Kaspersky Security Bulletin. Spam i phishing w 2015 roku
Wed艂ug Kaspersky Lab, w 2015 r.:
- Odsetek spamu w ruchu e-mail wynosi艂 55,28%, co stanowi spadek o 11,48 punkt贸w procentowych w stosunku do 2014 r.
- 79% wiadomo艣ci spamowych mia艂o rozmiar poni偶ej 2 KB.
- 15,2% spamu wys艂ano ze Stan贸w Zjednoczonych.
- Odnotowano 146 692 256 przypadk贸w aktywowania systemu "antyphishingowego".
- Rosja by艂a celem najwi臋kszej liczby atak贸w phishingowych, kt贸re stanowi艂y 17,8% og贸艂u.
- Japonia (21,68 %) obj臋艂a prowadzenie w rankingu unikatowych u偶ytkownik贸w zaatakowanych przez phisher贸w.
- 34,33% atak贸w phishingowych uderzy艂o w organizacje finansowe online (banki, systemy p艂atnicze oraz sklepy internetowe).
Nowe strefy domen w spamie
Na pocz膮tku 2015 r. zaobserwowali艣my wzrost liczby nowych domen najwy偶szego poziomu wykorzystywanych do rozprzestrzeniania masowych wysy艂ek. Spowodowane to by艂o wzrostem zainteresowania w艣r贸d spamer贸w programem New gTLD uruchomionym w 2014 roku. G艂贸wnym celem tego programu jest zapewnianie organizacjom mo偶liwo艣ci wybrania strefy domeny, kt贸ra jest zgodna z ich dzia艂alno艣ci膮 oraz tematem ich stron. Mo偶liwo艣ci biznesowe zapewniane przez New gTLD zosta艂y entuzjastycznie przyj臋te przez spo艂eczno艣膰 internetow膮 i nadal mo偶emy zaobserwowa膰 aktywne rejestrowanie nowych nazw domen.
Jednak, nowe strefy domen niemal od razu sta艂y si臋 aren膮 dystrybucji spamu na du偶膮 skal臋, poniewa偶 cyberprzest臋pcy rejestrowali domeny w celu rozprzestrzeniania masowych wysy艂ek. Na pocz膮tku istnia艂 pewien zwi膮zek logiczny mi臋dzy tematem spamu a nazw膮 domeny, jednak wraz z up艂ywem czasu to si臋 zmieni艂o si臋 i nazwy domen wykorzystywane w masowych wysy艂kach nie mia艂y og贸lnie zwi膮zku z tematem spamu. Jednak wci膮偶 mo偶emy trafi膰 na odosobnione przypadki, w kt贸rych taki zwi膮zek jest widoczny. Na przyk艂ad, internetowe serwisy randkowe cz臋sto s膮 umieszczane w strefie .date.
Ten brak jakiegokolwiek zwi膮zku mi臋dzy nazw膮 domeny a tematem spamu wynika艂 g艂贸wnie z ceny nowych domen. Osoby atakuj膮ce pr贸buj膮 wybra膰 najta艅szy z mo偶liwych hosting, poniewa偶 strony cz臋sto s膮 wykorzystywane tylko jeden raz w zwi膮zku z okre艣lon膮 masow膮 wysy艂k膮 spamow膮, w zwi膮zku z czym nazwa domeny nie odgrywa g艂贸wnej roli. Decyduj膮ce czynniki to raczej koszt domen oraz zni偶ki, jakie drobni rejestratorzy s膮 sk艂onni zaoferowa膰 w przypadku zakupu hurtowego.
Sztuczki spamer贸w: metody wyra偶ania nazw domen
Scammerzy staraj膮 si臋, aby ka偶dy e-mail by艂 unikatowy, chc膮c w ten spos贸b obej艣膰 filtrowanie masowe i skomplikowa膰 prac臋 filtr贸w zawarto艣ci. Do艣膰 艂atwo mo偶na sprawi膰, aby ka偶dy tekst by艂 inny - wystarczy u偶y膰 podobnych znak贸w z innych alfabet贸w lub zmieni膰 szyk s艂贸w i zdania itd. Z drugiej strony, zawsze b臋dzie istnia艂 adres strony spamera, kt贸rego nie da si臋 tak 艂atwo zmieni膰, a wysy艂anie spamu ma na celu sk艂onienie u偶ytkownik贸w do klikni臋cia odsy艂acza prowadz膮cego do reklamowanej strony. Na przestrzeni lat spammerzy wymy艣lili liczne sposoby ukrywania swoich stron przed filtrami antyspamowymi: przekierowania do zhakowanych stron, generowanie unikatowych odno艣nik贸w do serwis贸w umo偶liwiaj膮cych skracanie adres贸w URL, wykorzystywanie popularnych serwis贸w w chmurze jako przekierowa艅, itd.
W 2015 r., opr贸cz wspomnianych wcze艣niej metod, spamerzy skoncentrowali si臋 r贸wnie偶 na sposobach wyra偶ania nazw domen i adres贸w IP. Przyjrzymy si臋 bli偶ej tym sztuczkom, analizuj膮c przyk艂ady pochodz膮ce z r贸偶nych wiadomo艣ci spamowych.
Cechy specjalne protoko艂u IP: r贸偶ne formaty IP
Standardowa metoda zapisu adres贸w IP IPv4 to format kropkowo-cyfrowy, w kt贸rym warto艣膰 ka偶dego bajta ma posta膰 liczby dziesi臋tnej od 0 do 255, przy czym ka偶dy bajt jest oddzielony kropk膮. Istniej膮 jednak inne formaty, kt贸re zostan膮 poprawnie zinterpretowane przez przegl膮darki. S膮 to formaty binarne, 贸semkowe i szesnastkowe, jak r贸wnie偶 format dword/Undotted Integer, gdzie ka偶dy bajt adresu IP jest najpierw konwertowany do formatu szesnastkowego, nast臋pnie wszystkie bajty s膮 zapisywane w jednej liczbie w kolejno艣ci, w jakiej zosta艂y zapisane w adresie IP, po czym liczba ta jest konwertowana do systemu dziesi臋tnego. Wszystkie te formaty mog膮 zosta膰 po艂膮czone poprzez zapisanie ka偶dej cz臋艣ci adresu IP w inny spos贸b, a przegl膮darka nadal b臋dzie interpretowa艂a go poprawnie!
