Microsoft посчитала резидентные боты за II квартал

Александр Панасенко 19 Октября 2010 - 16:15

...

Во втором квартале текущего года антивирусные продукты Microsoft вывели из состава ботнетов свыше 6,5 млн. настольных ПК. Число выявленных и удаленных программ-роботов в среднем составило 3,3 на тысячу циклов MSRT (Malicious Software Removal Tool — специализированное средство удаления вредоносных программ для Microsoft Windows). Высокая степень зараженности наблюдалась в Корее (14,6), Испании (12,4), Мексике (11,4), Сальвадоре (10,9). Ситуация с российскими и американскими ресурсами не столь серьезна, но показатели по резидентным ботам в этих странах пока превышают общемировой уровень (4,3 и 5,2 соответственно).

По данным Microsoft, наиболее обширной популяцией обладает семейство Win32/Rimecud (в классификации ЛК P2P-worm.Win32.Palevo). Его представители распространяются через пиринговые сети и съемные носители; также знамениты соучастием в создании ботнета Mariposa. Во втором квартале Rimecud были обнаружены на 1,7 млн. пользовательских компьютеров, в том числе на 37% российских ресурсов.

Следует отметить, что заражения Kido/Conficker эксперты исключили из списка активных угроз, т.к. этот ботнет пока никак себя не проявляет. Сигнатуры ZeuS были добавлены в базу MSRT лишь в начале октября. Однако пробное испытание MSRT в режиме быстрой проверки показало уровень детектирования ZeuS 50%.

В отчете Microsoft также представлена статистика по спамботам, основанная на показаниях корпоративных фильтров FOPE (Microsoft Forefront Online Protection for Exchange). Больше половины IP-адресов, уличенных с апреля по июнь в рассылке спама, ассоциированы с Rustock. Тем не менее, по производительности этот ботнет значительно уступал своему менее представительному собрату Lethic (около 8% IP-адресов). Вклад Rustock в квартальный спам-трафик эксперты оценили примерно в 17%, Lethic – почти в 57%. Последний быстро восстановил управление, утраченное в январе в результате вмешательства борцов с ботнетами, и даже выбился в спамлидеры.

Что касается тематического состава мусорной почты, треть квартальных спам-рассылок, по оценке Microsoft, были посвящены продвижению медицинских препаратов и услуг, 19,3% — рекламе промтоваров.

Источник

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 16 Июля 2025 - 11:27

R-Vision SIEM Корпорации Системы мониторинга событий безопасности SIEM-системы R-Vision

В R-Vision SIEM появилось более 260 новых правил детектирования угроз

В систему мониторинга событий ИБ R-Vision SIEM добавили крупное обновление экспертизы. Оно включает 263 новых правила детектирования, поддержку дополнительных источников событий и доработку уже существующего контента. Сейчас в системе доступно более 750 правил «из коробки».

Обновления затронули такие системы, как Microsoft Windows, Linux, MySQL, Oracle DB, VMware vCenter и ESXi, OpenVPN. Также расширено покрытие для Microsoft SQL Server и Kubernetes.

По словам команды R-Vision, особое внимание в этот раз уделили Kubernetes — из-за его популярности в облачных и гибридных инфраструктурах. С ростом использования увеличивается и интерес со стороны атакующих. Среди частых техник — попытки обойти ограничения RBAC и получить доступ к критическим namespace, таким как kube-system. Чтобы выявлять такие действия, в SIEM добавили новые правила.

Также появились сигнатуры для продуктов российских производителей, включая Гарда WAF, Infowatch TM, S-Terra Gate и Secret Net Studio.

Кроме общих улучшений, в систему добавили правила для конкретных техник, которые применяются в атаках:

Использование LocaltoNet — утилиты для создания туннелей снаружи внутрь инфраструктуры. Её применяли, например, в атаках APT Morlock против подрядчиков в IT-сфере.
Эксплуатация CVE-2025-24071 — уязвимости в Windows Explorer, через которую можно инициировать утечку NTLMv2-хэшей при открытии специально оформленного .library-ms файла.
Злоупотребление ssh.exe — для скрытого туннелирования трафика, перехвата учётных данных и удалённого выполнения команд. Такие методы использовались группировкой ToddyCat.
Внедрение вредоносного кода в браузерные расширения, что может приводить к краже пользовательских данных.

Помимо правил детектирования, обновление включает новые правила нормализации логов для разных источников, чтобы система корректно обрабатывала события. В списке — оборудование и ПО от Huawei, Континент, Garda, ViPNet, Dallas Lock, Kaspersky, Positive Technologies, а также open source-системы вроде Suricata, Lighttpd, NextCloud, pfSense и других.

Добавлены также шаблоны типовых дашбордов — с готовыми структурами, настройками отображения и расположением виджетов. Это может помочь быстрее настроить визуализацию под конкретные задачи.

Обновление доступно всем пользователям с действующей техподдержкой. Для установки требуется версия R-Vision SIEM не ниже 2.3.0. Полный список поддерживаемых источников и версии пакетов опубликованы на портале документации.

Microsoft посчитала резидентные боты за II квартал

Читайте также