Aplicaciones Moviles Gratis, Seguridad, Tecnologia, Android, Apple: #Virus

Creador de malware de whatsapp PC es arrestado

<br />
<div style="text-align: justify;">
Prometía espiar los mensajes de móviles
 enviados a través de la popular aplicación, pero lo que hacía en 
realidad es infectar ordenadores de forma masiva y robar las contraseñas
 de las víctimas en redes sociales</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Guardia Civil ha detenido
 en Torrelavega (Cantabria) al creador del malware WhatsApp PC, que 
prometía espiar los mensajes de móviles enviados a través de la popular 
aplicación, pero que lograba infectar ordenadores de forma masiva y 
robar las contraseñas de las víctimas en redes sociales.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Según informa la Dirección General de la Guardia Civil, el detenido 
había creado un archivo informático bautizado con los nombres <i>"Win WhatsApp"</i>, <i>"WhatsApp PC"</i> y <i>"WhatsApp Espía"</i>
 con los que supuestamente la persona que se lo instalase en su 
ordenador podría acceder, según anunciaba su propio creador, al whatsapp
 de su novio y de sus amigos.</div>
<div style="text-align: justify;">
<br /></div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiwmZOCWhBLbQFMZ_D2VYIwC9InzwbFmzm0Di19nu5GgM7hwec4xTDNQKIzuO7cFFZY4PsmFbPcJ-QTKuapgXNy7UvwY6E5r4qYZ04uaU0SUFZ8_eMfJaO4teQgIHmVce3f4a4f33QEtpA/s1600/whatsapp-espia.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="285" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiwmZOCWhBLbQFMZ_D2VYIwC9InzwbFmzm0Di19nu5GgM7hwec4xTDNQKIzuO7cFFZY4PsmFbPcJ-QTKuapgXNy7UvwY6E5r4qYZ04uaU0SUFZ8_eMfJaO4teQgIHmVce3f4a4f33QEtpA/s1600/whatsapp-espia.jpg" width="400" /></a></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Pero lejos de esta promesa, y una vez instalada la aplicación, el 
detenido recibía automáticamente las claves de acceso de los perfiles en
 redes sociales de las víctimas.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Con las contraseñas en su poder conseguía un "efecto en cadena" al 
seguir publicitando su "milagroso" programa entre los contactos de los 
que ya habían sido infectados, la mayoría al picar el anzuelo del 
detenido, que había creado incluso páginas web que simulaban ser la 
oficial de la empresa estadounidense de mensajería instantánea.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
De esta forma, despertaba la curiosidad de millones de usuarios e 
impulsaba la descarga indiscriminada y la propagación de su creación de 
forma masiva.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Fruto de las investigaciones los agentes especializados en delitos 
informáticos de la Unidad Central Operativa de la Guardia Civil 
localizaron al creador del malware en un domicilio de Torrelavega 
(Cantabria), donde el detenido poseía un propio servidor en el que 
almacenaba toda la información robaba.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
En total contenía más de sesenta bases de datos con información de miles
 de usuarios españoles, así como un archivo de órdenes automatizadas 
para enviar el malware.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
También los agentes localizaron varias páginas web donde se seguían alojando paquetes con la aplicación listos para su descarga.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Fuente: <a href="http://www.noticiasdot.com/wp2/2014/09/06/arrestado-el-creador-del-virus-whatsapp-pc/">NoticiasDOT</a></div>

Prometía espiar los mensajes de móviles enviados a través de la popular aplicación, pero lo que hacía en realidad es infectar ordenadore...

ZeuS de 64 bits enriquecido con Tor

<div style="text-align: justify;">
El hito inevitable: ZeuS de 64 bits ahora viene enriquecido con Tor 
Dmitry Tarakanov Kaspersky Lab Expert Posted December 11, 11:22  GMT 
Tags: Internet Banking, Botnets, Malware Creators, x64, Keyloggers, 
Passwords, ZeuS 0<br />
<br />
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhKfWqtE7XlcyRi05MPXwSqMAtFW0BpZn68t9Kp9w2YYcTHjhXO6r0cl7TWEn5qrFaqhDijmcaryR8udkK4BrPCiYc6PSZlYp3OxgGOa_rYT4eeenyEe7XBDujkwW_Iybv8QmtGIvbTmfAG/s1600/trojan.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="286" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhKfWqtE7XlcyRi05MPXwSqMAtFW0BpZn68t9Kp9w2YYcTHjhXO6r0cl7TWEn5qrFaqhDijmcaryR8udkK4BrPCiYc6PSZlYp3OxgGOa_rYT4eeenyEe7XBDujkwW_Iybv8QmtGIvbTmfAG/s400/trojan.jpg" width="400" /></a></div>
</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Mientras más gente se traslada a plataformas de 64
 bits, más malware de 64 bits aparece. Hemos estado siguiendo este 
proceso por varios años. Y mientras más gente trabaja en plataformas de 
64 bits, más aplicaciones de 64 bits se desarrollan. A veces esto 
incluye aplicaciones muy específicas, como aplicaciones bancarias, por 
ejemplo. Si alguien quisiera irrumpir en una aplicación como ésta y 
robar información, la mejor herramienta para hacerlo sería un agente de 
64 bits. ¿Cuál es el programa malicioso bancario más famoso? ZeuS, sin 
duda: el programa que impone las tendencias para la mayoría de los 
programas bancarios de hoy en día. Sus inyecciones de red se han 
convertido en una característica fundamental para casi cualquier familia
 de malware bancario. Sólo era cuestión de tiempo para que apareciera 
una versión de 64 bits de ZeuS, pero no esperábamos que llegara tan 
pronto.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Y no lo esperábamos porque por ahora los cibercriminales 
en realidad no necesitan una versión de 64 bits. Una de las principales 
funciones de Zeus es interceptar los datos que pasan mediante los 
navegadores y modificarlos para que su operador pueda esconder sus 
rastros o robar información sobre las cuentas bancarias y transacciones 
de dinero que realizan los usuarios por Internet. Pero en la actualidad 
la gente sigue usando navegadores de 32 bits, aún en sistemas operativos
 de 64 bits. Por lo tanto, las versiones de 32 bits de ZeuS han sido 
suficientes para mantener a los ladrones satisfechos con sus ganancias.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
De
 pronto, sin previo aviso, encontramos un ejemplar de ZeuS de 32 bits 
con una versión de 64 bits adentro. Y resulta que esta versión de 64 
bits ya se había detectado activa en Internet por lo menos desde junio 
de 2013, y ¡la fecha de compilación del ejemplar es 29 de abril de 2013!
 Pero hay más: esta versión de ZeuS funciona mediante Tor. El ejemplar 
inicial de 32 bits inyecta códigos maliciosos en algunos procesos 
específicos. Si el proceso pertenece a una aplicación de 64 bits, ZeuS 
inyecta su versión de 64 bits; de otro modo, instala la de 32 bits. 
Hicimos unas pruebas para ver cómo se comportaba un ejemplar de ZeuS de 
64 bits dentro de Internet Explorer de 64 bits, y vimos el 
comportamiento usual de ZeuS: las inyecciones web funcionaron como de 
costumbre.</div>
<br />
<div style="text-align: justify;">
La dirección de la página web de uno de los bancos 
acabó en las reglas de inyección web de esta versión de ZeuS. Una regla 
de inyección web dice:</div>
<div style="text-align: justify;">
<i>data_before<br /><b>    <input id="e_finance_login" class="button" type="submit"</b><br />data_end<br />data_inject<br /><b>    onclick="return gotoo();" </b><br />data_end</i></div>
<div style="text-align: justify;">
lo
 que significa que cuando una víctima visita la página web del banco y 
el código HTML de esa página tiene una cadena de caracteres después de 
la etiqueta "data_before", ZeuS inserta texto adicional después de la 
etiqueta “data_inject” justo después de la cadena de caracteres objetivo
 inicial. Al visitar esta página durante una infección activa de ZeuS en
 Internet Explorer de 64 bits, observamos la siguiente inserción 
maliciosa en el código HTML del navegador:</div>
<br />
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214172.jpg" title="" /><br />
</div>
<div class="c">
<b>Código inyectado en una página bancaria de Internet en Internet Explorer de 64 bits</b></div>
<div class="c">
<b> </b> </div>
<div style="text-align: justify;">
La función maliciosa <i>gotoo()</i>
 se especifica en otra regla de inyección web para este sitio, y se 
agrega al código HTML de la página bancaria junto con otros códigos 
maliciosos. Esta función recolecta información valiosa de la página 
(datos de inicio de sesión, contraseña, cookies y otros valores 
especiales especificados en la página) y los envía a un dominio 
controlado por el operador de ZeuS.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Entonces, la versión de ZeuS 
de 64 bits sí funciona. Pero, ¿de verdad existen tantos usuarios que 
hayan migrado a navegadores de 64 bits como para justificar el esfuerzo 
de crear una versión de 64 bits de ZeuS? No, no los hay. La proporción 
de usuarios que ejecutan navegadores de 64 bits sigue siendo 
insignificante. Según nuestras estadísticas, por ejemplo, el porcentaje 
de usuarios que navegan con 64 bits en Internet Explorer es menor al 
0,01%. Entonces, ¿por qué compilaron una versión funcional de 64 bits? 