Techniki te s膮 wykorzystywane przez spamer贸w, kt贸rzy zapisuj膮 te same adresy IP na wiele r贸偶nych sposob贸w, 艂膮cznie z metod膮 艂膮czenia r贸偶nych format贸w:
- oct - hex
- oct - dword
- hex - dword
Adresy w formacie szesnastkowym mog膮 zosta膰 zapisane przy lub bez pomocy kropek oddzielaj膮cych liczby:
Ponadto, 4294967296 (256^4) mo偶e zosta膰 dodany dowoln膮 ilo艣膰 razy do liczby w formacie Integer, a wynik nadal b臋dzie interpretowany jako ten sam adres IP.
W formacie dziesi膮tkowym liczba 256 mo偶e zosta膰 dodana do ka偶dej cz臋艣ci adresu IP dowoln膮 ilo艣膰 razy - dop贸ki b臋dzie trzycyfrowy wynik, adres b臋dzie poprawnie interpretowany.
W formacie 贸semkowym do adresu IP mo偶na doda膰 dowoln膮 liczb臋 wiod膮cych zer, i wci膮偶 b臋dzie wa偶ny:
W adresie mo偶na r贸wnie偶 umie艣ci膰 dowoln膮 liczb臋 uko艣nik贸w:
Chocia偶 w niekt贸rych legalnych bibliotekach adresy IP mog膮 by膰 przechowywane w r贸偶nych formatach, w adresie URL zabroniono wykorzystywania innego formatu ni偶 standardowy kropkowo-cyfrowym (tj. w odsy艂aczach, do kt贸rych nast臋puje odwo艂anie).
Zaciemnianie adresu IP, lub na ile sposob贸w mo偶na zapisa膰 liczb臋 w formacie Unicode
Pisali艣my ju偶 o zaciemnianiu kluczowych s艂贸w w spamie przy u偶yciu r贸偶nych zakres贸w Unicode.
Te same sztuczki mo偶na zastosowa膰 podczas zapisu adres贸w IP i nazw domen. Je艣li chodzi o adres IP, w 2015 r. spamerzy cz臋sto wykorzystywali liczby Unicode z tak zwanego zakresu pe艂nowymiarowego. Standardowo jest on wykorzystywany w przypadku j臋zyk贸w hieroglificznych, tak aby litery i cyfry alfabetu 艂aci艅skiego nie wydawa艂y si臋 zbyt ma艂e ani w膮skie w por贸wnaniu z hieroglifami.
Trafili艣my r贸wnie偶 na liczby z innych zakres贸w - liczby w k贸艂ku, liczby podkre艣lone itd.:
Zaciemnianie domen
Jak ju偶 wspominali艣my wcze艣niej, sztuczka ta dzia艂a r贸wnie偶 w przypadku domen. Unicode posiada nawet wi臋cej zakres贸w liter ni偶 liczbowych. Spamerzy cz臋sto wykorzystywali wiele zakres贸w w jednym odsy艂aczu (zmieniaj膮c je losowo w ka偶dym e-mailu, zwi臋kszaj膮c tym samym zr贸偶nicowanie w obr臋bie jednej wysy艂ki masowej).
Aby odsy艂acze te by艂y jeszcze bardziej unikatowe, zamiast zaciemnia膰 sam膮 stron臋 spamow膮 oszu艣ci zaciemnili serwisy umo偶liwiaj膮ce skracanie adres贸w URL, w kt贸rych odsy艂acze do g艂贸wnej strony by艂y generowane w du偶ych ilo艣ciach:
Interpretowanie symboli URL
Adresy URL zawieraj膮 specjalne symbole wykorzystywane przez spamer贸w w celu dodania "szumu". Zasadniczo, jest to symbol @ s艂u偶膮cy do uwierzytelniania u偶ytkownika na stronie. Odsy艂acz w postaci http://login:password@domain.com oznacza, 偶e u偶ytkownik chce wej艣膰 na stron臋 domain.com przy u偶yciu okre艣lonej nazwy u偶ytkownika (loginu) oraz has艂a. Je艣li strona nie wymaga uwierzytelnienia, wszystko, co poprzedza symbol @, zostanie po prostu zignorowane. Trafili艣my na masowe wysy艂ki, w kt贸rych spamerzy umie艣cili po prostu symbol @ przed nazw膮 domeny, oraz masowe wysy艂ki, w kt贸rych symbol @ poprzedza艂a losowa (lub nielosowa) sekwencja:
Interesuj膮ce jest to, 偶e technika ta by艂a wykorzystywana do zaciemniana odsy艂aczy; jest to zwykle prerogatywa phisher贸w. Ta metoda przedstawiania adres贸w URL mo偶e zosta膰 wykorzystana przez oszust贸w w celu zmylenia u偶ytkownik贸w, aby my艣leli, 偶e odsy艂acz ten prowadzi do legalnej strony. Na przyk艂ad, w odsy艂aczu http://google.com@spamdomain.com/anything domena, kt贸r膮 akceptuje przegl膮darka, to spamdomain.com, nie google.com. Jednak, w celu zmylenia u偶ytkownik贸w spamerzy wykorzystali inn膮 technik臋 zwi膮zan膮 z domen膮: zarejestrowali wiele domen zaczynaj膮cych si臋 od com-. W przypadku domen trzeciego poziomu, odsy艂acze w wiadomo艣ciach e-mail mia艂y posta膰: http://learnmore.com-eurekastep.eu/find
Je艣li kto艣 nie przyjrzy si臋 dok艂adnie, mo偶e mu si臋 wydawa膰, 偶e domen膮 g艂贸wn膮 jest learnmore.com, podczas gdy w rzeczywisto艣ci jest to com-eurekastep.eu.
