Электронный журнал "Спамтест" No. 511 В этом номере: Новости Записки спам-аналитиков Новости Spamhaus запустила портал для CERT Некоммерческая организация Spamhaus объявила об официальном открытии интернет-портала в помощь национальным и региональным группам быстрого реагирования на компьютерные инциденты (CERT) и группам реагирования на нарушения компьютерной безопасности (CSIRT). Новый источник позволяет получать информацию о местных ботнетах почти в реальном времени; доступ к CERT Insight Portal бесплатен. Статистика по зараженным компьютерам (IP-адресам) на портале систематизирована в разделении по странам и регионам и составляется на основе XBL-записей, заносимых в базу данных Spamhaus в реальном времени. Пописчики CERT Insight Portal могут также получать автоматизированные уведомления о новых источниках спама, включаемых антиспамерами в блоклист SBL, и о центрах управления ботнетами, обнаруженных в конкретном адресном пространстве. Портал CERT Insight был запущен в режиме бета-тестирования в прошлом году и уже приобрел большую популярность. На настоящий момент им пользуются свыше 30 национальных CERT, подписавшихся на рассылки, помогающие им бороться с инфекциями в своих странах и принимать меры против новоявленных C&C ботнетов. Получить доступ к новому порталу можно, направив запрос на адрес cert-team@spamhaus.org. Источник: Spamhaus Lavaboom – новая защищенная почта В Германии в режиме закрытого бета-тестирования The Register запущен новый сервис конфиденциальной переписки, который будет доступен всем на безвозмездной основе. Авторы проекта надеются, что высокий уровень защиты, предоставляемый Lavaboom, окажется устойчивым к методам слежки, применяемым АНБ. Имя «Lavaboom» было выбрано не случайно, хотя немецкий сервис, как утверждает The Register, отнюдь не является наследником Lavabit – аналогичной службы, закрывшейся минувшим летом. Создатели Lavaboom просто хотели таким образом воздать должное сервису, которым пользовался Эдвард Сноуден. Предоставляемая Lavaboom защита основана на трех принципах: сквозном шифровании, «приватности с нулевым раскрытием» и «трехуровневой аутентификации». Помимо обычного пароля и пары публичный-приватный ключ, подписчик сможет для верности использовать генерируемые на сервисе одноразовые коды или YubiKey-токен. Объем почтового ящика для пользователей бесплатной службы Lavaboom пока ограничен 250 МБ. За повышение лимита придется платить, с возможностью оплаты в биткойнах. Источник: The Register Столичное УФАС о мобильном спаме В минувшем году в московское управление Федеральной антимонопольной службы поступило 2,5 тыс. жалоб на SMS-спам и рекламные звонки. Об этом в понедельник, 14 марта, сообщил журналистам глава ведомства Рачик Петросян. «Это действительно проблема, потому что объем жалоб очень большой. Люди регулярно жалуются нам на непрошеную рекламу», – отметил он. Чаще всего через текстовый спам москвичам навязывают покупку алкоголя или пищевых добавок. По словам Петросяна, наказать автора спам-рассылки часто не удается: SMS проходит через несколько узлов связи, на выявление всех звеньев уходят месяцы, за которые срок привлечения правонарушителя к административной ответственности может истечь. «Нужно несколько месяцев, дабы решить проблему, – комментирует глава столичного УФАС. – Мы начали возбуждать дела в отношении всех лиц, которые участвуют в цепочке. Так мы очень быстро находим настоящего виновника». Петросян также заявил, что антимонопольное ведомство готовит соответствующие поправки в российское законодательство. При подаче в ФАС заявления в отношении незаконной SMS-рекламы в нем следует указать свои ФИО и место жительства, наименование рекламодателя, способ, время и место распространения рекламы, а также изложить признаки правонарушения и свои требования. К заявлению прилагаются скриншот или фотоснимок SMS-сообщения, детализация выписки по абонентскому номеру за соответствующий период и заверенное подписью согласие на получение антимонопольщиками информации от оператора сотовой связи. Источник: ФАС России О проблеме SMS-спама в Китае В минувшем году китайские абоненты получили свыше 300 млрд. спамовых SMS. Такой вывод был сделан по результатам расследования 270 млн. жалоб, поданных через официальные