Exploit para escritorio remoto de Windows filtrado por partners de Microsoft
Un exploit preparado por la propia Microsoft como prueba de concepto para sacar partido a una vulnerabilidad RDP de Windows ha acabado en Internet. La compañía mostró ese código a las compañías del Microsoft Active Protections Program (MAPP).
Las comunidades de investigación de seguridad han sido un hervidero las últimas horas tras conocerse que el código de una prueba de concepto interno de Microsoft sobre la vulnerabilidad crítica del escritorio escritorio ha sido filtrada en un sitio web chino.
Lo peor de la noticia es que se trata de una copia exacta de la información que Microsoft envió a los miembros de su selectivo Microsoft Active Protections Program (MAPP), un programa creado hace cuatro años y en el que participan grandes firmas de seguridad con el fin de adelantarse con la creación de firmas de virus u otras herramientas a la publicación de parches de seguridad.
Microsoft ha confirmado la filtración de la prueba de concepto (POC) y dice “estar investigando activamente la divulgación de estos detalles y tomará las medidas necesarias para proteger a los clientes y asegurar que la información confidencial que compartimos es protegida de acuerdo a nuestros contratos, y requisitos del programa”.
Filtración, muy grave, que puede haber llegado de manera accidental o deliberada seguramente desde el MAPP y cuyo código será aprovechado para los ciberdelincuentes para crear exploits maliciosos. Si Microsoft recomendó encarecidamente la actualización de los equipos al tener la previsión de que llegarían exploits en 30 días, ahora, con la prueba de concepto filtrada, la necesidad de actualización es aún mayor.
Sobre el parche ‘crítico’ (MS12-020), ya te contamos que resolvía dos vulnerabilidades que afectan al escritorio remoto de todos los sistemas Windows. La más grave de estas vulnerabilidades permitiría la ejecución remota de código si un atacante envía una secuencia de paquetes RDP a un sistema afectado. Aunque de forma predeterminada, el protocolo de Escritorio remoto (RDP) no está habilitado en Windows, su activación es trivial y común por usuarios avanzados, profesionales y empresas.
Descubren un nuevo y desconocido lenguaje de programación empleado en la creación de Duqu
Este nuevo lenguaje de programación demuestra la alta cualificación de los desarrolladores implicados, así como los importantes recursos financieros y laborales movilizados para garantizar la ejecución del proyecto.
Expertos anti-malware de Kaspersky Lab han descubierto que parte del sofisticado Troyano Duqu, cuyos creadores son los mismos que los del gusano Stuxnet, se escribió en un lenguaje de programación hasta ahora desconocido.
La finalidad principal de Duqu era actuar como backdoor en el sistema para facilitar el robo de información privada y se detectó por primera vez en septiembre de 2011, pero según datos de Kaspersky Lab, su primer rastro relacionado con el malware se remonta a agosto de 2007. Los expertos de la compañía han captado más de una docena de incidentes que involucran a Duqu, y la gran mayoría de las víctimas están localizadas en Irán. Un análisis de sus actividades muestra que el principal objetivo de los ataques era robar información sobre los sistemas de control utilizados en varias industrias, así como la recogida de información acerca de las relaciones comerciales de una amplia gama de organizaciones iraníes
El gran misterio sin resolver del troyano Duqu se refiere a cómo el programa malicioso se comunicaba con sus servidores de Comando y Control (C&C) una vez que infectaban la máquina de la víctima. El módulo de Duqu responsable de la interacción con el servidor C&C es parte de su Payload DLL (efecto producido por el virus).
Después de un análisis exhaustivo del Payload DLL, los expertos de Kaspersky Lab han descubierto que la sección específica interna que se comunica exclusivamente con el C&C, ha sido escrita en un lenguaje de programación desconocido. Los expertos de Kaspersky Lab han nombrado a esta sección se desconocida ” Duqu Framework”.
A diferencia del resto de Duqu, Duqu Framework no está escrito en C++ y no está compilado con Microsoft Visual C++ 2008. Es posible que sus autores utilicen un in-house framework para generar un código C intermedio, o que empleen otro lenguaje de programación completamente diferente. Sin embargo, los investigadores de Kaspersky Lab han confirmado que el lenguaje está orientado a objetos y realiza su propio conjunto de actividades relacionadas y adecuadas para aplicaciones de red.
