Российские дети чаще других обращаются к нежелательному контенту

Александр Панасенко 06 Марта 2015 - 09:39

...

Согласно глобальному исследованию «Лаборатории Касперского» по поведению детей в Интернете, в России в 2014 году 65% юных пользователей хоть раз обращались к порно-ресурсам, 38% – к сайтам с информацией об оружии, а 30% – к онлайн-казино. Эти цифры значительно выше аналогичных средних показателей по миру.

Россия укрепила свои позиции по числу обращений к нежелательному контенту, и без того занимая первое место в этом сомнительном рейтинге по результатам прошлого года. По данным исследования, в 2014 году 16% детей, хоть раз столкнувшихся с опасным контентом, были из России – это на 1,2 пункта больше чем в 2013-м. Схожий показатель отмечен у Индии – 13,4%. Далее с большим отрывом идут Китай, США и Вьетнам.

Распределение обращений к нежелательному контенту по странам

Однако во внимание следует принять не только долю детей, которые обращались к ресурсам с нежелательным содержанием, но и частоту этих запросов. Здесь картина иная: наибольшую активность демонстрировали в Китае – в среднем, на одного ребенка в 2014 году приходилось 208 срабатываний модуля «Родительский контроль». Следом идут США и Германия, а Россия со средним показателем 143 обращения находится на пятом месте.

Средняя частота обращения к той или иной категории опасных для ребенка ресурсов позволяет понять, к чему тяготеют дети в той или иной стране больше всего. Анализ показал, что для России отличительной чертой является тяга к ресурсам с информацией об оружии – «Родительский контроль» фиксирует в среднем 67 запросов в год на одного пользователя. Это почти в три раза выше среднего показателя по миру, до которого в свою очередь не дотягивает ни одна другая страна. Россия также рекордсмен по частоте обращений к сайтам категории «алкоголь, табак, наркотики», однако при этом демонстрирует более низкий, чем в среднем по миру, показатель в разделе «порно».

«Чтобы уберечь детей от нежелательного контента, мы рекомендуем взрослым использовать решения с модулем «Родительского контроля», не забывая активировать безопасные режимы в поисковых системах и приложениях с доступом к мультимедиа. Это поможет заблокировать доступ к сайтам с сомнительным содержанием, однако в социальных сетях и чатах, которым по умолчанию оказывается доверие, это не защитит ребенка от злого умысла других пользователей – в частности, от агрессии и травли в Интернете. К онлайн-безопасности следует подходить с той же серьезностью, что и к физической – именно поэтому мы напоминаем родителям о необходимости их участия в виртуальной жизни детей. Только так они могут быть уверены, что не упустят момент, когда их ребенку потребуется помощь», – отметил Константин Игнатьев, руководитель группы анализа веб-контента «Лаборатории Касперского».

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вероника Дубровская 13 Мая 2024 - 21:44

Эксплойты Трояны Уязвимости программ Целевые атаки Таргетированные атаки Корпорации Государство F.A.C.C.T.

Вредонос PhantomDL приписывают группе PhantomCore

В марте этого года специалисты F.A.C.C.T. Threat Intelligence обнаружили ранее неизвестный вредоносный загрузчик PhantomDL (PhantomGoDownloader). После проведенного анализа был выявлен ряд связей, указывающих на причастность группы PhantomCore к данному вредоносу.

Кибергруппировка PhantomCore, действующая против организаций РФ с начала 2024 года, эксплуатирует уязвимость CVE-2023-38831, в которой вместо ZIP-архивов используются RAR-архивы.

Кибершпионы рассылают жертвам фишинговые письма, содержащие во вложении вредоносные архивы и пароли в тексте письма.

Исследователи F.A.C.C.T. Threat Intelligence обнаружили исполняемый файл на платформе VirusTotal с именем «Akt_priema_peredaci_plosadki_20240322103904_20240323105837.pdf .exe» и запароленный RAR-архив «Akt_priema_peredaci_plosadki_20240322103904_20240323105837.rar». Эксперты подобрали пароль для архива «11112222».

