Первая эпидемия 2010 года и другие вирусные события января

В январе 2010 года основное количество обращений пользователей по поводу активных заражений было связано с семейством вредоносных программ Trojan.Winlock. Подавляющее большинство схем, использованных злоумышленниками в январе, основывалось на оплате через SMS-сообщения. Также в прошлом месяце были зафиксированы усовершенствованные методы монетизации преступных доходов киберпреступников и новые способы распространения вредоносных программ.

Блокировщики Windows

Основным событием января стало широкое распространение многочисленных модификаций Trojan.Winlock. Данная вредоносная программа после заражения системы отображает поверх всех окон, открытых в Windows, свое окно, которое невозможно закрыть до ввода кода, и препятствует нормальной работе некоторых программ, установленных на компьютере. Злоумышленники предлагают получить данный код с помощью отправки платного SMS-сообщения. Стоимость таких сообщений в январе колебалась от 300 до 600 рублей за разблокировку одного компьютера.

Сервер статистики компании «Доктор Веб» за январь зафиксировал более 850000 определений Trojan.Winlock на системах, защищенных антивирусными продуктами Dr.Web (учитываются пользователи Dr.Web Enterprise Suite и услуги «Антивирус Dr.Web»). Эта цифра в 2,15 раза превышает аналогичный показатель декабря 2009 года и в 23,4 раза превышает данные ноября 2009 года. Таким образом, речь идет о широкомасштабной эпидемии Trojan.Winlock в России и Украине. В прошедшем месяце несколько миллионов пользователей заразились этой вредоносной программой.

Интернет-сообщество в январе не на шутку обеспокоилось проблемой блокировщиков Windows. Результаты широкой огласки проблемы не заставили себя долго ждать. Провайдеры коротких номеров бесплатно предоставляют коды разблокировки пользователям зараженных систем. Сотовые операторы вводят сервисы, позволяющие их клиентам определить точную стоимость SMS сообщения перед его отправкой. Антивирусные компании также предоставляют инструменты для противодействия Trojan.Winlock.

22 января компания «Доктор Веб» открыла специальную страницу сайта, на которой бесплатно генерируются коды разблокировки Windows (за неделю на ней было зарегестрировано более 1000000 посещений). Также были выпущены несколько вариантов утилиты Dr.Web CureIt!, с помощью которых можно вылечить зараженный компьютер.

SMS-мошенничество

Легкость монетизации доходов, полученных с помощью платных SMS-сообщений, не давала покоя не только авторам многочисленных модификаций Trojan.Winlock. На фоне блокировщиков Windows создавались вредоносные сайты, предлагающие несуществующие услуги и программное обеспечение, обладающее фантастическими свойствами.

Пользователям предлагались онлайновые лжеантивирусы, которые на любом компьютере находили одинаковые вирусы в одних и тех же файлах; перехватчики ICQ- и SMS-сообщений с других телефонов; ПО, позволяющее управлять другими телефонами; мобильные сканеры, якобы «раздевающие» человека, на которого направлена камера мобильного телефона, и другие подобные услуги и ПО.

В подавляющем большинстве случаев оплата этих «услуг» и ПО производится посредством SMS-сообщений. Правда, в конце января некоторые владельцы подобных вредоносных сайтов стали испытывать проблемы с организацией оплаты через SMS на короткие времена ввиду того, что данные системы оплаты оказались под пристальным вниманием агрегаторов коротких номеров, сотовых операторов и правоохранительных органов из-за эпидемии Trojan.Winlock. Поэтому злоумышленники возвращаются к использовавшимся ранее схемам оплаты (например, с помощью системы электронных платежей WebMoney), а также изобретают новые способы получения денег от пользователей-жертв.

Новые схемы монетизации преступных доходов

В январе среди мошенников начала набирать популярность новая схема оплаты услуг со счетов мобильных телефонов. Схема заключается в том, что на сайте, предлагающем услугу, пользователь вводит номер своего мобильного телефона, а в обратном SMS-сообщении получает ссылку, по которой услуга активируется. В дальнейшем деньги за пользование услугой списываются со счета мобильного телефона автоматически.

Вредоносность такой схемы заключается в том, что любой человек может ввести номер телефона, не принадлежащего ему, а сообщения со ссылками активации услуги носят, на первый взгляд, безобидный характер. Например, в таких сообщениях может говориться о том, что пользователю прислали фотографию или ссылку на видеоролик. В целях сохранения денежных средств на счетах мобильных телефонов пользователей компания «Доктор Веб» настоятельно рекомендует не открывать ссылки, которые приходят в SMS-сообщениях.

Также в последние недели начала встречаться схема передачи злоумышленникам денег за якобы услуги с помощью звонка на платный телефон длительностью не менее определенного времени.

Новые способы распространения вредоносных программ и спама

В январе злоумышленники использовали новые способы передачи пользователям вредоносных программ. В частности, специалистами «Доктор Веб» были зафиксированы спам-рассылки с вложенными torrent-файлами, с помощью которых пользователю предлагалось загрузить с торрент-трекера, не требующего регистрации, якобы электронные открытки, которые на самом деле являлись вредоносными программами. Почтовые серверы пропускают такие письма, так как сам по себе torrent-файл не содержит вредоносного кода.

Кроме того, спамеры стали использовать новые способы передачи больших объемов информации. В частности, фиксировались спам-рассылки к которым были прикреплены mp3-файлы с лекциями, продолжительность которых составляла около часа. Также распространялись спам-сообщения со ссылками на видеоролики, расположенные на сайтах злоумышленников и выложенные на сервисе YouTube.

Советы пользователям для предупреждения заражения системы Trojan.Winlock и другими актуальными вредоносными программами

Установите лицензионный антивирус и обновляйте его согласно рекомендациям производителя.

Используйте альтернативные интернет-браузеры (Mozilla Firefox, Opera или Google Chrome) и своевременно устанавливайте рекомендуемые их разработчиками обновления безопасности.

Своевременно устанавливайте актуальные обновления безопасности на используемую операционную систему.

Не пользуйтесь услугами сайтов, которые отображаются в виде дополнительных всплывающих рекламных окон, — такие всплывающие окна находятся в зоне риска.

Если на сайте для просмотра чего-либо предлагается скачать кодек или другую программу для просмотра, откажитесь от этого предложения, записав название требуемого кодека. Зайдите на официальный сайт производителя кодека, загрузите и установите это ПО к себе на компьютер. Во многих случаях Trojan.Winlock загружается под видом ПО, предназначенного для просмотра контента сайтов.

Советы пользователям по лечению Trojan.Winlock

Если на экране поверх всех окон отображается окно с требованием отправить SMS-сообщение на короткий номер, данное окно невозможно закрыть и оно отображается даже в Безопасном режиме работы Windows, значит, Вы заразились одной из многочисленных модификаций Trojan.Winlock.

Ни в коем случае не отправляйте платные SMS злоумышленникам. Каждое отосланное сообщение поддерживает киберпреступников материально, помогая им создавать новые модификации Trojan.Winlock.

Зайдите на страницу разблокировки. 

Скачайте специальный вариант Dr.Web CureIt! и используйте данную утилиту для лечения системы от Trojan.Winlock.

Зайдите на сайт и скачайте Dr.Web LiveCD. После лечения с помощью Dr.Web LiveCD рекомендуется просканировать систему Dr.Web CureIt!.

Обратитесь на официальный форум компании «Доктор Веб» в раздел «Помощь по лечению». 

Позвоните провайдеру короткого номера и потребуйте предоставить код разблокировки бесплатно в связи с тем, что вы пострадали от действий злоумышленников при посредстве провайдера короткого номера.

Количество вредоносных программ в январе во всем почтовом трафике относительно декабря 2009 года сократилось на 30%. Доля вредоносных программ среди всех проверенных файлов на компьютерах пользователей сократилась на 35%. Вероятно, данное снижение является коррекцией после увеличения в прошлом месяце доли вредоносного трафика среди проверенных объектов более чем в 2 раза.

Вредоносные файлы, обнаруженные в январе в почтовом трафике

01.01.2010 00:00 — 01.02.2010 00:00 
1. Trojan.DownLoad.37236 — 13268129 (12.99%)
2. Trojan.DownLoad.47256 — 10044467 (9.84%)
3. Trojan.MulDrop.40896 — 7096903 (6.95%)
4. Trojan.Fakealert.5115 — 7023800 (6.88%)
5. Win32.HLLM.MyDoom.44 — 6490377 (6.36%)
6. Trojan.Packed.683 — 5749108 (5.63%)
7. Trojan.Fakealert.5238 — 5261760 (5.15%)
8. Win32.HLLM.Netsky.35328 — 4772813 (4.67%)
9. Trojan.DownLoad.50246 — 4051880 (3.97%)
10. Trojan.Botnetlog.zip — 3758307 (3.68%)
11. Trojan.Fakealert.5825 — 3442880 (3.37%)
12. Trojan.Fakealert.5437 — 2517200 (2.47%)
13. Win32.HLLM.MyDoom.33808 — 2392000 (2.34%)
14. Trojan.Fakealert.5356 — 2281720 (2.23%)
15. Trojan.Fakealert.5784 — 1973160 (1.93%)
16. Trojan.PWS.Panda.122 — 1851377 (1.81%)
17. Trojan.Fakealert.5229 — 1835120 (1.80%)
18. Trojan.Fakealert.5457 — 1607760 (1.57%)
19. Trojan.Siggen.18256 — 1526581 (1.49%)
20. Win32.HLLM.Beagle — 1505664 (1.47%)

Всего проверено: 139,350,636,730
Инфицировано: 102,115,886 (0.07%)

Вредоносные файлы, обнаруженные в январе на компьютерах пользователей

01.01.2010 00:00 — 01.02.2010 00:00 
1. Win32.HLLM.MyDoom.49 — 4020788 (16.80%)
2. Win32.HLLM.Netsky.35328 — 1637229 (6.84%)
3. Win32.HLLW.Gavir.ini — 1081250 (4.52%)
4. Trojan.WinSpy.440 — 1053086 (4.40%)
5. Trojan.AppActXComp — 907785 (3.79%)
6. Trojan.AuxSpy.137 — 734318 (3.07%)
7. Win32.HLLM.Beagle — 656944 (2.74%)
8. Win32.HLLM.MyDoom.33808 — 646730 (2.70%)
9. Trojan.PWS.Gamania.23481 — 623699 (2.61%)
10. Trojan.MulDrop.16727 — 584477 (2.44%)
11. Win32.HLLW.Shadow — 513252 (2.14%)
12. Win32.Virut.5 — 493248 (2.06%)
13. Win32.HLLW.Shadow.based — 380166 (1.59%)
14. Trojan.MulDrop.13408 — 325488 (1.36%)
15. JS.Popup.1 — 316857 (1.32%)
16. Win32.Virut.14 — 295463 (1.23%)
17. Win32.HLLW.Kazaa.17 — 263143 (1.10%)
18. Win32.Alman.1 — 261298 (1.09%)
19. Exploit.MySql.11 — 260470 (1.09%)
20. Trojan.Winlock.715 — 256356 (1.07%)

Всего проверено: 169,874,198,147
Инфицировано: 23,938,315 (0.01%)