Google: схема pay-per-install представляет серьезную угрозу

Google: схема pay-per-install представляет серьезную угрозу

Google: схема pay-per-install представляет серьезную угрозу

Загрузив однажды бесплатное программное обеспечение, вы, возможно, обнаружили, что вместе с ним параллельно установились различные нежелательные программы, например, перенаправляющие поисковые запросы вашего браузера, или вставляющие рекламу в страницы.

Эта схема называется pay-per-install (PPI) и Google, совместно с International Computer Science Institute, провели год, исследуя этот рынок. Результаты своих исследований они опубликовали в статье на этой неделе.

Исследователи обнаружили, что проблема PPI в три раза больше, чем проблема вредоносных программ - не менее 60 миллионов загрузок каждую неделю. Эксперты говорят, что это представляет "серьезную угрозу безопасности". По их оценкам, были затронуты целых пять процентов всех браузеров.

Почему это представляет собой большую проблему? На это есть две причины. Во-первых, это не является незаконным. Компании, которые хотят, чтобы их программное обеспечение распространилось на миллионы людей, платят, чтобы связать свое ПО с легальным, которое пользователи потом загружают и устанавливают.

Хотя это и находится на грани законных действий, но тот факт, что некоторые крупнейшие компании, в том числе Skype и Opera, используют этот метод, чтобы распространять свое программное обеспечение, является свидетельством того, что это не является преступлением.

Вторая причина, почему схема PPI так широко распространена – деньги. Эксперты отмечают, что наблюдая за одной из крупных PPI-точек, они выяснили, что их доходы в 2014 году составили 460 миллионов долларов. С такими суммами неудивительно, что к этой схеме очень большой интерес.

Также экспертами отмечаются утонченность и технические ноу-хау: различные вариации в программном обеспечении, учитывающие различные операционные системы, авторы PPI хранят до 50 различных предложений и подбирают именно те, которые лучше подойдут для вашей конкретной системы.

Некоторое ПО может выжидать 20 дней, прежде чем активироваться. Из-за этого пользователь может не сразу связать появление назойливой рекламы с недавней установкой бесплатной программы.

Команда нашла в общей сложности 15 PPI партнерских сетей, разбросанных по всему земному шару, обеспечивающих 160 семейств ПО.

Несмотря на многие усилия, призванные предотвращать подобные загрузки, у PPI-сетей есть много способов обойти их. Эксперты обнаружили, что каждые семь часов они меняют домены, чтобы обойти блокировки. Также у них есть технология, позволяющая обойти различные фильтры и сканеры вирусов.

Команда исследователей отметила, что 59% такого программного обеспечения были отмечены антивирусами как «нежелательное ПО», что означает, что к более чем 40% у антивирусов претензий нет.

Что же касается мест, где вы сможете загрузить такое ПО, то в основном оно находится на бесплатных или условно-бесплатных сайтах, сайтах, предлагающих видеоигры, онлайн-видео, взломанное программное обеспечение и тому подобных источниках.

Проше говоря, если вы бесплатно скачиваете что-то, за что должны были заплатить, то, скорее всего, вам придется столкнуться с тем, что вместе с желаемой программой вам подсунут много нежелательных.

«PPI-сети действовали с полной безнаказанностью по отношению к интересам пользователей, опираясь на пользовательское соглашение, чтобы оправдать свои действия» - говорится в докладе экспертов – «Мы надеемся, что путем документирования такого поведения сообщество безопасности расценит нежелательное программное обеспечение как серьезную угрозу».

В связи с этим, Google отметили, что постоянно совершенствуют свои функции «безопасного просмотра» и пытается блокировать подобного рода загрузки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новый ботнет использует утилиту hping3 для проведения DDoS-атак

В интернете объявился новый, активно развиваемый DDoS-зловред. Проведенный в NSFOCUS анализ показал, что новобранец, нареченный hpingbot, написан с нуля на Go и нацелен на платформы Windows и Linux/IoT.

Обнаруженный в прошлом месяце троян (результат VirusTotal на 4 июля — 13/72) также поддерживает множество архитектур CPU, включая amd64, mips, arm и 80386. В настоящее время в состав созданного на его основе ботнета входят немногим более 14,6 тыс. зараженных устройств.

Для своей работы hpingbot использует совсем другие ресурсы, нежели многочисленные производные Mirai и Gafgyt: прячет полезную нагрузку на Pastebin, а DDoS-атаки проводит с помощью hping3 — бесплатного инструмента диагностики сетей, похожего на ICMP ping.

Подобный подход не только повышает шансы зловреда на сокрытие от обнаружения, но также значительно снижает стоимость его разработки и операционные расходы.

Ссылки на Pastebin жестко прописаны в коде hpingbot. Отдаваемый с сайта пейлоад (IP-адреса C2, скрипты для загрузки дополнительных компонентов) часто сменяется.

Из техник DDoS вредоносу подвластен флуд — SYN, TCP, ACK, UDP и многовекторный. Примечательно, что Windows-версия трояна не способна оперировать hping3 из-за ограничений по внешним условиям, она в основном заточена под загрузку и запуск дополнительных модулей.

Из последних был выявлен написанный на Go генератор DDoS-флуда (UDP и TCP), который с 19 июня загружается на ботнет для тестирования. Он связан с теми же C2, но не имеет доступа к Pastebin, не вызывает hping3 и не умеет обновляться.

Распространяется hpingbot через брутфорс SSH, используя специальный модуль. Закрепиться в системе зловреду помогают Systemd, SysVinit и Cron, после выполнения своих задач он удаляет свои файлы и подчищает логи.

Зафиксированные DDoS-атаки с ботнета пока немногочисленны — по всей видимости, операторы пока сосредоточены на наращивании потенциала.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru