Эпидемия Trojan.Winlock и ее реальный масштаб

[Umnik 997]

Да, мало

Это ты лишку хватил. Это нисколько.

А их достаточно много: ЛК, virusinfo.info, ESET, Dr.Web, и они весьма жёстко конкурируют между собой.

Первые два - одно и тоже. Ну так, к слову.

И так, на заметку. Я по всем периодически заходил. Просто так И, само-собой, попадал в статистику. А был еще хабраэффект.

[truth 20]

Это ты лишку хватил. Это нисколько.

Достаточно знать, что не 100% пострадавших заходят на деблокер ЛК. Если половина заходят - то это в самом лучшем случае. А это уже говорит о том, что в среднем пострадавших по этим цифрам получается больше миллиона в месяц. Если учесть, что с февраля по апрель наблюдался значительный спад блокировщиков, то на январь приходится больше пострадавших, чем среднее арифметическое за все месяцы.

[Umnik 997]

Если половина заходят - то это в самом лучшем случае.

Как-то ты очень много допусков делаешь в теме.

[truth 20]

Как-то ты очень много допусков делаешь в теме.

Есть основания полагать, что более 50% пострадавших заходит на деблокер ЛК? У меня нет. И в этом рассчёте этот процент - единственный коэффициент, который влияет на результат. Тут уж никак не сказать, что сильно ловко играю с калькулятором.

А если совсем не делать допуски, цифр не получится.

Ни заниженных, ни завышенных.

(И нельзя одновременно говорить, что к нам зашло 5 млн. человек, и при этом говорить, что такой маленький доход у авторов блокировщиков - за двумя зайцами не угнаться)

[truth 20]

(просто ещё раз прикинул ту цифру, которую озвучивал Александр Гостев в Урюпинске, ибо, может быть, не все понимают, какая именно идёт несостыковка, и мне всё равно как это выглядит, мне хочется получить фактические цифры больше, чем устраивать раздоры).

Итак, участвующие здесь в обсуждении жители форума говорят о том, что винлоки не могут составлять даже 10% всех мошеннических SMS-ок. Ок. Тогда получается вот что.

Александр говорит, что все мошеннические SMS-ки составляют (могут составлять) до 25 млн. рублей за 3 месяца. Это значит до 8,3 млн. в месяц. Это значит, винлоков получается, по его данным, значительно до 830 тыс. руб. в месяц. На всю Россию.

Нелепо. Откуда ж берётся зарплата на оплату труда работникам всей инфраструктуры винлоков? А зарабатывают они, скажу я вам, весьма неплохо.

[alexgr 556]

как раз допущений в ваших расчетах гораздо больше - перечтите сами. Подтверждаю - я тоже заходил на деблокер. Но просто оценить. Мне не нужно было ничего разблокировать. И с десяток моих клиентов получили мои ссылки и заходили. Но не по проблеме - все уже было "исправлено" по телефону. Но как факт - имеет место быть

Более того - с оценкой порносайтов я б не горячился - там точно так же собирают деньги без оказания услуги. При этом я выбрал очень популярный сервис. Есть и другие

Нелепо. Откуда ж берётся зарплата на оплату труда работникам всей инфраструктуры винлоков? А зарабатывают они, скажу я вам, весьма неплохо.

видимо, знаете из первоисточника?

Александр говорит, что все мошеннические SMS-ки составляют (могут составлять) до 25 млн. рублей за 3 месяца. Это значит до 8,3 млн. в месяц. Это значит, винлоков получается, по его данным, значительно до 830 тыс. руб. в месяц. На всю Россию.

давайте быть точными - он сказал - могут. Это не означает, что составляют. Опять допущение?

[truth 20]

как раз допущений в ваших расчетах гораздо больше - перечтите сами. Подтверждаю - я тоже заходил на деблокер. Но просто оценить. Мне не нужно было ничего разблокировать. И с десяток моих клиентов получили мои ссылки и заходили. Но не по проблеме - все уже было "исправлено" по телефону.

И зачем заходили? И сколько это процентов на общем фоне? И если многие туда заходят не по делу, то зачем тогда пиарить цифру в 5 млн. заходов и что она показывает? Очередная пустая пиаристая цифра? Миллионы заражённых компьютеров - такую оценку проводить нельзя. Миллионы заходов на деблокер - да, это факт, это можно. Хотя цифра, по-вашему, пустая и ничего не значащая.

видимо, знаете из первоисточника?

Почти. Знаю достоверно, что даже обычные спамеры в российских регионах могут зарабатывать не одну тысячу баксов в месяц. А работа с блокировщиками должна стоить дороже. Ибо прибыльнее и более квалифицированная.

давайте быть точными - он сказал - могут. Это не означает, что составляют.

Т.е. могут составлять и на пару порядков больше? Просто если звучит цифра, она откуда-то должна была взяться. Очень надеюсь, что не с потолка. А выглядит так, как будто с потолка. И не вяжется с другими оценками.

[Umnik 997]

Есть основания полагать, что более 50% пострадавших заходит на деблокер ЛК? У меня нет.

У меня нет вообще никаких оснований. Основание - факты в руках. Я их не имею.

И в этом рассчёте этот процент - единственный коэффициент, который влияет на результат.

Дык он же с потолка у тебя берется.

А если совсем не делать допуски, цифр не получится.

Ну так вот же.

И зачем заходили?

Ну лично я - просто так. Посмотреть. Даже вводил данные от балды и тыкал кнопки.

И сколько это процентов на общем фоне?

Мы с Алексеем - нисколько. А вот хабраэффекты, они заметны.

И если многие туда заходят не по делу, то зачем тогда пиарить цифру в 5 млн. заходов и что она показывает?

По-моему это не пиар, а сообщение. Показывает количество заходов %)

[truth 20]

По-моему это не пиар, а сообщение.

Тогда докторские оценки про "миллионы в январе" - это было тоже сообщение, видимо. На тех же правах. Они оценивали это так. ЛК решила сообщить о 5 млн. заходов на деблокер. Все щастливы. Но кто-то, видимо, менее щастлив, ибо сообщил о миллионах (да, других) несколько (на полгода) позже. Только пострадавшим пользователям от того, что ни у кого нет фактов или кто-то позже начал пиариться на блокировщиках, не легче. Очень плохо на самом деле, что нет фактов об ущербе ни у АВ-компаний, особенно тех, кто проводили секретные операции по поводу блокировщиков, ни у правоохранительных органов.

Ждём новых сообщений от СМИ и новые факты.

[truth 20]

А вот хабраэффекты, они заметны.

Т.е. всё-таки и вы склонны делать оценки. Хабраэффекты очень легко посчитать, посмотрев статистику источников заходов на деблокер ЛК. Кроме того, можно привести количество уникальных посетителей, а не количество заходов. Но нам эти факты никто не предоставит. Ибо нефик. 5 млн. красивше и непонятнее.

[Umnik 997]

Тогда докторские оценки про "миллионы в январе" - это было тоже сообщение, видимо. На тех же правах. Они оценивали это так.

Дык в чем разница - с одной стороны говорят о миллионах заражений в январе, а с другой о заходах на ресурс за все время. Это две разные новости. Обсуждали-то не то, чем эта новость является, а то, о чем в ней говорится.

Т.е. всё-таки и вы склонны делать оценки.

Хм. Разве для тебя новость, что под этими эффектами падают сайты?

Хабраэффекты очень легко посчитать, посмотрев статистику источников заходов на деблокер ЛК.

Не могу. Не имею возможностей И я тут не спец - всегда ли передается на ресурс Б, на каком именно ресурсе была на него ссылка?

роме того, можно привести количество уникальных посетителей, а не количество заходов.

А нужно? Строго говоря, 1 человек может заразиться несколько раз и один же может не заразиться ни разу. Как узнать, что чувак А ерундой страдает, а чувак Б пришел по делу?

[truth 20]

Дык в чем разница - с одной стороны говорят о миллионах заражений в январе, а с другой о заходах на ресурс за все время.

В первом случае нет фактов, а лишь оценка, во втором случае, получается, цифра, которая ни о чём. Если делается сообщение, в заголовок которого выносится 5 млн. заходов, эта цифра о чём-то должна читающим говорить. А выясняется, что не говорит. Даже подтвердить или опровергнуть миллионы в январе не может.

Хм. Разве для тебя новость, что под этими эффектами падают сайты?

Это заявление является таким же предположением, как и мои. Фактов нет. Если 5 млн. посетителей - это хабраэффект, то смысла в той новости нет вообще, даже в виде сообщения.

И я тут не спец - всегда ли передается на ресурс Б, на каком именно ресурсе была на него ссылка?

Обычно передаётся.

А нужно? Строго говоря, 1 человек может заразиться несколько раз и один же может не заразиться ни разу. Как узнать, что чувак А ерундой страдает, а чувак Б пришел по делу?

Да, тут согласен. Но две цифры - количество заходов и количество уникальных посетителей - позволили бы сделать более точную оценку.

