так, Trojan.Win32.Small.acdp, Trojan.Win32.Sasfis.akzx, Trojan-Downloader.Win32.Agent.dkld, Trojan-Dropper.Win32.Agent.bveu, Trojan.Win32.Sasfis.albj загружают или инсталлируют на компьютер пользователя другие вредоносные программы, которые, в свою очередь, загружают поддельный антивирус. Упаковщик Trojan.Win32.Pakes.Katusha.j, занявший четвертую строчку рейтинга, используется обычно для упаковки FraudTools. А его собрат, Trojan.Win32.Pakes.Katusha.l, — для упаковки Fraudload. Расположившийся на 8-й строчке рейтинга Trojan-Dropper.Win32.Agent.agq — это ничто иное, как порно-дроппер. При запуске зловред открывает картинки с порнографическим содержанием и инсталлирует на зараженный компьютер другие вредоносные программы. Кроме того, нами были зафиксированы и рассылки, в которых распространялись поддельные антивирусы в «чистом» виде. Так, зловред Trojan.Win32.FakeAV.jo, занявший 24-е место в рейтинге, распространялся под видом настоящего антивируса, якобы рекомендованного компанией Microsoft для лечения нашумевшего Conficker’a (Kido). Забавно, что в заголовке письма conficker превратился в совсем уже страшного и неизвестного зверя conflicker’a. В целом, почти 60% случаев распространения вредоносов, принадлежащих к семейству Trojan.Win32.FakeAV, приходятся на европейские страны: преимущественно Германию, Нидерланды, Францию и Объединенное Королевство, а также на США и Японию. Это объясняется главным образом тем, что пользователи в развитых странах больше заинтересованы в безопасности компьютера, чем в развивающихся странах, и в этих регионах мошенникам проще убедить пользователя скачать поддельный антивирус. К лаконичным письмам, озаглавленным «Женщина мой мечты» и снабженным текстом «Я люблю держать тебя в моих руках» спамеры прикрепляли архив с именем «setup.zip». В архиве таился файл setup.exe, который на деле оказался еще одним отпрыском семейства FakeAV — Trojan.Win32.FakeAV.jw. Обычно в таких рассылках исполняемый файл имеет название в духе «My Fotos.gif», что позволяет скрыть истинное расширение файла и как-то соотнести его с текстом письма. Непонятно, что имел в виду спамер, сочетавший романтический текст и ничем не замаскированное имя исполняемого файла. Должен ли пользователь думать, что сейчас на его компьютер установится программа, позволяющая держать в руках девушку своей мечты? Возможно, спамеры решили, что пользователи и так знают, что должно быть прикреплено к такому письму, и сами кликнут на архив, ожидая увидеть фотографии красивой женщины. Говоря о распространении фальшивых антивирусов через почту, нельзя не упомянуть TOP 3 зловредов, распространенных на территории России. Trojan.Win32.FakeAV.iq — 12,70% Trojan.Win32.FakeAV.ko — 5,54% Trojan.Win32.Pakes.Katusha.l — 3,69% Два самых распространенных в России зловреда принадлежат к семейству FakeAV. На третьей строчке расположился уже упомянутый выше упаковщик, часто используемый для упаковки FraudLoad. Популярность у злоумышленников фальшивых антивирусов обусловлена не только тем, что пользователи в нашей стране стали более ответственно подходить к защите своих компьютеров. В России многие покупке лицензионного ПО предпочитают использование бесплатных программ. В случае с поддельным антивирусом это может влететь в копеечку. В рейтинг стран, в которых вредоносный код чаще других распространялся через почту, лидирующие позиции занимают развитые страны. Это связано в том числе с тем, что у злоумышленников больше возможностей поживиться, когда они организуют атаку на пользователей, проживающих в благополучных странах, где почти у каждого есть кредитная карточка, аккаунт в системе онлайн-банкинга или в платежных системах. Тематический состав спама Пятерка лидирующих спам-тематик апреля: Отдых и путешествия — 21,1% (+2,5%) Образование — 19,6% (+1,4%) Медикаменты; товары/услуги для здоровья — 13,7% (+1,2%) Компьютерное мошенничество — 7,8% (+0,3%) Реплики элитных товаров — 7,0% (+1,9%) По сравнению с предыдущим месяцем в пятерке больших изменений не наблюдается. На первом месте по-прежнему категория «Отдых и путешествия». Это связано с рекламой различных вариантов отдыха в майские праздничные дни и с приближением летних каникул. Так, в одной из полученных нами рассылок родителям предлагалось отправить свое чадо в летний творчески-спортивный лагерь. Сейчас, конечно, самое горячее время для покупки путевок в лагеря. Однако любящим родителям не стоит спешить пользоваться информацией, полученной в рекламе такого рода. Напомним, что сама по себе рассылка незапрошенной корреспонденции незаконна, и тот, кто рекламирует себя в спаме, вряд ли заслуживает доверия. Количество писем тематик «Образование», «Медикаменты; товары/услуги для здоровья» и «Компьютерное мошенничество» практически не изменилось по сравнению с мартом. Занимавшая пятую строчку категория «Компьютеры и интернет» уступила место рекламе реплик элитных товаров. Доля последней увеличилась на 1,9%. Заказчики такой рекламы стараются использовать праздничные даты, предлагая свой товар в качестве «лучшего подарка». В данном случае всплеск их активности, видимо, связан с приближением Дня матери, который довольно широко празднуется в Западных странах. Спамерские методы