Un nuevo troyano ataca a los terminales Android

Clasificado como Trojan-SMS, se ha descubierto un nuevo malware en los móviles basados en la plataforma de Google que hace que llamen a números Premium sin el consentimiento del usuario.

El nuevo gusano que está afectando a los dispositivos Android se distribuye mediante páginas web en ruso con contenidos para adultos. Desde el site, se insta al usuario a descargar un reproductor de vídeos que en el caso de los usuarios de Android es un troyano, mientras que los usuarios de otras plataformas reciben el contenido deseado.

“Como su predecesor, el troyano Trojan-SMS.AndroidOS.FakePlayer.b, se enmascara como un reproductor”, explican desde Kaspersky, añadiendo que un smartphone sólo puede infectarse si el usuario instala manualmente la aplicación. A los usuarios de smartphones con Android se les pide que descarguen la aplicación pornplayer.apk desde una web infectada para ver vídeos con contenidos para adultos.

Kaspersky señala que el archivo de instalación sólo pesa 16,4 KB y que, durante la instalación, el troyano busca el consentimiento del usuario para enviar mensajes SMS, un requisito poco probable para la instalación de un reproductor. El resultado del malware es que el usuario del terminal Android empieza a enviar mensajes de texto a números premium, cuya consecuencia es una elevada factura telefónica.

Desde la firma de seguridad advierten de que los usuarios de Android deberían prestar atención a los servicios a los que una aplicación pide permiso para acceder. “Permitir automáticamente a una nueva aplicación acceder a cada servicio que dice necesitar significa que se puede terminar con aplicaciones maliciosas o no deseadas haciendo todo tipo de cosas sin solicitar ninguna información adicional”, concluye Denis Maslennikov, director del grupo de investigación móvil de Kaspersky Lab.

Fuente Vulnerabilityteam

Cibercriminales propagan el troyano de SMS para Android con técnicas SEO

Los usuarios de Android que busquen pornografía en sus smartphones pueden llevarse una sorpresa muy costosa.

Mientras buscaba el origen del primer troyano SMS para dispositivos Android, encontré un nuevo paquete para Android que se hacía pasar por un reproductor de media pornográfico pero que en vez de eso enviaba mensajes SMS a números Premium.

Los mensajes SMS cuestan $6 cada uno y se envían a escondidas para que el usuario no lo note.

El último malware de Android (que detectamos como Trojan-SMS.AndroidOS.FakePlayer.b) se distribuye mediante ingeniosas técnicas de optimización de motores de búsqueda (SEO), una señal clara de que los cibercriminales están esforzándose al máximo para infectar los dispositivos móviles. El uso de SEO es un desarrollo significativo que confirma nuestra creencia de que el malware para teléfonos móviles, en especial el que es para Android, es un negocio muy lucrativo para los usuarios maliciosos.

El código de la última variante es similar al de la primera versión, y estoy seguro de que la misma persona (o grupo) está creando y distribuyendo este troyano. La amenaza se está propagando entre los usuarios de Android en Rusia.

El reproductor falso de pornografía no tiene una interfaz. Cuando se lo instala, sólo descarga un ícono (una imagen pornográfica) en la pantalla del smartphone y comienza a enviar mensajes SMS Premium sin el conocimiento del usuario cada vez que se ejecuta la aplicación.

El malware no está disponible en la tienda de aplicaciones de Android. Se está distribuyendo mediante sitios web, pero tomando en cuenta las técnicas de optimización de búsquedas que utiliza es posible que infecte a muchos usuarios.

La aplicación pide al usuario que realice la instalación de forma manual y que le permita el acceso a ciertas partes del sistema operativo, como cualquier otra aplicación para Android. Esto debería ser suficiente para ponerte alerta, en especial porque los reproductores de media no necesitan acceso ni permiso para enviar mensajes SMS.

Como dije en la anterior entrada del blog que escribí sobre este tema, los usuarios de Android deberían prestar mucha atención a los servicios a los que las aplicaciones solicitan acceso. Si no te detienes a pensar en esto y permites que una aplicación acceda a todos los servicios que solicita podrías acabar con una aplicación maliciosa que tiene la libertad de hacer todo lo que quiera sin consultarte. Y no te enterarás de lo que hace.

Fuente viruslist.com

Un nuevo troyano bancario utiliza el rescate de los mineros en Chile para su difusión

El código malicioso Banbra.GUC accede a datos bancarios de los usuarios afectados e instala malware adicional en los equipos.

Los cibercriminales son especialistas en utilizar las noticias de mayor repercusión para difundir sus códigos maliciosos. En esta ocasión, el drama que están viviendo los 33 mineros chilenos atrapados a casi 700 metros de profundidad se ha convertido en un gancho ideal para difundir un troyano bancario.

El código malicioso se denomina Banbra.GUC y se difunde a través de un video sobre el rescate de los mineros. Al ejecutarse, el troyano muestra el vídeo a la vez que captura contraseñas de acceso a servicios de banca online, sin que el usuario se de cuenta.

“Este troyano es especialmente peligroso, ya que además del robo de datos bancarios te instala malware adicional que el ciberdelincuente que lo controla puede actualizar a su antojo”, según explica Luis Corrons, director técnico de PandaLabs.

Entre las entidades afectadas por este troyano, se encuentra el Banco Santander o el Banco do Brasil.

Cuando el usuario visita los sites de estos bancos, el código malicioso descarga unos ejecutables que simulan ser la página en cuestión. Una vez que el usuario ha introducido sus datos, el ejecutable se cierra y devuelve al internauta a la página real del banco, para después enviar la información robada a su creador a través de correo electrónico.

Fuente Silicon news

Troyano simulando actualización de TweetDeck

En el día de ayer TweetDeck publicó un alerta respecto a un troyano informático propagándose por redes sociales como una actualización del cliente para Twitter. Un troyano es un código malicioso que, al igual que la leyenda del caballo de Troya, se disfraza de algo inofensivo cuando en realidad se trata de una amenaza. En el contexto de varias aplicaciones de terceros con problemas de funcionamiento, debido a algunos cambios por parte de Twitter, TweetDeck había anunciado que liberarían una actualización, y atacantes crearon este falso archivo para infectar usuarios.

El archivo, de nombre "tweetdeck-08302010-update.exe", estaba alojado en direcciones URL bajo el dominio alturl.com, y se propaga a través de mensajes en Twitter con mensajes en inglés acompañando el enlace, como "TweetDeck funcionará hasta mañana, ¡actualice ahora!", "¡Descargue la actualización de TweetDeck cuanto antes!" o "¡Apurese en descargar la actualización de TweetDeck!", entre otras. El alerta de la gente de TweetDeck fue muy clara: "Los tweets son de cuentas hackeadas y ese archivo no viene de nosotros, no lo descarguen".

Como bien recuerda el equipo de soporte, las actualizaciones deben ser descargadas desde el sitio web oficial de TweetDeck, y esta es una buena práctica que deben tener los usuarios al momento de hacer clic en enlaces o descargar aplicaciones: chequear que sean descargadas desde los sitios oficiales de los fabricantes. Es una de las prácticas más importantes para no ser víctima de los troyanos, los disfraces que estos utilicen pueden ser muy atractivos, y el usuario debe estar atento.

Fuente Bitelia.com

Emails anuncian falsas muertes de celebridades para propagar malware

El uso de personas famosas como reclamo para engañar a los usuarios (normalmente movidos por el morbo que generan) y hacer que pulsen sobre enlaces o ejecuten archivos adjuntos maliciosos, es algo frecuentemente usado por los creadores de malware. Este pasado fin de semana hemos podido comprobar como una nueva campaña de propagación de malware se difundía usando como asunto del mensaje la muerte de varias celebridades.

