Электронный журнал "Спамтест" No. 481 В этом номере: Новости Спам в июле 2013 года Новости Qiwi привлекли к ответственности за спам Нижегородское управление Федеральной антимонопольной службы (НУ ФАС) обвинило платежную систему Qiwi в распространении спама. По данным, представленным пресс-службой НУ ФАС, 4 июня 2013 года в управление обратился житель Нижнего Новгорода с жалобой на мобильный и электронный спам. Он сообщил, что с декабря 2012 по май 2013 года получает рекламные сообщения, отправителем которых является ЗАО «Объединенная система моментальных платежей» (ЗАО «ОСМП», платежная система Qiwi). Сообщения поступали и на сотовый телефон, и на электронную почту пострадавшего, при этом своего согласия на рекламные рассылки от Qiwi он не давал. 10 июля 2013 года Нижегородское УФАС возбудило дело. В ходе разбирательства удалось доказать рассылку телефонного спама 31 декабря 2012 года в виде поздравления с Новым годом от Qiwi, а также три рассылки на электронную почту: одну от 25 января и две от 3 и 8 мая 2013 года, посвященные первичному размещению акций Qiwi (IPO) на бирже NASDAQ. В результате 21 августа 2013 года Комиссия НУ ФАС России приняла решение, что компания ЗАО «ОСМП» нарушила ч. 1 ст. 18 Федерального закона РФ «О рекламе» в части «распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы». На данный момент компания получила распоряжение о прекращении спам-рассылок, а материалы дела направлены на рассмотрение вопроса о возбуждении административного производства. Источник: НТА-Приволжье Разработана антиспамовая модель на основе теории игр Австралийские исследователи объявили о создании модели для фильтрации спама, в основу которой легли элементы теории игр. Новая модель может улучшить распознавание спама на 30% по сравнению с традиционными фильтрами. Команда ученых из Университета Сиднея при поддержке австралийского исследовательского центра (Capital Markets Cooperative Research Centre, CMCRC) использовала для своей разработки модели повторяющихся игр. Участники игр из данной категории рассчитывают в будущем на повторение выбранной противником стратегии. Традиционные классификаторы спама со временем ухудшаются, потому что спамеры постоянно придумывают, как их обойти. Такая состязательность приводит к более точной фильтрации, но при этом значительно замедляются ее темпы. А слишком частое обновление фильтров приводит к дополнительным финансовым и временным затратам. В разработке австралийцев происходит моделирование взаимодействия между классификатором спама и его противником (спамером), в результате чего классификатор получает дополнительные обучающие данные. «Идет поиск компромиссного решения или равновесия, при котором ни одна из сторон не хочет выходить за рамки ситуации. Классификатор учится использовать это положение равновесия в будущем. Данный подход является более стабильным и экономичным, чем другие модели», - объясняет один из исследователей, аспирант Ван Фэй (Fei Wang). То есть, моделирование на основе повторяющихся игр - более реалистичный способ обучения классификатора, потому что при этом учитываются причина и следствие взаимозависимых отношений. «Мы использовали несколько моделей и проверяли их действие на реальном спам-потоке наборов данных. Оказалось, что созданная нами модель является более устойчивой к изменениям, чем остальные», - рассказывает профессор Санджей Чавла (Sanjay Chawla). На данный момент, по словам ученых, они рассматривают введение в модель дополнительных условий, например, ограничение по бюджету для спамера или классификатора. Источник: ComputerWorld Спамеры забросали жителей Екатеринбурга «наркотическими» SMS-ками Абоненты сотовой связи г. Екатеринбурга массово жалуются на рассылки SMS-сообщений, в которых владельцам сотовых предлагается приобрести «легальные» наркотики. В частности, пострадали абоненты компании МТС. В SMS-сообщениях, рассылаемых неизвестными продавцами, предлагается приобрести различные виды, так называемых, «легальных» наркотиков - «порошки, пилсы, миксы, СК» оптом и в розницу. Представители СМИ, к которым обратились пострадавшие граждане, связались с продавцом по указанному в рассылке адресу в Skype. Продавец сообщил, что после перевода требуемой суммы через электронный кошелек вещество можно