Incidentes

Una pareja dispareja: un rootkit de 64 bits y un antivirus falso para MacOS

Nuestro laboratorio de virus ha encontrado un ejemplar muy interesante: un descargador de troyanos (downloader) que contiene dos drivers y descarga programas antivirus falsos para PC y Mac. El programa malicioso se descarga e instala con el paquete de exploits BlackHole. Éste contiene exploits para vulnerabilidades en JRE (CVE-2010-0886, CVE-2010-4452, CVE-2010-3552) y PDF.

Ambos drivers son rootkits estándar con muchas funcionalidades. Uno de ellos es de 32 bits y el otro de 64 bits. El de 64 bits tiene algo llamado firma digital de pruebas. Si Windows (Vista o superior) arranca en el modo “TESTSIGNING”, las aplicaciones pueden ejecutar los drivers que tienen una firma digital de pruebas. Esta es una entrada especial que Microsoft dejó abierta para que los desarrolladores de malware puedan probar sus creaciones. Los cibercriminales también utilizan esta entrada: Ejecutan el comando ‘bcdedit.exe –set TESTSIGNING ON’, que les permite ejecutar su propio driver sin una firma digital legítima.

La siguiente descripción sirve para ambos rootkits porque, además aparte de las plataformas a las que ataca, su funcionalidad es idéntica. Es difícil deshacerse del driver cuando ya está instalado y funcionando en el sistema. El rootkit bloquea el funcionamiento de los drivers de productos antivirus y anti-rootkits. Lo hace con la ayuda de una lista de nombres de archivos para drivers específicos y cadenas de códigos que el rootkit busca en la sección de Seguridad de la matriz DataDirectory de la imagen que se está cargando. Si el rootkit descubre que se está cargando un driver “no confiable”, cambia los bytes en el punto de entrada de la imagen para evitar que se siga cargando.

Fragmento del rootkit que busca cadenas de caracteres para bloquear drivers de programas antivirus.

El rootkit protege la aplicación “principal” al enganchar ZwOpenProcess /ZwOpenThread en SDT (sólo versiones de 32 bits de Windows), y utiliza las retrollamadas del administrador de objetos para acceder a las aplicaciones “confiables”. El sistema de archivos también se controla con conexiones al sistema de archivos y el registro, utilizando las retrollamadas del registro.

Este rootkit es una prueba más (después de TDSS) de que no se necesita burlar Patck Guard-a para implementar funcionalidades de rootkit en plataforms de 64 bits.

El descargador está escrito en C++ y no está protegido. Su tarea principal es instalar y ejecutar el driver relevante (de 32 o 64 bits) y después descargar y ejecutar una lista de archivos de URLs. Es interesante que uno de los enlaces dirige a Hoax.OSX.Defma.f, un programa sobre el que escribimos hace poco. Pero lo más importante es que el rootkit intenta ejecutarlo… ¡en Windows! Parece que los desarrolladores del último programa antivirus para MacOS están distribuyéndolo con intermediarios, que en realidad no conocen el productosaben qué es lo que deben instalar en los ordenadores de los usuarios.

Fragmento del código malicioso que descarga y ejecuta el archivo.

Los productos Kaspersky Lab detectan y neutralizan tanto Trojan-Downloader.Win32.Necurs.a como Rootkit.Win32.Necurs.a / Rootkit.Win64.Necurs.a.

Una pareja dispareja: un rootkit de 64 bits y un antivirus falso para MacOS

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

 

Informes

MosaicRegressor: acechando en las sombras de UEFI

Encontramos una imagen de firmware de la UEFI infectada con un implante malicioso, es el objeto de esta investigación. Hasta donde sabemos, este es el segundo caso conocido en que se ha detectado un firmware malicioso de la UEFI usado por un actor de amenazas.

Dark Tequila Añejo

Dark Tequila es una compleja campaña maliciosa que tiene por objetivo a los usuarios ubicados en México, con el propósito principal de robar información financiera, así como credenciales de acceso a sitios populares que van desde versionado de código fuente a cuentas de almacenamiento de archivos en línea y de registro de dominios web.

De Shamoon a StoneDrill

A partir de noviembre de 2016, Kaspersky Lab observó una nueva ola de ataques de wipers dirigidos a múltiples objetivos en el Medio Oriente. El programa malicioso utilizado en los nuevos ataques era una variante del conocido Shamoon, un gusano que tenía como objetivo a Saudi Aramco y Rasgas en 2012.

Suscríbete a nuestros correos electrónicos semanales

Las investigaciones más recientes en tu bandeja de entrada