Tarjetas postales electrónicas en Messenger – Troyano

Chateando con una amiga en el Live Messenger durante la conversación parecío que me escribió

Mira la tarjeta que te hice http://bubbatarjetas.xxxxxxxxxx.xxxxxxxxxx

Como el link es genérico (sin parámetros o variables que indicaran que la supuesta tarjeta fue personalizada) me hizo pensarlo dos veces. Al hacer clic sobre la liga me apareció el ya conocido diálogo que no es de Adobe Flash donde tengo que actualizar la versión.

090705FlashTrojan

Obviamente te pide descargar un archivo sin firma digital y de nombre “Flash-Installer-Windows.exe”

El antivirus ni se inmutó, así que debe ser una variante que posteriormente aparecerá en las actualizaciones.

Mucho cuidado con lo que reciben aunque sea de parte de personas conocidas.

Abur

Actualización 7 de Julio 09

Prové en una PC Virtual a ver qué sucedía si ejecutaba el susodicho instalador. Las dos pruebas fueron así:

Primera prueba -> Sin Antivirus

– Prácticamente todos los ejecutables en la PCV fueron inoculados con el virus (Virus.Win32.Virut.ce) un verdadero dolor de cabeza.
– Los archivos que se salvaron fueron aquellos en uso: explorer.exe, msnmsgr.exe, pero al momento de reiniciar fueron infectados de inmediato.
– El Live Messenger tronó por todos lados, extraño porque por ahí es por donde llega. Tal vez la instalación del Messenger Plus! logró que no se iniciara.

Al ejecutar NOD32 Business Edition, éste detectó los archivos infectados, pero al ser tantos, simplemente se atoró el equipo y dejó de funcionar. Hubo que presionar el botón de encendido por unos segundos para apagarlo.

Segunda prueba -> Antivirus NOD32 Business Edition 2009 ACTIVADO

– Al momento de ejecutarse el instalador, NOD32 detectó 3 archivos de inmediato pero entró en un ciclo que provocó que el equipo colapsara. Cada archivo infectado era detectado, pero fueron tantos al mismo tiempo que no hubo oportunidad para salvar el equipo 😦

– Al reiniciar el equipo trataba de enviar el diálogo de NOD32 de infección de archivos, pero después de 30 minutos en el mismo estado, hubo que apagarlo.

–  Mismo efecto al reiniciar en “Modo Seguro”

Cómo deshacerse de él? Este caso puede ser único ya que no infectó completamente el equipo, detallaré las condiciones usando Kaspersky Internet Security 2009 ACTIVADO

– Arrancó el instalador y KIS detectó los mismos 3 archivos que NOD32 (el maldito log tronó y no supe cuáles fueron)

– El equipo empezó a colapsar por lo que use el Administrador de tareas para tirar el proceso Flash-Installer-Windows.exe ycon el KIS bloqueé eltráfico de red ya que empezó a descargar Trojan.Downloader.

– Cerré el equipo y arranqué en “Modo Seguro” ejecutando KIS y un análisis completo del equipo. En menos de 10 segundos que duró el incidente, había más de 300 archivos incluyendo varios de sistema infectados con el virus (Virus.Win32.Virut.ce)

–  Después de unas 4 reiniciadas y 4 re escaneos, el equipo parece recuperado. Otra cosa que se puede hacer es el sacar el disco duro y conectarlo por USB a otro equipo y pasarle un scan completo. El adaptador se puede obtener comprando un disco externo 5.25″ y desarmándolo. No tiene gran ciencia ya que el conector de datos y el de energía son idénticos al de una PC. Aplica lo mismo para notebook.

– Cabe mencionar que Live Messenger no quedó del todo bien ya que produce errores o se cierra cada cierto tiempo. KIS sigue de repente encontrando rastros del virus en ejecutables incluso dentro  de archivos comprimidos (ZIP y RAR)

Saludos

Actualización de Outlook – Correo falso

Ha estado llegando un correo que supuestamente es enviado por Microsoft solicitando se instale una actualización crítica de Outlook. Puede hacernos pensar que es genuino pero aquí vienen los detalles que si nos detenemos un momento y lo pensamos otra vez, nos ayudará a identificar su origen y verdadero objetivo: infectar nuestro equipo.

090624OutlookFraud

1. ¿Para qué enviaría Microsoft un correo si Windows XP y Vista en todas sus versiones cuentan con las actualizaciones automáticas? Y si piensas que tú no necesitas usarl Windows Update, hay algunas, como el Microsoft Windows Genuine Advantage, que te aparecen quieras o no.

