Hemos
realizado un estudio técnico detallado del malware de la policía. De esta forma
hemos podido comprobar cómo se generan los códigos válidos para eliminarlo,
además de algunas curiosidades sobre su funcionamiento.
Nuestro compañero Marcin "Icewall" Noga ha estudiado en
profundidad el troyano, y descubierto algunas curiosidades. El informe completo puede ser descargado
desde
Aunque contiene parte de código a
bajo nivel que puede asustar a algunos usuarios menos técnicos, recomendamos su
lectura porque hemos intentando explicar su comportamiento. Contiene además el algoritmo que comprueba qué códigos son
válidos (con lo que podemos deshacernos del troyano de manera más eficiente),
además de otras curiosidades. Vamos a resumirlas:
- Si se paga el rescate, se crea
el fichero "pinok.txt" en
el mismo directorio con el código usado para haber realizado el pago. El troyano
no comprueba el contenido del fichero, solo su existencia, por tanto si se crea
un fichero pinok.txt vacío, el troyano pensará que se ha pagado el rescate.
- Hemos creado un generador de
códigos válidos.
- El troyano acepta un pin
universal que hará que se desbloquee: 1029384756.
- El troyano inyecta en
Explorer.exe todo su cuerpo, y no sólo el código que necesitaría para funcionar
en su interior.
- El troyano contiene evidencias
de código de control, que se ha "olvidado"
mientras se programaba.
- El creador ha preparado un
comando que le permite eliminar el agente de todas sus víctimas. "del".
- Los procesos que intenta anular constantemente en el equipo son: taskmgr.exe, regedit.exe, seth.exe, msconfig.exe, utilman.exe y narrator.exe
El estudio está disponible desde:
Además del estudio técnico, hemos
investigado sobre su creador. Intentaremos hablar de esto en los próximos días.
Más información:
El malware de la policía
aprovecha un exploit de Java "in-the-wild" y el secreto su
"éxito"
una-al-dia (21/06/2011) Vídeo:
Troyano secuestra el ordenador en nombre de la policía nacional acusando al
usuario de terrorista zoofílico
una-al-dia (28/02/2012) Vuelve el
troyano que se hace pasar por la policía: Cómo protegerse (de verdad)
una-al-dia (02/03/2012) El virus
de la policía "evoluciona" e impide el acceso en modo seguro
una-al-dia (06/03/2012) Más
información sobre el virus de la policía
Sergio de los Santos
Twitter: @ssantosv
Como siempre Sergio, impresionante.
ResponderEliminarGracias por vuestro trabajo.
Gracias a gente como tu estamos casi protegidos de tanto desaprensivo que podrian utikizar su talento para hacer bien al projimo y no destruir el trabajo, pero el dinero es lo que les mueve.
ResponderEliminarUn saludo y gracias
Hola, muy interesante, ¿pero dónde se debe crear el fichero pinok,txt?
ResponderEliminarSaludos
Me imagino que en seguirá utilizando la variable de entorno %APPDATA% donde crea el directorio llamado “Kodak”...
EliminarSegún el artículo:
-> en Windows XP:
c:\Documents and Settings\userName\Application Data\kodak\
-> Windows Vista y 7:
c:\users\userName\Application Data\kodak\
El pim universal a mi no me funciona.
ResponderEliminarNo puedo arrancar en modo seguro.
Solo si arranco desconectado de internet no me bloquea, pero no puedo restaurar el sistema,...
Alguana sugerencia?
Gracias
Tengo una modalidad de virus que(mi sistema es un XP):
Eliminar-no permite iniciar en modo seguro
-no permite iniciar simbolo del sistema
-Puedo arrancar el ordenador en la ultima configuracion(pero sin privilegios de administrador aunque mi cuenta los tenia). Esto solo si no estoy conectado a internet. Cuando me conecto aparece la pantalla bloqueandome.
-Los codigos 1029384756 y QRT5T5FJQE53BGXT9HHJW53YT no funcionan.
-Con la pantalla bloqueando el ordenador no puedo utilizar Tabulador+Alt
-Iniciando como me permite no puedo acceder al registro ni a los puntos de reinicio, ni nada util.
Les agradeceria si pudieran ayudarme.
Gracias
La solucion aqui. Ademas, a mi me lo quito el propio anti-virus del Dr.Web(la ultima version de principios este mes)
Eliminarhttp://laenzima.blogspot.com.es/2012/03/eliminar-en-nuevo-virus-de-la-policia.html
Hay tanta gente que no tienen ni idea de ordenadores, por esto funcionan los virus de este tipo.. hay gente que ganan hasta 50000€ diarios con ukash/paysafecard y algunos estan aqui en España por cierto.
ResponderEliminargracias por todo
ResponderEliminar