Возможно, в будущем книги по истории IT-индустрии отведут 2003 году особое место. На протяжении этих двенадцати месяцев все негативные явления современного электронного мира проявились наиболее ярко. Часть из них эволюционировала в новые, еще более опасные и масштабные угрозы...
Возможно, в будущем книги по истории IT-индустрии отведут 2003 году особое место. На протяжении этих двенадцати месяцев все негативные явления современного электронного мира проявились наиболее ярко. Часть из них эволюционировала в новые, еще более опасные и масштабные угрозы. В то же время, развитие некоторых видов деструктивной деятельности в интернете шло настолько интенсивными темпами, что к концу 2003 года стало представлять реальную угрозу для безопасности и даже существования глобальной сети в целом. Самым заметным представителем данной категории угроз по праву может считаться спам - массовая рассылка по электронной почте незапрошенных сообщений рекламного характера.
Появившись в 1998 году, спам быстро доказал свою эффективность в области продвижения различных товаров и услуг. Определенная часть получателей навязчивой рекламы так или иначе проявляет к ней интерес, что способствует высочайшей прибыльности индустрии спама. В результате доход получает и заказчик рассылки, и ее источник. К сожалению, потенциал развития спама оказался столь значителен, что в 2003 году превзошел даже самые пессимистичные прогнозы аналитиков. За столь небольшой по статистическим меркам период спам превратился из побочного раздражающего фактора в основную угрозу электронной почте.
Данные различных опросов показывают, что обычные пользователи, чья работа не связана с интернетом и IT-технологиями, уже склонны к тому, чтобы существенно сократить объемы электронной переписки или даже вообще отказаться от использования электронной почты, чтобы избежать проблемы спама. Что же заставляет пользователей сети избавляться от одного из самых оперативных средств общения? Для подробного ответа на этот вопрос необходимо рассмотрение множества факторов, как делового, так и статистического характера.
Ущерб от спама становится значительным
По данным исследований международной аналитической компании Radicati Group, ежедневно в мире рассылается 15 миллиардов спамерских сообщений. Более того, компании, предоставляющие интернет-услуги (в том числе - почтовые службы), уже ежедневно классифицируют от 50% до 80% всех получаемых почтовых сообщений как спам. Крупнейший зарубежный провайдер, компания AOL, сообщает о блокировке примерно 80% всей почты как UCE (Unsolicited Commercial E-Mail, "незапрошенные коммерческие сообщения") и Scam (незаконные предложения, мошенничество). В то же время мировой лидер по продажам антиспам-услуг, компания BrightMail, оценивает долю спамерского трафика в 56% процентов от всех почтовых потоков интернета, что на 16% больше, чем в декабре 2002 г. Колоссальный объем массовых рассылок в 2003 привел к возникновению критической ситуации, когда доля спама в почтовом трафике превысила долю обычных писем.Разумеется, достигшая гигантских размеров индустрия массовых рассылок оказывает самое непосредственное влияние на все сферы деятельности человека, связанные с электронными коммуникациями. Причиняемый спамом ущерб различен. Он может заключаться как в материальных затратах (оплата трафика, потеря времени), так и в моральных (раздражение и дискомфорт, вызываемые спамом). Точная оценка по обоим критериям затруднительна, хотя возможно примерное определение размеров прямого материального ущерба. По крайней мере, для бизнес-сектора.
В частности, в проектах международной организации PEW, объединяющей независимых гражданских журналистов, приведено значение ущерба в $50 в год на офисного сотрудника, что составляет $1500 для компании со штатом 30 человек (данные рассчитаны для США). Для сравнения, в 2002 году материальный ущерб на одного сотрудника оценивался в $25,6. Аналитические агентства дают разные оценки ущерба от спама: от 6-7 до 20-30 миллиардов долларов в год, что в любом случае составляет колоссальную сумму.
Таким образом, убытки от спама, на первый взгляд незначительные для отдельного пользователя, в масштабах всей индустрии или даже отдельной крупной компании выглядят впечатляюще. В результате в прошедшем году ущерб от спама по порядку величины стал сравним с потерями, которые нанесли мировому сообществу компьютерные вирусы и хакеры.
Опираясь на приведенные выше данные, можно заключить, что навязчивая реклама является мощным отрицательным фактором в масштабах мировой экономики. Этим и объясняется серьезность, с которой разработчики средств информационной защиты, а в последнее время - и мировое сообщество в целом, относятся к мерам антиспамовой безопасности.
Сезонный спам
Разработка эффективной защиты от спама - важнейший аспект решения проблемы массовых рассылок. В первую очередь это вызвано тем, что спам меняется не только количественно. Содержание несанкционированных коммерческих предложений и способы их распространения необычайно быстро модифицируются. Спамеры мгновенно приспосабливаются к условиям времени - появлению и развитию антиспамерского ПО, направленным против спама законодательным мерам и т.д. Изменяется во времени и контингент заказчиков, равно как и исполнителей спамерских рассылок.Но, несмотря на внешнюю хаотичность, индустрия навязчивой электронной рекламы подчиняется ряду закономерностей и, с учетом особенностей ее короткой истории, вполне предсказуема. Для более глубокого понимания особенностей методов защиты от незапрошенной корреспонденции обратимся к рассмотрению структуры и наиболее ярких свойств этого явления.
Прежде всего аналитики отмечают неравномерность распределения потоков спама по конечным пользователям. В 2003 г. треть респондентов - пользователей электронной почты - согласились с тем, что спам составляет не менее 60% от общего объема их почтового трафика. Интересно, что исследование отразило прямую зависимость между временем существования адреса и количеством "незапрошенных сообщений" - чем дольше существует ящик, тем больше спама поступает в него с течением времени.
Тезис о неравномерности рассылок во времени подтверждает еще один факт. Спам - это, прежде всего, выгодный рекламный бизнес, и, как и любой другой бизнес, он подвержен "сезонным" всплескам и затишьям. В течение 2003 года наблюдалось несколько прогнозируемых всплесков спамерской активности, приходящихся на периоды праздников и отпусков, а также при традиционном повышении интенсивности потребления товаров и услуг, например, в канун Нового Года. Кроме того, с периодичностью раз в один-два месяца возникают значительные 'незапланированные' всплески рассылок, обусловленные техническими нововведениями спамеров. В этом случае компаниям-разработчикам средств защиты от спама обычно требуется время для реакции на новые ухищрения авторов массовых рассылок, что вызывает некоторое ослабление контроля над нежелательной корреспонденцией и как следствие - увеличение ее объема.
Электронная реклама двигает не всякую торговлю
На протяжении 2003 года изменилось также и содержание спама. Данные, представленные на Графике 1, отражают снижение доли предложений товаров и услуг (по данным BrightMail - на 15%), что обусловлено развитием антиспамерской законодательной базы в ряде развитых стран. Также уменьшилась доля откровенно мошеннических предложений (scam) - примерно на 6% по сравнению с 2002 годом. В то же время неизменным остается присутствие предложений "для взрослых" - около 20% всего спамерского трафика. Специалисты отмечают резкий рост количества предложений и услуг, связанных с интернетом и IT-технологиями, начиная с рекламы антиспамерских программ до предложений услуг по созданию, хостингу, дизайну, продвижению интернет-ресурсов.
График 1. Тематическое содержание спама в 2003 году.
Приведенные выше экспертные оценки отражают еще одну из тенденций, присущих спаму в 2003 году: стимуляция интереса получателей сомнительной корреспонденции при помощи создания связи с актуальными политическими, социальными либо другими событиями или проблемами. Типичным примером такого рода спекуляции может служить письмо с заголовком "Saddam Hussein - Iraqi Most Wanted Cards", в котором предлагается приобрести колоду карт с изображением бывших иракских государственных и военных деятелей.
Помимо этого, во втором полугодии 2003 года широкое распространение получили рассылки с предложениями о приобретении антиспамерского программного обеспечения. Не стоит обманываться первым впечатлением о том, что разработчики средств защиты от нежелательной корреспонденции стали использовать методы противника для распространения своей рекламы. В большинстве случаев подобные письма - не более чем откровенный обман. Как правило, они содержат ссылки на веб-сайты сомнительного содержания. Даже если программное обеспечение, предлагаемое на таких сайтах, и служит для фильтрации спама, то его качество оставляет желать лучшего и не является продуктом ни одного из популярных производителей, упоминаемых в рассылках.
На службе у спамеров - передовые технические достижения
Безусловно, индустрия массовых рассылок не смогла бы достичь столь высоких темпов роста исключительно за счет привлекательного содержания. Наличие значительных материальных ресурсов позволило спамерам создать мощную техническую базу, предназначенную для рассылки гигантских объемов корреспонденции с адресатами по всему миру.По состоянию на конец 2003 года, основная масса спама распространяется с помощью профессиональных систем - специализированных программных комплексов, в разработку которых вложено очень много сил и средств. В числе прочего, такие системы организуют распределенные рассылки через зараженные троянскими программами компьютеры пользователей. По косвенным данным, спам-программа позволяет запоминать статус каждого адреса назначения и повторять попытки доставки через разные машины-посредники вплоть до получения письма. Эта функциональная особенность резко снижает эффективность чёрных списков адресов (RBL-систем), так как адрес источника спама теперь может меняться динамически.
Техническим следствием подобной технологии рассылок является устаревание метода 'чёрных списков' (RBL-методов обнаружения спама). На конец 2003 года для рассылки спама ежесуточно использовалось 20-50 тысяч новых (неизвестных антиспам-системам) IP-адресов, преимущественно из сетей DSL и кабельных провайдеров США и Европы. Это количество включает в себя как вновь зараженные машины, так и компьютеры, получившие от своего провайдера (ISP) новый IP-адрес. Эти адреса регистрируются в RBL-списках со значительной задержкой, составляющей от нескольких часов до нескольких дней. При этом обнаруживаются и попадают в списки далеко не все адреса - от трети до половины.
Попытки доставки сообщения могут повторяться с разных IP-адресов до момента достижения успеха. Так как далеко не все используемые таким образом IP-адреса содержатся в популярных 'чёрных списках' RBL, то зачастую использование этих списков ведет лишь к увеличению количества отвергнутых сообщений при неизменном объеме поступающего в почтовые ящики пользователей спама.
Более того, на сегодняшний день источником массовой рассылки может стать ничего не подозревающий пользователь компьютера, подключенного к интернету. В прошлом году основная масса нежелательной корреспонденции отправлялась получателям не напрямую от организатора рассылки, а посредством подключенных к интернету компьютеров третьих лиц. Для превращения компьютера в опорную базу для распространения спама в него необходимо внедрить 'троянское' программное обеспечение, являющееся прокси-сервером (используюещее протокол SOCKS или HTTP). Такие 'троянцы' могут достичь пользователя несколькими способами: через файлообменные сети, уязвимости в системах безопасности веб-браузеров, а также путем заражения вирусом.
Зараженный такой троянской программой компьютер может быть использован без ведома пользователя как для рассылки спама, так и для другой нелегальной сетевой активности (DDoS-атак, маскировки IP-адреса использующих его лиц и т.п.). Подобное ПО управляется его хозяевами удаленно: со специальных веб-серверов или через интернет-чаты, по каналам системы обмена сообщениями IRC.
Таким образом, можно с уверенностью утверждать, что в 2003 году заражение пользовательских машин троянскими компонентами стало специализированным бизнесом, достигшим широких масштабов к концу года. По оценкам специалистов, на настоящее время количество зараженных машин по всему миру составляет минимум несколько сотен тысяч. Вредоносное программное обеспечение отчасти превращается в прикладной элемент спам-бизнеса. Это является прямым подтверждением предположения о том, что работа в данной области также финансируется за счет средств, полученных от распространения навязчивой рекламы.
Благодаря постоянному изучению технологий и методов организации массовых почтовых рассылок, к середине 2003 г. стало возможным создание описания стандартной модели механизма эффективной рассылки спама. На сегодняшний день типовая "спам-машина" должна отвечать следующим признакам:
- участие в рассылке нескольких десятков тысяч зараженных троянскими программами пользовательских машин;
- наличие профессионального спамерского ПО и автоматическое скачивание обновлений данного ПО;
- автоматическая модификация писем при посылке (в том числе, модификация графических изображений)
- доработка характеристик письма в реальном времени на почтовых ящиках публичных почтовых систем: многократная посылка разных вариантов сообщений (до тех пор, пока одно из них не преодолеет антиспамерский фильтр)
- организация постоянного обмена информацией между спам-серверами (через чаты и удалённые сайты).
Спам переходит в наступление
Однако в числе основных направлений исследовательской деятельности спамеров находится не только разработка средств дезориентации систем фильтрации спама, но и способы нарушения функциональности и вывода из строя основных систем защиты от нежелательной корреспонденции. В частности, на протяжении лета и осени 2003 г. отмечались многочисленные распределенные атаки на наиболее полезные RBL-системы, которые привели к временной неработоспособности систем SPEWS и SORBS и закрытию RBL-сервиса Osirusoft. Также с 1-го декабря был приостановлен сервис Easynet.NL, хотя причина произошедшего не разглашается.Спамеры владеют большим количеством способов осуществления деструктивных действий. Одним из них стала организация псевдорассылок. С начала осени 2003 года в интернете новый вид массовых анонимных рассылок, не содержащих никаких предложений. Чаще всего в тексте подобных писем находится бессмысленный набор символов или дата. Также встречаются сообщения, не содержащие текста и приложенных объектов. Необходимость подобных рассылок активно обсуждалась на форумах спамеров, так как они позволяют эффективно использовать время простоя спамерского ПО (когда нет заказа от клиентов). Цель псевдорассылок состоит в постоянном засорении почтового трафика, а следовательно, и затруднении работы систем противодействия спаму.
Одной из наиболее тревожных тенденций является четко обозначенное в прошлом году сращивание спамерских и вирусописательских технологий. Впервые спам-технологии были использованы для распространения компьютерного вируса в июне 2003 года. Они применялись для массовой рассылки копий вируса с анонимного почтового сервера. Речь идет об эпидемии новой модификации сетевого червя "Sobig" - 'Sobig.f'. Использование спамерских технологий позволило вирусу практически мгновенно заразить сотни тысяч компьютеров. О том, что данная модификация "Sobig" распространялась как спам, свидетельствует то, что большинство разосланных зараженных писем в качестве адреса отправителя содержали подставные координаты, которые автоматически генерировались спамерским ПО. IP-адреса источников зараженных 'Sobig.f' сообщений также характерны для автоматических спамерских рассылок. С этого момента попытки подобных вирусных атак, производимых с помощью профессионального спамерского ПО, периодически повторяются.
Новым фильтрам - новый спам
В стремлении сохранить и обеспечить развитие своего бизнеса спамеры мгновенно реагируют на внедрение новых программных решений в области защиты от массовых рассылок. 2003 год характеризуется повсеместной установкой средств фильтрации спама, в том числе и на уровне ISP-провайдеров. В частности, такие популярные почтовые сервисы, как Hotmail, Yahoo! и MSN усилили борьбу со спамом путем внедрения новых технологий отсеивания нежелательной корреспонденции. Активная реализация антиспамовой политики вынудила организаторов рассылок искать новые технические средства борьбы с механизмами фильтрации. Это привело к тому, что уже к середине года спамеры продемонстрировали миру принципиально новые технические уловки. Рассмотрим наиболее значимые из них.Главной новинкой спам-моды в 2003 году стало активное использование графических элементов. Первые случаи спамерских рассылок, в которых рекламный текст сообщения был представлен в виде изображения (графического файла), появились летом 2003 г. Все началось с замещения на картинки отдельных букв текста, но довольно быстро спамеры перешли к полностью графическим письмам. Наиболее активно в рассылках представлены форматы *.gif и *.jpeg, что связано с хорошей "сжимаемостью" изображений в этих форматах и полной совместимостью со всеми программными средствами обработки графики. По сути дела, данные графические форматы на сегодняшний день 'де-факто' являются международным стандартом.
