Zeus, ahora también en Android
Desde que la botnet Zeus empezó a afectar a dispositivos móviles en septiembre del año pasado, varios han sido los sistemas operativos móviles que se han visto afectados. La infección empezó en Symbian para, poco después, extenderse a Windows Mobile y Blackberry.
La posibilidad de crear una red zombie de dispositivos móviles, tal y como ya ocurre con ordenadores de sobremesa y portátiles, fue algo demasiado atractivo para los ciberdelincuentes como para dejar pasar la oportunidad.
No obstante, Android, a pesar de ser el sistema móvil más usado, aún no había recibido su correspondiente versión. Al menos hasta hace poco, puesto que ya se han empezado a detectar las primeras muestras.
En los laboratorios de ESET se han detectado muestras de un troyano de nombre Spy.SmsSpy camuflado como una aplicación de seguridad de la compañía “Trusteer”, pero, a diferencia de las variantes de Zeus en otros sistemas móviles, la funcionalidad de la versión para Android es bastante reducida.
En concreto, las variantes detectadas hasta el momento interceptan los mensajes de autenticación que son enviados por algunas entidades bancarias cuando realizamos alguna operación bancaria y los reenvían a los delincuentes. De esta forma, si el usuario se conecta a la banca online desde su dispositivo móvil, el troyano recopilará todos los datos necesarios para realizar transacciones fraudulentas.
A pesar de no contar aún con características como la recepción de comandos vía SMS o el cambio de los servidores de control si estos son desactivados, es muy probable que se añadan en futuras versiones de este malware.
Desde el laboratorio de ESET en Ontinet.com pensamos que la base de usuarios de Android es demasiado grande para que los delincuentes detrás de la botnet Zeus la ignoren. Es por eso que esperamos que aparezcan versiones mejoradas de esta familia de troyanos por lo que es esencial contar con una protección eficaz en nuestro dispositivo móvil.
Josep Albors
Phishing de Visa y Mastercard en España
Cuando hablamos de casos de phishing, normalmente nos referimos a la suplantación de entidades bancarias. No obstante, este tipo de engaños también puede afectar a juegos online o, como el caso que comentamos hoy, directamente a dos de las más importantes empresas de tarjetas de crédito.
Este engaño llega en forma de correo electrónico y tiene como remitente una dirección (visa-master@sac.info) que nos hace pensar que el email ha sido enviado conjuntamente por estas dos compañías (cosa altamente improbable). Este hecho, junto a una redacción un tanto pobre, debería hacernos pensar si debemos pulsar sobre el enlace.
En el caso de que pulsemos, seremos redirigidos a un enlace donde se nos pedirá nuestros datos personales. Como curiosidad, se nos indica que ese sitio web utiliza cifrado SSL cuando no es así y se puede verificar en la misma barra de direcciones del navegador, ya que no aparece indicación alguna que nos lo asegure.
Seguidamente se nos solicitará los datos de la tarjeta de crédito, datos que incluyen el nombre del titular, el número, su código CVV, pin de seguridad, fecha de expiración y DNI. Con todos estos datos, los delincuentes podrán realizar pagos con todas las tarjetas robadas, tanto de forma online como en tiendas físicas, o incluso sacar dinero de los cajeros automáticos.
Una vez finalizada la introducción de datos se nos redirigirá a la web auténtica de Visa España. Nótese la diferencia con respecto a la web suplantada, ya que la auténtica incluye la letra ñ. Esto demuestra que los delincuentes que hay detrás de este engaño no se han molestado en localizar completamente el ataque.
Aun a pesar de los fallos cometidos por los creadores de esta estafa (mala localización lingüística, enlaces que no tienen relación con los verdaderos, etc.), son muchos los usuarios que ignoran estas advertencias e introducen los datos de sus tarjetas.
Desde el laboratorio de ESET en Ontinet.com volvemos a recordar, una vez más, que ni las entidades bancarias ni aquellas empresas responsables de nuestras tarjetas de crédito se pondrían en contacto por email para comunicarnos un problema, y mucho menos nos pedirían que introduzcamos nuestros datos en una web sin ningún tipo de cifrado.
Josep Albors
Los enlaces maliciosos de Facebook se adaptan al verano
Imprimir
Que los creadores de los engaños y estafas en las redes sociales están ojo avizor para adaptar sus campañas de propagación y hacerlas cada vez más atractivas e irresistibles es algo que ya sabíamos. Pero al parecer, la época estival es una excusa ideal para lanzar nuevas campañas a través de nuevos enlaces y conseguir que muchos usuarios caigan en sus trampas.
En los últimos días hemos estando observando la propagación de diferentes enlaces a través de Facebook que tienen en común determinadas características. Una de ellas es la temática veraniega y los consecuentes efectos de las altas temperaturas, y la otra es que están orientados al público español. Veamos un ejemplo:
Como vemos, el enlace es de lo más sugerente, suficiente para que muchos usuarios decidan pulsar sobre él y pasar un buen rato en los calurosos días (y noches) estivales. Al hacer clic, nos dirige a una web donde, si observamos, comenzamos a percibir cosas extrañas a poco que nos fijemos en los detalles.
Antes de ver el supuesto video se nos muestra un mensaje solicitándonos que confirmemos que somos mayores de edad. Hasta aquí, podría parecer normal. Pero este enlace, a pesar de usar un diseño como el de Facebook, se encuentra fuera de esta red social. Primera señal de alerta.
También resulta extraño que el botón que tenemos que pulsar no esté en nuestro idioma. Aunque a primera vista puede parecer que su significado derive del “ja” alemán, cuyo significado es “sí”, en realidad se trata de una palabra finlandesa cuya traducción literal sería “compartir”, pero que adaptado a Facebook equivaldría a pulsar el botón “Me gusta”.
Si pulsamos sobre la tecla “Jaa” pasaremos a otra web donde se nos pedirá volver a confirmar que aceptamos “compartir” este enlace. Curiosamente, todas las opciones vuelven a estar en finlandés, siendo la opción “Peruuta” la equivalente a “Cancelar”.
Si a pesar de las claras señales de advertencia nos empeñamos en seguir adelante, este enlace se copiará en nuestro muro, provocando que nuestros contactos también puedan caer en la trampa. A todo esto, el usuario seguirá sin poder ver el video, ya que en realidad no existe y sólo se trata de un gancho para atraer a más gente.
Por si fuera poco, no contentos con ensuciar nuestro muro con este tipo de mensajes, se nos abrirá una nueva web en las que se nos ofrece introducir nuestro número de teléfono. Algunos usuarios creerán equivocadamente que al introducirlo recibiremos un código para visualizar el video inexistente, pero lo único que conseguiremos haciéndolo es suscribirnos a un sistema de envío de mensajes premium de elevado coste.
Como siempre, los avezados estafadores buscan engañar a sus víctimas con cualquier tipo de gancho. Sobre todo en verano, cuando estamos más distendidos y nos apetece más ver y compartir otro tipo de contenido. Desde el laboratorio de Ontinet.com, distribuidor en exclusiva para España de ESET, recomendamos extremar las precauciones con los calores estivales y evitemos ser un canal más de distribución de este tipo de amenazas. Tus amigos de Facebook te lo agradecerán 
.
Josep Albors
Spam de Facebook ofrece Viagra
La suplantación de empresas, organismos e incluso de las fuerzas de seguridad en los correos spam es algo a lo que estamos acostumbrados cuando analizamos los múltiples casos que recibimos a diario en nuestro laboratorio. Entre todos estos ejemplos, aquellos correos electrónicos que dicen venir remitidos por alguna red social son los más abundantes.
Si la semana pasada comentábamos el uso de la recién creada Google+ como gancho para dirigir a los usuarios a farmacias online, durante este fin de semana hemos visto cómo se ha vuelto a usar Facebook con la misma finalidad. Está claro que, una vez pasada la novedad, es preferible volver a tácticas de probada eficacia.
Como observamos en la imagen, el correo suplanta muy bien a los de Facebook, al menos en la parte visual, y muestra un enlace que dice provenir del departamento de soporte de la compañía. Obviamente, este enlace es falso y en verdad dirige a otros sitios que ofrecen medicamentos en farmacias online.
Este tipo de spam es bastante frecuente y su recurrencia es debido al bajo coste que supone generar campañas similares y a que muchos usuarios siguen adquiriendo medicamentos usando estas webs. Esto no es nada recomendable, puesto que, la mayoría de las veces, se trata de falsificaciones sin ningún tipo de control médico que, en el mejor de los casos, actuarán como placebo y no tendrán ningún efecto en el usuario salvo el de hacerle sentir que ha sido estafado.
Desde el laboratorio de ESET en Ontinet.com recomendamos evitar pulsar sobre los enlaces que contienen este y otros mensajes similares. Si tenemos alguna notificación importante por parte de las redes sociales que usamos, lo más seguro es que se nos notifique también usando el sistema de mensajería interno de esa red, por lo que siempre será preferible que accedamos a nuestra cuenta desde el navegador.
Josep Albors
ESET te invita a la Campus Party
Como cada año por estas fechas, está a punto de abrir sus puertas Campus Party. Del 11 al 17 de julio se celebrará en Valencia el que es considerado como el mayor evento de tecnología y ocio digital de España y una de las mayores concentraciones de videojugadores del mundo.
ESET no podía faltar a esta cita y, como uno de los patrocinadores, queremos ofrecer pases de un día entre todos nuestros lectores. Disponemos de diez pases que entregaremos a los diez primeros que nos envíen un correo a la dirección marketing(at)ontinet.com, indicando en el asunto que desean obtener este pase.
Recordamos que, entre todas las actividades que se realizarán a lo largo de la semana en la Campus Party, ESET patrocina el concurso de Wargame, una competición global de hacking ético en la que los participantes tendrán que superar varias fases relacionadas con redes, seguridad web, ingeniería inversa, trivial o cifrado. Todo ello organizado por los expertos de Security by Default.
Las pruebas tendrán lugar a lo largo de toda la semana y se dará a conocer a los ganadores el sábado 16 de julio. Nuestro director de comunicación, Josep Albors, será el encargado de entregar el premio.
Además, Josep impartirá dos conferencias dentro del Área de Seguridad y Redes. La primera, el martes 12 de julio a las 19.00 horas en el Escenario Innovación Ágora, versará sobre las principales amenazas activas que están distribuyéndose a nivel mundial y que amenazan nuestra actividad diaria.
La segunda tendrá lugar el viernes 15 de julio, a las 20.00 horas y en el mismo escenario. En ella desvelaremos las claves sobre cómo operan los creadores de malware: el proceso de crear nuevas amenazas y ponerlas en circulación, qué tipos de datos obtienen y cómo les sacan beneficio económico, cómo están utilizando las redes sociales para optimizar la distribución de sus creaciones y, por lo tanto, llegar a contar con más víctimas, etc.
Por último, os recordamos que ESET patrocina al equipo profesional de jugadores ESET X6Tence Sports Club, que también tendrá su zona reservada en Campus Party Valencia 2011: un espacio donde jugadores de diferentes puntos de España se enfrentarán en partidas de los juegos más conocidos y obtendrán como recompensa antivirus gratuitos, camisetas oficiales del equipo y demás sorpresas.
¡Os esperamos en la Campus Party!
Troyano usa la infidelidad para infectarte
Los ganchos que emplean los ciberdelincuentes para que los usuarios caigan en sus trampas pueden ser de todo tipo. Ayer mismo veíamos cómo se usaba el tema de las invitaciones a Google+ como gancho para propagar una nueva campaña de spam de farmacias online.
Hoy analizamos otro tipo de correo que usa otra técnica, la de despertar la curiosidad en el usuario para que pulse sobre los enlaces proporcionados. Veamos uno de los múltiples correos que hemos recibido en nuestro laboratorio y que intenta convencernos de que nuestra pareja nos está siendo infiel.
Tras leer el correo, uno se puede quedar tan sorprendido que puede obviar más de un detalle que nos ayudaría a verificar que este correo es falso. Obviamente, mucha gente leerá únicamente lo que le interesa (más aun si ya desconfía de su pareja) y pulsará sobre los enlaces maliciosos proporcionados.
No obstante, si nos fijamos en aspectos como el remitente, evitaremos caer en la trampa. Para empezar, los correos que hemos recibido tienen como remitente a alguien con nombre y apellidos bastante comunes, por lo que es más que probable que muchos de los receptores del mensaje tengan algún conocido con esos datos.
