Обзор вирусной и спам-активности в декабре 2007 года

01 января 2008
01.01.2008

Служба вирусного мониторинга компании «Доктор Веб» провела анализ вирусной ситуации, сложившейся в декабре 2007 года. На протяжении всего декабря спам-обстановка была достаточно спокойной. Лишь в конце месяца была зафиксирована традиционная для этого времени года волна спам-рассылок, связанных преимущественно с подготовкой к Новому году и Рождеству. Предложения злоумышленников оригинальностью не отличались: пользователи получали стандартные письма с предложениями заказа полиграфии и новогодних подарков. На их фоне уже ставшие привычными рассылки, рекламирующие базы данных, фармацевтические препараты и пр., быстро отошли на второй план.

Правда, не обошлось без одного интересного момента, который сразу обратил на себя внимание. Речь идет о хорошо спланированной фишинговой атаке, явно направленной на пользователей системы «Яндекс – Деньги» и зафиксированной 22 декабря. Эта атака была относительно краткой, но, надо полагать, вместе с тем и опасной, так как адрес рассылки (qkd@boetticher.com) никакого отношения к порталу «Яндекс» не имеет. Интересно, что в октябре наблюдалась аналогичная фишинговая атака за тем лишь исключением, что в качестве ссылки указывался домен YANCLEX.RU, в то время как в данном случае переадресация шла на YANREX.COM. Вот его данные:


    Domain Name: YANREX.COM

    Registrant:
    N/A
    Steven Lucas (steven_lucas_2000@yahoo.com)
    5215/2 SW 152 Court, P.O. Box 1547
    Beaverton
    Oregon,97011
    US
    Tel. +9.9239278345

    Creation Date: 11-Dec-2007
    Expiration Date: 11-Dec-2008


    Domain servers in listed order:
    ns2.security4u.cn
    ns1.security4u.cn

Соответствующие правила для детектирования этой спам-рассылки были добавлены в соответствующий модуль антиспам-продуктов компании «Доктор Веб».

Также следует отметить распространение новой версии так называемого «штормового червя» (Storm Worm), который в этот раз спрятался под видом некоего «Секретного Санты». Зафиксированы как минимум два вида спам-сообщений с заголовками «Your Secret Santa» и «Merry Christmas From your Secret Santa». В обоих письмах авторы просили пользователя уделить им минутку-другую и пройти по предложенной ниже ссылке на веб-страницу, содержащую установочный скрипт. По характеру работы «Санта» напоминает известную вредоносную программу для рассылки спама BackDoor.Groan и детектируется как Trojan.Packed.262.

Приведем еще два примера спам-рассылки, зафиксированной в декабре. Первый – распространение почтового червя Win32.HLLM.Graz (также аналогичного программе BackDoor.Groan). Суть его действия осталась неизменной: в теле письма содержится ссылка на веб-страницу, при переходе на которую (в обозревателе Internet Explorer) происходит автоматическое инфицирование компьютеров. Второй пример – спам-рассылка вредоносных программ семейства BackDoor.Bulknet, которые – чтобы успешно скрываться системе и восстанавливать ключи реестра – используют rootkit-технологии и сами рассылают спам.

Кроме того, в последние дни декабря был зафиксирован рост спамерских рассылок и в новых каналах его распространения – в частности, посредством известного интернет-пейджера ICQ. Все такие сообщения содержали предложения получить доступ к базам порнофильмом, для активации которого требовалось отправить платное SMS, а также традиционную рассылку продаваемых баз. Вот пример одного из таких сообщений:


    Здравствуйте. Ниже перечислены базы/стоиmость
    Таможня Украины 2006/2007 -150/400
    Таможня России 2006/2007 -150/400
    Строительная база-данных 2007
    СПД-ЧПЕН 2006 - 200
    Балансы 2006/2007 -150
    Обемы производства 2006 -150
    Минстат 2006/2007 - 150
    Плательщики НДС 2006г - 200
    Физлица 2006/2007 - 150/200
    Физлица+место работы 2006 - 400
    ГНАУ 2005/2006/2007 - 100/150/200
    Земля 2006 - 100 ГАИ 2005 - 100

Наконец, отдельного упоминания заслуживает спам-рассылка, обусловленная активностью троянов Trojan.Spambot 2386 и Trojan.Spambot 2387. Речь идет о ряде сообщений с общим названием «New Year Postcard», представленных в нескольких вариантах, но содержащих одну и ту же ссылку на http://happycards2008.com/. Начиная с 26 декабря это уже второй случай рассылки, связанной с успешной атакой троянов на компьютеры конечных пользователей. Антивирус Dr.Web успешно детектирует и блокирует эти атаки с момента их первого появления.

9
Подписаться на новости
;