Учитывая поведение. Киберпреступники нашли новые пути

Бизнес-консультант по безопасности компании Cisco Алексей Лукацкий в ходе прошедшего вебинара отметил, что поведение пользователей в Сети не является статичным и постоянно изменяется. Меняются привычки, мотивация, подходы, принципы, по которым пользователи «живут» в Интернете. Это отражается и на поведении злоумышленников в Сети и соответственно ведет к изменению картины угроз безопасности.  

Согласно данным исследования Cisco ASR-2013, сегодня в мире по типам контента наиболее часто посещаемыми интернет-ресурсами и являются поисковые системы (36%), за ними следуют сайты с интерактивным видеоконтентом (22%). На третьем месте социальные сети (20%) и 13% приходится на рекламные сайты. Соответственно, киберпреступники «идут вслед за аудиторией». Исследование Cisco показало, что сегодня сетевые злоумышленники фокусируют внимание не столько на порнографических, фармацевтических и игровых сайтах (которые относятся к так называемой «серой» и «черной» зоне Интернета), сколько на обычных сетевых ресурсах с массовой аудиторией. В частности, по данным исследования, на сайтах интернет-магазинов вероятность получения вредоносного контента в 21 больше, чем при скачивании пиратского ПО. Вероятность получения вредоносного контента при использовании поисковых систем в 27 раз больше. Наконец, при просмотре онлайн-рекламы в 182 раз выше вероятность поймать вирус, чем на порнографических сайтах.

«Злоумышленники активно подстраиваются под поведение пользователей и используют новые механизмы для распространения вредоносного контента. Таким образом, сегодня посещение легального сайта может нести даже большую угрозу, чем посещение сайта, относящегося к «черной» или «серой» зоне Интернета. Стратегию своей сетевой защиты в нынешних условиях нужно выстраивать исходя из того, что сегодня в Интернете нет ни одного доверенного сайта», - говорит Алексей Лукацкий.

Приведенная в исследовании Cisco ASR-2013 статистика показывает, что сегодня чаще всего опасными могут быть сайты с так называемым «динамическим контентом», то есть сайты, которые «подгружают» информацию из каких-либо источников. Преступники в Сети сегодня используют те функциональные элементы сайтов, к которым пользователь привык и которых порой уже не замечает и использует «на автомате». Например, всем известные иконки «мне понравилось» (так называемые «лайки») для различных социальных сетей, всевозможные веб-счетчики для сбора статистики и иной нерекламный контент. Алексей Лукацкий  отмечает: «Кликая по такой иконке, знать точно что произойдет невозможно. Возможно, в вашем аккаунте в соцсети отразится то, что вам понравился тот контент, который вы увидели на просматриваемой странице. А возможно и то, что без вашего ведома на ваш компьютер будет загружен вредоносный код. В случае с веб-счетчиками, злоумышленнику достаточно взломать один раз сайт, который предоставляет механизмы сбора веб-статистики, разместить вместо «счетчика» вредоносную программу и она распространится по всем сайтам, которые используют этот веб-счетчик. С этих сайтов зловред в итоге распространится и по компьютерам пользователей, которые посещают сайты. И традиционные принципы построения «белых» или «черных» списков сайтов тут не помогут, поскольку пользователь посещает легальный сайт, а то, что на него подгружается сторонний вредоносный контент, традиционные средства веб-фильтрации не фиксируют»   

По категориям, в тройку «лидеров» среди сайтов, которые активнее других распространяют вредоносный контент, помимо вышеназванных сайтов с «динамическим контентом» (18,3%), входят также различные рекламные сайты (16,8%), различные сайты, связанные с бизнесом или отраслями экономики (8,1%) и сайты с онлайн-играми (6,5%). Эти четыре категории сайтов совокупно составляют 50% интенет-ресурсов, которые распространяют вредоносный код. «Как мы видим, среди этих ресурсов нет ни одной категории сайтов, даже близко стоящей к категории запрещенных или нелегальных. Злоумышленники поменяли способы распространения вредоносного контента и ушли от доставки по незаконным каналам, переключившись на полностью легальные сайты, которые для пользователей Интернета по-прежнему остаются неким доверенным каналом доставки информации», - подчеркивает Алексей Лукацкий.

Соответственно, по данным исследования Cisco, сегодня основная угроза идет из сети Интернет. Самым массовым типом угроз безопасности являются вредоносные сценарии, размещаемые на взломанных интернет-сайтах (83,4% атак). Зловреды, использующие уязвимости программных продуктов (эксплойты) в статистике Cisco на втором месте (9,8% атак). Вредоносные программы, нацеленные на кражу информации, третьи (3,4% атак).

