TROYANO QUE SIMULA LA ACTIVACION DE WINDOWS

La imaginación que gasta la gente con los troyanos no tiene límites. Véase si no este ejemplo:

El invento en cuestión se llama Kardphisher, y como podéis ver, simula una falsa activación de Windows, muy lograda por cierto, en la que misteriosamente, hay que introducir nuestros datos de tarjeta de crédito. Nombre, número de tarjeta de crédito, PIN, fecha de expiración y código CVV2. Casi nada. Ni que decir tiene que en una activación real de Windows jamás se solicitan estos datos.

Precisamente ayer me quejaba un poco de que los medios sólo suelen hablar del robo de credenciales de e-banking, y no prestan mucha atención a otras amenazas que al menos son igual de importantes, lo que crea una falsa sensación de que sólo corremos peligro si nos roban las credenciales de banca electrónica. El robo de datos de tarjeta de crédito ha sido, es y seguirá siendo una fuente de emolumentos ilegítimos jugosa y ampliamente practicada, y éste es sólo un ejemplo.

Los consejos que os puedo trasladar desde estas líneas son los siguientes:

• Entregad los datos de tarjeta sólo en comercios online consolidados, fiables y si es posible, amparados por legislación. En España por ejemplo, el comercio electrónico está ampliamente regulado, y las empresas registralmente constituídas en territorio nacional están sujetas a muchos controles que favorecen nuestra tranquilidad.

• Vigilad el estado de actualización de vuestro sistema y protecciones, y si podéis, haced las compras y las operaciones que impliquen entregar este tipo de datos con live cds Linux o similares, que son 100% seguros, y no están expuestos a contaminaciones por troyanos.

• Solicitad a vuestra entidad una tarjeta adicional con crédito limitado para vuestras operaciones en Internet. Así, en el caso indeseable de robo de datos, el crédito a disponer estará limitado, y se minimizará el daño sobre nuestro patrimonio. La gran mayoría de las personas no necesitamos 6000 euros de crédito mensual para compras por Internet.

Fuente: http://www.sahw.com

Ver más

ESET DETECTA NUEVO GUSANO DE MSN PROPAGANDOSE EN ESPAÑOL
Según la compañía desarrolladora de ESET NOD32 Antivirus, el malware Win32/VB.NHI está distribuyéndose a través de mensajería instantánea, utilizando textos en idioma español.

ESET, proveedor global de protección antivirus de última generación y desarrollador de ESET NOD32 Antivirus, advierte sobre la detección de un nuevo gusano de MSN Messenger o Windows Live Messenger. El gusano en cuestión es el Win32/VB.NHI y ESET NOD32 es uno de los primeros antivirus en detectar la amenaza.

Este gusano envía un mensaje con un enlace a una supuesta animación que aludiría a George W. Bush, actual presidente de los Estados Unidos. Hacer referencia a personajes famosos es una técnica de Ingeniería Social ampliamente utilizada por los creadores de malware.

Si el usuario hace clic en la dirección, se descarga el archivo ejecutable malicioso, continuando la propagación del mismo. El archivo es llamado “bush.exe” de 122 Kb de tamaño y es el gusano propiamente dicho.

El gusano se propaga a través de mensajes en español que incentivan al usuario a pulsar sobre el enlace, como se muestra a continuación:

Una vez ejecutado, el malware inicia ventanas de conversaciones con todos los contactos del usuario infectado que estén conectados en ese momento y se envía automáticamente de la misma forma.

Además, el código malicioso agrega claves en el registro del sistema para asegurar su ejecución en cada reinicio y realiza copias ocultas de si mismo bajo los siguientes nombres:

C:\windows\strad.exe
C:\windows\zser.exe
C:\windows\system32\xsfr.exe
C:\windows\system32\xeyu.exe

Cada vez son más los gusanos de MSN que actúan con estos mismos métodos de propagación, incluso en idioma español como este caso, por lo que es muy importante que el usuario considere si realmente su contacto es quien está enviando el enlace o archivo, y antes de hacer clic en el mismo, lo confirme consultando si realmente la otra persona fue quien se lo envió. Nunca hay que hacer clic en una dirección web desconocida y más si apunta a un archivo ejecutable como los que tienen extensión .exe.

"La gran mayoría de estas infecciones suceden por curiosidad y por el pensamiento de que es un amigo quien le envía el enlace, pero lamentablemente los usuarios tenemos que ser más cautos cuando nos envían mensajes dudados porque podía tratarse de un malware", dijo Ignacio Sbampato, Vicepresidente de ESET para Latinoamérica.

"Es importante que los usuarios cuenten con antivirus actualizados periódicamente, con capacidades heurísticas y proactivas de detección, como ESET NOD32, dado que les permitirá protegerse ante nuevas amenazas que estén en circulación.", añadió Sbampato.

ESET además recomienda la constante actualización del sistema operativo y demás aplicaciones utilizadas a fin de evitar cualquier tipo de vulnerabilidad existente en los mismo.

También es primordial la capacitación de los usuarios, ya que un usuario con conocimientos sobre estos temas, siempre actuará de forma más segura que uno que no lo está.

"En ESET siempre hacemos hincapié en la importancia de la capacitación, por eso desarrollamos nuestra propia Plataforma en Línea Educativa sobre seguridad informática y seguridad antivirus, con cursos para que todos los usuarios puedan aprender a usar Internet en forma segura", cerró Sbampato.

Fuente: http://www.eset-la.com

Ver más

HACKERS CREAN COCTEL DE SPAM Y VIRUS
La compañía de seguridad informática Message Labs ha neutralizado el primer “cóctel" de spam y virus. Un reciente correo electrónico de spam de tipo “pump’n’dump", es decir, especulativo respecto del mercado bursátil, contiene además un troyano cuyo cometido es distribuir aún más spam.

