Panda: скорость появления новых вредоносных кодов возросла на четверть

Panda: скорость появления новых вредоносных кодов возросла на четверть

Согласно последнему отчёту антивирусной лаборатории PandaLabs за первый квартал текущего года, количество активных в данный период времени угроз увеличилось по сравнению с прошлым годом. На протяжении первых трех месяцев 2011 года лаборатория PandaLabs в среднем ежедневно обнаруживала около 73 000 новых образцов вредоносного программного обеспечения, большинство которых оказались троянами. Что характерно, было зафиксировано увеличение количества появляющихся ежедневно угроз на 26% по сравнению с аналогичным периодом прошлого года.



В то время как лаборатория PandaLabs в течение 2010 года ежеквартально наблюдала постепенное увеличение количества вновь появляющихся угроз, рост был не столь заметен по сравнению с резким скачком показателя в последние два квартала.

Стоит отметить, что трояны всё ещё остаются наиболее распространённым типом угроз и на данный момент составляют 70% от общего числа вредоносного программного обеспечения. Это неудивительно, учитывая насколько прибыльным для мошенников может быть использование троянов, сообщает cybersecurity.ru

Технический директор антивирусной лаборатории PandaLabs Луи Корронс комментирует ситуацию: «Распространение программ в Интернете, позволяющих людям без специальных знаний запросто создавать трояны и организовывать нелегальный бизнес, особенно если это может обеспечить доступ к банковским реквизитам, влечёт за собой невероятный рост количества троянов в сети».

Не все виды троянов распространяются с одинаковой скоростью. Проанализировав подклассы обнаруженного вредоносного программного обеспечения, антивирусная лаборатория PandaLabs пришла к выводу о том, что количество банковских троянов уменьшилось, количество ботов осталось на том же уровне, а популярность поддельного антивирусного программного обеспечения снизилась. Тем не менее, число "загрузчиков" (downloader) значительно увеличилось. Так называемые загрузчики являются подклассом троянов, которые, однажды заразив компьютер пользователя, автоматически подключаются к сети Интернет и загружают ещё больше вредоносного прогреммного обеспечения. Хакеры часто используют этот метод, поскольку сам загрузчик небольшой по объёму (он содержит всего несколько строк кода), и может проникнуть на компьютер пользователя совершенно незаметно в отличие от других троянских программ.

Новая атака в Telegram использует официальную аутентификацию мессенджера

Эксперты зафиксировали новую и довольно изощрённую фишинговую кампанию в Telegram, которая уже активно используется против пользователей по всему миру. Главная особенность атаки в том, что злоумышленники не взламывают мессенджер и не подделывают его интерфейс, а аккуратно используют официальные механизмы аутентификации Telegram.

Как выяснили аналитики компании CYFIRMA, атакующие регистрируют собственные API-ключи Telegram (api_id и api_hash) и с их помощью инициируют реальные попытки входа через инфраструктуру самого мессенджера. Дальше всё зависит от того, как именно жертву заманят на фишинговую страницу.

Всего специалисты наткнулись на два подобных сценария. В первом случае пользователю показывают QR-код в стиле Telegram, якобы для входа в аккаунт. После сканирования кода в мобильном приложении запускается легитимная сессия, но уже на стороне злоумышленника.

Во втором варианте жертву просят вручную ввести номер телефона, одноразовый код или пароль двухфакторной защиты. Все эти данные тут же передаются в официальные API Telegram.

 

Ключевой момент атаки наступает позже. Telegram, как и положено, отправляет пользователю системное уведомление в приложении с просьбой подтвердить вход с нового устройства. И вот тут в дело вступает социальная инженерия. Фишинговый сайт заранее подсказывает, что это якобы «проверка безопасности» или «обязательная верификация», и убеждает нажать кнопку подтверждения.

В итоге пользователь сам нажимает «Это я» и официально разрешает доступ к своему аккаунту. Никакого взлома, обхода шифрования или эксплуатации уязвимостей не требуется: сессия выглядит полностью легитимной, потому что её одобрил владелец аккаунта.

По данным CYFIRMA, кампания хорошо организована и построена по модульному принципу. Бэкенд централизованный, а домены можно быстро менять, не затрагивая логику атаки. Такой подход усложняет обнаружение и блокировку инфраструктуры.

После захвата аккаунта злоумышленники, как правило, используют его для рассылки фишинговых ссылок контактам жертвы, что позволяет атаке быстро распространяться дальше — уже от лица доверенного пользователя.

RSS: Новости на портале Anti-Malware.ru