The blog about spam » Botnet

Virus and spam levels back to normal again

henric — Mon, 07 Dec 2009 08:26:53 +0000

As we earlier reported virus levels have been rather higher than normal lately, but this now seem to have changed. We now see that virus level is back below 1 % which is more normal. Furthermore the dominating viruses aren’t actually viruses but phishing attempts.

Virus and phising share last 6 months - 2009

Interesting to see is that the spam rate seems to have followed the virus rate. Spam rate has been around 85 % but is now back to around 80 % again. Since many of the viruses are used to create botnets sending spam this is not that suprising.

Spam rate last 6 months 2009

More statistics at our main page and the Security Centre.

Typisk kund sparar 12 000 kr per år med SpamDrain

henric — Fri, 22 Aug 2008 12:34:19 +0000

Enligt en undersökning från Halon Security kostar sex-spam företaget 120 kr per månad och anställd i förlorad arbetstid. Lägg därtill alla andra spam och eventuella virus och trojaner som kan komma in till följd av för mycket skräppost. Även om man ska ta sådana här studier med en stor nypa salt (!) så kan man inte låta bli att räkna fram vad en typisk SpamDrain-kund sparar genom att använda SpamDrain:

Ett företag med 10 e-postkonto som filtreras av SpamDrain kostar 1 870 kr/år. Enligt Halon Security skulle det kostat företaget 120 kr x 12 mån x 10 anställda = 14 400 kr/år. Med SpamDrain sparar alltså ett företag med 10 avändare 12 530 kr/år. Ett resultat att ta med en gnutta salt . Förmodligen sparar man betydligt mer än så pga produktivare personal, mindre driftsproblem etc.

Alla priser exklusive moms.

Läs mer på IDG.

Skräpposten minskar, men inte hos SpamDrain

henric — Tue, 19 Aug 2008 11:56:55 +0000

Antalet spam som skickats har minskat med 40% andra kvartalet i år enligt en artikel från IDG. Statistiken kommer från Secure Computing som även konstaterat att antalet zombier ökar långsammare än 2007. Men faktum är att det fortfarande ökar, vilket är anmärkningsvärt. Så länge antalet zombier blir fler, ökar också risken för spam-attacker, intrång och virusspridning.

Andelen spam SpamDrain filtrerat 2006-2008

I SpamDrains statistik ser vi inga tendenser till samma mönster som Secure Computing. I en sammanställning vi gjort idag ser vi istället att en minskning skedde i början av 2007 för att sedan öka igen fram till början av 2008. Sedan dess har andelen spam legat på en konstant nivå på ca 85 % under hela 2008. En rejäl minskning såg vi under juli månad, men statistiken under juli är mycket otillförlitlig med tanke på semestrar då många tar en paus från e-postläsandet.

Det återstår att se under hösten hur spammarna arbetar. Hittills kan man säga att de tycks ha rivstartat sensommaren med massiva trojanattacker som sprids i nyhetsliknande mejl, som vi tidigare rapporterat om.

Mer statistik från SpamDrain.

News headlines in spam continues – now with MSNBC as target

henric — Thu, 14 Aug 2008 06:51:40 +0000

For the past week a massive attack has infected PCs by tricking users into clicking links in fake messages from CNN.com. The attack has shown little sign of ending soon. The links in the spam mails go to sites which tell you to download the Adobe Flash player to watch a movie. What actually happens when you run this file is that a trojan is installed on your computer. The trojan adds your computer to a worldwide Botnet.

The email itself looks like a completely normal message from CNN.com and some of the links in the email also go to CNN. Right now there is a similar attack in progress, although this time MSNBC.com (NBC’s and MSN’s news site) is used to mask the attack. Spam has flowed in since around 11am on Tuesday. The sites, which the spam messages link to, are most likely hijacked ones and the site owners are probably not yet aware that their sites contain malicious code.

Firefox and Internet Explorer 7 now include filters to block sites like these. However, it normally takes several days before a hijacked site has been reported to these filters. Until then, no warning will be displayed when surfing to these sites.

Nyhetsrubriker i spam fortsätter – nu drabbas MSNBC

henric — Wed, 13 Aug 2008 14:59:41 +0000

Den senaste veckan har det pågått flera spam-attack där spammen ser ut som vanliga nyhetsbrev från CNN.com. Länkarna i mejlet går till sajter som säger att du ska ladda ner Adobe Flash för att titta på en film. Det som i själva verket händer är att en trojan installeras på datorn om du kör filen. Trojanen ser till att du ansluts till ett världsomfattande Botnet.

Mejlet i sig ser ut som ett helt vanligt mejl från CNN.com och vissa av länkarna i mejlet går också till CNN. Just nu pågår en likadan attack, fast denna gång är det MSNBC.com (NBC:s och MSN:s nyhetssajt) som används för att maskera attacken. Sajterna som det länkas till i mejlet är troligen kapade. Sajtägarna är många gånger ännu inte medvetna om att deras sajt innehåller skadlig kod av detta slag.

Den nuvarande attacken kommer från olika datorer runtom i världen och skickas även till användare både i Sverige och utländska mottagare.

Firefox och Internet Explorer 7 innehåller numera filter som ska blockera sajter av detta slag. Det tar dock normalt några dagar innan alla sajter är inrapporterade till dessa filter. Tills dess går det alltså att surfa till dessa sajter utan att få upp några varningar.