Admito que a nosotros no nos parece muy complicado: el código fuente 
está disponible, sólo se necesitan un par de arreglos para hacer que 
funcione en procesos de 64 bits y poder compilarlo como una aplicación 
de 64 bits. Pero tal vez nos equivocamos y se necesita mucho más 
esfuerzo para crear una versión funcional de ZeuS de 64 bits.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Además,
 encontramos un error en la versión actual: cuando ZeuS inyecta una 
contraparte de 64 bits en el proceso de 64 bits de la aplicación EMET 
Notifier, hace que este proceso colapse. Esto se debe a un error en los 
cálculos de algunas de las direcciones de funciones API: por ejemplo en 
ZeuS, el proceso de EMET Notifier trata de llamar a la función 
WSAStartup, pero la variable que debería tener la dirección de esta 
función no dirige a ella. En vez de eso, dirige a una memoria no 
asignada que hace que todo el proceso EMET Notifier genere la excepción 
“Violación de acceso” y concluya el proceso.</div>
<div style="text-align: justify;">
<br /></div>
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214173.png" title="" /><br />
</div>
<div class="c">
<b>Colapso de EMET Notifier debido a errores en el código deZeuS x64</b></div>
<div class="c">
<br /></div>
<div style="text-align: justify;">
Si
 no es tan simple crear una versión estable de 64 bits de Zeus y la gran
 mayoría de los usuarios siguen empleando navegadores de 32 bits, 
entonces uno se pregunta: ¿por qué se molestan? Tal vez es sólo una 
estrategia de mercadeo – una nueva característica, aunque inútil, que 
atrae a los compradores. Ofrecer compatibilidad con navegadores de 64 
bits es una buena forma de promover el producto y atraer compradores 
(operadores de redes zombi).</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
También es interesante que el archivo
 de configuración de esta versión de ZeuS incluya una larga lista de 
programas con los que funciona el malware si los encuentra en el sistema
 infectado. Hay programas diversos, pero todos ellos tienen información 
privada valiosa que a los cibercriminales les encantaría robar: datos de
 inicio de sesión, certificados, etcétera. Recuerda que ZeuS puede 
interceptar las teclas que pulsas y los datos que se envían y reciben en
 una red antes y después de que se decodifiquen, usando típicas 
funciones API del sistema. Entonces, cuando opera dentro de estos 
programas, ZeuS puede interceptar y reenviar mucha información valiosa 
al operador de la red zombi. Esta es la lista completa de programas:</div>
<br />
<div>
<table border="0" class="fullbrd" style="width: 80%px;"> <tbody>
<tr> <td>bitcoin-qt.exe<br />
tiny.exe<br />
ibank2.exe<br />
putty.exe<br />
winscp.exe<br />
filezilla.exe<br />
openvpn-gui.exe<br />
openvpn.exe<br />
mstsc.exe<br />
java.exe<br />
javaw.exe<br />
Zvit1DF.exe<br />
iFOBSClient.exe<br />
KLBS.exe<br />
vegaClient.exe<br />
Pionner.exe<br />
cb193w.exe<br />
BK_KW32.exe<br />
KlientBnk.exe<br />
ibconsole.exe<br />
CliBank.exe<br />
CliBankOnlineUa.exe<br />
CliBankOnlineRu.exe<br />
CliBankOnlineEn.exe<br />
SftMailW.exe<br />
SRCLBClient.exe<br />
EximClient.exe</td> <td>client.exe<br />
CbShell.exe<br />
CB.exe<br />
ARMSH95.exe<br />
arm.exe<br />
arm_mt.exe<br />
asbank_lite.exe<br />
bank.exe<br />
bank32.exe<br />
bbclient.exe<br />
bbms.exe<br />
bk.exe<br />
bnk.exe<br />
budget.exe<br />
cbank.exe<br />
cbmain.exe<br />
clb.exe<br />
client6.exe<br />
clientbk.exe<br />
clntstr.exe<br />
clntw32.exe<br />
cncclient.exe<br />
contactng.exe<br />
core.exe<br />
cshell.exe<br />
cyberterm.exe<br />
dealer.exe</td> <td>dsstart.exe<br />
dtpaydesk.exe<br />
edealer.exe<br />
eelclnt.exe<br />
elbank.exe<br />
etprops.exe<br />
etsrv.exe<br />
fcclient.exe<br />
ip-client.exe<br />
iwallet.exe<br />
jscashmain.exe<br />
kb_cli.exe<br />
lfcpaymentais.exe<br />
loadmain.exe<br />
lpbos.exe<br />
mmbank.exe<br />
mstsc.exe<br />
mwclient32.exe<br />
payments.exe<br />
paymmaster.exe<br />
pinpayr.exe<br />
pkimonitor.exe<br />
pmodule.exe<br />
pn.exe<br />
postmove.exe<br />
prclient.exe<br />
productprototype.exe</td> <td>qiwicashier.exe<br />
qiwiguard.exe<br />
quickpay.exe<br />
rclaunch.exe<br />
rclient.exe<br />
retail.exe<br />
retail32.exe<br />
rtadmin.exe<br />
rtcert.exe<br />
saadm.exe<br />
saclient.exe<br />
sxdoc.exe<br />
termw.exe<br />
translink.exe<br />
twawebclient.exe<br />
uarm.exe<br />
ubs_net.exe<br />
unistream.exe<br />
upofcards.exe<br />
uralprom.exe<br />
w32mkde.exe<br />
wclnt.exe<br />
webmoney.exe<br />
wfinist.exe<br />
winpost.exe<br />
wupostagent.exe<br />
xplat_client.exe</td></tr>
</tbody></table>
</div>
<h2>
Instalación</h2>
<div style="text-align: justify;">
Dejando
 de lado el hecho de que incluye la versión de 64 bits de sus 
comunicaciones CnC mediante Tor, esta versión de ZeuS se comporta como 
cualquier otro malware basado en ZeuS. Deposita sus archivos en carpetas
 con nombres generados de forma automática en el directorio %APPDATA% 
con nombres aleatorios:</div>
<br />
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214174.png" title="" /><br />
</div>
<div class="c">
<b>Carpetas de instalación</b></div>
<div class="c">
<b> </b> </div>
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214175.png" title="" /><br />
</div>
<div class="c">
<b>Troyano instalado</b></div>
<div class="c">
<b> </b> </div>
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214176.png" title="" /><br />
</div>
<div class="c">
<b>Zona de descarga local de ZeuS</b> </div>
<br />
La persistencia se logra como Zeus suele hacerlo, creando un valor en la llave Run de autostart del sistema en el registro:<br />
<br />
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214177.png" title="" /><br />
</div>
<div class="c">
<b>ZeuS está programado para ejecutarse durante el inicio del sistema.</b></div>
<div class="c">
<b> </b> </div>
<div style="text-align: justify;">
La
 versión interna del malware que se indica en el cuerpo del bot es 
3.0.0.0, lo que en realidad no significa nada. Sin duda no es una 
tercera generación de ZeuS como el autor del programa trata de hacernos 
creer. El proceso de descarga del archivo de configuración sugiere que 
esta versión está más cerca al código fuente inicial filtrado de ZeuS 
2.0.8.9 que, por ejemplo, a la rama Citadel. La versión Citadel se 
deshizo del acceso simple a los archivos de configuración y su CnC sólo 
permite que se lo descargue usando una solicitud HTTP POST precisa, 
mientras que el CnC de esta versión de ZeuS no evita que se descargue un
 archivo de configuración mediante una simple solicitud URL a la ruta de
 archivo. Por lo tanto, cualquier persona que conozca la URL correcta 
puede descargarlo usando navegadores, wget, curl, etc.</div>
<h2>
Тоr</h2>
<div style="text-align: justify;">
Además
 del componente de 64 bits de ZeuS, esta versión mantiene en su cuerpo 
una función de tor.exe de la versión 0.2.3.25. Tor.exe se ejecuta de 
forma indirecta – ZeuS inicia la aplicación del sistema svchost.exe en 
modo suspendido, después inyecta el código tor.exe en este proceso 
svchost.exe suspendido, ajusta el código para que funcione sin problemas
 y procede con la reanudación del svchost suspendido. Como resultado, en
 vez de ejecutar el svchost.exe del sistema, el proceso comienza a 
ejecutar tor.exe.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
La herramienta Tor que se hace pasar por el proceso svchost.exe crea un servidor proxy HTTP que atiende al puerto TCP 9050.</div>
<div style="text-align: justify;">
<br /></div>
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214178.png" title="" /><br />
</div>
<div class="c">
<b>Proxy de tor ejecutándose como un proceso svchost.exe</b> </div>
<br />
<div style="text-align: justify;">
Entonces,
 por ejemplo, si ajustas el navegador en un equipo infectado para que 
funcione mediante proxy 127.0.0.1:9050, todo el tráfico del navegador 
pasará por la red Tor. El servidor CnC de esta versión de ZeuS se ubica 
en el dominio onion: egzh3ktnywjwabxb.onion. Por lo tanto, cuando el 
malware se comunica con su CnC, envía solicitudes mediante el proxy 
mencionado para alcanzar la red Tor y su CnC.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Es más, ZeuS crea un servicio escondido de Tor en el equipo infectado que ejecuta los siguientes parámetros cuando inicia <i>tor.exe</i>:</div>
<div style="text-align: justify;">
<br /></div>
<i>-HiddenServiceDir "%APPDATA%\tor\hidden_service"<br /> -HiddenServicePort "1080 127.0.0.1:<случайный</i> <i>порт 1>"<br /> -HiddenServicePort "5900 127.0.0.1:<случайный</i> <i>порт</i> <i>2>"</i><br />
<br />
<div style="text-align: justify;">
En
 esencia, estos parámetros tienen la función de dar indicaciones 
específicas sobre cómo ejecutar el servicio oculto (servidor web onion) 
en equipos específicos. HiddenServiceDir define dónde se ubica la 
configuración del servicio en forma local, y HiddenServicePort define 
cómo redirigir a los usuarios que se conectan a tu dominio onion a tu 
servidor web que se ejecuta de forma local. Los usuarios suelen 
conectarse a dominios web en el puerto 80, que está asignado al 
protocolo HTTP, pero tu servidor web podría aceptar conexiones entrantes
 a otro puerto, por ejemplo el 1080. En tal caso, tor.exe debe iniciarse
 con el siguiente parámetro:</div>
<div style="text-align: justify;">
<br /></div>
<i>-HiddenServicePort "80 127.0.0.1:1080"</i><br />
<br />
<div style="text-align: justify;">
esto significa que, cuando los usuarios se conectan de un modo común mediante el navegador a .onion,
 alcanzan tu equipo donde tor.exe acepta una conexión en el puerto 80 y 
lo redirige al puerto 1080 del equipo local que está en la lista del 
servidor web. Por ende, los usuarios se conectan a tu servidor web.</div>
<div style="text-align: justify;">
Pero
 en el caso de ZeuS es más probable que no haya ni un solo servidor web 
ejecutándose en un equipo infectado. Entonces, ¿por qué quiere el 
malware abrir un servicio oculto además del mapeo de este puerto a 
puertos aleatorios? La respuesta está en el mismo ZeuS. Crea una carpeta
 de configuración de tor para cada alojamiento infectado, generando una 
llave única privada para el servicio oculto y, por consiguiente, un 
nombre de dominio exclusivo. Por su parte, tor.exe posibilita el 
funcionamiento del servicio oculto con un nombre de dominio onion único.</div>
<div style="text-align: justify;">
<br /></div>
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214179.png" title="" /><br />
</div>
<div class="c">
<b>Creado por la carpeta de configuración tor de ZeuS</b></div>
<div class="c">
<b> </b> </div>
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214180.png" title="" /><br />
</div>
<div class="c">
<b>Creado por la carpeta de configuración tor de ZeuS</b></div>
<div class="c">
<b> </b> </div>
<div class="c">
<img alt="" border="1" src="http://www.viruslist.com/sp/images/vlweblog/208214181.png" title="" /><br />
</div>
<div class="c">
<b>Ejemplo de un dominio generado relacionado con un host infectado</b></div>
<div class="c">
<b> </b> </div>
<div style="text-align: justify;">
Cuando
 se ejecuta en un sistema infectado, ZeuS atiende a los puertos que se 
generaron de forma aleatoria y que se recordaron durante la primera 
ejecución del malware. El operador de la red zombi conocerá el dominio 
onion que se genera en relación con todos los equipos infectados 
mientras que el malware informa al CnC sobre su nombre de dominio tor. 
Entonces, cuando un equipo infectado está conectado a Internet, el 
operador de la red zombi puede alcanzarlo conectándose a su dominio 
onion único mediante la red Tor. Uno de los propósitos de esta medida es
 tener control remoto del equipo infectado. Por ejemplo, uno de estos 
puertos atiende específicamente a la función VNC de ZeuS, lo que sin 
duda significa que ZeuS ofrece control remoto del equipo al operador 
mediante este puerto.</div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Pero el funcionamiento de ZeuS mediante Tor
 no es nuevo. Hemos rastreado ejemplares de ZeuS con signos de 
comunicaciones Tor que datan de 2012 en las que, junto con infecciones 
de ZeuS, el proxy Tor y el servicio oculto Tor se desplegaron en equipos
 infectados. En Internet hay hasta instrucciones que indican todos los 
pasos a seguir para aprender a usar tor.exe de modo que el tráfico de 
ZeuS o Spyeye pase mediante la red Tor, así como guías para crear un 
dominio onion para alojar CnCs para estos troyanos bancarios. Pero la 
mayoría de estos ejemplares más antiguos tenían dominios CnC 
especificados en sus cuerpos como localhost o 127.0.0.1, lo que implica 
que los ejemplares de ZeuS o Spyeye en sí mismos no tenían una relación 
muy estrecha con las comunicaciones Tor, mientras que la versión de ZeuS
 descrita en esta entrada tiene un dominio onion de comando y control 
egzh3ktnywjwabxb.onion, definido en su bloque interno de parámetros. Y 
tor.exe se incluye directo en su cuerpo y el mismo ZeuS lo ejecuta. Por 
lo tanto, las comunicaciones Tor y la versión de 64 bits son partes 
inseparables de este ejemplar de ZeuS, con la funcionalidad incluida en 
la etapa de desarrollo más temprana.</div>
<h2>
Conclusión</h2>
Cualesquiera
 que hayan sido las intenciones del autor del malware que creó este 
ejemplar de ZeuS – ya sea por una estrategia de mercadeo o para cubrir 
las bases de una necesidad futura – el hecho es que ya existe un ZeuS de
 64 bits, y podemos concluir que se ha alcanzado un nuevo hito en la 
evolución de ZeuS. Además, este ejemplar reveló otra característica 
distintiva que se ha agregado a la funcionalidad de ZeuS: el malware 
ZeuS tiene la capacidad de trabajar por sí mismo mediante la red Tor con
 dominios CnC onion, lo que significa que ahora se ha unido a un selecto
 grupo de familias de malware con esta capacidad.<br />
<br />
<b>Ejemplares</b><br />
<br />
Detectamos los ejemplares de ZeuS de 32 bits en cuestión como: <b>Trojan.Win32.Scarsi.uhm </b>- 52d3b26a03495d02414e621ee4d0c04e <b>HEUR:Trojan.Win32.Generic </b>
 - b33d3509ce930bcc796a9e2904f426d7 Detectamos los ejemplares de ZeuS de
 64 bits extraídos de los ejemplares de 32 bits ya mencionados como: <b>Trojan-Spy.Win64.Zbot.a</b> - cc793e5b0df621b8d572cf4e7f26e053<br />
<br />
<a href="http://www.viruslist.com/sp/weblog?weblogid=208188904" target="_blank">Fuente </a>

El hito inevitable: ZeuS de 64 bits ahora viene enriquecido con Tor Dmitry Tarakanov Kaspersky Lab Expert Posted December 11, 11:22 GMT ...

