Jorge Mieres Blog. :)

sábado, 8 de agosto de 2009

TRiAD Botnet III. Administración remota de zombis multiplataforma

TRiAD es un aplicativo web diseñado para controlar y administrar botnets a través de plataformas GNU/Linux y MS Windows por intermedio del protocolo http y del cual ya hemos hablado recientemente. Forma parte de un proyecto aún más ambicioso por parte de su autor (quien se hace llamar “cross”), denominado Hybrid Remote Administration System y del cual hablaremos en poco tiempo ;P

En esta oportunidad, se trata de la versión 3 de TRiAD Botnet. Esta aplicación web que todavía esta en “pañales” pero que a pesar de ello se encuentra en constante desarrollo y que a partir de la versión 2 se convirtió en un crimeware multiplataforma. Su nombre completo es en realidad TRiAD HTTP Control System v0.3.

Esta última versión del crimeware posee leves diferencias (mejoras diría el creador) con respecto a su antecesor. A primera vista, resalta en su nueva interfaz, algo que podríamos decir, caracteriza al aplicativo.

Al igual que los anteriores, se encuentra escrito en C++ y compilado con GCC.

Si bien no posee funcionalidades estadísticas como si encontramos en aplicativos crimeware más complejos, cuenta con una serie de opciones que lo hace un peligro latente. Por el momento, sus funcionalidades son:

En sistemas GNU/Linux:

Syn Flood con source IP spoofing: [SynStorm]-[Host]-[Port]-[Nr of Packets]-[Delay]
Small HTTP Server: [HTTP Server]-[Port]-[Time(minutes)]
Bind Shell: [Bind Shell]-[Port]-[Allowed IP Address]

Mientras que la versión para plataformas Windows cuenta con:

UDP Flood: [Reverse Shell]-[Host]-[Port]
Small Proxy Server: [UdpStorm]-[Target IP]-[Target Port]-[Nr of Packets]-[Delay]
Reverse Shell: [Proxy Server]-[Port]-[Time(minutes)]

Independientemente de la plataforma, ambas poseen en común la posibilidad de:

Sleep: Modo “dormido”
Reboot remote machine: Reiniciar el equipo de forma remota
Shutdown remote machine: Apagar el equipo de forma remota
Delete bot from remote machine: Eliminar la bot de forma remota

Mediante una reciente actualización, por ahora, sólo para la versión que corre en GNU/Linux, se establece la posibilidad de generar el archivo de configuración mediante una GUI, de esta forma, el proceso es mucho más sencillo.

El archivo de configuración generado luego se compilará para crear la bot obteniendo así un nuevo crimeware a través de unos simples pasos.

Sin embargo, esto genera una contra que tiene que ver con una cuestión de optimización ya que al momento de actualizar los bots, se tendría que hacer de forma individual, lo cual es molesto para un botmaster avanzado.

El crimeware de este estilo ha generado una tendencia difícil de frenar, que marca un antes y un después en torno al control y administración de botnets que supone un mayor esfuerzo por parte de las comunidades de seguridad en la lucha contra el ciber-crimen organizado de las cuales forman parte en el estado actual de las actividades delictivas cometidas a través de Internet.

Información relacionada
TRiAD Botnet II. Administración remota de zombis...
TRiAD Botnet. Administración remota de zombis en Linux
Eleonore Exploits Pack. Nuevo crimeware In-the-Wild
Especial!! ZeuS Botnet for Dummies
ElFiesta. Reclutamiento zombi a través de múltiples amenazas
Adrenalin botnet: zona de comando. El crimeware ruso marca...
Chamaleon botnet. Administración y monitoreo de descargas
YES Exploit System. Otro crimeware made in Rusia
Barracuda Bot. Botnet activamente explotada
Unique Sploits Pack. Crimeware para automatizar...

