Compendio mensual de información. Mayo 2009

Pistus Malware Intelligence Blog
29.05.09 Una recorrida por los últimos scareware VIII
27.05.09 Unique Sploits Pack. Manipulando la seguridad del atacante II
23.05.09 PHP Shell Attack II - Dive Shell
21.05.09 YES Exploit System. Manipulando la seguridad del atacante
18.05.09 Defacing como noticia
18.05.09 Masiva propagación de malware a través de falsos sitios de entretenimiento
16.05.09 Scareware. Estrategia de engaño propuesta por Personal Antivirus
15.05.09 Una recorrida por los últimos scareware VII
13.05.09 PHP Shell Attack I - SimShell
10.05.09 Campaña de Ingeniería Social visual orientada a plataformas MacOS
09.05.09 Estrategia BlackHat SEO propuesta por Waledac
06.05.09 Ingeniería Social visual y el empleo de pornografía como vector de propagación e infección II
04.05.09 ZeuS Carding World Template. Jugando a cambiar la cara de la botnet
03.05.09 Una recorrida por los últimos scareware VI
02.05.09 Ingeniería Social visual y el empleo de pornografía como vector de propagación e infección
01.05.09 Campaña de propagación del scareware MalwareRemovalBot


EvilFingers Blog
28.05.09 Unique Sploits Pack. Manipulating the safety of the attacker II
24.05.09 YES Exploit System. Manipulating the safety of the attacker
20.05.09 Massive spread of malware through fake sites entertainment
14.05.09 BlackHat SEO strategy proposed by Waledac
10.05.09 Adrenalin botnet. The trend marks the Russian crimeware
08.05.09 IS visual and the use of pornography as a vehicle of propagation and infection II
07.05.09 Zeus Carding World Template. Change the playing side of the botnet
05.05.09 IS visual and the use of pornography as a vehicle of propagation and infection
03.05.09 Campaign scareware propagation MalwareRemovalBot


ESET Latinoamérica Blog
31.05.09 Reporte de amenazas de mayo
28.05.09 Malware en plataformas no Windows
26.05.09 Botnets. Una breve mirada al interior de ZeuS (II)
22.05.09 Estrategias BlackHat SEO y la propagación de malware
21.05.09 AdPack. Otra botnet al servicio del malware
19.05.09 Troyanos con sabor a Rogue
18.05.09 Procesos legítimos y nativos del sistema operativo II
14.05.09 Falso YouTube propaga falso Flash Player
07.05.09 Procesos legítimos y nativos del sistema operativo I


Información relacionada
Compendio mensual de información. Abril 2009
Compendio mensual de información. Marzo 2009
Compendio mensual de información. Febrero 2009
Compendio mensual de información. Enero 2009

# pistus

Ver más

Una recorrida por los últimos scareware VIII

Nuevos dominios diseminando códigos maliciosos del tipo scareware han surgido durante los últimos días. Una pequeña muestra de ellos lo constituye el presente post.

Malware Cleaner
MD5: d591d5bb085cd636936424afa28001bd
IP: 95.129.145.30
United Kingdom Ventrex Llp Customers
Dominios asociados
cleancontroller .com
1-malwarecleaner2009 .com
2-malwarecleaner2009 .com

Result: 8/39 (20.51%)

Privacy Components
MD5: e08b9468c5985f2c26d81855992e4d4e
IP: 194.165.4.39
Ukraine Plitochnik Lux Ltd
Dominios asociados
privacy-tools-pack .com
privacy-center .org
privacy-centar .org
privacyupdate447 .com

Result: 24/41 (58.54%)

OS Protection
IP: 94.232.248.66
Ukraine Bastion Trade Group
Dominios asociados
antiawarepro .com
antivguardian .com
antivirprof .com
antivirsystem .com, systguard .com, osguardpro .com


weekendtravet.cn, loshadinet.com, resorttravet.cn, roomsme.cn, use-sena.cn, woolcart.cn, wowregister.cn, youbonusnew.cn, nextfreedollar.com, blogtransaction.cn, lifenaming.cn, roselambda.cn, seamodern.cn, startgetaways.cn, travets.cn, heartdomainer.cn, vilasse.cn, vilihood.cn, autoperformspec.com, travetbeach.cn, rainjukebox.cn, moulitehat.cn, dreamlitediamond.cn, palaceyou.cn, teamwows.cn, financeimprove.cn, symphonygold.cn, stakeshouse.cn, xuyxuyxuy.cn, smilecasino.cn (91.212.41.96) - Gaztransitstroyinfo

initpcsecurityscan.com/download.php, bestwebscantools.com/download.php (209.44.126.241) - Laval Netelligent Hosting Services Inc

zerocleaner.com/download.php (84.16.244.116) - Netdirect-net-exportal

bestcover2u.cn, bestcover4u.cn, bestcoverforyou.cn, bestdefenselive.cn, bestexaminedisease.cn, bestfriskviruslive.cn, bestprotectiononline.cn, bigcoverlive.cn, bigdefense2u.cn, bigprotectionlive.cn (91.212.41.114) - Gaztransitstroyinfo


