Электронный журнал "Спамтест" No. 545 В этом номере: Новости Новости WhatsApp рискует потонуть в спаме в 2015 году В последние несколько месяцев зарегистрировано увеличение активности спамеров в таких сервисах быстрого обмена сообщениями, как WhatsApp. Атаки коснулись пользователей в США, Европе и Индии, сообщает Help Net Security со ссылкой на отчет компании AdaptiveMobile. Хакеры сделали более изобретательной как систему распространения нежелательных сообщений, так и содержание посланий. По оценке экспертов, спам станет проблемой пользователей сервисов на протяжении всего 2015 года. В частности, как установили эксперты, злоумышленники используют WhatsApp для проведения таргетированных кампаний, направленных на определенные группы пользователей, со специфичным текстом рассылок. Например, с американских номеров отправляются европейским абонентам предложения по якобы выгодному инвестированию, а с китайских европейцам отсылают рекламу поддельных драгоценностей и других дешевых фальшивок, имитирующих дорогостоящие товары. Исследователи отмечают, что киберпреступники смогли найти лазейки в антиспам-законодательстве Индии, что позволило им существенно снизить стоимость своих рассылок. Вдобавок рост числа виртуальных операторов, предоставляющих услуги в области IP-телефонии, позволил спамерам с большей легкостью закидывать пользователей своими посланиями, манипулируя разными номерами и создавая новые аккаунты, чтобы избежать обнаружения и блокировки. Эксперты признают, что криминальные кибергруппировки переключаются на сервисы быстрого обмена сообщениями для рассылки спама, что, безусловно, станет вызовом для владельцев этих платформ, стремящихся обеспечить их безопасность. К слову, не так давно мошенники пытались обманом заставить пользователей WhatsApp платить за несуществующие опции сервиса. А в начале 2014 года «Лабораторией Касперского» было обнаружено фишинговое письмо, в котором говорилось о выходе мессенджера WhatsApp для PC. При нажатии пользователем на ссылку «Скачать» жертва скачивала файл, который выглядел как установочный пакет, хотя в действительности содержал троянскую программу. Источник: Threatpost Facebook избавляется от мусора по методу краудсорсинга Facebook обновила ленту новостей, добавив опцию, позволяющую очистить ее от так называемых hoaxes – вводящих в заблуждение или заведомо ложных сообщений («уток»), которые обычно безобидны, хотя некоторые способны посеять панику или распространяются с целью мошенничества. Такие сообщения замусоривают социальное пространство, поскольку пользователи активно ими обмениваются, обсуждают, а убедившись, что это розыгрыш, начинают просвещать других участников соцсети. По данным Facebook, вероятность удаления такой записи держателем профиля возрастает в два раза после получения дружеского предупреждения. Тем не менее, операторы сервиса посчитали нужным ограничить распространение hoax-мусора с привлечением самих фейсбукеров. Отныне такие сообщения в новостной ленте можно будет отмечать отдельным флажком. Когда пользователь кликает, чтобы скрыть сообщение в ленте новостей, ему предоставляется возможность обосновать свою отрицательную оценку, поставив флажок против одной из позиций: неприятно или раздражает, порно, противоречит моим убеждениям, пропаганда насилия, мистификация, другие причины. Если многие пользователи оценивают сообщение (ссылку, фото, видео) как «утку» или предпочитают его удалять, доступ к нему в ленте новостей будет ограничен с пояснением, что многие это забраковали как hoax. При этом Facebook, если верить записи в ее блоге, не производит оценку контента на соответствие действительности и не будет удалять такой мусор самовольно. Источник: Facebook В Канаде будут штрафовать за раздачу шпионов и adware На прошлой неделе вступили в силу те положения канадского закона о спаме (Canada's anti-spam legislation, CASL), которые касаются установки любого ПО на чужие компьютеры. Отныне такие действия потребуют предварительного и явно выраженного согласия владельца или иного авторизованного пользователя устройства, в противном случае их инициатору грозят немалые штрафы. Данный раздел был включен в CASL с целью защиты пользователей от скрытной/автоматической загрузки шпионских и рекламных программ (adware), однако, согласно финальной редакции, под юрисдикцию нового законодательства подпадают также легальные апдейты и апгрейды. Напомним, Канада – единственная страна «большой восьмерки», которой долгое время не удавалось обзавестись отдельным антиспам-законодательством. Сильную оппозицию составляли местные предприниматели, опасавшиеся, что ограничения на массовые рассылки будут тормозить их рекламную деятельность и, как следствие, развитие бизнеса. Канадский закон о спаме был, наконец, принят четыре года назад, но из-за горячих дебатов по поводу отдельных формулировок его положения, касающиеся коммерческих рассылок, вступили в силу лишь минувшим летом. CASL ставит вне закона не только спам, но также фишинг и фарминг, а отныне – и установку нежелательного ПО. Положения CASL, вступившие в силу в текущем месяце, запрещают автоматическую установку приложений, плагинов, тулбаров и проч. при посещении пользователем веб-страниц или открытии почтовых/текстовых сообщений. Новый закон также требует, чтобы при загрузках пользователя четко информировали о функциях той или иной программы, в особенности о таких действиях, как сбор персональных данных или изменение настроек. Требование предварительного согласия не распространяется на те случаи, когда пользователь сам установил какой-то софт и поддерживает его в актуальном состоянии своими силами. Согласие пользователя не требуется также в тех случаях, когда производится простое обновление информации, отображаемой