Hesperbot: un nuevo troyano bancario

<div style="text-align: justify;">
<i>La siguiente publicación es una traducción y adaptación del post "<a href="http://www.welivesecurity.com/2013/09/04/hesperbot-a-new-advanced-banking-trojan-in-the-wild/" rel="nofollow" target="_blank">Hesperbot – A new, Advanced Banking Trojan in the wild</a>" escrito por Robert Lipovsky y publicado en We Live Security.</i><br />
<br />
Recientemente, se descubrió un troyano bancario que afecta a usuarios  
que utilizan los servicios de banca en línea. Este troyano afectó a  
usuarios de<b> Turquía, República Checa, Portugal y el Reino Unido</b>. Asimismo, utiliza una campaña de <i>phishing</i>
  que son muy realistas, tomando como objetivo del mismo a sitios de  
organizaciones de gran reputación para incrementar la tasa de éxito del 
 código malicioso.</div>
<div style="text-align: justify;">
<br /></div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEghYzJx1POQHhjOL8GGX3D4JW88xlB09X6zeUQI31WBJLks2CFBioxtZuR3PM18Y7HAwWh60Zkh-cDJSZNxtlxGxJVekrRANaW7SnkoAYJm-Z44aXFEYkeN8SqUcre6Nm2z90qGWlbbL_d3/s1600/Aparece_el_Hesperbot.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="270" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEghYzJx1POQHhjOL8GGX3D4JW88xlB09X6zeUQI31WBJLks2CFBioxtZuR3PM18Y7HAwWh60Zkh-cDJSZNxtlxGxJVekrRANaW7SnkoAYJm-Z44aXFEYkeN8SqUcre6Nm2z90qGWlbbL_d3/s400/Aparece_el_Hesperbot.jpg" width="400" /></a></div>
<div style="text-align: justify;">
<br />
<br />
ESET ha realizado una investigación sobre<b> Win32/Spy.Hesperbot</b>. Pueden consultar las publicaciones sobre nuestros colegas de Norte América tituladas <a href="http://www.welivesecurity.com/2013/09/06/hesperbot-technical-analysis-part-12/" rel="nofollow" target="_blank">Hesperbot Technical Analysis Part 1/2</a> y <a href="http://www.welivesecurity.com/2013/09/09/hesperbot-technical-analysis-part-22/">Hesperbot Technical Analysis Part 2/2</a>. Asimismo, también ponemos a disposición el <a href="http://www.welivesecurity.com/wp-content/uploads/2013/09/Hesperbot_Whitepaper.pdf"><i>whitepaper</i></a> para su descarga.<br />
<br />
A mediados del mes de Agosto, descubrimos una campaña de propagación de 
malware en República Checa. En un principio, esta campaña llamó nuestra 
atención debido a que el malware se encontraba alojado un sitio que 
supuestamente pertenecía al servicio postal checo.<br />
<br />
El análisis de la amenaza reveló que se trataba de un troyano bancario 
con características y objetivos similares a los ya conocidos <a href="http://securitymovil.com/search/?q=zeus" rel="nofollow" target="_blank">Zeus</a> y <a href="http://securitymovil.com/search/?q=spyeye" rel="nofollow" target="_blank">SpyEye</a>, pero con diferencias a nivel de implementación que sugieren que pertenece a una nueva familia de códigos maliciosos.<br />
<br />
Hesperbot es un troyano bancario muy potente que incluye características
 tales como funcionalidades de keylogging, captura de pantalla y video, 
posibilidad de establecimiento de un proxy remoto. Además, incluye 
algunas funcionalidades avanzadas, entre las que se incluye la 
posibilidad de establecer un servidor VNC remoto en el sistema infectado
 y la capacidad de interceptar el tráfico de red sobre el sistema de la 
víctima incluyendo la capacidad de inserción de código HTML.<br />
<br />
Cuando se realizaron comparaciones entre la muestra obtenida del sitio 
en República Checa y nuestros archivos, notamos que ya habíamos 
detectado genéricamente variantes previas como Win32/Agent.UXO las 
cuales no solo afectaban a usuarios de República Checa. Instituciones 
bancarias de Turquía y Portugal también fueron afectadas.<br />
<br />
El objetivo de los atacantes es robar las credenciales bancarias de 
acceso de las potenciales víctimas y lograr que instalen componentes del
 malware en sus teléfonos con plataformas Symbian, Blackberry o Android.<br />
<br />
<a href="http://blogs.eset-la.com/laboratorio/2013/09/10/hesperbot-un-nuevo-troyano-bancario-avanzado/" rel="nofollow" target="_blank">Contenido completo en fuente original ESET I</a> y <a href="http://blogs.eset-la.com/laboratorio/2013/09/12/analizando-complejidad-hesperbot/" rel="nofollow" target="_blank">II</a></div>
<div style="background-color: white; border: medium none; color: black; overflow: hidden; text-align: left; text-decoration: none;">
<br /></div>

La siguiente publicación es una traducción y adaptación del post " Hesperbot – A new, Advanced Banking Trojan in the wild " escri...

El 22% de las aplicaciones de Google Play tienen Adware

<div style="text-align: justify;">
Un último <a href="http://research.zscaler.com/2013/08/normal-0-false-false-false-en-us-x-none_8.html" target="_blank">informe publicado por Zscaler</a>
 ha detectado que el 22% de las principales aplicaciones de Google Play 
tienen adware. Estamos hablando, de más de 1.800 aplicaciones. Los  
adware son programas que muestran publicidad automática a los usuarios  
durante la instalación de la aplicación, o durante su utilización. Son  
un medio de generar ingresos a los creadores, pero el  problema de este 
tipo de software es que a menudo se considera spyware,  ya que recoge 
las conductas online de los usuarios.</div>
<div style="text-align: justify;">
<br /></div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgUdPtJA-FAc5WyCmgoninBVGXgBHZRtHs6Nkriz1i53uGEeANyaOZy3CsVC_WFKxqL7Zh0KYpbtAhyM_hkLaiF1OzwHJ0qsquU8bbl_0ZYeHzHc0zg9BEIIRMVp2a7YsahN_kFU5teMROo/s1600/Google_Play_Adware.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="240" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgUdPtJA-FAc5WyCmgoninBVGXgBHZRtHs6Nkriz1i53uGEeANyaOZy3CsVC_WFKxqL7Zh0KYpbtAhyM_hkLaiF1OzwHJ0qsquU8bbl_0ZYeHzHc0zg9BEIIRMVp2a7YsahN_kFU5teMROo/s400/Google_Play_Adware.png" width="400" /></a></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
<a href="http://research.zscaler.com/2013/08/normal-0-false-false-false-en-us-x-none_8.html" target="_blank">Viral Gandhi</a>, investigador de seguridad de <a href="http://www.zscaler.com/threatlabz/index.php" target="_blank">ThreatLabZ,</a>
 acusa a Google de permitir su proliferación, porque a pesar de que 
muchas empresas de seguridad han calificado a Airpush API como adware, 
hay muchas aplicaciones dentro de Google Play que la incluyen. Se trata,
 en opinión del investigador, de un conflicto de intereses. <i>"Google tiene un montón de incentivos para permitir aplicaciones con prácticas agresivas de publicidad",</i> dice Gandhi en un post.<br />
<br />
<i>"El uso excesivo de publicidad puede impactar negativamente en la  
privacidad de los usuarios y, como resultado crear una experiencia  
negativa"</i>, asegura Gandhi, afirmando al mismo tiempo que la 
publicidad es necesaria para que los desarrolladores de aplicaciones 
ganen dinero.<br />
<br />
Fuente: <a href="http://muyseguridad.net/2013/08/12/google-play-adware/" target="_blank">Muy Seguridad</a></div>
<div style="background-color: white; border: medium none; color: black; overflow: hidden; text-align: left; text-decoration: none;">
<br /></div>
<div style="text-align: justify;">
<br /></div>
<div style="background-color: white; border: medium none; color: black; overflow: hidden; text-align: left; text-decoration: none;">
<div style="text-align: justify;">
<br /></div>
</div>

Un último informe publicado por Zscaler ha detectado que el 22% de las principales aplicaciones de Google Play tienen adware. Estamos ha...