Зима – время морозов, горнолыжных курортов и распродаж. Самое время для того, чтобы утеплиться, купить новую горнолыжную куртку или же просто обновить гардероб.

Предприимчивые мошенники активно пользуются интересом покупателей к распродажам и создают поддельные онлайн-магазины, которые якобы продают зимнюю одежду топовых брендов. На сайты таких «магазинов» покупателей заманивают скидками на товары.

Неплохие скидки на куртки “The North Face” на фальшивом сайте

Огромные скидки на товары модного бренда «Burberry» на фальшивом сайте

Цель мошенников – заполучить персональные данные пользователей. Если на таком сайте ввести всю необходимую для оплаты кредитной картой информацию (номер кредитной карты, фамилию и имя держателя карты, срок действия карты и секретный номер cvv), она попадает к злоумышленникам, а покупатель останется не только без оплаченного товара, но и без средств на счете.

Напомним, что мошенничество такого рода называется фишингом.

Сайтов фальшивых онлайн-магазинов в Сети много, и сделаны они качественно.

Фальшивые сайты

Нередко их дизайн в точности повторяет дизайн настоящих магазинов мировых брендов. Поэтому отличить поддельный сайт от официального очень нелегко.

Официальный сайт бренда «Burberry»

Сайт-подделка под «Burberry»

Как распознать фальшивки?

Первым делом стоит обратить внимание на адрес сайта. Имя домена может отличаться от оригинала всего на несколько символов или же представлять собой случайный набор букв.

Например: адрес официального сайта “The North Face”— http://www.thenorthface.com/en_US/, тогда как адрес одного из поддельных сайтов — http://www.northfacejacketsusa.com.

Официальный сайт одежды «The North Face»

Сайт – подделка под сайт магазина «The North Face»

Для распознания подделок могут помочь так называемые WHOIS-сервисы. Например, домен, на котором расположен фальшивый магазин “The North Face”, зарегистрирован на физическое лицо — некого Dao Ming:

WHOIS-информация о домене, на котором находится настоящий магазин одежды “The North Face”, выглядит так:

Мы видим, что домен настоящего онлайн-магазина зарегистрирован на юридическое лицо, компанию “The North Face Apparel Corp.”

Неубедительно выглядит и WHOIS-информация домена фальшивого магазина «Burberry»:

Домен также зарегистрирован на физическое лицо fuke max и оплачен на короткий срок — всего лишь на год, — что является одним из отличительных признаков всех фишинговых сайтов.

Еще одним признаком фишингового «магазина» является страница оплаты. Уважающие себя легитимные интернет-магазины все платежи проводят только через защищенные соединения. Страница, где пользователя просят ввести данные для оплаты покупки, должна иметь безопасное соединение по протоколу https, адреса легитимных страниц начинаются с https://. Возьмем для примера официальный сайт Beats: нажав “checkout”, покупатель попадет на страницу оплаты покупки, соединение которой защищено с помощью https.

Страница оплаты легитимного онлайн-магазина защищенное соединение https

На фишинговых сайтах защищенные соединения не используются. Как видно на скриншоте ниже, на странице используется незащищенный протокол Http, хотя на сайте и утверждается обратное.

Оплата происходит через мошенническую страницу, имитирующую страницу безопасной платежной системы

Таким образом, конфиденциальная информация о покупателе и данные его кредитной карты, введенные на этой странице, могут стать добычей мошенников.

В завершении еще раз хочу предупредить: будьте бдительны, не заходите на сайты онлайн магазинов, кликая по ссылкам в почтовых сообщениях, рекламным баннерам и ссылкам в социальных сетях. Если вы знаете адрес магазина, который вам нужен, лучше набирать его вручную, а не пользоваться ссылками в рекламе. К сожалению, не безопасны и ссылки на странице поиска. Мошенники нередко пользуются методами «черной» поисковой оптимизации, в результате в поисковой выдаче ссылки на фишинговые сайты могут стоять выше легитимных.