Información relacionada
Una recorrida por los últimos scareware VII
Una recorrida por los últimos scareware VI
Una recorrida por los últimos scareware V
Una recorrida por los últimos scareware IV
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware

Ver más

Unique Sploits Pack. Manipulando la seguridad del atacante II

Unique Sploits Pack es otra de las alternativas que ofrece el submundo clandestino de la venta de crimeware de origen ruso. Sin embargo, posee una particularidad en relación a otros de su especie: incorpora un módulo llamado Vparivatel mediante el cual propaga rogue a través de Ingeniería Social.

En este caso, se trata de una versión beta de este crimeware que, aparentemente lleva poco tiempo activo ya que en los pocos días que venimos siguiéndolo, luego de "violar" su esquema de autenticación, no ha alcanzado un nivel de infección llamativo, por ende, tampoco ha logrado un número importantes de zombis.

Aún así, esta amenaza se encuentra activa y propagando diferentes amenazas, pero antes de ver cuáles son los códigos maliciosos que disemina, miremos un poco más de cerca algunos datos estadísticos que nos permiten tener una idea lo suficientemente concreta de la actividad que posee la botnet.

De la captura podemos desprender que:

• El sistema operativo más explotados por este crimeware es Windows XP SP1.
• El segundo lugar lo ocupan "otras" plataformas "no windows".
  
• Windows XP SP2 es el tercero en la lista de los OS más explotados.
• Internet Explorer en sus versiones 5.5, 6.0, 7.0 y Firefox 3.0.5 son los navegadores que más a vulnerado el crimeware a través de sus amenazas.
• El ítem "others" en Browser, representa a navegadores como Opera y Amaya.
  

En cuanto a las zombis que ha logrado (hasta el momento) reclutar, se encuentran en diferentes países, los cuales podemos observar a través de la siguiente imagen.

Sin embargo, el módulo Vparivatel parecería no ser tan efectivo hasta el momento ya que no posee actividad "positiva" para el botmaster :D

Entre las amenazas que propaga Unique Sploits Pack se encuentran, según identificación de kaspersky:

• Exploit.JS.Pdfka.ip (8112e241092a63e13084b14439f87ee8)
  
• Trojan.Win32.Pakes.nkq (0d89729a0df4f6ad57103d670af62b20)

El primero de ellos con una tasa de detección mediocre del 27.50% en base a 40 motores antivirus (11/40); y el segundo con un índice un poco más alto 43.59%, es decir, 17 compañías antivirus de 40 detectan la amenaza.

Estos códigos maliciosos son propagados a través de diferentes vulnerabilidades de las cuales algunas son más nuevas que otras, pero a pesar de la antiguedad de la mayor parte de vulnerabilidades que se explotan a través de este crimeware, siguen siendo muy efectivas.

No sólo se explotan vulnerabilidades en los navegadores web más populares (IE, Firefox y Opera), sino que también vulnerabilidades de dos lectores de archivos PDF ampliamente utilizados en la actualidad: Adobe Acrobar Reader y Foxit Reader.

Como se mencionó en un principio, actualmente este paquete crimeware se encuentra propagando malware de manera activa explotando diferentes vulnerabilidades en los equipos víctimas, y a pesar de no tener por el momento un número importante de máquinas controladas, no deja de ser una potencial y constante amenaza para la salud del sistema que obliga a mantener las actualizaciones de seguridad (del OS y de las aplicaciones) al día.

Información relacionada
YES Exploit System. Manipulando la seguridad del atacante
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades

# pistus

Ver más

PHP Shell Attack II - Dive Shell

Los aplicativos escritos en php que permiten ejecutar comandos en equipos vulnerados a través de una shell remota (backdoor) previamente implantada no es un concepto nuevo. De hecho, los defacer las utilizan para desfigurar sitios web (una filosofía un tanto olvidada limitada tan sólo a algunos "nostálgicos" hacktivistas y a prematuros aspirantes a ciberdelincuentes).

Si bien son conceptos diferentes, quizás se podría decir que estos aplicativos escritos en PHP son el hermano "antiguo" de los paquetes crimeware que conocemos hoy y que permiten, no sólo hacer defacing sino que también ejecutar diferentes amenazas a través de diferentes técnicas de ataque e intrusión con herramientas como ZeuS, YES, Unique, Adrenalin, entre tantas otras.

