Campaña de propagación de malware usando Caja Cantabria como gancho
Es frecuente encontrarnos en nuestra bandeja de entrada correos trampa que dicen ser de entidades bancarias. La mayoría se trata de casos de phishing que pretenden hacerse con nuestras credenciales de acceso a la banca online para poder sustraer nuestros ahorros. No obstante, existe otra modalidad, especializada en propagar malware desde enlaces supuestamente albergados en sitios webs de entidades bancarias con cierta reputación. El caso que analizamos hoy es uno de estos ejemplos.
Entre la multitud de emails que diariamente nuestro servidor de correo cataloga como spam, encontramos uno que nos llama la atención. Este correo dice provenir de la entidad Caja Cantabria y nos informa del ingreso de una cantidad (variable dependiendo del correo recibido) en nuestra cuenta.
Independientemente de que el usuario sea cliente de esa entidad, la simple curiosidad por ver si realmente se nos ha ingresado esa cantidad hace picar a más de uno. No es de extrañar que una cantidad nada despreciable de usuarios muerda el anzuelo y acceda a una web preparada para la ocasión. En esta web vemos como la referencia del banco pasa de Caja Cantabria al Banco de España, aunque, si nos fijamos atentamente, el dominio esta albergado en Rusia (pulse sobre la imagen para ampliarla).
Una vez aquí, lo único que se nos permite hacer es descargar un archivo ejecutable también albergado en el mismo dominio ruso. Si nos fijamos en estos detalles antes de descargar archivos de sitios sospechosos, podremos evitar muchas infecciones.
Si descargamos y ejecutamos este archivo, nuestro sistema se verá infectado por un malware del tipo bot, haciendo que nuestra máquina pase formar parte de un ejército de ordenadores zombies a disposición de un botmaster. Las soluciones de seguridad de ESET catalogan a este código malicioso como una variante de Win32/Kryptik.FZS.
Desde el laboratorio de ESET en Ontinet.com nos gustaría recordar que, cada día, miles de ordenadores caen en las redes de las botnets por infecciones parecidas. Es necesario que nosotros, como usuarios, estemos educados para prevenir estos engaños y descarguemos e instalemos un antivirus que nos permita bloquear las amenazas en el caso de que nos confiemos y pulsemos sobre ese enlace malicioso.
Josep Albors
Actualización 19/08: Horas después de publicar esta entrada observamos como se están enviando múltiples correos de este tipo pero usando como remitentes a la mayoría de cajas y bancos más conocidos. Aconsejamos eliminar cualquier correo parecido al que hemos analizado en este artículo, aunque como remitente aparezca su entidad bancaria.
Comparativas antivirus polémicas
Cada cierto tiempo, la mayoría de las empresas antivirus nos sometemos a una serie de “exámenes” realizados por empresas independientes especializadas en analizar el funcionamiento de nuestras soluciones de seguridad. En estas comparativas se evalúa la capacidad de detección de códigos maliciosos (tanto nuevos como antiguos) basándose en las opciones de detección de cada antivirus (bases de firmas, heurística, análisis de comportamiento, etc.), ademas de otras opciones como la facilidad de uso o el impacto sobre el rendimiento del sistema. Existen empresas con una más que demostrada reputación realizando este tipo de tests como puedan ser Virus Bulletin, AV-Comparatives o AV-Test. No obstante, cada cierto tiempo aparece alguna empresa presentando su propia comparativa radicalmente diferente a las ya mencionadas.
En esta ocasión, ha sido la empresa Cyveillance la que ha presentado su polémico informe sobre la detección de malware por parte de los antivirus. Según se afirma en este informe, las empresas antivirus tan solo detectan de media un 19% del nuevo malware, subiendo ese porcentaje hasta el 61% pasado un mes. Esta tasa de detección especialmente baja puede hacer sonar las alarmas en más de un usuario preocupado por su seguridad, por lo que convendría aclarar algunos aspectos sobre cómo se ha realizado esa comparativa y porque difiere tanto de otras comparativas con mas reputación.
