Waledac más amoroso que nunca

Como ya he comentado en anteriores post, Waledac es un gusano cuyo principal objetivo es reclutar zombies PCs y así utilizar todo el potencial distribuido para propagar más códigos maliciosos y diseminar más correo electrónico no deseado.

Hace aproximadamente un mes, este gusano había comenzado su campaña de propagación utilizando como excusa, y adelantándose, al día de los enamorados que se celebra hoy, 14 de febrero, a nivel mundial.

Ahora, parece haber guardado toda su batería de estrategias de Ingeniería Social visual para este día, renovando todo su repertorio mostrando las siguientes imágenes:

También ha cambiado el nombre de los binarios:

reader.exe MD5: A9286212E0D7B46841C860FD3F058DFA
valentine_card.exe
loveu.exe
start.exe
val.exe
programm.exe
luv.exe
luvu.exe
patch.exe MD5: 1C5E4A7FCBE766133F743C9A0150373D
loveexe.exe MD5: 5C17F98919D2C84C3FD1908630396BB7
mylove.exe
cardviewer.exe MD5: E2F9C7A76581047D493FDE2C4A02737A

Como se desprende a través de los reportes de VT, Waledac posee actualmente un bajo nivel de detección por parte de las firmas antivirus; es decir, no sólo ha cambiado el repertorio de imágenes sino que también el código de los binarios, tornándolo aún más peligroso.

Información relacionada:
Waledac e Ingeniería Social en San Valentín

# pistus

Ver más

Estrategias de engaño, spam y códigos maliciosos

El correo electrónico no deseado constituye el medio utilizado por los spammers para alimentar la industria fraudulenta que día a día satura la casilla de correo de cualquier usuario que posee una cuenta.

Se estima que más del 95% del correo electrónico que circula por Internet es spam. Un porcentaje realmente importante que ninguna estadística relacionada deja de lado reflejando que, evidentemente, es una pieza fundamental dentro del circulo vicioso que representa la industria del malware actual.

El spam es una parte que ayuda a cerrar el circuito fraudulento y malicioso del cual forman parte toda una maraña de programas y actividades maliciosas como las estrategias agresivas de Ingeniería Social que buscan reclutar zombies PCs a través de la diseminación de diferentes códigos maliciosos que se encargarán de continuar la cadena de propagación, no sólo del malware sino que también de más y más spam.

Cercano al festejo por el día de los enamorados (San Valentín), en los últimos días, un gran porcentaje de las estrategias de engaño para la diseminación de spam, se basa precisamente en este día.


El tema es que esta masiva diseminación de spam, sirve no sólo para emitir publicidad no solicitada sino que mucho más grave, para la propagación de malware. Como es el caso de la página de casino que se muestra en la siguiente captura:

Cuando el usuario accede se intenta descargar un archivo binario llamado SmartDownload.exe que es un código malicioso.

Otra de las alternativas es, una vez que el equipo ha sido comprometido, comienza a utilizar el sistema víctima como puente para continuar la cadena de propagación de spam, como por ejemplo waledac, que al infectar el sistema comienza a propagar el siguiente spam:

O este otro, pero siempre haciendo alusión al día de San Valentín, tanto en el cuerpo como en el asunto del mensaje:

Algunos de los dominios utilizados para la propagación de este tipo de publicidad son:

Canadian Pharmacy Happy Valentine's Day

smilesfinger .com
tenaciouschance .com
abilityrefreshing .com
nicemeek .com
radiantglad .com
wiseradiant .com
smashingfantastic .com
uniqueflip .com
heartapproachable .com
excitingtolerant .com
findfoolproof .com
honorableabove .com
windowsilver .com
enkindledtrust .com
warmpeak .com
droolbits .com
swellspeed .com
brieftangy .com
sil.ebnowx .cn
slzi.ebnowx .cn
treatloyal .com
quietjust .com
excellentspeak .com
reapquiet .com
timelessline .com
vigilantbought .com
rightplump .com
gda.ebmostx .cn
gdw.ebmostx .cn
tzt.ebmostx .cn
twc.ebmostx .cn
excitelucid .com
spicyhardy .com
clearkind .com
soxj.ebnational .cn
sfu.ebnational .cn
deluxesugar .com
winnerbegan .com
dynamicstrong .com
helddedicated .com
weighlossforidiotssfeb .net
respectgoaloriented .com
silverfriendly .com
leadsillustrious .com
distinctiveequitable .com
kwas.odcon .cn
khpo.odcon .cn
rtf.odconclud .cn
rhct.odconclud .cn
dotpufey .cn
kazwebix .cn