[Umnik 997]

Если делается сообщение, в заголовок которого выносится 5 млн. заходов, эта цифра о чём-то должна читающим говорить.

Эм. О 5-ти лямах посещений?

Даже подтвердить или опровергнуть миллионы в январе не может.

Дык на это способен KSN. Он опровергает.

Это заявление является таким же предположением, как и мои.

Слова про то, что сайты загибаются, это не предположение.

Если 5 млн. посетителей - это хабраэффект, то смысла в той новости нет вообще, даже в виде сообщения.

Дык я не говорю, что это все хабрахабр.

Да, тут согласен. Но две цифры - количество заходов и количество уникальных посетителей - позволили бы сделать более точную оценку.

Не-а. Точную оценку могут дать сервисы типа KSN.

[truth 20]

О 5-ти лямах посещений? smile.gif

И?

Дык на это способен KSN. Он опровергает.

Что он опровергает?

1. Выводы базируются только на статистике, собранной с _легальных_ пользователей ЛК.

2. Статистика собирается только с тех компьютеров, где включена отправка статистику.

Поэтому ничего он не опровергает.

Если опровергает - факты в студию, посмотрим, посчитаем.

Дык я не говорю, что это все хабрахабр. smile.gif

Так вот и интересно, сколько хабрахабр, а сколько нет. В одном случае вы склонны делать предположения, в другом говорите, что так делать не нужно. Так будем делать предположения или нет? Если большая часть не хабрахабр, то мои выводы остаются быть верными.

Не-а. Точную оценку могут дать сервисы типа KSN.

Это неправда, и вы знаете это.

3. Не факт, что KSN "знает"/"знал" всех блокировщиков в лицо на момент отправки статистики.

3.1. Не факт, что специалисты ЛК по информации, полученной от KSN могут отделить блокировщик от неблокировщика.

Ещё придумать контраргументов?

[Umnik 997]

И?

И хватит

Что он опровергает?

"Миллионы зараженных в январе"

1. Выводы базируются только на статистике, собранной с _легальных_ пользователей ЛК.

Ошибка раз. С любых пользователей, не снявших галку отправления статистики. Согласно этому же KSN 95% пользователей сидят на настройках по умолчанию. То есть если и снимает кто-то галку, то это часть от оставшихся 5%.

2. Статистика собирается только с тех компьютеров, где включена отправка статистику.

Правильнее, где не отключена. См. выше.

Если опровергает - факты в студию, посмотрим, посчитаем.

Дык глянь сообщения Алекса прямо в этой теме.

Так вот и интересно, сколько хабрахабр, а сколько нет. В одном случае вы склонны делать предположения, в другом говорите, что так делать не нужно. Так будем делать предположения или нет? Если большая часть не хабрахабр, то мои выводы остаются быть верными.

Я мусолю, мусолю, чтобы ты пришел к правильному выводу: мы_с_тобой_этого_знать_не_можем и значит не_можем_строить_предположений.

3. Не факт, что KSN "знает"/"знал" всех блокировщиков в лицо на момент отправки статистики.

И не обязательно. После снятия блока файл локера остается, базы обновляются и ХЛОП - статистика ушла. А еще статистика уходит от HIPS - он просто шлет хеш в облако, чтобы получить ответ об известности.

3.1. Не факт, что специалисты ЛК по информации, полученной от KSN могут отделить блокировщик от неблокировщика.

Приходят хеши. Отличить по ним специалисты могут Давай проведем эксперимент. В тред вызывается Юра!

Юр, вот три хеша:

1. 6294C848F3D782379234672DC205CB88

2. B09FF3AD4D592BAB75F7608AC62837B8

3. 7FDD2B7BBDFCB2E9A374823C924C0A78

Что ты можешь о них сказать? Чистые ли это файлы или вредоносные? Известны ли они нам или нет? Есть ли среди них блокеры и фейковые АВ?

[Юрий Паршин 330]

Юр, вот три хеша:

1. 6294C848F3D782379234672DC205CB88

2. B09FF3AD4D592BAB75F7608AC62837B8

3. 7FDD2B7BBDFCB2E9A374823C924C0A78

Что ты можешь о них сказать? Чистые ли это файлы или вредоносные? Известны ли они нам или нет? Есть ли среди них блокеры и фейковые АВ?

1. Безвредный демо-вирус (подобие eicar) KL-Demo

2. Инсталлятор брутфорсера паролей: not-a-virus:PSWTool.Win32.AdvancedPR.l

3. Троян Trojan-Dropper.Win32.Agent.blmq

Блокеров и фейковых АВ среди них нет.

