Malware nuevo y mejorado afecta a Microsoft Office

computerhoy.- Los investigadores de seguridad informática de McAfee Labs advierten que los macrovirus, un tipo de malware muy extendido en la década de los 90, han reaparecido y está volviendo a ser utilizado de manera masiva por los ciberdelincuentes.

Los macrovirus son piezas de código embebido que se ocultan en documentos Word y otros sistemas de procesamiento de datos. Si está conectado a un archivo de Microsoft Office, por lo general están escritos en Visual Basic de Aplicaciones.

Cuando el usuario abre los archivos, se ejecuta el código malicioso que infecta el ordenador de la víctima. Una vez activado, el virus se propaga de manera automática al utilizar el programa de redacción de textos o tablas, y no sólo contagia al fichero abierto al principio, sino también a los demás documentos a los que se hace solicitudes directas.  

Después de detectar la amenaza hace 20 años, Microsoft cambió la configuración de Office para que por defecto no se permita la ejecución de macros. 

Sin embargo, en la actualidad muchas grandes empresas utilizan macros, por lo que son vulnerables a este tipo de malware. Esto ha propiciado la reaparición de los macrovirus, que se envían como archivos adjuntos en correos spam. 

Los investigadores de MacAfee Labs señalan que han detectado un gran aumento del malware macro y ahora se encuentra en sus niveles más altos de los últimos seis años. 

Cómo evitar el malware macro.

Los macrovirus de nueva generación han sido optimizados y se han vuelto más eficientes y flexibles gracias a la utilización de características como PowerShell. 

Para evitar infectarse con este tipo de malware, es recomendable tener en cuenta los siguientes puntos:

• Mantener actualizado tanto el sistema operativo como Microsoft Office con los últimos parches de seguridad. 
• Utilizar un programa antivirus y configurarlo para que analice todo el correo electrónico y los archivos adjuntos.
• Evitar las descargas automáticas de ficheros y las opciones para abrirlos directamente. 
• No abrir documentos adjuntos recibidos por correo electrónico de forma inesperada y configurar la seguridad del navegador en el máximo nivel.
• Buscar pings de direcciones IP como 1.3.1.2. ó 2.2.1.1., etc., desde los ordenadores internos.
• Extremar la precaución al abrir documentos vacíos que solicitan habilitar los macros. 

Mackeeper Hackeado: Software de Seguridad para Apple

Mackeeper, el software de seguridad para combatir el malware en los equipos de Apple, ha sido hackeado dejando al descubierto información sensible de 13 millones de clientes, informó la revista Forbes, según señala Fayerwayer.

El investigador Chris Vickery dejó al descubierto información personal, incluyendo contraseñas y teléfonos de los clientes de MacKeeper, comunica el sitio especializado aclarando que para acceder a dicha información no fue necesario ingresar contraseñas ni existía cifrado de alto nivel para encubrir los datos.

Fayerwayer agrega que Mackeeper admitió a Forbes que las contraseñas que utiliza para sus usuarios son de protección básica, se trata de un algoritmo llamado MD5, que resulta sencillo de descifrar con herramientas gratuitas disponibles desde el buscador, pero que estaban a punto de actualizar a SHA512.

“El análisis de nuestros sistemas de almacenamiento muestran que solamente un individuo obtuvo acceso, el cual fue realizado por el investigador de seguridad. Hemos estado en comunicación con Chris y no ha compartido o usado la información de manera inapropiada”, responde oficialmente Mackeeper en su blog.

Aunque la información de los usuarios no llegó a malas manos, la reputación de MacKeerper como una empresa de seguridad, ha quedado cuestionada, finaliza Fayerwayer.

GlassRAT: diseñado para espiar en objetivos comerciales

Imagen: RSA

Un troyano de acceso remoto utilizado con cautela en ataques dirigidos se ha encontrado después de vivir escondido por tres años, sin ser detectado por la mayoría de los sistemas de seguridad.

El RAT, apodado GlassRAT, fue firmado con un certificado perteneciente a una popular compañía de software de China con cientos de millones de usuarios en todo el mundo. El RAT fue utilizado para espiar a los ciudadanos chinos que trabajan en los departamentos comerciales, y podría tener vínculos con otras campañas de malware que se remontan al 2012.

El malware fue descubierto a principios de este año por investigadores de RSA Security durante una llamada de respuesta a incidentes. La víctima, como se vio después, era un nacional chino trabajando en una gran "empresa multinacional", dijo RSA; la víctima no estaba en China. No se sabe cómo se infectó la víctima, ya sea a través de una campaña de phishing, drive-by download o algún otro medio, dijo RSA.
"No hay una mucha información aparte de la actividad específica en la red de la empresa multinacional donde había tráfico de comando y control desde el dispositivo a través de línea de comandos", dijo Kent Backman, el investigador principal del incidente. "Había alguien del otro lado investigando la red en la que la laptop estaba conectada. Parece como una herramienta de recolección de inteligencia; ese es el objetivo más probable de este RAT ".

Si bien estos objetivos eran principalmente comerciales para fines de espionaje industrial, parte de la infraestructura de comando y control utilizada por GlassRAT también se utilizó en campañas anteriores contra objetivos geopolíticos, probablemente algún tipo de espionaje político.

"Tendemos a creer que debido a que la orientación es diferente, va desde geopolítica a comerciales, que probablemente estamos tratando con una división distinta de una organización de hacking mucho más grande que mostró algunas de sus cartas con respecto al mando y control, dijo Backman .

RSA dijo que tuvo que esperar varios meses para dar con un acierto de una firma Yara subida a VirusTotal y otras fuentes antes de que fuera capaz de concluir que la infraestructura de GlassRAT también fue utilizada en ataques contra los gobiernos de Mongolia y Filipinas, pero con diferente malware, Mirage (MirageRAT), Magicfire y PlugX.
"La ventana de traslape temporal en la infraestructura compartida fue relativamente corta lo que implica un posible accidente en la seguridad operacional por los actores detrás de GlassRAT o que compartieron deliberadamente su infraestructura", escribió RSA en un informe publicado el día de ayer.

RSA no reveló la compañía cuyo certificado fue robado, pero si especifico que ha sido revocado. El certificado se utiliza para firmar un dropper para el malware, que se borra a sí mismo después de descargar el programa malicioso en la máquina comprometida. RSA dijo que la compañía de software sin nombre con sede en Beijing, desarrolla una aplicación en particular, que tiene más de 500 millones de usuarios, y el nombre de esa aplicación es el mismo que aparece en el cuadro de diálogo de instalacion del certificado del malware.

"Sabemos que este malware fue muy eficaz en la gran corporación multinacional", dijo Backman. "No fue detectado durante años por los antivirus, y lo más probable es que si estuviera sido dirigido mas amplia mente, las posibilidades de escapar de los antivirus habrían sido menos."

Hackea pulseras Fitbit en 10 segundos de forma inalámbrica

Una vulnerabilidad en las pulseras de actividad FitBit se reportó al fabricante el pasado mes de marzo, y todavía podría ser explotada por la persona que se sienta a tu lado en el parque mientras recuperas el aliento. Lo cierto es que este tipo de wearables son vulnerables por sus puertos Bluetooth según se recoge en The Register. El ataque es muy rápido, y se puede extender a ordenadores a los que se conecte la FitBit infectada.

Este tipo de ataques por Bluetooth requieren que un atacante se encuentre a pocos metros de un dispositivo objetivo. El malware se puede entregar diez segundos después de que los dispositivos se conecten, haciendo que la proximidad, aunque sea fugaz, sea un problema. Las pruebas que se han conducido para comprobar el éxito del hack tardan hasta un minuto en conseguirse, aunque no es necesario para comprometer el dispositivo.

Según la fuente, el investigador de Fortinet Axelle Apvrille comentó que este procedimiento, conocido como full persistence, significa en este caso que no importa si se reinicia la FitBit: cualquier ordenador que se conecte con ella se puede infectar con una puerta trasera, un troyano o cualquier malware que escoja el atacante.

El primer malware para wearables de fitness

Efectivamente, este es el primer malware que se ha conseguido entregar de forma viable en pulseras de actividad. Los vectores del ataque todavía siguen presentes, y como ya comentamos al principio del artículo Apvrille avisó a FitBit el pasado mes de marzo. La respuesta de la empresa fue considerarlo como un bug que se corregirá con el tiempo. No debemos olvidar que Apvrille es una investigadora de malware de bastante prestigio, y ya existe un vídeo de demostración de sus descubrimientos que puedes ver a continuación:

Axelle Apvrille tiene otros interesantes descubrimientos sobre este hack, como por ejemplo manipular el número de pasos dados en una FitBit y la distancia recorrida, que después se usan para ganar premios que ofrecen descuentos en productos de la marca. La investigadora ha usado ingeniería inversa para enviar 24 mensajes trucados a la pulsera y 20 al dongle Bluetooth de la misma. El trabajo ha sido muy arduo, ya que los dispositivos no ofrecen su código al público y no vienen con documentación del software interno.

Apvrille descubrió que la comunicación se realiza a través de XML y Bluetooth Low Energy mientras que el cifrado y el descifrado se realizan en el wearable y no en el dongle, que se considera “fuera de los límites de seguridad”. Las comunicaciones y los sets de datos se dividen en “megavolcados” que incluyen los pasos que se dan cada día e información de la actividad del usuario, y “microvolcados” que tienen que ver con “emparejar” el wearable con un teléfono on un PC, respuestas del servidor e identificadores de dispositivo.

El trabajo de la investigadora añade nueva información del software a bajo nivel en FitBit a un repositorio que habían comenzado otros compañeros suyos.

No es el primer agujero de FitBit

En 2013 otro grupo de investigadores de seguridad pudieron acceder a cuentas de FitBit con un login falso gracias a comprobaciones de autenticación muy laxas, lo que permitía a los atacantes ganar premios. Sin embargo, fue mucho peor otro agujero de 2011, en el que se expusieron al público las actividades sexuales de los usuarios, en las que se revelaba si habían tenido una “actividad vigorosa” o por el contrario otra “pasiva y suave”.

Hay otros hacks bastante “tontos” que permiten que los más vagos puedan inducir a los sensores que se está realizando una actividad. En 2013 varios investigadores ataron pulseras FitBit a la rueda de un coche y condujeron a 16 kilómetros por hora para simular actividad física.

Navegador eFast elimina y reemplaza tu navegador Chrome

Los investigadores de seguridad han documentado la existencia de una nueva pieza de malware denominada navegador eFast que elimina y reemplaza todo el navegador Chrome.

Expertos en seguridad de Malwarebytes han analizado una nueva pieza de malware que intenta eliminar Chrome y reemplazarlo con una versión falsa que permite a los atacantes secuestrar varias asociaciones de archivos incluyendo HTML, JPG, PDF y GIF, así como las asociaciones de direcciones URL, incluyendo HTTP, HTTPS y MAILTO.

"En este episodio echamos un vistazo a un secuestrador que instala un nuevo navegador en lugar de secuestrar uno ya existente. Incluso intenta reemplazar Chrome si ya está instalado. Para asegurarse de que vas a utilizar su nuevo navegador, eFast se hace el navegador por defecto y se hace cargo de algunas asociaciones de archivos." Señala la entrada de blog publicada por Malwarebytes.

El navegador eFast se basa en el software de código abierto de Google Chromium, su apariencia no es distinta de la legítima Google Chrome, de esta manera no levanta sospechas en las víctimas.



El nuevo malware pertenece a la familia de Adware, es apodado "Navegador eFast" y es capaz de realizar las siguientes acciones:

• Genera anuncios emergentes, cupones, pop-under y otros anuncios similares en tu pantalla
• Colocar otros anuncios en tus páginas web
• Redirigir a sitios web maliciosos que contienen contenidos falsos
• Rastrea tus movimientos en la web para ayudar a los vendedores nefastos a envíar más basura para generar de ingresos

El navegador eFast es diferente de sus compañeros, ya que sustituye del navegador con una copia maliciosa de Chrome en lugar de tomar el control del mismo.

El instalador del  navegador eFast elimina todos los accesos directos legítimos de Google Chrome en la barra de tareas y escritorio de la victima. Sustituye a cualquier acceso directo a sitios web de Chrome con sus propias versiones,

"El instalador de eFast también elimina todos los accesos directos a Google Chrome en la barra de tareas y el escritorio", escribió Malwarebytes, "muy probablemente con la esperanza de confundir al usuario con sus iconos muy similares."

El navegador eFast malicioso es desarrollado por una empresa que se llama Clara Labs, que es el autor de los navegadores similares conocidas como BoBrowser, Unico, y Tortuga.

Las víctimas suelen descarga el navegador eFast lanzando instaladores de software de fuentes no fiables en Internet.
Los expertos también observaron que el Navegador eFast trae consigo un archivo llamado predm.exe en la carpeta %Archivos de programa%\efas_en_110010107. Curiosamente las propiedades del ejecutable revelan que tiene una fecha diferida por una semana antes de la fecha de instalación y que la "Descripción del archivo" es "setup AA". Escaneando los archivos con VirusTotal es posible verificar que se trata de una variante del malware Eorezo/Tuto4PC.

Si fuiste infectado, pasate por este tutorial para eliminarlo.

¿Cómo empezaron a hacerse ricos los hackers chinos?

Los hackers chinos han convertido las campañas de malware de Android en un negocio muy lucrativo que año genera más de 4,5 millones de dólares

malavida.- Las razones por las que los hackers hacen lo que hacen son tan diferentes como una persona lo es de otra. Algunos de ellos lo hacen para probar sus habilidades, otros para conseguir reconocimiento, otros para ganar dinero, otros para servir a su país, algunos hackean por su cuenta y otros forman parte de grupos. Y luego están los que son famosos por su pasión por el hacking, como es el caso de los chinos.

Los grupos de hacking chinos son conocidos por robo de información, cibercrimen organizado y robo de propiedad intelectual. También han participado en campañas de ciberespionaje orquestadas por el gobierno del Gigante Asiático, pero por lo que parece ahora el objetivo de los hackers chinos es ganar mucho dinero, lisa y llanamente.

¿Cuánto dinero puede ganar un hacker?

Es bastante conocido por todo el mundo que el hacking da dinero. Lo que no mucha gente sabe es cuánto da, y la respuesta habla de una cifra en torno a los cuatro millones y medio de dólares al año y por campaña de malware. La forma de conseguir este dinero viene a través del adware, que en muchas ocasiones viene empaquetado con programas y aplicaciones móviles y de escritorio.

