Электронный журнал "Спамтест" No. 278 в этом номере: Новости Спам в марте 2009 г. Спам-статистика за период 30 марта – 5 апреля 2009 г. Новости В США осужден румынский фишер 03.04.2009 В США один из участников интернациональной фишерской группировки — гражданин Румынии — был приговорен к тюремному заключению сроком более четырех лет. Процесс по делу фишерской группировки, в которую входил 23-летний гражданин Румынии Овидиу-Ионут Никола-Роман (Ovidiu-Ionut Nicola-Roman), начался в мае 2008 года в штате Коннектикут. В июле прошлого года Никола-Роман признался в преступном сговоре. Согласно материалам следствия, его роль в рамках фишинговой кампании заключалась в рассылке поддельных писем от имени финансовых структур, базирующихся на территории США. Пройдя по ссылке в письме, получатель попадал на веб-страницу, созданную злоумышленниками для хищения персональной информации. Пользовательские данные затем пересылались из Румынии в США, где использовались для изготовления подложных кредитных карт и отъема денежных средств у держателей банковских счетов. Финансовый ущерб, нанесенный осужденным фишером, был оценен в 200-400 тысяч долларов. Не имевший ранее судимости Никола-Роман приговорен к 4 годам и 2 месяцам тюремного заключения (на территории США), после чего 3 года он должен находиться под надзором. Остальные шестеро румынских фишеров, проходящих по делу в Коннектикуте, пока не найдены. Отправление правосудия весьма затруднительно в тех случаях, когда финансовые махинации с использованием интернета носят трансграничный характер. Никола-Роман — первый иностранец, осужденный американским судом по обвинению в фишинге. Он был экстрадирован в США из Болгарии, где пытался скрыться от правового преследования. Федеральные власти надеются, что прецедент послужит предупреждением другим заокеанским злоумышленникам, рассчитывающим уйти от ответа с помощью административных барьеров. Источник: news.yahoo.com Источник: theregister.co.uk Marshal о спаме в минувшем квартале 03.04.2009 По оценке компании Marshal, к концу марта объемы спама в почтовом трафике сравнялись с показателями, зафиксированными на момент отключения от Сети хостинг-провайдера McColo. По данным Marshal, три четверти распространяемого в настоящее время спама составляет реклама медицинских препаратов и услуг. 60% почтового «мусора» рассылается из стран Европы и Азии, 23% — из Латинской Америки. Среди стран-источников спама лидирует Бразилия (13% спам-трафика), второе место занимают США (11%), третье — Индия (6%). Согласно статистике Marshal, около 2/3 современных спам-рассылок осуществляется с помощью четырех ботнетов: Mega-D (33,8% от общего объема спама), Rustock (17,0%), Xarvester (7,6%) и Pushdo (5,0%). Вклад вредоносных сообщений в спам-трафик пока невелик. Особой активностью в отчетный период отличались распространители троянца Waledac. Злонамеренные спам-рассылки, проведенные с одноименного ботнета, были тематически привязаны к таким событиям, как инаугурация Барака Обамы и празднование Дня святого Валентина. Кроме того, с этого ботнета рассылались ложные сообщения об осуществлении теракта, содержащие ссылки на зараженные веб-страницы. К распространению вредоносных и фишинговых посланий привлекались также ресурсы ботнета Pushdo. Источник: marshal.com Трое мошенников-иностранцев осуждены по американским законам 06.04.2009 За реализацию «нигерийских» мошеннических схем на территории США окружной суд Бруклина, штат Нью-Йорк, приговорил трех иностранных граждан к длительному тюремному заключению. Согласно материалам следствия, эта криминальная группировка рассылала по электронной почте тысячи спамовых писем. В письмах содержалась просьба помочь перевести баснословные денежные суммы из-за границы, а в качестве оплаты предлагались большие комиссионные. Вступая в переписку с отозвавшимися на спам потенциальными жертвами, аферисты старались завоевать их