Penis Enlarge Patch Rx

xgertjoi .cn/a
djxzdae .cn/a
aleloi .cn/a
saglikop .cn
relaxawake .com
ckiiiaa .cn
qorfiyin .cn
wezzoqoc .cn
bfkchjla.yanpusbiet .net/?degimaxwvuqqybfkzvpchjl
rohyogel .cn
tuvb.hogrimew .cn
bmd.midrizep .cn
pcyxl.nazzeciv .cn
wireschool .com
repentantfair .com
gowloroj .cn

El spam constituye un problema tanto para los usuarios hogareños como para las compañías de cualquier manitud y su existencia es consecuencia de una cuestión trivial en el campo comercial como lo es la oferta y demanda.

# pistus

Ver más

Waledac e Ingeniería Social en San Valentín

Para el malware actual, cada evento, noticia o circunstancia especial es aprovechada como método de engaño para diseminarse a sí mismo o a otros códigos maliciosos, siendo el correo electrónico no deseado uno de los vectores de ataque más empleados para este fin.

Nuestras casillas de correo muestran ejemplos concretos que describen esta situación. El día de San Valentín (o de los enamorados) es uno de ellos, y si miramos un poco el correo spam que nos inunda, notaremos que muchos hacen alguna referencia al cercano festejo.

De hecho, waledac ha comenzado su campaña de propagación con bastante anticipación diseminándose utilizando como engaño una típica imagen que hace alusión a los enamorados mediante la cual se descargaba un binario llamado love.exe que lejos de ser amoroso, infecta el equipo convirtiéndolo en un zombie.

Como componente extra, esta anterior campaña, además de descargar el malware, la página maliciosa contenía un exploit. Entre ellas se encontraron:

googol-analisys .com
seocom .name
seocom .mobi
seofon .net
goog-analysis .com

Sin embargo, recientemente sus desarrolladores han migrado la imagen a otra que pretende encontrar el mismo grado de "ternura", descargando también a waledac.

Algunos de los nombres utilizados para el binario son:

lovekit.exe
mylove.exe
loveprogramm.exe
love.exe
loveexe.exe
barack.exe
postcard.exe
devkit.exe
runme.exe
you.exe
onlyyou.exe
youandme.exe
card.exe
ecard.exe
val.exe
install.exe

Waledac hace uso de redes Fast-Flux y algunos de los dominios utilizados para propagarlos son:

adorelyric .com
adorepoem .com
adoresongs .com
alldatanow .com
alldataworld .com
bestadore .com
bestlovehelp .com
bestlovelong .com
cantlosedata .com
chatloveonline .com
cherishletter .com
cherishpoems .com
freedoconline .com
funloveonline .com
goodnewsdigital .com
losenowfast .com
lovecentralonline.com
lovelifeportal.com
mingwater .com
orldlovelife .com
romanticsloving .com
superobamaonline .com
theworldpool .com
topwale .com
wagerpond .com
whocherish .com
worldlovelife .com
worldtracknews .com
worshiplove .com
youradore .com
yourdatabank .com
yourgreatlove .com
yourteamdoc .com

Muchos lo comparan con otros códigos maliciosos como Nuwar (también conocido como storm o gusano de la tormenta) debido a la similitud de sus estrategias de diseminación y actividades maliciosos que realiza en el equipo infectado. Sin embargo, la realidad es que waledac es un peligroso código malicioso que ha formado una de las más importantes redes botnet del momento.

Información relacionada:
Danmec Bot, redes Fast-Flux y reclutamiento de Zombies PCs
Entendiendo las redes Fast-Flux

# pistus

Ver más

Explotando vulnerabilidades a través de SWF

Otro de los formatos masivamente empleados para explotar las debilidades de los equipos, son los Small Web Format, archivos .swf. Por lo general, suelen ser sometidos a la inyección del código exploit para vulnerar un error en particular.

La misma oleada de archivo de ataques a través de JavaScript maliciosos que había mencionado en el post de vulnerabilidades a través de archivos .js, había sido combinada con otras alternativas como la presente.

En este caso se explota una vulnerabilidad en Adobe Flash Player descripta en CVE-2007-0071 mediante la cual a través de un archivo .swf maliciosamente manipulado se provoca un Buffer Overflow permitiendo la ejecución de código por parte de un atacante remoto.

