Archivo para octubre, 2008
Habemus gusano Gimmiv para la vulnerabilidad de Microsoft
octubre 24, 2008 8:23 pmPerfiles falsos y spam en Facebook
10:31 amHaciendo un recorrido por Facebook (o cualquier otra red social) y realizando ciertas búsquedas, es relativamente sencillo encontrar perfiles falsos y publicidad de sitios que ofrecen servicios para adultos, generalmente promocionados con fotos de contenido sexual.
Estas acciones demuestran la facilidad con que las personas inescrupulosas se mueven en el mundo virtual y adoptan los nuevos medios de comunicación para llegar masivamente al público ya que las redes sociales también pueden ser utilizadas para propagar malware.
Este tipo de perfiles están expresamente prohibidos en las redes sociales y se deberían denunciar al momento de encontrarlas. En los casos mostrados, luego de denunciarlos, los perfiles fueron eliminados.
Cristian
Confiar o no confiar, esa es la cuestión
octubre 23, 2008 2:24 pmSi Shakespeare leyera este título seguro se enojaría mucho 
Pero a pesar de ello, seguramente entendería que es muy alusivo a la ambigüedad que en la actualidad vivimos frente a los códigos maliciosos y la confianza.
Veamos un reciente encuentro que tuve en un sitio web cuyo nombre no se refiere en lo más mínimo a poseer algún componente malicioso y que quizá no levantaría sospechas, por lo menos en un primer momento. La cuestión es que, al ingresar al sitio web www.quick[ELIMINADO].com, se ofrece la descarga de un archivo:
Si bien a simple vista parecería ser una página “confiable”, existen al menos tres características que la hacen sumamente desconfiable y a las cuales, como usuarios, debemos estar atentos para poder identificar el engaño.
En primer lugar, en la barra de estado podemos leer que el nombre de la página, como decía en un principio, no hace alusión a nada malicioso. Sin embargo, el segundo punto es que, lo primero que vemos en la ventana es “setup.exe” más la leyenda “Fresh Free Hardcore Movies“, muy común de encontrar en sitios web con contenido pornográfico. ¿Qué tiene que ver el nombre del sitio con este contenido? Nada.
En tercer lugar, el segundo recuadro marca la supuesta verificación de que el archivo a descargar se encuentra, en teoría, libre de códigos maliciosos ya que, aparentemente ha sido previamente verificado por un programa antivirus según la leyenda “100% checked by Antivirus”.
Con ello se busca ganar la confianza del usuario creando en él una falsa sensación de seguridad ¿usted depositaría toda su confianza en lo que dice la ventana de descarga? Yo creo que no.
Cada vez es más común encontrar este tipo de métodos de engaño donde un porcentaje realmente alto de usuarios caen en la trampa; por lo tanto, es importante adoptar medidas preventivas como la implementación de un programa antivirus, como ESET NOD32, que permita detectar las amenazas. En este caso, se trata de un rogue detectado bajo el nombre de Win32/Adware.Antivirus2008.
Con respecto a este malware en particular, quienes deseen saber más sobre él, pueden leer el artículo Rogue: Falsos antivirus gratis que explica su funcionamiento y/o ver el Video Educativo el cual muestra lo qué deberíamos hacer para evitar su infección.
Jorge
Sitio falso de eMule propaga troyano
octubre 22, 2008 10:11 amEn esta ocasión, nuestro Laboratorio ha encontrado un nuevo caso mediante el cual se aprovecha un sitio web para la propagación de códigos maliciosos. Se trata de una página que ofrece la descarga del conocido cliente de descarga de archivos para redes P2P, eMule. A continuación pueden ver una captura de la falsa web, que simula ser la oficial:
Los usuarios desprevenidos que accedan a la descarga del archivo en cuestión, descargarán en realidad un código malicioso que tanto ESET NOD32 como ESET Smart Security detectan bajo el nombre de Win32/Adware.NaviPromo. Un malware que, además de ejecutar constantemente ventanas emergentes con publicidad, posee propiedades de rootkit mediante el cual oculta su proceso malicioso.
Es importante que los usuarios que habitualmente utilizan las redes P2P para la descarga de archivos, sean conscientes que representan uno de los vectores más aprovechados para la propagación de diferentes códigos maliciosos, por lo que debemos actuar y prevenir en consecuencia. En nuestro artículo el malware en las redes P2P podrán encontrar más información sobre la relación que une a los códigos maliciosos con este tipo de redes.
Pero, miremos este malware con más detalle. Si comparamos los instaladores, es decir, el descargado desde el sitio web oficial del proyecto eMule y el descargado desde el sitio malicioso, notamos algunas leves diferencias como: cambia el nombre y el archivo malicioso es más pesado. Veamos una captura:
Al momento de la instalación, también se observa una leve diferencia:
El tema es que, una vez ejecutado, el malware instala el verdadero programa eMule pero, paralelamente, también instala el malware en cuestión activando un proceso malicioso llamado “ftddkbah.exe“, además se asegurar su ejecución en cada reinicio al agregar una referencia en la clave Run del registro.
Al finalizar la instalación, ejecuta una instancia del navegador abriendo una página web similar a la que se muestra en la próxima captura, desde la cual ofrece la descarga de un archivo llamado “Instant-Access.exe“. Como se podrán imaginar, se trata de otro malware, en este caso llamado Win32/Dialer.InstantAccess.NAE, un tipo de troyano diseñado para acceder a determinados sitios web, por lo general con contenido pornográfico, a cambio de costosas tarifas telefónicas.
Como podrán apreciar, la propagación de malware se puede realizar, y de hecho se realiza, a través de diferentes vectores como se demuestra en este caso, donde la prevención por parte del usuario radica principalmente en la descarga de programas desde los sitios oficiales.
Estar atento, es una buena medida de protección.
Jorge