Внимательно смотрите на адреса сайтов и проверяйте, используется ли безопасное соединение при оплате. Вводите свои персональные данные только на тех страницах оплаты, адреса которых начинаются с https (а не с http)!

Подробнее о том, как безопасно делать покупки в интернете, можно прочесть здесь.

По данным компании Internet Identity (IID), специализирующейся на защите сетевых ресурсов, в начале нового года DNS Changer был обнаружен в сетях половины Fortune-500 компаний и ключевых федеральных служб США.

Одноименный ботнет, использовавшийся операторами для перенаправления трафика на рекламные сайты заказчиков, был обезврежен в минувшем ноябре. Американские власти при поддержке зарубежных коллег временно отключили основные DNS-серверы ботнета, заменив их подставными. Однако процесс идентификации и очистки зараженных машин далек от завершения, а срок поддержки альтернативных DNS-каналов истекает 8 марта. После этой даты владельцы инфицированных ресурсов рискуют остаться без интернета. Кроме того, резидентный DNS Changer препятствует обновлению ОС и антивирусных баз на зараженной машине, лишая жертву защиты от других зловредов.

Чтобы не повторилась история с Conficker, который до сих пор обитает на миллионах пользовательских ПК, представители ИТ-индустрии и федеральные власти создали специализированную рабочую группу, к которой присоединилась и IID. Подробные инструкции по локализации и очистке DNS Changer можно получить у любого участника рабочей группы, их список опубликован на общем веб-сайте. Корпоративные пользователи могут напрямую связаться с IID, обратившись к разделу «Контакты» на сайте компании.

Компания Adobe объявила о выпуске бета-версии Flash Player, снабженной «песочницей», для Mozilla Firefox.

Flash Player Protected Mode использует тот же механизм, который был реализован больше года назад в Adobe Reader X. Загружаемый объект (в данном случае swf-файл) обрабатывается в изолированной среде; все запросы на действия, требующие повышения привилегий, подаются через посредника («брокера»), реакция которого определена жестким набором правил и корректируется белыми списками.

Такой подход не избавляет от попыток эксплуатации брешей в популярном приложении, но помогает существенно ограничить неприятные последствия таких кибератак, усложняя задачу вирусописателям. С момента взятия «песочницы» на вооружение Adobe не зафиксировала ни одной успешной itw-атаки на Reader X. Работа Flash Player в безопасном режиме тоже доказала свою эффективность ― в этом уже имели возможность убедиться пользователи Google Chrome. Разработчики надеются, что интеграция Flash Player Protected Mode в Firefox окажется не менее полезной, и обещают перенести опыт на другие браузеры.

Безопасный режим Flash Player доступен для версий Firefox 4.0 и выше, работающих под Windows Vista или Windows 7. Пробная сборка пока предлагается для скачивания лишь сообществу разработчиков, актуальная информация уже опубликована на сайте компании. Результаты бета-тестирования будут учтены при подготовке финальной версии, выпуск которой запланирован на текущий год.

Google объявила о запуске нового защитного сервиса, который будет автоматически проверять Android Market на наличие вредоносного контента.

Система Bouncer подвергает анализу новые и уже загруженные приложения, а также учетные записи разработчиков. Как только продукт появляется на сайте, он подвергается проверке по антивирусной базе. Bouncer также прогоняет новую программу на симуляторе, отслеживая признаки потенциальной угрозы, и производит сравнение с проанализированными ранее приложениями. Проверка репутации разработчиков введена с целью пресечения нежелательных рецидивов.

По словам Google, новый сканер был запущен в тестовом режиме в прошлом году и уже позволил сократить число зловредных загрузок на 40%. В условиях роста интернет-угроз, ориентированных на платформу Android, это можно считать серьезным достижением, если только этот спад не является следствием низкой эффективности нововведения. Последняя авральная чистка Android Market от зловредов была проведена в середине декабря, и SMS-троянцев в магазине Google обнаружил не Bouncer, а сторонние эксперты.

