Campaña de phishing orientada a usuarios de MSN

Desde que comenzaron a popularizarse las páginas web que prometen proveer información sobre los contactos bloqueados en el cliente de mensajería instantánea de Microsoft, las campañas destinadas al robo de información privada de los usuarios, siguen en constante insistencia.

Lo cierto es que quienes confían en este tipo de engaños, son víctimas ni más ni nada menos que de una simple maniobra de Ingeniería Social que en muchos casos, goza de una efectividad relativamente difícil de aceptar, y destinada a realizar ataques de phishing.

Esta situación deja en completa evidencia los niveles de (in)madurez que todavía existe en materia de prevención y la necesidad de crear conciencia sobre el verdadero alcance e implicancias en seguridad de los conceptos de confidencialidad y privacidad.

En este sentido, una nueva campaña de phishing busca captar la atención de los usuarios que hacen uso del popular cliente de mensajería instantánea de Microsoft, MSN. Es decir, casi el 90% de las personas.

Detrás de una cobertura bajo el slogan "Verify who blocked you on their msn contact list", se esconde una campaña que estratégicamente y con paciencia va obteniendo nombres de usuario y sus respectivas contraseñas de todos aquellos interesados en saber quienes de sus contactos los han bloqueado… Sigo sin comprenderlo… :(

Desde el punto de vista técnico, bajo la dirección IP 121.54.174.85 (Hong Kong Hong Kong Sun Network Limited) se alojan una importante cantidad de dominios que redireccionan a la misma página fraudulenta. Estos dominios son:

ahem-they-blocked-me.com
cindrella-blocked-me.com
damnn-they-blocked-me.com
did-they-block-you.com
face-blocked-truth.com
find-reason-of-being-blocked.com
finding-who-blocks.com
friends-block-buddies.com
grab-block-status.com
grab-my-block-status.com
have-they-blocked-you.com
heroes-never-block.com
how-come-they-block-me.com
im-fedup-of-being-blocked.com
im-sad-im-blocked.com
ima-checking-block-status.com
jesus-he-blocked-us.com
kephsa.why-do-they-block.com
lame-friends-block-you.com
leme-check-block-status.com
mean-friends-block.com
mjzfx0.why-do-they-block.com
notice-they-blocked-u.com
oh-i-was-blocked.com
omg-they-blocked-me.com
phew-they-blocked-me.com
phewww-seems-i-am-blocked.com
puff-im-blocked.com
pwdgds.grab-my-block-status.com
sad-i-was-blocked.com
see-they-blocked-me.com
tchv9l.find-reason-of-being-blocked.com
they-were-haha.com
ufff-i-was-blocked.com
urr-he-blocked-us.com
weird-i-was-blocked.com
who-let-me-block.com
why-do-they-block.com
why-my-friends-block.com
wooh-im-blocked.com

Es sumamente importante tomar las medidas de precaución y prevención necesarias para no ser víctimas de este tipo de técnicas, extremadamente sencillas de llevar a cabo y extremadamente efectiva para quienes no están al tanto de ellas.

En este caso, no se trata de implementar una solución de seguridad a toda marcha sino de sentido común. De acceder la información sólo en la página web legítima y verificar la existencia de las medidas de seguridad que garantizan el cifrado de la información.

Sobre todo, para no preguntarnos luego cómo hacen para obtener gran cantidad de información sobre credenciales de autenticación de diferentes servicios de web y publicarlos en Internet sin restricción alguna :-)

Información relacionada
Nivel de (in)madurez en materia de prevención
Phishing Kit. Creador automático de sitios fraudulentos
Phishing Kit In-the-Wild para clonación de sitios web, versión 2
Phishing Kit In-the-Wild para clonación de sitios web
Estado de la seguridad según Microsoft
Phishing y "cuentos" en navidad
Phishing para American Express y consejos

Jorge Mieres

Ver más

ZoPAck. Nueva alternativa para la explotación de vulnerabilidades

Indudablemente, la problemática generada por las botnets a nivel global constituye una de las tendencias que en ningún paper se debería obviar. En este sentido, el desarrollo de aplicaciones destinadas al control y administración de zombis vía web, cuyas primeras repercusiones vieron la luz a fines del 2006 alcanzando en la actualidad la popularidad en la comunidad underground y delictiva, no cesa.

Bajo una particular interfaz de autenticación, aparece ZoPAck, un crimeware cuya primera incursión fue en el 2007, desarrollado en PHP y destinado a explotar vulnerabilidades a través de una importante gama de exploits.

La actualización a esta nueva versión, la 1.02, se produjo durante este mismo año 2009. Y si bien no se ha masificado su eso y no cuenta con la popularidad de otros, es un paquete que no tiene nada que envidiar a sus competidores y cumple de igual manera con el objetivo para el cual fue diseñado: reclutar zombis aprovechando debilidades en los sistemas operativos y aplicaciones.

Por intermedio de un archivo .pdf, provoca un desbordamiento de búfer (buffer overflows) en las aplicaciones Adobe Acrobat y Reader (CVE-2007-5659 y CVE-2008-0655), reclutando la zombi a través de la descarga de su ejecutable (file.exe) llamado desde el archivo exe.php. A continuación vemos parte de su código.

include "db.php";
include "mysql.php";
$db = new db;
$ip = getenv("REMOTE_ADDR");
$db->query("UPDATE statistics SET is_dw=1 WHERE ip='".$ip."'");
$filename = "./file.exe";
$size = filesize($filename);
$fp = fopen($filename, "r");
$source = fread($fp, $size);
fclose($fp);

La estructura de ZoPAck es muy sencilla al igual que su configuración permitiendo simplemente configurar a través de la interfaz los datos de autenticación y el dominio donde se alojará el crimeware para su acceso.

El módulo encargado de llevar los datos estadísticos, lo que a mí me gusta llamar el módulo de Inteligencia, le permite al botmaster recavar información relacionada a las características de cada computadora que forma parte de su red.

Esta característica podría tener dos lecturas. Por un lado, que el crimeware se encuentra diseñado con una notoria orientación a script kiddies o prospecto a delincuentes; por el otro, quizás el objetivo del autor (¿ZOPA?) es proporcionar una aplicación lo más optimizada posible para hacer de la labor de los ciber-delincuentes lo menos rigurosa posible.

En fin, un nuevo crimeware que se une a la colección de alternativas disponible en el mercado clandestino.

Información relacionada
ZeuS Botnet y su poder de reclutamiento zombi
DDBot. Más gestión de botnets vía web
Phoenix Exploit’s Kit. Otra alternativa para el control de botnets
iNF`[LOADER]. Control de botnets, (...) y propagación de malware
Fragus. Nueva botnet framework In-the-Wild
Liberty Exploit System. Otra alternativa (...) para el control de botnets
Eleonore Exploits Pack. Nuevo crimeware In-the-Wild
Los precios del crimeware ruso. Parte 2

Jorge Mieres

Ver más

Compendio mensual de información. Octubre 2009

Pistus Malware Intelligence Blog
27.10.09 Una recorrida por los últimos scareware XVII
24.10.09 ZeuS Botnet y su poder de reclutamiento zombi
19.10.09 Pornografía. Excusa perfecta para la propagación de malware II
19.10.09 Malware Intelligence Linkedin Group
18.10.09 Panorama actual del negocio originado por crimeware
17.10.09 ZeuS, spam y certificados SSL
14.10.09 DDBot. Más gestión de botnets vía web
13.10.09 Una recorrida por los últimos scareware XVI
08.10.09 Nivel de (in)madurez en materia de prevención
04.10.09 Automatización en la creación de exploits
01.10.09 Rompiendo el esquema convencional de infección

Evil Fingers Blog
27.10.09 ZeuS and power Botnet zombie recruitment
18.10.09 Current business outlook caused by crimeware
17.10.09 A recent tour of scareware XVI
10.10.09 Level of (im)maturity in prevention
09.10.09 Automation in creating exploits
05.10.09 Breaking the conventional scheme of infection

ESET Latinoamérica Blog
31.10.09 Reporte de amenazas de octubre
28.10.09 Propagación de ZeuS a través de falsa actualización de Microsoft
26.10.09 Gira Seguridad Antivirus. Ahora, en Venezuela
21.10.09 Constructores de exploits. Más actividades for dummies
15.10.09 Nueva edición de nuestro Curso de Seguridad Antivirus
13.10.09 Nueva variante de Adware pide recompensa

Información relacionada
Compendio mensual de información 2009

Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero

Jorge Mieres

Ver más

Una recorrida por los últimos scareware XVII

Tre AntiVirus
MD5: 3cc8970057e018c7e7e04db7875b7d24
IP: 213.163.71.207
Netherlands Rotterdam Interactive 3d
Dominios asociados
Treav.com

Result: 4/41 (9.76%)

core2750.openbiglibrarynow.com/stget2.cgi?host=host&id=2750 (94.125.90.163) - Inttranspnet-rest
yourguardonline.com/online/ (194.54.81.98), protectpconline.com/online/ (194.54.81.99) - Realon Service Llc
trustfighter.com/trustfighter.php (212.175.87.195), irutokking.com/download/ (212.175.87.196) - Ankara Netfactor Telekom Ve Teknoloji Hiz.as
quatrosimo.com/download, wolmanman.com/download/ (83.233.30.64) - Serverconnect I Norrland
yourmalwarescan04.com/download/ (204.12.226.171) - Wholesale Internet Inc
utka3medrdosubor.com/U1v0O5/8b0/w4j7AU9AHY (76.76.101.75) - Interweb Media

