Kaspersky Lab: szkodliwe programy IV 2012

Przeczytaj także: Kaspersky Lab: szkodliwe programy III 2012

Cyberzagrożenia i gorące tematy

Masowe wykorzystywanie systemu Mac OS X oraz złożone, długotrwałe działania skierowane na konkretne cele

Niezwykle duża aktywność szkodliwego oprogramowania dla systemu Mac OS X, jaką zaobserwowaliśmy w marcu, okazała się zaledwie wierzchołkiem góry lodowej. W kwietniu miały miejsce dwa incydenty, które na zawsze zmieniły sposób, w jaki postrzegamy krajobraz bezpieczeństwa systemu Mac OS X: pierwszy dotyczył masowego wykorzystywania tego systemu, drugi wykorzystania Mac OS X w ramach złożonych, długotrwałych działań skierowanych na konkretne cele.

Flashfake

Zacznijmy od botnetu Flashfake, znanego również jako Flashback. Rodzina szkodliwego oprogramowania Flashfake została po raz pierwszy wykryta w 2011 r. w postaci programu Trojan-Downloader.OSX.Flashfake. Trojan ten był rozsyłany jako fałszywa aktualizacja Flash Playera, co wyjaśnia pochodzenie nazwy szkodnika. Od września 2011 r. do lutego 2012 r. Flashfake był rozprzestrzeniany wyłącznie przy użyciu socjotechniki: osoby odwiedzające różne strony internetowe były proszone o pobranie fałszywej aktualizacji Adobe Flash Playera.

W marcowym miesięcznym raporcie dotyczącym szkodliwego oprogramowania zauważyliśmy, że w ramach nowej metody dystrybucji tego szkodliwego oprogramowania wykorzystywane były setki tysięcy zhakowanych blogów na platformie WordPress. Spowodowało to dramatyczną eskalację tego zagrożenia, ponieważ Flashfake wykorzystywał exploity w celu infekowania komputerów ofiar, w efekcie czego powstał botnet Flashfake, który składał się z ponad 750 000 maszyn z systemem Mac OS X.

Cyberprzestępczy gang odpowiedzialny za dystrybucję Flashfake’a rozprzestrzeniał szkodliwe oprogramowanie za pośrednictwem platformy WordPress poprzez wypożyczanie ruchu z blogów WordPress przy użyciu programu partnerskiego oferowanego przez cyberprzestępczy gang rr.nu. Około 85% zhakowanych blogów znajdowało się w Stanach Zjednoczonych, a wykorzystanie ruchu WordPress pozwoliło grupie odpowiedzialnej za Flashfake’a przekierowywać osoby odwiedzające strony WordPress na zhakowane strony kontrolowane przez osoby atakujące