Informes sobre malware

Análisis de las actividades de los virus informáticos en febrero de 2011

Febrero en cifras

Durante este mes en los equipos de los usuarios de Kaspersky Lab:

  • se rechazó 228.649.852 ataques de red,
  • se bloqueó 70.465.949 intentos de propagar infecciones mediante la web,
  • se detectó y desactivó 252.187.961 programas maliciosos (intentos de infección local),
  • los veredictos heurísticos se activaron 75.748.743 veces.

Ataques drive-by: los delincuentes se perfeccionan

En febrero hubo un notable incremento de la popularidad del nuevo método de propagación de software malicioso: los delincuentes empezaron a usar tablas de estilos (CSS) para almacenar parte de los datos de los descargadores de scripts, lo que hace que para muchos antivirus sea más difícil detectar los scripts maliciosos. Este método ahora se usa en la mayoría de los ataques drive-by y permite a los delincuentes evitar que los exploits sean detectados.

Durante los ataques drive-by, desde el sitio infectado, por lo general mediante IFrame, se redirige a una página que contiene una CSS y un descargador de scripts maliciosos. En el TOP 20 de Internet hay tres tipos de programas maliciosos que son páginas como éstas: Trojan-Downloader.HTML.Agent.sl (1-er puesto) Exploit.JS.StyleSheeter.b (puesto 13) y Trojan.JS.Agent.bte (puesto 19).

Los descargadores de scripts ubicados en estas páginas maliciosas lanzan dos tipos de exploits. Uno de ellos, el que explota la vulnerabilidad CVE-2010-1885, nuestros productos lo detecta como Exploit.HTML.CVE-2010-1885.ad (puesto 4). Este exploit se activaba cada día en los equipos de unos 10.000 usuarios únicos.

 
Dinámica de detección de Exploit.HTML.CVE-2010-1885.ad (cantidad de usuarios únicos). febrero de 2011

El segundo tipo de exploits usa la vulnerabilidad CVE-2010-0840. Nuestros productos detectan estos exploits como Trojan.Java.Agent.ak (puesto 7), Trojan-Downloader.Java.OpenConnection.dc (puesto 9) y Trojan-Downloader.Java.OpenConnection.dd (puesto 3).

Si bien ya nos habíamos topado antes con que los delincuentes explotaban la primera vulnerabilidad, sólo en febrero registramos el uso activo de CVE-2010-0840.

La estadística del módulo heurístico confirma el hecho de que el uso de tablas CSS para defender los exploits y propagar software malicioso predomina en la actualidad durante la ejecución de ataques drive-by. La mayoría de los dominios a los que apuntan las redirecciones ya están en las bases de datos de nuestro antivirus y se les asigna el estado de bloqueadas.

Las vulnerabilidades de PDF siguen representando peligro

Según los datos estadísticos de nuestro módulo heurístico, la cantidad de usuarios únicos en cuyos equipos se detectaron exploits PDF es mayor a 58.000. La explotación de las vulnerabilidades en los documentos PDF son, en este momento, uno de los métodos más populares de introducir programas maliciosos en el ordenador del usuario. Uno de los exploits PDF, Exploit.JS.Pdfka.ddt, ocupó el octavo lugar en la estadística de programas maliciosos en Internet.

Palevo, esta vez empaquetado

El módulo de defensa heurística detectó el empaquetador malicioso que se usa para proteger el gusano P2P Palevo en los equipos de más de 67.000 usuarios únicos. Les recordamos que es precisamente este gusano el responsable de la creación de la botnet Mariposa, que fue clausurada por la policía española. Es probable que tan activa propagación del gusano empaquetado esté relacionada con que los delincuentes están tratando de crear una nueva botnet o quizá resucitar una antigua.

El empaquetador tiene una interesante peculiaridad, agrega muchos renglones aleatorios al fichero empaquetado.


Fragmento del gusano empaquetado Palevo

Las “amenazas móviles”

Android

En febrero se detectaron al mismo tiempo varios nuevos programas maliciosos para la plataforma móvil Android. Uno de ellos, Trojan-Spy.AndroidOS.Adrd.a, tiene funcionalidades de backdoor. Se conecta a un servidor remoto y le envía los datos de identificación del teléfono móvil: IMEI y IMSI. El centro de administración envía como respuesta información que el programa malicioso usa para realizar solicitudes al sistema de búsqueda en segundo plano. Estas solicitudes se utilizan para hacer subir determinados ratings. Merece la pena destacar que el programa malicioso analizado se detectó sólo en los repositorios chinos.

