Фишеры регистрируются на бесплатных веб-сервисах

Фишеры регистрируются на бесплатных веб-сервисах

Во второй половине 2010 года Антифишинговая рабочая группа (APWG) зарегистрировала свыше 67 тыс. фишинговых атак (уникальных веб-сайтов) — намного больше, чем в предыдущий отчетный период. 11% сайтов-ловушек были размещены в доменных зонах .tk (Токелау) или .co.cc (Южная Корея), регистрация в которых не требует оплаты.



В целом использование доменов второго уровня для создания фишинговых сайтов увеличилось на 42%, в результате время жизни последних возросло до рекордного уровня, передает securelist.com. Регистрация на уровне поддоменов ― достаточно распространенный сервис, который к тому же не имеет единой бизнес-модели и правил регулирования. Несмотря на то, что многие провайдеры поддоменов ведут записи WhoIs и исправно откликаются на жалобы, злоупотреблений в этом пространстве пока хватает, а заблокировать фишинговый ресурс ― большая проблема. 

Например, свыше 40% поддельных сайтов, обнаруженных в отчетный период, были привязаны к доменной зоне .co.cc, хотя соответствующий корейский сервис очень оперативно реагирует на абьюзы. Медианное время жизни фишинговых сайтов в этой зоне составляет около 60 часов при среднестатистическом показателе 15,5 часов. Однако если регистратор поддоменов всерьез берется за чистку, он вполне в состоянии решить проблему фишинга своими силами. Наглядный пример тому ― многострадальный российский сервис Pochta.ru: в прошлом году ему удалось сократить число фишинговых сайтов в своих сетях со 189 до 14.

В отчете APWG за второе полугодие впервые присутствует статистика, предоставленная Информационным центром интернет-инфраструктуры Китая (China Internet Network Information Center, CNNIC) и китайским Антифишинговым альянсом. Ранее информацию о деятельности фишеров в Китае собирали сторонние наблюдатели, которые, по оценке APWG, регистрировали лишь 20% фишинговых атак, проводимых на территории этой страны. С появлением данных из нового, более компетентного источника итоговые показатели по глобальному фишингу в некоторых категориях получились несколько неожиданными.

С уходом с фишинг-арены плодовитой группировки Avalanche общее число сайтов, создаваемых фишерами, стало неуклонно снижаться. Однако последние данные, опубликованные APWG, противоречат этой тенденции. Дело в том, объясняют активисты, что свыше 20% фишинговых сайтов, обнаруженных во втором полугодии, были созданы фишерами для обмана клиентов китайских веб-сервисов. Эта статистика появилась в отчете стараниями CNNIC. Главной мишенью фишеров в Китае является торговый сайт Taobao.com ― китайский аналог eBay.

Примечательно, что, атакуя китайцев, фишеры обходят стороной их национальный домен. С ужесточением правил регистрации в зоне .cn количество доменных имен в национальном реестре сократилось вчетверо, а злоумышленники откочевали в более доступные пространства. По данным CNNIC, фишеры, действующие на территории Китая, не увлекаются хакерством и предпочитают оформлять свои сетевые площадки легальным способом. Особенно активно они регистрируются в зонах .com, .tk, .info, .us, .in и .co.cc.

С учетом статистики, предоставленной китайскими исследователями, общее количество доменных имен, используемых фишерами, увеличилось в полтора раза и составило свыше 42,6 тысяч. 28% из них ― вновь намного больше обычного ― были зарегистрированы с целью фишинга, причем половина ― для хищения данных китайских пользователей. Все фишинговые сайты, обнаруженные в зоне .tk, оказались официально зарегистрированными; большинство из них использовались для проведения кибератак против китайских коммерсантов и финансовых организаций. 18% доменов, зарегистрированных фишерами, использовались для кражи идентификаторов к World of Warcraft и Battle.net.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Кто-то запустил в контейнерные среды сетевого червя для майнинга Dero

Эксперты «Лаборатории Касперского» выявили эпидемию криптоджекинга в контейнерных средах. Авторы атак проникают в инфраструктуру через открытые API Docker и внедряют майнер Dero, а также сетевого червя для дальнейшего распространения инфекции.

В зоне риска — ИТ-компании, облачные и хостинг-провайдеры, не уделяющие должного внимания защите API Docker и контролю над такими интерфейсами.

Получив первоначальный доступ, злоумышленники не только заражают существующие контейнеры, но также создают новые на основе стандартного образа Ubuntu и внедряют в них двух написанных на Go вредоносов с безобидными именами cloud и nginx.

Первый представляет собой кастомный майнер Dero (результат VirusTotal33/65 по состоянию на 22 мая), второй — ранее неизвестный Linux-троян, отвечающий за обеспечение бесперебойной добычи криптовалюты, а также за проведение веб-атак на другие сети.

Поиск незащищённых контейнерных сред осуществляется автоматически с помощью утилиты masscan. Подобная организация атак снимает необходимость в использовании C2-сервера.

 

«Такой метод может привести к огромному росту числа заражений, — предупреждает Виктор Сергеев, возглавляющий команду Kaspersky Incident Response. — Каждый скомпрометированный контейнер — это потенциальный источник кибератак, если в сетях, которые могут стать мишенью, не будут заблаговременно приняты меры безопасности».

Примечательно, что в текущей кампании используются узлы Dero и кошелек, засветившиеся два года назад в криптоджекинг-атаках на кластеры Kubernetes.

Поиск по Shodan, проведенный экспертами в прошлом месяце, выявил в интернете 520 доступных API Docker, опубликованных на порту 2375. Угроза актуальна также для России и стран СНГ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru