Alerta: Ramson.AN, es un virus que secuestra Windows

Los usuarios que utilizan el sistema operativo Windows de Microsoft, deben tener mucho cuidado con un nuevo virus, descubierto por el Instituto Nacional de Tecnologías de la Comunicación (INTECO) y conocido como Ramson.AN (Trojan.Multi/Ransom.AN@ P2P+MM), que está circulando en estos momentos por Internet. Este nuevo virus ataca al sistema operativo de Microsoft y le pide al usuario infectado un rescate de cien euros o le eliminará toda la información del ordenador pasada 48 horas desde que se produce la alerta. El virus se ejecuta automáticamente cada vez que se reinicia el equipo, pero es incapaz de auto propagarse por la red una vez que ha infectado un ordenador.

Mecanismos de infección del virus Ramson.AN 

Los mecanismos por los que puede llegar al sistema son:

• A través de archivos compartidos en redes P2P (peer to peer).
• Recibido por correo SPAM (que podría proceder de un conocido).
• Se envía masivamente a todas las direcciones de correo electrónico encontradas en el sistema infectado.
• Descargado, sin el conocimiento del usuario, al visitar una página Web infectada.

¿Cómo funciona?

Cuando el virus Ramson.AN infecta el ordenador, se instala en el disco duro y hace que se reinicie el equipo, poniéndose en funcionamiento cada una vez que el usuario enciende el equipo. Al entrar en funcionamiento el equipo se bloquea y aparece una pantalla negra con un mensaje como el siguiente (puedes pinchar en la imagen para ampliar):

El texto está en alemán, pero el mensaje indica que la autenticidad de Microsoft Windows no ha podido ser verificada, así que hay que solucionarlo mediante el pago de 100€. Se hace saber que en caso de que no se pague se perderá acceso a la información que hay en el ordenador y que la oficina fiscal tiene su dirección IP para tomar medidas en caso de que no se pague en las próximas 48 horas.

Para realizar el pago se nos enviará a la página siguiente:

Una vez insertado el código que aparece en el primer mensaje, lleva a la página donde solicitan los detalles de pago (via tarjeta de crédito) para cobrar los 100€. Una vez enviada esta información nos informan de que en las próximas 24 horas nos enviarán el código de activación, tan pronto como comprueben que los datos que les hemos facilitado son reales.

¿Cómo se desinfecta?
Según el INTECO, el troyano se desactiva introduciendo el código:

QRT5T5FJQE53BGXT9HHJW53YT

Al hacerlo se reiniciará el ordenador y la clave del registro que ha creado el malware será eliminada, así como el propio malware.

Compártelo con tus amigos

Síguenos en Google+

a

Comparte el artículo en Facebook

Un virus te envía a páginas de publicidad

En muchísimas ocasiones, me he encontrado con ordenadores en los que, con solo abrir el navegador se abren unas cuantas páginas webs con publicidad, cuando intentas navegar a una página te envía a otra o, simplemente, al abrir una página se abre otra con publicidad por detrás.

Si te pasa esto, no es que los administradores de las páginas que visitas se hayan pasado poniendo publicidad, ya que hay unos ciertos límites en este sentido, además de la circunstancia de que, la persona que se ha encargado de publicar la página, lo que quiere es que se vea el contenido publicado y no una cantidad de publicidad desproporcionado que no te permita ver el contenido que ha motivado la creación de la página.

¿Por qué no lo detecta mi antivirus?

Hay infinidad de aplicaciones, barras de navegación para los navegadores, etc... que utilizan distintas técnicas para conseguir este tipo de cosas, pero esto no es nada nuevo y ya se ha comentado en alguna ocasión. El problema añadido que presenta este tipo de actividades es que, en muchos casos, no son detectados por los antivirus o sí, son detectados, pero no son clasificados como virus. Y, es que, dependiendo de lo puristas que sean en la empresa que mantiene el antivirus estos si son clasificados como malware, pero no como un virus en toda regla.

Para estos casos es necesario revisar el ordenador con algún otro producto para la detección de malware, yo generalmente utilizo la versión gratuita del Anti-Malware de Emsisoft (anteriormente se llamaba "a-squared"). El problema que presenta la versión gratuita es que solamente analiza el ordenador cuando es arrancado manualmente. Yo empecé a utilizar este cuando empezaban a aparecer este tipo de aplicaciones maliciosas, pero es probable que ya exista otras aplicaciones del mismo tipo, si conoces alguna déjanosla en los comentarios para el beneficio de todos.