En ese mensaje se nos informa de que una persona famosa (Madonna, Jeniffer Lopez, Justin Timberlake, Miley Cyrus, etc.) ha fallecido junto con otras 34 personas en un accidente aéreo cuando intentaban aterrizar en el aeropuerto de Dubrovnik, debido a una intensa lluvia y pobre visibilidad. Obviamente, esta noticia es falsa y solo pretende captar la atención del usuario para que ejecute el archivo adjunto.

El archivo adjunto es un fichero .html que, en el caso de que lo ejecutemos, intentará acceder a una web maliciosa alojada en un dominio de México y, una vez allí, descargar un troyano que es detectado como HTML/IFrame.F. En el momento de escribir este artículo, el sitio ya era detectado y bloqueado por la mayoría de navegadores actuales pero algunos sistemas con navegadores antiguos como Internet Explorer 6 podrían no alertar al usuario de esta amenaza.

La propagación de este tipo de amenazas, camufladas en archivos html es una tendencia bastante frecuente en los últimos meses. Al no ser una extensión de las que los usuarios consideran peligrosas, la posibilidad de que pulsen sobre estos archivos es bastante mayor que en correos con otro tipo de ficheros adjuntos. Asimismo, a muchos filtros antispam aun les cuesta detectar amenazas en estos archivos puesto que el código malicioso suele encontrarse en un enlace preparado con ese fin y no en el correo.

Fuente http://blogs.protegerse.com/laboratorio/

Hackers' roban más de 1 millón de dólares de las cuentas de un banco británico

Como informaramos hace un par de días. Piratas informáticos están actualmente sacando fondos de una institución financiera británica a través de un sofisticado virus bautizado 'Zeus', advirtió el miércoles la firma californiana M86, especializada en seguridad en internet.

Los 'hackers' ya obtuvieron más de un millón de dólares (675.000 libras esterlinas) desde principios de julio "y el ataque sigue en curso", advirtió M86 en un mensaje en internet.

La aplicación pirata se introduce secretamente en las computadoras y está concebida para desviar las operaciones bancarias en línea, explica M86.

"Los clientes de una de las mayores instituciones financieras son víctimas de un ataque sofisticado proveniente de ciber-criminales que utilizan programas malévolos en la web para robar dinero a través del sistema bancario en línea", escribe M86 en su mensaje.

Se identificó un centro de comando y control de los piratas informáticos en Europa del Este y la información sobre la estafa fue notificada a autoridades policiales, afirma M86.

Trend Micro advierte sobre Bootnet controladas por bandas de Cibercriminales

Las redes criminales consiguen millones de euros al año mediante la utilización de troyanos que secuestran a los navegadores de los usuarios para redirigirles a publicidad patrocinada. Al menos es lo que afirma la empresa de seguridad Trend Micro después de realizar una investigación.

En un post, la compañía explica que las bandas criminales podrían generar beneficios de varios millones de euros cada año con una red de 150.000 bots simplemente secuestrando y controlando los resultados de las búsquedas.

Estas redes de bots, o botnets, se nutren cada día de decenas de miles de máquinas, que sustituyen a las que consiguen salir de ellas. En el caso de una de las botnets estudiadas, cuenta con más de dos millones de ordenadores que se han infectado en lo que va de año, y se prevé que la cifra se duplique este invierno.

Los criminales que hacen uso de las botnets son, en opinión de Trend Micro, pacientes, ya que prefieren esperar a hasta que la redes de bots están completamente formadas para sacar el máximo partido de las víctimas.
Desde Tren Micro también explican que normalmente las redes de bots están formadas por más de cien servidores en todo el mundo y que quienes los controlan son capaces de incrementar esta cifra rápidamente y aprovechar cualquier actividad criminal que surja. Esto hace, según la empresa de seguridad, que “los daños colaterales de sus actividades sea enormes”.