доверие, а затем обращались с просьбой перевести на их счета деньги для оплаты различных «административных расходов». Если корреспондент оказывался не в состоянии самостоятельно оплатить «расходы», ему высылали для обеспечения операции банковский чек. Поддельность последнего, как правило, обнаруживалась уже после перевода денег пострадавшим. Во избежание обнаружения мошенники использовали множество фиктивных имен, меняли контактные номера телефона и адреса электронной почты. По оценке экспертов, жертвы мошенников потеряли в общей сложности более 1,2 миллиона долларов. Первыми деятельностью данной группировки заинтересовались правоохранительные органы Нидерландов. Обнаружив, что в число ее жертв попали американские пользователи, голландцы связались с Почтовой службой США, которая начала собственное расследование. Трое участников «нигерийской» группировки были арестованы в Амстердаме и затем экстрадированы в США. Им предъявлены обвинения в преступном сговоре и мошенничестве с использованием каналов почтовой и проводной связи. В начале прошлого года обвиняемые признали свою вину по всем пунктам. Согласно вынесенному судебному решению, 31-летний Ннамди Чизубе Анисьоби (Nnamdi Chizuba Anisiobi) из Нигерии проведет под стражей 7 лет и 3 месяца. Уроженец Сенегала, гражданин Франции 34-летний Энтони Фрайдэй Эхиз (Anthony Friday Ehis) и 35-летний нигериец Кесанду Эгвуонву (Kesandu Egwuonwu) приговорены к тюремному заключению на срок 4 года и 9 месяцев. Источник: usdoj.gov MXLogic: к Пасхе спама станет больше 07.04.2009 Согласно оценке компании MXLogic, уровень спама в мартовском почтовом трафике составлял 84,8%. В целом количество спамовых писем, зарегистрированных исследователями в минувшем месяце, на 34% превосходило февральские объемы. Большинство этих писем было посвящено продвижению товаров, предлагаемых интернет-аптеками. По свидетельству экспертов, реклама, распространяемая фармаспамерами, все чаще бывает оформлена единой «картинкой», размещенной в теле письма. В мартовскую пятерку лидеров по рассылке спама, по данным MXLogic, вошли следующие страны: США, Бразилия, Россия, Украина, Индия (указаны в порядке убывания занимаемых позиций). Среди уловок, используемых для распространения вредоносных программ, по-прежнему популярны рассылки фальшивых уведомлений о заказе авиабилетов и рассылки поддельных накладных. Кроме того, в отчетный период исследователи отметили расширение использования злоумышленниками такой формы, как послание от «друга» из социального интернет-сообщества. Зафиксированные в MXLogic сообщения от «Аманды», отосланные якобы с веб-сайта Facebook или Classmates, были снабжены ссылкой на «эротический» видеоролик, размещенный на зараженной веб-странице. В минувшем месяце была также проведена вредоносная спам-рассылка с ботнета Waledac. Самым курьезным спамовым сообщением в марте, по мнению экспертов, было поддельное «нигерийское» уведомление, разосланное от имени мифической службы ФБР, якобы заведующей телеграфными извещениями о денежных переводах из-за рубежа. В этом письме сообщалось, что один из банков Нигерии готов перевести на счет получателя в Банке Америки унаследованные им 30 миллионов долларов. С приближением пасхального сезона исследователи ожидают дальнейшей активизации вредоносных спам-рассылок, в особенности с ботнета Waledac. Увеличится в апреле и поток спама и фишинговых посланий, тематически привязанных к завершению периода налоговой отчетности. Источник: mxlogic.com [PDF 1,14Мб] Waledac работает на спамеров 08.04.2009 По наблюдениям экспертов по сетевой безопасности, ресурсы Waledac с конца марта активно используются для рассылки спама. Одна из последних масштабных спам-рассылок с этого ботнета продвигала веб-сервис Blizzard Image Hosting – легальный ресурс, используемый для хранения и публикации фотоальбомов и графических работ. Разосланные в рамках этой спам-кампании сообщения включали информацию о компании со ссылкой на соответствующий веб-сайт. Поскольку на последнем не было обнаружено ни дополнительной навязчивой рекламы, ни вредоносных программ или эксплойтов, цель данной спам-рассылки пока не ясна. Единственным очевидным результатом стало временное отключение разрекламированного веб-сайта от Сети. Владельцы ресурса обратились к федеральным властям с просьбой провести расследование инцидента. Другая разновидность апрельских спам-рассылок с Waledac была ориентирована на итальянских пользователей, потерявших работу. Все сообщения были написаны на итальянском языке и предлагали размещать рекламу на различных веб-сайтах, работать в крупной корпорации или на дому. Получателю рекомендовалось ответить письмом на указанный адрес Gmail, а в отдельных случаях – указать свое имя и адрес электронной почты. В конце марта в Trend Micro наблюдали всплеск фармаспама, также исходящего с ботнета Waledac. Агрессивные спам-рассылки продвигали сети интернет-аптек Canadian Pharmacy, Pharmacy Express, ED Express, Advanced Laboratories Inc. и пр. Отдельная серия спамовых писем от Waledac предлагала «лицензионное» ПО со скидками 50-95%. Источник: blog.trendmicro.com Источник: scmagazineus.com Ложный антивирус – ложные надежды 08.04.2009 Специалисты по сетевой безопасности обнаружили спам-рассылки, продвигающие сомнительные программные продукты в качестве средства защиты от сетевого червя Conficker, заразившего миллионы theregister.co.uk компьютеров. Conficker, он же Downadup, а в классификации «Лаборатории Касперского» - Net-Worm.Win32.Kido, уже несколько месяцев пользуется пристальным вниманием экспертов в связи с масштабностью его распространения и неопределенностью намерений авторов кибератак. Озабоченность интернет-сообщества серьезностью потенциальной угрозы не ускользнула от внимания сетевых мошенников, навязывающих пользователям бесполезные, а подчас и опасные средства «защиты» методом запугивания (scareware). Исследователи компании Marshal обнаружили ряд спамовых сообщений, написанных от имени разных служб Microsoft, которые извещают получателя, что его ПК заражен червем Conficker. При активации указанной в письме ссылки пользователь перенаправляется на веб-страницу, содержащую разновидность ложного антивируса. Программа имитирует сканирование пользовательской системы, выводит неутешительные результаты и предлагает незамедлительно скачать файл setup.exe и выполнить процедуру очистки. В Symantec зафиксировали другую спам-рассылку, продвигающую некую «новейшую» программу, одноименную с продуктом семейства Norton - AntiVirus 2009. Авторы этой рекламной акции цитируют одного из ведущих аналитиков компании, часто выступающего в СМИ по поводу потенциальной угрозы, связанной с распространением Conficker. В подтверждение эффективности предлагаемого программного продукта в письме приведена даже некая таблица (лестных) сравнительных результатов тестирования AntiVirus 2009 и известных антивирусных программ - Spybot, Kaspersky и AVG. Пройдя по указанной в письме ссылке, пользователь перенаправляется на веб-страницу с инструкцией по оплате продвигаемого средства «защиты». Источник: marshal.com Источник: forums2.symantec.com Спам в марте 2009 г. Татьяна Куликова, "Лаборатория Касперского" Особенности месяца Доля спама в почтовом трафике по сравнению с февралем незначительно снизилась и составила в среднем 86,6%. Доля спама с графическими вложениями выросла на 6% и составила 19%. Ссылки на фишинговые сайты находились в 0,54% всех электронных писем, что на 0,3% меньше, чем в феврале. Вредоносные файлы содержались в 0,01% электронных сообщений, что на 0,19% меньше, чем в прошлом месяце. Резко увеличилась доля рубрики «Реплики элитных товаров». Активизировались SMS-мошенники. В марте наблюдалось большое количество спама с сильным зашумлением контактной информации (телефонов, ICQ). Доля спама в почтовом трафике Доля спама в почтовом трафике в марте 2009 года в среднем составила 86,6%. Самый низкий показатель отмечен 2 марта – 78,8%, больше всего спама зафиксировано 15 числа – 91,7%. Доля спама с графическими вложениями увеличилась на 6% и составила 19%. Фишинг В марте ссылки на фишинговые сайты находились в 0,54% всех электронных писем, что на 0,3% меньше, чем в предыдущем месяце. По-прежнему больше всего фишинг-атак было нацелено на пользователей платежной системы PayPal (41%) и участников интернет-аукциона eBay (28%). Впервые в десятке наиболее популярных мишеней фишеров оказалась файлообменная система Rapidshare, занявшая третье место в рейтинге. Возможно, злоумышленники продают уже оплаченные и используемые премиум-аккаунты другим пользователям по более низкой цене. В русскоязычном спаме первый месяц весны ознаменовался участившимися фишинг-атаками на почтовые хостинги. Фишеры пытались заполучить доступ к почтовым аккаунтам пользователей, под разными предлогами выманивая у них персональные данные. Пожалуй, наибольшую изобретательность спамеры проявили в рассылке сообщений от имени Аntisраm @Mail.Ru Service. Получателю предлагалось подтвердить тот факт, что он не имеет отношения к рассылке спама с его почтового адреса. Для этого необходимо было ввести свой логин и пароль к почтовому ящику в форму, содержащуюся в письме. При подтверждении ввода пользователь перенаправлялся на поддельную страницу сервиса Mail.ru, где его просили еще раз ввести свои персональные данные под предлогом ошибки при предыдущем вводе. Выдать фишеров мог адрес поддельной страницы –www.vkonatkee.tu2.ru. Отметим, что этот сайт уже неоднократно использовался мошенниками при реализации различных фишиг-атак. Тематический состав спама Пятерка лидирующих спам-тематик марта: Реклама спамерских услуг - 18,8% (+3%) Медикаменты; товары и услуги для здоровья - 16,8% (+1,9%) Спам «для взрослых - 14,1% (0%) Образование» - 10,4% (-2,3%) Реплики элитных товаров - 8,8% (+5,2%) Реклама спамерских услуг по-прежнему занимает первое место в рейтинге спам-тематик. На долю таких писем приходится 18,8% всех спам-сообщений – на 3% больше, чем в феврале. Любопытно, что в некоторых рекламных сообщениях, чтобы дискредитировать конкурентов, спамеры предупреждают о возможной недобросовестности других компаний, также предлагающих результативные и дешевые рассылки. В марте значительно расширилась география предлагаемых спам-рассылок. В русскоязычных письмах в качестве альтернативы ставшим уже привычными Москве и Московской области предлагались, в частности, Канада и Грузия. За счет большого количества предложений копий часов известных производителей на 5,2% увеличилась доля рубрики «Реплики элитных товаров». По утверждению спамеров, «реплики» являются «отличным вложением денег во время кризиса». Важно отметить, что доля рубрики «Недвижимость», которая в марте не попала в пятерку лидеров, продолжает расти. За месяц она увеличилась на 0,8% и составила 5,5%. SMS-мошенничество В марте вновь активизировались мошенники, наживающиеся за счет пользователей, отправляющих SMS-сообщения на контролируемые спамерами премиум-номера. В начале месяца мошенники активно эксплуатировали тему Международного женского дня. Так, в одном из разосланных спамовых писем сообщалось, что получатель может получить подарок к празднику, для чего надо отправить якобы бесплатное для жителей России сообщение на короткий номер. Для достоверности спамеры использовали бренд Mail.Ru, однако поле From в письме явно указывало на поддельный характер сообщения. После 8 марта схема мошенничества оставалась прежней, менялся только предлог, под которым мошенники старались вынудить получателей писем отправить дорогостоящие SMS-сообщения. В конце месяца письма стали более краткими, а рассылки –агрессивными. Во всех письмах содержалась ложная информация о том, что отправка сообщения является бесплатной. Спамерские методы и трюки В марте в качестве основного метода преодоления спам-фильтров спамеры избрали зашумление контактной информации. Для замусоривания контактной информации использовались, в частности, символы, из которых составляются смайлики, при этом они менялись от письма к письму. Однако такой прием делает контактную информацию столь трудночитаемой для получателя, что подобную рекламу трудно считать эффективной. Заключение Нестабильность экономики отражается и на спамерском бизнесе. Распространители незапрошенных писем ищут любые способы для того, чтобы остаться на плаву. Вследствие этого тематический состав спама менее постоянен, чем обычно: последние месяцы все чаще можно наблюдать неожиданно резкий рост или, наоборот, значительное уменьшение доли той или иной рубрики. Однако можно установить и некоторые закономерности: процент рубрики «Реклама спамерских услуг» продолжает расти с января месяца, а попытки расширить географию спам-бизнеса могут еще больше увеличить ее долю в спаме. Полную версию статьи читайте на сайте Спамтест. Спам-статистика за период 30 марта – 5 апреля 2009 г. "Лаборатория Касперского" Объем и тематические особенности спама На прошедшей неделе доля спама в почтовом трафике Рунета в среднем составила 82,4%. Тематическое распределение спама на прошлой неделе претерпело значительные изменения. Как и на прошлой неделе, продолжает падать доля рубрики «Спам "для взрослых"» (-5,3%), заметно уменьшились доли тематик «Реклама спамерских услуг» (-5,6%) и «Образование» (-2,6%). Возросли доли рубрик «Медикаменты; товары/услуги для здоровья» (+4,0%), «Недвижимость» (+3,5%) и «Реплики элитных товаров» (+2,5%). Колебания долей других рубрик остались в пределах 2%. Популярные тематики № Тематика Описание Доля тематики Изменения за неделю 1   Медикаменты; товары/услуги для здоровья   Предложения приобрести лекарственные препараты, БАДы и т.п. в online. Предложения медицинских и оздоровительных услуг, а также сопутствующих товаров.   19,3%   +4,0%   2   Реклама спамерских услуг   Предложения организовать спамерскую рассылку, программы для рассылок, базы электронных адресов и т.п.   16,6%   -5,6%   3   Образование   Реклама семинаров, тренингов, курсов   12,6%   -2,6%   4   Другие товары и услуги   Предложения других товаров и услуг   11,7%   -1,5%   5   Реплики элитных товаров   Копии часов, аксессуаров, обуви и других товаров известных марок   9,4%   +2,5%   6   Недвижимость   Предложения сдать/снять недвижимость, строительство, риелторские услуги и пр.   8,9%   +3,5%   7   Спам "для взрослых"   Предложения скачать/получить/ознакомиться с контентом "для взрослых". Знакомства и т.п.   5,2%   -5,3%   8   Отдых и путешествия   Предложения туристических поездок, а также организации и проведения различных развлекательных мероприятий.   4,9%   Без изменений   9   Компьютеры и Интернет   Предложения приобрести ПО, компьютерную технику, расходные материалы; также предложения для владельцев сайтов (хостинг, обмен баннерами и т.п.)   4,0%   +1,3%   10   Юридические услуги и аудит   Предложения юридических услуг   2,9%   +1,0%   11   Личные финансы   Предложения по страхованию, уменьшению кредитной задолженности, выгодным условиям займов и т.п. В подавляющем большинстве англоязычные письма.   2,1%   +1,5%   12   Полиграфия   Визитки, календари, печать, услуги типографии и пр.   Менее 2%   +0,3%   13   Компьютерное мошенничество   Фишинг, "нигерийские" письма, поддельные извещения о выигрыше в лотерею и пр. попытки мошенничества   Менее 2%   -0,9%   14   Остальной спам     Менее 2%   +0,6%   Примеры спамовых писем смотрите на сайте Спамтест. Написать письмо Прислать статью редактору Мнение редакции не всегда совпадает с мнением авторов материалов. Редакция оставляет за собой право не публиковать присланную статью без объяснения причин. Присланные статьи не рецензируются. (C) "Лаборатория Касперского", 1997 - 2009