miércoles, 19 de enero de 2011

Scam-Hoax-Facebook: ¿Quien a visto tu perfil y tus fotos?

Un nuevo mecanismo
Ya desde hace tiempo, alguna de las páginas Web que hemos mencionado como origen de virus, gusanos,  SPAM, etc, etc, etc... han ido cambiando su filosofía.

Cuando se hacía una página para propagar malware, esta terminaba siendo inutilizada por Facebook, bloquean los controles de "Me gusta" asociados a la página, de modo que aparecía el mensaje "Sé el primero de tus amigos al que le gusta esto.", cuando en realidad había cientos de miles de usuarios que ya lo habían marcado y que tenían el enlace en su perfil, algunos de los cuales estaban pensados para que fuera algo más complejo de eliminar de nuestros perfiles (En el artículo "Como eliminar ciertas páginas de nuestro perfil de Facebook" podéis ver como eliminarlos si aún tenéis alguno).

Como esto no llevaba a ningún lado, ya que el cracker al final se quedaba sin poder difundir su malware y tenía que volver a empezar con otra dirección web, en muchos casos se optó por crear varias páginas idénticas o parecidas y poner varios "Me gusta", de modo que cada vez que pinchas en uno de los correspondientes botones "Me gusta", se añadía una página a tu perfil. De este modo, al haber varias direcciones, se conseguía que si alguna de ellas era bloqueada por Facebook, el resto seguirían teniendo enlaces en los perfiles de muchos usuarios, como se puede comprobar aún a día de hoy visitando el artículo "GUSANO: Te reto a ver esta página sin reírte!! (Ataca de nuevo)", en el que uno de los enlaces ya ha sido redireccionado a una página con spam, que genera ingresos al cracker cada vez que se visita y que sigue sin estar bloqueada por Facebook. También se han utilizado los múltiples "Me gusta" para promocionar otras páginas con otros tipos de malwares, etc, etc, etc...


De modo que, además de poder espiar nuestros datos, y los de nuestros amigos, a través de las aplicaciones de Facebook que muchos usuarios utilizan (hay datos que pueden tener un valor elevado en el mercado negro), posicionan la página convenientemente para tener mayor cantidad de visitas. Como tampoco nos podemos fiar de estas otras páginas, ya que pueden cambiar en cualquier momento para difundir cualquier tipo de malware. Marcaremos dichas páginas en Marrón, para identificar páginas que, supuestamente, te gustan, pero que probablemente no has etiquetado voluntariamente.

Descubre Quienes Visitan tu Muro, Fotos y a Quien le Gustas! (www.fanafacebook.com)
Esta es la página que actualmente está difundiendo el scam de los contadores o identificadores de visitas al perfil y a las fotos de los usuarios, que como ya hemos mencionando anteriormente, no es imposible de realizar desde Facebook.

En ella, se muestran los últimos usuarios en utilizar la aplicación, que no es más que un rotativo de imágenes que no cambia nunca o, lo que es lo mismo, totalmente falso.

Tras realizar todas las acciones pertinentes y hacer la publicidad consiguiente a todas las páginas asociadas a los me gusta, lo único que hace el paso final es mostrar el siguiente mensaje, sin ninguna comprobación preliminar (si se hiciera una comprobación preliminar debería consultarse a Facebook desde la página antes de mostrar el mensaje, de modo que podemos afirmar que ¡¡No se realiza ninguna comprobación!!).


Los siguientes números identifican las páginas que se están compartiendo con cada uno de los "Me gusta".

0.- Scam (www.fanafacebook.com)
El enlace etiquetado con el 6, vuelve a compartir esta misma página.






1.- Scam: La propia página que publicita el Scam en Facebook (Descubre Quien ha Visitado tu Perfil y Fotos los Ultimos Dias)


2.- ¿Involuntariamente? (Página de Facebook: EIDCO - Escuela Iberoamericana de Cursos Online



3.- ¿Involuntariamente? (Página de Facebook: Sin Problemas)





Comparte el artículo
Si te ha servido la información o conoces a alguien a quien le haga falta compártela.


miércoles, 12 de enero de 2011

Ocultación de virus: La doble extensión.