будет забрать в определенном месте. Жертвы спама обращались к своему сотовому оператору с просьбой оградить их (а также их детей, имеющих сотовые) от подобных сообщений. Однако представители компании сотовой связи заявили, что не в силах остановить поток «криминального» спама. «SMS клиентам могут попадать двумя путями: непосредственно от сотового оператора и от разных контент-провайдеров. В данном конкретном случае подобное SMS никоим образом не могло прийти из нашей сети. Да и от других операторов такой спам прийти не может, поскольку у каждого оператора стоят мощнейшие фильтры, которые от этого обезопасят», - заявили сотрудники МТС. В компании также предположили, что номера телефонов абонентов, ставших жертвами рассылок, находятся где-то в открытом доступе, или SMS рассылается по ним методом случайного набора цифр. «В любом случае – наша компания не может этого предотвратить», - подчеркнули в МТС и посоветовали абонентам обращаться в полицию. Источник: РИА Новый Регион FTC предупредила американских потребителей об «обратном спаме» Федеральная торговая комиссия США (Federal Trade Commission, FTC) сообщила о массовой электронной рассылке спам-сообщений, содержащих требование об отправке текста обратно. Выполнение данного действия запускает вредоносную программу, направленную на кражу личных данных жертвы. Заявление FTC появилось в середине августа на сайте ведомства. В нем сообщалось о волне писем, в которых пользователя убеждают, что его аккаунт был взломан. В тексте письма также содержится просьба немедленно отправить данное сообщение обратно (SENDNOW), чтобы заново активировать аккаунт. Мошенники утверждают, что это необходимо для проверки личности пользователя. Представители FTC предупреждают об опасности выполнения данного требования. Они объясняют, что легальные компании не будут пытаться проверить реальность адреса через незащищенные каналы, такие как электронная почта. При этом, подчеркивается в релизе FTC, переход по любой ссылке в подозрительном сообщении может запустить вредоносное ПО или переправить пользователя на фальшивый сайт. Ведомство призвало потенциальных жертв спамеров не поддаваться на их уловки и в случае обнаружения подобного спама подавать жалобу в FTC. Источник: Federal Trade Comission МТС блокирует 37 миллионов спам-SMS в месяц Сотовый оператор МТС отчитался о своей деятельности в области борьбы с SMS-рассылками и телефонными мошенниками за первые 6 месяцев 2013 года. Согласно представленным компанией данным, только за указанный период было обработано почти 35 тысяч обращений граждан на тему телефонного спама и случаев мошенничества. Это в 3 раза меньше, чем в 2012 году. Общий объем компенсаций пострадавшим абонентам составил 50 миллионов рублей. Представители МТС уточнили, что компенсировали свои потери за счет штрафов, наложенных на контент-провайдеров, допустивших нарушения российских законов. На данный момент ежемесячно МТС блокирует до 37 миллионов спам-сообщений, приходящих с коротких и буквенных номеров. Это в 10 раз больше, чем в 2012 году. По словам экспертов компании, объемы доставленных абонентам мошеннических SMS-сообщений в общем потоке телефонного спама сократились в 15 раз, хотя в совокупном трафике SMS-спама их количество увеличилось вдвое. Объемы мошеннических SMS, приходящих с SIM-карт МТС, за полгода также сократились в 20 раз. В результате теперь 98% спама и подозрительных писем абоненты компании получают из сетей других сотовых операторов. Расходы на информационную безопасность, по данным, представленным руководителем отдела МТС по борьбе с мошенничеством Сергеем Размахниным, за последние два года составили почти 200 миллионов рублей. Только в 2013 году на защиту от SMS-мошенников компания потратила около 30 миллионов рублей. Источник: Digit.ru Спам в июле 2013 года Татьяна Щербакова, эксперт «Лаборатории Касперского» Мария Вергелис, эксперт «Лаборатории Касперского» Дарья Гудкова, эксперт «Лаборатории Касперского» Июль в цифрах Доля спама в почтовом трафике в июле увеличилась всего на 0,1% и составила 71,2%. Доля фишинговых писем в почтовом потоке по сравнению с июнем уменьшилась более чем вдвое и составила 0,0012%. Вредоносные вложения содержались в 2,2% всех электронных сообщений, что на 0,4% выше показателя прошлого месяца. Особенности месяца Горячие темы в спаме В июле мы продолжили фиксировать рассылки, в которых спамеры эксплуатировали интерес пользователей к значимым событиям месяца. Так, появление на свет сына герцога и герцогини Кембриджских и шпионский скандал с участием Эдварда Сноудена не остались без внимания спамеров. Злоумышленники традиционно рассылали письма с вредоносными ссылками, имитирующие сообщения от информагентств со ссылками на горячие новости. Кроме того, интерес пользователей к этим событиям использовался для привлечения внимания к спам-рекламе. Так, ажиотаж вокруг рождения наследника принца Уильяма спамеры использовали в рекламе полиграфических услуг и рекламного оборудования. В честь долгожданного события компания предлагала скидки на роллерные стенды. А скандал с участием экс-сотрудника спецслужб США Эдварда Сноудена использовался спамерами в рекламе товаров для похудения. Причем в теме таких писем эти товары могли вовсе не упоминаться, в тексте сообщения предлагалось узнать не про методы похудения, а подробности истории Сноудена. А ссылка на «подробности» уже вела на рекламную страницу. Более прицельно имя Эдварда Сноудена использовалось в немецкоязычной рекламе программ для защиты информации. Пользователей убеждали купить рекламируемый продукт, поскольку признание Сноудена определенно говорит о существовании в интернете массовой слежки. Рамадан В этом году священный для мусульман месяц Рамадан пришелся на начало июля-август. Ежегодно мы фиксируем рассылки, эксплуатирующие эту тематику, в том числе для привлечения внимания получателей. Этот год не стал исключением: нами было отмечено несколько рассылок на английском языке не только с традиционной для Рамадана рекламой блюд и ночных ресторанов , но и с рекламой автомобилей и летнего досуга для детей. Новые герои «нигерийских» писем Традиционно героями нигерийских писем становятся родственники или соратники известных богатых людей, либо умерших, либо оказавшихся в сложной жизненной ситуации. В июле в Египте был свергнут президент Мухаммед Мурси. Буквально через несколько дней нами была зафиксирована мошенническая рассылка, эксплуатирующая имя экс-президента Египта. В нигерийском письме, якобы написанном секретарем экс-президента, сообщается, что все счета президента заморожены, а так как и бывший президент, и его секретарь находятся под домашним арестом, то Мурси ищет мусульманина, который может перевести деньги президента, хранящиеся в одном из европейских банков, на свой счет. В качестве вознаграждения, конечно, предлагается заманчивая сумма денег. Но классика жанра предполагает совсем иное: наивный пользователь не только не получит никакого вознаграждения, но и потеряет немалую сумму из своих денег, которые мошенники выманят у него под тем или иным предлогом. Редкий вариант мошенничества Нами было получено письмо, которое представляло собой достаточно редкий вариант мошенничества. С адреса, который похож на адрес банка Australia and New Zealand Banking Group, пользователю приходит письмо с сообщением об ограничении доступа к его учетной записи в системе онлайн-банкинга. Для восстановления доступа необходимо позвонить по указанному в письме телефону. Звонок на указанный номер явно не будет безопасным: в лучшем случае с телефона звонящего снимут деньги, а в худшем – выудят у него какие-либо банковские данные. Летний вредоносный спам Актуальность туристической темы в летний период очень высока, и мы продолжаем фиксировать вредоносные рассылки, пришедшие якобы от имени различных авиакомпаний. В июле поддельное уведомление пришло от имени американской авиакомпании United AirLines. Пользователя информируют о том, что номер его места в самолете изменился, и обновленная информация  находится в приложенном архиве flight document upgrade.doc.zip. Архив содержит исполняемый файл с именем flight document upgrade.doc.exe, который детектируется «Лабораторией Касперского» как Backdoor.Win32.Vawtrak.a. Этот бэкдор используется злоумышленниками для кражи паролей, сохраненных в браузерах, паролей от FTP и почтовых клиентов. Зловред также отсылает своим хозяевам скриншоты Рабочего стола и предоставляет им полный доступ к зараженному компьютеру, что позволяет злоумышленникам загружать и запускать на машине пользователя различные файлы.  