Overzicht van twintig meest kwaadaardige programma’s in juli 2009

04 aug 2009
Virus News

De eerste Top Twintig betreft adware, kwaadaardige en potentieel gevaarlijke programma's die werden gedetecteerd en geneutraliseerd toen zij voor het eerst werden benaderd door de 'on-access'-scanner. Het gebruik van 'on-access'-statistieken maakt het mogelijk om de meest recente, gevaarlijke en wijdverspreide kwaadaardige programma's, die geblokkeerd werden op moment van verschijning op computers of tijdens het downloaden van het internet, te analyseren.

Er zijn geen significante wijzigingen in de eerste Top Twintig ten opzichte van juni: Kido en Sality blijven de overduidelijke leiders. Toch is het totale aantal computers, dat besmet is met de meest voorkomende malware, licht gedaald. Dit kan te maken hebben met de zomer. Gebruikers spenderen in deze periode minder tijd achter hun pc's, wat resulteert in minder met malware besmette machines.


PositieKwaadaardig programmaWijziging t.o.v. vorige positieAantal keer gedetecteerd
1Net-Worm.Win32.Kido.ih051126
2Virus.Win32.Sality.aa024984
3Trojan-Downloader.Win32.VB.eql19472
4Trojan.Win32.Autoit.ci28250
5Worm.Win32.AutoRun.dui06514
6Virus.Win32.Virut.ce15667
7Virus.Win32.Sality.z35525
8Net-Worm.Win32.Kido.jq15496
9Worm.Win32.Mabezat.b-14675
10Net-Worm.Win32.Kido.ix44055
11Trojan-Dropper.Win32.Flystud.ko-83764
12Packed.Win32.Klone.bj53677
13Virus.Win32.Alman.b-13571
14Worm.Win32.AutoIt.i13524
15Packed.Win32.Black.a-23472
16Trojan-Downloader.JS.LuckySploit.q-53335
17Email-Worm.Win32.Brontok.q13007
18not-a-virus:AdWare.Win32.Shopper.v22841
19Worm.Win32.AutoRun.rxx02798
20IM-Worm.Win32.Sohanad.genNieuw2719

De tweede top twintig is interessanter omdat deze gebaseerd is op gegevens, die gegenereerd zijn door de 'web antivirus'-component, en is een afspiegeling van de online bedreigingen op dit moment. Deze lijst bevat kwaadaardige programma's die ontdekt zijn op webpagina's en malware die probeerde te laden via webpagina's. Met andere woorden, de rangschikking geeft antwoord op twee vragen: "Welke malware infecteert meestal webpagina's?" en "Welke kwaadaardige programma's worden bewust of onbewust het meest frequent gedownload van kwaadaardige of geïnfecteerde webpagina's?"


PositieKwaadaardig programmaWijziging t.o.v. vorige positieAantal keer gedetecteerd
1Trojan-Downloader.JS.Gumblar.a08538
2Trojan-Clicker.HTML.IFrame.kr27805
3Trojan-Downloader.HTML.IFrame.sz25213
4Trojan-Downloader.JS.LuckySploit.q-14719
5Trojan-Downloader.HTML.FraudLoad.aNieuw4626
6Trojan-Downloader.JS.Major.c03778
7Trojan-GameThief.Win32.Magania.bihtNieuw2911
8Trojan-Downloader.JS.ShellCode.iNieuw2652
9Trojan-Clicker.HTML.IFrame.mq-12576
10Exploit.JS.DirektShow.oNieuw2476
11Trojan.JS.Agent.aat-22402
12Exploit.JS.DirektShow.jNieuw2367
13Exploit.HTML.CodeBaseExecNieuw2266
14Exploit.JS.Pdfka.gu02194
15Trojan-Downloader.VBS.Psyme.gaNieuw2007
16Exploit.JS.DirektShow.aNieuw1988
17Trojan-Downloader.Win32.Agent.cdam-101947
18Trojan-Downloader.JS.Agent.czm-51815
19Trojan-Downloader.JS.Iframe.ayt-171810
20Trojan-Downloader.JS.Iframe.bewNieuw1766

In de lijst staan drie script exploits genaamd DirektShow. Begin juli schreef Kaspersky over dit script dat gebruik maakt van een kwetsbaarheid in Internet Explorer (http://www.viruslist.com/en/weblog?weblogid=208187760). Aangezien de meerderheid van de gebruikers Internet Explorer als browser heeft, is het geen verrassing dat dit beveiligingslek direct veel misbruikt wordt door cybercriminelen.

Sinds kort splitsen cybercriminals kwaadaardige scripts steeds vaker op in verschillende delen. Bij DirektShow bijvoorbeeld bevat de hoofdpagina met de exploit voor de msvidctl-beveiligingslek een link naar een ander script dat shell code downloadt met zijn eigen kwaadaardige payload. Trojan-Downloader.JS.ShellCode.i, dat op de achtste plaats van de top twintig staat, is de meest gebruikte shell code die dit beveiligingslek misbruikt. Deze aanpak is eenvoudig en bijzonder gunstig voor cybercriminelen: de shell script code kan te allen tijde worden vervangen, maar de link naar de hoofdpagina blijft hetzelfde. Daarnaast maakt deze manier van werken het moeilijker om de malware te analyseren en te detecteren. In geval van geautomatiseerde systemen kan analyse en detectie zelfs onmogelijk zijn.

Om de verspreiding van malware - met name ransomware in de vorm van valse antivirusoplossingen - te vergemakkelijken, zullen dezelfde web templates keer op keer gebruikt worden. Trojan-Downloader.HTML.FraudLoad.a,

Overzicht herkomst kwaadaardige programma’s (%)

een nieuwe vermelding in juli, is een voorbeeld van deze aanpak. Het mechanisme detecteert in feite één van de standaard templates. Dit soort malware wordt steeds populairder in de wereld van de cybercriminaliteit. Met als gevolg dat er enorm veel websites verschijnen, die beweren dat de computer van de gebruiker is geïnfecteerd en vervolgens programma's downloaden die niet alleen vervelend zijn, maar vaak ook een reële bedreiging vormen. Op de twintigste plaats - Trojan-Downloader.JS.Iframe.bew - is een vergelijkbaar script gebruikt voor het downloaden van kwaadaardige programma's van dergelijke sites.

De tweede Top Twintig geeft een overzicht van de huidige online bedreigingen en de onderliggende trends. Ten eerste zoeken cybercriminelen nieuwe kwetsbaarheden in de meest populaire software met als doel deze te exploiteren voor infectie van computers met een of vaak meerdere schadelijke programma's. Ten tweede proberen cybercriminelen hun activiteiten te verbergen, zodat zij onopgemerkt blijven of dat het lijkt alsof er sprake is van minimale beschadiging van de geïnfecteerde computer.

Dit alles maakt het surfen op het internet zonder een volledig gepatcht besturingssysteem of een up-to-date antivirusoplossing zelfs voor de meest ervaren gebruiker zeer riskant.

© 1997 – 2014 Kaspersky Lab ZAO

All Rights Reserved. Industry-leading Antivirus Software