Compendio mensual de información. Marzo 2010

Malware Intelligence Blog - English version
31.03.2010 Strike Botnet, otra crimeware que nace
28.03.2010 Web de Hooters Alemania comprometida con phishing a HSBC
28.03.2010 iPack y GOLOD. Nuevos crimeware en la escena delictiva
27.03.2010 Phishing Database IV
19.03.2010 Archivo .sys utilizado en el ataque Aurora - Análisis externo del archivo
15.03.2010 Nueva campaña de phishing contra Facebook encabezada por ZeuS
12.03.2010 Campaña de phishing orientada a jugadores de Zynga
07.03.2010 Oficla botnet con más de 200.000 zombis reclutados
06.03.2010 myLoader. Framework para la gestión de botnets

Malware Disasters Team - A division of Malware Intelligence
13.03.2010 Dangerous trojans, keyloggers and Spyware detected in you computer!!!
07.03.2010 myLoader. Base C&C to manage Oficla/Sasfis Botnet
05.03.2010 Another very active SMS Ransomware
04.03.2010 SMS Ransomware for Windows In-the-Wild

Security Intelligence - A division of Malware Intelligence
27.03.2010 Phishing Database IV
07.03.2010 myLoader. Base C&C to manage Oficla/Sasfis Botnet

ESET Latinoamérica Blog
31.03.2010 Reporte de amenazas de Marzo
30.03.2010 Campaña de infección utilizando la bomba en Moscú como excusa
26.03.2010 SEO Poisoning con la erupción de volcán en Islandia
23.03.2010 Masiva campaña de infección a través de páginas pornográficas
17.03.2010 Phishing alojado en página gubernamental de Colombia
15.03.2010 Phishing contra usuarios de entidades de República Dominicana

Información relacionada
Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero

Compendio mensual de información 2009
Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero

Ver más

Compendio mensual de información. Febrero 2010

Malware Intelligence Blog - English version
27.02.10 Phishing database III
24.02.10 Scam de ZeuS sobre IRS continúa siendo activamente explotado
24.02.10 Nueva campaña de phishing de ZeuS contra Google y Blogger
22.02.10 Campaña de phishing a Facebook y VISA propuesta por ZeuS
16.02.10 Phishing database II
13.02.10 Ingeniería Social explotando juegos olímpicos 2010
12.02.10 Disección de un kit fraudulento. Wachovia phishing attack
10.02.10 SpyEye Bot. Análisis de una nueva alternativa del escenario crimeware
09.02.10 Phishing database I
06.02.10 Nuevo blog personal

Malware Disasters Team - A division of Malware Intelligence
23.02.10 SpyEye Bot (Part two). Conversations with the creator of crimeware
10.02.10 SpyEye Bot. Analysis of a new alternative scenario crimeware

Security Intelligence - A division of Malware Intelligence
28.02.10 Phishing database III
16.02.10 Phishing database II
09.02.10 Phishing database I
06.02.10 Justifying the unjustifiable in a world criminal

Evil Fingers Blog
20.02.10 IRS Scam Campaign on proposal by ZeuS
11.02.10 SpyEye Bot. Analysis of a new alternative scenario crimeware
11.02.10 New personal blog
11.02.10 Automation in creating exploits II

ESET Latinoamérica Blog
01.03.10 Reporte de amenazas de Febrero
25.02.10 Disponible ESET Security Report de Latinoamérica
23.02.10 Seguridad en Cloud Computing
18.02.10 ¿Qué hay de cierto respecto a la botnet Kneber?
02.02.10 Campaña de infección orientada a usuarios de Brasil


Información relacionada
Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero

Compendio mensual de información 2009
Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero

Jorge Mieres

Ver más

SpyEye se mete de lleno en la escena del crimeware

SpyEye es un troyano que se caracteriza fundamentalmente por dos razones: su similitud con lo que hasta el momento podríamos llamar "la creme de la creme": ZeuS; y la incorporación de una funcionalidad que permite "cortar la cabeza de ZeuS" de los equipos que compartan infección con SpyEye. La siguiente imagen muestra la bienvenida al C&C (Panel de comando y control) de SpyEye.

Además, al igual que ZeuS posee funciones de keylogging registrando información sensible y privada de los equipos víctimas, entre muchas otras, todas administrables vía web desde un panel de control.

Por otro lado, desde el punto de vista "visual", el autor de SpyEye de esforzó en crear un paquete "bonito" con iconografía descriptiva que hacen de esto un sistema de gestión criminal bastante intuitivo, ideal para los aspirantes a ciberdelincuentes.

En este sentido, cabe aclarar que estas últimas palabras (que parecen destacar este crimeware como si fuese algo interesante) no buscan promocionar ni legitimar este ni ningún otro crimeware, ni tampoco las actividades que podrían realizarse por intermedio de ellas. Aclarado de forma breve este asunto, a continuación pueden ver una imagen que muestra el módulo de estadísticas que, aunque bastante rústico, se encuentra hecho en flash (algo no tan común en este tipo de crimeware).