Тематический спам Отдых продолжается Для лета характерна массовая реклама туристических агентств и услуг по организации отдыха и досуга. В июле мы продолжали фиксировать рассылки с предложениями горящих туров от различных турагентств. Кроме того, появилось большое количество писем, в которых активно продвигаются недавно созданные ресурсы по поиску и бронированию авиабилетов на все туристические направления. Создатели рассылок предлагают пользователям за минимальный срок подобрать «самые дешевые предложения, существующие на рынке авиаперевозок». Такие письма содержат ссылку на сайт с системой онлайн-бронирования авиабилетов от самых известных авиакомпаний. Системы поиска билетов по виду очень похожи друг на друга, и все рекламируемые сайты созданы недавно.   Товары и услуги для домашних питомцев В этом месяце мы фиксировали рассылки с рекламой услуг и товаров, предназначенных для домашних животных. Люди во всем мире относятся к домашним животным как к членам своих семей, поэтому спрос на товары для мохнатых потребителей очень велик, а значит, порождает предложения, которые зачастую продвигаются через спам-рассылки. Такой спам рассылался как на русском, так и на английском языке. В Рунете это была в основном реклама виртуальных досок объявлений, на которых можно размещать любую информацию по домашним питомцам (объявления о покупке, продаже, поиске животных). Здесь же рекламируются различные ветеринарные клиники. Мы также встречали письма, целью которых был сбор денежных средств в помощь приютам для бездомных животных или отдельным животным (например, черно-белому котенку, которому якобы нужна операция). Подобные сообщения должны разжалобить пользователей и спровоцировать их внести пожертвования - номер счета, на который следует переводить деньги, прилагается. Мы не можем утверждать, что все такие письма мошеннические, но рассылка спамерами жалобных историй с просьбой пожертвовать деньги всегда настораживает. В англоязычном спаме в основном рекламировались товары для животных и недорогие корма. Недвижимость Летом в Рунете стало больше спам-рекламы, связанной с недвижимостью. С помощью спама распространялись предложения по продаже земельных участков, дач и гаражей, по аренде квартир, офисных помещений и прочих объектов. Такие сообщения часто персонифицированы, то есть приходят от имени определенных людей. В качестве личной информации в основном указывается лишь имя. Для обхода спам-фильтров спамеры традиционно использовали в таких письмах зашумление текста, чаще всего – зашумление телефонных номеров (вставка дополнительных символов или написание части цифр символами, части – словами). Географическое распределение источников спама По итогам июля показатели стран - источников спама, распространяемого по всему миру, не сильно изменились, как и расположение самих стран в рейтинге. Первое место принадлежит Китаю, на долю которого приходится 23,4% рассылаемого спама, что незначительно отличается от показателя прошлого месяца (23,9%). Далее следуют США, доля спама, разосланного из этой страны, составляет 18% (на 0,8% больше, чем в июне). Замыкает тройку Южная Корея, откуда было разослано 14,9% мирового спама — на 0,4% больше по сравнению с прошлым месяцем. В целом на три первые страны по-прежнему приходится более половины всего мирового спама. С 10-й на 7-ю позицию переместилась Индия, доля которой в июле увеличилась на 0,4% и составила 3%. Показатель Японии уменьшился почти втрое – с 2,7% до 0,96% (-1,74%), в результате эта страна сместилась с 9-го на 16-е место, а в первую десятку вернулась Россия (2,3%). Отметим также, что июльский показатель Румынии увеличился на 0,6% и составил 1,9%, и страна поднялась с 14-й на 11-ю позицию. В Рунете по итогам июля лидером среди стран - источников спама остается Тайвань (11,4%), чей показатель сократился на 1,9%. Второе место занимает Украина (8,2%): доля спама, рассылаемого из этой страны, уменьшилась на 1%. Потеснив Вьетнам, с 6-го на 3-е место поднялась Индия с показателем 7,4% (+0,9% по отношению к предыдущему месяцу). На столько же уменьшилась доля спама, разосланного пользователям Рунета из Вьетнама (7,3%), который в результате оказался на 4-м месте. Почти вдвое увеличилась доля спама, попадающего