Xakep #305. Многошаговые SQL-инъекции
Служба вирусного мониторинга компании «Доктор Веб» провела анализ вирусной ситуации, сложившейся в ноябре 2007 года.
Начиная с конца октября и всю первую декаду ноября наблюдалось распространение спам-писем Storm Worm с привлекательным заголовком «Dancing Skeleton». В этих письмах, посвящённых празднику Halloween, предлагалось посмотреть на изображение танцующего скелета. После того как пользователь в браузере Internet Explorer переходил по предлагаемой ссылке, происходило срабатывание внедрённого в веб-страницу загрузочного скрипта, что в свою очередь активировало установку исполняемых модулей червя. Его функциональная нагрузка при этом не претерпела никаких изменений по сравнению с предыдущими версиями: в инфицированную систему устанавливался драйвер, компьютер становился элементом P2P-сети и начинал
рассылать спам. Через некоторое время рассылка «танцующих скелетов» была прекращена; не наблюдалось подобных рассылок и в течение всего ноября. Тем не менее, общая вирусная активность явно не собиралась сходить на нет, словно следуя известному принципу «природа не терпит пустоты».
Пользуясь тем, что вирус Storm Worm перестал активно распространяться, активизировались авторы червя Win32.HLLM.Limar. И если в прошлом месяце его распространение было не столь заметно, то в ноябре были зафиксированы несколько опасных рассылок: по электронной почте, в сообщениях ICQ и Skype. Запуск предлагаемых для скачивания файлов приводил к инфицированию системы, нарушению работы некоторых антивирусов и других программных систем защиты информации, а также к рассылке спам-сообщений.
Но и это не все. В течение всего месяца наблюдалась ещё одна волна спам-рассылки: авторы завлекали читателей обещаниями рассказать им о том, как можно быстро разбогатеть и улучшить своё здоровье. При переходе по предлагаемой в теле письма ссылке происходило выполнение загрузочного скрипта с последующей установкой вредоносной программы, определяемой Dr.Web как Win32.HLLM.Graz.
Вирусы, которые в ноябре 2007 года детектировались на почтовых серверах наиболее часто:
- Win32.HLLM.Netsky.35328
- Win32.HLLM.Netsky
- Win32.HLLM.Netsky.based
- Win32.HLLM.Limar.based
- Win32.HLLM.Beagle
- Win32.HLLM.Limar.2228
- Win32.HLLM.MyDoom.based
- Win32.HLLP.Sector
- Win32.HLLM.Perf
- Win32.HLLM.Limar
- Exploit.MS05-053
- Win32.HLLM.Oder
- Trojan.DownLoader.36219
- Win32.HLLM.MyDoom.33808
- Win32.HLLW.Autoruner.437
- BackDoor.Bulknet
- Win32.HLLM.Netsky.24064
- Win32.HLLM.MyDoom.49
- Win32.HLLM.Graz
- Win32.HLLM.Netsky.41985
