Кража собственности в компьютерных сетях

  В настоящее время компьютеры настолько прочно вошли в нашу жизнь, что с каждым днем все больше и больше пользователей и организаций хранят в них свою виртуальную собственность. И если многие из нас весьма трепетно относятся к своей реальной собственности, то виртуальная явно обделена подобным вниманием.

  Большинство пользователей продолжают считать, что до них никому нет дела, что в их компьютерах нет ничего ценного для злоумышленника, и вся компьютерная зараза пройдет мимо. Давайте посмотрим на эту проблему с другой стороны баррикад — со стороны злоумышленников.

  За последние годы своего интенсивного развития, постоянно изобретая новые вредоносные технологии, киберкриминал стал высокодоходным занятием, пройдя путь от любительских проб одиночек до бизнеса хорошо организованных групп.

  В течение 2005 года киберпреступники по различным оценкам заработали от десятков до сотен миллиардов долларов, что превышает доход всей антивирусной индустрии. Безусловно, не все столь внушительные средства «заработаны» на атаках на пользователей и организации, но они занимают значительную часть в суммарном доходе злоумышленников.

  В этой статье мы попытаемся проанализировать, какая виртуальная собственность пользователей вызывает интерес у злоумышленников, к каким способам получения чужих данных они прибегают.

Что крадут

  Итак, какая же виртуальная собственность может заинтересовать компьютерного вора?

  По результатам проведенного аналитиками «Лаборатории Касперского» исследования вредоносных программ, можно выделить 4 группы собственности, которая наиболее часто подвергается кражам с компьютеров пользователей. Подчеркнем, что это далеко не весь список того, чем интересуются мошенники. Рассмотрим их подробнее:

• параметры для доступа к различным финансовым системам (онлайн-банкингу, пластиковым картам, электронным деньгам; об этом читайте во второй части статьи, где будет уделено внимание вопросам атак на финансовые организации), интернет-аукционам или им аналогичным;
• пароли для доступа к интернет-пейджерам, сайтам;
• пароли для доступа к почтовым ящикам, которые являются неотъемлемой частью ICQ-аккаунтов, а также все найденные на компьютере адреса электронной почты;
• пароли к онлайн-играм, среди которых наиболее популярными являются такие как Legend of mir, Gamania, Lineage и World of Warcraft.

  Таким образом, если вы обладаете хоть чем-то из приведенного списка, то уже представляете интерес для криминала.

  Почему крадут данные и что с ними потом делают, мы расскажем немного ниже в разделе «сбыт краденого», а сейчас остановимся на том, как осуществляются кражи.

Как крадут

  Для совершения кражи в подавляющем большинстве случаев используются специализированные вредоносные программы или методы социального инжиниринга, либо и то и другое — для большей эффективности.

  Начнем с вредоносных программ, задачей которых является шпионаж за действиями пользователя (например, запись последовательности всех нажатых клавиш), либо целенаправленный поиск ключевых данных в пользовательских файлах или системном реестре. Полученные данные вредоносная программа в конечном счете передает автору, который поступит с ними по своему усмотрению.

  Согласно классификации «Лаборатории Касперского», подобные творения относятся к Trojan-Spy или к Trojan-PSW. Если количество ежемесячно обнаруживаемых новых модификаций шпионских программ представить в виде графика, то он примет следующий вид:

Рисунок 1: Рост числа вредоносных программ, занимающихся кражей информации.

  Получить шпионские программы можно самыми различными путями: при просмотре вредоносного сайта, по почте, в чате, форуме, через интернет-пейджер или иным способом во время путешествия по всемирной паутине. В большинстве случаев злоумышленники одновременно с вредоносными программами используют приемы социального инжиниринга, целью которых является подвигнуть пользователя к совершению необходимых киберпреступнику действий. В качестве примера возьмем одну из модификаций широко распространенного Trojan-PSW.Win32.LdPinch, который занимается кражей паролей к интернет-пейджерам, почтовым ящикам, FTP и другой информации. Оказавшись на вашем компьютере, эта вредоносная программа рассылает по контакт-листу всем вашим знакомым сообщения вида:

    Смотри
    <ссылка_на_вредоносную_программу>
    Классная вещь! :-)

  Практически каждый получатель данного сообщения идет по вредоносной ссылке и запускает троянца. Происходит это из-за высокого уровня доверия к ICQ-сообщениям. Получатель не сомневается, что сообщение пришло от его знакомого. И так по кругу: заразив компьютер вашего знакомого, троянец рассылает себя дальше по всем контакт-листам, обеспечивая автора программы ворованными пользовательскими данными.

