Campaña de propagación del scareware MalwareRemovalBot

Registrar varios dominios en una misma dirección IP, es una de las metodologías más explotadas para la propagación de programas scareware ya que le permite un coherente posicionamiento web, poco ético dicho sea de paso, ampliando el horizonte de posibilidades de que algún desesperado usuario llegue hasta la web que promete, a través de su falso producto, solucionar de manera mágica sus problemas y/o implementar una supuesta capa de seguridad a su equipo ante potenciales infecciones.

Evidentemente, el scareware (o rogue) como cualquiera de los códigos maliciosos actuales se suma a la organización delictiva que representan como parte activa y que constantemente buscan obtener beneficios económicos, en muchos casos formando parte de paquetes crimeware como es el caso de Unique Sploits Pack, que incorpora un módulo para la propagación de scareware.

En este caso, se trata del scareware MalwareRemovalBot, que si bien no es nada nuevo, actualmente se encuentra manifestándose a través de diferentes nombres de dominios alojados bajo la misma dirección IP (174.132.250.194). Seguramente empleando servidores virtuales.

Algunos de los dominios involucrados en esta campaña son:

antivirus360remover .com
av360removaltool .com
malwarebot .org
malwaree .com
malwaree .org
remove-a360 .com
remove-antivirus-360 .com
remove-av360 .com
remove-ie-security .com
remove-malware-defender .com
remove-personal-defender .com
remove-spyware-guard .com
remove-spyware-protect-2009 .com
remove-spyware-protect .com
remove-system-guard .com
remove-total-security .com
remove-ultra-antivir-2009 .com
remove-ultra-antivirus-2009 .com
remove-virus-alarm .com
remove-virus-melt .com
remove-winpc-defender .com
smitfraudfixtool .com
vundofixtool .com
www.antivirus360remover .com
www.av360removaltool .com
www.malwarebot .org
www.malwaree .com
www.malwaree .org
www.remove-a360 .com
www.remove-antivirus-360 .com
www.remove-av360 .com
www.remove-ie-security .com
www.remove-ms-antispyware .com
www.remove-personal-defender .com
www.remove-spyware-guard .com
www.remove-spyware-protect-2009 .com
www.remove-spyware-protect .com
www.remove-system-guard .com
www.remove-total-security .com
www.remove-ultra-antivir-2009 .com
www.remove-ultra-antivirus-2009 .com
www.remove-virus-alarm .com
www.remove-virus-melt .com
www.remove-winpc-defender .com
www.vundofixtool .com

El archivo ejecutable de la amenaza (MD5: 08a0b7b100567eb5a1373eb4607d5b24) tiene como nombre setupxv.exe, y posee un bajo índice de detección. Sólo 11 de 39 compañías antivirus lo detectan :(

Este binario es sólo una cápsula que contiene las otras piezas del malware como los ejecutables que le permiten su ejecución en plataformas Microsoft de 32-bits y 64-bits, dependiendo el caso. Alguno de los archivos son:

• MalwareRemovalBot64.msi - 0/40 (0%) (MD5: 708149179e0f18304413edd56d16fa48)
• MalwareRemovalBot.msi - 0/40 (0.00%) (MD5: e1a1c6175d65ab6be8d5f5cbc85a4ca6)
• MSIStart.exe - 7/40 (17.50%) (MD5: 3de82388a6e799446bada69b6a08dc9e)
• zlib.dll - 2/40 (5%) (MD5: 81ac3f43a5b07d202b5723145d3d88f9)
  
• TCL.dll - 5/40 (12.5%) (MD5: 2a4a0083d63d44374a64a27974eea789)
  
• SpyCleaner.dll - 13/40 (32.5%) (MD5: 1ca00d4ef4319c9cd454397e5659600b)
  
• MalwareRemovalBot.srv.exe - 3/40 (7.50%) (MD5: 852f708466a5b74556b69c536d3add7e)
  
• MalwareRemovalBot.exe - (MD5: 25166bb5d2629cb6dfb9ac6143b88f00)
  

En muchos otros casos, el scareware hace uso de otras técnicas de propagación y engaño que no pasan de moda y se encuentran presentes como estrategia innata de cualquier malware actual, o hacen uso (cada vez más) de técnicas SEO Black Hat, y un par de etcéteras más.

Información relacionada
Campaña de propagación de XP Police Antivirus a través de Ingeniería Social Visual
Estrategia de infección agresiva de XP Police Antivirus. Segunda parte
Estrategia de infección agresiva de XP Police Antivirus
AntiSpyware 2009 amplia su oferta maliciosa y utiliza dominios .pro
Nueva estrategia de IS para diseminar scareware

# pistus

Ver más

Compendio mensual de información. Abril 2009

Pistus Malware Intelligence Blog
22.04.09 Adrenalin botnet: zona de comando. El crimeware ruso marca la tendencia
18.04.09 Scripting attack II. Conjunción de crimeware para obtener mayor volumen de infección
18.04.09 Chamaleon botnet. Administración y monitoreo de descargas
15.04.09 Scripting attack. Explotación múltiple de vulnerabilidades
13.04.09 Continúa la importante y masiva campaña scareware
12.04.09 YES Exploit System. Otro crimeware made in Rusia
10.04.09 Falsas páginas utilizadas como vector de propagación de malware
09.04.09 Drive-by-Download y Drive-by-Update como parte del proceso de infección
07.04.09 Waledac. Seguimiento detallado de una amenaza latente
04.04.09 Conficker IV. Dominios relacionados... y controversiales
03.04.09 Conficker III. Campaña de propagación de falsas herramientas de limpieza
02.04.09 Conficker II. Infección distribuida del gusano mediático
01.04.09 Conficker. Cuando lo mediático se hace eco de todos...

EvilFingers Blog
20.04.09 Scripting attack II. Conjunction of crimeware for increased infection
19.04.09 Continuing the important and massive campaign scareware
16.04.09 Scripting attack. Exploitation of multiple vulnerabilities
14.04.09 YES Exploit System. Another crimeware made in Russia
11.04.09 Fake page used as a vector for spreading malware
08.04.09 Waledac. Follow-up of a latent threat
04.04.09 Conficker IV. Related domains ... and controversial
03.04.09 Conficker III. Campaign of spreading false cleaning tools
02.04.09 Conficker II. Worm infection distributed
01.04.09 Conficker. When the media echoed all neglecting the problem of substance

ESET Latinoamérica Blog
27.04.09 Botnets. Una breve mirada al interior de ZeuS
21.04.09 Particular estrategia de Ingeniería Social
16.04.09 Bloqueo de puertos USB con ESET NOD32
15.04.09 Listado de programas de seguridad falsos V
08.04.09 Informe sobre el troyano Waledac
07.04.09 Notificación sobre actualizaciones en ESET NOD32 v4
01.04.09 Reporte de amenazas de Marzo

Información relacionada
Compendio mensual de información. Marzo 2009
Compendio mensual de información. Febrero 2009
Compendio mensual de información. Enero 2009

# pistus

Ver más

Adrenaline botnet: zona de comando. El crimeware ruso marca la tendencia

A los diferentes paquetes crimeware que de manera breve hemos tratado en alguna oportunidad, se le suma Adrenaline.

Otro crimeware de origen Ruso de sólo unos pocos meses de vida y que no pretende ser mejor ni peor que otros de su familia, ni tampoco, casi seguro, le disgusta "trabajar" en conjunto con otros crimeware :-)

Aunque esta última frase parezca una publicidad de venta, en realidad refleja un poco la situación actual de la diseminación de malware y empleo de crimeware. Cosa que pudimos comprobar a través de Scripting attack II.

Y decimos que Adrenaline no es muy diferente a otros porque también permite diseminar código dañino a través de script ofuscados escondiendo exploits, inyección de código dañino en el código fuente de páginas web, empleo de Drive-by-Download, robo de información a través de sniffer, administración y control remoto vía web, etc.

Sin embargo, posee algunas características que lo diferencian de otros, quizás de ello se desprenda su elevado costo también en comparación con sus competidores (aproximadamente USD 3500), como:

• recolección de certificados digitales,
• diferentes metodologías de inyección de código viral,
• hace uso de pharming local para lograr redireccionamientos obligados sin que el usuario lo perciba,
• implementa keylogger con captura de pantalla,
• implementa técnicas de evasión para evitar ser detectado por herramientas de seguridad como firewalls y antirootkits,
• módulos específicos para la limpieza de huellas,
• cifrado de la información que recolecta.

Entre otras cosas más, posee otra característica llamativa que no es novedosa pero sí un tanto particular: elimina malware de la competencia :-)

Como se aprecia claramente, la tendencia marca que Internet es el máximo exponente en plataformas de ataque, sobre todo a través de aplicaciones crimeware como las que venimos comentando habitualmente en este blog.

Aún así, hay un par de preguntas que dan vueltas en mi cabeza, y que básicamente se traducen en: ¿por qué cada vez hay más paquetes de automatización crimeware? y ¿por qué el elevado costo?

Intentando analizarlo un poquito, quizás las respuestas las tenemos frente a los ojos en la vida cotidiana de quienes nos dedicamos al campo de la seguridad. La respuesta a la primera pregunta, puede tener una perspectiva tendenciosa canalizada en el dinero; es decir, evidentemente, la información posee la catalogación de máximo valor (por mínima que sea y sin importar su clasificación) y teniendo en cuenta eso, los delincuentes informáticos buscan obtener dinero con esa información, transformándose todo el mundo del malware en un gran negocio, altamente redituable y difícil de quebrar.

Por otro lado, todo esto supone un problema asociado que no se puede obviar que pasa por el hecho de que el crimeware sea ofrecido a medida y con soporte técnico 24x7, lo que implica que cada vez más usuarios con mente delictiva se postulen como aspirantes en la búsqueda de obtener el provecho económico que el crimeware, en el concepto más amplio de su palabra, supone como organización delictiva a través de Internet.

En torno a la segunda, quizás la respuesta se encuentre directamente relacionada en que el costo que supone la adquisición de un Kit de este estilo, puede ser recuperado en muy poco tiempo; sobre todo, teniendo presente que las botnets que se administran a través de estos aplicativos, suelen ser alquiladas a otros botmasters, a spammers o a otros personajes de este oscuro submundo que, como lo mencioné en otro post, me recuerda a los relatos de William Gibson en Neuromante.

Información relacionada
Chamaleon botnet. Administración y monitoreo de descargas
YES Exploit System. Otro crimeware made in Rusia
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades
Zeus Botnet. Masiva propagación de su troyano. Segunda parte
Barracuda Bot. Botnet activamente explotada
Creación Online de malware polimórfico basado en PoisonIvy

# pistus

Ver más

Scripting attack II. Conjunción de crimeware para obtener mayor volumen de infección

Otra técnica ampliamente utilizada por los delincuentes informáticos para atacar equipos vía web a través de scripting es la inyección de las instrucciones maliciosas en el código de la página.

En este caso, una página web alojada en un servidor vulnerado es utilizada como vector para la propagación de malware por intermedio de la explotación de vulnerabilidades en equipos desprotegidos. Algunas de las páginas empleadas son:

http://team-sleep.by .ru/default2 .html
http://team-sleep.by .ru/demo .html
http://team-sleep.by .ru/disco .html
http://team-sleep.by .ru/downloads .html
http://team-sleep.by .ru/enter .html
http://team-sleep.by .ru/gold .html
http://team-sleep.by .ru/googleanalyticsru .html
http://team-sleep.by .ru/guest .html
http://team-sleep.by .ru/guestbook .html
http://team-sleep.by .ru/media .html
http://team-sleep.by .ru/menu .html
http://team-sleep.by .ru/news .html
http://team-sleep.by .ru/photo2 .html
http://team-sleep.by .ru/poem .html
http://team-sleep.by .ru/press_reviews .html
http://team-sleep.by .ru/team-sleep .html
http://team-sleep.by .ru/wallpapers .html
http://team-sleep.by .ru/gmail .php
http://team-sleep.by .ru/haitou .php
http://team-sleep.by .ru/in .php
http://team-sleep.by .ru/xxx .php
http://team-sleep.by .ru/photo/team .html
http://team-sleep.by .ru/photo/wallz .html
http://team-sleep.by .ru/photo/live/index2 .html
http://team-sleep.by .ru/photo/live/imagepages/image1 .html
http://team-sleep.by .ru/photo/members/imagepages/image1 .html
http://team-sleep.by .ru/photo/team/imagepages/image1 .html

La lista es larga (98 páginas de un mismo sitio). Sin embargo, a través del gráfico quedan todas representadas.

Cada una de estas direcciones web son diseminadas a través de canales como el correo electrónico o clientes de mensajería instantánea empleando alguna estrategia de Ingeniería Social, y alojan varios script ofuscados que contienen diferentes exploits.

Al desofuscar los scripts, nos encontramos con el empleo de etiquetas iframe que redireccionan a otras URL's como:

• http://5rublei .com/unique/index .php
• http://tochtonenado .com/yes/index .php

Un punto sumamente interesante en relación al crimeware, nos remite directamente al concepto mismo de vulnerabilidad; es decir, el crimeware no queda exento a debilidades por fallos de diseño en su código, lo cual nos permite profundizar un poco más el conocimiento el crimeware violando su integridad.

Tal cual lo ven en la imagen, resulta que se trata del empleo en conjunto de dos conocidos crimeware, Unique Sploits Pack y YES Exploit System.

Esto demuestra que los delincuentes informáticos buscan constantemente encontrar una manera rápida y sencilla, cuanto más automatizada mejor, diferentes formas de ataque que permita aumentar las ganancias.

De esta forma, la labor "profesional" que se esconde detrás de estas actividades maliciosas donde el malware es el principal actor buscando continuamente ampliar el abanico de infecciones, los botmaster logran realizar actividades dañinas con un mayor caudal de distribución.

Información relacionada
Scripting attack. Explotación múltiple de vulnerabilidades
Explotación de vulnerabilidades a través de archivos PDF
Explotando vulnerabilidades a través de SWF
Explotación de vulnerabilidades a través de JS
Explotación masiva de vulnerabilidades a través de servidores fantasmas
Análisis esquemático de un ataque de malware basado en web
LuckySploit, la mano derecha de Zeus
Anatomía del exploit MS08-078 by FireEye

# pistus

Ver más

Chamaleon botnet. Administración y monitoreo de descargas

La oferta de crimeware por parte de la superpotencia energética es muy amplia. La mayoría de los Kits de automatización de infecciones y administración vía web, son diseñados en Rusia y la propagación de malware a través de ellas, se exportan a nivel global.

Chamaleon es otro crimeware que, aunque con menos funcionalidades que otros Kits, sigue la tendencia de poder monitorear una serie de datos estadísticos por intermedio de un panel de control y administración.

A través de un sencillo menú, este crimeware permite administrar diferentes cuestiones que desde el punto de vista estadístico, los delincuentes informáticos necesitan para tener una idea global de qué tipo de exploits utilizar. Por ejemplo, en la siguiente captura se aprecia la cantidad de navegadores que accedieron a la descarga de malware y sistemas operativos afectados.

Incluso, una detallada discriminación por países de nodos comprometidos a través de un módulo GeoIP que forma parte del Kit.

El crimeware, utiliza varios scripts destinados a explotar vulnerabilidades en los navegadores y sistemas operativos.

A través de los cuales descarga los siguientes archivos:

• test.pdf - 14/40 (35.00%) (MD5: 9c1c623fe3a5dfbe2e9e9739386510e1)
• 22.pdf - 12/40 (30.00%) (MD5: 9b7ecfe7f925d06903f7e303a3595c02)
• file2.exe - 28/40 (70.00%) (MD5: 221e923fcab13951da7b3e652f3a8bab)

Todos, códigos maliciosos que actualmente presentan un bajo índice de detección por parte de las compañías antivirus.

Información relacionada
YES Exploit System. Otro crimeware made in Rusia
Barracuda Bot. Botnet activamente explotada
Los precios del crimeware Ruso
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades

# pistus

Ver más