Jak działało szkodliwe oprogramowanie w 2010 roku - podsumowanie

Miesięczne statystyki dotyczące wykrywania szkodliwego oprogramowania utrzymują się od 2009 roku mniej więcej na tym samym poziomie, a głównymi zagrożeniami cyberbezpieczeństwa pozostają ataki na przeglądarki i botnety. Zmniejszyły się natomiast współczynniki wykrywania pewnych rodzajów szkodliwego oprogramowania.

Główny problem w 2010 roku stanowiły luki w zabezpieczeniach, zwłaszcza te wykrywane w oprogramowaniu firmy Adobe. Wykorzystywanie luk stało się główną metodą atakowania komputerów użytkowników, a cyberprzestępcy porzucili zainteresowanie produktami Microsoftu na rzecz programów Adobe i Apple (Safari, QuickTime oraz iTunes).

Podsumowanie

W raporcie za 2009 rok próbowaliśmy przewidzieć najbardziej prawdopodobne kierunki ewolucji oprogramowania cyberprzestępczego oraz zagrożeń IT w 2010 roku. Rok później możemy powiedzieć, że większość naszych prognoz sprawdziła się.

Wzrost liczby ataków za pośrednictwem sieci P2P (nie myliliśmy się)

Nie można nie zgodzić się ze stwierdzeniem, że sieci P2P stanowią obecnie główny kanał, za pomocą którego szkodliwe oprogramowanie przenika do komputerów użytkowników. Pod względem popularności ten wektor infekcji ustępuje jedynie atakom przeprowadzanym za pośrednictwem przeglądarek.

Praktycznie wszystkie rodzaje zagrożeń (łącznie z wirusami plikowymi, fałszywymi programami antywirusowymi, backdoorami oraz różnymi robakami) rozprzestrzeniają się za pośrednictwem sieci P2P. Ponadto, takie sieci szybko stają się środowiskiem sprzyjającym propagacji nowych zagrożeń, takich jak ArchSMS.

Wzrost aktywności cyberprzestępczej wykorzystującej sieci P2P został dobrze udokumentowany również przez inne firmy informatyczne. Na przykład, w swoim raporcie o zagrożeniach w drugim kwartale 2010 roku (http://www.net-security.org/secworld.php?id=9641) firma Cisco wskazuje na znaczący wzrost liczby ataków przeprowadzanych za pośrednictwem trzech najpopularniejszych sieci P2P: BitTorrent, eDonkey oraz Gnutella. 

Epidemia szkodliwego oprogramowania rozprzestrzeniającego się za pośrednictwem sieci P2P rozpoczęła się w marcu, gdy liczba incydentów wykrytych przez Kaspersky Security Network po raz pierwszy przekroczyła próg 2,5 miliona miesięcznie. Według ostrożnych szacunków, liczba takich ataków wynosi miesięcznie blisko 3,2 miliona.

Walka o ruch (trafiony zatopiony)

Tak zwane programy partnerskie pozostały głównym sposobem komunikowania się grup cyberprzestępczych, które tworzą nowe botnety, zarządzają istniejącymi i ustalają nowe cele botnetów.

W 2010 roku działały liczne półlegalne projekty zarabiania pieniędzy, obok otwarcie przestępczych aktywności, takich jak infekowanie legalnych stron internetowych czy komputerów użytkowników przy pomocy metody drive-by download. Takie pseudo-legalne projekty obejmują nakłanianie użytkowników do dobrowolnego pobierania plików przy użyciu różnych metod, takich jak wykorzystywanie “porwanych” zasobów do przeprowadzania modyfikowania wyników wyszukiwania w Internecie, wysyłanie przykuwających uwagę odsyłaczy, rozprzestrzenianie oprogramowania adware oraz przekierowywanie ruchu na strony zawierające treści dla dorosłych.

Aby dowiedzieć się więcej, jak działają takie “programy partnerskie”, zachęcamy do przeczytania artykułu “Niebezpieczeństwa Internetu”, dostępnego na stronie: http://www.viruslist.pl/analysis.html?newsid=630.

Epidemie szkodliwego oprogramowania oraz zwiększenie złożoności szkodliwych programów (strzał w dziesiątkę)

W 2010 roku nie mieliśmy żadnej epidemii, która pod względem tempa rozprzestrzeniania się, liczby zainfekowanych użytkowników oraz skali wzbudzonego zainteresowania dorównałaby epidemii robaka Kido (Conficker) z 2009 roku. Gdybyśmy jednak mieli rozpatrywać te czynniki oddzielnie, niektóre infekcje mogłyby zostać zaklasyfikowane jako globalne epidemie.

W 2010 roku powszechną uwagę, zarówno dziennikarzy jak i analityków, zwróciły botnety Mariposa, Zeusa, Bredolaba, TDSS, Koobface’a, Sinowala oraz Black Energy 2.0. Każdy z tych ataków pozostawił miliony zainfekowanych komputerów na całym świecie. Odpowiedzialne za nie zagrożenia należą do najbardziej zaawansowanych i wyrafinowanych szkodliwych programów, jakie kiedykolwiek zostały stworzone.
Szkodniki te rozprzestrzeniają się za pośrednictwem wszystkich dostępnych wektorów infekcji, łącznie z pocztą elektroniczną, i były pionierami w wykorzystywaniu sieci P2P oraz portali społecznościowych do propagacji. Niektóre z nich były również pierwszymi szkodnikami, które zainfekowały platformy 64-bitowe. Co więcej, wiele z nich rozprzestrzeniało się za pośrednictwem luk zero-day, dla których nie istniały jeszcze łaty.

Jednak kreatywność twórców szkodliwego oprogramowania osiągnęła szczyt w przypadku robaka Stuxnet. Ten prawdziwie rewolucyjny robak stanowił głównego bohatera informacji dotyczących cyberzagrożeń w drugiej połowie 2010 roku. Publikacje na jego temat obejmowały spekulacje dotyczące potencjalnych celów Stuxneta oraz sposobu jego działania. Stuxnet zawładnął uwagą mediów jak żadne inne zagrożenie w historii. Obecnie najbardziej rozpowszechnione szkodliwe programy są jednocześnie najbardziej złożone. Tym samym podnoszą poprzeczkę producentom rozwiązań bezpieczeństwa, którzy toczą wojnę technologiczną z cyberprzestępcami. Dzisiaj na nic nie zda się już rozwiązanie, które potrafi wykryć dziewięćdziesiąt dziewięć procent milionów próbek szkodliwego oprogramowania, jeżeli przepuści lub nie zdoła zneutralizować tego jednego zagrożenia, które jest niezwykle wyrafinowane, a przez to szeroko rozpowszechnione.

Spadek liczby fałszywych programów antywirusowych (tak, jak przepowiadaliśmy)

Ta prognoza była dość kontrowersyjna – zdania na ten temat są podzielone, nawet wśród ekspertów Kaspersky Lab. Zadecydowało tu wiele czynników, takich jak: znalezienie innych metod zarabiania pieniędzy przez właścicieli i członków programów partnerskich, działania firm antywirusowych oraz organów ścigania, silna konkurencja między różnymi grupami cyberprzestępczymi tworzącymi i rozprzestrzeniającymi fałszywe programy antywirusowe.

Według danych dostarczonych przez Kaspersky Security Network, liczba fałszywych programów antywirusowych zmniejszyła się na całym świecie. Aktywność związana z fałszywymi programami antywirusowymi osiągnęła szczyt (200 000 incydentów miesięcznie) w okresie luty-marzec 2010 roku, by następnie, pod koniec roku, doświadczyć czterokrotnego spadku. Równocześnie, fałszywe programy antywirusowe zawężały strefę swoich ataków do określonych regionów, a cyberprzestępcy przestali rozprzestrzeniać swoje programy na chybił trafił i skoncentrowali się na konkretnych państwach, takich jak Stany Zjednoczone, Francja, Niemcy czy Hiszpania.