в программе, – например, прогноза погоды или телевизионной программы передач. Наличие согласия подразумевается при установке следующего ПО: куки, HTML, Javascript, операционной системы, любой программы, которая запускается через другую программу, уже разрешенную пользователем; программы, раздаваемой провайдером телекоммуникационных услуг для защиты (сегмента) сети от текущей угрозы или с целью апдейта/апгрейда всей сети; софта, устраняющего ошибки в компьютерной системе (фиксы, патчи). При этом наличие или отсутствие заведомого согласия определяется по поведению пользователя: если он отключил в браузере Javascript или куки, их установка сторонним лицом будет считаться противозаконной. Любые другие апдейты и апгрейды должны производиться лишь с заявленного согласия владельца или другого авторизованного пользователя ПК, лэптопа, планшета, смартфона и т.п. Такое согласие можно оговорить при первичной установке соответствующей программы самим пользователем или представителем вендора (с разрешения пользователя). При этом в CASL предусмотрен дедлайн на приведение в соответствие регламента для ПО, установленного до 15 января 2015. Его можно еще три года обновлять прежним порядком, не запрашивая разрешение пользователя, так как оно в этом случае подразумевается. Заявления по поводу незаконной установки ПО канадцам предлагают направлять в специализированный центр приема жалоб в рамках CASL. Рассматривать их будут специалисты Комиссии по радио-/телевещанию и телекоммуникациям (Canadian Radio-television and Telecommunications Commission, CRTC). Этот надзорный орган наделен также полномочиями налагать штрафы за правонарушения, сумма которых, согласно CASL, может составить до 1 млн. (канадских) долларов для физических лиц и до 10 млн. – для юридических. При этом частным лицам разрешено обращаться в суд с гражданским иском и требовать 200 долл. компенсации за каждое правонарушение. Источник: Government of Canada Внимание, подделка! Редакция SecurityLab.ru предупреждает владельцев мобильных iOS-устройств о мошеннической рассылке, использующей имя этого русскоязычного ИБ-портала с целью вымогательства. По словам SecurityLab, речь идет о почтовых сообщениях, которые гласят: «Ваше устройство было заблокировано из-за противоправных действий группы хакеров, сообщения от которых мы перехватили. Наша компания, securitylab.ru, предлагает быстро, безболезненно и гарантированно восстановить доступ к устройству». Используя чужое имя, неизвестные злоумышленники просят за услуги 500 рублей, голословно утверждая, будто бы официальная процедура разблокировки стоит дорого и к тому же приводит к удалению информации из iСloud. SecurityLab.ru решительно опровергает свое отношение в данной рассылке, равно как и причастность своего учредителя, компании Positive Technologies. Редакция портала полагает, что поддельные письма приходят тем пользователям, которые по неосторожности загрузили на iOS-устройство вредоносную программу-блокер. Получателям подобных фальшивок рекомендуется игнорировать требования мошенников. Если соответствующая учетная запись, действительно, заблокирована, SecurityLab советует воспользоваться предусмотренной Apple бесплатной процедурой по восстановлению доступа к устройству. Источник: SecurityLab Фальшивый факс загружает CTB-Locker Аналитическая компания Malcovery Security, работающая при университете Алабамы в Бирмингеме (UAB), предупреждает о новой спам-рассылке, нацеленной на засев шифровальщика CTB-Locker, он же Critroni. Вредоносные письма имитируют уведомление о входящем факсе и предлагают открыть вложенный zip-файл, чтобы ознакомиться с «документом». Для обхода защитных фильтров спамеры присвоили этому архиву случайное имя, выбранное по словарю, и поместили в него еще один zip-файл, в котором сокрыли полезную нагрузку в формате .scr. Вредоносный scr-файл поименован так же, как zip-вложение и, согласно Malcovery, содержит даунлоудер Dalexis. Примечательно, что все scr-файлы, изученные исследователями в рамках текущей спам-кампании, уникальны, то есть детектируются с разными хэшами, хотя сами сэмплы функционируют одинаково и имеют одну и ту же структуру. При запуске Dalexis загружает с одного из ряда заданных сайтов целевой файл pack.tar.gz – шифрованную с помощью XOR копию вымогателя. Необычный формат этого файла, по словам экспертов, призван уберечь его от сканирования на границе сети. После расшифровки и запуска блокер приступает к выполнению основных функций: ищет на несъемных, съемных и сетевых дисках файлы, руководствуясь внушительным списком расширений, шифрует их, отображает окно с требованием выкупа (в биткойнах), блокирует рабочий стол сообщением о случившемся и взаимодействует с C&C-сервером, размещенным в анонимной сети Tor. Напомним, помимо использования Tor-функций, CTB-Locker (в классификации «Лаборатории Касперского» Trojan-Ransom.Win32.Onion) необычен также тем, что подвергает шифрованные файлы сжатию и применяет криптостойкий алгоритм ECDH (Диффи-Хеллмана на эллиптической кривой). Реклама этого шифровальщика была впервые обнаружена в сетевом андеграунде в минувшем июне, причем на русском языке. Первые покупатели распространяли CTB-Locker, в основном, с помощью эксплойт-пака Angler. По всей видимости, спам как способ доставки данного зловреда тоже будет постепенно набирать обороты. Есть также вероятность, что CTB-Locker со временем станет настоящим полиглотом. Вначале он имел в своем арсенале лишь два языка, английский и русский. Судя по скринам, приведенным в новой записи в блоге Malcovery, он теперь способен также найти общий язык с жителями Германии, Голландии и Италии, подгоняя их с помощью таймера. Источник: Malcovery Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2013