Campaña masiva de sitios e instaladores falsos en español

Hemos hallado una gran cantidad de sitios web falsos y que simulan descargar distintos instaladores de herramientas muy conocidas como WinRar, WinZip, EMule, Torrent, Azureus, MSN Messenger, Zone-Alarm, Open Office, Opera, Firefox, Microsoft Internet Explorer, DirectX, RegCleaner y muchos otros. Estos sitios descargan falsos instaladores generados por herramientas similares a la comentada por nosotros en creador de falsos navegadores web y, si bien esta técnica es muy conocida, lo realmente peligroso en esta ocasión es que esta campaña de distribución ha sido orientada a distintos idiomas y, si el usuario proviene de Latinoamérica o España el sitio web mostrado, estará en español, como puede verse a continuación en este sitio falso de Emule:

Como si esto fuera poco, la campaña ha sido orientada a lograr posicionamiento web a través de los buscadores (SEO - Search Engine Optimization) y es posible llegar a los sitio falsos a través de cualquiera de ellos con búsquedas muy sencillas:

Es decir, cualquier usuario puede llegar a estos sitios y descargar la herramienta falsa. Lo extraño es que, al comenzar la instalación, se descarga el programa original desde el sitio oficial de la aplicación, pudiendo tardar varios minutos dependiendo del tamaño de la aplicación y de la velocidad de descarga. Por ejemplo, aquí se muestra la descarga del paquete de Open Office:

Pero, luego de dicha descarga y, debido a que los programas supuestamente son gratuitos, se solicita el envío de cierta cantidad de SMS (de 2 a 4) para proporcionar un supuesto número de instalación y finalizar la instalación. Este evento, que puede parecer aislado, da cierto sentido de frustración al usuario que, después del tiempo invertido en la descarga e instalacióndel programa, prefiere enviar los SMS que seguir perdiendo tiempo.

En este caso se muestra la solicitud del código al intentar instalar el falso Flash Player. El mensaje remarcado muestra la cantidad de mensajes y el costo de los mismos, que varía dependiendo del país en que nos encontremos:

Luego de enviar los SMS solicitados, por supuesto no se recibe respuesta y ya se ha perdido el dinero (en este caso 8 pesos). Además a partir de este momento se ha instalado una barra llamada Peer2Peer en el navegador y los delincuentes recibirán un monto determinado de dinero por cada búsqueda que se hace en ella. Es importante destacar que esta barra ha sido realizada a través de la empresa Conduit legal que ofrece este tipo de servicios para construir barras de búsquedas gratuitas (la cuenta fue creada en octubre de 2008).

Como comentario al margen y orientado a la cantidad de trabajo necesario para realizar esta campaña, en uno de estos dominios puede verse la cantidad de instaladores falsos en distintos idiomas creados para este engaño… los cuales alcanzar los 1899 en el momento de escribir esto:

Entonces, en esta campaña es importante destacar las siguientes consideraciones:

* el tiempo invertido en construir la gran cantidad de sitios falsos (registrados la mayoría de ellos en noviembre pasado)
* el tiempo invertido en crear la gran cantidad de instaladores falsos (repito, 1899)
* el tiempo invertido en crear los sitios y los instaladores en distintos idiomas
* simular el proceso de instalación completo, incluso descargando la herramienta verdadera
* el tiempo invertido en realizar la campaña de SEO que bajo ningún punto de vista es algo sencillo de llevar a cabo sobre los buscadores
* lograr el cobro de los SMS recibidos

Estos puntos dan una idea del tamaño de la campaña y del dinero que pueden recolectar estos delincuentes. ¿Queda alguna duda de la orientación económica de este tipo de engaños?

Actualización: al finalizar de escribir este post, la barra mencionada ha sido dada de baja por violar los términos de uso de la empresa que ofrece el servicio ya que fue utilizada para actividades fraudulentas.

Click aquí para ver el original.

Seguridad en los navegadores...

Hemos localizado una noticia de importancia capital y que sin embargo apenas ha trascendido a los medios. Hemos revisado las fuentes para asegurarnos y hemos llegado a la conclusión de que la información es fiable. Una empresa de seguridad demuestra objetivamente que, con respecto al manejo de contraseñas, no existe ningún navegador seguro. ¡NINGUNO!

Esta noticia ha pasado de puntillas por Internet y apenas nadie se ha hecho eco de su crucial advertencia. Menos mal que aquí están los editores de Neoteo a la caza y rastreo de las piezas más peligrosas. Pues bien, resulta que los navegadores más populares de la red incorporan una función que permite recordar las claves de acceso de los sitios visitados. Muy cómoda, por cierto. Sin embargo, ¿qué garantía hay de que el navegador entregue las contraseñas solo a los sitios seleccionados por el usuario, y no a sitios de intrusos? ¡Ninguna! La compañía de seguridad informática Chapin Information Services ha probado la forma en que los programas Google Chrome, Microsoft Internet Explorer, Apple Safari, Opera y Mozilla Firefox gestionan la seguridad de las contraseñas. Los resultados no han podido ser más desoladores. No se ha librado ni el zorro.

Según las pruebas, ninguno de los navegadores se ha librado de un resultado vergonzoso. Todos han puntuado muy bajo, exhibiendo al mundo la total falta de seguridad que padecen cuando se trata de proteger las contraseñas guardadas con las que solemos entrar en las web de todo tipo. Los navegadores Opera y Firefox han obtenido la mejor puntuación, pero aún así sólo lograron superar 7 de las 21 pruebas. Internet Explorer logró superar cinco de las pruebas. Los peores resultados fueron para Google Chrome y Apple Safari, que sólo superaron dos de las 21 pruebas. Si señor, han leído bien. El todopoderoso Chrome y el omnipotente Safari han rozado el ridículo al enfrentarse a estas pruebas tan esclarecedoras.

Uno de los problemas de seguridad revelados en la prueba es que algunos de los navegadores pueden ser inducidos a enviar contraseñas correspondientes a distintos servicios, a un sitio único. Precisamente esta táctica fue utilizada durante un ataque a MySpace, donde los atacantes usaron un formulario adulterado de inicio de sesión. Debido a que tanto el formulario auténtico como el adulterado estaban almacenados en el mismo sitio, los intrusos pudieron acceder a la información de inicio de sesiones, esto es, nombre de usuario y clave. La vulnerabilidad también está presente en Firefox, pero sus desarrolladores ya han solucionado el problema. Chrome y Safari continúan siendo vulnerables ante este tipo de ataques, según Chapin Information Services.

Otro problema es que los navegadores no suelen comprobar a qué sitio está comunicando las contraseñas. Sólo Firefox y Opera pueden evitar que el navegador permita enviar las contraseñas a otro dominio que aquél para el que fueron inscritas cuando se almacenó en el gestor de contraseñas. De igual modo, formularios invisibles contenidos en algunos servicios también pueden activar la función de gestión de contraseñas de los navegadores. De esa forma, el navegador puede ser inducido para entregar la contraseña sin que el usuario se percate siquiera.

El más decepcionante ha sido Chrome. En su fase beta, recibió un montón de críticas por sus errores y fallos de seguridad. Se supuso que habrían sido corregidos en su versión final 1.0 pero Chapin Service Information asegura que esto no ha sido así. Según un informe publicado por la compañía, Chrome 1.0 es el peor navegador de todos a la hora de proteger las contraseñas de los usuarios que lo utilizan. Lo anterior se debe a que presenta tres errores que ayudan a explotar un fallo de seguridad que fue descubierto hace dos años y que facilita que un atacante obtenga las contraseñas almacenadas en Chrome sin que el usuario se percate. Estos tres errores ya habían sido denunciados por Chapin cuando el navegador se encontraba en estado Beta y por si fuera poco, se han encontrado otros 17 errores relacionados con el administrador de contraseñas de Chrome. Un cuadro, vamos. No comprendemos como una empresa como Google ha dejado descuidado un tema tan importante como el de la seguridad. Máxime cuando ya le han avisado de los errores y pueden concentrarse en arreglarlos. De igual manera, Safari ha pasado sólo 2 de las 21 pruebas, en la misma penosa y lamentable línea que el navegador de Google. Un autentico varapalo el que se llevan estos dos grandes del estrellato cibernético.

CONSEJO: Desactivar cuanto antes la función de guardar contraseñas en nuestro navegador. Es recomendable que cada vez que entremos en un sitio web (comercio electrónico, banca, etc.) debemos teclear de nuevo la contraseña y el usuario. No hacerlo puede suponer el camino más rápido para tentar la suerte y sufrir una limpieza fulminante de la cartera.

Si quieres comprobar por ti mismo la seguridad de tu navegador sólo tienes que realizar el test que te proponen aquí.

Click aquí para ver el original.

Propagación de malware a través de sitios vulnerados y MSN

Tal y como preveíamos cuando anunciamos la nueva vulnerabilidad de Internet Explorer (ya solucionada), era cuestión de tiempo hasta que aparecieran sitios vulnerados y en los cuales se llama a un script dañino que explota dicha vulnerabilidad para infectar usuarios.

En este momento se puede acceder a miles de sitios vulnerados a través de cualquier buscador y en ellos se puede ver un script ofuscado. La propagación de dicha amenaza también se está realizando a través de mensajería instantánea. Por ejemplo, un usuario infectado podría enviar el siguiente mensaje:

Al ingresar al sitio, también se llegar al siguiente script dañino:

Si se desofusca el código se puede ver que en realidad se trata del reciente exploit de XML de Internet Explorer, el cual funciona en las versiones 6.0 ó superior. Al ejecutarse dicho exploit en un sistema no actualizado, se descarga un troyano orientado a robar datos sensibles del usuario. ESET NOD32 detecta proactivamente el exploit como JS/Exploit.CVE-2008-4844.gen

Debido a que este exploit y cualquier otro puede encontrarse en cualquier sitio web, es fundamental actualizar el sistema, instalar un antivirus con capacidades proactivas y tomar las medidas de prevención ante la explotación de la vulnerabilidad.

Con respecto al cliente de mensajería instantánea, en Configurando ESET NOD32 Antivirus en MSN I y II encontrará información de utilidad para la prevención de esta y otras amenazas.

Click aquí para ver el original.

Microsoft publica el parche para la vulnerabilidad de Internet Explorer

Tal y como adelantamos ayer, Microsoft ha publicado la actualización para su navegador Internet Explorer. La instalación inmediata de este parche es imprescindible, ya que la vulnerabilidad es crítica y está siendo aprovechada de forma activa por atacantes.

El problema puede permitir al atacante la ejecución de código arbitrario, sin interacción del usuario con tan solo visitar una página web comprometida. La vulnerabilidad, que afecta a todas las versiones de Internet Explorer, reside en el manejo de etiquetas XML. Además se ha comprobado que el fallo lleva tiempo siendo activamente aprovechado por webs para instalar malware.

Según algunos medios el número de ordenadores infectados puede llegar a los dos millones, a través de más de 100.000 sitios web legítimos (aunque la mayoría de ellos chinos) comprometidos para aprovechar la vulnerabilidad e infectar automáticamente a los visitantes.

El fallo que se hizo público la semana pasada, justo el día antes de la publicación mensual de boletines, ha obligado a Microsoft a trabajar contrarreloj y en apenas nueve días ha publicado un boletín fuera de ciclo (el MS08-078) en el que anuncia la esperada actualización. Hay que tener en cuenta que en este tiempo se ha desarrollado, corregido, probado, evaluado y distribuido la actualización para todas las versiones de IE, en todas las plataformas e idiomas posibles (más de 300 versiones diferentes según Microsoft). Aunque todo esto no impide que en el futuro pueda detectarse algún problema con el parche, debido a las prisas con que se ha llevado a cabo todo el proceso.

La actualización está disponible a través de los medios habituales, desde Windows Update o a a través de los enlaces de descarga disponibles en el boletín MS08-078:
http://www.microsoft.com/spain/technet/security/bulletin/ms08-078.mspx
Los sistemas configurados para la instalación automática de las actualizaciones ya han debido actualizarse.

Boletín de seguridad de Microsoft MS08-078 Crítico
Actualización de seguridad para Internet Explorer (960714)
http://www.microsoft.com/spain/technet/security/bulletin/ms08-078.mspx

Rise of IE Zero-Day Through SQL Injection
https://forums.symantec.com/t5/Vulnerabilities-Exploits/Rise-of-IE-Zero-Day-Through-SQL-Injection/ba-p/372832#A182

Click aquí para ver el original.

Prevención ante la explotación de la vulnerabilidad 0-Day en Internet Explorer

Como anunciamos, se está aprovechando una vulnerabilidad no solucionada en Internet Explorer para descargar malware. Aunque no se puede resolver completamente el problema, para mitigarlo y prevenirlo lo máximo posible, debemos realizar una sencilla configuración en el navegador.

Si bien las capturas que utilizaremos están basadas en la versión 7.0 de Internet Explorer, también son aplicables, aunque encuentren ligeras diferencias, para la versión 6.

En primer lugar, debemos acceder a las Opciones de Internet desde el menú Herramientas. Luego, en la solapa Seguridad, cambiamos el nivel de seguridad para la zona de Internet a Alto y finalizamos haciendo clic sobre el botón Aplicar. De esta manera deshabilitaremos funcionalidades como la ejecución de código Active scripting, ActiveX, Applets de Java, etc., brindando mayor grado de seguridad al navegador.

En la zona Sitios de confianza de la misma solapa, podemos especificar, a través del botón Sitios, las direcciones de los sitios web que consideramos de confianza.

En la solapa Privacidad, también es conveniente que, desde el botón Avanzada, se tilde la casilla de verificación llamada Invalidar la administración automática de cookies y, en las opciones que se habilitan, marcar en Preguntar.

Otra configuración importante que guarda relación directa con la explotación de vulnerabilidades es la relacionada a los objetos multimedia. Para controlarlo se debe deshabilitar dos opciones, Activar animaciones en páginas web y Reproducir sonidos en páginas web, ubicadas en la solapa Opciones avanzadas.

Por otro lado, y fuera de las configuraciones de seguridad propias del navegador, también es conveniente configurar la prevención de ejecución de datos (DEP) presente en plataformas Windows XP y Vista. Esto se logra accediendo a: Mi PC > Propiedades > Opciones avanzadas y en la sección rendimiento hacer clic sobre el botón Configuración.

Se abrirá la ventana Opciones de rendimiento y, en ella, debemos asegurarnos que se encuentre activada la opción Activar DEP sólo para los programas y servicios de Windows esenciales.

Por último, ESET NOD32 detecta y elimina estas amenazas por lo que es altamente recomendable actualizarlo y mantenerlo activo.

Click aquí para ver el original.

Vulnerabilidad no solucionada en Internet Explorer descarga malware

El lunes 8 de este mes, un día antes que aparecieran las actualizaciones mensuales de Microsoft, un grupo chino (presuntamente sin intención, aunque hay otras versiones) hacía circular por Internet un exploit 0-day (vulnerabilidad sin solución hasta el momento) para Internet Explorer 7.0. Al hacerse conocido en ese momento, imposibilita a la empresa a lanzar una actualización al día siguiente y logrando que el exploit se masificara.
Por eso, en este momento existen múltiples variantes del mismo que están siendo aprovechadas por los creadores de malware para difundir sus creaciones. Microsoft se encuentra trabajando en la solución en su Aviso de seguridad número 961051. Hasta el momento, se desconoce el impacto real de la vulnerabilidad pero se sabe que potencialmente podría incluir a Internet Explorer 6.0 o superior (en Windows XP, Windows Vista y Windows Server 2003 y 2008, aún con todos los Service Pack instalados), sin bien hasta ahora solamente se encuentran circulando exploits para la versión 7.0 del navegador.Los diferentes exploits activos explotan una vulnerabilidad en el manejo de etiquetas XML que efectúa Internet Explorer y, a través de un código Javascript, genera un código ejecutable (shellcode), que, a su vez, descarga otro archivo con diferentes troyanos. ESET NOD32 bloquea las amenazas.
Como puede verse el exploit permite ejecutar código arbitrario en el sistema del usuario y descargar cualquier tipo de programa dañino al sistema, lo que lo vuelve extremadamente peligroso.
Para agravar el problema, los exploits y malware se encuentran circulando en Internet ya que los mismos han sido inyectados a través de Javascript en cientos de sitios e incluso ya es posible encontrarlos con cualquier buscador. La inyección realizada en sitios vulnerables, que posean información en Microsoft SQL Server, es la siguiente:

Si el usuario ingresara a estos sitios, se llamará automáticamente al Javascript mostrado, comenzando la explotación del fallo y la consecuente descarga del malware. A continuación dejo una captura de pantalla del código Javascript que explota la vulnerabilidad en Internet Explorer 7.0 y genera la shellcode mencionada:

Y, a continuación otra imagen de lo que sucede al ingresar a un sitio modificado en el cual se insertó el Javascript:

Como puede verse en los recuadros se descargan distintos HTML, los cuales son explotaciones de vulnerabilidades anteriores ya solucionadas pero, que ante la duda, se ejecutan ya que existen millones de usuarios que aún no han actualizado su sistema. Luego, se encuentra el archivo “ie7.htm” que es el mostrado anteriormente y que descarga el archivo win.exe.
Resumiendo:
* Aparece una vulnerabilidad no parcheada (0-day) y el lunes 8 se publicó un exploit para la misma.* Microsoft aún se encuentra analizado el problema para lanzar quizás una actualización fuera del circuito de cada mes,* Existen diferentes explotaciones del malware que terminan descargando diferentes malware al equipo del usuario,* Existen cientos de sitios desde los cuales es posible infectarse simplemente ingresando,* ESET NOD32 detecta las amenazas, ya sea el exploit como los malware descargados a través de su Heurística Avanzada.
Pasos para la mitigación del problema (no resuelven completamente el problema):
Desde ESET hemos publicado una pequeña guía paso a paso para prevenir la explotación de esta vulnerabilidad y la posible descarga de malware y además es bueno seguir estos consejos:
* Actualizar a la brevedad para evitar que otras vulnerabilidades antiguas afecten nuestro sistema, sobre todo al ingresar a sitios webs como los mostrados en la imagen.* Instalar un antivirus con capacidades proactivas como ESET NOD32 que detecte tanto el exploit como el malware descargado.* Configurar el navegador en nivel Alto de seguridad y habilitar el Modo protegido de Internet Explorer en los sistemas que lo permitan, para prevenir la ejecución de código en páginas no confiables.* No autorizar ejecución de código cuando el navegador lo solicite, mostrando la barra amarilla en la parte superior del mismo.* Activar DEP (Data Execution Prevention), ya que por defecto se encuentra desactivado en Internet Explorer, para prevenir la ejecución de código en zonas de memoria no marcadas como ejecutables.* No utilizar el sistema con permisos administrativos para evitar la posible ejecución de código.
Repito que esto mitiga en gran parte del problema pero, no lo soluciona. Por eso, es fundamental contar con las herramientas adecuadas de prevención, el sentido común y los buenos hábitos y educación que cada día intentamos llevar a Uds. desde ESET.

Click aquí para ver el original.

