El troyano URLZone desarrolla técnicas “anti-mulas”

En el mundo del malware, las mulas son las personas que se dedican a realizar el trabajo sucio: mover el dinero desde la cuenta bancaria víctima hacia la suya, y de ahí a través de traspaso de dinero en efectivo, el dinero viaja a los verdaderos atacantes (cerebros de la
operación) mientras ellos se quedan con un pequeño porcentaje y corren todo el riesgo. URLZone ha desarrollado un método para evitar que los investigadores atrapen a estas mulas, y pasar así todavía más
desapercibidos: Usan cuentas de mulas reales durante su comportamiento “habitual”, pero, si notan que están siendo monitorizados, engañan automáticamente a los investigadores realizando transacciones legítimas a cuentas de conocidos de las víctimas que, lógicamente, en realidad no son mulas.

El llamado URLZone está siendo muy especial, por lo innovador de algunas técnicas con las que se protege. Hace algunos días nos llamaba la atención que el troyano fuese capaz de recordar el balance anterior de su víctima, y falsearlo en la cuenta una vez ha sido robado. Así, el usuario no percibe que está siendo víctima de fraude. No puede detectar la falta de dinero en su cuenta a menos que analice un extracto por algún otro medio que no sea su propio ordenador troyanizado, o le sea devuelto algún recibo.

URLZone es una evolución de la familia de los Silentbankers que, como característica principal, realiza las transacciones de forma automática.
Habitualmente las contraseñas robadas va a parar a manos de los atacantes y las transacciones ilegítimas son realizadas “a mano” desde otro ordenador. Con URLZone, las transacciones a muleros se hacen de forma automática desde el ordenador de la víctima sin que este lo sepa, lo que complica por ejemplo el demostrar jurídicamente que no ha sido la víctima la que ha realizado la transacción.

Como la mayoría de las empresas que estudiamos malware, RSA FraudAction Research Lab ejecuta en un entorno lo más real posible un troyano, y estudia su comportamiento. Observaron que en su laboratorio, como es habitual, el troyano realiza transacciones de forma automática. Pero, y aquí está lo relevante, comprobaron que las cuentas a las que se hacían transferencias eran cuentas de personas reales, conocidas o no, pero siempre a las que el usuario víctima ya habían realizado transacciones previamente. Esto quiere decir que, cuando el troyano se sabe “monitorizado”, no usa las cuentas de muleros sino que almacena en una base de datos (probablemente junto con el balance anterior de la
víctima) cuentas habitualmente utilizadas por el usuario para realizar transferencias “falsas” cuando le vigilan.

Cuando URLZone detecta que no está en su botnet “legítima”, o sea, la red de sistemas infectados que reciben órdenes de uno o varios sistemas centrales, modifica su comportamiento para eludir a los investigadores.
Si es instalado en un laboratorio, y la red central no “conoce” a ese sistema, simulará un comportamiento extraño, en el que toda persona que haya recibido dinero de la cuenta de la víctima, parecerá que es el mulero de turno. De paso, ocultan así las cuentas de los muleros reales, y perseguir el dinero se convierte en una tarea todavía más compleja.

Todo esto se controla desde el servidor central. Tiene un protocolo especial de comunicación con las víctimas y si, por cualquier razón, sospecha que uno de los sistemas infectados no es una víctima real, sino que ha sido infectado en un sistema de laboratorio, en vez de desconectar o no hacer nada (así actúan la mayoría de troyanos hoy día), busca en su base de datos de conocimiento de la víctima y simula transacciones que no harán más que confundir a los investigadores, bancos, víctimas y sobre todo, a las personas que recibirán dinero sin haberlo pedido y serán acusados de mulas ocasionales.

Sin duda, una inteligente vuelta de tuerca más en el mundo del fraude online.

Fuente:Noticias Hispasec

Read More

Nueva versión de Apache Lucene

Existen varios errores en Apache Lucene Java que pueden provocar distintas denegaciones de servicio. Lucene es un API de código abierto para recuperación de información, originalmente implementada en Java aunque también existe en otros lenguajes como Delphi, Perl, C#, C++, Python, Ruby y PHP.

