Zestawienie aktywności wirusów - czerwiec 2015

2 lipca 2015, Warszawa

Czerwiec 2015 okazał się dość interesujący w obszarze bezpieczeństwa informacji. Na przykład analitycy bezpieczeństwa Doctor Web wykryli wiele ataków hakerskich na strony www różnych organizacji, włączając Rosyjskie Centrum Badania Opinii Publicznej (VCIOM). Co więcej, w czerwcu doszło do szerokiego rozpowszechnienia się nowych złośliwych programów dla Windows, OS X i Androida.

Zagrożenie miesiąca

Na początku czerwca 2015 analitycy Doctor Web wykryli nowego trojana nazwanego Trojan.Proxy.27552 , zaprojektowanego do wysyłania wiadomości typu spam. Trojan ten ma kilka osobliwych cech, m.in. może wywołać BSOD (“Blue Screen of Death”) tuż po rozpoczęciu procesu instalacji. Inna funkcja Trojan.Proxy.27552 polega na tym, że zapisuje on swoją listę adresów serwerów kontrolno-zarządzających w rejestrze systemu Windows.

Głównym celem Trojan.Proxy.27552 jest wysyłanie wiadomości typu SPAM razem ze zdalnym serwerem spamu. Warte uwagi jest to, że linki z wiadomości wysyłanych przez trojana kierują użytkowników na zhakowane strony www.

Zagrożenia czerwca 2015 według statystyk Dr.Web CureIt!

• Trojan.DownLoader13.34458

  Trojan potrafiący pobierać z Internetu inne złośliwe oprogramowanie i instalować je na zainfekowanym komputerze.

• Trojan.Yontoo

  Wtyczki do przeglądarek wyświetlające reklamy na stronach www.

• Trojan.Click

  Złośliwe programy zaprojektowane do generowania ruchu dla stron www poprzez przekierowywanie użytkowników na odpowiednie witryny.

• Trojan.LoadMoney

  Rodzina trojanów typu downloader generowana przez serwery przynależne do programu partnerskiego LoadMoney. Te aplikacje pobierają i instalują w zainfekowanym systemie niechciane programy.

• Trojan.Siggen6.33552

  Złośliwy program zaprojektowany do instalowania innego malware.

Zagrożenia czerwca 2015 według danych z serwerów statystyk

• Trojan.DownLoader13.34458

  Trojan potrafiący pobierać z Internetu inne złośliwe oprogramowanie i instalować je na zainfekowanym komputerze.

• Trojan.Siggen6.33552

  Ten złośliwy program został zaprojektowany do instalacji innego malware.

• Trojan.InstallCube

  Rodzina programów typu downloader zaprojektowanych do instalowania niechcianych i bezużytecznych aplikacji na komputerze użytkownika.

• Trojan.Installmonster

  Rodzina złośliwych programów stworzonych w ramach programu partnerskiego Installmonster. Te aplikacje pobierają i instalują w zainfekowanych komputerach niechciane programy.

Najpopularniejsze złośliwe programy wykrywane w ruchu pocztowym

• Trojan.Oficla

  Rodzina trojanów dystrybuowana głównie poprzez wiadomości e-mail. Gdy któryś z tych trojanów zainfekuje system, ukrywa swoją dalszą aktywność. Trojan.Oficla podłącza komputer do botnetu, który pozwala cyberprzestępcom na ładowanie na zaatakowaną maszynę innego złośliwego oprogramowania. Gdy system zostanie zainfekowany, cyberprzestępcy kontrolujący botnet uzyskują kontrolę nad komputerem ofiary. Stają się zdolni m.in. do ładowania, instalowania i używania dowolnie wybranego złośliwego oprogramowania.

• Trojan.DownLoader13.34458

  Trojan potrafiący ładować z Internetu inne złośliwe programy i instalować je na zainfekowanym komputerze.

• Worm.Siggen.12176

  Robak dystrybuowany głównie w wiadomościach e-mail z załącznikami.

• W97M.DownLoader.423

  Złośliwy program dystrybuowany głównie poprzez wiadomości e-mail z załączonymi dokumentami Microsoft Word. Zaprojektowany do pobierania na zaatakowany komputer innego malware.

• Trojan.Upatre

  Rodzina Trojanów, która w ukryciu pobiera i instaluje na zainfekowanym komputerze inne złośliwe aplikacje.

Botnety

Analitycy bezpieczeństwa Doctor Web kontynuują monitorowanie kilku aktywnych botnetów. Wśród nich znajduje się botnet stworzony przez cyberprzestępców z użyciem infektora plików Win32.Rmnet.12.

Rmnet to rodzina wirusów rozpowszechniających się bez interwencji użytkownika. Mogą one wbudowywać zawartość w załadowane strony www (co teoretycznie daje cyberprzestępcom możliwość uzyskania dostępu do informacji o kontach bankowych ofiar) jak i wykradać ciasteczka i hasła zapisane w popularnych klientach FTP i wykonywać inne polecenia wydawane przez cyberprzestępców.

