Фальшивые URL имеют московские координаты и британскую прописку

Фальшивые URL имеют московские координаты и британскую прописку

...

Корпорация Symantec опубликовала аналитический отчет Symantec Intelligence Report за октябрь 2011 года. Исследование объединило результаты доклада по мировой статистике передачи сообщений (Symantec.cloud MessageLabs Intelligence Report) и данные из отчета о ситуации со спамом и фишингом (Symantec State of Spam & Phishing Report). В октябре было зафиксировано незначительное снижение объемов мирового спама – на 0,6 процентных пункта. В то же время появились новые угрозы для корпоративных сетей, такие как W32.Duqu.



В октябре при относительно стабильной мировой статистике рассылки спама, Россия снова продемонстрировала незначительное снижение объемов получаемого почтового мусора – с 79,9% до 79,4%. Однако это не изменило ситуации, и Россия по-прежнему находится на втором месте после Саудовской Аравии. Что касается исходящего спама, после роста на 0,2% с августа до 6,7% в сентябре, октябрь показал снижение до 4,1%. При этом Россия остается на втором месте в Европе, уступая только Великобритании.

Между зонами UK и RUS в октябре сформировалась интересная связь. В прошедшем месяце злоумышленники начали активно создавать новые сервисы для сокращения адресов URL для обмана получателей спам-сообщений. Определенные приемы социальной инженерии, а также красивая ссылка позволяет перенаправить пользователя практически на любой сайт. В октябре специалисты Symantec обнаружили более 80 криминальных сервисов для сокращения URL, созданных на базе скриптов, находящихся в открытом доступе. Домены, используемые для сокращения URL, были размещены в Великобритании, а координаты, указанные при их регистрации ведут в Москву.

«В марте этого года уже наблюдался всплеск использования сервисов сокращения URL-адресов спамерами. Однако с того времени система детектирования спама на подобных ресурсах была модернизирована, и злоумышленники стали создавать свои ресурсы, позволяющие формировать короткие URL для обмана пользователей», - сказал Пол Вуд (Paul Wood), старший аналитик службы Symantec.cloud.

Очередную волну спама спровоцировало сообщение о смерти Муаммара Каддафи. Злоумышленники присылают письма, в которых якобы можно увидеть фотографии мертвого руководителя Ливии. Также встречались письма с опровержение его смерти. На самом деле в письмах вложены архивы, содержащие вредоносный код или help-файлы с известными бэкдорами, такими как Backdoor.Misdat. Специалисты Symantec ожидают увидеть новые версии подобных писем в ноябре.

В октябре пользователи мобильных устройств из стран Восточной Европы вновь были атакованы приложениями, рассылающими платные SMS и совершающими вызовы на премиум-номера, что обеспечивает злоумышленникам стабильную прибыль. В настоящее время в сети встречаются различного рода приложения, в основном ориентированные на платформу Android и iPhone. В начале октября в сети появилась подделка Skype под названием Skyps. Данная утилита имитирует приложение для IP-коммуникаций, тем временем, опустошая счет владельца телефона.

14 октября в сети был зарегистрирован новый вид вредоносного ПО, ориентированный на корпоративные сети. W32.Duqu использует механизм вторжения, похожий на тот, что использовал известный Stuxnet. Эксперты считают, что создатели новой угрозы имели доступ к исходному коду Stuxnet и, быть может, являются авторами обеих вредоносных утилит. W32.Duqu проникает в сети компаний, крадет конфиденциальные данные.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Троян Shuyal Stealer ворует данные из 19 браузеров и исчезает без следа

В ИБ-компании Point Wild проанализировали образец Windows-стилера Shuyal, объявившегося в июле, и обнаружили внушительный список целевых браузеров — 19 наименований, в том числе Яндекс Браузер и Tor.

Свое имя написанный на C++ зловред (детектится на VirusTotal с результатом 48/72 по состоянию на 8 октября) получил по найденному в экзешнике идентификатору. От собратьев новобранец отличается не только большим количеством целей, но также умением заметать следы.

После запуска Shuyal Stealer прежде всего выполняет глубокое профилирование зараженной системы с помощью WMI: собирает данные жестких дисков (модель, серийный номер), подключенной клавиатуры (включая ID), информацию о настройках монитора, чтобы выстроить стратегию кражи данных сообразно конкретным условиям.

Троян также прибивает Диспетчер задач, способный выдать запуск вредоносных процессов, и прописывается в системе на автозапуск.

Кража данных осуществляется с помощью скриптов PowerShell. При этом зловреда интересует следующая информация:

  • сохраненные в браузере учетки, куки и история посещения сайтов;
  • содержимое буфера обмена;
  • токены аутентификации из Discord, Discord Canary и Discord PTB.

Инфостилер также умеет делать скриншоты, чтобы добавить контекст к украденным данным.

Вся добыча вместе с журналом вредоносной активности (history.txt) помещается в директорию runtime, специально создаваемую в папке временных файлов. Для эксфильтрации ее содержимое архивируется (runtime.zip) и затем отсылается в телеграм-бот, который Shuyal находит по вшитому ID.

Завершив кражу и вывод данных, Shuyal пытается стереть все следы своего присутствия в системе с помощью скрипта util.bat.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru