NOTICIAS AL DIA HACKER-FREE

Vulnerabilidad en Word utilizada en recientes ataques.

Se han reportado ataques a usuarios de Microsoft Office, a partir del envío de documentos alterados. Los ataques explotan una vulnerabilidad crítica en este software, no solucionada aún por Microsoft
El problema ocurre por un error de límites al manejarse documentos de Word malformados, lo que provoca una corrupción de la memoria operativa del programa, pudiéndose lograr la ejecución de código no deseado.
Microsoft ha alertado sobre esta nueva vulnerabilidad, y en su documento especifica que solo es vulnerable Microsoft Office Word 2002 Service Pack 3. Otras versiones de Word parecen no serlo.
Al momento actual, no se tiene información de que esta clase de ataque esté siendo explotada de forma masiva, pero es recomendable no abrir documentos no solicitados enviados por personas conocidas o no

La estafa del MonaRonaDona y el antivirus falso 

La semana pasada, varios vendedores de antivirus, comenzaron a recibir reportes de un incremento de usuarios infectados por algo llamado "MonaRonaDona virus", una pieza de malware que amenaza con el mal funcionamiento de las computadoras en protesta por la violación de los derechos humanos.
Pero en este caso, solo se trata de un trozo de código relativamente inocuo, creado con la intención de asustar a la gente para que compre un nuevo (y falso), antivirus. Una variante un poco más sofisticado del clásico chantaje con virus como Fenc.A, Cryzip.A, Gpcode.B y otros, que ofrecen instrucciones para reparar los archivos modificados, a cambio de transferir cierta cantidad de dinero a alguna cuenta bancaria.

El mecanismo de infección, parece haber sido la descarga de un falsa herramienta de optimización llamada "RegistryCleaner2008". Al ejecutarse la misma, un archivo de nombre "srvspool.exe" es instalado en la carpeta de inicio de Windows, de tal modo que el virus se vuelve a ejecutar en cada reinicio. Nada sofisticado por cierto.
Lo que pronto queda muy claro, es que el principal objetivo del virus, es llamar la atención sobre si mismo, contrastando con la tendencia de la mayoría del malware moderno, que utiliza a los equipos de los usuarios infectados para obtener ganancias millonarias de múltiples formas, siendo la base de su éxito pasar lo más desapercibidos posible en los equipos infectados
En este caso, el MonaRonaDona se hace muy visible, porque su objetivo es obtener ganancias con la venta de un supuesto antivirus capaz de eliminarlo. El truco montado, es llevar a los usuarios a buscar en buscadores como Google, información sobre el virus y de como eliminarlo.

Al principio, poca información sobre el MonaRonaDona podía ser encontrada, pero curiosamente una de las entradas llevaba a la página de un muy reciente producto antivirus (unigray.com, actualmente no accesible). En dicha página, una noticia sobre "nuevas amenazas de spyware", mostraba en el primer lugar al MonaRonaDona.
En otras entradas en Google, un blog de alguien que firma como "ParadiseForever" afirma que "el virus de computadora Monaronadona está causando estragos infectando a ordenadores en todo el mundo", y que "la única solución sería instalar un buen paquete de software antivirus." Aunque menciona a productos muy conocidos, el post afirma "que pueden no funcionar con este virus, y que en cambio [el hasta ahora desconocido] Unigray Antivirus es el único capaz de quitarlo". Por supuesto, hay un enlace a la descarga de este falso antivirus.
Pero ese no es el único resultado de la búsqueda. Pronto aparecen otros con alabanzas al Unigray Antivirus, incluido un vídeo de YouTube.
El objetivo final, es que el usuario que desee quitar el virus de su computadora infectada, deberá pagar casi 40 dólares por el Unigray "el único producto capaz de eliminarlo".
No hay que investigar mucho para que resulte claramente sospechoso el hecho que el tal Unigray Antivirus, hace solo un par de semanas no era conocido por nadie, ni existía su sitio web. Y que lo único que "limpia" es al tal MonaRonaDona.
Sobre este tema, el vendedor de seguridad PrevX, ha publicado una fascinante investigación, que revela la historia completa del MonaRonaDona, realizada a partir de las pistas que el mismo código no se preocupa en ocultar, como por ejemplo, un enlace a una compañía de software.
El investigador, incluso llega a comunicarse telefónicamente con el dueño de dicha compañía, una persona residente en Pakistán, la cuál, luego de una curiosa charla, confiesa que llevó a cabo el proyecto a partir de un mensaje recibido a través de Elance.com, un sitio donde programadores "free- lance" pueden ofrecer u obtener trabajos.
El programador también mencionó que se contrató a escritores, a razón de 10 dólares el artículo, para escribir comentarios falsos sobre el MonaRonaDona y Unigray, "y también sobre el RegistryCleaner2008.
El programador también mencionó que se contrató a escritores, a razón de 10 dólares el artículo, para escribir comentarios falsos sobre el MonaRonaDona y Unigray, "y también sobre el RegistryCleaner2008.
Aunque ya nada debería sorprendernos, no deja de ser asombroso hasta que grado de sofisticación se puede llegar para crear este tipo de estafas.
El MonaRonaDona no causa ningún daño grave al sistema, pero interfiere con su correcto funcionamiento, además de provocar molestias al usuario, influyendo negativamente en la productividad del equipo. El malware no deja que se ejecuten ciertos programas (como el Administrador de tareas de Windows), modifica el título de la ventana del Internet Explorer para incluir su nombre, y muestra una ventana de advertencia.
ESET NOD32 detecta esta amenaza y sus posibles variantes como Win32/Adware.UniGrayAntivirus.

