Den perfekte fidus

Ikke længe efter at prins William og Kate Middleton udvekslede løfter den 29. april, dukkede et bryllupsportræt fra 1981 af gommens afdøde mor, prinsesse Diana, op som et af de tre bedste billeder for folk, der skrev det mest populære søgeord på Google den morgen: kongeligt bryllup. dækning. Men linket var en snubletråd. Svindelkunstnere havde fundet en ondsindet hjemmeside gennem Googles algoritme. Linket førte til en hacket side på en web-tegneserie kaldet Kiwiblitz.com, som omdirigerede browseren til et andet websted - et med et domænenavn fra et obskurt australsk ø-territorium og hostet i Sverige. Dette websted viste et realistisk udseende program kaldet XP Anti-Spyware, der udstedte falske advarsler - Din computer er inficeret! Et par klik førte til en påstået løsning til $59,95: en download af en rettelse, der faktisk ikke eksisterede.

Kongelig smerte: Et forgiftet billede af prinsesse Diana kom helt op på tredjepladsen i Google-billedsøgninger for royalt bryllupsdækning den forårsdag, hvor hendes søn prins William blev gift.

Få endnu en succes for det, der generelt er kendt som det falske antivirus-svindel. Føderale efterforskere og sikkerhedseksperter anslår, at dets forskellige iterationer har udvundet mindst 1 milliard dollars fra ofre i de sidste mange år, og det er blevet den mest synlige manifestation af en samlet stigning i ondsindet software eller malware, der distribueres online (se diagrammer nedenfor) . Skaden rækker ud over tyveri af kontanter: Selv hvis du ikke trækker din pung frem, kan det nogle gange blot at klikke på de falske come-ons levere andre former for malware, der kan stjæle dine adgangskoder eller indkalde din computer til en fjernstyret bande kaldet et botnet. Fordi det generelt er afhængigt af at narre folk til frivilligt at installere malware - en strategi kaldet et socialt ingeniørangreb - kan det ende med at inficere selv velholdte maskiner, både pc'er og Mac'er. Som en bedragerisk handling på menneskeligt niveau er det bare klassisk smukt, siger David Clark, en forsker ved MIT's Computer Science and Artificial Intelligence Laboratory, som var internettets chefprotokolarkitekt i 1980'erne.

Denne historie var en del af vores juli 2011-udgave

Se resten af problemet
Abonner

Denne trussel er et produkt af smidig teknologi og en forretningsmodel, der belønner innovation. Svindlere har gengivet tusindvis af varianter af det falske antivirus-lokkemiddel på snesevis af sprog, udtænkt automatiske midler til at inficere almindelige websteder og opfundet mange vektorer eller metoder til at levere weblinks, der bærer deres uhyggelige nyttelast. Spillede søgeresultater er kun én metode. Onlineannoncer er en anden vektor, ligesom spam-e-mails, links på sociale netværk og endda robo-opkald via Skype eller telefon, der råder folk til at besøge websteder, der opstøder angrebet. Det er en virkelig dominerende trussel mod computerbrugere, som har bestået over tid og fortsætter med at udvikle sig og vokse, siger Maxim Weinstein, direktør for StopBadware, en nonprofitorganisation i Cambridge, Massachusetts, der hjælper websteder med at slippe af med malware-hacks og presser på for at lukke ondsindede websteder ned. . Succesen med fidusen afslører fladfodet hos mange af internettets store aktører, som ikke har været i stand til at koordinere en strategi for at håndtere det.

Der har været ofre i mindst 60 lande. Jeg brugte timer på at rydde op i et system, der blev inficeret, fordi en medarbejder klikkede på en af disse advarsler, siger Brian D'Arcangelo, informationsteknologitekniker ved Lynn Community Health Center i Lynn, Massachusetts. Det sker med større hyppighed her. En smykkeproducent i Toronto – som kun ville have sit efternavn, Moser, brugt – fandt sidste år sin Windows-pc låst med blinkende advarsler, efter at han søgte efter genstande relateret til hans fag, så han gik videre og købte løsningen for 79,95 USD. Han skulle have renset computeren. Søgninger efter termer så banale som balloner har ført til angrebssteder. Apples fora er blevet lysende op med bønner fra kunder, der søger at komme ud af svindel, som en, der opfordrer dem til at købe ikke-eksisterende Mac Defender-software. Moren til Melissa Hathaway, der fungerede som præsident Obamas cybersikkerhedsrådgiver i 2009, klikkede for at installere et falsk antivirusprodukt i december sidste år. Computersikkerhedseksperter advarer om, at mange ofre ikke engang er klar over, at de er blevet snydt.

Økonomi

Tiltrækningen ved den falske antivirussoftware - ofte kaldet scareware - er rodfæstet i frygt. Denne svindel er ikke afhængig af at overbevise offeret om noget absurd - for eksempel at en nigeriansk prins har brug for hjælp til at flytte sine penge. I stedet er leveringen kalibreret til at udnytte de reelle advarsler, vi alle har fået. Folk, der ikke ved præcist, hvad der foregår - og har fået at vide: 'Kør din antivirusbeskyttelse, børst dine cybertænder hver dag' - vil blive drevet til at forsøge at reagere på det, siger Vint Cerf, en medopfinder af internettets originale protokoller, som nu er chefinternetevangelist hos Google. Angrebene kommer generelt fra lande, hvor lovene om cyberkriminalitet er slappe (eller ikke håndhæves), og traktater, der forpligter samarbejde med andre nationer, ikke er i kraft. Mange kriminelle bander driver netværk fra især Østeuropa. (Nogle malware tjekker for at se, om et potentielt offers computer er indstillet til østeuropæiske lokaliteter eller har et russisksproget tastatur, hvorefter den med ynde vil afslutte.)

Generelt: Shaileshkumar Jain (øverst til venstre) og Bjorn Daniel Sundin (til højre) er blevet anklaget for wire-svindel og ramt med en dom på 163 millioner dollars efter angiveligt at have bikset forbrugere ved at sælge falske antivirusprodukter gennem deres nu nedlagte firma Innovative Marketing, som var baseret i Kiev.

Det er let at se, hvorfor den falske antivirus-fidus er så populær blandt kriminelle. Udbetalingen er øjeblikkelig og overskuddet stort. En person, der stjæler andre former for digitalt bytte, såsom kreditkortnumre eller adgangskoder, skal tage ekstra skridt for at indkassere. Men et falsk antivirusprodukt putter penge lige i skurkens lomme. For eksempel sagsøgte US Federal Trade Commission i 2008 rektorer for Innovative Marketing, som blev indlemmet i Belize og på det tidspunkt havde kontorer nær Kiev, Ukraine. FTC sagde, at virksomheden hentede mere end 163 millioner dollars ind fra 2004 til 2008 ved at narre forbrugere til at klikke for at downloade falsk software med så smarte titler som Winfixer, WinAntivirus, Drivecleaner, SystemDoctor og XP Antivirus 2008. Sidste år opkrævede en føderal dommer i Maryland en dom på det beløb mod virksomhedens rektorer Shaileshkumar Sam Jain og Bjørn Daniel Sundin, som senere blev ramt af tiltale for svig ved en føderal domstol i Chicago. De forbliver på fri fod. En tredje anklaget, James Reno fra Amelia, Ohio – som havde slået sig ned med FTC – blev også tiltalt; han er anklaget for at have drevet et callcenter, hvor operatører forsøgte at afværge folk, der klagede, selvom personalet også nogle gange ydede refusion til vrede kunder for at holde sig væk fra kreditkortselskabernes radar. Hans advokat returnerede ikke beskeder efterladt Teknologigennemgang .

Skaden påført af denne organisation kan have været endnu værre end FTC påstod. En forsker for sikkerhedsfirmaet McAfee var i stand til at fastslå, at Innovative Marketing havde omkring 600 ansatte og 34 servere, der spredte malware, de fleste af dem opererede fra et traditionelt kontorkompleks i Kiev. Virksomhedsimperiet omfattede afdelinger, der håndterede kreditkortbetalinger, callcenteret i Ohio og adskillige voksenwebsteder, der gjorde dobbelt pligt som vektorer for den falske antivirussoftware. McAfee bemærkede, at Innovative Marketing loggede 4,5 millioner ordrer i løbet af en 11-måneders periode i 2008; til $35 per ordre nærmede den årlige omsætning tilsyneladende $180 millioner. Det er bedre end de 150 millioner dollars, som Twitter vil trække ind i år, ifølge et skøn fra markedsundersøgelsesfirmaet eMarketer.

