Primer troyano para MAC que detecta la virtualización

Desde el blog de F-Secure alertan de la aparición del primer troyano para Mac que detecta si está siendo ejecutado en una máquina virtual, para así alterar su comportamiento y evitar ser analizado.

El hecho de que el malware compruebe si se está ejecutando en un entorno de virtualización no es nada nuevo. Es una técnica que viene siendo utilizada desde hace años por gran cantidad de malware. Esto tiene un claro objetivo: los que analizamos malware solemos ejecutarlo en un entorno virtual, que permite aislar los efectos y poder volver rápidamente a un entorno "limpio" restaurando a un estado anterior.
Existen infinitas técnicas para comprobar si se está en una máquina virtual, y se ha convertido casi en un arte: buscar procesos característicos, ficheros, drivers que suelen venir en los virtualizadores más populares... Los troyanos realizan una comprobación nada más ser ejecutados y, si los detectan, no continúan. Los analistas debemos entonces o bien pasar a un entorno físico, intentar conocer qué buscan e intentar engañarlos, o bien utilizar software de virtualización menos popular (evitar VirtualBox o VMWare).
También el malware utiliza la detección de máquinas virtuales para eludir los análisis automáticos que suelen realizar sandboxes públicas que se encuentran automatizadas.
Si bien es un método antiguo, sí es cierto que es la primera vez que se observa este tipo de comportamiento en malware destinado al sistema operativo de Apple. Como viene siendo habitual, los avances técnicos de los creadores de malware suelen estar enfocados hacia evitar a los analistas "manuales". De entre sus "enemigos", son los más "peligrosos" para ellos. Desde luego, el usuario final no le supone tanto problema por ahora. Con la ingeniería social le basta y no le hacen falta artificios técnicos. En el caso de Mac, su enemigo más fuerte tampoco son los antivirus ni necesita esforzarse demasiado por eludirlos.
La muestra analizada por F-Secure en concreto, se hacía pasar por una actualización de Adobe Flash Player, y en caso de detectar que está siendo ejecutando sobre una máquina virtual, detiene por completo su ejecución. Por el momento, la única máquina virtual que sobre la que se comprueba si está corriendo es VMWare.
Existen numerosos métodos para comprobar si se está en un entorno virtual. Se puede encontrar información en la propia página de VMWare, con sus pros y sus contras:
http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1009458
En este caso en concreto no se utiliza ninguna de las técnicas descritas en la web de VMWare, muy posiblemente porque no funcionan en el 100% de los casos. Este troyano en cuestión recurre a un método descubierto por el investigador Ken Kato, que consiste en interactuar con un puerto de Entrada/Salida (puerto 'VX') que no debería existir en un entorno no virtualizado, puesto que es utilizado por la máquina huésped para comunicarse con la máquina virtual.

Fuente:http://www.hispasec.com/unaaldia/4740

Top 10 virus informaticos mas dañinos de la historia

Si ayer os contábamos cuales fueron las diez -peores- predicciones tecnológicas de la historia hoy os traemos otro artículo en la misma línea. Hoy le toca el turno a los diez virus informáticos más dañinos de la historia. Una nueva entrada para conocer un poco más de esta enrevesado mundo de microprocesadores, memorias y discos duros.

Empezaremos con una breve definición del término virus en informática, para partir de la base de que todos la conocemos.

Virus: un virus informático es un tipo de software maligno que tiene por objeto alterar el normal funcionamiento de un ordenador, sin el permiso o el conocimiento del usuario. Los virus, habitualmente, reemplazan archivos ejecutables por otros infectados con el código de este. Los virus pueden destruir, de manera intencionada, los datos almacenados en un ordenador, aunque también existen otros más inofensivos, que solo se caracterizan por ser molestos.

Bien, una vez dicho esto, procedemos a citar el “maldito” listado. Aquí os lo dejamos…

1. CIH (1998)

Daño estimado: entre 20 y 80 millones de dólares, sin contar el precio de los materiales informáticos destruidos.

Localización: desde Taiwan en Junio de 1998, se propagó por millones de ordenadores y está reconocido como uno de los más peligrosos y destructivos jamás visto. Infectó a los ejecutables (.exe) de Windows 95, 98 y ME, capaz de permanecer residente en la memoria de los ordenadores infectados para así infectar a otros archivos ejecutables. Su peligro residió en que podía reescribir datos en el disco duro y dejarlo inoperativo. Su propagación fue rapidísima.

Su creador: el taiwanés Chen Ing Hau, el cual le prestó sus iniciales al nombre original del virus.

Curiosidades: también conocido como Chernobyl o Spacefiller. CIH fue distribuido en algún que otro software de renombre, como una Demo del juego “Sin” de la empresa Activisión.

2. MELISSA (1999)

Daño estimado: entre los 300 y 600 millones de dólares.

Localización: los nostálgicos de la informática, recordarán que el 26 de Marzo de 1999, el virus W97M/Melissa llegó a ocupar las portadas de muchos periódicos alrededor del mundo. Un estudio realizado años después, hace una estimación aproximada de este virus, que pudo infectar entre el 15% y 20% de los ordenadores del mundo.

Su creador: David L. Smith

Curiosidades: también conocido como Mailissa, Simpsons o Kwejeebo, debido a que su creador era un fan incondicional de Los Simpsons. El virus usó el sistema de mensajería electrónica de Microsoft Outlook para enviarse a sí mismo a 50 de los usuarios de la lista de contactos del infectado. El cuerpo del correo contenía la frase “Here is that document you asked for… don’t show anyone else” (“Aquí está el documento que me pediste… No se lo enseñes a nadie”) y venía acompañado por un documento de Word adjunto. Este archivo de texto fue ejecutado por miles de usuario, lo cual contribuyó a su asombrosa propagación.

3. ILOVEYOU (2000)

Daño estimado: entre los 10 y los 15 billones de dólares.

Localización: este script programado en Visual Basic tenía un anzuelo bastante apetecible: promesas de amor. El 3 de Mayo del 2000, el gusano ILOVEYOU fue detectado en Hong-Kong y fue transmitido via email -como el Melissa- con el asunto ILOVEYOU y el archivo adjunto “Love-letter-for-you.txt.vbs” (“Una carta de amor para tí”; el .txt intentaba emular que se trataba de un archivo de texto, pero su verdadera extensión era el .vbs -correspondiente a un script de Visual Basic). Su rápida propagación se debió al asunto tan llamativo que tenía y al adjunto, que era más de lo mismo. Además, el virus se tomó la libertad de sobrescribir archivos de música, imágenes y otros.

