jump to navigation

HISTORIA DE UN VIRUS: “El virus de la Policía” 9 de noviembre de 2012

Posted by elblogdeangelucho in Artículos.
Tags: , , , , , , , , ,
2 comments

  RANSOMWARE, SU HISTORIA

   Ya hace tiempo que tuvimos la desgracia de conocer al que fue denominado en este Blog como “El Virus Mortadelo”, en clara alusión al personaje y a sus disfraces, conocido como el “Virus de la Policia”, “Virus de la SGAE”, “Virus UKASH”, “Virus de la Gendarmería Nacional Francesa” e incluso “Virus del FBI”

    A nivel mundial han sido muchos los ordenadores que han sido infectados por el conocido virus “Ransomware”, que una vez bloqueados tras la infección, sus asustados usuarios no han dudado en efectuar, y sin perder tiempo, el pago electrónico solicitado para conseguir tanto eludir la denuncia del “falso” cuerpo policial.

   El falso mensaje argumenta que además que la dirección IP ha sido registrada en las webs ilegales con contenido pornográfico orientadas a la difusión de la pornografía infantil, zoofilia e imágenes de violencia contra menores, etc.

   Jamás llegaron las denuncias con las que amenazaba el mensaje que aparecía en la pantalla, sin embargo si llegaron las de algún indefenso usuario que, aunque temeroso, si se atrevió a denunciar los hechos a la verdadera policía de su país, pero el mal ya estaba hecho y casi irreparable.

   Lo que si llegaron son los beneficios a los cibercriminales, según se calcula, las ganancias se han estimado en 33.000 dólares al día que se reembolsaba el cibercriminal que manejaba el malware.  Imaginaros el “negocio” redondo, y sin moverse de casa.

   Según Symantec se han llegado a detectar 16 “disfraces” o variantes del ransomware, todos desarrollados de forma independiente en los dos últimos años. El “bicho” vió la luz En Rusia y Europa del Este, donde se iniciaron los ataques a usuarios de esos países, , pero el beneficio era tan grande que termino extendiéndose por el resto de Europa, España incluido, llegando incluso a Estados Unidos y Canada

   Este malware, el rasonware, ha sido utilizado por pequeños grupos de ciberdelincuentes, que según se estima han podido llegar a obtener con su actividad  más de 5 millones de dólares a las víctimas conocidas, de las que no se tiene conocimiento… Al ver la facilidad de uso del malware, con riesgo casi cero para el malo, se potenciaron los grupos que de forma indiscriminada comenzaban a experimentar el nuevo “filón de oro” para la ciberdelincuencia.

   Esta estimación posiblemente se quede demasiado corta, pero lo que si quedó de manifiesto en todos los anáisis de los investiadores de Symantec es que el número de de ordenadores infectados iban “in crecendo” por lo que las cantidades obtenidas de forma fraudulenta podrían considerarse como ¡¡¡INCALCULABLES!!!

RANSOMWARE, SU “MODUS OPERANDI”

   El ransomware, dentro de sus múltiples “disfraces”, y en su versión inicial y más básica, mostraba un pantallazo diciendo que era la policía, incluso personalizando el mensaje, al capturar la ubicación geográfica e ip de conexión, aludiendo a la ley de cada país, con el ánimo de hacer más fuerza en el engaño para obtener un éxito asegurado. Tras el pantallazo, el virus desactiva el ordenador.

   Estos mensajes harán alusión al FBI si la víctima se encuentra en Estados Unidos, al Cuerpo Nacional de Policía, si se encuentra en España, a la Gendarmería si está en Francia, etc.

   El usuario, pensando que es realmente el cuerpo policial quien se pone en contacto por un medio tan “sofisticado”, se apresura en pagar una multa para tener su ordenador restaurado e incluso para evitar una posible detención policial.

   Todas las víctimas fueron obligadas a pagar sus “multas” a través de un sistema de pago electrónico de prepago que les obligaba a comprar un PIN especial de proveedores como MoneyPak, Paysafecard o Ukash. Ese PIN válido es el objetivo final del defraudador.

   Los usuarios se infectan con mayor frecuencia a través de las descargas en sitios web de descarga populares o contendidos “diferentes” 😉 , estos sitios web disponen de “programas” insertados en su propio código, en los banners publicitarios por ejemplo, que son manipulados por los ciberdelincuentes e infectan los ordenadores de los visitantes.

   El pago se requiere en un plazo de 72 horas, plazo en el que si no se ha recibido el pago, se formularía la denuncia, la falsa denuncia. La víctima no tarda en pagar para evitar la vergüenza de ser “descubierto” por su familia consumiendo estos contenidos.

   Este PIN pago será enviado por el ransomware a un servidor, donde los atacantes lo recuperan y se benefician, dijo el informe de Symantec. “En este momento, los atacantes deben honrar su promesa y enviar un comando al ransomware diciéndole que sí desinstalar. Lamentablemente, esto rara vez sucede. En realidad, muchas de las variantes ransomware ni siquiera contienen el código para desinstalar sí mismos. “

   Después, el virus fue mutando, los cibercriminales “mas técnicos” mezclaban varios tipos de malware, en Estados Unidos, el FBI, detecto una variante denominada REVETON, que combinaba este virus con un troyano bancario que extraía las credenciales de banca online, e incorporaba un programa que capturaba todo los que se escribía en el pc, un Keylogger.

   Si quereis leer una buena entrada del funcionamiento del “Ransomware” os aconsejo esta publicada en el blog de spamloco.net

   Y de momento, “eso es to, eso es to, eso es todo amigos….” (Porky)

     Nosotros somos nuestra peor vulnerabilidad, pero también somos nuestro mejor antivirus

Nos vemos en la red

X1Red+Segura

Fuente: http://threatpost.com

Confirmado, el “Ransomware” (Virus de la Policía) cabalga con el F.B.I. 28 de septiembre de 2012

Posted by elblogdeangelucho in Alertas / Noticias.
Tags: , , , , , , , , , , ,
add a comment

  

   Supongo que recordáis una entrada en la que os comentaba que el Ransomware, “conocidíííííísimo” virus de la Policía, de la Sgae, del Ukash, a quién en una reciente entrada me atreví a ·rebautizarle como “Virus Mortadelo” por sus múltiples disfraces, y que estaba “cabalgando” de nuevo haciéndose pasar por el Federal Bureau of Intelligence (F.B.I) estadounidense.

   Ver entradas :

El “virus de la Policía” cabalga de nuevo, ahora con el FBI

ALERTA: El virus de la Policía no descansa, solo cambia de disfraz

.

   Pues bien, parece ser que no estaba muy equivocado, hoy aparece la noticia en la página oficial del F.B.I

¿Que no entendeís inglés? no os preocupeís, ¡yo tampoco!, pero ya sabeís que en este blog nos dedicamos a la “traducción” y en este caso contamos con la colaboración inestimable del que todo lo sabe, del “oráculo”, de Google que lo tengo “grabado” en mi ordenador.

TRADUCCIÓN CON TRADUCTOR DE GOOGLE

“Los residentes de Tennessee del Este continúan denunciando incidentes sobre la estafa de Internet relativa al REVETON ransomware. REVETON es un visus informático es instalado en un equipo  cuando un usuario visita un sitio web comprometido. Una vez instalado, el ordenador se bloquea mientras se visualiza una advertencia de que el FBI o el Departamento de Justicia ha identificado la computadora como implicada en actividades criminales.

   El mensaje falso aconseja al usuario a pagar una “multa” por medio de un servicio de dinero mediante una tarjeta de prepago, que se desbloqueará el ordenador. Los usuarios se ven amenazados con acciones penales si no realizan  el pago.

   Esto es una estafa para obtener dinero. Las multas resultantes de la actividad criminal son evaluados y tratados por el sistema judicial. El FBI nunca exigirá el pago para desbloquear un equipo.

   Cualquiera que sea víctima de esta estafa debe presentar una denuncia en el  Internet Crime Complaint Center en http://www.ic3.gov. Incluso han conseguido limpiar su equipos, este malware puede permanecer en el sistema y capturar información personal, crear nuevos riesgos de fraude. Las víctimas pueden ponerse en contacto con un profesional de la informática para eliminar el malware de la computadora infectada.”  

   Ver fuente de la noticia en http://www.fbi.gov/knoxville/press-releases/2012/internet-scam-warning-reveton-ransomware?utm_source=twitterfeed&utm_medium=twitter

   Bueno pues como se suele decir en los medios de comunicación “pofesionales”…. les seguiremos informando… 😉 , pero mientras tantes no os olvideis que…

Nosotros somos nuestra peor vulnerabilidad pero también nuestro mejor antivirus.

Nos vemos en la Red

X1Red+Segura

Fuente: http://www.fbi.gov

ALERTA: El virus de la Policía no descansa, solo cambia de disfraz 19 de septiembre de 2012

Posted by elblogdeangelucho in Alertas / Noticias, Seguridad.
Tags: , , , , , , ,
2 comments

   Esta noticia la he leído en InfoSpyware una de mis principales fuentes de información en cuanto a malware en la red, y que os recomiendo que tengáis entre vuestros favoritos, para mí un referente de X1Red+Segura, y además porque os ayudará a estar más seguros en la red.