Actividades botnets
Fusión. Un concepto adoptado por el crimeware actual
ZeuS Carding World Template. Jugando a cambiar la cara...
Unique Sploits Pack. Manipulando la seguridad del atacante...
Scripting attack II. Conjunción de crimeware para obtener...
Zeus Botnet. Masiva propagación de su troyano. Segunda parte
Danmec Bot, redes Fast-Flux y reclutamiento de Zombies PCs

# Jorge Mieres

viernes, 7 de agosto de 2009

Una recorrida por los últimos scareware XII

Considerando que la mejor forma de prevenir las amenazas es conocerlas, ponemos a disposición este nuevo grupo de dominios, junto a sus respectivas direcciones IP, comprometidos para propagar códigos maliciosos del tipo scareware, también llamado rogue.

Como siempre, el objetivo de mostrar estas direcciones es tener la posibilidad de bloquearlas a través de los mecanismos que habitualmente se empleen.

Cabe recordar que esta lista representa solo una muy pequeña proporción del volumen total de malware de este estilo que día a día bombardea la web.

PC Security 2009
IP: 72.52.210.131, 72.52.210.132, 72.52.210.133
United States Lansing Liquid Web Inc
Dominios asociados
pcsecurity09.com, pc-security09.com, pcsecurity-09.com, pcsecurity09.com, pcsecurity-2009.com

Home Antivirus 2010
MD5: 30d09989020fcb8f12a1aa3f87b4efa9
IP: 72.52.210.131, 72.52.210.132, 72.52.210.133
United States Lansing Liquid Web Inc
Dominios asociados
homeantivirus2010.com, home-anti-virus2010.com, homeantivirus-2010.com, home-antivirus-2010.com, homeanti-virus-2010.com, home-anti-virus-2010.com, homeav2010.com, home-av2010.com, homeav-2010.com, home-av-2010.com

Result: 22/41 (53.66%)

hotlife.us/mediastream/components/SecureLiveVideo.exe (67.212.162.250) - Singlehop Inc
rundaqimao.com/1/installer/Installer.exe?u=1025&...t=2 (74.222.134.20) - Orange Vpls Inc. D/b/a Krypt Technologies
od32qjx6meqos.cn/ue.php (220.196.59.23) - United Network Communications Corporation Limited
nextantivirusplus.com/install/AntivirusPlus.grn (195.95.151.176) - Kiev Eastnet-ua-net
explorersecurityhelper.com/block.php (83.133.123.113) - Lncde-greatnet-newmedia
http://downloadsoftwareserver4.com/xpdeluxe.exe (89.248.168.79) - As29073 Ecatel Ltd

antivirus-quickscanv5.com, antivirusonlinescanv9.com, antivirusscannerv9.com, fastvirusscanv6.com, firstspywarescannerv1.com, folder-antivirus-scanv1.com, mysafecomputerscan.com, onlineantispywarescanv6.com, onlineantivirusscanv4.com, personalfolderscanv2.com, personalonlinescanv3.com, privatevirusscannerv8.com, securefolderscannerv6.com, t370.hc-server.com, totalsecurityscannerv3.com (83.133.126.155) - Lncde-greatnet-newmedia

212.117.174.14/racing.exe, clean-pc-now.net, clean-pc-now.org, fast-spyware-cleaner.com, fast-spyware-cleaner.net, fast-spyware-cleaner.org, free-spyware-checker.org, free-spyware-cleaner.com, free-spyware-cleaner.net, kill-spyware-now.org, scan-pc-now.com, scan-pc-now.org, spyware-killer.biz, spyware-scaner.com, spyware-scaner.net, spyware-scaner.org (212.117.160.18) Result: 4/41 (9.76%) - Root Esolutions
core2623.racingmoney-0110.com/d_program_all.cgi?host=host&id=0 (95.169.190.147) Descarga el binario PC_Protect.exe - Keyweb Online Limited Ip Network

