«БЕЗОПАСНЫЕ» НОВОСТИ

[Dmitry Paleev]

Microsoft опубликовала шестой выпуск отчета Security Intelligence Report, данный отчет публикуется корпорацией дважды в год и отражает ситуацию, связанную с ИТ-угрозами за последние 6 месяцев.

Согласно данным отчета, более 97% всех электронных писем, посылаемых через интернет, являются спамом. В нежелательной электронной рассылке преобладают письма с рекламой лекарственных средств и предложением различных товаров. Часто к письмам прикрепляются файлы, содержащие вредоносные программы. Отчет компании Microsoft показывает, что сегодня в мире инфицированы почти 9 компьютеров из тысячи.

Подробнее

[Dmitry Paleev]

Компания F-Secure в своем квартальном отчете о вопросах безопасности IT Security Threat Summary, сообщает об обнаружении «первого SMS-червя», заражающего сотовые телефоны. По словам специалистов F-Secure, 2009 год станет памятным не только благодаря вирусу Conficker (Downadup), но также появлению Sexy View, червя, созданного специально для смартфонов.

Sexy View, как и Facebook-вирус Koobface, - «социальный червь», использующий для своего распространения контактные данные в смартфоне пользователя. Вирус рассылает пользователям из контактного списка SMS с предложением зайти и оценить интересные фотографии и ссылкой на веб-сайт. Ничего не подозревающий адресат (сообщение поступает от знакомого ему человека) проходит на предлагаемый сайт, где ему предлагается установить специфическое приложение для просмотра изображений. Давая согласие на установку, пользователь пополняет собой список жертв вредоносной программы и предоставляет собственный список контактов в распоряжение опасного червя. Sexy View также отправляет сведения обо всех зараженных сотовых телефонах своему владельцу, который может воспользоваться собранной информацией для рассылки SMS-спама.

«Sexy View заслуживает пристального внимания по целому ряду причин, - заявляет Микко Хиппонен, глава исследовательского отдела F-Secure, – Во-первых, ранее мы не сталкивались с подобным способом распространения опасных программ. Во-вторых, это единственный на сегодняшний день мобильный червь, способный обойти механизмы проверки сигнатур, которыми комплектуются все новые модели смартфонов. Наконец, своевременная разработка эффективных защитных мер обеспечит производителям ПО преимущество в борьбе с мобильным спамом, который на данный момент представляет собой весьма серьезную проблему в некоторых странах мира».

[Dmitry Paleev]

Исследователи из подразделения IBM X-Force создали специальный алгоритм для продукта IBM Proventia Intrusion Prevention System, который помогает выявлять агентов червя Conficker.C и блокировать их соединения.

Алгоритм блокирует распространение вредоносной программы, когда она пытается эксплуатировать уязвимость в службе сервера Windows (MS08-067), и обнаруживает её в случае попытки раскрытия паролей методом перебора. Этот алгоритм дополняет уже имеющуюся у клиентов защиту от разновидностей Conficker.A и Conficker.B.
Conficker – сетевой червь, нацеленный на рабочие станции. Червь создает инфраструктуру ботнетов, которая может быть использована злоумышленниками для распространения спама или для кражи конфиденциальной информации с рабочих станций. Заражение рабочей станции приводит к потере рабочего времени пользователя и возможной последующей компрометации других сетевых объектов.

Червь распространяется посредством одного или нескольких перечисленных ниже механизмов:

* Эксплуатация уязвимости в одной из служб Windows (MS08-067).
* Загрузка своей копии в сеть и на съемные накопители.
* Загрузка своей копии в сетевые ресурсы общего пользования со слабыми паролями

Новейший вариант этого червя использует соединения с использованием шифрования. Специалисты X-Force раскрыли и взломали этот алгоритм шифрования, что позволило обеспечить возможность обнаружения. Этот уникальный защитный механизм выявляет текущие варианты червя Conficker, которые используют описанный выше канал для связи. Соответствующие сигнатуры выглядят следующим образом: Conficker_p2p_Detected (для обнаружения бота Conficker.C) и Conficker_P2P_Protection (для блокировки специфического трафика peer-to-peer). Продукты IBM Proventia IPS способны закрыть уязвимость в службе Windows, которую эксплуатирует данный червь. Предупреждение содержит информацию о нужной сигнатуре, необходимой для выявления описываемой уязвимости.

[Dmitry Paleev]

В сети обнаружен принципиально новый интернет-червь, способный обходить последнюю действующую систему защиты на серверах Gmail. Об обнаружении злонамеренного кода обходящего новую систему CAPCHA на серверах Google, сообщила вьетнамская ИТ-компания Bach Koa Internetwork Security (BKIS).

По словам вьетнамских исследователей, червь был зафиксирован на одном из тестовых узлов компании, специально предназначенном для сбора образцов вредоносного ПО. Новый червь, получивший название W32.Gaptcha.Worm, в массовом порядке создает фиктивные учетные записи электронной почты, с которых в дальнейшем ведется рассылка спама.

По словам антивирусных экспертов, распространяется червь обычными способами и атакует пользователей, работающих в системе Windows XP или Vista с браузерами Internet explorer 6 и 7. Когда на компьютер пользователя попадает указанный код, то червь немедленно запускает IE и принимается создавать фиктивные аккаунты.

В качестве логинов используются разнообразные случайные комбинации букв и цифр. До Ман Данг, старший исследователь BKIS, заявил, что сам червь не имеет встроенного механизма взлома CAPCHA, используемого Google, вместо этого он отправляет графический файл на удаленный сервер, где и производится декодирование.
Когда декодирование и регистрация завершается, реквизиты от созданной учетной записи передаются спамерам. "После того, как с одного компьютера производится слишком много регистраций, то система безопасности Google блокирует доступ. В этот момент червь прекращает свою работу и удаляется с конкретного ПК", - пишет в блоге Данг.

[Dmitry Paleev]

Компания McAfee опубликовала отчет о ситуации с безопасностью в Интернете в первом квартале текущего года.

В отчете McAfee отмечает, что в первом квартале количество IP-адресов, подключенных к ботнетам, выросло более чем на двенадцать миллионов. Это примерно на 50% выше аналогичного показателя за четвертый квартал прошлого года.

На США и Китай приходится около одной пятой от мировых вирусных инфекций - 18 и 13 процентов соответственно. Австралия замыкает тройку в списке с 6,3%, за ней следует Германия - 5,3%, далее Великобритания - 4,7%. Россия в этом рейтинге находится на десятом месте — 2,5% от суммарного числа "зомбированных" компьютеров.

Эксперты McAfee уверены, что эти цифры будут только расти. "В третьем квартале 2008 года было зафиксировано рекордное количество новых "зомби", но первые месяцы 2009 года принесли сразу около миллиона новых вирусных ПК", - сообщают в компании.

В отчете McAfee также говорится о существенном сокращении объемов спама. Так, например, если в марте прошлого года компания McAfee ежедневно регистрировала до 153 млрд спамерских сообщений, то теперь этот показатель уменьшился примерно до 100 млрд. Специалисты отмечают, что в первом квартале доля е-мусора в общем объеме почтового трафика сейчас меньше 90%, чего не наблюдалось уже около двух лет.

Сокращение объемов спама отчасти объясняется закрытием американского хостинг-провайдера McColo, на ресурсах которого работали командные центры нескольких крупных ботнетов. По некоторым оценкам, именно на долю McColo приходилось до 75% мирового паразитного трафика.

[Dmitry Paleev]

Самой громкой в ИТ-безопасности темой стала эпидемия сетевого червя Net-Worm.Win32.Kido (также известного как Conficker или Downadup). В начале апреля зараженным этой вредоносной программой компьютерам была отдана команда на обновление с использованием соединения p2p. Помимо обновленного Kido, на компьютеры загружаются две другие программы, Email-worm.Win32.Iksmas и лжеантивирус. Интересной особенностью другого нового вируса, Virus.Win32.Virut.ce, является ее мишень - веб-серверы. Примечателен и используемый механизм заражения: вирус дописывает специализированный код в конце файлов веб-документов заражаемого сервера с расширениями HTM, PHP, ASP в виде ссылки. В результате при посещении зараженного легального ресурса на компьютеры ничего не подозревающих пользователей по добавленной вирусом ссылке загружается любой вредоносный контент, который подготовил злоумышленник.

Червь Net-Worm.Linux.Psyb0t.a выделяется выбранной мишенью: он атакует сетевое оборудование под управлением ОС Linux. Основным функционалом бота является поиск и заражение уязвимых маршрутизаторов сети, проведение DDoS-атак, сбор логинов и паролей пользователей. Кроме того, была обнаружена первая вредоносная программа, нацеленная на банкоматы (фирмы Diebold). После успешного заражения злоумышленник, используя специальную карточку доступа, может, к примеру, снять все деньги, находящиеся в банкомате.

На протяжении длительного времени Web продолжает оставаться самой популярной средой для распространения вредоносных программ. Большинство атак через Web осуществляется при помощи технологии drive-by-download. Чаще всего в первом квартале 2009 г. на компьютеры пользователей пытались загрузиться вредоносные программы, относящиеся к типам Trojan-Downloader, Trojan и Exploit.

С января по март включительно «Лаборатория Касперского» зафиксировала появление вредоносных программ для 44 различных платформ. Чаще всего в первом квартале атакам подвергались программные решения с поддержкой JavaScript, традиционно велико и количество нападений на Windows-системы.

Уровень заражения почты был довольно низок, что вполне ожидаемо, учитывая отсутствие в первом квартале эпидемий почтовых червей и «громких» спам-рассылок. В среднем процент зараженных писем в почтовом трафике составил 0,42, что говорит о падении интереса к этой среде со стороны киберкриминала. На первом месте среди поведений вредоносных программ, распространяемых в электронной почте, по популярности, как всегда, находятся почтовые черви. По долевым показателям с ними сравнимы вредоносные программы поведения Trojan-Downloader.

В первом квартале 2009 г. «Лабораторией Касперского» в электронной почте были зафиксированы вредоносные программы для 18 различных платформ. Большинство вредоносных программ ориентированы на функционирование в среде Win32.

Эксперты отмечают, что киберпреступников становится все больше, а конкуренция между ними обостряется. При этом растет и количество жертв сетевых мошенников, хотя в целом злоумышленники не изобретают ничего нового, продолжая использовать уже известные тактики. Практически все значимые зловреды ориентированы на создание ботнетов. Рост числа новых вредоносных программ остается лавинообразным – в первом квартале он составил 27,71%. Если характер роста сохранится, за год число новых зловредов вырастет более чем на 200%.

[Dmitry Paleev]

Специалисты компании Symantec заявляют о том, что вредоносная программа Conficker продолжает распространяться с высокой скоростью.

Согласно данным Symantec, в настоящее время червь Conficker ежедневно инфицирует до 50 тысяч компьютеров. Наиболее высокая плотность заражения наблюдается в Соединенных Штатах, Бразилии и Индии. Инфицированные узлы Conficker объединяет в ботнет для рассылки спама и шпионских модулей. Эксперты полагают, что созданная при помощи червя сеть зомби-компьютеров является одной из самых продуманных и, возможно, самых крупных.

Как показал мониторинг сетевой активности, жертвами Conficker стали многие компании. Эксперты Symantec утверждают, что зараженные Conficker машины есть даже внутри корпорации Microsoft.

Появление червя Conficker, также известного как Downadup, было зафиксировано в конце прошлого года. Пик активности червя пришелся на нынешний январь: за считанные дни Conficker инфицировал около десяти миллионов компьютеров по всему миру. За достоверную информацию об авторах вредоносной программы предлагается награда в размере 250 тысяч долларов, однако выйти на след злоумышленников пока не удалось.

[Dmitry Paleev]

Компания «Доктор Веб» сообщила о появлении в Интернете опасного трояна, уничтожающего все файлы и папки на зараженном компьютере.

Первые случаи инфицирования Trojan.KillFiles.904 зафиксированы в начале июня 2009 года.

Проникая в компьютер жертвы, Trojan.KillFiles.904 перебирает локальные и съемные диски в порядке от Z до A. В найденном диске троян начинает удалять папки и файлы, перебирая их названия по алфавиту. Если удалить файл не удается, к примеру, по причине его использования, троян делает его скрытым. Особая опасность заключается в том, что действия Trojan.KillFiles.904 касаются всех файлов и папок, находящихся на жестком диске компьютера жертвы, за исключением системных. Таким образом, пользователь может потерять все данные на дисках, при этом его операционная система продолжит свою работу.

