Электронный журнал "Спамтест" No. 449 в этом номере: Новости Спам в ноябре 2012 г.  Новости Опрос: спам в офисе Согласно результатам опроса , проведенного в ноябре киевским сайтом HeadHunter, спам-реклама раздражает 54% офисных работников, 41% ее иногда читают, а 11% таких читателей покупают товары и услуги, предложенные спамерами. Больше половины участников опроса отметили, что удаляют любую рекламу, 10% – что привыкли читать всю входящую корреспонденцию. 28% читателей спам-писем просматривают их из любопытства, а 58% находят такую рекламу полезной. Большой интерес для офисных работников представляет реклама дополнительного образования, тренингов, семинаров (22% тех, кто читает спам), а также скидок, акций и розыгрышей призов (18%). Больше 10% читателей спама интересуют бытовые и профессиональные услуги, продажа одежды, бытовой техники, книг и журналов. 9% ищут в спаме предложения медицинских услуг и товаров, некоторые интересуются недвижимостью. При этом большинство респондентов, читаюших спам-рекламу, ничего при этом не покупают. 24% находят такую информацию интересной, но использовать ее не решаются. Лишь 11% указали, что им случалось покупать товар или услугу, рекламируемую в спаме; 1% выигрывали приз, несколько человек нашли новые бизнес-контакты. Источник: unian.net 6 лет за групповой фишинг Участник фишинговой группировки, укравшей у американцев свыше 1,3 млн. долл., отправлен за решетку на 6 лет и 3 месяца. Уроженец Нигерии Вайя Нваки (Waya Nwaki), он же Shawn Conley, Prince Abuja и USAPrince12k, признал, что был соучастником масштабной мошеннической схемы отъема денежных средств с банковских и зарплатных счетов. На протяжении года сообщники создавали поддельные страницы американских банков и служб автоматизированного расчета заработной платы, проводили фишинговые рассылки и, украв ключи к чужим счетам, выводили деньги за рубеж. От действий данной группировки пострадали клиенты Chase Bank, Bank of America, Branch Bank & Trust Co. и ADP, ведущего американского поставщика услуг по аутсорсингу и автоматизированному расчету зарплаты; их совокупный ущерб составил около 1,3 млн. долл. Согласно мошеннической схеме, Нваки поддерживал постоянный контакт с ADP: звонил в местную службу, представляясь корпоративным бухгалтером, и от имени компании-клиента подтверждал выплаты мифическим работникам. Он также принимал по email краденые идентификаторы, выводил деньги с взломанных счетов и отправлял их за границу. Нигериец был задержан в штате Джорджия, где незадолго до этого отбывал срок за подделку банковских чеков. Его обвинили в преступном сговоре с целью мошенничества и получения неавторизованного доступа к чужим компьютерам, в мошенничестве с использованием проводной связи и в краже личности при отягчающих обстоятельствах. По выходе на свободу осужденному предстоит провести 3 года под надзором и уплатить свыше 1 млн. долл. в возмещение причиненного ущерба. Шестеро других подельников, соотечественников Нваки, уже задержаны и ожидают решения своей участи. Источник: justice.gov eleven о спаме в Германии По данным немецкой компании eleven, в октябре потоки спама, зафиксированного в национальном секторе интернета, увеличились на 54,8%, а в ноябре сократились на 28,9%. Тем не менее, в минувшем месяце уровень спама в почтовой корреспонденции составил 73,9%, т.е. был все еще значительно выше, чем в первом полугодии. 6 позиций в ведущей десятке источников почтового мусора в Германии заняли европейские страны: Румыния (11,9% спама, 1 место), Россия (7%), сама Германия (7%), Польша, Украина и Беларусь. На 2 и 3 ступенях этого непочетного списка расположились Индия (10,4%) и Бразилия (7,8%), США заняли 6 место (3,6%). По оценке eleven, на долю Тор 10, который завершает Аргентина, в октябре-ноябре пришлось около 60% спама, атаковавшего немецких пользователей. При этом количество нелегитимных писем, распространяемых с германских IP-адресов, увеличилось в 7 раз – возможно, из-за активности ботнета, созданного злоумышленниками на базе новой версии Kelihos. Потоки спама из Индии, Бразилии, России и Польши сократились на 47-60%. В тематическом составе спама преобладала реклама онлайн-казино, на долю которой в октябре приходилось 68,3% нелегитимных