PC Antispyware 2010
MD5: 30d09989020fcb8f12a1aa3f87b4efa9
IP: 174.139.243.46, 174.139.5.51, 216.86.144.130, 174.139.243.42, 174.139.243.43, 174.139.243.45, 209.31.180.232, 209.31.180.233, 209.31.180.235, 209.31.180.234, 209.31.180.237, 209.31.180.240
United States Chicago Nozone Inc
United States Orange Vpls Inc. D/b/a Krypt Technologies
United States Austin Supporting Act Technologies Llc
Dominios asociados
pc-anti-spyware-20-10.com, pcantispyware2010.com, pc-antispyware-2010.com, pcanti-spyware-2010.com, pc-anti-spyware-2010.com, pcantispyware20-10.com, pc-antispyware20-10.com, pcantispyware-20-10.com, pcantispyware-2010.com, pc-antispyware-20-10.com, pc-anti-spyware2010.com, pc-anti-spyware20-10.com, pc-antispy2010.com, p-c-anti-spyware-2010.com

Result: 22/41 (53.66%)

Windows System Suite
IP: 64.213.140.69
United States Global Crossing
Dominios asociados
fastantivirpro.com, malwarecatcher.net, mykeepplace.net, pay2.malwarecatcher.net, pay2.malwaresdestructor.com, prestotuneup.com, safe-pay-vault.com, trustshields.cn, update2.virusshieldpro.com, update2.windowspcsuite.com, update2.windowssystemsuite.com, virussweeper-scan.net
websystemsec.info, windowsprotectionsuite.com, windowssystemsuite.com, www.fastantivirpro.com, www.malwarecatcher.net, www.prestotuneup.com, www.protectsystem.info, www.virussweeper-scan.net

UnVirex
MD5: c20478d4f1b10d40831dd3d4cf9ba7a0
IP: 195.2.253.43
Russian Federation Madet Ltd
Dominios asociados
unvirex.com

Result: 30/41 (73.17%)

Información relacionada
Una recorrida por los últimos scareware X I
Una recorrida por los últimos scareware X
Una recorrida por los últimos scareware IX
Una recorrida por los últimos scareware VI I I
Una recorrida por los últimos scareware VI I
Una recorrida por los últimos scareware VI
Una recorrida por los últimos scareware V
Una recorrida por los últimos scareware IV
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware

# pistus

martes, 4 de agosto de 2009

Eleonore Exploits Pack. Nuevo crimeware In-the-Wild

El negocio que representa el crimeware dentro del mundo clandestino de comercialización de aplicativos web juega un rol importante en el plan de negocio de los desarrolladores rusos que dedican gran parte del tiempo en crear amenazas de este estilo.

Son varios los paquetes similares que hemos expuesto durante la corta existencia de este blog y cada día son más los que surgen con el ánimo de acrecentar la economía de sus autores. En este caso, se encuentra en “libertad” una nueva versión de Eleonore Exp (Abreviación de Eleonore Exploits Pack) que el autor ha presentado bajo la leyenda “Hello! I present new actual russian exploits pack "Eleonore Exp v1.2”.

Esta nueva versión del paquete está concebida, en primera instancia, para explotar las siguientes vulnerabilidades:

MDAC
MS009-02
Telnet - Opera
Font tags - FireFox
PDF collab.getIcon
PDF Util.Printf
PDF collab.collectEmailInfo
DirectX DirectShow
Spreadsheet

El proceso de instalación es muy sencillo y se realiza a través del archivo install.php, la configuración se especifica en el archivo config.php y el malware, por defecto, se llama load.exe (en caso de cambiar el nombre, la modificación debe ser reflejada en el archivo de configuración).

En la siguiente captura se aprecia la pantalla de estadísticas desde la cual se desprenden datos interesantes relacionados al total de sistemas operativos atacados, los navegadores mediante los cuales se explotó una vulnerabilidad junto a sus respectivas versiones, cantidad de zombis discriminados por países y los exploits utilizados.

En cuanto a los precios, este crimeware se comercializa a un costo de USD 700 y este valor corresponde sólo al Kit sin componentes extras como un Crypter (cuyo valor agregado es de USD 50). Por defecto, viene vinculado a un dominio; es decir, se compra y se usa, directamente, sin más trámites.

