本月熱點(diǎn)事件分析

垃圾郵件制造者借Conficker蠕蟲病毒之名兜售假冒防病毒軟件

Conficker 蠕蟲病毒曾被聲稱在愚人節(jié)爆發(fā)的日子，并有可能引發(fā)嚴(yán)重威脅。我們發(fā)現(xiàn)，一些垃圾郵件樣本試圖利用人們對(duì)Conficker（別名Downadup）的恐慌，提供一些號(hào)稱可使用戶免遭Conficker威脅的最新反病毒安全軟件。在點(diǎn)擊信息中的鏈接之后，我們發(fā)現(xiàn)，它把用戶引向了某站點(diǎn)，并通知用戶如何付錢。這有可能是攻擊者獲取用戶信息的騙局，即便可以得到所述產(chǎn)品，它的有效性也仍然值得懷疑，因?yàn)樗芸赡苁橇髅?yīng)用程序或盜版軟件。

目前賽門鐵克公司已發(fā)布了針對(duì)W32.Downadup.E的最新安全定義。賽門鐵克安全產(chǎn)品的啟發(fā)式技術(shù)能夠及時(shí)對(duì)新病毒進(jìn)行分析與檢測(cè)。同時(shí)，賽門鐵克也提供針對(duì)Downadup病毒的免費(fèi)移除工具Symantec FixDownadup.exe，用戶可前往以下站點(diǎn)下載使用：http://www.symantec.com/security_response /writeup.jsp?docid=2009-011316-0247-99

McColo被查封對(duì)于垃圾郵件數(shù)量的影響漸微

自從2008年11月垃圾郵件組織團(tuán)伙McColo被查封以來，垃圾郵件數(shù)量曾顯著減少，但現(xiàn)在已緩慢回升到了"正常水平"。舊的僵尸網(wǎng)絡(luò)重新出現(xiàn)，同時(shí)新的僵尸網(wǎng)絡(luò)還在不斷繁衍。垃圾郵件數(shù)量目前已回到McColo被關(guān)閉前的91%。

"僵尸"電腦（俗稱"肉雞"）是指受到病毒遠(yuǎn)程控制的電腦，它通常被用于各種不法利益或傳播病毒威脅，例如發(fā)送垃圾郵件，作為垃圾郵件廣告網(wǎng)站的主機(jī)，以及充當(dāng)僵尸電腦的DNS服務(wù)器。

以下是2009年3月僵尸電腦數(shù)量位居前十位的國(guó)家與其在2008年9月僵尸電腦數(shù)量對(duì)比的結(jié)果（見2008年10月的《賽門鐵克垃圾郵件狀況報(bào)告》）：

和 2008年9月類似的是，歐洲/中東/非洲(EMEA)地區(qū)在2009年3月依然是僵尸主機(jī)IP地址的首要來源地，有45%的活躍的僵尸主機(jī)位于該地區(qū)。在EMEA地區(qū)的各國(guó)當(dāng)中，俄羅斯目前位列首位，領(lǐng)先土耳其一個(gè)百分點(diǎn)，后者的活躍僵尸數(shù)量比去年9月減少了一半以上。雖然EMEA依然是首要的僵尸電腦來源地，但巴西所占的百分比跳升了五個(gè)百分點(diǎn)，達(dá)到14%，已成為全球首位僵尸主機(jī)IP地址來源國(guó)。隨著巴西、印度、中國(guó)（中產(chǎn)階級(jí)在這些國(guó)家迅速發(fā)展）繼續(xù)在互聯(lián)網(wǎng)和IT基礎(chǔ)設(shè)施領(lǐng)域投入巨資，活躍僵尸電腦的來源地將不斷變化。

垃圾郵件制造者改變其針對(duì)"房產(chǎn)抵押"話題的戰(zhàn)略

你是否因?yàn)榉康禺a(chǎn)市場(chǎng)低迷而沮喪？"信用違約交換"這樣的話題是否讓你覺得脊背冰涼？垃圾郵件發(fā)送者來幫忙！2009年初以來，垃圾郵件發(fā)送者一直在利用抵押貸款行業(yè)的常用術(shù)語吸引房產(chǎn)市場(chǎng)的受困者。我們監(jiān)測(cè)的術(shù)語包括：foreclose/foreclosure（止贖/喪失抵押品贖回權(quán)）、 interest rates（利率）、mortage（房產(chǎn)抵押貸款）等。

看一看這些術(shù)語，會(huì)發(fā)現(xiàn)兩個(gè)明顯的特征。首先，如往常一樣，垃圾郵件發(fā)送者一直在利用與經(jīng)濟(jì)低迷等等當(dāng)前事件有關(guān)的術(shù)語作為其營(yíng)銷詞匯。其次，某類垃圾郵件的主題正在悄然變化，比如標(biāo)題為"快速掙錢"類垃圾郵件，它們實(shí)際上是一些圍繞購(gòu)買止贖住宅的詭計(jì)，然而很多垃圾主體信息中已不再直接使用"止贖"一類的字樣。

前15個(gè)與抵押貸款有關(guān)的垃圾郵件主題如下：

1. 回復(fù)：抵押貸款支付

2. 抵押貸款信息

3. 成功的重要手段就是抵押貸款

4. 按郵政編碼免費(fèi)搜索全國(guó)的止贖清單！

5. 創(chuàng)記錄的止贖申請(qǐng)：住宅出讓！

6. 對(duì)止贖憂心忡忡？

7. 嗨，媽媽，這可以支付你的抵押貸款

8. 避免止贖

9. 別讓你的貸款人取消你的贖回權(quán)

10. 住房抵押困境：你的30秒緊急援助

11. 應(yīng)對(duì)止贖

12. 現(xiàn)在就讓你的住房免遭止贖

13. 減少你的抵押貸款：電視上的流行話題

14. 來自止贖大師Robert Allen的免費(fèi)書籍

15. 你想了解反向抵押貸款是否適合自己?jiǎn)幔?/p>

納稅日倒計(jì)時(shí)–請(qǐng)勿通過郵件遞交"納稅支出"

假如你是美國(guó)居民，并且尚未遞交納稅申報(bào)單，那么你或許應(yīng)該看一看以下內(nèi)容。"美國(guó)納稅日"（美國(guó)時(shí)間4月14日）倒計(jì)時(shí)目前進(jìn)入最后階段，美國(guó)國(guó)稅局(IRS)正在發(fā)布每日申報(bào)提示。

在美國(guó)，臨近納稅日的這段日子已成為了仿冒美國(guó)國(guó)稅局的網(wǎng)絡(luò)釣魚活動(dòng)盛行的時(shí)期。正如賽門鐵克此前公布的《垃圾郵件狀況報(bào)告》所示，垃圾郵件發(fā)送者繼續(xù)試圖冒充美國(guó)國(guó)稅局，用退稅提議來引誘那些未起疑心的人們。

此類垃圾郵件的目標(biāo)是那些還未意識(shí)到美國(guó)國(guó)稅局"絕不通過電子郵件與納稅人溝通" 的收件人，而攻擊的目的是騙取包括生日、借記卡/信用卡信息在內(nèi)的用戶個(gè)人信息。目前，這類與納稅有關(guān)的垃圾郵件攻擊已不僅限于美國(guó)，因?yàn)槔]件發(fā)送者企圖冒充世界各地的稅收部門。愛爾蘭稅務(wù)局最近就成為了最新的目標(biāo)之一。

除了垃圾郵件發(fā)送者冒充美國(guó)國(guó)稅局和其它稅務(wù)部門以外，賽門鐵克還注意到，垃圾郵件發(fā)送者在提供一些準(zhǔn)備納稅時(shí)的省錢方法，以此吸引用戶的眼球。

以下是前15個(gè)與納稅有關(guān)的垃圾郵件主題，排列順序依照它們?cè)?009年2月1日至3月23日這段時(shí)間出現(xiàn)在垃圾信息中的頻率：

1. 退稅處理員職位–我們現(xiàn)在需要你的幫助

2. 我們現(xiàn)在能幫你處理IRS債務(wù)

3. 不想知道一些避稅妙招嗎？

4. 回復(fù)：你是否欠稅？請(qǐng)參照

5. 退稅處理員職位使你有機(jī)會(huì)在家工作

6. 退稅處理員職位–輕松的工作–豐厚的報(bào)酬

7. 想知道一些避稅妙招嗎？

8. 回復(fù)：需要我們幫你處理IRS退稅嗎？

9. 97%的申請(qǐng)者可以獲得IRS退稅方面的幫助

10. 擔(dān)保和還稅政策，還有大幅折扣！

11. 回復(fù)：你是否該獲得退稅？我們可以幫你

12. 389美元的臺(tái)式機(jī)，499美元的筆記本。納稅期內(nèi)僅售兩天！

13. 納稅額再也不會(huì)增加

14. 用專家的納稅建議來與IRS打交道，免費(fèi)咨詢

15. 在家上班的退稅處理員職位，每天390美元報(bào)酬

"好奇害死貓！" 當(dāng)心以恐怖活動(dòng)做噱頭的惡意垃圾郵件

看到這個(gè)不祥的標(biāo)題行"當(dāng)心你自己！"，兼具擔(dān)憂和好奇心的收件人也許會(huì)不顧安全方面的后果，點(diǎn)擊那些指向惡意站點(diǎn)的鏈接。在下面的這個(gè)例子中，地理定位服務(wù)被用于鎖定信息接收者。"恐怖攻擊"的地點(diǎn)各有不同，這當(dāng)然取決于收信人所處的相對(duì)位置。

例如針對(duì)某地的收件人，垃圾郵件發(fā)送者說"今天早晨在圣帕布羅發(fā)生劇烈爆炸"，而在另一個(gè)地點(diǎn)，他們又說"今天早晨在普恩發(fā)生劇烈爆炸"。這條信息之后是一段關(guān)于爆炸的簡(jiǎn)短說明："在一起炸彈爆炸事件中，至少12人被炸死，40多人受傷，爆炸是由一枚人體炸彈引起。"

垃圾郵件樣本示例：

今天早上在圣巴布羅發(fā)生巨大爆炸事件

在圣巴布羅（San Pablo）一個(gè)市場(chǎng)附近發(fā)生的炸彈爆炸事件中至少有12人死亡，40多人受傷。當(dāng)局認(rèn)為，爆炸是由"骯臟"炸彈引發(fā)。警方說，炸彈通過附近電纜被引爆。一位在自己店鋪聽到爆炸聲的目擊者說："這太可怕了！地板都在震動(dòng)，很多人因此逃跑。"到目前為止，還沒有人聲稱對(duì)本次事件負(fù)責(zé)。

如需最新Flash播放器觀看視頻內(nèi)容，請(qǐng)點(diǎn)擊這里下載。

某個(gè)著名的在線新聞欄目的logo被用來增加真實(shí)感。一些用戶在看到垃圾郵件發(fā)送者給出的提示："你需要最新版Flash播放軟件才能觀看視頻內(nèi)容，請(qǐng)點(diǎn)擊此處下載。"人類的好奇心也許會(huì)占上風(fēng)。用戶不該點(diǎn)擊這個(gè)鏈接，因?yàn)樗藧阂廛浖南螺d鏈接。人們不應(yīng)低估惡意軟件和垃圾郵件之間的聯(lián)系。

垃圾郵件發(fā)送者經(jīng)常利用人類的好奇心來誘惑收件人打開某條垃圾信息，并點(diǎn)擊某個(gè)鏈接，或者誘使用戶進(jìn)行其它行為。在本例中，垃圾郵件發(fā)送者相信，把垃圾郵件內(nèi)容與某個(gè)地理位置關(guān)聯(lián)起來，他們就可以實(shí)現(xiàn)自己的目標(biāo)。

本月數(shù)據(jù)分析參考

圖一：垃圾郵件來源地區(qū)

來源地區(qū)指過去30天內(nèi)來自特定國(guó)家和地區(qū)的垃圾郵件比例以及近期變化情況。

圖二：垃圾郵件來源地區(qū)變化

圖三：全球垃圾郵件類型分類：

垃圾郵件分類數(shù)據(jù)來源于賽門鐵克探測(cè)網(wǎng)絡(luò)（Symantec Probe Network）的信息分類搜集庫。

圖四：垃圾郵件大小變化：

圖五：URL域名與垃圾郵件關(guān)聯(lián)度分析：

圖六：2009年3月URL-TLD域名來源比例：

yajing