писем, в ноябре – 34,8%. За 2 минувших месяца значительно возросло число предложений трудоустройства, с 5,8% до 27,5%. Обычно такую рекламу распространяют вербовщики агентов по отмыванию денег, украденных сетевыми мошенниками. Количество фармаспама, в сентябре составлявшего 46,9% мусорной почты, резко сократилось, в ноябре на его долю приходилось лишь 7,9% спамовых потоков. Количество фишинговых посланий продолжает сокращаться. Если в августе на их долю приходилось 0,1% спама, то в ноябре – лишь 0,005%. Главной мишенью фишеров, по данным eleven, является PayPal. Атаки на финансовые институты, почтовые сервисы и кредитные организации сохраняют свою актуальность, однако массовые рассылки, по наблюдениям экспертов, явно теряют популярность у фишеров. Последние все чаще отдают предпочтение целевым, узконаправленным атакам (spear phishing). На долю вредоносных писем в октябре приходилось 6,1% спама, в ноябре – лишь 0,3%. 21,3% зловредных сообщений, разосланных в ноябре, были написаны на немецком языке и в качестве приманки использовали популярные германские брэнды, такие как почтовая служба Германии. Распространители зловредов также маскировали свои письма под уведомления от местного телеоператора, якобы приславшего счет за свои услуги. Такие послания обычно снабжены вложением, в котором вместо счета скрывается вредоносная программа. В ноябре eleven зафиксировала 2 масштабные спам-рассылки, на долю которых в совокупности пришлось 32,4% вредоносных посланий, заблокированных в этом месяце. Обе были нацелены на распространение бэкдоров семейства Androm. Среди прочих зловредов, обнаруженных в ноябрьской почте, эксперты особо отметили производные банковских троянцев ZeuS и SpyEye. Большинство вредоносных писем, ориентированных на местную аудиторию, были замаскированы под уведомление от PayPal.. Сообщения, написанные на английском языке, использовали тему подтверждения брони на авиабилет или место в отеле и призывали получателя открыть вложение, в котором якобы содержится подробная информация, а на самом деле – зловред. Источник: thewhir.com Источник: eleven.de Symantec зафиксировала увеличение спама Согласно статистике Symantec, в ноябре уровень спама в почтовом трафике повысился [pdf] на 4 процентных пункта и составил 68,8%. Больше прочих от почтового мусора страдали жители Саудовской Аравии (83,9%) и работники сферы образования (70,9%). Ноябрьский рейтинг стран-источников спама возглавила Индия (9,0% общего количества), за ней следуют США (7,6%), Бразилия (7,3%), Россия (7,1%) и Канада (6,0%). Больше половины нелегитимных писем составляла реклама сайтов знакомств и порноресурсов, хотя ее вклад в спам-трафик снизился на 5 процентных пунктов. Увеличилось количество фармаспама (14,71% мусорной почты) и рекламы товаров престижных марок (12,69%), вклад которой в спам-трафик возрос втрое. Список основных TLD-доменов, используемых в спамерских ссылках, остался прежним, с незначительным изменением показателей: .com – 64,1 % URL, .net 6,5 %, .ru 6,2 %. Средний размер мусорных сообщений заметно увеличился: 38,3% ноябрьского спама составляли большие по размеру письма (свыше 10 КБ), доля которых увеличилась более чем в 2 раза. Вклад фишеров в почтовый трафик сократился на 0,124 пункта и составил 0,225% (1 письмо на 445,1). Наиболее высокие уровни фишинга наблюдались в ЮАР (1 на 156), а в разделении по отраслям хозяйственной деятельности – в госсекторе (1 на 109). Основная масса фишинговых сообщений исходила с территории 4-х стран: Великобритании (25,8%), США (20,4%), Австралии (17,5%) и Новой Зеландии (11,5%). Количество фишинговых сайтов увеличилось на 8,5%, сайтов, созданных автоматизированными средствами, – на 37%. Последние составили 56% ловушек, обнаруженных экспертами. Число неанглоязычных имитаций сократилось на 8%; среди них преобладают сайты, оформленные на французском, итальянском, португальском и китайском языках. Статистика по географическому распределению фишинговых сайтов представлена в отчете Symantec по итогам октября; больше половины таких подделок хостятся на территории США. Основными мишенями фишеров являются банки (59,3%) и информационные сервисы (34,3%). Вредоносная составляющая почтовой корреспонденции в минувшем месяце сократилась на 0,05 пункта, до 0,391% (1 письмо на 255,8). 