До августа 2003 г. количество спама с графикой росло в геометрической прогрессии, но затем оно стало постепенно уменьшаться, и к настоящему времени ситуация стабилизировалась. Доля писем с графическими объектами в среднем составляет всего несколько процентов от общего потока спама. Даже при высокой интенсивности массовых рассылок она не превышает значения в 6-7%. Это вызвано тем, что в подавляющем большинстве случаев для каждого спамового письма используется один и тот же набор изображений, что позволяет сразу же распознать массовую рассылку при помощи простейших детекторов. Помимо этого, создание уникальных изображений для каждого письма требует наличия специализированного программного обеспечения. При этом сжатие большого количества изображений является длительной операцией и существенно снижает скорость рассылки писем. А это, в свою очередь, облегчает задачу отслеживания источников данной рассылки.
Один из наиболее популярных и перспективных технических приемов спамеров -модифицирование текста сообщения. Данный вид противодействия системам фильтрации спама оказался самым успешным. На настоящее время насчитывается несколько видов операций над текстовым содержанием массовых сообщений, действующих с сопоставимой эффективностью.
Простейший из указанных приемов спамеров заключается в добавлении к исходному тексту сообщения случайных текстовых блоков. При этом производится автоматическая генерация случайных последовательностей символов, слов или целых фрагментов текста, которые включаются в исходное письмо. В большинстве случаев подобные элементы располагаются в конце сообщения, т.е. вне зоны активного пользовательского внимания. В результате качество восприятия текста практически не ухудшается. Не страдает и рекламная составляющая письма. Однако такие приемы могут обмануть только простейшие фильтры, основанные на расчёте и сравнении контрольных сумм сообщений. Современные фильтры используют более сложные методы и способны распознавать данный вид спама.
Вариантом изменения текста, знакомым каждому владельцу электронного почтового ящика, является модификация слов в теле письма. Приемы, основанные на изменении написания отдельных слов, в той или иной степени ухудшают восприятие текста. К наиболее распространенным из них относятся:
- использование небуквенных символов для разбиения слова (например, пробелов или точек, как в слове "v.i.a.g.r.a");
- использование одинаковых по написанию букв разных алфавитов (например, замещение латинской буквы 'c' на такую же внешне букву русского алфавита): случайные замены такого рода могут привести к существенному ухудшению качества работы лексических фильтров;
- произвольное удвоение букв в словах ("уддвоеение");
- перестановка букв в словах ("пеерстанвока").
Эти приемы распознаются антиспамовыми фильтрами различной степени сложности. В любом случае, их использование ухудшает восприятие текста сообщения - адресату подобный текст сложнее прочитать, чем текст без ошибок. Соответственно, можно ожидать, что отклик получателей таких сообщений будет значительно ниже, чем при использовании обычного текста. Это неприемлемо для заказчиков спама, поэтому, скорее всего, эти приемы не смогут распространиться слишком широко.
Оригинальностью отличаются технические вариации, основанные на возможностях использования языка HTML, и на отличиях в отображении текстов HTML различными браузерами. Как правило, они выполняются в виде добавления в сообщения "невидимого" текста, например, набранного тем же цветом, что и фон письма. Также широко применяется использование различных размеров шрифта. При этом значимые фрагменты текста отображаются крупно, а мелким, практически невидимым, шрифтом, набирается случайный текст, который ничего не значит.
В результате использования особенностей представления текста сообщения HTML-формата у широко распространенных браузеров (Internet Explorer, Mozilla, Opera) один и тот же текст по-разному воспринимается человеком и фильтром. В результате контентные фильтры становятся неэффективными, так как пытаются обработать текст, значительно отличающийся от того, который видит пользователь. Однако современные спам-фильтры включают в себя анализаторы объектов формата HTML (включая таблицы стилей CSS) с детекторами невидимого текста. На текущий момент приемы по созданию двойственного представления одного и того же документа довольно эффективно распознаются и обрабатываются современными средствами фильтрации.
Спам-2004: что дальше?