Extensiones de archivos o Número Mágico
Desde las primeras versiones del MS-DOS, los archivos tienen un nombre, seguido de un punto y una extensión. Dicha extensión en los sistemas basados en MS-DOS, identifica el tipo de archivo que tiene infinidad de variantes. Los .exe son aplicaciones ejecutables, los .pps son presentaciones de Microsoft PowerPoint, los .xls son archivos de Microsoft Excel, los .jpg, .bmp, .gif, .tif, etc... son diferentes formatos de archivos de imágenes, los .avi, .mpg (o .mpeg), etc... son formatos de vídeos, y un largo etcétera.

En los sistemas basados en Unix/Linux, se utiliza el llamado Número Mágico, que mediante los primeros 2 bytes del contenido del archivo, identifica el tipo de archivo. Aunque en los archivos de los sistemas operativos de Microsoft también existe dicho Número Mágico, no se utiliza ni siquiera para confirmar que la extensión es correcta.

Posteriormente, la evolución de los sistemas operativos de Microsoft, han ocultado las extensiones de los archivos conocidos. Esta opción suele ser la primera que desactivo cuando instalo cualquier sistema operativo de Microsoft, ya que puede traer muchos problemas, como el que se detalla en este artículo.

La opción para desactivar esta característica, se encuentra en las opciones o propiedades de las carpetas del Explorador de Archivos de cualquier versión de Windows y, se denomina "Ocultar las extensiones de archivo para tipos de archivos conocidos", de modo que los archivos que tengan extensiones que no estén asociadas con ninguna aplicación seguirán mostrándose.

Todo esto nos lleva a que en cualquier carpeta podemos encontrar archivos con extensiones y sin extensiones (los que Windows ya conoce), de modo que, a la mayoría no le extraña si encuentra un archivo con extensión .pps, si tiene instalado el Microsoft PowerPoint, pero precisamente, por tener instalada dicha aplicación debería extrañarnos. ¿Si me está mostrando una extensión que es lo que hay detrás? Pues muy sencillo, otra extensión que es la que Windows ha ocultado.

Todo esto, unido a que las aplicaciones pueden personalizarse añadiéndole un icono concreto nos lleva al asunto de ...

Los virus y la doble extensión.
Con la ampliación de los nombres de archivo, se permite poner puntos dentro del nombre, permitiendo por tanto la existencia de archivo que parecen tener varias extensiones, de modo que si creamos una aplicación, le ponemos el icono de alguna de las versiones de Microsoft PowerPoint y hacemos que el nombre termine en ".pps.exe", Windows ocultará el ".exe" y cualquier usuario creerá que está ante un archivo de Microsoft PowerPoint normal y corriente.

Esta técnica se puede utilizar con todo tipo de archivos, aunque los más usuales son los archivos de imágenes, vídeos y presentaciones.

El ejemplo: Real kamasutra.pps.exe
La presentación Kamasutra contiene un troyano que realiza una infección por puerta trasera (y no es una metáfora). Se conoce por puerta trasera o Backdoor, un mecanismo consistente en instalar una aplicación en un equipo que posteriormente no deje entrar en el mismo sin problemas, o realizar cualquier otro tipo de actuación.

Este malware en concreto espera que estés interesado en una presentación de Microsoft PowerPoint mostrando diferentes posturas sexuales, y se verían tentados de pinchar en la misma. Mientras ves la presentación (ya que la presentación si que se muestra, para evitar levantar sospechas), el troyano (llamado Troj/Bckdr-RFM) se instala en el ordenador en un archivo con el nombre de AdobeUpdater.exe, permitiendo a los crackers el acceso remoto al ordenador.

Una vez que ha conseguido el acceso al equipo, se puede utilizar para:
  • Enviar spam en tu nombre a cualquiera (tus amigos, conocidos, etc... probablemente lo abran si procede de tu cuenta).
  • Robar la identidad de los usuarios del equipo.
  • Espiar sus actividades.
  • Instalar software publicitario de generación de ingresos.
  • Lanzar ataques de denegación de servicio.
  • Reenviarse a todos tus contactos.
  • Y un larguísimo etcétera