Opr贸cz symbolu @ oszu艣ci wype艂nili odsy艂acze innymi symbolami: www.goo&zwj.g&zwjl/0Gsylm
Na przyk艂ad, w przyk艂adzie powy偶ej fragment "&zwj" w domenie goo.gl zosta艂 umieszczony losowo w r贸偶nych sekcjach domeny, dzi臋ki czemu odsy艂acz w ka偶dym e-mailu by艂 unikatowy. Taka wstawka nosi nazw臋 艂膮cznika zerowej szeroko艣ci; jest on stosowany do 艂膮czenia kilku oddzielnych symboli w j臋zykach Hindi jak r贸wnie偶 emotikon贸w w jednym symbolu. W obr臋bie domeny nie posiada naturalnie 偶adnego znaczenia semantycznego; po prostu zaciemnia odsy艂acz.
Inn膮 metod膮 zaciemniania odsy艂aczy jest wykorzystanie "艂膮cznika nietrwa艂ego" (SHY). W j臋zyku HTML SHY to specjalny symbol, kt贸ry nie jest widoczny w tek艣cie, ale je艣li s艂owo zawieraj膮ce specjalny symbol nie mie艣ci si臋 na ko艅cu wiersza, cz臋艣膰, kt贸ra wyst臋puje po specjalnym symbolu, jest przesuwana do kolejnego wiersza, podczas gdy 艂膮cznik jest dodawany do pierwszej cz臋艣ci. Zwykle, przegl膮darki i klienty pocztowe ignoruj膮 ten symbol wewn膮trz odsy艂aczy, dlatego spamerzy mog膮 osadzi膰 go w dowolnym miejscu w adresie URL i to tak cz臋sto, jak chc膮. Trafili艣my na masow膮 wysy艂k臋, w kt贸rej 艂膮czniki niesta艂e zosta艂y umieszczone w domenie ponad 200 razy (kodowanie szesnastkowe):
Opr贸cz 艂膮cznika nietrwa艂ego w domenach wykorzystywane s膮 inne specjalne symbole - wska藕nik sekwencji (& ordm;), indeksy g贸rne 1 i 2 (& sup1 ;, & sup2;) - kt贸re mog膮 by膰 interpretowane przez niekt贸re przegl膮darki jako litera "o" oraz odpowiednio liczby "1" i "2".
Wielokrotne powtarzanie popularnej nazwy domen
Inny oryginalny spos贸b dodawania szumu do odsy艂aczy wykorzystywanych przez spamer贸w w 2015 r. polega艂 na wykorzystywaniu znanej domeny jako przekierowania. Sztuczka ta nie jest nowa, tym razem jednak oszu艣ci dodali t臋 sam膮 dobrze znan膮 domen臋 kilka razy:
E-maile bez adresu URL
Warto r贸wnie偶 wspomnie膰 o przypadkach, w kt贸rych nie u偶yto 偶adnych domen. Zamiast adresu URL wiele wysy艂ek spamowych zawiera艂o kod QR.
Inne masowe wysy艂ki nak艂ania艂y u偶ytkownika, aby wprowadzi艂 losow膮 sekwencj臋 w wyszukiwarce; odsy艂acz do strony by艂 wy艣wietlany na g贸rze wynik贸w wyszukiwania:
艢wiatowe wydarzenia wykorzystywane w spamie
Najbli偶sze Igrzyska Olimpijskie w Brazylii odb臋d膮 si臋 dopiero latem 2016 r., jednak ju偶 w 2015 r. odnotowali艣my oszuka艅cze powiadomienia o wygranych na loterii zwi膮zanej z tym popularnym wydarzeniem sportowym. Znajdowa艂y si臋 w艣r贸d nich wiadomo艣ci e-mail zawieraj膮ce za艂膮czony plik PDF, kt贸ry informowa艂 odbiorc臋, 偶e jego adres zosta艂 wylosowany spo艣r贸d milion贸w adres贸w e-mail. Aby odebra膰 nagrod臋, nale偶a艂o odpowiedzie膰 na wiadomo艣膰 e-mail podaj膮c okre艣lone informacje osobowe. Opr贸cz tekstu za艂膮czniki zawiera艂y r贸偶ne elementy graficzne (logo, zdj臋cia itd.). Fa艂szywe powiadomienia o wygranej na loterii, kt贸re posiada艂y znaczn膮 d艂ugo艣膰, cz臋sto by艂y wysy艂ane wraz z za艂膮cznikami w celu obej艣cia filtr贸w spamowych.
W 2015 r. cyberprzest臋pcy stosuj膮cy przekr臋t "nigeryjski" wykorzystywali wydarzenia polityczne na Ukrainie, wojn臋 w Syrii, wybory prezydenckie w Nigerii oraz trz臋sienie ziemi w Nepalu, aby przekona膰 odbiorc贸w, 偶e ich historie s膮 prawdziwe. Autorzy szukali g艂贸wnie pomocy w zainwestowaniu ogromnych sum pieni臋dzy lub prosili o pomoc finansow膮. Te tak zwane listy nigeryjskie wykorzystywa艂y niestandardowe sztuczki w celu oszukania odbiorc贸w i wy艂udzenia od nich pieni臋dzy.
