Chamaleon botnet. Administración y monitoreo de descargas

La oferta de crimeware por parte de la superpotencia energética es muy amplia. La mayoría de los Kits de automatización de infecciones y administración vía web, son diseñados en Rusia y la propagación de malware a través de ellas, se exportan a nivel global.

Chamaleon es otro crimeware que, aunque con menos funcionalidades que otros Kits, sigue la tendencia de poder monitorear una serie de datos estadísticos por intermedio de un panel de control y administración.

A través de un sencillo menú, este crimeware permite administrar diferentes cuestiones que desde el punto de vista estadístico, los delincuentes informáticos necesitan para tener una idea global de qué tipo de exploits utilizar. Por ejemplo, en la siguiente captura se aprecia la cantidad de navegadores que accedieron a la descarga de malware y sistemas operativos afectados.

Incluso, una detallada discriminación por países de nodos comprometidos a través de un módulo GeoIP que forma parte del Kit.

El crimeware, utiliza varios scripts destinados a explotar vulnerabilidades en los navegadores y sistemas operativos.

A través de los cuales descarga los siguientes archivos:

• test.pdf - 14/40 (35.00%) (MD5: 9c1c623fe3a5dfbe2e9e9739386510e1)
• 22.pdf - 12/40 (30.00%) (MD5: 9b7ecfe7f925d06903f7e303a3595c02)
• file2.exe - 28/40 (70.00%) (MD5: 221e923fcab13951da7b3e652f3a8bab)

Todos, códigos maliciosos que actualmente presentan un bajo índice de detección por parte de las compañías antivirus.

Información relacionada
YES Exploit System. Otro crimeware made in Rusia
Barracuda Bot. Botnet activamente explotada
Los precios del crimeware Ruso
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades

# pistus

Ver más

Scripting attack. Explotación múltiple de vulnerabilidades

La ejecución de códigos maliciosos a través de ataques scripting forman parte del folklore actual de los códigos maliciosos. Sin embargo, detrás de toda esta batería de métodos de infección, se encuentran involucradas aplicaciones diseñadas íntegramente para cometer este tipo actos dañinos.

Por lo general, se trata de aplicativos crimeware como zeus, barracuda, chamaleon, YES, etc., o shells remotas escritas en PHP, como en este caso, la conocida r57shell.

Existen muchas aplicaciones de este estilo (c99shell, c100shell, locus, netshell, etc.) que son implantadas, generalmente, en servidores vulnerados a través de RFI (Remote File Inclusion - Inclusión Remota de Archivos) y utilizadas para realizar massive-defacement; es decir, desfiguración masiva de páginas web.

Sin embargo, si bien es habitual que el fin sea este, también son plenamente empleadas para ataques vía web a través de códigos maliciosos como DDoS, SQL Injection y reclutamiento de computadoras zombis, entre otros.

Como podemos apreciar a través de esta segunda captura, las funcionalidades que ofrece r57shell son muchísimas, y no responden a una condición casual ni trivial, ya que la intención es poder controlar completamente el servidor donde se haya implantado. Es decir, se trata de un backdoor a partir del cual un atacante toma control total del servidor, y de cada uno de los nodos alojados en el mismo.

En este caso, la shell en PHP estaba siendo utilizada para propagar malware a través de la explotación de las siguientes vulnerabilidades:

• SuperBuddy LinkSBIcons. (CVE-2006-5820)
• Office Snapshot Viewer. (CVE-2008-2463)
• WksPictureInterface. (CVE-2008-1898)
• OurGame various errors. (SA30469)
• GomPlayer OpenURL. (CVE-2007-5779)
• QuickTime RTSP. (CVE-2007-0015)
• NCTAudioFile2 SetFormatLikeSample. (CVE-2007-0018)
• Creative CacheFolder. (CVE-2008-0955)
• Windows Media Encoder. (CVE-2008-3008)
• Yahoo! Webcam Uploader. (CVE-2007-3147)
• Aurigma Photo Uploader. (CVE-2008-0660)
• Yahoo! Webcam Viewer. (CVE-2007-3148)
• Adobe Collab overflow. (CVE-2007-5659)
• Adobe util.printf overflow. (CVE-2008-2992)

Todos los exploits para estas vulnerabilidades se encuentran en un solo script cuya apariencia es similar al siguiente, que dicho sea de paso, la captura ha sido cortada.