в Рунет из Италии. Сейчас ее доля составляет 2,5% по сравнению с июньским показателем 1,3%. Вклад Японии в спам Рунета уменьшился в 2,3 раза: с 3,1% в июне до 1,3% в июле, по итогам месяца страна сместилась с 9-го на 17-е место. Покинули первую двадцатку Китай и Бразилия. Пополнили список Мексика (1,74%), взлетевшая сразу на 13-е место, и оказавшаяся на строчку ниже Сербия (1,45%). Среди регионов лидером по распространению спама в июле осталась Азия (55,2%) – по сравнению с прошлым месяцем её доля сократилась на 2,1%. Далее, как и прежде, следуют Северная Америка (19,4%) и Восточная Европа (14,3%). Показатели этих регионов увеличились на 0,7% и 1,1% соответственно. Вредоносные вложения в почте Доля вредоносных вложений в почте в июле увеличилась на 0,4% и составила 2,2% почтового трафика. На 1-м месте рейтинга вредоносных программ, распространяемых по почте, по-прежнему находится Trojan-Spy.HTML.Fraud.gen (+2,9%). Программа представляет собой фишинговую страничку для ввода данных, которые отправляются напрямую злоумышленникам. На шести из десяти строчек рейтинга расположились разные модификации шпионской программы семейства Zbot/ZeuS. Это один из самых популярных троянцев-шпионов, различные модификации которого в большом количестве рассылаются по электронной почте уже несколько лет. Целью троянца является кража различной конфиденциальной информации с компьютеров пользователей, включая данные кредитных карт. Чаще всего злоумышленники подделывают письма с Zbot под официальные уведомления. Это могут быть письма якобы от банков, магазинов, социальных сетей или популярных служб доставки, в которых пользователя под каким-либо предлогом просят открыть вредоносное вложение. В этом месяце особенной популярностью у злоумышленников пользовались подделки под сообщения от Bank of America. В сумме различные модификации семейства Zbot составили 23,24% от всех вредоносных программ, распространявшихся по почте в июле. На третьем месте, потеряв одну позицию с прошлого месяца, находится Email-Worm.Win32.Bagle.gt (-0,1%). Этот почтовый червь рассылает себя по всем адресам электронной почты, найденным на зараженном компьютере. Он также может связываться с командным центром и без ведома пользователя загружать на компьютер другие вредоносные программы. На восьмой позиции находится Email-Worm.Win32.Mydoom.m (+0,14%). Помимо стандартного функционала рассылки своих копий по адресной книге пользователя червь может отправлять скрытые запросы таким поисковым системам, как Google, Yahoo, Altavista, Lycos. Червь сравнивает адреса сайтов на первой странице результатов поиска со списком адресов, который он предварительно загрузил с серверов злоумышленников. Найдя совпадение, червь открывает ссылку на странице поисковой системы, накручивая таким образом посещаемость сайтов и повышая их рейтинг в поисковой выдаче. Замыкает TOP-10 Trojan-Dropper.Win32.Dorifel.afpu. Будучи установленным на компьютер пользователя, троянец связывается с командным центром, после чего может устанавливать другие вредоносные программы. Интересно, что на 15-й позиции по популярности находится SMS-Flooder.AndroidOS.Didat.a. Кажется, впервые вредоносная программа для платформы Android поднялась так высоко в рейтинге. Функционал SMS-Flooder.AndroidOS.Didat.a позволяет производить массовые SMS-рассылки. Рост количества вредоносных программ для Android в почте ожидаем и соотносится с общей тенденцией увеличения числа таких зловредов. Мы полагаем, что в будущем количество зловредов под Android, распространяемых через почту, будет расти. После июньской аномалии прежние лидеры по рассылке спама вернули свои позиции: на первом месте США (+4,1%), на втором – Германия (+1,7%), на третьем — Индия (+0,8%). Потеснив Австралию, с восьмого на четвертое место поднялась Великобритания (+2,6%). Доля срабатывания антивируса в остальных странах поменялась несущественно. Фишинг В июле доля фишинговых писем в глобальном почтовом потоке уменьшилась более чем вдвое и составила 0,0012%. По итогам июля лидирующую позицию в рейтинге организаций, атакуемых фишерами, продолжают удерживать социальные сети (29,6%), хотя их показатель уменьшился на 1,7%. Доля атак на почтовые сервисы увеличилась на 4,4%, что позволило им подняться с 4-й на 2-ю