E-maile dotycz膮ce wojny w Syrii cz臋sto wspomina艂y o uchod藕cach i obywatelach syryjskich ubiegaj膮cych si臋 o azyl w Europie. Niekt贸re zosta艂y tak stworzone, aby sprawia艂y wra偶enie, 偶e zosta艂y wys艂ane bezpo艣rednio z oboz贸w uchod藕c贸w, i zawiera艂y skargi na z艂e warunki.
Statystyki
Udzia艂 spamu w ruchu e-mail
W 2015 r. udzia艂 spamu w ruchu e-mail wynosi艂 55,28% - o 11,48 punkt贸w procentowych mniej ni偶 w zesz艂ym roku.
Udzia艂 spamu w ruchu e-mail, 2015 r.
Najwi臋kszy spadek odnotowano w pierwszych miesi膮cach 2015 r. - z 61,86% w styczniu do 53,63% w kwietniu. Wahania w pozosta艂ej cz臋艣ci roku by艂y nieznaczne - mie艣ci艂y si臋 w granicach 1-2 punkt贸w procentowych.
殴r贸d艂a spamu wed艂ug pa艅stwa
殴r贸d艂a spamu wed艂ug pa艅stwa, 2015 r.
W 2015 r. mia艂a miejsce niewielka zmiana w obr臋bie trzech najwi臋kszych 藕r贸de艂 spamu: Chiny (6,12%) spad艂y na czwart膮 pozycj臋, mimo 偶e udzia艂 spamu rozprzestrzenianego z tego pa艅stwa w rzeczywisto艣ci zwi臋kszy艂 si臋 o 0,59 punktu procentowego. Na trzecim miejscu zast膮pi艂 je Wietnam (6,13%), kt贸ry odnotowa艂 wzrost swojego udzia艂u o 1,92 punktu procentowego. Na drugim miejscu utrzyma艂a si臋 Rosja (6,15%), kt贸ra odnotowa艂a wzrost o 0,22 punktu procentowego, podczas gdy Stany Zjednoczone (15,16%) pozosta艂y niekwestionowanym liderem, mimo 偶e ich udzia艂 zmniejszy艂 si臋 o 1,5 punktu procentowego.
Podobnie jak w 2014 r., na pi膮tym miejscu uplasowa艂y si臋 Niemcy (4,24%), kt贸rych udzia艂 procentowy zwi臋kszy艂 si臋 o 0,24 punktu procentowego. Pozosta艂e pa艅stwa w rankingu Top 10 obejmowa艂y Ukrain臋 (3,99%, +0,99 punktu procentowego), Francj臋 (3,17%, +0,62 punktu procentowego), Indie (2,96%, bez zmian), Argentyn臋 (2,90%, -0,65 punktu procentowego) oraz Brazyli臋 (2,85%, +0,42 punktu procentowego).
Rozmiar wiadomo艣ci spamowych
Rozmiar wiadomo艣ci spamowych w 2015 r.
Odsetek bardzo kr贸tkich wiadomo艣ci spamowych (o rozmiarze poni偶ej 2 KB) zwi臋kszy艂 si臋 w 2015 r. i wynosi艂 艣rednio 77,26%, podczas gdy udzia艂 wiadomo艣ci e-mail o rozmiarze 2-5 KB spad艂 do 9,08%. Og贸lny trend 2015 r. polega艂 na zmniejszeniu si臋 rozmiaru wiadomo艣ci.
Szkodliwe za艂膮czniki w wiadomo艣ciach e-mail
10 szkodliwych program贸w najcz臋艣ciej rozprzestrzenianych za po艣rednictwem wiadomo艣ci e-mail w 2015 r.
Nies艂awny Trojan-Spy.HTML.Fraud.gen pozosta艂 najpopularniejszym szkodliwym programem wysy艂anym za po艣rednictwem poczty e-mail. Program ten stanowi fa艂szyw膮 stron臋 HTML wysy艂an膮 za po艣rednictwem poczty elektronicznej, kt贸ra imituje wa偶ne powiadomienie z du偶ego banku komercyjnego, sklepu internetowego lub tw贸rcy oprogramowania itd. Zagro偶enie to wyst臋puje jako strona phishingowa HTML, na kt贸rej u偶ytkownik ma poda膰 swoje dane osobiste, kt贸re zostaj膮 nast臋pnie przes艂ane cyberprzest臋pcom.
Na drugim miejscu znalaz艂 si臋 Trojan-Downloader.HTML.Agent.aax, natomiast dziewi膮te i dziesi膮te pozycje zajmowa艂y odpowiednio Trojan-Downloader.HTML.Meta.as. oraz Trojan-Downloader.HTML.Meta.ay. Wszystkie trzy stanowi膮 strony HTML, kt贸re - po otwarciu przez u偶ytkownik贸w - przekierowuj膮 ich na szkodliw膮 witryn臋. B臋d膮c na takiej witrynie, ofiara trafia zwykle na stron臋 phishingow膮 lub proponuje si臋 jej pobranie Binbota - bota wykorzystywanego w handlu opcjami binarnymi. Te szkodliwe programy rozprzestrzeniaj膮 si臋 za po艣rednictwem za艂膮cznik贸w do wiadomo艣ci online i jedyn膮 r贸偶nic臋 pomi臋dzy nimi stanowi odsy艂acz, kt贸ry przekierowuje u偶ytkownik贸w na podrobione strony.
Na trzecim miejscu znalaz艂 si臋 Trojan-Banker.Win32.ChePro.ink. Downloader ten jest apletem CPL (Control Panel component), kt贸ry pobiera trojany stworzone w celu kradzie偶y poufnych informacji finansowych. Wi臋kszo艣膰 szkodliwych program贸w tego typu atakuje banki brazylijskie i portugalskie.