Todas las versiones de IE con vulnerabilidad crítica

Como bien comentábamos en la noticia anterior, ha aparecido una nueva vulnerabilidad en Internet Explorer 7, peor yendo más allá e investigando un poco, he llegado a una conclusión, todos los navegadores de Internet Explorer que he conocido (desde la 4.5 creo recordar), han pasado por al menos una vulnerabilidad de carácter crítico.

Tanto IE6 como IE8 Beta 2 están incluidos en la lista, y se recomienda deshabilitar el Oledb32.dll para permanecer seguros.

Un investigador de seguridad danés añadió que las medidas de seguridad ejecutadas por Microsoft no son suficientes y recomienda a los usuarios tomar medidas...

En un boletin de seguridad, Microsoft confirmó la existencia del error y que está presente en todos sus navegadores, incluidos los más actuales: IE5.01, IE6 y IE7, así como IE8 Beta 2, una versión “preview” que se utiliza a modo de pruebas, y que no debe ser utilizada de manera habitual.

Microsoft agregó que están trabajando activamente con sus socios de Microsoft Active Protections Program (MAPP) y Microsoft Security Response Alliance (MSRA) para proporcionar información que pueda usarse para proporcionar una protección más amplia a los clientes. Microsoft está estudiando adoptar medidas contra sitios malintencionados que intentan aprovechar esta vulnerabilidad.

Los 40 digitales.

Nueva vulnerabilidad activa en Internet Explorer IE7

Una nueva vulnerabilidad descubierta en Internet Explorer 7, aún no solucionada por las actualizaciones de seguridad de Microsoft, está siendo activamente explotada según recientes reportes.

Apenas publicados los boletines de seguridad de diciembre, el Internet Storm Center del SANS Institute, recibió informes de un nuevo agujero de seguridad en Internet Explorer 7. Esta vulnerabilidad es considerada Zero Day (Día cero) por estar circulando un exploit que saca provecho de la misma, sin que exista hasta el momento un parche por parte del vendedor.

Los responsables de la divulgación de este fallo, podrían haber sido un grupo de expertos chinos que consideraron que el mismo iba a ser solucionado con las actualizaciones de diciembre, y por error lo publicaron. Sin embargo, también hay versiones no confirmadas, de que algunos creadores de malware ya lo conocían desde antes y que recién ingresó al mercado negro en noviembre, cuando alguien pagó por los detalles del mismo.

De acuerdo con los reportes actualizados, el fallo es utilizado por creadores de malware, no solo a través de sitios webs maliciosos, sino también de sitios normales que han sido comprometidos por medio de otra vulnerabilidad. La visita a los mismos puede hacer que se active un script (secuencia de comandos) en el ordenador de la víctima, que descargará y ejecutará una amenaza en el sistema vulnerable.

Si logra explotar exitosamente este fallo, el atacante ganará los mismos privilegios del usuario activo en el equipo en ese momento. Las cuentas de usuarios con menos derechos administrativos posibilitarán una menor exposición del sistema.

Microsoft ha publicado un informe al respecto, en el cual afirma estar conciente del problema e investigando para encontrar una solución. Según la empresa los ataques detectados son contra Internet Explorer 7 en Windows XP, Windows Vista y Windows Server 2003 y 2008, aún con todos los Service Pack instalados.

La habilitación del “Modo protegido” de IE7 en Windows Vista y el uso del nivel “Alto” de seguridad en el navegador afectado en los otros sistemas operativos, pueden ser un factor mitigante. En Windows Server 2003 y 2008, por defecto el navegador funciona en modo restringido, lo cual reduce las consecuencias de un ataque.

Es importante recalcar que estos ajustes NO evitan la explotación de la vulnerabilidad, solo dificultan su explotación.

Muy posiblemente los sitios web maliciosos estén preparados para aprovechar no solo ésta, sino otras vulnerabilidades existentes, por lo que se aconseja aplicar las últimas actualizaciones disponibles y mantener el software de seguridad al día.

Click aquí para ver el original.