Vulnerabilitatile software continua sa fie exploatate cu succes de infractorii cibernetici

Bucuresti, 9 aprilie 2010 – Specialistii in securitate ai Kaspersky Lab au realizat topurile celor mai raspandite 20 de ameninţari informatice ale lunii martie, atragand atenţia utilizatorilor privind extinderea din ce in ce mai mare pe Internet a ameninţarilor informatice care exploateaza vulnerabilitaţi in programele software foarte des folosite.

Primul top 20 prezinta ameninţarile informatice, inclusiv adware si programe potenţial periculoase, care au fost detectate si neutralizate inca de la prima accesare pe computerele utilizatorilor:

Luna martie nu a adus schimbari semnificative in primul clasament, dar specialistii menţioneaza trei versiuni ale unui cal troian de tip Autorun. Aceste tipuri de malware au fost analizate si in clasamentul lunii ianuarie, cand au fost descrise ca fisiere infectate care se raspandesc prin intermediul stick-urilor USB: P2P-Worm, Win32.Palevo si Trojan-GameThief.Win32.Magania.

O noua intrare direct pe locul 13 este Packed.Win32.Krap.as, reprezentant al familiei malware Packed, folosit pentru comprimarea programelor periculoase, precum soluţiile antivirus false („rogue antivirus”). in ultimele luni, infractorii cibernetici au demonstrat o inclinaţie pentru programele speciale de comprimare a fisierelor executabile. Noi metode de ascundere a adevaratelor funcţii ale celor mai populare tipuri de malware sunt dezvoltate continuu de cibercriminali, astfel explicandu-se si apariţia in fiecare luna a noi variante de tip Krap.

Al doilea Top 20 prezinta datele generate de componenta de analiza a traficului online, ce reflecta programele malware raspandite prin intermediul site-urilor web:

Acest clasament este foarte variat si include ultimele versiuni de virusi si programe periculoase create de infractorii cibernetici si raspandite online.

Majoritatea acestor tipuri de malware exploateaza vulnerabilitaţi software, un astfel de exemplu fiind cea din Internet Explorer CVE-2010-0806. Deoarece problema a fost descrisa prea detaliat pe un blog – dupa cum atrage atenţia un expert Kaspersky Lab – s-a ajuns la situaţia raspandirii din ce in ce mai extinse a exploit-ului, ale carui variante se regasesc si in clasament: Exploit.JS.CVE-2010-0806.i (pe locul al doilea) si Eploit.JS.CVE-2010-0806.b (pe locul 10).

Epidemia Gumblar domina in continuare al doilea top 20. Acest troian a revenit in februarie, dupa ce in luna decembrie 2009 inregistrase o scadere a numarului de incercari unice de download. Gumblar.x ocupa locul intai in clasament, dar o noua versiune a fost detectata de motorul de analiza euristica sub numele HEUR: Trojan-Downloader.Script.Generic.

Exploit-ul Aurora, despre care experţii au atras atenţia luna trecuta, este in continuare foarte mult folosit de infractorii cibernetici, urcand de pe locul noua pana pe locul cinci. Acesta exploateaza vulnerabilitatea CVE-2010-0249 din Internet Explorer, descoperita in luna ianuarie. Atacul informatic (numit „Operation Aurora”) care utiliza aceasta vulnerabilitate a fost intens discutat de presa IT din intreaga lume, cand mai multe companii si orgranizaţii (inclusiv Google si Adobe) au devenit ţinte ale infractorilor cibernetici.

Dupa doua luni de pauza, downloader-ul Twetti.a a revenit in topul lunii martie direct pe locul 14. Analistii au observat ca script-ul foloseste o interfaţa de programare (API) foarte populara atat pentru infractorii cibernetici, cat si pentru site-ul Twitter.

Troianul funcţioneaza astfel: iniţiaza o cerere catre API, ce rezulta in informaţii despre asa-numitele „tendinţe”, de exemplu, cel mai discutat subiect pe Twitter la un moment dat. Informaţiile recepţionate sunt apoi folosite pentru a crea un nume de domeniu aparent aleator – dar pe care infractorii cibernetici l-au inregistrat in prealabil, utilizand o metoda similara – si redirecţionarea traficului catre el. Componenta principala a malware-ului (fie un exploit PDF sau un fisier executabil) va fi plasata pe domeniul respectiv. Cu alte cuvinte, link-ul maliţios si redirecţionarea sunt create „din mers” printr-un intermediar, in acest caz, Twitter. Astfel se explica si apariţia pe locul 15 a Exploit.JS.Pdfka.bub, fiind o componenta a atacurilor de tip drive-by iniţiate de Twetti.a

Nu in ultimul rand, al doilea top 20 include si intrari noi, precum Trojan.HTML.Fraud.aj, Trojan.JS.FakeUpdate.ab, Trojan.HTML.Fraud.aq sau Trojan.JS.FakeUpdate.aa, care distribuie soluţii antivirus false.

Tabloul general ramane din multe aspecte neschimbat: majoritatea atacurilor informatice folosesc Internetul ca mediu de propagare si exploateaza vulnerabilitaţi ce apar foarte des in cele mai populare programe software. Din fericire, aceste vulnerabilitaţi sunt rapid „reparate” de producatori, dar, cu toate acestea, foarte mulţi utilizatori nu instaleaza patch-urile de securitate la timp. O alta tendinţa care merita menţionata este ca malware-ul incepe sa profite din ce in ce mai mult de naivitatea utilizatorilor, astfel explicandu-se si cresterea atacurilor prin intermediul soluţiilor antivirus false.