Idealne oszustwo

Niedługo po tym, jak książę William i Kate Middleton złożyli przysięgę 29 kwietnia, portret ślubny zmarłej matki pana młodego, księżnej Diany z 1981 r., pojawił się jako jeden z trzech najlepszych zdjęć dla osób wpisujących najpopularniejszy termin w wyszukiwarce Google tego ranka: królewskie wesele zasięg. Ale link był drutem wyzwalającym. Oszuści sfinalizowali złośliwą witrynę za pomocą algorytmu Google. Odsyłacz prowadził do zhakowanej strony w komiksie internetowym o nazwie Kiwiblitz.com, która przekierowywała przeglądarkę na inną witrynę — taką, która ma nazwę domeny z mało znanego terytorium australijskiej wyspy i jest hostowana w Szwecji. Ta witryna wyświetlała realistycznie wyglądający program o nazwie XP Anti-Spyware, który wyświetlał fałszywe ostrzeżenia — Twój komputer jest zainfekowany! Kilka kliknięć doprowadziło do rzekomego rozwiązania za 59,95 USD: pobrania poprawki, która w rzeczywistości nie istniała.

Królewski ból: Zatrute zdjęcie księżnej Diany pojawiło się aż na trzecim miejscu w wyszukiwarkach grafiki Google dotyczących relacji z królewskiego ślubu wiosennego dnia, w którym ożenił się jej syn, książę William.

Odnieś kolejny sukces tego, co jest powszechnie znane jako fałszywe oszustwo antywirusowe. Federalni śledczy i eksperci ds. bezpieczeństwa szacują, że jego różne iteracje wydobyły od ofiar co najmniej 1 miliard dolarów w ciągu ostatnich kilku lat i stało się najbardziej widocznym przejawem ogólnego wzrostu złośliwego oprogramowania lub złośliwego oprogramowania rozpowszechnianego w Internecie (patrz wykresy poniżej) . Szkody wykraczają poza kradzież gotówki: nawet jeśli nie wyciągniesz portfela, czasami samo kliknięcie fałszywych zrywów może dostarczyć innych form złośliwego oprogramowania, które może ukraść twoje hasła lub wcielić twój komputer do zdalnie kontrolowanego gangu o nazwie botnet. Ponieważ generalnie polega na nakłanianiu ludzi do dobrowolnego instalowania złośliwego oprogramowania — strategii zwanej atakiem socjotechnicznym — może skończyć się infekowaniem nawet dobrze utrzymanych komputerów, zarówno komputerów PC, jak i Mac. Według Davida Clarka, naukowca z Laboratorium Informatyki i Sztucznej Inteligencji w MIT, który był głównym architektem protokołów internetowych w latach 80. XX wieku, jako akt oszustwa na poziomie ludzkim jest po prostu klasycznie piękny.

Ta historia była częścią naszego numeru z lipca 2011 r.

• Zobacz resztę numeru
• Subskrybuj

Zagrożenie to jest wynikiem zwinnej technologii i modelu biznesowego, który nagradza innowacje. Oszuści stworzyli tysiące wariantów fałszywego antywirusa w dziesiątkach języków, opracowali zautomatyzowane sposoby infekowania zwykłych stron internetowych i wymyślili wiele wektorów lub metod dostarczania łączy internetowych zawierających ich nikczemny ładunek. Wyniki wyszukiwania w grach to tylko jedna metoda. Innym wektorem są reklamy online, podobnie jak spam, linki w sieciach społecznościowych, a nawet robo-połączenia za pośrednictwem Skype'a lub telefonu zachęcające użytkowników do odwiedzenia stron internetowych, które zachęcają do ataku. To naprawdę dominujące zagrożenie dla użytkowników komputerów, które utrzymywało się w czasie i nadal ewoluuje i rośnie, mówi Maxim Weinstein, dyrektor StopBadware, organizacji non-profit z Cambridge w stanie Massachusetts, która pomaga stronom internetowym pozbyć się ataków złośliwego oprogramowania i naciska na zamykanie złośliwych witryn. . Sukces tego oszustwa ujawnia bezkompromisowość wielu głównych graczy internetowych, którzy nie byli w stanie skoordynować strategii radzenia sobie z tym oszustwem.

