Cloudmark наблюдает рост потоков SMS-спама

Cloudmark наблюдает рост потоков SMS-спама

В минувшем году Cloudmark обнаружила свыше 359 тыс. уникальных вариантов текстового спама, разосланного американским и британским абонентам. Пик спамерской активности в SMS-сервисе пришелся на декабрь; за этот месяц эксперты зафиксировали более 53 тыс. уникальных спам-рассылок.

Статистика, приведенная в годовом отчете Cloudmark, основана на данных специализированной службы 7726, учрежденной в начале 2012 года международной ассоциацией провайдеров сотовой связи GSMA. Cloudmark является оператором этого сервиса, широко доступного в США и Великобритании, и осуществляет проверку жалоб на SMS-спам, поступающих от абонентов, сбор и анализ сопутствующей информации, а также рассылку отчетов провайдерам-участникам, пишет securelist.com.

По оценке Cloudmark, наиболее распространенной темой SMS-спама в минувшем году являлась раздача подарочных карт от имени крупных торговых сетей – Walmart, Best Buy, Target и т.п. На долю этой категории пришлось 44% текстовых спам-сообщений. Спамеры также настойчиво предлагали в безвозмездное пользование пробные версии iPhone или iPad (11%). По свидетельству экспертов, оба варианта заманчивых предложений носили мошеннический характер: чтобы ими воспользоваться, абонент должен был принять участие в сомнительном опросе, засветив персональные данные, или посетить ряд рекламных площадок, оплачивающих спамерам каждый визит. При этом вожделенный «приз» легко мог оказаться мифом.

В Великобритании преобладал мошеннические SMS предложения компенсации за неправильно оформленную страховку по кредиту – так называемый PPI-спам (Payment Protection Insurance). Умышленное завышение размеров банковской страховки в этой стране давно приобрело масштабы эпидемии, и в связи с огромным количеством жалоб кредиторов обязали выплачивать компенсацию за их ошибки. Многие британские компании специализируются на юридическом сопровождении таких рекламаций и широко рекламируют свои услуги, хотя среди этих «стряпчих» встречаются и откровенные мошенники. PPI-спам – чисто британское явление; по данным Cloudmark, на пике его вклад в мусорный SMS-трафик достигал 60%.

Многие мошеннические SMS, обнаруженные экспертами, предлагали также рабочие вакансии (3% спама) и романтические знакомства (2%). Особую категорию составили фишинговые SMS-рассылки, на долю которых в минувшем году пришлось 5% текстового мусора. Пик фишерских атак пришелся на сентябрь и октябрь. Как показывает практика, SMS-фишинг обычно ориентирован на клиентуру определенного банка, мобильного оператора или на жителей отдельно взятого региона. Фишеры, использующие SMS-каналы, не распространяют ссылки на сайты-ловушки, но указывают номер телефона, по которому абоненту предлагается срочно позвонить. Отвечающий на этом номере робот может представиться, например, работником анти-фрод службы банка и, сообщив жертве о некоем «расследовании», выманить у нее реквизиты банковской карты (обычно дебетовой), PIN-код и другую приватную информацию.

Cloudmark отметила также чисто рекламные категории SMS-спама: быстрый кредит (8% общего объема), SMS-услуги (4%), скупка старых автомобилей (3%), продажа автомобилей (2%).

В конце минувшего года эксперты обнаружили простейший ботнет, составленный из Android-устройств и специализирующийся на рассылке текстового спама. Спамбот, на основе которого он построен, – в Lookout его окрестили SpamSoldier – распространяется в комплекте с пиратскими играми через SMS-рассылки. Списки абонентских номеров и шаблоны для спама зловред получает по http-каналу с командного сервера, его производительность на пике составляет свыше 0,5 млн. сообщений в сутки. В конце декабря C&C сервер и ключевые домены SpamSoldier были заблокированы; к этому времени его оператор успел разослать порядка 5-10 млн. вредоносных SMS и заразить несколько тысяч мобильных устройств.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

HybridPetya: наследник Petya научился обходить защиту UEFI Secure Boot

Исследователи из ESET рассказали о новом вымогателе, получившем имя HybridPetya. Этот зловред напоминает печально известные Petya и NotPetya, но с важным отличием: он умеет обходить механизм безопасной загрузки в UEFI-системах, используя уязвимость, закрытую Microsoft в январе 2025 года.

По словам экспертов, первые образцы HybridPetya были загружены на VirusTotal в феврале.

Принцип работы знаком (встречался у Petya): программа шифрует главную таблицу файлов — ключевую структуру NTFS-разделов, где хранится информация обо всех файлах. Но теперь к этому добавился новый трюк — установка вредоносного EFI-приложения прямо в EFI System Partition.

 

У HybridPetya два основных компонента: инсталлятор и буткит. Именно буткит отвечает за шифрование и вывод «поддельного» окна CHKDSK, будто система проверяет диск на ошибки.

 

На самом деле в этот момент шифруются данные. Если диск уже зашифрован, жертве показывается записка с требованием заплатить $1000 в биткойнах. В кошельке злоумышленников на данный момент пусто, хотя с февраля по май туда пришло около $183.

 

Интересно, что в отличие от разрушительного NotPetya, новый вариант всё же предполагает расшифровку: после оплаты жертва получает ключ, и буткит запускает обратный процесс, восстанавливая оригинальные загрузчики Windows.

Некоторые версии HybridPetya используют уязвимость CVE-2024-7344 в UEFI-приложении Howyar Reloader. С её помощью можно обойти Secure Boot — защитный механизм, который должен предотвращать запуск неподписанных загрузчиков. Microsoft уже отозвала уязвимый бинарный файл в январском обновлении.

ESET подчёркивает: пока признаков активного распространения HybridPetya нет, возможно, это только семпл. Но сам факт появления таких образцов показывает, что атаки на UEFI и обход Secure Boot становятся всё более реальными и привлекательными — и для исследователей, и для киберпреступников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru