Анализ октябрьских спам рассылок

Спам в октябре 2013 года отличался рассылками на тему приближающихся новогодних праздников и рекламой различных услуг из области белой и черной магии. Кроме того, специалисты «Лаборатории Касперского» отметили увеличение количества предложений по нанесению логотипов компаний на различную сувенирную продукцию. В целом же по итогам второго осеннего месяца рост заказных спам-рассылок рекламного характера привел к увеличению доли общемирового спама до 72,5%.

Эксплуатировать тему зимних праздников спамеры в этом году начали еще летом. В октябре число сообщений с рекламой различных товаров и услуг, так или иначе связанных с празднованием Нового года и Рождества, предсказуемо увеличилось. Подарки, новогодние туры по России и другим странам, варианты проведения школьных каникул – вот лишь часть всего многообразия, которое предлагалось пользователям Рунета в спаме новогодней тематики.

Также в октябре в почтовом трафике встречались рассылки с рекламой различных «магических» услуг. «Специалисты» в области белой и черной магии активно предлагали свои услуги как на просторах Рунета, так и в англоязычном сегменте Интернета. В русскоязычных рассылках преобладали в основном привороты и заговоры чуть ли не на все случаи жизни. Нередко также встречались предложения по обучению магии.

Наконец, в середине осени, когда деловой сезон переживает свой очередной подъем, спамеры активно рассылали сообщения с предложениями нанести логотип компании на самую разную сувенирную продукцию. Такие рассылки, конечно, не новы, однако в октябре эксперты «Лаборатории Касперского» отметили, что ассортимент предметов для нанесения логотипов заметно расширился: теперь фирменный знак компании, по уверениям спамеров, может красоваться не только на авторучках и флешках, но также на спичках, скотче, часах и даже банках с медом.

Среди вредоносных вложений в октябре было заметно преобладание зловредов семейства Bublik. Основная функция программ такого типа – несанкционированная загрузка и установка на компьютер-жертву новых версий вредоносных программ. При этом сами зловреды маскируется под приложение или документ компании Adobe.

Что касается источников спама, то в глобальном Интернете рейтинг лидеров не меняется на протяжении всего года: из Китая, США и Южной Кореи по-прежнему рассылается более половины мирового спама. Некоторые изменения в октябре произошли среди стран-источников спама в Рунете. Так, лидером по распространению нежелательных сообщений в русскоязычном пространстве Сети стала сама Россия: увеличение показателя страны почти на 5% (до 16,4%) позволило ей занять первую строчку рейтинга, переместившись вверх с 4-ой позиции. Второе место принадлежит лидеру прошлого месяца – Вьетнаму (13,1%), чей показатель не изменился с сентября. Третью позицию по-прежнему занимает Тайвань (12%), чья доля незначительно сократилась в октябре.

«Доля мирового спама в середине осени увеличилась на 6,6% и в итоге достигла весенних показателей, что неудивительно – деловая активность после летнего затишья полностью восстановилась. Еще одной осенней традицией является резкое увеличение так называемого праздничного спама. Новый год и Рождество из года в год используются спамерами для рекламы различных товаров и услуг, в том числе напрямую не связанных с упомянутыми праздниками. Обычно волна новогоднего спама длится с октября по декабрь, поэтому в следующем месяце мы снова ожидаем роста количества рассылок подобной тематики», – рассказывает Татьяна Щербакова, старший спам-аналитик «Лаборатории Касперского».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Новый Android-бэкдор Wpeeper использует WordPress-сайты как ретрансляторы

Новый бэкдор, атакующий смартфоны на Android и получивший имя Wpeeper, выдает себя за популярный сторонний магазин приложений Uptodown App Store (насчитывает более 220 млн загрузок). Wpeeper отличается работой в связке со взломанными сайтами на WordPress.

Скомпрометированные веб-ресурсы используются в качестве ретрансляторов для командных серверов (C2), что помогает операторам уйти от детектирования.

Новый вредонос привлек внимание команды QAX XLab 18 апреля 2024 года. На бэкдор исследователи вышли при анализе неизвестного файла ELF, встроенного в APK. В тот момент на этот файл не реагировал ни один из антивирусных движков на площадке VirusTotal.

В отчете специалистов отмечается, что активность Wpeeper резко остановилась 22 апреля, скорее всего, чтобы не «засветиться» и не привлечь внимание исследователей.

Опираясь на данные Google и Passive DNS, команда XLab сделала вывод, что Wpeeper удалось заразить уже тысячи устройств. Однако истинный масштаб кампании по распространению бэкдора пока оценить нельзя.

 

В атаках Wpeeper особый интерес представляет использование скомпрометированных веб-сайтов на WordPress в качестве точек ретрансляции. Такой подход маскирует местоположение реальных командных серверов.

Любые команды, отправленные с C2, проходят через упомянутые ресурсы. Более того, такие команды зашифрованы AES и подписаны с использованием алгоритма ECDSA (задействуется криптография на эллиптических кривых).

 

Wpeeper может также динамически обновлять C2-серверы, поэтому если один из WordPress-сайтов выпал из схемы, на его место оперативно приходят другие. Основная задача Wpeeper — красть данные жертвы, список функциональных возможностей бэкдора выглядит так:

  1. Вытаскивать данные о зараженном устройстве: сведения об операционной системе и аппаратной составляющей;
  2. Формировать список всех установленных приложений;
  3. Получать новые адреса командных серверов и обновлять список источников;
  4. Регулировать частоту связи с командным сервером;
  5. Получать новый открытый ключ для верификации подписей команд;
  6. Загружать произвольные файлы с C2;
  7. Получать информацию о конкретных файлах, хранящихся на устройстве;
  8. Получать информацию о конкретных директориях на устройстве;
  9. Запускать команды;
  10. 10.Загружать и запускать файлы;
  11. 11.Обновлять вредоносную составляющую;
  12. 12.Удалять бэкдор с устройства;
  13. 13.Загружать файл с конкретного URL и запускать его.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru