De 20 meest kwaadaardige programma’s van juli’09

Kaspersky Security Network (KSN) heeft gisteren een persbericht uitgestuurd met daarin twee Top 20-overzichten met de meest kwaadaardige software van de afgelopen maand.

De eerste Top Twintig betreft adware, kwaadaardige en potentieel gevaarlijke programma’s die werden gedetecteerd en geneutraliseerd toen zij voor het eerst werden benaderd door de ‘on-access’-scanner. Het gebruik van ‘on-access’-statistieken maakt het mogelijk om de meest recente, gevaarlijke en wijdverspreide kwaadaardige programma’s, die geblokkeerd werden op moment van verschijning op computers of tijdens het downloaden van het internet, te analyseren.

Er zijn geen significante wijzigingen in de eerste Top Twintig ten opzichte van juni: Kido en Sality blijven de overduidelijke leiders. Toch is het totale aantal computers, dat besmet is met de meest voorkomende malware, licht gedaald. Dit kan te maken hebben met de zomer. Gebruikers spenderen in deze periode minder tijd achter hun pc’s, wat resulteert in minder met malware besmette machines.

De tweede top twintig is interessanter omdat deze gebaseerd is op gegevens, die gegenereerd zijn door de ‘web antivirus’-component, en is een afspiegeling van de online bedreigingen op dit moment. Deze lijst bevat kwaadaardige programma’s die ontdekt zijn op webpagina’s en malware die probeerde te laden via webpagina’s. Met andere woorden, de rangschikking geeft antwoord op twee vragen: “Welke malware infecteert meestal webpagina’s?” en “Welke kwaadaardige programma’s worden bewust of onbewust het meest frequent gedownload van kwaadaardige of geïnfecteerde webpagina’s?”

In de lijst staan drie script exploits genaamd DirektShow. Begin juli schreef Kaspersky over dit script dat gebruik maakt van een kwetsbaarheid in Internet Explorer (www.viruslist.com/en/weblog?weblogid=208187760). Aangezien de meerderheid van de gebruikers Internet Explorer als browser heeft, is het geen verrassing dat dit beveiligingslek direct veel misbruikt wordt door cybercriminelen.

Sinds kort splitsen cybercriminals kwaadaardige scripts steeds vaker op in verschillende delen. Bij DirektShow bijvoorbeeld bevat de hoofdpagina met de exploit voor de msvidctl-beveiligingslek een link naar een ander script dat shell code downloadt met zijn eigen kwaadaardige payload. Trojan-Downloader.JS.ShellCode.i, dat op de achtste plaats van de top twintig staat, is de meest gebruikte shell code die dit beveiligingslek misbruikt. Deze aanpak is eenvoudig en bijzonder gunstig voor cybercriminelen: de shell script code kan te allen tijde worden vervangen, maar de link naar de hoofdpagina blijft hetzelfde. Daarnaast maakt deze manier van werken het moeilijker om de malware te analyseren en te detecteren. In geval van geautomatiseerde systemen kan analyse en detectie zelfs onmogelijk zijn.

Om de verspreiding van malware – met name ransomware in de vorm van valse antivirusoplossingen – te vergemakkelijken, zullen dezelfde web templates keer op keer gebruikt worden. Trojan-Downloader.HTML.FraudLoad.a, een nieuwe vermelding in juli, is een voorbeeld van deze aanpak. Het mechanisme detecteert in feite één van de standaard templates. Dit soort malware wordt steeds populairder in de wereld van de cybercriminaliteit. Met als gevolg dat er enorm veel websites verschijnen, die beweren dat de computer van de gebruiker is geïnfecteerd en vervolgens programma’s downloaden die niet alleen vervelend zijn, maar vaak ook een reële bedreiging vormen. Op de twintigste plaats – Trojan-Downloader.JS.Iframe.bew – is een vergelijkbaar script gebruikt voor het downloaden van kwaadaardige programma’s van dergelijke sites.

Overzicht herkomst kwaadaardige programma’s (%)

De tweede Top Twintig geeft een overzicht van de huidige online bedreigingen en de onderliggende trends. Ten eerste zoeken cybercriminelen nieuwe kwetsbaarheden in de meest populaire software met als doel deze te exploiteren voor infectie van computers met een of vaak meerdere schadelijke programma’s. Ten tweede proberen cybercriminelen hun activiteiten te verbergen, zodat zij onopgemerkt blijven of dat het lijkt alsof er sprake is van minimale beschadiging van de geïnfecteerde computer.

Dit alles maakt het surfen op het internet zonder een volledig gepatcht besturingssysteem of een up-to-date antivirusoplossing zelfs voor de meest ervaren gebruiker zeer riskant.