Июль 2010 года ознаменовался не только экстремальной жарой, но и появлением и широким распространением троянцев Trojan.Stuxnet. Эти вредоносные программы используют альтернативный способ запуска со съемных носителей, а также применяют украденные цифровые подписи известных производителей ПО. Использование буткит-технологий становится нормой для вредоносных программ. В то же время блокировщики Windows, столкнувшись с противодействием, сократили темпы своего распространения, и сегодня интернет-мошенники пытаются найти альтернативу платным СМС-сообщениям.

Trojan.Stuxnet нашел «дыру» в Windows и проникает через ярлыки

Июльской «новинкой» летнего сезона, заставившей антивирусную индустрию в который раз серьезно мобилизовать свои ресурсы, стала вредоносная программа нового типа, которая по классификации Dr.Web получила наименование Trojan.Stuxnet.1. Ее распространение оказалось напрямую связано с ранее неизвестной уязвимостью операционной системы Windows. Этот троянец принес с собой несколько новинок в области обхода защитных механизмов Microsoft и уже успел продемонстрировать всю серьезность своих намерений — одним из первых зафиксированных применений Trojan.Stuxnet.1 стал промышленный шпионаж.
Троянец устанавливает в систему два драйвера, один из которых является драйвером-фильтром файловой системы, скрывающим наличие компонентов вредоносной программы на съемном носителе. Второй драйвер используется для внедрения зашифрованной динамической библиотеки в системные процессы и специализированное ПО для выполнения основной задачи.
Авторы нового троянца преподнесли пользователям сразу несколько неприятных сюрпризов. Во-первых, уже упомянутая эксплуатация уязвимости Windows: вредоносная программа использует «слабое звено» в алгоритме обработки содержимого ярлыков. Следует отметить, что корпорация Microsoft оперативно отреагировала на обнаружение этой уязвимости. По информации, опубликованной разработчиком ОС Windows, ей подвержены как 32-битные, так и 64-битные версии, начиная с Windows XP и заканчивая Windows 7 и Windows Server 2008 R2. Злоумышленники могут использовать эту «брешь» и для удаленного запуска вредоносных программ. Кроме того, опасный код может интегрироваться в документы некоторых типов, предполагающих наличие в них встроенных ярлыков, и распространяться посредством эксплуатации обнаруженной уязвимости.
2 августа 2010 года компания Microsoft выпустила критический патч для всех подверженных уязвимости версий Windows. Для тех систем, в которых настроено автоматическое обновление, патч установится автоматически, и для его применения потребуется перезагрузка компьютера.
«Сюрпризы» от авторов Trojan.Stuxnet на этом не закончились. Драйверы, которые троянец устанавливает в систему, снабжены цифровыми подписями, украденными у производителей легального программного обеспечения. В июле стало известно об использовании подписей, принадлежащих таким компаниям, как Realtek Semiconductor Corp. и JMicron Technology Corp. Злоумышленники используют подпись для «тихой» установки в целевую систему.
Стоит заметить, что, кроме драйверов, которые подписываются для незаметной установки, подписан также и вредоносной файл, запускающийся с помощью эксплойта уязвимости Windows Shell со съемных носителей. Но данная подпись практически сразу после первой же активизации троянца перестает действовать: встроенный счетчик заражений постоянно модифицирует исполняемый файл, в результате чего подпись приходит в негодность.
У Trojan.Stuxnet.1 довольно быстро появились многочисленные последователи, использующие указанную уязвимость Windows. Все подобные ярлыки определяются Dr.Web как Exploit.Cpllnk. Всего за несколько дней вредоносные программы, использующие для своего запуска такие ярлыки, возглавили Топ-20 вирусных программ, обнаруженных в июле на компьютерах пользователей, а Trojan.Stuxnet.1 успел оказаться на шестом месте этого списка.
В настоящее время идет массированное распространение вредоносных программ, эксплуатирующих обнаруженную уязвимость. Вероятно, оно продлится ещё некоторое время до установки только что выпущенного Microsoft патча на большинство систем. Отреагировали на появление новой угрозы и специалисты компании «Доктор Веб» — в вирусную базу были оперативно добавлены процедуры лечения зараженных троянцем систем.
Массовое использование буткитов
Буткиты — программы, модифицирующие загрузочный сектор диска — постепенно становятся привычным компонентом вредоносного ПО. Применение буткитов приводит к тому, что обычные средства анализа системы на наличие вредоносного кода не в состоянии детектировать объект комплексно. Не имея возможности отследить модификацию загрузочного сектора, они могут определить лишь те компоненты вредоносных программ, которые расположены на диске в виде обычных файлов. Таким образом, даже после лечения вирус снова окажется в системе, и так продолжится до тех пор, пока загрузочный сектор диска не будет возвращен к исходному состоянию.
Лишь немногие комплексные антивирусные средства способны выявить модификацию загрузочного сектора и полностью вылечить систему от буткита. В большинстве случаев разработчики антивирусов предлагают избавляться от этой проблемы с помощью специальных утилит. И здесь возникает сложность, которой и пользуются злоумышленники: пользователь далеко не всегда своевременно начинает искать альтернативные пути решения проблемы, поскольку не в состоянии понять, что его антивирус просто «не видит» факта модификации загрузочного сектора системного диска.
Одним из буктитов, беспокоившим пользователей в июле, стал уже известный Trojan.Hashish. Проблема заражения им в прошлом месяце была актуальна в Европе. Действия вредоносной программы приводили к самопроизвольному открытию окон Internet Explorer, в которых отображалась реклама. Причем данные окна открывались даже в том случае, если использовался один из альтернативных браузеров. Другим результатом работы Trojan.Hashish стало периодическое воспроизведение стандартного системного звука, соответствующего запуску программы, если таковой настроен в Windows.
 

Блокировщики отступают

В июле эпидемия блокировщиков пошла на спад — сервер статистики Dr.Web зафиксировал 280 000 детектов против 420 000 в июне. Во многом это связано с успешными действиями, которые совместно с пользователями предпринимают и антивирусные компании, в частности «Доктор Веб». Так, из-за усиленного противодействия СМС-мошенникам авторы блокировщиков вынуждены в очередной раз задействовать другие схемы монетизации доходов. Они используют новые электронные платежные системы и даже начинают предлагать пользователям несколько вариантов передачи денег за разблокировку на выбор.
Среди всех обращений по поводу блокировщиков существенно возросла доля запросов, связанных с блокировкой популярных сайтов, — социальных сетей, бесплатных почтовых сервисов, поисковых систем. К концу июля количество обращений по поводу таких блокировщиков превысило обращения о блокировке рабочего стола Windows.
В дальнейшем можно ожидать постепенного снижения распространения блокировщиков. Это связано и со значительно более низкой эффективностью схем оплаты без использования СМС, и с повышенным вниманием к проблеме со стороны правоохранительных органов. Уверенно растет и число пользователей, владеющих информацией об альтернативных методах разблокировки компьютеров, не подразумевающих передачу денег злоумышленникам.
 

Другие вредоносные программы июля

Продолжилось массированное распространение через электронную почту различных модификаций Trojan.Oficla. Также в почтовом трафике по-прежнему заметны сообщения с прикрепленными к ним HTML-файлами (JS.Redirector). Эти сообщения перенаправляют пользователей на страницы с рекламой и вредоносные сайты. Отмечена повышенная активность полиморфных файловых вирусов семейства Win32.Sector. Dr.Web давно ориентирован на лечение систем от сложных полиморфных вирусов, в июле разработчики оптимизировали алгоритм детекта вредоносных программ этого типа. Европейских пользователей по-прежнему продолжают беспокоить банковские троянцы, вынуждающие вводить разовые TAN-коды (подробно мы рассказывали о них в июньском обзоре), а также новые варианты лжеантивирусов в старом визуальном обличье.
