Conficker – по-прежнему самый опасный вирус в России

Компания Eset опубликовала рейтинг самых распространенных интернет-угроз, выявленных специалистами вирусной лаборатории Eset с помощью технологии раннего обнаружения ThreatSense.Net в сентябре 2009 г. 

По данным Eset, в мировом рейтинге зафиксировано увеличение вредоносного ПО, распространяющегося с помощью съемных носителей. На сегодняшний день угрозы INF/Autorun находятся на второй позиции рейтинга (7,53%). Высокий процент заражений autorun-угрозами отмечен в Объединенных Арабских Эмиратах (7,36%), Израиле (4,99%), Латвии (4,97%) и Литве (5,45%). 

Первое место по-прежнему сохраняет червь Conficker (8,76%). Сегодня это угроза номер один в России (17,95%), на Украине (27,03%), в Румынии (13,64%), Болгарии (13,63%), Сербии (8,82%), Италии (7,51%), Великобритании (5,5%) и Австрии (2,83%). Также в сентябре зафиксирован резкий скачок числа инфицированных червем Conficker компьютеров в ЮАР. Количество заражений увеличилось на 100% по сравнению с предыдущим месяцем и составило 18,51%. В российской вирусной двадцатке традиционно первое и второе место занимают версии червя Win32/Conficker.AA (7,68%) и Win32/Conficker.AE (4,68%) соответственно. 

Другой мировой тенденцией, отмеченной в сентябре, стало сокращение вредоносного ПО для онлайн-игр, например, для Second Life. Несмотря на это, процент заражений все еще достаточно высок – 6,36%. Трояны-кейлогеры семейства Win32/PSW.OnLineGames занимают третье место в мировом вирусном рейтинге. 

В сентябре широкое распространение получили программы семейства Win32/Agent, используемые злоумышленниками для кражи информации с инфицированных компьютеров. Процент заражений составил 3,46%. Данное ПО стало угрозой номер один в Дании (3,32%), большое количество инфицированных компьютеров также было отмечено в Швеции (2,75%) и в России (3,74%). 

В целом, сентябрьская двадцатка самых распространенных угроз в России выглядит следующим образом: 
Win32/Conficker.AA 7,68% 
Win32/Conficker.AE 4,68% 
INF/Autorun 4,35% 
Win32/Agent 3,74% 
Win32/Spy.Ursnif.A 3,44% 
INF/Conficker 2,88% 
INF/Autorun.gen 2,81% 
Win32/Conficker.Gen 1,78% 
Win32/Qhost 1,59% 
Win32/Conficker.X 1,54% 
Win32/Genetik 1,31% 
Win32/Tifaut.C 1,31% 
Win32/AutoRun.KS 1,21% 
Win32/Induc.A 1,09% 
Win32/AutoRun.FakeAlert.M 0,98% 
Win32/Conficker.AB 0,96% 
Win32/Conficker.AL 0,90% 
Win32/Conficker.Gen~alg 0,87% 
Win32/Sality~alg 0,81% 
Win32/IRCBot.AMC 0,73%

В свою очередь, сентябрьская десятка самых распространенных угроз в мире включает: 
Win32/Conficker 8,76% 
INF/Autorun 7,53% 
Win32/PSW.OnLineGames 6,36% 
Win32/Agent 3,46% 
INF/Conficker 1,99% 
Win32/Qhost 1,42% 
Win32/Pacex 1,34% 
Win32/TrojanDownloader.Swizzor 1,13% 
Win32/Autorun 0,78% 
WMA/TrojanDownloader.GetCodec 0,77%

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Аффилиат Darkside заразил сайт вендора охранных систем видеонаблюдения

Группа хакеров, состоявшая в партнерских отношениях с владельцами шифровальщика Darkside, взломала сайт поставщика IP-камер и внесла вредоносный код в два программных пакета, предлагаемых для скачивания. Атаку на цепочку поставок удалось обнаружить и пресечь благодаря оперативности одной из жертв заражения, призвавшей на помощь сторонних специалистов.

Как оказалось, хакеры проникли в ее сеть с помощью вредоносной версии Windows-приложения SmartPSS (предназначено для работы с камерами Dahua). Зловреда 18 мая загрузил с легитимного сайта один из сотрудников пострадавшей компании. Выявив источник, исследователи из Mandiant уведомили вендора о взломе, и сайт уже очистили от инфекции.

Троянизированный инсталлятор установил в систему бэкдор, который эксперты идентифицировали как SMOKEDHAM. Наличие этого выполняемого в памяти зловреда позволило определить авторов атаки: SMOKEDHAM использует единственная ОПГ — в Mandiant ей присвоили кодовое имя UNC2465.

Обеспечив себе точку входа в сеть, злоумышленники закрепились в системе, загрузив с помощью бэкдора легитимную утилиту NGROK. (Эта программа позволяет создавать туннели для интернет-доступа к локальным серверам, размещенным за NAT.).

Через пять дней они пустили в ход дополнительные инструменты: кейлоггер, Cobalt Strike, а также собрали логины и пароли локальных пользователей, сделав дампы памяти lsass.exe. Добыв нужную информацию, взломщики начали продвигаться вширь по сети, используя RDP.

 

Группировка UNC2465 — один из нескольких постоянных клиентов Darkside-сервиса, которых в Mandiant различают по номерам. Такие партнеры обычно взламывают сеть, а затем запускают в нее арендованного шифровальщика, делясь выручкой от его работы с владельцами зловреда.

После закрытия этого одиозного предприятия его клиентура осталась без основного орудия выколачивания денег и начала искать альтернативы. Не исключено, что в ближайшем будущем UNC2465 найдет замену Darkside и возобновит сбор дани с жертв взлома.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru