Компания Microsoft опубликовала отчет, посвященный программе-шпиону SpyEye, в котором приведены данные по распространению этого зловреда, собранные за полтора года с помощью Microsoft Security Essentials, Microsoft Forefront Endpoint Protection и Malicious Software Removal Tool (MSRT).

Исследователи отметили уменьшение популяции SpyEye (в классификации MS Win32/EyeStye, ЛК ― Trojan-Spy.Win32.SpyEyes) с введением его сигнатур в базу MSRT ― средства удаления вредоносных программ, пользовательская база которого превышает 600 миллионов. Этот инструмент детектирует SpyEye с октября прошлого года, и к концу марта успел защитить от него или вылечить около 2,5 млн. компьютеров.    

Наибольшее количество вредоносных файлов онлайн, включая конструкторы, конфигурационные файлы, плагины и скрипты, MS обнаружила на территории Германии (26% зараженных сайтов), Голландии (13%) и США (17%). Однако в текущем году предпочтения SpyEye-ботоводов начали явно смещаться в сторону американского и отчасти британского хостинга.

Эти же страны, согласно показаниям MSRT, входят в ведущую пятерку по числу локальных заражений. С ноября по март включительно в Германии было обнаружено 533,6 тыс. машин, зараженных SpyEye, в Голландии ― 166,7 тыс., в США 95,2 тыс. Сильно страдают от этой напасти также Италия и Великобритания (142,1 и 66,7 тыс. ПК соответственно).

Помимо статистики, отчет Microsoft содержит подробное описание и анализ modus operandi зловредного семейства. Ознакомиться с полным вариантом отчета можно на сайте компании.

We've got our eye on Eyestye http://blogs.technet.com/b/mmpc/archive/2012/07/20/we-ve-got-our-eye-on-eyestye.aspx

Лондонский суд присяжных назначил тюремные сроки уроженцам стран Балтии, грабившим британцев с помощью банковского троянца. 

Британские киберкопы вышли на след преступной группы с подачи эстонских властей. Эстонцы направили коллегам запрос в отношении жителя Таллинна Ильи Закревского, подозреваемого в использовании SpyEye для кражи идентификаторов к британским счетам. Начав расследование, лондонские сыщики обнаружили на своей территории один C&C сервер Закревского и отследили эстонский IP-адрес, с которого ботовод производил подсчет заражений. На время проведения захвата число ботов, привязанных к британскому центру управления, составляло около 1 тыс. 

Компания Sophos предупреждает о вредоносной рассылке, нацеленной на распространение SpyEye под видом обновления для Adobe Flash.

Мошенническое сообщение оформлено в виде запроса Facebook на подтверждение просьбы о закрытии аккаунта, якобы поданной получателем. Для согласия или отмены ему предлагается пройти по указанной ссылке, которая, по свидетельству экспертов, не ведет на служебную страницу социальной сети, но вызывает стороннее приложение, работающее на этой платформе.

При активации мошеннической ссылки появляется сообщение, запрашивающее разрешение на загрузку Java-апплета неопределяемого происхождения. При отказе программа проявляет настойчивость до тех пор, пока пользователь не согласится запустить плагин. Очевидно, злоумышленники сделали ставку на то, что страх потерять ценный профиль заставит потенциальную жертву отважиться на все действия, подсказываемые компьютером, ― вопреки предупреждениям системы безопасности.

При запуске апплета пользователю выводится уведомление о необходимости обновить Adobe Flash. В случае успеха вместо обновления в системную папку будут загружены два вредоносных файла, один из которых был опознан Sophos как вариант SpyEye.

Уже c осени прошлого года разработка головного модуля SpyEye остановилась на версии 1.3.48. Эта версия и доминирует в настоящее время в потоке самплов этого семейства.

