La variable de Google

Las descargas inadvertidas (drive-by downloads) han aumentado su popularidad en 2008. Como los administradores de sitios web están cada vez más informados sobre las últimas amenazas de seguridad, los cibercriminales están buscando nuevas formas de garantizar la supervivencia de sus programas nocivos.

Y, para ello, ¿qué mejor que utilizar Google? Todos lo usan, ¿por qué escritores de virus se quedarían atrás? Últimamente hemos estado viendo ataques que funcionan de la siguiente manera:

Los escritores de virus realizan búsquedas en Google para identificar los sitios web más populares. Después, buscan vulnerabilidades en cada uno de estos sitios. Las páginas con vulnerabilidades más críticas son utilizadas por los cibercriminales para lanzar sus ataques. Pero, para evitar ser descubiertos, los cibercriminales evitan agregar códigos en forma de nuevos archivos a los sitios comprometidos, e incluso evitan hacer uso de códigos ofuscados. En lugar de ello, modifican los scripts que ya se están ejecutando en las páginas comprometidas. En este caso particular, los nuevos parámetros que se agregan al script existente incluyen la siguiente función: (–referer=http://www.google.com/).

Esta función revisa de dónde viene el visitante del sitio infectado. Si se detecta que el visitante ingresó a la página utilizando un enlace proveído por Google, entonces se lo redirige a varios sitios nocivos que no tienen nada que ver con el que el usuario quería visitar. ¿El resultado? Un equipo infectado.

Por si esto fuera poco, el ataque no funciona si el internauta simplemente escribe el nombre del sitio infectado. En tal caso, no se ejecuta ninguna de las funciones del script inyectado y el usuario sólo se encuentra frente al sitio que quería visitar. Esto evita que los administradores, empleados y visitantes regulares de los sitios afectados sean víctimas del ataque, mientras que los criminales todavía pueden alcanzar sus metas:

* Infectar un gran número de gente

* Evitar que el administrador del sitio descubra y elimine el script malicioso.

Este tipo de ataques no sólo perjudican a los navegantes de la red, también pueden hacer que sitios inofensivos acaben formando parte de la lista negra de los productos de seguridad.

Pero no sólo los sitios web más visitados de Google son víctimas de este nuevo ataque: los cibercriminales también están dirigiendo sus ataques a algunos sitios de productos de seguridad. Este es el caso, por ejemplo, del conocido programa de seguridad fraudulento Antivirus XP. Si un usuario está navegando en Google, tratando de encontrar información sobre este tema, su búsqueda tendrá una gran variedad de resultados. El problema es que, al ingresar a alguno de los sitios de la lista de resultados de Google, el script modificado del servidor de seguridad alterado ejecutará Antivirus 2010 en su equipo.

Parece que el comprometer sitios ofrecidos por buscadores de confianza y el infectar a los usuarios utilizando una serie de redirecciones serán dos formas de ataque muy populares en 2009, y sin duda causarán nuevos y fuertes dolores de cabeza a los administradores de sitios de Internet.

Este caso demuestra que ningun rincón de Internet es tan seguro como parece. Y este problema no sólo afecta a Google: después de realizar un par de pruebas, comprobé que este ataque también afecta a los buscadores de Yahoo! y MSN. Detectamos el programa utilizado para realizar este ataque como Trojan-Downloader.Win32.Fraudload.vffa, y estamos listos para hacer frente a futuras variantes de este ataque.

Click aquí para ver el original.

Un troyano bloquea The Pirate Bay y Mininova

Un programa malicioso para sistemas Windows, identificado como “Troj/Qhost-AC” por la empresa de seguridad Sophos ha aparecido en BitTorrent. Lo curioso del caso es que su función se limita a bloquear el acceso a los principales tracker de la red de intercambio de archivos.

El troyano además de bloquear el acceso a Mininova y The Pirate Bay editando el archivo de hosts, intenta moralizar a los dueños de los equipos infectados con un aviso que dice “descargar está mal”, lo que ha llevado a pensar que los creadores del troyano podrían ser las compañías que ejecutan el juego sucio de organizaciones como la RIAA o MPAA, a pesar de su anunciado cambio de estrategia “de no perseguir a los usuarios”.

El troyano se incluía en un torrente que ha sido retirado y los equipos infectados pueden ser limpiados fácilmente, borrando sus entradas en el archivo host de Windows. Más parece la actuación de un bromista que de las organizaciones de derechos de autor o de la industria, aunque no sería la primera vez que éstas infectan las redes de intercambio.

La aparición de software malintencionado en las redes de BitTorrent llega cuando se confirma la ruptura de la RIAA con MediaSentry, una compañía que espió ilegalmente a los usuarios por orden de la asociación de discográficas.

Click aquí para ver el original.

Burlando captchas con troyanos

Analizando un malware desarrollado para redes sociales, el Koobface, me encontré con una sorpresa interesante. Al instalarse una variante determinada de dicho troyano, el mismo descarga un malware que nada tiene que ver con las redes sociales.

Se trata de un troyano que ESET NOD32 detecta como Win32/Agent.OLA y que tiene una capacidad que no hemos desarrollado hasta este momento en el Blog: se trata de un troyano utilizado para romper captchas.

Recordemos que los CAPTCHA (Completely Automated Public Turing test to Tell Computers and Humans Apart) son una prueba de Turing automática para diferenciar a máquinas y humanos y se utilizan con el objetivo de evitar que programas automáticos (robots) realicen registro de usuarios en cualquier servicio disponible en Internet.

Si bien en el último tiempo distintos captchas han sido crackeados, permitiendo el registro automático en Live, Yahoo!, y otros, la verdad es que gran parte del trabajo es realizado por seres humanos creando grandes bases de datos relacionando la imagen del captcha y su respectiva solución (la palabra descifrada).

En mi caso, al descargarse y ejecutarse automáticamente, el troyano crea un archivo captcha.exe en el directorio del sistema y luego se ejecutará en cada reinicio mostrando la siguiente pantalla:

Como puede verse se amenaza al usuario de que si no ingresa la palabra mostrada en la imagen, su sistema se reiniciará. Con esto se logra que el usuario resuelva el captcha, enviando la solución al sitio del atacante y almacenando el mismo en grandes bases de datos.

La próxima vez que el captcha sea utilizado en algún registro de cualquier servicio, el atacante ya tiene la solución almacenada. Con esto, el delincuente puede registrar cuentas falsas automáticamente en cualquier servicio del mundo, para luego utilizarla en otros ataques.

En este caso no se ha crackeado el captcha, sino que se utiliza a miles de usuarios infectados para que resuelvan los mismos, creando bases de datos con la imagen y la solución. Una vez más se logra que el usuario colabore, sin saberlo, con los delincuentes.

Click aquí para ver el original.

¿Koobface?

En las últimas horas ha habido un gran revuelo basado en el troyano (que no es un virus) Koobface. Pero, ¿de qué se trata realmente Koobface? ¿vale la pena crear tanto revuelo por este troyano?

Detectado por ESET NOD32 como Win32/Koobface (un anagrama de la conocida red social Facebook) es un troyano orientado a propagarse por la red social del mismo nombre y Myspace, dependiendo de la versión que se trate. Su origen se remonta a agosto de 2008 y para nada de trata de un troyano de reciente aparición o de algo especial que las empresas antivirus deban tratar con cuidado.

Sus características son las siguientes:

* Como cualquier troyano, busca alojarse y permanecer en el sistema del usuario, controlando ciertas acciones que en este caso es el login en una de las redes sociales mencionadas y la obtención de credenciales del usuario.
* Se copia al sistema con distintos nombres según la versión analizada.
* No tiene características de rootkit o alguna otra que dificulte su remoción.
* Busca cookies y credenciales de login a las redes sociales.
* Modifica la clave RUN del registro para autoejecutarse al encender el equipo.
* Al instalarse por primera vez en el sistema, muestra un mensaje en inglés sobre la invalidez de un codec (”Error installing Codec. Please contact support”) y luego se autoelimina.
* Si el usuario ingresa a una de las redes sociales mencionadas el troyano envía un mensaje a todos los contactos del mismo, con un enlace a un Youtube falso como se ve a continuación.

* El contacto que caiga en la trampa e ingrese al sitio web verá un mensaje mencionado la falta de un codec y al descargarlo se infectará, continuando la cadena. Como puede verse este punto es el único que hace que el troyano tenga relación con una red social.

¿Por qué Koobface no representa el peligro con el cual lo anuncian?

* Kooface no infecta redes sociales, porque eso no es posible. Como siempre, los infectados son los usuarios en dichas redes y utiliza a los contactos para continuar la propagación.
* No solo los usuarios de Facebook deben tener cuidado, sino también los de Myspace y cualquier otra red ya que Koobface podría ser modificado en el futuro cercano.
* El troyano no representa peligro alguna para la red social.
* Cualquier antivirus actual es capaz de detectarlo y eliminarlo.
* Cualquier usuario puede darse cuenta del engaño al ver un mensaje como el mostrado en la imagen.

En este caso la noticia se está exagerando y como siempre debemos tener cuidado, informarnos y no tener miedo.

Click aquí para ver el original.

Malware con detección de máquinas virtuales

En el último tiempo se ha comenzado a hacer común una gran cantidad de malware con técnicas defensivas, entre las que se destacan la detección de ejecución en máquinas virtuales. Esta acción se realiza para evitar que los investigadores de malware hagan su análisis sobre este tipo de sistemas.

Por ejemplo, el siguiente troyano del tipo IRCBot detectado por ESET NOD32 como Win32/IRCBot.AK. Para realizar su propagación utiliza a los mensajeros electrónicos con el siguiente mensaje (errores ortográficos incluídos):

Si el usuario comete el error de descargar el archivo ofrecido, se instalará un troyano orientado a convertir al equipo en un zombi, conectándose a un canal de chat (IRC) cuya dirección IP puede verse en el código del programa.

Lo curioso es que si se intenta ejecutar el archivo photo.exe en una máquina virtual (en este caso VMware) recibiremos el siguiente mensaje error:

Como puede verse, este troyano está preparado para detectar los siguientes tipos de máquinas virtuales: Qemu, VirtualPC, VMware, VirtualPC, Anubis, JoeBox y VirtualBox.

Estas técnicas de auto-defensa son cada vez más comunes y por supuesto las mismas son ampliamente difundidas para dificultar el trabajo a los antivirus y sus analistas.

Click aquí para ver el original.

Troyano que captura claves bancarias

Trojan.PWS.ChromeInject.A, que se registra como ‘Greasemonkey’ en el sistema de archivos de Firefox, colecciona contraseñas de los sitios de banca.

Investigadores de BitDefender han descubierto un nuevo tipo de software maliciosos que colecciona contraseñas para sitios de banca pero que afecta únicamente a los usuarios de Firefox.

El malware, que BitDefender ha denominado Trojan.PWS.ChromeInject.A se esconde en la carpeta de add-on, de añadidos, de Firefox y se ejecuta cuando se inicia Firefox :

%ProgramFiles%\Mozilla Firefox\plugins\npbasic.dll
%ProgramFiles%\Mozilla Firefox\chrome\chrome\content\browser.js

El malware utiliza JavaScript para identificar más de 100 sites financieros y de transferencias de efectivo, incluidos Barclays, Wachovia, Bank of America y PayPal, junto con dos docenas o más de bancos italianos y españoles. Cuando reconoce uno de estos sites recoge los logins y contraseñas y envía esa información a un servidor en Rusia.

Firefox ha estado ganando cuota de mercado contra su principal competidor, Internet Explorer, desde que debutara hace cuatro años, lo que pude ser una de las razones por las que los autores de malware estén buscando nuevos caminos para infectar ordenadores.

BiTDefender ha actualizado sus productos para detectarlo, un ejemplo que ya han seguido otras empresas de seguridad.

Ver alerta del Virus.

Ver nota de prensa.