Su creador: en este caso, dos jóvenes filipinos llamados Reomel Lamores y Onel de Guzmán. Ambos quedaron absueltos ya que Filipinas no contaba con una ley contra la creación de virus informáticos.

Curiosidades: también conocido como “Loveletter” (Carta de amor) y “Love bug”.

4. CODE RED (2001)

Daño estimado: unos 2.6 billones de dólares.

Localización: fue un gusano que infectó por primera vez el 13 de Julio de 2001 y que atacaba a los ordenadores que tuvieran el servidor ISS (“Microsoft’s Internet Information Server”, Servidor de Información de Internet de Microsoft); dicho gusano explotaba una importante vulnerabilidad de dicho servidor.

Su creador: desconocido.

Curiosidades: también conocido como “Bady”, Code Red fue diseñado para causar el máximo daño posible. En menos de una semana afectó a casi 400.000 servidores y más de un millón de estos en su corta historia. Fue descubierto y catalogado por los trabajadores Marc Maiffret y Ryan Permeh, de la empresa eEye Digital Security.

5. CSQL SLAMMER (2003)

Daño estimado: a pesar de aparecer un sábado y que se considera que su daño económico fue bajo, afectó a un total de 500.000 servidores.

Localización: aunque se desconoce la cepa inicial del virus, los países más afectados fueron los Estados Unidos y Corea del Sur.

Su creador: desconocido.

Curiosidades: también conocido como “Sapphire”, data del 25 de Enero de 2003 -vaya, cumpleaños de un servidor; que cosas- y su principal objetivo eran los servidores. El archivo, que pesaba unos 376 bytes, generaba una dirección IP de manera aleatoria para autoenviarse a dicha dirección; si la IP de destino corría bajo un Microsoft SQL Server Desktop Engine sin parchear, dicho equipo quedaba infectado y el virus procedía a reenviarse nuevamente. Slammer infectó a 75.000 ordenadores en tan solo 10 minutos.

6. CBLASTER (2003)

Daño estimado: de 2 a 10 billones de dólares.

Localización: en el verano del año 2003 -concretamente, el 11 de Agosto- el virus CBLASTER comenzó con su “reinado”. Dicho gusano se propagó rápidamente -en solo dos días- gracias a la vulnerabilidad de Windows 2000 y XP; al infectar una máquina, se encargaba de mostrar un cuadro de diálogo, en el cual comunicaba que el apagado del equipo era inminente.

Su creador: aunque se desconoce su nombre, se sabe que era de origen chino. En Agosto de 2003, Jeffrey Lee Parson, de 18 años, fue arrestado y condenado por crear la variante B de este gusano.

Curiosidades: también conocido como “Lovsan” o “MSBlast”. En el código de dicho virus, había oculto un curioso mensaje:

“I just want to say LOVE YOU SAN!!” and “billy gates why do you make this possible? Stop making money and fix your software!!”

“¡Solo quiero decir que te quiero San!” y “billy gates: ¿Por qué haces posible esto? Deja de ganar dinero y arregla tu software!!”

7. SOBIG F (2003)

Daño estimado: de 5 a 10 billones de dólares y más de un millón de ordenadores infectados.

Localización: al igual que CBLASTER, SOBIG también atacó en Agosto del 2003 -un mes horrible en lo que a seguridad informática se refiere-. La variante más dañina del virus SOBIG fue SOBIG.F, el cual atacó el 19 de Agosto generando más de un millón de copias de él mismo en las primeras 24 horas.

Su creador: desconocido. En su momento, Microsoft ofreció una recompensa de 250.000$ a la persona que identificara a su autor.

Curiosidades: dicho virus se propagó vía email en archivos adjuntos, del tipo de “application.pif” y “thank_you.pif”. Su propagación era automática: en cuanto infectaba un equipo, procedía a su autopropagación. El 10 de Septiembre de 2003 el virus se autodesactivó y ya no volvió a resultar una amenaza.

8. BAGLE (2004)

Daño estimado: unos 10 millones de dólares.

Localización: hizo su espectacular debut el 18 de Enero de 2004. El código infectaba a los sistemas con un mecanismo tradicional: adjuntaba archivos maliciosos a un mail y se autopropagaba. Su peligro real es que existen entre 60 y 100 variantes del mismo, por lo que cuando el gusano infectaba un ordenador abría un TCP, que era usado remotamente por una aplicación para acceder a los datos del sistema.

Su creador: desconocido.

Curiosidades: también conocido como Beagle. La variante más peligrosa que se conoce es la Bagle.B, aunque fue diseñada para detenerse el 28 de Enero de 2004. Aún en la actualidad, hay otras variantes que aún siguen funcionando.

9. MYDOOM

Daño estimado: relentizó el rendimiento de internet en un 10% y la carga de páginas en un 50%.

Localización: durante unas pocas horas del 26 de Enero de 2004, MyDoom fue capaz de dar la vuelta al mundo. Transmitido -como no- por via email, afectó a ordenadores con sistemas Windows enviando un supuesto mensaje de error. La novedad de este virus fue que también atacó a carpetas compartidas de usuarios en la red P2P Kazaa.

Su creador: desconocido.

Curiosidades: también conocido como W32.MyDoom@mm, Novarg, Mimail.R y Shimgapi. Estaba programado para que parara automáticamente el 12 de Febrero del 2004. El supuesto mensaje que mostraba era el siguiente:

“Andy: I’m just doing my job, nothing personal, sorry”, que traducido quiere decir -más o menos- lo siguiente: “Andy: estoy haciendo mi trabajo. No es nada personal, lo siento”.

10. SASSER (2004)

Daño estimado: 10 millones de dólares.

Localización: fue lanzado el 30 de Abril de 2004 y fue lo suficientemente destructivo como para colgar algunas comunicaciones vía satélite de agencias francesas. Entre sus daños más sonados, está la cancelación de vuelos de numerosas compañías aéreas.

Su creador: aunque en un principio se pensó que el autor del SASSER era el mismo que el del BLASTER -debido a la similitud de ambos cógidos- en Mayo del 2004 un estudiante de ciencias de la computación alemán, Sven Jaschan, fue arrestado por ser el verdadero autor de dicho gusano. Delatado a las autoridades por uno de sus amigos, Sven reconoció que había escrito SASSER y NetSky.AC -una variante del virus NetSky-.

Curiosidades: dicho virus no era transmitido vía email y no requería usuarios para propagarse. En cuanto el gusano encontraba sistemas Windows 2000 y XP no actualizados, él mismo se autopropagaba; los sistemas infectados experimentaban una gran inestabilidad. La solución a dicho virus fue un parche de seguridad sacado por Microsoft, que también servía para los infectados por BLASTER. Como anécdota de un servidor, os diré que por aquellos años yo estudiaba 3º de ESO y era uno de los pocos “informáticos” en mi centro -informático entre comillas, ya que solo era un aficionado a las nuevas tecnologías-; dicha etiqueta se propagó como un virus por allí y aún recuerdo las tardes que me pasé instalando el parche de Microsoft a los profesores. Para las malas lenguas diré que eso no influyó en mis notas finales.

Como habéis podido comprobar, el auge del nacimiento de los virus fue de la mano en cuanto a la propagación del uso del correo electrónico. Además, la mayoría de ellos se propagaban única y exclusivamente por fallos de seguridad en los sistemas Windows. A partir de la expansión del SASSER nació el principal movimiento de rechazo al sistema de Gates y el apoyo a LINUX, basado en la seguridad de los sistemas UNIX.

Fuente:http://todobytes.es/los-10-virus-informaticos-mas-daninos-de-la-historia/

Spotify es sorprendido usando una cookie que no se puede borrar

Parece que los suecos de Spotify acaban de meterse en un buen lío, según una investigación realizada por la Universidad de Berkeley la compañía habría estado usando una cookie cuya particularidad consiste en que no puede ser borrada, con la consiguiente amenaza que esto supone para el usuario. Sigue funcionando incluso si este tiene actividada la opción de no permitir cookies en su ordenador e incluso si este está con el modo privacidad activado que ya incluyen muchos navegadores como Firefox o Google Chrome, ocurra lo que ocurra y estén activas las opciones que estén activas no se puede evitar que se instale, es más, si intentamos borrarla se vuelve a regenerar en una especie de juego de whack-a-mole siniestro.
La cookie en cuestión parece que les ha sido proporcionada por KISSmetrics, una compañía cuyas tácticas sucias ya han sido puestas en entredicho y que también presta servicios a gigantes de internet tales como Hulu, que dicho sea de paso también hace uso de la cookie en cuestión. Según el email de un investigador de seguridad a Wired básicamente lo que hace es utilizar toda una serie de artimañas y puertas de seguridad para evitar ser bloqueados por todos los métodos más populares de bloqueo antitracking, haciendo seguimiento del usuario incluso si este no quiere.
De momento la respuesta de la compañía ha sido fulminante en cuanto a dejar de usar la cookie maldita (como si les quedase otra posible solución) y están trabajando para averiguar hasta qué punto está implicada KISSmetrics en el asunto, algo que huele mucho a cargarle el muerto a otro, incluso aunque este otro sea igual o más responsable que la propia Spotify; la respuesta de Hulu también ha sido similar. Desconozco si ambas compañías desconocían el uso de las cookies que empleaba KISSmetrics, aunque de ser así y en desconocimiento de sus clientes es probable que en estos momento estén llamando a todos sus abogados para hacer frente a la demanda que se les avecina.
¿Cuál es el objetivo de una cookie que no se puede borrar? A efectos de rastreo puede ser bastante nefasto, por ejemplo, si un visitante entra en Hulu o hace uso de Spotify, la cookie proporcionada por KISSmetrics se instalaría y le daría al usuario un ID concreto que podría usar Hulu para sus propios fines, en cuanto ese visitante entra en otro sitio que hace uso del mismo servicio la cookie obtendría la misma ID lo que hace potencialmente posible que dos compañías o incluso la propia KISSmetrics compartan o utilicen información privilegiada del usuario que no sólo este no ha autorizado sino para la que se ha protegido incluyendo métodos como el bloqueo de cookies. De momento está todo en el aire y la compañía acaba de pronunciarse al respecto, habrá que ir viendo hasta qué punto llega la invasión de privacidad y ver cómo sale Spotify del atolladero.
Actualización (2 de Agosto):
Actualización (fecha): Hemos intentado hablar con el representante de Spotify en España, Lutz Emmerich y no ha sido posible por estar de vacaciones. Cuando preguntamos a Spotify sobre el tema nos dicen que sólo pueden decir lo siguiente:

“We take the privacy of our users incredibly seriously and are concerned by this report. As a result, we have taken immediate action in suspending our use of KISSmetrics whilst the situation is investigated.”

Por nuestra parte, haremos un seguimiento del tema y seguiremos informando

Fuente:http://alt1040.com/2011/08/spotify-es-atrapada-usando-una-cookie-que-no-se-puede-borrar