Как выяснилось, в архиве были обнаружены одноименные файлы (рис.1):

исполняемый файл, а также легитимный PDF-файл, который как раз и является документом-приманкой, содержащим информацию об акте приема-передачи строительной площадки на территории предприятия атомной отрасли РФ (рис. 2)

Рис. 1 – содержимое архива «Akt_priema_peredaci_plosadki_20240322103904_20240323105837.rar»

Рис. 2 – содержимое документа-приманки «Akt_priema_peredaci_plosadki_20240322103904_20240323105837.pdf»

Хакеры эксплуатируют ту же вариацию уязвимости WinRAR, что и группировка PhantomCore, где вместо ZIP-архивов используются RAR-архивы.

Пользователи с версией WinRAR ниже 6.23 запустят исполняемый файл при открытии PDF-файла, так как они содержатся в одноименной директории архива. Если же версия WinRAR 6.23 и выше, тогда юзеры увидят легитимный PDF-файл.

Исполняемый файл-загрузчик был написан на языке Go, для обфускации которого, возможно, использовалась утилита garble.

Имя компьютера / домен жертвы загрузчик получает с помощью команды:

cmd.exe /c «echo %USERDOMAIN%».

Далее загрузчик делает HTTP POST-запрос к серверу hxxp://188.127.227[.]201/check и передает сгенерированный uuid и имя компьютера / домена жертвы.

В ситуации, когда SYN-запросы отправляются не с российского IP-адреса, соединение будет разорвано (RST).

Если от сервера приходит ответ 200 OK ненулевой длины, то загрузчик выполнит одну из двух команд:

install – включает в себя последовательность действий:

отправить запрос на сетевой адрес hxxp://188.127.227[.]201/start;
получить в ответ от сервера URL;
загрузить следующую стадию (нагрузку) с полученного URL, сохранить под указанным именем в каталог %APPDATA%\Microsoft\Windows, запустить нагрузку;
выполнить запрос после завершения на сетевой адрес hxxp://188.127.227[.]201/end.

bay – завершить работу.

Уже 26 марта на том же VirusTotal специалисты обнаружили еще один загруженный архив с паролем «11112222», в котором содержались следующие файлы:

«Информация по договору.pdf .exe» — загрузчик на Go с той же хэш-суммой, что и файл «Akt_priema_peredaci_plosadki_20240322103904_20240323105837.pdf .exe» (SHA-1: d6a7b11b0f71cb3ea14a4c89d2d742a90a05bf3c);
«Информация по договору.pdf» – легитимный PDF-файл, являющийся документом-приманкой, содержимое которого не соответствует его названию (рис. 3).

Рис. 3 – содержимое документа-приманки «Информация по договору.pdf»

Чуть позже в мае был обнаружен новый образец, который не имел обфускации классов и методов. Это помогло заполучить название проекта D:\github\phantomDL и присвоить этому зловреду имя PhantomDL.

Образец поддерживает всё те же команды: bay, install, но в качестве сервера управления (C2) используется другой IP-адрес: 91.219.151[.]47. В новом образце также были заменены названия страниц для отправки запросов на сервер.

Эксперты F.A.C.C.T. Threat Intelligence провели анализ образцов и связали данную активность с киберпреступниками PhantomCore по следующим причинам:

В атаках с использованием загрузчика PhantomDL эксплуатируется уязвимость в RAR-архивах, что также присуще группировке PhantomCore.
Атаки нацелены на РФ, а именно на сферы, связанные с ВПК.
В документах-приманках содержатся схожие темы, где указаны акты по взаимным работам двух организаций.
Пересечения в именованиях файлов и паролей к архивам из разных атак.
Пересечения в именах классов и методов между трояном удаленного доступа PhantomRAT и загрузчиком PhantomDL.
Схожие названия для переменной, хранящей адрес управляющего сервера, в конфигурации: у PhantomRAT — «PRIMARY_END_POINT», а у PhantomDL — «PrimaryIP».

Киберпреступники явно переходят из стадии тестирования к наступлению, все тщательнее развивая свой инструментарий.