Este mensaje de supuesta alerta está de más.

2.Hay scripts y APIs que permiten identificar el idioma en el que está instalado tu sistema operativo y algunas aplicaciones para que las páginas Web se despliguen en tu idioma. ¿Porqué a las personas de habla hispana, con direcciones de correo en dominios .mx – evidentemente mexicanos -, con IPs en México, les llega el correo en inglés? ¿Podría ser un error y mandaron un sólo correo en inglés a tooodo el mundo? Es poco probable.

3. El correo afirma que la actualización aplica para sistemas operativos desde Windows 98, pasando por Windows Server 2003, hasta Windows Vista. Windows Vista sustituye Outlook Express por Windows Mail. La plataforma Server es una plataforma distinta a las demás versiones de Windows, especialmente lo que se refiere a seguridad de Internet. No podría aplicar un sólo archivo de 81KB para todas las versions de Windows. En absoluto este correo es real.

4. Si colocas el puntero sobre la dirección, aparece el “tooltip” indicando la dirección real a la que te debería de mandar la liga. ¿Qué es eso de killlik.net? Nada que ver con Microsoft.

5. Como se ha visto de un tiempo para acá, contratan servicios desde Alemania para generar los códigos, aplicaciones y en este caso el correo y el sitio donde se hospeda la aplicación maliciosa. El remitente no es Microsoft Customer Support [no-reply@microsoft.com] sino bucketed6@seidel-training.de

Ayer todavía no era detectado o reportado a Microsoft o a los sitios de antivirus y navegación segura. El día de hoy Firefox ya te presenta una advertencia respecto al sitio al que vas a entrar para descargar la supuesta actualización de Outlook.

090624OutlookFraudFirefoxWarn

Hay que ser más suspicaces cada vez. Saludos

Actualización 26 Junio 2009

Como ya les bloquearon el dominio anterior me supongo que seguirá llegando el correo con distintas direcciones para descargar el archivo con un Troyano. Esta es la pantalla que aparece si uno hace click en la liga

090626OutlookFraudDn

Cuidado! A las 8:30AM del día de hoy, 4 antivirus aún no lo identifican como tal.

A las 9:00 AM kaspersky Labs lo identifica como Trojan-Dropper.Win32.Zbot.h

Saludos

Virus en correo falso de Madonna haciendo declaraciones acerca de mexicanos – Correo falso

Correo OrejaAprovechando la víspera de la llegada de Madonna a México y la curiosidad y el morbo de la gente, llegó ahora un correo supuestamente del programa de chismes y estupideces que no sé cómo en nuestros días todavía tiene audiencia de TV “la Oreja”

Tiene como título “Madonna dice que los mexicanos somos los más feos del mundo.!‏” Algo que no creo que Madonna siendo un ser pensante y ni teniendo mil arranques de ira o depresión, hubiera declarado en público, en entrevista y menos a un reportero mexicano.

El correo podría confundir a más de uno, sin embargo tiene los siguientes detalles:

– El remitente es “info@hi5.com“. Primeros indicios de que el correo es falso.

– Es patrocinado por “Box.net“??? que es un sitio dedicado a almacenar archivos de cualquier tipo… desde fotografías hasta virus como es el caso. Y ya quisiera “La Oreja” que fuera patrocinada por ellos.

– La leyenda de derechos de autor data del 2004 :O ¿¿¿Cuatro años antes??? ¿Descuido?

– Cualquiera de las ligas a la que hagas clic, te lleva, irremdiablemente, a descargar el archivo “noticias.exe” de 30KB. A las 8:30AM de 3 antivirus, ninguno lo identificó como amenaza. Sin embargo lo puse a prueba en una máquina virtual y casualmente el archivito tiene comportamiento de Troyano.

Hay que desconfiar de cualquier correo no solicitado y más si viene de la Oreja jaja cuando eres un ser pensante y prefieres usar el tiempo de tu vida en algo que aporte.

Si te pide descargar algo, que no sea con las extensiones .exe, .vbs, .cmd, .bat o .com en el caso de las PCs con cualquier versión de Windows – aunque Vista reacciona distinto – Los usuarios de Mac o Linux no tienen de qué preocuparse.

Saludos

Actualización: Confirmado por Kaspersky Labs. El programa es un Trojan.Win32.VB.hcs

Como eliminarlo:

1. Reinicia tu computadora y después de la pantalla negra del POST donde se presenta, ya sea, información del motherboard, del BIOS, Memoria, etc. presiona la tecla F8 para que aparezca el menú de inicio de Windows.

2. Del menú selecciona “Modo seguro” o “Modo a prueba de fallos” arrancará Windows con una resolución de pantalla grande (640 x 480) con los colores mínimos (16 colores) pero está bien.

3. Abrir un explorador de Windows y buscar los archivos “winrun.exe” y “winlogin.exe” Asegúrate de tener activado el mostrar archivos ocultos y de sistema operativo. (Menú Herramientas -> Opciones -> Ver -> “Mostrar todos los archivos y carpetas ocultos” y Desactivar “Ocultar archivos protegidos del sistema operativo”

4. Bórralos

5. Inicio -> Ejecutar y en el campo de  “Abrir” poner “regedit.exe” sin las comillas.

6. Buscar la clave HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS NT\Current Version\Windows y del lado derecho dentro de “load” borrar el valor y dejarlo en blanco. Cerrar regedit

7. Localiza el archivo “hosts” C:\Windows\System32\drivers\etc ábrelo con un “Bloc de notas”, borra todo su contenido y guárdalo.

8.  Reinicia.

Realiza un scan en línea para verificar la existencia de algún malware. Kaspersky scanner online

Saludos

Virus en Facebook

Mensaje de KIS2009 al abrir el sitio
Mensaje de KIS2009 al abrir el sitio

Ahora los correos y mensajería instantánea ya no están solos como los medios por excelencia para enviar malware en general. Ahora se suman también los foros de las redes sociales como Facebook, MySpace y otros de tercera como el Hi5.

En este post:

A) El caso típico a partir de mi experiencia personal

B) Cómo protegerse de este tipo de ataques.

A) El caso típico a partir de mi experiencia personal

Cómo te llega una de estas cosas? Detallaré mi caso:

1. Recibes un correo electrónico de Facebook en el cual te informan que uno de tus contactos te ha escrito un mensaje. Extrañamente el texto viene en inglés y resulta que tu amigo es hispano parlante. En fin, puede ser que el mensaje lo hubiera enviado a varios contactos y el inglés es el lenguaje internacionalmente aceptado para comunicarse por medios electrónicos.

2. Entras a tu cuenta en Facebook y te efectivamente hay un mensaje de esta persona en tu bandeja de entrada. Cabe mencionar que la persona que envía el correo puede ser: el clásico que agregaste después de jugar unas 10 partidas en Texas HoldEm Poker, o puede ser tu amigo de toda la vida o un familiar. No hay distinción.

3. El mensaje es uno enviado no sólo a ti si no a varias personas. En este caso el texto dice así:

Está mal escrito pero cuál “party” y porqué “sexy” Evidentemente está hecho para angloparlantes pero los malware no hacen distinción entre idiomas, edades, razas, etc. O sea que igual y también te afecta.

4. Al hacer clic en la liga del correo te lleva a un mensaje de otro usuario que seguramente es falso.

5. De ahí lleva a la supuesta liga donde está el video que pareciera ser YouTube bastante chafa y mediocremente hecho pero que podría en un momento confundir a cualquiera.

Falso YouTube
Falso YouTube

6. Después de unos segundo o haciendo clic en cualquiera de las ligas buscará descargar el archivo “Flash_update.exe” de 20KB el cual es un malware de tipo Gusano (Worm)

Este es el caso de Facebook, pero seguramente pueden hacer lo mismo en cualquier otra de las redes sociales.

B) Cómo protegerse de este tipo de ataques.

– Lo primero e imprescindible hoy en día es un buen antivirus. No recomiendo ninguno de los gratis o hacer combinaciones. Es decir, tener el AVG, el NOD32 y el Ad-aware ya que luego entre ellos se anulan. Además de que las actualizaciones de nuevas amenazas tardan hasta 4 veces más que los antivirus que se compran.

Mis recomendaciones en orden:
1. Kaspersky Internet Security 2009
2. ESET NOD32 Enterprise
3. Bit Defender

– No agregar “a diestra y siniestra” a personas que no conocemos en las redes sociales. Aunque hayamos chateado algunas veces con ellas y parezcan personas decentes. Algunas también realizan fraudes a través de estos medios. Aquí escribí al respecto.

– Detenerse un momento y cuestionar las intenciones detrás de cualquier mensaje que nos llegue fuera de lo común. La mayoría de las veces el sentido común es nuestra mejor arma en contra de la basura, el spam y los intentos de fraude.

Saludos

Para más información puedes acceder directamente el sitio de seguridad en Facebook

http://www.facebook.com/security