Cargador de baterías con troyano de regalo
Últimamente, no es extraño encontrar software específico para un gadget en concreto que puede conectarse a nuestro ordenador. En ocasiones, este software implementa funciones adicionales como el control y monitorización del gadget en cuestión pero algunas veces se nos incluye algún elemento no deseado.
En el caso que nos ocupa, se descubrió la presencia de un troyano en el software que acompañaba a uno de los cargadores de baterías de la marca Energizer. Al parecer, junto con el software, se instalaba una librería de nombre Arucer.dll en la carpeta del sistema Windows\System32\. Esto permitía se pudiese acceder remotamente al sistema sin la autorización del usuario a través del puerto TCP 7777.
Este troyano ya está siendo aprovechado por todos aquellos ciberdelincuentes que usan la herramienta Metasploit para buscar vulnerabilidades y puertas traseras en sistemas por lo que, si se es poseedor de este accesorio, se recomienda desinstalar el software de gestión y eliminar el fichero malicioso de forma manual.
Casos así nos deben hacer recordar que no solo archivos con claros fines ilegales (como parches y cracks para usar software de forma ilícita) son susceptibles de contener malware. Cualquier aplicación de cualquier característica y empresa puede contener alguna amenaza si no se han cumplido todos los requisitos de calidad antes de lanzar ese software al mercado.
Josep Albors
Resumen de vulnerabilidades variadas
Siguiendo su ciclo mensual de actualizaciones, Microsoft lanzó ayer sus habituales parches mensuales que solucionan errores presentes en sus sistemas y aplicaciones. Estos parches son vitales para mantener nuestro sistema mas protegido frente a los ataques que se aprovechan de las vulnerabilidades descubiertas, por lo que recomendamos a aquellos usuarios que aun no hayan actualizado sus sistemas, lo hagan tan pronto como sea posible.
Este mes, la mayoría de las actualizaciones han ido orientadas a solucionar diversas vulnerabilidades en Excel. También se ha incluido un parche para Windows Movie Maker y Microsoft Producer 2003.
No obstante, siguen existiendo una serie de vulnerabilidades sin parchear (no necesariamente pertenecientes a productos de Microsoft) que podrían comprometer la seguridad de nuestro sistema.
Una de las que mas ha dado de hablar en los últimos días es la vulnerabilidad que afecta al navegador Opera en su versión 10.50 (y probablemente en versiones anteriores del mismo). Tanto desde la empresa desarrolladora del navegador como desde Secunia, se informa de la posibilidad teórica de que se pueda ejecutar código arbitrario, aunque aun no se haya visto ningún exploit que se aproveche de ello. Los desarrolladores ya están trabajando en una solución y se espera que aparezca en breve una nueva versión del navegador con una solución.
Siguiendo con los navegadores, se ha descubierto una nueva vulnerabilidad en Internet Explorer que, esta vez sí, esta siendo aprovechada activamente. Las versiones afectadas del navegador son la 6 y la 7 sobre varios de los sistemas operativos de Microsoft, pudiéndose consultar la totalidad de plataformas afectadas en la nota de seguridad publicada por Microsoft. Aquellos usuarios que usen la versión mas reciente del navegador no se verán afectados por esta vulnerabilidad.
No nos cansaremos nunca de recordar la importancia vital de las actualizaciones del sistema y de las aplicaciones. En el panorama actual, donde buena parte del malware aprovecha alguna vulnerabilidad, mantener una buena política de actualizaciones nos ayudará a mantener nuestro sistema a salvo.
Josep Albors
La ceremonia de los Oscar también es usada para propagar malware
Tal y como venimos observando recientemente, los creadores de malware en forma de falsos antivirus aprovechan cualquier suceso o método para esparcir sus creaciones.
Ahora le ha tocado el turno a la ceremonia de entrega de los Oscar y ya hemos podido observar enlaces maliciosos que conducen a la descarga de ficheros ejecutables que instalan este tipo de códigos maliciosos:
Las técnicas usadas son las que venimos observando últimamente. Posicionamiento de enlaces maliciosos en los principales buscadores usando técnicas de Blackhat SEO. Es más. Muchos de los enlaces ni siquiera se han molestado en cambiar su nomenclatura y vemos como aparecen, por ejemplo, referencias a la festividad de San Valentín y a los recientes juegos olímpicos de Vancouver.
Esta manera de propagar malware está resultando sencilla y eficaz para sus creadores, puesto que muchos de los usuarios que acceden a los enlaces maliciosos no se fijan a donde están accediendo y se limitan a pulsar indiscriminadamente sobre todos los enlaces que aparezcan en su buscador preferido. La solución a estas amenazas pasa por tener instalado un antivirus que sea capaz de detectar los archivos maliciosos que se descargan al acceder a estas webs y, sobretodo, pararnos a revisar los resultados obtenidos en el buscador, accediendo únicamente a aquellos enlaces que nos inspiren confianza o tengan una buena reputación.
Josep Albors
Falso Antivirus se propaga rápidamente a través de SPAM
En este blog hemos dado a conocer los distintos métodos de propagación de las infecciones de tipo “Rogue Antivirus” o Falso Antivirus. El método más utilizado para propagar esta infección suele ser a través de páginas de Internet no my fiables, incluso aprovechándose, como venimos viendo estos días, de distintas catástrofes ocurridas en el mundo.
Bien, pues además de utilizar estos métodos para propagarse por Internet, estamos comprobando que durante estos días se está propagando mediante correos no deseados. Principalmente son correos electrónicos en inglés, en los cuales se informa sobre distintos envíos fallidos de mensajería, utilizando el nombre de DHL, UPS o incluso el envío de supuestas cartas de familiares.
Aunque el nombre de los archivos adjuntos no coincida, todos ellos son infecciones del tipo Rogue Antivirus, en este caso llamado XP Antispyware 2010.
Una vez ejecutado el archivo adjunto, nos aparece una ventana haciéndose pasar por el Centro de Seguridad de Windows con la siguiente información:
Además de ello se activan una serie de ventanas realizando un falso análisis del sistema y mostrando como resultado de esos análisis multitud de infecciones inexistentes:
También aparece un proceso llamado Av.exe, que es el que produce que se ejecute el falso antivirus.
Cuando pulsamos sobre cualquier botón de la ventana del falso antivirus, se nos indica que debemos comprar el producto para desinfectar el sistema, accediendo a una supuesta página de compra del producto en Internet.
Desde el departamento técnico de Ontinet.com aconsejamos encarecidamente omitir todo mensaje de correo recibido desde cuentas de correo no pertenecientes a nuestra lista de contactos, disponer de un antivirus actualizado para evitar esta infección y en el caso de sospechar de algún archivo recibido a través de Internet o a través de nuestro cliente de correo, le aconsejamos leer el siguiente consejo de seguridad:
Como actuar cuando recibimos un archivo sospechoso
David Sánchez
« Artículos Posteriores