Распределение SpyEye по версиям за период с 1 января 2012 г.*
* К другим версиям (7%) относятся 1.2.50, 1.2.58, 1.2.71, 1.2.80, 1.2.82, 1.2.93, 1.3.5, 1.3.9, 1.3.25, 1.3.26, 1.3.30, 1.3.32, 1.3.37, 1.3.41, 1.3.44

То, что автор не развивает платформу, не мешает SpyEye обзаводиться новыми функциями. Все дело в возможности разрабатывать и подключать плагины (библиотеки dll), которые может создать кто угодно. Проанализировав самплы SpyEye с начала года, я насчитал 35 плагинов. Ниже в таблице приведены эти дополнительные модули с указанием количества самплов, в которых они встретились:

Британский студент приговорен к 2 годам и 2 месяцам лишения свободы за создание и хранение программ, предназначенных для использования в мошеннических схемах.

Согласно материалам дела, Эдвард Пирсон (Edward Pearson) появлялся в хакерской среде под ником G-Zero. В отличие от многих «коллег по цеху», атаковавших чужие ресурсы из корыстных побуждений, он видел в хакерстве возможность поупражняться в решении головоломных задач. Следствие установило, что Пирсон причастен к взломам сайтов AOL и Nokia (предположительно к прошлогоднему инциденту на форуме разработчиков приложений), которые он осуществил путем SQL-инъекций, получив доступ к базам данных персонала. Он также создал Python-сканер, с помощью которого обнаружил 200 тыс. уязвимых учетных записей на PayPal.

Иногда сей хакер по призванию делился своими находками на форумах, но никогда не занимался продажей информации, добытой противозаконным путем. При обыске у Пирсона были найдены списки, содержащие свыше 8 млн. имен, дат рождения и почтовых индексов взрослых жителей Великобритании, а также 2,7 тыс. номеров кредитных и платежных карт, по которым при желании он мог бы суммарно получить более 800 тыс. фунтов стерлингов (около 1,3 млн. долл.). Тем не менее, обладая столь обширной базой чужих ID, .молодой человек истратил лишь 2,35 тыс. чужих фунтов (немногим более 3,7 тыс. долл.) на мелкие нужды. Правоохранительные органы заинтересовались Пирсоном благодаря его подружке, обладательнице рокового имени Кассандра, которая опрометчиво пыталась расплатиться в отеле поддельной кредиткой.

Несколько интересных штрихов к портрету старомодного хакера добавил известный американский исследователь Гэри Уорнер (Gary Warner). На одном из хакерских форумов Пирсон именует себя программистом-фрилансером и легальным пентестером, который, тем не менее, умеет писать эксплойты, взламывать сайты на заказ, создавать пуленепробиваемый хостинг, угонять ботнеты. Он также бахвалится, что долгое время экспериментировал со зловредами, занимался хакерством, кражей финансовой информации и другими темными делами.

Однако, по его собственному признанию, даровитый юноша никогда не имел дела с ботами и, ознакомившись с общедоступной версией ZeuS, пришел в восхищение. Он начал активно искать людей, способных посвятить его во все тонкости ремесла ботовода, а также более достойную модификацию полюбившегося троянца, чтобы построить собственную бот-сеть. Очевидно, Пирсон худо-бедно решил новую задачу, так как год спустя на другом теневом форуме появилась торжествующая запись о взломе ботнета, созданного G-Zero на основе SpyEye. В доказательство своих слов автор взлома привел версии SpyEye, используемые неофитом, регистрационные данные к его сайтам и IP-адреса командных серверов ботнета.

Уорнер также пишет, что в хакерской среде было хорошо известно, кто такой G-Zero. Пирсон довольно небрежно обращался с личными данными, нередко регистрировал домены, онлайн-счета и аккаунты на публичных сервисах на свое имя, указывая свой настоящий адрес, ник и email. Посему, когда пробил его час, британским полицейским не составило особого труда опознать владельца почтового ящика eddypearson@gmail.com как G-Zero. И Пирсон, и Кассандра Менним (Cassandra Mennim) признали свою вину по всем пунктам. В отличие от хакера, его подруга получила 1 год условно.

Объединившись с лидерами рынка финансовых услуг, Microsoft с разрешения суда захватила несколько управляющих серверов ZeuS и подала коллективный иск против 39 анонимов, причастных к созданию вредоносного кода и ботнетов на его основе.

В ходе полицейских рейдов на двух американских хостинг-площадках были заблокированы 2 IP-адреса, ассоциированных с наиболее агрессивными ботнетами ZeuS, и получены ценные свидетельства криминальной деятельности. Определить достойные мишени экспертам помогли коллеги из Kyrus Tech. Microsoft также установила контроль над 800 доменами, задействованными в командной инфраструктуре ZeuS, надеясь, что это поможет идентифицировать тысячи зараженных ПК. Процесс очистки планируется проводить во взаимодействии с интернет-провайдерами и национальными CERT (группами быстрого реагирования на компьютерные инциденты).

Троянцы семейства ZeuS продаются на черном рынке в виде тулкитов, позволяющих злоумышленникам создавать собственные ботнеты. За последние 5 лет Microsoft зафиксировала свыше 13 млн. предполагаемых заражений ZeuS по всему миру, включая 3 млн. на территории США. Готовясь к очередной акции против ботоводов, получившей в Microsoft кодовое наименование «операция b71», эксперты решили заняться и ZeuS, и его ближайшими родственниками — SpyEye и Ice-IX. По оценкам MS, совокупный ущерб от этих зловредов составляет около полумиллиарда долларов.

Нанося скоординированный удар по нескольким ботнетам, эксперты не задавались целью надежно вывести их из строя. Ожидается, что данная акция послужит хорошим уроком всем ботоводам ZeuS, поможет ограничить распространение инфекции и выявить главных виновников. Последние пока известны лишь под сетевыми псевдонимами, которые Microsoft скрупулезно перечислила в иске, поданном совместно с ассоциацией электронных платежей NACHA и некоммерческой организацией FS-ISAC (Financial Services Information Sharing and Analysis Center), представляющей интересы американских финансистов.

Примечательно, что в числе прочих законодательных актов, которые нарушает деятельность ботоводов ZeuS, в этом иске упомянут RICO Act (Racketeer Influenced and Corrupt Organizations Act) ― федеральный закон о коррумпированных и находящихся под влиянием рэкетиров организациях, на основе которого обычно рассматриваются уголовные дела ОПГ. Апелляция к этому статуту позволила истцам объединить в одном документе претензии ко всем участникам криминальной деятельности, связанной с ZeuS: вирусописателям, продавцам и покупателям тулкитов, ботоводам, «дроповодам», распространителям зловредного кода и проч.

В перечне законодательных актов, указанных в иске, присутствует также CAN-SPAM, так как одним из важнейших способов распространения ZeuS являются спам-рассылки. Согласно данным, представленным истцами, только вредоносные уведомления об отмене транзакции, распространяемые от имени NACHA, обеспечивают устойчивый спам-поток в 100 млн. писем в месяц.

За вторую декаду октября MSRT (Malicious Software Removal Tool, средство удаления вредоносных программ от Microsoft) очистил от SpyEye больше полумиллиона пользовательских ПК.

Сигнатуры Win32/EyeStye, как его называют эксперты Microsoft, были добавлены в базу MSRT в минувшем месяце. На настоящий момент зловреды этого семейства обнаружены и удалены на 605,825 тыс. компьютерах, работающих под ОС Windows. В итоге SpyEye возглавил десятку лидеров по числу детектов, составленную на основе данных MSRT за период 11-21 октября. По этому показателю он в 3 раза превзошел Sality, и в 8 раз ― ZeuS.

Большинство ПК, зараженных SpyEye, прописаны в Западной Европе. Больше половины срабатываний MSRT зафиксированы в Германии, около 12% ― в Голландии. На долю США пришлось порядка 7,5% обезвреженной популяции данного зловреда. По словам экспертов, SpyEye нередко проникает на компьютеры пользователей через спам или вредоносные ссылки на открытых форумах, препровожденные той или иной социально-инженерной уловкой.

Как известно, разработчик банковского троянца-шпиона SpyEye реализовал поддержку плагинов в своем детище. По задумке автора с помощью этих плагинов сторонние разработчики могут вносить в базовый бот произвольный функционал.

Плагины представляют собой библиотеки DLL, которые хранятся в файле конфигурации бота. Среди базовых плагинов, созданных самим раработчиком SpyEye, имеется плагин под названием customconnector. Как можно догадаться из названия, этот плагин отвечает за коммуникацию бота с центром управления ботнета или же с коллектором (сервер злоумышленников, на который бот отправляет украденные с зараженного компьютера данные пользователя; может отличаться от сервера – центра управления).

Поскольку автор SpyEye вынес коммуникацию бота с центром управления на стороннюю разработку, у различных операторов ботнетов SpyEye появилась возможность создания уникальных протоколов общения бота и сервера управления. Использование таких протоколов, безусловно, могло бы усложнить слежение за активностью ботнетов, построенных на базе SpyEye. Но воспользоваться этой возможностью злоумышленники не спешат: старый протокол общения SpyEye, реализованный в базовой поставке customconnector.dll, используется по сей день. Недавно мы все-таки обнаружили кое-какие изменения, связанные с этим плагином.

Эксперты Trusteer обнаружили новый трюк в арсенале троянской программы SpyEye. Комбинация MitB-атаки (man in the browser injection) и элементов социального инжиниринга позволяет злоумышленнику подменить номер телефона, привязанный к учетной записи жертвы в системе онлайн-банкинга, и беспрепятственно проводить финансовые операции от ее имени.

При использовании банком двухуровневой системы аутентификации на мобильный телефон регистранта высылается SMS с кодом, который надлежит ввести в веб-форму, чтобы подтвердить законность транзакции. Дополнительный маневр, взятый на вооружение SpyEye, гарантирует пересылку этих кодов на номер, контролируемый злоумышленниками. Легализовать этот номер в системе онлайн-банкинга помогает, сам того не ведая, владелец зараженной машины.

В соответствии с новым сценарием троянская атака проводится в два этапа. Вначале резидентный SpyEye, реализуя стандартный функционал, крадет регистрационные данные к целевому аккаунту. Затем при первом же заходе пользователя на сайт банка он на лету подменяет страницу, запрашивая от имени администрации текущий персональный код, якобы для завершения регистрации на новом бесплатном сервисе безопасности. В случае положительного отклика злоумышленники получают идентификатор, необходимый для авторизации изменений (замены номера телефона) в учетной записи клиента. Клиенту же сообщают, что в целях усиления защиты от мошенничества ему будет выделен особый телефонный номер, а соответствующая SIM-карта выслана по почте.

Судя по оформлению фальшивой страницы, оказавшейся в распоряжении исследователей, данная атака ориентирована на испаноязычную аудиторию. Во избежание неприятностей клиентам системы онлайн-банкинга рекомендуется, помимо надежного антивируса, использовать специальную защиту от MitB-атак.

По утверждению Trend Micro, некий младой россиянин по кличке Soldier (Солдат), используя SpyEye и ZeuS, за полгода украл у американцев свыше 3,2 млн. долларов.

Как показывают наблюдения исследователей, хакер распространяет шпионских зловредов с помощью наборов эксплойтов, завлекая пользователей на зараженные сайты путем подмены результатов поисковой выдачи (черная оптимизация). У него есть пара сообщников в Калифорнии, которые руководят действиями местных наемников, помогающих отмывать украденные капиталы.

Основным полем деятельности Soldier является американский сектор интернета. Он даже покупает местный трафик у других хакеров. По данным Trend Micro, с апреля по июнь в его сети попали более 25 тыс. владельцев ПК, подавляющее большинство которых базируются на территории США. Среди них ― госслужащие, сотрудники военных ведомств, научно-исследовательских, образовательных и финансовых учреждений. Отдельные заражения обнаружены также в других странах общим числом свыше 90. Больше половины жертв Soldier используют ОС Windows XP, около 4,5 тысяч ― Windows 7.

Помимо банковских реквизитов, российского ботовода интересуют персональные идентификаторы, в особенности те, что обеспечивают вход на Facebook, сервисы Yahoo, Google и Windows Live. Trend Micro заблокировала своим клиентам доступ к зараженным сайтам и развернула кампанию по оповещению пострадавших.