Damballa подвела итоги 2010 года в секторе вредоносных сетей

Согласно отчету компании, ботнеты, используемые в целях хищения учетных данных для онлайн-банкинга и совершения других противозаконных деяний, продемонстрировали заметный прогресс. В частности, по сравнению с предыдущим годом многократно возросла численность компьютеров, инфицированных бот-клиентами.



В документе говорится, что в течение года 10 крупнейших вредоносных сетей ощутимо увеличили свою долю на теневом рынке. Если в начале года им принадлежали лишь 22% всех зомби-машин в мире, то к его концу значение соответствующего параметра почти утроилось - 57%. Что же касается суммарного количества пораженных персональных компьютеров, ассоциированных с теми или иными ботнетами, то за 2010 год оно стало на 654% больше - почти семикратный рост (в среднем около 8% в месяц).


Специалисты Damballa связывают столь впечатляющий (или, быть может, лучше сказать - ужасающий?) подъем показателей с массовым распространением конструкторов вредоносных сетей - своеобразных "наборов юного оператора", которые позволяют оперативно и без особых усилий строить ботнеты. Справедливость этого заключения можно подтвердить фактами: когда компания составила рейтинг десяти крупнейших 'игроков' этого сектора по итогам 2010 года, оказалось, что в году предстоявшем (2009) шести из них попросту еще не существовало в природе. Свою роль, по мнению экспертов, сыграли и новые достижения вирусописательской мысли - например, запись вредоносного кода в MBR жесткого диска и последующее изменение настроек загрузки.


Стоит заметить, что ассортимент конструкторов, предлагаемых поставщиками теневого рынка,  действительно широк и разнообразен - обновленный вариант Zeus, "Phoenix", "Darkness", "BlackEnergy", "Eleonore"... В результате злоумышленники более не трудятся над написанием своего кода, а просто покупают готовый, тем самым заметно ускоряя свои, так сказать, "бизнес-процессы".


Впрочем, с отчетом Damballa согласны не все. Например, свое мнение у недавно купленной Dell компании Secure Works - ее специалисты, подготовившие доклад об эволюции вредоносных сетей, уверены, что интенсивность развития ботнетов замедлилась, и в особенности это касается систем рассылки мусорной корреспонденции.


Однако кое в чем сомнений нет: бот-клиенты применяют все более изощренные методы и приемы самосокрытия, избегая обнаружения и последующего выведения из строя. Например, небезызвестный Rustock, инфицировав компьютер жертвы, не сразу принимается за отправку спам-сообщений, а 'терпеливо' ждет пять дней, чтобы ввести пользователя в заблуждение относительно источника инфекции. Иными словами, компьютерный вирус решил поучиться у вирусов настоящих и обзавелся полноценным инкубационным периодом.


The Register

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимости LogoFAIL в UEFI затрагивают сотни устройств Intel, Acer, Lenovo

В коде UEFI различных вендоров выявлены множественные уязвимости, позволяющие с с помощью картинки внедрить в систему буткит. Угроза с условным названием LogoFAIL актуальна для устройств с архитектурой x86 и ARM.

Корнем зла являются компоненты UEFI, отвечающие за парсинг изображений, — библиотеки, которые вендоры используют для показа логотипов при загрузке системы. Уязвимости, которым было присвоено общее имя LogoFAIL, обнаружили аналитики из ИБ-компании Binarly.

В ходе исследования площади атаки, связанной с использованием кастомных или устаревших парсеров в UEFI, эксперты обнаружили множество возможностей для внедрения вредоносной картинки / логотипа в системный раздел EFI (ESP) или в неподписанные секции обновления прошивки.

Эксплуатация таких уязвимостей, по словам исследователей, позволяет угнать поток исполнения и обойти спецзашиту (безопасную загрузку), в том числе аппаратные механизмы Intel Boot Guard, AMD Hardware-Validated Boot и ARM TrustZone-based Secure Boot.

 

Как показывает практика, вредоносы, внедряемые подобным образом, обеспечивают злоумышленникам постоянное и незаметное присутствие в системе. Атака LogoFAIL еще более скрытна: она не нарушает целостность среды исполнения, так как не требует модификации прошивки либо загрузчика ОС — как в случае с BlackLotus или BootHole.

 

Поскольку LogoFAIL безразлично, какой CPU использует жертва, данная проблема затрагивает многих вендоров и чипмейкеров. Исследователи уже установили, что она актуальна для сотен устройств Intel, Acer, Lenovo, а также для UEFI-прошивок производства AMI, Insyde и Phoenix.

Все затронутые поставщики уже оповещены о новой угрозе. Подробные результаты исследования Binarly представит 6 декабря на конференции Black Hat Europe, которая в этом году проводится в Лондоне.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru