Rambler's Top100
Все новости Новости отрасли

Как закрыть черную дыру?

11 сентября 2013

Эксперты «Лаборатории Касперского» изучили распространенный эксплоит-пак  BlackHole, исследовав как сам процесс заражения компьютера, так и механизмы защиты от него и подобных ему зловредов.

Уязвимости в легитимном ПО являются одним из самых популярных у злоумышленников способов заражения пользовательских устройств и корпоративных сетей. По статистике «Лаборатории Касперского», чаще всего компьютеры атакуют эксплойты, использующие уязвимости в Java. При этом киберпреступники, как правило, задействуют не один эксплойт, а целые наборы подобных зловредов — эксплойт-паки.

Если раньше эксплойты и загружаемые с их помощью вредоносные программы создавались одними и теми же людьми, то сегодня эта отрасль чёрного рынка стала работать по модели SaaS (Software as a Service). В результате распределения труда каждая группа злоумышленников выполняет свои задачи: кто-то создает и продает эксплойт-паки, кто-то обеспечивает приход пользователей на стартовые страницы эксплойтов (гонит трафик), кто-то пишет распространяемые в ходе drive-by атаки вредоносные программы. Теперь злоумышленнику, желающему заразить компьютеры пользователей, например, одной из модификаций троянца ZeuS, достаточно купить готовый эксплойт-пак, настроить его и нагнать побольше потенциальных жертв на стартовую страницу (она также называется лендинг).

Любовь злоумышленников к эксплойт-пакам объясняется просто: в отличие от отдельных вредоносных программ такие наборы значительно повышают результативность атаки, поскольку наличие сразу нескольких разных эксплойтов увеличивает шансы на то, что подходящая уязвимость в ПО будет найдена. В частности, в эксплойт-пак BlackHole входят три эксплойта для Oracle Java и четыре - для Adobe Flash Player и Adobe Reader. При этом для поддержания этого «инструмента» в рабочем состоянии злоумышленники постоянно меняют набор эксплойтов, а также вносят изменения в код для того, чтобы усложнить детектирование зловредов антивирусными решениями.

Как правило, эксплойт-пак содержит стартовую страницу, которая используется для того, чтобы определить параметры компьютера (версию операционной системы и браузера, наличие плагинов и определенных программ и т.п.) и подобрать соответствующие эксплойты для атаки. Затем, если зловред находит подходящую брешь в программном обеспечении, начинается непосредственный запуск эксплойта.

Эксперты «Лаборатории Касперского» отмечают, что злоумышленники предпринимают немалые усилия для того, чтобы усложнить задачу разработчикам защитного ПО. В частности они шифруют программный код и периодически меняют этот шифр, а также добавляют мелкие, незначительные изменения в код, которые могут помешать сигнатурному детектированию.

Но несмотря на все эти уловки современные защитные решения могут эффективно противостоять атакам с использованием эксплойтов, причем распознавание угроз и их предупреждение осуществляется на всех этапах срабатывания эксплойт-пака.

«Эксплойт-паки — это комплексная система проникновения на компьютер жертвы. И если раньше эксплойты и загружаемые с их помощью вредоносные программы создавались одними и теми же людьми, то сегодня в этой киберпреступной индустрии наблюдается распределение труда: кто-то создает и продает эксплойт-паки, кто-то обеспечивает приход пользователей на стартовые страницы эксплойтов, кто-то пишет распространяемые в ходе атак вредоносные программы. Так что теперь злоумышленнику, желающему заразить компьютеры пользователей, достаточно просто купить готовый эксплойт-пак и сопутствующие ему «сервисы». В таких условиях качественное защитное ПО, обладающее проактивными технологиями защиты, становится жизненно необходимым», — рассказывает Вячеслав Закоржевский, руководитель группы исследования уязвимостей «Лаборатории Касперского».

Подробное исследование, посвященное BlackHole, выложено здесь.

Заметили неточность или опечатку в тексте? Выделите её мышкой и нажмите: Ctrl + Enter. Спасибо!

Оставить свой комментарий:

Для комментирования необходимо авторизоваться!

Комментарии по материалу

Данный материал еще не комментировался.