Спам в сентябре 2008

"Лаборатория Касперского", ведущий производитель систем защиты от вредоносного и нежелательного ПО, хакерских атак и спама, представляет очередной отчет по спам-активности за прошедший месяц.

Доля спама в почтовом трафике по сравнению с августом повысилась на 1,9% и составила в среднем 82,2%. Самый низкий показатель отмечен 15 сентября – 71,6%, больше всего спама зафиксировано 13 числа – 95%. Доля графического спама осталась неизменной в сравнении с прошлыми месяцами - 9%.

Вредоносные файлы содержались в 1,09% всех почтовых сообщений - это на 3% больше, чем в прошлом месяце. Ссылки на фишинговые сайты находились в 0,62% всех электронных писем. Самыми атакуемыми со стороны фишеров организациями стали платежная система PayPal, на которую было нацелено 36% всех фишинговых атак, и интернет-аукцион eBay (18%). Российские фишеры продолжали атаковать пользователей популярных сервисов Рунета – почтовых систем Mail.ru, Rambler и платежной системы "Яндекс.Деньги".

Пятерку лидирующих спам-тематик в сентябре составили рубрики "Спам для взрослых" (28%), "Медикаменты; товары и услуги для здоровья" (19%), "Образование" (12%), "Реплики элитных товаров" (6%), "Отдых и путешествия" (6%).

Тематика "Медикаменты; товары и услуги для здоровья", которая возглавляла рейтинг с апреля 2007 года, уступила первое место рубрике "Спам для взрослых", вырвавшейся вперед со значительным отрывом в 9%. В этой рубрике подавляющее большинство писем представляет собой русскоязычную рекламу порносайтов. В последнее время рассылка порноспама проводится настолько агрессивно, что он может составлять более половины всех писем, приходящих на адреса, попавшие в спамерские базы.

Спам продолжают использовать как инструмент черного PR. Инициаторы рассылок, якобы желая предупредить получателей о ненадежности компрометируемого объекта, пытаются распространить информацию о не угодивших им чем-либо людях или организациях. Начавшись в середине лета, поток подобных посланий не иссякает, что вынуждает еще раз напомнить: доверяя информации в спамовых письмах, человек позволяет совершенно неизвестным людям влиять на собственное мнение.

В сентябре спамеры не придумали никаких принципиально новых технических приемов. Чтобы "спрятать" рекламные тексты при контекстной фильтрации они использовали html-теги, "невидимый" текст (белые буквы на белом фоне), а в рассылках с рекламой сайтов для взрослых «рисовали» адреса рекламируемых сайтов с помощью различных символов, написанных через определенное количество пробелов и абзацев.

Чтобы привлечь внимание получателей к своим сообщениям и добиться доверия к содержанию письма со стороны пользователей, спамеры активно используют методы социальной инженерии. Особенно активно - при распространении вредоносных программ. В сентябре в одной из рассылок пользователям предлагалось скачать новый антивирус, который якобы рассылался для тестирования на 100 случайно выбранных адресов. В письме содержалась рекомендация отключить антивирусную защиту компьютера перед загрузкой "Antivirus Raptor". На самом деле при попытке скачать новое средство для борьбы с вредоносными объектами на компьютер начинала загружаться вредоносная программа Trojan-PSW.Win32.LdPinch.

Еще в одном письме, разосланном от имени соскучившегося по однокашникам бывшего студента, предлагалось посмотреть вложенный в письмо полный список выпускников. Однако вместо перечня экс-студентов вложение содержало вредоносную программу Trojan-Dropper.MSWord.1Table.gm.

В сентябре одним из характерных спамерских приемов стала рассылка писем-подделок, имитирующих легитимные сообщения с популярных сетевых ресурсов. Большая часть писем-имитаций рассылалась в ходе фишинг-атак, однако использовали такой прием не только фишеры, но и мошенники, которые в очередной раз пытались выманить у пользователей деньги с помощью платных SMS, отправленных на короткие номера.

В некоторых случаях спамеры прибегали к маскировке своих посланий под автоответы почтовых роботов. А письма "для взрослых" часто маскировались под приглашения с сайтов или личные сообщения.

Методы социальной инженерии спамеры используют умело, поэтому прежде, чем откликнуться на спамерское предложение, стоит «семь раз отмерить» последствия такого отклика.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

11-летняя уязвимость в Linux-команде wall позволяла утащить sudo-пароли

Последние 11 лет в команде «wall» пакета «util-linux», являющегося частью операционной системы Linux, присутствовала уязвимость, позволяющая атакующему без высоких прав утащить пароли пользователя или изменить содержимое буфера обмена.

Проблему отслеживают под идентификатором CVE-2024-28085, эксперты дали ей имя WallEscape. Согласно описанию, брешь можно найти во всех версиях пакета за последние 11 лет, вплоть до выпущенной на днях 2.40.

К счастью, эксплуатация бага возможна только при определённых сценариях, однако она демонстрирует незаурядный способ кражи учётных данных целевого пользователя.

У атакующего должен быть доступ к Linux-серверу, на котором уже сидят несколько юзеров, подключившись в терминале. Такое бывает, например, когда студенты выполняют задания в режиме онлайн.

На WallEscape указал исследователь в области кибербезопасности Скайлер Ферранте (TXT). По его словам, это проблема некорректной нейтрализации escape-последовательностей команды «wall».

Это команда используется в Linux для передачи сообщений на терминалы всех пользователей, вошедших в одну систему (например, тот же сервер). Из-за некорректной фильтрации при обработке ввода неаутентифицированный злоумышленник может использовать escape-символы для создания фейкового запроса SUDO.

Если целевой пользователь клюнет на уловку и введёт пароль в запрос, атакующий спокойно получит его. Следует учитывать, что эксплуатация возможна только в том случае, если утилита «mesg» активна и у команды «wall» есть права на setgid.

Код демонстрационного эксплойта доступен на GitHub. Чтобы устранить уязвимость, администраторам достаточно забрать права на setgid у команды «wall» или же урезать функциональность передачи сообщений в терминал (использовать флаг «n» с командой «mesg»).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru