Le mois de mai 2010 a été marqué par une activité très importante des bloqueurs de Windows (Trojan.Winlock, Trojan.AdultBan), dont une grande partie était des modifications qui ne demandaient plus d’envoyer des SMS payants. Les internautes se sont également heurtés à de nouveaux types d’encodeurs de documents (Trojan.Encoder), ainsi qu’à de nouveaux bootkits que Doctor Web peut désinfecter, tandis que les faux antivirus (Trojan.Fakealert) ont commencé à occuper moins de place dans les rapports statistiques.

Nouvelle vague de bloqueurs

A partir du 14 mai, le serveur de statistiques de Doctor Web a commencé à enregistrer un dépassement de la quantité moyenne de détections des bloqueurs de Windows. Les premiers jours, ce dépassement était assez insignifiant, mais dès le 18 mai, le serveur a enregistré 215 000 détections des Trojan.Winlock et Trojan.AdultBan par jour, contre 1 500 détections par jour auparavant. Cette activité s’est maintenue jusqu’à fin mai.

Même si la vague de diffusion des Trojan.Winlock a été plus importante dans la seconde partie du mois de mai, plus de 920 000 détections de bloqueurs de Windows ont été enregistrées durant tout le mois. Et ce chiffre a dépassé pour la première fois le maximum de janvier 2010.

Bloqueurs sans SMS

A partir du 7 mai, les utilisateurs ont commencé à envoyer des requêtes au support technique se plaignant de bloqueurs qui ne se limitaient plus aux demandes d’envoi de SMS payants, mais réclamaient de leur transférer de l’argent via des terminaux de paiement. Durant tout le mois de mai, les pirates ont utilisé plusieurs systèmes de paiement comme WebMoney, RBKMoney ou "Wallet One". De tels bloqueurs, ainsi que leurs modifications classiques, sont dépistés sans problèmes par les produits antivirus de Dr.Web comme, par exemple, le Trojan.Winlock.

Vers la fin du mois, les internautes ont reçu des propositions de transférer de l’argent sur un compte de portable, enregistré par les pirates chez un des opérateurs russes. Il est à noter que les pirates changent sans cesse ces numéros pour rendre leur dépistage plus difficile.

Dans les notifications envoyées par les nouveaux Trojan.Winlock, il est indiqué que le code de déblocage sera indiqué sur le reçu émis par l’organisme après le transfert de la somme extorquée, si tant est que l’organisme en question émette un tel reçu. Certains pirates ne prévoient même pas de fournir aux internautes les codes de déblocage car une fois l’argent reçu, leur but est atteint.

Les sommes extorquées varient de 250 à 500 roubles, ce qui est plus ou moins égal aux sommes réclamées par les bloqueurs « classiques ».

L’apparition des logiciels malveillants de ce type est devenue le catalyseur de la nouvelle vague de diffusion des bloqueurs qui voient leurs modifications récentes s’ajouter à leurs formes classiques toujours en vigueur. La recherche de nouveaux schémas d’obtention de profit aide les pirates à surmonter les obstacles crées par les sociétés antivirales et les outils de sécurité. Lorsque les pirates apprendront à bien manier les systèmes de paiement automatique, il sera encore plus difficile de leur faire face.

Rappelons que Doctor Web publie régulièrement sur le site Dr.Web Unlocker, les codes de déblocage même pour de nouveaux types de bloqueurs, codifiés par certaines modifications du Trojan.Encoder.

Voici une galerie des bloqueurs de Windows les plus répandus, dépistés sur les ordinateurs des internautes au mois de mai.

Galerie des Trojan.Winlock

Nouveaux bootkits

Au mois de mai, les développeurs de Doctor Web ont découvert de nouveaux types de bootkits (sorte de rootkits qui se dissimulent dans la partie de téléchargement du disque et s’active avant même la mise en marche de tout le système) comme Trojan.Alipop et Trojan.Hashish. Le premier est orienté sur les utilisateurs chinois et provoque une modification du fonctionnement du calculateur des logs (montre leur nombre plus beaucoup plus grand) lors des visites de certains sites. Le second boot – virus est destiné à activer les modules qu’il contient et qui peuvent être utiles aux pirates. LeTrojan.Hashish contient les objets malicieux de la famille Win32.HLLC.Asdas, utilisés pour générer de bandeaux sur de faux sites web. Il contient un logiciel qui contamine les fichiers exécutifs.

Les spécialistes de Doctor Web ont élaboré d’urgence, dans le scanner Dr.Web à interface graphique, les moyens de désinfection de ces nouveaux types de bootkits. Plusieurs produits antivirus présents sur le marché ne possèdent pas de moyens de désinfection des bootkits directement à partir du système contaminé, tandis que les procédés alternatifs peuvent être inaccessibles aux utilisateurs non-qualifiés. Disons simplement que plusieurs antivirus ne sont pas même capables de détecter la présence du bootkit dans le système.

Les faux antivirus diminuent

Même si au mois de mai, la tendance à une réduction considérable de la diffusion du Trojan.Fakealert a été visible, les pirates ont amélioré sa qualité. Les ressources IT européennes consacrées à la lutte contre les logiciels malicieux ont publiés des manuels de plus en plus complexes sur la désinfection des nouveaux faux antivirus. Mais les pirates travaillent également de leur côté et de nouvelles modifications de malwares posent toujours de nouveaux problèmes. Cette « course aux armements » ressemble bien à la lutte contre les bloqueurs de Windows, qui sont diffusés parmi les internautes parlant russe.

Voici une galerie de faux antivirus diffusés le mois dernier.

Galerie des Trojan.Fakealert

Encodeurs

Le mois de mai 2010 a également vu apparaître de nouvelles modifications des encodeurs de fichiers Trojan.Encoder, ainsi que les moyens de les créer. Leur nombre a augmenté à partir du milieu du mois. Ils proposaient à leur victime de communiquer avec les pirates via ISQ ou bien d’envoyer un SMS payant. Le nombre de détections par jour a atteint 1 300 - 1 900 tandis qu’auparavant leur niveau moyen était de 500.

D’autre part, les nouvelles modifications du Trojan.Encoder ont pour but de discréditer Doctor Web. Dans ce cas, les fichiers codés portent le logo de Dr.Web et certains créateurs de virus attribuent même son nom à leurs créations.

Doctor Web prie les internautes de ne pas faire attention à ces provocations et de ne pas hésiter à contacter le laboratoire antivirus Doctor Web aussitôt que des problèmes liés aux trojans encodeurs apparaissent. Ces provocations signifient que nos employés font activement face aux pirates.

Le pourcentage de logiciels malicieux parmi tous les logiciels analysés à l’aide des produits Dr.Web au mois de mai 2010 a diminué dans le trafic de courrier aussi bien que sur les machines des utilisateurs. Cela peut résulter de la diminution notable des faux antivirus (ils ne font plus partie du TOP vingt des malware), aussi bien que de la baisse d’activité de grands botnets.

Fichiers malicieux détectés au mois de mai dans le trafic du courrier électronique

Fichiers malveillants détectés au mois de mai sur les ordinateurs des utilisateurs