Спам. 
Вредоносное программное обеспечение и защита от него

В последние годы в области информационной безопасности появилось новое понятие — спам. Под спамом понимают несанкционированные массовые не запрошенные электронные почтовые рассылки, не имеющие конкретного адресата. Дело в том, что такие рассылки наносят серьезный ущерб информационным системам. Если изначально спам был просто назойливой рекламой, то сегодня он составляет отдельный вид сетевых информационных угроз [28].

Термин «СПАМ» ведет свое происхождение от от старого (1972 г.) скетча английской комик-группы «Monty Python Flying Circus», в котором посетители ресторанчика, пытающиеся сделать заказ, вынуждены слушать хор викингов, воспевающий мясные консервы (SPAM). В меню этого ресторана все блюда состоят из содержимого этих консервов.

Применительно к навязчивой сетевой рекламе термин «СПАМ» стал употребляться несколько лет назад, когда рекламные компании начали публиковать в новостных конференциях Usenet свои рекламные объявления. На счастье подписчиков таких групп новостей продолжалось это недолго, так как технология Usenet предусматривает любую фильтрацию сообщений, и администраторы конференций просто удаляли спам ранее, чем он достигал большого числа людей. Потерпев здесь неудачу, спамеры переключились на рассылку рекламы по группам адресатов.

Тематика непрошеной корреспонденции варьируется в зависимости от сезона, уровня покупательской способности населения и прочих факторов, однако практически неизменно более половины всего спама отвечает следующим темам: «Для взрослых», «Образование», «Медицина и здоровый образ жизни», «Услуги по электронной рекламе», «Личные финансы», «Отдых и путешествия». Начинает задействоваться спам и в политической агитации. На волне выборов различного уровня доля «политического» спама может серьезно возрасти.

Российские аферисты постепенно перенимают и другой вид мошенничества, развитый за рубежом в силу глобального участия населения в играх на бирже. Появляются спамерские письма, советующие срочно продавать или покупать акции некоей компании. Цель — попытка повлиять на курс акций ради крупной биржевой игры.

По данным ведущих отечественных провайдеров, объем спама в русском сегменте Интернета составляет в среднем до 85% от общего количества входящей электронной почты (от 44,1% до 91% почтового трафика — в 2006 году). Ущерб от спама в России, например — в 2006 году составил более 200 млн евро. Наиболее подробное и объективное исследование такого явления, как спам, в России проводит лаборатория «Спамтест» — подразделение компании «Ашманов и партнеры» (http://www.ashmanov.com/).

Распространение спама приобрело угрожающие масштабы. Его рост превзошел самые пессимистичные прогнозы. Если в конце 2002 г. спам составлял 30−40% от общего числа электронных писем в мире, то уже в 2003 г. его доля превысила 50%, а к концу 2004 года спам составлял около 65−70% всей входящей корреспонденции в публичных почтовых службах Рунета. На сегодняшний день доля спама в русской части Интернета оценивается в 75−80% от общего объема электронной почты.

Убытки от спама, на первый взгляд, незначительные для отдельного пользователя, в масштабах крупных организаций весьма велики. По разным оценкам, на спаме предприятия теряют от $ 50 до $ 200 в год в расчете на одного офисного сотрудника. В результате в 2003 г. ущерб от спама по порядку величины стал сравним с потерями, нанесенными мировому сообществу компьютерными вирусами и злоумышленниками. По данным европейских источников, убытки во всем мире составляют $ 10 млрд ежегодно.

Сегодня спам-рассылки являются одним из основных методов осуществления информационных атак в сети. Такие рассылки являются наиболее распространенным способом доставки почтовых вирусов и других потенциально опасных программ.

Способы рассылки спама различны. Эволюция способов рассылки определялась совершенствованием средств фильтрации. Как только один из методов рассылки начинает преобладать, появляются эффективные средства борьбы с ним, и спамерам приходится менять технологию. В результате, сегодня спам-почта имеет ряд технологических особенностей.

Распределенность спам-рассылок.

Существенная доля спам-сообщений рассылается через сети инфицированных компьютеров (зомби). Для заражения компьютера на него необходимо установить «троянское» программное обеспечение, являющееся proxy-сервером, что позволяет в дальнейшем пользоваться данной машиной — как посредником при пересылке спама. Как правило, отдельный инфицированный компьютер используется для посылки небольшой доли сообщений, при этом в рассылке участвуют сотни и тысячи пользовательских машин. Спамерам удалось наладить сквозной мониторинг доставки сообщений, в результате письмо, отвергнутое при попытке доставки с одного IP-адреса, отправляется заново с другого IP. Это делает фильтрацию почты по «черным спискам», содержащим базу адресов, наиболее часто используемых спамерами (DNSBL-спискам — Dnsbl-DNS Black lists «черные списки доменных имен Интернета») неэффективной.

