Archivo para 17 septiembre, 2008
Nueva técnica de infección afecta a administradores web
septiembre 17, 2008 7:00 pmEn las últimas horas hemos descubierto un nuevo vector de ataque a través de sitios web, el cual se basa en la modificación de un archivo importante, llamado .htaccess, en los sistemas que usan Apache como servidor web. El ataque se produce cuando los usuarios ingresan a servidores web que han sido vulnerados y cuyo archivo .htaccess ha sido modificado para que se produzca una redirección automática a un sitio dañino o con contenido malicioso.
Este tipo de ataques es sumamente peligroso porque cualquier persona podría ingresar realmente a cualquier sitio vulnerado y automáticamente y sin previo aviso, será redirigido al sitio dañino. Supongamos que poseemos un sitio llamado “sitio-el-usuario.com” y se encuentra lo siguiente en el archivo .htaccess:
En este caso cada vez que un usuario cualquiera ingrese al “sitio-del-usuario.com” será redirigido automáticamente a “sitio-danino.com”.
En los ejemplos que se pueden encontrar en Internet, el usuario es enviado a un sitio del nefasto WinAntivirus 2008 cuyo accionar puede conocerse a través del artículo Rogue: falsos antivirus gratis y en nuestro Video Educativo.
Como siempre el instalador (antivirus.v.1.0.20586.exe) del mismo es detectado por Heurística por ESET NOD32 como probablemente una variante de Win32/Statik:
En este caso es fundamental que todos los administradores tomen los recaudos necesarios para que sus servidores no se encuentren vulnerables y no se permita la modificación del sistema de archivos por personas inescrupolosas. Imagine la pérdida de imagen de su sitio, si el mismo modificado por este tipo de personas y que todos los visitantes de su sitio web es redirigido a un sitio malicioso.
En malware internacional alojado en sitios latinoamericanos dimos algunas recomendaciones al igual que cuando hablamos de los ataques masivo a miles de sitios webs para evitar este tipo de ataques.
Actualización 23:00 hs: cabe aclarar que el archivo .htaccess puede ser encontrado en sistemas *NIX o Windows con Apache instalado, por lo que lo descripto anteriormente aplica a cualquier configuración.
Cristian
Virus de macro (sí, otra vez)
8:12 amAl igual que como informan los amigos de Hispasec, hoy nosotros también hemos recibido un archivo de Microsoft Word con una macro que permite copiar un archivo ejecutable whlp32.exe al sistema y ejecutarlo.
Si bien este es un caso aislado y Office bloquea este tipo de macros, puede indicar que los creadores de malware están buscando otras alternativas de infección y han vuelto a poner sus ojos en los documentos de ofimática, como hace más de 10 años.
Esta macro también baja el nivel de seguridad configurado por defecto en Microsoft Word (Alto), lo que podría permitir a otros programas similares ejecutarse posteriormente sin autorización del usuario. A continuación vemos parte del código de la macro y la función que realiza esta acción particular:
En el caso de ESET NOD32, el archivo dañino es detectado como W97M/TrojanDropper.Fordo.B, donde justamente el prefijo W97M indica que se trata de un virus de Office 97 o superior.
Más vale estar prevenido confirmando que el nivel de seguridad para la ejecución de macros se encuentre en Alto ya que, al parecer, a los creadores de malware no les interesa la historia y cuan vieja sea la técnica utilizada para infectarnos.
Cristian