El lenguaje de Duqu Framework es altamente especializado. Permite que el Payload DLL opere de forma independiente al resto de módulos Duqu y lo conecta a su C&C a través de varias vías, incluyendo Windows HTTP, conexiones de red y servidores proxy. También permite que Payload DLL procese peticiones HTTP del servidor de C&C directamente, transmitiendo copias de forma sigilosa de la información robada de la máquina infectada a la de C&C. Incluso puede distribuir carga maliciosa adicional a otras máquinas en la red, lo cual crea un entorno controlado y una discreta forma de propagación de infecciones a otros equipos.
“Dado el tamaño del proyecto Duqu, es posible que un equipo completamente diferente fuese responsable de crear Duqu Framework”, afirma Alexander Gostev, experto jefe de seguridad de Kaspersky Lab. “Con el altísimo nivel de personalización y exclusividad utilizado para crear el lenguaje de programación, es posible que se haya hecho no sólo para evitar que detectaran la operación de ciber-espionaje y las interacciones con el C&C, sino también para separar otros equipos internos de Duqu que han sido los responsables de escribir las partes adicionales del programa malicioso”.
De acuerdo con Alexander Gostev, la creación de un lenguaje de programación dedicado demuestra lo altamente cualificados que están los desarrolladores que trabajan en el proyecto, así como los importantes recursos financieros y laborales movilizados para garantizar la ejecución del proyecto.
A Kaspersky Lab le gustaría hacer un llamamiento a toda la comunidad de programadores por si alguien reconoce al nuevo framework, herramientas o lenguaje de programación que pueda generar construcciones similares de código. Para ello pueden contactar con los expertos se la compañía para poder solucionar este profundo misterio de la saga Duqu ( stopduqu@kaspersky.com ).
La versión completa del análisis del Duqu Framework de Igor Soumenkov y Raiu Costin se puede encontrar en Securelist www.securelist.com
Video de supuesto romance entre Shakira y Alexis Sánchez propaga malware
Si el usuario no es precavido y decide seguir interiorizándose de esta falsa noticia, estará descargando un troyano detectado por la empresa de seguridad ESET.
Siempre se ha dicho que meterse en líos de parejas es algo muy delicado que debe evitarse en lo posible, de lo contrario, puede tener resultados desastrosos. Sin embargo, los cibercriminales han optado por hacer caso omiso a esa recomendación, al utilizar Ingeniería Social e inventar una elaborada historia que involucra un supuesto romance o affaire entre el jugador chileno de fútbol Alexis Sánchez y la cantante colombiana Shakira, según un informe entregado por ESET.
El código malicioso que utiliza este relato de amorío e infidelidad llegó al laboratorio de la empresa de seguridad en un correo electrónico que simula provenir de un portal informativo chileno, y en el que se ofrece un video que habría sido entregado por la ama de llaves del “Niño Maravilla” a la prensa.
Para seducir al usuario y tentarlo a que siga ese enlace malicioso, en el texto se afirma que en dicho registro audiovisual se puede observar a Shakira bailándole al jugador de fútbol.
Como forma de manipular aún más a los usuarios curiosos, se asegura que el material multimedia también incluye los comentarios de algunos de los compañeros de equipo de Alexis que aparecerían opinando al respecto. Sumado a todo lo anterior, los ciberdelincuentes decidieron apelar a la picardía del internauta al sugerir que la causa principal de toda esta historia ficticia, es la falta de dotes de la verdadera pareja de la cantante colombiana, el futbolista español Gerard Piqué.
Los riesgos
Si el usuario no es precavido y decide seguir interiorizándose de esta falsa noticia, estará descargando un troyano detectado por ESET NOD32 Antivirus como Win32/Qhost.OQJ.
Si además la víctima no está protegida por una solución de seguridad con capacidad de detección proactiva y ejecuta dicho archivo .EXE, el código malicioso procede a modificar los archivos hosts de la computadora afectada para redirigir ciertas direcciones pertenecientes a entidades financieras chilenas, hacia otros sitios ilegítimos (pharming local) cuyo objetivo es conseguir rédito económico mediante la obtención de información bancaria a través del phishing.
EE.UU. aplaza el cierre de servidores con el virus DNSChanger
El FBI no le dejará pasado mañana sin Internet si su ordenador y/o su módem ADSL han sido infectados por el virus DNSChanger y usted no ha hecho nada por curarse. La justicia de Estados Unidos ha prorrogado la clausura de los servidores afectados hasta el 9 de julio. No habrá más tiempo añadido.