PC Scout
MD5: c5065272658d577293b167866a54136d
IP: 76.191.100.17
United States Seattle Sentris Network Llc
Dominios asociados
aportals.net, canfind.org, clicktotal.org, news-portals.net, pcscoutinc.com, pcscoutlab.com, pcsecuritycorp.com, protectionlabs.com

Result: 3/41 (7.32%)

Personal Guard 2009 = Smart Protector
MD5: 79c9b0c7e1626910e8f8cc54430784c7
IP: 91.213.126.61
Costa Rica Centerinfocom Ltd
Dominios asociados
personalguardt.com
smartprotectpro.com

Result: 25/40 (62.5%)

General Antivirus = Wind Oprimizer = Internet Antivirus Pro = Virus Alarm Pro
MD5: fd57ca6d8485a2edc20ca778b37aee76
IP: 91.212.107.103
Cyprus Nicosia Riccom Ltd
Dominios asociados
gobackscan.com, goneatscan.com, goscanadd.com, goscanback.com, goxtrascan.com, ia-pro.com, iantivirus-pro.com, iantiviruspro.com, wopayment.com, woptimizer.com

Result: 27/41 (65.86%)

Windows Mechanic
IP: 64.213.140.69
United States Global Crossing
Dominios asociados
fastsystem-guard.com, myprotected-system.net, pay2.malwaresdestructor.com, update2.virusshieldpro.com, update2.windowssystemsuite.com, windowsguardsuite.com, windowsmechanic.net, windowssystemsuite.com, winsecuritysuite-pro.com, www.virussweeper-scan.net, www.windowssystemsuite.com


devicestools.com/20100.php (68.178.232.99) - Godaddy.com Inc
windowsgenuineupdates.com (66.96.251.248) - Network Operations Center
extreme-anal.cn (195.88.190.240) - Bigness Group Ltd. Network
avpayform.com, avpaymentplus.com
avpluspayform.com, avpluspayment.com (91.207.117.176) - Republic Of Rays S.r.o
expresshomeinspect.com (62.90.136.237) - Haifa Loads
inspectanyhome.com (94.102.63.245) - The King Host
libertyexperiment.com (194.60.205.20) - Baltic Center Of Innovations Techprominvest Ltd
ezscanweb.com (91.213.126.200) - Centerinfocom Ltd
kill-virusa.com (91.212.107.7), gen-pay.com (91.212.107.102) - Nicosia Riccom Ltd

Antimalware Pro
MD5: 0de6a7d12eea219670dcc7319e3f065b
IP: 209.216.193.106
United States San Diego Deploylinux Consulting Inc
Dominios asociados
antimalware-software.org

Result: 7/41 (17.07%)

Security Tool
MD5: a1440f84388f1efb55ce48a095aeb468
IP: 78.129.166.98
Cayman Islands Cayman British Islands Offshore Network
Dominios asociados
altapcsecurity.com, antispyavailable.com, antispyinteractive.com, antispyinternet.com, antispywareavailable.com, antispywareutility.com, antivirusfreeonline.com, antivirusinteractive.com, bestsupportcenter.com, cybernetsafety.com, defenseinteractive.com, etotalsecurity.com, identitysecuritysuite.com, onlinecentersupport.net, onlinewebsupport.net, powersystemstability.com, securesoftwarebill.com, serversafety.com, spyremoveronline.com, stabilitysuite.com, supportnetcenter.com, supportonlinecenter.com, system-tuner.net, systemsecuritysupport.com, totalantivirusvivo.com, totalsurfguard.com, yourantimalware.com

Result: 0/41 (0%)

Información relacionada
Una recorrida por los últimos scareware XVI
Una recorrida por los últimos scareware XV
Una recorrida por los últimos scareware XIV
Una recorrida por los últimos scareware XIII
Una recorrida por los últimos scareware XII
Una recorrida por los últimos scareware XI
Una recorrida por los últimos scareware X
Una recorrida por los últimos scareware IX
Una recorrida por los últimos scareware VIII
Una recorrida por los últimos scareware VII
Una recorrida por los últimos scareware VI
Una recorrida por los últimos scareware V
Una recorrida por los últimos scareware IV
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware I

Jorge Mieres

Ver más

ZeuS Botnet y su poder de reclutamiento zombi

Como lo he comentado en varias oportunidades, ZeuS es una de las botnets más "mediáticas" (por ende una de las más conocidas y populares), más agresivas y la que posee mayor actividad delictiva con funciones avanzadas que permiten realizar ataques de phishing, monitorear las zombis en tiempo real y recolectar toda esa información a través de diferentes protocolos.