13,0% вредоносных сообщений содержали ссылку, что на 10,6 пункта меньше, чем в октябре. Наибольшее количество срабатываний почтовых антивирусов зафиксировано в Германии (1 на 47,3) и в госсекторе (1 на 86,6). Больше половины (54,7%) вредоносных писем было отослано из Великобритании, 16,4% – из США, 7,8% из Германии. Источник: symantec.com [pdf] Автоматизация спам-рассылок на мобильной платформе Cloudmark наблюдает волну спам-рассылок, проводимых с простейшего ботнета, составленного из зараженных Android-смартфонов. Непрошеные SMS снабжены ссылкой и нацелены, в основном, на распространение троянских приложений под видом бесплатных версий популярных игр для Android. Эти троянцы, как установили эксперты, раздаются с сайтов, размещенных на гонконгском сервере. При установке зловред запрашивает у пользователя разрешение на выполнение функций, в том числе несвойственных игровым приложениям, – например, на веб-серфинг и отправку SMS. После инсталляции новоявленный бот подключается по http-каналу к C&C серверу и получает список из 50 телефонных номеров и шаблон текстового сообщения. Рассылку спама он производит в фоновом режиме, без ведома пользователя, делая 1,3-секундную паузу перед отправкой каждого сообщения. Обновление списка номеров бот запрашивает каждые 65 секунд и отчитывается перед командным сервером за каждую отправленную SMS. Текстовый спам, нацеленный на распространение Android-спамботов, Cloudmark впервые зафиксировала в конце октября. Новые троянцы тогда предлагались в качестве бесплатной программы, избавляющей от SMS-спама. По-видимому, такая приманка плохо работала, потому что спам-реклама “SMS Blocker’а” увяла в течение суток. Распространитель мобильных спам-ботов вновь объявился 10 ноября, продвигая свои продукты как бесплатные игры для Android. К концу ноября тема его SMS-спама поменялась: злоумышленник стал предлагать абонентам мифические бесплатные призы, для получения которых требовалось указать персональные данные. Подобная информация неплохо продается на черном рынке, и ее сбор способен обеспечить автору спам-рассылок отдельную статью дохода. Спам-рассылки на тему “призов” были все еще малотиражными, однако к концу 1-й декады декабря активность спамера явно возросла. В течение 2-х дней эксперты фиксировали 80%-ный рост объема SMS-спама, распространяемого с Android-ботнета; на пике его производительность составила свыше 0,5 млн. сообщений в сутки. При этом злоумышленник, поставивший на поток рассылку спама по SMS-каналам, не тратит ни цента. За его спам расплачиваются владельцы зараженных устройств – насколько им, конечно, позволяют тарифные планы. Источник: blog.cloudmark.com В США судят биржевых мошенников Присяжные федерального суда штата Нью-Джерси признали виновным 44-летнего участника мошеннической схемы продаж неликвидных акций, известной как pump and dump, “накачка-сброс”. Согласно материалам дела, Кристофер Рэд (Christopher Rad) и его сообщники около 2-х лет обманывали инвесторов, вздувая цены на заранее приобретенные акции с помощью спам-рекламы и имитации торгов через взломанные брокерские аккаунты. Аферисты всегда успевали продать весь пакет с большим наваром, прежде чем наступит неизменное падение курса. Для проведения мошеннических рассылок Рэд нанял двух спамеров, имевших доступ к ботнету. Ни наемников, ни ботовода – по всей видимости, россиянина, выявить не удалось, и в материалах дела эти исполнители фигурируют под псевдонимами, которые работодатель использовал, общаясь с ними по Skype. Рэда обвинили в преступном сговоре, соучастии в мошенничестве с ценными бумагами и в рассылке спама с фальшивых адресов посредством неавторизованного доступа к чужим компьютерам. По каждому пункту обвинения ему грозят тюремный срок до 5 лет и штраф в размере до 250 тыс. долл. Окончательный приговор будет вынесен в апреле будущего года. Позднее решится участь еще двух участников криминальной группировки, которые уже признали свою вину. Источник: justice.gov Спам в ноябре 2012 г. Дарья Гудкова, Татьяна Щербакова, "Лаборатория Касперского" Ноябрь в цифрах Праздники и катастрофы в спаме Сострадательные мошенники Новый сюжет в нигерийских письмах И снова