Na czwartym miejscu znalaz艂 si臋 Email-Worm.Win32.Mydoom.l. Ten robak sieciowy rozprzestrzenia si臋 jako za艂膮cznik do wiadomo艣ci e-mail za po艣rednictwem serwis贸w wsp贸艂dzielenia plik贸w oraz zapisywalnych zasob贸w sieciowych. Przechwytuje adresy e-mail z zainfekowanych komputer贸w w celu wykorzystania ich do dalszych masowych wysy艂ek. W celu wys艂ania wiadomo艣ci, robak bezpo艣rednio 艂膮czy si臋 z serwerem SMTP odbiorcy.
Na kolejnych miejscach znalaz艂y si臋 Trojan.JS.Agent.csz oraz Trojan-Downloader.JS.Agent.hhi, kt贸re stanowi膮 downloadery napisane w j臋zyku JavaScript. Szkodniki te mog膮 zawiera膰 kilka adres贸w (domen), kt贸re wywo艂uje kolejno zainfekowany komputer. Je艣li wywo艂anie powiedzie si臋, szkodliwy plik EXE zostanie pobrany do foldera tymczasowego i uruchomiony.
Na 贸smym miejscu znalaz艂 si臋 Trojan-PSW.Win32.Fareit.auqm. Trojany Fareit kradn膮 ciasteczka przegl膮darki oraz has艂a z klient贸w FTP jak r贸wnie偶 programy e-mail, a nast臋pnie wysy艂aj膮 te dane do zdalnego serwera prowadzonego przez cyberprzest臋pc贸w.
Rodziny szkodliwego oprogramowania
Upatre pozosta艂 najbardziej rozpowszechnion膮 rodzin膮 szkodliwego oprogramowania w ca艂ym roku. Szkodniki z tej rodziny pobieraj膮 trojana bankera znanego jako Dyre/Dyreza/Dyzap.
MSWord.Agent i VBS.Agent zajmowa艂y odpowiednio drugie i trzecie miejsca. Podsumowuj膮c, szkodniki te stanowi膮 pliki DOC z osadzonym makro napisanym w j臋zyku Visual Basic for Applications (VBA), kt贸re uruchamia si臋 wraz z otwarciem dokumentu. Nast臋pnie pobiera i uruchamia inne szkodliwe oprogramowanie, takie jak Andromeda.VBS.Agent. Jak sugeruje nazwa, wykorzystuje osadzony skrypt VBS. W celu pobrania i uruchomienia innych szkodliwych program贸w na komputerze u偶ytkownika szkodliwe programy z tej rodziny wykorzystuj膮 technologi臋 ADODB.Stream.
Na czwartym miejscu uplasowa艂a si臋 rodzina Andromeda. Programy te umo偶liwiaj膮 osobom atakuj膮cym sekretnie kontrolowanie zainfekowanych komputer贸w, kt贸re cz臋sto staj膮 si臋 cz臋艣ci膮 botnetu. Warto wspomnie膰, 偶e w 2014 r. na szczycie rankingu najbardziej rozpowszechnionych rodzin szkodliwego oprogramowania znalaz艂a si臋 rodzina Andromeda.
Na pi膮tej pozycji uplasowa艂a si臋 rodzina Zbot. Celem szkodnik贸w z tej rodziny jest przeprowadzanie atak贸w na serwery i komputery u偶ytkownik贸w, jak r贸wnie偶 przechwytywanie danych. Chocia偶 ZeuS/Zbot potrafi przeprowadza膰 r贸偶ne szkodliwe dzia艂ania, najcz臋艣ciej jest wykorzystywany do kradzie偶y informacji bankowych.
Pa艅stwa atakowane przez szkodliwe wysy艂ki pocztowe
Rozk艂ad werdykt贸w dotycz膮cych szkodnik贸w wykrytych w poczcie e-mail wed艂ug pa艅stwa, 2015 r.
Na przestrzeni trzech ostatnich lat trzy pa艅stwa b臋d膮ce najcz臋stszym celem przesy艂ek reklamowych nie uleg艂y zmianie - Stany Zjednoczone, Wielka Brytania oraz Niemcy. Jednak w 2015 r. spamerzy zmienili swoje taktyki i cele. W efekcie, na pierwszym miejscu znalaz艂y si臋 Niemcy (19,06%, +9,84 punktu procentowego), za kt贸rymi uplasowa艂a si臋 Brazylia (7,64%, +4,09 punktu procentowego), kt贸ra w 2014 roku by艂a dopiero sz贸sta.
Najwi臋kszym zaskoczeniem w III kwartale, i w ca艂ym 2015 r., by艂 awans Rosji na trzecie miejsce (6,30%, +3.06 punktu procentowego). Podsumowuj膮c, w 2014 roku Rosja znajdowa艂a si臋 na 贸smym miejscu - odsetek szkodliwego spamu wys艂anego do tego pa艅stwa wynosi艂 nie wi臋cej ni偶 3,24%.
Chcieliby艣my wierzy膰, 偶e mimo tendencji obserwowanej w ostatnich kwarta艂ach liczba szkodliwych wysy艂ek masowych wysy艂anych do Rosji zmniejszy si臋. Je艣li chodzi o ca艂kowit膮 liczb臋 szkodliwych za艂膮cznik贸w wysy艂anych za po艣rednictwem poczty e-mail, w 2016 roku prawdopodobnie odnotuje ona wzrost, a kradzie偶 informacji osobistych i trojany wy艂udzaj膮ce okup znajd膮 si臋 na najwy偶szych pozycjach.
Specjalne funkcje szkodliwego spamu
W ruchu spamowym w 2015 roku zarejestrowali艣my eksplozj臋 wysy艂ek masowych zawieraj膮cych wirusy makro. Wi臋kszo艣膰 wiadomo艣ci e-mail zawieraj膮cych makrowirusy w I kwartale by艂o wysy艂anych w za艂膮cznikach z rozszerzeniem .doc lub .xls i nale偶a艂o do kategorii trojan贸w downloader贸w, stworzonych w celu pobierania innych szkodliwych program贸w.