IDGs artikel om CNN-spammen

Skvaller-spam installerar botnet-trojan

henric — Tue, 24 Jun 2008 08:03:41 +0000

Som vi rapporterade i går ser vi nu många spam-meddelanden med anknytning till aktuella händelser. Dessa spam innehåller länkar till webbplatser som installerar en trojan som gör datorn till ett spam-sändande monster. På bloggen I got Spam? rapporterar man om att dessa webbplatser (som till exempel en fingerad Porntube-sajt som är den vuxna versionen av Youtube) hostas på ett antal hackade servrar. När man klickar på länken i spam meddelandet kommer man till den hackade sajten och ett popup-fönster visas som talar om man måste installera en Active-X-kontroll för att man ska kunna titta på filmerna. Det som då händer är att en trojan installeras som lägger till din dator till Storm Worm botnet vilket gör det möljigt för hackare att komma åt din dator för att exempelvis skicka ut spam, virus eller andra bedrägerier. Denna helg ansvarade detta botnet för att ha skickat över 8 miljoner skräppostmeddelanden på 24 timmar.

F-Secure rapporterar också om dessa spam på sin blogg.

Gossip spam installs botnet trojan

henric — Tue, 24 Jun 2008 07:43:42 +0000

As we reported yesterday we now see a lot of spam messages with subject lines related to current events. Many of these spam messages contain links to sites that installs a trojan which makes your computer to a spam sending monster. The blog I got Spam? reports that the sites (for example a bogus Porntube which is the adult version of Youtube) is hosted on a number of hacked servers. When someone clicks on the link a pop-up is displayed, telling the user to install an Active-X control which installs the trojan that welcomes you to the Storm Worm botnet. This weekend this botnet was responsible for sending over 8 million spam messages in 24 hours.

F-secure also reports about these spam messages on their blog.

Gripande av botnätägare kan minska mängden spam

henric — Fri, 22 Feb 2008 10:33:59 +0000

CBC News reports och IDG rapporterar att polisen i Quebec har knäckt en hackarnätverk som riktat in sig på oskyddade hemdatorer runt om i världen. Dessa så kallade botnets används ofta för att genomföra andra hackaratacker mot datorer och servrar. Botnets används även för att skicka ut miljontals spam-meddelanden. Så frågan är om detta gripandet kommer att minska spam-trafiken i världen?

Genom att använda oskyldiga hemdatorer där varje dator skickar ut sin del spam, försöker spammarna maskera attackerna som “vanlig” e-posttrafik. På så sätt undviker de att en enskild server blir blockerad. De här attackerna slinker därför igenom många enklare filter baserad på listor av IP-adresser till servrar som just nu skickar ut spam. För SpamDrain så är spam skickad av botnets inte svårare att stoppa än något annat spam. Detta eftersom hela innehållet i meddelandet analyseras av den intelligenta filtreringsmotorn.

Hur som helst så kvarstår frågan om gripandet kommer att minska spamfloden? En miljon datorer är många potetiella källor till spam. Å andra sidan så är de kapade datorerna säkerligen fortfarande vidöppna för andra hackare att ta över även om de nu gripna hackarna är de som kontrollerar dem. De är ju de de som vet var de finns och hur man skickar uppgifter till dem. En sådan uppgift kan t. ex. vara att skicka ut massa spam. Det kan alltså vara svårt för någon annan att ta direkt kontroll över detta botnet.

Man kan ju också undra om de gripna hackarna är de enda som kontrollerar detta botnet? Om inte kommer det troligen fortsätta köra som vanligt.

Vi kommer hålla ett extra öga på statistiken för att se om spamtrafiken minskar. Jag misstänker dock att gripandet kommer ha liten effekt på den övergripande mängden spam som skickas. Det är bara en känsla jag har. Spammare har en förmåga att ta sig runt de flesta hinder som kommer i deras väg – utom SpamDrain förstås .

Mer information om spamfiltret SpamDrain.

Arrest of botnet owners may reduce spam traffic

henric — Fri, 22 Feb 2008 10:33:48 +0000

CBC News reports that the Quebec provincial police have dismantled a computer hacking network that targeted unprotected personal computers around the world. These so called botnets are commonly used to perform hacking attacks against other computers and servers. Botnets are also widely used as senders of millions and millions of spam messages. So will this arrest decrease the spam traffic?By using many innocent personal computers, where each computer send their share of the spam messages, the spammers are trying to masquerade the spam attack as “normal” e-mail traffic, avoiding a single e-mail server to be blocked. These kinds of attacks slip through many basic IP-filters which keep track of servers currently known for sending spam. For SpamDrain however, messages sent using botnet attacks are no harder to stop than any other spam messages since the entire contents of the messages are analyzed by the intelligent filter engine.

More interesting than discussing whether spam messages are blocked or not, is if this arrest will decrease the spam traffic in the world. One million computers are a lot of potential spam sources. On the other hand, the hijacked computers are most likely still hijacked and open for other hackers even though the persons arrested are the ones who control them. Hence they are the ones who know where the computers are located and how to send tasks for them to perform. Such a task could be sending a bunch of spam. In other words, it may be hard for other people to instantly take to same level of control over the botnet as the people now arrested used to have.

On the other hand, you may wonder if the arrested hackers are the only ones controlling the botnet. If not – it will most likely soon be up and running again as normal.

So will the spam traffic be reduced? We will certainly keep our eyes on our statistics for the next couple of weeks even though I suspect that this arrest will have little impact on the over all amount of spam being sent. I don’t know why but that’s a feeling I have. Spammers seem to find their way around most obstacles – except SpamDrain, that is…;-)

More information about the spam filtering service SpamDrain.