Como ya se han encargado de comentar mis compañeros Randy Abrams de ESET y Sergio de los Santos de Hispasec, hay una serie de aspectos que no quedan del todo claros tras analizar esta comparativa:
- El primero de ellos es que el número de muestras usadas (1708) es, a todas luces, insuficiente. Hablar de esa cantidad, en un escenario en la que los laboratorios de ESET detectan una media cercana a 200.000 muestras únicas al día, es quedarse muy corto.
- La elección de las muestras también resulta polémica. Según la empresa que hizo la comparativa, para catalogar una muestra como malware, esta debía ser detectada por, al menos, 3 de los 13 motores antivirus analizados. Como bien apunta Sergio , su experiencia en el servicio Virustotal demuestra que la detección de malware “fresco” es, normalmente, menor a esos 3 motores y que, además, se produce un elevado número de falsos positivos, lo que podría llevar a catalogar como malware archivos inofensivos.
- Aunque no se indica, todo apunta a que solamente se ha usado el método de detección por firmas de virus para realizar esta comparativa. Este método que fue clave hace años, ahora es tan solo una parte más de los motores antivirus, ya que es imposible crear bases de firmas para la ingente cantidad de malware que se detecta cada día. Es por ello que los antivirus integran otros métodos como la heurística o el análisis dinámico, permitendo la detección de amenazas observando su comportamiento o analizando su código. Poner unos antivirus a intentar detectar muestras en un entorno cerrado, usando tan solo una parte de su capacidad de detección, no es representativo del entorno real que tienen los usuarios.
No obstante, hay que recordar que el antivirus no es la panacea infalible que nos protege frente a cualquier amenaza. Desde el laboratorio de ESET en Ontinet.com nos gustaría recordar que un antivirus es una capa de seguridad básica y fundamental pero que ha de ser complementada con otras medidas, como puede ser la instalación y gestión de un cortafuegos, evitar usar el sistema con permisos de administrador y actualizar el sistema y las aplicaciones que usemos con los parches de seguridad. Todo eso, añadido al uso del sentido común, nos ayudará a evitar problemas de seguridad en nuestro sistema.
Josep Albors
Cuidado con lo que descargamos
La descarga de archivos es una de las actividades cotidianas para los usuarios de Internet. Tanto que cada día se descargan millones de archivos, ya sean programas, ficheros multimedia, documentos, imágenes, etc. Tanta cantidad de descargas requiere de una gestión eficaz y han sido muchas las aplicaciones y protocolos que, a lo largo del tiempo, han sido las preferidas de los usuarios. Si hace unos años los reyes del mambo eran las aplicaciones como Emule y Bittorrent, hoy la tendencia va más encaminada a las descargas directas a través de servicios como Rapidshare o Megaupload, ya que permiten a los usuarios aprovechar al máximo su ancho de banda.
Pero no todo iba a ser tan idílico, habiendo muchas ocasiones en la que el archivo que nos descargamos no se corresponde con lo que buscamos y además trae de regalo algún código malicioso. Ya desde los tiempos en los que Emule era la aplicación por excelencia cuando se trataba de compartir y descargar archivos, era frecuente (y lo sigue siendo a día de hoy) que cuando buscásemos algún archivo muy solicitado como el último estreno en nuestras carteleras, la última canción del cantante de moda o ese nuevo juego que tan buena pinta tiene nos encontrásemos alguna sorpresa en forma de malware camuflado como un crack o codec.
Ahora, tras el paso de Emule, Bittorrent y otros tantos programas y protocolos usados para la descarga de archivos, lo habitual es que nos descarguemos aquello que deseemos utilizando los enlaces que otros usuarios han colgado en diversas webs dedicadas a estos menesteres. De esta forma y usando servicios de almacenamiento gratuitos, nos encontramos con multitud de enlaces que nos permiten descargar grandes cantidades de archivos aprovechando las altas velocidades de conexión de las que disponemos hoy en día.
