Рейтинг вредоносных программ, декабрь 2009

«Лаборатория Касперского» представляет вниманию пользователей рейтинг вредоносных программ в декабре.

Вредоносные программы, задетектированные на компьютерах пользователей

В первой таблице зафиксированы те вредоносные и потенциально нежелательные программы, которые были задетектированы и обезврежены на компьютерах пользователей при первом обращении к ним.

Позиция Изменение позиции Вредоносная программа Количество зараженных компьютеров
1   0 Net-Worm.Win32.Kido.ir   265622  
2   0 Net-Worm.Win32.Kido.iq   211101  
3   0 Net-Worm.Win32.Kido.ih   145364  
4   0 Virus.Win32.Sality.aa   143166  
5   0 Worm.Win32.FlyStudio.cu   101743  
6   New not-a-virus:AdWare.Win32.GamezTar.a   63898  
7   -1 not-a-virus:AdWare.Win32.Boran.z   61156  
8   -1 Trojan-Downloader.Win32.VB.eql   61022  
9   -1 Trojan-Downloader.WMA.GetCodec.s   56364  
10   New Trojan.Win32.Swizzor.c   54811  
11   New Trojan-GameThief.Win32.Magania.cpct   42676  
12   -3 Virus.Win32.Virut.ce   45127  
13   -3 Virus.Win32.Induc.a   37132  
14   0 Trojan-Dropper.Win32.Flystud.yo   33614  
15   3 Packed.Win32.Krap.ag   31544  
16   -3 Packed.Win32.Black.a   31340  
17   0 Worm.Win32.Mabezat.b   31020  
18   -2 Packed.Win32.Klone.bj   28814  
19   -7 Packed.Win32.Black.d   28560  
20   -5 Worm.Win32.AutoRun.dui   28551  

Первая двадцатка традиционно стабильна.

Появление трех новичков на 6, 10 и 11 позиции привело к незначительному сдвигу части программ, представленных в таблице, вниз. Исключением стал появившийся месяц назад Packed.Win32.Krap.ag, который поднялся на 3 пункта вверх. Напомним, что Krap.ag, как и другие представители Packed, является детектированием упаковщика вредоносных программ, в данном случае — фальшивых антивирусов. Абсолютные показатели этого зловреда также несколько возросли, что говорит об актуальности псевдоантивирусов и неутомимости использующих их в своих преступных схемах злоумышленников, которым эффективное распространение таких программ приносит существенный доход.

Заметным новичком в декабре является рекламная программа GamezTar.a, занявшая 6-е место в рейтинге. Эта программа позиционируется как панель к популярным браузерам для быстрого доступа к онлайн-играм и, разумеется, показывает назойливую рекламу. Но помимо всего прочего она устанавливает несколько приложений, которые работают автономно от самой панели и вмешиваются в различные аспекты сетевой жизни пользователя: будь то поиск или отображение контента. К слову, все эти компоненты описаны в правилах пользования (www.gameztar.com/terms.do), но пользователя обычно больше привлекает большая мигающая кнопка “click here, get free games”, чем неприметная надпись “terms of service” внизу экрана. Перед тем как скачивать ПО, рекомендуется читать подобные документы, если они присутствуют.

На десятом месте мы видим Trojan.Win32.Swizzor.c — родственника Swizzor.b, который уже побывал в двадцатке в августе, а также Swizzor.a, который был замечен нами в мае. Разработчики этого искусно обфусцированного зловреда не стоят на месте и регулярно работают над новыми версиями. Истинный же функционал этого троянца очень простой — он загружает другие зловредные файлы из интернета.

Вредоносные программы в интернете

Вторая таблица характеризует обстановку в интернете. В этот рейтинг попадают вредоносные программы, обнаруженные на веб-страницах, а также те зловреды, которые пытались загрузиться с веб-страниц на компьютеры пользователей.

Позиция Изменение позиции Вредоносная программа Число уникальных попыток загрузки
1   0 Trojan-Downloader.JS.Gumblar.x   445881  
2   3 Trojan.JS.Redirector.l   178902  
3   New not-a-virus:AdWare.Win32.GamezTar.a   165678  
4   -2 Trojan-Downloader.HTML.IFrame.sz   134215  
5   New Trojan-Clicker.JS.Iframe.db   128093  
6   -2 not-a-virus:AdWare.Win32.Boran.z   109256  
7   New Trojan.JS.Iframe.ez   91737  
8   New Trojan.JS.Zapchast.bn   64756  
9   New Packed.JS.Agent.bn   60361  
10   New Packed.Win32.Krap.ai   43042  
11   8 Packed.Win32.Krap.ag   41731  
12   New Exploit.JS.Pdfka.asd   36044  
13   New Trojan.JS.Agent.axe   35309  
14   New Trojan-Downloader.JS.Shadraem.a   35187  
15   Return Trojan.JS.Popupper.f   33745  
16   New not-a-virus:AdWare.Win32.GamezTar.b   33266  
17   New Trojan-Downloader.JS.Twetti.a   30368  
18   New Trojan-Downloader.Win32.Lipler.iml   28634  
19   New Trojan-Downloader.JS.Kazmet.d   28374  
20   New Trojan.JS.Agent.axc   26198  

Во второй двадцатке, в отличие от достаточно стабильной первой, всего лишь четверть участников удержали свои позиции, один вернулся, а в остальном рейтинг коренным образом изменился.

Лидером по-прежнему является Gumblar.x. Зараженные им сайты постепенно очищаются вебмастерами — число уникальных попыток загрузки в декабре более чем в 3 раза меньше, чем в ноябре.

Упомянутый в первом рейтинге Krap.ag также поднялся и во втором — на 8 позиций. Его пытались загружать в полтора раза чаще, чем в прошлом месяце. На ступень выше его расположился Krap.ai, который также является детектированием специального упаковщика псевдоантивирусов.

GamezTar.a появился и во втором рейтинге, что закономерно, учитывая ориентированность этой программы на онлайн-игры и ее общий веб-функционал. Более того, на 16 место попала и другая модификация этого зловреда — GamezTar.b.

Trojan-Clicker.JS.Iframe.db является обычным, нехитро обфусцированным iframe-загрузчиком.

Trojan.JS.Iframe.ez, Trojan.JS.Zapchast.bn, Packed.JS.Agent.bn, Trojan.JS.Agent.axe, Trojan-Downloader.JS.Shadraem.a, Trojan-Downloader.JS.Kazmet.d — это скрипты различной степени логической сложности и обфусцированности, которые используют уязвимости в продуктах Adobe и Microsoft для последующей загрузки основных исполняемых файлов.

И, наконец, наиболее интересным образцом творчества злоумышленников оказался Trojan-Downloader.JS.Twetti.a (17-е место), которым было заражено множество легитимных сайтов. Алгоритм работы этого загрузчика достоин внимания. После расшифровки в нем не оказалось ни ссылки на основной исполняемый файл, ни эксплойтов или ссылок на них! В процессе анализа выяснилось, что скрипт использует API (интерфейс программирования приложения) популярной, в том числе и у злоумышленников, социальной сети Twitter.

Схема работы троянца следующая: формируется запрос к API, результатом которого являются данные по так называемым “трендам” — наиболее обсуждаемым темам в Twitter. Из полученных данных впоследствии формируется псевдослучайное доменное имя, которое злоумышленники регистрируют заранее, получив его по аналогичному алгоритму, и выполняется скрытый переход на него. На этом домене и располагается основная вредоносная часть, будь то PDF-эксплойт или исполняемый файл. Таким образом, формирование вредоносной ссылки и переход на нее осуществляется “на лету” через посредника, которым как раз и является Twitter.

Интересно отметить, что зловреды Packed.JS.Agent.bn и Trojan-Downloader.JS.Twetti.a для заражения компьютера пользователя используют специально сформированный PDF-файл, который детектируется как Exploit.JS.Pdfka.asd и который также попал в рейтинг (12-е место). То есть, можно легко предположить, что по меньшей мере три популярных зловреда декабря — дело рук одной киберпреступной группировки. Более того, среди исполняемых файлов, которые в итоге drive-by атаки загружаются на компьютеры-жертвы, были замечены представители семейств TDSS, Sinowal и Zbot, которые являются одними из наиболее серьезных из существующих сейчас угроз, что тоже наводит на определенные размышления.

Публикации на схожие темы

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *