Вредоносные программы, задетектированные на компьютерах пользователей
В первой таблице зафиксированы те вредоносные и потенциально
нежелательные программы, которые были задетектированы и обезврежены на
компьютерах пользователей при первом обращении к ним.
Судя по числу заражений, эпидемия Kido ослабла, но незначительно — топ 5 вредоносных программ не изменился.
На 7-е место попал очень занятный представитель эксплойтов —
программ, использующих уязвимости в различных программных продуктах —
Exploit.JS.Aurora.a, на котором мы остановимся подробнее в части
«вредоносные программы в интернете».
Кроме него, новичками в феврале стали две AdWare-программы.
Яркий пример распространенных рекламных программ — занявшая 20-е
место в рейтинге FunWeb.q. Эта программа является панелью для
популярных браузеров и обеспечивает пользователю быстрый доступ к
ресурсам определенных веб-сайтов (обычно с медиа-контентом). Для
отображения рекламы она также видоизменяет страницы, которые посещает
пользователь.
В случае not-a-virus: AdWare.Win32.RK.aw (13-е место) все немного
сложнее. Это приложение Relevant Knowledge, которое распространяется и
устанавливается вместе с различными программными продуктами. В
пользовательском соглашении
указано, что эта программа автоматически собирает личную
пользовательскую информацию, отслеживая практически любую активность
пользователя, особенно в интернете, и сохраняет ее на своих серверах.
Сказано о том, что все собранные данные используются исключительно для
благих целей («помогают сформировать будущее интернета»), а также
тщательно защищаются. Доверять этим словам или нет — это уже дело
пользователя.
Вредоносные программы в интернете
Вторая таблица характеризует обстановку в интернете. В этот рейтинг
попадают вредоносные программы, обнаруженные на веб-страницах, а также
те зловреды, которые пытались загрузиться с веб-страниц на компьютеры
пользователей.
Ситуация с вредоносными программами в интеренете в феврале оказалась
весьма интересной, что нашло отражение во второй двадцатке месяца.
Во-первых, на лидирующую позицию снова вышел Gumblar.x, эпидемия
которого в январе практически сошла на нет, а в феврале снова стала
стремительно набирать обороты. Это говорит о том, что очередная атака
Gumblar, о которой мы писали месяц назад,
не заставила себя долго ждать. Однако в этот раз, в отличие от
предыдущего, злоумышленники принципиально ничего не поменяли — они
просто набрали новые данные для доступа к веб-сайтам пользователей,
чтобы провести их массовое заражение. Тем не менее, мы будем
внимательно следить за развитием событий и отслеживать все изменения.
Рис. 1. Количество зараженных Gumblar.x веб-сайтов
Во-вторых, масштабы начавшейся в январе эпидемии Pegel
возросли практически в 6 раз: в таблице среди новичков мы видим сразу
четырех представителей этого семейства, один из которых появился сразу
на третьем месте. Этот загрузчик, в чем-то подобный Gumblar, также
заражает легитимные веб-сайты. При обращении пользователя к зараженной
странице внедренный скрипт перенаправляет его на ресурс
злоумышленников. Чтобы уменьшить вероятность возникновения у
пользователя подозрений, в адресах вредоносных страниц злоумышленники
используют названия популярных сайтов, например:
http://friendster-com.youjizz.com.jeuxvideo-com.**********.ru:8080/sify.com/sify.com/pdfdatabase.com/google.com/allegro.pl.php
http://avast-com.deviantart.com.dangdang-com.**********.ru:8080/wsj.com/wsj.com/google.com/nokia.com/aweber.com.php
По ссылкам располагается еще один скрипт, который пытается
различными способами загрузить основной исполняемый файл. Способы, в
основном, традиционные — эксплуатирование уязвимостей в крупных
программных продуктах Internet Explorer (CVE-2006-0003) и Adobe Reader (CVE-2007-5659, CVE-2009-0927), а также загрузка с помощью специального Java-апплета (прикладной программы на Java в форме байт-кода).
Основным же исполняемым файлом всегда является небезызвестный Backdoor.Win32.Bredolab,
упакованный различными вредоносными упаковщиками (некоторые из которых
детектируются как Packed.Win32.Krap.ar и Packed.Win32.Krap.ao).
Подробнее об этом зловреде мы уже писали,
но стоит упомянуть, что помимо основного функционала удаленного
управления компьютером пользователя, он также может загружать другие
вредоносные файлы.
И, наконец, на 9-м месте появился Exploit.JS.Aurora.a, о котором мы
обещали рассказать выше. Aurora.a — это детектирование эксплойта к
уязвимости CVE-2010-0249, обнаруженной после крупной таргетированной атаки в январе сразу в нескольких версиях Internet Explorer.
Атака, о которой писали все ресурсы, посвященные информационным
технологиям, была направлена на крупные компании (такие как Google и
Adobe) и получила название "Aurora”
по имени директории, которая использовалась одним из основных
исполняемых файлов. Ее целью было получение персональной информации
пользователей, а также интеллектуальной собственности компаний, такой
как исходные коды проектов. Осуществлена она была с помощью рассылки
электронных писем со ссылкой на вредоносную страницу с эксплойтом, в
результате работы которого незаметно для пользователя на его компьютер
загружался основной исполняемый файл.
Рис.2. Фрагмент одного из вариантов Exploit.JS.Aurora.a
Примечательно, что работники Microsoft знали о наличии этой
уязвимости задолго до атаки, а исправлена она была только через
несколько недель после ее проведения. Стоит ли говорить, что в течение
этого месяца исходный код эксплойта стал публичным, и только ленивый
злоумышленник не использовал его в своих атаках: в нашей коллекции есть
уже более сотни различных вариантов использования этой уязвимости.
Выводы напрашиваются сами собой. Как и прежде, основной угрозой для
пользователей являются уязвимости в популярных программных продуктах.
Учитывая, что злоумышленники в своих атаках пытаются использовать
уязвимости, которые были обнаружены несколько лет назад, можно сделать
вывод, что они все еще актуальны. К сожалению, даже установив все
обновления для крупных программных пакетов, нельзя быть уверенным в
том, что компьютер в безопасности, так как производители такого ПО не
всегда вовремя выпускают «заплатки» для обнаруженных уязвимостей.
Поэтому при работе с компьютером, особенно при активной работе в
интернете, следует соблюдать осторожность и, конечно, использовать
антивирус с последними обновлениями.
| 
0 
1 
-2 
New 
Return 
