Gracias a un paper de Pedram Hayati podemos recopilar hasta un total de 111 herramientas de esteganografía y estegoanálisis clasificadas por categorías. Según su autor, el estudio se realizó desde un perspectiva forense para identificar qué herramientas están disponibles en Internet y cuáles de ellas podrían ser utilizadas por organizaciones terroristas
Continued here:
Herramientas de esteganografía y estegoanálisis
El uso de técnicas de “malvertising” para aumentar el ratio de infecciones en las campañas de propagación de malware está en auge, el objetivo de este post es exponer de manera genérica esta problemática.
El malvertising (de malware + advertising ) consiste en la utilización de una infraestructura en apariencia legal para realizar campañas de despliegue de malware. Los principales vectores de infección pueden ir desde la vulneración directa del servidor de publicidad (Real Media 2007 ) , pasando por contratar el servicio de manera “legítima” e incluir código malicioso en el propio anuncio a distribuir (MySpace 2006 ) hasta la técnica más genérica que consiste en vulnerar sitios web “destino” para inyectar código que facilite la propagación del malware como ya comentámos recientemente en este mismo blog.
Como en todo negocio, la industria del malware tiene muy en cuenta el factor económico, es decir, la valoración de los recursos invertidos en relación con el supuesto beneficio que se obtendrá. En este sentido, parece que estas campañas de malvertising cumplen los requisitos deseados: una mínima inversión puede llegar a un elevadísimo ratio de infección .
Las contramedidas para este tipo de fraudes, serán diferentes teniendo en cuenta nuestra posición en la “cadena” : como usuarios podemos aplicar cierta medidas preventivas ( principalmente sentido común , usar el navegador Firefox con complementos como Noscript, StopAutoplay, Ad-block, FlashBlock ,etc.) , como responsables de contenidos deberíamos llevar a cabo una serie de comprobaciones sobre nuestro proveedor de publicidad (comprobar su reputación en el mercado, las medidas que adoptan para evitar este tipo de ataques, si nos ofrece la posibilidad de utilizar filtros específicos para incluir solo aquella publicidad que nos interese, creación de listas de proveedores de confianza ) .
El grupo que debería asumir parte importante de responsabilidad es el de los responsables de distribución que como encargados de la gestión y despliegue de la publicidad, son los que en primera instancia deberían tomar ciertas medidas : comprobar las referencias de los supuestos anunciantes, su credibilidad, el producto final, analizar las tecnologías empleadas con herramientas como Adoptools , etc.
Desde el departamento de eCrime seguiremos analizando y comentando métodos de propagación de fraudes ya que creemos que en un futuro próximo aparecerán nuevos vectores de infección cuya base operativa serán infraestructuras legítimas (y no solamente relacionadas con la publicidad). En el informe mensual de este mes, ampliaremos los puntos expuestos en este post.
Daniel López
S21sec e-crime
Fuente: S21Sec
Here is the original post:
Malvertising : la publicidad en el punto de mira |
El virus Conficker, también conocido como Downadup, y Kido, ha sido el de mayor propagación de los últimos doce meses. En poco tiempo infectó a más de 10 millones de ordenadores, y se calcula que a mediados de enero ya había contaminado al 6% de los ordenadores de todo el mundo. Tan alta tasa de infecciones ha llevado a colocarlo en la lista de los virus con mayor índice de propagación de todos los tiempos, comparable a las grandes epidemias generadas por nombres míticos como Iloveyou, Kournikova o Blaster.
El virus se difunde aprovechando una vulnerabilidad del sistema operativo Windows (en los ordenadores que no hayan instalado el necesario parche de segundad), y se cree que su objetivo es crear una gran red botnet, compuesta por ordenadores-zombi, es decir, controlados remotamente.
Ralf Benzmüller, director de los laboratorios de seguridad de G DATA, responde a cinco cuestiones relacionas con este virus:
1. ¿Cuál es el grado de peligrosidad real de Conficker?
Conficker se aprovecha de una vulnerabilidad en el servicio RPC de Windows, solucionada por Microsoft el pasado octubre mediante un parche especial.
El ataque tiene lugar enviando una petición inicial al ordenador. En caso de ser vulnerable, se envía un archivo malicioso al ordenador de la víctima. Entonces, dicho archivo instala un servidor http y el ahora infectado PC envía otras peticiones de comprobación a otros equipos, y al igual que en el caso anterior, se procede al envío de nuevos archivos infectados en el caso de no tener cerrado el agujero de seguridad.
Además, Conficker se propaga en redes locales protegidas con contraseñas débiles y utiliza el mecanismo de autoarranque de dispositivos USB extraíbles, como discos duros, sticks, cámaras y similares.
Al completar con éxito la infección, se descargan más archivos de malware desde diversos dominios, que instalan, entre otras cosas, scareware. Como el contacto con los servidores botnet no se pierde, Conflicker genera 250 nuevos nombres de dominio al día, basándose en la fecha.
La actual ola de infección sugiere que los creadores del gusano Conficker están preparando una nueva generación de botnets. En este momento, las máquinas infectadas parecen estar “listas para la batalla”, y posiblemente los cibercriminales darán pronto la señal de pasar al ataque, desencadenando una acción concertada con las botnets preparadas.
2. ¿Cuántos ordenadores han sido infectados?
Las estimaciones varían enormemente y van desde unos pocos cientos de miles de equipos infectados hasta unos 10 millones. Es difícil hacer una estimación precisa. Muchos de los ordenadores infectados están conectados a varios servidores de control, por lo que pueden ser contados varias veces. Por otra parte, cientos de PCs infectados en redes corporativas pueden figurar de cara al exterior como un único equipo. Aún así, incluso siendo conservadores nos enfrentamos a una de las botnets de mayor capacidad.
3. ¿Cómo protegerse?
El caso de Conficker demuestra en toda su crudeza la importancia de contar con un sistema de gestión de los parches. La existencia de un agujero de seguridad en el sistema operativo Windows, que Conficker busca constantemente y explota una vez da con él, es de dominio público desde octubre de 2008. Desde entonces, Microsoft ha ofrecido la actualización necesaria para solventar dicho agujero, pero por desgracia muchos responsables de red no han reaccionado a tiempo ni descargado y aplicado el parche disponible.
Un factor digno de mención, y todavía más decisivo, es la utilización de contraseñas adecuadas de red y de cuentas de usuario. Una contraseña sencilla como “12345” o “admin” no proporciona seguridad alguna, algo de lo que los creadores de Conficker se aprovechan sin problemas. Es más, en muchas empresas ni siquiera existen políticas de utilización de dispositivos extraíbles como los sticks USB, uno de los principales caminos para la difusión de Conficker. El mecanismo de autoarranque está activado en muchos ordenadores y no lo utiliza sólo Conficker para propagarse, sino también muchos otros programas de malware. Aún así, al desactivar la función de autoarranque se impide la facilidad de uso de CDs.
OpenDNS proporciona un servicio interesante al respecto: reconocen los PCs de una red que han sido infectados por Conficker y bloquea el acceso a los 250 nuevos dominios botnet que se crean cada día. De esta forma, los PCs zombi infectados no reciben instrucciones de quien pretende controlarlos de forma remota, por lo que permanecen inactivos.
4. ¿Cómo saber si Conficker ha infectado un ordenador?
Una suite completa de protección antivirus con firmas de detección actualizadas es capaz de detectar Conficker. Cualquiera que no haya hecho sus deberes y haya dejado puertas traseras del sistema abiertas o que no haya aplicado los parches críticos tendrá que realizar un gran esfuerzo para desinfectar su ordenador.
Conficker utiliza secuencias aleatorias de caracteres como nombre de archivo, por lo que resulta difícil localizar la infección. Se registra como un servicio del sistema con nombres aleatorios y modifica el registro en los siguientes puntos:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSet
Services [Random name for the service]
Image Path = „%System Root%system32svchost.exe -k netsvcs“
HKEY_LOCAL_MACHINESYSTEMCurrentControlSet
Services[Random name for the service]Parameters
ServiceDll = „[Path and filename of the malware]“
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Windows NTCurrentVersionSvcHost
También puede detectarse al comprobar que determinados servicios relacionados con la seguridad ya no funcionan:
Asimismo, se impide el acceso a sitios web con las siguientes secuencias de caracteres, entre los que se encuentran las webs de los fabricantes de antivirus más importantes y portales de información sobre malware:
„virus“, „spyware“, „malware“, „rootkit“, „defender“, „microsoft“, „symantec“, „norton“, „mcafee“, „trendmicro“, „sophos“, „panda“, „etrust“, „networkassociates“, „computerassociates“, „f-secure“, „kaspersky“, „jotti“, „f-prot“, „nod32“, „eset“, „grisoft“, „drweb“, „centralcommand“, „ahnlab“, „esafe“, „avast“, „avira“,
„quickheal“, „comodo“, „clamav“, „ewido“, „fortinet“, „gdata“, „hacksoft“, „hauri“, „ikarus“, „k7computing“, „norman“, „pctools“, „prevx“, „rising“, „securecomputing“, „sunbelt“, „emsisoft“, „arcabit“, „cpsecure“, „spamhaus“, „castle„wilderssecurity“, „windowsupdate“
Los administradores de red pueden saber cuáles son los ordenados infectados al incrementarse el tráfico en el puerto 445. Tras la infección, Conficker obtiene la dirección IP del ordenador infectado recurriendo a las siguientes páginas:
En base a la fecha, se calculan distintas direcciones actualizadas a través de los siguientes dominios:
Los ordenadores que accedan a estos dominios pueden estar infectados.
5. ¿Cómo deshacerse de Conficker?
A través de la siguiente dirección de Microsoft puede consultarse una completa guía para la desinfección manual de los sistemas afectados:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
Como el programa malicioso posee una configuración compleja y ataca múltiples puntos del sistema de forma simultánea, la limpieza manual puede ser una lucha titánica. Por ello, recomendamos que los usuarios menos experimentados recurran a las rutinas de eliminación de su software antivirus o a la última versión de MSRT (“Malicious Software Removal Tool“):
http://www.microsoft.com/germany/technet/sicherheit/tools/msrt.mspx
Fuente: Baquia.com
Read the original post:
Preguntas y respuestas sobre Conficker |