Уникальным для современных вредоносных программ свойством данного трояна является нанесение максимального урона пользователю. В отличие от получивших в последнее время широкое распространение программ-вымогателей, Trojan.KillFiles.904 не просит о каких-либо финансовых вложениях и не пытается что-либо украсть – он просто уничтожает всю информацию, хранящуюся в зараженной системе.
Можно предположить, что данный троян, появившийся в начале июня 2009 года, продолжает традицию вируса Win32.HLLW.Kati, также известного как Penetrator, который повреждает файлы форматов Microsoft Word и Excel, а также фотографии и мультимедийные файлы. За тем исключением, что Trojan.KillFiles.904 представляет еще большую угрозу.

Источник

[Dmitry Paleev]

Один из самых больших порталов в интернете по эксплоитам прекращает свою работу. Str0ke, администратор портала, написал несколько строчек на главной странице сайта:

«Что же, это мой прощальный заголовок для milw0rm. Я бы хотел, чтобы у меня хватало время, как раньше, на публикацию эксплоитов. Но у меня его нет За последние 3 месяца я на самом деле плохо делал свою работу, не так быстро, что стоит этим гордиться: от 0 до 72 часов (без учета выходных) – это не честно по отношению к авторам сайта. Я ценю и благодарен всем за их поддержку в прошлом».

Str0ke не объясняет, чем вызвано такое решение, и не ясно, будет ли портал вообще доступен. Возможно, что другие участники сообщества возьмут его работу на себя.

Изначально, milw0rm был всемирной группой хакеров, участники которой общались между собой по IRC. Группа стала известной благодаря взлому индийского центра ядерных исследований BARC в июне 1998 года.

Группа распалась после взлома BARC, и один из ее участников keystroke в 2004 году изменил свой ник на str0ke и создал портал по эксплоитам. Milw0rm стал очень популярным порталом после того, как VUPEN (ранее FrSIRT и K-otik) сделал платный доступ к разделу эксплоитов на своем сайте.

В качестве альтернативы milw0rm, может выступить портал Packet Storm, существующий более 10 лет.

В настоящее время сайт milw0rm.com недоступен.

[Dmitry Paleev]

Власти Франции приняли решение о создании новой государственной структуры, которой предстоит защищать от хакерских атак государственные и публичные компьютерные сети. В заявлении французского Кабинета отмечается, что агентство FNISA (Французское сетевое и информационное агентство безопасности) будет не только защищать сети от атак, но и отвечать на атаки. Что власти Франции подразумевают под "ответом на атаки" в сообщении не конкретизируется.

Отметим, что создание нового киберагентства во Франции неплохо корреллируется с мировыми тенденциями - в США принято решение о создании аналогичного государственного института, ЕС также готовится к созданию своих киберподразделений. В Париже говорят, что создание FNISA также происходит на фоне масштабных информационных атак, третьи сутки совершаемых на государственные сайты в Южной Корее и США.

В полномочия нового французского ведомства будет входить консультирование государства и местных коммерческих представителей по вопросам ИТ-безопасности, предоставление оперативных сводок по ситуации, связанной с информационными ресурсами Франции, а также постоянная работа по защите сетей.

Кроме того FNISA будет принимать участие в создании французских защищенных программных решений для государственных и коммерческих нужд. Заниматься агентство будет и изучением зарубежного оборудования, ввозимого во Францию, на предмет недокументированных возможностей.

По словам представителей Кабинета Николя Саркози, инициатором создания новой структуры был именно президент Республики, который давно говорит о различного рода киберугрозах, поступающих "извне". Формально FNISA будет подчиняться Генеральному секретариату национальной безопасности Франции.

В данный момент агентство проводит набор сотрудников. В требованиях говорится, что претенденты должны иметь опыт работы с VoIP, разбираться в тонкостях Windows, Linux и Mac OS, работать с системами виртуализации, бесконтактными платежными и банковскими системами.