Pero, ¿quién revisa esos enlaces?, ¿cómo sabemos que no contienen nada que pueda perjudicar a nuestro sistema?. La respuesta es sencilla a la par que preocupante. Prácticamente ninguna empresa de las que ofrecen servicios de almacenamiento de archivos gratuitos se hace responsable de lo que los usuarios almacenan en sus servidores. Por tanto, de la misma manera que podemos descargarnos la película, juego o canción del momento, podemos encontrarnos con códigos maliciosos que, tras ejecutarlos de forma confiada, infecten a nuestro sistema.
Aunque muchos usuarios ya están concienciados de los riesgos que corren cuando se descargan archivos de fuentes no confiables, prefieren asumirlo por los supuestos beneficios que les supone. Paradojicamente, hay muchos casos en los que se busca descargar un antivirus de pago pero que haya sido modificado para que pueda usarse gratuitamente, encontrándonos muchas veces con que esta modificación incorpora algún tipo de software malicioso.
Desde el laboratorio de ESET en Ontinet.com nos gustaría recordar a los usuarios que, si bien los servicios de descarga de archivos han mejorado sustancialmente en los últimos años, debemos ir con cuidado con que nos descargamos. Los creadores de malware son conocedores del uso masivo que se les da a estos servicios y los inundan de códigos maliciosos buscando infectar el mayor número de sistemas posibles. Así pues, lo mejor que podemos hacer tras descargar algún archivo es analizarlo con un antivirus y desconfiar siempre de los programas del tipo crack o generadores de número de serie.
Josep Albors
Mas parches para productos Adobe
De nuevo, los productos de Adobe se encuentran en el ojo del huracán al haber tenido que lanzar con carácter de urgencia actualizaciones para los productos Adobe Flash Player y Adobe Air que solucionan 6 vulnerabilidades críticas.
Las nuevas versiones de estos productos son Adobe Flash 10.1.82.76 y Adobe Air 2.0.3, siendo recomendable la actualización a las mismas lo antes posible, puesto que las vulnerabilidades que se solucionan pueden ocasionar la ejecución de código no autorizado en nuestro sistema.
Como ha ocurrido en anteriores ocasiones, estas vulnerabilidades son multiplataforma, pudiendo ser explotadas en entornos Windows, GNU/Linux y Mac OS. Estos agujeros de seguridad multiplataforma han empezado a ser bastante comunes últimamente y representan un vector de ataque muy interesante para los creadores de malware, puesto que aprovechando una sola vulnerabilidad en una aplicación de terceros pueden afectar a varios sistemas a la vez.
Desde el laboratorio de ESET en Ontinet.com recomendamos actualizar a la última versión tanto de Adobe Flash Player como de Adobe Air. Asimismo podemos usar un servicio gratuito como el ofrecido por Secunia Online Software Inspector para revisar que disponemos de las últimas versiones de las aplicaciones que usamos y, en caso contrario, descargarlas e instalarlas.
Josep Albors
Apple publica parche de seguridad para dispositivos iOS
Apenas una semana después de que se hiciesen públicas las vulnerabilidades que afectaban a los dispositivos de Apple con el sistema operativo iOS (iPhone, iPad e IPod Touch), Apple ha lanzado un parche para solucionarlas. Aunque el único ejemplo de aprovechamiento de estas vulnerabilidades que hemos observado hasta la fecha ha sido el de la web Jailbreackme.com, esto no implica que no se estén preparando códigos maliciosos que aprovechen este vector de ataque para infectar este tipo de dispositivos.
La actualización de seguridad publicada por Apple ha sido preparada y lanzada en un tiempo récord desde que se hizo pública, lo cual siempre es de agradecer. No obstante, debido a que muchos usuarios de estos dispositivos aun quieren seguir usando las funciones adicionales que les ofrece el Jailbreak, es muy probable que se queden muchos dispositivos por actualizar, al menos hasta que se consiga hacer el Jailbreak a esta nueva versión.
Para aplicar la actualización del sistema, tan solo deberemos conectar nuestro dispositivo a iTunes y se nos avisará de que ya se encuentra disponible una nueva versión. No obstante, para poder aplicar este parche, es necesario actualizar a la última versión del iOS, siendo esta la 4.0.2 en iPhone e iPod Touch y 3.2.2 en el iPad. Así pues, nos encontramos ahora mismo en una situación similar a la de los sistemas operativos de escritorio, donde encontramos usuarios reticientes a actualizar sus sistemas por diversos motivos (incompatibilidad con programas antiguos, falta de presupuesto, licencias ilegales, etc), siendo estos usuarios los más vulnerables ante las nuevas amenazas.
Cabe recordar que, a pesar de que la gran mayoría de códigos maliciosos existentes hoy en día afectan a sistemas Windows, cada vez es mayor la cantidad de amenazas detectadas en otros sistemas y plataformas como los dispositivos móviles. Esta situación se agrava debido a que la mayoría de usuarios se sienten inmunes cuando están usando este tipo de dispositivos o sistemas operativos como GNU/Linux o Mac OS. La falsa sensación de seguridad puede alimentar malas prácticas que nos hagan pagar muy cara esta confianza.
Desde el laboratorio de ESET en Ontinet.com recomendamos a los usuarios de aquellos dispositivos de Apple afectados por estas vulnerabilidades que apliquen la correspondiente actualización de seguridad para mantenerse protegidos.
Josep Albors
Troyano SMS en móviles Android
No cabe duda de que los dispositivos móviles están centrando, cada vez más, la atención de los creadores de malware. Si hace apenas unos días comentábamos el grave agujero de seguridad en el sistema iOS utilizado en los dispositivos iPhone, iPad e iPod Touch de Apple, y no hace mucho comentábamos que se habían encontrado aplicaciones troyanizadas para sistemas Windows Mobile, ahora le toca el turno al sistema operativo Android.
El troyano descubierto para la plataforma Android (detetado por ESET como Android/FakePlayer.A) se camufla como una inofensiva aplicación con apariencia de reproductor multimedia y con la extensión .APK característica de las aplicaciones para este sistema. No obstante, esta aplicación no se puede obtener a través del Android Market sino que se está distribuyendo por páginas webs maliciosas. Además, si el usuario trata de instalar la aplicación, su dispositivo le preguntará si desea permitir que esta envíe mensajes SMS, lea o elimine información desde la tarjeta SD o recopile información del teléfono.
Una vez instalada la aplicación, esta empezará a enviar mensajes SMS a números de tarificación especial sin que el usuario sea consciente de ello. Esta técnica de envío de SMS sin conocimiento del usuario no es nueva, ya que se viene observando desde 2004 y ha evolucionando hasta nuestros días, convirtiéndose en una de las amenazas más notables y que mas preocupación causa entre los usuarios de dispositivos móviles, junto al robo de información confidencial.
En el momento de escribir esta noticia, esta amenaza se centraba principalmente en Rusia y países limítrofes aunque, después de que el investigador Jon Oberheide analizase el código de este malware y descubriese que no es especialmente complicado, podríamos ver casos parecidos en otros países.
Los ciberdelincuentes saben que el mercado de dispositivos móviles ofrece muchas posibilidades por lo que, muy probablemente, veamos como el número de ataques se incrementa en los próximos meses. Desde el laboratorio de ESET en Ontinet.com, recomendamos revisar concienzudamente las aplicaciones que deseemos instalar en nuestro terminal para evitar sorpresas indeseadas. Siempre que sea posible, es mejor analizar estas aplicaciones en nuestro ordenador con un antivirus actualizado antes de instalarlo en nuestro terminal móvil.