Innovativ markedsføring eksisterer ikke længere. Men det har ikke bremset den verdensomspændende falske antivirus-virksomhed. Der har været adskillige malwarebander, der konsekvent har arbejdet med falsk antivirus-svindel i løbet af de sidste fem år, siger Eric Howes, forskningsanalytiker hos GFI Software, i Clearwater, Florida. For at holde driften brummende tilpasser udbydere af denne og andre former for malware en forretningsteknik, der bruges af virksomheder som Amazon: affiliate-modellen. Ligesom enhvers hjemmeside kan indeholde et link til en Amazon-købsformular og opkræve et gebyr for ethvert salg, rekrutterer antivirussvindlere tredjeparter kendt som affiliates, som kan få et gebyr for hver installation - det vil sige hver gang nogen åbner døren til malware ved at klikke på den falske advarsel – plus en kommission for hvert resulterende salg af det falske produkt. En distributør, Avprofit.com, lovede på sin hjemmeside, at de ville betale mellem $300 og $750 for hver 1.000 installationer i USA, Canada, Storbritannien eller Australien, hvor chancen er større for at støde på ofre, der har råd til at betale hvad de falske advarsler kræver. Erfaring påkrævet: Avprofit søgte hackere med minimum gennemsnitligt 250 installationer om dagen.

Mange af tilknyttede selskaber klarer sig særdeles godt. SecureWorks, en enhed fra Dell, analyserede distributionen af et falsk antivirusprogram kaldet Antivirus XP 2008 via et outfit kaldet Bakasoftware, som var baseret i Rusland. Ifølge dokumenter leveret af hackeren bag Bakasoftware, som gik under kælenavnet Krab, var en af hans bedste datterselskaber i stand til at narre 154.825 mennesker til at installere kopier af malware på deres computere på 10 dage, hvor 2.772 ofre fortsatte med at indtaste deres kreditkort tal. Hvis dokumenterne er nøjagtige, smed Krabs affiliate væk med $146.524 i den korte periode.

Innovation

Tilknyttede selskaber har affødt en imponerende mængde mørk innovation for at skabe nye måder at inficere computere på via internettet. Et nøgleværktøj er et legitimt websted, der i det skjulte er blevet kompromitteret. Hvis du besøger et sådant websted, bliver du ofte automatisk omdirigeret til et websted, der viser de blinkende advarsler, og forsøger at narre dig til at klikke på godkendelse for at downloade det falske antivirusprogram. Ofte søger anden malware ikke-patchede huller i almindelig software som Java og Adobe Flash – huller, hvorigennem den kan installere andre skadelige nyttelaster, såsom malware, der stjæler adgangskoder gemt på din computer. Dette er kendt som en drive-by download.

Falske advarsler, der ligner den ovenfor – på snesevis af sprog – er et velkendt syn for millioner af computerbrugere verden over.

Bemærkelsesværdig teknologi ligger til grund for hele processen. For at opretholde en konstant forsyning af inficerede websteder skriver kriminelle kode, der gennemsøger nettet på udkig efter kendte sårbarheder i almindelige publiceringsplatforme som Wordpress eller i webhostingsoftware såsom cPanel, siger Weinstein. (Hver måned hjælper hans StopBadware-organisation med at rydde op i 1.200 websteder, en lille brøkdel af de hundredetusinder, der menes at være inficeret på ethvert tidspunkt.) Alternativt kan de kriminelle bruge forsømte adgangskoder til at logge ind på websteder og tilføje ondsindet kode. For at gøre dette job nemmere udfører botnet meget af arbejdet automatisk.

