Compendio mensual de información. Marzo 2009

Pistus Malware Intelligence Blog
30.03.09 Ingeniería Social visual para la propagación de malware
29.03.09 Una recorrida por los últimos scareware V
27.03.09 Entidades financieras en la mira de la botnet Zeus. Segunda parte
26.03.09 Barracuda Bot. Botnet activamente explotada
25.03.09 Entidades financieras en la mira de la botnet Zeus. Primera parte
23.03.09 Automatización de procesos antianálisis a través de crimeware
13.03.09 Campaña de infección scareware a través de falso explorador de Windows
11.03.09 Los precios del crimware ruso
09.03.09 Estrategia de infección agresiva de XP Police Antivirus. Segunda parte
07.03.09 Explotación de vulnerabilidades a través de archivos PDF
06.03.09 Unique Sploits Pack. Crimware para automatizar la explotación de vulnerabilidades
05.03.09 Estrategia de infección agresiva de XP Police Antivirus
03.03.09 Phishing Kit. Creador automático de sitios fraudulentos
01.03.09 Campaña de propagación de XP Police Antivirus a través de Ingeniería Social Visual

EvilFingers Blog
30.03.09 Financial institutions targeted by the botnet Zeus. Part two
27.03.09 Financial institutions targeted by the botnet Zeus. Part one
26.03.09 Automating processes anti-analysis through of crimeware
22.03.09 Campaign scareware infection through false Windows Explorer
13.03.09 Russian prices of crimeware
11.03.09 Aggressive strategy of XP Police Antivirus infection. Second part
08.03.09 Exploitation of vulnerabilities through PDFs
06.03.09 Aggressive strategy of XP Police Antivirus infection
04.03.09 Phishing Kit. Creator automatic of fraudulent sites
02.03.09 Whitepaper. Analysis of an attack of web-based malware
01.03.09 Campaign spreading XP Antivirus Police through Visual Social Engineering

ESET Latinoamérica Blog
27.03.09 Descarga de malware a través de páginas de cracks
25.03.09 Presencia de ESET en Centroamérica
12.03.09 Falsos correos de Movistar y Claro propagan malware
04.03.09 Supuestos sitios de música descargan malware
02.03.09 ESET inicia Gira 2009 de Seguridad Antivirus en Internet

Información relacionada
Compendio mensual de información. Febrero 2009
Compendio mensual de información. Enero 2009

# pistus

Ver más

Ingeniería Social visual para la propagación de malware

Los métodos de engaño forman una pieza fundamental dentro de las estrategias de diseminación de códigos maliciosos; sobre todo, del tipo troyanos ya que necesitan de la intervención del factor humano para cumplir con efectividad sus objetivos.

Si bien el empleo de Ingeniería Social visual no representa un método para nada innovador, sigue siendo altamente explotado por delincuentes informáticos con el ánimo de lograr que usuarios desprevenidos activen (con doble clic) el malware.

Teniendo en cuenta estas características, la pregunta que inmediatamente suena en la cabeza es, si no se trata de un método novedoso ¿por qué existe un alto porcentaje de infección a través de este tipo de engaños?

Quizás, una de las claves que permitan responder la pregunta sea la gran demanda de material pornográfico a través de Internet. "Cómo así" diría un amigo centroamericano :-)

Una de las características principales de la Ingeniería Social visual, radica en la explotación de sitios web que prometen contenidos multimedia, siendo la pornografía uno de los tópicos más buscado en Internet y, en consecuencia, uno de los más habituales de explotar a través de esta técnica.

Un ejemplo concreto lo representan las falsas páginas de PornTube, donde se promete visualizar un supuesto video, utilizando como carnada una imagen del supuesto video, junto a la necesidad de instalación de un códec que, claro esta, se trata de un malware y no de un códec.

A continuación expongo algunas de las URL's empleadas para difundir esta estrategia, pero hay que tener en cuenta que la cantidad de dominios empleados por los delincuentes que se encuentran detrás, es muchísimo más larga.

watch-videos .cn
7wmv .in
alll-online.com/pl/pl .php
stumbulepon .com
video.stumbulepon .com
watch-video .info
yuotnbe .com
yuotuhe .com
world-tube .biz
hothotvideo .com
video-go .net
get-new.mee.fgu.name/sudofe .html
sandpaper-type.mee.fgu.name/qurer .html
free-avg.mee.fgu.name/qusthalyene .html

Una cuestión de oferta y demanda, quienes suelen visitar sitios pornográficos, quieren consumir pornografía. No importa que el material se presente en formato imagen o video, ni que en medio del supuesto video se solicite la instalación de diez "códec"; quien quiere pornografía hará todo lo posible por obtenerla sin medir los potenciales riesgos de seguridad que ello, muchas veces, implica.