Los 10 virus más peligrosos del mes de junio

Cuatro de las cinco amenazas contra Java son viejas conocidas del ranking mensual de G Data y, al igual que ellas, la última en añadirse a esta particular colección, Java.Trojan.Exploit.Bytverify.Q, se aprovecha de agujeros de seguridad ya corregidos por Oracle.
“Como venimos alertando en los últimos meses, los cibercriminales siguen aprovechándose de las actualizaciones no instaladas para llegar a sus víctimas y, en vista del éxito, siguen y seguirán insistiendo en explotar viejos agujeros de seguridad”, ha manifestado Ralf Benzmüller, responsable de G Data SecurityLabs. Así, G Data ha publicado las 10 amenazas más repetidas en el mes de junio.
1 – Trojan.Wimad.Gen.1:
Este troyano pretender hacerse pasar por un tradicional archive de audio .wma aunque sólo se puede reproducir después de instalar un códec / decoder especial. Si se ejecuta el archivo, el atacante podrá instalar malware de cualquier tipo en el ordenador de la víctima. El archivo infectado se distribuye principalmente vía P2P.
2 – Worm.Autorun.VHG
Este gusano usa la función ‘autorun’ de Windows para expandirse. Llega a raves de dispositivos de almacenamiento como lápices USB y discos duros portátiles y aprovecha la vulnerabilidad CVE-2008-4250.
3 – Gen:Variant.Adware.Hotbar.1
Este adware se instala de forma totalmente desapercibida para el usuario como parte de paquetes gratuitos de programas multimedia del estilo VLC, XviD, etc, que son descargados desde fuentes no oficiales y ajenas a sus fabricantes (por ejemplo ‘Clickpotato’ y Hotbar’). Todos los paquetes están firmados digitalmente como “Pinball Corporation” y el adware se ejecuta cada vez que se inicia Windows, integrándose como un icono de sistema.
4 – Trojan.AutorunINF.Gen
Este malware está diseñado para distribuirse a través de dispositivos externos. Los archivos Autorun.inf se utilizan como mecanismos para la difusión de malware a través de memorias USB, dispositivos de almacenamiento extraíbles o, reproductores de CD o DVD.
5 – Java.Trojan.Exploit.Bytverify.Q
Este exploit aprovecha la vulnerabilidad de Java Runtime Environment descrita en CVE-2010-0094 para ejecutar código malicioso. El peligro acecha en los applets de Java que se integran en las páginas web.
6 – Java.Trojan.Downloader.OpenConnection.AI
Como el primero de esta lista, este troyano downloader nos llega en ‘applets de Java embebidos en determinados websites y muestra el mismo funcionamiento.
7 – Java.Trojan.Downloader.OpenConnection.AN
Otra variación del mencionado Java.Trojan.Downloader.OpenConnection, que ocupa la primera y quinta posición de este Top10.
8 – Java.Trojan.Downloader.OpenConnection.AO
Este troyano con funciones de ‘downloader’ nos llega en applets manipulados de Java y embebidos en una página web. Cuando el applet es descargado, se genera una URL que el troyano utiliza para descargar y ejecutar un archivo malicioso. El programa aprovecha la vulnerabilidad CVE-2010-0840 para y es capaz de escribir datos en el sistema de la víctima.
9 – Java:Agent-DU [Expl]
Otra amenaza dirigida a Java que de nuevo descarga un applet que utiliza un agujero de seguridad (CVE-2010-0840) para evitar su mecanismo de protección y descargar código malicioso en el equipo.
10 – Adware.Hotbar.GG
Pertenece a la categoría de los programas que instalan software no deseado (PUP, de sus siglas en inglés Potentially Unwanted Programas). Estamos ante un BHO (Browser Helper Object), una especie de plugin que, en principio, mejora o completa las funcionalidades del navegador pero que en este caso esconde fines publicitarios. Está firmado digitalmente por “Pinball Corporation” o, en algunos casos, por ‘Smartshopper Technologies’. La aplicación ofrece comparaciones de precios, productos y servicios ofrecidos por los partners de las empresas firmantes.

Fuente:http://muyseguridad.net/2011/07/13/10-virus-mas-peligrosos-junio/

Sobre las botnets indestructibles. ¿De verdad que lo son? (I)

En estos días hemos leído en los medios todo tipo información sobre una botnet indestructible que supuestamente ha dejado a todos los expertos del mundo "con la boca abierta" (frase que han empleado en muchos artículos). En este caso concreto, ¿qué significa eso de indestructible?, porque puede llegar a confundir y asustar al usuario: ¿significa que no podré eliminarlo nunca de mi sistema? ¿Significa que nadie podrá eliminar nunca la botnet? Vamos a intentar aclarar por qué se ha llegado a esta conclusión, y si es cierta o no.

Kaspersky ha hecho sonar la alarma. TDL4 era la evolución de TDL (nacida en 2007). Esta nueva versión contaba con 4.5 millones de sistemas infectados, y dispone de recursos muy avanzados para permanecer en el sistema infectado. Cabe destacar que se trata de una botnet destinada a crear fraudes por "click" en publicidad. Sus principales características que destacaba el artículo son:

Nueva con ... ¡4.5 millones de víctimas!

Parece que ya se sabía que la versión 4 estaba activa desde mediados de 2010. ¿4.5 millones de zombis es mucho? Desde el artículo de abuse.ch, llamado How big is big? Se especula sobre la dimensión de ciertas botnets. La verdad es que TDL es de las más grandes, llegando a captar 90.000 direcciones IPs únicas infectadas en 24 horas. Realmente, hoy en día lo complicado no es infectar sistemas o conseguir un gran número de víctimas, sino capitalizar esa legión y sacar buen partido de ella. Conficker, un gusano de finales de 2009 del que realmente no se sabía muy bien qué objetivo perseguía, consiguió 15 millones de sistemas infectados. La botnet Mariposa, destapada por Panda a mediados de 2010 (y operada desde España), consiguió 13 millones.

Comunicación cifrada entre servidor de control de la botnet y el cliente infectado

Con este método, el troyano consigue eludir los IDS y otros métodos para bloquear el tráfico de red que genera el malware. Estas características ya las usaba Zbot desde 2007. El atacante, a la hora de configurar la botnet, elige una contraseña con la que se cifra el tráfico de red. Es como establecer conexiones SSL entre víctima y sistema de control del atacante. Realmente, no es novedad.

Explotar al máximo el beneficio: Vender la versión previa

Los creadores vendieron a finales del año pasado el código fuente de la versión 3 de la botnet TDL a otros atacantes. ¿Por qué? Porque la versión 4 ya la tenían desarrollada, y era lo suficientemente diferente a su versión previa para no tener que preocuparse. Esto ya ocurrió también con Zeus. Se puso a la venta al mejor postor a principios de año el código fuente de la versión 2, y se abandonó el proyecto. Esto ocurría justo cuando se rumoreaba que los creadores de Zeus se unían a los de Spyeye.

Infectar a nivel de MBR

Esta es una de las características por las que se le ha apodado como "indestructible". Este dato es bastante inexacto. Master Boot Record es el primer sector del disco duro. Ahí es donde acude el ordenador a conocer la tabla de particiones y saber con qué sistema operativo arrancar. El MBR está compuesto por la Master Partition Table y el Master Boot Code. La primera contiene la descripción de las hasta cuatro particiones primarias que puede contener un disco y cuál está activa. El segundo (440 bytes) es el código al que acude la BIOS cuando ya sabe en qué disco físico buscar el sistema operativo. Este código localizará la partición de arranque en su tabla de particiones, y si la encuentra, su sector se cargará en la conocida dirección de memoria 0000:7C00 para lanzar por fin el "kernel loader" (en el caso de Windows, el NTLDR). Modificando estos valores, el malware toma el control, y el sistema operativo arrancará bajo las condiciones que imponga el malware. O sea, le ataca desde el nivel más bajo y efectivo.

Malware a nivel de MBR se conoce desde hace tiempo. Si nos centramos en botnets, la familia Sinowal de 2007, ya usaba infección por MBR para sobrevivir al formateo del ordenador.

¿Indestructible por esto? Lo hace mucho más complicado, es cierto, pero no tanto. Sin ir más lejos, Kasperksy ofrece herramientas gratuitas para limpiar este malware totalmente. O cualquier herramienta que permita crear particiones podría eliminar la referencia en el MBR.

Seguiremos en la siguiente entrega estudiando las características de esta botnet.

Fuente:http://www.hispasec.com/unaaldia/4643

TDL4 informacion y solucion(desinstalarlo,reparar)

TDL4, es el nombre del virus que hace a tu computadora formar parte de un botnet de más de 4.5 millones de máquinas. Cifra lograda en solo tres meses durante este año. Para los que no sepan con certeza, un botnet no es más que una red de computadoras infectadas que ejecutan, según las instrucciones del creador, pequeños programas que normalmente se utilizan para orquestar ataques DDoS  (ataques de denegación de servicio) o enviar spam.
TDL4, llega a través del troyano llamado TDSS y, lo que lo hace tan especial, es que se instala fuera del sistema operativo, es decir, infecta directamente el disco duro, por esta razón, Kaspersky Labs dice que es prácticamente indestructible.

… se asegura que el código malicioso corra antes del sistema operativo… Tiene la habilidad de borrar otros programas maliciosos que no estén asociados con TDL, para evitar levantar sospechas. No todos, pero los más comunes.

Además, éste botnet tiene la habilidad de utilizar una red p2p pública, manteniendo sus servidores codificados y anónimos, lo que le suma poderío. Y como no sería un buen geek si no les asistiera con esto, les dejo algunos consejos.

¿Cómo saber si estoy infectado?

Uno de los métodos que más utiliza este virus para infectar, es disfrazarse de un falso códec  de video.
Sus principales síntomas son:

• Antivirus informando de un Virus en Svchost.
• Errores en el inicio de Windows por la kdcom.dll
• Navegadores web (IE, Firefox, Chrome) Secuestrados.
• Blue-Screen al intentar ejecutar alguna herramienta de desinfección.
• Instalación de sus malwares asociados: Oferbox, PriceGong, AutocompletePro
• Problemas y errores varios a la hora de querer formatear o luego de.
• Los resultados de las búsquedas de Google redireccionan a sitios nocivos.
• Bloqueo al intentar ejecutar un Antivirus u otra herramientas de desinfección.
• Detección constante de URL maliciosas por parte del Antivirus local que utilicemos.
• Bloqueo del acceso a sitios webs relacionados a la seguridad informática.
• Algunas herramientas de sistema de Windows están desactivadas. Administrador de Tareas, el Editor del Registro y otros.

Si no presentas ninguno de los síntomas, pero quieres asegurarte que tu computadora no trabaje de spammer o que sea parte de Ataques DDoS te recomiendo seguir los pasos para su eliminación.

Eliminar TDSS/ TDL4

Nos valdremos de dos herramientas gratuitas: TDSSKiller Antirootkit y MalwareBytes Antimalware (links proporcionados al final).
Lo único que tenemos que hacer es correr primero el análisis de TDSSKiller y aplicar Cure, de ser detectado algo. Posteriormente utilizaremos Antimalware para eliminar los archivos asociados.

Espero que les sea de utilidad.
Enlace: Descargar TDSSKiller
Enlace: Descargar Malwarebytes’ Anti-Malware

Fuente:http://grupogeek.com/2011/07/04/tdl4-el-virus-indestructible/

Cinco mitos sobre la seguridad en Internet

Un estudio realizado por G Data en 11 países demuestra que la mayoría de los internautas no se da cuenta del peligro que acecha en Internet y que mantiene como ciertas una serie de verdades totalmente desfasadas. Por poner algunos ejemplos, un 58% de los internautas españoles ignora que basta cargar una web manipulada para infectar el PC o piensa que el correo electrónico es la principal entrada de malware.
Desde G Data nos hablan de los cinco mitos que se han instalado en las llamadas “creencias populares” sobre Internet y la seguridad. Es un buen momento para que los destierres de tus pensamientos… si es que todavía no lo habías hecho:

• Mito 1. Un PC infectado ofrece síntomas claros de alojar malware. El 93% de los internautas considera que un PC infectado es fácil de detectar para el propio usuario: se bloquea por completo, funciona más lento o genera indiscriminadamente ventanas emergentes o pop-ups. Sólo el 7% sostiene que en caso de contaminación no se percibiría nada extraño, que es precisamente lo que realmente sucede en la mayoría de los casos. Hace ya muchos años que los que empezaban a llamarse hackers dejaron de desarrollar virus como forma de notoriedad y demostración de sus habilidades informáticas. Hoy en día son “profesionales” cualificados cuyo objetivo es justo el contrario: pasar totalmente desapercibidos para hacerse con un suculento botín de datos personales que les dejarán pingües beneficios en los mercados negros de Internet y, en segundo lugar, añadir el PC de la víctima a alguna de las redes de zombis que se alquilan en Internet.
• Mito 2. El correo electrónico, principal vía de entrada del malware.Esta suposición se ha quedado tan desfasada como la primera, pero sigue siendo válida para el 54% de los entrevistados, el 58% si nos ceñimos solo a internautas españoles. Es verdad que con los populares “Melissa” y “I love you”, a finales ya del pasado milenio, los correos electrónicos fueron la vía más frecuente de difusión de malware en archivos adjuntos infectados que venían acompañados de una sugerente invitación a que la víctima los abriera. Sin embargo, este sistema de infección se ha quedado anticuado y los ciberdelincuentes utilizan otras formas de llegar a sus víctimas, principalmente las redes sociales y la manipulación de sitios web que sólo necesitan una visita para infectar el ordenador y que constituyen, hoy por hoy, el factor infeccioso que más se repite.
• Mito 3. La mitad de los internautas creen que no puede infectar su ordenador con solo visitar una página web. Hace ya años que se puede infectar un ordenador a través de las que podríamos denominar como descargas silenciosas (drive-by-download) y que para conseguirlo basta tan solo con cargar en el navegador una página web convenientemente preparada por los ciberdelincuentes, un tipo de ataque que además se practica a gran escala. Sin embargo, el 48% de los encuestados aún no conoce esta realidad, una cifra que se eleva hasta el 58% si nos ceñimos a los internautas españoles.
• Mito 4. Las plataformas P2P y los sitios de descarga de torrents, principales aspersores  de malware. Es indudable que las plataformas de intercambio de archivos mueven gran cantidad de archivos y que parte de ellos son programas dañinos. Sin embargo, la mayor parte de los programas nocivos se propagan mediante páginas web adulteradas, aunque casi el 50% de los internautas encuestados consideran estos sitios P2P como los principales aspersores de malware.
• Mito 5. Las páginas porno, más peligrosas que el resto. No es abrumador el número de internautas que sostiene este quinto mito, pero llama la atención que un 37% de ellos considere que hay mayor peligro de infección aquí que en el resto de sitios web, quizás por la reputación dudosa del contenido pornográfico. La realidad, sin embargo, puede ser la contraria. La industria del porno genera mucho dinero y el propietario de una web dedicada a explotar estos contenidos vive de su correcto funcionamiento y, por eso mismo, suelen encargar su programación, mantenimiento y seguridad a profesionales.

El estudio “¿Cómo perciben los usuarios los peligros de Internet?” de G Data se basa en una encuesta internacional en línea en la que participaron 15.559 internautas de once países con edades comprendidas entre los 18 y los 65 años. La recogida de datos la realizó Survey Sampling International en los meses de febrero y marzo de 2011.
Países que han participado en el estudio: Alemania, Austria, Bélgica, España, Estados Unidos, Francia, Holanda, Italia, Reino Unido, Rusia y Suiza.  Más información en: www.gdata.es

Fuente:http://muyseguridad.net/2011/06/24/mitos-seguridad-internet/

Desinstalar Mac defender de tu MAC

El mes pasado comentábamos la noticia de que un nuevo malware había sido lanzado para Mac OS X y estaba logrando propagarse a velocidades alarmantes en miles de ordenadores con este sistema operativo. No se trataba de otro malware más, sino “EL malware” que ha generado que muchos vean infectados sus equipos con publicidad engañosa y comprometido la información de sus tarjetas de créditos y robos en sus cuentas.

Un previo: Mac Defender es un falso antivirus para Mac que simulaba detectar intrusiones en tu computadora, haciéndote creer que estaba infectada con un virus, para obligarte a adquirir una supuesta licencia de dicho antivirus. Luego era redireccionado a una página donde, luego de que el ingenio usuario ingresaba información de su tarjeta de crédito, todos sus datos quedaban registrados y posteriormente robados. Phishing.
Por suerte para los que están infectados con este falso antivirus y quieren eliminar Mac Defender totalmente, Apple ha creado una guía oficial. Los pasos a seguir se detallan a continuación. Y recuerda que si dicho falso antivirus ya se instaló en tu computadora, no accedas a proporcionar ninguna información de tus cuentas ni de tu tarjeta de crédito.

1. Dentro del directorio de Aplicaciones, accede al directorio de Utilidades.
2. Inicia el Monitor de Actividad.
3. Selecciona Todos los procesos del menú desplegable de la esquina superior derecha de la ventana.
4. En la columna Nombre del proceso, busca el nombre de la aplicación y haz clic para seleccionarla; los nombres de app más comunes son “MacDefender”, “MacProtector” y “MacSecurity”.
5. Haz clic en el botón Salir del proceso en la esquina superior izquierda de la ventana y selecciona Salir.
6. Sal de la aplicación Monitor de Actividad.
7. Abre la carpeta Aplicaciones.
8. Localiza la app, p. ej.: “MacDefender”, “MacSecurity”, “MacProtector” u otro nombre.
9. Arrástrala hasta la Papelera y vacía la Papelera.

Tip: Para estar seguro puedes eliminarla usando el programa AppCleaner (en Mac).
Enlace: Apple Support
Imagen: geeks-zone.net


Fuente:http://www.tecnologiadiaria.com/2011/06/eliminar-mac-defender-actualizado.html

Desinstalar MS Remove tool facil y rapido (con video)

Hoy mismo me e encontrado con el caso de un amigo que instalo sin querer esta herramienta y la verdad, hace la vida imposible dando mil fallos y uno mas XD

Asi que para los que deseen quitar este Fake o falso antivirus que da virus por todas partes aqui tienen la solucion facil, con videos y todo

http://youtu.be/86hyfl1NKBUhttp://youtu.be/86hyfl1NKBU

o



Si al reiniciar no les  sale el mensaje apra iniciar en modo seguro y seguro de red y normal...simplemente mantengan pulsado el boton de apagado 6 seg + o - y al iniciar de nuevo les saldra, recuerden

Reiniciar con error --> Seguro con red --> Malwarebytes.org --> Descargar --> Descargar --> Instalar,Actualizar --> Analizar --> Eliminar y al reiniciar ya todo volvera a ser normal

Fuente: Propia ;)