Seguidamente, si analizamos la cabecera del mensaje comprobaremos que la dirección de correo no es la que dice ser y que se ha usado técnicas de spoofing para suplantar la de una conocida red social.
Asumiendo que muchos usuarios ignorarán estas advertencias y que primarán las sospechas sobre su pareja antes que las señales que indican claramente que este mensaje es falso, lo más probable es que muchos usuarios se encuentren con la descarga del siguiente archivo:
Nos encontramos de nuevo ante un archivo con doble extensión llamado Imagen_jpg.exe. A pesar de que esta técnica es bastante simple, son muchos los usuarios que no se fijan en algo tan importante como la extensión del archivo que quieren abrir y resultan infectados.
Afortunadamente, si se cuenta con un antivirus actualizado lo más probable es que esta amenaza sea detectada cuando intentemos descargarla. En el caso de las soluciones de seguridad de ESET, este código malicioso es detectado como un troyano Win32/VB.PXK.
Desde el laboratorio de ESET en Ontinet.com nos gustaría recordar que no importa el asunto del mensaje, siempre debemos permanecer alerta y fijarnos en los detalles que puedan hacernos sospechar de un correo malicioso. El antivirus puede ayudarnos a bloquear este tipo de infecciones, pero siempre es mejor si usamos nuestro sentido común y enviamos este tipo de mensajes a la papelera directamente.
Josep Albors
Google+ como gancho en correos spam
No cabe duda de que la nueva red social Google+ está dando mucho que hablar en los últimos días. La apuesta de Google para intentar competir con Facebook parece que ha despertado el interés de muchos usuarios, al menos por lo exclusivo de la red, a la que, de momento, solo se puede acceder previa invitación.
Esto ha hecho que no sean pocos los usuarios que están esperando una invitación para entrar a probar esta nueva red social, cosa que han aprovechado los spammers para lanzar una nueva campaña.
Simulando ser una invitación de Google+, hemos detectado varios correos que se hacen pasar por una invitación para acceder a este nuevo servicio. Como quiera que la expectación por ser invitado a formar parte de esta red social es bastante elevada, es muy probable que no pocos hayan caído en la trampa y hayan pulsado sobre el enlace.
De momento, solo se han detectado casos en los que el enlace proporcionado redirigía a farmacias online, pero siempre cabe la posibilidad de que, si ha tenido éxito, se repita, pero usando el enlace para propagar malware.
Desde el laboratorio de ESET en Ontinet.com recordamos que los ciberdelincuentes están muy atentos a la actualidad y siempre se aprovechan de la ingeniería social para hacer caer en la trampa a los usuarios. No les pongamos las cosas fáciles y asegurémonos antes de pulsar sobre cualquier enlace.
Josep Albors
Actualización de la botnet TDSS con comunicación P2P
La botnet TDSS lleva años siendo una de las más persistentes y sofisticadas, capaz incluso de infectar máquinas de 64 bits con una efectividad casi desconocida hasta ahora e incluso de eliminar a competidores como Zeus. Actualmente se cree que controla más de 4.5 millones de equipos y las modificaciones que sus creadores hacen a los bots para mejorar su funcionamiento y evitar ser detectados son de lo más avanzado que hemos visto en nuestros laboratorios.
Desde Ontinet.com, distribuidor en exclusiva de ESET, a través de los diferentes laboratorios de seguridad, estamos siguiendo de cerca la evolución de esta botnet y tenemos a expertos investigadores que monitorizan cada cambio que pueda experimentar. Fruto de esa investigación es el documento técnico (en inglés) que ponemos a disposición de todo aquel desee conocer a fondo el funcionamiento de esta botnet.
Para los más profanos en la materia, aclarar que cuando un equipo resulta infectado por un bot, entra a formar parte de una red llamada botnet junto con otras máquinas comprometidas. Los ordenadores infectados por bots se denominan zombies, ya que están esperando órdenes. Cuando un ciberdelincuente toma el control de una botnet, se dedica a enviar órdenes a dichas máquinas sin que los propietarios sean conscientes. Así, puede utilizarse para enviar spam, distribuir malware, almacenar datos robados, etc. Obviamente, también existe una comunicación inversa en las que las máquinas infectadas envían información a ese botmaster o ciberdelincuente.
« Artículos Posteriores