La semana pasada se supo de la existencia de Kemoge Android Andware, un nuevo malware que está haciendo estragos en más de 20 países. Este malware es sospechoso de proceder de China, y puede rootear dispositivos vulnerables de forma que un atacante que sepa lo que se hace se pueda apoderar del dispositivo infectado. Una vez instalado, se dedica a descargar aplicaciones que el usuario no ha consentido, pero por las que los desarrolladores del malware reciben dinero en concepto de promoción.

Sin embargo, y por lo que hemos visto hoy, hay más malware que funciona de forma muy similar. Hoy hemos hablado del troyano Ghost Push, que funciona de forma muy similar a Kemoge —con la diferencia de que descarga aplicaciones de pago y se las cobra al usuario—, pero que forma parte de una familia compuesta por amenazas como Braintest, Guaranteed Clicks y RetroTetri.

¿Cómo se empieza a generar ingresos?

El modus operandi de esta familia de malware es muy similar, y se compone de los siguientes pasos:

• Reempaquetar aplicaciones populares tras infectarlas con código malicioso.
• Sortear las medidas de seguridad de la Google Play Store.
• Explotar las vulnerabilidades existentes de Android para conseguir permisos de administrador.
• Rootear los dispositivos de forma que no se pueda desinstalar el virus.
• Promover aplicaciones maliciosas a través de canales legítimos.

Dado que los usuarios no pueden desinstalar las aplicaciones maliciosas, los hackers consiguen un número de usuarios activos enorme. Con esta base de usuarios, el desarrollador del virus puede crear una empresa de promoción de marketing y convertirse en un “tratante” móvil: les sobran las cualificaciones para cooperar con anunciantes, ganando dinero distribuyendo productos para ellos.

Estas apps se han encontrado en tiendas ilegítimas y legítimas. el argumento de ceñirse sólo a las fuentes de confianza no ha servido en este caso. Algunos de los descubrimientos que se han hecho son los siguientes:

• Hay más de 4.000 virus en esta familia.
• Este tipo de malware afecta a dispositivos que van desde la versión 2.3 a la 5.1 de Android.
• Hay afectados más de 10.000 tipos de teléfonos de 2.742 marcas distintas.
• Hay más de 900.000 usuarios afectados, especialmente en el sudeste asiático.

En esta campaña de investigación también se han encontrado cuatro nombres de dominio sospechosos que podrían llevar a descargar el malware.

¿Qué puedes hacer para protegerte?

Para mantener los dispositivos Android seguros recomendamos seguir estas indicaciones:

• No hacer clic en enlaces que no sepamos bien a dónde llevan.
• Extremar las precauciones al descargar aplicaciones.
• No instalar aplicaciones sin revisarlas bien y sin revisar bien sus permisos.
• Mantener el dispositivo Android actualizado.

Esta útima recomendación sabemos que es más complicada debido a que no siempre los fabricantes mantienen los dispositivos al día, pero si se siguen las anteriores con cierto rigor no debería haber problema.

Nuevo RAT Moker Evade Detección

Los investigadores advirtieron el martes que la última APT cuenta con un troyano de acceso remoto que puede mitigar con eficacia las medidas de seguridad en las máquinas y otorgar al atacante acceso completo al sistema.

Expertos de seguridad cibernética israelí enSilo descubrieron el RAT - al que llamaron Moker - acechando dentro de una de las redes de sus clientes, pero admiten que no están seguros de cómo llegó allí.

De hecho Yotam Gottesman, un investigador de seguridad de la firma, cree que aun se sabía poco sobre el malware hasta que se toparon con él, señalando que Moker no ha aparecido en VirusTotal todavía.

Tal vez sea porque el RAT, que se enfoca en las máquinas Windows, es especialmente hábil cuando se trata de no ser atrapado.

Según los investigadores, Moker puede evadir el antivirus, sandbox, máquinas virtuales, y aprovechando una falla de diseño, control de cuentas de usuario, la característica de Windows que se supone que da a los usuarios un mano a mano cuando un programa hace un cambio que requiere el permiso de nivel de administrador. El malware parecer incluso aplica técnicas anti-depuración después de ser detectado para evitar la disección del malware y engañar más a los investigadores.

"Las medidas de detección de evasión [de Moker] incluyen la encriptación de sí mismo y una instalación de dos pasos", Gottesman escribió el martes.

"Las medidas para protegerse de la disección póstuma incluyen evadir las técnicas de depuración que son utilizados por los investigadores, la adición de código complejo y añadiendo a propósito instrucciones para conducir a los investigadores en la dirección equivocada."
Una vez integrado en un sistema, el RAT podría causar un verdadero dolor de cabeza para los usuarios. Un atacante podría más o menos tomar el control total del dispositivo para tomar capturas de pantalla, el registro del tráfico de web, monitorear las pulsaciones del teclado y extraer archivos. También podrían aprovechar el malware para crear nuevas cuentas de usuario, modificar la configuración de seguridad del sistema, e inyectar código malicioso en tiempo de ejecución en la máquina.

No está claro exactamente quién está detrás de el malware - enSilo señala que el malware se comunicó con un servidor en Montenegro, una pequeña nación balcánica que limita con Serbia y Kosovo - pero admite que es probablemente para deshacerse de los investigadores y la policía.

Además de las medidas tomadas para evitar la detección, otra cosa interesante sobre el malware es que no necesariamente tiene que comunicarse con un mando y control servidor externo para hacer su trabajo. El malware en lugar puede recibir comandos a nivel local a través de un panel de control oculto.

Los investigadores asumen que esta funcionalidad fue construida en el RAT para que un atacante podría conectarse por VPN en el sistema objetivo y manipularla de ahí, pero reconocen que la función también podría haber sido introducida por el autor para realizar pruebas.

Mientras enSilo afirma que Moker podría haber sido una cosa de una vez, la firma no descarta la posibilidad de que otros RATs puedan pedir prestadas técnicas similares más adelante.

"Este caso podría haber sido un ataque específico," escribió Gottesman: "Sin embargo, nosotros vemos que los autores de malware adoptan técnicas utilizadas por otros autores. No nos sorprendería si vemos futuras APT utilizando técnicas similares a las de Moker (como pasar por los mecanismos de seguridad y técnicas de disección) ".

El Malware YiSpecter puede infectar cualquier dispositivo Apple iOS

Los expertos de PaloAlto Networks descubrieron un tipo de malware de Apple iOS denominado YiSpecter que es capaz de infectar a los dispositivos tanto con jailbreak como sin jailbreak.

El reciente ataque de XCodeGhost sufrido por Apple demuestra que nadie está completamente seguro de los ataques basados en malware. Ahora los investigadores de seguridad en PaloAlto Networks han descubierto un nuevo malware que apodaron YiSpecter que sostienen es capaz de poner en peligro tanto equipos con jailbreak, así como los dispositivos iOS sin jailbreak.


YiSpecter ha estado abusando de APIs privadas y certificados de empresa para infectar a cualquier dispositivo iOS.

"Ya sea que el iPhone tenga  jailbreak o no, el malware puede ser descargado e instalado con éxito", señala la entrada de blog publicada por PaloAlto Networks. "Incluso si se elimina manualmente, volverá a aparecer automáticamente."
La nueva amenaza YiSpecter es dirigida a los usuarios de iOS en China y Taiwán, pero de momento no hay información sobre el número de dispositivos infectados.