Otra consideración a tener en cuenta es que, si utilizas un antivirus comercial o muy extendido, los virus y malware suelen identificarlos y modificar el sistema, desactivar el antivirus, etc... para no ser detectados, de modo que es conveniente ejecutar de vez en cuando otro antivirus, pero como suele dar problemas tener más de un antivirus, lo mejor puede ser utilizar un antivirus on-line (analiza el ordenador desde la página web). Si el antivirus on-line ha detectado algún virus que tu antivirus no detecta puede ser que debas plantearte cambiar de antivirus.

A pesar de todo esto puede ser que el ordenador tenga algún malware pues, como ya se ha comentado en alguna otra ocasión, los antivirus amplían su base de datos de virus en base a las actividades sospechosas que encuentran en algunos sistemas, pero en ocasiones no son visibles o se pasan por alto y no se informa, de modo que puede existir infinidad de virus que aún no engrosas las listas de virus de nuestro antivirus.

Y, antes de ejecutar cualquier aplicación que descargues de Internet, puedes enviarlo a alguna página como la de VirusTotal que comprueba el archivo con más de 40 antivirus y te indica si alguno de ellos ha detectado algún malware.

¿Las empresas de publicidad consienten esto?

Pues sí, como comentamos hace una semana en el artículo "El timo de las Alertas SMS y los SMS Premium" las empresas de publicidad pagan una cierta cantidad por cada persona a la que mostremos su publicidad o visite una página y, hay algunas empresas de publicidad sin escrúpulos que, consienten actuaciones como la descrita (aunque suelen pagar menos), pero eso da igual, ya que a un usuario infectado se le mostrará tanta publicidad como desee la persona que controla el malware hasta alcanzar los ingresos que este estime oportuno.

En ocasiones, eliminar el malware no termina de solucionar el problema
La gran mayoría del malware de este tipo que he visto empezaba por cambiar la página de inicio o el motor de búsqueda, de modo que, cuando se arrancaba mostraba un buscador que no era el que teníamos seleccionado anteriormente y cuando se realizaban búsquedas utilizaba un motor de búsquedas que no estaba configurado con anterioridad. Sí vuelves a poner tu página de inicio y al arrancar el navegador vuelve a cambiar es debido a que el malware aún está en el sistema. Una vez eliminado, la página de inicio y el motor de búsqueda debe ser configurado de nuevo, ya que esta operación no se realiza al eliminarlo.

Hace unos días se ha detenido a los responsables de una red que en lugar de cambiar esto, cambiaba la dirección del DNS, redireccionándolo a sus propios servidores. El DNS es el Domain Name System o (en castellano: Sistema de Nombres de Dominio) y se encarga de traducir las direcciones de los sitios Web en su dirección IP correspondiente que es el que realmente identifica el sistema al que queremos acceder. Al cambiar el DNS a otro equipo, se consigue cada vez que se quiera acceder a un nombre de dominio, se pueda manipular la página a la que se envía al usuario. Este es otro caso, en el que hay que volver a reconfigurar algunos parámetros del sistema, bastante más complejos para el usuario inexperto que el motor de búsqueda del sistema.

Podéis leer más sobre la red "DNSChanger Malware" desmantelada en:

• CiberP@is, que informa que los responsables se pueden haber embolsado desde 2007 unos 10,3 millones de euros.
• FBI, donde se da mucha más información al respecto y enlaza algunas páginas de interés, como una página para "Comprobar la configuración del DNS de tu sistema", un documento con más información sobre el malware DNSChanger y como afecta al sistema o un formulario para registrarse como víctima del DNSChanger, esta última de especial interés para proveedores de servicio de Internet o compañías que hayan visto afectado su normal funcionamiento como consecuencia de esto, como puede ser el caso de iTunes, ya que su dirección era una de las redireccionadas.

Compártelo

Síguenos en Google+

a

Comparte el artículo en Facebook

Ocultación de virus: La doble extensión.

Extensiones de archivos o Número Mágico

Desde las primeras versiones del MS-DOS, los archivos tienen un nombre, seguido de un punto y una extensión. Dicha extensión en los sistemas basados en MS-DOS, identifica el tipo de archivo que tiene infinidad de variantes. Los .exe son aplicaciones ejecutables, los .pps son presentaciones de Microsoft PowerPoint, los .xls son archivos de Microsoft Excel, los .jpg, .bmp, .gif, .tif, etc... son diferentes formatos de archivos de imágenes, los .avi, .mpg (o .mpeg), etc... son formatos de vídeos, y un largo etcétera.

En los sistemas basados en Unix/Linux, se utiliza el llamado Número Mágico, que mediante los primeros 2 bytes del contenido del archivo, identifica el tipo de archivo. Aunque en los archivos de los sistemas operativos de Microsoft también existe dicho Número Mágico, no se utiliza ni siquiera para confirmar que la extensión es correcta.