Con respecto a este crimeware, desde Malware Intelligence hemos hecho una cobertura de sus actividades, canalizando parte de la información obtenida a través de dos informes que describen sus actividades tanto desde el punto de vista técnico como, por decirlo de alguna forma, desde el punto de vista psicosocial, "mano a mano con su creador".

SpyEye Bot. Nuevo bot en el mercado (versión en inglés)
Esta noticia fue escrita por Mariano Miguel quien es Malware Researcher en Malware Intelligence.

SpyEye Bot. Análisis de una nueva alternativa del escenario crimeware (versión en inglés)
Este documento describe las actividades de SpyEye desde una perspectiva técnica y fue escrito por quien esto escribe. Agradezco a INTECO-CERT de España por hacerse eco de este documento y publicarlo en su sección de Estudios e Informes. También agradezco a Darren Spruell de EmergingThreats por crear la firma IDS en función de la información proporcionada.


SpyEye Bot (Part two). Conversations with the creator of crimeware (sólo en inglés).
La segunda parte del informe, fue escrito por Ben Koehl quien es Crimeware Researcher de Malware Intelligence, y por el momento se encuentra disponible sólo en inglés. Mis felicitaciones a Ben por la investigación y a los amigos de la casa NoVirusThanks por también publicar ambos papers.

Ver más

Malware Intelligence en SANS Audiocast

SANS (SysAdmin, Audit, Network, Security) es el Instituto más conocido sobre todo lo relacionado a seguridad de la información y cabeza de las certificaciones más prestigiosas. Cuenta con un amplio repertorio de documentación de investigación y además posee un sistema de alerta temprana ante incidentes de seguridad denominado Internet Storm Center. Sin lugar a dudas representa la fuente de información más grande.

Posee una sección llamada SANS Audiocast a cargo del instructor John Strand donde semanalmente publican un audio exponiendo diversas temáticas relevantes en materia de seguridad, y en su episodio #3 del 12 de enero de 2010, Malware Intelligence formó parte del mismo bajo la temática Crimeware-as-a-Service and antivirus evasion schemes.

Descarga del audio

Jorge Mieres

Ver más

Malware Intelligence Rogue database en Malware Domain Blocklist (DNS-BH)

Como ya sabemos, el rogue (también conocido bajo el término scareware) es un tipo de malware, que básicamente simula ser un programa de seguridad, habitualmente un antivirus, y que en todo momento intenta que la víctima compre el supuesto antivirus o herramienta de seguridad a través de una estrategia agresiva de advertencias sobre problemas de infección que, por supuesto, son falsos.

El uso de Ingeniería Social se ha transformado en un patrón indiscutible para la diseminación/infección de esta amenaza, y aunque no deja de ser un tipo de código dañino más, responde a la generación de malware que centra sus esfuerzos en robar dinero por intermedio de acciones fraudulentas.

Quizás uno de los "detalles" que vale la pena no dejar pasar es que, si bien, podemos aproximar, algo así como más del 90% (y quizás más) del rogue que actualmente circula por Internet se encuentra diseñado para plataformas Windows, existen casos para MacOS (aún no he visto para Linux) por lo que no me sorprendería cruzarme con alguno diseñado para telefonía celular de alta gama.

Quienes se encuentran detrás de su diseminación forman parte, como asociados (afiliados), de un negocio realmente grande, donde de forma siempre fraudulenta se perfeccionan las estrategias destinadas a atraer prospectos desde diferentes capas, a saber:

• Estrategia de Comunicación. A través de un plan de Ingeniería Social.
• Estrategia de Marketing. A través de BlackHat SEO y cambios de nombre.
• Estrategia de Soporte. A través de mulas.
• Estrategia de Venta. A través de alertas sobre falsas infecciones.

Dentro de este ciclo de propagación/infección se utilizan varias técnicas (BlackHat SEO, exploit pack, cifrado, fast-flux, entre otros) que no dicen más que… "Hey, Ladies & Gentlemen, tengan cuidado… nos perfeccionamos cada vez más", dejando en evidencia su profesionalización dentro del esquema de oportunidades delictivas que ofrecen los creadores de rogue.

Desde Malware Intelligence hemos hecho una cobertura bastante extensa durante el 2009, bajo el nombre Una recorrida por los últimos scareware (A recent tour of scareware), exponiendo información sobre las familias de rogue más relevantes, mencionando sólo el más conocido de cada familia; y donde nuestra intención es proporcionar información que permita prevenir los casos de infección, por ejemplo, bloqueando las direcciones IP.

Una recorrida por los últimos scareware XX – Versión en inglés

Ahora Malware Intelligence forma parte de la base de datos de Malware Domain Blocklist (DNS-BH) colaborando con la información recolectada sobre scareware.

En el siguiente enlace pueden obtener la lista con direcciones IP y nombre de dominios que poseen contenidos maliciosos obtenidos desde Malware Intelligence, junto a las de malwareurl.com: 182 malicious domains to block.

Jorge Mieres

Ver más