  Особое опасение вызывает факт, что подобные шпионские программы уже пишут начинающие — и также сочетают их с методами социнжиниринга. Вот, например, программа от автора, только вчера освоившего английский — Trojan-Spy.Win32.Agent.ih. При запуске данная вредоносная программа выводит диалоговое окно, показанное на рисунке:

Рисунок 2: Диалоговое окно, выводимое Trojan-Spy.Win32.Agent.ih.

  В тексте сообщения пользователю указывается на необходимость заплатить всего $1 за пользование услугами интернета, а само сообщение составлено по всем правилам социального инжиниринга:

• пользователю не оставляют времени для размышлений — заплатить необходимо в день получения письма;
• предлагается заплатить символическую плату в размере $1, что резко увеличивает число плательщиков, так как мало кто будет что-либо выяснять из-за одного доллара;
• для мотивации действий пользователя используется обман: если не заплатишь, отключим доступ к интернету;
• чтобы минимизировать подозрения пользователя, в качестве отправителя указана администрация провайдера, которая позаботилась о своем пользователе и написала эту программу, с помощью которой можно все оплатить и не тратить время. Вполне логично, что она знает адрес электронной почты своего пользователя.

  Первый этап работы программы — зомбировать пользователя, не оставить у него сомнений в необходимости ввода данных кредитной карты. Законопослушному пользователю просто не оставляют выбора, и он нажимает кнопку «Pay credit card», что приводит к появлению диалогового окна, приведенного на рисунке 3:

Рисунок 3: Диалог для ввода параметров кредитной карты, выводимый Trojan-Spy.Win32.Agent.ih.

  Естественно, что после заполнения всех полей и нажатия кнопки «Pay 1$» никакой оплаты не происходит, зато вся информация о кредитной карте отправляется по почте мошенникам.

  Методы социнжиниринга зачастую используются и отдельно от вредоносных программ. Красноречивым подтверждением этого является фишинг — атака, направленная на клиентов того или иного банка, использующих для управления своего счета систему онлайн-банкинга. В рассылаемых от имени банка фальшивых письмах утверждается, что учетная запись клиента заблокирована по той или иной причине (это, конечно, блеф), и для ее разблокирования предлагается ввести учетные данные по приводимой в теле письма специальным образом сформированной ссылке. Приводимая ссылка создается злоумышленниками таким образом, что на экране жертвы она отображается как реально существующий сетевой адрес сайта банка, на самом же деле ссылка при ее активации приведет на сайт злоумышленника. Введенные данные опять же попадут не в банк, а к преступнику, который получит данные клиента, а вместе с ними и возможность доступа к его счету. Пример фишингового письма приведен на рисунке 4:

Рисунок 4: Пример фишингового письма.

  Похожим образом рассылаются и письма от имени различных служб поддержки, социальных служб и т.п.

  Однако мошенники охотятся не только за данными кредитных карт. Их интересует и такая вещь, как списки электронных адресов с компьютеров пользователей. Каким же образом крадут эти адреса? Неоценимую помощь злоумышленникам в этом оказывают вредоносные программы, которые, согласно классификации «Лаборатории Касперского», получили название SpamTool. Эти программы занимаются сканированием файлов данных на компьютере-жертве и поиском в них всех возможных адресов электронной почты. Собранные адреса могут тут же отфильтровываться по заданным критериям: например, удаляются принадлежащие антивирусным компаниям.

  Все собранные email'ы передаются разработчику вредоносной программы.

