О вирусах
Весьма заметным событием на вирусном фронте в июне можно считать нарастающее распространение опасного файлового вируса Win32.Sector.5 (в классификации некоторых антивирусных вендоров — Sality). Количество обращений администраторов компаний, пострадавших от действия этого вируса, в службу технической поддержки компании «Доктор Веб» на протяжении июня, позволяет говорить о настоящей эпидемии. По свидетельству пострадавших, проблемы с данной модификацией семейства Sector начались ещё в феврале 2008 года. В нынешнем месяце эпидемия приняла катастрофические размеры, и масштабы её впечатляют. Среди пострадавших — банки, аудиторские компании, торговые сети, разработчики ПО, инжиниринговые компании, НИИ, учреждения культуры федерального статуса.
Первые экземпляры семейства Sector появились в начале 2003 года. За пять лет вирус эволюционировал, сохранив свои вредоносные качества и добавив к ним новые. От версии к версии вирус становился всё более «молчаливым», не стремясь сообщать жертвам о своём присутствии. Специалисты антивирусной лаборатории компании «Доктор Веб» считают данную трансформацию вируса свидетельством использования его для сокрытия иных, не столь изощрённых, но не менее вредоносных программ, создаваемых для хищения конфиденциальной информации и проведения спам-атак.
Поселившись в системе, Win32.Sector.5 внедряет свой код в память всех активных процессов, удаляет некоторые ветки реестра, после этого загрузка в «Безопасном режиме» становится невозможной. Далее, он заражает файлы с расширением .exe и .scr на всех доступных дисках и сетевых ресурсах. Для ускорения распространения заражает файлы, прописанные в автозагрузку, и файлы, наиболее часто запускаемые в системе. Вдобавок, Win32.Sector.5, удаляет файлы и процессы, относящиеся к действию большинства антивирусных программ, а также блокирует доступ к сайтам этих компаний, что делает невозможным скачивание обновлений. В отличие от других антивирусных программ, которые либо блокируют доступ к заражённому файлу, либо удаляют его, антивирус Dr.Web корректно лечит файлы, инфицированные Win32.Sector.5. Для пользователей антивируса Dr.Web, регулярно обновляющих вирусные базы, данный вирус не представляет угрозы. Если на Вашем ПК установлен другой антивирус, но Вы полагаете, что Ваш компьютер может быть инфицирован Win32.Sector.5, рекомендуем проверить чистоту ПК, скачав бесплатную лечащую утилиту Dr.Web CureIt! и запустив её на исполнение.
О троянских программах
В начале июня интернет-общественность была взбудоражена сообщениями о появлении новой модификации троянской программы семейства Encoder — Trojan.Encoder.18 в классификации Dr.Web (некоторые другие антивирусные вендоры назвали его Gpcode). Проникнув в систему, троянец осуществляет поиск файлов с определёнными расширениями (в основном, документов Microsoft Office) и шифрует содержащиеся в них данные, после чего требует от их владельца денежные средства за дешифровку. В случае с данным троянцем восстановление таких данных представляет большую сложность, т.к. вирусописателем был применён ключ шифрования длиной 1024 бита.
Пользователи антивируса Dr.Web были надёжно защищены от Trojan.Encoder.18, т.к. ещё до обнаружения образца этой модификации службой вирусного мониторинга компании «Доктор Веб» данный вирус определялся как Trojan.Sespy.origin благодаря использованию в Dr.Web уникальной технологии несигнатурного обнаружения вредоносных объектов Dr.Web Origins Tracing™.
Подобное развитие событий можно было предугадать ещё в прошлом году, когда автор Trojan.Encoder использовал более короткие ключи шифрования. Некоторые антивирусные компании воспользовались не самыми умелыми действиями вирусописателя для пира своих возможностей по дешифровке файлов данных. Однако ясно было, что в подобной гонке победа не будет за антивирусными компаниями — рано или поздно, должен был появиться достаточно длинный ключ, «взлом» которого в разумные сроки не был бы возможным. Специалисты компании «Доктор Веб» видели свою задачу в превентивном обнаружении потенциально опасной программы, чтобы не дать ей возможность выполнить свою деструктивную функцию. Как показала практика, это гораздо эффективнее, чем мобилизация мирового сообщества для «взлома» килобитных ключей RSA.
