Угрозы из Сети. Июньский зной

В компании Eset отмечают, что в минувшем месяце глобальный рейтинг угроз не претерпел существенных изменений, однако, активность большинства угроз в мировом масштабе несколько спала. При этом, как уже говорилось, отрицательная динамика угроз в «десятке» не является абсолютным показателем ослабления вредоносного фона Сети. Эксперты Eset указывают на то, что следует говорить скорее о перераспределении вредоносного ландшафта между более и менее известными угрозами.

В общемировом рейтинге угроз, представленном Eset, в июне текущего года рост испытали Win32/Bundpil (3,71%), HTML/ScrInject (2,54%) и HTML/Iframe (2,32%). При этом, троянская программа Win32/Bundpil, которая имеет механизмы распространения через съемные носители, уже не первый месяц занимает первую строку мирового рейтинга.

Среди прочих, важным событием июня эксперты Eset называют утечку архива с исходными текстами банковского вредоносного ПО Carberp. Это событие может иметь значительные негативные последствия как для AV-индустрии, так и для пользователей, поскольку попадание в свободный доступ данных исходников готовит почву для появления целого ряда опасных  модификаций вредоносного ПО.

По данным Eset, общая доля России в мировом объеме вредоносного ПО в июне составила 8,58%. В российском рейтинге в июне отмечено повышение активности HTML/Iframe (под этим названием детектируются вредоносные элементы веб-страниц) и червя Win32/Dorkbot. Также в рейтинге появилась троянская программа Win32/TrojanDropper.Gepys. Этот троян может маскироваться под программное обеспечение Mozilla, за счет самокопирования в одноименную директорию. Зловред также умеет внедрять свой код в запущенные процессы.

В свою очередь, на то, что в июне количество вирусных угроз отнюдь не пошло на убыль, указывают в своем исследовании вирусные аналитики «Доктор Веб».

Одной из самых распространенных в июне 2013 года угроз эксперты компании называют троянец Trojan.Mods.2. Согласно статистическим данным, собранным аналитиками «Доктор Веб», на него приходится 3,97% процентов заражений компьютеров в прошедшем месяце. Эта вредоносная программа перенаправляет пользователя на принадлежащие злоумышленникам веб-страницы, требующие у жертвы ввести в специальное поле номер телефона и код подтверждения. Таким образом, жертва оказывается подписанной на некую «информационную услугу», за оказание которой с ее счета списывается регулярная оплата.

Не слишком уступает вышеназванному зловреду в популярности и предыдущая модификация данной угрозы - Trojan.Mods.1, которая занимает четвертое место с показателем 1,45%. Тройку лидеров по итогам прошлого месяца замыкают Trojan.Hosts.6815 (2,94%) и Trojan.DownLoader9.19157 (1,92%).

Среди других угроз июня аналитики «Доктор Веб» называют очередную волну троянцев-шифровальщиков семейства Trojan.Encoder, которая захлестнула пользователей в середине месяца. Отмечено, что в целом за последние три месяца в антивирусную лабораторию «Доктор Веб» поступило порядка 2,8 тысяч обращений в связи с этими вредоносными программами, а в июне общее количество запросов на лечение превысило 700. Двумя наиболее распространенными версиями энкодеров в первый летний месяц 2013 года стали Trojan.Encoder.94 и Trojan.Encoder.225. Распространяются они преимущественно по электронной почте: так, Trojan.Encoder.225 может попасть в операционную систему с помощью письма, содержащего вложения в виде документа RTF (но с расширением .doc), эксплуатирующего уязвимость Microsoft Office, а Trojan.Encoder.94 нередко скачивается на компьютер жертвы с использованием бэкдора BackDoor.Poison, который, в свою очередь, массово рассылается в письмах с вложенными файлами.

Угрозой месяца эксперты «Доктор Веб» в июне назвали новую модификацию троянца Linux.Sshdkit. Обновленная версия угрозы, предназначенной, как и ее предшественница, для похищения логинов и паролей на работающих под управлением платформы Linux серверах, получила наименование Linux.Sshdkit.6. В данной версии Linux.Sshdkit злоумышленники внесли ряд изменений с целью затруднить перехват вирусными аналитиками украденных паролей.

Также в минувшем месяце специалистами «Доктор Веб» было выявлено множество новых угроз для мобильных устройств. Первый летний месяц этого года, по данным исследователей, показал, что одной из главных опасностей для владельцев мобильных устройств по-прежнему остается кража разнообразной персональной информации. Для этого злоумышленники применяют как троянские программы, так и специализированное шпионское ПО, доступное на коммерческой основе.

Наиболее заметной мобильной угрозой подобного рода в начале лета стал троянец Android.Tempur.1.origin, предназначенный для кражи у южнокорейских пользователей Android различных конфиденциальных сведений, включающих их банковские реквизиты, информацию о входящих SMS и совершаемых телефонных звонках. Эта вредоносная программа распространялась киберпреступниками как в составе специальной программы-носителя, детектируемой как Android.MulDrop.8.origin, так и в качестве самостоятельного apk-пакета. Троянец Android.Tempur.1.origin интересен тем, что при установке на мобильное устройство подменял собой легитимные банковские приложения, имитировал их оригинальный интерфейс и предлагал пользователям ввести персональную информацию, которая затем вместе с перехватываемыми SMS и сведениями о телефонных переговорах пересылалась на удаленный сервер.

Что же касается коммерческих шпионских приложений, то среди обнаруженных в июне представителей этого класса программ эксперты выделяют очередные модификации известных Android-шпионов Android.MobileSpy и Android.SpyBubble, новое семейство Program.Highster, а также приложения Program.Stealthgenie и Program.Ownspy, работающие на устройствах под управлением BlackBerry и iOS соответственно. Отмеченно, что успешное функционирование Program.Ownspy и аналогичных ему приложений возможно лишь на устройствах с выполненной операцией jailbreak, то есть имеющих доступ к файловой системе, поэтому основной массе владельцев мобильной «яблочной» продукции они не страшны. Тем не менее, число пользователей взломанной операционной системы iOS весьма велико, поэтому для них подобные программы-шпионы могут представлять ощутимую угрозу.

Троянцы семейства Android.SmsSend, отправляющие короткие сообщения на премиум-номера и выполняющие подписку абонентского счета на платные услуги, также продолжают оставаться головной болью многих пользователей мобильных Android-устройств. В течение месяца вирусная база «Доктор Веб» пополнилась записями для нескольких новых модификаций этих вредоносных программ, а во второй половине июня специалистами компании был зафиксирован факт распространения троянца Android.SmsSend.465.origin при помощи рекламных сообщений, демонстрируемых на одном из популярных новостных ресурсов.

Говоря об общих тенденциях, наблюдающихся в российском интернет-пространстве, аналитики «Лаборатории Касперского», например, указывают на то, что в первом полугодии 2013 года резко возросла мощность DDoS-атак в Рунете. По их данным, Если во второй половине 2012 года средняя атака подобного рода имела мощность 109 Мбит/с, а максимальная не превышала 2,9 Гбит/с, то уже в апреле этого года специалисты «Лаборатории Касперского» зафиксировали ряд атак мощностью 10 Гбит/с и выше. Этот факт позволяет экспертам сделать вывод о том, что злоумышленники сменили приемы и взяли на вооружение более «сильнодействующие» инструменты.