Este
malware está consiguiendo un alto nivel de infectados y notoriedad en medios de
comunicación de toda Europa al usar la imagen de los cuerpos del Estado para
amedrentar al infectado. Hemos investigado la raíz del problema: ¿Con qué
método se infectan los usuarios? ¿Qué hacen realmente para que el malware se
ejecute en sus sistemas? ¿Por qué tanto "éxito"?
Tras varios casos analizados en
nuestro laboratorio de análisis forense,
las investigaciones previas de Emiliano Martínez y las evidencias encontradas
en los ordenadores infectados, hemos confirmado que se está utilizando
activamente una vulnerabilidad en Java
para conseguir ejecutar código.
Las circunstancias coincidían en
los casos afectados: visitas a determinados sitios de descarga directa o
pornográficos (repletos de publicidad agresiva no controlada directamente por
el servidor) y sistemas desactualizados.
Según nuestros análisis, poco
antes de la ejecución del troyano, se descargan ciertos objetos que quedan
presentes en la caché de Java.
En la figura se observa la caché
de Java, además de evidencias del malware:
carpeta kodak (como se denomina en sus últimas versiones). Dentro, los archivos
"ip.txt" y "pic.bmp". Este último contiene la conocida
imagen de la policía nacional según el país. También se comprueba en la imagen
que el usuario mantiene dos versiones de Java obsoletas y con numerosos problemas
de seguridad.
Los ficheros .idx, desvelan la descarga desde servidores (todavía activos),
de un paquete .cab compuesto por dos clases Java ("Test.class" y "Help.class").
Estos componen un exploit para una
vulnerabilidad en Java reportada (y corregida) hace pocos meses .En concreto
una ejecución remota de código CVE-2012-0507
de enero, relacionada con el componente Java Internationalization (i18n) y con
una muy pobre detección por firmas.
Estos ficheros son descargados a
través del plugin Java del navegador
sin previo aviso en el sistema (desde banners de publicidad, normalmente) y se
encargan de, una vez que consiguen aprovechar la vulnerabilidad en Java,
descargar y ejecutar el malware en sí.
Pero no se descarga tal cual el
fichero para ejecutarlo, sino que lo compone de alguna manera en local tras
descargarlo, en un proceso en el que se involucran varias URL diferentes. Aquí
una muestra el fichero d7ac8a6-2335eb9d (en la imagen de más arriba) que
coincide en tamaño con el ejecutable (66k), pero que se encuentra ofuscado.
Una vez tienen el binario en el
formato ejecutable, se copia oculto en el %appdata% del usuario, normalmente
bajo el directorio "kodak"
y con nombre aleatorio. También se introduce en el registro para lanzarse tras cada
inicio. Aquí la detección del .exe (de 66k).
La vulnerabilidad inicial que
desencadena el proceso, según ha investigado nuestro compañero Javier Rascón,
se está utilizando ampliamente en kits
de explotación de vulnerabilidades que se venden en el mercado negro como
Scalaxy o Golfhole.
Detección antivirus
Para detener el ataque, los antivirus podrían haber detectado en primera
instancia el intento de infección (el exploit) y en segunda instancia el
ejecutable en sí. En ambos estadios del ataque, los niveles de detección por
firmas han resultado insuficientes. Nuestros datos en VirusTotal confirman que,
por firmas, los ficheros Java son muy poco detectados. Apenas 6 motores por
firmas detectan el exploit y solo uno detecta el binario ofuscado.
Con respecto al ejecutable en sí,
los datos tampoco son muy alentadores. La inmensa mayoría de las muestras que
hemos recibimos en VirusTotal a
finales de febrero, eran detectadas por uno o dos motores la primera vez que
fueron enviadas. Elevándose días después a aproximadamente hasta 26 los motores
que reconocían el malware.
Por tanto, en estos momentos
actualizar los sistemas (en especial Java) es esencial para protegerse.
El secreto del éxito
El éxito de este malware se basa
a nuestro entender en cuatro factores:
- Una difusión profesional. Están aprovechando
vulnerabilidades muy recientes (enero) en software popular (Java) y
difundiéndolo en páginas muy visitadas (webs de descarga directa de material multimedia).
Esto está resultando en una difusión masiva del malware puesto que los usuarios
se infectan aparentemente sin haber ejecutado directamente ningún fichero.
- Un malware "simple" y efectivo. El malware en sí no es "sofisticado" en los términos que manejamos hoy en día (con
SpyEye y Zeus como referencia). Solo muestra en pantalla una imagen descargada
de un servidor, y espera recibir órdenes. Aunque complejo, no se incrusta en el
sistema de una manera especialmente enrevesada. Esto ayuda a que, unido a una
detección pobre por firmas, los antivirus no lo detecten tampoco por la
heurística de un comportamiento sospechoso.
- La ingeniería social. Amenazar al usuario con actividades que realizan
comúnmente (descarga de material multimedia, por ejemplo), ayuda a dar
credibilidad a la estafa. En algunos foros "underground" (de los que esperamos hablar en próximos
artículos) hemos observado que el creador se jacta de conseguir que
aproximadamente un 1% de los infectados termine pagando. Con el nivel de
infección conseguido en toda Europa, podemos imaginar lo lucrativo de la estafa.
- Eludir antivirus. Las muestras recién llegadas a VirusTotal suelen ser poco detectadas. Están trabajando en eludir las firmas de forma notable, consiguiendo que las muestras "frescas" pasen muy desapercibidas.
Más información:
una-al-dia (21/06/2011) Vídeo: Troyano secuestra el
ordenador en nombre de la policía nacional acusando al usuario de terrorista
zoofílico
una-al-dia (28/02/2012) Vuelve el troyano que se hace pasar
por la policía: Cómo protegerse (de verdad)
una-al-dia (02/03/2012) El virus de la policía
"evoluciona" e impide el acceso en modo seguro
una-al-dia (06/03/2012) Más información sobre el virus de la
policía
José Mesa Orihuela
Sergio de los Santos
Twitter: @ssantosv
Java se puede ejecutar en el navegador mediante banners? En prinicpio no pide permiso para ejecutar cualquier applet? A ver si pueden aclararme eso,..
ResponderEliminarTe equivocas no es necesario que pida permiso ya que como dice el blog,
ResponderEliminarSe usa una ejecucion remota de codigo(Falla de Seguridad-Vulnerabilidad) que permite ejecutar el codigo para realizar la descarga sin intervencion del usuario.
Es necesario mantener el Java o mejor dicho el Java Runtime Environment para protegerse del ataque.
¿A nadie le ha ocurrido que tras limpiar el equipo, le deje todo tipo de conexión a red deshabilitada? (parece una política de seguridad). Incluso impide la "restauración del sistema" (también por política de seguridad), haciendo desaparecer la pestaña de configuración de la restauración del sistema.
ResponderEliminarAhí me he quedado en varios equipos, y no he sido capaz de limpiarlo.
y que esta haciendo el departamento de delitos informáticos?? porque una cuenta bancaria es muy facil de rastrear, este tio se ha lucrado con una super estafa deberian hacer algo, ademas si es como explican de una manera muy profesional aca, el virus descarga contenido de distintos servidores para luego componerse en el ordenador de la victima pues rastrear quien ha subido esos codigos ofuscados a esos servidores. salu2
Eliminar