Classifica malware - Settembre 2009

05 ott
Le nostre classifiche

Kaspersky Lab è lieta di sottoporre all'attenzione degli utenti la classifica relativa alla diffusione del malware nel mese di Settembre 2009. Ricordiamo che tali classifiche vengono stilate mensilmente, sulla base dei dati acquisiti tramite Kaspersky Security Network (KSN). Gli indici cumulativi di entrambe le Top 20 si sono lievemente ridotti . Ciò è dovuto all'introduzione della nuova serie di prodotti KAV/KIS: molti utenti sono infatti passati alla nuova versione. Non appena le statistiche di KSN relative alle nuove versioni si saranno stabilizzate intendiamo inserirle nella nostra classifica mensile.

Posizione Rispetto al mese scorso Programma malware Numero dei computer infetti
1   top20_noch0 Net-Worm.Win32.Kido.ih   41033  
2   top20_noch0 Virus.Win32.Sality.aa   18027  
3   top20_noch0 not-a-virus:AdWare.Win32.Boran.z   12470  
4   top20_newNuovo Net-Worm.Win32.Kido.ir   11384  
5   top20_down-1 Trojan-Downloader.Win32.VB.eql   6433  
6   top20_down-1 Trojan.Win32.Autoit.ci   6168  
7   top20_up3 Virus.Win32.Induc.a   5947  
8   top20_down-2 Virus.Win32.Virut.ce   5433  
9   top20_newNuovo P2P-Worm.Win32.Palevo.jdb   5169  
10   top20_down-2 Net-Worm.Win32.Kido.jq   4288  
11   top20_newNuovo Worm.Win32.FlyStudio.cu   4104  
12   top20_down-5 Worm.Win32.AutoRun.dui   4071  
13   top20_down-4 Virus.Win32.Sality.z   4056  
14   top20_up6 P2P-Worm.Win32.Palevo.jaj   3564  
15   top20_down-4 Worm.Win32.Mabezat.b   2911  
16   top20_newNuovo Exploit.JS.Pdfka.ti   2823  
17   top20_newNuovo Trojan-Downloader.WMA.Wimad.y   2544  
18   top20_noch0 Trojan-Dropper.Win32.Flystud.yo   2513  
19   top20_newNuovo P2P-Worm.Win32.Palevo.jcn   2480  
20   top20_newNuovo Trojan.Win32.Refroso.bpk   2387  

Kido è ancora attivo. Accanto al leader dell'ultima top 20 Kido.ih troviamo la novità Kido.ir. Con questo nome identifichiamo tutti i file autorun.inf, che il worm costruisce per diffondersi grazie all'aiuto di memorie di massa e altri dispositivi mobili.

Il worm Palevo si sta diffondendo con notevole velocità. Nella classifica di settembre ne sono apparse altre due nuove versioni : Palevo.jdb e Palevo.jcn. Una delle novità della precedente edizione (Palevo.jaj) è salita in un solo colpo di 6 posizioni, impresa che nessun altro è mai riuscito a compiere. Va notato che le posizioni così elevate occupate da parte di questi due malware si devono principalmente alla loro diffusione attraverso le memorie di massa mobili, il che conferma l'efficacia e popolarità di tale metodo di diffusione. La conferma di ciò la troviamo nel fatto che anche il worm di origine cinese FlyStudio.cu si trasmette attraverso questo tipo di dispositivi. Per il resto, il tipo di malware più popolare al giorno d'oggi risultano essere i backdoor.

Tra le novità troviamo una nuova versione del downloader multimediale già visto in classifica Wimad – Trojan-Downloader.WMA.Wimad.y. In linea di massima questa nuova versione non si distingue in nulla dai suoi predecessori: al momento dell'installazione la sua prima azione è effettuare una richiesta di download di un file dannoso, nello specifico si tratta di not-a-virus:AdWare.Win32.PlayMP3z.a. Di un altro debuttante (Exploit.JS.Pdfka.ti ) parleremo più avanti, poiché rientra anche nella seconda Top 20. Nella prima tabella gli elementi maggiormente degni di nota restano i malware in grado di auto-diffondersi, la cui tendenza a crescere di importanza ed si è mantenuta inalterata.


