LinkedIn también llama la atención de los spammers

an sólo un día después de que los usuarios de Twitter sufrieran un nuevo ataque, Cisco Systems informa que los spammers han puesto sus ojos en los de LinkedIn.

Los usuarios de LinkedIn están recibiendo mensajes de correo electrónico que se hacen pasar por peticiones de conexión que, cuando se pincha sobre ellas muestran el mensaje: “Please waiting…4 seconds”, antes de redirigirlos a Google. Durante estos cuatro segundos se descarga el malware Zeus en sus ordenadores.

Zeus, que se integra en el navegador de la víctima y roba información personal del usuario, como las contraseñas de acceso a la banca online, se ha hecho muy famoso por conseguir datos bancarios.

Según Cisco estos mensajes han contabilizado el 24% del spam enviado con intervalos de 15 minutos. La compañía recomienda a los administradores TI que eliminen las peticiones de conexión, especialmente si no conocen el nombre del contacto.

Las redes sociales se han convertido en el principal objetivo de los cibercriminales. Twitter se ha visto afectado por un gusano durante el fin de semana y un fallo de cross-scripting, sin que los usuarios de Facebook sean inmunes a este tipo de ataques.

Actualmente el spam es la forma de ataque más popular y según Cisco veremos cada vez más mensajes no deseados con malware capaz de robar la información personal del usuario.

fuente: itespresso.es

Evolución del SPAM

Evolución del spam

El principio

El spam (publicidad masiva no solicitada vía correo electrónico) hizo su primera aparición a mediados de los noventa, es decir, inmediatamente después de que la suficiente cantidad de personas empezó a usar el correo electrónico. En 1997, se empezó a considerar que el spam era un problema, y la primera Lista Negra en Tiempo Real (Real-Time Black List, RBL), apareció el mismo año.

Las técnicas de los spammers han evolucionado en respuesta a la aparición de cada vez más y mejores filtros. Tan pronto como las compañías de seguridad desarrollan filtros efectivos, los spammers cambian sus tácticas para eludirlos. Y esto lleva a un círculo vicioso, en el que los spammers reinvierten sus ganancias en el desarrollo de nuevas técnicas de evasión de los filtros de spam. La situación crea un torbellino fuera de control.

Desarrollo de las técnicas de los spammers

Publicidad directa

Al principio, el spam era enviado directamente a los usuarios. Es más, los spammers ni siquiera necesitaban falsificar la información del remitente. Este tipo primitivo de spam era fácil de bloquear: si se incluía a un remitente o una dirección IP específica, se estaba a salvo. Como respuesta, los spammers empezaron a suplantar las direcciones de los remitentes y otra información técnica.
Retransmisión abierta (Open Relay)

A mediados de los noventa, todos los servidores de correo electrónico ofrecían servicios de retransmisión abierta (Open Relay). El spam y otros problemas de seguridad llevaron a los administradores a reconfigurar los servidores postales en todo el mundo. No obstante, el proceso avanzaba con lentitud y no todos los propietarios de servidores postales o sus administradores estaban dispuestos a colaborar. Una vez que este proceso tomo su rumbo, los analistas de seguridad empezaron a escanear Internet en busca de servidores postales con el servicio de retransmisión abierto.Las listas negras de DNS obtenidas se pusieron a disposición del público, haciendo posible que los administradores responsables de la seguridad bloqueen el correo entrante desde esos servidores. A pesar de todo, los servidores con servicio de retransmisión abierta se siguen usando para hacer envíos masivos de correo.

Banco de módems (Modem Pool)

En el momento en que enviar spam por servidores de retransmisión abierta se hace menos eficiente, los spammers empiezan a usar conexiones dial-up. Con esto, se explotan la forma en que algunos proveedores de Internet estructuran sus servicios de acceso telefónico y utilizan los defectos del sistema:

* Como regla, los servidores postales de los proveedores de Internet remiten el correo generado por los clientes.
* Las conexiones por dialup se realizan usando direcciones IP dinámicas. Por eso, los spammers usan una nueva dirección IP para cada sesión de envíos.

Como respuesta a la explotación de los spammers, los proveedores de Internet empezaron a limitar la cantidad de mensajes que un usuario podía enviar en una sesión. Las listas de direcciones de dialup sospechosas y los filtros que bloqueaban el correo llegado desde esas direcciones aparecieron en Internet.
Servidores proxy

El nuevo siglo llegó con los spammers usando conexiones a Internet de alta velocidad y explotando las vulnerabilidades del hardware. Las conexiones por cable y por ADSL permitieron a los spammers hacer envíos masivos baratos y rápidos. En adición, los spammers poco tardaron en descubrir que muchos modems ADSL tenían servidores socks o proxy de HTTP incorporados. Ambos son utilidades simples que dividen un canal de Internet entre varios ordenadores. La característica que tienen es que cualquier persona, desde cualquier parte del mundo puede obtener acceso a estos servidores, porque no tienen ningún tipo de protección. En otras palabras, los usuarios maliciosos pueden usar las conexiones ADSL de otras personas para hacer lo que les venga en gana, incluso enviar spam. Asimismo, el spam aparecerá como si hubiese sido enviado desde la dirección IP de la víctima. Desde que millones de personas en todo el mundo tienen estas conexiones, los spammers harán su agosto hasta que los fabricantes de harware cierren las brechas de seguridad en sus dispositivos.
Redes zombi o "bot"

En 2003 y 2004, los spammers efectuaron la mayor parte de sus envíos masivos desde equipos pertenecientes a usuarios que no sospechaban nada. Los spammers usaban programas maliciosos para instalar troyanos en los equipos de las víctimas, dejándolos abiertos al uso remoto. Los métodos usados para penetrar en los equipos de las víctimas incluyen:

* Los droppers y descargadores de troyanos se incorporan al software pirata que es distribuido vía redes de intercambio de archivos P2P (Kazaa, eDonkey, etc).
* Vulnerabilidades en MS Windows y aplicaciones populares como Internet Explorer y Outlook.
* Gusanos de correo electrónico

Quienquiera que posea la parte "cliente" que controla el troyano, puede controlar el equipo o red infectados. Las redes de este tipo reciben el nombre de redes bot y son objeto de comercio e4ntre los spammers.

Los analistas estiman que hay troyanos instalados en millones de equipos en todo el mundo. Los troyanos modernos son tan sofisticados que pueden descargar nuevas versiones de sí mismos, descargar y ejecutar órdenes desde sitios web específicos o canales de IRC, enviar spam, realizar ataques DDoS y mucho más.

Desarrollo de las técnicas de los spammers

Análisis de contenidos

El funcionamiento de muchos filtros antispam se basan en el análisis del contenido de los mensajes: el encabezado, el texto y los datos adjuntos. Hoy en día, los spammers gastan grandes recursos en desarrollar contenidos que evadan los filtros de contenido.

Texto simple y HTML

En sus orígenes, el spam era simple: mensajes idénticos eran enviados a todos los destinatarios de una lista de correo. Esos mensajes de correo electrónico eran ridículamente fáciles de filtrar, gracias a la abundancia de textos idénticos.
Mensajes personalizados

Después, los spammers empezaron a incluir en los mensajes un saludo basado en la dirección del destinatario. Como cada mensaje contenía un saludo personal, los filtros que bloqueaban mensajes idénticos no detectaban este tipo de spam. Entonces, los expertos en seguridad diseñaron filtros que identificaban los renglones idénticos, que podían ser agregados a las reglas de filtración. También se desarrollaron técnicas de lógica difusa (fuzzy logic), que detectaban textos levemente modificados y tecnologías estadísticas de filtración tales como los filtros Bayes.

Renglones de texto aleatorio y texto invisible

Ahora, para evadir los filtros, los spammers ponen renglones de texto similares a los de la correspondencia de negocios legítima o renglones de texto aleatorio al principio o al final de los mensajes. Otro método para evadir los filtros es incluir texto invisible en los mensajes en formato HTML: el texto es demasiado pequeño para ser visto, o el color de las letras es igual que el del fondo.

Ambos métodos tienen bastante éxito contra los filtros de contenido y estadísticos. Los analistas respondieron desarrollando motores de búsqueda que escaneaban los mensajes en busca de textos típicos, que también realizaban un análisis detallado del HTML y del contenido. Muchas soluciones antispam podían detectar tales trucos sin ni siquiera analizar en detalle el contenido de mensajes individuales.
Gráficos

Es muy difícil detectar el spam que se envía en formato gráfico. Los analistas están desarrollando métodos de extraer y analizar el texto contendido en los archivos gráficos.

Textos parafraseados

Un anuncio puede ser parafraseado miles de veces, haciendo que cada mensaje individual aparente ser legítimo. Como resultado, los filtros antispam tienen que ser configurados usando un gran número de muestras antes de que estos mensajes sean detectados como spam.
Resumen

En la actualidad, los spammers suelen usar los tres métodos recién descritos en una variedad de combinaciones. Muchos programas antispam son incapaces de detectarlos. Mientras el envío de spam siga siendo rentable, los usuarios de programas antispam de baja calidad continuarán con su buzón lleno de publicidad.

Fuente viruslist.com

El Spam que proviene de las Botnet sigue creciendo

Según el último informe de MessageLabs Intelligence, en agosto, el spam representó el 92,2%, un aumento de 3,3 puntos desde julio. Uno de cada 327,6 mensajes de correo electrónico fueron bloqueados como maliciosos (una disminución de 0,02 puntos porcentuales) y 21,2 por ciento del malware transmitido por correo electrónico, contenía enlaces a sitios web maliciosos.

