Этот неоднозначный спам

С тех пор, как в 1978 году было отправлено первое спамовое электронное письмо, потоки спама в электронной почте кажутся неуправляемыми и саморазмножающимися. Но это не так. Спам – это экономика в экономике.  Спамом мы с вами называем передачу большого числа незапрошенных сообщений. Несмотря на то, что в Сети существует масса способов обмана и мошенничества, «старый добрый» спам в электронной переписке используется наиболее широко. Спаммеры рассылают миллионы электронных писем, которые часто содержат рекламу продуктов и услуг, но еще чаще - злонамеренные программы. По данным крупнейших провайдеров услуг электронной почты, спам занимает от 85 до 90 % всей электронной почты планеты. В 2008 году основными источниками такого спама были  США (18,6 % от общего числа писем, распознанных, как спам), КНР (8,1 %) и Республика Корея (7,2 %).  

Несомненно, любые меры, предпринимаемые для улучшения информационной безопасности,  повышают доверие к онлайновой деятельности. Однако, некоторые затраты на безопасность требуются только из-за бесконечных атак киберпреступников, подрывающих доверие пользователей к онлайновым транзакциям.  Эти атаки осуществляются с использованием двух инструментов вредоносного программного обеспечения и спама.
Вредоносные программы – термин, обобщающий различные формы злонамеренных программ, разработанных для проникновения в компьютеры и их заражения, о чем их владельцы, как говорится, ни сном, ни духом… За два последних десятилетия бизнес по  созданию и распространению вредоносных программ оценивается во многие миллиарды долларов США. Ущерб, наносимый мошенниками и расходы на меры противодействия, по всей вероятности, существенно превосходят эту цифру. Все это подвергает риску все сферы производства, поскольку оно все больше зависит от информационных услуг.
Спам и  вредоносные программы оказывают многостороннее влияние на финансы участников рынка информационных услуг.  От них прямо или косвенно зависят расходы и доходы  разработчиков и поставщиков программного обеспечения, операторов связи, провайдеров интернета  и пользователей. Это – деньги, потраченные и на превентивные меры, и на восстановление, и неиспользованные возможности, обусловленные перегрузкой каналов связи, и потери рабочего времени на «разгребание» спама электронной переписки.
И спам и вредоносные программы «обитают» в «серой» зоне, где пересекаются легальная и нелегальная экономика. Это та зона где придуманы и используются технологии продаж с помощью спама,  и  услуги защищенного интернет-хостинга, и схемы "накачки и сброса" биржевых курсов, и «сборка» и  аренда ботнетов. Более того, вредоносные программы,  создаваемые в теневой экономике, питают не только саму эту экономику. Часть заработанных там денег вливается в легальную экономику. Эта смесь легальных, полулегальных и нелегальных действий создает смешанные, и даже конфликтующие стимулы для отдельных участников рынка.
Еще несколько лет назад нам больше всего досаждали вирусы и черви. Потом появились и широко распространились троянские кони, «потайные ходы», регистраторы работы клавиатуры, руткиты и шпионские апплеты.  Еще относительно недавно считалось, что спам – сам по себе, а вредоносные программы – совершенно отдельная штучка. Теперь, с  появлением ботнетов, две эти угрозы  объединяются, образуя единое целое – еще более мощное и опасное для отдельного пользователя.  
Ботнеты – это сети из зараженных компьютеров. Именно они являются источниками большей части спама. Мало того, за счет спама они сами поддерживаются и разрастаются.  
Получить надежную информацию о финансовых аспектах вредоносных программ  и спама мало кому удается.  Многие опубликованные оценки тенденций развития кибератак и объемов ущерба предоставлены поставщиками услуг безопасности. Это, несомненно, полезные, и, зачастую - единственно доступные цифры, но рассматривать их нужно с учетом источника информации, поскольку все безопасники скорее, переоценивают проблемы безопасности, чем недооценивают их.
Вредоносное программное обеспечение может использоваться для распространения спама и для выполнения других действий, в основу которых положен спам.  Оно может использоваться для заражения систем с целью получения дистанционного доступа, для передачи данных из системы третьей стороне без разрешения или оповещения об этом владельца.  Создать вредоносные программы относительно просто и недорого. Более того, современные поколения вредоносных программ очень легко подогнать под определенные задачи и предоставить покупателю возможности выполнения кибератак, существенно  превосходящих уровень его навыков программирования.
По оценкам Google каждая десятая веб-страница передает вредоносные программы ничего не подозревающим посетителям.  Более того, эксперты предсказывают, что все больше вредоносных программ будет нацелено на мобильные телефоны, персональные микрокомпьютеры (PDA) и широкий диапазон других интеллектуальных устройств.

