Kaspersky Lab prezentuje listę szkodliwych programów, które najczęściej atakowały użytkowników w lipcu 2010 r. Podobnie jak w poprzednich miesiącach, zestawienie zostało przygotowane w oparciu o dane wygenerowane przez system Kaspersky Security Network (KSN) - innowacyjną technologię gromadzenia danych o infekcjach zaimplementowaną w produktach firmy Kaspersky Lab przeznaczonych dla użytkowników indywidualnych.
Szkodliwe programy wykryte na komputerach użytkowników
Pierwsza tabela zawiera szkodliwe programy, aplikacje wyświetlające reklamy oraz potencjalnie niebezpieczne narzędzia, które zostały wykryte i zneutralizowane na komputerach użytkowników po raz pierwszy, na przykład przez moduł ochrony w czasie rzeczywistym (skanowanie podczas dostępu). Użycie statystyk z tej metody skanowania pozwala na dokonanie analizy najnowszych, najbardziej niebezpiecznych i najszerzej rozprzestrzenionych szkodliwych programów.
Pierwsza połowa rankingu nie zmieniła się w stosunku do poprzedniego miesiąca - zarówno Sality, Virut jak i Kido utrzymały swoje pozycje. Za to druga połowa zawiera kilka niespodzianek, w tym sześć nowości. Przyjrzyjmy się im po kolei.
Worm.Win32.Autoit.xl, który uplasował się na dwunastym miejscu, posiada różne funkcje: potrafi wyłączyć Zaporę Sieciową Windows, stosować polityki ograniczania działania oprogramowania oraz pobierać lub instalować inne szkodliwe oprogramowanie. Co ciekawe, za prawie jedną czwartą wykrytych infekcji odpowiedzialna była Brazylia, natomiast około 50. zostało wykrytych w Rosji i na Ukrainie.
P2P-Worm.Win32.Palevo.aomy, na trzynastym miejscu, oraz P2P-Worm.Win32.Palevo.aoom, który uplasował się na szesnastej pozycji, to dwoje nowych przedstawicieli rodziny robaków P2P-Worm Palevo, znanych już z poprzedniego rankingu Top 20.
Exploit.JS.CVE-2010-0806.aa, nowa modyfikacja exploita wykorzystującego lukę CVE-2010-0806, która została zidentyfikowana jeszcze w marcu, zaklasyfikował się do rankingu na piętnastym miejscu. Obecnie cyberprzestępcy aktywnie wykorzystują techniki zaciemniania skryptów oraz antyemulacji, które przyczyniły się do powstania nowych wariantów tego exploita. Luka ta jest wykorzystywana również przez dwa inne programy na naszej liście, są to: Exploit.JS.Agent.bab (piąte miejsce) oraz Trojan.JS.Agent.bhr (szóste miejsce). Wszystkie trzy znalazły się również w drugim rankingu, który zawiera szkodliwe oprogramowanie wykrywane w Internecie. Kolejną nowością w rankingu jest Hoax.Win32.ArchSMS.ih. Program ten jest wykorzystywany w ramach całkowicie nowego rodzaju oszustwa i rozprzestrzenia się, podszywając się pod legalne oprogramowanie freeware. Po otwarciu aplikacji pojawia się okno z informacją, że program jest zarchiwizowany i aby uzyskać hasło w celu rozpakowania go, należy wysłać od jednej do trzech wiadomości
SMS. Każda wiadomość może kosztować do 50. rubli (około 16 dolarów). Za te pieniądze użytkownik dostaje szkodliwy program, odsyłacz do strony torrentowej, a nawet wiadomość o błędzie lub pusty plik archiwum. Większość komputerów, na których wykryto ten program, znajduje się w państwach rosyjskojęzycznych; najwięcej zainfekowanych znajdowało się w Rosji, na drugim miejscu znalazła się Ukraina, Kazachstan, Białoruś, Azerbejdżan oraz Mołdawia.
Szkodliwy paker Packed.Win32.Katusha.n, który uplasował się na dziewiętnastym miejscu, to program wykorzystywany do ochrony różnych szkodliwych programów przed oprogramowaniem antywirusowym. Sygnatura ta obejmuje również fałszywe rozwiązania antywirusowe spakowane przy użyciu Katusha.
Szkodliwe programy w Internecie
Drugie zestawienie Top 2. przedstawia dane wygenerowane przez moduł ochrona WWW, odzwierciedlające krajobraz zagrożeń online. Zestawienie to zawiera szkodliwe programy wykryte na stronach internetowych oraz pobrane na maszyny ze stron internetowych.
Jak pokazuje tabela powyżej, w lipcowym rankingu znalazło się dwanaście nowości. Pegel, który wykazywał dużą aktywność w ciągu ostatnich trzech miesięcy, uplasował się na drugiej pozycji, reprezentowany przez modyfikację .bp.
Połowa programów w rankingu to exploity, a osiem z nich wykorzystuje znane luki w zabezpieczeniach. Podobnie jak w poprzednim miesiącu, w rankingu prowadzi Exploit.JS.Agent.bab, który wykorzystuje lukę CVE-2010-0806. Lukę tę wykorzystuje również jedna z nowości w rankingu - Exploit.JS.CVE-2010-0806.aa, który zajmuje siedemnaste miejsce, oraz Trojan.JS.Agent.bhr na szóstym miejscu. Wbrew przewidywaniom, wygląda na to, że luka CVE-2010-0806 jest wykorzystywana jeszcze intensywniej.
Jeżeli chodzi o szkodniki wykorzystujące Javę, lipcowy ranking zawiera Exploit.Java.Agent.f, który powrócił do zestawienia i uplasował się na siódmym miejscu, oraz nowość Trojan-Downloader.Java.Agent.jl na ósmym miejscu. Te dwa programy wykorzystują lukę CVE-2010-3867 i są pobierane przez skrypt Trojan.JS.Agent.bmh, który znajduje się na szesnastym miejscu. Exploit.HTML.CVE-2010-1885.a, który po raz pierwszy wszedł do rankingu i uplasował się na trzecim miejscu, jest skryptem wykorzystującym lukę CVE-2010-1885. Plik zawierający szkodliwy kod jest stroną HTML zawierającą ramkę iframe ze spreparowanym adresem.
Po uruchomieniu pliku pobierany jest kolejny skrypt (który Kaspersky Lab wykrywa jako Trojan-Downloader.JS.Psyme.aoy). Skrypt ten z kolei pobiera i uruchamia szkodliwe oprogramowanie z rodziny Trojan-GameThief.Win32.Magania, która kradnie hasła do gier online. Skrypt pośredniczący wykorzystuje interesującą metodę maskowania zainfekowanego odsyłacza - został zapisany odwrotnie (zobacz zrzut ekranu poniżej).
O programie Exploit.Win32.IMG-TIF.b, który wykorzystuje lukę w zabezpieczeniach CVE-2010-0188. pisaliśmy jeszcze w marcu, jednak szkodnik ten zaczął się aktywnie rozprzestrzeniać dopiero niedawno. Interesujące jest to, że twórcy wirusów praktycznie nie wykorzystywali tej luki przez dwa lub trzy miesiące od jej oficjalnego ogłoszenia.
Exploit.JS.Pdfka.bys, na piętnastym miejscu, oraz Exploit.JS.Pdfka.cny, na osiemnastym, to skrypty wykorzystujące różne luki w zabezpieczeniach produktów Adobe.
Top 2. zawiera pięć programów adware: trzy warianty AdWare.Win32.FunWeb (na czwartym, dziewiątym i dziewiętnastym miejscu), AdWare.Win32.Shopper.l (jedenaste miejsce) oraz AdWare.Win32.Boran.z (trzynaste miejsce). Boran.z, który po raz pierwszy został wykryty w październiku 2009 roku, stanowi nowość w naszym rankingu. Jest to moduł BHO dostarczany wraz ze sterownikiem, który ma zapewnić mu ochronę.
Kolejną nowością w rankingu jest Trojan.JS.Agent.bhl, który wyświetla irytujące reklamy. Skrypt ten otwiera okienka wyskakujące i wykorzystuje szereg różnych technik w celu obejścia mechanizmów blokowania takich okienek. Na zrzucie ekranu poniżej widać wyświetlanie komentarzy oraz kod, które moduł wykorzystuje do obejścia Norton Internet Security.
Pozostałe programy w rankingu mają na celu rozprzestrzenianie innych szkodliwych programów.
Podsumowanie
Lipcowe statystyki po raz kolejny odzwierciedlają tendencję do wykorzystywania luk w zabezpieczeniach w celu rozprzestrzeniania szkodliwego oprogramowania. Programy wykorzystujące luki w zabezpieczeniach zakwalifikowały się nawet do rankingu szkodników wykrywanych na komputerach użytkowników.
Downloader skryptów Pegel oraz wykorzystywane przez niego luki (CVE-2010-0806. CVE-2010-3867 itd.) nadal są szeroko rozpowszechnione mimo wysiłków branży antywirusowej oraz firmy Adobe i Microsoft, które dość szybko udostępniły łaty. W lipcu wykryto wiele programów wykorzystujących nagłośnione niedawno luki w zabezpieczeniach CVE-2010-0188 i CVE-2010-1885. Warto również wspomnieć o szybkim rozprzestrzenianiu się Stuxneta, sterownika rootkita, który wykorzystuje autentyczne podpisy cyfrowe. Robak ten nadal wykorzystuje lukę w zabezpieczeniach plików LNK (skrót Microsoft Windows), która pozwala na uruchomienie losowo wybranej biblioteki dll bez interakcji użytkownika, jeżeli jest wyświetlona ikona skrótu programu.
Jedyną dobrą wiadomością jest to, że Gumblar przestał się rozprzestrzeniać. Pozostaje jednak pytanie, na jak długo?
