Интегрированный аналитический отчет: раздел Помогите, декабрь 2009

Настоящей публикацией Антивирусный портал VirusInfo продолжает анонсированный в августе 2009 года цикл статей аналитического характера, посвященных результатам работы [URL="http://virusinfo.info?page=malwareremoval"]лечебного сервиса проекта[/URL] за каждый календарный месяц.


[s]Общая статистика[/s]

По данным [URL="http://virusinfo.info/index.php?page=cyberhelper"]системы "КиберХелпер"[/URL], в течение декабря 2009 года в лечебный сервис VirusInfo поступило [s]2453[/s] заявки на лечение ПК от вирусов, что превышает соответствующий показатель ноября уже более чем на 600 заявок; прирост в этом месяце оказался, таким образом, вдвое большим, чем в предыдущем. Посетители сервиса загрузили в общей сложности [s]1575[/s] архивов карантина, содержавших [s]3364[/s] уникальных файла; из них [s]1094[/s] были признаны безопасными, [s]1576[/s] - вредоносными, подозрительными или потенциально опасными. Сравнивая эти параметры с отчетом за предыдущий месяц, нетрудно заметить, что при существенном росте количества заявок прочие параметры - число архивов карантина и данные по их содержимому - практически не увеличились; это связано в первую очередь со спецификой вирусной обстановки в декабре, о чем будет сказано ниже.


[s]TOP 10 вредоносного программного обеспечения[/s]

По итогам лечебного месяца была сформирована десятка наиболее распространенных образцов вредоносного ПО:

[CODE]
№ Имя Образцов Позиция
1. Trojan.Win32.Chydo.h 62 -
2. Virus.Win32.Sality.aa 36 -
3. Trojan.Win32.Buzus.crty 27 -
4. Trojan.Win32.Patched.fr 25 -
5. Backdoor.Win32.Bredolab.bke 24 -
6. Trojan-Dropper.Win32.Agent.bjpb 19 -
7. Trojan-Dropper.Win32.HDrop.ac 19 -
8. Packed.Win32.Krap.w 19 -
9. Trojan-Downloader.Win32.Piker.avd 18 -
10. Trojan.Win32.Buzus.conk 18 -
[/CODE]

Казалось бы, вопреки ожиданиям род TrojWare не смог занять все места в десятке; напротив, в сравнении с предыдущим месяцем он даже несколько отступил, позволив взять по одному месту представителям VirWare и OtherMalWare. Слабость эта является, однако, кажущейся, как, впрочем, и полное отсутствие в десятке каких-либо представителей поведения Trojan-Ransom. Последнее также может казаться фактом удивительным и противоречащим всем ноябрьским тенденциям и прогнозам, если не принимать во внимание одну-единственную причину.

Дело в том, что основной угрозой в декабре был т.н. "iMax Download Manager", который до сих пор детектируется по упаковщику - Packed.Win32.Krap.w, и его разновидность - "iLite Net Accelerator". Читатели, знакомые со [URL="http://virusinfo.info/showthread.php?t=62966"]спецификой этой вредоносной программы[/URL], знают, что ввиду высокого уровня сложности этой инфекции извлечь карантин с пораженной машины - довольно трудная задача, которая, как правило, остается невыполненной. Именно поэтому указанное вредоносное ПО не занимает "заслуженного" первого места в десятке, хотя оно устойчиво доминировало в практике лечебного сервиса VirusInfo на протяжении всего декабря. В какой-то степени рейтинг за этот месяц можно считать составленным по остаточному принципу.

В декабрьской десятке не удалось удержаться ни одному образцу ВПО из рейтинга за ноябрь; только семейство [B]Trojan.Win32.Buzus[/B] в целом, которое уже не занимает лидирующих позиций и представлено другими образцами вредоносной продукции, смогло в принципе не вылететь из Top 10. Вновь исчезло семейство [s]Backdoor.Win32.SdBot[/s], уже покидавшее пределы десятки в октябре и возвращавшееся в рейтинг по результатам ноября; прогнозировать его дальнейшую активность теперь сложно, и требуется наблюдение в динамике. Из наших "старых знакомых" можно отметить разве что [B]Virus.Win32.Sality[/B], которого все никак не удается извести, несмотря на довольно преклонный для вредоносного ПО возраст, и [B]Trojan.Win32.Patched[/B]. Воскрешение последнего, возможно, связано с подменой системных файлов, которой активно занималась обновленная версия т.н. "Get Accelerator".


[s]"Пойманы нами"[/s]

В декабре 2009 специалистами VirusInfo было обнаружено в общей сложности [s]1366[/s] новых образцов вредоносного программного обеспечения, меньше, чем в предыдущем месяце. Род TrojWare на этот раз отступил к более привычным для него позициям - [B]1013[/B] образцов, или 74% от общего количества новых вредоносных объектов (хотя, безусловно, с учетом потока образцов от "iMax Download Manager" и "iLite Net Accelerator" картина могла бы быть совершенно иной); доля VirWare выросла сразу на 6% и составила 16 процентов, а показатель OtherMalWare увеличился до 10% - 219 и 133 новых образца соответственно. Визуально соотношение родов представлено на диаграмме 1.

[ATTACH]201702[/ATTACH]

В статистике классов уменьшилась доля неклассифицированного троянского ПО (Trojan.Win32) в пределах рода TrojWare - в январе их численность составила лишь [s]399[/s] вредоносных объектов (после 659 в ноябре). На втором месте оказался класс Backdoor - [s]161[/s] представитель; третьим к финишу пришло поведение Trojan-Downloader, представленное [s]101[/s] образцом. Иными словами, в отсутствие внешних раздражителей первая тройка классов TrojWare вновь вернулась к своему традиционному виду.

Количество представителей Trojan-Ransom по причине неуловимости последних продуктов "фабрики вымогателей" резко снизилось и составило всего 71 штуку (в ноябре, напомним, численность этого класса была равна 218 ). Существенно выросло количество дропперов - от 26 до 96; в то же время значительно упали показатели поведения Trojan-GameThief, от 67 до 11 представителей в ноябре и декабре соответственно.

Общее соотношение классов TrojWare отображено на диаграмме 2.

[ATTACH]201703[/ATTACH]

У рода VirWare появился лидер - поведение Worm, увеличившее свою численность до [B]70[/B] образцов. В предыдущем месяце этот класс делил первое место с P2P-Worm, однако в декабре последнее поведение даже не попало в тройку, уменьшившись до 36 образцов. Второе место осталось за классическими вирусами, которых на сей раз набралось [B]50[/B] штук; на заключительной позиции в тройке - вновь сетевые черви, общей численностью [B]48[/B] образцов.

Сколь-либо значимых потрясений, если не считать рост поведения Worm, в роде червей и вирусов не наблюдается. Черви по-прежнему значительно превосходят классические вирусы своей суммарной численностью; относительную популярность сохраняют почтовые, сетевые, пиринговые и обычные черви. В свою очередь, червей для интернет-пейджеров и чат-клиентов мы не видим уже довольно давно.

Итоговое распределение оказалось следующим (диаграмма 3):

[ATTACH]201704[/ATTACH]

Род OtherMalWare по-прежнему уверенно возглавляют подозрительные упаковщики. Как и в предыдущем месяце, их численность составляет почти половину всех представителей рода; в декабре образцов этого поведения набралось [B]65[/B] штук. Еще примерно четверть общего количества OtherMalWare - это рекламные программы, в декабре представленные [B]43[/B] образцами. Третью же позицию разделили классы Monitor и WebToolbar - по [B]4[/B] вредоносных объекта.

OtherMalWare пребывает в устойчивой стагнации: поколебать традиционное распределение мест в пределах этого рода не удается никому и ничему с самого первого нашего аналитического отчета. Единственный заслуживающий внимания факт - укрепление позиций класса Packed, связанное с эпидемией "iMax Download Manager".

Общее соотношение отображено на диаграмме 4.

[ATTACH]201705[/ATTACH]

В статистике семейств наиболее заметны были следующие вредоносные программы:

[s]Trojan.Win32.Buzus[/s] - [s]78[/s] образцов
[s]Backdoor.Win32.Bredolab[/s] - [s]65[/s] образцов
[s]Trojan.Win32.Agent(2)[/s] - [s]61[/s] образец

[s]Worm.Win32.AutoRun[/s] и [s]Virus.Win32.Sality[/s] - [s]37[/s] образцов
[s]P2P-Worm.Win32.Palevo[/s] - [s]35[/s] образцов
[s]Net-Worm.Win32.Kolab[/s] - [s]26[/s] образцов

[s]Packed.Win32.Krap[/s] - [s]41[/s] образец
[s]Packed.Win32.Tadym[/s] - [s]19[/s] образцов
[s]not-a-virus:AdWare.Win32.Altnet[/s] - [s]15[/s] образцов

Полный список вредоносного программного обеспечения, обнаруженного специалистами проекта, доступен в разделе [URL="http://virusinfo.info/forumdisplay.php?f=166"]"Монитор VirusInfo"[/URL].


[s]Общие выводы[/s]

В октябре и ноябре, что было отмечено нами в предыдущих отчетах, имели место эпидемические волны троянских вымогателей, что обусловило высокие доли TrojWare - почти 85% от общего количества вредоносных объектов. В декабре происходили очень мощные атаки продуктов "фабрики вымогателей", однако весьма и весьма малое количество компонентов этого ВПО попало на изучение в лабораторию VirusInfo - в результате чего итоговая статистика оказалась собрана, в сущности, без представителей главных возмутителей эпидемиологической обстановки. Поэтому падение TrojWare до уровня в 74% не должно вводить в заблуждение - их реальная доля была, безусловно, гораздо выше. С учетом масштабов распространения "iMax Download Manager" она могла бы и превзойти 90%.

Можно, однако, связать снижение доли троянского ВПО также и с не очень удачным периодом в жизни семейства [s]Trojan.Win32.Buzus[/s]. Если в предыдущие месяцы специалисты VirusInfo вычищали компьютеры, буквально заполоненные этим вредоносным продуктом (из одной-единственной системы извлекались сотни файлов), то в декабре наступило некоторое затишье. Даже самые завирусованные ПК содержали не более 90 образцов различных вредоносных программ. Что будет дальше и был ли всплеск активности этого семейства разовым явлением - покажет время.

В предновогодний период произошли разительные изменения в статистике некоторых классов, о чем было сказано выше. Продолжается катастрофическое падение воров паролей, которые опустились на данный момент ниже уровня июля - хотя еще в октябре их численность насчитывала 189 образцов. Напрашивается вывод о том, что производство подобных вредоносных программ не является на данный момент выгодным - вполне логично ожидать снижения популярности онлайн-игр к январю. К марту-апрелю, возможно, мы вновь обнаружим рост численности Trojan-GameThief. В свою очередь, увеличилась на 400% популяция дропперов; учитывая особенности декабрьской вирусной обстановки, этого также можно было ожидать - подчас застрявший в системе дроппер был единственным, что могли извлечь консультанты после заражения последними версиями троянских вымогателей. Соответствующая статистика января также не в последнюю очередь будет зависеть от того, какими путями пойдет развитие класса Trojan-Ransom.

VirWare и OtherMalWare, будучи на обочине современного вирусописательства, никаких сюрпризов не преподносят и вряд ли преподнесут в ближайшей перспективе. Разительных перемен в их активности не происходит: производство новых червей, вирусов, нежелательного ПО имеет сейчас вялотекущий характер. Единственный вектор их развития - это класс Packed рода OtherMalWare, поскольку под этим наименованием обычно скрываются те или иные разновидности троянских программ, защищающиеся таким образом от анализа и детектирования.

Статистика семейств по преимуществу подтверждает наметившиеся ранее тенденции: упадок [s]Trojan-GameThief.Win32.Magania[/s], представители которого демонстрировали когда-то 300% рост (в декабре было обнаружено всего 3 новых образца), снижение численности [s]Trojan.Win32.Buzus[/s], относительная стабильность [s]Worm.Win32.Autorun[/s] и [s]P2P-Worm.Win32.Palevo[/s]. Есть в статистике и несколько новых семейств, довольно громко о себе заявивших - [s]Trojan.Win32.Chydo[/s], [s]Trojan-Downloader.Win32.Piker[/s], [s]Trojan-Dropper.Win32.HDrop[/s]. Продолжает активно вредить пользователям и [s]Virus.Win32.Sality[/s]; надо сказать, что в этом месяце вообще имеет место некоторая активизация классических вирусов: откуда-то из небытия выбралось даже семейство [s]Virus.Win32.Neshta[/s]. Небезынтересно будет пронаблюдать дальнейшие движения в этой области в будущем месяце.

Ну и, естественно, нельзя не сказать о [s]Packed.Win32.Krap.w[/s] - своеобразной вершине достижений небезызвестной "фабрики вымогателей". В начале декабря этот вредоносный продукт под самоназванием "iMax Download Manager" (позднее - "iLite Net Accelerator") устроил наиболее широкомасштабную эпидемию за последние три месяца. Надо полагать, что, несмотря на усилия антивирусных консультантов, злоумышленники все же собрали себе "тринадцатую зарплату" под Новый год - по самым приблизительным подсчетам, этим вредоносным ПО оказались поражены десятки тысяч пользовательских компьютеров. Для "iMax Download Manager" Антивирусный портал VirusInfo также выпустил специальный бюллетень в разделе "Инфекция дня" - [URL="http://virusinfo.info/showthread.php?t=62966"]iMax Download Manager или iLite Net Accelerator (Packed.Win32.Krap.w): описание и лечение[/URL].

Стоит, однако, заметить, что постоянный "поиск технического совершенства" довольно быстро привел злоумышленников в тупик. Действительно, ввиду всесторонней блокировки традиционных методов борьбы с вредоносным ПО стандартный скрипт в AVZ пострадавшим уже не предложишь, однако пользователям доступны как алгоритм загрузки в обход операционной системы, так и наиболее простое решение - [URL="http://virusinfo.info/deblocker/"]подбор кода разблокировки[/URL] по тексту, который вредоносное ПО требует отправить в платном SMS-сообщении; вряд ли авторам вымогателей удастся найти способ воспрепятствовать этим двум способам избавить ОС от присутствия их "творений".

В целом, как мы и ожидали, в декабре склонность к активизации троянских вымогателей не только сохранилась, но и достигла новых "высот". В январе результаты нашего наблюдения, по-видимому, будут вновь свидетельствовать о дальнейшем развитии существующих в настоящее время тенденций: злоумышленники продолжают активно эксплуатировать высокую инфекционную емкость социальных сетей, равно как и чрезмерно высокий интерес пользователей к материалам табуированного характера (так, троянские вымогатели нередко распространяются под видом "кодеков", якобы необходимых для просмотра порнографических видеоклипов). Стоит также отметить, что, по косвенным данным, рассматриваемое ВПО постепенно обзаводится некоторым "побочным" функционалом: в частности, поступали сообщения о случаях воровства учетных данных пользователей, чьи компьютеры были поражены продуктами "фабрики вымогателей".

Итак, 2009 год закончился под знаком троянского вымогателя. Посмотрим теперь, под каким знаком начнется год 2010...


[s]Ссылки по теме[/s]

[LIST][*][URL="http://virusinfo.info/showthread.php?t=62697"]Интегрированный аналитический отчет: раздел Помогите, ноябрь 2009[/URL][*][URL="http://virusinfo.info/showthread.php?t=62966"]iMax Download Manager или iLite Net Accelerator (Packed.Win32.Krap.w): описание и лечение[/URL][*][URL="http://virusinfo.info/showthread.php?t=65773"]Кошелек или жизнь: Эволюция "фабрики вымогателей", последний квартал 2009[/URL][/LIST]