El último análisis muestra que el porcentaje de spam enviado desde las botnets ha aumentado a 95% de todo el spam (en abril había sido de 84%). Rustock se mantuvo como la botnet más dominante con el 41 por ciento de envío de correos en agosto frente al 32% en abril pero, además experimentó una reducción de su tamaño desde 2,5 millones de computadoras controladas en abril a 1,3 millones en agosto.

En general, la cantidad total de spam en circulación se ha reducido ligeramente desde los trimestres anteriores y la mayoría de los botnets han reducido el número de bots. Una excepción es Rustock que ha disminuido el número de bots, pero aumentó su volumen de envío con más del doble de la cantidad de spam enviado desde cada bot por minuto, lo que supone un incremento del 6% de spam por día.

Uno de los factores que influyó en el rendimiento de Rustock es que la botnet ha dejado de utilizar el cifrado TLS para enviar spam, lo que le permite acelerar las conexiones. En su punto máximo en marzo, el spam utilizando cifrado TLS representó el 30 por ciento de todo el spam y hasta un 70% del spam generado por Rustock. Ahora que el uso de TLS en el envío de spam ha disminuido, representa menos del 0,5% de todo los envíos.

Es probable que debido a que las conexiones TLS son más lentas por el procesamiento del cifrado adicional para enviar un mensaje de spam, los botmaster se dieran cuenta de que esta técnica impedían sus capacidades de envío de spam. Como resultado, el dominio Rustock nunca se ha visto mejor y su tasa de spam-por-bot-por-minuto ascendió a más del doble de 96 a 192.

EE.UU. es el hogar del mayor número de bots, especialmente de Rustock, Storm y Asprox. En abril de 2010, siete por ciento de los bots de Rustock se encontraban en EE.UU. y este número se duplicó a 14% en agosto.

El informe de seguridad MessageLabs Intelligence Report de agosto 2010 proporciona más detalles sobre todas las tendencias y las cifras señaladas anteriormente

Fuente Segu-Info

Spammers se instalan en Ping, la nueva red social de Apple

Home / Noticias
Spammers se instalan en Ping, la nueva red social de Apple
Gabriela Villarreal | 7.09.2010 11:47 MSK | Comentar

Los spammers no tardaron en dar la bienvenida a la nueva red social de Apple, Ping, inundándola de mensajes spam tan pronto como la inauguraron, y aprovecharon la inseguridad e inexperiencia de la red social para recordar a Apple que ellos también quieren formar parte del más de un millón de usuarios que se unieron a Ping en sus primeros días de existencia.

Los atacantes crearon cuentas falsas que en muchos casos no tienen imagen de perfil ni dan ninguna información sobre el usuario, pero en otros casos dicen ser de artistas famosos como Lady Gaga, U2 y Katy Perry.

Los falsos usuarios llenaron las secciones de comentarios de la red social con ofertas para ganarse iPhones, iPads e iPods gratis y URLs para ingresar a sitios fraudulentos que intentan recopilar información personal de los usuarios.

Los métodos de ataque no parecen diferir de los que se suele ver en otras redes sociales, pero al parecer el problema fue ocasionado por un descuido de Apple y no por la sofisticación de los atacantes.

“Al parecer Apple no tomó esto en consideración cuando diseñó Ping, pues el servicio no implementa filtros de spam ni de URLs”, afirmó Chester Wisniewski, de la empresa de seguridad Sophos.

“Se puede asumir que Ping incorpora algún tipo de filtro rudimentario para evitar que se publiquen mensajes ofensivos, así que esperamos que el equipo de seguridad de Apple extienda esto para que también bloquee mensajes fraudulentos y enlaces maliciosos”, opinó Grahan Cluley de Sophos.

Apple lanzó Ping el 1 de septiembre, con la idea de formar una red social basada en la música para sus 160 millones de usuarios de iTunes. Apple anunció que la red había superado el millón de usuarios sólo dos días después de su lanzamiento.

Fuente Viruslist.com

Los spammers llegan a Ping

Ping es una recién llegada al mundo de las redes sociales, pero sus características la han convertido en objetivo (y diana) de muchos spammers: la red social apareció de forma automática para los160 millones de usuarios de iTunes, a lo que se sumó la falta de previsión de Apple, que no parece haber incluido un filtro anti-spam.

¿El resultado? Según aseguran desde la firma de seguridad Sophos, Ping se ha convertido en el “nuevo patio de recreo de los malos”. Unos malos que, además, intentan aprovecharse de la pasión por Apple de los usuarios de Ping con mensajes centrados en el iPhone.

