ЛК: Вредоносное ПО в июне 2009

image

Теги: Лаборатория Касперского, вредоносное ПО

«Лаборатория Касперского» представила новую версию рейтинга вредоносных программ.

По итогам работы Kaspersky Security Network (KSN) в июне 2009 года были сформированы две вирусные двадцатки. В первой таблице зафиксированы те вредоносные, рекламные и потенциально опасные программы, которые были детектированы и обезврежены при первом обращении к ним — то есть в рамках работы программного компонента on-access-сканер. Использование статистики on-access позволяет проанализировать самые свежие, опасные и распространенные вредоносные программы, которые были заблокированы при запуске, либо при их загрузке из сети на компьютер пользователя.


1 Net-Worm.Win32.Kido.ih

2 Virus.Win32.Sality.aa

3 Trojan-Dropper.Win32.Flystud.ko

4 Trojan-Downloader.Win32.VB.eql

5 Worm.Win32.AutoRun.dui

6 Trojan.Win32.Autoit.ci

7 Virus.Win32.Virut.ce

8 Worm.Win32.Mabezat.b

9 Net-Worm.Win32.Kido.jq

10 Virus.Win32.Sality.z

11 Trojan-Downloader.JS.LuckySploit.q

12 Virus.Win32.Alman.b

13 Packed.Win32.Black.a

14 Net-Worm.Win32.Kido.ix

15 Worm.Win32.AutoIt.i

16 Trojan-Downloader.WMA.GetCodec.u

17 Packed.Win32.Klone.bj

18 Email-Worm.Win32.Brontok.q

19 Worm.Win32.AutoRun.rxx

20 not-a-virus:AdWare.Win32.Shopper.v

Смена способа анализа угроз никак не отразилась на лидерстве Net-Worm.Win32.Kido.ih: он продолжает удерживать пальму первенства. Более того, в таблице присутствуют еще две модификации этого червя — Kido.jq и Kido.ix. По всей видимости, такое обилие Kido в рейтинге связано с тем, что представители этого семейства распространяются в том числе и через съемные носители, на которые попадают с незащищенных компьютеров.

По тем же причинам в рейтинге оказались представители семейства Autorun-червей — AutoRun.dui и AutoRun.rxx.

В рейтинг попал довольно интересный и активно используемый злоумышленниками скриптовый троян — Trojan-Downloader.JS.LuckySploit.q.

На двадцатом месте находится представитель рекламных программ — Shopper.v. Это одна из наиболее популярных программ такого типа (компания разработчик — Zango, ранее Hotbar — закрылась несколько месяцев назад). Приложение устанавливает различные панели в браузеры и почтовые клиенты и с их помощью показывает пользователю рекламные баннеры. При этом удалить эти панели из системы не так уж просто.

Вторая таблица составлена на основе данных, полученных в результате работы веб-антивируса, и освещает обстановку в интернете. В этот рейтинг попадают вредоносные программы, обнаруженные на веб-страницах, а также те зловреды, которые делали попытку загрузиться с веб-страниц. Иными словами, вторая таблица является ответом на два вопроса: «Чем чаще всего бывают заражены веб-страницы?» и «Какие вредоносные программы чаще всего скачиваются — явно или неявно — с вредоносных или зараженных страниц?».

1 Trojan-Downloader.JS.Gumblar.a

2 Trojan-Downloader.JS.Iframe.ayt

3 Trojan-Downloader.JS.LuckySploit.q

4 Trojan-Clicker.HTML.IFrame.kr

5 Trojan-Downloader.HTML.IFrame.sz

6 Trojan-Downloader.JS.Major.c

7 Trojan-Downloader.Win32.Agent.cdam

8 Trojan-Clicker.HTML.IFrame.mq

9 Trojan.JS.Agent.aat

10 Trojan.Win32.RaMag.a

11 Trojan-Clicker.SWF.Small.b

12 Packed.JS.Agent.ab

13 Trojan-Downloader.JS.Agent.czm

14 Exploit.JS.Pdfka.gu

15 Trojan-Clicker.JS.Agent.fp

16 Trojan-Dropper.Win32.Agent.aiuf

17 Exploit.JS.Pdfka.lr

18 not-a-virus:AdWare.Win32.Shopper.l

19 not-a-virus:AdWare.Win32.Shopper.v

20 Exploit.SWF.Agent.az

Первое место по праву занимает троянский загрузчик Gumblar.a. Механизм его действия — это отличный пример drive-by-загрузки.