Falsa alerta de infección que copia ventana de NOD32

La visita a ciertas páginas de MySpace, puede traer sorpresas inesperadas para un incauto internauta. Por ejemplo, cuando se visita una de esas páginas, una ventana emergente que simula ser la de ESET NOD32 puede mostrarse al usuario.

Dicha ventana es falsa (tiene un parecido con la ventana de alerta de la versión 2.7 de NOD32, pero pueden verse claramente las diferencias si examinamos la imagen número 2). Sólo cómo curiosidad, vemos que la ventana de alerta de las versiones 3.0 es mucho más pequeña y discreta (imagen 3).
[ver imágenes en http://www.vsantivirus.com/27-05-08.htm]
Aunque las diferencias pueden parecer obvias para algunos, muchos seguirán el enlace que muestra la ventana falsa (Click here to visit Windows Security Center web site...). Este enlace descargará un troyano en el equipo de la víctima.
Es cierto que salvo la forma y los colores, los nombres de los productos mencionados son diferentes a las soluciones de ESET, pero de todos modos induce a confusión.
No es la primera vez (ni será la última), que se han reportado varias páginas de MySpace y otros sitios similares, infectadas con un script, que hace que cada vez que el usuario haga clic en determinados lugares de la página, se descargue un código malicioso.
La mayoría de estos programas no deseados, presentarán al usuario falsas advertencias de infecciones, instándolo a que descargue un falso producto de seguridad.
La sugerencia es no seguir enlaces de este tipo. En el caso de los productos de ESET, estos se actualizan de forma automática, y nunca le van a pedir que visite una página para hacerlo por una amenaza puntual.

Pronostican un millón de nuevos virus para este año

La compañía de seguridad informática F-Secure nunca antes había registrado tantos virus y códigos malignos como durante el primer trimestre de 2008.
F-Secure indica que nunca había registrado tantos virus y programas malignos como durante los primeros 3 meses de 2008. La compañía agrega que si la propagación de códigos malignos continúa al mismo ritmo, para fin de año habrán surgido un millón de nuevos virus.
La compañía informa que a diario recibe alrededor de 25.000 pruebas de código maligno.
De manera paralela al incremento del número de virus, aumenta también su grado de perfeccionamiento. Elementos criminales apuestan en grado cada vez mayor por lo que F-Secure denomina “infección al paso"; esto implica que los intrusos infectan servicios en línea de todo tipo con código maligno, que a su vez es propagado hacia los usuarios. Según la compañía, el sitio en cuestión puede ser totalmente normal, y puede tratarse de un periódico o de un banco en línea. Pero al visitarlo, el usuario incorpora en su sistema código maligno.
F-Secure indica además que durante el primer trimestre de 2008 detectó el primer caso de intento de extorsión mediante un troyano inserto en un teléfono inteligente.
En este caso, la víctima había sido inducida a descargar un programa gratuito. El programa en cuestión bloqueó las aplicaciones de teléfono y cifró los datos, exigiendo luego al usuario pagar para recuperar el acceso normal a sus propios archivos y programas. La compañía estima que esta forma de delincuencia aumentará a futuro, ya que los teléfonos inteligentes significan tanto para los usuarios que estos a menudo estarán dispuestos a ceder ante los intentos de extorsión.
Con base en lo anterior, F-Secure sugiere a los usuarios instalar software antivirus en sus computadoras.