La expansión de la familia de este malware se ha convertido en una campaña que abarca a diferentes países europeos. Veamos algunas investigaciones que hemos realizado mi compañero Emiliano Martínez y yo sobre esta verdadera epidemia que están sufriendo los usuarios de Windows en los últimos días.
Abarca diferentes países
Una de las variantes descarga la imagen que va a mostrar en pantalla desde un servidor remoto. Hemos encontrado uno y comprobado qué imágenes aloja. Para mostrar la IP de la víctima en la imagen, usa el parámetro:
Y, de forma independiente, el servidor calcula el país según la dirección IP también, y así muestra diferentes imágenes. Las que hemos localizadoson (por código de país) AT, DE, ES, FR, GB, IT, alojadas en:
Para tomar la imagen, hace una petición del tipo
Si a este GET, el servidor devuelve un «del» en texto claro, el troyano borrará la clave de registro que lo lanza al inicio del sistema operativo y matará la instancia activa. Los archivos permanecerán en el disco, pero al menos no se ejecutarán.
Un usuario infectado con un malware que acuda a una infraestructura caída, no notará nada en el sistema, puesto que no podrá acudir a descargar la imagen. Las sucesivas imágenes mostradas las hará desde el sistema local (no acude más que una vez a descargarlas).
Actualizaciones
El troyano hace una actualización periódica en dos pasos: primero acude a:
donde encuentra una URL desde la que realmente descargar el binario actualizado. Este se encontrará en
donde ABCD.exe es el nombre del usuario infectado. El nombre del ejecutable es así generado dinámicamente según el nombre de usuario de la víctima.
Se nos ocurre que esto podría ser aprovechado por ejemplo en una gran empresa, para desinfectar a los usuarios. Si canalizan el dominio o IP fraudulento hacia otro ejecutable que controle el administrador, podrían todas las máquinas acudir directamente al archivo y lanzarlo para eliminar el troyano. También se podría aprovechar la opción «del» que el programador ha incluido para eliminar las claves del registro que llaman al troyano.
Más información:
una-al-dia (21/06/2011) Vídeo: Troyano secuestra el ordenador en nombre de la policía nacional acusando al usuario de terrorista zoofílico
una-al-dia (28/02/2012) Vuelve el troyano que se hace pasar por la policía: Cómo protegerse (de verdad)
una-al-dia (02/03/2012) El virus de la policía «evoluciona» e impide el acceso en modo seguro
Sergio de los Santos
Twitter: @ssantosv
Deja una respuesta