строчку. В результате на строчку ниже оказались поисковые системы (15,5%), которые теперь занимают 3-е место, и финансовые и платежные системы, оказавшиеся по итогам июля на 4-м месте с показателем 13,3%. Список организаций, занимавших места с 5-е по 8-е, остался без изменений, показатели ИТ-вендоров (8,5%) и телефонных и интернет-провайдеров (7,1%) уменьшились всего на 1%, а онлайн-магазинов (6,4%) и онлайн-игр (0,83%) увеличились совсем незначительно. В июле одна из типичных фишинговых атак была нацелена на пользователей английской кредитной системы Wonga. В поддельном уведомлении, разосланном от имени компании, сообщалось, что произошел сбой в базе аккаунтов системы. Пользователю якобы необходимо обновить данные учетной записи, в противном случае она будет заблокирована вместе со всеми денежными средствами. Это можно сделать или в любом филиале компании, или скачать и заполнить вложенную форму и отправить ее по электронной почте. К письму приложен html-документ, где необходимо ввести электронный адрес и пароль к учетной записи. Если пользователь заполнит и отправит злоумышленникам свои данные, то мошенники получат полный доступ к его личному кабинету и к его деньгам. Одна из новых мишеней фишеров — группа компаний Alibaba, занимающаяся интернет-бизнесом. Поддельные уведомления от имени компании рассылались поставщикам товаров, размещенных в интернет-магазине Alibaba Showroom. В письме сообщалось, что покупатели заинтересовались товарами, предлагаемыми на сайте. Для ознакомления с неким важным документом получателю сообщения необходимо войти под своей учетной записью, перейдя по ссылке, указанной в письме. На самом деле ссылка ведет на фишинговую страничку с полями для ввода адреса электронного ящика и пароля. Заключение По итогам июля доля спама по-прежнему превышает 70% почтового трафика. Лето – время отпусков, когда в целом активность и рекламодателей, и пользователей в интернете падает. Зато у пользователей востребованы предложения, связанные с отдыхом. Поэтому в июле активно рассылались письма с туристической рекламой, рекламой летних товаров и услуг, в том числе предложения дешевых авиабилетов.  Как всегда, при нехватке заказов на распространение коммерческой рекламы, спамеры переключаются на партнерский спам, преимущественно вредоносный. Доля писем с вредоносными вложениями в июле превысила 2%. При этом среди распространяемых в почте вредоносных программ преобладают троянцы-шпионы, ворующие в том числе финансовую информацию пользователей. Особенно популярен у злоумышленников троянец Zbot, на который пришлось 23,24% от всех вредоносных программ, распространявшихся в июле в почтовых вложениях. В рейтинге вредоносных программ в почте впервые довольно высоко (15-е место) оказалась вредоносная программа для платформы Android. Смартфонов и планшетов, работающих на этой платформе, у пользователей очень много, и их число продолжает расти. Мы прогнозируем не только рост количества подобных зловредов в почте, но и увеличение их разнообразия. Скорее всего, к программам, рассылающим SMS, скоро добавятся и троянцы, занимающиеся кражей конфиденциальных данных. Мы рекомендуем пользователям своевременно озаботиться защитой не только стационарных компьютеров, но и мобильных устройств. Июль был богат на громкие события. Спамеры традиционно использовали интерес к этим событиям, рассылая письма с вредоносными ссылками, замаскированные под новостные рассылки. Не оставили без внимания значимые события в мире и мошенники: в почте появились классические «нигерийские» письма, написанные от имени сподвижников Мухаммеда Мурси, смещенного в начале июля с поста президента Египта. Снижение интернет-активности пользователей в летние месяцы, скорее всего, повлияло на снижение доли фишинговых писем в почте. Среди организаций, атакованных фишерами, вырос процент почтовых сервисов, однако такого резкого скачка, как в июне, уже не наблюдается. Это увеличение, скорее всего, имело временный характер и объясняется сезоном отпусков и каникул. В августе показатель почтовых сервисов, возможно, еще останется высоким, но уже в сентябре ситуация, скорее всего, изменится. Диаграммы и примеры спамовых писем смотрите на сайте Securelist.com/ru. Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2013