Электронный журнал "Спамтест" No. 549 В этом номере: Новости Новости Architelos: новые gTLD быстрее всех осваивают спамеры Консультативая компания Architelos, вендор SaaS-решений для работы с клиентами реестров родовых TLD-доменов, опубликовала отчет о злоупотреблениях в доменных зонах, появившихся в 2014 году. Согласно представленной в нем статистике, примерно половина (157) запущенных в течение года gTLD-доменов уже засветились в блоклистах, причем в 99% случаев – из-за спамеров. Мониторинговый сервис Architelos, используемый многими операторами реестров, а также самой ICANN, фиксирует в адресном пространстве интернета такие абьюзы, как спам-реклама, фишинг и распространение вредоносного ПО. По словам исследователей, первый из новоявленных gTLD-доменов попал в черные списки в феврале прошлого года; в этой зоне вполне ожидаемо была найдена площадка, продвигаемая в спам-рассылках. Фишеры начали осваивать новые gTLD несколько позже, в мае; первая среди новичков gTLD-зона, ассоциированная с вредоносной активностью, появилась в сентябре. Architelos также отметила, что первые полгода освоение новых gTLD-доменов киберкриминалом было неспешным, при этом целевые регистрации осуществлялись примерно в 20-25% общедоступных зон. В августе число gTLD, ассоциированных с противозаконной деятельностью, резко возросло, с 50 до 100 с лишним; в итоге в блоклистах оказалось более половины новых gTLD-зон. Три последние месяца года доля «запятнанных» родовых доменов, по данным компании, также составляла примерно 50%. Согласно статистике Architelos, количество молодых gTLD, ассоциированных со спамом, резко увеличилось в июне, августе и октябре, причем до июня спам-активность была минимальной. В июне было зафиксировано свыше 2 тыс. отчетов о спаме; как показало расследование, большинство этих злоупотреблений были связаны с одним и тем же gTLD-доменом. В августе в блоклисты по спаму было внесено более 4 тыс. новых записей – почти в 4 раза больше, чем в предыдущем месяце; в сентябре – около 1,8 тыс., в октябре свыше 7,6 тыс. При этом количество ассоциированных со спамом gTLD мало изменилось, то есть спамеры попросту расширили свое присутствие в уже освоенных зонах. В конце года число таких абьюзов было ниже октябрьского уровня, но все равно довольно значительное, более 4,5 тыс. в ноябре и примерно столько же в декабре. Architelos объясняет столь стабильный прирост высокой ротацией спамерских доменов, оперативно блокируемых благодаря черным спискам. Резкий рост числа фишинговых сайтов был зафиксирован в сентябре; в этом месяце было обнаружено 152 домена, ассоциированных с фишингом, тогда как в августе – лишь 14. В целом за год фишерам удалось освоить 20 новых gTLD-зон. Распространители зловредов начали использовать новые возможности лишь с сентября, и до конца года число этих абьюзов показывало устойчивую тенденцию к росту. Как отмечают исследователи, противоправное использование доменов – это давняя и неизменно острая проблема для администраторов всех доменов верхнего уровня, как новых, так и давно существующих, родовых и региональных. По оценке Architelos, совокупный объем злоупотреблений во всех TLD-зонах за год увеличился на 88%, притом в региональных – на 67%, в 22 широко используемых родовых (.com, .net, .org, .gov, .edu и проч.) – на 94%. На настоящий момент последние в 4 раза превосходят новобранцев по числу абьюзов в пересчете на 1 млн. зарегистрированных доменов, однако, судя по результатам четвертого квартала, эта разница скоро начнет сокращаться. Согласно статистике Architelos, за период с октября по декабрь количество злоупотреблений в молодых, существующих менее 1 года gTLD-доменах увеличилось на 600%. Источник: Architelos CTB-Locker: новый спам, новые трюки Эксперты Trend Micro предупреждают о новой волне спам-рассылок, нацеленных на засев вымогателя-шифровальщика CTB-Locker. Письма злоумышленников распространяются с поддельных email-адресов, используют имена Facebook и Google и снабжены вредоносными