Josep Albors
Apple prepara el parche para solucionar vulnerabilidad
Tras hacerse público la semana pasada el método usado por los desarrolladores de la última versión del Jailbreak, muchas eran las inquietudes que aparecieron en el horizonte por la posibilidad de ejecutar código malicioso de forma sencilla. Ahora, apenas una semana después, los desarrolladores de Apple ya han anunciado que tienen listo un parche para solucionar esta vulnerabilidad aunque aún no han elegido una fecha para su publicación.
Recordemos que se trataba realmente de dos vulnerabilidades. La primera de ellas usaba una fuente corrupta introducida en un archivo PDF para ejecutar código, mientras que la segunda usa una vulnerabilidad en el kernel para saltarse las medidas de protección que Apple incorpora en estos dispositivos, permitiéndole escalar privilegios hasta obtener permisos de root (administrador). En este escenario, cualquiera de los dispositivos vulnerables (iPhone, iPad e iPod Touch con o sin Jailbreak) estaba expuesto a amenazas con tan solo visitar un enlace específicamente preparado o abrir un archivo PDF modificado que haya recibido por email o a través de SMS.
Pero no solo estos dispositivos se vieron afectados. El lector de archivos PDF Foxit Reader también vio como, al intentar manejar estos PDF modificados, se producía un error que puede ser aprovechado para inyectar y ejecutar código arbitrario en un sistema. Una nueva versión del programa ha sido lanzada, según anuncian los desarrolladores, y los usuarios que lo deseen ya pueden descargarla.
Cabe destacar que, en esta ocasión, los productos de Adobe no se han visto afectados, lo que supone un respiro en el largo historial de vulnerabilidades de esta empresa. Desde el laboratorio de ESET en Ontinet.com recomendamos aplicar el parche tan pronto como se encuentre disponible y actualizar a la última versión de Foxit Reader si somos usuarios de esta aplicación.
Josep Albors
Correos spam propagan troyano Bredolab de forma masiva
A pesar de los elaborados vectores de ataque descubiertos recientemente, seguimos viendo como los creadores de malware no dejan de lado los métodos clásicos para propagar sus amenazas. Así lo hemos podido comprobar este fin de semana, en el que hemos visto una inusualmente alta propagación de spam con ficheros adjuntos que contienen una nueva variante del troyano Bredolab. Este tipo de correos usan diferentes temáticas que van desde el supuesto envío de imágenes adjuntas hasta una invitación de boda, pasando por un acertijo matemático. Veamos por ejemplo uno de los correos que simula ser una invitación de boda:
Desde luego, es una curiosa técnica de ingeniería social para hacer que la gente abra el archivo adjunto infectado pero resulta igualmente efectiva. Si caemos en la trampa, abrimos el archivo comprimido y ejecutamos su contenido, nuestro sistema se infectará con el troyano que los productos de seguridad de ESET detectan como Win32/TrojanDownloader. Bredolab.AN. Este tipo de malware permanece activo en nuestro sistema y se conecta a servidores externos para descargar nuevos ejemplares de malware aunque también se le ha visto asociado a otros casos de códigos maliciosos como los falsos antivirus.
La propagación masiva de este tipo de correos maliciosos es solo una de las tareas que realizan los ordenadores que integran una botnet y, a pesar de ser una técnica bastante rudimentaria comparada con los vectores de infección más recientes, sigue siendo rentable para los creadores de malware . Para protegernos de este tipo de amenazas, desde el laboratorio de ESET en Ontinet.com, recomendamos desconfiar de este tipo de correos, así como también descargar e instalar un antivirus con capacidad de detección de este tipo de malware y sus variantes.
Josep Albors
Nueva vulnerabilidad (y van…) en Adobe Reader
Parece que Adobe no se libra de las vulnerabilidades y ya se toma como algo normal con lo que se ha de convivir. Y es que la seguridad de sus productos deja tanto que desear en los últimos tiempos que, cuando Charlie Miller presentó la última vulnerabilidad que afectaba a Adobe Reader en la reciente Black Hat de Las Vegas, nadie twiteó sobre la misma, según informó el propio investigador.
