Почтальон, который не звонит: штрихи к портрету спамера

25.09.2017

Организаторы нежелательных рассылок непрерывно меняют тактику действий, стремясь максимально подстроиться под график работы своих жертв и проявляя новые чудеса изворотливости и коварства

Исследовательский центр IBM X-Force Kassel выпустил новый обзор деятельности спамеров. Ежегодно центр обрабатывает миллиарды спам-писем, завлекая их в специальные ловушки, и нынешний обзор охватывает период с декабря 2016 г. по июнь 2017 г.

1. Не покладая рук, без выходных

Первым делом авторы обзора выяснили, в какие дни недели спамеры наиболее деятельны. В целом они ведут себя подобно типичным офисным сотрудникам: 83% спама приходится на рабочие дни, тогда как в субботу и воскресенье нелегальные «почтальоны» снижают активность минимум в два раза.

Самый «спамоопасный день» — вторник (около 17% от общего объема незапрошенной почты за неделю); за ним с небольшим отрывом в доли процента следуют среда и четверг. На этом фоне российские спамеры отличаются трудолюбием: «похоже, они работают всю неделю» — с некоторой долей изумления констатируют авторы нового обзора. В нашей стране пик рассылок незапрошенной почты приходится на четверг и почему-то на субботу.

2. Война войной, а спам по расписанию

Большая часть незапрошенной почты адресована бизнес-пользователям, и спамеры приспосабливаются к их графику не только по дням недели, но и по рабочим часам. В Европе первый вал спам-рассылок фиксируется с 6 до 7 утра по Гринвичу (в континентальной части Старого Света стрелки часов отстают от британского эталона на 1-2 часа). Следующие всплески приходятся на 11-12 часов и четыре-пять часов пополудни. С поправкой на европейское время приступы активности спамеров идеально вписываются в периоды начала рабочего дня, обеденного перерыва и завершения дневной вахты, когда менеджер бросает прощальный взгляд на свой почтовый ящик.

3.Откуда письмишко?

30% IP-адресов, с которых приходит спам, зарегистрированы в Индии; каждый четвертый IP-адрес — в странах Южной Америки. Европа удостоилась «бронзы» с 20%. 11% спамеров используют китайские IP-адреса, 7% — адреса в США и Канаде, Россия замыкает список с 6%.

Схожие модели поведения спамеров наблюдаются в Китае и США. И в той, и в другой стране массированные бомбардировки нежелательной почтой осуществляются почти что непрерывно, без каких-либо сильных отклонений по дням недели или часам.

4.И здесь сети…

Массовые рассылки были бы невозможны без участия в них значительного числа компьютеров. Поэтому спамеры сотрудничают с коллегами по цеху киберпреступлений — в частности, для установления контроля над чужими компьютерами и формирования из «зомбированных» машин спам-сетей (ботнетов).

Самая известная такая сеть — Necurs. Она существует с конца 2012 г., до сих пор демонстрируя удивительную живучесть. Во многом это объясняется постоянным изменением тактики рассылок: если раньше адресаты получали документы Microsoft Office, дополненные макровирусами, то сейчас основной упор сделан на рассылку зараженных PDF-документов и файлов с расширением WSF — исполняемых файлов со сценариями Windows.

5. Вместо заключения

Миллионы незапрошенных писем каждый день, успешные поиски новых жертв, функции «прачечных», отмывающих грязные деньги киберпреступников… Список характеристик спама можно продолжать до бесконечности, но важнее ответить на вопрос, как справиться с этой чумой цифрового века.

Здесь надо вернуться к мысли о тесном взаимодействии спамеров с представителями других направлений киберпреступности. В первую очередь это вирусописатели: их симбиоз настолько плотен и выгоден обеим сторонам, что часто авторы здовредов одновременно являются «нелегальными почтальонами» и наоборот.

Все современные антивирусные продукты обладают развитыми функциями борьбы со спамом, и правильно выбрать, настроить или модернизировать антивирусную систему вам помогут специалисты ARinteg. Не ждите, пока в ваш почтовый ящик поступит «письмо счастья» от спамера, действуйте на опережение!