ссылками. Напомним, CTB-Locker, он же Critroni и Win32.Onion, отличается от своих собратьев использованием нестандартного и криптостойкого алгоритма шифрования (ECDH), а также Tor-функций для связи с C&C. Данный блокер распространяется с помощью эксплойт-пака Angler и – последнее время все чаще – через спам. В январе такие спам-письма имитировали уведомление о входящем факсе, ныне злоумышленники используют формат нотификации от команды Google Chrome или Facebook. В первом случае получателю сообщают о необходимости обновления браузера и указывают ресурс для скачивания, во втором – о временной блокировке аккаунта из-за изменения условий пользовательского соглашения, с которыми якобы можно ознакомиться, пройдя по предлагаемой ссылке. При ее активации на машину жертвы загружается вредоносный файл, снабженный для отвода глаз иконкой PDF-ридера. По свидетельству экспертов, оба варианта криптоблокера загружаются со скомпрометированных сайтов. Примечательно, что каждая группа сайтов при этом привязана к единственному IP-адресу. Некоторые из этих вредоносных URL, по данным Trend Micro, используются также в текущих фишинговых рассылках, ориентированных на клиентов PayPal. Как показал анализ, новая версия CTB-Locker поддерживает семь языков: английский, французский, испанский, латышский, немецкий, голландский и итальянский. Отображая пользователю требование выкупа, зловред включает счетчик на 96 часов, в течение которых жертва должна уплатить 2 биткойна. Исследователи также отметили, что обновленный криптоблокер использует open-source инсталлятор NSIS, что, по замыслу операторов CTB-Locker, должно затруднить его анализ. При выполнении дроппер загружает шифрованную версию зловреда и самоудаляющийся .DLL, используемый для его расшифровки и запуска. Наибольшее количество заражений CTB-Locker, обнаруженных Trend Micro в конце января – начале февраля, пришлось на Италию, Францию и Индию (16,5; 11,0 и 8,7% соответственно). Источник: Trend Micro Множество сайтов обманывали клиентов PayPal Целый ряд мошеннических сайтов, имитирующих платежный сервис PayPal, обнаружен специалистами OpenDNS. В конце января 2015 года исследователями были найдены несколько доменов, которые злоумышленники использовали для проведения фишинговых атак на клиентов PayPal. В частности, security-paypal-center.com, x-paypal.com, securitycheck-paypal.com, paypalinspection.com, area-paypai.es и многие другие. По данным экспертов, все доменные имена были зарегистрированы в одно время. Некоторые сайты с высокой точностью копировали официальные ресурсы сервиса. Другие даже пытались выманить у пользователей такую информацию, как Apple ID. Жертвы попадали на фальшивые сайты платежного сервиса, перейдя по ссылке в письме. На самом поддельном ресурсе пользователя просили ввести имя и пароль. Кроме того, человеку предлагали ввести номер кредитной карты, PIN и CCV, верифицировать адрес, номер телефона и другие данные. Вдобавок киберпреступники хотели, чтобы пользователь закачивал на их сайт сканы удостоверения личности и других документов. После того как хакеры получали нужные сведения, они попросту переправляли жертву на официальный сайт PayPal.com, и у пользователя складывалось ощущение, что ничего незаконного не произошло. В то же время в руках злоумышленников оказывался полный набор данных о клиентах платежной системы, который ценится гораздо выше, чем просто номер кредитной карты. Между тем, согласно отчету «Лаборатории Касперского», лидером среди атакуемых организаций в категории «Платежные системы» в третьем квартале 2014 года стал именно PayPal (на него приходится 32,08% атак). Почти конкурирует с ним платежная система Visa (31,51%), а замыкает первую тройку American Express (24,83%). К слову, доля срабатываний защитных технологий «Лаборатории Касперского» на финансовый фишинг составила в 2014 году 28,73% от всех зарегистрированных за год фишинговых атак. Доля фишинговых атак на платежные системы увеличилась на 2,4 п.