Botnet składający się z komputerów zainfekowanych wirusem plikowym Win32.Sector wciąż pozostaje aktywny.

Ten złośliwy program potrafi wykonywać następujące działania:

• pobierać pliki wykonywalne poprzez sieć P2P i uruchamiać je na zainfekowanych maszynach.
• wstrzykiwać swój kod w działające procesy.
• zapobiegać działaniu niektórych antywirusów i blokować dostęp do stron www ich producentów.
• infekować pliki na dyskach lokalnych, nośnikach wymiennych (gdzie malware tworzy podczas procesu infekcji plik autorun.inf) i w folderach współdzielonych.

W czerwcu zmalały ataki na zasoby Internetu z użyciem Linux.BackDoor.Gates.5. W porównaniu z poprzednim miesiącem liczba zaatakowanych adresów IP zmniejszyła się o 76,6% i wyniosła 1284. Cyberprzestępcy zmienili również cel swoich ataków. Tym samym Kanada stała się krajem prowadzącym w liczbie zaatakowanych zasobów, podczas gdy Chiny i Stany Zjednoczone zajęły odpowiednio drugie i trzecie miejsce.

Oprogramowanie szyfrujące i wymuszające okup

Liczba zgłoszeń z prośbą o rozszyfrowanie plików otrzymana przez serwis wsparcia technicznego Doctor Web wyniosła w czerwcu 2015 1417 przypadków, co stanowi wzrost o 18% w stosunku do maja, w którym odnotowano 1200 takich zgłoszeń.

Najpopularniejsze ransomware w czerwcu 2015 to:

• Trojan.Encoder.858
• Trojan.Encoder.567
• BAT.Encoder

Dr.Web Security Space 10.0 dla Windows
chroni przed programami szyfrującymi i żądającymi okupu

Ta funkcja nie jest dostępna w podstawowym Antywirusie Dr.Web dla Windows

Ochrona zapobiegawcza:	Zapobieganie Utracie Danych:

Mac OS X

Programy reklamowe i instalatory niechcianych aplikacji stały się najczęściej dystrybuowanymi złośliwymi programami wymierzonymi w Mac OS X. W czerwcu do baz wirusów Dr.Web dodano malware tego typu o nazwie Adware.Mac.MacInst.1.

Kiedy Adware.Mac.MacInst.1 jest uruchamiany, wyświetla okno dialogowe z informacją o pliku, który ma zostać pobrany przez użytkownika.

Po kliknięciu przycisku “Next”, malware wyświetla umowę współpracy informując użytkownika o tym, że oprócz pliku zostaną zainstalowane dodatkowo inne komponenty.

Wśród tych komponentów znajduje się program wykrywany przez Dr.Web jako Trojan.VIndinstaller.3. Natomiast ta aplikacja instaluje złośliwe wtyczki dla Safari, Firefox i Chrome, które są wykrywane jako trojany należące do rodziny Trojan.Crossrider. Więcej na ten temat tutaj.

• Więcej na temat złośliwych programów dla OS X!

Niebezpieczne strony www

W czerwcu 2015 kilka stron z oficjalnej witryny rosyjskiego Centrum Badania Opinii Publicznej (VCIOM) zostało tymczasowo dodanych do baz wirusów Dr.Web jako zasoby internetowe dystrybuujące złośliwe oprogramowanie. Zarówno rosyjska (wciom.ru) jak i angielska (wciom.com) wersja serwisu VCIOM zostały zhakowane przez cyberprzestępców. Na zaatakowanym serwerze hakerzy stworzyli specjalną sekcję, na której umieścili kilka stron www o najczęściej wyszukiwanych tytułach. Strony te zawierały link służący do pobrania pliku wykrywanego przez programy Dr.Web jako malware należące do rodziny Trojan.DownLoader. Używając tego downloadera, cyberprzestępcy byli zdolni do instalowania na zaatakowanych komputerach "aplikacji górniczej" i innych złośliwych programów. Dziesiątki tysięcy użytkowników stało się ofiarami tego fałszywego systemu.

W ciągu czerwca 2015 do bazy wirusów Dr.Web dodano 978982 adresów URL niezalecanych stron www. W maju takich wpisów przybyło 221346, więc nastąpił wzrost o 342,28%.

Złośliwe i niechciane programy dla Androida

W czerwcu cyberprzestępcy kontynuowali ataki na użytkowników urządzeń z systemem Android. Co więcej, wiele nowych niechcianych i złośliwych aplikacji dla wymienionego systemu operacyjnego zostało wykrytych w tym czasie przez analityków bezpieczeństwa Doctor Web. Spośród najbardziej zauważalnych wydarzeń można wymienić:

• ataki przeprowadzane z użyciem różnych trojanów bankowych, mające na celu wykradanie pieniędzy z kont bankowych posiadaczy urządzeń z Androidem
• pojawienie się nowego ransomware dla Androida
• nowe przypadki trojanów typu downloader stosowanych przez cyberprzestępców do dystrybucji złośliwego oprogramowania
• wzrastającą liczbę trojanów SMS