Угрозы февраля: усовершенствованные drive-by атаки и новые трояны для Android
Согласно отчету о вирусной активности за февраль 2011г. «Лаборатории Касперского», в отчетном месяце на компьютерах пользователей продуктами компании было отражено всего 228 649 852 сетевых атак, заблокировано 70 465 949 попыток заражения через веб, обнаружено и обезврежено 252 187 961 вредоносных программ (попытки локального заражения), отмечено 75 748 743 срабатываний эвристических вердиктов. По данным компании, для февраля был характерен значительный рост популярности нового способа распространения вредоносного ПО: злоумышленники стали применять каскадные таблицы стилей (CSS) для хранения части данных скриптового загрузчика, что значительно затрудняет детектирование вредоносных скриптов многими антивирусами. Этот метод сейчас используется в большинстве drive-by атак и позволяет злоумышленникам защитить от детектирования загружаемые эксплойты, говорится в отчете «Лаборатории Касперского».
В ходе drive-by атаки с зараженного сайта, как правило, с помощью IFrame происходит редирект на страницу, содержащую CSS и вредоносный скриптовый загрузчик. В рейтинг топ-20 самых распространенных в интернете вредоносных программ попали сразу три типа вредоносного ПО, представляющих собой такие страницы: Trojan-Downloader.HTML.Agent.sl (1 место), Exploit.JS.StyleSheeter.b (13 место) и Trojan.JS.Agent.bte (19 место). Скриптовые загрузчики на этих вредоносных веб-страницах запускают два типа эксплойтов. Один из них, эксплуатирующий уязвимость CVE-2010-1885, детектируется продуктами «Лаборатории Касперского» как Exploit.HTML.CVE-2010-1885.ad (4 место). Этот эксплойт ежедневно срабатывал в среднем у 10 тыс. уникальных пользователей, сообщили в компании.
Второй тип эксплойтов использует уязвимость CVE-2010-0840. Такие эксплойты детектируются продуктами «Лаборатории Касперского» как Trojan.Java.Agent.ak (7 место), Trojan-Downloader.Java.OpenConnection.dc (9 место) и Trojan-Downloader.Java.OpenConnection.dd (3 место).
По статистическим данным эвристического модуля «Лаборатории Касперского», количество уникальных пользователей, у которых были обнаружены PDF-эксплойты, превышает 58 тыс. Эксплуатация уязвимостей в PDF-файлах в настоящее время представляет собой один из самых популярных способов доставки зловреда на компьютер пользователя. Один из PDF-эксплойтов — Exploit.JS.Pdfka.ddt — занял 8 место в рейтинге топ-20 самых распространенных вредоносных программ в интернете.
Вредоносный упаковщик, который применяется для защиты P2P-червя Palevo, с помощью модуля эвристической защиты был задетектирован более чем у 67 тыс. уникальных пользователей. Именно этот червь ответственен за создание ботнета Mariposa, который был в итоге закрыт испанской полицией, отметили в «Лаборатории Касперского». Вероятно, такое активное распространение упакованного червя связано с тем, что злоумышленники пытаются создать новый ботнет или, возможно, восстановить старый, полагают в компании.
Примечательно, что в феврале было обнаружено сразу несколько новых зловредов для мобильной платформы Android. По данным «Лаборатории Касперского», один из них — Trojan-Spy.AndroidOS.Adrd.a — обладает функционалом бэкдора. Он связывается с удаленным сервером и посылает ему идентификационные данные мобильного телефона: IMEI и IMSI. Командный центр в ответ посылает информацию, которая используется зловредом для осуществления запросов к поисковой системе в фоновом режиме. Такие запросы используются для накрутки. Стоит отметить, что рассматриваемый зловред был обнаружен только в китайских репозиториях.
Второй зловред для ОС Android носит название Trojan-Spy.AndroidOS.Geinimi.a. Он представляет собой «улучшенную» версию программы семейства Adrd и был обнаружен не только в Китае, но и в США, Испании, Бразилии и России, сообщается в отчете «Лаборатории Касперского».
Между тем, вредоносные программы для платформы J2ME также популярны. Например, зловред Trojan-SMS.J2ME.Agent.cd попал в двадцатку наиболее распространенных вредоносных программ в интернете (18 место). Его основной функционал — отправка SMS на премиум-номер. Распространяется он в основном с помощью ссылок в спамовых сообщениях в ICQ. Преобладает этот зловред в России и Испании, вклад других стран незначителен.
По версии «Лаборатории Касперского», февральский рейтинг топ-20 наиболее распространенных вредоносных программ в интернете включает:
New Trojan-Downloader.HTML.Agent.sl Trojan-Downloader.Java.OpenConnection.cx New Trojan-Downloader.Java.OpenConnection.dd New Exploit.HTML.CVE-2010-1885.ad AdWare.Win32.FunWeb.gq AdWare.Win32.HotBar.dh New Trojan.Java.Agent.ak New Exploit.JS.Pdfka.ddt New Trojan-Downloader.Java.OpenConnection.dc New Trojan.JS.Iframe.rg Trojan-Downloader.Java.OpenConnection.cg Trojan.HTML.Iframe.dl New Exploit.JS.StyleSheeter.b Trojan.JS.Fraud.ba Trojan-Clicker.JS.Agent.op Trojan.JS.Popupper.aw Trojan.JS.Agent.bhr New Trojan-SMS.J2ME.Agent.cd New Trojan.JS.Agent.bte Exploit.JS.Agent.bab
В свою очередь, рейтинг топ-20 вредоносных программ, наиболее часто обнаруживаемых на компьютерах пользователей, за февраль 2011 г. выглядит следующим образом:
Net-Worm.Win32.Kido.ir Virus.Win32.Sality.aa HackTool.Win32.Kiser.zv Net-Worm.Win32.Kido.ih Virus.Win32.Sality.bh Hoax.Win32.Screensaver.b AdWare.Win32.HotBar.dh Virus.Win32.Virut.ce Trojan.JS.Agent.bhr HackTool.Win32.Kiser.il Packed.Win32.Katusha.o Worm.Win32.FlyStudio.cu Trojan-Downloader.Win32.VB.eql Worm.Win32.Mabezat.b Packed.Win32.Klone.bq Trojan-Downloader.Win32.Geral.cnh New Trojan.Win32.Starter.yy New AdWare.Win32.FunWeb.gq Worm.Win32.Autoit.xl New Trojan-Downloader.HTML.Agent.sl
В ходе drive-by атаки с зараженного сайта, как правило, с помощью IFrame происходит редирект на страницу, содержащую CSS и вредоносный скриптовый загрузчик. В рейтинг топ-20 самых распространенных в интернете вредоносных программ попали сразу три типа вредоносного ПО, представляющих собой такие страницы: Trojan-Downloader.HTML.Agent.sl (1 место), Exploit.JS.StyleSheeter.b (13 место) и Trojan.JS.Agent.bte (19 место). Скриптовые загрузчики на этих вредоносных веб-страницах запускают два типа эксплойтов. Один из них, эксплуатирующий уязвимость CVE-2010-1885, детектируется продуктами «Лаборатории Касперского» как Exploit.HTML.CVE-2010-1885.ad (4 место). Этот эксплойт ежедневно срабатывал в среднем у 10 тыс. уникальных пользователей, сообщили в компании.
Второй тип эксплойтов использует уязвимость CVE-2010-0840. Такие эксплойты детектируются продуктами «Лаборатории Касперского» как Trojan.Java.Agent.ak (7 место), Trojan-Downloader.Java.OpenConnection.dc (9 место) и Trojan-Downloader.Java.OpenConnection.dd (3 место).
По статистическим данным эвристического модуля «Лаборатории Касперского», количество уникальных пользователей, у которых были обнаружены PDF-эксплойты, превышает 58 тыс. Эксплуатация уязвимостей в PDF-файлах в настоящее время представляет собой один из самых популярных способов доставки зловреда на компьютер пользователя. Один из PDF-эксплойтов — Exploit.JS.Pdfka.ddt — занял 8 место в рейтинге топ-20 самых распространенных вредоносных программ в интернете.
Вредоносный упаковщик, который применяется для защиты P2P-червя Palevo, с помощью модуля эвристической защиты был задетектирован более чем у 67 тыс. уникальных пользователей. Именно этот червь ответственен за создание ботнета Mariposa, который был в итоге закрыт испанской полицией, отметили в «Лаборатории Касперского». Вероятно, такое активное распространение упакованного червя связано с тем, что злоумышленники пытаются создать новый ботнет или, возможно, восстановить старый, полагают в компании.
Примечательно, что в феврале было обнаружено сразу несколько новых зловредов для мобильной платформы Android. По данным «Лаборатории Касперского», один из них — Trojan-Spy.AndroidOS.Adrd.a — обладает функционалом бэкдора. Он связывается с удаленным сервером и посылает ему идентификационные данные мобильного телефона: IMEI и IMSI. Командный центр в ответ посылает информацию, которая используется зловредом для осуществления запросов к поисковой системе в фоновом режиме. Такие запросы используются для накрутки. Стоит отметить, что рассматриваемый зловред был обнаружен только в китайских репозиториях.
Второй зловред для ОС Android носит название Trojan-Spy.AndroidOS.Geinimi.a. Он представляет собой «улучшенную» версию программы семейства Adrd и был обнаружен не только в Китае, но и в США, Испании, Бразилии и России, сообщается в отчете «Лаборатории Касперского».
Между тем, вредоносные программы для платформы J2ME также популярны. Например, зловред Trojan-SMS.J2ME.Agent.cd попал в двадцатку наиболее распространенных вредоносных программ в интернете (18 место). Его основной функционал — отправка SMS на премиум-номер. Распространяется он в основном с помощью ссылок в спамовых сообщениях в ICQ. Преобладает этот зловред в России и Испании, вклад других стран незначителен.
По версии «Лаборатории Касперского», февральский рейтинг топ-20 наиболее распространенных вредоносных программ в интернете включает:
New Trojan-Downloader.HTML.Agent.sl Trojan-Downloader.Java.OpenConnection.cx New Trojan-Downloader.Java.OpenConnection.dd New Exploit.HTML.CVE-2010-1885.ad AdWare.Win32.FunWeb.gq AdWare.Win32.HotBar.dh New Trojan.Java.Agent.ak New Exploit.JS.Pdfka.ddt New Trojan-Downloader.Java.OpenConnection.dc New Trojan.JS.Iframe.rg Trojan-Downloader.Java.OpenConnection.cg Trojan.HTML.Iframe.dl New Exploit.JS.StyleSheeter.b Trojan.JS.Fraud.ba Trojan-Clicker.JS.Agent.op Trojan.JS.Popupper.aw Trojan.JS.Agent.bhr New Trojan-SMS.J2ME.Agent.cd New Trojan.JS.Agent.bte Exploit.JS.Agent.bab
В свою очередь, рейтинг топ-20 вредоносных программ, наиболее часто обнаруживаемых на компьютерах пользователей, за февраль 2011 г. выглядит следующим образом:
Net-Worm.Win32.Kido.ir Virus.Win32.Sality.aa HackTool.Win32.Kiser.zv Net-Worm.Win32.Kido.ih Virus.Win32.Sality.bh Hoax.Win32.Screensaver.b AdWare.Win32.HotBar.dh Virus.Win32.Virut.ce Trojan.JS.Agent.bhr HackTool.Win32.Kiser.il Packed.Win32.Katusha.o Worm.Win32.FlyStudio.cu Trojan-Downloader.Win32.VB.eql Worm.Win32.Mabezat.b Packed.Win32.Klone.bq Trojan-Downloader.Win32.Geral.cnh New Trojan.Win32.Starter.yy New AdWare.Win32.FunWeb.gq Worm.Win32.Autoit.xl New Trojan-Downloader.HTML.Agent.sl
Ещё новости по теме:
18:20