W ślad za pojawieniem się coraz lepszych filtrów ewoluowały techniki spamerskie. Jak tylko producenci zabezpieczeń komputerowych opracowali skuteczne filtry, spamerzy zmienili stosowane taktyki. Powstało błędne koło: spamerzy inwestują zyski w rozwój nowych technik pozwalających na ominięcie filtrów spamowych. Sytuacja wymyka się spod kontroli.
Rozwój technik spamerskich
Bezpośrednie wysyłanie wiadomości
Początkowo spam wysyłany był bezpośrednio do użytkowników. Spamerzy właściwie nie potrzebowali ukrywać informacji o nadawcy. Wczesny spam był łatwy do zablokowania: wystarczyło dodać do czarnej listy określone adresy e-mail lub IP. W odpowiedzi na to spamerzy zaczęli wyłudzać adresy nadawców i fałszować inne informacje techniczne.
Serwery Open Relay
W połowie lat 90. dominowały serwery open relay - każdy serwer mógł wysłać wiadomość e-mail do każdego odbiorcy. Spam i inne kwestie bezpieczeństwa skłoniły administratorów do rekonfiguracji serwerów pocztowych na całym świecie. Jednakże, proces ten postępował stosunkowo wolno i nie wszyscy właściciele serwerów poczty oraz administratorzy chcieli współpracować.
Po pewnym czasie analitycy bezpieczeństwa zaczęli skanowanie w poszukiwaniu pozostałych otwartych serwerów pocztowych. Udostępniono listę NDS RBL, co umożliwiło administratorom świadomym problemów bezpieczeństwa zablokowanie poczty przychodzącej z umieszczonych na liście serwerów. Serwery open relay wciąż są stosowane do masowego rozsyłania poczty.
Modemy
Jak tylko wysyłanie spamu za pomocą serwerów open relay stało się mniej skuteczne, spamerzy zaczęli wykorzystywać połączenia telefoniczne. Wykorzystywali oni słabości w strukturze połączeń telefonicznych dostawców usług internetowych:
- Serwery pocztowe dostawców usług internetowych przesyłają z reguły pocztę przychodzącą od klientów.
- Połączenia telefoniczne obsługiwane są przez dynamiczne adresy IP. Spamerzy mogą zatem użyć nowego adresu IP w każdej sesji masowego rozsyłania wiadomości.
W odpowiedzi na nadużycia spamerów dostawcy usług internetowych zaczęli ograniczać liczbę wiadomości, które użytkownik mógł wysłać w ciągu jednej sesji. W Internecie pojawiły się listy podejrzanych adresów połączeń telefonicznych i filtry blokujące pocztę wysyłaną z tych adresów.
Serwery proxy
W nowym stuleciu spamerzy zaczęli używać szybkich łączy internetowych oraz wykorzystywać luki w sprzęcie. Dzięki połączeniom kablowym i ADSL spamerzy mogli tanio i szybko masowo rozsyłać wiadomości e-mail.
Poza tym, spamerzy szybko odkryli, że wiele modemów ADSL miało wbudowane serwery proxy http. Są to nieskomplikowane urządzenia służące do podzielenia kanału internetowego pomiędzy wielu użytkowników. Istotną cechą tych urządzeń było to, że każdy mógł uzyskać dostęp do tych serwerów z dowolnego miejsca, ponieważ nie posiadały one żadnego zabezpieczenia. Innymi słowy, jakaś złośliwa osoba mogła wykorzystać połączenia ADSL innych osób do dowolnych celów, także rozsyłania spamu.
Co więcej, wyglądało na to, że spam został rozesłany z adresów IP użytkowników zaatakowanych komputerów. Ponieważ miliony użytkowników na całym świecie posiadało te łącza, spamerzy zebrali ogromne plony, zanim producenci sprzętu komputerowego zaczęli stosować zabezpieczenia w sprzęcie.
Maszyny zombie lub sieci zainfekowanych komputerów (botnety)
W 2003 i 2004 roku spamerzy wysyłali większość wiadomości z komputerów należących do niczego niepodejrzewających użytkowników. Spamerzy używają złośliwych programów do instalowania trojanów na komputerach innych użytkowników, dzięki czemu mogą je zdalnie wykorzystywać do własnych celów.