Tiene hasta esa fecha para limpiar su equipo del patógeno informático. Dos son los pasos a seguir. Por un lado, volver a configurar el módem (si no sabe cómo hacerlo contacte con su proveedor de acceso a la Red). Por otro, compruebe en esta página web, en castellano, si su PC está infectado y siga las instrucciones para limpiarlo.
El caso se remonta a octubre de 2011 cuando una investigación internacional, liderada por el FBI, concluyó con la detención en Estonia de los piratas informáticos que habían creado DNSChanger. El virus, que infectaba a PC y a módems ADSL, cambiaba las direcciones DNS de su proveedor de acceso a Internet y los redirigía a los suyos propios. Se calcula que el virus informático había infectado a cuatro millones de máquinas de 100 países.
El pasado otoño los piratas informáticos fueron detenidos y actualmente están a la espera de su extradición a Estados Unidos. Los investigadores al frente del caso se dieron cuenta entonces de que si clausuraban directamente los servidores infectados, suponía dejar sin Internet a millones de personas en todo el mundo.
El FBI pidió entonces a la Justicia estadounidense un periodo de tiempo para resolver el entuerto. Junto a organizaciones de todo el mundo, entre ellas el ISC, empezaron una tarea de limpieza que ha consistido en suministrar direcciones DNS limpias, es decir que no redirigieran a sitios fraudulentos cuando los internautas visitaban las páginas infectadas sin saberlo.
El proceso, obviamente, tiene un coste, que ha asumido el FBI. es decir, está de alguna forma financiando el acceso a Internet de aquellos que tienen sus equipos infectados. No lo hará de forma indefinida. Ayer, la juez prolongó el periodo “durante el que seguiremos dando servicio de DNS limpio en las direcciones que usa el DNSChanger, dando así más tiempo a la gente para que limpie sus sistemas infectados”, asegura Joao Damas, director de Bondis.org que trabaja para Internet Systems Consortium (ISC), la compañía que suministra software a los DNS y lleva años en el registro regional de Internet que distribuye los dominios en Europa (RIPE).
“La prolongación hasta el 9 de Julio no se renovará otra vez”, añade Dams. “Nos parece bien ya que en principio no hay razón para que el FBI norteamericano financie el acceso a Internet, de forma indefinida, de toda la gente que no limpia sus sistemas infectados. Bastante han hecho ya actuando de esta forma que creo demuestra un alto nivel de responsabilidad en sus actuaciones”.
Un troyano amenaza a los usuarios de Mac
Un nuevo troyano está amenazando a los dispositivos Macinstosh de Apple y a sus usuarios. Se trata de Flashback.G, que es capaz de infectar equipos y robar contraseñas de servicios como Google, PayPal y banca online.
Según informa The Telegraph, el nuevo ‘malware’ es una cepa de Flashback, un troyano descubierto en septiembre, y se dice que está aumentando su tasa de infección.
El virus trata de tomar el control de los Mac de manera encubierta, y para ello utiliza tres métodos distintos. Dos de ellos explotan las vulnerabilidades en el lenguaje de programación Java, y no requieren de la intervención del usuario para tener éxito.
Si Java no está instalado o actualizado, Flashback.G intenta engañar a los usuarios, instalándolo mediante un certificado de seguridad falso que parece que viene de Apple, de acuerdo con Intego, una empresa de seguridad informática. Según la compañía “la mayoría de los usuarios no van a entender lo que esto significa” y le darán click a “continuar” para permitir la instalación.
Además, los usuarios de Mac que utilicen la versión de OS X, Snow Leopard, corren un mayor riesgo, ya que Java estaba incluido por primera vez en el paquete de instalación.
Por esto Intengo afirma que “es esencial que quienes utilicen OSX 10.6 actualicen Java inmediatamente“. Si el Mac está infectado, algunas aplicaciones como Safari y Skype, se “caerán” todo el rato.
El Inteco publica 12 virus y 80 vulnerabilidades en la última semana
El Instituto alerta además de nuevas modalidades de estafa a través del Market de Android.
El Centro de Respuesta a Incidentes de Seguridad del Instituto Nacional de Tecnologías de la Comunicación (Inteco-CERT) ha catalogado esta semana el virus DNS Changer, un troyano que afecta a Windows modificando, en el equipo atacado, su configuración de DNS (siglas en inglés de Domain Name System), servicio de internet que convierte los nombres de dominio amigables en direcciones IP numéricas que los ordenadores usan para comunicarse entre ellos.
