Nuevo caso de falsos antivirus propagándose usando webs legítimas
El aprovechamiento de agujeros de seguridad en webs legítimas para propagar malware por parte de los cibercriminales no es algo nuevo; de hecho, en este mismo blog hemos señalado varios casos. Hoy comentamos otra campaña de este tipo que hemos venido observando desde hace días en nuestros laboratorios.
Todo empieza con la recepción de un correo electrónico, el cual tiene como remitente alguna de las muchas cuentas de usuarios que han sido sustraídas con engaños. Desde estas cuentas se envía a todos sus contactos un simple mensaje con un enlace, tal y como vemos a continuación.
Este enlace se compone de dos partes. En la primera se observa la dirección de un sitio web que ha sido comprometido, muy probablemente por presentar vulnerabilidades. Los atacantes han ubicado el enlace que redirecciona al código malicioso en uno de los directorios donde se aloja la web.
Si pulsamos sobre el enlace, aparecerá un mensaje de alerta que nos debería sonar. En efecto, se trata del mensaje característico que muestran los falsos antivirus indicando que nuestro equipo contiene múltiples amenazas, y que nos invita a realizar un análisis gratuito y rápido de nuestro sistema.
Independientemente del botón que pulsemos, se nos abrirá una nueva ventana en el navegador que simula ser el clásico explorador de ficheros de Windows XP, y donde se realiza un supuesto análisis.
Como dato curioso, este malware detecta cuándo se visita el enlace malicioso desde un sistema operativo distinto a Windows y muestra una plantilla de farmacia online en lugar del falso análisis de nuestro sistema. La imagen que mostramos a continuación, por ejemplo, fue tomada en un sistema Linux.
Una vez ha finalizado el falso análisis, se nos muestra un resumen con las supuestas amenazas encontradas, ofreciéndonos a continuación la eliminación de estas amenazas si descargamos un archivo ejecutable.
Este archivo es el código malicioso en sí y es otra variante más de un falso antivirus, que no cesará de mostrar falsas alertas y descargar otro tipo de malware mientras sugiere la compra del falso producto al usuario infectado.
Normalmente, este tipo de amenazas se propagaban usando enlaces preparados y posicionados en los primeros puestos cuando se buscaba información sobre una noticia relevante en nuestro buscador web. No obstante, de un tiempo a esta parte, hemos visto cómo tanto los falsos antivirus, además de las farmacias online y otro tipo de engaños y estafas, se aprovechan de webs legítimas con vulnerabilidades para propagar sus creaciones, sabedores de que los usuarios bajan la guardia cuando se encuentran en una web en la que confían.
Como muestra, la web usada en este ejemplo presenta un aspecto prefectamente normal si introducimos su dirección en el navegador.
Una curiosidad que nos hemos encontrado al analizar este caso es que algunas de estas webs no solo estaban siendo usadas para distribuir malware, sino que también habían sufrido un defacement o modificación por algún atacante, como en este caso.
Casos como este nos debe hacer recordar que, si nos encargamos de mantener una web, es importante revisarla periódicamente en busca de posibles agujeros de seguridad. En el laboratorio de ESET en Ontinet.com hemos observado muchos casos similares a este, y no solo en webs personales o de pequeñas empresas. Empresas multinacionales y pertenecientes a importantes medios de comunicación también han sufrido este tipo de ataques, por lo que, como usuarios, es importante que mantengamos la guardia alta, independientemente de que nos encontremos en un sitio web de confianza o no.
Josep Albors
Nuevo falso antivirus intenta suplantar a los productos de ESET
Los falsos antivirus son una variante de malware que se presenta a los usuarios como una solución de seguridad. Este tipo de código malicioso suele aparecer tras pulsar sobre enlaces preparados especialmente por los delincuentes y que utilizan, por poner solo dos ejemplos, posicionamiento ilegal en buscadores (Black Hat SEO) tras una noticia de impacto o a través de enlaces en las redes sociales.
Normalmente, vienen presentados con una interfaz amigable y que nos informa de que nuestro sistema tiene una elevada cantidad de infecciones. Lógicamente este aviso intenta provocar miedo en el usuario y hacer que adquiera la falsa solución de seguridad, solo para terminar pagando por algo que no elimina ninguna infección y además provoca que otras accedan al sistema.
En los últimos años hemos visto como este tipo de malware ha ido evolucionando, llegando a presentar interfaces muy elaboradas y afectando recientemente al sistema operativo Mac OS. Una de las técnicas que se han usado para ganar la confianza del usuario ha sido suplantar a conocidas empresas de seguridad antivirus, siendo ESET una de las que ha visto como su nombre era usado, tal y como vemos en el ejemplo a continuación:
Este tipo de falsos antivirus, también conocidos como rogue, no para de buscar nuevos vectores de infección y, en los últimos días, hemos visto como otra muestra de este tipo de malware se ha estado propagando usando el nombre de ESET.
El método usado en esta ocasión ha sido el de proporcionar un enlace a través de la red social Facebook en el que, supuestamente, se podía ver un vídeo. Cuando el usuario pulsa sobre ese enlace, se le redirige a una web con una apariencia similar a la de Youtube pero completamente falsa. Una vez allí se indica que es necesario actualizar nuestra versión de Flash Player para poder ver el vídeo.
Si el usuario pulsa sobre el enlace, descargará un archivo ejecutable con el icono y nombre de Flash Player. Al esperar el usuario un instalador de una aplicación, es muy probable que no sospeche de la extensión .exe y lo ejecute sin más, provocando así que el código malicioso infecte el sistema.
La suplantación en este caso se intenta hacer de forma que el usuario crea que el producto que se ha instalado es totalmente legítimo. Es por ello que los ciberdelincuentes no han tenido ningún reparo en utilizar el nombre de nuestra solución de seguridad ESET Smart Security para utilizarlo incluso en las ventanas de alerta e información de este falso antivirus.
No obstante, a pesar de que el usuario cree haber protegido su sistema, lo único que ha conseguido instalando este falso antivirus es que se descarguen y ejecuten cerca de 20 archivos maliciosos (dependiendo de la variante) en su sistema, además del cliente de Bitcoin para así usar los recursos de su ordenador para generar dinero virtual.
Desde el laboratorio de ESET en Ontinet.com informamos que esta amenaza es detectada por nuestras soluciones de seguridad, las auténticas 
, como Win32/Delf.CZ. Creemos importante destacar lo importante que es tener nuestra solución antivirus actualizada para que este tipo de amenazas sean detectadas al pulsar sobre un enlace malicioso y evitar que infecten así nuestro sistema.
Josep Albors
Propagación masiva de falsos antivirus para Mac
Uno de los argumentos de venta de Apple a la hora de vender sus ordenadores es que estos no son afectados por los virus de pc (entendiendo por pc aquellos con sistema operativo Windows), y efectivamente es así. Los sistemas Mac OS/X no se ven afectados por virus diseñados para sistemas Windows, pero no porque sean invulnerables, sino porque tienen arquitecturas diferentes (recordemos que la arquitectura de Mac OS/X está basada en UNIX). Pero esto no significa, ni mucho menos, que los usuarios de un ordenador Mac estén a salvo del malware.
Ya en 1982, el adelantado a su tiempo Apple II vio cómo Elk Cloner, uno de los primeros virus informáticos, se propagaba usando su plataforma, y aunque a lo largo de los años la presencia de malware ha sido muy inferior con respecto a sistemas Windows, este siempre ha estado presente. En los últimos años y coincidiendo con la expansión de los ordenadores Mac entre los usuarios (y cierto descuido por parte de Apple en materias relacionadas con la seguridad), hemos visto cómo las amenazas para este sistema aumentaban lenta pero continuamente. No obstante, raros eran los casos de propagaciones masivas y solo casos como el del gusano Koobface consiguieron un relativo éxito afectando a usuarios de Mac.
Ahora la tendencia parece estar cambiando y son varios los usuarios de Mac que, durante los últimos días, están solicitando ayuda para librarse de un tipo de malware que los usuarios de sistemas Windows conocen bien. Se trata de una variante de falso antivirus, pero pensado para sistemas Mac OS/X, que utiliza técnicas ya conocidas y que han demostrado su eficacia. Todo empieza cuando, navegando por Internet, el usuario accede a un sitio web comprometido, bien siguiendo un enlace o buscando imágenes en Google, por ejemplo. Es entonces cuando aparece la pantalla que mostramos a continuación simulando ser un análisis de nuestro sistema.
Este falso análisis está muy bien diseñado para simular ser nuestro Finder (explorador de archivos en Mac) y no parará de mostrarnos alertas de amenazas detectadas en nuestro sistema. Asimismo, la utilización de nomenclaturas como “Apple Security Center” o “Apple Web Security” confunden al usuario hasta el punto de llegar a pensar que se trata de una aplicación oficial. Tal y como sucede con los falsos antivirus para Windows, tras el análisis se nos invitará a instalar un antivirus (que puede tener nombres como Mac Defender, Mac Protector o similares) que solucionará todos los problemas detectados. En este punto interviene una de las medidas de seguridad de los sistemas Apple y es que se solicitará una contraseña para instalar la aplicación maliciosa. Por desgracia, la mayoría de usuarios introducen la contraseña sin pararse a pensar si la aplicación que van a instalar es o no legítima.
Una vez instalado en nuestro sistema, la estrategia usada es la misma que en sistemas Windows. El falso antivirus no parará de detectarnos amenazas inexistentes en nuestro sistema, nos recordará constantemente que hemos de pagar por la licencia del producto y nos aparecerán ventanas emergentes de sitios pornográficos en nuestro navegador.
Uno de los factores que más ha ayudado a propagar este tipo de amenazas es una opción activada por defecto en el navegador Safari, presente en todos los sistemas Mac OS/X. Esta opción hace que, una vez descarguemos un archivo, se ejecute si el navegador lo considera seguro. No obstante, la percepción de seguridad que tiene Safari dista mucho de ser la más adecuada y en casos como el que estamos analizando hace que la ejecución del malware se realice casi de forma automática.
Es recomendable desactivar esta opción, ubicada en las Preferencias del navegador, o usar otro navegador como Firefox o Chrome. Asimismo, el falso antivirus puede ser desinstalado como cualquier otra aplicación, puesto que se mostrará junto con el resto.
No obstante, el problema principal sigue siendo la percepción comúnmente aceptada de que no existe el malware para sistemas Mac. Empezando por la propia Apple, la campaña de marketing realizada para divulgar a los cuatro vientos que sus sistemas no sufren las amenazas que padecen diariamente los usuarios de Windows ha calado hondo y aún hoy, e incluso viendo las evidencias, muchos usuarios negarán la existencia de malware en sus sistemas. Existen incluso testimonios de empleados de Apple Care que afirman que la situación del malware en Mac empeora cada día y que la propia compañía les prohíbe dar soporte a usuarios infectados para que puedan eliminar esta amenaza.
Lamentablemente, esa actitud no hace sino favorecer a los ciberdelincuentes para que sigan propagando sus creaciones, y si hace unos años era prácticamente impensable instalar una solución antivirus en un Mac, a día de hoy se hace realmente necesario para evitar amenazas como la que comentamos y las que vendrán.
Josep Albors
Terremoto en Japón y BlackHat SEO
Esta mañana nos hemos despertado con la noticia de un terrible terremoto en Japón de magnitud 8.9 (uno de los más grandes de su historia). En el momento de escribir esta entrada en el blog, las noticias que nos llegan desde esa zona aun resultan confusas aunque, debido a la excelente preparación y la consciencia que se tiene en la sociedad japonesa para hacer frente a esos desastres, las víctimas mortales y heridos no son tantos como cabría esperar ante un desastre de tal magnitud.
Lo que sí que ha dado la vuelta al mundo a estas horas son los impresionantes videos difundidos por los medios de comunicación que muestran los efectos del tsunami provocado por el movimiento sísmico. Pero también los propios ciudadanos están publicando sus vivencias tras el desastre. Por ejemplo, el conocido bloguero Kirai está proporcionando via Twitter (@kirai) fotografías tomadas por él mismo que nos permiten ver que está pasando en Tokio horas después de sufrir este terrible terremoto.
Obviamente, hoy y durante los próximos días, todas las miradas van a estar puestas en las noticias que llegan desde Japón, tanto mediante los medios tradicionales (televisión, radio y prensa) como desde Internet. Conocedores de esto, los ciberdelincuentes deben estar terminando de preparar sus kits de posicionamiento para que se muestren los enlaces maliciosos cuando los usuarios busquemos información sobre esta noticia.
