Es
inevitable. De vez en cuando, alguien lanza la voz de alarma, y se pone de
"moda" alguna familia de
malware, independientemente de su peligrosidad. Leemos en titulares lo que
parece el apocalipsis del malware.
Lo peor es sospechar que la moda es en realidad de 2008.
Con titulares como "Llega
un virus alta peligrosidad "DNS Changer"" y frases como
"diversos organismos de seguridad en
Internet a nivel mundial han alertado de la peligrosidad del virus DNS Changer,
[...] de difícil erradicación en los ordenadores afectados."
Desinforman y meten el miedo en el
cuerpo, alejando al usuario de otros peligros mucho más reales y complejos.
Veamos qué está pasando realmente.
Lo que llega a VirusTotal
Entendemos que lo que llega a VirusTotal es un buen indicador de qué está
pasando ahí fuera. Así que buscamos por "Dnschanger" en la base de datos. Esto siempre tiene sus
riesgos, puesto que la nomenclatura actual de las firmas es un absoluto
desastre, y pocas veces se ponen de acuerdo. Aun así los resultados, ordenados
por las veces que han llegado, son de las últimas dos semanas.
Comprobamos que unos pocos bichos
de 2008-2009 han "vuelto" y
han sido muy enviados en las últimas semanas. El primero, con 1.282 envíos, ni siquiera
es un DNSChanger, sino un keygen para piratear un programa comercial. Así que
tenemos muy pocas muestras de 2012
catalogadas más o menos de forma unánime como DNSChanger, pero sí algunas que,
desde 2008, han vuelto a la "brecha"
volviendo a ser muy enviadas a VirusTotal. Vamos a analizarlas un poco.
¿Se ha puesto de moda malware de 2008?
Pues eso parece. Leyendo las
características de ese DNSChanger, vemos que su principal objetivo es modificar los servidores DNS en local de la máquina hacia estos
rangos:
85.255.112.0 hasta 85.255.127.255
67.210.0.0 hasta 67.210.15.255
93.188.160.0 hasta 93.188.167.255
77.67.83.0 hasta 77.67.83.255
213.109.64.0 hasta 213.109.79.255
64.28.176.0 hasta 64.28.191.255
Efectivamente, analizando la
muestra que más veces ha llegado en las últimas dos semanas, vemos que, tras un
menú que simula ser un programa de codecs.
Termina cambiando los DNS. El
programa hace poco más (crea ficheros con nombres como freebsd.exe y
notepad.exe en el temporal, no sabemos bien por qué).
Ahora, con estos DNS, Google no
va donde debería, por ejemplo:
Analizando estos troyanos, hemos recordado anuncios anteriores en
UAD, por ejemplo
Donde se hablaba de mejoras en
este malware. Curiosamente, el rango de direcciones IP de los DNS falsos sigue
siendo el mismo. Tras varias muestras, consigo extraer estos DNS falsos:
85.255.113.205, 85.255.112.144, 85.255.114.75,
85.255.112.212, 85.255.116.71 y 85.255.112.63.
Efectivamente, en el rango anunciado.
¿Es un "revival" de
un malware antiguo?
Tampoco podemos asegurarlo
totalmente, pero todo indica que más o menos es así. Buscamos en la base de
datos de VirusTotal y encontramos sobre todo muestras de este tipo que modifiquen los servidores DNS de la
manera que indican... así que todo apunta a que es esto lo que está ocurriendo.
Aunque también puede ser que estemos hablando de malware que no está en
VirusTotal, o que no hemos sabido encontrar por ese nombre... quién sabe.
Desde luego, si es el caso, este
malware no es en absoluto de "difícil
erradicación"... basta con cambiar los DNS locales de la máquina. Y su
peligrosidad es muy limitada comparada con la sofisticación
que podemos encontrar ahí fuera.
Otras curiosidades
Comprobando esto, hemos acudido a
la página http://dnschanger.eu/, un servicio
gratuito para comprobar si se están usando servidores DNS "rogue" o falsos. Gracias a mi
compañero David García, hemos descubierto
algo interesante. En principio nos
parecía mala idea usar un dominio para comprobar si se están usando en el
sistema DNS falsos. El operador de estos servidores DNS que ha infectado tu
máquina, solo tendría que redirigir, bloquear o cambiar la IP del dominio para engañar al
usuario, y este nunca sabría realmente si sus DNS son los buenos o no. Es lo de
siempre: no puedes realizar operaciones concluyentes sobre si un sistema está
infectado... operando desde el propio sistema.
Intentando averiguar cómo hace la
página para saber si el visitante cuenta con DNS maliciosos o no, hemos
descubierto que dnschagner.eu utiliza el dominio dns-ok.de. Muchos de estos DNS
"malos", devuelven una
resolución diferente a la de los "buenos"
de este dominio, y ese es el criterio que parece seguir. Los DNS "buenos" resuelven a 85.214.11.195 y
los malos a 85.214.11.194. El método parece consistir en conseguir la imagen
alojada en dns-ok.de/images/t2logo.gif.
Así, si puedes descargar esta imagen: http://85.214.11.194/images/t2logo.gif
(pero resolviendo el dominio) es que estás infectado. Si no, es que en realidad
estás acudiendo a http://85.214.11.194/images/t2logo.gif
y por tanto no estás infectado.
Es un método curioso (y con
flecos), del que todavía quedaría por averiguar los detalles. Parece que se debe
"condenar" a los servidores
que se saben "rogue" a
resolver de forma controlada hacia otra IP... He llamado a la OSI (Oficina de Seguridad del Internauta)
para ver si nos lo pueden aclarar, y estamos esperando respuesta.
Protegerse de verdad
Como siempre que hay una alerta mediática, aparecen métodos y herramientas
para protegerse. En realidad el método más eficaz para evitar que algo o
alguien te modifique los DNS ya está inventado: son los permisos nativos de
Windows. Los datos de las interfaces de red se almacenan en el registro.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters\Interfaces
Si somos usuarios, no podremos
cambiarlo. Si somos administradores... debemos impedirnos a nosotros mismos y a
todo lo que ejecutemos que pueda modificar sus valores. Con el botón derecho
sobre esa rama, cambiamos los permisos
y eliminamos el "control total"
sobre los administradores. Ya nadie podrá cambiar las propiedades de nuestras interfaces
de red. Esto es lo más efectivo (siempre que recuerdes que lo has cambiado y
reviertas la configuración cuando sea necesario).
Más información:
Llega un virus alta peligrosidad
"DNS Changer"
Troyano DNS-Changer redirige a
páginas maliciosas
Sergio de los Santos
Twitter: @ssantosv
Excelente articulo SErgio, gracias por compartir la informacion (muy bueno lo de protegerse de Verdad)
ResponderEliminarMuy bueno el artículo, quitando hierro a tantas tonterías que se leen sobre seguridad. De todas formas no entiendo bien la imagen de Busca.Info porque la URL que aparece es www.googel.es: no www.google.es. He probado con algunos de los servidor "rogue" y el primero que me ha funcionado, 85.255.112.212, resuelve www.google.com correctamente. Me gustaría que me lo aclaraseis.
ResponderEliminarUn saludo
Llevas razón. Después de tantas pruebas, quizás sea un simple error al teclear, achacado erróneamente al "rogue" DNS. Disculpad. En cualquier caso, sí que hay dominios que modifica su resolución.
ResponderEliminarMuchas gracias por la aclaración.
EliminarUn saludo
Por lo que leí, el FBI tomó el control de los "rogue DNS" y los reemplazó por "DNS legítimos", de modo que aún estando infectados estos rogue DNS tendrían que resolver las direcciones correctamente sin enviar al usuario afectado a una web maliciosa. Esta claro que la captura que ponen es debido a un error de tipeo.
Eliminar