 

Первые поколения вирусов и вредоносных программ были написаны и распространены хакерами, стремящимися к  "славе и известности".  В последние несколько лет создание, распространение  и применение вредоносного программного обеспечения, в первую очередь, побуждается экономическими интересами.
Вредоносные программы  вместе с другими киберинструментами и методами, представляют собой недорогой способ совершения киберпреступлений, которые зачастую начинаются с использования спама. Подавляющая часть спама сегодня создается сетевыми роботами (ботнетами).  Согласно данным, опубликованными одной из фирм, специализирующихся на сетевой безопасности, 85% спама создается всего лишь шестью ботнетами, причем 60% от всего спама приходится на долю только двух из них (Srzibi и Rustock).  
Не удивляйтесь,  по сути своей, не весь спам незаконен. То есть далеко  не каждое электронное сообщение, открыв которое вы кривитесь: «спам!», обязательно является незаконным или нежелательным для получателя. Различные люди по разному смотрят на то, какая информация представляет собой  рекламу, а какая является спамом.  Следовательно, точно определить понятие "спам" невозможно.  Благодаря низкой стоимости его создания и распространения, участники электронного рынка будут использовать электронную почту для рекламы своих продуктов и услуг до тех пор, пока будет оставаться достаточное число получателей, которые будут  делать покупки в ответ на спам.  
Таким образом, спам определяется как "информационное загрязнение" при котором существует "огромная масса продуктов отправителей, стремящихся достичь тех немногих получателей, кому действительно требуется то, что предлагается".  Следовательно, огромный объем информации, создаваемой при массовой рассылке электронной почты, можно рассматривать как результат отсутствия у  отправителя достоверной информации о целевых получателях.  Это – спам достаточно безобидный – рекламный. Наоборот, "вредоносный спам"  передается с явными мошенническими или преступными намерениями. К сожалению в нашей стране нет закона, соответствующего Закону США CAN-SPAM от 2003 года, который определяет характеристики незаконных действий, но разрешает определенные формы электронного маркетинга.

Потенциальное разнообразие и многогранность вредоносного программного обеспечения превращают его в мощный инструмент. Особенно важными факторами его мощи является неуклонно растущее число пользователей интернета, снижение стоимости доступа к электронной почте и ее хранения, легкая доступность инструментов вредоносного программного обеспечения  и растущий разрыв между степенью сложности систем и приложений и осведомленностью пользователей
С ростом степени использования информационно-коммуникационных систем в бизнесе и в домашних условиях множатся и возможности атак на информационные системы. Доступность все более сложных приложений и глобальный переход на широкополосные каналы связи усиливают проблему, созданную вредоносным программным обеспечением. С расширением широкополосного доступа, все больше пользователей пользуется преимуществами постоянного подключения, используют беспроводные хот-споты дома и в поездках,  а также применяют все более разнообразные устройства для соединения с интернетом.  Увеличение числа устройств, вариантов конфигурации сетей и приложений дает новые вектора атаки для достижения цели вредоносного программного обеспечения.
2008 год принес с собой новую тактику, используемую киберпреступниками. Они не только начали использовать новые способы для рассылки спама, но нашли также новые методы распространения опасных программ. Сообщения электронной почты все чаще вместо присоединенной вредоносной программы, содержат ссылки на зараженные ею веб-сайты.  Программа загружается при простом посещении веб-страниц (так называемая "попутная" загрузка). Процент сообщений со ссылками на веб-сайты злоумышленников выросло с 25% в начале 2007 года до 42% в декабре 2008.

Глобальное распространение информационных сетей и сетей электросвязи позволяет различным участникам рынка вести мошенническую деятельность в условиях широкого географического распространения. В том, что касается мест размещения роботов, рассматриваются несколько факторов. С одной стороны, может быть более эффективно размещать роботов в странах с хорошими интернет-каналами.  Однако, это, как правило, те страны, где и силы охраны  правопорядка более развиты, и существуют строгие законы в области киберпреступности, и интернет-провайдеры, более решительно противостоят подозрительным действиям.  Следовательно, атаки для таких действий выгодно инициировать из стран с менее хорошими каналами, но не имеющих соответствующего законодательства против киберпреступлений.
Хотя эти факторы очевидны, реальные тенденции атак позволяют предположить, что злоумышленники не взвешивают эти "за" и "против". Вместо того чтобы выбирать определенные регионы или страны, они часто меняют дислокацию. Одной из причин этой «перемены мест» может быть то, что интернет-провайдеры в их теперешнем месте расположения начали более активно бороться  со спамом или ботнетами. Другой причиной является то, что место размещения начинает все чаще попадать в черные списки. Короче говоря, географический источник  вредоносного программного обеспечения очень динамичен и распределен.
Спаммеры могут динамично менять видимые адреса источника с использованием, например, методов, известных "fast flux". Тем не менее, данные сервиса Spamhaus, который определяет IP-адреса, с которых рассылается спам, показывают, что в глобальном масштабе географический шаблон источников спама относительно стабилен. Основными странами источниками в 2007 и 2008 годах оставались США, Китай, Российская Федерация, Соединенное Королевство, Южная Корея, Германия, Япония, Франция, Канада и Тайвань. В 2009 году рейтинг 10 стран, определенных как главные источники спама, пока  не изменился.  Интересно, что данные, опубликованные сервисом Spamhaus, позволяют предположить, что большая часть трафика создается относительно небольшим числом спаммеров.  
В том, что касается объемов спама, по оценкам SOPHOS на сегодняшний день лидирующим источником спама являются США, за ними следует Россия, потом Китай и Бразилия.  Данные, собранные компанией Team Cymru, также показывают аналогичное географическое распределение активности ботнетов и вредоносного программного обеспечения.  Symantec  предсказывает, что США будет оставаться ведущей страной до тех пор, пока другая страна не обойдет США по числу широкополосных каналов связи.  

Итак, вредоносное программное обеспечение и спам  все больше пересекаются. Тем не менее, в то время, когда наиболее сложные новейшие вредоносные программы, за исключением атак типа DDoS, не требуют для себя больших объемов вычислительных мощностей и не занимают большой пропускной способности  линий связи , основой спама является экономика больших чисел. Поэтому спам создает объемы трафика, с которыми приходится считаться. В прошлом году загрузки контента из Всемирной паутины, электронная почта и передача файлов занимала 21,3% потребительского трафика.
Ранее рассылка спама определялась как злоумышленное использование систем электронной передачи сообщений для беспорядочной рассылки больших объемов незапрашиваемых сообщений. Позднее спам стал более прицельным, и в случае "охоты на кита" спамовые сообщения посылаются по адресам, выбранным с почти хирургической точностью. Списки адресов электронной почты часто формируются путем сканирования списков рассылки интернета, поиском адресов  в сети или путем сбора сообщений в социальных сетях. Среди множества других видов спама – спам в мгновенных сообщениях (SPIM), спам на мобильный телефон (m-spam), спам в VoIP (SPIT) и самая старая форма спама – спам в новостных конференциях (нацеленный на конкретные группы пользователей).

Спам влечет за собой большие расходы, как для отдельных получателей,  так и для общества в целом. Вне зависимости от того, что является целью спама – корпоративный или частный пользователь, адресат потратит некоторое время на сортировку почты и удаление нежелательных сообщений, даже, если он защищен антиспамовыми фильтрами.  Кроме того, спам увеличивает расходы интернет-провайдеров и других участников рынка. Наконец, поскольку спам используется для достижения других мошеннических или преступных целей, с ним, возможно, связаны существенные косвенные расходы.