Routers con antivirus y antimalware integrados

Hasta ahora, y si hablamos de redes locales personales y pequeñas, era habitual instalar protecciones de tipo antivirus y antimalware en cada dispositivo conectado con el fin de protegernos de programas y páginas maliciosas, no seguras o fraudulentas. Pues bien, la empresa Sitecom ha desarrollado unos nuevos routers que centralizan estas labores de protección en ellos mismos, realizando un filtrado del tráfico peligroso.
El router pasa entonces a trabajar en comunicación directa con los servidores de Sitecom, analizando el tráfico y detectando posibles amenazas de forma simultánea a la navegación. La protección implementada incluye las siguientes características: antimalware (virus, spyware, etc), antiphising, bloqueo de urls maliciosas y bloqueo de anuncios sin necesidad de instalar nada extra en el navegador.
Seguro que más de uno, viendo la descripción, ya estáis pensando en un claro problema que puede tener esto: la privacidad. Al filtrar contenidos y recurrir a los servidores de la compañía, ésta tendrá acceso y analizará nuestro tráfico. Desde Sitecom son conscientes de ello y desde su web afirman que no registrarán ni almacenarán ningún dato de navegación de sus clientes.
Si estáis interesados en este sistema, es importante recalcar que, además de un router de la compañía compatible, es necesario contratar el servicio de protección Sitecom Cloud Security a parte. Con la adquisición del router regalan 6 meses de servicio, pero posteriormente la tarifa anual pasará a ser de 14,95€.
Como idea no está mal el llevar el tema de la protección a la “nube” y además centralizándolo todo en un aparato, pero habrá que ver qué ocurre en la práctica. La velocidad de navegación, lógicamente, se ralentizará un poco, y además seguirá siendo necesario instalar antivirus en los ordenadores (para protegerlos de amenazas que pueden llegar a través de otros medios, como USBs, etc), ya que no olvidemos que Sitecom Cloub Security tan sólo protege del tráfico que nos llega desde la red.
Vía | Redes Zone
En Xataka ON | Conoce tu router

La union europea y las Cookies

Cada vez que entras en una página web, el sitio que visitas escribe y lee en una serie de archivos, los cuales conocemos como cookies y que a buen seguro sabes sobradamente de qué tipo de archivos te estoy hablando. Las cookies son usadas de diferentes maneras, que van desde guardar información sobre una sesión del usuario iniciada en el sitio web o sobre la publicidad que se nos muestra, entre otras muchas cosas. Pues bien, el funcionamiento y usos de las cookies está profundamente extendido por Internet y hasta los sitios más pequeños lo tienen, pero ahora la Unión Europea quiere cambiar las reglas del juego, algo que no ayudará nada a los sitios web de la zona europea.
A partir del próximo 25 de mayo, los sitios web deberán pedir consentimiento explícito al usuario cada vez que se quiera usar una cookie para recordar algo de información sobre la navegación del usuario. La intención de la Unión Europea con esta directiva es controlar y reducir el uso de las cookies en los sistemas de publicidad, pero sin embargo, el efecto que tendrá va mucho más allá y podrían poner en serios apuros a los sitios web europeos. Porque tan solo hay una excepción en la que no se tendría que informar al usuario obligatoriamente del uso de estas: cuando en las tiendas online hagamos compras y se deban usar cookies para recordar los productos añadidos por el usuario al carrito de la compra.
Por un lado, los sitios web se verán obligados por la directiva a informar al usuario en cada ocasión que se vaya a utilizar una cookie, de modo que se deberá mostrar una advertencia clara que llegaría a ser molesta al usuario, que no solo ha de ver la advertencia, también la tiene que aceptar. Esto hará que tarde o temprano los usuarios se terminen cansando de ver estas advertencias, pudiendo dejar de entrar en los sitios web europeos. Una consecuencia directa nada agradable, ni para el usuario ni el sitio web, algo que tan solo podría beneficiar a los sitios web que estén fuera de Europa, que seguramente recibirán gustosamente a los usuarios espantados de los sitios europeos.
Todo ello por un exceso de celo de la Unión Europea en los pasos que se debe hacer para que el usuario sea plenamente consciente de que el sitio web usa cookies en tu navegador cuando accedes al sitio. Algo que resulta tremendamente paradójico, principalmente porque muchos de los que usamos Internet a diario, probablemente ya estén enterados del uso de este tipo de archivos y no solo sea algo que es notorio sino que es “aceptado”. Y además, porque los usuarios tenemos hoy en día las herramientas suficientes para evitar que un sitio web use cookies cuando no queremos que lo haga. Esto es algo en lo que han estado haciendo mucho hincapié los navegadores durante los últimos meses, con la incorporación de modos de navegación privada. Por lo tanto, yo me pregunto si realmente la Unión Europea se ha pensado muy bien la puesta en marcha de esta directiva, que personalmente a mí me parece un disparate.

Fuente: http://alt1040.com/2011/03/la-union-europea-y-el-control-excesivo-sobre-las-cookies

Preocupantes datos de seguridad informática: El 39% de los ordenadores están infectados

Las posibilidades de que tu ordenador haya sido infectado por algún tipo de malware siguen siendo muy altas. Según ha publicado la empresa de seguridad informática Panda Labs, el 39% de los análisis de ordenadores en busca de virus, troyanos y demás malware dieron positivos, lo que sigue siendo un porcentaje muy elevado.

A través de Baquia.com conocemos la preocupante última estadística que muestra la comprometida seguridad de muchos usuarios en sus equipos informáticos. Durante el último mes de febrero, casi 4 de cada 10 ordenadores analizados por la compañía Panda Labs estaban infectados. Eso sí, al menos hay que destacar un aspecto positivo, y es el descenso en los porcentajes respecto al mes anterior, ya que en enero se llegó a contabilizar un 50%.
Las infecciones informáticas que más afectan a los ordenadores siguen siendo los troyanos, causando un total de 61% de infecciones. Por detrás de estos se encuentran los virus tradicionales con un 11,25% y los gusanos, con un 9%. Estos porcentajes son similares a los registrados en meses anteriores.

Informe de Panda Labs

Preocupantes datos de seguridad informática: El 39% de los ordenadores están infectados

J. Gómez | 03 de Marzo 2011 | 13:08 42 comentarios

Las posibilidades de que tu ordenador haya sido infectado por algún tipo de malware siguen siendo muy altas. Según ha publicado la empresa de seguridad informática Panda Labs, el 39% de los análisis de ordenadores en busca de virus, troyanos y demás malware dieron positivos, lo que sigue siendo un porcentaje muy elevado.

