Представляем вашему вниманию обзор вирусной обстановки за июль 2009. Что же принесло (и еще принесет) пользователям персональных компьютеров и разработчикам антивирусов немало головной боли. Стоит отметить, что основной тенденцией прошедшего месяца стало появление нескольких эксплойтов, использующих уязвимости ОС Windows и другого популярного ПО.

Несмотря на снижение вирусной активности в электронной почте, вирусописатели не прекращают изобретать новые способы привлечения внимания пользователей к своим сообщениям.

JS.Gumblar

В аналитическом обзоре компании "Доктор Веб" отмечается, что вирус JS.Gumblar с недавнего времени начал распространяться и в России, что показано на графике ниже.

Как видно из приведенного графика, основной пик активности пришёлся на 28 мая и составил 13.7% от всех вредоносных сайтов. Сейчас наблюдается снижение темпов распространения этой угрозы, однако она остается до сих пор актуальной.

FlashBack

Середина июля 2009 года неожиданно ознаменовалась вредоносной активностью со стороны нескольких модификаций семейства Win32.HLLM.MyDoom. При этом предшествующий пик распространения этих червей наблюдался аж в 2004 году.

В настоящее время они используются в массированных DDoS-атаках на южнокорейские и американские веб-ресурсы. На рисунке ниже приведен дамп строковых констант из конфигурационного файла для вирусного компонента, непосредственно осуществляющего DDoS-атаку (обнаруживается Dr.Web как DDoS.Config).

На сегодняшний день число зараженных машин, участвующих в атаке, достигает десятков тысяч. В число атакованных веб-ресурсов входят интернет-сайты различных государственных структур США и Южной Кореи. Например, whitehouse.gov, nsa.gov, president.go.kr и многие другие. Распространяются новые модификации в основном через вложения в почтовом спаме. Таким образом, угроза давно минувших дней смогла провести массированную атаку и в наше время.

Мобильный ботнет

В июле появился новый червь для мобильных телефонов под управлением ОС Symbian Series 60 3rd Edition.

Он распространяется с веб-ресурсов в виде заманчивого ПО для пользователя, а уже зараженные пользователи рассылают СМС-спам от своего имени по обнаруженным в телефоне контактам. В теле такого СМС-сообщения содержится интригующее послание с предложением проследовать по ссылке на сайт - распространитель вируса.

Эта угроза положила начало семейству Symbian.Worm и обнаруживается специалистами Dr.Web как Symbian.Worm.1. Особый интерес вызывает тот факт, что вредоносный дистрибутив, устанавливающий червя в систему, имеет цифровую подпись от Symbian Signed.

На данный момент этот сертификат уже отозван Symbian, о чем официально сообщается в блоге компании.

Symbian.Worm.1 похищает персональную информацию об абоненте и отправляет ее на удаленный сервер. Шаблоны СМС-сообщений для вредоносной рассылки могут обновляться при наличии интернет-соединения. Таким образом, получается своеобразный "мобильный" ботнет, имеющий обратную связь с кибер-преступниками и собирающий для них персональные данные зараженных пользователей.

Эксплойты

В первой половине месяца была обнаружена серьезная уязвимость "нулевого дня" в одном из компонентов Microsoft DirectX, использующемся браузером MS Internet Explorer версии 6 и 7. Этой уязвимости оказались подвержены пользователи версий ОС Windows 2000/2003/XP (включая все последние обновления и x64-версии этих ОС). Суть данной уязвимости заключается в некорректной обработке потокового видео в ActiveX-компоненте msVidCtl.dll. Эта уязвимость может использоваться для распространения вредоносных программ с помощью специально сформированного злоумышленниками веб-сайта, вызывающего переполнение стека и запускающего вредоносное ПО на целевой системе. Все обнаруживаемые специалистами компании "Доктор Веб" эксплойты, использующие эту уязвимость, попадают в семейство Exploit.DirectShow.

Также была обнаружена аналогичная уязвимость в Office Web Components Spreadsheet ActiveX-компоненте. Суть ошибки, приводящей к таким трагическим последствиям, кроется в некорректной проверке границ данных в методе msDataSourceObject. Все обнаруженные эксплойты такого типа по классификации Dr.Web попадают в семейство Exploit.SpreadSheet.

Последнюю версию браузера Firefox злоумышленники тоже не обделили вниманием. Ближе к середине месяца была найдена ошибка при обработке javascript-сценариев, которая может привести к повреждению памяти Just-in-Time-компилятора после возврата данных из собственных функций. Все обнаруженные эксплойты такого типа попадают в семейство Exploit.Mozilla по версии Dr.Web.

Ближе к концу месяца была обнаружена критическая уязвимость "нулевого дня" в продуктах компании Adobe (Reader, Acrobat и Flash Player). Уязвимой оказалась библиотека authplay.dll, которая отвечает за обработку SWF-файлов, встроенных в PDF-документы. Она работает как при открытии специально сформированного PDF-документа, так и при посещении вредоносных веб-ресурсов, эксплуатирующих эту уязвимость. Все обнаруженные вредоносные PDF-файлы попали в семейство Exploit.PDF. На момент публикации обзора эта уязвимость еще не была закрыта.

Все вышеперечисленные уязвимости на данный момент активно используются злоумышленниками для распространения вредоносных программ с помощью специально подготовленных веб-ресурсов.

Для всех этих уязвимостей на момент публикации обзора уже выпущены патчи. В связи с этим "Доктор Веб" настоятельно рекомендует установить последние обновления для используемого программного обеспечения.

Червь Win32.HLLW.Facebook в Twitter

В июле 2009 года увеличилась вредоносная активность червя Win32.HLLW.Facebook (Koobface) в социальной сети Twitter.