В бизнес-среде спам влечет за собой несколько видов расходов, включая расходы на обеспечение безопасности, оборудование и программное обеспечение; расходы на обучение и переобучение персонала, расходы из-за потери производительности в результате траты времени на удаление нежелательных сообщений электронной почты и затем на поиски случайно удаленных нужных сообщений. Кроме того, предприятия испытывают на себе непрямое влияние спама, например, они вынуждены платить дороже за услуги интернет-провайдера, который стараются возместить свои собственные выросшие затраты из-за спама.
Стоимость нереализованных возможностей в то время, которое было потрачено на сортировку и удаление спама из электронных почтовых ящиков, зависит от стоимости времени сотрудника, навыков работы со спамом у организации и отдельного пользователя, сложности технологии фильтрации и дерзости спаммеров. Точно также, другие расходы, связанные со спамом, будут представлять собой динамичные цифры, которые будут колебаться в ответ на те или иные факторы. В 2005 г. компания Ferris Research оценила глобальные расходы на спам в 50 млрд. долл. США. На государственном уровне оценки этих расходов для США превосходят 17 млрд. долл. США, Второй идет Япония с 5,2 млрд. долл. США и Германия с 4,5  млрд. долл. США. Два года спустя, компания Ferris оценила глобальные расходы на спам в 100 млрд. долл. США, а бремя, легшее на плечи США в 37 млрд. долл. США. Кроме того, в 2007 г., компания Nucleus Research Inc. сообщила о том, что управление спамом только для бизнеса США  обошлось в 71 млрд. долл. США.
На уровне интернет-провайдера расходы на спам являются составной частью и долей бюджета, выделяемого на IT безопасность.  Провайдеры не публикуют цифр, которые указывали бы долю расходов из-за спама.  Еще несколько лет назад спам считался проблемой отдельного пользователя.  Однако с массовым увеличением спама перед интернет-провайдерами встала задача дорогостоящих инвестиций в инфраструктуру электронной почты. Доля нежелательных электронных сообщений в общем объеме почты помогает пролить некоторый свет на эти потенциальные затраты.
Одним из источников данных является Рабочая группа по борьбе со злоупотреблениями при передаче сообщений (MAAWG), которая собирает данные от интернет-провайдераов, которые обслуживают «на круг» более 20 миллионов почтовых ящиков. Группа MAAWG сообщает что в среднем процент спама в электронной почте составляет 86,7%.
Согласно данным компании Message Labs - поставщика услуг безопасности, общий процент спама, перехваченного в 2007 г., составлял примерно 84,6% от общего числа сообщений электронной почты, по сравнению с 86,2% в 2006 г. Из этого объема 73,9% было получено из новых и ранее неизвестных источников, по сравнению с 63,4% в 2006 г.  
Учитывая относительные стоимости фильтрации, вместо того, чтобы расширять инфраструктуру сети, интернет-провайдеры начали переконфигурировать свои сети и фильтровать входящий трафик для снижения объема принимаемого спама. Некоторые интернет-провайдеры также начали предлагать своим пользователям дополнительные инструменты для фильтрации спама. Данные, полученные от промышленности, позволяют предположить, что эти меры могут снизить уровень спама на 85-90%.  
Кроме того, предприятия испытывают воздействие мошенничества, связанного со спамом. Некоторые атаки, например схемы  фальсификации кликов, непосредственно нацелены предприятия, тогда как другие влияют на предприятия косвенно через их клиентов.  Систематическую фальсификацию кликов трудно определить. Компания Google представила подробный анализ  атаки фальсификации кликов на объединенных поисковых машинах, выполненных сетевым роботом Clickfraud.A. Согласно данному документу, сетевой робот состоял из 100 000 роботов, которыми управлял робот-мастер, написанный на базе HTTP. Робот, генерировавший клики (клик-бот) не был обнаружен большинством антивирусных сканеров, но общий ущерб от его использования составил 50 000 долл. США.
В течение трех последних лет компания Click Forensics публикует свой документ Click Fraud Index, основанный на данных, полученных от более 4000 рекламных агентств и рекламодателей онлайновой рекламы. Согласно этим данным, процент фальсифицированных кликов устойчиво возрастает. В течение 4-го квартала 2008 г. средний процент  фальсифицированных кликов во всех отраслях промышленности составлял 19,5%, что выше значения 16,6% для того же квартала 2007 г.  В индустрии контента процент фальсифицированных кликов еще выше, 32,7% обнаружено в течение 4-го квартала 2007 г. Учитывая объемы, расходуемые на онлайновую рекламу, эти проценты можно перевести в потенциальные убытки, которые составили в  2006 г. 750 миллионов долл. США, и почти 1 млрд. долл. США в 2007 г. и приближаются к полутора миллиардам в 2008-м.

Значительное количество незапрашиваемых сообщений электронной почты отправляется без какого-либо мошеннического или преступного умысла, и некоторое число получателей отвечает на эти предложения. Многие эти сообщения отправлены по адресам, полученных в ходе прежних бизнес-связей. По данным компании Consumer Reports, 650 000 американцев заказывали продукт или услугу, рекламируемую в спаме, в течение месяца до проведения опроса (это соответствует 7,8 миллионам человек в год или 3,6% населения США, пользующегося интернетом).  Несмотря на то, что такие электронные сообщения также можно считать спамом, более проблематичными формами спама остаются те, которые передаются с мошенническим или преступным умыслом.  
В интернет-экономике мошенничество означает любую вводящую в заблуждение схему, которая использует один или несколько онлайновых сервисов, например, чат-конференции, электронную почту, доски объявлений, веб-сайты для того, чтобы (1) представлять предполагаемым жертвам нечестные предложения, (2) выполнить мошеннические транзакции  или (3) передавать результаты мошенничества в финансовые организации или в другие организации, соединенные с этой схемой. Тип онлайновых мошеннических действий, направленных на отдельных пользователей, включают в себя фишинг, искажение сообщений электронной почты и фарминг (перенаправление трафика с законного веб-сайта на фальшивый веб-сайт). Для выполнения таких действий, в частности, во время фишинговых кампаний широко используется спам.
Интересно посмотреть различные виды рекламных объявлений, которые использовались для начала фишинговых атак. На рисунке ниже показано распределение рекламных объявлений для различных товаров (Источник: Сектор развития электросвязи МСЭ)

Предоставление услуг электронной почты для рассылки спама
В последние годы появились новые методы спаммирования, в качестве новых методов обхода традиционных мер противодействия спаму, они используют такие новейшие возможности, как спам в формате PDF, спам в виде картинок или спам в формате MP3. Хотя объем спама в формате PDF взрывообразно вырос в течение середины 2007 г., с тех пор он уменьшился практически до нуля. Аналогично, спам «в картинках» в 2007 г. значительно снизился, уступив дорогу текстовому спаму и спаму в формате HTML, противостоять которому очень сложно. Кроме того, эксперты отмечают увеличение количества «спама в ответах», который характерен тем, что спаммеры в исходных сообщениях фальсифицировали адреса "от" и "ответить:", в результате чего, спам атака осуществлялась ничего не подозревающими  пользователями, которые, например, хотели «отписаться» от рассылки, а на самом деле передавали спамовые сообщения по заданным адресам
Спам-всплеск – это метод, при котором отдельные домены подвергаются особенно агрессивной атаке. Ее цель - разрушить аппаратные анти-спам системы, которые в значительной мере опираются на сигнатуры (также как антивирусное программное обеспечение настольных компьютеров). Для предприятий, не имеющих готовой инфраструктуры противостояния такому воздейтвию, эти атаки могут привести к серьезным проблемам в почтовых серверах компаний. Точно так же, как и традиционные антивирусы, эти контрмеры могут быть мишенью воздействия во время прорыва, к тому времени, когда поставщик анти-спамовых программ получит образец и создаст сигнатуру, атака уже будет завершена. Поскольку спаммеры стремятся  превратить в деньги возможные преимущества, получаемые за счет применения используемого создателями вирусов «прицельного подхода», объемы прицельного спама за последние 12 месяцев  заметно увеличились.
Известно, что более 80% всего передаваемого спама распространяется сетевыми роботами, явно созданными для этих целей специально написанными видами вирусов. Первым хорошо известным примером был сетевой робот Sobig в 2003 г. С тех пор почти все большие вирусные прорывы имели своей целью создание сетевого робота, который впоследствии использовался для рассылки спама. Сообщается, что распространение шпионских и рекламных программ стало многомиллиардной в долларовом исчислении индустрией, которая обуславливает стремительный рост числа ботнетов.

Сети современных интернет-провайдеров более не состоят из набора широкополосных, телефонных или корпоративных арендованных линий, а используют дополнительные платформы и точки доступа. Рост простых в использовании услуг Wi-fi увеличил число возможных точек входа в систему с целью доставки спама, который стало намного труднее отследить. Внезапно кофейни, аэропорты и другие места стали потенциальными местами запуска спама. Очень легко анонимно купить 30 минут доступа в сеть у стойки кафе и использовать их для незаконных действий. При таком способе для борьбы с доставкой незапрошенных сообщений электронной почты почти ничего нельзя сделать, если действий не предпримут сами операторы сетей.
Трубки мобильных телефонов наполняют постоянно растущие объемы текстового и голосового  спама. По оценкам специалиста в области передачи сообщений компании Ferris Research, пользователи беспроводной связи в США получат в этом  году более полутора миллиона спамовых текстовых и голосовых сообщений, что на 38% больше, чем в прошлом. Это еще не эпидемия, эта цифра бледнеет по сравнению с 250 миллионами американцев, использующих беспроводные услуги, но эксперты в области безопасности и консультанты по беспроводной связи предупреждают, что телефонный спам в последующие годы будет расти. Затем появятся вирусы и тайные коды, которые контролируют использование телефона.
Спам в электронной почте надоедает. Но спам в мобильном телефоне может быть еще и дорогостоящим. Пользователи, особенно в США, платят за получение текстовых сообщений и иногда до 20 центов за сообщение. Спаммеры, используя автоматические номеронабиратели, могут передать миллион текстовых сообщений на случайные номера сотовых телефонов. Многие из них перехватываются телефонными компаниями; еще живо воспоминание об иске, поданном  компанией Verizon Wireless на телемаркитинговые компании, в которые  "наводнили" компанию более чем 12 миллионами незапрошенных рекламных текстовых сообщений. Verizon сказала, что она блокировала все, за исключением  4 618, которые достигли потребителей, но поток все продолжается, доставляя пользователям нежелательные счета и забивая сети.
Эксперты заявляют, что ни один метод обнаружения не заблокирует спам полностью. Единственным решением является использование нескольких инструментов. Такое гибридное обнаружение должно включать в себя, как минимум, четыре следующих элемента: (1) высоко динамичные данные о репутации отправителя, работающего по IP; (2) анализ контента; (3) обнаружение большого объема одинаковых сообщений и (4) обнаружение сетевого робота.

Эмпирическое понимание эффектов от вредоносного программного обеспечения еще далеко не полно. Величина многих финансовых аспектов неизвестна и ее невозможно выделить из общих сумм затрат.  Оценки величины ущерба и других финансовых последствий очень сильно различаются.  
Учитывая недостаточную доступность цифр и их переменчивость, вряд ли общие финансовые последствия вредоносного программного обеспечения  можно определить сегодня с достаточной надежностью. Все цифры говорят о том, что этими последствиями нельзя пренебрегать.  Непрерывные атаки повысили расходы на превентивные меры и меры восстановления для всех участников рынка информационно-телекоммуникационных услуг. Однако, в доступной информации о финансовых аспектах вредоносного программного обеспечения  и спама имеются серьезные пробелы. Эта скудная информационная база также усложняет отыскание разумных и эффективных мер противодействия.  

Юлия Волкова

АНО "Радиочастотный центр МО"

Опубликовано в журнале CIO