Se descubre ‘MiniDuke’, programa malicioso para espiar a entidades gubernamentales
El equipo de Kaspersky ha publicado un nuevo informe de investigación en el que analizan una serie de incidentes de seguridad sobre una vulnerabilidad recientemente descubierta en un exploit de Adobe Reader (CVE-2013-6040) y de un nuevo programa malicioso altamente personalizado conocido como MiniDuke. El backdoor MiniDuke ha sido utilizado para atacar varias entidades gubernamentales e instituciones de todo el mundo durante la última semana. La gente de Kaspersky, en colaboración con CrySys Lab, han analizado los ataques en detalle y han publicado sus resultados.
Según el análisis de Kaspersky Lab, una serie de objetivos de alto perfil se han visto afectados por los ataques MiniDuke. Entre ellos se encuentran entidades gubernamentales de Ucrania, Bélgica, Portugal, Rumania, República Checa e Irlanda. Además, un instituto de investigación, dos centros de estudios, una importante fundación de investigación en Hungría y un proveedor de atención
médica de Estados Unidos también se han visto comprometidos.
Primeros resultados de la investigación:
- Los creadores de MiniDuke aún están enviando ataques y han creado programas maliciosos recientemente, por ejemplo el pasado 20 de febrero de 2013. Para poner en peligro a las víctimas, los ciberdelincuentes utilizaron técnicas de ingeniería social muy eficaces, mediante el envío de documentos PDF maliciosos a sus objetivos. Los archivos PDF contienen un contenido bien elaborado y relevante, como información sobre seminarios de la Organización de los Derechos Humanos, datos de política exterior de Ucrania y planes de los miembros de la OTAN. Estos archivos PDF maliciosos se unieron a exploits que atacaban las versiones de Adobe Reader 9, 10 y 11, sin pasar por su sandbox. Las herramientas utilizadas para crear estos exploits parece que son las mismas que se usaron en un reciente ataque reportado por FireEye. Sin embargo, los exploits usados en los ataques MiniDuke tenían fines diferentes y su propio malware personalizado.
- Una vez que el exploit ha entrado en el sistema, se descarga un pequeño programa en el disco de la víctima con sólo 20kb de tamaño. Este programa es único por sistema y contiene un backdoor personalizado escrito en Assembler. Cuando se carga, al iniciar el sistema, utiliza una serie de cálculos matemáticos para determinar la única huella digital del equipo, y a su vez utiliza estos datos para cifrar sus comunicaciones. También está programado para evitar el análisis de un conjunto de herramientas cifradas de algunos entornos, como VMware. Si localiza alguno de estos indicadores, se ejecutará en ese entorno en lugar de pasar a otra etapa que exponga más su funcionalidad, lo que indica que los creadores del malware saben exactamente lo que los profesionales de la industria de la seguridad TI están haciendo con el fin de analizar e identificar malware.
- Si el sistema al que se dirige cumple con los requisitos predefinidos, el malware usa Twitter (sin el conocimiento del usuario) y empieza a buscar tweets específicos de cuentas previamente creadas. Estas cuentas han sido puestas en marcha por los operadores del Comando&Control MiniDuke (C2). Los tweets usan etiquetas específicas de etiquetado URL cifrado para los backdoors. Estas URL proporcionan acceso a los C2s, que luego aportan posibles comandos y transferencias cifradas de backdoors adicionales en el sistema a través de los archivos GIF.
- Según el análisis, parece que los creadores del MiniDuke cuentan con un sistema de backup dinámico que también escapa a la detección. Si Twitter no funciona o las cuentas son ajenas al malware, recurre al buscador de Google para encontrar los enlaces cifrados que le deriven al siguiente C2. Este modelo es flexible y permite a los ciberdelincuentes cambiar constantemente sus backdoors, así cómo recuperar más comandos o código malicioso, según sea necesario.
- Una vez que el sistema infectado localiza el C2, recibe backdoors cifrados que están integrados dentro de los archivos GIF y camuflados en imágenes que aparecen en el equipo de la víctima. Cuando ya está en el equipo, se puede descargar un backdoor más grande que desempeñe acciones básicas como la copia de archivos, mover archivos, eliminar archivos, hacer directorio, terminar procesos y, por supuesto, descargar y ejecutar nuevos programas maliciosos.
- El malware backdoor se conecta con dos servidores, uno en Panamá y otro en Turquía, para recibir instrucciones de los cibercriminales.
El sistema de Kaspersky Lab detecta y neutraliza el malware MiniDuke, clasificado como HEUR:Backdoor.Win32.MiniDuke.gen y Backdoor.Win32.Miniduke.
Nueva tecnología que protege las transacciones financieras en línea
Las vacaciones de verano ya están acá, y aeropuertos y terminales se repletan con viajeros. Muchos de ellos agradecen las conexiones gratuitas a Internet que ofrecen estos lugares. Sin embargo, hoy más que nunca es importante estar conscientes del peligro que éstas significan.
Comprobado está que las conexiones wifi gratis presentan importantes fallas de seguridad, por lo que miles de usuarios son víctimas de diversos ataques cibernéticos, sobre todo de phishing. Los delincuentes cibernéticos aprovechan estas fechas para adquirir información detallada sobre tarjetas de crédito e información financiera privada.
Además, no es un secreto: la mayoría de los cibercriminales no buscan la fama en línea; ellos quieren su dinero. Investigaciones de Kaspersky Lab muestran que cada día más de 1.400 muestras nuevas de malware bancario son creadas. Estos programas maliciosos están específicamente diseñados para secuestrar compras en línea, fisgonear transacciones de tarjeta de crédito y re-direccionar su navegador de Internet hacia paginas fraudulentas.
Según IDC, más de US$1.2 trillones serán intercambiados por el Internet en el 2012, y robar tan siquiera un pequeño porcentaje de esto significa un buen día de pago para los cibercriminales.
Recientemente, la empresa rusa de seguridad informática Kaspersky Lab anunció nuevas versiones de sus softwares de seguridad Kaspersky Internet Security y Kaspersky Anti-Virus. Ambos ofrecen mayor protección contra amenazas modernas e importantes mejoras en el rendimiento y simplicidad, incluyendo una instalación más rápida, menos consumo de los recursos de la computadora y de la vida de la batería, y protección en tiempo real contra virus, programas espías (spyware) y mucho más.
Pero una de las grandes novedades tecnológicas de estos programas viene de la mano de la herramienta Safe Money, tecnología única desarrollada por Kaspersky Lab para proteger el dinero de los usuarios al hacer compras y operaciones bancarias en línea. Para mantener su dinero seguro, la tecnología Safe Money hará lo siguiente:
1. Se activa automáticamente al visitar los sitios web de pagos más comunes (PayPal, etc.), y usted puede agregar fácilmente sus propios sitios web de compras o banca a la lista
2.Aísla su operación de pagos de otras actividades en línea para asegurar que su transacción no esté siendo monitoreada
3. Verifica la autenticidad del sitio web de pagos para asegurarse de que el sitio no esté comprometido por malware o sea un sitio falso diseñado a lucir como autentico
4. Evalúa el estado de seguridad de su computadora, y le advierte acerca de las amenazas significativas que se deben abordar antes de realizar pagos
5. Provee un teclado virtual para ingresar su contraseña o número de tarjeta de crédito con clics del mouse. Esto activara un programa especial que evitara que malware registre las pulsaciones de teclado en el teclado físico.
En julio pasado, la nueva tecnología Safe Money fue evaluada contra 15 estilos de ataque del mundo real utilizados por malware para robar su información bancaria. Probado por el laboratorio de evaluación independiente Matousec, Kaspersky Internet Security exitosamente bloqueo todos los 15 ataques bancarios. La mayoría de los otros productos populares de seguridad no bloquearon ni la mitad de los ataques.
Los productos de Oracle, Java y Adobe, los más vulnerables frente a ataques
Según el informe trimestral sobre amenazas informáticas de Kaspersky Lab, en más del 50 % de los ataques se han aprovechado brechas de seguridad en Java, que sigue en el listado de programas con más vulnerabilidades junto con aplicaciones de Oracle y Adobe.
Los ordenadores sin protección presentan una media de ocho vulnerabilidades diferentes, siendo mayoritarias las que afectan a productos de Oracle yJava. Así lo indica el informe trimestral sobre amenazas informáticas de Kaspersky Lab, que sitúa a Java en lo más alto del ranking de los productos másvulnerables. Este listado también incluye cinco productos de Adobe, entre ellos Adobe Reader, los productos QuickTime Player e iTunes de Apple y el reproductor de Nullsoft Winamp Media, mientras que el mecanismo de actualizaciones automáticas incluido en Windows 8 ha provocado que Microsoft ya no se figura en la lista de vulnerabilidades detectadas.
Según Kaspersky Lab, el éxito de los ataques realizados mediante exploits depende de las vulnerabilidades en el código de las aplicaciones instaladas en los equipos de los usuarios. En este sentido, Java está instalado en más de 1.000.000.000 de ordenadores, un software cuyas actualizaciones se instalan a petición del usuario y no de forma automática, lo que alarga el tiempo vital de lasvulnerabilidades. Además, es fácil usar los exploits paraJava en cualquier versión de Windows, algunos de los cuales pueden ser incluso multiplataforma, de ahí el especial interés de los ciberdelincuentes por lasvulnerabilidades Java.
Los exploits para Adobe Reader también están muy extendidos, si bien su popularidad ha ido bajando debido a que el mecanismo usado para detectarlos es bastante sencillo y a la introducción de actualizaciones automáticas en las últimas versiones.
Kaspersky Lab aconseja a los usuarios estar pendientes de las actualizaciones para los programas instalados y emplear sistemas de protección contra los exploits.
Se propaga malware a través de promociones falsas con descuentos
Los cupones de descuento se han popularizado mucho en los últimos tiempos. Esto ha propiciado la distribución demalware durante el tercer trimestre de 2012, a través de cupones de descuento falsos de compañías como Groupon o iTunes. EEUU y China están a la cabeza del envío de spam.
Un informe de Kaspersky Lab muestra el retroceso del spam en claro contraste con el aumento sufrido por el malware. En los últimos tres meses el spam cayó un 2,8%mientras que el malware creció un 0,9%. Actualmente representa un 4% del total de emails enviados en ese periodo. Pese a estar en retroceso, las cifras de spam son escandalosas, ya que más del 70% de los correos enviados era de contenido publicitario. La compañía de seguridad ha informado de la progresiva transformación de este tipo de prácticas. Actualmente han pasado del correo electrónico a banners, redes sociales y servicios de descuento.
Concretamente los servicios de descuento están convirtiéndose en el foco de los problemas. Actualmente son muy populares y mucha gente recurre a ellos, lo que ha llevado a utilizarlos para propagar cualquier tipo de malware. La forma principal es replicar un correo oficial con un diseño similar para propagar estos contenidos maliciosos. Las compañías que más están sufriendo este tipo de prácticas son Groupon, iTunes y Amazon. Lo principal es utilizar marcas consolidadas para ganarse la confianza del receptor y hacer que acceda al enlace deseado.
Kaspersky Lab detectó que los últimos mails enviados no incluían un archivo adjunto ejecutable, lo que hacían era proporcionar links a sitios maliciosos con exploits. La mayoría de estas páginas diseñadas para alojar malware están en China, que vio aumentada su cuota de envío de spam en un 6,7%. Por su parte, también EEUU aumenta la cuota, en concreto envía el 15% más que en el trimestre pasado. Entre los dos países mueven la mitad del spam mundial. Los siguientes en la lista son India, Brasil y Rusia, con porcentajes muy inferiores a los anteriores.
Ante esta situación volvemos a recalcar lo que siempre comentamos. Cualquier email que nos provoque dudas acerca de su veracidad o que nos incite a proporcionar datos privados o visitar páginas web de dudoso contenido, debe ser eliminado directamente. Hay que analizar cualquier email recibido especialmente si contiene enlaces a promociones o cupones, y asegurarnos de que viene de un remitente seguro. ¿Habéis notado el aumento del malware en vuestro email?
Los ciberdelincuentes ofrecen troyanos personalizados
Un servicio “MaaS” recientemente detectado permite crear y alojar un nuevo troyano personalizado que facilita la administración remota de los ordenadores infectados por el pago de una cuota mensual por el uso del servicio.
Los ‘hackers maliciosos’ han evolucionado. Parece que ahora no buscan notoriedad como antaño, sino que su principal objetivo es el lucro económico. Es por esto que la prestación de servicios entre cibercriminales es bastante común, incluyendo la venta de troyanos nuevos desarrollados por programadores o la venta de información recogida por ‘spammers’, entre otros. Todos se encuentran y se comunican a través de canales de IRC, donde se inician las negociaciones y las aplicaciones.
“Frente a esta realidad, no sorprende la existencia de escuelas online diseñadas para formar a los cibercriminales novatos. Siguiendo esta tendencia, emergente en Latinoamérica, comienzan los primeros servicios para crear malware personalizado, denominado ‘Maas’ (Malware as a Service)”, ha explicado el analista de Kaspersky Lab Fabio Assolini.
“Este tipo de servicio es muy común entre los ciberdelincuentes de Europa del Este y ahora está empezando a usarse en todo el mundo, sobre todo en Brasil, donde está cogiendo mucha fuerza”, ha añadido.
Facilita la Administración Remota
Un servicio ‘MaaS’ recientemente publicado por ciberdelincuentes brasileños y detectado por Kaspersky Lab permite crear y alojar un nuevo troyano personalizado que además facilita la administración remota de los ordenadores infectados. Los interesados deben efectuar un pago mensual por el uso del servicio. Como aliciente, el uso del troyano está preparado para su gestión a través de una interfaz gráfica que no precisa experiencia en programación.
Al igual que cualquier servicio online, los futuros ciberdelincuentes pueden elegir el mejor método de pago para comenzar a utilizar el servicio. Además, se incluyen lecciones en vídeo para aprender a usarlo, la creación del propio troyano, la administración del negocio fraudulento y la gestión de campañas de malware para difundirlo entre las posibles víctimas de la misma.
Para Assolini, este tipo de troyanos permiten el control absoluto de la máquina de la víctima, además de recopilar información personal, como inicios de sesión para acceder a los servicios de redes sociales, mensajería instantánea, banca. Desde Kaspersky han alertado de que todo esto facilita a los delincuentes más experimentados ganar dinero no sólo a través de los ataques que ellos mismos realizan, sino también mediante la venta de sus servicios.
Dorifel, un nuevo ataque de malware que recorre Europa
Aunque a finales de la semana pasada la atención estaba centrada en Gauss, un malware para el que ya se han lanzado herramientas de detección, había otra infección que estaba recorriendo Holanda y sobre la que los investigadores creen que está relacionada con los ataques de Zeus. El nuevo malware, conocido como Dorifel, ha infectado miles de negocios en Holanda y Europa y los investigadores dicen que está robando datos de banca online y que el equipo que está detrás del malware podría estar trabajando en otras campañas de ataques.
La empresas de seguridad rusa Kaspersky Lab ha dicho que el ataque, bautizado como Dorifel, muestra un patrón de comportamiento algo extraño, como cifrar la información descargada y establecer conexiones de red seguras.
Por el momento los investigadores no están seguros del objetivo de la infección, ni siquiera de su conducta, aunque creen que el objetivo del ataque es financiero y que podría estar relacionado con Zeus porque han descubierto que los servidores que alojan los componentes de control de Dorifel también almacenan otros ataques de malware así como la información financiera robada.
Desde que fuera descubierto en 2010, Zeus se ha convertido en una de las infecciones de malware más efectivas y temidas de internet. El malware es capaz de inyectar código HTML localmente en un sistema, añadiendo después herramientas de phishing y otros códigos maliciosos en páginas que se considerarían de confianza.
Inicialmente los ataques de Dorifel se han iniciado en Holanda, donde ya ha infectado más de 3.000 máquinas,para extenderse después por toda Europa, explican en Kaspersky. Inicialmente la infección se extiende a través de email con un enlace que, cuando se pincha lleva al usuario a un site desde el que se descarga un código binario. Después del malware descarga un segundo componente que cifra los archivos en la máquina infectada. Dorifel también busca en las redes compartidas y cifra todos los archivos que encuentra.
Descubren campaña de ciberespionaje en Medio Oriente
Investigadores de la firma Kaspersky Lab descubrieron una campaña de ciberespionaje dirigida a personas e instituciones del Medio Oriente denominada “Madi”, que mediante esquemas de ingeniería social, espía aplicaciones como Gmail, Hotmail, Yahoo Mail, Skype, Google+ y Facebook, afectando a más de 800 víctimas.
Entre los perjudicados, que se conectaron a los servidores de administración durante los ocho meses pasados, se encuentran sobre todo hombres de negocios que trabajan en proyectos de infraestructura crítica en Irán e Israel, instituciones financieras israelitas, estudiantes de ingeniería del Medio Oriente y agencias gubernamentales.
Kaspersky Lab señaló en su informe que el troyano Madi permite a los atacantes robar archivos sensitivos en equipos con Sistema Operativo Windows y hacer seguimientos de comunicaciones importantes en correos electrónicos y mensajes instantáneos.
El malware, que a través de esquemas de ingeniería social se envía a blancos específicos, también permite grabar audios, registrar la pulsación de las teclas y hacer capturas de pantallas de las actividades de las víctimas.
Asimismo, el análisis que la empresa realizó en conjunto con la compañía de detección de amenazas avanzadas Seculert, identificó documentos religiosos y políticos, así como varias imágenes que fueron copiadas al momento de la infección inicial, y que se utilizaron como distracción por los ciberespías.
Kaspersky Lab señaló que probablemente “la falta de profesionalismo y el rudimentario enfoque usado”, comparados con otros proyectos similares, fueron los causantes de que dicha operación haya pasado desapercibida.
Finalmente, la empresa mencionó que entre los sitios más espiados se encuentra Gmail, Hotmail, Yahoo! Mail, Skype, ICQ, Google+ y Facebbok, así como los sistemas integrados ERP/CRM, contratos de negocios y sistemas de gestión financiera.
Find and Call, el malware que burló la seguridad de App Store y Play Store
Primera vez que un malware sortea los filtros de seguridad de la tienda de aplicaciones de Apple.
Un troyano camuflado, malware que se presenta al usuario como un programa aparentemente legítimo e inofensivo, fue la primera aplicación (app) que ha conseguido superar de forma temporal las barreras de control de las tienda virtual App Store, de Apple.
La app, denomina Find and Call, también afectó a los usuarios de Play Store, de Google, y fue retirada de los portales tras varios intentos sin éxito de haber querido conocer su procedencia.
Al ejecutar Find and Call, los responsables del gadget conseguían los contactos del terminal y pedían el correo y el teléfono de los usuarios.
Con estos datos, los responsables del malware comenzaron a enviar mensajes de texto (SMS) con spam a todos los contactos de la víctima utilizando su identidad.
Los mensajes se limitan a incluir publicidad de esta aplicación y no de terceros.
Según Cristian Espinoza, especialista en medios digitales, aunque no existió daños relevantes, esto demuestra que Apple, Google y otras compañías con tiendas de aplicaciones oficiales no tienen una efectividad absoluta y son tan vulnerables como todos los softwares del mercado.
“Los ciberdelincuentes y hackers no paran de buscar nuevas fórmulas para sortear las medidas de control y llegar a las tiendas oficiales, escaparates a lo que acceden millones de víctimas potenciales, confiadas por el hecho de encontrarse en un espacio en teoría seguro”.
Daniel Molina, director de Kaspersky Lab, empresa especializada en seguridad informática, explicó a través de su blog que se trata de una app que ha estado disponible por mucho tiempo en las tiendas virtuales.
“Al parecer, Find and Call era un gestor de contactos para dispositivos móviles cuyo objetivo era el de exportar los contactos de los usuarios a un servidor desde el que los delincuentes podían operar”, explicó Molina.
Raphael Labaca Castro, especialista en investigación para ESET América Latina, firma que desarrolla productos contra la detección de amenazas informáticas, dijo que para aumentar la efectividad de los mensajes de spam que iban a distribuir los delincuentes pedían a los usuarios su dirección de correo principal y su número de teléfono sin importar su prefijo internacional.
“Los usuarios entendían que dicha petición era parte de la fase de registro en la aplicación, aunque no recibían ningún mensaje de confirmación de ello”, explicó Labaca Castro.
Ambas compañías de seguridad destacan que es el primer caso de malware general de este tipo para iOS (Apple), lo que demostraría que no hay sistema infalible actualmente en informática.
Recomiendan que los usuarios que han descargado la app la borren de inmediato y aumenten precauciones para no caer en trampas como esta, independientemente de su sistema operativo y de que los contenidos provengan de tiendas oficiales.
Los estragos del DNSChanger en América Latina
Los estragos del troyano DNSChanger que afecto a miles de computadoras el día de ayer han quedado desconectados de Internet al dar de baja los DNS temporales por parte del FBI, tambien son perceptibles en América Latina.
Datos estadísticos de Kaspersky Lab confirman que a nivel mundial, los países más afectados por esta amenaza son Rusia, China y EE.UU. Pero, ¿qué ha sucedido dentro de América Latina? La siguiente gráfica muestra la proporción entre los 10 países más afectados por el DNSChanger en la región. Los datos corresponden al periodo de enero a julio del 2012.