Diario Ti: Se trata de la primera vez que Message Labs detecta y un mensaje que intenta inducir a incautos a comprar acciones, junto con intentar asumir el control de sus computadoras.

El e-mail de spam contiene un enlace a un “protector de pantallas gratuito" que en realidad descarga la herramienta de envío de spam.

Fuente: Message Labs

Ver más

EL MALWARE SE DUPLICA EN EL PRIMER TRIMESTRE DE 2007

Sophos ha publicado un informe con interesantes conclusiones sobre laevolución del malware en los últimos tiempos. Del informe se extrae queel número de nuevas amenazas se han multiplicado por dos en el últimoaño, y que la web se vuelve el primer vector de ataque para intentarinfectar a las víctimas. Desde VirusTotal.com y de forma independiente,podemos llegar a conclusiones muy parecidas.

Según Sophos, en el primer trimestre de 2007 se han identificado casi24.000 nuevas amenazas (malware). La misma compañía encontró casi 10.000en el mismo periodo de 2006.

La empresa también advierte de que la infección a través de web estáfacilitando este crecimiento. Los usuarios están cada vez másconcienciados con respecto a la seguridad de su correo, y las técnicasde prevención son más eficaces. Sin embargo, a través del navegador sesuelen todavía cometer graves negligencias que permiten la infeccióntransparente de las víctimas.

No en vano, desde enero a marzo de 2007 se llegaron a encontrar unamedia de 5.000 nuevas páginas al día capaces de infectar. Estas webssuelen ser en su mayoría (un 70%) páginas legítimas comprometidas (losdelincuentes han tomado el control) y se utilizan para alojar el malwarea la espera de que las víctimas lo descarguen y ejecuten o que secarguen de forma silenciosa en el cliente aprovechando algunavulnerabilidad.

Esto da una idea, además, de lo precario de la seguridad en losservidores web y las aplicaciones que se ejecutan en ellos. Un 40% deestas páginas se encuentran en servidores localizados en China, y casiun 30% en Estados Unidos de América. Esta subida del malware distribuidopor web va acompañada de una bajada en el sistema de infección"tradicional": la distribución y presencia de malware por correoelectrónico bajó de un 1.3% de todo el correo a un 0.4% en el primertrimestre de 2007.

Desde VirusTotal.com podemos apoyar estas cifras. Salvando lasdistancias con el estudio que haya podido realizar Sophos, en nuestroservicio gratuito hemos acusado una subida exponencial del número demuestras recibidas, mientras el ratio de archivos infectados semantiene.

En concreto, a principios de 2006 se recibía en VirusTotal.com una mediade 20.000 muestras a la semana. Un año después, la cifra se dispara:estamos recibiendo 15.000 muestras al día con picos de 20.000 diariaspuntualmente. Lo preocupante es que aunque esta cifra haya aumentadosignificativamente, el 30% de toda esa cantidad de muestras recibidassiguen siendo desde hace mucho tiempo, troyanos destinados a tener elcontrol del sistema o robar información sensible (bancaria,contraseñas...).

Fuente: http://www.hispasec.com

Ver más

IE 7 Y FIREFOX PROPENSOS A ATAQUES DE AUTENTICACION
Firefox e Internet Explorer son propensos a un ataque del tipo "Http Request Splitting", cuando ocurre una autenticación codificada (Digest Authentication). Esto es debido a una "Digest Authentication Request Splitting", o división de respuesta en una autenticación codificada.

La autenticación codificada es una manera de encriptar una contraseña, antes de enviarla por Internet, considerada más segura que una autenticación básica a la hora de solicitar y enviar credenciales.

Básicamente, la primera vez que el cliente solicita un documento al servidor, ningún encabezamiento de autorización es enviado, y una respuesta simple es recibida. Luego, el cliente pregunta al usuario por su nombre y contraseña, enviando la respuesta al servidor con el cabezal de autorización.

Hay dos maneras de enviar las credenciales (utilizando HTML y JavaScript), y ambos navegadores son vulnerables a este tipo de ataque.

Un ataque del tipo "Http Request Splitting" o división de respuesta HTTP, permite al atacante enviar una única petición HTTP al servidor, de tal manera que obligue a éste último a formar una cadena de salida que puede ser interpretada como dos respuestas HTTP. El atacante puede controlar totalmente la segunda de esas salidas.

A partir de allí, es posible la realización de diferentes tipos de ataques o el uso de ciertas técnicas de intrusión.

Por ejemplo, es posible lanzar ataques del tipo Cross-site Scripting (XSS) (script que redirecciona de un dominio a otro la solicitud). También se puede envenenar la caché web (alterar su contenido), lo que permite la desfiguración de un sitio y ataques a otros usuarios que de forma temporal compartan la caché.

Un atacante también podría secuestrar páginas con la información del usuario (robo de identidad), o inclusive robar la caché del navegador, suplantando un recurso específico al que accede el usuario.

El robo de cookies de sesión o su modificación, también puede ser posible mediante algunos de esos ataques.

Varias técnicas pueden ser combinadas para llevar a cabo con éxito estos ataques.

Software vulnerable:
- Internet Explorer 7.0.5730.11
- Mozilla Firefox 2.0.0.3

Versiones anteriores también podrían ser vulnerables. Ha sido probado en Firefox 2.0.0.3 bajo Windows XP SP2 y Ubuntu 6.06, y en Internet Explorer 7.0.5730.11 bajo Windows XP SP2.

El navegador Safari (desarrollado por Apple para su sistema operativo Mac OS X) también es vulnerable.

Fuente: http://www.vsantivirus.com

Ver más