De nuevo nos encontramos en un escenario conocido en el que un agujero de seguridad permite ejecutar código arbitrario. Esta situación se ha venido produciendo repetidas veces durante los últimos meses, lo que obligo a Adobe a establecer un ciclo de actualizaciones periódicas cada 3 meses. No obstante, este ciclo ya ha sido quebrantado en varias ocasiones debido a la gravedad de las vulnerabilidades descubiertas y no sería extraño que Adobe decidiese acortar el periodo entre las actualizaciones programadas a un mes, tal y como hace el servicio de Windows Update.
Como hemos visto en anteriores ocasiones, los ataques que se aprovechan de esta vulnerabilidad pueden ser multiplataforma puesto que afecta a las versiones de Adobe Reader para sistemas Windows, GNU/Linux y Mac OS. Los desarrolladores de Adobe ya han confirmado estar trabajando en un parche que solucione este agujero de seguridad por lo que, desde el laboratorio de ESET en Ontinet.com recomendamos instalarlo tan pronto como se encuentre disponible. Asimismo podemos proteger nuestro sistema (y sí, también nos referimos a GNU/Linux y Mac OS) con un antivirus que sea capaz de detectar las amenazas que intenten aprovecharse de esta vulnerabilidad.
Josep Albors
Vulnerabilidad que puede abrir puertas al malware en dispositivos Apple
Hace apenas un par de días nos hacíamos eco del lanzamiento de la nueva versión de la herramienta Jailbreak que permite desbloquear nuestros iPhones. Como comentamos entonces, esta nueva versión del Jailbreak se aprovecha de dos vulnerabilidades descubiertas recientemente. Estas permiten otorgar a un atacante la habilidad de ejecutar código de forma remota en el dispositivo y evadir las protecciones de seguridad implementadas en el iPhone, iPad e iPod Touch.
Cuando un usuario visita la web Jailbreakme.com desde el navegador Safari instalado en los dispositivos vulnerables, el sitio web redirige al usuario a un enlace donde se almacenan los archivos PDF modificados con el exploit y ejecuta aquel que se corresponda con el modelo del dispositivo y versión del firmware. En una segunda fase, se consigue el acceso al nucleo (kernel) del sistema y se consiguen permisos de administrador (root) para ejecutar todo aquello que se desee sin restricciones.
De momento, solo hemos visto aprovechar esta vulnerabilidad en la nueva versión del Jailbreak pero es solo cuestión de tiempo de que los creadores de malware empiecen a desarrollar amenazas orientadas específicamente a aprovechar esta vulnerabilidad. Alguno de los ejemplos que podríamos ver dentro de poco son el envío de mensajes SMS/MMS con archivos PDF que contengan el exploit y que, una vez ejecutados, descarguen e instalen malware en nuestro dispositivo. Asimismo, en lugar de adjuntar un archivo PDF, se puede proporcionar un enlace en un email, SMS o en una web a la que accedamos usando el navegador Safari y que, una vez pinchemos sobre él, descargue y ejecute algún tipo de software malicioso.
Con respecto al interés que puedan tener los creadores de malware en infectar este tipo de dispositivos, debemos recordar que los smartphones actuales tienen capacidades similares a un ordenador y se pueden aprovechar sus recursos para enviar spam, controlar botnets de dispositivos móviles o espiar las comunicaciones realizadas a través de estos dispositivos. Representantes de Apple han comunicado que están al tanto de las vulnerabilidades y que ya se encuentran trabajando en un parche que las solucione, por lo que, desde el laboratorio de ESET en Ontinet.com recomendamos a los usuarios de estos dispositivos que estén pendientes del lanzamiento del mismo tan pronto como este se encuentre disponible.
Josep Albors
« Artículos Posteriores — Artículos Anteriores »