Ofiary padły w co najmniej 60 krajach. Spędziłem godziny na czyszczeniu systemu, który został zainfekowany, ponieważ pracownik kliknął jedno z tych ostrzeżeń – mówi Brian D’Arcangelo, technik informatyk w Lynn Community Health Center w Lynn w stanie Massachusetts. Tutaj dzieje się to z większą częstotliwością. Wytwórca biżuterii z Toronto – który chciał używać tylko swojego nazwiska, Moser – stwierdził, że jego komputer z systemem Windows został zablokowany migającymi ostrzeżeniami w zeszłym roku po tym, jak szukał przedmiotów związanych z jego działalnością, więc poszedł dalej i kupił rozwiązanie za 79,95 USD. Musiał wyczyścić komputer. Wyszukiwania terminów tak przyziemnych jak balony doprowadziły do ​​atakowania witryn. Fora Apple zapalają się od próśb klientów, którzy chcą się wykręcić od oszustw, takich jak nakłanianie ich do zakupu nieistniejącego oprogramowania Mac Defender. Matka Melissy Hathaway, która w 2009 roku była doradcą prezydenta Obamy ds. bezpieczeństwa cybernetycznego, kliknęła, aby zainstalować fałszywy produkt antywirusowy w grudniu zeszłego roku. Eksperci ds. bezpieczeństwa komputerowego ostrzegają, że wiele ofiar nawet nie zdaje sobie sprawy, że zostały oszukane.

Ekonomia

Atrakcyjność fałszywego oprogramowania antywirusowego – często nazywanego scareware – jest zakorzeniona w strachu. To oszustwo nie polega na przekonaniu ofiary do czegoś niedorzecznego — na przykład, że nigeryjski książę potrzebuje pomocy w przeniesieniu swoich pieniędzy. Zamiast tego dostawa jest skalibrowana, aby wykorzystać prawdziwe ostrzeżenia, które wszyscy otrzymaliśmy. Ludzie, którzy nie wiedzą dokładnie, co się dzieje — i powiedziano im: „Używaj ochrony antywirusowej, myj cyberzęby codziennie” — będą zmuszeni spróbować na to zareagować — mówi Vint Cerf, współtwórca oryginalnych protokołów internetowych, a obecnie główny ewangelista internetowy w Google. Ataki zazwyczaj pochodzą z krajów, w których przepisy dotyczące cyberprzestępczości są luźne (lub nieegzekwowane), a traktaty zobowiązujące współpracę z innymi narodami nie obowiązują. Wiele gangów przestępczych obsługuje sieci w szczególności z Europy Wschodniej. (Niektóre złośliwe oprogramowanie sprawdza, czy komputer potencjalnej ofiary jest ustawiony na języki wschodnioeuropejskie lub ma rosyjskojęzyczną klawiaturę, po czym zgrabnie się zakończy).

Na wolności: Shaileshkumar Jain (powyżej po lewej) i Bjorn Daniel Sundin (po prawej) zostali oskarżeni o oszustwo internetowe i skazani na 163 miliony dolarów po tym, jak rzekomo nabijali konsumentów, sprzedając fałszywe produkty antywirusowe za pośrednictwem nieistniejącej już firmy Innovative Marketing z siedzibą w Kijowie.