каналы. Две трети этих текстовых сообщений составила непрошеная коммерческая реклама, 15% – реклама недвижимости. При этом столичные жители в среднем получали порядка 2,22 спамовых SMS в сутки. Как правило, текстовый спам распространяется в Китае с помощью поддельных базовых станций, которые позволяют спамерам проводить рассылки в пределах зоны действия этих нелицензированных передатчиков. Для маскировки авторы спам-рассылок используют подставные номера телефонов или имена легальных отправителей, таких как правительственные ведомства, телеоператоры или крупные банки. Власти Китая ведут последовательную борьбу с несанкционированными SMS-рассылками. Так, благодаря широкой кампании против спама, запущенной на территории страны в конце прошлого года, количество текстового спама в ноябре и декабре, по официальным оценкам, сократилось на 50%. В прошлом месяце также стало известно о массовых арестах в связи с деятельностью спамерской ОПГ, специализирующейся на рассылке SMS-спама с помощью подвижных поддельных станций. Источник: People's Daily Online В США зафиксирован всплеск pump-and-dump спама Американская компания Rich Pharmaceuticals предупреждает инвесторов о мошеннических письмах, поощряющих получателя покупать ее акции, курс которых скоро якобы может превысить 2 и даже 3 доллара. По словам Rich, эта информация не соответствует действительности, и такие спам-сообщения нужно просто игнорировать. Фармацевтическая компания решительно отрицает свою причастность к данной рассылке и обратилась за консультацией к оператору «розовых листов» OTC Markets Group (ранее Pink Sheets), а также в Агентство по регулированию деятельности финансовых институтов (FINRA). С их помощью Rich надеется выявить и остановить авторов мошеннической рассылки. Получателям подобных спам-писем рекомендуется их игнорировать и в поисках достоверной информации обращаться на сайт sec.gov или непосредственно на richpharmaceuticals.com. Напомним, продвигающий неликвидные акции спам является частью мошеннической схемы, известной как pump and dump («накачка и сброс»). Ее авторы заранее покупают дешевые акции, рекламируют их в рассылках как весьма перспективные, искусственно вздувая спрос, а затем выгодно продают перед неизбежным падением курса. Источник: NASDAQ Записки спам-аналитиков Вам кофе со зловредом? Мария Вергелис, эксперт «Лаборатории Касперского» Чтобы заставить получателя открыть вредоносное вложение, злоумышленники, как правило, делают ставку на шаблон письма. И здесь чаще всего срабатывают два основных приема: известное имя отправителя (банк, социальная сеть, провайдер или другая организация, с которой почти наверняка будет связан получатель) плюс интригующая или пугающая тематика сообщения. Оба этих приема в очередной раз постарались учесть злоумышленники, организовав атаку на пользователей от имени крупнейшей в мире сети кофеен Starbucks. В сообщениях обнаруженной нами рассылки говорилось, что несколько часов назад один из друзей получателя сделал для него заказ в кофейне Starbucks в честь особого события. При этом друг просил не разглашать своего имени, чтобы создать интригу и заставить получателя прийти на место встречи. По такому случаю сотрудники кафе подготовили чудесное меню, ознакомиться с которым, а заодно узнать адрес и точное время празднования, можно, открыв вложение. Заканчивались письма пожеланием отличного вечера. Всем сообщениям рассылки присваивалась высокая важность. При этом адреса отправителей, созданные на бесплатных почтовых сервисах Gmail и Yahoo!, менялись от письма к письму и представляли собой сгенерированные словосочетания типа incubationg46@, mendaciousker0@ и проч. Вложение представляло собой исполняемый файл, который киберпреступники даже не потрудились замаскировать с помощью архива или двойного расширения. Видимо, они надеялись, что обрадованный получатель откроет файл, не задумываясь. «Лаборатория Касперского» детектирует вложенный файл как Trojan-Spy.Win32.Zbot.sapu, – модификацию одной из самых популярных шпионских программ семейства Zbot (ZeuS). Такие программы используются злоумышленниками для кражи различной конфиденциальной информации. А данный Zbot также может устанавливать руткит Rootkit.Win32.Necurs или Rootkit.Win64.Necurs, который сильно мешает