Корпорация Symantec сообщает о возможных вариантах фальсификации бот-сети, якобы функционирующей на базе мобильных устройств платформы Android. Согласно недавним сообщениям, сеть рассылает спам, рекламирующий акции, финансовые услуги и фармацевтическую продукцию. Специалисты Symantec считают наиболее вероятным сценарием отправку спам-сообщений не с мобильных устройств, а со скомпрометированных ПК. Использование бот-сети на базе мобильных устройств платформы Android для рассылки спама – это нечто новое в индустрии, так как его полноценная реализация возможна лишь при выявлении и эксплуатации новых уязвимостей. Однако, возможны и другие сценарии, имитирующие вышеописанный вариант. Например, отправка спама со скомпрометированных ПК. Ниже приведен пример спам-сообщения, разосланного 3 июля. Среди возможных тем письма: · Wall Street SHOCK ahead!; · Leading Edge Market Analysis; · RE RE: Controlled Prescriptions; · Special Situation Report; · Fwd: Ground Breaking News Report. В данном случае можно видеть два признака того, что письмо было отправлено взломанным почтовым клиентом Android: в техническом заголовке сообщения присутствует идентификатор "androidMobile", и в подпись сообщения включена строка "Sent from Yahoo! Mail on Android", которая используется по умолчанию при отправке писем через приложение Yahoo! Mail for Android. Специалистам Symantec удалось выяснить, что в действительности подобные сообщения отправляются не вредоносной программой, установленной на мобильных устройствах Android. И для подобного утверждения есть серьезные основания. Во-первых, без эксплуатации уязвимости мобильного устройства невозможно автоматически в фоновом режиме отправлять письма через основное почтовое приложение Android – у пользователя будет запрашиваться подтверждение отправки. Кроме того, исследованные сообщения позиционировали себя как отправленные не с почтового клиента, используемого в Android по умолчанию, а с “Yahoo! Mail for Android”. Во-вторых, учетные записи, которыми пользовались спамеры, не выглядят реальными адресами электронной почты. Скорее всего, они создаются специально для рассылки этого спама в строгом соответствии с заданным шаблоном: Имя, Фамилия, два символа в нижнем регистре и две цифры, например: · Corina Ullman [CorinaUllmande03@yahoo.com]; · Dionne Wellner [DionneWellnerur36@yahoo.com]; · Celeste Syrus [CelesteSyrusjf71@yahoo.com]; · Kristin Jamison [KristinJamisondc53@yahoo.com]; · Pearl Runge [PearlRungene76@yahoo.com]. И, наконец, большая часть IP-адресов, с которых производятся рассылки, не принадлежит мобильным сетям. Некоторые из них уже были скомпрометированы рассылкой спама, но не имеют непосредственного отношения к мобильным устройствам. К сожалению, однозначно определить тип устройства по IP-адресу невозможно, так как они могут в разное время быть выделены разным устройствам, например беспроводной точкой доступа. У специалистов Symantec есть несколько версий происхождения подобного спама: 1. Спамеры используют те же веб-сервисы, что и приложение “Yahoo! Mail for Android”. В этом случае спам рассылается с компьютеров, принадлежащих злоумышленникам, но может распространяться и вредоносной программой на ОС Android. Эксперты Symantec подтверждают возможность отправки почты с ПК через веб-сервисы; 2. Вредоносная программа взломала приложение “Yahoo! Mail for Android”, и почтовые сообщения создаются и отправляются автоматически в фоновом режиме без уведомления пользователя. Реализация такого сценария предполагает наличие серьёзной ошибки в архитектуре приложения. Специалисты продолжают его изучать, но на текущий момент ничего подобного не выявлено; 3. Спамеры просто подделывают технические заголовки рассылаемых писем. Первая версия представляется наиболее вероятной, однако, какая бы тактика не использовалась в реальности, злоумышленники преследуют очевидную цель – обойти спам-фильтры, пропускающие сообщения с мобильных платформ. Наблюдения Symantec показали увеличение объема этого типа спама с мая 2012 года, и специалисты компании уже приняли соответствующие меры, чтобы не допустить попадания нежелательной почты в папки входящих сообщений пользователей. Эксперты продолжат тщательный мониторинг ситуации, чтобы выявить истинный источник данного спама. (14:01) 12.07.2012 http://cybersecurity.ru/crypto/155254.html