и трюки Распространители виагры продолжают попытки усовершенствовать способы обхода спам-фильтров. В прошлом месяце они использовали меняющуюся шаблонную картинку, сопровождавшуюся большим фрагментом текста. В апреле спамеры разнообразили набор картинок, использующихся для одной и той же рассылке. Теперь это изображения счастливых пар, девушек, гейш, а также (почему-то) столовых приборов. Все это, разумеется, — вкупе с рекламируемыми таблетками. Мусорный текст в письмах апрельских рассылок также использовался. В одних письмах текст напечатан на белом фоне и ширина строчек случайна. В других текст под картинкой напечатан на сером фоне и занимает всю его ширину. Сами тексты являются либо кусками литературных произведений, либо перепечаткой экономических или политических статей, а порой — просто набором слов, не несущим никакого смысла. Самые интересные трюки российские спамеры по-прежнему приберегают для саморекламы. Отметим, что доля ее уже несколько месяцев не поднимается выше отметки 5%. Пользователи получают рассылки со старыми трюками в новом воплощении. Так вновь появились письма счастья со «встроенной» в них рекламой спамерских услуг. Год назад мы писали в нашем блоге о таких письмах. Масштаб картинки в них таков, что спамерский контакт не всегда заметен сразу. Иногда он остается за нижним краем окошка, и невнимательный пользователь — любитель писем счастья — вполне может начать рассылать «бабуль» направо и налево, таким образом внося свой вклад в распространение спам-рассылки. Заключение В целом, ситуация по-прежнему стабильна. Процент спама в почте практически не изменился. В апреле в рейтинге стран — источников спама Индия и Вьетнам подобрались как никогда близко к лидеру. Если количество спама, рассылаемого из этих стран, продолжит увеличиваться, они, вероятно, смогут потеснить США с первой позиции в рейтинге. Количество фишинговых писем, как мы и предполагали, осталось на очень низком уровне. Количество же вредоносных программ в почте, вопреки прогнозам, вернулось к февральскому уровню. С начала 2010 года оно меняется волнообразно: то снижается до показателя 0,6 - 0,7%, то снова поднимается до 1,2%. Впрочем, такие колебания нельзя рассматривать как значительные. Интересно, однако, отметить два момента. Первый: основной целью для распространителей зловредов в апреле стали пользователи развитых стран. Второй: поддельные антивирусы нынче активно распространяются именно при помощи спама. Ничего принципиально нового для обхода спам-фильтров спамеры не придумали, они лишь несколько разнообразили старые приемы. Полную версию статьи смотрите на сайте www.securelist.com/ru. Спам-статистика за период 26 апреля — 9 мая 2010 г. "Лаборатория Касперского" Доля спама в почтовом трафике Рунета за прошедшие две недели составила 86,3%, что несколько больше обычного. По всей видимости, доля спама повысилась за счет того, что в майские праздники люди отдыхали и было меньше обычной деловой и личной переписки. За прошедшие две недели уменьшилось количество писем тематики «Медикаменты; товары/услуги для здоровья» (-5,0%), хотя ее доля по-прежнему велика. Также уменьшились доли тематик «Реплики элитных товаров» (-2,0%) и «Юридические услуги и аудит» (-2,5%). Заметно больше стало англоязычных писем, предлагающих выгодные кредиты в рубрике «Личные финансы» (+5,9%), увеличилась и доля рубрики «Образование» (+2,1%), которая вышла на первое место. Колебания долей других тематик остались в пределах 2%. Популярные тематики № Тематика Описание Доля тематики Изменения за неделю 1   Образование   Реклама семинаров, тренингов, курсов.   18,5%   +2,10%   2   Отдых и путешествия   Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий.   18,4%   +1,4%   3   Медикаменты; товары/услуги для здоровья   Предложения приобрести лекарственные препараты, БАДы и т.п. в online. Предложения медицинских и оздоровительных услуг, а также сопутствующих товаров.   16,9%   -5,0%   4   Другие товары и услуги   Предложения других товаров и услуг.   10,5%   -0,4%   5   Личные финансы   Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма.   9,5%   +5,9%   6   Компьютерное мошенничество   Фишинг, "нигерийские" письма, поддельные извещения о выигрыше в лотерею и пр. попытки мошенничества.   8,2%   +1,4%   7   Компьютеры и Интернет   Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.).   5,3%   -1,1%   8   Реплики элитных товаров   Копии часов, аксессуаров, обуви и других товаров известных марок.   3,7%   -2,0%   9   Реклама спамерских услуг   Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п.   3,4%   Без изменений   10   Юридические услуги и аудит   Предложения юридических услуг.   Менее 2%   -2,5%   11   Недвижимость   Предложения сдать/снять недвижимость, строительство, риелторские услуги и пр.   Менее 2%   Без изменений   12   Спам "для взрослых"   Предложения скачать/получить/ознакомиться с контентом "для взрослых". Знакомства и т.п.   Менее 2%   -0,1%   13   Полиграфия   Визитки, календари, печать, услуги типографии и пр.   Менее 2%   +0,1%   14   Остальной спам     Менее 2%   Без изменений   Примеры спамовых писем смотрите на сайте Securelist.com/ru. Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2010