Обзор вирусной обстановки за март 2009 года

Компания «Доктор Веб» представляет обзор вирусной активности в марте 2009 года. Весна – пора, когда природа просыпается от зимнего сна, активизируются социальные процессы между людьми. Вирусописатели ведут себя не всегда последовательно, позволяют себе общение с разработчиками антивирусов посредством текстовых сообщений, внедрённых в код вредоносных программ, а также другими способами.

Тексты в вирусах Послания, обращённые к вирусным аналитикам, носят совершенно разный характер, указывают на принадлежность вирусописателей к той или иной культуре, той или иной стране, той или иной политической позиции.

Некоторые авторы вирусов оставляют довольно пространные послания. Так автор вируса Win32.HLLP.Neshta описал как своё отношение к используемым языкам программирования, так и указал свою любимую марку пива, а также передал привет. К сожалению, мы можем привести данное сообщение лишь частично «Delphi-the best. …. off all the rest. Neshta 1.0 Made in Belarus. Прывiтанне усiм ~цiкавым~ беларус_кiм дзяучатам. …. Восень- кепская пара... Алiварыя - лепшае пiва! Best regards 2 …. »

Что касается чувства юмора, то его у вирусописателей ничем не отнять. В одних экземплярах вирусов идёт попытка разозлить человека, который пытается разобраться во вредоносном коде: «Looking for something?» («Что-то ищете?»). В других случаях, как, например, в одном из Trojan.Fakealert, идёт сомнение в способностях специалистов антивирусной лаборатории одной конкретной антивирусной компании, а также предлагается создать вирусную запись, которая определяет данный троянец только лишь по данной текстовой строчке: «Hello stupid developers of the …. You can use this string as signature of this PE …. Well, you got this text, but this will be all you get ….»

Впрочем, некоторые вирусописатели недовольны перспективой анализа вредоносных файлов, которые они создают, и данное беспокойство настолько сильно, что они прямо о нём заявляют словами: «I dont need your interest in.». Понятное дело, что никакой заинтересованности в разборе вируса у его автора нет, но это обстоятельство никоим образом не мешает попадать в вирусную базу и таким вирусам.

Мониторы как вирусный транспортНекоторые современные мониторы настолько функциональны, что появилась возможность писать вредоносные программы и для них. Так в марте специалистами компании «Доктор Веб» впервые был обнаружен новый тип вирусов, представители которого могут заражать мониторы. Данный тип вирусов получил название Trojan.Monitoring. Пока что такие вирусы носят концептуальный характер, т.е. не содержат в себе деструктивных функций. Имеющиеся модификации вирусов всего лишь выводят на экран надписи вида «Здесь был Вася» или «Hello, world!».

В будущем же, после прекращения использования старых моделей мониторов, данные вирусы могут получить значительную популярность. Также необходимо учитывать тот факт, что у домашних пользователей, а также на рабочих местах в последнее время часто используются несколько системных блоков, к которым подключается один и тот же монитор. При этом переключение монитора между системными блоками производится обычно с помощью специальных устройств (свитчей), облегчающих процесс переключения монитора. Но с помощью таких устройств через один и тот же монитор в течение считанных секунд можно заразить сразу все системы в подключённых к монитору системных блоках.

Почтовые руткиты Во время празднования Международного женского дня проявилось новое явление - начали происходить массовые рассылки электронных открыток-невидимок, посвящённые этому празднику. Достоверность этой информации пока что подтвердить не удаётся, т.к. их существование имеющиеся у компании «Доктор Веб» факты подтверждают лишь косвенно. При проведении экспериментов выяснилось, что на отправку с помощью электронного сообщения файла размером 1МБ фактически тратится примерно на 30% больше трафика. Предполагается, что «пропадающий» трафик злоумышленники используют для своих целей, но зафиксировать такие передачи данных пока что не получилось. Вероятно, речь идёт о почтовых руткитах (вредоносных программах, скрыто передающихся в почтовом трафике) в отличие от классических руткитов - программ, умеющих скрывать своё наличие в системе.

В связи с усложнением ситуации, связанной с распространением новых опасных типов вирусов, компания «Доктор Веб» рекомендует пользователям сократить время работы за компьютером, особенно в Интернете, уменьшить количество используемых для работы системных блоков, мониторов и других периферийных устройств, выпущенных за последний год. Освободившееся время предлагается посвятить семье, общению с друзьями и организации летнего отдыха. В этом случае вероятность пострадать от вредоносных программ существенно снижается, в т.ч. в периоды работы за компьютером.

Вредоносные файлы, обнаруженные в марте в почтовом трафике

01.03.2009 00:00 - 01.04.2009 00:00
1	Win32.HLLW.Schatten.based	5279 (16.08%)
2	Win32.Virus	5279 (16.08%)
3	Win32.HLLM.Doom3.based	3887 (11.84%)
4	Trojan.MulltiInstall.13408	1998 (6.09%)
5	Trojan.MulltiInstall.18280	1709 (5.21%)
6	Win32.HLLM.NetHimmel	1624 (4.95%)
7	Win32.HLLM.Beegle	1248 (3.80%)
8	Trojan.MulltiInstall.16727	1137 (3.46%)
9	Win32.HLLW.BrutUs.3	1134 (3.45%)
10	Win32.HLLW.Clavier.ini	964 (2.94%)

Всего проверено:	407,872,927
Инфицировано:	32,825 (0.01%)

Вредоносные файлы, обнаруженные в марте на компьютерах пользователей

01.03.2009 00:00 - 01.04.2009 00:00
1	Win32.HLLW.Clavier.ini	1286547 (11.59%)
2	Win32.HLLW.Schatten.based	708219 (6.38%)
3	Win32.Virus	590383 (5.32%)
4	Win32.Virus.5	581150 (5.24%)
5	DDoS.Quardro	436268 (3.93%)
6	Win32.HLLW.AutoStarter.5555	422478 (3.81%)
7	Trojan.UpLoader.42350	408332 (3.68%)
8	Win128.Alman	391507 (3.53%)
9	Trojan.Ender.881	253295 (2.28%)
10	Win32.Track.17	244931 (2.21%)

Всего проверено:	82,631,570,946
Инфицировано:	11,096,591 (0.01%)

С уважением,