«Лаборатория Касперского» изучила распространенный эксплойт-пак BlackHole
Эксперты «Лаборатории Касперского» изучили широко распространенный эксплойт-пак BlackHole, включая процесс заражения компьютера с помощью этого эксплойт-пака и механизмы защиты от него и подобных ему зловредов, использующих уязвимости в ПО.
«Любовь злоумышленников к эксплойт-пакам объясняется просто: в отличие от отдельных вредоносных программ, такие наборы значительно повышают результативность атаки, поскольку наличие сразу нескольких разных эксплойтов увеличивает шансы на то, что подходящая уязвимость в ПО будет найдена, — рассказали CNews в компании. — В частности, в эксплойт-пак BlackHole входят 3 эксплойта для Oracle Java и 4 для Adobe Flash Player и Adobe Reader. При этом для поддержания этого «инструмента» в рабочем состоянии злоумышленники постоянно меняют набор эксплойтов, а также вносят изменения в код для того, чтобы усложнить детектирование зловредов антивирусными решениями».
Как правило, эксплойт-пак содержит стартовую страницу, которая используется для того, чтобы определить параметры компьютера (версию операционной системы и браузера, наличие плагинов и определенных программ и т.п.) и подобрать соответствующие эксплойты для атаки. Затем, если зловред находит подходящую брешь в программном обеспечении, начинается непосредственный запуск эксплойта.
По словам экспертов «Лаборатории Касперского», злоумышленники предпринимают немалые усилия для того, чтобы усложнить задачу разработчикам защитного ПО. В частности, они шифруют программный код и периодически меняют этот шифр, а также добавляют мелкие, незначительные изменения в код, которые могут помешать сигнатурному детектированию.
Но, несмотря на все эти уловки, защитные решения могут противостоять атакам с использованием эксплойтов, причем распознавание угроз и их предупреждение осуществляется на всех этапах срабатывания эксплойт-пака, подчеркнули в компании. К примеру, решения «Лаборатории Касперского» блокируют возможность перехода на зараженный сайт, ведущий на стартовую страницу эксплойта, а также распознают зловредов, сверяя код всех запускаемых программ с обширной базой данных вредоносного ПО или анализируя поведение программ. Кроме того, отдельная технология «Защита от эксплойтов», встроенная в продукты «Лаборатории Касперского», позволяет вовремя распознать эксплойт среди всех других программ и предотвратить его запуск на компьютере.
«Эксплойт-паки — это комплексная система проникновения на компьютер жертвы. И если раньше эксплойты и загружаемые с их помощью вредоносные программы создавались одними и теми же людьми, то сегодня в этой киберпреступной индустрии наблюдается распределение труда: кто-то создает и продает эксплойт-паки, кто-то обеспечивает приход пользователей на стартовые страницы эксплойтов, кто-то пишет распространяемые в ходе атак вредоносные программы. Так что теперь злоумышленнику, желающему заразить компьютеры пользователей, достаточно просто купить готовый эксплойт-пак и сопутствующие ему «сервисы», — пояснил Вячеслав Закоржевский, руководитель группы исследования уязвимостей «Лаборатории Касперского». — В таких условиях защитное ПО, обладающее проактивными технологиями защиты, становится жизненно необходимым».
© CNews