Según los investigadores de PaloAlto Networks, el malware YiSpecter ha estado cazando dispositivos iOS de Apple por más de 10 meses. YiSpecter primero se propagó disfrazándose como una aplicación que permite a los usuarios ver contenido adulto gratis. La aplicación se propuso como una versión privada del famoso reproductor multimedia "QVOD", que es una aplicación de streaming de vídeo populares desarrollada por Kuaibo para compartir videos porno.

"YiSpecter comenzó a extenderse en internet, en noviembre del 2014, si no antes. Las principales aplicaciones de iOS de este malware tienen interfaz de usuario y funcionalidad que permiten la visualización de videos gratis porno en línea, y se anuncian como "versión privada" o "versión 5.0" del famoso reproductor "QVOD". QVOD fue desarrollado por Kuaibo (快 播) y se hizo popular en China por los usuarios que comparten videos porno. ", Afirma el informe.

Una vez infectado el dispositivo móvil iOS es capaz de realizar las siguientes acciones:

• Instalar aplicaciones no deseadas
• Reemplazar aplicaciones legítimas con las que ha descargado
• Forzar visualización de aplicaciones no deseadas, mostrar anuncios de pantalla completa no deseados
• Cambiar marcadores, así como los motores de búsqueda por defecto en Safari
• Enviar información del usuario a su servidor
• Reaparecer automáticamente incluso después de que el usuario la elimina manualmente desde el dispositivo iOS

"YiSpecter consta de cuatro componentes diferentes que se firman con los certificados de empresa. Abusando de APIs privadas, estos componentes se descargan e instalan uno al otro desde un servidor de comando y control (C2). Tres de los componentes maliciosos utilizan trucos para ocultar sus iconos del springboard (escritorio) de iOS, lo que impide al usuario encontrarlos y eliminarlos. Los componentes también utilizan el mismo nombre y logotipos de aplicaciones del sistema para engañar a los usuarios mas avanzados de iOS ".

 Los expertos observaron diferentes métodos implementados por el malware para infectar los dispositivos iOS, incluyendo el tráfico de Internet secuestrado por los ISP, un gusano de Windows que primero atacó QQ un servicio de mensajería instantánea de Tencent, a través de las comunidades en línea donde la gente instala aplicaciones de terceros a cambio de honorarios de promoción de los desarrolladores de aplicaciones.

¿Cómo quitar YiSpecter de tu dispositivos iOS?

Los expertos de la red PaloAlto proporcionan las siguientes instrucciones para quitar YiSpecter del dispositivo infectado:

En iOS, ve a Configuración -> General -> Perfiles y elimina todos los perfiles desconocidos o no confiables;

Si hay alguna aplicación instalada con nombre "情 涩 播放 器", "快 播 私密 版" o "快 播 0", eliminarlas;

Utilice cualquier herramienta de gestión de iOS de terceros (por ejemplo, iFunBox, ten en cuenta que iTunes de Apple no funciona en este paso) en Windows o Mac OS X, para conectar con el iPhone o el iPad;

En la herramienta de administración, comprueba todas las aplicaciones de iOS instaladas; si hay algunas aplicaciones que tengan nombre como Telefono, Reloj, Game Center, Notas, o Cydia, eliminalas. (Ten en cuenta que este paso no afectará a las aplicaciones del sistema original, pero sólo eliminara el malware falsificado.)

Los expertos en seguridad de redes PaloAlto han reportado el problema de seguridad relacionado con el malware YiSpecter a Apple, quien afirma que dicho fallo de seguridad fue solucionado con iOS 8.4 por lo que los usuarios estan a salvo siempre y cuando hayan actualizado su dispositivo.

Nace el primer ransomware de código abierto: Hidden Tear

redeszone.- El ransomware es el tipo de malware más peligroso de los últimos tiempos. Cuando este malware infecta un ordenador genera una clave única que envía a los servidores del pirata informático (alojados generalmente en la Deep Web) y comienza a cifrar los archivos del usuario. Cuando finaliza muestra un mensaje que indica que los archivos se han cifrado y que se debe pagar un rescate para recuperarlos o, de lo contrario, se perderán para siempre.

El ransomware puede llegar a infectar los ordenadores de los usuarios igual que cualquier otro tipo de software malicioso. Por lo general estas piezas de software son privativas y de código cerrado, estando sólo controladas por los los piratas informáticos. Utku Sen, un experto en seguridad turco, ha desarrollado un nuevo ransomware llamado “Hidden Tear” que, a diferencia de los demás, se distribuye como código abierto y sólo para fines educativos.

Las principales características de Hidden Tear son:

• Utiliza un cifrado AES para secuestrar los archivos del usuario.
• Muestra un mensaje similar al que muestran las piezas de malware más peligrosas cuando la infección y el cifrado se completan.
• Envía la clave de cifrado a un servidor remoto.
• Genera un archivo de texto en el escritorio con el correspondiente mensaje.
• Ocupa tan sólo 12KB.
• Es totalmente indetectable por los antivirus actuales (Aunque ESET y GDATA ya sospechan de él).

Para el programados, los “fines educativos” se refieren a que Hidden Tears puede utilizarse, por ejemplo, para probar la seguridad de nuestro sistema frente a este tipo de amenazas o poder configurar las copias de seguridad lo mejor posible para estar siempre protegidos contra los ransomware peligrosos.

A continuación podemos ver un vídeo con su funcionamiento.

Este ransomware es básico y muy sencillo. Carece, por ejemplo, de ciertas funciones adicionales como la conexión a la red Tor y de la posibilidad de realizar un pago en Bitcoin como ofrecen algunos de los ransomware más peligrosos: Cryptowall o Cryptolocker.

Hidden Tears se encuentra disponible para todos los usuarios desde GitHub. Los moderadores de este portal han dudado sobre la legalidad y la moralidad de este tipo de software, sin embargo no van a poder hacer nada con el repositorio ya que los términos del portal así lo indican.

Un concepto interesante y no visto hasta ahora, sin embargo debemos hacer uso de él con precaución. Debemos tener en cuenta que cifra nuestros archivos de verdad y que de haber un problema con el proceso podemos perderlos para siempre. Si queremos realizar pruebas con este malware podemos hacerlo de forma segura en una máquina virtual aislada o en un equipo de pruebas, nunca en un ordenador de producción.

¿Qué opinas de Hidden Tears? ¿Este ransomware opensource supone un método didáctico o un peligro latente?

Hackeo a hoteles Trump pone en riesgo a tarjetas de crédito

Los ‘hackers’ colocaron un software especial en los sistemas de pago de la cadena hotelera; la empresa no está completamente segura de que hayan logrado sacar los datos del sistema.

cnn.- Los hackers posiblemente robaron datos de tarjetas de crédito de varias ubicaciones de los hoteles de Trump, incluyendo el Trump International Hotel and Tower en la ciudad de Nueva York.

Los hackers introdujeron a escondidas un virus en los hoteles de Trump por todo Estados Unidos y Canadá, con el que podrían robar datos de las tarjetas de crédito de los clientes durante un año completo.

El Trump Hotel Collection reconoció recientemente la infección de las computadoras en su sitio web.

Al parecer, los hackers lograron esconderse dentro de las computadoras de la compañía durante mucho tiempo. La cadena hotelera advirtió que cualquier persona que visitó un hotel Trump entre el 19 de mayo del 2014 y el 2 de junio del 2015 "puede haber sido afectado".

La lista de los hoteles incluye dos ubicaciones en Nueva York y una en cada una de las siguientes ciudades: Chicago, Honolulu, Las Vegas, Toronto y Miami.

Según los hoteles Trump, los hackers colocaron un software especial en los sistemas de pago de la cadena hotelera. Ese malware tuvo acceso a información de pago sensible, como números de tarjetas de crédito, fechas de vencimiento y códigos de seguridad en la parte posterior de las tarjetas.

Tal parece que, a medida que los clientes o empleados del hotel escribían a máquina la información de pago, el software malicioso al fondo se apoderaba silenciosamente de ella. Pero la empresa no está completamente segura de que los hackers hayan logrado sacar los datos del sistema de computación.

"Una investigación forense independiente no ha determinado de manera concluyente que la información de tarjetas de pago de cualquier cliente en particular haya sido tomada", declaró la compañía.

La cadena de hoteles le está ofreciendo a los clientes afectados un año gratis de protección contra el fraude de identidad. Además, las tarjetas de crédito siempre tienen protección contra el fraude. Por lo tanto, a lo sumo, este hackeo representará un inconveniente para cualquiera de las víctimas.

Los hoteles Trump son tan solo la última adición a una lista, cada vez más larga, de compañías que han sido hackeadas. En los últimos dos años, los hackers lograron robar los datos de pago de Albertson's, CVS Photo, Home Depot, Michaels, Neiman Marcus, PF Chang's, Staples, SuperValu y Target.

"Las redes de datos están continuamente bajo ataque", dijo Kevin Watson, director ejecutivo de la empresa de seguridad de datos Netsurion. "En el caso de Trump Hotels, mientras más grande es el nombre en la puerta, más grande es el objetivo".

GreenDispenser, último Malware de ATM descubierto

La última amenaza descubierta por los expertos en seguridad en Proofpoint es "GreenDispenser", un malware que presenta muchas similitudes con el malware Tyupkin.

El uso de códigos maliciosos para hackear ATM es aún más común en el ecosistema criminal, en el pasado expertos en seguridad han descubierto varias familias de malware que han sido diseñadas con esta intención.

Malware para ATM como Tyupkin, Ploutus, PadPin y SUCEFUL son algunas muestras de este tipo de amenaza que permitía a los hackers robar dinero en efectivo directamente de los cajeros automáticos.

La última amenaza descubierta por los expertos en seguridad en Proofpoint es "GreenDispenser", un malware que presenta muchas similitudes con el malware Tyupkin.

La instalación de GreenDispenser requiere acceso físico a la ATM objetivo, entonces el atacante puede instruir a la máquina directamente desde el teclado de PIN y ordenarle a la máquina entregar efectivo.
"GreenDispenser ofrece al atacante la capacidad de caminar hasta un cajero automático infectado y vaciar su bóveda de efectivo. Una vez instalado, GreenDispenser puede mostrar un mensaje de 'fuera de servicio' en el cajero automático - pero los atacantes que ingresan los códigos PIN correctos entonces puede drenar la bóveda de dinero en efectivo de los cajeros automáticos y borrar GreenDispenser utilizando un proceso de eliminación profundo, dejando poco o ningún rastro de cómo el cajero automático fue robado." afirman los expertos de Proofpoint.

Al igual que en otros tipos de malware de ATM, GreenDispenser implementa las XFS, la extensión de la biblioteca Servicios Financieros DLL (MSXFS.dll) que se utiliza específicamente por cajeros automáticos. La biblioteca proporciona una API especial para la comunicación con teclado de PIN del cajero automático y el dispensador de efectivo.

Librería utilizada específicamente en ATMs

Los expertos destacaron que GreenDispenser representa una evolución del malware Tyupkin, el menú que se utiliza para controlar el cajero automático está protegido por un mecanismo de autenticación de dos factores (2FA) y el malware está diseñado para funcionar únicamente durante un periodo limitado de tiempo.

De acuerdo con Proofpoint, el primer PIN esta hardcoded (es decir, se encuentra establecido dentro del código) mientras que, el segundo código se obtiene mediante la decodificación de un código QR que aparece en la pantalla. Los investigadores creen que los delincuentes cibernéticos probablemente utilizan una aplicación móvil para decodificar el código QR y obtener el código de autenticación dinámico.

Código QR utilizado como doble factor de autenticación

El malware GreenDispenser ATM intenta obtener los nombres del PIN pad y el dispensador de efectivo mediante la consulta de ubicación específica del registro, si este método no funciona, este intenta los nombres por defecto "Pinpad1" y "CurrencyDispenser1."

Una vez que el estafador se autentica al cajero automático, la máquina muestra un menú que se utiliza para distribuir el dinero así como desinstalar el malware.

El malware GreenDispenser ATM comprueba la fecha actual antes de ejecutar, que está diseñado para funcionar en el año 2015 y el mes debe ser ot antes de septiembre. La característica ha sido implementada para desactivar el malware y evitar la detección.

Malware comprueba la fecha

Los expertos no tienen duda, el cajero automático continuará siendo un instrumento privilegiado para los delincuentes que mejoran su código malicioso para evitar la detección.

"El malware ATM sigue evolucionando, con la adición de características sigilosas y la posibilidad de abarcar hardware de ATM de múltiples proveedores", afirma Proofpoint.

XcodeGhost Malware trae aun más problemas

A medida que más ojos se asoman a XcodeGhost, el malware que logró colarse en App Store de Apple, más problemas salen a la superficie.

Los investigadores de Palo Alto Networks, dijeron en un informe actualizado que el malware contiene una vulnerabilidad que permite a un atacante ponerse como man-in-the-middle para controlar las aplicaciones de iOS infectadas por XcodeGhost.

"XcodeGhost utiliza HTTP para cargar la información y recibir comandos [comando y control] . El contenido de estas peticiones y respuestas HTTP se cifra mediante el algoritmo DES en modo ECB. Tampoco es difícil encontrar la clave de cifrado en su código mediante ingeniería inversa ", escribió el investigador Claud Xiao. "Considera que el tráfico HTTP puede ser secuestrado o falsificado en muchos sentidos. ... Al explotar esta vulnerabilidad, un atacante puede construir cualquier URL en cualquier esquema y controlar aplicaciones infectadas para abrir, o pedir un diálogo de alerta para nuevos ataques ".

El fin de semana, Palo Alto informó que 39 aplicaciones iOS infectadas con XcodeGhost se habían retirado de la App Store y que Amazon había cerrado tres servidores de comando y control del software malicioso alojado en instancias de Amazon EC2. La vulnerabilidad man-in-the-middle, sin embargo, todavía pone los dispositivos que ejecutan las aplicaciones infectadas en riesgo de explotar.

Dado que los informes iniciales, posiblemente miles de aplicaciones de iOS han sido identificadas como infectados; el equipo de hackers de iOS Pangu dijo que encontró más de 3.400, mientras que Appthority encontró 476 aplicaciones y Qihoo 360 encontro otras 350. Esto confirma los temores iniciales de Palo Alto que ya que el malware habia sido usado para compilar desde las fechas a partir de marzo, que es el mismo marco de tiempo en torno al tiempo en que aparecieron los servidores de comando y control, muchas más aplicaciones estaban en la mira de XcodeGhost.