Уникальность спам-сообщений.

Спам-сообщения, рекламирующие один и тот же товар или услугу, но отправленные пользователям разными маршрутами, могут быть уникальны. Другими словами, в каждое отдельное письмо вносятся случайные последовательности символов, персональные обращения, анекдоты, большие куски связного текста и так далее, что делает спам-сообщения невидимыми для фильтров, основанных на технологии проверки сигнатуры или одинакового текста.

К середине 2003 г. сформировался механизм спамерской рассылки, обладающий определенными характерными признаками, своеобразная типовая «спам-машина»:

• — участие в рассылке нескольких десятков тысяч инфицированных пользовательских машин;
• — наличие профессионального ПО для спама и автоматическое скачивание обновлений данного ПО;
• — автоматическая модификация писем при посылке, в том числе, модификация и частичный перебор почтовых адресов;
• — организация постоянного обмена информацией между спам-серверами.

Организация «псевдорассылок».

Для борьбы со спам-фильтрами нередко спамерами используется прием — «спамерские псевдорассылки». Это анонимные рассылки, не содержащие никаких предложений. Чаще всего в тексте подобных писем содержится бессмысленный набор символов или дата, или письмо вообще не имеет никакого текста, ни аттачмента. Целью подобных рассылок является общее «замусоривание» почтового трафика, и затруднение работы антиспамового ПО, особенно вероятностных статистических (байесовских) фильтров.

Использование графики.

Другим известным приемом борьбы со спам-фильтрами является создание рассылок, в которых рекламный текст сообщения представлен в виде изображения. Начиная от замены на картинки отдельных букв сообщения, до полностью графических объявлений. Наиболее активно в рассылках представлены форматы *.gif и *.jpeg, что связано с хорошим сжатием изображений в этих форматах.

Технология модифицируемого графического спама была опробована в 2003;2004 годах и тогда же была фактически заморожена, в основном из-за нехватки вычислительных ресурсов на генерацию разных картинок в ходе одной рассылки. Тогда спамеры достаточно быстро вернулись к использованию средств языка HTML.

В 2005 году спамеры в основном стремились обойти спам-фильтры за счет увеличения скорости рассылки спама. Однако в 2006 году большая часть антиспам-модулей стала реагировать на спам быстрее, чем раньше. По этой причине спамерам, которые уже не имели возможности принципиально увеличивать скорость рассылок, пришлось возрождать и развивать старые трюки по уникальному изменению каждого почтового сообщения.

В 2006 году спамеры снова сделали ставку на графику. Наиболее успешными при использовании «графического» спама оказались две технологии:

• — доведенная до совершенства модификация графических вложений в пределах одной рассылки (в каждом отдельном образце спам-рассылки меняются параметры вложенной «картинки» — шрит, цвет символов, фон)
• — новинка 2006 года — анимированный спам.

Анимированный спам.

В августе 2006 года спамеры начали активно использовать технологию анимированного спама. Пик анимированного спама пришелся на сентябрь-октябрь, с ноября и до конца года количество и доля анимации резко уменьшились.

Спамеры использовали GIF-анимацию, т.к. она воспроизводится всеми популярными браузерами. Анимированное вложение содержало от трех до нескольких десятков кадров. При этом значимым являлся один или часть кадров, т. е. только они содержали информационную составляющую. Все остальные кадры были предназначены для «зашумливания» анимации. Они не несли смысловой нагрузки и содержали элементы фона, геометрические фигуры и т. п.

Значимые кадры демонстрировались пользователю от нескольких секунд до 10 минут, а вспомогательные — всего десятые доли секунды, и человеческий глаз просто не успевал их воспринять. Потом изображение повторялось. Дальнейшее развитие технологии: текст спамерского предложения разносится по разным кадрам, на каждом — по 1−2 строчки из рекламного письма. Кадры накладываются друг на друга, и в итоге пользователь видит полный текст спамерского предложения. В анимации по-прежнему сохранены «зашумленные» кадры в начале и в конце. Данная мера предназначена для борьбы с OCR-технологиями (распознавание текста из графики), которые разработчики спам-фильтров могут противопоставить спамерам.