Estas actividades agresivas que fundamentalmente proponen metodologías para obtener información confidencial de las computadoras comprometidas por alguna de las variantes que forman parte de la familia ZeuS, cuentan actualmente con un amplio repertorio de páginas falsas de entidades bancarias y financieras destinadas exclusivamente a la recolección de información mediante phishing.

Asimismo, la posibilidad de contar con un módulo de monitoreo por el cual el botmaster puede estar visualizando en tiempo real absolutamente todo lo que se realiza en la PC zombi (navegación por servicios de webmail, transacciones bancarias, conversaciones por chat, etc.), supone un grave peligro que atenta directamente contra la confidencialidad.

Y aunque para muchos parezca una cuestión trivial, el solo hecho de saber que su desarrollador actualiza cada versión de ZeuS, desde el año 2007, aproximadamente una vez por mes, es un punto relevante que marca el por qué de su popularidad en el ambiente under.

Pero sin embargo, a pesar de todo esto, aún hoy parece que no se valoran en su justa medida las implicancias de seguridad que tienen implícitas las actividades, no sólo de ZeuS sino de cualquiera de las alternativas crimeware que día a día bombardean Internet con sus acciones delictivas.

Quizás, lo que a continuación les voy a mostrar sea un aspecto fundamental para comprender el verdadero alcance delictivo que tienen este tipo de actividades. Se trata de una botnet ZeuS con un corto periodo de vida, pero con un importante volumen de zombis reclutados que se aglomeran en su cuartel bajo la tutela del "negociante" esperando sus órdenes.

La siguiente captura muestra los zombis reclutados sólo en Rusia, en este caso, por el botmaster que inició sesión bajo el nombre "russian". Esta información se obtiene a través de la opción de filtrado, limitando la búsqueda con el acrónimo del país (RU).

Ahora… una de las preguntas que quizás muchas veces nos hacemos al hablar de botnets es ¿cuál es la capacidad de reclutamiento que poseen? y aunque la respuesta es relativa podríamos decir que no tiene límites, o que el límite estará dado en función de la capacidad de los servidores utilizados por los botmasters.

Pero, siguiendo el ejemplo anterior, podemos tener una idea lo suficientemente concreta sobre el poder de reclutamiento que posee, en este caso, el botmaster "russian".

Con una actividad de tres (3) meses, cuenta con una cantidad de 24.830 zombis. Algo así como casi 276 infecciones de ZeuS por día. Y si seguimos la lógica, estadísticamente hablado, la cantidad se podría cuadruplicar a lo largo del año.

Por otro lado, la posibilidad de administrar una botnet vía web, supone también que pueden ser administradas varias al mismo tiempo; es decir, que varios botmasters pueden utilizar la misma aplicación web (en este caso ZeuS) para controlar "sus" zombis. De esta manera, el usuario "russian" posee una actividad relevante. Pero también podemos obtener información de sus pares que se encuentran administrando zombis bajo el mismo dominio.

Por ejemplo, el usuario "system" posee 10.184 zombis pero reclutadas durante un periodo de 30 días. Aproximadamente 335 zombis por día. Todo, a través de una sola botnet ZeuS ¿se imaginan cuantas ZeuS como estas se encuentran In-the-Wild?

Mientras que el botmaster con menos actividad cuenta con tan sólo 34 zombis, pero en menos de 1 hora.

En resumen, independientemente del tiempo de actividad de una u otra botnet, la tasa de reclutamiento es muy alta.

Esto significa también que los mecanismos de prevención no son lo suficientemente efectivos, y de hecho un reciente estudio deja en evidencia que los mecanismos evasivos que incorpora ZeuS son lo suficientemente efectivos frente a los mecanismos de detección de muchas de las soluciones antivirus actuales.

No obstante, bajo un aspecto más riguroso, que el malware actual incorpore mecanismos auto-defensivos cada vez más eficaces no significa que los antivirus no son efectivos. Además, no todo pasa por la solución de seguridad y gran parte de la responsabilidad recae en el usuario ya que, en definitiva y siguiendo con el aspecto riguroso, un sistema no se infecta por sí solo.


Información relacionada

ZeuS, spam y certificados SSL
Eficacia de los antivirus frente a ZeuS
Especial!! ZeuS Botnet for Dummies
Botnet. Securización en la nueva versión de ZeuS
Fusión. Un concepto adoptado por el crimeware actual
ZeuS Carding World Template. (...) la cara de la botnet
Entidades financieras en la mira de la botnet Zeus II
Entidades financieras en la mira de la botnet Zeus I
LuckySploit, la mano derecha de Zeus
ZeuS Botnet. Masiva propagación de su troyano II
ZeuS Botnet. Masiva propagación de su troyano I

Jorge Mieres

Ver más