Información relacionada
Estrategia de infección agresiva de XP Police Antivirus
Campaña de propagación de XP Police Antivirus a través de Ingeniería Social Visual
Propagación masiva de malware en falsos códecs
Técnicas de engaño que no pasan de moda

# pistus

Ver más

Una recorrida por los últimos scareware V

Cada vez es mas el caudal de códigos maliciosos tipo scareware, o rogue, que azotan Internet deplegando estrategias de engaño cada vez más elaboradas, y cuyo código es sometido constantemente a la manipulación por parte de sus creadores para entorpedecer la detección por parte de las compañías AV.

Algunos de los scareware que se conocieron durante el último mes son:

Antivirus 2009 Protection
MD5: fc6d3c36579907e3234d11e45aaff32e
IP: 91.211.64.47
Russian Federation Ural Industrial Limited Company
Plataforma: Windows
Dominios Asociados
bestantcomputerprotection .com

VT Report: 30/39 (76.93%)

Spyware Filter
MD5: 43aab2992405b0aefd7f895ceb3051b6
IP: 92.62.101.123
Estonia Tallinn Starline Web Services
Plataforma: Windows
Dominios Asociados
spw-fighter .com, spwfighter .com, spyware-fighter .com, spyware-fight .com, spywarefighter2009 .com, swwfight .com, swwfight .net, scandalmature .com, searchmysites .com, sexdvds .ru, spylee .com

VT Report: 3/39 (7.7%)

Malware Defender 2009
MD5: afdff49097316d0a3e1b5c518c308f84
IP: 67.43.237.75
Ukraine Olexij Khrenov
Plataforma: Windows
Dominios Asociados
malwaredefender2009 .com, systemguard2009 .com, systemguard2009m .com

VT Report: 32/40 (80.00%)

Win PC Defender
(Clonación de XP Police Antivirus)
MD5: b6bc68b2343669779ac8097b8ab1fd21
IP: 213.163.65.10
Netherlands Rotterdam Interactive 3d
Plataforma: Windows
Dominios Asociados
win-pc-defender .com, loyaltube .com, msjoinpayment .com, rakompoporyadkunazaryadku .com, iloveyourbrain .com, loyaltube .com, loyaltube09 .com, loyaltube10 .com, setupdatdownload .com, velzevuladmin .com, xp-police-09 .com, xp-police-2009 .com, xp-police-antivirus .com, xp-police-av .com, xp-police-engine .com

VT Report: 18/39 (46.15%)

Search and Destroy

MD5: 8fb526b68a826cd3c87f0bf39a22c8df
IP: 68.178.212.133
United States Scottsdale Godaddy.com Inc
Plataforma: Windows
Dominios Asociados
search-and-destroy .com

SysCleaner Pro

MD5: 243062dfaaa21513cee37d14351b4644
IP: 64.191.12.38
United States Scranton Network Operations Center Inc
Plataforma: Windows
Dominios Asociados
syscleanerpro .com, system-cleanerpro .com, totalantispyware .com, totalantispyware .net, totalantispyware2009 .com

VT Report: 1/39 (2.57%)

Spy Fighter

IP: 74.52.155.194
Texas - Dallas - Theplanet.com Internet Services Inc
Plataforma: Windows
Dominios Asociados
spy-fighter .com
11ox .com
1getcarinsurance .info


Renus 2008
MD5: da071a820af815e85ddded315d5cd919
IP: 88.214.202.5
United Kingdom Real International Business Corp
Plataforma: Windows
Dominios Asociados
renus2008 .com, byboard .com, intop .name, katorga .com, rudvd.com .ru

VT Report: 23/39 (58.97%)

Antivirus Agent Pro
MD5: ddf7db23b6f4b4db13cfd07da733a7e7
IP: 82.146.49.35
Florida - Crystal River - Ispsystem At Nac
Plataforma: Windows
Dominios Asociados
avagentpro .com

VT Report: 19/39 (48.72%)

En cada uno de los casos presentados, se agrega los respectivos dominios asociados a cada scareware. Esta información es útil para el bloqueo de dominios maliciosos.

Información relacionada

Una recorrida por los últimos scareware IV
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware

# pistus

Ver más

Entidades financieras en la mira de la botnet Zeus. Segunda parte

La estructura de Zeus está constituida por módulos en php desde los cuales controla y ejecuta todas las acciones fraudulentas y dañinas para la cual fue concebido. Así, por ejemplo, es muy común encontrar archivos del tipo s.php, sS.php, x.php o similares que se encargan del control de comandos (C&C) de la bot.

Una vez establecida la infección, Zeus descarga un archivo cifrado del tipo .bin (generalmente cfg.bin) que es precisamente el archivo que especifica la configuración junto a una serie de instrucciones que indican el tipo de información que debe recolectar y dónde enviar.

Cuando este archivo es descifrado, podemos ver la configuración y las entidades financieras de las cuales Zeus realizará un monitoreo constante desde la zombi.

De esta manera, cuando el usuario accede a determinados formularios, Zeus intercepta la interacción en el browser capturando toda la información que su botmaster necesita para materializar el fraude.