Несмотря на то что с появлением спамерской анимации все разработчики антиспамерского ПО столкнулись с определенными сложностями, с технической точки зрения проблема оказалась не так сложна, и серьезной угрозы для почты анимированный спам не представляет.

Модификация текста сообщения.

Один из наиболее популярных технических приемов спамеров — это всевозможные модификации текста сообщения. Самым распространенным является метод модификации слов в тексте письма. Для реализации данного метода используются следующие подходы:

• — использование небуквенных символов для разбиения слова (например, пробелов или точек, как в слове «v.i.a.g.r.a»);
• — использование одинаковых по написанию букв разных алфавитов (например, буква «эс» русского и «си» латинского алфавитов не отличаются внешне, но использование случайных замен на латинские буквы в русских словах может привести к существенному ухудшению качества работы лексических фильтров);
• — произвольное удвоение букв в словах или «дребезг клавиатуры» в терминологии спамеров («уддвоеение»);
• — внедрение в текст непечатаемых символов (символов, которые не отображаются в текстовом режиме в данной кодировке).

Генерация подобных сообщений сегодня происходит в автоматическом режиме, с использованием специальных шаблонов. С некоторыми из этих способов современные спам-фильтры могут справиться достаточно легко (тот же «дребезг клавиатуры»), с другими ситуация сложнее, но главное — при использовании этого метода «читаемость» сообщения может пострадать.

HTML-трюки.

Еще одной разновидностью модификации текста сообщения являются технические приемы, основанные на возможностях использования языка HTML, и на отличиях в отображении текстов HTML различными браузерами. Наиболее распространены следующие приемы:

• — добавление в сообщения «невидимого» текста (например, набранного тем же цветом, что и фон сообщения);
• — использование различных размеров шрифта — крупным шрифтом отображаются смысловые фрагменты текста, а мелким, практически невидимым шрифтом набирается случайный текст.

Спамеры пытаются использовать особенности показа текста сообщения в формате HTML широко распространенных браузеров, чтобы создать ситуацию, когда один и тот же текст по-разному воспринимается человеком и фильтром. В результате контентные фильтры (фильтры по смысловому содержимому) не срабатывают, так как пытаются обработать текст, значительно отличающийся от того, который видит пользователь.

Использование технологии социальной инженерии.

Социальная инженерия представляет собой технологию использования человеческого фактора для взлома информационной безопасности. Именно человек является наиболее слабым звеном в системах защиты. Даже если корпоративная сеть оснащена самой совершенной техникой и программным обеспечением, виновником взлома может стать неопытный сотрудник, который поддался на мошеннические действия злоумышленника.

Чтобы заставить пользователя внимательно прочесть полученное письмо и отреагировать так, как нужно рекламодателю (позвонить по телефону, кликнуть по ссылке и т. п.), спамеры активно осваивают психологические способы воздействия на получателей сообщений. В частности, чтобы привлечь их внимание и спровоцировать чтение писем, спамеры пытались заставить получателей поверить, что перед ними не спам, а личные сообщения. Наиболее примитивный прием, когда спамеры добавляют в тему сообщения метки RE или FW как показатель того, что данное сообщение является ответом на предыдущую переписку или отправлено кем-то из известных адресатов. Но этот подход срабатывает не всегда, поэтому такие «простые» приемы начинают дополняться более изощренной маскировкой.

Спамеры обратились непосредственно к тексту сообщений. Теперь некоторые спамерские тексты стилистически и лексически оформляются, как личная переписка. Часто такой спам не содержит обращений или содержит обращения вида «подруга», «малышка» и т. п., чтобы создать у пользователя иллюзию, что письмо было адресовано именно ему. Иногда в подделке под личную переписку упоминаются и имена. В любом случае, пользователь может захотеть разобраться, что это за сообщение, откуда, не надо ли его куда-то переслать, и, как минимум, прочтет экземпляр спама.

Ниже приведен пример спама, замаскированного под частное письмо:

Привет ДРУЖИЩЕ!

Помнишь ты сетовал на дороговизну расходки для Своей конторы? Я нашёл ребят, которые помогают здорово сэкономит Представляешь, они мне заправили 3 картриджа за 900 рублей, оплату приняли безналом, все доки привезли, мой бух просто прется Их номер {xxx-xx-xx}, Ты, если, что звони не стесняйся.

Пока!

Среди спамовых писем, замаскированных под личную переписку, попадаются настолько убедительные образцы, что даже специалист может ошибиться при первом взгляде на текст, не говоря уже о не слишком опытных пользователях.