Szkodliwe za艂膮czniki imitowa艂y najcz臋艣ciej r贸偶ne dokumenty zwi膮zane z finansami: powiadomienia o mandatach lub przelewach pieni臋偶nych, niezap艂aconych rachunkach, p艂atno艣ciach, reklamacjach, biletach elektronicznych itd. Cz臋sto wysy艂ane by艂y w imieniu pracownik贸w rzeczywistych firm oraz organizacji.
Zagro偶enie, jakie stwarzaj膮 makrowirusy, nie ogranicza si臋 do ich dost臋pno艣ci i 艂atwo艣ci tworzenia. Makrowirus mo偶e zainfekowa膰 nie tylko dokument, kt贸ry zosta艂 pierwotnie otworzony, ale r贸wnie偶 globalne makro, kt贸re jest wsp贸lne dla wszystkich podobnych dokument贸w, a tym samym wszystkich dokument贸w u偶ytkownika, kt贸re wykorzystuj膮 globalne makra. Co wi臋cej, j臋zyk VBA jest wystarczaj膮co funkcjonalny, aby wykorzysta膰 go do tworzenia wszelkiego rodzaju szkodliwego kodu.
W 2015 roku cyberprzest臋pcy specjalizuj膮cy si臋 w szkodliwym spamie nadal rozprzestrzeniali szkodliwe oprogramowanie w niestandardowych formatach archiw贸w (.cab, .ace, .7z, .z, .gz). Formaty te zosta艂y wprowadzone dawno temu i s膮 wykorzystywane przez specjalist贸w w rozwoju i instalowaniu oprogramowania, jednak w wi臋kszo艣ci s膮 nieznane dla zwyk艂ych u偶ytkownik贸w, w przeciwie艅stwie do archiw贸w ZIP oraz RAR. Kolejna r贸偶nica dotyczy wysokiego stopnia kompresji pliku. Te szkodliwe archiwa podszywa艂y si臋 pod r贸偶ne za艂膮czniki (zlecenia, faktury, zdj臋cia, raporty itd.) i zawiera艂y r贸偶ne szkodliwe programy (Trojan-Downloader.Win32.Cabby, Trojan-Downloader.VBS.Agent.azx, Trojan-Spy.Win32.Zbot .iuk, HawkEye Keylogger, etc.). Ogromna wi臋kszo艣膰 wiadomo艣ci e-mail by艂a w j臋zyku angielskim, jednak pojawi艂y si臋 r贸wnie偶 wiadomo艣ci w innych j臋zykach.
W 2014 roku cyberprzest臋pcy byli szczeg贸lnie aktywni je艣li chodzi o wysy艂anie fa艂szywych e-maili z urz膮dze艅 mobilnych oraz powiadomie艅 pochodz膮cych z aplikacji mobilnych zawieraj膮cych szkodliwe oprogramowanie oraz reklamy. W 2015 r. temat mobilny by艂 kontynuowany: szkodliwe programy by艂y rozprzestrzeniane w postaci plik贸w .apk oraz .jar, kt贸re w rzeczywisto艣ci stanowi膮 zarchiwizowane pliki aplikacji wykonywalnych dla urz膮dze艅 mobilnych. Pliki o rozszerzeniu .jar to zazwyczaj archiwa ZIP zawieraj膮ce program w j臋zyku Java, kt贸re zosta艂y stworzone tak, aby mog艂y by膰 uruchomione g艂贸wnie z telefonu kom贸rkowego, podczas gdy pliki .apk s膮 wykorzystywane do instalowania aplikacji w systemie Android.
W szczeg贸lno艣ci, cyberprzest臋pcy ukryli mobilnego trojana szyfruj膮cego SLocker pod postaci膮 pliku zawieraj膮cego aktualizacje dla aplikacji Flash Player: po uruchomieniu szkodnik ten szyfruje obrazy, dokumenty oraz pliki wideo przechowywane na urz膮dzeniu. Po uruchomieniu zostaje wy艣wietlony komunikat informuj膮cy u偶ytkownika, 偶e musi zap艂aci膰 w celu odszyfrowania plik贸w. Kolejne archiwum .jar zawiera艂o szkodnika Backdoor.Adwind napisanego w j臋zyku Java. Ten wieloplatformowy szkodliwy program mo偶e by膰 instalowany nie tylko na urz膮dzeniach przeno艣nych, ale r贸wnie偶 w systemie Windows, Mac oraz Linux.
Osoby atakuj膮ce, kt贸re rozsy艂aj膮 szkodliwe oprogramowanie w plikach dla urz膮dze艅 mobilnych, najprawdopodobniej maj膮 nadziej臋, 偶e odbiorcy wykorzystuj膮cy poczt臋 elektroniczn膮 na urz膮dzeniu mobilnym zainstaluj膮 szkodliwy za艂膮cznik.
Z ka偶dym rokiem ro艣nie zainteresowanie cyberprzest臋pc贸w urz膮dzeniami mobilnymi. Wynika to g艂贸wnie ze sta艂ego wzrostu aktywno艣ci u偶ytkownik贸w mobilnych (za po艣rednictwem komunikator贸w oraz innych metod wymiany danych) oraz migracji r贸偶nych us艂ug (np. transakcji finansowych) do platform mobilnych jak r贸wnie偶 faktu, 偶e jeden u偶ytkownik mo偶e posiada膰 kilka urz膮dze艅 mobilnych. Drugim powodem jest pojawienie si臋 r贸偶nych popularnych aplikacji, kt贸re mog膮 by膰 wykorzystywane przez cyberprzest臋pc贸w zar贸wno bezpo艣rednio (do rozsy艂ania spamu, w tym szkodliwego) jak i po艣rednio (w wiadomo艣ciach phishingowych). Na przyk艂ad, u偶ytkownicy popularnego komunikatora WhatsApp padaj膮 ofiar膮 nie tylko tradycyjnego spamu reklamowego, ale r贸wnie偶 tw贸rc贸w wirus贸w. U偶ytkownicy mobilni powinni zachowa膰 szczeg贸ln膮 ostro偶no艣膰, poniewa偶 aktywno艣膰 cyberprzest臋pcza w tej sferze mo偶e tylko wzrosn膮膰.