[Umnik 997]

Стоит ли говорить, что Юра не допустил ошибок при ответе?

[truth 20]

Молодцы.

А теперь по пунктам, как это доказывает, что в январе не было миллионов заражённых блокировщиками компьютеров.

[Umnik 997]

truth

Это доказывает, что специалисты ЛК отличают одно от другого. Доказали, хорошо. А за цифрами - к Александру Гостеву. Кое-какие он тут уже приводил.

[truth 20]

Это доказывает, что специалисты ЛК отличают одно от другого.

Знаете, вирусные аналитики большинства АВ-компаний, могут по хэшам, контрольным суммам, этсетра, отличить одно от другого. Это говорит об уровне квалификации того или иного аналитика. Но это не доказывает ничего из того, о чём мы тут говорим. Статистика KSN - не всеобъемлющая. И доказательств по-прежнему нет. Иначе Александр не говорил многозначительно "может быть до 25 млн. за последние 3 месяца". Если KSN работает так, как вы здесь озвучили, цифры должны быть более точными.

[A. 876]

Молодцы.

А теперь по пунктам, как это доказывает, что в январе не было миллионов заражённых блокировщиками компьютеров.

Эээ. С какого перепугу МЫ должны это доказывать ?

Следуя вашей логике, я могу завтра сказать что сейчас в мире Конфикером заражено 662 миллиона пользователей. И попрошу вас это опровергнуть.

[truth 20]

С какого перепугу МЫ должны это доказывать ?

В общем-то, не обязаны. Просто если KSN может поставить точку в этом споре, тем для всех лучше. Но я боюсь, что не может. Хотя по рекламе качества вир-аналитиков ЛК и о потенциальных возможностях KSN все узнали сегодня много.

А вот факты в студию не поступают.

Следуя вашей логике, я могу завтра сказать что сейчас в мире Конфикером заражено 662 миллиона пользователей. И попрошу вас это опровергнуть.

Возможно, у меня будет желание это опровергнуть на основе информации из открытых источников.

Моя цель здесь и сейчас не защитить какую-то одну компанию и нагадить другой, а выяснить, каков же размер ущерба. Выяснил, что информации ни у кого нет. А то, что получается из СМИ - тоже не воспринимается, ибо "так много не может быть" или "KSN не разделяет таких рассчётов".

Что ж, отрицательный результат - тоже результат. Так и будем спорить, а кто-то зарабатывать.

[Umnik 997]

о потенциальных возможностях KSN все узнали сегодня много.

...компьютер пользователя будет автоматически отправлять в «Лабораторию Касперского» информацию в соответствии со следующим перечнем:

* Информация об установленном на компьютере аппаратном и программном обеспечении, в том числе версия операционной системы и установленные пакеты обновлений, объекты ядра, драйверы, сервисы, расширения Microsoft Internet Explorer, расширения системы печати, расширения Windows Explorer, загруженные объекты, элементы Active Setup, апплеты панели управления, записи файла hosts и системного реестра, версии браузеров и почтовых клиентов.

* Уникальный идентификатор, присваиваемый установленному на компьютере пользователя продукту «Лаборатории Касперского», и номер версии продукта.

* Информация о состоянии антивирусной защиты компьютера, а также данные обо всех потенциально вредоносных файлах и действиях (в том числе название вируса, дата и время обнаружения, названия и размер зараженных файлов и пути к ним, IP-адрес атакующего компьютера и номер порта компьютера пользователя, на который была направлена сетевая атака, название потенциально вредоносной программы).

* Информация о загружаемых пользователем программах (URL-адрес, размер файла).

* Информация о запускаемых программах (размер, атрибуты, дата создания, информация заголовка PE, регион, имя, местоположение, упаковщик).

Также для дополнительной проверки в «Лабораторию Касперского» могут отправляться подозрительные файлы или их части.

Сбор, обработка и хранение персональных данных пользователя не производятся.

Предоставление вышеуказанной информации является добровольным. Функцию предоставления информации можно в любой момент включить или выключить в разделе «Обратная связь» окна настройки соответствующего продукта «Лаборатории Касперского».

[truth 20]

Да, хорошая штука KSN.

[A. 876]

В общем-то, не обязаны. Просто если KSN может поставить точку в этом споре, тем для всех лучше. Но я боюсь, что не может. Хотя по рекламе качества вир-аналитиков ЛК и о потенциальных возможностях KSN все узнали сегодня много.

А вот факты в студию не поступают.

Чем вы там упарываетесь ? я тоже таким хочу.

http://www.anti-malware.ru/forum/index.php...ost&p=98373

(и далее)