Feed de Pirated Network
Merks - Colombia, Las aventuras del pirata...
Páginas "de confianza" como fuente de troyanos. (Otra razón para no usar IE)
viernes, agosto 11, 2006
Un banner de publicidad alojado en MySpace ha conseguido infectar a más de un millón de usuarios de Windows gracias a una vulnerabilidad para la que existe parche desde enero de 2006. No es la primera ni la última vez que esto ocurre. Los anuncios en las páginas pueden convertir a una web de confianza en una fuente de código no deseado.
Durante este mes de julio, quien navegase a través de MySpace.com con Intenet Explorer no parcheado y privilegios de administrador, quedaba infectado automáticamente por algún tipo de adware. Al contrario de lo que pueda parecer, la página MySpace no tiene, en principio, responsabilidad directa sobre el incidente. Normalmente contratará servicios de publicidad a terceros que se encargan de seleccionar, alojar y hacer visible la publicidad en su página, y ha sido a través de este sistema (no se conocen exactamente las causas originales, si el servidor de publicidad fue comprometido o no) que se ha llegado a infectar a más de un millón de personas.
El malware se ejecutaba sin permiso, a través de la vulnerabilidad WMF, parcheada por Microsoft en enero de 2006. Es curioso que se detectara el problema al visitar la página con Firefox, pues el navegador pedía confirmación para descargar un archivo en formato wmf que no se había solicitado. Fue así como se descubrió el pastel. Las versiones actualizadas de Internet Explorer evitan también la instalación del virus. Investigaciones posteriores hacen pensar que este ataque permanecía activo en otras webs desde principios de julio.
Bernardo Quintero, en septiembre de 2005, ya analizó una situación parecida en una entrada del blog de Laboratorio de Hispasec: "Dilbert intenta infectarme". La historia se repite pero de una forma todavía más ruin y taimada. En aquella ocasión, al visitar la (muy recomendable) tira cómica diaria de Dilbert aparecía una ventana emergente donde se informaba de errores de registro o del sistema de archivos. Obviamente era falsa, pues el mismo aviso aparecía independientemente del sistema operativo con que se visitara. La ventana sugería la instalación de un tal WinFixer 2005 de forma gratuita, de lo contrario el sistema no funcionaría correctamente. Al intentar declinar la oferta y pulsar en "cancelar", el programa pretendía instalar un ActiveX, que sin duda no tenía muy buenas intenciones y donde seguro se alojaba el código necesario para infectar la máquina. Tras varias tentativas e insistencias, se conseguía convencer al programa de que realmente no se quería instalar el dudoso programa. El adware pretendía, no sólo infectar el sistema, sino que tuviese que pagar 40 dólares por ello. Para colmo, no todos los antivirus detectaban como peligrosa esta supuesta herramienta.
Esta violenta, intrusiva y fraudulenta campaña de mercadotecnica destinada a infectar sistemas es conocida desde hace tiempo en Internet. Lo que no es tan habitual es que el ataque se produzca al visitar páginas de confianza como puede ser la tira cómica de Dilbert o páginas tan populares como MySpace.com, donde incluso las defensas pueden verse más relajadas, tanto a nivel técnico (quizás a estas páginas, desde las opciones del navegador, se les permitan más licencias que al resto) como a nivel personal (muchos recelarán menos de mensajes que provengan de páginas a las que son asiduos).
Pero en el caso de MySpace no había opción. No se pretendía convencer al visitante para que instalase su propio troyano sino que, directamente, se intentaba aprovechar una vulnerabilidad para ejecutar el código de forma absolutamente inadvertida para el usuario. Y todo esto, no desde páginas de dudoso contenido e intenciones, sino desde una reputada página como MySpace, visitada por millones de usuarios al día. No en vano Alexa califica a MySpace.com como la sexta página más visitada en Internet. En realidad la técnica es realmente efectiva para los que intentan infectar sistemas. Consiguen de esta forma, al colar una infección indirecta a través de publicidad, muchas más visitas que si tuviesen que convencer a todas esas personas de que visitaran cualquier enlace llegado a través de spam. El impacto numérico es mucho mayor, y además, los usuarios acuden por su propia voluntad al foco de infección.
De la "anécdota" con la página de Dilbert se pueden sacar las conclusiones que ya conocemos. No hay límite para la codicia de algunas "empresas" y no dudan en emplear todo tipo de técnicas engañosas para captar clientes o víctimas. Con respecto a MySpace, además de aprender a no fiarnos de ninguna página, sea de confianza o no, podemos concluir que existen todavía más de un millón (y más de dos, y de tres...) de personas navegando con Internet Explorer desactualizado (al menos desde enero) y con privilegios de administrador. Parece que ningún consejo o advertencia sobre los peligros de Internet hace mella en estos usuarios.
Si este dato hace que muchos se lleven las manos a la cabeza, hay que recordar que otros cuantos se las estarán frotando, al comprobar con este ejemplo práctico lo elevado de su "potencial cuota de mercado" en sus "negocios" particulares.
Las páginas, por su parte, no deben confiar sus servicios de publicidad a terceros con dudosa reputación. Incluso estos a veces revenderán sus servicios o incrustarán banners alojados en páginas que escapen a su control. No está claro cómo ha llegado hasta ahí una publicidad tan dañina.
En cualquier caso, cae otro mito que ya costó inculcar a los usuarios en su momento. Si habían comprendido que existía una parte "peligrosa" en Internet (páginas pornográficas, juego online, archivos en redes p2p, adjuntos ejecutables...) donde eran conscientes de que podían correr algún riesgo y por ello tomaban algunas precauciones, si se ha acuñado el término "mal uso" de Internet, como una práctica en la que se visitan páginas "inapropiadas", este aprendizaje ya no es válido, queda desfasado e incompleto. Hoy, más que nunca a través de este tipo de ataques indirectos, cualquier página puede ser fuente de problemas e infecciones. Toda web, ya sea de música, pornografía, juego en línea o humor, se convierte en un hostil campo de batalla, donde los sistemas Windows se convierten es el objetivo preferido y ningún usuario puede ni debe sentirse seguro.
Ante este panorama, no cabe más que tomar todas las precauciones posibles sin distinción, en páginas "amigas" o no, e intentar que el negocio de la "publicidad infecciosa", no les funcione a estos desaprensivos.
----------------------------------------------------
Esta es otra razón para no usar Internet Explorer, la fuente de todos los males de la red.
Fuente http://www.hispasec.com/
Tags seguridad, internet, malware
Pirateado por Merks @ 8/11/2006 10:39:00 a. m.,
2 Comentarios:
-
At 8/11/2006 02:04:00 p. m.,
EDITOR GENERAL (THL) Dijo...
-
Estimado Merk: Recibí hace pocos días el siguiente correo reenviado. Yo mismo no lo reenvié porque no sé si sea verdad el contenido, pero habla de un supuesto virus "indetectable" que usa MSN como vía de transmisión. Anexo copia del mail, a ver si usted que sabe más de esto, considera pertinente esta información, o si se trata de una falsa alarma. Gracias.
AQUÍ EL MAIL:
ESTO ES URGENTE!!
Diles a todos los contactos que tengas que no acepten como contacto a:
Sonia_cabrilis es de hotmail, es un virus que formatea tu equipo y si tus
Contactos lo aceptan lo tendrás tu también, avísales, solo da copiar y
Pegar es urgente!!!!!! TIENES QUE TENER MUCHO CUIDADO...
SI TE SALE UN AVISO PARA AÑADIR A ALGUIEN EN TU MESSENGER CON LA
DIRECCIÓN: brujita_tierna69@hotmail.com
NO LO ACEPTES!!! ES UN NUEVO VIRUS EXTREMADAMENTE POTENTE QUE SE TRANSMITE
TODOS TUS CONTACTOS Y TE FORMATEA EL ORDENADOR. ¡¡¡ESTO ES MUY
IMPORTANTE!!!
MÁNDALE ESTE MAIL A TODA LA GENTE QUE TENGAS EN TU LISTA DE DIRECCIONES
MSN).
POR FAVOR, ESTO
TIENE QUE SABERLO TODO EL MUNDO,
PORQUE SI NO LO MANDAS, A TI TAMBIÉN TE PUEDE AFECTAR, PORQUE SI ERES
CONTACTO DE UNA PERSONA QUE LO ACEPTO, A TI TAMBIÉN TE LLEGA EL VIRUS.
Y TAMBIÉN: Puedes recibir un mail en una presentación de PowerPoint
Aparentemente inofensiva, titulado: La vida es bella.pps
Si lo recibes NO ABRAS EL ARCHIVO BAJO NINGUNA CIRCUNSTANCIA. Y bórralo
Inmediatamente Si abres ese archivo aparecerá en tu monitor un mensaje:
Ahora es tarde, su
vida no es más bella", enseguida PERDERÁS TODO LO
QUE TENGAS EN TU PC y la persona que lo envió tendrá acceso a tu nombre, e-
Mail y Password.
Se trata de un nuevo virus que comenzó a circular el sábado por la
Tarde.
NECESITAMOS HACER TODO LO POSIBLE PARA DETENER ESE VIRUS
La UOL ya confirmó su peligrosidad y los Software ANtivirus no están
Aptos para destruirlo. El virus fue creado por un hacker que se
Autodenomina EL DUEÑO DE LA VIDA y tiene en mente destruir las PC
domésticas en su lucha
Contra Microsoft Por eso viene disfrazado con una extensión pps.
COPIA ESTE MAIL PARA TODOS TUS AMIGOS RECUERDA: SI LO ENVÍAS A TUS
AMIGOS, NOS BENEFICIAS A TODOS...... -
At 8/11/2006 08:06:00 p. m.,
Merks Dijo...
-
Visita Rompecadenas.com para averiguar más sobre el tema