Sin embargo, en caso que el comprador prefiera desvincular el paquete de cualquiera de los dominios con los cuales se vende, puede hacerlo pero abonando la suma de USD 1500 por el Kit completo. Por otro lado, también se ofrece un combo mediante el cual los tres primeros compradores adquieren Eleonore Exp v1.2 más el crypter por un valor de USD 600.

En cuanto a las versiones anteriores, los costos son:

Eleonore Exp v1.0 = USD 300 (en un principio costaba USD 599): no posee DirectX DirectShow y Spreadsheet
Eleonore Exp v1.1 = USD 500: no posee Spreadsheet

Como es habitual, los botmasters que poseen versiones anteriores pueden actualizar los nuevos exploits y la funcionalidad de cargar un malware a través del panel de administración de manera local (desde su computadora) o de forma remota (desde una zombi).

Evidentemente, los servicios fraudulentos encuadrados dentro del acrónimo CaaS, Crimeware as a Service, aumentan de manera exponencial conforme pasa el tiempo en un mundo clandestino de desarrollo y comercialización sonde intervienen diferentes actores siendo el creador del crimeware y los botmaster (los que generalmente compran o alquilan en primera instancia el aplicativo web), los protagonistas más relevantes.

Información relacionada
TRiAD Botnet II. Administración remota de zombis multiplataforma
TRiAD Botnet. Administración remota de zombis en Linux
Especial!! ZeuS Botnet for Dummies
Botnet. Securización en la nueva versión de ZeuS
Los precios del Crimeware ruso
Comercio Ruso de versiones privadas de crimeware ¡Aproveche la oferta!
ElFiesta. Reclutamiento zombi a través de múltiples amenazas
Mirando de cerca la estructura de Unique Sploits Pack
Adrenalin botnet: zona de comando. El crimeware ruso marca la tendencia
YES Exploit System. Otro crimeware made in Rusia
Creación Online de malware polimórfico basado en PoisonIvy

# Jorge Mieres

lunes, 3 de agosto de 2009

TRiAD Botnet II. Administración remota de zombis multiplataforma

Hace unos días mencionábamos la creación de una aplicación web creada para plataformas GNU/Linux que permite controlar y administrar botnets a través del protocolo http llamada TRiAD Botnet.

A pesar de su corto periodo de vida, la primera versión se lanzó el 18 de febrero de 2009, ya existen evoluciones de este crimeware (exactamente dos más) pensadas para operar tanto en sistemas operativos GNU/Linux como en Windows. Es decir, el aplicativo evolucionó y se transformó en un crimeware multiplataforma.

La captura que se presenta a continuación representa a la segunda versión. Como se aprecia, sigue manteniendo la idea de una aplicación minimalista, sin demasiadas exigencias y con un fondo “vistoso”.

Si bien sigue manteniendo la posibilidad de realizar ataques de Denegación de Servicio Distribuida (DDoS), ReverseShell y BindShell, posee nuevas características como: Delete Bot from remote machine (Eliminar la bot de la máquina remota), Shutdown Remote Machine (Apagar el equipo de forma remota) y Reboot Remote Machine (Reiniciar el equipo remotamente).

La primera de las opciones, quizás esta concebida con el ánimo de ofrecer un mecanismo de auto-defensa eliminado el control de la zombi en caso de incidente. En cuanto a las otras dos opciones, parecerían haber sido creadas más bien con la intención de “diversión” contra el equipo víctima.

Aunque no representa una amenaza compleja, como si lo son otros crimeware como ZeuS, ElFiesta, Unique Sploits Pack o YES Sploit System, y por sus funcionalidades simples se asemeja más a un backdoor en PHP, no deja de ser una aplicación web que puede convertirse en muy peligrosa debido a un agravante: es gratuita y de código libre, lo que significa que puede ir evolucionando conforme a las intenciones maliciosas de quien o quienes decidan “maquillar” su código fuente.

Información relacionada
TRiAD Botnet. Administración remota de zombis en Linux

# pistus