De este modo, cuando se introduce un nombre de dominio en el navegador, por ejemplo www.inteco.es, el equipo contacta con un servidor DNS para determinar la dirección IP del sitio web. El troyano catalogado cambia esta configuración para, en vez de dirigirle al sitio debido, le lleve a un sitio web fraudulento. Para evitar esto, el usuario deberá reconfigurar correctamente el DNS de su equipo. Éste es uno de los 12 virus publicados en los últimos siete días por Inteco-CERT, unido a 80 vulnerabilidades.
Por otro lado, el incremento de aplicaciones subidas al Market de Android, unido a la popularidad del sistema operativo de Google en los terminales móviles, ha hecho también que crezcan las aplicaciones maliciosas así como las técnicas de ingeniería social para infectar a los usuarios. Una de estas modalidades consiste en registrase en el Market utilizando nombres parecidos a los autores/desarrolladores de cierto prestigio para, de esta forma, ganarse la confianza de los usuarios a la hora de descargar aplicaciones.
Por todo ello, el Inteco-CERT en su boletín semanal recomienda a los usuarios observar la procedencia de la aplicación así como la puntuación y los comentarios de los usuarios e investigar otras fuentes independientes del Market.
Descubren un troyano para Android que muta con cada descarga
Las técnicas polimórficas, presentes desde hace años en el mundo del PC, acaban de aparecen en el de los dispositivos móviles, demostrando el creciente interés que para los hackers tienen los smartphones.
Investigadores de la empresa de seguridad Symantec han descubierto un nuevo troyano para Android capaz de modificar su código cada vez que es descargado con el fin de superar las detecciones antivirus.
Esta técnica, que lo que hace es generar virus polimórficos, no es nuevo en el mundo de los ordenadores, donde existe desde hace años, pero acaba de ser adoptada en el mercado móvil. La técnica se basa en un mecanismo que modifica ciertas partes del troyano con el fin de asegurar que cada aplicación maliciosa que descarga es única. Los expertos aseguran que es algo diferente de los polimorfismos locales, donde el malware modifica su propio código cada vez que se ejecuta.
Symantec ha identificado múltiples variantes de Android.Opfake, todas ellas distribuidas desde páginas webs rusas. El malware tiene instrucciones de enviar mensajes SMS a números premium desde varios países europeos y otros que antes pertenecían a Rusia.
Detectar amenazas de malware que utilizan polimorfismo puede ser difícil para algunos productos de seguridad, sobre todo si basan su capacidad de detección en firmas estáticas. En el caso de Android.Opfake el nivel de polimorfismo no es muy alto y sólo algunos de los archivos de datos del troyano son modificados por el servidor de distribución.
Los smartphones, que ofrecen capacidades similares a las de un ordenador, han llamado la atención de los ciberdelincuentes, que están aplicando todos sus conocimientos del mercado de ordenadores para hacer que sus creaciones tengan incluso más éxito.
Virus y gusanos informáticos se hibridan para crear una amenaza informática impredecible
Los virus están infectado accidentalmente a diversos gusanos en los ordenadores de las víctimas, creando un malware híbrido que se puede propagar más rápidamente y lanzar ataques contra los sistemas, cuentas bancarias y datos privados de una manera ni siquiera imaginada por los propios creadores de malware.
Un análisis de Bitdefender encontró 40.000 ejemplares de este tipo de malware – al que han bautizado como “Frankenmalware” – en un estudio de 10 millones de archivos infectados llevado a cabo a comienzos de enero, lo que supone un 0,4 por ciento del malware analizado. Si tenemos en cuenta que el malware activo en todo el mundo está en torno a los 65 millones, esto supone que 260.000 ejemplares de este tipo están amenazando los ordenadores de los usuarios.
“Si un usuario recibe uno de estos híbridos en su sistema, podría enfrentarse a pérdida de dinero, problemas informáticos, robo de identidad, y una oleada de spam lanzada desde su equipo”, señaló Loredana Botezatu, analista de amenazas online de Bitdefender y autora del estudio sobre malware híbrido. “la llegada de este tipo de malware da un nuevo giro al mundo del malware, ya que se propagan de manera más eficiente, y su comportamiento cada vez será más difícil de predecir”.
Aunque no hay datos antiguos sobre este tipo de malware, el número de híbridos ha crecido en los últimos años y probablemente seguirá aumentando al mismo ritmo que el malware en general. Un estudio de Bitdefender estima que el malware crecerá un 17 por ciento este año.
Todos los híbridos de malware analizados por Bitdefender hasta el momento se han creado de forma accidental. Sin embargo, el riesgo que representan estos combos podría aumentar drásticamente a medida que los delincuentes comiencen a fabricar sus propios compuestos, o a lanzar malware específicamente creado para provocar esa hibridación.
Bitdefender presentó su estudio después de encontrar ejemplares del gusano Rimecud infectados por el virus Virtobfile. Rimecud roba contraseñas de banca electrónica, cuentas de tiendas de compra online, redes sociales y correo electrónico, entre otras funciones. Virtob, por su parte, permite recibir órdenes de un atacante remoto, saltarse el cortafuegos, y asegurar su persistencia mediante la inyección de código en “Winlogon”, un proceso crítico del sistema.
“Ahora, imaginemos estas dos piezas de malware trabajando juntas – voluntariamente o no – en el mismo sistema,” señala Botezatu, que añade: “Ese PC se enfrenta a un malware doble con el doble de comandos y el doble de servidores para recibir instrucciones: además, hay dos puertas traseras abiertas, dos técnicas de ataque activo y varios métodos de propagación. Cuando uno falla, el otro tiene éxito”.
Aparece una nueva versión del troyano Carberp, con similitudes a Zeus pero más peligroso
Se trata de una nueva versión de Carberp, que puede ser utilizado para robar datos y para realizar estafas entre los usuarios. Expertos de seguridad aseguran que la nueva versión de Carberp tiene similitudes con el malware Zeus, pero cuenta con características que podrían evitar su identificación con antivirus. Las primeras estafas con Carberp ya se han localizado en Facebook.
Carberp es uno de los troyanos que más problemas ha dado en los últimos años. Ya en 2010 este malware, concentrado en el robo de datos bancarios, fue una seria amenaza para los usuarios. Dos años después, los hackers están utilizando una nueva versión de Carberp para volver a realizar sus actividades, que van desde el robo de datos a las estafas económicas.
En concreto, la nueva versión de Carberp tiene cierta similitud con el virus Zeus, uno de las amenazas que más problemas ha generado recientemente. La similitud ha sido identificada por un investigador de seguridad, Nicholls Marcos, citado por Infosecurity.
“Carberp presenta una funcionalidad similar a la de Zeus. Carberp incluye una funcionalidad para el robo de datos y la recolección de credenciales de los sistemas infectados. Además de ser un troyano para robar datos, también puede crear una botnet que ofrece control total sobre los servidores infectados. Aunque originalmente fue diseñado para ataques financieros, sus mecanismos de infección lo convierten en un candidato ideal para los ataques dirigidos”, ha explicado Nicholls Marcos.
De esta forma, los hackers han ampliado las posibilidades de Carberp, que además de tener cierta similitud con Zeus se ha perfeccionado para pasar desapercibido. Según Infosecurity, Carberp puede superar los antivirus sin ser identificado gracias a las novedades que le han incorporado. Además, este malware consigue ocultarse de los análisis de seguridad de los sistemas, lo que hace que sea aún más peligroso.
La compañía Trusteer ha confirmado la aparición de esta nueva versión de Carberp y ha asegurado que los ciberdelincuentes ya están utilizándolo en una estafa en Facebook. El troyano suplanta a las páginas de Facebook, de forma que redirige constantemente a los usuarios a una página de Facebook en la que aseguran que las cuentas han sido cerradas. Para volver a activar las cuentas, el sistema solicita el pago de 20 dólares y los datos de los usuarios. Todo el proceso se regula por medio de Carberp, que además recopila los datos de los usuarios.
Inteco descubre a Espión, un troyano que descarga softwares maliciosos de la Red
Inteco-Cert ha catalogado esta semana el virus Espion. Troyano que afecta en la plataforma Windows tratando de descargar software malicioso desde Internet. Cuando se ejecuta, modifica el registro de Windows, de manera que el troyano actúa automáticamente en cada reinicio del sistema. Además se conecta con sitios maliciosos remotos para descargarse nuevo malware.
Como medida, si se utiliza el sistema operativo Windows Me, XP o Vista, y se sabe cuándo se produjo la infección, se puede usar la característica de “restauración del sistema” para eliminar el virus volviendo a un punto de restauración anterior a la infección. Éste es uno de los 11 virus publicados en los últimos 7 días por Inteco-Cert unido a 119 vulnerabilidades.
Inteco-Cert publica diariamente las vulnerabilidades y los virus encontrados que más afectan a los internautas. Son más de 48.800 las vulnerabilidades traducidas al español y alrededor de 10.500 los virus catalogados y publicados por INTECO-CERT con la finalidad de ofrecer datos más cercanos a los internautas de habla hispana.
