Archivo para octubre, 2009
Notificación falsa de TIM Brasil propaga malware
octubre 27, 2009 12:22 pmEn los últimos días muchos lectores han reportado la recepción de correos electrónicos que aparentar provenir de la reconocida empresa de telecomunicaciones TIM Brasil.
El correo, posee un texto sobre su supuesta confidencialidad al inicio, y posteriormente informa al usuario que existe una deuda en concepto de la utilización de dispositivos móviles con la compañía:
El correo además amenaza al usuario con informarlo en el SPC, un sistema brasileño de registro de créditos no pagados.
Si el usuario hace clic en los enlaces para ver las facturas, se le ofrecerá la descarga de un archivo que es el código de un troyano, detectado por ESET NOD32 como Win32/TrojanDownloader.Banload.OGN.
Recuerden que el correo electrónico sigue siendo una de las vías de propagación predilectas del malware, y que no deben hacer clic en los enlaces que estos poseen, y es recomendable validar su legitimidad.
Sebastián
Gira Seguridad Antivirus. Ahora, en Venezuela
octubre 26, 2009 10:31 amGira de Seguridad Antivirus en Colombia
octubre 22, 2009 11:26 pmEsta semana han sido reportados distintos casos de propagación de malware con un factor común: la utilización de falsos correos de Microsoft como técnica de Ingeniería Social para llevar a cabo el ataque.
A comienzos de semana, el blog de seguridad de ZDNet publicó el alerta sobre falsos correos de Microsoft, que alertaban a los usuarios sobre una falsa infección del gusano Conficker. El título del correo era “Alerta de infección de Conficker.b” y el siguiente contenido (el correo se propagó solo en inglés y ha sido traducido para su comprensión):
Desde el 18/10/2009 el gusano Conficker comenzó a infectar usuario de Microsoft extraordinariamente rápido. Microsoft ha sido alertado por su proveedor de Internet que su red está infectada. [...] Estamos otorgando a todos los usuarios de Windows afectados un software de exploración gratuito, para poder limpiar los archivos del virus.
Por favor, instale el archivo adjunto para poder explorar su sistema. El proceso demorará alrededor de un minuto y evitará que sus archivos sean comprometidos. Apreciamos su colaboración.
El correo además, estaba obviamente firmado por Microsoft. En este caso, el correo propaga la amenaza detectada por ESET NOD32 como Win32/Adware.XPAntiSpyware.AA, un conocido rogue de amplia difusión durante 2009.
Asimismo, en el día de ayer, David Harley (Director de Inteligencia de Malware para ESET) publicó en el blog de ESET en inglés un ataque similar, utilizando un falso correo de Microsoft. El correo, reportado por un usuario, posee la siguiente información:
Como se puede observar, existen muchas similitudes entre uno y otro correo. En este caso, se alerta con la misma vehemencia a los usuarios sobre una actualización de seguridad para Internet Explorer, publicada por Microsoft fuera del ciclo normal de actualizaciones. El correo también está firmado por un supuesto integrante de la empresa, y “recomienda” a los usuarios la instalación del parche.
En esta oportunidad, el mismo no viene adjunto sino a través de un enlace, que apunta a una URL que descarga un archivo de extensión EXE (el supuesto parche), que los usuarios de ESET NOD32 verán detectado como Win32/Injector.ACX.
No debe descartarse que ambos correos provengan de una misma organización de atacantes.
Además de contar siempre con una solución antivirus para detectar estos códigos maliciosos, como usuarios tengan en cuenta que no deben hacer clic en enlaces de correo electrónico, ni ejecutar los archivos adjuntos cuando estos provengan de entidades desconocidas, o no pueda confirmarse su autenticidad.
Cuando se trata de alertas de seguridad, es recomendable descartar el correo electrónico como único medio de información, y utilizar sitios de confianza y reconocidos de empresas de seguridad, como los propios sitios de Microsoft o este mismo blog que están leyendo.
No se dejen asesorar, en materia de seguridad, por los atacantes.
Sebastián
Constructores de exploits. Más actividades for dummies
octubre 21, 2009 11:42 amHace un tiempo les mencionaba sobre las alternativas delictivas que se emplean en la actualidad para optimizar la creación automática de todo tipo de códigos maliciosos; incluso, su evolución incorporando técnicas anti-análisis.
Bajo este panorama, la realidad es que la automatización de amenazas es cada vez más común. En este caso, la misma está orientada a agilizar la generación de exploits (diseñados para aprovechar debilidades en otros programas, ya sea en un sistema operativo o en las aplicaciones instaladas sobre este).
La cuestión es que se encuentra In-the-Wild una nueva aplicación de este estilo que permite crear con tan solo dos clics un exploit destinado a aprovechar la vulnerabilidad crítica en Internet Explorer 7 mencionada por Microsoft en el boletín de seguridad MS09-002. ESET NOD32 detecta esta amenaza como JS/Exploit.MS09-002 y a continuación pueden apreciar una captura de esta aplicación:
Esta vulnerabilidad esta siendo activamente abusada por una importante cantidad de familias de malware; incluso, muchas aplicaciones web diseñadas para el control y administración de botnets incorporan este exploit entre sus módulos, permitiendo así optimizar también los ataques del tipo Drive-by-Download y Multi-Stage que suelen ejecutar.
Este tipo de maniobras no son nuevas y existen antecedentes de aplicaciones similares, como la diseñada para automatizar la creación y explotación de la vulnerabilidad mencionada en el boletín MS08-067, también clasificada como crítica, y que dio origen a una de las amenazas más relevantes de la historia del malware como lo fue el gusano Conficker. A continuación vemos una captura de la interfaz del programa.
El problema más importante que presentan estos programas, independientemente de las acciones maliciosas para las cuales fueron desarrollados, es que su manipulación no tiene límites en cuanto a los requisitos de conocimiento, ya que cualquier usuario puede crear exploits específicos sin conocimiento alguno de programación y sin demasiados esfuerzos.
A pesar de la diferencia de tiempo entre una vulnerabilidad y la otra (2008 en el caso de MS08-067 y 2009 la MS09-002), ambas son explotadas activamente en la actualidad, por lo tanto, queda en evidencia una vez más la necesidad de mantener los sistemas operativos y las aplicaciones actualizadas.
Asimismo, la implementación de una solución de seguridad antivirus proactiva como ESET NOD32 y hacer uso de las buenas prácticas de seguridad que cotidianamente compartimos a través de este mismo canal.
Jorge
