Рейтинг вредоносных программ от «Лаборатории Касперского», декабрь 2009

Рейтинг вредоносных программ от «Лаборатории Касперского», декабрь 2009

«Лаборатория Касперского» представляет вниманию пользователей рейтинг вредоносных программ в декабре.

Вредоносные программы, задетектированные на компьютерах пользователей

В первой таблице зафиксированы те вредоносные и потенциально нежелательные программы, которые были задетектированы и обезврежены на компьютерах пользователей при первом обращении к ним.

Первая двадцатка традиционно стабильна.

Появление трех новичков на 6, 10 и 11 позиции привело к незначительному сдвигу части программ, представленных в таблице, вниз. Исключением стал появившийся месяц назад Packed.Win32.Krap.ag, который поднялся на 3 пункта вверх. Напомним, что Krap.ag, как и другие представители Packed, является детектированием упаковщика вредоносных программ, в данном случае — фальшивых антивирусов. Абсолютные показатели этого зловреда также несколько возросли, что говорит об актуальности псевдоантивирусов и неутомимости использующих их в своих преступных схемах злоумышленников, которым эффективное распространение таких программ приносит существенный доход.

Заметным новичком в декабре является рекламная программа GamezTar.a, занявшая 6-е место в рейтинге. Эта программа позиционируется как панель к популярным браузерам для быстрого доступа к онлайн-играм и, разумеется, показывает назойливую рекламу. Но помимо всего прочего она устанавливает несколько приложений, которые работают автономно от самой панели и вмешиваются в различные аспекты сетевой жизни пользователя: будь то поиск или отображение контента. К слову, все эти компоненты описаны в правилах пользования (www.gameztar.com/terms.do), но пользователя обычно больше привлекает большая мигающая кнопка “click here, get free games”, чем неприметная надпись “terms of service” внизу экрана. Перед тем как скачивать ПО, рекомендуется читать подобные документы, если они присутствуют.

На десятом месте мы видим Trojan.Win32.Swizzor.c — родственника Swizzor.b, который уже побывал в дцадцатке в августе, а также Swizzor.a, который был замечен нами в мае. Разработчики этого искусно обфусцированного зловреда не стоят на месте и регулярно работают над новыми версиями. Истинный же функционал этого троянца очень простой — он загружает другие зловредные файлы из интернета.

Вредоносные программы в интернете

Вторая таблица характеризует обстановку в интернете. В этот рейтинг попадают вредоносные программы, обнаруженные на веб-страницах, а также те зловреды, которые пытались загрузиться с веб-страниц на компьютеры пользователей.

Во второй двадцатке, в отличие от достаточно стабильной первой, всего лишь четверть участников удержали свои позиции, один вернулся, а в остальном рейтинг коренным образом изменился.

Лидером по-прежнему является Gumblar.x. Зараженные им сайты постепенно очищаются вебмастерами — число уникальных попыток загрузки в декабре более чем в 3 раза меньше, чем в ноябре.

Упомянутый в первом рейтинге Krap.ag также поднялся и во втором — на 8 позиций. Его пытались загружать в полтора раза чаще, чем в прошлом месяце. На ступень выше его расположился Krap.ai, который также является детектированием специального упаковщика псевдоантивирусов.

GamezTar.a появился и во втором рейтинге, что закономерно, учитывая ориентированность этой программы на онлайн-игры и ее общий веб-функционал. Более того, на 16 место попала и другая модификация этого зловреда — GamezTar.b.

Trojan-Clicker.JS.Iframe.db является обычным, нехитро обфусцированным iframe-загрузчиком.

Trojan.JS.Iframe.ez, Trojan.JS.Zapchast.bn, Packed.JS.Agent.bn, Trojan.JS.Agent.axe, Trojan-Downloader.JS.Shadraem.a, Trojan-Downloader.JS.Kazmet.d — это скрипты различной степени логической сложности и обфусцированности, которые используют уязвимости в продуктах Adobe и Microsoft для последующей загрузки основных исполняемых файлов.

И, наконец, наиболее интересным образцом творчества злоумышленников оказался Trojan-Downloader.JS.Twetti.a (17-е место), которым было заражено множество легитимных сайтов. Алгоритм работы этого загрузчика достоин внимания. После расшифровки в нем не оказалось ни ссылки на основной исполняемый файл, ни эксплойтов или ссылок на них! В процессе анализа выяснилось, что скрипт использует API (интерфейс программирования приложения) популярной, в том числе и у злоумышленников, социальной сети Twitter.

Схема работы троянца следующая: формируется запрос к API, результатом которого являются данные по так называемым “трендам” — наиболее обсуждаемым темам в Twitter. Из полученных данных впоследствии формируется псевдослучайное доменное имя, которое злоумышленники регистрируют заранее, получив его по аналогичному алгоритму, и выполняется скрытый переход на него. На этом домене и располагается основная вредоносная часть, будь то PDF-эксплойт или исполняемый файл. Таким образом, формирование вредоносной ссылки и переход на нее осуществляется “на лету” через посредника, которым как раз и является Twitter.

Интересно отметить, что зловреды Packed.JS.Agent.bn и Trojan-Downloader.JS.Twetti.a для заражения компьютера пользователя используют специально сформированный PDF-файл, который детектируется как Exploit.JS.Pdfka.asd и который также попал в рейтинг (12-е место). То есть, можно легко предположить, что по меньшей мере три популярных зловреда декабря — дело рук одной киберпреступной группировки. Более того, среди исполняемых файлов, которые в итоге drive-by атаки загружаются на компьютеры-жертвы, были замечены представители семейств TDSS, Sinowal и Zbot, которые являются одними из наиболее серьезных из существующих сейчас угроз, что тоже наводит на определенные размышления.