Ataki na i za pośrednictwem Google’a (nie sprawdziło się)

Rok temu przewidywaliśmy ataki na Google Wave klientów tej usługi. Jednak Google zarzucił projekt w połowie roku, zanim zdołał przyciągnąć krytyczną masę użytkowników. Dlatego nasza prognoza nie miała szans spełnić się.

Ataki na iPhone’a i urządzenia z Androidem (częściowo trafione)

W 2009 roku wykryliśmy pierwsze szkodliwe oprogramowanie dla iPhone’a i program spyware dla Androida. Spodziewaliśmy się, że cyberprzestępcy bardziej skupią się na tych dwóch platformach. 

Nie miały miejsca żadne poważniejsze ataki szkodliwego oprogramowania na iPhone’a, które można by porównać do incydentu z udziałem robaka Ike w 2009 roku. Jednak w 2010 roku powstało kilka programów koncepcyjnych dla tej platformy demonstrujących techniki, które mogłyby zostać wykorzystane przez cyberprzestępców. Doskonałym przykładem jednej z takich technik był ‘SpyPhone’ – dziecko szwajcarskiego naukowca. Program ten umożliwia nieautoryzowany dostęp do informacji dotyczących użytkownika iPhone’a, jego lokalizacji, zainteresowań, przyjaciół, ulubionych aktywności, haseł i historii wyszukiwania w Sieci. Następnie dane te mogą zostać przesłane bez wiedzy i zgody użytkownika do zdalnego serwera. Co więcej, funkcjonalność ta może zostać ukryta w niewinnie wyglądającej aplikacji.

W przeszłości eksperci przestrzegali użytkowników, którzy przeprowadzają jailbreak na swoich telefonach, aby zainstalować aplikacje osób trzecich, że igrają z ogniem. Obecnie jednak ryzyko podejmują nawet ci, którzy instalują aplikacje pobierane z Apple Store. W 2010 roku miało miejsce kilka incydentów dotyczących legalnych aplikacji Apple’a – wykryto aplikacje dla iPhone’a, które potajemnie gromadziły dane i wysyłały je producentom oprogramowania.

Polecamy: Własny biznes - papierologia bez dochodu?

To samo dotyczy również platformy Android. Wykryto szkodliwe oprogramowanie dla Androida o wyraźnie cyberprzestępczym charakterze, które wykorzystuje popularną wśród trojanów mobilnych technikę wysyłania SMS-ów na numery o podwyższonej opłacie. Trojan-SMS.AndroidOS.FakePlayer został wykryty przez firmę Kaspersky Lab we wrześniu 2010 roku, stając się pierwszym prawdziwym przykładem szkodliwego oprogramowania dla Androida – najprawdopodobniej został stworzony przez rosyjskich twórców wirusów. Szkodnik ten był rozprzestrzeniany nie za pośrednictwem Android Marketu, ale zainfekowanych stron internetowych; jednak według ekspertów z Kaspersky Lab, istnieje duże prawdopodobieństwo, że w produktach dostępnych w Android Markecie może zostać wkrótce znalezione szkodliwe oprogramowanie. Niepokoi nas fakt, że wiele legalnych aplikacji może żądać dostępu do osobistych danych użytkowników jak również upoważnienia do wysyłania SMS-ów i wykonywania połączeń telefonicznych. W naszej opinii poddaje to w wątpliwość wiarygodność całej koncepcji bezpieczeństwa Androida.

Na tym kończymy nasze rozliczenie się z prognoz z 2009 roku. W dalszej kolejności zajmiemy się analizą trendów oraz incydentów, które miały znaczący wpływ na bezpieczeństwo IT. 

