Антивирусная компания TrendMicro получила доступ к серверам группы злоумышленников, заражавших ПК одним из самых модных видов зловредных программ — винлокерами. На основе данных с сервера стало возможно сделать выводы об оборотах винлокерского бизнеса в России.
Винлокеры (блокеры) — класс зловредных программ, блокирующих доступ пользователя к операционной системе и требующих для продолжения работы перевода денег через SMS.
Изучаемый специалистами TrendMicro троян WORM_RIXOBOT.A распространялся через порносайт, хотя, подчеркивают исследователи, он может заражать ПК и другими путями. В декабре 2010 г. на российские компьютеры он был скачан около 137 тыс. раз.
На сервере, к которому получили доступ сотрудники TrendMicro, можно было отследить поступление средств на 60 телефонных номеров, используемых для сбора доходов.
Изучив данные сервера, эксперты пришли к выводу, что за «последние пять недель» киберпреступники заработали 901 тыс. руб. ($29,5 тыс.). При этом одна разблокировка компьютера стоила 360 руб., а «услугой» разлочки за это время воспользовались 2500 человек, то есть чуть менее 2% владельцев зараженных ПК.
Ситуацию, описанную TrendMicro, можно считать характерной. Старший вирусный аналитик «Лаборатории Касперского» Иван Татарников говорит, что одним из главных каналов распространения блокирующих вредоносных программ являются порносайты. Наряду с этим винлокеры распространяются через файлообменники и P2P-сети под видом полезного контента, через «сайты-приманки», рекламирующие несуществующие товары и классическим для вирусов путем на сменных носителях.
«Лаборатории Касперского» неизвестно точное число ПК, зараженных блокерами, но есть оценка на основе посещаемости сервиса для разблокировки компьютера «Лаборатории». В среднем к бесплатным сервисам-деблокерам для ПК и для мобильных устройств обращаются 30 тыс. уникальных пользователей в день. За 2010 г. было зарегистрировано 12 млн обращений.
Исходя из предположения, что платную SMS за разблокировку (в среднем 400 руб.) отправляет каждая сотая жертва винлокеров, оборот бизнеса злоумышленников составляет около 48 млн руб. в год. Однако, оговаривается эксперт, судя по данным опросов, платить злоумышленникам готова гораздо большая часть пользователей.
И действительно, судя по сообщению TrendMicro, получившего доступ к серверу злоумышленников, число доверчивых пользователей достигает 2%, что автоматически повышает оценку выручки винлокеров как минимум до 100 млн руб. в год.
Впрочем, сейчас в Рунете можно наблюдать взрывной рост популярности винлокеров: по словам Татарникова, за последний месяц (с декабря 2010 г.) число зараженных пользователей выросло в 1,5-2 раза. Вероятнее всего, в этом году выручка злоумышленников может оказаться существенно выше.
Аналитик подчеркивает, что если ранее блокеры писались чуть ли не «на коленке», то теперь уровень профессионализма блокерописателей существенно возрос, в результате чего в Сети распространилось три-четыре вида профессионально написанных блокеров.
При этом винлокерство остается преимущественно российским бизнесом. Хотя существуют американские и немецкие версии (а недавно появилась и чешская), написаны они, скорее всего русскоязычными пользователями, говорит Татарников.