Łatwo zrozumieć, dlaczego oszustwo fałszywego oprogramowania antywirusowego jest tak popularne wśród przestępców. Wypłata jest natychmiastowa, a zyski duże. Ktoś, kto kradnie inne rodzaje cyfrowych łupów, takie jak numery kart kredytowych lub hasła, musi podjąć dodatkowe kroki, aby zarobić. Ale fałszywy produkt antywirusowy umieszcza pieniądze prosto w kieszeni oszusta. Na przykład w 2008 roku amerykańska Federalna Komisja Handlu pozwała zleceniodawców Innowacyjnego Marketingu, zarejestrowanego w Belize i posiadającego wówczas biura pod Kijowem na Ukrainie. FTC poinformowała, że ​​firma zarobiła ponad 163 miliony dolarów w latach 2004-2008, nakłaniając konsumentów do kliknięcia w celu pobrania fałszywego oprogramowania za pomocą tak sprytnych tytułów, jak Winfixer, WinAntivirus, Drivecleaner, SystemDoctor i XP Antivirus 2008. W zeszłym roku sąd federalny w stanie Maryland nałożył karę wyrok w tej wysokości przeciwko dyrektorom firmy, Shaileshkumarowi Samowi Jainowi i Bjornowi Danielowi Sundinowi, którzy później zostali oskarżeni o oszustwo w sądzie federalnym w Chicago. Pozostają na wolności. Trzeci oskarżony, James Reno z Amelii w stanie Ohio, który osiadł z FTC, również został oskarżony; oskarża się go o prowadzenie call center, w którym operatorzy starali się odstraszyć ludzi, którzy skarżyli się, chociaż personel czasami zwracał pieniądze zirytowanym klientom, aby pozostać poza zasięgiem radaru firm obsługujących karty kredytowe. Jego adwokat nie odpowiedział na pozostawione przez niego wiadomości Przegląd technologii .

Szkody wyrządzone przez tę organizację mogły być nawet gorsze niż rzekomo FTC. Badacz z firmy McAfee zajmującej się bezpieczeństwem był w stanie ustalić, że Innovative Marketing zatrudnia około 600 pracowników i 34 serwery rozpowszechniające złośliwe oprogramowanie, z których większość działa w tradycyjnym kompleksie biurowym w Kijowie. Korporacyjne imperium składało się z oddziałów obsługujących płatności kartami kredytowymi, call center w Ohio i kilku witryn dla dorosłych, które pełniły podwójną rolę jako wektory dla fałszywego oprogramowania antywirusowego. McAfee zauważył, że w 2008 roku firma Innovative Marketing zarejestrowała 4,5 miliona zamówień w ciągu 11 miesięcy; przy 35 USD za zamówienie, roczny przychód najwyraźniej zbliżył się do 180 milionów USD. To więcej niż 150 milionów dolarów, które Twitter zarobi w tym roku, według szacunków firmy badawczej eMarketer.

Innowacyjny marketing już nie istnieje. Ale to nie spowolniło światowego biznesu fałszywych programów antywirusowych. Jak mówi Eric Howes, analityk ds. badań w GFI Software w Clearwater na Florydzie, w ciągu ostatnich pięciu lat istniało wiele gangów zajmujących się złośliwym oprogramowaniem, które konsekwentnie wykorzystywały nieuczciwe oszustwa antywirusowe. Aby utrzymać szum w operacjach, twórcy tego i innych form złośliwego oprogramowania dostosowują technikę biznesową stosowaną przez firmy takie jak Amazon: model afiliacyjny. Tak jak każda witryna internetowa może zawierać łącze do formularza zakupu Amazon i pobierać opłatę za dowolną sprzedaż, oszuści antywirusowi wykorzystują strony trzecie zwane podmiotami stowarzyszonymi, które mogą otrzymać opłatę za każdą instalację — to znaczy za każdym razem, gdy ktoś otworzy drzwi dla złośliwego oprogramowania klikając fałszywe ostrzeżenie – plus prowizja od każdej sprzedaży fałszywego produktu. Jeden z dystrybutorów, Avprofit.com, obiecał na swojej stronie internetowej, że zapłaci od 300 do 750 USD za każde 1000 instalacji w Stanach Zjednoczonych, Kanadzie, Wielkiej Brytanii lub Australii, gdzie jest większa szansa na napotkanie ofiar, których stać na to, co żądają fałszywych ostrzeżeń. Wymagane doświadczenie: Avprofit szukał hakerów z co najmniej 250 instalacjami dziennie.