п. — с 2,74% в 2013 году до 5,14% в 2014 году. Источник: Threatpost Proofpoint: спам пошел на убыль, но стал опаснее В минувшем году эксперты Proofpoint наблюдали устойчивое сокращение дневных спам-потоков, которое стало особенно заметным с июня. Согласно статистике компании, за 12 месяцев суточная норма спама в целом сократилась на 56%. В то же время вредоносная составляющая почтовой корреспонденции в середине года резко возросла; повышенный уровень опасного спама сохранился по декабрь, с отдельными продолжительными всплесками, когда эксперты ежедневно фиксировали до 40% писем с вредоносными ссылками. Резкий спад совокупного спам-потока наблюдался в течение года дважды, в июне и в сентябре. Исследователи объясняют эти контр-пики карательными акциями против ботнетов ZeuS/Gameover и Kelihos – они, действительно, совпали по времени, и в обоих случаях Proofpoint почти сразу же отметила сокращение вредоносного потока, на который в спокойные периоды в среднем приходилось 10% почтовой корреспонденции. В конце года количество и разнообразие вредоносных URL в спаме заметно увеличилось при заметном сокращении тиража таких рассылок. Согласно исследователям, в декабре также заметно возрос поток писем с вредоносными вложениями – как следствие мощной спам-кампании, использующей макросы Microsoft Office для засева разных зловредов. Эти вредоносные рассылки продолжились и в новом году. Так, в январе злоумышленники подобным образом раздавали банковского троянца Dridex, который загружался при открытии специально сформированного документа MS Word и Excel, вложенного в спам-письмо. Рейтинг стран-лидеров по исходящему спаму, составляемый Proofpoint каждый месяц, начал видоизменяться. Евросоюз, возглавляющий этот непочетный список полтора года подряд, в октябре и ноябре уступил пальму первенства Китаю. США периодически приходилось спускаться с привычной второй строчки, уступая место Аргентине, ЕС, Китаю или дебютанту Тор 5 Вьетнаму. Примечательно, что в сентябре США вовсе выпали из ведущей пятерки стран-спамеров. Индия, еще один постоянный участник рейтинга Proofpoint, с марта окончательно покинула Тор 5, как и – еще раньше – Тайвань; в итоге 3-5 позиции до конца года делили Аргентина, Вьетнам и другой новобранец, Россия. Источник: Proofpoint Symantec: январь – месяц фишинга Согласно статистике Symantec, в минувшем месяце мусорная составляющая электронной почты незначительно сократилась, с 55,3 до 54%. Концентрация фишинговых сообщений, напротив, устремилась ввысь, такая ловушка поджидала пользователей в среднем в 1 письме на 1004 – против 1 на 1517 в декабре. Агрессивность распространения зловредов по почтовым каналам в январе снизилась: вредоносное вложение содержало одно письмо на 207, что несколько меньше, чем в декабре, а вредоносную ссылку – лишь 5% электронных сообщений. Спад потока вредоносного URL-спама наметился в конце прошлого года, и пока этот тренд, по всей видимости, сохранился. Среднесуточная норма spear-phishing атак после резкого спада вернулась к ноябрьскому уровню (42 инцидента в январе против 33 в декабре и 43 в ноябре). Основная масса целевых посланий фишеров была снабжена файлом-ловушкой в формате .doc (46,1% против 26,7% в декабре). Второе место в рейтинге spear-phishing вложений неожиданно заняли файлы с расширением .class (9,9%), тогда как популярность exe-вложений у инициаторов целевых атак явно снизилась (2,0% против 15,7% в декабре). Основные адресаты целевых писем фишеров в минувшем месяце остались прежними, но поменялись местами в списке наиболее атакуемых мишеней. На долю финансов, страхования и торговли недвижимостью пришлось 29% spear-phishing атак, на сферу производства – 21%. Источник: Symantec Новосибирское УФАС подвело итоги борьбы с SMS-спамом В минувшем году количество жалоб на нежелательную текстовую рекламу, поданных в УФАС по Новосибирской области, увеличилось в 212 раз. Этот показатель возросшей активности населения был озвучен главой УФАС Сергеем Гавриловым на пресс-конференции, состоявшейся 11 февраля в