Posteriormente, la evolución de los sistemas operativos de Microsoft, han ocultado las extensiones de los archivos conocidos. Esta opción suele ser la primera que desactivo cuando instalo cualquier sistema operativo de Microsoft, ya que puede traer muchos problemas, como el que se detalla en este artículo.

La opción para desactivar esta característica, se encuentra en las opciones o propiedades de las carpetas del Explorador de Archivos de cualquier versión de Windows y, se denomina "Ocultar las extensiones de archivo para tipos de archivos conocidos", de modo que los archivos que tengan extensiones que no estén asociadas con ninguna aplicación seguirán mostrándose.

Todo esto nos lleva a que en cualquier carpeta podemos encontrar archivos con extensiones y sin extensiones (los que Windows ya conoce), de modo que, a la mayoría no le extraña si encuentra un archivo con extensión .pps, si tiene instalado el Microsoft PowerPoint, pero precisamente, por tener instalada dicha aplicación debería extrañarnos. ¿Si me está mostrando una extensión que es lo que hay detrás? Pues muy sencillo, otra extensión que es la que Windows ha ocultado.

Todo esto, unido a que las aplicaciones pueden personalizarse añadiéndole un icono concreto nos lleva al asunto de ...

Los virus y la doble extensión.

Con la ampliación de los nombres de archivo, se permite poner puntos dentro del nombre, permitiendo por tanto la existencia de archivo que parecen tener varias extensiones, de modo que si creamos una aplicación, le ponemos el icono de alguna de las versiones de Microsoft PowerPoint y hacemos que el nombre termine en ".pps.exe", Windows ocultará el ".exe" y cualquier usuario creerá que está ante un archivo de Microsoft PowerPoint normal y corriente.

Esta técnica se puede utilizar con todo tipo de archivos, aunque los más usuales son los archivos de imágenes, vídeos y presentaciones.

El ejemplo: Real kamasutra.pps.exe

La presentación Kamasutra contiene un troyano que realiza una infección por puerta trasera (y no es una metáfora). Se conoce por puerta trasera o Backdoor, un mecanismo consistente en instalar una aplicación en un equipo que posteriormente no deje entrar en el mismo sin problemas, o realizar cualquier otro tipo de actuación.

Este malware en concreto espera que estés interesado en una presentación de Microsoft PowerPoint mostrando diferentes posturas sexuales, y se verían tentados de pinchar en la misma. Mientras ves la presentación (ya que la presentación si que se muestra, para evitar levantar sospechas), el troyano (llamado Troj/Bckdr-RFM) se instala en el ordenador en un archivo con el nombre de AdobeUpdater.exe, permitiendo a los crackers el acceso remoto al ordenador.

Una vez que ha conseguido el acceso al equipo, se puede utilizar para:

• Enviar spam en tu nombre a cualquiera (tus amigos, conocidos, etc... probablemente lo abran si procede de tu cuenta).
• Robar la identidad de los usuarios del equipo.
• Espiar sus actividades.
• Instalar software publicitario de generación de ingresos.
• Lanzar ataques de denegación de servicio.
• Reenviarse a todos tus contactos.
• Y un larguísimo etcétera

Compartir la página en Facebook

Referencias:

• Fuente: Death by PowerPoint? Kamasutra presentation leads to backdoor infection
• Te puede interesar: "Virus Koobface: un viejo conocido de Facebook" o "GUSANO-ZOMBIE: Koobface ataca de nuevo." muestran otras técnicas utilizadas para hacer que permitas la ejecución del troyano.
• Aunque el caso aquí detallado está algo más elaborado, hay muchos otros que utilizan la técnica del viruh Andalú para la que no existe antivirus posible.
• Recuerda que hay una ingente cantidad de puertas traseras, fallos de seguridad, etc... que aún no han sido protegidas, así como infinidad de virus que se van creando a diario que aún no son detectados por algunos antivirus, como se indica en VirusTotal: Un mega-antivirus on-line.

Alerta: Vulnerabilidad crítica 0-day en IE

Desde hace tiempo se está informando a través de algunos medios especializados de la existencia del exploit 0-day, el 3 de Noviembre, Microsoft informó de esta vulnerabilidad en casi todas las versiones de Internet Explorer.

Según se informa, es posible aprovechar un fallo que se produce en la memoria al cargar una web, creada a medida para provocar el fallo, para conseguir privilegios de ejecución remota. Una vez conseguidos dichos privilegios es posible ejecutar cualquier aplicación y tomar el control en el equipo que ha visitado la página.

