Founder of MalwareIntelligence, a site dedicated to research on all matters relating to anti-malware security, criminology computing and information security in general, always from a perspective closely related to the field of intelligence.

lunes, 27 de diciembre de 2010

Haciendo un poco de catarsis

Luego de un periodo de completa inactividad [en torno a este blog ;P], hoy me tomé unos minutos para escuchar un poco de buena música y actualizar uno de mis blog [que nada tiene que ver con seguridad], y que quizás muy pocos conocerán: Voces de Metal [http://vocesdemetal.blogspot].

Funciona un poco a modo de catarsis, cada vez que hago stop y quiero escuchar un poco de sonido "simplemente brutal". Los videos son de una excelente banda de ñu metal llamada Ill Niño que posee influencia y raíces netamente latinoamericanas.

Los video son: God Save Us, que pueden ver aquí; y This Time's For Real en éste enlace.

¡Buena vida Ill Niño! :)

Ver más

miércoles, 29 de septiembre de 2010

Criminología informática y seguridad preventiva

Luego de un largo tiempo sin oficiar como disertante en algún seminario o evento, llegó el momento de participar en dos importantes eventos que durante los últimos días de octubre se desarrollarán en Argentina.

El primero de ellos corresponde a ViveForoS!, un evento organizado por Segu-Info bajo el auspicio de TATA Consultancy Services que se desarrollará durante el día 28 del mes en cuestión, y en el cual estaré charlando con los asistentes sobre los aspectos fundamentales que involucra un proceso de investigación sobre delitos cometidos a través de Internet, utilizando botnets como principal canal de ejecución.

También mostraré ejemplos prácticos y alguna demostración sobre cómo se ven  por dentro algunos de los crimeware más "famosos" de la actualidad. El título de la misma es "Criminología informática a través de botnets".

La segunda, se dará bajo el marco del evento Imagina2010, la segunda edición del 1° Evento Regional de Tecnología e Internet en la provincia de Misiones (Argentina), durante los días 29 y 30 también de octubre donde estaré presentando una charla sobre seguridad llamada "Seguridad Preventiva apta para todo público".

La primera edición de este evento se llevó a cabo el año pasado (2009) durante el mes de noviembre, y en esa oportunidad también estuve participando del mismo con la charla "Seguridad antivirus en Internet". Dejo un breve video sobre la cobertura que se realizó durante el año pasado sobre dicho evento:




Para todos aquellos que estén interesados en asistir a cualquiera de los eventos anteriormente mencionados, a continuación dejo los enlaces en los que encontrarán mayor información:


Están invitados y si alguno se pega una vuelta… que avise!! ;P

jorge.-

Ver más

viernes, 30 de abril de 2010

Compendio mensual de información. Abril 2010

Malware Intelligence Blog - English version
30.04.2010 Una recorrida por los últimos scareware XXI
26.04.2010 Phishing database VI
19.04.2010 Scam de ZeuS sobre IRS continúa siendo activamente explotado
03.04.2010 Phishing Database V
03.04.2010 Página web del film Besouro vulnerada con ataques de phishing a PayPal


Malware Disasters Team - A division of Malware Intelligence
24.04.2010 Copyright violation: copyrighted content detected
19.04.2010 New variant of ransomware through porn sites


ESET Latinoamérica Blog
29.04.2010 Nueva estrategia ransomware utiliza derechos de autor
28.04.2010 Koobface continúa su campaña de propagación
24.04.2010 Troyano para Mac OS
14.04.2010 Ransomware desarrollado para Mac OS
09.04.2010 La Gira Antivirus se presenta en Panamá
05.04.2010 El problema de los paquetes con Exploits
02.04.2010 La Gira Seguridad Antivirus llega a Ecuador

Información relacionada
Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero


Compendio mensual de información 2009

Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero

Ver más

miércoles, 31 de marzo de 2010

Compendio mensual de información. Marzo 2010

Malware Intelligence Blog - English version
31.03.2010 Strike Botnet, otra crimeware que nace
28.03.2010 Web de Hooters Alemania comprometida con phishing a HSBC
28.03.2010 iPack y GOLOD. Nuevos crimeware en la escena delictiva
27.03.2010 Phishing Database IV
19.03.2010 Archivo .sys utilizado en el ataque Aurora - Análisis externo del archivo
15.03.2010 Nueva campaña de phishing contra Facebook encabezada por ZeuS
12.03.2010 Campaña de phishing orientada a jugadores de Zynga
07.03.2010 Oficla botnet con más de 200.000 zombis reclutados
06.03.2010 myLoader. Framework para la gestión de botnets


Malware Disasters Team - A division of Malware Intelligence
13.03.2010 Dangerous trojans, keyloggers and Spyware detected in you computer!!!
07.03.2010 myLoader. Base C&C to manage Oficla/Sasfis Botnet
05.03.2010 Another very active SMS Ransomware
04.03.2010 SMS Ransomware for Windows In-the-Wild


Security Intelligence
- A division of Malware Intelligence
27.03.2010 Phishing Database IV
07.03.2010 myLoader. Base C&C to manage Oficla/Sasfis Botnet

ESET Latinoamérica Blog
31.03.2010 Reporte de amenazas de Marzo
30.03.2010 Campaña de infección utilizando la bomba en Moscú como excusa
26.03.2010 SEO Poisoning con la erupción de volcán en Islandia
23.03.2010 Masiva campaña de infección a través de páginas pornográficas
17.03.2010 Phishing alojado en página gubernamental de Colombia
15.03.2010 Phishing contra usuarios de entidades de República Dominicana

Información relacionada
Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero


Compendio mensual de información 2009

Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero

Ver más

viernes, 5 de marzo de 2010

Compendio mensual de información. Febrero 2010

Malware Intelligence Blog - English version
27.02.10 Phishing database III

24.02.10 Scam de ZeuS sobre IRS continúa siendo activamente explotado
24.02.10 Nueva campaña de phishing de ZeuS contra Google y Blogger
22.02.10 Campaña de phishing a Facebook y VISA propuesta por ZeuS
16.02.10 Phishing database II
13.02.10 Ingeniería Social explotando juegos olímpicos 2010
12.02.10 Disección de un kit fraudulento. Wachovia phishing attack
10.02.10 SpyEye Bot. Análisis de una nueva alternativa del escenario crimeware
09.02.10 Phishing database I

06.02.10 Nuevo blog personal

Malware Disasters Team - A division of Malware Intelligence
23.02.10
SpyEye Bot (Part two). Conversations with the creator of crimeware
10.02.10 SpyEye Bot. Analysis of a new alternative scenario crimeware

Security Intelligence
- A division of Malware Intelligence
28.02.10 Phishing database III
16.02.10 Phishing database II
09.02.10 Phishing database I
06.02.10 Justifying the unjustifiable in a world criminal

Evil Fingers Blog

20.02.10 IRS Scam Campaign on proposal by ZeuS
11.02.10 SpyEye Bot. Analysis of a new alternative scenario crimeware
11.02.10 New personal blog
11.02.10 Automation in creating exploits II

ESET Latinoamérica Blog
01.03.10 Reporte de amenazas de Febrero
25.02.10 Disponible ESET Security Report de Latinoamérica
23.02.10 Seguridad en Cloud Computing
18.02.10 ¿Qué hay de cierto respecto a la botnet Kneber?
02.02.10 Campaña de infección orientada a usuarios de Brasil


Información relacionada
Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero


Compendio mensual de información 2009

Diciembre - Noviembre - Octubre - Septiembre - Agosto - Julio
Junio - Mayo - Abril - Marzo - Febrero - Enero


Jorge Mieres

Ver más

sábado, 20 de febrero de 2010

SpyEye se mete de lleno en la escena del crimeware

SpyEye es un troyano que se caracteriza fundamentalmente por dos razones: su similitud con lo que hasta el momento podríamos llamar "la creme de la creme": ZeuS; y la incorporación de una funcionalidad que permite "cortar la cabeza de ZeuS" de los equipos que compartan infección con SpyEye. La siguiente imagen muestra la bienvenida al C&C (Panel de comando y control) de SpyEye.


Además, al igual que ZeuS posee funciones de keylogging registrando información sensible y privada de los equipos víctimas, entre muchas otras, todas administrables vía web desde un panel de control.

Por otro lado, desde el punto de vista "visual", el autor de SpyEye de esforzó en crear un paquete "bonito" con iconografía descriptiva que hacen de esto un sistema de gestión criminal bastante intuitivo, ideal para los aspirantes a ciberdelincuentes.

En este sentido, cabe aclarar que estas últimas palabras (que parecen destacar este crimeware como si fuese algo interesante) no buscan promocionar ni legitimar este ni ningún otro crimeware, ni tampoco las actividades que podrían realizarse por intermedio de ellas. Aclarado de forma breve este asunto, a continuación pueden ver una imagen que muestra el módulo de estadísticas que, aunque bastante rústico, se encuentra hecho en flash (algo no tan común en este tipo de crimeware).


Con respecto a este crimeware, desde Malware Intelligence hemos hecho una cobertura de sus actividades, canalizando parte de la información obtenida a través de dos informes que describen sus actividades tanto desde el punto de vista técnico como, por decirlo de alguna forma, desde el punto de vista psicosocial, "mano a mano con su creador".

SpyEye Bot. Nuevo bot en el mercado (versión en inglés)
Esta noticia fue escrita por Mariano Miguel quien es Malware Researcher en Malware Intelligence.

SpyEye Bot. Análisis de una nueva alternativa del escenario crimeware (versión en inglés)
Este documento describe las actividades de SpyEye desde una perspectiva técnica y fue escrito por quien esto escribe. Agradezco a INTECO-CERT de España por hacerse eco de este documento y publicarlo en su sección de Estudios e Informes. También agradezco a Darren Spruell de EmergingThreats por crear la firma IDS en función de la información proporcionada.


SpyEye Bot (Part two). Conversations with the creator of crimeware (sólo en inglés).
La segunda parte del informe, fue escrito por Ben Koehl quien es Crimeware Researcher de Malware Intelligence, y por el momento se encuentra disponible sólo en inglés. Mis felicitaciones a Ben por la investigación y a los amigos de la casa NoVirusThanks por también publicar ambos papers.

Ver más

lunes, 8 de febrero de 2010

Malware Intelligence en SANS Audiocast

SANS (SysAdmin, Audit, Network, Security) es el Instituto más conocido sobre todo lo relacionado a seguridad de la información y cabeza de las certificaciones más prestigiosas. Cuenta con un amplio repertorio de documentación de investigación y además posee un sistema de alerta temprana ante incidentes de seguridad denominado Internet Storm Center. Sin lugar a dudas representa la fuente de información más grande.

Posee una sección llamada SANS Audiocast a cargo del instructor John Strand donde semanalmente publican un audio exponiendo diversas temáticas relevantes en materia de seguridad, y en su episodio #3 del 12 de enero de 2010, Malware Intelligence formó parte del mismo bajo la temática Crimeware-as-a-Service and antivirus evasion schemes.








Jorge Mieres

Ver más

Malware Intelligence Rogue database en Malware Domain Blocklist (DNS-BH)

Como ya sabemos, el rogue (también conocido bajo el término scareware) es un tipo de malware, que básicamente simula ser un programa de seguridad, habitualmente un antivirus, y que en todo momento intenta que la víctima compre el supuesto antivirus o herramienta de seguridad a través de una estrategia agresiva de advertencias sobre problemas de infección que, por supuesto, son falsos.

El uso de Ingeniería Social se ha transformado en un patrón indiscutible para la diseminación/infección de esta amenaza, y aunque no deja de ser un tipo de código dañino más, responde a la generación de malware que centra sus esfuerzos en robar dinero por intermedio de acciones fraudulentas.

Quizás uno de los "detalles" que vale la pena no dejar pasar es que, si bien, podemos aproximar, algo así como más del 90% (y quizás más) del rogue que actualmente circula por Internet se encuentra diseñado para plataformas Windows, existen casos para MacOS (aún no he visto para Linux) por lo que no me sorprendería cruzarme con alguno diseñado para telefonía celular de alta gama.

Quienes se encuentran detrás de su diseminación forman parte, como asociados (afiliados), de un negocio realmente grande, donde de forma siempre fraudulenta se perfeccionan las estrategias destinadas a atraer prospectos desde diferentes capas, a saber:

Dentro de este ciclo de propagación/infección se utilizan varias técnicas (BlackHat SEO, exploit pack, cifrado, fast-flux, entre otros) que no dicen más que… "Hey, Ladies & Gentlemen, tengan cuidado… nos perfeccionamos cada vez más", dejando en evidencia su profesionalización dentro del esquema de oportunidades delictivas que ofrecen los creadores de rogue.

Desde Malware Intelligence hemos hecho una cobertura bastante extensa durante el 2009, bajo el nombre Una recorrida por los últimos scareware (A recent tour of scareware), exponiendo información sobre las familias de rogue más relevantes, mencionando sólo el más conocido de cada familia; y donde nuestra intención es proporcionar información que permita prevenir los casos de infección, por ejemplo, bloqueando las direcciones IP.

Una recorrida por los últimos scareware XXVersión en inglés

Ahora Malware Intelligence forma parte de la base de datos de Malware Domain Blocklist (DNS-BH) colaborando con la información recolectada sobre scareware.

En el siguiente enlace pueden obtener la lista con direcciones IP y nombre de dominios que poseen contenidos maliciosos obtenidos desde Malware Intelligence, junto a las de malwareurl.com: 182 malicious domains to block.

Jorge Mieres

Ver más

sábado, 6 de febrero de 2010

Eleonore Exploit Pack y su evolución en el campo del crimeware

Eleonore Exploit Pack es un crimeware que desde su aparición a mediados del 2009 cuenta con amplia aceptación en el mercado underground. Actualmente es muy utilizado para reclutar zombis infectando los equipos con malware que se ejecuta explotando vulnerabilidades.

En el caso de este exploit pack en particular, la última versión (1.3.2) posee, por defecto, la posibilidad de atacar a través de 14 debilidades en varias aplicaciones. En este sentido cabe mencionar que muchos de los exploits incorporados poseen solución a través de su parche desde hace varios años (MS06-006 por ejemplo); aún así, el índice de infección explotando estas vulnerabilidades es alto.

Aunque la problemática que se presenta no es para nada trivial, a esta altura del partido ya no nos sorprende, sobre todo, luego de conocer el ataque dirigido llamado "Operación Aurora" cuyo malware rompió las barreras de seguridad de grandes compañías explotando una vulnerabilidad crítica en Internet Explorer 6.


En Malware Intelligence hemos escrito un pequeño informe que describe su evolución, mencionando los exploit incorporados en cada una de sus seis versiones, con el costo de cada una de ellas en función del momento en que era lanzado al mercado clandestino. Cabe mencionar que aunque todavía no es oficial, se estima que la última versión está siendo comercializada a un valor de 1200 dólares estadounidenses.

El artículo llamado Estado del arte en Eleonore Exploit Pack lo pueden leer tanto en inglés como en español. Otras referencias son: 



Otros amigos de la casa que han abordado a Eleonore Exploit Pack son Brian Krebs desde su blog KrebsOnSecurity y Giuseppe Bonfa con un interesante análisis del exploit pack escrito en su blog EvilCodeCave.

Jorge Mieres

Ver más

sábado, 16 de enero de 2010

Justificando lo injustificable de un mundo delictivo

Como muchos de los lectores sabrán, desde Malware Intelligence venimos investigando las implicancias directas de toda esta nueva generación de códigos maliciosos y actividades delictivas que día a día retro-alimentan el negocio del crimeware.

Bajo esta premisa, las investigaciones centran sus esfuerzos en tratar de revelar las diferentes ramificaciones que se enredan entre sí dentro de una maraña de acciones ilícitas tendientes, fundamentalmente, a obtener dinero de los usuarios a través de técnicas no-éticas. Y en función de esto… ¿aún quedan dudas que estamos frente a un gran negocio que lucra a través de actividades que rozan la ilegalidad? (obviamente, siempre de acuerdo a la legislación vigente de cada país). Creo que la respuesta unánime es NO.

Salvada esta apreciación, luego de tanto exponer contenido en torno al estado del arte del crimeware, incluso aún sin exponer datos relevantes para no entorpecer la continuidad de las investigaciones, ya se ha tornado un aspecto común recibir mensajes y comentarios, en su mayoría agresivos, de los responsables del desarrollo o de la comercialización de determinadas aplicaciones crimeware.

Bajo este escenario, y si bien no soy de dar explicaciones sobre las investigaciones que realizamos, en esta oportunidad haré una excepción exponiendo dos de los últimos comentarios que hemos recibido de parte de quienes forman parte del negocio del crimeware.

Sobre todo, porque en cierta forma reflejan la filosofía (de vida y mental) de quienes operan desde la clandestinidad, aunque últimamente las cosas están cambiando.

El primero de los casos es un mensaje anónimo, no-agresivo que en lo personal debo confesar que… muy simpático :) dejado por uno de los Partners que comercializa el crimeware YES Exploit System. El comentario fue dejado en el artículo que habla de este Exploit pack, y en el cual también encontrarán mi respuesta. El comentario es el siguiente:

YES, We are the blackhats :)
Thanks for small review, but why do ppl think that blackhats are poor guyz?
It's just a business, no less, no more :) Do you wanna buy our excellent product? - there is discounts for you ;)


Como dicen mis "amigos", para ellos es "solo un negocio, ni más ni menos". Sin embargo, convengamos en que, además de no ser un negocio convencional, representa un modelo de negocio que colabora directa y activamente con actividades delictivas, lo cual no es tan gracioso.

Ahora, YES Exploit System es un crimeware que posee mucho desarrollo en su código y cuyo valor en el mercado es de USD 800. Y lo que sí resulta gracioso (según la última oración del cometario) es saber que no obtendré descuento alguno sobre el crimeware ;)

El segundo caso que quiero dar a conocer es un poco más agresivo y fue en función de lo escrito en el informe sobre el servicio ruso destinado a comprobar la detección de malware, en el mismo pueden leer el comentario y mi respuesta, la cual no transcribo aquí por su longitud. El mensaje dice así:

"In summary, further evidence that not only the exploitation of malware generates profits but also moves parallel money on services to
this industry. And in some cases like the present one, have to see if you can consider this service as a criminal act or not."

Wow and why would this service be criminal act?

It's clear to me that someone has a year work in a software like this scanner and he want to make money with it.
If you don't like it don't use it. Noone forces you to pay for it or submit files there but since I see you are a little wanker
blogger who does not respect others work I giving it to you straight.

You have no inside experience in the antivirus industry whatsoever otherwise you would know that VirusTotal distributes 200K files/day
to antivirus companies for FREE. AV companies are shit on online scanners, they wouldn't even contact you if you would ask them about file
distribution and they definately wouldn't support an online scanner so what else can these services do to remain online?

Before you criticizing others work put something down on the table little frustrated shit..."

Independientemente de la connotación agresiva que presenta este segundo comentario, lo interesante es de quien viene. Alguien que utiliza como nick la palabra "KLESK" y responsable de "un intento de negocio" completamente delictivo, en cuya página una de las primeras cosas que leemos es "Selling corporate data, trade secrets" (Venta de datos corporativos, secretos comerciales).

"We sell corporate data and trade secrets" (Nosotros vendemos los datos corporativos y los secretos comerciales), continúa la propaganda. Aclarando además qué tipo de información supuestamente "roban" a las empresas, y rematando con algo muy curioso:

"Please losers/asszors stay away, all the data bids start on 5 figures" :: Sin palabras… :)

En fin, particularmente este último caso representa una buena oportunidad para analizar la psicología de un prospecto a ciber-delincuente cuyo intento de "negociar" no sólo deja mucho que desear sino que ni siquiera puede ser evaluado como una posibilidad a tener en cuenta como objeto de investigación.

Información relacionada
Russian service online to check the detection of malware
YES Exploit System. Otro crimeware made in Rusia

Jorge Mieres

Ver más

YES Exploit System. Official Business Partner’s

Sin lugar a dudas, el negocio que representa el crimeware en la actualidad se expande cada día más. No sólo se refleja este aspecto en la profesionalización en torno al desarrollo y explotación de las diferentes aplicaciones y tecnologías informáticas empleadas para delinquir y realizar ataques vía web, sino también en las estrategias de venta que se emplean para canalizar la atención de un mayor volumen de mentes inquietas, que buscan obtener robar el dinero de los demás empleando como base de negocio, alguna botnet.

Si bien aún el 90% de la venta de crimeware se lleva a cabo en un ambiente underground donde la oferta es propuesta directamente por el creador del crimeware, los ciber-delincuentes están llevando su negocio clandestino a un plano "más claro" y "más alto", publicitando sus desarrollos a través de sitios web exclusivamente diseñados para ofrecer sus "servicios", pero a través de "asociados de negocio" que se encargan de la logística del asunto.

A principios del año 2009 mencionábamos el caso de la venta, vía web, de Unique Sploit Pack, uno de los exploit pack de propósito general más demandados en la actualidad, cuyo sitio web de comercio estuvo online un tiempo hasta que fue dado de baja precisamente por tratarse de un crimeware.

Sin embargo, esta estrategia de marketing y venta vuelve al plano mayor de la mano de YES Exploit Pack, otro crimeware de los más activos actualmente.

Bajo el slogan "Improve your business with YES Exploit System. Exploit Pack from Russia" (Mejore su negocio con YES Exploit System. Un Exploit pack desde Rusia) se propone la venta de la versión 2 de este exploit pack a través de un sitio web registrado en Rusia.

La campaña de propaganda (estrategia de marketing) desde el sitio web radica en explicar brevemente cuáles son las características más sobresalientes del crimeware, a modo de justificar por qué es mejor que otros paquetes de su estilo (la competencia). Su costo es de USD 800 y la transacción se realiza, como habitualmente se hace, a través de WebMoney.

El negocio del crimeware expande sus recursos logísticos y esto evidentemente es una prueba fiel que manifiesta la evolución de un mercado clandestino, o ya no tan clandestinos, cuyos retos no solo radican en aspectos técnicos buscando alternativas que permitan evadir los mecanismos de análisis.

Información relacionada
YES Exploit System. Otro crimeware made in Rusia
YES Exploit System. Manipulando la seguridad del atacante
El crimeware durante el 2009
Los precios del crimeware ruso. Parte 2
Comercio Ruso de versiones privadas de crimeware...
Panorama actual del negocio originado por crimeware

Jorge Mieres

Ver más

sábado, 9 de enero de 2010

Napoleon Sploit. Frameware Exploit Pack

Se trata de la primera versión de un Exploit Pack para el monitoreo de botnets con propósito particular llamado Napoleon Sploit, que se lanzó al mercado clandestino de crimeware en agosto del 2009.

Debido a su prematura y baja condición de "complejo Exploit Pack" si lo comparamos con otros de su estilo, posee un bajo costo y de hecho no ha tenido repercusión en el circuito de venta underground, aunque todavía se encuentra a la venta por un costo de USD 299 con la posibilidad de obtener las actualizaciones importantes por USD 35 más.

Como podemos apreciar en la imagen, su interfaz es muy sencilla y minimalista. Sólo posee dos módulos (estadística y configuración) más el panel de autenticación (logín vía web), y según su autor, el estilo del crimeware con colores claros está pensado para no provocar cansancio en la vista de los ciber-criminales, “futuros clientes”.

(Sin palabras, pero espero opiniones al respecto). La siguiente imagen corresponde al panel de configuración.

El Exploit pack se encuentra diseñado para aprovechar las vulnerabilidades específicas en función de los siguientes exploits:
  • MDAC - IE5, IE6
  • Opera Telnet - Opera 9.00 - 9.27
  • PDF Util.Printf - PDF Adobe Reader < 8.1.2
  • PDF Collab.Geticon PDF Util.Printf - Adobe Reader & Acrobat > 8.1.2
Un detalle que no quiero dejar pasar es que este crimeware es el antecesor de Siberia Exploit Pack, otra aplicación web de propósito particular desarrollada por el mismo autor que Napoleon Sploit, que se encuentra In-the-Wild.

Información relacionada
Estado del arte en Eleonore Exploit Pack
Siberia Exploit Pack. Otro paquete de explois In-the-Wild
RussKill. Aplicación para realizar ataques de DoS
JustExploit. Nuevo Exploit Kit que explota Java
DDoS Botnet. Nuevo crimeware de propósito particular
ZeuS Botnet y su poder de reclutamiento zombi
Phoenix Exploit’s Kit. Otra alternativa para el control de botnets
iNF`[LOADER]. Control de botnets, marihuana y propagación de malware
Fragus. Nueva botnet framework In-the-Wild
Liberty Exploit System. Otra alternativa crimeware para el control de botnets

Jorge Mieres

Ver más

Una recorrida por los últimos scareware XX

Anti-Virus Live 2010 = Anti-Virus Elite 2010, ErrorClean y NoAdware
MD5: c50dc619e13345dec2444b0de371dfd4
IP: 204.232.131.12
204.232.131.14
United States United States Hoboken Noadware.net
Dominios asociados
antivirus-live.com
Result: 9/41 (21.95%)

NoMalware
IP: 88.214.204.221 - 72.9.100.114
United Kingdom United Kingdom Hosting Solutions Ltd
United States United States New York Access Integrated Technologies Inc
Dominios asociados
ontogen.com
nomalwares.org
nomalwarelab.com


Malware Mechanic

MD5: ce48aeb8e8b007b601a7f584d1b7901c
IP: 72.9.100.115
United States United States New York Access Integrated Technologies Inc
Dominios asociados
malwaremechanic.com



newsneg.ru, back-shure.ru, year-sneg.ru, yearsneg.ru, night-up.ru, nightup.ru, snegyear.ru, sneg-new.ru, up-day.ru, (91.213.29.15) - Russian Federation Russian Federation Info-media Ltd
world-info2.com (193.104.22.202) - Malta Malta Kratosweb-net
anyboom.biz (88.214.204.236) - United Kingdom United Kingdom Hosting Solutions Ltd
sekuritylistsite.com (94.102.63.245) - Netherlands Netherlands Amsterdam The King Host
online-antispym2.com (68.168.212.142) - United States United States Secaucus Honelive
bestsekuritylist.com (193.169.234.3) - Jamaica Jamaica Titan-net Ltd
coolsecuritylist.com (212.150.107.40) - Israel Israel Tel Aviv Loads

Información relacionada
Una recorrida por los últimos scareware XIX
Una recorrida por los últimos scareware XVIII
Una recorrida por los últimos scareware XVII
Una recorrida por los últimos scareware XVI
Una recorrida por los últimos scareware XV
Una recorrida por los últimos scareware XIV
Una recorrida por los últimos scareware XIII
Una recorrida por los últimos scareware XII
Una recorrida por los últimos scareware XI
Una recorrida por los últimos scareware X
Una recorrida por los últimos scareware IX
Una recorrida por los últimos scareware VIII
Una recorrida por los últimos scareware VII
Una recorrida por los últimos scareware VI
Una recorrida por los últimos scareware V
Una recorrida por los últimos scareware IV
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware

Jorge Mieres

Ver más

martes, 5 de enero de 2010

El crimeware durante el 2009

"El crimeware durante el 2009" plasma en un solo documento todo lo que se canalizó a través de este blog durante el año en cuestión en materia de crimeware y amenazas asociadas.

Cuenta con un total de 262 páginas y se encuentra dividido por las temáticas más relevantes que describen las actividades delictivas que fueron motivo de noticias en este blog. Posee dos índices que permiten encontrar las noticias de forma sencilla (índice de contenido), y otro sobre las imágenes (índice de imágenes).

A continuación dejo alguna de las temáticas que encontraran en el documento en cuestión:
  • Panorama actual de negocio ocasionado por crimeware
  • Framework Exploit Pack para botnets de propósito general
  • Framework Exploit Pack para botnets de propósito particular
  • Servicios asociados al crimeware
  • Inteligencia en la lucha contra el crimeware
  • Campañas de propagación e infección
  • Otros Exploits Pack que se investigaron
Información
Malware Intelligence
Compendio anual de información. El crimeware durante el 2009
262 páginas
Idioma español

Descarga

Jorge Mieres

Ver más

lunes, 4 de enero de 2010

Crimeware-as-a-Service y mecanismos de evasión antivirus

Los modelos de negocio que ofrece el Cloud Computing no son novedosos. Incluso, muchos servicios que en la actualidad se ofrecen bajo esta bandera poseen un modelo ya implantado hace mucho tiempo en el mercado.

Sin embargo, el concepto Cloud Computing en sí mismo que conocemos en la actualidad responde a una orientación netamente inclinada a generar negocios aprovechando Internet como infraestructura, lo cual en un mercado altamente competitivo goza de ciertas ventajas con respecto al negocio convencional.

Bajo este escenario, lo cierto es que esta manera de crear negocios también fue aceptada y puesto en marcha por quienes cotidianamente lucran a través de una batería de programas diseñados con fines fraudulentos que cuando son utilizados a través de Internet, reciben el término de Crimeware-as-a-Service, o también por su acrónimo CaaS.

De esta manera comienzan a gestarse servicios fraudulentos que buscan automatizar la manipulación de malware en un proceso creado exclusivamente para evadir su detección. Un ejemplo de esto lo es el servicio (que hoy ya no existe), llamado PoisonIvy Polymorphic Online Builder, creado para cifrar malware y del cual hablamos en su momento. En este caso, al manipular solamente códigos maliciosos, este tipo de servicio se aglomera bajo el término de Malware-as-a-Service (MaaS).

Del mismo modo, en la actualidad existen servicios desarrollados con fines de lucro y destinados a alimentar el negocio del crimeware a través de mecanismos que permiten verificar el grado de efectividad del malware frente a los motores de detección antivirus.

Estos servicios constituyen el antónimo de otros altamente empleados por los profesionales de seguridad como por ejemplo VirusTotal de la compañía español Hispasec. Sobre uno de ellos también ya hemos hablado, llamado VirTest.

Sin embargo, existen algunos otros como Private antivirus service (creado en el 2008), que al igual que VirTest es de origen ruso y busca obtener un beneficio económico a través de un servicio pago, pero al mismo tiempo colaborar con el ambiente del ciber-crimen ofreciendo la posibilidad de chequear el malware creado para conocer su índice de detección en determinado momento, asegurándose además, que el binario no será compartido con las compañías antivirus. De esta manera, se asegura el anonimato y un ciclo de vida más prolongado para la amenaza.

El servicio fraudulento permite verificar la efectividad del malware frente a 17 motores de los antivirus más conocidos del mercado antimalware, y como se visualiza en la primera captura, existen tres costos en función de la característica de los "contratado":
  • USD 0.2 por chequeo
  • USD 15 por 10 chequeos limitados diariamente
  • USD 20 por chequeos sin límites
Una vez dentro del sistema, desde la solapa AV check, se suben los binarios que serán sometidos al escaneo de los antivirus, ofreciendo luego el reporte y un historial de los archivos subidos. Estas opciones se encuentran en el ángulo inferior izquierdo.

Un aspecto interesante que ofrece este servicio de crimeware, lo constituye la posibilidad de programar tareas de verificación, a través de la segunda solapa llamada Programador.

Esta opción permite, por un lado, subir un archivo malicioso desde el disco duro del creador del malware; y por el otro, seleccionar un malware que ya se encuentre en el circuito de propagación a través de la URL; es decir, que el ciber-delincuente puede verificar y controlar la detección de o los códigos maliciosos que ya este propagando.

De esta forma y a través del "programador", se planifica la frecuencia de chequeo de los códigos maliciosos subidos en función de una serie de parámetros que se eligen según un tiempo establecido que van en el rango de 3, 6, 12 horas, ó 1 y 3 días.

Estos parámetros son configurables y una vez establecido pueden ser visualizados en una tabla que se muestra en la misma ventana. La tercera columna corresponde al rango de tiempo. También se configura la manera en que desplegará una alerta con el reporte, que puede ser a través de un correo electrónico o a través de ICQ.

Claramente estas opciones están ideadas pensando en agilizar las maniobras delictivas de propagación de malware chequeando, en el menor de los tiempos, cada 3 horas para verificar si la amenaza es detectada por las compañías antivirus. Esto permite cambiar el malware cada vez que sea necesario, y hasta combinar el servicio con otros como por ejemplo el "servicio" mencionado líneas arriba para cifrar los archivos.

Evidentemente quienes forman parte de la cadena delictiva del negocio del crimeware, colaboran entre sí por intermedio de diferentes alternativas, conformando también un negocio paralelo que también se nutre de las actividades delictivas.

Información relacionada
Servicio ruso en línea para comprobar la detección de malware
Software as a Service en la industria del malware
Creación Online de malware polimórfico basado en PoisonIvy

Jorge Mieres

Ver más

domingo, 3 de enero de 2010

Estado del arte en Eleonore Exploit Pack

Desde el lanzamiento de la primera versión, en junio del 2009, Eleonore Exploit Pack goza de un importante impacto en el ámbito criminal, tanto desde la demanda de obtener el Exploit Pack debido a su costo competitivo respecto a las aplicaciones web similares, como por su alto índice de actividad.

Actualmente cuenta con un repertorio de 6 (seis) versiones, siendo la última la 1.3.2, de reciente aparición en la escena underground a un costo de USD 1000.

Esto significa que su autor, ExManoize, fue actualizando el paquete aproximadamente cada mes, lo que da una idea concreta del esfuerzo depositado en su desarrollo, y que obviamente no es por vocación sino que responde y forma parte del negocio fraudulento, colaborando con la creación y mantenimiento de una de las "herramientas" utilizadas en el campo delictivo.

La estructura de este crimeware es bastante compleja y cuenta con un repertorio total de 13 (trece) exploits por defecto que se incluyen en el paquete y que son los siguientes:
  • MDAC. Funciona en MSIE
  • MS009-02. Funciona en MSIE
  • ActiveX pack. Funciona en MSIE
  • compareTo. Funciona en Firefox
  • JNO (JS navigator Object Code). Funciona en Firefox
  • MS06-006. Funciona en Firefox
  • Font tags. Funciona en Firefox
  • Telnet. Funciona en Opera
  • PDF collab.getIcon. Funciona en todos los navegadores
  • PDF Util.Printf. Funciona en todos los navegadores
  • PDF collab.collectEmailInfo. Funciona en todos los navegadores
  • PDF Doc.media.newPlayer. Funciona en todos los navegadores
  • Java calendar. Funciona en todos los navegadores
Obviamente, como todo servicio que se ofrece dentro de un modelo de mercado, y el crimeware lo es incluyendo este, el "prestador" garantiza el soporte, las actualizaciones y limpieza del paquete en caso de ser necesario. ¡Todo un negocio!

