Компания «Доктор Веб» представляет обзор вирусной активности в октябре 2008 года, который оказался богат на события. Прежде всего, это новые модификации уже привычных лже-антивирусов, разнообразные инструменты, применяемые авторами вирусов для скрытия от глаз пользователей признаков вредоносной программы в почтовых рассылках, новые модификации полиморфных файловых вирусов, а также виды социальной инженерии. Рассмотрим ниже некоторые из актуальных методов вирусописателей и способы противодействия им.

Критическое обновление Windows
Знаменательным событием октября стал выпуск компанией Microsoft внеочередного критического обновления, устраняющего уязвимость в операционных системах Windows 2000, Windows XP, Windows Vista, Windows Server 2003, Windows Server 2008, о необходимости срочной установки которого корпорация объявляла даже в письмах своим пользователям. Интересно, что данной уязвимости оказалась подвержена и только что представленная Microsoft ОС Windows 7, разработка которой находится в стадии Pre-Beta. В описании этой уязвимости указано, что проблема касается системы безопасности Windows, позволяющая удалённому злоумышленнику, прошедшему проверку подлинности, пробить защиту компьютера с системой Microsoft Windows и получить возможность управления им. Поводом для спешки с выпуском обновления явилось обнаружение эксплойта (вредоносной программы, эксплуатирующей уязвимость), который довольно активно действовал на благо его авторов. Данный эксплойт был внесён в вирусную базу Dr.Web под названием Win32.HLLW.Jimmy. Это событие в очередной раз напомнило, что отсутствие в используемой системе актуальных критических обновлений может серьёзно повлиять на уровень ее безопасности.

Файловые вирусы
Значительное число обращений от пользователей поступило в связи с очередной модификации файлового вируса семейства Win32.Sector – Win32.Sector.12. Пользователи антивируса Dr.Web с актуальной вирусной базой защищены от проникновения этого вируса в систему. Если же заражение данным вирусом уже состоялось, то с лечением могут возникнуть сложности, т.к. Win32.Sector.12 использует такие приёмы, как внедрение в память запущенных системных процессов, противодействие работе известных антивирусных продуктов, руткит-технологии. Также вирусы семейства Win32.Sector имеют возможность скачивать и устанавливать в систему вредоносные программы из Интернета, которые могут со временем обновляться на сайтах, содержащих это вредоносное ПО. В случае возникновения проблем с самостоятельным лечением зараженной системы, пользователи Dr.Web всегда могут рассчитывать на профессиональную техническую поддержку специалистов компании.

Почтовые рассылки
За прошедший месяц продолжали активно рассылаться письма с различными модификациями Trojan.DownLoad.4419. Этот троян уже подробно рассматривался в обзоре за сентябрь. Данные почтовые сообщения обычно немногословны и содержат ссылку на якобы порно-ролик. Причем, если ранее открывающиеся страницы представляли из себя подделку интерфейса популярного интернет-сервиса YouTube, то в октябре некоторые из рассылок ссылались на специально созданные страницы с другим, на этот раз более лаконичным, интерфейсом, внешний вид которого показан ниже. В любом случае, после завершения загрузки страницы начинается закачка вредоносного исполняемого файла. Многочисленность и схожесть различных модификаций Trojan.DownLoad.4419 позволила аналитикам компании «Доктор Веб» создать записи, с помощью каждой из которых может определяться множество экземпляров этого семейства. В октябре в вирусной базе Dr.Web появились такие записи как Trojan.Packed.1207, Trojan.Packed.1219 и другие.

В октябре авторы вирусов вновь напомнили о том, что вредоносные программы могут рассылаться с помощью архива, защищённого паролем. Пароль при этом чаще всего находится в теле письма. В рассылке, содержимое которой показано ниже, есть запароленный архив с исполняемым файлом, который определяется Dr.Web как Trojan.PWS.GoldSpy.2268.