Microsoft negaba que se hubiera producido esta circunstancia, aunque la prueba del concepto, objeto de este exploit ya está publicada en Internet.  Este agujero de seguridad afecta a Internet Explorer 6, 7 y 8 y es capaz de saltarse las medidas de seguridad ASLR (Address Space Layout Randomization) y DEP (Data Execution Prevention).

Como ya se informó anteriormente ("VirusTotal: Un mega-antivirus on-line"), hay infinidad de fallos de seguridad que aún no se han detectado por los responsables del software, pero que pueden estar siendo aprovechados por toda una retahíla de virus, troyanos, etc...

Al parecer, según se informa desde Security By Default, el antivirus Microsoft Security Essentials, es capaz de tener el exploit, pero como se comentaba en el artículo sobre VirusTotal, la detección de los virus se van implementando en los antivirus tras haberlo identificado, de modo que quizás sea mejor cambiar de navegador web.

A continuación tenéis unos consejos válidos para intentar mitigar cualquier vulnerabilidad:

• Utilizar las zonas de seguridad de Internet Explorer. Si se eleva a "alta" el nivel de seguridad de la zona de Internet del navegador, se evitarían muchísimos de los ataques actuales. Esta posibilidad está disponible en las opciones del navegador. Si se tienen problemas para visualizar páginas legítimas, basta con añadirlas a la lista de confianza.
• Utilizar Enhanced Mitigation Experience Toolkit (EMET) de Microsoft. Esta herramienta permite que todas las DLL cargadas por un programa sean obligadas a usar ASLR. Esto quiere decir que serán colocadas en lugares aleatorios de la memoria y el exploit que intente apoyarse en ellas para funcionar, no lo hará.
• Ahora que están de moda las sandbox desde que Adobe la implementa en su lector, cabe recordar que existen programas que permiten "encapsular" en una sandbox otras aplicaciones. En concreto, por ejemplo sandboxie (gratuito) permite ejecutar el navegador dentro de un entorno virtual. Cualquier ataque no pasaría al entorno "real" del sistema.
• Existen aplicaciones como WehnTrus (gratuita) que permiten implementar ASLR en los sistemas operativos de Microsoft que no lo soportan, como Windows XP y 2003.

Compartir la página en Facebook

Nueva versión del virus Andalú

Este virus tiene una larga trayectoria (hace casi 20 años que lo recibí por primera vez en un correo electrónico) y, aunque inicialmente, no podía infectar a nadie, ya que había que ser muy muy tonto para caer en los "ridículos métodos de infección", con la llegada de las redes sociales se ha ido adaptando hasta el punto de que actualmente es altamente efectivo y extraordinariamente contagioso.

¡¡¡No es broma!!!

En sus inicios, se presentaba mediante la siguiente imagen, que lo único que provocaba era risa.

Con la llegada de las redes sociales, el virus ha cambiado un poco, ahora te dice que tiene una aplicación para saber quien visita tu perfil, para cambiarle el color del fondo al Facebook, etc, etc,... y el estupendo Truco para que face te haga un cafe con leche y 2 tostadas. Te pone cuatro imágenes retocadas con el Paint (no llega ni para usar el PhotoShop) y te dice:

• "Copia el siguiente texto en 365 muros de usuarios, grupos o páginas", es decir, haz SPAM en mi nombre, que a mi no me da para más. Además, si ponen una denuncia por SPAM, a mi no me coge, yo no soy el tonto que lo ha hecho.
• "Invita a todos tus contactos", es decir, propaga el "virus".
• "Pincha en los MeGusta que aparecen más abajo", es decir, añade todas las páginas que yo quiera en tu lista de Gustos e Intereses (y se queda pensando, "seguro que entre tus amigos hay otro tonto que cae, o que se fía tanto de ti que es capaz de hacerlo otra vez").
• "Todo esto es para que Facebook sepa que eres un usuario activo", como si Facebook no supiera como de activo es un usuario simplemente viendo el registro de las veces que ha entrado un usuario.

Si en vez de esto, te dice mira el vídeo de lo que ha hecho Fulanito a Zutanito, entonces ya apaga y vámonos. ¿Pero es que nadie se da cuenta de que montar tanta parafernalia para pinchar en un enlace para ver un vídeo en un lugar diseñado para compartir enlaces y vídeos, tiene un fin oculto?

Desconfía de cualquier página que te dice que invites a todos tus amigos para ver una cosa, primero enséñamela y, luego, ya veré yo si invito a alguien.

Como hay gente que ya no cae en estas cosas, pues le ponemos, siempre, detrás "(funciona)" y ya caen hasta las moscas.

¿Y, ahora, como le decimos al usuario que no existe la aplicación?

Bueno, pues muy sencillo, le dimos que se le ha olvidado invitar a alguien, pera que se crea que somos todo poderosos y sabemos que no ha invitado a nadie y si ha invitado a alguien, que se coma el coco viendo a quien se le ha olvidado. Si no, le decimos que falta algún mensaje por publicar en los muros, etc, etc, etc,...

Y, cuando se acaban los argumentos, ponemos un contador aleatorio diciendo al usuario que hoy lo han visitado X usuarios.

¿¿¿Y después que???

Cuando ya tienen gran cantidad de usuarios con la página enlazada en sus perfiles, cambiamos el contenido de la página para que envíe un troyano, gusano, etc... e infectar los equipos de las personas que aún se creen que la información es correcta.

Es increíble que el viruh andalú siga funcionando después de tantos años y no se haya podido erradicar, pero es que aún no se ha creado un antivirus para es la estupidez humana.

Mil disculpas

Si alguien se ha sentido ofendido en algún momento, mil disculpas.

Comparte el artículo

Si te ha servido la información o conoces a alguien a quien le haga falta compártela.

Compartir la página en Facebook

Rompiendo mitos

Yo mismo soy andalú de La Isla o San Fernando, como prefieras. Brutos como para negarse a rendirse frente a Napoleón cuando España era una isla, pero inteligentes como para promulgar la Constitución española de 1812. y tan locos como para devolver de nuevo España a los españoles.

Y, en general, gente que piensa más con el corazón que con la cabeza.

GUSANO-ZOMBIE: Koobface ataca de nuevo.

Ya hace algún tiempo, en el artículo "Koobface: un viejo conocido de Facebook", advertimos que este virus podría volver a la carga en cualquier momento, ya que lo único que se necesita es un enlace a un archivo de vídeo y, por tanto, puede propagarse a través de cualquier sistema que permita la inserción de enlaces a archivos de vídeo.

En estos últimos días, ha saltado la alarma de la llegada de un nuevo virus capaz de infectar a los sistemas Mac OS X, posteriormente se han recibido notificaciones de que Koobface está atacando a los sistemas con Ubuntu (Linux), como se puede ver en la imagen.

En el siguiente vídeo, podéis ver como, en un sistema con Ubuntu, el virus empieza a generar tráfico de red.

Y, por supuesto, también es capaz de infectar a los sistemas con Windows.

¿Como es posible que afecte a sistemas tan dispares?

El tema es bastante sencillo, el virus está desarrollado y corre sobre una máquina virtual Java, lo que quiere decir que, en principio, puede ejecutarse en cualquier equipo que tenga instalada la máquina virtual, desde los ordenadores (independientemente del sistema operativo) hasta teléfonos móviles (cualquiera que permita juegos y aplicaciones Java).

La máquina virtual es un "programa" que se puede instalar en cualquier equipo (son versiones distintas para cada sistema anfitrión en el que se instala), pero que establece un entorno uniforme para que se pueda desarrollar aplicaciones que se ejecuten en cualquier equipo que soporte Java.

¿Como se propaga Koobface?

La técnica usada es la clásica de publicar un enlace a un supuesto vídeo con un mensaje atrayente. En este caso se sigue usando el clásico “is this you?” (“¿eres tú?) para despertar la curiosidad de la gente. Al acceder al enlace del supuesto vídeo se solicitará la ejecución de un complemento relacionado con Java.

La funcionalidad del malware no ha variado apenas desde las primeras variantes y sigue consistiendo en generar equipos zombies y añadirlos a una botnet (red de ordenadores zombies).

Koobface, desde un principio, ha utilizado la ingeniería social para propagarse sin problemas, lo que quiere decir que, podéis recibir el virus a través de un correo de un conocido, de un vídeo de Facebook, etc, etc, etc... En principio, y por la forma en que se propaga, puede provenir desde cualquier sistema que permita insertar/añadir/integrar/enlazar vídeos.

Informa a tus amigos:
Si te ha servido la información compártela o recomiéndasela con tus amigos.

Compartir la página en Facebook

Fuentes:

• ESET España: Koobface se hace multiplataforma.
• Malware diaries: Koobface: the cross-platform version
• The Mac Security Blog: Intego Security Memo: Trojan Horse OSX/Koobface.A Affects Mac OS X Mac – Koobface Variant Spreads via Facebook, Twitter and More

Artículos relacionados:

• Tecnoenredados: Virus Koobface: un viejo conocido de Facebook