работе антивирусов и других защитных решений. Примеры спамовых писем смотрите на сайте Securelist.com/ru. Подмена символов: вместо латиницы - что-нибудь поэкзотичнее Мария Рубинштейн, эксперт «Лаборатории Касперского» Ради обхода фильтров спамеры идут на всевозможные уловки: "зашумляют" текст, ставят редиректы на рекламируемые сайты, заменяют тексты картинками, - все для того, чтобы автоматический фильтр не вычитал ключевых слов и пропустил письмо к адресату. В последнее время мы наблюдаем тенденцию к замене букв латинского алфавита похожими символами из других систем письма, и этот "шрифтовой изыск" особенно характерен для фишинговых рассылок на итальянском языке. Не-латинские символы вставляются вместо похожих по начертанию латинских как в поле Subject, так и в тело письма. Благодаря кодировке UTF-8 внутри одного письма можно комбинировать самые разные символы. В вышеприведенных примерах мы видим буквы кириллицы, греческого алфавита, фонетические символы. Спамеры используют этот прием для обхода фильтров. Фильтры продуктов ЛК, впрочем, устроены так, что их так просто не обойдешь, даже если использовать греческие буквы и фонетические символы. Примеры спамовых писем смотрите на сайте Securelist.com/ru. Самореклама в картинках Татьяна Щербакова, эксперт «Лаборатории Касперского» Наряду с традиционными рекламными рассылками спамеры не забывают и про поиск клиентов для себя. Конечно ищут они их посредством спам рассылок с саморекламой, предлагая потенциальным заказчикам рассылок низкие цены, эффективность и стопроцентную гарантию. Отметим, что такой спам в основном рассылается в виде графических картинок. Кроме того, спамеры предлагают не просто разослать рекламные письма на электронные ящики случайных пользователей, а по определенной выборке, например, отраслям и городам. Создать таргетированную рассылку спамерам не составляет труда. В шаблоне картинки меняются лишь названия городов, стоимость рассылки, количество адресов (организаций), на которые будут разосланы рекламные письма. Таким образом можно разослать письма с предложением массовых рассылок организациям любых городов России и ближнего зарубежья. Графический спам используется не только для эффективного представления информации, но и обхода спам-фильтров. Впрочем, сегодня в фильтрах успешно применяются специальные технологии по распознаванию и анализу изображений, поэтому спамеры используют и другие уже известные уловки. Например, мусорный текст, в качестве которого может использоваться «белый текст» - случайный текст, добавленный в конце письма и совпадающий по цвету с фоном. Такой текст невидим для пользователя, но не для спам-фильтров, что затрудняет детектирование. Часто спамеры просто вставляют видимый текст в письмо, при этом в качестве «мусорного» текста могут использоваться новостные сообщения, отрывки из художественных произведений, а также бессмысленная последовательность цифр и букв. Чаще всего такой текст вставляется в конец письма, чтобы не влиять на восприятие получателя, однако встречаются письма в которых «мусорный» текст присутствует в начале письма или и в конце, и в начале. Оформление спам-рассылок с саморекламой спамеров очень разнообразно. В ход идут не только стандартные приемы, но и креативные решения. Например, в рассылках с предложениями разослать рекламу по базе адресов городов России, в графическом оформлении используется герб города. В других рассылках вместо однотонного фона используются фотографии с изображением видов города, жители которого получат заказанную спам-рассылку. Спамеры заманивают потенциальных клиентов обещанием высокой эффективности рассылки и гарантией результата. Но на самом деле эффективность спам-рассылки не так высока, как обещают спамеры и ожидает заказчик – фильтры отлавливают подавляющее большинство рекламных писем, да и пользователи склонны удалять незапрошенные сообщения не читая. Наконец, такой вид рекламы является незаконным и уж точно не поднимет репутацию заказчика рассылки. Потому не стоит искать в спам-рассылках залог успешного бизнеса - клиенты будут рады получить высокое качество товаров и услуг, а не тысячи писем с рекламой. Примеры спамовых писем смотрите на сайте Securelist.com/ru. Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2013