Tag

Troyano

Browsing

 

El equipo de la compañía de seguridad Bluebox ha encontrado una nueva vulnerabilidad para dispositivos Android que convierte aplicaciones legítimas en troyanos, pasando totalmente desapercibido por la tienda de aplicaciones, el teléfono o el usuario. Esta vulnerabilidad afecta a cualquier dispositivos Android lanzado al mercado en los últimos cuatro años y en función del tipo de aplicación, un hacker puede explotar la vulnerabilidad de cualquier cosa, desde el robo de datos.

Los ataques maliciosos a dispositivos Android se han convertido ya en un clásico. Aplicaciones falsas que insertan malware en el dispositivo o que intentan realizar ataques de phishing está a la orden del día. Sin embargo una nueva amenaza, que pasa desapercibida a ojos de los usuarios, puede acabar radicalmente con el terminal Android.

Según asegura la compañía de seguridad Bluebox Security en su último informe, una nueva vulnerabilidad descubierta para Android convierte cualquier aplicación instalada de forma legítima en el terminal en un troyano. Mientras que el riesgo para los usuarios y las empresas es grande, este riesgo se agrava si se tienen en cuenta las aplicaciones desarrolladas por los fabricantes de dispositivos como HTC, Samsung, Motorola o LG, o de terceros que trabajan en cooperación con el fabricante del dispositivo, ya que se otorgan privilegios elevados especiales dentro de Android, específicamente el acceso UID de sistema.


image008


Norton recientemente identificó un programa de acceso remoto (conocido como RAT), escrito completamente en el lenguaje de programación JAVA, que es distribuido libremente en foros clandestinos y puede ser descargado por  cualquier usuario registrado en el foro. El RAT lleva el nombre de “Frutas”.

El RAT “Frutas” permite a los criminales crear un archivo JAR[1] de conexión del cliente para ejecutarse  en un equipo comprometido. Cuando se ejecuta, se analiza un archivo de configuración incorporada para una dirección IP y puerto del servidor al cual conectarse. El RAT proporciona cierta ofuscación menor, lo que permite que el criminal utilice una clave de cifrado para algunas funcionalidades de acceso remoto integradas.

Sin título

[1]Por sus siglas en inglés, Java ARchive es un tipo de archivo que permite ejecutar aplicaciones escritas en el lenguaje Java.

Al recibir una conexión de acceso remoto, el servidor RAT alerta al criminal y les permite realizar diversas funciones en la computadora infectada, incluyendo:

  • Consultar o matar los procesos del sistema
  • Examinar los sistemas de archivos
  • Descargar y ejecutar archivos
  • Enviar mensajes emergentes
  • Abrir un sitio web específico en un navegador
  • Llevar a cabo rechazos de ataques de servicio contra una dirección IP específica
    Sin título

Figura 3. Funcionalidad del acceso remoto

Sin título

Figura 4. Ejemplo del mensaje pop-up que se envía a los usuarios

El archivo JAVA(con extensión JAR)utiliza un cargador personalizado que carga los archivos cifrados de clase (llamado Opción [1-14]) ya que recibe comandos desde el servidor de controlado RAT. La clave, especificada por el atacante cuando crea el acceso remoto, se utiliza para cifrar los archivos de clase utilizando DES con un cifrado de lujo.

Sin título

Figura 5. Descompilación del accesso remoto Java

 

Este es un RAT de baja prevalencia que va dirigida, aunque no se limitan a la base pirata en español. Esto se puede ver en la baja tasa de detección. Symantec detecta el controlador y constructor como “Hacktool”y el acceso remoto control  como “Backdoor.Trojan”.

Sin título


Según Symantec, es uno de los troyanos que más se ha difundido este año, este troyano puede comunicarse con el exterior y mandar información personal, por ejemplo contraseñas bancarias, cuentas de correo, número de teléfono, etc.

El troyano en especifico parece haber sido detectado en algunos juegos que quizás hayas descargado en instalado en tu equipo, así que revista la lista que te presentamos a continuación y si has instalado alguno de estos juegos, te recomendamos eliminarlo y cambiar las contraseñas que hayas usado en el equipo.

Acá la lista de juegos infectados.

 

  • Counter Elite Force
  • Counter Strike Ground Force
  • CounterStrike Hit Enemy
  • Heart Live Wallpaper
  • Hit Counter Terrorist
  • Stripper Touch girl
  • Balloon Game
  • Deal & Be Millionaire
  • Wild Man
  • Pretty women lingerie puzzle
  • Sexy Girls Photo Game
  • Sexy Girls Puzzle
  • Sexy Women Puzzle

 

Symantec ah dicho que los equipos infectados están entre 1 a 5 millones de usuarios, así que ya sabes siempre que descargues algo revisar los permisos que se les dan a la aplicaciones que instalamos.