Los grupos de ciberdelincuentes que se dedican a estas actividades suelen desarrollar sus propias armas: las shell en php. Muchos pensarán que para estos casos, hablar de ciberdelincuentes es un poco extremo, pero si consideramos que un defacing es una intrusión no autorizada y bajo ese concepto, por más que se argumente ser una especie de "auditoria" que intenta descubrir las vulnerabilidades para que el webmaster del sitio (o el administrador del servidor) las solucione o que sólo es una faceta destinada a "observar" los sistemas, la intrusión no deja de ser una acción poco ética e ilegal dependiendo el país donde se realice.

En este caso, la aplicación llamada Dive Shell fue creada por un grupo de defacers llamado Emperor Hacking Team que, entre otras cosas, son autores de desfiguraciones como las siguientes:

La interfaz del backdoor escrito en php es la siguiente:

La aplicación, que trabaja desde el servidor, permite la ejecución de comandos sin importar la plataforma en la que se opere, lo que evidentemente constituye un grave peligro en los servidores débiles.

Aunque el defacing parezca ser una actividad olvidada, la realidad es que constantemente se realizar desfiguraciones de sitios web y de manera esporádica suelen aparecer algunos; sin embargo, casos recientes como el ejecutado contra el NIC de Ecuador o el de Google Marruecos, pueden despertar de manera potencial una "moda" causando un efecto retro, sobre todo en los medios de información.

Información relacionada
PHP Shell Attack I - SimShell
Desfiguración de sitios web III

# pistus

Ver más

YES Exploit System. Manipulando la seguridad del atacante

Algunos de ellos desean utilizarte. Algunos de ellos desean ser utilizados por ti. Algunos de ellos desean abusar de ti. Algunos de ellos desean ser abusados. Yo quiero utilizarte y abusar de ti. Yo quiero saber que hay dentro de ti.

Eurythmics - 1983

Cualquier capa de seguridad que implementemos en un entorno de información busca proteger nuestros activos de potenciales acciones hostiles y nocivas, de las cuales los códigos maliciosos representan uno de los peligros más importantes contra los cuales se orientan e intentan proteger esos esquemas de seguridad.

En ese sentido, los aplicativos crimeware desarrollados para propagar diferentes amenazas y formar botnets (p.e. ZeuS, Unique, LeFiesta, YES Exploit, entre tantos otros) donde luego cada nodo infectado (zombi) es administrado vía web a través de un panel de control, están marcando una tendencia maliciosamente difícil de desprender de Internet.

Sin embargo, es muy ameno ver cómo esas medidas de protección que tanto buscamos a través de diferentes esquemas, en muchos casos, tampoco se tienen en cuenta del lado del crimeware :D dejando abierta la puerta del "parque" para que muchos nos podamos "divertir" al aprovechar sus debilidades.

Y esto no resulta tan ilógico si tenemos en cuenta que se trata de programas, de código, que como cualquier otro, siempre se encuentran propensos a diversos fallos de programación, malas configuraciones o incluso configuraciones por defecto.

Es así que la falta de seguridad le jugó en contra a un ejemplar de un conocido y muy activo Kit de administración y control vía web llamado YES Exploit System...

... que luego de sortear su esquema de autenticación se pudo acceder a información detallada de cada nodo que forma parte de la botnet que se administra por intermedio del crimeware.

En consecuencia, quien manipula una importante cantidad de computadoras,terminó siendo siendo manipulado :-)

Sin embargo, resulta una buena oportunidad para ver datos estadisticos que almacena el aplicativo malicioso. Entre ellos:

• Navegadores y sus respectivas versiones en los cuales se explotaron vulnerabilidades
• Diferentes plataformas vulneradas
  
• Equipos controlados
• País de origen de cada nodo infectado
  

Además de otra información relevante para que el atacante sepa que tipo de exploit deberá utilizar en relación a la tecnología que más se utiliza (IE 7 y Windows XP).
Sin embargo, también observamos que existen equipos controlados con plataformas Linux y MacOS. Si bien ambas plataformas no poseen la misma cantidad de víctimas como en el caso de las plataformas Microsoft, lentamente marca una tendencia sobre códigos maliciosos desarrollados para estas plataformas.

Información relacionada
YES Exploit System. Otro crimeware made in Rusia
ZeuS Carding World Template. Jugando a cambiar la cara de la botnet
Adrenalin botnet: zona de comando. El crimeware ruso marca la tendencia
Chamaleon botnet. Administración y monitoreo de descargas
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades
Barracuda Bot. Botnet activamente explotada
Creación Online de malware polimórfico basado en PoisonIvy

# pistus

Ver más