Зловреды в Сети. Опасности ноября

Говоря об активизации киберпреступников в ноябре, эксперты компании Eset указывают на то, что в минувшем месяце в глобальном рейтинге положительную динамику продемонстрировали вредоносные элементы веб-страниц HTML/ScrInject и JS/Agent.NKW, а также файловый вирус Win32/Virut. Аналитики при этом отмечают, что в рейтинге Eset по-прежнему находятся три опасных файловых вируса – Win32/Sality, Win32/Ramnit и Win32/Virut. Мировое первенство в «десятке» за собой сохраняет троян Win32/Bundpil. Эта вредоносная программа может распространяться через съемные устройства, а также позволяет киберпреступникам загружать на зараженный компьютер другое вредоносное ПО.

В ноябре доля России в мировом объеме вредоносного ПО составила 8,21%. В российском рейтинге угроз был отмечен рост активности вредоносных элементов веб-страниц HTML/ScrInject и JS/Agent.NKW. Злоумышленники используют такие объекты для их встраивания в веб-страницы с последующим перенаправлением пользователя на вредоносное содержимое.

Производители ПО, в свою очередь, продолжают закрывать уязвимости в своих программных продуктах. В прошлом месяце компания Microsoft закрыла ряд серьезных уязвимостей в своих продуктах. Всего компания закрыла 19 уникальных уязвимостей в своих продуктах. Кроме уязвимостей в Internet Explorer, обновлению подверглись некоторые версии ОС и компонент, который реализует сокеты для драйверов afd.sys и продукты Office.

Эксперты Eset отмечают также, что  конец ноября ознаменовался появлением новой уязвимости CVE-2013-5065 в Windows XP. Злоумышленники использовали ее для повышения своих полномочий в системе через драйвер ndproxy.sys. При этом сам эксплойт для CVE-2013-5065 использовался только для поднятия своих привилегий в системе и активировался через специальным образом сформированный PDF-файл.

Эксперты отмечают в своих отчетах, что минувший месяц был богат на новости об атаках на пользователей онлайн-мессенджеров. Так, обнаруженное Eset вредоносное ПО Win32/PowerLoader умеет обходить антивирусную защиту операционной системы и загружать на компьютер пользователя червь Win32/Rodpicom.C, рассылающий фишинговые ссылки в сервисах обмена мгновенными сообщениями. После активации на компьютере жертвы червь Rodpicom ищет в системе запущенные процессы программ Windows Messenger, Digsby, QIP, Google Talk или Skype, после чего распространяет вредоносный код, рассылая фишинговые ссылки по списку контактов.

О массовой Skype-рассылке в прошлом месяце сообщают и аналитики «Доктор Веб». С помощью нее злоумышленники распространяли банковского троянца семейства BackDoor.Caphaw. Рассылаемые пользователям сообщения включали в себя ссылку на архив, который содержал исполняемый файл, представляющий собой троянскую программу BackDoor.Caphaw.

В целом же, относительно вирусной обстановки в ноябре вирусные аналитики «Доктор Веб» приводят следующую информацию: абсолютным «лидером» среди обнаруженных на компьютерах пользователей угроз стала вредоносная программа, добавленная в вирусные базы под именем Trojan.Packed.24524. За данным наименованием скрывается установщик рекламных программ и приложений сомнительной полезности, который злоумышленники распространяют под видом другого, легитимного ПО. Запустив такой установщик на своем компьютере, пользователь рискует стать «счастливым обладателем» нескольких тулбаров, уродующих окно браузера, или приложения, демонстрирующего на экране компьютера назойливую рекламу.

Позиции со второй по пятую в ноябрьском перечне угроз «Доктор Веб» занимают рекламные троянцы Trojan.LoadMoney.1, Trojan.InstallMonster.38, Trojan.LoadMoney.225 и Trojan.InstallMonster.28.

Угрозой месяца эксперты «Доктор Веб» называют распространение очередной модификации банковского троянца семейства Trojan.PWS.Ibank. Основная отличительная особенность данной реализации вредоносной программы - ее способность проверять имена запущенных программ и встраиваться в их процессы, в том числе — в процесс клиента SAP, комплекса бизнес-приложений, предназначенных для управления предприятием. Данный программный комплекс включает множество модулей, среди которых – компоненты управления налогообложением, сбытом, товарооборотом. Инфицированные компьютеры могут оперировать конфиденциальной информацией, весьма чувствительной для коммерческих предприятий. Первая версия троянца, проверявшего наличие SAP в зараженной системе, получила распространение еще в июне, текущая же имеет обозначение Trojan.PWS.Ibank.752.

Троянцы Trojan.PWS.Ibank способны действовать как в 32-битных, так и в 64-битных версиях Microsoft Windows, и обладают весьма широким набором вредоносных функций, среди которых похищение и передача злоумышленникам вводимых пользователем паролей, закрытие доступа к сайтам антивирусных компаний, выполнение команд, поступающих от удаленного командного сервера, организация на инфицированном компьютере прокси-сервера и VNC-сервера, а также уничтожение по команде операционной системы и загрузочных областей диска.

По данным «Доктор Веб», на сегодняшний день троянцы семейства Trojan.PWS.Ibank не предпринимают никаких деструктивных действий в отношении программного комплекса SAP, но проверяют факт его наличия в инфицированной системе и пытаются встроиться в соответствующий процесс, если он запущен в Windows. Вполне возможно, что таким образом вирусописатели создают для себя некий «задел на будущее».

Продолжают появляться и новые угрозы, направленные на пользователей мобильных устройств под управлением ОС Android. В ноябре специалистами компании «Доктор Веб» было зафиксировано увеличение числа троянцев-шпионов, крадущих конфиденциальную информацию у пользователей мобильных устройств. Так, в течение месяца вирусные базы пополнились записями для нескольких новых модификаций вредоносных программ семейств Android.Spy, Android.SmsSpy и Android.Tempur, предназначенных для перехвата SMS-сообщений и получения других персональных сведений. Подобные троянцы представляют опасность не только тем, что способны передавать злоумышленникам информацию об SMS -переписке пользователей, но также позволяют им получить доступ к банковским счетам и операциям с кредитными картами жертв, так как среди перехватываемых сообщений могут содержаться SMS с одноразовыми mTAN-кодами и аутентификационными данными, необходимыми для авторизации в системах банк-клиент.