Подводя итоги, можно отметить, что июль не принес неразрешимых задач ни для разработчиков антивирусного ПО, ни для рядовых пользователей. Активность использования вредоносных ярлыков, определяющихся Dr.Web как Exploit.Cpllnk, должна уменьшиться в связи с оперативным выходом патча от Microsoft. Ввиду того, что буткиты становятся рядовым компонентом вредоносных программ, антивирусным вендорам рано или поздно придется включить работу с загрузочными секторами дисков в комплексные продукты, уходя от отдельных утилит. Блокировщики и их авторы своим поведением наглядно демонстрируют, что бороться с ними отнюдь не бесполезно: комплексные меры, предпринимаемые против них, действительно приносят результаты.
 

Вредоносные файлы, обнаруженные в июле в почтовом трафике

 01.07.2010 00:00 — 01.08.2010 00:00
1Trojan.Oficla.38 558788 (29,38%)
2 Trojan.MulDrop1.27707 239578 (12,60%)
3 Trojan.Oficla.zip 168193 (8,84%)
4 Trojan.Oficla.33 76344 (4,01%)
5 Trojan.Siggen1.33477 65827 (3,46%)
6 Win32.HLLW.Shadow.based 57468 (3,02%)
7 Trojan.DownLoad1.58681 54228 (2,85%)
8 Trojan.Botnetlog.zip 52785 (2,78%)
9 Trojan.Oficla.45 39496 (2,08%)
10 Trojan.Winlock.1651 33622 (1,77%)
11 Trojan.Inject.8960 26565 (1,40%)
12 JS.Redirector.64 2720 (1,19%)
13 Trojan.Inject.8798 22703 (1,19%)
14 Trojan.Packed.20425 19863 (1,04%)
15 Trojan.MulDrop1.39520 16794 (0,88%)
16 Trojan.Packed.20543 16105 (0,85%)
17 BackDoor.Qbot.20 13834 (0,73%)
18 JS.Redirector.68 13829 (0,73%)
19 Win32.HLLW.Kati 13021 (0,68%)
20 JS.Redirector.based.3 9533 (0,50%)

Всего проверено: 11 135 769 221
Инфицировано: 1 901 822 (0,02%)

Вредоносные файлы, обнаруженные в июле на компьютерах пользователей

 01.07.2010 00:00 — 01.08.2010 00:00
1 Exploit.Cpllnk 485069 (5,94%)
2 Trojan.Siggen.29465 453671 (5,69%)
3 Trojan.AuxSpy.229 421063 (5,29%)
4 Win32.HLLP.PissOff.36864 256127 (3,21%)
5 Win32.HLLW.Gavir.ini 246137 (3,09%)
6 Trojan.Stuxnet.1 233726 (2,93%)
7 Win32.HLLW.Shadow.based 224531 (2,82%)
8 Trojan.DownLoad.32973 180925 (2,27%)
9 Win32.HLLW.Autoruner.5555 177170 (2,22%)
10 Trojan.PWS.Siggen.2674 170996 (2,15%)
11 ACAD.Pasdoc 152498 (1,91%)
12 Trojan.Winlock.472 142707 (1,79%)
13 VBS.Sifil 133643 (1,68%)
14 Trojan.Siggen1.40023 123169 (1,55%)
15 Win32.Sector.16 99146 (1,24%)
16 Trojan.MulDrop.55658 91117 (1,14%)
17 Trojan.Packed.20343 84027 (1,05%)
18 Win32.HLLW.Autoruner.based 77867 (0,98%)
19 BackDoor.IRC.Sdbot.4590 76312 (0,96%)
20 Trojan.DownLoad2.8448 73995 (0,93%)

Всего проверено: 61 372 607 281
Инфицировано: 7 966 770 (0,01%)

Drweb.com