Wiele oddziałów radzi sobie bardzo dobrze. SecureWorks, oddział firmy Dell, przeanalizował dystrybucję fałszywego programu antywirusowego o nazwie Antivirus XP 2008 za pośrednictwem firmy Bakasoftware z siedzibą w Rosji. Według dokumentów dostarczonych przez hakera stojącego za Bakasoftware, który używał pseudonimu Krab, jeden z jego głównych partnerów był w stanie oszukać 154 825 osób do zainstalowania kopii złośliwego oprogramowania na ich komputerach w ciągu 10 dni, a 2772 ofiar włamało się do ich karty kredytowej liczby. Jeśli dokumenty są dokładne, partner Kraba uciekł z 146 524 $ w tym krótkim okresie.

Innowacja

Partnerzy stworzyli imponującą liczbę mrocznych innowacji, aby stworzyć nowe sposoby infekowania komputerów w Internecie. Kluczowym narzędziem jest legalna strona internetowa, która została potajemnie skompromitowana. Jeśli odwiedzasz taką stronę, często jesteś automatycznie przekierowywany na stronę, która wyświetla migające ostrzeżenia, próbując nakłonić Cię do kliknięcia w celu pobrania fałszywego programu antywirusowego. Często inne złośliwe oprogramowanie wyszukuje niezałatane dziury w powszechnym oprogramowaniu, takim jak Java i Adobe Flash — dziury, przez które może instalować inne szkodliwe ładunki, takie jak złośliwe oprogramowanie, które kradnie hasła przechowywane na komputerze. Nazywa się to pobieraniem drive-by.

Fałszywe ostrzeżenia podobne do powyższego — w dziesiątkach języków — są dobrze znane milionom użytkowników komputerów na całym świecie.

Niezwykła technologia leży u podstaw całego procesu. Aby utrzymać stały dopływ zainfekowanych stron internetowych, przestępcy piszą kod, który przeszukuje sieć, szukając znanych luk w popularnych platformach wydawniczych, takich jak Wordpress lub w oprogramowaniu do hostingu stron internetowych, takim jak cPanel, mówi Weinstein. (Każdego miesiąca jego organizacja StopBadware pomaga w czyszczeniu 1200 stron internetowych, co stanowi niewielki ułamek z setek tysięcy uważanych za zainfekowane w dowolnym momencie). Alternatywnie przestępcy mogą używać wykradzionych haseł do logowania się na stronach internetowych i dodawania złośliwego kodu. Aby ułatwić tę pracę, botnety wykonują większość pracy automatycznie.

Strony internetowe z pułapkami to tylko jeden krok. Złośliwy kod musi unikać wykrycia, jeśli strony te mają pozostać przydatne dla przestępców. Aby przechytrzyć prawdziwe, aktualizowane codziennie programy antywirusowe, przestępcy dokonują kosmetycznych zmian w kodzie — często za pomocą prostych i powszechnie dostępnych sztuczek szyfrujących. (Na przykład złośliwy kod kryjący się za obrazem Princess Di był bardzo podobny do tego używanego w innych oszustwach związanych z fałszywym oprogramowaniem antywirusowym, ale został przeoczony przez 38 z 42 prawdziwych skanerów antywirusowych). Firmy internetowe blokują adresy internetowe, o których wiadomo, że zawierają złośliwe oprogramowanie, wykorzystują techniki szybkiej rejestracji i zmiany tysięcy adresów.

Spojrzenie na jeden rejestr domen pokazuje, jakie to proste. Firma w Korei Południowej specjalizuje się w sprzedaży milionów adresów w krajowej domenie .cc — domeny Wysp Kokosowych (Keelinga), terytorium Australii. Koreański sklep zarejestrował co.cc. Do tego może dodać niezliczoną ilość imion. W rzeczywistości za 1000 $ da ci 15 000 z nich. Może pochwalić się 57 milionami witryn co.cc zindeksowanych przez Google, co pokazuje, jak łatwo można dotrzeć do szerokiego grona ofiar. A bezpłatne usługi hostingowe na całym świecie ułatwiają uruchomienie tych witryn.

Wektory

Aby wyświetlić swoje linki ofiarom, które prawdopodobnie je zobaczą i klikną, oszustowie antywirusowi potrzebują wektorów i wykorzystali wiele: witryn pornograficznych, reklam online, wyników wyszukiwania, oprogramowania sprzedawanego na witrynach do udostępniania plików oraz linków na Facebook i Twitter. Coraz częściej złośliwe witryny korzystające z tych wektorów są tworzone codziennie lub nawet co godzinę, aby wyprzedzić próby ich zablokowania i zamknięcia.