Desde el punto de vista histórico, las actualizaciones de Eleonore Exploit Pack son las siguientes:
  • En junio de 2009 se pone a disposición del público la venta de Eleonore Exploit Pack v1.0, conteniendo los exploits para MDAC, MS009-02, Snapshot, Telnet (para opera), PDF collab.getIcon, PDF Util.Printf, PDF collab.collectEmailInfo. Su valor fue, en principo, de USD 599.
  • En julio de 2009 se actualiza a la versión 1.1 y se agregan dos exploits más: Font tags que explota en Firefox 3.5 y DirectX DirectShow que explota en IE 6 y 7. Además, se realizan mejoras en el cifrado de los scripts. Su valor fue de USD 500, y la versión anterior bajo el precio a USD 300.
  • Durante el mismo mes de julio, se agrega el exploit Spreadsheet, se modifican los archivos PDF, se elimina la captura de imágenes y se agrega la capacidad de cargar un archivo a través del propio panel de administración. La versión es denominada 1.2 y su costo se establece en USD 700.
  • Luego de un periodo de tres meses sin actualizaciones, en octubre aparece la versión 1.3, incorporando en el paquete más funcionalidades fraudulentas. Entre ellas, algunas "mejoras" en los exploits para Internet Explorer y se agrega Java D&E. EL costo de esta versión fue de USD 1000.
  • En noviembre comienza la comercialización de la versión 1.3.1, donde se continúan puliendo los exploits y, entre otros, se agrega el archivo Robots.txt para mejorar el indexado y evitar que ciertas carpetas se muestren. El precio se mantuvo en USD 1000.
  • Durante este periodo de tiempo, se podía encontrar In-the-Wild una versión beta privada (1.3B).
  • El 16 de diciembre, aparece la última versión, 1.3.2 que agrega Java calendar y un Exploit para la reciente vulnerabilidad PDF Doc.media.newPlayer, que hasta ese entonces se trataba de un 0-Day. Su valor no se modificó.
Desde el punto de vista del empleador, la infraestructura para manejar el negocio de las botnets consiste en armarla y ponerla en funcionamiento a través de un servidor dedicado que también puede ser contratado. Sin embargo, para obtener el beneficio económico se necesita de las zombis, ya que sin ellas no se podrían optimizar las tareas fraudulentas para las cueles están pensadas. De hecho, que el paquete se actualice con bastante regularidad, demuestra que los réditos que se obtienen a través de estas actividades son importantes.

Por otro lado, independientemente del costo que posee el crimeware, existen "servicios extras" ofrecidos por el desarrollador, que no están incluidos en el paquete original, como por ejemplo, la limpieza de la botnet por un costo USD 50, al igual que el cambio de dominio malicioso por el mismo valor, USD 50.

Alternativamente, los botmaster (que no necesariamente son los desarrolladores de la aplicación web) suelen alquilar su botnet de forma parcial, y en el caso de Eleonore Exploit Pack v1.3.2, su alquiler es de USD 40 por día.

Información relacionada
Siberia Exploit Pack. Otro paquete de explois In-the-Wild
RussKill. Aplicación para realizar ataques de DoS
JustExploit. Nuevo Exploit Kit que explota Java
DDoS Botnet. Nuevo crimeware de propósito particular
T-IFRAMER. Kit para la inyección de malware In-the-Wild
ZoPAck. Nueva alternativa para la explotación de vulnerabilidades
ZeuS Botnet y su poder de reclutamiento zombi
DDBot. Más gestión de botnets vía web
Phoenix Exploit’s Kit. Otra alternativa para el control de botnets
iNF`[LOADER]. Control de botnets, marihuana y propagación de malware

Hybrid Botnet Control System. Desarrollo de http bot en perl
Fragus. Nueva botnet framework In-the-Wild
Liberty Exploit System. Otra alternativa crimeware para el control de botnets
TRiAD Botnet III. Administración remota de zombis multiplataforma
Eleonore Exploits Pack. Nuevo crimeware In-the-Wild


Jorge Mieres

Ver más

sábado, 2 de enero de 2010

Waledac. Línea de tiempo '07-'09

El troyano waledac, encargado de reclutar zombis para alimentar una botnet dedicada al spam, recientemente volvió a dar noticia al utilizar como excusa la llegada del nuevo año 2010.

Sin embargo, sus actividades fraudulentas datan desde el año 2007 cuando se lo conoció bajo la nomenclatura de storm, y desde entonces, esta familia de malware se ha aprovechado de Ingeniería Social como principal estrategia de propagación bajo diversas coberturas.

La presente línea de tiempo abarca desde las primeras actividades de Ingeniería Social hasta la última y recientemente conocida, relacionda al inicio del 2010.


Información relacionada
Waledac vuelve con otra estrategia de ataque
Waledac/Storm. Pasado y presente de una amenaza latente
Masiva campaña de propagación/infección lanzada por Waledac utilizando como excusa el día de la Independencia de EEUU
Estrategia BlackHat SEO propuesta por Waledac
Waledac. Seguimiento detallado de una amenaza latente
Más Waledac en acción ¿Puedes adivinar cuánto te amo gano?
Waledac más amoroso que nunca
Waledac e Ingeniería Social en San Valentín

Jorge Mieres

Ver más