Buscando fallas en las campañas de Zeus

¿Te parece conocida esta campaña maliciosa?

Sí, es Zeus (Zbot). Si tu sistema está parchado y pulsas en el enlace no aparecerá el binario; un script PHP especial en sddghdskfgjr.cz.cc no lo ejecutará y sólo aparecerá un mensaje de error. Es un filtro estándar que los criminales utilizan para malware anti-automático.
El dominio .cc que menciona se acorta dos veces con dos diferentes servicios para acortar enlaces. El primero es http://3cm.kz/. A pesar de la información oficial de los servicios (que es legítima) tiene un eslogan muy raro que se parece mucho a la jerga de cibercriminales que hablan ruso: “Acorta tu bestia”.

Encontré una “falla” interesante en el script .php malicioso en el dominio .cc. Si ingresas al enlace corto con cualquiera de los caracteres especiales al final y, aunque sea el mismo sistema totalmente parchado, el binario aparecerá una y otra vez. Por ejemplo, en vez de pulsar en http://3cm.kz/example, puedes incluir un carácter especial al final del enlace, así: http://3cm.kz/example+ o http://3cm.kz/example* y aparecerá el binario. Un carácter especial por cada nueva descarga. El segundo servicio para acortar URLs que utilizan los criminales es http://shortn.me
Si ves las estadísticas de cuántos usuarios han pulsado en él, verás que hay una gran diferencia entre el primer y el segundo enlace corto:

=

No son muchos clicks, pero recordemos que es un ataque dirigido y que el impacto es bastante grande. Lo importante aquí es la calidad, no la cantidad.

Por otro lado, la diferencia entre los clicks demuestra que los criminales emplean el enlace Shortnme para atacar a muchos usuarios, pero el enlace corto de 3Cm está diseñado especialmente para cada blanco específico (empresa). De esta manera, los cibercriminales pueden rastrear infecciones que pueden ser mejores desde cada usuario afectado.
La tecnología UDS (tecnología en la nube) de Kaspersky detectaba el ejemplar malicioso al momento de la descarga, y ahora se encuentra en nuestra base de datos como Trojan-Spy.Win32.Zbot.bvmv.