Алексей Лукацкий указывает на следующий аспект: «По сути методы, которые сегодня используют злоумышленники в части разработки и распространения вредоносного ПО, представляют собой стандартную бизнес-модель, по которой живет любая коммерческая компания. Киберпреступники изучают поведение пользователя, налаживают различные каналы сбыта своей вредоносной продукции. Стремятся распространять там, где больше аудитория и при этом делать это наиболее простым и дешевым способом, то есть минимизировать свои издержки. Именно поэтому сегодня 86% всех каналов и способов доставки вредоносного кода на компьютеры пользователей связаны с технологией Java. Не потому что технология  Java плоха сама по себе или ее защищенность ниже, чем у других технологий. Дело в том, что на сегодняшний день в мире насчитывается 3 миллиарда Java-устройств и это колоссальная база, которая интересует любого злоумышленника».   

Эксперты Cisco отмечают также еще один интересный аспект. В последнее время очень активное распространение получают вредоносные программы, нацеленные на мобильные платформы, и это отмечают все специалисты, работающие в сфере информационной безопасности. Мобильная ОС Android при этом является лидером по количеству зловредов, написанных под нее. По статистике Cisco, в 2012 году число заражений вредоносными программами для операционной системы Android выросло на 2577%. Но при этом, эксперты Cisco приводят данные, согласно которым, доля мобильных вредоносных кодов составляет всего 0,5% от общего объема вредоносных кодов в Интернете.    

Что касается распространения вредоносных веб-программ с точки зрения привязки их источников к различным странам, в исследовании Cisco отмечается, что лидировать здесь продолжает США. Источником 33% всех вредоносных веб-программ являются домены, размещенные в США. Россия по этому показателю, к сожалению, на втором месте с показателем 9,79%. Третье и четвертое место занимают Дания (9,55%) и Швеция (9,27%).   

Относительно тенденций в области спама, в исследовании отмечено, что за период с 2010 по 2011 год объем спама уменьшился на 18%.  При этом спамеры стали переходить на «стандартную рабочую неделю» (объем спама в выходные дни сократился на 25%). В 2012 году большинство спам-сообщений передавалось в рабочие дни. Самым «активным» днем с точки зрения спама, стал вторник. Но радоваться снижению объемов спама не стоит. Аналитики Cisco говорят, что вышеописанные изменения свидетельствуют лишь о том, что спамеры стали работать более «прицельно», опять таки, учитывая особенности интернет-поведения аудитории.  

В 2012 году главным мировым источником спама стала Индия. США заняла в этом списке второе место. Третье, четвертое и пятое места заняли, соответственно, Корея, Китай и Вьетнам. На шестом месте – Россия. При этом, отмечена одна негативная тенденция: Россия становится вторым международным языком спамеров. В 2012 году 5% всех спам-сообщений в мире были написаны на русском языке. Лидирует, естественно, английский (79%), а вот на третьем месте каталонский язык (3%).

В части распространения зловредов через спам отмечена еще одна тенденция, противоречащая сложившемуся стереотипу, который гласит, что нельзя открывать вложения в подозрительных письмах, поскольку они содержат вредоносный код. «Если у подозрительного письма в вашей почте нет вложения, это не значит, что оно не может быть вредоносным. По нашей статистике сегодня только 3% сообщений с вредоносным кодом содержат какие-то вложения», - отметил Алексей Лукацкий.    

Для оценки влияния угроз информационной безопасности на бизнес, Cisco в своем исследовании CCWTR (опрос проводился в 18 странах) проанализировало поведенческие шаблоны сотрудников поколения «игрек» (по-другому называемое «сетевым поколением»), стремящихся постоянно быть на связи и иметь мгновенный доступ к необходимым приложениям. По результатам проведенного опроса, большинство (91%) из них считают, что эпоха повышенного внимания к вопросам конфиденциальности личных данных безвозвратно ушла в прошлое. Треть поколения «игрек» вообще не задумывается о том, где и как хранится их персональная информация.

Хотя большинство опрошенных представителей поколения «игрек» (75%) не доверяет веб-сайтам и не считает их надежными хранилищами личной информации, недоверие не накладывает никаких ограничений на действия этих пользователей. В частности, 57% представителей поколения «игрек» не возражают против использования их личной информации розничными магазинами, социальными сетями и другими онлайновыми ресурсами, если это приносит какую-то выгоду или удобство. Добавим к этому, что трое из каждых пяти опрошенных отметили, полагаются на отзывы покупателей при заказе товара через Интернет.