Антивирусные компании в последнее время часто напоминают пользователям о необходимости проверять, страницы с какими именно адресами открываются в браузере при переходе к ним со ссылок из почтовых сообщений. Дело в том, что вирусописатели зачастую используют технику подмены отображаемого в письме адреса страницы на другой. Trojan.Click.21207 продемонстрировал, что для проникновения в систему вируса можно обойтись и без метода подмены страниц, а ссылка, по которой предлагается перейти, может при этом выглядеть вполне безопасно. В данном случае ссылка вела на JPG-файл (якобы интересную картинку), который на самом деле являлся вредоносным скриптом, написанным на языке JavaScript. Внешний вид письма этой русскоязычной рассылки приведён ниже.

Из числа других значимых почтовых рассылок октября можно отметить Trojan.Packed.1198, который привлекал к себе внимание пользователей благодаря упоминания имени Анжелины Джоли в заголовке письма. Также прошла массовая рассылка спама на немецком языке с просьбой ознакомиться с важными финансовыми документами, которые на самом деле оказывались вредоносными программами с названиями Trojan.DownLoad.3735 или Trojan.DownLoad.8932. Подробнее об этих троянах можно прочитать в аналитической статье «Почтовые вирусы наступают».

Осторожно, мошенники
В октябре увеличилось число мошеннических рассылок, которые не содержат в себе вредоносные программы, но при этом тем или иным способом убеждают отсылать платные SMS-сообщения, в результате чего пользователи теряют денежные средства. Одна из таких рассылок, например, предлагала поучаствовать в «акции» по получения бонуса от компании МТС. Её содержание можно увидеть на рисунке ниже. На самом деле никакой акции этот оператор не проводил, а подозрения могли вызвать ее условия, более схожие с лотереей. Следует отметить, что в последнее время мошенники всё чаще прибегают к способу получения денег от своих жертв через отправку SMS-сообщений. Это связано с тем, что на данный момент мобильные телефоны есть практически у каждого пользователя Интернета, а оформить номер для приёма платных сообщений на данный момент тоже не составляет особого труда.

ICQ как транспорт для вредоносных сообщений
В последнее время участились случаи рассылки вредоносного спама по ICQ. Как и в почтовом спаме, в ICQ-спаме рассылаются ссылки на вредоносные объекты. В октябре это была, например, рекламная программа Adware.FieryAds.4, а также множество других. Через ICQ также передаются сообщения, убеждающие отправить платное SMS (одно из них показано ниже). Следует также отметить увеличение количества случаев рассылки спама через ICQ вредоносными программами, от имени пользователей заражённого компьютера. При этом на компьютере пользователя факт заражения никак внешне не проявляется. О нём можно узнать часто только из ответного сообщения пользователя, уже получившего спам-сообщение, которое навело его на подозрение.

Вирусописатели продолжает эксплуатировать популярность социальных сетей, количество которые в Интернете неизменно растет. В качестве примечательного способа распространения вредоносной программы, определяемой Dr.Web как Trojan.Packed.673, можно привести следующий: распространитель вируса создаёт себе специальный аккаунт на сайте odnoklassniki.ru, от имени которого потом ставит оценки фотографиям пользователей; когда пользователь переходит на страницу этого заранее созданного вирусописателем аккаунта, в информации «пользователя» указывается якобы его личный сайт, открыв который, он и «добьётся» цели автора, т.е. загрузки вируса на свой компьютер.

В целом в октябре можно отметить некоторое увеличение способов и активности распространения вредоносных программ. К сожалению, в большинстве случае пользователи сами запускают их у себя на компьютере, поддаваясь методам социальной инженерии. В связи с этим специалисты компании «Доктор Веб» регулярно информируют пользователей об основах информационной безопасности.

Вредоносные файлы, обнаруженные в октябре в почтовом трафике

Вредоносные файлы, обнаруженные в октябре на компьютерах пользователей