Gumblar.a — это зашифрованный скрипт небольшого размера, при исполнении перенаправлющий пользователя на зловредный сайт, с которого в свою очередь с помощью эксплуатации набора уязвимостей скачивается и устанавливается вредоносный исполняемый файл. Последний после установки в систему влияет на веб-трафик пользователя, изменяя результаты поиска в поисковой системе Google, а также ищет на компьютере пользователя пароли от FTP-серверов для последующего их заражения.

Таким образом, в распоряжении злоумышленников появляется ботнет из зараженных серверов, с помощью которых они могут загружать на компьютеры пользователей любые типы вредоносных программ. Количество зараженных серверов огромно, и, более того, распространение происходит по незащищенным компьютерам до сих пор.

Еще один примечательный образец drive-by-загрузок — троянский загрузчик LuckySploit.q, занявший третье место, а также отметившийся в первой двадцатке.

Это искусно обфусцированный скрипт, который вначале собирает информацию о конфигурации браузера пользователя, а затем отсылает эти сведения на зловредный сайт, зашифровывая их с помощью открытого RSA-ключа. На сервере эта информация расшифровывается с помощью закрытого RSA-ключа и, в соответствии с обнаруженной конфигурацией браузера, пользователю возвращается целый букет скриптов, которые эксплуатируют уязвимости, найденные на данном компьютере, и загружают зловредные программы. Кроме всего прочего, такая многоходовая комбинация сильно затрудняет анализ экземпляров исходного скрипта, собирающего информацию о браузере: в случае, если сервер, производящий расшифровку, недоступен, то невозможно и получить данные о том, какие скрипты он подсунет в данном случае.

Ряд вредоносных программ используют уязвимости программных продуктов крупных разработчиков. Так присутствие в рейтинге эксплойтов Trojan-Clicker.SWF.Small.b, Exploit.JS.Pdfka.gu, Exploit.JS.Pdfka.lr и Exploit.SWF.Agent.az говорит о популярности и уязвимости продуктов Adobe Flash Player и Adobe Reader. Кроме того, активно используются разнообразные уязвимости в решениях Microsoft: например, Trojan-Downloader.JS.Major.c пытается использовать сразу несколько уязвимостей в различных компонентах ОС, а также в компонентах Microsoft Office.

Подводя итог, эксперты ЛК отмечают, что в последнее время четко прослеживается тенденция перехода злоумышленников на различные виды хитроумных drive-by-загрузок на компьютеры пользователей и ориентация на веб-пространство.


или введите имя

CAPTCHA
Rattus
04-07-2009 18:49:42
И корь, и дифтерит у них, И оспа, и бронхит у них, И голова болит у них, И горлышко болит. Они лежат и бредят: Ну что же он не едет(Цэ)
0 |
28027
05-07-2009 08:23:24
Во, братуха, поддерживаю всеми частями тела! Я вот тоже выбросил глючееннъую венду и юзаю деревянные счёты.
0 |
йаБубунтко
06-07-2009 14:03:37
счёты - прошлый век. вот АБАК, да с открытым кодом, да с понятным и ежу SDK - отэта весч! прям, как Линукс, токмо лучче!
0 |
Линуксойд
05-07-2009 17:35:52
1 Net-Worm.Win32.Kido.ih 2 Virus.Win32.Sality.aa 3 Trojan-Dropper.Win32.Flystud.ko 4 Trojan-Downloader.Win32.VB.eql 5 Worm.Win32.AutoRun.dui 6 Trojan.Win32.Autoit.ci 7 Virus.Win32.Virut.ce 8 Worm.Win32.Mabezat.b 9 Net-Worm.Win32.Kido.jq 10 Virus.Win32.Sality.z 11 Trojan-Downloader.JS.LuckySploit.q 12 Virus.Win32.Alman.b 13 Packed.Win32.Black.a 14 Net-Worm.Win32.Kido.ix 15 Worm.Win32.AutoIt.i 16 Trojan-Downloader.WMA.GetCodec.u 17 Packed.Win32.Klone.bj 18 Email-Worm.Win32.Brontok.q 19 Worm.Win32.AutoRun.rxx 20 not-a-virus:AdWare.Win32.Shopper.v Хто все эти люди? О_о
0 |
wut
05-07-2009 17:59:37
это еще портал по нетворк секурити? ааа, фтопку. Не понимаю людей, перманентом юзающих плуги и скрипты в браузерах, : "а что у меня воровать?" даже показ логов с троев с гугл кеша не всегда вразумляет..хотя, может оно и к лучшему.
0 |