Phishing
G艂贸wne trendy
W 2015 r. system antyphishingowy zosta艂 aktywowany 148 395 446 razy na komputerach u偶ytkownik贸w Kaspersky Lab. 60% (89 947 439) tych incydent贸w zosta艂o zablokowanych przez deterministyczne komponenty, a 40% (58 448 007) przez komponenty wykrywania heurystycznego.
Metody rozprzestrzeniania tre艣ci phishingowych
Metody wykorzystywane przez cyberprzest臋pc贸w do rozprzestrzeniania tre艣ci phishingowych ju偶 dawno wykroczy艂y poza model klient贸w e-mail. Na przyk艂ad, jednym z najpopularniejszych sposob贸w rozprzestrzeniania stron phishingowych s膮 reklamy pop-up. W 2015 roku trafili艣my na wiele r贸偶nych oszustw wykorzystuj膮cych t臋 prost膮 sztuczk臋: fa艂szywa strona automatycznie otwiera si臋 w przegl膮darce, gdy u偶ytkownik odwiedza okre艣lone witryny, w tym te legalne, ale wykorzystuje reklam臋 pop-up.
Cyberprzest臋pcy wykorzystali t臋 technik臋 do atakowania klient贸w bank贸w rosyjskich w trzecim i czwartym kwartale 2015 r.
Oszuka艅cza strona, do kt贸rej zostaje przekierowana ofiara przez reklam臋 pop-up
Inne popularne tematy roku
Jak ju偶 wspominali艣my w I kwartale, udzia艂 kategorii "Firmy kurierskie" jest bardzo niewielki (0,23%), jednak odnotowa艂 niedawno nieznaczny wzrost (+0,04 punktu procentowego). Ponadto, DHL, jedna z firm z tej kategorii, znalaz艂a si臋 w艣r贸d 100 organizacji najcz臋艣ciej atakowanych przez phisher贸w.
Metoda ta - wiadomo艣膰 e-mail wysy艂ana w imieniu firmy kurierskiej - jest cz臋sto wykorzystywana przez oszust贸w do rozprzestrzeniania szkodliwych za艂膮cznik贸w, gromadzenia informacji osobowych, a nawet zbierania pieni臋dzy.
Wiadomo艣膰 phishingowa wys艂ana w imieniu firmy FedEx
Osoby atakuj膮ce s膮 szczeg贸lnie aktywne w tej kategorii przed 艣wi臋tami, kiedy ludzie kupuj膮 zwykle prezenty za po艣rednictwem popularnych serwis贸w kurierskich.
Sztuczki dotycz膮ce poczty elektronicznej
Scammerzy od dawna wykorzystuj膮 skutecznie za艂膮czniki PDF w atakach phishingowych. Pliki te stanowi膮 zwykle formularz, w kt贸rym nale偶y poda膰 informacje osobowe. Klikni臋cie przycisku w pliku powoduje wysy艂anie go do oszust贸w. Jednak w 2015 r. wzros艂a liczba wiadomo艣ci e-mail, w kt贸rych wiadomo艣膰 tekstowa oraz odsy艂acz do strony phishingowej zosta艂y umieszczone w dokumencie PDF. Tekst znajduj膮cy si臋 w tre艣ci wiadomo艣ci zosta艂 ograniczony do minimum w celu obej艣cia filtr贸w spamowych.
Sztuczki te s膮 wykorzystywane przeciwko organizacjom wszystkich kategorii. W 2015 r. wiele atak贸w tego typu by艂o wymierzonych w organizacje bankowe i pocztowe.
Przyk艂ad wiadomo艣ci phishingowej. Tre艣膰 wiadomo艣ci zawiera tylko tekst imituj膮cy nag艂贸wek wiadomo艣ci e-mail, na kt贸r膮 odpowiada rzekomo dany e-mail. Wiadomo艣膰 posiada za艂膮czony plik PDF, kt贸ry zawiera odsy艂acz do strony phishingowej.
Trafili艣my na wiele plik贸w PDF, kt贸re przekierowuj膮 ofiary do stron phishingowych. Oszu艣ci zach臋cali u偶ytkownika, aby klikn膮艂 "View pdf File" w celu przeczytania zawarto艣ci pliku.
Wiadomo艣膰 phishingowa z za艂膮czonym plikiem PDF zawieraj膮cym przekierowanie do strony phishingowej
Rozk艂ad geograficzny atak贸w
Top 10 pa艅stw wed艂ug odsetka zaatakowanych u偶ytkownik贸w
Japonia posiada艂a najwy偶szy odsetek u偶ytkownik贸w b臋d膮cych celem atak贸w phishingowych (21,68%), co stanowi wzrost o 2,17 punktu procentowego w stosunku do poprzedniego roku.
Odsetek u偶ytkownik贸w, na kt贸rych komputerach zosta艂 aktywowany system antyphishingowy, w stosunku do 艂膮cznej liczby u偶ytkownik贸w produkt贸w firmy Kaspersky Lab w danym pa艅stwie, 2015 r.