  Существуют и куда более циничные способы проникновения троянцев на компьютеры пользователей. Отмечены случаи, когда преступники предлагают платить владельцам сайтов за загрузку их посетителям вредоносных программ — чего стоит случай с сайтом iframeDOLLARS.biz! Согласно расположенной там «партнерской программе», веб-мастерам предлагалось установить на собственных сайтах эксплойты для дальнейшей загрузки посетителям (разумеется, без их ведома!) вредоносных программ. «Партнерам» предлагалось $61 за 1000 заражений.

Сбыт краденого

  Безусловно, главная причина всех этих краж — возможность получения выгоды. В конечном итоге практически вся украденная информация продается либо напрямую используется для получения денег. Но кому нужны данные кредитных карт и электронные адреса?

  Итак, кража данных совершена. Но это только часть дела, теперь необходимо вывести из платежной системы деньги, либо реализовать полученную информацию. Если результатом проведенной атаки стали, например, параметры для доступа к системе онлайн-банкинга или электронному кошельку пользователя, то средства могут быть выведены самыми различными способами: через цепочку электронных обменных пунктов из одной электронной валюты (aka платежной системы) в другую, либо с помощью аналогичных услуг представителей киберкриминала, либо путем приобретения товара в интернет-магазинах.

  Во многих случаях этот этап легализации краденых средств является самым опасным для злоумышленника, так как необходимо указывать какие-либо свои идентификационные параметры: адрес для доставки товара, номер своего счета/кошелька и т.д. Для решения проблем такого рода мошенники могут использовать людей, которых на языке киберкриминала называют «дропами». Используют их для самой рутинной работы, чтобы не светиться самим — получить деньги, товар. Сами «дропы» зачастую не знают, для чего их используют. Предварительно их может нанять на работу якобы международная компания через сайты по поиску работы, на руках у «дропа» даже может быть заключенный контракт с печатью. Но в случае их задержания правоохранительными органами ничего вразумительного о заказчиках они, как правило, сказать не могут, контракт и все указанные в нем реквизиты оказываются, безусловно, фальшивыми, впрочем как и сайт компании с указанными почтовыми адресами и телефонами, через которые осуществлялось общение с «дропами».

  Сейчас эта индустрия поставлена в сети на поток, злоумышленнику нет смысла самому искать «дропов», их поставкой может заниматься человек, который на языке киберпреступников называется «дроповодом». Каждому из звеньев в этой цепочке при легализации денег пользователей приходится платить определенный процент, но безопасность стоит этих вложений, тем более что деньги «заработаны» злоумышленниками не потом и кровью.

  Что касается украденных адресов электронной почты, то их можно продать на криминальном рынке за немалые деньги тем же спамерам, которые будут их использовать в своих дальнейших рассылках.

  Поговорим теперь об онлайн-играх. Рядовому пользователю будет интересно узнать, что же делают с его учетными записями. На самом деле игроки покупают себе с помощью электронных денег виртуальное оружие, заклинания, всевозможную защиту и кучу чего еще. Отмечены случаи, когда виртуальные ресурсы продаются за тысячи вполне реальных долларов. И все эти богатства злоумышленники, получив их абсолютно бесплатно, могут продать по значительно сниженным ценам, чем и объясняется рост популярности вредоносных программ, занимающихся кражей игровой виртуальной собственности. Например, количество модификаций вредоносных программ, ворующих пароли от известной игры Legend of Mir, на конец июля 2006 года насчитывало уже более 1300(!) штук. Более того, в последнее время все чаще нашими аналитиками обнаруживаются подобные вредоносные программы, которые атакуют не одну игру, а сразу несколько.

  Мошенничество сводится к побуждению пользователя добровольно расстаться с деньгами и для этого в подавляющем большинстве случаев используется любовь пользователей к «халяве».

  Бизнес постоянно осваивает новые области, в сети продается все больше товаров и услуг, постоянно появляются новые. Вслед за бизнесом в сеть пришел и криминал, оперативно внедрив в сети мошеннические схемы из реального мира. Как правило, в таких схемах для привлечения покупателей (или клиентов) ставка делается на значительно более низкие цены по сравнению с ценами, предлагаемыми честными продавцами. Примером здесь может стать один из виртуальных магазинов, фрагмент страницы которого приведен на рисунке 5:

Рисунок 5: Предложения ноутбуков по низкой цене на мошенническом сайте.

