Новостной дайджест компании Trend Micro

Спам с защищенными паролем файлами в формате ZIP с информацией о грузино-осетинском конфликте (Мэри Эрмитано, специалист по обнаружению актов мошенничества).

Мошенники, рассылающие спам, куют железо, пока горячо.
Менее чем через сутки после того как были разосланы вредоносные сообщения с фальшивыми ссылками на информационные ресурсы, якобы содержащие последние новости о недавнем конфликте между Россией и Грузией, специалисты группы защиты от угроз Trend Micro обнаружили очередной поток спама.
К сообщению прикреплен защищенный паролем файл Georgia.zip в формате ZIP. Пароль к файлу не позволяет фильтру почтовой программы проверить вложение на наличие вредоносного содержания. В данном случае система защиты распознала сам файл .ZIP еще до того, как пользователи открыли его. Система Trend Micro определила этот файл как WORM_DLOAD.RAR.
После введения пароля, указанного в нижней части сообщения («attach password: 123», что значит «пароль: 123»), оказывается, что в архиве .ZIP содержится исполняемый файл Joined.exe, который система защиты определила как TROJ_DLOADER.UAF.
После выполнения программа TROJ_DLOADER.UAF устанавливает соединение с другим хостом и загружает дополнительные компоненты, а именно фиктивный антивирус (TROJ_FAKEALRT), который показывает на экране фальшивые сообщения о заражении системы. Мошенники рассчитывают на то, что пользователь решит купить фиктивный антивирус, чтобы устранить мнимую угрозу. В результате на компьютере жертвы появляется совсем ненужная программа, а сам пользователь лишается определенной суммы денег.
Теперь от этой угрозы пользователи защищены продуктом Trend Micro Smart Protection Network.
Недавний российско-грузинский конфликт, в ходе которого российские войска вторглись на территорию Грузии и нанесли вред множеству мирных жителей, вызвал волну беспокойства по всему миру. Спам, содержащий подобные фиктивные ссылки на информационные ресурсы, побуждает пользователей щелкнуть на вредоносной ссылке, чтобы получить новости о последних событиях. Только за последний месяц мошенники многократно использовали идею рассылки сообщений, якобы содержащих новости службы CNN.

Атака на сайт Photobucket
(Сара Калонан, специалист по обнаружению актов мошенничества)

Ресурс Photobucket на сегодняшний день является одним из крупнейших сайтов для обмена фотографиями. Он используются для размещения личных фотоальбомов, удаленного хранения видеозаписей, а также аватаров, отображаемых в интернет-форумах.
Некоторые пользователи защищают доступ к своим альбомам при помощи пароля, другие делают их доступными для всеобщего просмотра. Теперь этот сайт подвергся атаке фишеров.
Фиктивная начальная страница сайта внешне идентична настоящей странице, и поэтому пользователи без колебаний указывают свое имя и пароль.
Благодаря идентификационным данным злоумышленники получают полный доступ к личным страницам Photobucket других пользователей и размещают на них вредоносный код.
Сайты для размещения фотографий пользуются большой популярностью, которая растет с каждым днем. В отчете Маккэнна, опубликованном в марте этого года, говорится, что 63.2% всех активных пользователей интернета ежедневно посещают сайты, предназначенные для обмена фотографиями. Поэтому естественно, что подобные интернет-ресурсы подвержены атакам злоумышленников.

Безупречная атака на MobileMe
(Джови Юмауинг (технические средства связи)

Умело. Очень трудно обнаружить. Очень своевременно.
Эти слова были использованы не для восхваления фишеров, а для того, чтобы мы осознали, насколько фишинг продвинулся вперед, и поняли, к чему это неизбежно приведет.
Питер Коэн из компании MacWorld обнаружил новую схему мошенничества, направленную против пользователей MobileMe, нового интернет-сервиса от компании Apple, выпущенного взамен службы .Mac (произносится “Дот Мак”). Безукоризненный дизайн и профессиональный текст вредоносного сообщения, якобы отправленного компанией Apple, отличают это письмо от обычного спама и не дают повода предположить, что оно фальшивое.
Все указанные в письме ссылки ведут на официальные страницы компании Apple, кроме одной («clicking here» — «щелкните здесь»), которая ведет на фишинговый сайт. После щелчка на этой ссылке открывается сайт http://www.{BLOCKED}tevideos.net/store.apple.com/us, никак не связанный с компанией Apple. На странице, которая выглядит как официальная страница Apple, пользователю предлагается указать свои финансовые данные.
Далее Коэн выяснил, что эта ссылка зарегистрирована в Румынии на одной из личных страниц Gmail, которая тоже предположительно является фальшивой.
Джастин Берка из Ars Technica пишeт, что эта новая схема мошенничества запущена в действие как раз вовремя, так как служба MobileMe в этом месяце испытывает трудности со счетами, и фальшивые сообщения покажутся ничего не подозревающим пользователям Apple весьма своевременными.

Опубликовано: 18 сентября 2008 г.

Ключевые слова: нет

Извините, комментариев пока нет