A través de Baquia.com conocemos la preocupante última estadística que muestra la comprometida seguridad de muchos usuarios en sus equipos informáticos. Durante el último mes de febrero, casi 4 de cada 10 ordenadores analizados por la compañía Panda Labs estaban infectados. Eso sí, al menos hay que destacar un aspecto positivo, y es el descenso en los porcentajes respecto al mes anterior, ya que en enero se llegó a contabilizar un 50%.
Las infecciones informáticas que más afectan a los ordenadores siguen siendo los troyanos, causando un total de 61% de infecciones. Por detrás de estos se encuentran los virus tradicionales con un 11,25% y los gusanos, con un 9%. Estos porcentajes son similares a los registrados en meses anteriores.
Por otro lado, la estadística publicada por Panda Labs sitúa a China, Ucrania, Tailandia y Taiwán como países con mayor incidencia del malware, por encima de la media y superando el 50% de infecciones. Estados Unidos o Francia han subido posiciones respecto al mes anterior pero no superan la media del 39%. Esta misma compañía lleva advirtiendo desde hace meses el incipiente crecimiento en el número de virus afectando a todas las plataformas, incluido Mac OS, en el que de las 34 vulnerabilidades que se detectaron en 2009 se pasó a contabilizar hasta 175 en el pasado 2010.
Otra empresa de seguridad informática como Kaspersky anunció recientementeque el número de amenazas diarias detectadas entre sus más de 300 millones de usuarios supera la cifra de 30.000, una cifra que desde la compañía consideran "alarmante". Uno de los métodos de propagación más habitual es a través del correo electrónico. En este sentido España es uno de los países del mundo con más afectados, ya que uno de cada 64,1 emails que reciben los españoles contienen algún tipo de malware, spyware o virus, mientras que la media mundial es un email infectado por cada 327,6 correos.

Fuente:http://www.adslzone.net/article5558-preocupantes-datos-de-seguridad-informatica-el-39-de-los-ordenadores-estan-infectados.html

Un nuevo ataque contra Windows cada 15 segundos

Según Informe de Malware 2010 de G Data tenemos en marcha un nuevo ataque contra Windows cada 15 segundos. Este es el lapso de tiempo de media que se tarda en liberar un nuevo malware diseñado para afectar a los sistemas de Microsoft. Esta cuestión que puede parecer muy alarmante en mi opinión no lo es tanto.
Si bien es cierto que los datos del informe revelan un crecimiento espectacular del malware en 2010, con un aumento del 32% de nuevos virus encontrados. También es destacable que la mayoría de ellos parece haberse lanzado en la primera mitad del año y a partir de aquí podría haber tocado techo, puesto que en la segunda mitad del año este porcentaje subió sólo un 6% respecto al año anterior. Aunque no existe el intervalo de tiempo necesario para comprobar si se trata de un punto de inflexión en la tendencia o de un simple pico en la gráfica.

Para poder votar este post tienes que identificarte o registrarte aquí.

Para votar este post conéctate con Facebook Connect

0 me gusta

Sin embargo como venía observándose en los últimos años el sistema de infección ha cambiado, buscando ahora plataformas trasversales a los sistemas operativos pero que acaban por estar presentes en la mayoría de los ordenadores. Se diseña el malware para infectar equipos con sistema operativo Windows pero a través de dicho software. Ya conocíamos los ataques a través de Flash y de Acrobat Reader, y la principal novedad de este año 2010 ha sido la plataforma Java, algo que ya se había alertado. Respecto a los pronósticos que hace G Data respecto a 2011 esperan que las tendencias en los ataques sigan las iniciadas en 2010. Las redes sociales debido a la gran cantidad de información que acumulan, así como por la cantidad de servicios que se están interconectando con las mismas es un sistema cada vez más explotado por los atacantes. Además aprovechan las URLs acortadas para la distribución de malware.
Por último el informe destaca como fenómeno destacado de 2010 el hacktivismo con los ataques de denegación de servicios a distintos organismos y empresas. Lo destacan como tendencia que supone un riesgo de seguridad para dichos organismos. Además pronostican un aumento de ataques motivados por cuestiones ideológicas o sociales como forma nueva forma de protesta en Internet.
De todas formas no parece que haya que ser alarmistas. La buena noticia es que la robustez que ha ganado Windows en los últimos años hace que se desvíen los ataques para intentar infectar nuestros equipos a través de otras vías. Esperemos que estas plataformas se pongan a trabajar para intentar eliminar los problemas de seguridad que las aquejan y que son explotados en los últimos tiempos. Sobre todo cabe pedirles un poco más de celeridad en la solución de los problemas detectados.
Más Información | G Data
En Genbeta | Detección de virus On-line: prueba real

Fuente:http://www.genbeta.com/windows/un-nuevo-ataque-contra-windows-cada-15-segundos

Ley sinde regresa, siendo un virus

¿Qué es un virus? Informáticamente hablando podemos definirlo como un proceso que llega de una forma aparentemente inadvertida y que una vez es ejecutado en un sistema operativo, subvierte algunas de sus funciones para que o bien dejen de funcionar o funcionen de forma anómala.

Probablemente en este punto piensen que resulta hilar muy fino, a tenor de esa definición, comparar la ley Sinde con un virus, y que lo único que estoy haciendo es un ejercicio de pura demagogia. Probablemente sea así, pero resulta que al hilo del 25 aniversario de la creación del primer virus informático, me ha llamado mucho la atención que ese primer virus (Brain) fue creado con el propósito de defender la 'propiedad intelectual' de unos informáticos Pakistanís (hermanos para ser mas precisos) que habían desarrollado un programa de gestión médica.

Y aquí estamos 25 años después en la misma tesitura, un sistema operativo (El estado de derecho Español) un virus que nos han intentado colar en un inocente PDF, que como todo buen malware tiene un título que nada hace sospechar (Ley de Economía Sostenible), creado por un grupo de gente cuya motivación es proteger a la fuerza 'su propiedad intelectual', y un montón de funcionalidades del sistema que serán subvertidas o anuladas una vez el virus se ejecute.

Como todo buen virus, muta y muta para eludir las firmas que las casas de Antivirus van liberando para protegernos, así pues si bien en su primera variación PP-av, CIU-av y otros lo detectaron a tiempo y lo anularon, en esta siguiente mutación parece ser que el equipo anti-malware de PP-av (el antivirus con mas base de usuarios) no ha sido capaz de liberar la firma correspondiente y tiene toda la pinta que la ley, perdón, el virus nos va a infectar a todos.

¿Cambiamos de sistema operativo? Dicen que hay otros mas seguros y menos susceptibles a infecciones :)