В последний летний месяц 2012 года, как и ожидалось, произошла заметная активизация вирусописателей и сетевых мошенников.
В середине августа была зафиксирована, пожалуй, крупнейшая за минувшее полугодие волна взломов веб-сайтов в Рунете с целью распространения вредоносного ПО для мобильных устройств. В распространении опасных троянцев, таких как Trojan.Mayachok.1, были уличены и создатели платных архивов. Число новых угроз, обнаруженных специалистами компании «Доктор Веб», по сравнению с июлем 2012 года несколько возросло.
По данным статистики, собранной с использованием лечащей утилиты Dr.Web CureIt! в августе 2012 года, наиболее распространенной вредоносной программой на компьютерах пользователей по-прежнему является Trojan.Mayachok.1, однако количество обнаруженных экземпляров троянца по сравнению с предыдущим месяцем выросло на 6,5%. Этот рост можно, в частности, связать с тем, что Trojan.Mayachok.1 начали активно распространять создатели платных архивов, детектируемых антивирусным ПО Dr.Web как Trojan.SMSSend. Компания «Доктор Веб» уже сообщала об этом в одной из новостных публикаций. В статистических сводках Trojan.Mayachok.1 уверенно и с большим отрывом занимает лидирующую позицию, в то время как на втором месте разместился троянец-бэкдор BackDoor.Butirat.91 — эта программа способна выполнять поступающие с удаленного сервера команды, а также загружать и запускать на инфицированном ПК различные файлы. Для сравнения: число обнаружений этой угрозы на 87,1% меньше по отношению к количеству выявленных экземпляров Trojan.Mayachok.1. В то же время общее количество компьютеров, инфицированных BackDoor.Butirat.91, за истекший месяц выросло на 41,8%.
Число обнаруженных на инфицированных компьютерах экземпляров вредоносных программ семейства Trojan.SMSSend осталось практически на прежнем уровне, однако следует обратить внимание на тот факт, что если ранее данную категорию троянцев можно было назвать относительно «безобидной», то с недавнего времени они стали представлять значительную опасность для пользователей. Напомним, что к семейству Trojan.SMSSend относятся архивы, максимально правдоподобно имитирующие программу установки различных популярных приложений. При открытии такого архива пользователю предлагается либо отправить на короткий номер платное СМС-сообщение, либо указать собственный мобильный телефон и ввести в специальное поле код, полученный в ответном СМС, подписавшись таким образом на какую-нибудь ненужную услугу с абонентской платой. Внутри архива, как правило, оказывается какой-либо бесполезный «мусор», иными словами, жертва не получает того, за что заплатила деньги.
Однако количество доверчивых пользователей Интернета, по всей видимости, стало понемногу снижаться, и прибыль от «бизнеса на платных архивах» пошла на убыль. Иначе трудно объяснить то обстоятельство, что создатели одной из партнерских программ по распространению платных архивов — ZIPPRO — сначала стали устанавливать на компьютеры скачавших архив пользователей тулбар «Спутник@Mail.Ru» и браузер «Интернет@Mail.ru», а позже специалисты «Доктор Веб» обнаружили в комплекте устанавливаемых жертве приложений еще и троянца Trojan.Mayachok.1. Основная опасность таких архивов заключается в том, что заражение другими вредоносными программами может произойти уже в момент запуска подобного приложения, даже если пользователь сразу закроет окно платного архива. Подробнее об этом вы можете прочитать в нашем новостном материале.
Наиболее популярные вредоносные программы, обнаруженные на компьютерах пользователей в августе с использованием лечащей утилиты Dr.Web CureIt!, перечислены в представленной ниже таблице:
# Имя угрозы Класс угрозы Кол-во обнаружений %%
1 Trojan.Mayachok.1 virus 74701 6,90%
2 BackDoor.Butirat.91 virus 9667 0,89%
3 Trojan.SMSSend.2363 virus 5667 0,52%
4 Trojan.Carberp.30 virus 5421 0,50%
5 Trojan.Hosts.5940 virus 4025 0,37%
6 Trojan.Fraudster.292 virus 3772 0,35%
7 Win32.HLLW.Gavir.ini virus 3458 0,32%
8 BackDoor.Ddoser.131 virus 3180 0,29%
9 Win32.HLLP.Neshta virus 2941 0,27%
10 Win32.HLLM.Reset.395 virus 2580 0,24%
Среди угроз, выявленных в течение месяца в почтовом трафике, лидирует бэкдор BackDoor.Andromeda.22. Вторую и третью позицию занимают троянцы Trojan.Oficla.zip и Trojan.Necurs.21, не менее активно распространяются по электронной почте черви Win32.HLLM.MyDoom.54464, Win32.HLLM.MyDoom.33808 и Win32.HLLM.Netsky.35328.
Несмотря на то, что с момента обнаружения крупнейшей в истории бот-сети Backdoor.Flashback.39, состоящей из инфицированных «маков», прошло уже более четырех месяцев, говорить об исчезновении этого ботнета пока еще преждевременно. На текущий момент объем бот-сети составляет 126781 зараженная машина, что на 21711 единиц меньше, чем в конце прошлого месяца. В целом темпы сокращения численности ботнета Backdoor.Flashback.39 заметно снизились (в прошлом месяце вредоносная сеть уменьшилась на 76524 машины).
Численность ботнета Win32.Rmnet.12 в течение августа перевалила за четыре миллиона и составила 4351349 инфицированных компьютеров. Можно сказать, что увеличение популяции данного весьма опасного файлового вируса продвигается прежними темпами: если в июле прирост вредоносной сети составил 480 с лишним тысяч инфицированных рабочих станций, то в августе к бот-сети присоединилось еще порядка 500 тысяч зараженных узлов. Динамика изменения численности ботнета Win32.Rmnet.12 показана на представленном ниже графике:
Напомним, что наибольшую угрозу данный файловый вирус представляет в первую очередь для жителей стран Юго-Восточной Азии: наибольшее число заражений приходится на долю таких государств, как Индонезия, Бангладеш, Вьетнам и Индия. На территории России сегодня выявлено 105268 инфицированных машин, что составляет 2,4% от общего количества зараженных компьютеров.
Понемногу увеличивается и численность «родственного» ботнета Win32.Rmnet.16, правда, как и прежде, не столь высокими темпами. Так, в течение августа к этой бот-сети присоединилось порядка 67 000 инфицированных ПК, в то время как ее общая численность составила 222300 узлов. Среднесуточный прирост ботнета составил примерно 1,5–2 тысячи зараженных узлов, однако к концу месяца резко сократился. График изменения количества компьютеров, инфицированных файловым вирусом Win32.Rmnet.16, показан ниже.
Напомним, что Win32.Rmnet.16 по функциональным возможностям очень похож на своего «собрата» Win32.Rmnet.12, однако имеет и ряд существенных различий. Так, Win32.Rmnet.16 использует цифровую подпись, которой подписывается IP-адрес управляющего сервера, а адреса самих командных центров генерируются по специальному алгоритму. Вирус способен обрабатывать поступающие от удаленного центра директивы, в частности, команды на скачивание и запуск произвольного файла, обновление вируса, создание и отправку злоумышленникам снимка экрана и даже команду уничтожения операционной системы. Помимо этого, Win32.Rmnet.16 умеет «убивать» процессы большинства наиболее распространенных антивирусных программ, что само по себе является дополнительным фактором, свидетельствующим об опасности данной вредоносной программы.
Географически вирус наиболее распространен на территории Великобритании (72,1%) и Австралии (24,9%), в границах России Win32.Rmnet.16 распространения практически не имеет. Основные государства, пострадавшие от действия вируса Win32.Rmnet.16, обозначены на представленной ниже карте.
В 20-х числах августа компания FireEye, а вслед за ней и другие разработчики антивирусного ПО сообщили об обнаружении критической уязвимости Java Runtime Environment версий 1.7x, названной CVE-2012-4681. Первые заметки о данной уязвимости были опубликованы 26 августа, а уже на следующий день уязвимость CVE-2012-4681 успела попасть в активно распространяемый среди злоумышленников пакет эксплойтов BlackHole Exploit Кit. Разработчик JRE, компания Oracle, выпустила соответствующее обновление безопасности 30 августа, следовательно, пользователи Java оставались беззащитны перед злоумышленниками как минимум в течение четырех суток.