Ukierunkowane ataki na korporacje i przedsiębiorstwa przemysłowe 

Atak o nazwie Aurora miał miejsce na początku 2010 roku i dotknął wiele dużych firm zlokalizowanych na całym świecie, w tym Google, który stanowił jego główny cel. Incydent ten wyciągnął na światło dzienne poważne luki w zabezpieczeniach i ujawnił potencjalne cele cyberprzestępców – cyberszpiegostwo i kradzież poufnych informacji handlowych. Przyszłe ataki ukierunkowane mogą mieć podobne cele.

Historia Stuxneta, o której wspominaliśmy wcześniej, jest niezwykła z dwóch względów. Po pierwsze, poziom złożoności tego robaka bije wszystkie wcześniejsze rekordy, po drugie, jego celem były sterowniki programowalne (PLC) - przemysłowe urządzenia sterujące. Stuxnet był zamieszany w pierwszy przypadek cybersabotażu przemysłowego, który zdobył tak szeroki rozgłos. Podobne ataki mogą wyrządzić znaczne szkody fizyczne. Granica między światem wirtualnym a rzeczywistym zaciera się. Wywołuje to nowe problemy, z którymi cała społeczność cybernetyczna będzie musiała zmierzyć się w niedalekiej przyszłości.

Certyfikaty cyfrowe

Certyfikaty i podpisy cyfrowe to jedne z filarów, na których opierają się zaufanie i gwarancja w świecie komputerowym. Podpisy cyfrowe odgrywają ważną rolę w rozwoju produktów bezpieczeństwa: pliki podpisane przez zaufanych producentów są uważane za bezpieczne. Technologia ta pozwala producentom produktów bezpieczeństwa zmniejszyć współczynniki fałszywych trafień i zaoszczędzić zasoby podczas skanowania komputerów użytkowników w celu wykrycia infekcji.

Wydarzenia z 2010 roku pokazały, że cyberprzestępcy potrafią legalnie zdobyć certyfikaty cyfrowe, tak jak każdy producent oprogramowania. Jeden z incydentów dotyczył uzyskania certyfikatu dla programu, który podszywał się pod “oprogramowanie do zdalnego zarządzania komputerami, które nie posiadają interfejsu graficznego”, w rzeczywistości był natomiast backdoorem. Chwyt ten jest bardzo użyteczny dla cyberprzestępców, ponieważ zapobiega wykryciu szkodliwego oprogramowania i jest najczęściej wykorzystywany w oprogramowaniu adware, riskware oraz fałszywych programach antywirusowych. Po otrzymaniu klucza certyfikatu cyberprzestępca może łatwo wyposażyć każdy tworzony przez siebie szkodliwy program w podpis cyfrowy.

W efekcie podważona została cała koncepcja stosowania certyfikatu jako sposobu na zagwarantowanie bezpieczeństwa oprogramowania. Konsekwencje mogą być o wiele poważniejsze, ponieważ incydent ten dyskredytuje niektóre centra certyfikacji cyfrowej, których liczba wynosi obecnie kilkaset. W najgorszym przypadku może to prowadzić do powstania centrów certyfikacji kontrolowanych przez samych cyberprzestępców.

Certyfikat cyfrowy, lub mówiąc technicznie, zawarty w nim klucz prywatności, to fizyczny plik, który może zostać skradziony, podobnie jak każdy inny cyfrowy zasób. Wykryte komponenty Stuxneta zostały podpisane przy użyciu certyfikatów wydanych dla Realtec Semiconductors oraz JMicron. Wciąż nie wiadomo, w jaki sposób klucz prywatności wpadł w ręce cyberprzestępców; istnieje klika możliwości. Jedna z nich zakłada, że cyberprzestępcy zdobyli te poufne pliki, kupując je nielegalnie od osób mających do nich dostęp. Mogli też ukraść je przy użyciu specjalnego backdoora lub podobnego szkodliwego programu. Wydaje się, że do kradzieży certyfikatów byłby zdolny Zbot, znany również jako ZeuS.

Polecamy: serwis Mała firma