Рейтинг источников вредоносных программ

Сайты, посвященные технологиям и телекоммуникациям, заняли первое место в рейтинге источников вредоносных программ и фишинговых атак в начале 2012 года, составленном аналитиками немецкой антивирусной компании G Data, сообщила в понедельник пресс-служба компании. Как утверждают специалисты G Data, сайты о компьютерах, технологиях связи, мобильных новинках, интернете становились источниками вредоносных программ в 16,2% случаев. На втором месте (11,3%) следуют веб-ресурсы, посвященные бизнесу: бизнес-издания, порталы деловых новостей, всевозможные интернет-курсы лекций, сервисы для повышения эффективности бизнеса. В первую десятку рейтинга также попали файлообменники (7,1%), развлекательные порталы с музыкой, фильмами и новостями из мира шоу-бизнеса (5,2%), блоги (3,7%), сайты о путешествиях (3,5%) и игровые порталы (3,3%). "По сути, в настоящее время уже нет безопасных групп или типов сайтов. Исследователи из G Data, однако, отмечают, что тема сайта далеко не всегда является главной причиной увеличения числа заражений. Хакеров в большей степени интересует потенциальное количество недостаточно осведомленных пользователей, которые посетят сайт, и затраты, необходимые для его заражения. Как считают эксперты компании, хакеры чаще выбирают сайты, на которых используется система управления контентом, плагины или программы с уязвимостями, позволяющими делать веб-ресурсы источником распространения вредоносных программ или фишинга. Как правило, разные сайты используют ограниченный набор подобных элементов и одну уязвимость в одном или нескольких таких элементах хакер может использовать для заражения множества сайтов. "Соответственно, популярные стандартные сайты, привлекающие большое количество пользователей, становятся главной мишенью для злоумышленников", - отметили в G Data.

Обнаружен неизвестный язык программирования в троянце Duqu

 В ходе проведения детального анализа вредоносного кода троянца Duqu антивирусные эксперты «Лаборатории Касперского» пришли к выводу, что часть вредоносной программы написана на неизвестном языке программирования. Duqu представляет собой сложную троянскую программу, созданную авторами скандально известного червя Stuxnet. Главная задача Duqu – обеспечить злоумышленникам доступ в систему с целью кражи конфиденциальной информации. Впервые этот троянец был обнаружен в сентябре 2011 года, однако, по данным «Лаборатории Касперского», следы вредоносного кода, имеющего отношение к Duqu, появились еще в августе 2007 года. Специалисты компании зафиксировали более десятка инцидентов, произошедших при участии этого зловреда, причем большинство его жертв находились в Иране. Анализ рода деятельности организаций, пострадавших в результате соответствующих инцидентов, а также характера информации, на получение которой были направлены атаки, позволяет предположить, что основной целью создателей троянца была кража информации об автоматизированных системах управления, используемых в различных отраслях промышленности, а также сбор данных о коммерческих связях целого ряда иранских организаций. Одним из важнейших нерешенных вопросов, связанных с Duqu, является то, как эта троянская программа обменивалась информацией со своими командными серверами (C&C) после заражения компьютера-жертвы. Модуль Duqu, отвечающий за коммуникацию с командными серверами, является частью его библиотеки с основным кодом (Payload DLL). При детальном изучении данной библиотеки эксперты «Лаборатории Касперского» обнаружили, что часть её кода, отвечающая за коммуникацию с командным сервером, написана на неизвестном языке программирования, и назвали этот участок «Фреймворк Duqu». В отличие от остального кода Duqu, Фреймворк Duqu не написан на языке C++ и скомпилирован не при помощи Microsoft's Visual C++ 2008. Возможно, авторы использовали собственные средства разработки для генерации промежуточного кода на C, либо они использовали совершенно иной язык программирования. В любом случае, эксперты пришли к выводу, что язык является объектно-ориентированным и оптимально подходит для разработки сетевых приложений. Язык, использованный в Фреймворке Duqu, является высокоспециализированным. Он позволяет Payload DLL работать независимо от остальных модулей Duqu и обеспечивает подключение к выделенному командному серверу несколькими способами, в т.ч. через Windows HTTP, сетевые сокеты и прокси-серверы. Он также позволяет библиотеке обрабатывать прямые HTTP-запросы от командного сервера, незаметно пересылает копии украденных данных с зараженной машины на командный сервер и даже может доставлять дополнительные вредоносные модули на другие компьютеры в составе сети, т.е. создает возможность контролируемо и скрытно распространять заражение на другие компьютеры.