Do przenikania komputerów ofiar stosowane są następujące metody:
- Konie trojańskie typu Trojan-Downloader i Trojan-Dropper umieszczane w pirackim oprogramowaniu rozpowszechnianym poprzez sieci wymiany plików P2P (KaZaA, eDonkey itp.).
- Wykorzystywanie luk w systemach MS Windows oraz popularnych aplikacjach, takich jak IE oraz Outlook.
- Robaki pocztowe.
Szacuje się, że trojany instalowane są na milionach komputerów na całym świecie. Współczesne trojany potrafią uaktualniać się, pobierać i wykonywać polecenia z określonych stron WWW lub kanałów IRC, rozsyłać spam, przeprowadzać ataki DDoS i znacznie więcej.
Ewolucja zawartości spamu
Analiza zawartości
Wiele filtrów spamu działa na zasadzie analizy zawartości wiadomości: tematu, treści i załączników. Obecnie spamerzy znacznie zwiększyli zasoby przeznaczone na opracowywanie zawartości wiadomości, które nie zostaną wykryte przez filtry.
Prosty tekst i HTML
Pierwsze wiadomości typu spam były jednolite: wszyscy odbiorcy otrzymywali wiadomości o identycznej treści. Ze względu na ilość takiego samego tekstu wiadomości te były śmiesznie łatwe do wyłowienia.
Personalizacja poczty
Spamerzy zaczęli następnie dodawać do wiadomości pozdrowienia w zależności od adresu odbiorcy. Ponieważ każda wiadomość zawierała teraz pozdrowienie kierowane do konkretnej osoby, filtry blokujące identyczne wiadomości nie wykrywały tego rodzaju spamu. Eksperci z dziedziny bezpieczeństwa opracowali filtry identyfikujące niezmienne wiersze tekstu, które zostały później dodane do reguł filtrowania. Dopracowano również niepełne dopasowywanie sygnatur, które wykrywało tekst z niewielkimi zmianami oraz oparte na analizie statystycznej technologie „inteligentnego” filtrowania takie jak filtry Bayesa.
Losowe ciągi tekstu oraz tekst niewidoczny
Aby obecnie ominąć filtry zawartości spamerzy często umieszczają ciągi tekstu z legalnej korespondencji handlowej lub losowe ciągi tekstu na początku lub końcu wiadomości e-mail. Inną metodą stosowaną w celu uniknięcia filtrów jest umieszczenie niewidocznego tekstu w wiadomościach utworzonych w formacie HTML: tekst jest zbyt mały, aby go zobaczyć, lub kolor czcionki zlewa się z tłem.
Obie metody są dość skuteczne w obchodzeniu filtrów zawartości i filtrów opartych na analizie statystycznej. Analitycy zareagowali opracowując nowe rozwiązanie: wyszukiwarki, które skanowały wiadomości w poszukiwaniu opisanych wyżej tekstów, przeprowadzały szczegółową analizę HTML oraz wyszukaną analizę zawartości. Wiele rozwiązań antyspamowych było w stanie wykrywać te nowe metody spamerów analizując jedynie szczegółowo zawartość poszczególnych wiadomości e-mail.
Grafika
Rozsyłanie spamu w formacie graficznym znacznie utrudnia wykrycie go. Analitycy rozwijają metody wyłaniania i analizowania tekstu zawartego w plikach graficznych.
Parafrazowanie tekstu
Jeden tekst reklamowy może być napisany na nieskończenie wiele sposobów. Dzięki temu każda wiadomość wydaje się być legalnym e-mailem. W rezultacie, filtry antyspamowe muszą być skonfigurowane przy użyciu ogromnej liczby próbek, zanim wiadomości takie zostaną wykryte są jako spam.
Podsumowanie
Obecnie, spamerzy zazwyczaj stosują trzy ostatnie metody w różnych kombinacjach. Wiele rozwiązań antyspamowych nie potrafi wykrywać wszystkich trzech mechanizmów. Jak długo rozsyłanie spamu będzie przynosić zysk, tak długo skrzynki użytkowników posiadających oprogramowanie słabej jakości zapchane będą niechcianymi reklamami.
Kaspersky Lab Polska