Top 10 pa艅stw wed艂ug odsetka zaatakowanych u偶ytkownik贸w
|
Japonia |
21,68% |
|
Brazylia |
21,63% |
|
Indie |
21,02% |
|
Ekwador |
20,03% |
|
Mozambik |
18,30% |
|
Rosja |
17,88% |
|
Australia |
17,68% |
|
Wietnam |
17,37% |
|
Kanada |
17,34% |
|
Francja |
17,11% |
Zesz艂oroczny lider, Brazylia (21,63%), spad艂a na drugie miejsce, po tym, jak liczba zaatakowanych u偶ytkownik贸w zmniejszy艂a si臋 o 5,77 punkt贸w procentowych. Tu偶 za ni膮 uplasowa艂y si臋 Indie (21,02%, -2,06 punktu procentowego) oraz Ekwador (20,03%, -2,79 punktu procentowego).
Rozk艂ad geograficzny atak贸w wed艂ug pa艅stwa
Rosja odnotowa艂a najwi臋kszy udzia艂 atak贸w phishingowych - 17,8% og贸艂u - co stanowi wzrost o 0,62 punktu procentowego w por贸wnaniu z zesz艂ym rokiem.
Rozk艂ad geograficzny atak贸w phishingowych wed艂ug pa艅stwa w 2015 r.
Tu偶 za Rosj膮 na drugim miejscu uplasowa艂a si臋 Brazylia (8,74%, +1,71 punkt procentowy), a dalej Indie (7,73%, +0,58 punktu procentowego), Stany Zjednoczone (7,52%, +0,32 punktu procentowego) oraz W艂ochy na pi膮tym miejscu (7,04%, +1,47 punktu procentowego).
Atakowane organizacje
Statystyki dotycz膮ce organizacji wykorzystywanych w atakach phishingowych opieraj膮 si臋 na aktywacji komponentu heurystycznego w systemie antyphishingowym. Komponent heurystyczny jest aktywowany wtedy, gdy u偶ytkownik pr贸buje klikn膮膰 odsy艂acz do strony phishingowej, a bazy danych Kaspersky Lab nie zawieraj膮 偶adnych informacji o danej stronie.
Rozk艂ad organizacji b臋d膮cych celem atak贸w phishingowych wed艂ug kategorii, 2015 r.
W 2015 roku mia艂 miejsce znaczny wzrost odsetka atak贸w phishingowych na organizacje nale偶膮ce do kategorii "Finanse online" (34,33%, +5,59 punktu procentowego), kt贸re obejmuj膮 kategorie "Banki", "Systemy p艂atno艣ci" oraz "Sklepy internetowe". Interesuj膮cy jest wzrost odsetka zaatakowanych organizacji z kategorii "Dostawcy us艂ug telefonicznych i internetowych" (5,50%, +1,4 punktu procentowego) oraz "Portale spo艂eczno艣ciowe i blogi" (16,40%, +0,63 punktu procentowego).
3 najcz臋艣ciej atakowane organizacje
|
Organizacja |
% wykrytych odsy艂aczy do stron phishingowych |
|
|
1 |
Yahoo! |
14,17 |
|
2 |
|
9,51 |
|
3 |
|
6,8 |
W 2015 roku Yahoo! po raz kolejny stanowi艂 organizacj臋 najcz臋艣ciej atakowan膮 przez phisher贸w, chocia偶 udzia艂 atak贸w na ten cel zmniejszy艂 si臋 znacznie - 14,17% w stosunku do 23,3% w 2014 r. Przypuszczamy, 偶e spadek ten wynika z walki prowadzonej przez t臋 firm臋 z fa艂szywymi domenami. Wida膰, 偶e Yahoo!, jak r贸wnie偶 wiele innych organizacji, rejestruje wiele domen, kt贸re mog膮 teoretycznie by膰 wykorzystywane przez osoby atakuj膮ce , poniewa偶 pochodz膮 od oryginalnej nazwy domeny.
Zako艅czenie i prognozy
W 2015 r. odsetek spamu w ruchu pocztowym zmniejszy艂 si臋 o 11,48 punktu procentowego i stanowi艂 55,28%. Najwi臋kszy spadek zaobserwowano w pierwszym kwartale; od kwietnia fluktuacje ustabilizowa艂y si臋 i mie艣ci艂y si臋 w granicach kilku punkt贸w procentowych. Spadek ten by艂 spowodowany migracj膮 reklamy legalnych towar贸w i us艂ug z ruchu spamowego do wygodniejszych i legalnych platform (portale spo艂eczno艣ciowe, serwisy grupowych zakup贸w itd.) jak r贸wnie偶 rozszerzeniem si臋 "szarej" strefy w wysy艂kach masowych (masowe wysy艂ki wysy艂ane zar贸wno do dobrowolnych subskrybent贸w jak i os贸b, kt贸re nie wyrazi艂y na to zgody). Zak艂adamy, 偶e w 2016 roku udzia艂 spamu nadal b臋dzie spada艂, aczkolwiek nieznacznie.
Z drugiej strony, liczba szkodliwych i oszuka艅czych wiadomo艣ci b臋dzie wzrasta膰. Mo偶liwe, 偶e osoby atakuj膮ce zn贸w b臋d膮 wykorzystywa艂y powszechne sztuczki, jak mia艂o to miejsce w 2015 roku (masowe wysy艂ki makrowirus贸w oraz niestandardowych rozszerze艅 za艂膮cznik贸w). Temat mobilny mo偶e sta膰 si臋 kolejn膮 broni膮 w arsenale cyberprzest臋pc贸w wykorzystywanym do rozprzestrzeniania szkodliwego oprogramowania i oszuka艅czego spamu.
Liczba nowych domen stworzonych przez spamer贸w, zw艂aszcza w celu rozprzestrzeniania masowych wysy艂ek, nadal b臋dzie rosn膮膰. Spodziewamy si臋 r贸wnie偶 wzrostu w zakresie nowych stref domen wykorzystywanych jako zasoby spamerskie.
殴ród艂o: Kaspersky Lab