Seguridad
Reporte TrendMicro: Brote de anuncios maliciosos
Trend Micro detectó una serie de anuncios banner maliciosos en agosto de 2008. Estos “anuncios maliciosos” han aparecido en Newsweek, MSNBC, Facebook, Hotmail, MySpace, Yahoo!, y otros sitios. En algunos casos, simplemente al visitar la página, sin dar clic en el banner, aparece una pantalla que advierte sobre la infección de un virus. Entonces se le pide a los usuarios comprar una solución antivirus falsa con una carga de código malicioso.
Brote de anuncios maliciosos
Trend Micro detectó una serie de anuncios banner maliciosos en agosto de 2008. Estos “anuncios maliciosos” han aparecido en Newsweek, MSNBC, Facebook, Hotmail, MySpace, Yahoo!, y otros sitios. En algunos casos, simplemente al visitar la página, sin dar clic en el banner, aparece una pantalla que advierte sobre la infección de un virus. Entonces se le pide a los usuarios comprar una solución antivirus falsa con una carga de código malicioso.
Los criminales crearon algunos de estos anuncios maliciosos usando una herramienta para diseñadores de Flash llamada “Fuse Kit”. Esta herramienta de código abierto, si bien diseñada para propósitos de diseño legítimos, puede ser malversada por los ciber criminales para incrustar código malicioso dentro de los anuncios. El uso de esta herramienta de formas maliciosas ha urgido a los sitios web más grandes, muchos de los cuales venden anuncios en lugar de hacerlo a través de intermediarios, a proteger mejor a sus clientes y reducir el uso malicioso de estos anuncios[1].
El envenenamiento de SEO ayuda al anti-spyware malicioso
En agosto de 2008, el envenenamiento masivo de SEO (optimización de motores de búsqueda) ayudó a permitir por lo menos dos tácticas de software antivirus falso. El envenenamiento de SEO es la manipulación o influencia de las clasificaciones de páginas naturales de los resultados de las búsquedas para obtener más visitas que una página que realmente lo merece. Este desarrollo ha elevado las posibilidades de éxito del anti-spyware falso.
Con esto, una simple búsqueda en Google o Yahoo! puede llevar a los usuarios a una página que les dice que están infectados con código malicioso y que deben descargar software de seguridad. Los usuarios que simplemente escriben cualquiera de las casi un millón de frases de búsqueda diferentes en estos motores de búsqueda se verán involucrados en una larga lista de redirecciones desagradables. Además de empeorar la situación, muchos sitios legítimos pueden estar introduciendo código malicioso a través de anuncios comprometidos debido a que dependen de Google Adwords. En consecuencia, audiencias mucho más grandes son infectadas.
Las frases de búsqueda cubren una amplia gama, desde descargas gratuitas hasta letras de canciones, viajes y política. De acuerdo con la investigación de Trend Micro, varias docenas de dominios están comprometidos actualmente. Los sitios maliciosos utilizan títulos en sus páginas como “¡DÉ CLIC AQUÍ! ¡TODA LA INFORMACIÓN!” y “¡DÉ CLIC AQUÍ! QUIERO SABER MÁS”, de modo que asegúrese de evitar dar clic a través de los resultados de Google o Yahoo! con estos títulos. Los hackers pudieron cargar scripts PHP que contienen varias líneas de texto diseñadas para el envenenamiento de SOE. Esta no es la primera vez que Trend Micro ha visto este procedimiento – un incidente en diciembre de 2007, por ejemplo, incluyó el envenenamiento de SOE de páginas hospedadas en Blogspot.
Referencia
- "Banners maliciosos no son detectados”, Dan Kaplan, SC Magazine, Agosto 18, 2008, http://www.scmagazineus.com/Malicious-ransomware-banner-ads-go-undetected/article/115517/
NUEVAS AMENAZAS
Tercer Guerra Mundial Falsa
Después de sitios, antivirus, blogs y foros falsos, los generadores de spam continúan con noticias falsas.
El analista de amenazas Juan Pablo Castro reporta spam que anuncia la declaración de la Tercera Guerra Mundial.
Figura 1. Muesta del spam que advierte sobre la Tercera Guerra Mundial
Figura 2. Otro ejemplo de spam que advierte sobre la Tercera Guerra Mundial
El enlace ofrecía vínculos a una página de CNN aparentemente legítima con un video. Sin embargo, los usuarios que deseaban ver este video debían instalar un ActiveX Object:
Figura 3. El objeto ActiveX faltante es en realidad spyware
Note que el URL real de CNN es http://www.cnn.com.
El supuesto ActiveX Object es en realidad código malicioso, el cual Trend Micro identifica como TSPY_BANCOS.JN. TSPY_BANCOS.JN, como todas las variantes de BANCOS, es un ladrón de información que monitorea el navegador del sistema afectado. Espera que el usuario acceda a ciertos sitios Web relacionados con la banca, enseguida imita las páginas de inicio del sitio bancario para robar información de las cuentas.
La solicitud de instalar un ActiveX Object es una treta popular para propagar código malicioso, y este ActiveX Object falso es otro diseñado para engañar a los usuarios para que crean que están instalando algo útil.
Una vez más, el uso de títulos sensacionalistas no es nada nuevo, y los spammers están usando su creatividad para crear asuntos más atractivos. Si bien los productos de Trend Micro ya bloquean el URL malicioso, el spam y el código malicioso relacionado a través de Smart Protection Network, se recomienda a los usuarios hacer lo siguiente cuando reciban spam en sus buzones:
Nunca responder. Nunca dar clic. Nunca creer.