Palo Alto, por su parte, dijo en su informe preliminar que algunas de las aplicaciones infectadas hacian phishing a los usuarios por sus credenciales de iCloud pero de forma incorrecta, pero esa funcionalidad podría añadirse con una ligera modificación.
"En iOS, si una aplicación solicita un diálogo por la clase UIAlertView, hay una alertViewStyle propiedad para especificar qué tipo de diálogo quiere mostrar. Por ejemplo, si se necesita un diálogo de introducción de contraseña, la propiedad debe ser asignada a UIAlertViewStyleLoginAndPasswordInput. Si el desarrollador de iOS no especificó ningún valor, por defecto el diálogo no tendrá forma de la entrada, pero es sólo una alerta con el mensaje y los botones ", dijo Xiao. "Verificamos todas las versiones de archivos maliciosos en XcodeGhost que tenemos disponible, y no encontramos en ninguna de ellas esta propiedad en especifico cuando se pida el cuadro de diálogo de alerta."

Atacar a la App Store es una tarea difícil dadas las estrictas condiciones para los desarrolladores de Apple y análisis de seguridad de las aplicaciones antes de que sean aceptados en la App Store. Usando el compilador Xcode como medio de colar aplicaciones infectadas en el mercado de Apple es una idea que ha sido explorada antes. Los documentos divulgados por Edward Snowden muestran que los investigadores de Sandia National Labs hicieron una presentación en una conferencia técnica hace tres años explicando cómo atacar OS X y el software iOS a través de kits de desarrollo de software.

La presentación recomienda explícitamente el uso de versiones modificadas de Xcode para abrir una puerta trasera en aplicaciones de OS X, exportar la clave privada de un desarrollador sin levantar una alerta y desactivar ASLR entre otras funcionalidades.

Las versiones modificadas de Xcode salieron en marzo, poco después del informe de Snowden, dijo Xiao. Los resultados en el motor de búsqueda más popular de China Baidu fueron envenenados y el Xcode modificado que contiene XcodeGhost fue posicionado en los primeros resultados. Los desarrolladores en China, debido a las restricciones de Internet en el país, son mucho más propensos a descargar rápidamente Xcode de un tercero que directamente de Apple.

Apple ha comunicado a sus desarrolladores que deben volver a compilar sus aplicaciones con una versión legítima de Xcode, y volver a enviar las aplicaciones afectadas.

Una nueva pieza de adware abre la puerta a troyanos en OS X

Investigadores de seguridad han descubierto adware que afecta OS X y podría ser utilizado como una puerta de entrada para troyanos.

Investigadores de Dr Web, una compañía anti-malware de Rusia, encontraron un tipo de adware, titulado Adware.Mac.WeDownload.1, con una versión modificada de Adobe Flash Player. El adware fue descubierto en el dominio wedownload.com

Cuando se ejecuta el programa, Adware.Mac.WeDownload.1 pide al usuario privilegios de administrador para instalar Flash Player, lo que le permite una gran cantidad de control sobre el sistema del usuario.

A continuación, envía peticiones a tres servidores de comando y control para obtener datos para la ventana de la aplicación. Si el adware obtiene una respuesta, envía los servidores de una petición POST con los datos descargadores.
Cuando se hace esto Adware.Mac.WeDownload.1 recibirá programas que pueden incluir malware. Dr Web menciono estos como Program.Unwanted.MacKeeper, Mac.Trojan.Crossrider, Mac.Trojan.Genieo, Mac.BackDoor.OpinionSpy, varios troyanos que pertenecen a la familia Trojan.Conduit y otros.

Según Softpedia, un portal de noticias de tecnología, "el tipo de aplicaciones que recibe la víctima para instalar depende de sus coordenadas geográficas, lo cual es un giro en la estrategia regular de adware, que por lo general trata de alcanzar una cuota de instalaciones antes de pasar a la aplicación maliciosa próximo en su lista"

Lista de aplicaciones infectadas en App Store

Hace unos minutos reportamos que la tienda oficial de Apple estaba sirviendo aplicaciones infectadas.

Esta es la lista de aplicaciones identificadas con malware hasta el momento:

• Angry Birds 2 (Rovio aclaró que solo la versión china esta infectada)
• CamCard
• CamScanner
• Card Safe
• China Unicom Mobile Office
• CITIC Bank move card space
• Didi Chuxing developed by Uber’s biggest rival in China Didi Kuaidi
• Eyes Wide
• Flush
• Freedom Battle
• High German map
• Himalayan
• Hot stock market
• I called MT
• I called MT 2
• IFlyTek input

• Jane book
• Lazy weekend
• Lifesmart
• Mara Mara
• Marital bed
• Medicine to force
• Micro Channel
• Microblogging camera
• NetEase
• OPlayer
• Pocket billing
• Poor tour
• Quick asked the doctor
• Railway 12306 the only official app used for buying train tickets in China
• SegmentFault
• Stocks open class
• Telephone attribution assistant
• The driver drops
• The Kitchen
• Three new board
• Watercress reading
• WeChat

Cualquier aplicación de las de la lista que este instalada en tu dispositivo es mejor eliminarla y descargarla nuevamente cuando este disponible en la App Store, seguiremos actualizando la lista.

App Store de Apple sufre su primer ataque a gran escala

Investigadores han descubierto el primer ataque a gran escala en el Apple Store, los atacantes utilizaron XcodeGhost diseñado para inyectar código malicioso en aplicaciones de iOS y OS X.

Apple anunció ayer que está limpiando su tienda oficial iOS App Store para eliminar aplicaciones maliciosas de iPhone y iPad, la compañía confirmó que este es el primer ataque a gran escala en la tienda oficial de que evadió el estricto proceso de revisión de aplicación de la empresa.

"Hemos eliminado las aplicaciones de la App Store que sabemos se han creado con este software falsificado", dijo la portavoz de Apple Christine Monaghan en un correo electrónico. "Estamos trabajando con los desarrolladores para asegurarnos de que está utilizando la versión correcta de Xcode para reconstruir sus aplicaciones."

El ataque cibernético fue reportado por varias firmas de seguridad cibernética que detectaron un programa malicioso llamado XcodeGhost que se utilizó para "troyanizar" cientos de aplicaciones legítimas. Los investigadores confirmaron que los atacantes han infectado a varias aplicaciones, incluyendo la popular aplicacion de chat móvil WeChat y de la aplicación de música del portal de Internet NetEase.

Los atacantes embebieron el código malicioso en estas aplicaciones engañando a los desarrolladores a utilizar una versión falsa del Apple Xcode.

"Los hackers embebieron el código malicioso en estas aplicaciones al convencer a los desarrolladores de software legítimo a utilizar una versión corrompida, una version falsificada del programa de Apple para la creación de aplicaciones de iOS y Mac, que se conoce como Xcode, dijo Apple.", Informó la agencia Reuters.
Palo Alto Networks es una de las empresa que detecto tempranamente la infección a gran escala, su Director de Threat Intelligence Ryan Olson explicó que el código malicioso utilizado por atacantes tiene una funcionalidad limitada y que su empresa no ha observado un impacto significativo en el ataque.

De todos modos, lo que está pasando es muy grave, el evento también demuestra que la App Store podría ser utilizado para servir de malware a gran escala y existe el riesgo concreto de emulación por otros atacantes.

"Los desarrolladores ahora son un blanco enorme", agregó Olson.

Los investigadores explicaron que la versión corrompida de Xcode ha sido descargado de un servidor en China, según Olson, es probable que los desarrolladores utilizaran este servidor específico porque permitió descargas más rápidas que el uso de los servidores de Estados Unidos de Apple.

Mientras que Apple se encuentra limpiando la App Store, otras empresas de seguridad están trabajando para identificar otras aplicaciones falsas, la empresa de seguridad china Qihoo360 Tecnology Co confirmó que había descubierto 344 aplicaciones contaminadas con XcodeGhost.

Los Juegos de Troya: El malware Odlanor hace trampa en poker

Investigadores de ESET han descubierto un malware idenficado como Win32/Spy.Odlanor, que se utiliza por su creador para hacer trampa en el póker en línea viendo a escondidas las cartas de los opositores infectados. Esta diseñado específicamente para funcionar en dos de los mayores sitios de poker en linea: PokerStars y Full Tilt Poker.

Modus operandi: El malware toma capturas de pantalla del oponente infectado

El ataque parece funcionar de una manera sencilla: Después de que la víctima ha sido infectada con éxito con el troyano, el autor intentará unirse a la mesa en la que la víctima está jugando, teniendo así una ventaja injusta al ser capaz de ver las cartas en la mano.

Explicando cada uno de estos pasos a detalle poco más, que fue descubierto a través del análisis.

Al igual que un troyano informático típico, los usuarios generalmente se infectan con Win32/Spy.Odlanor sin saberlo, al descargar alguna otra aplicación, útil a partir de fuentes distintas de los sitios web oficiales de los autores de software. Este malware se disfraza como instalador benigno para diversos programas de propósito general, como Daemon Tools o MTorrent. En otros casos, se carga en el sistema de la víctima a través de diversos programas relacionados con el poker - bases de datos de jugador de poker, calculadoras de poker, y así sucesivamente - como Tournament Shark, Poker Calculator Pro, Smart Buddy, Poker Office y otros.
Una vez ejecutado, el malware Odlanor se utilizará para crear capturas de pantalla de la ventana de los dos clientes de poker especificos - PokerStars o Full Tilt Poker, si la víctima está ejecutando cualquiera de ellos. Las imágenes se envían al equipo remoto del atacante.

Posteriormente, las imágenes se pueden recuperar por el atacante. Revelan no sólo las manos del oponente infectado, sino también la identificación del jugador. Ambos sitios de poker a los que se dirige el ataque permiten la búsqueda de jugadores por su ID, por lo tanto, el atacante puede conectarse fácilmente a las mesas de los que están jugando.

No esta claro si el autor juega de forma manual o de alguna manera automatizada.

En las nuevas versiones del malware, se añadió la funcionalidad de robo de datos de uso general  ejecutando una versión de NirSoft WebBrowserPassView, incrustada en el troyano Oldanor. Esta herramienta, detectada por ESET como Win32/PSWTool.WebBrowserPassView.B, es legítima, aunque potencialmente peligrosa, capaz de extraer las contraseñas de varios navegadores web.

Comunicación con el servidor C&C (Comando y control) a través de HTTP

El troyano se comunica con su C&C, cuya dirección está codificada en el binario, a través de HTTP. Parte de la información extraida, como la versión de malware e información de identificación del equipo, son enviados en los parámetros de URL. El resto de la información recogida, incluyendo un archivo con las imágenes o contraseñas robadas, se envía en los datos de la solicitud POST.

La captura de pantalla a continuación muestra partes del código malware que busca ventanas de  PokerStars y Full Tilt Poker:

El mayor número de detecciones proviene de países de Europa del Este

Se han observado varias versiones del malware en internet, los primeros alrededor de marzo de 2015. De acuerdo con ESET, el mayor número de detecciones proviene de países de Europa del Este. Sin embargo, el troyano plantea una amenaza potencial para cualquier jugador de poker en linea. Varias de las víctimas se encontraban en la República Checa, Polonia y Hungría. A partir del 16 de septiembre, se han producido varios cientos de usuarios infectados con Win32/Spy.Odlanor:

Es el único que ha sido identificado, sin embargo, existen muchas posibilidades de que esta misma técnica este siendo utilizada para diferentes tipos de apuestas en linea donde lo que tu ves en pantalla es supuestamente confidencial.

Windows es responsable del 80% de las infecciones de Malware

Muchos equipos basados en Windows utilizan redes móviles para conectarse a Internet, que es, según Alcatel-Lucent, el principal foco de infección de malware. La mayoría de infecciones detectadas son adware adherido a juegos o software libre.

computerworld.- La cuota de Microsoft en el mercado de dispositivos móviles no es elevada, pero sí lo es en la cantidad de infecciones que se producen a través de redes móviles. Según el estudio de Alcatel-Lucent, en junio los dispositivos Windows fueron el origen del 80 por ciento de las infecciones de malware localizado en hardware que dependía de redes móviles para conectarse a Internet. La cuota de Android sobre el total de infecciones ha disminuido hasta aproximadamente el 20 por ciento, mientras que los porcentajes en iOS y otros sistemas operativos fueron prácticamente insignificantes.

Estos son los datos que ha generado con los escaneos realizados con su tecnología Motive Security Guardian, que está desplegada a nivel mundial y que monitoriza el tráfico de más de 100 millones de dispositivos.

Como explica PCWorld.com, el dato puede sorprender si tenemos en cuenta que la penetración de Windows en dispositivos móviles es todavía baja (no llega a los dos dígitos). Por ejemplo, los smartphones con sistema Windows supusieron el 2,6 por ciento de los vendidos en 2015, según los últimos datos de IDC al respecto.

La explicación es sencilla. La gran mayoría son PCs tradicionales, principalmente ordenadores portátiles, utilizan una red móvil para conectarse, en lugar de una red fija de cobre o fibra óptica. Este es el principal foco de infección, según el análisis de Alcatel-Lucent,  que señala que a medida que las redes móviles se convierten en redes de acceso para muchos PC Windows, el malware se mueve con ellos.

En cambio, Android, otro foco de infección habitual, ha reducido sus porcentajes, en gran medida por los esfuerzos de Google de eliminar aplicaciones inoculadas con malware. La disminución de las tasas de infección detectadas en equipos Android confirma que esta estrategia ha funcionado.

Por último, la mayoría de las infecciones detectadas por Alcatel-Lucent en dispositivos Windows son adware adherido a juegos o software libre.

Los criminales cibernéticos están haciendo 'crowdsourcing' de ransomware

Crowdsourcing ha convertido en una forma popular para recaudar dinero e incluso resolver misterios. Pero ahora una nuevo demográfia se está aprovechando de la táctica: los cibercriminales.

En los últimos meses, un cierto grupo de hackers ha regalado un poderoso ransomware, totalmente gratis, con la esperanza de que otros lo exploten a lo largo y ancho. Ransomware es un software que, una vez cargado en la computadora de un objetivo, encripta todos sus archivos hasta que la víctima paga una cuota. Por lo general, esa tasa sería ir directamente a quien infecto el equipo, pero con este enfoque crowdsourced, el dinero se reparte entre el diseñador del malware y sus socios de distribución recién encontrados.

La difusión de ransomware se ha convertido en un gran problema recientemente, con empresas privadas, particulares e incluso departamentos de policía siendo blanco, y un informe publicado esta semana vio un enorme incremento en el uso de la táctica criminal cibernética.

