Вирусы и спам в марте 2011 года

Компания Доктор Веб проанализировала вирусную активность в марте 2011 году. В числе главных новостей прошлого месяца — ликвидация крупнейшей в мире спам-сети, ботнета Win32.Ntldrbot (Rustock), который прекратил работу 17 марта в результате совместной операции Microsoft и американских властей. По оценкам Microsoft, компьютер, зараженный Win32.Ntldrbot, рассылал до 10000 писем в час. При этом, по данным некоторых экспертов, в спам-сеть входило порядка 815 тысяч ботов.

Лидирующие позиции в распространении спама вместо Rustock уже занял известный ботнет Win32.HLLM.Beagle, который специализируется на рекламе лекарственных препаратов. В дальнейшем, по мнению аналитиков, можно ожидать изменения архитектуры ботнетов в сторону децентрализации. Также высказываются предположения о возможности восстановления ботнета Win32.Ntldrbot.

14 марта компания Adobe объявила об обнаружении очередной уязвимости в проигрывателе Adobe Flash Player 10.2.152.33 и некоторых более ранних версиях. Уязвимость позволяет злоумышленникам атаковать систему при помощи специально оформленного SWF-файла. Она является общей для версий данного программного продукта для Windows, Mac OS, Linux, Solaris и ранних версий Android.

Обновления, закрывающие эту уязвимость, были выпущены только 21 марта. Таким образом, уязвимость оставалась актуальной в течение недели. Вскоре после этого в открытом доступе оказались исходные коды примера эксплуатации данной уязвимости. Это спровоцировало рассылки писем, содержащих во вложении троянский XLS-файл, включающий в себя Exploit.SWF.169.

При запуске троянского файла MS Excel на некоторое время перестает отвечать, при этом пользователь видит пустую таблицу со встроенным flash-роликом без изображения. В это время Exploit.SWF.169 осуществляет свою локальную атаку, сохраняет на диск и запускает исполняемый файл с нагрузкой в виде Trojan.MulDrop1.64014 или Trojan.MulDrop.13648.

Еще одна тенденция марта — активизация атак на социальные сети. 4 марта была осуществлена массовая рассылка фишинговых писем от имени администрации сервиса LiveJournal, содержащих уведомления о блокировке и возможном удалении аккаунта. При этом в графе отправителя фишингового письма был указан адрес do-not-reply@livejournal.com, который действительно используется сервисом LiveJournal для рассылки уведомлений. Мошенническая ссылка, по которой предлагается перейти, ведет на один из поддельных сайтов, копирующих дизайн оригинального ЖЖ. Данные, которые здесь вводит пользователь, передаются мошенникам.

Через несколько дней похожей атаке подвергся сервис Facebook. Его пользователи стали получать спам-сообщения, рассылаемые от имени действующих аккаунтов Facebook. В сообщениях содержалась короткая ссылка, ведущая на мошенническую страницу с дизайном Facebook. На этой странице размещалось уведомление с запросом личной информации пользователя. В случае заполнения полей запроса злоумышленники получали доступ к аккаунту жертвы, от имени которой в дальнейшем происходила аналогичная рассылка по списку друзей.

30 марта 2011 года LiveJournal подвергся очередной DDoS-атаке, самой масштабной за время его существования. Атака продолжалась несколько часов, в это время сервис был практически недоступен.

Природная катастрофа в Японии спровоцировала в марте волну спам-рассылок соответствующей тематики. В некоторых письмах содержались ссылки на поддельные сайты Красного Креста, Армии спасения и других благотворительных организаций. В других случаях пользователей заманивали на вредоносные ресурсы, предлагая просмотреть видеоролик о катастрофе.