Esto significa que si el usuario que accede, por ejemplo, a la URL http://www.710sese .cn/a1/ (59.34.197.115) se ejecutará el archivo f16.swf (MD5: 95EC9202FBE74D508205442C49825C08) que según el reporte de VirusTotal, es detectado por 18 antivirus de los 39 por los cuales se scanea la muestra. El exploit inserto en el .swf explotará la vulnerabilidad en caso de tener instalada la aplicación y ser vulnerable.

Algunas de las URLs utilizadas para la diseminación del exploit son las siguientes:

http://www.710sese .cn/a1/f16 .swf
http://www.710sese .cn/a1/f28 .swf
http://www.710sese .cn/a1/f45 .swf
http://www.710sese .cn/a1/f47 .swf
http://www.710sese .cn/a1/f64 .swf
http://www.710sese .cn/a1/f115 .swf
http://www.710sese .cn/a1/i28 .swf
http://www.710sese .cn/a1/i16 .swf
http://www.710sese .cn/a1/i45 .swf
http://www.baomaaa .cn/a279/f16 .swf
http://www.baomaaa .cn/a279/f28 .swf
http://www.baomaaa .cn/a279/f45 .swf
http://www.baomaaa .cn/a279/f47 .swf
http://www.baomaaa .cn/a279/f64 .swf
http://www.baomaaa .cn/a279/f115 .swf
http://www.baomaaa .cn/a279/i28 .swf
http://www.baomaaa .cn/a279/i16 .swf
http://www.baomaaa .cn/a279/i45 .swf
http://000.2011wyt .com/versionff .swf
http://000.2011wyt .com/versionie .swf
http://sss.2010wyt .net/versionie .swf
http://sss.2010wyt .net/versionff .swf
http://www.misss360 .cn/versionff .swf
http://www.misss360 .cn/versionie .swf
http://daoye.sh .cn/a08_1272/m16 .swf
http://daoye.sh .cn/a08_1272/m28 .swf
http://daoye.sh .cn/a08_1272/m45 .swf
http://ccsskkk .cn/new7/fl/f16 .swf

http://ccsskkk .cn/new7/fl/f28 .swf
http://ccsskkk .cn/new7/fl/f45 .swf
http://ccsskkk .cn/new7/fl/f47 .swf
http://ccsskkk .cn/new7/fl/f64 .swf
http://1.ganbobo .com/template/kankan/js/4.0/curtain .swf
http://1.ganbobo .com/template/kankan/js/4.0/playerctrl .swf

Una vez que explota en el equipo, descarga el binario a1.css desde http://d.aidws .com/new, un código malicioso del cual ya hemos hecho mención en otros post.

Información relacionada:
Explotación de vulnerabilidades a través de JS

# pistus

Ver más

Creación Online de malware polimórfico basado en PoisonIvy

Evidentemente, los creadores y propagadores de códigos maliciosos han encontrado en este modo de vida un carácter rentable que los mantiene día a día enfocados en crear nuevas alternativas que les permita ganar “dinero extra” por intermedio de programas dañinos donde el tiempo, costo y beneficio parecen ser los atributos que buscan en sus aplicativos.

Sumado a que Internet hoy por hoy constituye también un medio hostil, cuando no es utilizado teniendo en cuenta los recaudos mínimos y necesarios en materia de seguridad, es aprovechado como plataforma para cometer diversos tipos de ataques y, como en este caso, ofrecer variados “servicios”, entre ellos, la creación de códigos maliciosos.

Se trata de la versión Online de PoisonIvy llamado PoisonIvy Polymorphic Online Builder, un conocido troyano dentro del mundo del malware que respeta la clásica creación de códigos dañinos permitiendo generar un troyano (servidor) que se disemina para infectar equipos y luego controlar esos equipos infectados a través del programa cliente.

Sin embargo, esta versión en línea posee un componente extra que torna el resultado en un malware mucho más peligroso que el creado de manera convencional: agrega características polimórficas. Esto significa que cada binario creado por intermedio de este “servicio automático” será diferente porque cambia completamente su código.

Esta característica busca evadir la detección por parte de firmas antivirus y prolongar así su ciclo de vida, lo que supone que, cuanto menos AV lo detecten más dinero genera su creador.

Este paquete se encuentra escrito en PHP/ASM y si bien la creación de malware se realiza en línea, no es libre, se comercializa al precio de U$S 500. En la captura podemos observar sus características:

Esta situación no es más que otra de las tantas evidencia que ponen en manifiesto que el malware es un negocio, toda una industria donde cada vez son más los desarrolladores que se suman a sus filas.

# pistus

Ver más