Al desofuscar el script, se obtienen las siguientes URL's:

• http://vsedlysna.ru/img/site/2/load.php?id=83 --> Descarga el archivo load.exe (MD5: 22027b5c4394c7095c4310e2ec605808) enpaquetado con ASPack v2.12.
• http://vsedlysna.ru/img/site/2/pdf.php?id=83 --> Descarga el archivo 9040.pdf (MD5: 3b9e76642e96f3626cf25b7f3f9d6c3a) cuyo nombre de archivo es un valor aleatorio que cambia en cada descarga adopatando nombres como 8795.pdf, 7436.pdf, 6100.pdf, etc.
• http://vsedlysna.ru/img/site/2/pdf.php?id=83&vis=1 --> Descarga otro archivo con extensión pdf cuyo nombre varía en cada acceso siguiendo la misma metodología que el caso anterior. En este caso, el archivo se llama 4099.pdf (MD5: 5caf548ff3e6ae0c9101ae647757a099).

Información relacionada
YES Exploit System. Otro crimeware made in Rusia
Zeus Botnet. Masiva propagación de su troyano. Segunda parte
Barracuda Bot. Botnet activamente explotada
Los precios del crimeware Ruso
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades

# pistus

Ver más

Continúa la importante y masiva campaña scareware

Durante el pasado mes, había escrito algo sobre una importante campaña de propagación de malware del tipo scareware, o rogue, empleando como estrategia de engaño páginas que simulan ser el explorador de Windows, tanto en idioma inglés como en español.

Un mes después, la campaña se sigue masificando explotando una importante cantidad de dominios, en su mayoría, de origen chino.

Sin embargo, sus creadores y diseminadores canalizan todos sus esfuerzos no sólo en obtener dominios de manera rápida a través del registro en hosting gratuitos o vulnerados, sino que también en evitar la detección por parte de compañías antivirus sin importar el ciclo de vida del instalador, ya que prácticamente es modificado a diario.

Algunos de los binarios y dominios involucrados son:

• install.exe. MD5 857fe3b30bc1f8a7ec4b73cb8dd38d3d
• install.exe. MD5 59d60912ff9d1a91fc9d75fcbede6c8d
• install.exe. MD5 16c601cf62a51250d2be81555172525a
• installer_1.exe. MD5 17354a6e1f2f8fb3ca507615060364bc
• setup.exe. MD5 20cfc5b10dae04aae02a16d6bf14d081

ia-scannerpro .com
scanplus4 .info newscan4 .info
anytoplikedsite .com
topsecurity4you .com
cleanyourpcspace .com
fullsecurityshield .com
xw.dayindigo.cn/in .cgi?9
onlinedetect.com/in .cgi?6
greatsecurityshield .com
easycheckpoisonpro .cn/?
examineillnesslive .cn
easydefenseonline .cn
bigdefense2u .cn
vlo.bookadorable.cn/in .cgi?9
davidkramm.net/core/admin/bald-pussy-photo/red-pepper-humus-recipe .html
1000league .com/in .cgi?9
goscanstep .com/?uid=12724
in4ck .com/cki.php?uid=12724
data6scan .com/?uid=12724
bwgm.schoolh .cn/in.cgi?6 designroots .cn/in.cgi?6
drawingstyle .cn/in.cgi?6
ed.worksean .cn/in.cgi?6
housevisual .cn/in.cgi?6
kvk.housevisual .cn/in.cgi?6
oceandealer .cn/in.cgi?6
pub.oceandealer .cn/in.cgi?6
peopleopera .cn/in.cgi?6
rainfinish .cn/in.cgi?6
schoolh .cn/in.cgi?6
vitamingood .cn/in.cgi?6
websiteflower .cn/in.cgi?6
worksean .cn/in.cgi?6
xfln.housevisual .cn/in.cgi?6
yz.worksean .cn/in.cgi?6
securedantivirusonlinescanner .com
thankyou4check .com
antivirusonlineproscan .com
antivirus-pro-live-scan .com antivirusonlineproscanner .com
allsoftwarepayments .com
powerdownloadserver .com
securitysoftwarecheck .com
wwwsafetyread .com
scan7live .com
traffbox .com/in.cgi?6
soft-traffic .com
rd-point .net/go.php?id=1188
ddors .info/in.cgi?10
truconv .com/?a=125&s=gen-asw
yourfriskviruspro .cn/?wm=70127&l=1
addedantivirusstore .com
myplusantiviruspro .com
realantivirusplus .com
yourguardstore .cn
addedantiviruslive .com
japanhostnet .com/in.cgi?mainy8com

Si bien esta lista es bastante generosa, en comparación con la cantidad de dominios utilizados para la campaña scareware representa tan solo un mínimo porcentaje.

Por otro lado, más allá de la campaña en sí mismo, otro factor que preocupa es la cada vez mayor eficacia de este tipo de códigos maliciosos.

Información relacionada
Campaña de infección scareware a través de falso explorador de Windows
Una recorrida por los últimos scareware V

# pistus

Ver más

YES Exploit System. Otro crimeware made in Rusia

Los conjuntos de aplicativos utilizados para automatizar diferentes tipos de ataques vía web (crimeware), se han transformado en una corriente y peligrosa tendencia que manifiesta la clara inclinación y demanda delictiva de automatizar los procesos maliciosos.