Posizione Rispetto al mese scorso Programma malware Numero di tentativi di download
1   top20_noch0 not-a-virus:AdWare.Win32.Boran.z   17624  
2   top20_up1 Trojan.JS.Redirector.l   16831  
3   top20_down-1 Trojan-Downloader.HTML.IFrame.sz   6586  
4   top20_newNuovo Exploit.JS.Pdfka.ti   3834  
5   top20_upNuovo Trojan-Clicker.HTML.Agent.aq   3424  
6   top20_up4 Trojan-Downloader.JS.Major.c   2970  
7   top20_down-3 Trojan-Downloader.JS.Gumblar.a   2583  
8   top20_newNuovo Exploit.JS.ActiveX.as   2434  
9   top20_down-1 Trojan-Downloader.JS.LuckySploit.q   2224  
10   top20_down-3 Trojan-GameThief.Win32.Magania.biht   1627  
11   top20_newNuovo Exploit.JS.Agent.ams   1502  
12   top20_up4 Trojan-Downloader.JS.IstBar.bh   1476  
13   top20_newNuovo Trojan-Downloader.JS.Psyme.gh   1419  
14   top20_newNuovo Exploit.JS.Pdfka.vn   1396  
15   top20_retRientro Exploit.JS.DirektShow.a   1388  
16   top20_down-10 Exploit.JS.DirektShow.k   1286  
17   top20_retRientro not-a-virus:AdWare.Win32.Shopper.l   1268  
18   top20_retRientro not-a-virus:AdWare.Win32.Shopper.v   1247  
19   top20_newNuovo Trojan-Clicker.JS.Agent.jb   1205  
20   top20_newNuovo Exploit.JS.Sheat.f   1193  

Nella seconda Top 20, come al solito, vi sono parecchie novità. Innanzitutto qui troviamo ben due rappresentanti della famiglia Exploit.JS.Pdfka: nome con cui si classificano i file JavaScript nascosti all'interno di documenti PDF che sfruttano diverse vulnerabilità dei prodotti Adobe (nella fattispecie Adobe Reader).

Pdfka.ti utilizza una vulnerabilità molto popolare, nota ormai da due anni, della funzione Collab.collectEmailInfo (cve.mitre.org). Pdfka.vn utilizza una vulnerabilità più nuova, presente nella funzione getIcon dell'oggetto Collab (cve.mitre.org).

Tutte le varie vulnerabilità dei prodotti Adobe riscontrate nel corso degli anni vengono sfruttate in massa dai cybercriminali, indipendentemente dalla versione dei vari prodotti, per aumentare la probabilità di download del malware principale. Il ricorso a tale tecnica si spiega con il fatto che una parte degli utenti non rinnova i propri programmi. Per questo motivo ricordiamo per l'ennesima volta di rinnovare sempre quando possibile i pacchetti software principali e più importanti, sopratutto quelli prodotti da Adobe. I protagonisti delle precedenti edizioni della Top 20, Exploit.JS.DirektShow e Exploit.JS.Sheat, sono ancora attivi: abbiamo assistito al ritorno di DirektShow.a e alla comparsa di Sheat.f nella classifica.

Le altre novità nella seconda tabella sono o banali clicker iframe o parti dello stesso script di malware (di cui abbiamo parlato in maggiore dettaglio nella classifica di luglio: www.kaspersky.com/it). Considerando quanto detto sopra, possiamo concludere che si osserva un mantenimento delle tendenze dei mesi passati: la quantità di pacchetti Web di malware che sfruttano tutte le vulnerabilità presenti all'interno dei principali prodotti continua a crescere, aprendo ai cybercriminali un ampio orizzonte per le operazioni future. La loro diffusione è resa possibile dai semplicissimi clicker iframe, diffusi su moltissimi siti legali infetti. I cybercriminali ottengono l'accesso a questi siti grazie all'infezione già effettuata con l'aiuto di altro malware, che si appropria di dati riservati. E così si chiude il cerchio.

top20_sept09_it

Provenienza del malware per aree geografiche