miércoles, 29 de enero de 2014

Versión troyanizada del cliente FTP Filezilla

Avast, la compañía que desarrolla el antivirus del mismo nombre, ha alertado de la detección de varias versiones troyanizadas del popular programa Filezilla.

Filezilla es un cliente FTP con licencia GNU, escrito en C++ sobre la librería wxWidgets. La primera versión data de junio del 2001, diseñado originalmente por Tim Kosse. Filezilla se encuentra disponible en varias plataformas incluyendo Windows, Linux y OS X.

Según Avast, habrían sido detectadas al menos dos versiones falsificadas del cliente. En concreto las versiones 3.7.3 y 3.5.3. Las versiones maliciosas no habrían sido expuestas en el sitio oficial, no se trata de una inyección de código malicioso en el repositorio ni una intrusión en el sitio web.

Las versiones troyanizadas habrían sido publicitadas y colgadas en distintos sitios web atacados. Desde Hispasec hemos efectuado un rastreo en la web y hemos dado rápidamente con algunos ejemplos:



Una vez bajada la versión troyanizada de Filezilla 3.7.3, podemos analizarla en Virustotal y el resultado es el esperado:


El malware, cuando se instala, imita el proceso de instalación y la interfaz del instalador de Filezilla, la única diferencia es que la versión del instalador de NullSoft es la 2.46.3-Unicode en el troyano, siendo la v2.45-Unicode en la oficial.

Tal y como anota Avast y hemos comprobado, el troyano instala una versión completamente funcional del cliente FTP. Es decir, no termina la instalación con un error y abortando el proceso como es habitual en algunos esquemas de infección por troyano. Además el tamaño del ejecutable "filezilla.exe" es menor en el troyano e incluye dos librerías (ibgcc_s_dw2-1.dll y libstdc++-6.dll) que no están presentes en el Filezilla oficial. También, curiosamente, en el dialogo de "About Filezilla" las versiones de las librerías SQLite y GnuTLS son más antiguas que las que porta el software original.

¿Qué hace el troyano?

La funcionalidad maliciosa se limita, hasta ahora, a conectar con un sitio web operado por el atacante y depositar las credenciales de conexión FTP de la víctima. Esto lo hace justo cuando el usuario se  autentica contra el servidor FTP que use. Decimos hasta ahora porque esto puede cambiar en cualquier momento si los autores publican una versión con una capacidad más dañina.

Si usas el cliente Filezilla, asegúrate que no tienes una versión maliciosa y que esta ha sido descargada de una fuente oficial.

Más información:


David García
Twitter: @dgn1729