Phishing Kit In-the-Wild para clonación de sitios web, versión 2

Hace unos días les contaba que se encuentra activo un paquete de phishing que contiene archivos de clonaciones de sitios web muy conocidos y masivamente utilizados por los usuarios listos para ser explotados.

Este paquete ha ampliado su "cobertura" de fraude, ofreciendo un segundo paquete con otra importante cantidad de sitios web falsos que buscan ser transparentes al usuario y obtener así su información.

El kit de Phishing mantiene la misma estrategia de diseminación que el pack anterior; es decir, un archivo index.html que es copia fiel de la página real, un login.php y un .txt, pero no así las propuestas de clonaciones para robar los datos:

Adult Friend Finder
Amazon
Bebo
Break
DeviantArt
FlickR
FreeWebs
GeoCities
LiveJournal
Playstation Underground
PornoTube
SendSpace
SourceForge
Studivz
Tagged
Tripod - Lycos
Veoh
WWE
Xanga
XTube - Images R Broken

Por un lado, las estrategias que buscan obtener dinero sin mayores esfuerzos son cada vez más agresivas y más invasivas; y por el otro, la mayoría de estos kits se encuentran disponibles en Internet de manera gratuita o mediante el pago, en este caso, de una cantidad de dinero no tan alta como sucede con pack similares.

Los ataques de phishing son cada vez más peligrosos porque sus creadores buscan eficacia en el desarrollo del mismo para que la copia sea lo más fiel posible a la real. Esto supone un potencial riesgo que, asociado a la combinación con técnicas intrusivas como los kit de malware (ElFiesta, MPack, IcePack, etc.) que se implantan en servidores fantasmas o vulnerados para diseminar el phishing, se torna cada vez más peligroso para quienes desconocen, incluso para quienes conocen también, el funcionamiento de estas técnicas de ataque.

Información relacionada
Phishing Kit In-the-Wild para clonación de sitios web

# pistus

Ver más

Una recorrida por los últimos scareware IV

Como de costumbre, nuevas variantes de los más conocidos scareware (rogue) van surgiendo día a día haciendo uso de los habituales métodos de engaño (alertas falsas, nombres de dominios alusivos, falsos scaneos, etc.).

Algunos de los últimos programas dañinos de este estilo son los siguientes:

XpyBurner *
MD5: eb8f9f40c563250f53b404b61dbfb491
IP: 72.232.186.20
United States Las Vegas Dwd Technologies Llc
Plataforma: Windows
Dominios asociados:
Xpyburner .com
Xpyburnerpro .com
VT Report: 19/38 (50.00%)

System Security *
MD5: 45bcdb17659fc0f6f6277e9e027441cc
IP: 72.232.186.18
United States Las Vegas Dwd Technologies Llc
Plataforma: Windows
Dominios asociados:
System-tuner .com
Systemsecurityse .com

VT Report: 19/39 (48.72%)

HDrive Sweeper *
MD5: c1fc9887457353607062fd8df689fde0
IP: 72.232.186.21
United States Las Vegas Dwd Technologies Llc
Plataforma: Windows
Dominios asociados:
Hdrivesweeper .com
Hdrivesweeperpro .com
VT Report: 21/39 (53.85%)

System Tuner *
MD5: fa36c3b1d61b6e9d7b2f6b0ee645806d
IP: 72.232.186.18
United States Las Vegas Dwd Technologies Llc
Plataforma: Windows
Dominios asociados:
System-tuner .com
Systemsecurityse .com
VT Report: 22/35 (62.86%)

* se encunetran en el mismo rango IP.

AntiSpyware 3000
MD5: 945725b374fad6a35e24e2e8543a5d85
IP: 210.51.37.113
China Shanghai Xindongli-stock-ltd
Plataforma: Windows
Dominios asociados:
antispyware3000 .net
duocw .com
VT Report: 38/39 (97.44%)

Virus Doctor
MD5: 82e6594e1d241f23eb2c524beecc9963
IP: 64.86.17.9
Canada Montreal Teleglobe Inc
Plataforma: Windows
Dominios asociados:
mysupervisor .net
virus-doctor .com
pay-virusdoctor .com
trdatasft .com
virusdoctor-online .com
VT report: 21/39 (53.85%)

Total Virus Protection
MD5: 84e782738fcef71a8701da221fed94c5
IP: 83.133.123.166 / 92.241.176.220
Germany Wuppertal Lnc-dsl-discounter
Russian Federation Wahome Colocation
Plataforma: Windows
Dominios asociados:
t61.1paket .com
totalmalwareprotection .com
xpvirusprotection .com
xpvirusprotection2009 .com
VT Report: 3/39 (7.69%)