  Как видно из рисунка 5, цена предложения неправдоподобно низкая. Казалось бы, такая цена должна вызвать подозрение у пользователей и заставить их задуматься о приобретении. Для того чтобы этого избежать, злоумышленники аргументируют низкую цену следующими причинами:

• продажа конфиската;
• продажа товаров, купленных по краденым кредитным картам;
• продажа товара, купленного в кредит на подставных лиц.

  Вся аргументация низкой цены у подобных «магазинов» весьма и весьма сомнительная. Но многие покупатели верят — почему бы не продавать товар дешево, если он достался бесплатно.

  При заказе пользователя просят внести предоплату, а иногда и оплатить всю стоимость товара, после чего телефоны/адреса преступников перестают отвечать. Заплаченные деньги, безусловно, никто не возвращает. Указанный сценарий может применяться с различными модификациями. Например, в России широко распространена доставка купленного в интернет-магазинах товара с помощью курьеров. В этом случае злоумышленники могут требовать предоплату только за доставку, аргументируя свое требование тем, что курьер часто приходит по адресу, где никто ничего не заказывал и затраты на курьера приходится покрывать интернет-магазину. В этом случае покупатель расстается только с затратами на доставку, товар также не доставляется.

  Фиктивные интернет-магазины — это далеко не единственные ловушки для пользователей, в кибермире находят свою вторую жизнь практически все криминальные идеи из реального мира. В качестве очередного примера можно рассмотреть еще один из «проектов», когда пользователю предлагают вложить определенную сумму под очень привлекательный процент, что заставляет пользователя отдавать деньги мошенникам. На рисунке 6 показан один из таких «инвестиционных» сайтов:

Рисунок 6: Мошеннический «инвестиционный» сайт.

  Комментарии по размерам предлагаемых процентов излишни. Тем не менее, находятся люди, доверяющие таким «проектам», автоматически превращаясь из инвесторов в жертв, потерявших вложенные средства.

  О таких случаях можно рассказывать бесконечно: постоянно обнаруживаются ложные обменные сайты для электронных денег, клиенты которых также лишаются своих средств, периодически появляются интернет-пирамиды (аналог мошеннических «пирамид» из реального мира), рассылается спам о существовании секретных специализированных электронных кошельков, которые удваивают/утраивают полученные суммы и т.д. Как мы уже сказали ранее, все подобные мошеннические подходы используют любовь пользователя к халяве.

  В 2006 году четко проявилась опасная тенденция: в России и других странах СНГ стало интенсивно развиваться вымогательство. В январе 2006 года появляется Trojan.Win32.Krotten, который модифицировал реестр компьютера-жертвы таким образом, что нормальная работа для пользователя становилась невозможной. После перезагрузки компьютера Krotten выдвигал требования о переводе злоумышленнику 25 гривен (около 5 USD) за восстановление работоспособности компьютера. Но обладая необходимой квалификацией, пользователь все-таки мог восстановить рабочее состояние системы самостоятельно, либо проинсталлировать операционную систему сначала, что позволяло ему избавиться от этой вредоносной программы. Большинство последующих обнаруживаемых вымогателей из других семейств уже не предоставляли такую возможность, и выбор «платить или не платить» перед пользователем уже не стоял, чаша весов все чаще склонялась в пользу первого решения.

  Распространялся Krotten в чатах, на форумах под видом сенсационных программ, позволяющих получать бесплатную IP-телефонию, бесплатный доступ к интернету, бесплатный доступ к сотовым сетям и др.

  Следом за Trojan.Win32.Krotten 25 января 2006 года появляется первая модификация Virus.Win32.GpCode, который шифровал файлы данных на диске, не давая возможности пользователю декриптовать их самостоятельно. Восстановление информации было платным, каталоги с зашифрованными данными содержали файл readme.txt:

    Some files are coded by RSA method.
    To buy decoder mail: xxxxxxx@yandex.ru
    with subject: RSA 5 68251593176899861

  Несмотря на сообщение об использовании RSA-алгоритма шифрования, злоумышленник на самом деле использовал обычное симметричное шифрование, что делало восстановление данных не столь сложным.