La lista de entidades que se encuentran en la mira de Zeus es realmente larga, sin embargo, algunas de ellas son:

myspace.com
gruposantander.es
vr-networld-ebanking.de
finanzportal.fiducia.de
bankofamerica.com
bbva.es
bancaja.es
olb2.nationet.com
online.lloydstsb.co.uk
pastornetempresas.bancopastor.es
bancopopular.es
ebay.com
us.hsbc.com
e-gold.com
online.wellsfargo.com
wellsfargo.com
paypal.com
usbank.com
citizensbankonline.com
onlinebanking.nationalcity.com
suntrust.com
53.com
web.da-us.citibank.com
bancaonline.openbank.es
extranet.banesto.es
empresas.gruposantander.es
bbvanetoffice.com
bancajaproximaempresas.com
citibank.de
probanking.procreditbank.bg
ibank.internationalbanking.barclays.com
online-offshore.lloydstsb.com
dab-bank.com
hsbc.co.uk
bancoherrero.com
intelvia.cajamurcia.es
caixasabadell.net
areasegura.banif.es
privati.internetbanking.bancaintesa.it
iwbank.it
cardsonline-consumer.com
money.yandex.ru
e-gold.com
paypal.com

Estas estrategias maliciosas representan graves amenazas y dejan en evidencia que, aunque el correo electrónico todavía constituye un canal muy explotado para la propagación de malware, hoy es Internet quien funciona como base de ataques masivos a través de diferentes crimeware.

# pistus

Ver más

Barracuda Bot. Botnet activamente explotada

Los procesos delictivos llevados a cabo por delincuentes informáticos a través de la explotación de diferentes aplicaciones crimeware concebidas para estos fines, cobran cada vez mayor notoriedad debido a la cantidad de casos que se conocen en la actualidad, donde códigos maliciosos diseminados a través de redes bot se encargan de formar el camino para los ataques y de continuar reclutando zombis.

Barracuda bot es una nueva alternativa para los delincuentes que, además de caracterizarse por permitir realizar las acciones comunes de cualquier botnet, posee funcionalidades particulares que la transforman en una "herramienta delictiva" que permite "adaptarse a las necesidades del delincuente".

Barracuda bot es una botnet, de origen ruso con interfaz en inglés, completamente modular donde cada módulo se encarga de una tarea específica, ofreciendo la posibilidad de actualizar o añadir módulos dependiendo de las funcionalidades que se desean agregar para controlar las zombis.

De esta manera, el delincuente puede ir comprando los módulos en función de las acciones delictivas que desea cometer, de manera sencilla, a través de un panel de control y administración vía web.

Por otra parte, incorpora funcionalidades de "seguridad" como el cifrado de la información que transmite la bot, y la capacidad de restablecer su "negocio" a través de un sistema de gestión de emergencia que reacciona en caso de alguna caída, permitiendo seguir con la administración de la bot a través de IRC.
Entre las funcionalidades más importantes que incorpora esta botnet se encuentran: la posibilidad de descargar y ejecutar binarios .exe y .dll, no infectar nuevamente máquinas previamente infectadas, cifrado y polimorfismo, entre tantas otras más.

Pero sin lugar a dudas, lo llamativo de esto, y lo que refleja que las actividades delictivas llevadas a cabo por Internet constituyen un verdadero negocio.

El crimeware tiene un valor de U$S 1600 en su versión full; es decir, todos los módulos, pero ofreciendo también una versión menor de U$S 1000 que incorpora todos los módulos excepto el de DDoS (Denegación de Servicio Distribuido).

Los clientes de barracuda bot reciben asesoramiento y soporte gratuito; incluso, también propone un modelo de licenciamiento atípico en estas actividades. La venta se encuentra limitada a cinco (5) personas, las actualizaciones sufren un 60% de descuento y con la compra de dos (2) módulos se accede a un descuento del 10% en la compra del próximo.

Los módulos que se pueden adquirir por el momento son:

• Módulo DDoS. Mediante el cual se puede hacer: HTTP GET/POST flood, UDP flood, ICMP flood, TCP flood, IP Spoofing. Su valor es de U$S 900.
• Módulo Email Grabber. Permite recopilar direcciones de correo electrónico del HD, recopilar direcciones de correo electrónico de la libreta de direcciones de diferentes clientes, y capturar direcciones en tiempo real cada vez que se accede a Internet. Su valor es de U$S 600.
• Módulo Proxy. Permite aumentar el número de conexiones simultáneas para un más "eficaz" envío de spam, entre otras acciones a nivel estadístico. Su valor es de U$S 500.
• Módulo PWDGRAB. Netamente orientado al robo de información sensible como contraseñas de sitios web, cuentas de correo electrónico, cuentas de FTP, etc. El valor del mismo es de U$S 500.
  
• Módulo SSLSOCKS. Este módulo se encuentra en su etapa beta y permite "construir una VPN" en la misma bot. Su costo es de U$S 500.
  

¿Queda claro que para los delincuentes es un negocio que deja importantes ganancias?

Información relacionada
Automatización de procesos antianálisis a través de crimeware
Los precios del crimeware ruso
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades
Creación Online de malware polimórfico basado en PoisonIvy

# pistus

Ver más