   Yo sé que a los seguidores, si es que hay alguno, de este blog, no les pillará de sorpresa esta noticia, puesto que deberían tener ya la lección bien aprendida para no caer en estos “engaños”

   El tema es que un viejo conocido vuelve a la carga,  en esta ocasión, y dada la confianza que ya tenemos con el, le voy a bautizar yo como “El virus Mortadelo” 😉 en memoria al famoso personaje creado por Francisco Ibañez y que aparece en los comics “Mortadelo y Filemón”. Evidentemente el nuevo nombre de este “amigo” es por su capacidad para disfrazarse de cualquier cosa.

   Supongo que ya os imaginareis que me refiero al archiconocido malware “Ransomware”, del que existen varias entradas en este blog (ver entradas), conocido como el “Virus de la Policía”, “Virus de la SGAE”, “Virus de la Gendarmería Francesa”, “Virus del FBI”, etc, etc, etc.

   Ya vimos, en entradas anteriores, concretamente en su versión “FBI”, que los cibercriminales habían cambiado su “modus operandi” con “el virus Mortadelo” 😉 combinándolo con un troyano bancario, el “Citadel”. (ver entrada)

   Pués bien, en esta nueva entrega los malos vuelven a utilizar la “combinatoria”, en este caso combinan a nuestro “amiguito” con un rogue, Recordaréis que los rogues son falsos antivirus  que se hace pasar por uno conocido para infectar nuestros equipos (ver entradas sobre rogues).

   En esta ocasión, y no es la primera vez que lo hace según nos informó ya InfoSpyware, el ransomware se camufla con un rogue emulando al antivirus gratuito de MICROSOFT, el Microsoft Security Essentials te ayuda a protegerte de virus, spyware y otros software malintencionados.

   Os reproduzco a continuación la entrada a InfoSpyware donde nos informa de esta nueva cara de nuestro “Mortadelo” y que podéis ver en

http://www.infospyware.com

 

   Microsoft Security Essentials es uno de los antivirus gratuitos más populares y no es nada nuevo que aparezcan versiones falsas de este (como ya hemos comentado anteriormente) que intenten engañar a los usuarios incautos.

   En este caso nos encontramos con un nuevo espécimen que tiene la particularidad de que aparte de ser un “Falso Antivirus” disfrazado como ‘Microsoft Security Essentials’ (MSE), utiliza técnicas de Ransomware secuestrando el sistema, alegando que este será bloqueado por razones de seguridad y solo podrá ser liberado a cambio la compra de un ‘módulo especial’ que obviamente es parte del timo.

Recordemos el ransomware es un tipo de virus informático (malware) que se caracteriza por secuestrar el acceso al sistema o archivos a cambio de un pago y de los que hemos venido hablando mucho @InfoSpyware debido al famoso “Virus de la Policía”

 Características del Fake MSE Alert:

 Propagación: A diferencia de sus primos ransomwares, este No se aprovecha de ninguna vulnerabilidad conocida o desconocida de JAVA y requiere si la ejecución de un archivo para infectar el sistema en primera instancia, como lo hacen la mayoría de los falsos AVs.

 Scareware: Su mensaje de alerta en lugar de ocupar toda la pantalla, se abre en forma de ventana emergente, simulando así las ventanas de alerta de ‘Microsoft Security Essentials’ en donde alerta que su sistema será bloqueado por razones de seguridad, mostrando además una seria de supuestos archivos infectados que dice son por visitar sitios webs pornográficos o infectados. Ver imagen de arriba.

 Estafa. Avisa a la víctima que podrá liberar su sistema, luego de enviar un pago a través Paysafecard o Ukash, para poder añadirle un ‘módulo especial’ para limpiar el sistema de esos malwares (algo que obviamente no existe y es parte del timo.) Ver imagen de abajo:

 

Bloqueos: No bloquea el acceso al ‘Task Manager’ ni al reinicio en ‘Modo Seguro’ del sistema.

 Eliminación: Su eliminación es relativamente sencilla, simplemente quitando esta llave del registro y su archivo: O4 – HKCU/../Run: [SkypePM] C:/Documents and Settings/Local Settings/Application Data/Skype/SkypePM.exe

 Detección. Al momento de enviar la muestra provista por el investigador francés (@Xylitol) a  VirusTotal, solo 24/42 AVs lo detectaron como malware, e irónicamente el verdadero ‘Microsoft Security Essentials’  no lo pudo detectar 😦 cuac!

   Deciros que la propia página de InfoSpyware aporta información para eliminar el “Ransomware”.

   También podéis volver a “visitar” las entradas de este blog en la que se habla de la desinfección de nuestro querido amigo “Virus Mortadelo”

Desinfección de Rasomware

Siempre os lo digo

   Nosotros mismos somos nuestra peor vulneabilidad pero también nuestro mejor antivirus

Nos vemos en la red

X1Red+Segura