О курьёзном
К числу курьёзных происшествий можно отнести панику, поднятую 22 июня пользователями популярной программы для мгновенного общения ICQ из-за появления в списке их контактов якобы «вирусного» контакта с номером 12111. Служба технической поддержки компания «Доктор Веб» получила множество запросов пользователей, обеспокоенных появлением этого контакта, хотя контакт вирусом быть не может. Страсти утихли только тогда, когда появление 12111 было объяснено на сайте самой ICQ.
О спаме
В июне характерно проявилась тенденция минимизации размера спам-писем. Было отмечено более десятка спам-волн, в которых рассылаемое письмо состояло из броского заголовка, призванного привлечь внимание получателя, а в теле письма находились ссылка на веб-сайт и несколько слов комментариев. Отсылка пользователей к веб-сайтам в последнее время становится всё более распространённым способом, используемым спамерами для обхода спам-фильтров. Следует обратить внимание, что этот способ таит ещё одну опасность — ссылки часто могут вести на заражённую веб-страницу, посетив которую пользователь рискует получить себе на компьютер троянскую программу. Об одной из таких рассылок наша компания сообщала в прошедшем месяце. Службой вирусного мониторинга было зафиксировано более 50 подобных спам-рассылок, многие из которых были довольно продолжительными по времени.
Вирусная двадцатка июня — AV-Desk
| 01.06.2008 00:00 — 01.07.2008 00:00 | ||
| 1 | Trojan.Starter.516 | 601730 (28.08%) |
| 2 | Win32.HLLM.Generic.440 | 241884 (11.29%) |
| 3 | Win32.HLLW.Gavir.ini | 220720 (10.30%) |
| 4 | BackDoor.Bulknet.214 | 142402 (6.65%) |
| 5 | BackDoor.Aimbot | 133710 (6.24%) |
| 6 | Trojan.NtRootKit.425 | 127033 (5.93%) |
| 7 | Adware.SaveNow.128 | 46982 (2.19%) |
| 8 | Win32.Expiro.7 | 22141 (1.03%) |
| 9 | Exploit.IFrame.41 | 19108 (0.89%) |
| 10 | VBS.Igidak | 18492 (0.86%) |
| 11 | Win32.HLLP.Jeefo.36352 | 18149 (0.85%) |
| 12 | Program.RemoteAdmin | 17512 (0.82%) |
| 13 | Win32.Sector.20480 | 15938 (0.74%) |
| 14 | Trojan.DownLoader.42350 | 15816 (0.74%) |
| 15 | Win32.Alman | 14665 (0.68%) |
| 16 | Trojan.Recycle | 13752 (0.64%) |
| 17 | Win32.HLLP.Sector | 13714 (0.64%) |
| 18 | VBS.Generic.548 | 13675 (0.64%) |
| 19 | Win32.HLLW.Gavir.54 | 13503 (0.63%) |
| 20 | Win32.HLLP.Whboy | 13191 (0.62%) |
Вирусная двадцатка июня — почта
| 01.06.2008 — 30.06.2008 | ||
| 1 | Win32.HLLW.Autoruner.437 | 245788 (17.85%) |
| 2 | Win32.HLLM.Netsky.35328 | 163596 (11.88%) |
| 3 | BackDoor.Bulknet.214 | 78683 (5.72%) |
| 4 | Trojan.PWS.Lich | 70877 (5.15%) |
| 5 | Win32.HLLP.PissOff.36864 | 65000 (4.72%) |
| 6 | Win32.HLLM.Netsky.based | 62291 (4.52%) |
| 7 | Win32.HLLW.Autoruner.2147 | 53621 (3.89%) |
| 8 | Trojan.NtRootKit.425 | 45741 (3.32%) |
| 9 | Win32.HLLM.MyDoom.based | 34515 (2.51%) |
| 10 | Win32.HLLM.Beagle | 33763 (2.45%) |
| 11 | Win32.Virut | 25187 (1.83%) |
| 12 | Trojan.Recycle | 22821 (1.66%) |
| 13 | Win32.HLLW.Autoruner.1831 | 22218 (1.61%) |
| 14 | Exploit.MS05-053 | 21490 (1.56%) |
| 15 | VBS.Igidak | 18517 (1.34%) |
| 16 | Trojan.MulDrop.16727 | 18420 (1.34%) |
| 17 | Win32.HLLP.Sector | 16092 (1.17%) |
| 18 | Win32.HLLM.Oder | 16056 (1.17%) |
| 19 | Trojan.Nsanti.Packed | 15774 (1.15%) |
| 20 | Win32.HLLM.Netsky.24064 | 15516 (1.13%) |
Иван Клинг