El centro de la arquitectura lógica de Lucene se encuentra el concepto de Documento (Document) que contiene Campos (Fields) de texto. Esta flexibilidad permite a Lucene ser independiente del formato del fichero.

Es útil para cualquier aplicación que requiera indexado y búsqueda a texto completo. Se distribuye bajo la Apache Software License.

Entre los fallos, destacamos:

LUCENE-1611: Existe un error en función IndexWriter que provoca una denegación de servicio por consumo de disco.

LUCENE-1658: Existe un error en la clase MMapDirectory que puede provocar un desbordamiento de buffer. Este error está causado por un bug de Sun.

LUCENE-1681: Un error en las funciones getMinValue, getMaxValue, getAverageValue de cálculo de estadísticas produce un bucle infinito a causa de no incrementar una de las variables internas.

LUCENE-1899: Debido a un error en la asignación de espacio se produce un consumo excesivo de CPU que podría causar una denegación de servicio.

Fuente:Noticias Hispasec

Read More

Troyano bancario falsea el balance de las cuentas robadas para evitar ser detectado

Se ha detectado una familia de troyanos que, además de todas las técnicas habituales que usa el malware 2.0 para pasar desapercibido, falsea el balance del usuario víctima una vez ha sido robado. Así, el afectado no puede detectar la falta de dinero en su cuenta a menos que analice un extracto por algún otro medio que no sea su propio ordenador, o le sea devuelto algún recibo.

Es común hoy en día que los troyanos inyecten campos adicionales en las páginas de los bancos para “capturar” la tarjeta de coordenadas o las contraseñas secundarias que permiten el movimiento del dinero. Es común que se salten restricciones de todo tipo impuestas por los bancos (teclados virtuales, ofuscación, OTP…), destinadas a detener su avance. Casi todos tienen técnicas de ocultación sofisticadas que hacen que a pesar de los esfuerzos de las casas antivirus, no sean detectados en su mayor parte. La mayoría también ofusca su código para dificultar el análisis de los investigadores… Lo que no es tan común es que los troyanos, al robar, falseen el balance de las cuentas del usuario, para que el usuario no detecte que el dinero ha sido traspasado a otro lugar.

La técnica que utiliza esta muestra observada es la misma que se suele usar para monitorizar qué página está siendo visitada e inyectar los campos. Esto habitualmente se realiza a través de BHO (Browser Helper

Objects) en Internet Explorer. Los BHO, al tener completo control sobre el DOM (Document Object Model) de la página, pueden eludir entre otras restricciones el cifrado, e inyectar en las páginas los campos que estimen oportuno. Ocurre de forma totalmente transparente y sobre la página real al ser visitada por un sistema troyanizado. Este mismo método se utiliza para falsear el balance real de la cuenta. Así, el usuario no percibe que está siendo robado. El troyano también se cuida de no dejar la cuenta en números rojos, para evitar igualmente ser detectado.

Cuanto más tiempo pase desapercibido el robo para la víctima, más veces podrá transferir pequeñas cantidades y pasar así también desapercibido para el banco. Los bancos, hoy en día, tienen sistemas de alerta que avisan al usuario cuando se detectan movimientos que se salen del patrón habitual de su usuario. Esto empezaba a ser un problema para ciertos troyanos que realizaban grandes transferencias, pues los bancos advertían al usuario víctima de una posible estafa. Con estos métodos consiguen no hacer sonar ninguna alarma ni en el usuario ni en su banco.

Se ha informado de la difusión de este malware en toda Europa. Algunos lo han llamado URLZone, aunque parece una variante de SilentBanker. El método de infección (esto sí es habitual) suele ser la visita a páginas web legítimas infectadas, que intentan aprovechar diferentes vulnerabilidades del navegador o del sistema operativo Windows para ejecutar código y realizar su función.

Fuente:Noticias Hispasec

Read More