Данный материал достаточно наглядно отражает изменения, произошедшие в индустрии нежелательных массовых рассылок за 2003 год. Спам, ранее воспринимавшийся как издержки процесса обмена информацией по электронной почте, продемонстрировал ошеломляющий количественный и качественный рост. Технологическое развитие средств распространения навязчивой рекламы, интенсивное сращивание спама и компьютерных вирусов, а также максимально оперативная реакция спамеров на новые методы фильтрации поставили этот вид электронного бизнеса в один ряд с самыми опасными угрозами информационной безопасности. Но за окном уже новый, 2004, год. Это порождает закономерный вопрос: чего ожидать от спамеров на протяжении этого года? Анализ имеющихся данных и тенденций, обозначившихся в 2003 году, позволяет сделать определенные предположения.К сожалению, ожидания специалистов неутешительны. Как показано на графике 2, ведущие аналитические компании прогнозируют дальнейшее увеличение потоков спама, которое угрожает принять лавинообразный характер и привести к существенному ухудшению коммуникативных свойств электронной почты. Скорее всего, этот год будет отмечен пиком роста массовых рассылок. Количество спама в ящиках пользователей достигнет своего максимума уже в зимне-весенний период 2004 г. и составит 60-70% от всей входящей почты. Основной характеристикой навязчивой рекламы станет техническая изощрённость, а также, возможно, полное несоответствие лексическим нормам. Одновременно начнётся эпоха мобильного SMS-спама. Многочисленные случаи такого рода рассылок уже были отмечены в 2003 году.
Однако к концу 2004 года эффективные системы фильтрации спама будут интегрированы во все крупные интернет-сервисы и корпоративные сети. Кроме того, законодательные меры против спама, введенные в 2003 году в США и Западной Европе, позволяют надеяться на то, что уже в первой половине 2004 г. в этих регионах будут иметься соответствующие судебные прецеденты. Ожидается, что к осени 2004 года в России и Восточной Европе также будет принято национальное антиспамовое законодательство. Результатом противодействия спаму на государственном уровне станет заметное снижение потока нежелательной корреспонденции в 2005 году.
График 2. Доля спама в почтовом трафике в 1999-2007 гг.
Скорее всего, в ближайшее время важнейшим поводом для беспокойства станут сети компьютеров, зараженных троянскими программами. Можно также предположить дальнейшее сращивание вирусописательских и спамерских технологий, что приведет к росту количества коммерческих вирусов.
Развитие технологий фильтрации спама вынудит спамеров изобретать новые методы обхода систем защиты. В настоящее время наиболее перспективным для спамеров представляется направление, связанное с использованием возможностей языка HTML (невидимый текст и т.п.), а также использование в письмах программ, выполняющихся под определенным приложением - скриптов. Кроме того, при организации рассылок все чаще будет применяться технология автоматической генерации писем. При использовании данного метода письма различаются по текстовому содержанию, но передают одно и то же рекламное сообщение.
Изменится и организационная структура спам-сообщества. В настоящее время организация рассылки спама - достаточно сложный и дорогостоящий проект. Дело в том, что совершенствование средств фильтрации спама естественным образом привело к усложнению рассылки спамерских писем. Сегодня для успешной спамерской рассылки, прежде всего, требуется использование сложного программного обеспечения, генерирующего уникальные сообщения для каждого получателя. Также для создания большого количества вариантов одного и того же сообщения необходимо привлечение профессиональных редакторов. Помимо этого, себестоимость рассылки возрастает из-за необходимости круглосуточного отслеживания состояния рассылок и их прохождения сквозь фильтры.
Таким образом, можно с уверенностью сказать, что в следующем году спамерскими услугами смогут заниматься только несколько крупных объединений спамеров. Малозначительные участники этого бизнеса будут не в состоянии обеспечить постоянное развитие своих технических средств, равно как и поддержку сложной внутренней инфраструктуры для рассылки спама. В рамках спам-индустрии также укрепится тенденция к распределению обязанностей членов спам-сообщества по видам деятельности. При этом разные лица будут ответственны за операции, необходимые для организации рассылки: хостинг серверов и сопровождение программного обеспечения, сбор и проверка адресов, написание программ для рассылки, захват пользовательских машин и управление ими, и т.п.
Что касается технической базы для организации массовых рассылок, в которую входят серверы, хостинг, программное обеспечение для распространения спама, то она продолжит свое перемещение в страны третьего мира, где контроль за рекламными рассылками не такой строгий.
