La Amenaza definida 

La amenaza comienza con un mensaje de spam que trata de convencer a los receptores de que es enviado por el Banco de la Reserva Federal (FRB) de Estados Unidos. El mensaje afirma que el Departamento del Tesoro está investigando una operación de phishing a gran escala y, como resultado, está imponiendo reglas más estrictas a las transacciones de dinero (como transferencias electrónicas). Se pide consultar la información sobre este asunto en el URL incluido en el correo.  

Cuando se da clic al enlace, el navegador carga uno de los varios sitios maliciosos que utilizan nombres de dominios aparentemente relacionados con el FRB. Todos los dominios eventualmente llegan a una sola dirección IP con un tiempo de vida (TTL) de 3600 segundos. Se carga primero un sitio de FRB fraudulento, pero después de algunos segundos los usuarios afectados son redirigidos a una página de búsqueda de pornografía. Un archivo PDF malicioso, identificado por Trend Micro como TROJ_PIDIEF.DN, se descarga automáticamente de este sitio y después se ejecuta. Este PDF aprovecha una vulnerabilidad conocida de Adobe Reader que puede provocar que la aplicación se colapse y pueda permitir al atacante tomar control de la PC. La explotación está diseñada para conectarse a un sitio web remoto para descargar TROJ_INJECT.INI. Este troyano reinicia una computadora infectada y hace que ésta lance transacciones HTTPS malformadas cada 6.5 segundos a un servidor específico.  

Riesgo y Exposición para los Usuarios 

Los usuarios con Adobe Reader, Acrobat 8.1.2, y versiones anteriores, son vulnerables a este ataque. El ataque se da con sólo dar clic al enlace del spam de FRB. No se requiere la interacción de los usuarios, y una vez que la PC se une a un botnet, prácticamente pertenece a los ciber criminales. Resulta más desconcertante la complicada naturaleza de esta amenaza que deja el sistema abierto a mayores infecciones y compromisos.  

Ser parte de un botnet es peligroso. Los usuarios maliciosos remotos pueden usar una PC controlada para lo que sea, desde enviar spam hasta robar información. Los usuarios infectados corren el riesgo de perder su información confidencial y personal, y sus PCs pueden ser usadas para cometer crímenes sin que lo sepan.  

Este ataque tiene el potencial de ser bastante exitoso ya que el mensaje de correo parece venir de un remitente legítimo. Sin embargo, los receptores deben tomar en cuenta que los mensajes de correo pueden ser falsificados fácilmente usando herramientas de hackeo que están disponible en línea. El campo De puede modificarse, y los logos y otras imágenes son fáciles de copiar de fuentes legítimas. Este tipo de spam va dirigido a los usuarios en línea quienes realizan frecuentemente transacciones financieras en línea. El truco funciona de tal manera que aprovecha su curiosidad y temor por saber más sobre las medidas de seguridad del FRB 

La detección tradicional basada en patrones puede ser ineficiente ya que esta amenaza consta de varios componentes: spam, URLs falsos, y variantes de código malicioso – un componente malicioso que no se elimine puede usarse para reinfectar un sistema.  

Soluciones y Recomendaciones de Trend Micro 

Este ataque de botnets revela la necesidad del modelo Smart Protection Network. Basado en las soluciones y servicios de Trend Micro, la Smart Protection Network combina tecnologías únicas en la nube y una arquitectura de clientes ligeros para proteger su información de forma inmediata y automática donde quiera que se conecte.  

La tecnología de correlación en la nube comprueba la reputación del emisor del correo. Tan pronto como la capa Email Reputation identifica el IP emisor como malo, el correo se bloquea. Si la reputación del IP es dudosa o desconocida, el URL del correo se envía a la siguiente capa, la infraestructura Web Reputation. En este nivel, el URL es bloqueado si se identifica como malo o se analiza más a fondo. El archivo descargado de la URL es analizado entonces por la tecnología File Reputation. Se crean las firmas de detección para los archivos que se ha confirmado son maliciosos y se agregan al archivo de patrones tradicional. En el nivel del escritorio, la tecnología antivirus detecta y elimina TROJ_PIDIEF.DN, TROJ_INJECT.INI, y otras amenazas peligrosas.  

A través de la Smart Protection Network, el intento final de reclutar bots es bloqueado por la Email Reputation debido al IP emisor, por la Web Reputation debido al URL del cuerpo del correo y todos los URLs relacionados, o por la File Reputation a través de la firma de patrones tradicional al nivel del escritorio. 

TENDENCIAS DE AMENAZAS Y EL CRIMEN CIBERNÉTICO: ES LA TEMPORADA DE ENGAÑARLO

Cambios en el panorama de amenazas 

Normalmente, la cantidad de infecciones de PCs que identifica TrendLabs aumenta durante el último trimestre del año. Si bien aún no se cierra el conteo total de infecciones de los dos últimos meses de 2008, se esperaría una tendencia a la alza como en años anteriores. La mayoría de los expertos creen que este aumento en la actividad ocurre debido a las celebraciones de fin de año en muchos países de octubre a diciembre. Por supuesto, la gente compra más en comparación con otros meses e invierte más tiempo en línea buscando y comprando regalos. Por desgracia, los ciber criminales han aprendido a aprovechar esta gran base de clientes en línea ideando scams que están afectando a cada vez más usuarios. 

Envenenamiento de Motores de Búsqueda

De acuerdo con InternetStatsToday, casi la mitad de los usuarios de Internet utilizan los motores de búsqueda para encontrar información sobre prácticamente todo en la Web¹. Esto aumenta en la temporada navideña cuando la gente con diversos grados de conciencia de seguridad (expertos en redes y simples usuarios de Internet) tienden a comprar en línea más que en otros meses.  

Los criminales han aprendido a aprovechar las compras virtuales a través de ataques de envenenamiento de la optimización de los motores de búsqueda (SEO). En el envenenamiento de SEO, los autores de código malicioso comprometen los sitios web que ya están clasificados en las primeras posiciones de los motores de búsqueda insertando una página web especialmente diseñada que se hace aparecer cuando se realizan búsquedas específicas. Las víctimas que dan clic en el enlace de la página son enviadas a sitios que contienen código malicioso.  

Por ejemplo, en noviembre de 2007, las búsquedas de “compra de regalos de Navidad” llevan a un URL malicioso. Dar clic en el URL lo lleva a un sitio diferente a través de JavaScript, provocando eventualmente la descarga y ejecución del código malicioso. Otras búsquedas de Google comprometidas en 2007 incluyeron “venta navideña” y “compras divertidas en Navidad”.  

Phishing Navideño

Son comunes los ataques de phishing durante los días festivos. Los ataques de phishing lo engañan para que piense usted que está en un sitio web legítimo y solicitarle información de cuentas importantes. Asociados más comúnmente con el fraude Internet, los phishers normalmente roban información valiosa como números de tarjetas de crédito, números del seguro social, identificaciones de los usuarios y contraseñas. Un correo electrónico se envía solicitando al receptor dar clic en el enlace de un sitio falso – a menudo una réplica de un sitio de ventas real. Se le pide entonces proporcionar detalles personales, incluyendo códigos de acceso de seguridad. Si bien la página parece ser genuina, realmente es una página HTML falsa creada por los criminales para convencerlo de que la solicitud es legítima.  

El sentido común le dice hacer negocio con compañías que conoce y en las que confía; sin embargo, el phishing es particularmente engañoso ya que los criminales con cada vez más adeptos a replicar el mismo nivel de seguridad y legitimidad que los vendedores en línea confiables. Por ejemplo, eBay se coloca como el vendedor más popular de 2007 pero también es la marca que más se utiliza en los ataques de phishing. De igual forma, PayPal, el modo de pago en línea más ampliamente usado, también es conocido por ser una marca que se falsifica con mayor frecuencia (e irónicamente pertenece a eBay).  

Gusanos Festivos

Los voladores frecuentes son blanco de los ataques de phishing y código malicioso. Con uno de cada cuatro boletos de avión comprados en la Web, los scams relacionados con ellos se incrementan durante la temporada de fin de año ya que más gente viaja para visitar a su familia o ir de vacaciones. En octubre de 2008, se detectaron mensajes de correo spam que contenían Boletos Electrónicos falsos supuestamente de Continental Airlines. El mensaje le pedía a los receptores imprimir la “factura de compra y el boleto de avión” anexos. El archivo adjunto, llamado E-TICKET.ZIP, contenía “E-TICKET.DOC.EXE” – un viejo truco de doble extensión para hacer que usted dé doble clic en el archivo adjunto.  

Trend Micro detecta el archivo contenido en el adjunto comprimido como WORM_AUTORUN.CTO. El gusano se propaga a través de controladores removible y accede a los sitios web para descargar otros archivos posiblemente maliciosos. También despliega el icono de los archivos relacionados con Microsoft Word para evitar su detección y eliminación. 

La frase “Se ha hecho el cargo a su tarjeta de crédito…” naturalmente hace que aumente la preocupación, haciendo que se haga un análisis más completo (leer – dar doble clic) de los detalles del vuelo.  

Envíos Falsos

Cuando las compras en línea aumentan, también los envíos se incrementan. Por desgracia, los scammers están aprovechando este hecho. En los últimos años, la temporada de compras ha estado plagada de correos electrónicos scam de empresas de mensajería populares que le advierte a los receptores que un paquete que no se entregó debe ser recuperado. Con el correo electrónico llega una supuesta factura, que realmente es spyware. Los ataques recientes han generado la descarga del spyware ZBOT conocido por robar información confidencial como datos bancarios en línea.  

Pronósitco para la Navidad de 2008

Las tendencias vistas el año pasado y los desarrollos observados hasta noviembre de 2008 indican que las amenazas Web pueden intensificarse esta temporada, principalmente debido a la creciente sofisticación de los ciber criminales. Los ataques están siendo más inteligentes e involucran varios componentes, contra los que es difícil protegerse. Por esta razón, un modelo completo de protección, como la Smart Protection Network de Trend Micro, es efectivo para protegerse contra los ataques. A través de bases de datos de reputación y la correlación de análisis de amenazas en la nube, se bloquean de inmediato las amenazas peligrosas – incluso antes de que lleguen a su escritorio.