праздники Репутацию не купишь? Фармацевтический спам со «скандальной» ссылкой Географическое распределение источников спама Вредоносные вложения в почте Фишинг Заключение Ноябрь в цифрах Доля спама в почтовом трафике продолжает падать, в ноябре она уменьшилась на 5,1% и составила в среднем 62,9%. Доля фишинговых писем в почтовом потоке по сравнению с октябрем сократилась вдвое и составила 0,015%. Вредоносные программы содержались в 3,27% электронных сообщений, что на 0,02% больше, чем в прошлом месяце. События месяца в спаме Праздники и сенсационные события всегда на руку спамерам и мошенникам. Преддверие Рождества и Нового года дает спамерами дополнительные возможности для рекламы товаров и услуг в спаме. Катастрофы месяца были использованы мошенниками для вымогательства денег. Сострадательные мошенники Два трагических события произошли в мире в ноябре — ураган «Сэнди» в США, повлекший за собой человеческие жертвы, и наводнение в Доминиканской Республике. Эти события использовали фишеры, стараясь заполучить персональные данные и деньги пользователей. В первом случае мошенники просили пожертвования на восстановление дорог, мостов, электроснабжения. Во втором — сообщали о затопленной школе, которой срочно требовалась гуманитарная помощь. В обоих случаях ссылки в сообщениях вели на сайт, на котором пользователям надо было ввести данные своих кредитных карт. Новый сюжет в нигерийских письмах Так называемые нигерийские письма — одна из категорий мошеннического спама. Как правило, они содержат просьбы о помощи в получении или переводе денег за вознаграждение и тематически привязаны к актуальным событиям, известным личностям или крупным компаниям. Часто в них используется легенда о смерти богатого родственника или клиента, после которого осталась крупная сумма денег, которую надо вывести из страны. Вымогатели стараются описать вымышленную ситуацию как можно более правдоподобно. На этом фоне необычно выглядело письмо якобы от американского военного, которому удалось захватить деньги движения Талибан, полученные за продажу опиума. Спамеры предлагали совместно инвестировать «заработанные» деньги, так как у них не хватает опыта. От пользователей, которые позарятся на деньги столь сомнительного происхождения, скорее всего, потребуется перевести определенную сумму на «организационные нужды». И снова праздники Традиционно в канун Нового года и Рождества растет число «праздничных» рассылок. Наиболее популярная услуга, предлагаемая в предновогоднем спаме — проведение праздников и корпоративов, в том числе с участием Снегурочки и Деда Мороза. Также достаточно распространены предложения изготовить подарочную продукцию с символикой компании (например, рекламируются сладкие подарки в эксклюзивной упаковке с фирменным логотипом). Некоторые спам-рассылки оформлены в виде поздравлений, которые помимо пожеланий содержат еще и рекламу. Наиболее креативные письма оформляются в виде красивых рождественских открыток. Услуги, предлагаемые таким образом, — например, создание различных интернет- и мобильных приложений — могут не иметь никакого отношения к Новому году или Рождеству. Отметим, что во многих «праздничных» рассылках ноября использовался графический спам — как для привлечения внимания пользователей, так и для обхода спам-фильтров. Репутацию не купишь? В ноябре любопытная рассылка была адресована компаниям и пользователям, желающим прославиться в социальной сети Facebook: в письмах спамеры предлагали купить «лайки». Фармацевтический спам со «скандальной» ссылкой Распространяющие рекламу различных медикаментов спамеры прибегают к новым форматам представления информации. В ноябре медицинские препараты рекламировали в таблице, где указывалось назначение лекарств. Не забыли спамеры про громкий скандал, произошедший в России и касавшийся панк-группы Pussy Riot. Англоязычное письмо содержало ссылку, якобы ведущую на связанную с этой группой новость. При переходе по ссылке открывается сайт с рекламой виагры. Географическое распределение источников спама Среди стран — источников спама в мире на позиции лидеров по-прежнему остаются Китай (32,7%) и США (23,8%). Доля спама, рассылаемого из Китая, увеличилась на 2%, тогда как процент спама, распространяемого из США, уменьшился на 3,5%. В целом из этих двух стран в ноябре было разослано около 56% мирового спама. В пятерке стран — лидеров по распространению мирового спама изменений почти нет, лишь Бразилия (2,0%) опустилась с 5-го места на 7-е, уступив свое место Германии (3,8%). В Рунете Индия (14%) уступила первое место Вьетнаму (15,2%). Показатели обеих стран по сравнению с октябрем уменьшились: Индии — на 2,85%, Вьетнама — на 0,5%. Существенно увеличился вклад Германии в спам-потоки Рунета — он составил 13,7%, что на 7% больше чем в октябре. В рейтинге эта страна поднялась с 11-го на 3-е место. Китай потерял около 2% и опустился на 4-ю позицию. Практически не изменились доли спама, попадающего в Рунет из США и России, что позволило этим странам остаться на девятом и пятом местах рейтинга соответственно. Среди регионов лидером по распространению спама остается Азия (51,9%, на 1,4% больше по сравнению с прошлым месяцем). В первую тройку, как и ранее, входят Северная Америка и Западная Европа. Вредоносные вложения в почте В ноябре вредоносные вложения содержались в 3,27% электронных сообщений, что на 0,02% больше, чем в прошлом месяце. США (16,2%) и Германия (12,6%) остаются странами, куда направлено больше всего вредоносных писем. Однако, если доля Германии по сравнению с прошлым месяцем не изменилась, доля США продолжила увеличиваться (+3,6%), и в ноябре эта страна стала лидером по количеству срабатываний почтового антивируса. Доля остальных стран, входящих в рейтинг, существенно не менялась. TOP 10 вредоносных программ, распространяемых в почте, по сравнению с предыдущим месяцем значительно изменился. На первое место вышел Trojan-PSW.Win32.Tepfer.cfwf — программа, ворующая пароли пользователя. В рейтинг вошли еще две программы этого семейства. Ни лидер прошлого месяца Trojan-Spy.Win32.Zbot.fsfe, ни лидер года Trojan-Spy.HTML.Fraud.gen не появились в рейтинге. Однако семейство Trojan-PSW также нацелено на хищение пользовательских паролей, причем не только к аккаунтам онлайн-банкинга, но и к аккаунтам более широкого спектра. Также в десятке можно заметить Trojan-Spy.Win32.Zbot.ghzq — еще одну модификацию троянца Zbot/ZeuS. На третьем и четвертом местах находятся почтовые черви, основной функционал которых — распространять себя по адресной книге пользователя. Черви Bagle, помимо этого, могут закачивать на компьютер пользователя другие вредоносные программы. Фишинг В ноябре доля фишинговых писем в почтовом потоке уменьшилась вдвое и составила 0,015%. Рейтинг категорий атакованных фишерами организаций основывается на срабатываниях нашего компонента антифишинга на компьютерах пользователей. Антифишинг детектирует все фишинговые ссылки, по которым пытался пройти пользователь, — будь то ссылка в спамовом письме или в интернете. На первое место по количеству фишинговых атак вышли социальные сети во главе с Facebook, их показатель вырос на 13,2%. Лидировавшие в октябре онлайн-магазины сместились на третье место (13,5%). Доля фишинговых атак на финансовые и платежные организации по сравнению с октябрем уменьшилась на 3%, но эта категория по-прежнему занимает в рейтинге второе место. Продолжают терять позиции поисковики (-5,4%) — они переместились с третьего места на четвертое. Среди поисковых систем фишеры чаще всего атаковали Google и Yahoo. Заключение Как и ожидалось, в преддверии зимних праздников увеличилось количество новогоднего спама. В декабре рекламы различных товаров и услуг, тематически связанных с праздниками, станет еще больше. Возможно использование новогодней тематики и в разнообразных рассылках, рекламирующих вовсе не праздничные товары и услуги, а также заманивание клиентов праздничными скидками. Продолжит расти количество графического спама. В праздничный период пользователям стоит быть внимательными при получении писем с уведомлениями от различных магазинов, банков и других финансовых систем. Не следует открывать подозрительные вложения, присланные незнакомыми отправителями, переходить на банковские страницы по ссылкам в письме, и уж, тем более, — вводить на них персональную информацию, особенно номера банковских карт, пароли и логины от платежных кабинетов. Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2012