Ya he dado cuenta de varios de ellos de los cuales Rusia, es el paraíso creativo para el desarrollo de crimeware. Incluso, del soporte técnico, en muchos casos, y de la creación de paquetes crimeware “a medida” y listos para implementar necesitando, únicamente, saber modificar la contraseña por defecto del panel de administración vía web.

Lo que supone un condimento extra de proliferación de actos maliciosos ejecutados por personas que no conocen a fondo el tipo de programa que están utilizando. Sólo lo adquieren por una módico costo listo para comenzar a diseminar instrucciones maliciosas a granel.

YES Exploit System, es otro de los paquetes crimeware que cumple con estas características de fácil implementación y uso.

La nueva versión de reciente aparición tiene un costo de 700 USD en el mercado negro de Rusia e incorpora una serie de “mejoras” funciones maliciosas con respecto a la versión anterior, además de contar con actualizaciones gratuitas de por vida.

Entre las nuevas características que incorpora el crimeware se encuentran:

• Nuevos exploits.
• La posibilidad de obtener información estadística mínima a través de un nuevo gestor estadístico que no reemplaza al completo sino que lo complementa.
• Notificación de otras infecciones que no se hayan producido a través de YES Exploit System en el equipo víctima.
• Actualización de la base de datos GeoIP.

• Capacidad de descargar varios archivos desde la misma página Por ejemplo, desde index.php se pueden descargar abc.exe, def.exe, ghi.exe, etcétera.
• Administración de la descarga de archivos a través del mismo panel de control y no desde FTP.
• Optimización del código PHP.
• Eliminación de las estadísticas guest y del checker FTP.

• Control de archivos descargados a través del panel de administración.
• Optimización general del panel de control para obtener un mejor rendimiento en la carga del mismo.
• Se agregó un nuevo nivel de cifrado del código iframe.
• Cifrado de los binarios para evitar la detección por parte de las compañías AV.

Una nueva alternativa de administración centralizada y automatización de acciones delictivas utilizando Internet como base de ataques.

Información relacionada
Zeus Botnet. Masiva propagación de su troyano. Segunda parte
Barracuda Bot. Botnet activamente explotada
Los precios del crimeware Ruso
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades

# pistus

Ver más

Falsas páginas utilizadas como vector de propagación de malware

Las estrategias de engaño a través de Ingeniería Social se encuentran a la orden del día en Internet y representan el comienzo de potenciales riesgos de seguridad; siendo, la clonación o la presentación de falsas páginas web, uno de los vectores más explotados para romper la seguridad del factor humano.

Algunas son más complejas que otras, y algunas más llamativas o mejor elaboradas que otras; sin embargo, por más trivial que sea el engaño, su efectividad irá en relación directa con el nivel de educación que, en materia de seguridad, tenga quien accede a la trampa del delincuente informático.

En definitiva, la siguiente captura es un ejemplo con el que recientemente me he encontrado. Se trata de una falsa página que descarga un archivo binario llamado surprise.exe (MD5: 9bd6a9cba442a88839a185eb47c2008c) que es una variante del código maliciosos Virtumonde, también llamado Monde o Vundo.

Para que se visualice un componente de cotejo, la próxima es una captura de la página real de sendspace.

Una estrategia muy empleada a través de estas técnicas, es el uso de nombres de dominios similares al real; es decir, la página falsa es http://sendspace-us .com mientras que la real es http://sendspace.com. Esto constituye, en este caso, el principio de una potencial infección.

Otro dato más que interesante es que, el dominio que representa la falsa página se encuentra en la dirección IP 196.2.198.241, cuyo sistema autónomo es AS33777 de EgyptNetwork.

A su vez, esta dirección IP representa varios dominios más.

cd-soft.net
darthvader777.com
egns.vg
good1soft.com
greatlovingcore.net
kassperskylabs.cn
kentty.net
searchingforthevhostipadres.com
sendspace-us.com
sendspace.com.bz
throbilskirnir.com
thronofodin.com
ustechservic.com.cn
www.cd-soft.net
www.charming-woman.com
www.darthvader777.com
www.dx-software.com
www.egns.vg
www.good1soft.com
www.greatlovingcore.net
www.icm-com-services.com
www.sendspace.com.bz
www.throbilskirnir.com
www.thronofodin.com
www.ustechservic.com.cn

Como podemos apreciar, incluso uno de los dominios de la lista es kassperskylabs .cn, muy similar al de la conocida empresa de seguridad antivirus.

Información relacionada
Phishing Kit In-the-Wild para clonación de sitios web, versión 2
Phishing Kit In-the-Wild para clonación de sitios web

# pistus

Ver más