MalwareDoc
MD5: af5f63cdaed1e619b65d7bf506e40e3a
IP: 193.138.172.5
Russian Federation Moscow New Communication Technologies
Plataforma: Windows
Dominios asociados:
antispyknight .biz
474.metago .cn, beforethehost .com, bobthejoker .info, atingloves .ru, farmhut .net, femoffice .net, foxtrot1 .biz, friendis .us, gaysagays .com, gogogogogogogogogogogo .cn, google-analutuk .com, iframestat .org, intellpoint .org, avascript .bz, kva-kva .net, lencom .com, live69 .ru, matchwow .us, mycashnew .ru, mynewcards .ru, odnoklassniki-newyear2009 .ru, ownroom .org, oy4b-oykb .ru, piontor .com, pompovara .ru, pop.yandex2 .cn, pornuha .cc, smsgogo .cn, topsale .us
VT Report: 7/38 (18.42%)

Antivirus 1
MD5: 27a882668aeda52450ef78a0d6e42a30

IP: 70.38.19.201
- Ontario - Toronto - Alexandre Lussier
Plataforma: Windows
Dominios asociados:
anti-virus-2010.info, antivirus-2010.info, av1-download.info, av1-site.info, downloads.anti-virus-2010.info, tagsdirect.winfamilyholiday.com, Anti-virus1-installs.info
VT Report: 5/39 (12.82%)

Información relacionada
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware

# pistus

Ver más

Entrevista con Kevin, un defacer Argentino. Segunda parte

Segunda y última parte de la charla que mantuve con Kevin, un defacer Argentino.

Jorge dice: hace un rato me contaste sobre pamela pero no sobre los otros nickname ¿qué hay de fenix y shavax?
Kevinex dice: ellos eran de mi Team, pero ahora son otros, le diria 20 miembros en Córdoba Capital, y en mi barrio, Alto Alberdi.
Jorge dice: ¿eran?
Kevinex dice: si, porque usaban para cosas malas que nos perjudicaba.
Jorge dice: ¿en qué sentido?
Kevinex dice: borraban los archivos de las webs,
Jorge dice: dijiste "mi team", te refieres a RedHackTeam?
Kevinex dice: Si, bueno así se llamaba, ahora somos Team Xeon. Me gusta ese nombre.
Jorge dice: ¿y la filosofía del grupo cuál es?
Kevinex dice: Ayudar, sin recibir. Muchos del grupo son nuevos, los que más sabemos sobre esto somos Pucky, Jhon, Mauro y yo.
Jorge dice: alguno extranjero o son todos argentinos
Kevinex dice: argentinos todos y todos de córdoba. Es mejor que todos seamos del mismo lugar
Jorge dice: Okey. Deporte, música, supongo que te gustan
Kevinex dice: Me encanta el fútbol, y sobre todo la Cumbia Villera!
Jorge dice: jejejejeje. Que raro, pensé que quizás eras mas del metal. Black Sabbath y cosas así, o quizás evanescence.
Kevinex dice: no, ese tipo de música no me gusta, pero no soy viller!
Jorge dice: en el defacing del que comentabas que realizaste durante el 2005 dice "Cuakos Corporation" ¿qué significa?
Kevinex dice: es mi foro www.cuakos.com
Jorge dice: desde el punto de vista técnico, ¿Cuáles son los métodos habitualmente utilizados para el defacing?
Kevinex dice: scannear el servidor. Usar un soft de scannear el servidor de la web y que te da las posibles vulnerabilidades, y ya uno lo compila en .perl, .php. Me gusta usar el Shadow security scanner
Jorge dice: ¿cuáles son las vulnerabilidades más comunes que has encontrado?
Kevinex dice: en mysql, que se puede inyectar, en ssh, rfi, o también la ing. social.
Jorge dice: te consideras un hacker, un cracker, un lamer o un defacer
Kevinex dice: No me considero nada, tan solo soy un aprendiz que le gusta la informática y aprender cosas nuevas.
Jorge dice: ¿te gusta algún defacer? ¿Quién?
Kevinex dice: Ice bread, de Perú
Jorge dice: recuerdas algún defacing de Ice bread
Kevinex dice: si, fue a la página del gobierno de Chile, que luego los Chilenos también le hicieron a Perú.
Jorge dice: alguno de los admin de los sites que has desfigurado te contactó alguna vez?
Kevinex dice: si, el de la Radio de portugal. Me puteo primero, ni recuerdo lo que me dijo, total no le entendí mucho xD, pero luego le expliqué que era, solo para que no lo defacee otro que pueda hacer más daño.
Jorge dice: si te dijera que creo que este tipo de actitudes tiene que ver un poco con rebeldía adolescente más que cuestiones personales o políticas. ¿qué dirías?
Kevinex dice: te diría si tienes web para vengarme jajajaja, es broma. Por una parte es verdad, la mayoria hace eso para hacerse los mejores, poniendo frases como "Soy el mejor hacker muajaja".
Jorge dice: después de todo, qué significa Kevinex?
Kevinex dice: Kevin y el EX por un grupo que me encanta su canción, el grupo se llama Extreme
Jorge dice: qué es más común, encontrar vulnerabilidades en el código o vulnerabilidades como consecuencia de configuraciones por defecto?
Kevinex dice: por código del servidor mysql, o por el sistema que usen
Jorge dice: ¿volveremos a ver algún otro sitio con la leyenda: “Defaced by Kevinex”?
Kevinex dice: en un futuro tal vez, ya que por un tiempo lo deje.
Jorge dice: para ir terminado... a pesar que no te gusta ser muy conocido y teniendo en cuenta que, por lo menos, alguien leerá estas líneas, ¿quieres dejar algún mensaje? a la gente, a los admin...
Kevinex dice: Que si alguna vez sufren defaces (de mi parte no) sigan adelante, que diariamente hagan backups de sus webs, y animo por seguir adelante en sus proyectos.
Jorge dice: fue un placer charlar contigo. Te mando un cordial saludo y muchas gracias por tu tiempo.
Kevinex dice: Igualmente para usted. Saludos.

Información relacionada
Entrevista con Kevin, un defacer Argentino. Primera parte
Desfiguración de sitios web III

# pistus

Ver más

Zeus Botnet. Masiva propagación de su troyano. Segunda parte

En una primera parte pudimos contar muy por arriba de qué se trata Zeus, junto a una pequeña lista de dominios y direcciones IP comprometidas con el troyano y muy útiles para bloquearlas.

El siguiente mapa muestra información relacionada a cada host infectado por Zeus que es identificado por intermedio de un punto. Aunque a simple vista, la información que nos muestra el mapa puede dar la sensación de insuficiente, hay que tener en cuenta que cada uno de los nodos puede representar varias direcciones IP o dominios alojados en un mismo servidor, con lo cual el porcentaje de equipos infectados se potencia.

Aunque la lista es muy pequeña comparada con la cantidad de dominios que alojan a Zeus, es sumamente importante que los administradores bloqueen los mismos en su estructura de red para evitar problemas de infección.

85.17.139.189 investmentguard.co.uk/foto/body_bg_akh10 .jpg
85.17.143.132 mainssrv.com/pic/timeats .jpg
91.197.130.39 goldarea.biz/bot .exe
92.48.119.151 allmusicsshop.com/bnngJPdf7772Nd .exe
92.62.100.14 chinkchoi.net/3n539@32d .exe
92.62.101.54 drupa1.com/s/fuck .exe
92.62.101.54 ltnc.info/utility/lease/software/update/config .bin
92.62.101.54 tdxs.info/utility/backup/config .bin
94.103.80.150 zone-game.org/ldr .exe
94.75.214.18 vokcrash.com/144/load .php
196.2.198.243/wweb11/zdr .exe
196.2.198.243/xwweb/zdb .exe
58.65.236.41/z .exe
67.225.177.120/moon/cfg1.bin
78.26.179.201/matt/loader .exe
91.211.65.122/~nostr551te/endive/dogi .exe
92.241.164.198/~cadazeu/testbot/ldr .exe
92.62.101.60/g1/data
92.62.101.60/g2/data
92.62.101.60/g2/run .exe
94.247.3.211/ddk/audio
94.247.3.211/rot/load .exe
94.247.3.211/rot/zlom
freecastingus.cn/z12/config .bin
freecastingus.cn/z12/loader .exe
http://ltnc.info/utility/lease/software/update/config .bin
http://tdxs.info/utility/backup/config .bin

Por otro lado, cada una de los dominios, junto a su dirección IP, representan un host infectado o servidor vulnerado.

Teniendo en cuenta que los medios de propagación e infección empleados por Zeus son, el correo electrónico y técnicas de Drive-by-Download a través de diferentes exploit donde uno de los más conocidos es Luckysploit, o sitios vulnerados a los cuales se implantan malware kits como ElFiesta; resulta sumamente importante bloquear los dominios y direcciones IP que he expuesto.

Información relacionada
Zeus Botnet. Masiva propagación de su troyano. Parte 1
Lista de dominios comprometidos por Zeus
Lista de IPs comprometidas por Zeus

# pistus

Ver más

Paper. Análisis de un ataque de malware basado en web

Internet se ha transformado en una aliada plataforma de ataque para los creadores de malware, quienes a través del empleo de diferentes técnicas tales como Drive-by-Download, Drive-by-Update, scripting, exploit, entre otros, y la combinación de ellos, buscan reclutar todo un ejercito de computadoras que respondan sólo a sus instrucciones maliciosas.

Estos ataques, empleando Internet como base para ejecutar cargas dañina de manera directa sobre el sistema víctima, de forma paralela, casi instantánea y transparente a la vista de los usuarios menos experimentado, se ha convertido en un latente y peligroso riesgo de infección por el simple acto de acceder a un sitio web.

En el siguiente documento se expone un ejemplo concreto que recurre a las acciones antes mencionadas para explotar e infectar un sistema víctima, describiendo también varias características extras que potencian el daño del malware.

El documento puede ser descargado desde la sección papers.

Información relacionada
descarga de "Análisis de un ataque de malware basado en web" vía EvilFingers.

# pistus

Ver más