  Всего за 6 месяцев 2006 года GpCode прошел достаточно длинный путь в своем развитии, что сопровождалось сменой алгоритма шифрования и постоянным увеличением его сложности. Сумма выкупа для различных версий варьировалась от 30 до 70 USD.

  Распространялся GpCode с помощью спам-рассылки.

  Дальше — больше. В течение года активно росло количество семейств программ-вымогателей (появляются Daideneg, Schoolboys, Cryzip, MayArchive и др.), ширилась география их появления: к концу полугодия подобные вредоносные программы обнаружены в Великобритании, Германии и других странах. Однако и другие методы вымогательства продолжали применяться не менее интенсивно. Красноречивым примером этого стала атака на проект 21-летнего британского студента Алекса Тью, который создал сайт по продаже рекламного места в виде квадратов в несколько пикселей и заработал на своей необычной идее 1 миллион долларов в течение четырех месяцев. Злоумышленники потребовали значительную сумму у успешного студента, угрожая ему DDoS-атакой. По истечении трех дней с момента выдвижения требования сайт студента подвергся DDoS-атаке. К чести студента, платить он так и не стал.

  Почему же вымогательство и шантаж пользуются такой популярностью в киберкриминальных кругах? Ответ прост: на это провоцируют сами жертвы. В надежде восстановить утерянные или испорченные важные данные они согласны выполнить любые условия злоумышленников.

  По прочтении нашей статьи у читателя может сложиться впечатление, что ее цель — запугать пользователя и сообщить, что спасти его может только антивирус. На самом деле никакой антивирус не поможет пользователю в сети, если он не будет соблюдать элементарную осторожность. Ниже приводится несколько простых рекомендаций, следование которым поможет вам не стать «подарком» для злоумышленников:

• перед совершением платежной операции или указанием своих частных данных поищите отзывы на нужный сайт, однако не стоит доверять отзывам, которые опубликованы на самом сайте, т.к. они могут быть написаны злоумышленником. Лучшими помощниками в данном вопросе могут стать ваши знакомые;
• избегайте сообщения параметров своих банковских карт в сети. Если вам необходимо совершить сетевой платеж, заведите себе отдельную карту или кошелек для этого, переводя туда деньги непосредственно перед покупкой;
• с большим опасением стоит относиться к интернет-магазинам, инвестиционным фондам и прочим организациям, если они расположены на доменах третьего уровня, да еще и на бесплатном хостинге. Уважающая себя организация найдет незначительную сумму на собственный домен второго уровня;
• проверяйте, где и когда зарегистрирован домен, где находится сам магазин, соответствуют ли действительности указанные адреса и телефоны. Простой звонок может сразу решить кучу проблем, расставив точки над i. Если домен зарегистрирован месяц назад, а вам в переписке говорят, что компания на рынке несколько лет, то это повод для более тщательной проверки;
• никогда не делайте предоплат. Даже за доставку курьером. Деньги за все услуги отдавайте только по факту получения товара. Не верьте объяснениям, что у нас часто заказывают по фиктивным адресам и курьеры бегают зря. Лучше перестраховаться и выбрать другой магазин, чем оказаться обманутым;
• никогда не отвечайте на рассылки от имени банков, фондов и прочих структур просто потому, что они их не проводят. Если вы в этом сомневаетесь, то проверьте факт рассылки по телефону. Но только не по тому, который может быть указан в теле сообщения, так как если письмо отправлено злоумышленником, то номер, безусловно, принадлежит тоже ему.

  В этой части были рассмотрены наиболее распространенные способы отъема виртуальной собственности пользователей в сети. Самым лучшим гарантом вашей безопасности можете быть только вы сами. Как говорится, кто предупрежден, тот вооружен. И мы надеемся, что наша статья поможет вам в этом.