Infekowanie reklam online jest dość proste: złoczyńcy kupują reklamy i oszukują je złośliwym kodem lub linkami. Według FTC przedstawiciele Innowacyjnego Marketingu podawali się za przedstawicieli prawdziwych firm i organizacji — w tym Travelocity, Priceline i Oxfam International — i rzekomo kupowali reklamy w ich imieniu. Te reklamy internetowe wykorzystywały pomysłowy wariant kierowania na podstawie lokalizacji. Wyglądały legalnie, gdy były oglądane z adresów IP pracowników sieci reklamowej, ale widzowie z innych adresów byli przekierowywani na fałszywe strony. Niedawno, według raportu firmy zajmującej się bezpieczeństwem Websense, zainfekowane reklamy — umieszczone przez sieci reklamowe, które nie sprawdziły dokładnie klientów — pojawiły się na Gizmodo, TechCrunch i na stronie internetowej New York Times .

Powiększ wykresy.

Jednak obecnie dominującym wektorem mogą być wyszukiwarki, mówi Stefan Savage, informatyk z Uniwersytetu Kalifornijskiego w San Diego. Oszuści stosują różne sztuczki optymalizacji wyszukiwania, aby oszukać algorytmy używane przez Google, Bing i inne wyszukiwarki do określania, które łącza internetowe mają być wyświetlane w odpowiedzi na żądania wyszukiwania. Ogólnie rzecz biorąc, strona w zainfekowanej witrynie (takiej jak Kiwiblitz.com) jest po cichu wypchana modnymi hasłami wyszukiwania i linkami do obrazów. Następnie złośliwi gracze łączą ze sobą strony — setki lub tysiące — tak, że programy przeszukujące sieć wyszukiwarek umieszczają zainfekowaną stronę na samej górze pod względem widocznej popularności i trafności. Denis Sinegubko, badacz złośliwego oprogramowania z Rosji, uważa, że ​​przestępcom udało się przejąć wyniki wyszukiwania na pierwszych stronach wyszukiwarki grafiki Google dla milionów słów kluczowych. W rezultacie, jak szacuje, wiosną ubiegłego roku ludzie klikali zatrute wyniki wyszukiwania obrazów 15 milionów razy w miesiącu. Google twierdzi, że od tego czasu zmniejszyło liczbę szkodliwych linków w wyszukiwaniu obrazów o 90 procent w stosunku do poziomów szczytowych, a rzecznik podkreślił, że nadal zatyka luki w swoich algorytmach, aby zapobiec nowym metodom ataku. Google twierdzi, że 0,5 procent wyszukiwań zwraca zwroty, które obejmują co najmniej jedną znaną złośliwą witrynę. Może to brzmieć nisko, ale biorąc pod uwagę, że Google obsługuje ponad miliard wyszukiwań dziennie, oznacza to, że pięć milionów wyszukiwań każdego dnia zawiera szkodliwy link.

Gdy Google zidentyfikuje potencjalnie złośliwy wynik wyszukiwania po zgłoszeniach użytkowników lub firm ochroniarskich, oznacza go komunikatami ostrzegawczymi. A jeśli witryna oszukała wyszukiwarkę i nie powinna zostać dostarczona w pierwszej kolejności, Google usunie ją z wyników wyszukiwania. Google ujawnia również swoją listę złośliwych witryn firmom zajmującym się bezpieczeństwem internetowym i firmom zajmującym się przeglądarkami internetowymi, które mogą generować własne ostrzeżenia, jeśli spróbujesz wpisać adres. Nasz czas reakcji skrócił się z tygodni lub dni do godzin, a nawet minut, mówi Panayiotis Mavrommatis, badacz złośliwego oprogramowania w Google.

Ale branża internetowa nadal nie była w stanie nadążyć za problemem. Na przykład Facebook blokuje swoim użytkownikom dostęp do stron internetowych znajdujących się na czarnej liście Google oraz tych zidentyfikowanych wewnętrznie i z innych źródeł jako złośliwe. Jednak to i inne serwisy społecznościowe, takie jak Twitter, nadal są głównymi wektorami, po części dlatego, że przestępcy zakładają fałszywe konta lub włamują się do legalnych. Około 40 procent aktualizacji statusu na Facebooku zawiera linki; z nich 10 procent prowadzi do spamu lub złośliwych stron internetowych, zgodnie z listopadowym raportem Websense. Mavrommatis, podobnie jak inni badacze bezpieczeństwa, przyznaje, że wyzwanie jest duże. Wraz z rotacją domen filtry oparte na adresach URL stają się mniej wydajne. A dzięki filtrom opartym na treści – znowu szyfrowanie je łamie, mówi. Dlatego jest tak ciężko.

Latanie w ciemno

Badacze twierdzą, że zakończenie plagi fałszywego oprogramowania antywirusowego — lub innego rodzaju złośliwego oprogramowania — będzie prawie niemożliwe, chyba że firmy internetowe i firmy zajmujące się bezpieczeństwem nie będą gromadzić i udostępniać więcej informacji na temat wszystkiego, od wektorów dominujących w danym tygodniu po banki, które są oszustami. za pomocą do przyjmowania płatności. Prywatne firmy ujawniają tylko ograniczone dane dotyczące włamań na ich stronach lub złośliwych linków w swoich sieciach. W branży jest zaskakująco mniej informacji, niż mogłoby się wydawać, mówi Michael Barrett, szef bezpieczeństwa w serwisie płatności internetowych PayPal.

Dzieje się tak częściowo dlatego, że posiadanie zastrzeżonych informacji o złośliwym oprogramowaniu zapewnia przewagę konkurencyjną firmom zajmującym się bezpieczeństwem w Internecie. Musi być więcej wysiłku dzielenia się społecznością, do czego branża bezpieczeństwa nie jest przyzwyczajona, mówi Philippe Courtot, dyrektor generalny Qualys, firmy ochroniarskiej. Ponieważ żadna firma nie może mieć pełnego obrazu ataków i luk w zabezpieczeniach, problem może rozwiązać jedynie szerszy wysiłek społeczności.

StopBadware pracuje nad częściowym rozwiązaniem: systemem raportowania, do którego ma nadzieję, że masa krytyczna firm internetowych będzie dostarczać raporty o zainfekowanych stronach internetowych. Będzie sprawdzać raporty pod kątem dokładności, przekazywać informacje do firm hostingowych, aby mogły usunąć witryny i publikować, które firmy hostingowe nie łamią. Zwiększona presja na te firmy może zmusić przestępców do zmiany taktyki, zwiększając dla nich koszty.

Innym sposobem na zakłopotanie przestępców może być dokładniejsze przyjrzenie się bankom, które przetwarzają ich płatności kartą kredytową. Savage sugeruje, że firmy obsługujące karty kredytowe i organy ścigania nie muszą atakować wielu banków, aby mieć duży wpływ. On i jego współpracownicy niedawno zbadali losową próbkę 120 produktów reklamowanych za pośrednictwem spamu i ustalili, że 95 procent ich sprzedaży trafiło do zaledwie trzech banków w Azerbejdżanie na Łotwie oraz w St. Kitts i Nevis w Indiach Zachodnich. Savage uważa, że ​​badanie płatności za fałszywe oprogramowanie antywirusowe przyniosłoby porównywalne wyniki.

Tymczasem w jednym czasie co najmniej kilkaset tysięcy stron internetowych — znany te — rozpowszechniają złośliwe oprogramowanie za pośrednictwem fałszywych programów antywirusowych i innych oszustw. Weinstein mówi, że przestępcy lepiej radzą sobie z koordynacją swoich przestępstw niż dobrzy ludzie, którzy koordynują naszą obronę. To oznacza, że ​​fałszywe migające ostrzeżenia— Twój komputer jest zainfekowany! — w coraz większym stopniu odzwierciedlają prawdę.

David Talbot jest Przegląd technologii główny korespondent.

ukryć