La segunda falsificación maliciosa para el SO Android lleva el nombre de Trojan-Spy.AndroidOS.Geinimi.a. Es una versión “perfeccionada” de la familia Adrd, detectada no sólo en China, sino también en EEUU, España, Brasil y Rusia.

Un troyano SMS escrito para J2ME

Hay que mencionar que los programas maliciosos para la plataforma J2ME también gozan de popularidad. Por ejemplo, Trojan-SMS.J2ME.Agent.cd ha ingresado en el TOP20 de los programas maliciosos más difundidos en Internet (puesto 18). Su principal funcionalidad es enviar mensajes de texto a un número de pago. Se propaga sobre todo mediante enlaces en mensajes spam enviados por ICQ. Este programa malicioso predomina en Rusia y España, mientras que en los otros países no está muy propagado.

 

TOP 20 de programas maliciosos en Internet

Posición actual Posición el mes pasado Veredicto
1   New Trojan-Downloader.HTML.Agent.sl  
2   18 Trojan-Downloader.Java.OpenConnection.cx  
3   New Trojan-Downloader.Java.OpenConnection.dd  
4   New Exploit.HTML.CVE-2010-1885.ad  
5   -1 AdWare.Win32.FunWeb.gq  
6   -5 AdWare.Win32.HotBar.dh  
7   New Trojan.Java.Agent.ak  
8   New Exploit.JS.Pdfka.ddt  
9   New Trojan-Downloader.Java.OpenConnection.dc  
10   New Trojan.JS.Iframe.rg  
11   -2 Trojan-Downloader.Java.OpenConnection.cg  
12   -7 Trojan.HTML.Iframe.dl  
13   New Exploit.JS.StyleSheeter.b  
14   -1 Trojan.JS.Fraud.ba  
15   -8 Trojan-Clicker.JS.Agent.op  
16   -8 Trojan.JS.Popupper.aw  
17   -7 Trojan.JS.Agent.bhr  
18   New Trojan-SMS.J2ME.Agent.cd  
19   -New Trojan.JS.Agent.bte  
20   -6 Exploit.JS.Agent.bab  

TOP 20 de programas maliciosos detectados en los ordenadores de los usuarios

Posición actual Delta Veredicto
1   0 Net-Worm.Win32.Kido.ir  
2   0 Virus.Win32.Sality.aa  
3   6 HackTool.Win32.Kiser.zv  
4   -1 Net-Worm.Win32.Kido.ih  
5   2 Virus.Win32.Sality.bh  
6   -2 Hoax.Win32.Screensaver.b  
7   -2 AdWare.Win32.HotBar.dh  
8   0 Virus.Win32.Virut.ce  
9   -3 Trojan.JS.Agent.bhr  
10   1 HackTool.Win32.Kiser.il  
11   -1 Packed.Win32.Katusha.o  
12   0 Worm.Win32.FlyStudio.cu  
13   2 Trojan-Downloader.Win32.VB.eql  
14   2 Worm.Win32.Mabezat.b  
15   3 Packed.Win32.Klone.bq  
16   -2 Trojan-Downloader.Win32.Geral.cnh  
17   New Trojan.Win32.Starter.yy  
18   New AdWare.Win32.FunWeb.gq  
19   Returned Worm.Win32.Autoit.xl  
20   New Trojan-Downloader.HTML.Agent.sl  

Análisis de las actividades de los virus informáticos en febrero de 2011

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

 

Informes

MosaicRegressor: acechando en las sombras de UEFI

Encontramos una imagen de firmware de la UEFI infectada con un implante malicioso, es el objeto de esta investigación. Hasta donde sabemos, este es el segundo caso conocido en que se ha detectado un firmware malicioso de la UEFI usado por un actor de amenazas.

Dark Tequila Añejo

Dark Tequila es una compleja campaña maliciosa que tiene por objetivo a los usuarios ubicados en México, con el propósito principal de robar información financiera, así como credenciales de acceso a sitios populares que van desde versionado de código fuente a cuentas de almacenamiento de archivos en línea y de registro de dominios web.

De Shamoon a StoneDrill

A partir de noviembre de 2016, Kaspersky Lab observó una nueva ola de ataques de wipers dirigidos a múltiples objetivos en el Medio Oriente. El programa malicioso utilizado en los nuevos ataques era una variante del conocido Shamoon, un gusano que tenía como objetivo a Saudi Aramco y Rasgas en 2012.

Suscríbete a nuestros correos electrónicos semanales

Las investigaciones más recientes en tu bandeja de entrada