El auge de ransomware crowdsourced comenzó en mayo, cuando el sitio Tox llego a la Dark Web. Este sitio era increíblemente fácil de usar: Iniciar sesión, elegir cuánto quiere que su futura víctima pague (por lo general en Bitcoin), descargar la pieza de ransomware, y luego propagarla como mejor le parezca, quizás a través de correos electrónicos de phishing. Si el objetivo recibe la infección y paga el rescate, a continuación, los bitcoins son transferidos a su cuenta, donde el desarrollador de Tox toma una tajada de 30 por ciento. Cuando se puso en marcha, el creador de Tox dijo que cientos de equipos habían sido infectados.
Sin embargo, poco después de su lanzamiento, el desarrollador de Tox se retiró, alegando que no podía manejar la presión de crear el primer ransomware crowdsourced del mundo. "Si tengo algunos hackers al azar en detras de mí no está mal, no hay pánico. Pero si el FBI o agencias que gran comienzo me persiguen, ¿quién soy yo para defenderme? ", Dijo.

Pero el genio ya había sido liberado de la botella, y otros sitios llegaron. A finales de julio, otro sitio fue lanzado, esta vez llamado "Encryptor RaaS" -. "RAAS", que significa 'ransomware-as-a-service. "Los investigadores comprobaron que, aunque un poco crudo, el ransomware funcionó según lo previsto, y señaló que la" accesibilidad de las herramientas-maliciosas-como-servicio continuan para permitir que casi cualquier persona lleve a cabo delitos cibernéticos. "

Hasta el momento de este articulo, el sitio Encryptor RaaS sigue en línea y se anuncia al menos en un foro de hacking de la Dark Web. El propietario afirma que más de 60 infecciones se han producido con el software, a partir de mediados de agosto, de acuerdo con un post en el mismo foro.

Apenas la semana pasada, la última pagina de ransomware crowdsourced entró en escena. Apodada "ORX-Locker", que los investigadores confirmaron es legítima, esta iteración se ve como el esquema más profesional hasta el momento. Los desarrolladores tienen una ganancia del 25 por ciento de los beneficios, ofrecen un panel de control de aspecto limpio que simplifica la descarga y la comprobación de un objetivo infectado, y los creadores afirman que pronto llegará una función que permite a los atacantes aumentar la demanda de rescate, si su víctimas no pagan rápidamente. Incluso hay un 'programa de referencia "que ofrece a los usuarios un 3 por ciento adicional de las ganancias si inscriben a un amigo.

Es difícil saber cuántos dispositivos se han infectado por cualquiera de las herramientas ransomware crowdsourced, y sólo un puñado de informes han surgido de los foros de hacking. De hecho, parece que algunos usuarios del foro se muestran escépticos acerca de la empresa, con algunos diciendo que valdría más la pena pagar el costo inicial de una pieza de ransomware ya de buena reputación.

En cualquier caso, está claro que hay interés en la genial idea de ransomware-as-a-service : Esencialmente por la externalización de la fase de distribución de las infecciones de malware, un desarrollador de ransomware - y todos los que quieran entrarle - podría tener la oportunidad de hacer algo de dinero ilegal.

El troyano MWZLesson POS toma prestado código de otro malware

Los expertos en seguridad de Doctor Web han descubierto un nuevo troyano de punto de venta llamado MWZLesson que toma prestado el código de otro popular programa malicioso.

Los expertos en seguridad de Dr. Web han descubierto un nuevo troyano de punto de venta, que fue diseñado por la mezcla de código de otro malware.

El nuevo troyano, apodado Trojan.MWZLesson, fue diseñado reutilizando código de otro malware popular, incluido el de Dexter PoS y la puerta trasera Neutrino.


"Este código fue tomado de otro troyano diseñado para terminales de punto de venta y nombrado Trojan.PWS.Dexter. El malware envía todos los datos de la tarjeta de banco adquiridos y otra información interceptada al servidor de comando y control. "Afirma el blog publicado por el Dr. Web.

Al igual que sus predecesores, MWZLesson compromete los terminales de punto de venta, examinando la memoria RAM en busca de datos de tarjeta de crédito. Una vez infectado el sistema de punto de venta, el malware se comunica con el servidor a través del protocolo HTTP, roba datos de tarjeta y los envía al servidor de comando y control a través de peticiones GET y POST.
"Trojan.MWZLesson puede interceptar peticiones GET y POST enviadas desde los navegadores de la máquina infectada (Firefox, Chrome o Internet Explorer). Dichas solicitudes se envían al servidor de comando y control a cargo de los cibercriminales. ", Continúa el mensaje.
Trojan.MWZLesson puede actualizarse, descargar y ejecutar archivos adicionales, encontrar documentos específicos, e incluso montar un ataque de inundación HTTP.

Los expertos de Dr.Web descubrieron que el Trojan.MWZLesson también implementa características para evitar la detección y eliminar otro malware que infectó el punto de venta.

"Trojan.MWZLesson revisa entornos virtuales y depuradores y reune información sobre la máquina infectada. El malware de punto de venta recién descubierto es capaz de eliminar otros malware presentes en la máquina y es capaz de extraer diferentes tipos de datos ".

El descubrimiento del Trojan.MWZLesson confirma el gran interés de las bandas de ciber-criminales en infectar los terminales de punto de venta y sus habilidades en reciclaje de código de malware más viejo y eficiente.

Un peligroso y silencioso ataque en AirDrop amenaza usuarios de Apple

Una nueva vulnerabilidad mal que afecta el servicio de AirDrop podría ser explotada por atacantes para infectar silenciosamente iPhones y Apple Macs.

Las versiones anteriores a la más reciente del sistema operativo de Apple, el nuevo iOS 9, se ven afectadas por una grave falla en AirDrop. Dicha vulnerabilidad podría ser explotada por hackers para tomar el control total de los dispositivos de Apple iPhone o Mac.


El fallo de seguridad ha sido revelada por el investigador de seguridad australiano Mark Dowd, AirDrop es un servicio exclusivo que permite la transferencia de documentos entre los equipos compatibles de Macintosh y dispositivos iOS.

El error de AirDrop permite que cualquier persona dentro del rango de un usuario instalar silenciosamente un malware en el dispositivo de Apple enviandole un archivo que provoca el reinicio del mismo. La vulnerabilidad afecta a las versiones de iOS que soportan Airdrop de iOS 7 en adelante, así como las versiones de Mac OS X de Yosemite en adelante.
El problema principal para los usuarios de Apple es que un atacante puede explotar el bug de Airdrop, incluso si la víctima rechaza el archivo enviado.

Después de reiniciar el dispositivo, el malware obtiene acceso al Springboard, el software de Apple para gestionar la pantalla de inicio de iOS, lo que permite a la aplicación maliciosa para hacerse pasar con los derechos concedidos a la aplicación falsa.

Estos derechos incluyen el acceso a:

Contactos
Cámara fotográfica
Localización
Mensajes
y muchos más…

Es evidente que al tener acceso a las características anteriores del teléfono, el atacante puede comprometer totalmente dispositivo de la víctima.

Te dejamos un video del error en AirDrop publicado por Dowd, el video muestra un ataque a un iPhone con iOS 8.4.1.



El error en AirDrop ha sido corregido en la última version, iOS 9 que viene con un mecanismo de sandbox implementado por Apple que bloquea a los atacantes la escritura de archivos en ubicaciones arbitrarias en el dispositivo a través del servicio AirDrop.

A la espera de un parche completo que solucione el problema, los usuarios de Apple instan a actualizar a iOS 9 y Mac OS X EI Capitán, que están en salida inminente.