Новосибирске. По словам Гаврилова, за прошлый год местные антимонопольщики получили более 900 таких заявлений. При этом жалобы на спам составили порядка 83% обращений по поводу нарушения положений федерального закона «О рекламе». «Проблема была в том, что это норма не совсем законодательно урегулирована, и не всегда нам удается найти конечного рекламодателя, – посетовал руководитель местной антимонопольной службы. – Но сейчас изменения в законе о связи позволяют нам возбуждать дела и привлекать нарушителей к административной ответственности». За минувший год новосибирским УФАС было рассмотрено 1442 заявления и возбуждено 194 дела, связанные с нелегитимными SMS-рассылками. Общая сумма штрафов, наложенных по результатам таких расследований, составила 3,7 млн. рублей. Источник: НГС НОВОСТИ Фиш-пак – основное орудие злоумышленника-дилетанта Эксперты Symantec изучили современный рынок фишинг-паков – готовых комплектов для проведения фишинговых атак – и определили географию их размещения. Как выяснилось, стоимость таких инструментов на черном рынке невелика, от 2 до 10 долларов, а для кастомизации создаваемых с их помощью страниц требуется лишь поверхностное знакомство с PHP. «Некоторые из изученных нами комплектов оказались весьма примитивными и включали лишь два страничных шаблона, – делятся находками исследователи. – Другие разработки отличались большим профессионализмом и убедительностью, содержали более 25 файлов с PHP-кодом и поддерживали 14 языков, которые можно было применять в соответствии с местоположением пользователя. Некоторые из этих продвинутых фишинг-паков позволяют воровать не только логины и пароли, но также персональные данные – ФИО, даты рождения, номера страховых полисов и кредитных карт, коды безопасности и т.п. Такие комплекты можно использовать для имитации популярных веб-сервисов: облачных хранилищ, систем онлайн-банкинга, электронной почты и многих других». Чтобы воспользоваться подобным инструментом, злоумышленник должен прежде всего установить его на удаленный сервер. С этой целью он может скомпрометировать CMS-систему или блог путем эксплойта уязвимости (обычно это SQL-инъекции или удаленное выполнение кода) либо создать специальный скрипт для автоматизированного поиска и взлома большого количества уязвимых площадок. По свидетельству Symantec, современные взломщики таким образом массово компрометируют cPanel и phpBB/Joomla. Как вариант, фишер может арендовать «пуленепробиваемый» сервер или воспользоваться бесплатной хостинг-услугой. Пристроив свой основной инструмент, злоумышленник устанавливает SMTP-мейлер и импортирует списки почтовых адресов для проведения фишинговых рассылок. Такой источник всегда можно отследить по наличию X-PHP-Originating-Script в служебном заголовке спам-письма. Чтобы защитить резидентный фиш-пак от нежелательного доступа (от конкурентов или целевых защитных/исследовательских ботов), его владелец вносит в файл .htaccess списки подлежащих блокировке IP, запрещает доступ к удаленным директориям с помощью robots.txt или использует специализированные PHP-скрипты, проверяющие разрешения для IP при установке соединения. Такие проверочные скрипты зачастую включаются в готовый комплект для фишинга. Анализ исходников фиш-паков показал, что краденая информация отсылается хозяевам по электронной почте или через FTP, а также может сохраняться в текстовый файл, размещенный непосредственно на скомпрометированном сервере. После ввода данных на подставной странице жертву обычно перенаправляют на оригинальный ресурс, чтобы развеять возможные сомнения. Некоторые фиш-паки даже умеют автоматически залогинивать жертву на легитимных сайтах с помощью ее идентификаторов, только что отданных фишерам. Совокупно Symantec обнаружила 800 скомпрометированных сайтов, размещающих фиш-паки. Больше половины (64%) из них прописаны в США, остальные довольно равномерно распределены по другим странам и регионам. Источник: SecurityWeek Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2013