Este malware está consiguiendo un alto nivel de infectados y notoriedad en medios de comunicación de toda Europa al usar la imagen de los cuerpos del Estado para amedrentar al infectado. Hemos investigado la raíz del problema: ¿Con qué método se infectan los usuarios? ¿Qué hacen realmente para que el malware se ejecute en sus sistemas? ¿Por qué tanto «éxito«?
ACTUALIZACIÓN: La herramienta WinLockLless de Hispasec ayuda a prevenir el bloqueo.
Tras varios casos analizados en nuestro laboratorio de análisis forense, las investigaciones previas de Emiliano Martínez y las evidencias encontradas en los ordenadores infectados, hemos confirmado que se está utilizando activamente una vulnerabilidad en Javapara conseguir ejecutar código.
Las circunstancias coincidían en los casos afectados: visitas a determinados sitios de descarga directa o pornográficos (repletos de publicidad agresiva no controlada directamente por el servidor) y sistemas desactualizados.
Según nuestros análisis, poco antes de la ejecución del troyano, se descargan ciertos objetos que quedan presentes en la caché de Java.
En la figura se observa la caché de Java, además de evidencias del malware: carpeta kodak (como se denomina en sus últimas versiones). Dentro, los archivos «ip.txt» y «pic.bmp«. Este último contiene la conocida imagen de la policía nacional según el país. También se comprueba en la imagen que el usuario mantiene dos versiones de Java obsoletas y con numerosos problemas de seguridad.
Los ficheros .idx, desvelan la descarga desde servidores (todavía activos), de un paquete .cab compuesto por dos clases Java («Test.class» y «Help.class«). Estos componen un exploit para una vulnerabilidad en Java reportada (y corregida) hace pocos meses .En concreto una ejecución remota de código CVE-2012-0507de enero, relacionada con el componente Java Internationalization (i18n) y con una muy pobre detección por firmas.
Estos ficheros son descargados a través del plugin Java del navegador sin previo aviso en el sistema (desde banners de publicidad, normalmente) y se encargan de, una vez que consiguen aprovechar la vulnerabilidad en Java, descargar y ejecutar el malware en sí.
Pero no se descarga tal cual el fichero para ejecutarlo, sino que lo compone de alguna manera en local tras descargarlo, en un proceso en el que se involucran varias URL diferentes. Aquí una muestra el fichero d7ac8a6-2335eb9d (en la imagen de más arriba) que coincide en tamaño con el ejecutable (66k), pero que se encuentra ofuscado.
Una vez tienen el binario en el formato ejecutable, se copia oculto en el %appdata% del usuario, normalmente bajo el directorio «kodak» y con nombre aleatorio. También se introduce en el registro para lanzarse tras cada inicio. Aquí la detección del .exe (de 66k).
La vulnerabilidad inicial que desencadena el proceso, según ha investigado nuestro compañero Javier Rascón, se está utilizando ampliamente en kits de explotación de vulnerabilidades que se venden en el mercado negro como Scalaxy o Golfhole.
Detección antivirus
Para detener el ataque, los antivirus podrían haber detectado en primera instancia el intento de infección (el exploit) y en segunda instancia el ejecutable en sí. En ambos estadios del ataque, los niveles de detección por firmas han resultado insuficientes. Nuestros datos en VirusTotal confirman que, por firmas, los ficheros Java son muy poco detectados. Apenas 6 motores por firmas detectan el exploit y solo uno detecta el binario ofuscado.
Con respecto al ejecutable en sí, los datos tampoco son muy alentadores. La inmensa mayoría de las muestras que hemos recibimos en VirusTotal a finales de febrero, eran detectadas por uno o dos motores la primera vez que fueron enviadas. Elevándose días después a aproximadamente hasta 26 los motores que reconocían el malware.
Por tanto, en estos momentos actualizar los sistemas (en especial Java) es esencial para protegerse.
El secreto del éxito
El éxito de este malware se basa a nuestro entender en cuatro factores:
- Una difusión profesional. Están aprovechando vulnerabilidades muy recientes (enero) en software popular (Java) y difundiéndolo en páginas muy visitadas (webs de descarga directa de material multimedia). Esto está resultando en una difusión masiva del malware puesto que los usuarios se infectan aparentemente sin haber ejecutado directamente ningún fichero.
- Un malware «simple» y efectivo. El malware en sí no es «sofisticado» en los términos que manejamos hoy en día (con SpyEye y Zeus como referencia). Solo muestra en pantalla una imagen descargada de un servidor, y espera recibir órdenes. Aunque complejo, no se incrusta en el sistema de una manera especialmente enrevesada. Esto ayuda a que, unido a una detección pobre por firmas, los antivirus no lo detecten tampoco por la heurística de un comportamiento sospechoso.
- La ingeniería social. Amenazar al usuario con actividades que realizan comúnmente (descarga de material multimedia, por ejemplo), ayuda a dar credibilidad a la estafa. En algunos foros «underground» (de los que esperamos hablar en próximos artículos) hemos observado que el creador se jacta de conseguir que aproximadamente un 1% de los infectados termine pagando. Con el nivel de infección conseguido en toda Europa, podemos imaginar lo lucrativo de la estafa.
- Eludir antivirus. Las muestras recién llegadas a VirusTotal suelen ser poco detectadas. Están trabajando en eludir las firmas de forma notable, consiguiendo que las muestras «frescas» pasen muy desapercibidas.
Más información:
una-al-dia (21/06/2011) Vídeo: Troyano secuestra el ordenador en nombre de la policía nacional acusando al usuario de terrorista zoofílico
una-al-dia (28/02/2012) Vuelve el troyano que se hace pasar por la policía: Cómo protegerse (de verdad)
una-al-dia (02/03/2012) El virus de la policía «evoluciona» e impide el acceso en modo seguro
una-al-dia (06/03/2012) Más información sobre el virus de la policía
José Mesa Orihuela
Sergio de los Santos
Twitter: @ssantosv
Java se puede ejecutar en el navegador mediante banners? En prinicpio no pide permiso para ejecutar cualquier applet? A ver si pueden aclararme eso,..
Te equivocas no es necesario que pida permiso ya que como dice el blog,
Se usa una ejecucion remota de codigo(Falla de Seguridad-Vulnerabilidad) que permite ejecutar el codigo para realizar la descarga sin intervencion del usuario.
Es necesario mantener el Java o mejor dicho el Java Runtime Environment para protegerse del ataque.
¿A nadie le ha ocurrido que tras limpiar el equipo, le deje todo tipo de conexión a red deshabilitada? (parece una política de seguridad). Incluso impide la «restauración del sistema» (también por política de seguridad), haciendo desaparecer la pestaña de configuración de la restauración del sistema.
Ahí me he quedado en varios equipos, y no he sido capaz de limpiarlo.
y que esta haciendo el departamento de delitos informáticos?? porque una cuenta bancaria es muy facil de rastrear, este tio se ha lucrado con una super estafa deberian hacer algo, ademas si es como explican de una manera muy profesional aca, el virus descarga contenido de distintos servidores para luego componerse en el ordenador de la victima pues rastrear quien ha subido esos codigos ofuscados a esos servidores. salu2