Podemos estimar que la cantidad total de los equipos en América Latina que quedaron sin Internet el día de ayer pueden ser decenas de miles. Si usted es una de las víctimas, puede cambiar manualmente sus DNS a los de Google: primario 8.8.8.8 y el secundario 8.8.4.4.
El 20% de los ataques ‘phishing’ se dirigen a usuarios de Facebook
Kaspersky Lab informa de los riesgos de Internet en este documento. Los correos no deseados y los troyanos son otros de los principales problemas destacados.
El pasado mes de mayo el 20% de los ataques de ‘phising’ se produjo contra usuarios de Facebook, según un informe de Kaspersky Lab. Por su parte, el tráfico de ‘spam’ en correo electrónico ha experimentado un descenso del 15%.
La compañía de sistemas de protección contra software malicioso, ataques de hackers maliciosos y spam ha presentado su informe de ‘spam’ de mayo de 2012, en el que se ha registrado un importante descenso (3,4%) de la proporción de correos no deseados en el tráfico de email respecto al mes anterior.
Las redes sociales ocupan el segundo lugar en la clasificación, aunque su participación fue muy baja, de apenas un 0,08% menos que la del sector financiero. Por su parte, la cantidad de ataques contra bancos y cuentas de pago ‘online’ aumentó en un 0,9% en relación al mes de abril.
Kaspersky asegura que, a pesar de que la proporción de ataques contra sitios de redes sociales en mayo cayera en casi un 4,5% en comparación con el mes anterior, un uno de cada cinco ataques phishing estaban dirigidos contra usuarios de Facebook. Lo cual demuestra que esta red social “sigue siendo uno de los blancos preferidos de los ‘phishers’, mientras que su interés en otras redes sociales se diluye”.
Phishing en negocios chinos
Vender productos chinos ha sido uno de los propósitos que fabricantes ficticios se han marcado para llenar las bandejas de ‘spam’ de los correos de muchos usuarios. El formato de estos mensajes consiste en un texto corto que promete un negocio muy rentable con el representante de un mercado de rápido crecimiento y ofrece una dirección de correo electrónico para que los clientes se pongan en contacto.
Fue en mayo cuando se detectó uno de estos mensajes que decía proceder de un fabricante chino, pero Kaspersky asegura que no suelen describir con exactitud el tipo de producción y se limitan a mencionar de forma abstracta artículos de plástico o textiles. Sin embargo, este mensaje en concreto se enviaba en nombre de un fabricante de medias.
La principal justificación que Kaspersky encuentra es que “los estafadores se aprovechan del interés de los inversores en el mercado chino y con toda certeza pueden decir que estos mensajes de supuestos fabricantes o proveedores chinos son parte de un tipo de fraude que crece bajo la sombra del desarrollo de la economía china”.
En periodo de vacaciones es cuando los ‘spams’ sobre viajes y turismo suelen incrementarse en un gran porcentaje. Sin embargo, la compañía del estudio ha observado que ha habido un “inesperado descenso del 3,6% en comparación con el mes de abril”.
Kaspersky también presta atención a las fuentes de correo no deseado por país dirigidas a diferentes regiones. De las cuales ha concluido en que más de la mitad de todo el spam distribuido en Europa provino de Asia y un 20% de América Latina. Destaca en este punto que, de entre los cinco países europeos que se encuentran en la lista de las veinte fuentes de ‘spam’ enviado a EEUU, tres de ellos son países de Europa Oriental (Rusia, Ucrania y Polonia).
Malware en el correo
Trojan-Spy.HTML.Fraud.gen ocupa el primer puesto en la lista de programas maliciosos en el tráfico de correo. En el pasado mes de mayo representó el 8,8% de todas las detecciones, lo que se traduce en una disminución del 4,9% en relación con abril.
Este troyano usa tecnología ‘spoofing’, suplantación de identidad, y aparece como una página HTML. Viene en un mensaje de ‘phishing’ que contiene un enlace a un sitio falso que parece el de un reconocido banco o sistema de pago ‘online’, donde se le pide al usuario que introduzca su nombre de usuario y su contraseña.
Los veteranos de esta clasificación, Mydoom.m, NetSky.q y Bagle.gt, ocuparon en mayo la segunda, cuarta y octava posición, respectivamente. Los primeros dos gusanos informáticos sólo tienen dos funciones: recopilar direcciones de correo y enviar copias de sí mismos a éstas. Bagle.gt es otro gusano de correo que también puede descargar programas maliciosos desde Internet.