Ya existen precedentes, como el terremoto de Haití, donde vimos como muchos usuarios cayeron en la trampa preparada por los ciberdelincuentes al instalarse falsos antivirus y otro tipo de malware cuando accedían a enlaces que, supuestamente, proporcionaban información del desastre o sobre como ayudar a las víctimas. La diferencia ahora es que no solo se usarán las técnicas de envenenamiento de resultados en buscadores web, si no que las redes sociales, tan activas como esenciales en los últimos acontecimientos internacionales, jugarán un papel importante a la hora de propagar malware camuflado entre las noticias de usuarios que informan sobre este desastre.
Así pues, debemos estar atentos a la hora de buscar información en Internet sobre esta noticia puesto que, sin duda, va a ser una de las más aprovechadas para intentar infectar al mayor número de usuarios. Debemos prestar especial atención a los enlaces cortos que suelen usarse en Twitter y Facebook, puesto que pueden enviarnos a páginas maliciosas y no darnos cuenta hasta que ya hayamos accedido a las mismas.
Desde el laboratorio de ESET en Ontinet.com seguiremos informando sobre los casos de malware que se aprovecha de esta noticia para evitar que nuestros lectores caigan en la trampa preparada por los ciberdelincuentes.
Josep Albors
El malware al acecho de Google
Este fin de semana, hemos leído un interesante artículo en el blog de Gizmodo sobre el término Hiybbprqag. Y hemos querido investigar el malware al que se hacía referencia en esta entrada.
Para ponernos en situación, la historia comienza cuando un empleado de Google en Taiwán, registró el dominio http://www.hiybbprqag.com, inspirado en búsquedas de palabras sin sentido que Google descubrió que guiaban a los mismos resultados en el buscador de Bing. Este enlace redirige al apartado empleo de Google en los Estados Unidos. También hemos comprobado que ya existen perfiles en Facebook y en Twitter haciendo referencia a Hiybbprqag.
Falso antivirus Security Shield
Hemos detectado una nueva variante de este falso antivirus llamado Security Shield, del cual hablamos hace unos días por motivo del gusano que se propagaba a través de Twitter, en el que se proporcionaba un enlace el cual accedía a la descarga de este falso antivirus.
Hoy hemos estado recibiendo alertas de correos electrónicos sin asunto, dirigidos a varios destinatarios a la vez, en el que se muestra solo un enlace alojado en un servidor chino. El correo parece ser provocado por una infección en el sistema que utiliza la lista de contactos personal del usuario infectado para proporcionar el enlace. Al acceder al mismo podemos ver lo siguiente:
Tanto si aceptamos como si cancelamos, se maximizará una falsa ventana en la que se nos indicará que nuestro equipo está hasta arriba de troyanos, dando la opción de ayudarnos a eliminarlos fácilmente:
Al hacer clic en cualquier parte de la ventana nos aparecerá la descarga del archivo pack.exe, que al instalarse en el sistema nos infectará con el falso antivirus Security Shield:
Al instalarse, se inicia automáticamente y realiza un análisis mostrando falsos resultados:
Para realizar cualquier operación de limpieza nos remite a esta ventana para realizar el pago correspondiente:
Nos ha llamado la atención que la aplicación tiene la posibilidad de mostrarse en varios idiomas, sorprende el cuidado con el que han realizado la traducción en castellano de la aplicación:
Desde el departamento técnico de ESET en Ontinet.com, queremos aconsejar a los internautas que utilicen el sentido común y no abran correos electrónicos sospechosos, en este caso el correo carecía de asunto y sólo mostraba una url infectada. Al igual que recomendamos tener instalada una solución antivirus correctamente actualizada.
David Sánchez
Nuevo gusano se propaga a través de Twitter
El uso de las redes sociales como medio de propagación de amenazas es ya algo habitual, si bien es cierto que hay redes más propensas a recibir este tipo de ataques. Normalmente, Facebook se lleva la palma y, a diario, vemos perfiles falsos que intentan engañar a los usuarios poniendo enlaces para que realicen encuestas o descarguen códigos maliciosos. No obstante, en el día de ayer observamos como una nueva amenaza en forma de gusano empezaba a propagarse a través de Twitter.
Los mensajes maliciosos iniciales solo contenían un enlace usando el acortador de direcciones web de Google (goo.gl), aunque pronto fueron muchos los usuarios que hicieron un “retweet” de los mismos propagando la amenaza. Nuestros compañeros de ESET Latinoamérica realizaron una investigación sobre estos enlaces maliciosos y descubrieron que, si un usuario pulsaba sobre uno de estos enlaces era redirigido a varias webs con el nombre m28sx.html. Estas webs alojaban un código malicioso en forma de falso antivirus de nombre Security Shield que, nada más acceder a la web que lo albergaba, comenzaba un falso análisis, detectando amenazas inexistentes en nuestro sistema e invitándonos a descargar la falsa aplicación de seguridad.
Por suerte, Twitter reaccionó rápido y, en pocas horas, la mayoría de enlaces maliciosos ya estaban bloqueados, tal y como puede observarse en la imagen que podemos ver a continuación:
Se desconoce el número de usuarios que resultó afectado por esta amenaza pero considerando que, precisamente ayer, se dio a conocer la noticia de que Twitter había alcanzado los 200 millones de usuarios que generaban 110 millones de mensajes al día, es muy probable que se trate de varios millares. Asimismo, con esa cantidad de usuarios, es comprensible que los ciberdelincuentes utilicen cada vez más esta red de microblogging para propagar sus amenazas.
Desde el laboratorio de ESET en Ontinet.com recordamos a nuestros usuarios que, igual que debemos desconfiar de los enlaces incluidos en correos electrónicos o páginas web sospechosas, hemos de ser especialmente cuidadosos con los enlaces que encontramos en mensajes de Twitter, debido a que estos suelen estar compactados por los acortadores de direcciones web y no sabemos exactamente a donde nos dirigen hasta que ya es demasiado tarde y hemos pulsado sobre él.
Josep Albors
Falsos antivirus, ahora también en formato utilidades del sistema
Las aplicaciones que simulan ser un antivirus pero que en realidad son códigos maliciosos hace tiempo que se convirtieron en una amenaza cotidiana, llegando a protagonizar autenticas epidemias de malware y ocupando los primeros puestos de amenazas detectadas. Este tipo de programas se aprovecharon de una concienciación cada vez mayor de los usuarios al respecto de la seguridad de su sistema. Conscientes de que necesitaban un antivirus, muchos usuarios se lanzaron a buscar un producto bueno, bonito y barato (a poder ser, gratuito) y los creadores de malware empezaron a distribuir falsos programas antivirus aprovechándose también de un posicionamiento privilegiado en los buscadores usando técnicas de Black Hat SEO.
Así hemos estado varios años, viendo aparecer cada cierto tiempo nuevas versiones de estos falsos antivirus (también conocidos como rogue security software en inglés) que cambiaban su nombre o hacían más atractiva su interfaz, pero siempre manteniendo su intención de infectar al usuario y, de paso, cobrarle por ello. No obstante, ahora que parece que muchos usuarios ya saben de la existencia de estos falsos antivirus, los creadores de los mismos han decidido modificar ligeramente su estrategia.
En nuestro laboratorio hemos empezado a ver muestras de aplicaciones del sistema falsas que nos alertan de la necesidad de, por ejemplo, desfragmentar nuestro disco duro o reparar nuestro registro de Windows. La mecánica que usan es muy similar a la que ya conocemos en los falsos antivirus. Accedemos a un enlace web y automáticamente se nos indica que hay errores en nuestro sistema que necesitan ser reparados, iniciándose a continuación un análisis.
Si dejamos que el análisis finalice o lo detenemos, nos aparecerá una ventana mostrándonos todos los errores encontrados en nuestro disco duro o sistema. Obviamente, no existen tales errores y lo que se pretende es asustar al usuario para convencerlo de que compre esta falsa utilidad. En el caso de que lo haga, no solo no solucionará ningún error si no que habrá infectado su sistema.
Como vemos, esta estrategia supone una ligera evolución que, aunque simple, no deja de ser efectiva y amplia el espectro de posibles víctimas que hasta el momento estaba limitado a aquellas personas que buscaban una solución de seguridad. Desde el laboratorio de ESET en Ontinet.com recomendamos desconfiar de este tipo de aplicaciones y, si deseamos utilizar alguna de las auténticas herramientas del sistema que existen, nos informemos primero de cuales son las más recomendadas y llevan más tiempo en el mercado.
Josep Albors
Rogueware que emula una herramienta del sistema
Muchos usuarios se han visto afectados alguna vez por aplicaciones de tipo Rogueware. Desde nuestro blog hemos informado en muchas ocasiones de los métodos que utiliza este tipo de malware para propagarse, que en la mayoría de ocasiones, se presenta como una falsa aplicación antivirus.
Desde Hispasec, nos informan de un nuevo rogueware que se está propagando por la red, el cual imita a una aplicación que supuestamente ofrece varias herramientas del sistema. A continuación os mostramos el vídeo que han realizado mostrando el funcionamiento de este malware y de las formas que puede activarse si el equipo llega a infectarse:
Tal y como mostramos en la definición de Rogueware, son aplicaciones que intentan parecerse a otras y, al contrario de lo visto hasta ahora, destacamos que este nuevo malware intenta emular herramientas típicas del sistema, como pueden ser el desfragmentador de Windows, el scandisk, herramientas de limpieza de temporales y archivos, etc. Algunos de los nombres utilizados por esta aplicación son SystemDefragmenter, ScanDisk, CheckDisk, QuickDefragmenter.
Desde el departamento técnico de ESET en Ontinet.com, les aconsejamos precaución a la hora acceder a la descarga de cualquier aplicación desde páginas externas a las del fabricante y además, tener instalada una solución antivirus actualizada para evitar este tipo de malware.
David Sánchez
Llamadas desde el falso soporte técnico
Las técnicas usadas por los creadores de malware para esparcir sus creaciones no conocen límites. Buena prueba de ello son los ya familiares falsos antivirus, aplicaciones que se camuflan de soluciones de seguridad y que no hacen más que infectar al usuario y robarle los datos de su tarjeta de crédito si este se decide a comprarlas. Este tipo de malware es uno de los más comunes en la actualidad y son muchos los usuarios que caen en esta trampa.
Ahora parece que esta estrategia ha evolucionado, también, fuera del ciberespacio y, desde hace meses, venimos observando casos de llamadas telefónicas que se realizan ofreciendo un falso servicio de soporte técnico. Este servicio se publicita como si de una empresa legal se tratase, suplantando nombres de empresas autenticas como Microsoft, Adobe o incluso ESET y otras casas antivirus. Si se consigue ganar la confianza del usuario que recibe la llamada, es muy probable que este acepte el servicio y proporcione los datos de su tarjeta de crédito o instale algún software malicioso guiado por las instrucciones del operador telefónico.
David Harley, experto investigador de ESET, ha hablado largo y tendido sobre este tipo de engaños, llegando incluso a recibir una llamada por parte de uno de los operarios que ofrecen este falso soporte. Como él mismo comenta, esta técnica de ingeniería social se aprovecha de la creciente necesidad de los usuarios inexpertos de recibir soporte técnico cuando ocurre alguna incidencia con su ordenador. Actualmente, somos mayoría quienes usamos un ordenador de forma más o menos frecuente pero, desafortunadamente, no todos disponemos de los conocimientos necesarios para afrontar diferentes problemas que puedan aparecer, como la eliminación de un malware o la instalación de unos drivers, por poner solo dos ejemplos.
Si algo bueno podemos sacar de este nuevo tipo de engaño es que los delincuentes se adaptan a lo que buscan los usuarios y, tanto con los falsos antivirus como en estos casos de ofrecimiento de falso soporte técnico, se demuestra que la concienciación sobre la seguridad de nuestros sistemas es ahora mayor que hace unos años. Desde el laboratorio de ESET en Ontinet.com, animamos a todos aquellos usuarios que deseen aumentar sus conocimientos sobre seguridad informática, a mantenerse informado con blogs como este y a utilizar únicamente soluciones de seguridad legítimas para proteger sus sistemas.
Josep Albors
Artículos Anteriores »