Booby-fældende websteder er kun et skridt. Den ondsindede kode skal undgå opdagelse, hvis disse sider skal forblive nyttige for de kriminelle. For at overliste rigtige antivirusprogrammer, der opdateres dagligt, foretager de kriminelle kosmetiske ændringer i koden - ofte med simple og bredt tilgængelige krypteringstricks. (Den ondsindede kode bag Princess Di-billedet var f.eks. meget den samme som den, der blev brugt i andre falske antivirus-svindel, men blev savnet af 38 ud af 42 rigtige antivirus-scannere.) Og for at være på forkant med de sorte lister, som sikkerhedsfirmaer og Webfirmaer fastholder at blokere webadresser, der vides at rumme ondsindet software, de udnytter teknikker til hurtigt at registrere og ændre tusindvis af adresser.

Et kig på et domæneregister viser, hvor nemt dette er. En virksomhed i Sydkorea har specialiseret sig i at sælge millioner af adresser i det nationale domæne .cc – det af Cocos (Keeling) Islands, et australsk territorium. Den koreanske butik har registreret co.cc. Hertil kan den tilføje et utal af navne. For 1.000 $ vil det faktisk give dig 15.000 af dem. Det kan prale af at have 57 millioner co.cc-websteder indekseret af Google, hvilket viser, hvor nemt det kan være at nå en bred vifte af ofre. Og gratis webhostingtjenester over hele verden gør det nemt at presse disse websteder i brug.

Vektorer

For at få deres links foran ofre, der sandsynligvis vil se og klikke på dem, har antivirus-hoaxers brug for vektorer, og de har brugt mange: pornowebsteder, onlineannoncer, søgeresultater, software, der handles på fildelingswebsteder og links på Facebook og Twitter. I stigende grad oprettes ondsindede websteder, der bruger disse vektorer, dagligt eller endda hver time for at være på forkant med bestræbelserne på at blokere dem og lukke dem ned.

Det er ret simpelt at inficere onlineannoncering: De onde køber annoncer og rigger dem til med ondsindet kode eller links. Ifølge FTC udgav repræsentanter for Innovative Marketing sig som repræsentanter for rigtige virksomheder og organisationer – inklusive Travelocity, Priceline og Oxfam International – og købte reklamer angiveligt på deres vegne. Disse onlineannoncer brugte en genial variant af stedbaseret målretning. De virkede legitime, når de blev set fra IP-adresserne på annoncenetværkets medarbejdere, men seere på andre adresser blev omdirigeret til svindelwebsteder. For nylig, ifølge en rapport fra sikkerhedsfirmaet Websense, er inficerede annoncer - placeret af annoncenetværk, der ikke havde tjekket klienterne grundigt - dukket op på Gizmodo, TechCrunch og webstedet for New York Times .

Forstør diagrammer.

Men søgemaskiner er måske den fremherskende vektor nu, siger Stefan Savage, en computerforsker ved University of California, San Diego. Svindelkunstnerne spiller en række søgeoptimeringstricks for at narre de algoritmer, som Google, Bing og andre maskiner bruger til at bestemme, hvilke weblinks der skal vises som svar på søgeanmodninger. Generelt er en side på et inficeret websted (såsom Kiwiblitz.com) stille og roligt fyldt med trendy søgetermer og links til billeder. Derefter forbinder de ondsindede spillere sider – hundreder eller tusinder af dem – så søgemaskinernes webcrawling-programmer rangerer den inficerede side nær toppen for tilsyneladende popularitet og relevans. Denis Sinegubko, en malware-forsker i Rusland, mener, at kriminelle har formået at kapre søgeresultater på de første sider af Google Billedsøgning efter millioner af søgeord. Som et resultat, vurderer han, har folk klikket på forgiftede billedsøgningsresultater 15 millioner gange om måneden i foråret. Google siger, at det siden har reduceret antallet af ondsindede links i billedsøgninger med 90 procent fra topniveauer, og en talsmand understregede, at det fortsætter med at lukke huller i sine algoritmer for at afværge nye angrebsmetoder. Google siger, at 0,5 procent af søgningerne bringer tilbage, der omfatter mindst ét kendt ondsindet websted. Dette lyder måske lavt, men i betragtning af at Google håndterer mere end en milliard søgninger dagligt, betyder det, at fem millioner søgninger hver dag har et ondsindet link.

Når Google identificerer et potentielt ondsindet søgeresultat efter rapporter fra brugere eller sikkerhedsfirmaer, markerer det det med advarselsmeddelelser. Og hvis et websted har spillet søgemaskinen og ikke skulle have været leveret i første omgang, vil Google fjerne det fra søgeresultaterne. Google afslører også sin liste over ondsindede websteder til internetsikkerhedsfirmaer og webbrowserfirmaer, som kan udsende deres egne advarsler, hvis du prøver at indtaste adresserne. Vores responstid er gået fra uger eller dage til timer og endda minutter, siger Panayiotis Mavrommatis, en malware-forsker hos Google.

Men webindustrien har stadig ikke været i stand til at følge med problemet. Facebook blokerer for eksempel sine brugere fra at få adgang til websteder på Googles sortliste og dem, der er identificeret internt og fra andre kilder som ondsindede. Alligevel er det og andre sociale netværkssider, som Twitter, stadig vigtige vektorer, til dels fordi kriminelle opretter falske konti eller hacker legitime. Omkring 40 procent af Facebook-statusopdateringer indeholder links; af dem fører 10 procent til spam eller ondsindede websteder, ifølge en novemberrapport fra Websense. Mavrommatis indrømmer ligesom andre sikkerhedsforskere, at udfordringen er stor. Med rotationen af domæner bliver de URL-baserede filtre mindre effektive. Og med indholdsbaserede filtre – igen bryder kryptering dem, siger han. Derfor er det så svært.

Flyvende Blind

Forskere siger, at det vil være næsten umuligt at stoppe plagen med falsk antivirus-malware – eller malware af enhver anden art – medmindre web- og sikkerhedsvirksomheder indsamler og deler mere information om alt fra de vektorer, der dominerer i en given uge til de banker, som svindlere er. bruger til at acceptere betalinger. Private virksomheder afslører kun begrænsede data om brud på deres websteder eller ondsindede links i deres netværk. Der er overraskende mindre information i branchen, end du måske tror, siger Michael Barrett, sikkerhedschef hos onlinebetalingstjenesten PayPal.

Det er til dels, fordi det at have proprietære oplysninger om malware giver en konkurrencefordel for internetsikkerhedsvirksomheder. Der skal være mere en indsats for at dele samfundet, hvilket sikkerhedsindustrien ikke er vant til at gøre, siger Philippe Courtot, administrerende direktør for Qualys, et sikkerhedsfirma. Da ingen virksomhed kan have et fuldstændigt overblik over angrebene og sårbarhederne, kan kun en bredere og samfundsdrevet indsats løse problemet.

StopBadware arbejder på en delvis løsning: et rapporteringssystem, som det håber, at en kritisk masse af internetvirksomheder vil bidrage med rapporter om inficerede websteder til. Det vil undersøge rapporter for nøjagtighed, videregive oplysningerne til webhostingfirmaer, så de kan fjerne webstederne, og offentliggøre, hvilke hostingfirmaer der ikke slår ned. Øget pres på disse virksomheder kan tvinge de kriminelle til at ændre taktik, hvilket øger omkostningerne for dem.

En anden måde at besvære de kriminelle på kunne være at undersøge de banker, der behandler deres kreditkortbetalinger, nærmere. Savage antyder, at kreditkortselskaber og retshåndhævelse ikke behøver målrette mange banker for at have en stor indflydelse. Han og hans kolleger undersøgte for nylig en tilfældig stikprøve på 120 produkter, der blev annonceret via spam, og fandt ud af, at 95 procent af deres salg gik gennem kun tre banker, i Aserbajdsjan, Letland og St. Kitts og Nevis, Vestindien. Savage mener, at en undersøgelse af betalinger for falsk antivirussoftware ville give sammenlignelige resultater.

I mellemtiden, til enhver tid, mindst flere hundrede tusinde websteder— kendt dem – distribuerer malware gennem falsk antivirus og andre svindelnumre. De kriminelle gør et bedre stykke arbejde med at koordinere deres forbrydelse, end de gode fyre gør med at koordinere vores forsvar, siger Weinstein. Det betyder de falske blinkende advarsler— Din computer er inficeret! - i stigende grad afspejler sandheden.

211service.com