Jorge Mieres Blog. :)

sábado, 12 de septiembre de 2009

Una recorrida por los últimos scareware XIV

El scareware sigue su carrera de infección a través del reclutamiento de infinidad de dominios a disposición de los diseminadores, métodos de propagación cada vez más agresivos y mecanismos de engaño cada vez más profesionalizados y personalizados.

Lo que se presenta a continuación es una muestra más tomada de los últimos scareware, o rogue, que se encuentran circulando In-the-Wild por Internet buscando víctimas desprevenidas, y que representa solamente una pequeñísima porción del volumen diario.

Como siempre, lo recomendable es bloquear las direcciones IP que propagan estas amenazas.

Windows System Suite

IP: 64.213.140.69, 206.53.61.70, 206.53.61.74, 206.53.61.75, 206.53.61.72

United States Global Crossing

Canada Brampton Rcp.net
Dominios asociados
fastantivirpro.com
malwarecatcher.net
mykeepplace.net
mysystemshield.net
pay2.malwarecatcher.net
pay2.malwaresdestructor.com
prestotuneup.com

shieldsystem.net
trustshields.cn
update2.virusshieldpro.com
update2.windowspcsuite.com
update2.windowsprotectionsuite.com
update2.windowssystemsuite.com
update2.winprotection-suite.com
websystemsec.info
windowsprotectionsuite.com
windowssystemsuite.com
download.fastantivirus09.com
fastantivirus09.com
files.fastantivirus09.com
pay2.fastantivirus09.com
pay2.virusshieldpro.com
promo.fastantivirus09.com
softdialog.com
update2.fastantivirpro.com
update2.fastantivirus09.com
update2.malwarecatcher.net
winprotection-suite.com
pay1.virusshieldpro.com
paymentvirusmelt.cn
update1.malwarecatcher.net
update1.windowspcsuite.com
update1.windowssecuritysuite.com
windowssecuritysuite-pro.com
www.gurusecurity.com

Registry Doktor 2009

MD5: 928a479a2896a150263fec2d4b41fa2f
IP: 97.74.143.59, 209.216.193.124

United States Scottsdale Godaddy.com Inc

United States San Diego Deploylinux Consulting Inc

Result: 8/41 (19.51%)

nameguards.cn/1/update.php?id=5 (91.212.198.152) -

Individual Retailer Nevedomskiy A A

Con relación a este dominio, existe una clara fusión entre la propagación de diferentes códigos maliciosos, comúnmente a través de exploits que intentan aprovechar vulnerabilidades utilizando archivos PDF y SWF, donde el engranaje que mueve todo el mecanismo son las botnets. En este caso particular, se trata de una botnet controlada vía web a través de la aplicación rusa escrita en PHP llamada Liberty Exploit System. Su panel C&C se encuentra en http://nameguards.cn/1/admin.php

Green AV

IP: 174.142.96.2

Canada Montreal Iweb Technologies Inc
Dominios asociados
avsolutiondwn.info
green-av-pro.com
mail.green-av-pro.com, mail.greencustomersupport.com, mail.my-green-av-pro.com, my-green-av-pro.com, my-green-av.com, ntrytodownload.info, p4678z.my-green-av.com, progresivescan.info, zp4.green-av.com

lowexe.com/av-scanner.48040.exe (213.239.211.251) -

Hetzner-rz-nbg-net
clean-all-spyware.com (88.198.105.149) -

Dmitry Lysenko
getyoursecuritynowv2.com (88.198.120.177) -

Hetzner
rude-xxx-tube.com/cgi-bin/update.pl?adv=1014&p=9 (92.241.177.207), downloadavr3.com/cgi-bin/download.pl?code=0001014 -

Netplace
radioheadicon.cn, antivirusonlinescan03.com, antivirusonlinescan03.com/download/Scanner-7939d6_2006-71.exe (94.102.48.29) -

As29073 Ecatel Ltd
trafforgood.com/go.php?sid=1 (209.250.241.212) -

Secaucus Rackvibe Llc
counterweb.cn/kl/index.php?out=1251137800 (112.137.162.150) -

Kuala Lumpur Tm Net Sdn Bhd
clean-all-spyware07.com/download/Antivirus_156.exe, best-virus-scanner6.com/download/Antivirus_156.exe (193.169.12.70) -

Financial Company Titan Ltd
winfirewallupdatesv2.com/Driver.exe (89.47.237.52) -

Baia Mare Sc Globe Hosting Srl
prikulamud.com/download/0540f0d2bb566d0ed0d80150e2b728ef/3656b9eddb95cfb9d7f013ed46b015a2/14 (83.233.30.64) -

Serverconnect I Norrland

Ecology Green PC

IP: 84.16.249.95

Germany Berlin Netdirekt E.k
Dominios asociados
internetserviceteam.com
basebilling.com
cnsbill.com
continental-systems.com
ecologygreenpc.com
lifeecocenter.com
secure.basebilling.com

Total Security

MD5: 6135d8ce3381aee310797cf0e1683779
IP: 213.163.91.240

miércoles, 9 de septiembre de 2009

La peligrosidad de una nueva generación de bootkits

Si bien tanto los rootkits como los bootkit forman parte de un mismo concepto y los objetivos finales terminan siendo siempre los mismos, existe una serie de patrones que los diferencian y hacen del bootkit la inevitable evolución del rootkit convencional sumando al estado del arte acciones más complejas.

Por definición, un rootkit esta diseñado para esconder ciertas actividades que un atacante puede realizar en un sistema vulnerado, siendo precisamente esta característica la aprovechada por los desarrolladores de malware para ocultar las actividades del mismo (manipulación de claves del registro, procesos, archivos, etc.) al momento de infectar un sistema. Es decir, el objetivo principal de un rootkit es evitar que las actividades de un atacante sean descubiertas.

Esta situación representa un grave y potencial peligro para la seguridad de cualquier sistema informático ya que, dependiendo del tipo de rootkit, pueden pasar inadvertidos tranquilamente, ya que generalmente poseen la capacidad de correr a bajo nivel (a nivel del kernel).

Por eso las compañías antivirus suelen catalogarlo como peligrosos o extremadamente peligrosos, incluso, quizás sea esta una de las respuestas sobre los esfuerzos de securizar el núcleo de los sistemas operativos.

En relación a esto, a principios de año (2009) fuimos testigos de la aparición de un tipo de rootkit que infecta la MBR (Master Boot Record) de los equipos pero que a diferencia de los rootkits convencionales de este estilo, esta nueva variante es mucho más nocivo y agresivo. Su nombre es Stoned Bootkit (basado en el famoso virus Stoned), fue desarrollado por Peter Kleissner y presentado en BlackHat 2009.

Al activarse desde la MBR, el bootkit se asegura la infección del equipo antes del arranque del sistema operativo, pudiendo ejecutarse desde cualquier dispositivo de almacenamiento (USB, CD, DVD, etc.). Esto significa que no se verán rastros en los sistemas operativos (procesos en memoria por ejemplo) ya que el bootkit no realiza modificaciones directas sobre este.

A pesar de ser considerada una herramienta que permite administrar un sistema (al igual que el rootkit) tal cual su nombre lo indica (conjunto de herramientas del sector de arranque) puede, sin lugar a dudas, ser utilizada con fines maliciosos, y teniendo en cuenta que Stoned Bootkit esta diseñado para funcionar también en Windows 7, independientemente de su arquitectura (32-bits o 64-bits), puede representar el código malicioso más explotado durante el 2010.

Información relacionada
Bootkit multiplataforma al ataque...

# Jorge Mieres

lunes, 7 de septiembre de 2009

iNF`[LOADER]. Control de botnets, marihuana y propagación de malware

Se trata de otras de las tantas alternativas que existen en cuanto a aplicativos web diseñados para funcionar como paneles de administración y control de botnets vía web (C&C).

En este nuevo ejemplo, como no podía ser de otra forma, es de origen Ruso y a juzgar por el favicon y la imagen que aparece en el ángulo superior izquierdo, quizás su creador tiene admiración por la marihuana y, por que no, tal vez es un fan de Bob Marley :-)

A continuación observamos la captura del panel de administración de iNF`[LOADER], pero si queremos ver otra también activa, pueden acceder a… mejor escríbanme un mail y les paso la URL :-)

Si bien este aplicativo web no es nuevo ya que su primera versión es del 2007, su autor fue actualizándolo una vez por año (la actual es la versión 3) y la última es la que vemos en la captura, no tuvo mucha repercusión dentro del ambiente clandestino de crimeware.

En un principio estuvo asociado a la diseminación de un conocido rootkit llamado Goldun, sin embargo hay que tener en cuenta que independientemente del código malicioso que el kit traiga por defecto, estos aplicativos están diseñados para poder explotar cualquier vulnerabilidad y diseminar cualquier tipo de malware.

Entre sus módulos, posee uno diseñado para intentar un Bypass a los programas antivirus y firewall, módulo de auto-destrucción con lo cual se puede eliminar la información de parte o todas las zombis que formen parte de su red, sistema de estadísticas de zombis discriminadas por país, entre otras.

Como vemos, las funcionalidades ofrecidas por esta amenaza no son competitivas con relación a otras que que existen en el mercado y se consiguen a bajo costo, incluso, hasta es posible conseguir un combo, a pesar de que su costo no supera los USD 100 actualmente.

Aún así, esto no significa que no constituya una grave amenaza, independientemente de la interfaz que tenga el panel de control y administración, si esta activa es porque tiene en su comando, una buena cantidad de zombis que hacen de la actividad del botmaster, una “trabajo” redituable.

Información relacionada
Fragus. Nueva botnet framework In-the-Wild
Liberty Exploit System. Otra alternativa crimeware...
Los precios del crimeware ruso. Parte 2
Eleonore Exploits Pack. Nuevo crimeware In-the-Wild
Especial!! ZeuS Botnet for Dummies

Jorge Mieres

viernes, 4 de septiembre de 2009

Bootkit multiplataforma al ataque. ¿La resurrección de los virus de arranque?

Como muchos sabrán, en el mundo de los códigos maliciosos existe una extensa nomenclatura para referirse a cada uno de los programas dañinos que se encuentran dando vueltas por la gran red, adoptado en función de las instrucciones y objetivo para el cual fue diseñado, siendo el inglés el idioma más aceptado. Incluso, algunas traducciones directas quedan feas ;P

En relación a esto, quizás hayan leído sobre un nuevo nombre que viene haciendo bastante ruido a partir de la última BlackHat: Bootkit. Pero… ¿de qué se trata?

Un Bootkit es básicamente un tipo de rootkit diseñado para infectar el sector de arranque de los sistemas operativos Windows, conocido habitualmente como la Master Boot Records (MBR).

Si bien el concepto de rootkit se remonta casi a la misma existencia de las plataformas UNIX y los códigos maliciosos que abusan de esta característica tampoco son novedosos, podríamos decir que el concepto de Bootkit hace referencia a una nueva familia de malware desarrollados para evadir cualquier sistema de detección de amenazas alojando sus instrucciones dañinas en el sector de arranque.

De hecho son varios los nombres que han hecho ruido a lo largo de la historia:

Stoned en 1987 (fue tomado como base para el desarrollo de Michelangelo) que mostraba en pantalla diferentes mensajes.
BootRoot presentado por primera vez en el 2005 durante la BlackHat y diseñado para funcionar en Windows XP.
Kon-Bot que hace un baypass sobre el esquema de autenticación de Windows, saltándo así el proceso de autenticación.
Vbootkit durante el 2007, que funciona sobre Windows Vista y su segunda versión aparecida durante este año, diseñada para explotar en Windows 7 (incluido 64-bits). Ambas versiones presentadas en el BlackHat.
MebRoot, cuya primera variante apareció durante el año 2007, esta diseñado para robar datos de índole bancaria y del cual vemos una captura presentada en el paper “Your Computer is Now Stoned (...Again!). The Rise of MBR Rootkits” desarrollado conjuntamente entre Symantec y F-Secure donde se muestra su evolución.

Stoned Bootkit, también presentado en la BlackHat de este año. Es multiplataforma.

En el caso de las dos versiones de Vbootkit, éstas son consideradas pruebas de concepto (PoC), sin embargo, como toda prueba de concepto, se termina disparando en una nueva modalidad de ataque a través de malware y la segunda versión (prepara para Windows 7) puede ser una seria amenaza para el próximo año.

Ahora… dónde está el punto más relevante de todo esto. Yo creo que Mebroot ha marcado el punto de inflexión sumando al ámbito ilícito una nueva metodología acompañado de un concepto que posee relación directa con los delitos informáticos en cuanto a ataques a través de malware que buscan, no sólo obtener información que puede ser aprovechada incluso para hacer inteligencia o espionaje sino también para alimentar la economía de sus desarrolladores, y que continúa con Vbootkit v2 ya preparada para explotar Windows 7.

Bajo este escenario, la cosa viene pesada, ya que queda en completa evidencia la profesionalización de los cada vez más desarrolladores de malware.

En el caso de Stoned Bootkit, también se encuentra diseñado para saltar los esquemas de seguridad que ofrecen productos como TruCrypt al cifrar el volumen completo de una unidad, provocando un ataque directo contra TrueCrypt. Es decir, posee la capacidad de infectar un equipo incluso cuando está cifrado, ganando acceso a todo el sistema sin importar los recaudos de seguridad en torno a las credenciales con permisos administrativos.

Irónicamente, su autor utiliza una leyenda similar a la que mostraba el viejo Stoned (Your PC is now Stoned!), mostrándola en pantalla cada vez que arranca el sistema:

Your PC is now Stoned! ...again

Además y a diferencia de otros rootkits que infectan el sector de arranque de un sistema operativo específico, el nuevo Stoned posee la capacidad de infectar todas las versiones desde Windows XP hasta el tan esperado Windows 7.

Teniendo en cuenta esto, quizás se transforme en un módulo esencial para los desarrolladores de malware que busquen romper las barreras de seguridad de Windows 7.

A pesar de no existir un volumen importante de códigos maliciosos con estas características (Bootkits) cada vez que aparece uno hace ruido en el ambiente. ¿Hablamos de resurrección? Yo creo que no. Sobre todo después de probar algo que no creía posible en la actualidad: el Stoned de 1897, aún hoy explota en Windows Vista.

# Jorge Mieres