Справедливости ради стоит отметить, что разработчики Android снабдили свое детище средствами самозащиты. Они реализовали на этой платформе «песочницу» и встроили систему запроса привилегий для приложений. К сожалению, практика показывает, что при установке новых программ многие пользователи игнорируют этот список, выводимый на экран, и бездумно соглашаются со всеми требованиями.

Безусловно, введение нового уровня защиты на Android Market можно только приветствовать, хотя более настоятельная проблема пока не решена. С нетерпением ждем от Google новостей об исправлении ситуации с обновлениями и о сокращении сроков закрытия уязвимостей по клиентской базе.

Группа организаций-участниц проекта DMARC.org опубликовала спецификации нового механизма, призванного повысить эффективность процесса аутентификации источников электронных сообщений и уменьшить риски в отношении абьюзов.

Существенным недостатком существующих технологий аутентификации, таких как SPF и DKIM, является отсутствие обратной связи между получателем и легальным отправителем. В такой ситуации почтовый провайдер, применяющий эти механизмы, достоверно не знает, в каком объеме ими пользуется отправитель. Посему он вынужден полагаться на сложные и далекие от совершенства методики, чтобы как-то различать мошеннические подделки и легитимные сообщения, не обеспеченные средствами проверки на подлинность.

Протокол DMARC (Domain-based Message Authentication, Reporting and Conformance) призван освободить оператора почтового сервиса от игры в «угадайку», помогая ему поддерживать тесную взаимосвязь с массовым отправителем. Он определяет интеграцию техник аутентификации в инфраструктуру отправителя и позволяет сигнализировать интернет-провайдерам о наличии таких средств защиты, а также публиковать политику в отношении писем, не прошедших проверку на аутентичность (например, отправлять их в спам-карантин или блокировать). DMARC предусматривает также получение от провайдера подробной статистики, позволяющей корректировать возможные упущения.

Разработчики новой технологии надеются, что ее освоение ускорит повсеместное развертывание систем аутентификации и создание доверенной среды. Безусловно, DMARC предполагает поддержку как на стороне отправителя, так и на стороне получателя, однако у этого протокола уже есть солидная база: его полтора года активно используют 15 участников проекта. Среди них ― ведущие почтовые сервисы (AOL, Gmail, Hotmail, Yahoo), финансовые организации (Bank of America, Fidelity Investments, PayPal), социальные службы (American Greetings, Facebook, LinkedIn), поставщики защитных решений (Agari, Cloudmark, eCert, Return Path, Trusted Domain Project). По оценке Google, в настоящее время около 15% легитимных писем на ее почтовом сервисе приходит с доменов, поддерживающих DMARC.

Возможно, внедрение новшества потребует дополнительных усилий по обеспечению приватности, а также финансовых затрат. Последние, по мнению участников проекта, не должны оказаться обременительными, так как новый протокол предполагает использование действующих стандартов и технологий. Разумеется, DMARC не гарантирует 100%-ную защиту от фишинга, но поможет оперативно отсеивать явные подделки. Авторы разработки предлагают использовать новую технологию в дополнение к существующим механизмам аутентификации. Заинтересованные организации могут ознакомиться с рабочим вариантом спецификаций на сайте DMARC.org. Новый протокол будет представлен на февральских конференциях MAAWG и RSA. После его обкатки в полевых условиях участники проекта планируют обратиться в IETF для утверждения DMARC в качестве отраслевого стандарта.

По данным Imperva, в июне-ноябре интенсивность попыток эксплойта уязвимостей в веб-приложениях, осуществляемых с помощью ботнетов, в среднем составляла 130-385 тыс. в месяц. На пике этот показатель взмывал почти до 38 тыс. в час (10 запросов в секунду).

К 30 объектам, отобранным для мониторинга полгода назад, эксперты добавили еще десяток популярных программ и расширили классификацию вредоносного трафика до 7 категорий. Как показывает статистика, хакеры отдают предпочтение «техничным» методикам, основанным на эксплойте типовых уязвимостей, которые, к сожалению, нетрудно отыскать. Наибольшее распространение получили такие техники, как RFI (Remote File Inclusion), SQL-инъекции, LFI (Local File Inclusion), XSS и DT (Directory Traversal). На долю двух последних пришлось больше половины вредоносного трафика, зафиксированного в отчетный период.

В новом отчете Imperva рассматривает также 2 новых разновидности кибератак, которые она называет business logic attacks, BLA ― атаки, использующие логику бизнес-приложения. Данная техника не нарушает функционала атакуемой программы и использует легальные входные значения, поэтому такой абьюз трудно обнаружить. Путем несложных манипуляций атакующий может выудить из приложения приватную информацию, изменить объем совместно используемых ресурсов, исказить данные, находящиеся в общем доступе, и т.п. ― зачастую в обход защитных механизмов.

Эксперты различают две вида BLA: коммент-спам и извлечение email-адресов. Оба легко поддаются автоматизации, а их результаты приносят хакерам материальную выгоду. Внедрение рекламных ссылок в поля комментариев является одним из способов накрутки рейтинга спамерских сайтов в поисковых системах. Согласно статистике Imperva, эти атаки особенно популярны в Восточной Европе. Возможность извлекать из веб-приложений почтовые адреса и прочую личную информацию помогает спамерам формировать списки для грядущих рассылок. Сбором адресов увлекаются африканские хакеры. В минувшем полугодии вклад BLA в зловредный трафик составил 14%.

Некоммерческая организация HostExploit опубликовала Тор 50 неблагополучных AS-провайдеров за октябрь-декабрь. В составлении квартального отчета принимала деятельное участие российская Group-IB.

Новый рейтинг был составлен по итогам исследования 39,8 тыс. автономных систем. Его возглавляет литовский хостер Hosting Media (AS47583), который в предыдущем квартале занимал 2-е место. На его площадках по-прежнему много эксплойтов, зловредов, их активно используют фишеры и спамеры, а по количеству серверов, управляющих ботнетами, Hosting Media вновь нет равных.

Прежний лидер непочетного списка, американский провайдер Oversee.net (AS33626) улучшил свои показатели в полтора раза, что позволило ему опуститься на 12-ю строку. США вновь заняли половину мест в ведущей десятке, а в Тор 50 их присутствие увеличилось до 20 позиций [PDF 1,68 Мб]. Россияне находятся за пределами первой 20-ки, в Тор 50 их четверо: ОАО «Вебальта» (AS41947), «Мегафон» (AS31133), «Агава» (AS43146) и SpaceWeb (AS44112). «Вебальта», похоже, почистила свои сети и смогла опуститься на 28-ю строку; тем не менее, этой компании было присвоено 4-е место в категории «Зараженные сайты». «Мегафон» с регионами занимает 3 позиции в десятке лидеров по спаму, столько же пришлось на долю России в категории «C&C ZeuS».

В январе традиционно начинаются рассылки, посвященные Дню святого Валентина. В этом году первую довольно небольшую спам-рассылку, предлагающую подарки к празднику, мы получили 14 января. С этого момента «валентинов» спам стал появляться в почтовом трафике довольно регулярно. Как показывает практика, рассылки посвященные Дню святого Валентина, обычно не столь многочисленны, как новогодние. В 2011 году доля таких рассылок в пиковый период (на второй неделе февраля) составила 0,21% от всех спамерских сообщений. Вероятно, на следующей неделе и за пару дней до праздника доля валентинова спама окажется ничуть не меньше, чем год назад. На уходящей неделе доля такого спама составила всего 0,004% от всего спам-трафика. И хотя эта цифра не слишком впечатляет, необходимо напомнить, что спамеры ежедневно распространяют миллиарды сообщений, а это значит, что в Сети ежедневно распространяется несколько сотен тысяч сообщений, посвященных Дню святого Валентина.

Подавляющее большинство спамерских валентинок англоязычны. Разумеется, в разных сегментах интернета встречаются рассылки и на других языках, однако англоязычные рассылки наиболее многочисленны и встречаются в спам потоках в разных странах. В свою очередь подавляющее большинство англоязычных рассылок относятся к «партнерскому» спаму. Англоязычные партнерские рассылки, посвященные дню святого Валентина, можно поделить на три группы: во-первых, это рассылки традиционно спамерских товаров – медикаментов и реплик элитных товаров – наполненные праздничной атрибутикой, с помощью которой спамеры пытаются привлечь внимание пользователей к своим сообщениям. Второй вид рассылок – это предложения от сезонных партнерских программ. Сюда входят предложения подарков для любимых, цветов и прочей продукции с праздничной символикой. Третий и наиболее опасный вид рассылок, посвященных Дню святого Валентина – вредоносные рассылки, подделанные под открытки с поздравлениями. В последние годы такие рассылки нечасто встречались в спам-потоках, но их не стоит сбрасывать со счетов.

На днях мы зафиксировалил рассылку, которая занимает промежуточное положение между вторым и третьим видом. Это англоязычное письмо, предлагающее отправить любимым бесплатные электронные открытки.

Вопреки ожиданиям, по ссылке в письме не было вредоносной программы, однако и электронных открыток там тоже не было.

Британская компания NCC Group, специализирующаяся в области информационной защиты, опубликовала Тор 10 стран, с территории которых осуществляются хакерские атаки.

Географический рейтинг хак-плацдармов возглавляют США и Китай, на долю которых в минувшем году приходилось 22 и 16% попыток взлома соответственно. По совокупности эти нападения ежегодно обходятся мировой экономике в 43 млрд. долл. Третье место с большим отрывом занимает Россия с показателем 3,6%; годовой ущерб от действий российских хакеров составляет порядка 4 млрд. долл. Пятерку лидеров замыкают Бразилия (3,5%) и Италия (3,1%).

Примечательно, что половину позиций в Тор 10 занимают страны Западной Европы. С территории Италии, Голландии, Франции, Дании и Германии было произведено почти 200 млн. непрошеных вторжений, обошедшихся жертвам в 16 млрд. долл. Великобритания оказалась за пределами ведущей «десятки», заняв 15-е место. Однако, по оценкам исследователей, деятельность британских хакеров причиняет значительный ущерб; в минувшем году его размеры составили 2 млрд. долл.

Рейтинг NCC был составлен на основе данных о несанкционированных вторжениях, представленных добровольцами в рамках проекта DSHield (автор ― американский институт SANS). Итоговая статистика учитывает все попытки взлома, как успешные, так и провальные.

В Румынии задержан 20-летний студент, подозреваемый во взломе сайтов Пентагона и НАСА.

Полицейские убеждены, что будущий ИТ-профи Маноле Разван Чернэяну (Manole Razvan Cernăianu) ― не кто иной, как TinKode. Сей азартный взломщик известен тем, что атакует именитые сайты для забавы, похваляется своими «подвигами» в социальных сетях и публикует обнаруженные уязвимости. На счету TinKode немало «боевых трофеев», хотя предпочтение он отдает американским ресурсам. Два года назад от его проделок пострадал официальный сайт британских ВМС, лишившись ряда паролей. TinKode также причастен к взлому сайтов Европейского космического агентства и MySQL, куда он цинично проник посредством SQL-инъекции.

Поскольку в расследовании, помимо румын, принимали участие ФБР и НАСА, Чернэяну инкриминируются лишь незаконное вторжение в американское пространство и нарушение нормального функционирования компьютерных ресурсов. В доказательство новых успехов хакер успел опубликовать видеоролик с демонстрацией кибератак, а также предлагал в своем блоге поделиться хакерским инструментарием.