Desde Sophos urgen a Apple a que extienda el filtro que tienen para evitar mensajes ofensivos para bloquear también los de spam y enlaces maliciosos. “Mientras tanto, de todas formas, los usuarios de Ping deberían desconfiar de lo que lean en el nuevo servicio”, aseguran en la firma de seguridad.

A este problema se une el de la dificultad de los usuarios para buscar a sus amigos en Ping, ya que la conexión con Facebook Connect desapareció misteriosamente del servicio sin ofrecer ninguna explicación a pocas horas de su lanzamiento.

Fuente Itespresso.es

Guía para detectar spamers y scammers en Twitter

Los ataques de scam son aquellos dieñados para realizar un ataque con fines de lucro hacia los usuarios a través de un engaño, generalmente utilizando Ingeniería Social. Últimamente, Twitter ha sido uno de los medios preferidos por los scammer para propagar sus estafas, por ser una de las redes sociales que más ha crecido durante los últimos dos años.

La creación de falsos perfiles es el medio utilizado por los atacantes para enlazar a los usuarios a los sitios con publicidades falsas o promociones extraordinarias, que suelen derivar en la sustracción de dinero de la víctima.

Si usted anda atento, mejor no hacer caso a estoa perfiles, ya que se trata de enlaces de scam, así como también podrían serlo de spam: enlaces publicitarios sin fines maliciosos. Es decir, hay algunos indicios del perfil que permiten determinar que es preferible obviar el perfil. Así que veamos, ¿cómo darse cuenta que un perfil de Twitter es de un spammer o scammer?

* El nombre del perfil no refiere claramente ni a una persona ni a una organización
* La foto de perfil es de una mujer atractiva
* El perfil tiene muchos following y no tantos followers
* No hay una descripción del perfil
* Todos los tweets poseen enlaces, a diversos sitios de dominios extraños

Cuando se juntan estas características en un único perfil, mejor hacer caso omiso por más tentadores que sean los enlaces, y preferentemente bloquear al usuario en cuestión, y hasta incluso reportarlo como spam en la red social. Mejor no exponerse a riesgos innecesarios.

Fuente blogs.eset-la.com

Spam suplanta dominio de la Guardia Civil para propagar malware

Obviando la fama que puedan tener entre los ciudadanos españoles los agentes de los cuerpos y fuerzas de seguridad del estado, cualquier usuario que reciba un email remitido desde el dominio guardiacivil.gob.es, es más que probable que se asuste pensando en alguna multa de tráfico o citación judicial. De este temor parece que se han aprovechado los creadores de una reciente campaña de propagación de malware usando enlaces maliciosos contenidos en correos electrónicos.

La técnica usada no presenta ninguna novedad con respecto a otras usadas con anterioridad. Se nos envía un correo (bastante mal redactado, todo sea dicho) simulando ser una notificación de la Guardia Civil, instándonos a descargar un archivo desde un enlace proporcionado en el propio correo. Posiblemente, este correo hubiese pasado bastante desapercibido si no fuese por el remitente, suplantado usando técnicas de spoofing para hacer creer a los usuarios que este email proviene de alguien de confianza.

Ante el temor de que este archivo que se nos invita a descargar sea alguna denuncia o multa, es más que probable que muchos usuarios piquen en el anzuelo. No obstante, cuando procedemos a realizar la descarga aparecen pistas que nos pueden hacer pensar que, tal vez, el correo no venga de quien dice ser. Si nos fijamos en la dirección desde la cual se descarga el archivo, comprobaremos que no tiene nada que ver con el dominio de la Guardia Civil. Además, el archivo que se descarga es un ejecutable en lugar de un documento en formato .doc, .pdf o similar. Esto no quiere decir que estos otros tipos de archivos no puedan contener malware, pero es lógico pensar que un archivo .exe poca relación tiene con un documento.

Si optamos por descargar el archivo y lo ejecutamos, nuestro sistema quedará infectado con un código malicioso que las soluciones de seguridad de ESET detectan como un troyano Win32/TrojanDownloader.Banload.PFI. Una vez nuestro sistema esté infectado con este malware, procederá a descargarse más archivos maliciosos sin nuestro conocimiento además de robar información sensible de nuestro sistema como usuarios y contraseñas o direcciones de correo electrónico.

A pesar de que la técnica usada para propagarse no es nada novedosa, el uso de un remitente de confianza sigue siendo útil para engañar a los usuarios. Es por eso que, desde el laboratorio de ESET en Ontinet.com, aconsejamos desconfiar siempre de este tipo de correos y revisar con atención cualquier aspecto sospechoso del mismo (enlaces que no se correspondan al dominio del remitente, descarga de archivos de extensión diferente a la que nos esperamos, etc.). Asimismo, contar con un antivirus actualizado, puede evitar que nos infectemos si pulsamos sobre el enlace malicioso.

Fuente: ontinet.com