Los troyanos capaces de secuestrar a navegadores llevan a sus víctimas a las páginas web que quieren visitar y consiguen dinero si se accede a los anuncios patrocinados. Se trata de una manera muy fácil y lucrativa de capitalizar el éxito de los tradicionales motores de búsqueda. De hecho, en el informe de Trend Micro se recoge que con una red de 150.000 bots, los criminales pueden conseguir varios millones de euros cada año sólo por secuestrar los resultados de las búsquedas.

Android estrena su primer troyano mediático

En los laboratorios de Kaspersky se han topado esta semana con lo que podría ser el primer espécimen que afecta, de manera significativa, al sistema operativo para dispositivos móviles de Google: Android.

Era cuestión de tiempo que una plataforma como Android, con una cuota cada vez más amplia en el mercado de los smartphones, dejara de ser ignorada por los creadores de malware.

No obstante, sin explosión mediática, ya se tenía conocimiento de spyware en casos puntuales y pruebas de concepto como el rootkit presentado en la última edición de la conferencia BlackHat.

El recién bautizado SMS.AndroidOS.FakePlayer.a, con 13Kb de peso, se dedica una vez instalado en el sistema a enviar SMS indiscriminadamente a números con tarificación especial. Cobrados a algo más de 4 euros el mensaje. En principio sólo parece afectar a Rusia aunque no se descarta que aparezcan versiones adaptadas a otros países.

Llega con la forma de un reproductor multimedia y cuando se instala pide permiso para efectuar operaciones de acceso a la tarjeta de memoria, envío de SMS y consulta de datos sobre el dispositivo. Autorizaciones sospechosamente poco relacionadas con la prometida funcionalidad de reproducción multimedia.

A pesar de las advertencias del sistema, este tipo de solicitudes podrían ser ignoradas por el usuario medio que no suele reparar y pensárselo mucho antes de pulsar el "Aceptar" del cuadro de diálogo.

Se da la circunstancia que en el mismo día, la BBC ha publicado un reportaje donde se muestra la creación de una aplicación maliciosa, entre otros smartphones para Android, con funcionalidad de spyware.

A pesar de la coincidencia no está relacionado con el descubrimiento de Kaskersky. Se trata de una prueba de concepto para "demostrar lo fácil que es crear aplicaciones maliciosas para un smartphone".

Recordemos el reportaje del mismo estilo de marzo de 2009. En aquella ocasión la BBC diseminó un malware creado para la ocasión que llegó a infectar 20.000 usuarios y crear una botnet con ellos.

Con tiempo es de esperar que surja más malware para este tipo de dispositivos que día a día van ganando en usuarios.

fuente hispasec.com

Troyano "Dot-Torrent" aprovecha el miedo a las descargas "ilegales"

Tomado de Hispasec

Presentamos una nueva familia de lo que se podría denominar "Ransomware" o "Rogueware". La finalidad de este espécimen, como de tantos otros, es obtener los datos de la tarjeta de crédito de la víctima. Lo que nos ha llamado la atención es la forma tan elaborada de conseguirlo. Hemos realizado un vídeo demostración.

El troyano ha sido denominado por algunas casas antivirus como Dot-Torrent, aunque otras lo introducen en la familia "FakeAlert", "PrivacyProtector" y "Antipiracy ". No es técnicamente novedoso, ni siquiera en su planteamiento. Lo llamativo es la forma tan cuidada de engañar al usuario para que termine pagando por descargar contenido "protegido". Juega brillantemente con el potencial sentimiento de "culpa" de un usuario que comparte contenidos multimedia en la Red. Aprovecha el "miedo" que han inculcado en el usuario organizaciones como la RIAA, MPAA, Copyright Alliance... para pedir dinero y evitar así un ficticio proceso judicial. El troyano se apoyaba en una web (icpp-online.com, actualmente offline) que contenía supuestas noticias que avalaban la existencia del software, informando sobre campañas de concienciación y persecución de los infractores.

En la sociedad americana, el troyano está obteniendo un "éxito" importante, aunque su difusión no es masiva. Hace ya algo más de un mes que está activo, mejorando con diferentes versiones.