KSN в действии-2

Нашей выборкой для получения информации об активности новых модификаций вредоносных программ и еще неизвестных зловредов будут 64% российских участников KSN, с компьютеров которых пришли нотификации о детектировании вредоносного кода. Далее вся статистика подсчитывается на основе данных, полученных с их компьютеров.

Для начала посмотрим, какие вердикты преобладали в сентябре при детектировании вредоносных программ всеми подсистемами Антивируса Касперского на компьютерах пользователей из нашей выборки.

TOP 10 вердиктов Антивируса Касперского в сентябре

Сумма в правой колонке более чем 100%, показывает, что в среднем в течение месяца на компьютере одного пользователя было зафиксировано более одного вердикта.

Blocked — это вердикт веб-антивируса, который указывает на то, что пользователь пытался посетить сайт из списка запрещенных. То, что этот вердикт занял первую строчку рейтинга ‑ ситуация нормальная, учитывая, что заражения через Веб и PPI на текущий момент являются очень острыми проблемами для Рунета.  Только по этой информации уже можно сказать, что активность вирусов и червей не так опасна для пользователей, как работа «партнёрок».

DangerousObject.Multi.Generic — это вердикт «облака».   Если веб-антивирус — это первый рубеж обороны, то «облако» ‑ предпоследний, который блокирует работу определённой программы на основании метаданных.  В статье Юрия Машевского  есть схема, которая показывает временной лаг от момента начала распространения вредоносной программы до появления её детектирования у пользователей. Как «DangerousObject.Multi.Generic» детектируются программы, которые уже известны «Лаборатории» как вредоносные, но еще не попали в антивирусные базы.

Процесс защиты пользователя «облачной» технологией

Особенность периода, отраженного на схеме, заключается еще и в том, что в это время известна только хэш-функция вредоносного кода, самого кода нет, и, как следствие, нет его анализа и классификации. Получается, что в течение сентября у каждого четвертого пользователя антивирус блокировал работу какой то программы, которую еще не проанализировали в антивирусной лаборатории (заметим, что Kido блокировался только у каждого четырнадцатого пользователя).

Через некоторое время после выхода обновлений можно увидеть, какие вердикты получили файлы, заблокированные «облаком», от других подсистем.  Получив таким образом список вердиктов заблокированных «облаком» файлов,  мы получим список новых вредоносных программ и их модификаций, которые распространяли злоумышленники в сентябре.

TOP 10 вердиктов вредоносных программ, заблокированных «облаком» на территории России в сентябре

В данной таблице вердикты приведены с точностью до модификации, что в контексте создания вредоносных программ соответствует только одному инциденту, связанному с распространением еще недетектирующегося экземпляра вредоносного кода. Значит, для полной картины необходимо сгруппировать вердикты из левой колонки по семействам вредоносных программ.

Продолжение следует…