Troyanos PIF se propagan simulando ser documentos PDF

Troyanos PIF se propagan simulando ser documentos PDF

En las últimas horas han estado circulando correos falsos que simulan ser enviados por Google desde la dirección order@play.google.com. Incluyen un adjunto que a primera vista parecería ser un recibo de compra, pero en realidad se trata de un troyano.

La siguiente es una captura del correo falso, recibido en una cuenta de Outlook:

El adjunto es un archivo comprimido details_item_5402217401_2014.09.03.pdf.zip que en su interior viene con un troyano .pif, un formato de archivo para Windows que puede incluir código ejecutable (VirusTotal 27 / 53). Estos tipos de archivo no son muy utilizados hoy en día para propagar malwares, en este sentido se los asocia más bien con los virus antiguos como el que publican en este informe del año 2000 en vsantivirus.com.

El fichero simula ser un documento o recibo PDF con el nombre (notar la doble extensión .pdf.pif)details_item_9740993888_2014.09.03.pdf.pif.

Los usuarios de Windows pueden caer fácilmente en el engaño ya que por defecto las extensiones de archivo vienen ocultas, pero en este caso además aún con la visualización habilitada la extensión .pif no se puede ver, permanece oculta.

Así se ve el archivo comprimido en el escritorio de Windows, la visualización de las extensiones se encuentra activada y por ello se puede ver la doble extensión .pdf .zip (esta última es la extensión real):

Sin embargo, en el caso del archivo PIF la extensión no es visible y el archivo parece un PDF:

Así que si recibiste el mensaje y ante la curiosidad lo abriste, es recomendable realizar un análisis del equipo con un antivirus actualizado… si ya tienes uno y no recibiste ninguna alerta de seguridad, te recomendaría buscar una segunda opinión con un antivirus online o un antivirus portable de CD o pendrive (en el blog he comentado varios).

Cabe mencionar que si el archivo recibido fuera un documento PDF real, aún así abría que tener mucho cuidado a la hora de abrirlo. Pues los archivos PDF reales pueden ser utilizados para infectar los equipos por el simple hecho de abrirlos.

Esta campaña de spam con archivos PIF en realidad no es nueva, Websense publicó el mes pasado un artículo sobre estos ataques con archivos PIF. Las variantes que analizaron también simulaban ser archivos PDF e infectaban las computadoras con el troyano bancario Zeus, además comentan que el spam era de buena calidad en el sentido de no tener faltas de ortografía y una redacción que se volvía bastante creíble.

Fuente: spamloco.net 

¿Virus en Facebook?

Te han llegado últimamente mensajes a tu bandeja de entrada que dicen "mira como saliste en el video", o "mira este video que hice con tus fotos" y vienen una serie de iconitos y un link a una pagina externa, y al abrir esta se instalará un script que generá una cadena de mensajes a tus amigos conectados, y ocasionalmente te etiquetan en una publicación desde un perfil de Facebook con el mismo mensaje y si lo propagas se enviará a todos tus contactos de Facebook varias veces al día.

Si ya lo has abierto NO INSTALES NINGÚN PLUGIN, COMPLEMENTO, EXTENSIÓN para poder "ver el video"   

Si ya lo has instalado ve a la parte de plugins/complementos/extensiones del navegador que has usado y elimina "Youtube extension 1.4.0" (aviso: puede que tenga otro nombre). y si no sabes el nombre, elimina todos y vuelve a instalar desde la página de complementos. 

Para Internet Explorer la ruta es: HERRAMIENTAS > ADMINISTRAR COMPLEMENTOS 

Para Mozilla Firefox: Abre el menú y selecciona Complementos, (pulsa Ctrl+Mayus+A)

  

Para Google Chrome: Abre el Menú, Configuracion y elige, en el menú lateral EXTENSIONES (PLUGINS) .

REINICIA EL NAVEGADOR, es decir, cierra todas las ventanas de Mozilla Firefox, Internet Explorer o el navegador que uses y luego vuelve a abrirlo.

Para mayor seguridad, Instala algún Antimalware (como el malware bytes) por ejemplo y con este podrás eliminar algun otro código malicioso que haya sido descargado.

Como darte cuenta de que tienes algún malware?. aveces el navegador se cierra solo, te quiere descargar cosas automáticas, o la mas común te abre ventanas a diestra y siniestra de videos extranjeros, de publicidad o de bajar algun programa para "reparar tu computadora", etc, en el mejor de los casos, en otros te enlaza a sitios para adultos, pero esto te puede bajar otro malware mas fuerte tipo RAMSOMWARE que este te "secuestrará" los archivos de tu computadora, tales como el Criptolocker, o el Virus de la Policía. 

Si te ha llegado este puedes hacer  y lo haz abierto, puede ser que tu dispositivo se haya infectado con este malware   

Malware = Virus Informáticos

Malware

La palabra Malware es la contracción de las palabras en inglés “Malicious Software” un término que engloba a todo tipo de programa o código informático malicioso cuya función es dañar un sistema o alterar el funcionamiento normal de una computadora sin el permiso o conocimiento del usuario. 

Dentro de este grupo podemos encontrar términos como: Virus, Troyanos (Trojans), Gusanos (Worm), keyloggers, Botnets,  Ransomwares, Spyware, Adware, Hijackers, Rootkits, Bootkits, Rogues y otras mas. 

También se le suele denominar amenaza lógica, el cual tiene la característica de ejecutarse(trabajar) en segundo plano sin que los usuarios noten su presencia, afectando el rendimiento del sistema. Las amenazas lógicas técnicamente son denominadas como códigos maliciosos y de manera popular generalmente son conocidos como virus informáticos. 

En la imagen se muestra el fragmento de un código escrito el lenguaje Visual Basic Script, el cual cuando se ejecuta en una computadora las unidades de CD/DVD se abren y cierran continuamente. aunque este código se pudiera considerar inofensivo ya que solo provoca molestia a los usuarios, existe una gran diversidad de estos malware que generan daños a los archivos y al sistema operativo.

Virus informáticos

Un virus informático es un malware creado para causar algún daño al sistema alterando su funcionamiento normal, en algunos casos puede llegar a borrar información sin el consentimiento de los usuarios. Algunos virus se replican así mismos para realizar la contaminación y otros necesitan que el usuario invoque algún evento que desencadene las instrucciones de contaminación. 

Su nombre lo adoptan de la similitud que tienen con los virus biológicos que afectan a los humanos, donde los antibióticos en este caso serían los programas Antivirus.

Los virus informáticos representan uno de los mayores problemas para los usuarios de computadoras, afectan en mayor o menor medida a casi todos los sistemas operativos conocidos y usados en la actualidad, pero las mayores incidencias se dan en el sistema operativo Windows debido a su gran popularidad como sistema operativo entre las computadoras personales, la falta de seguridad en esta plataforma al permitir la instalación de programas ajenos a éste sin requerir ninguna autenticación por parte del usuario y la escasa formación de un número importante de usuarios de este sistema, esto ha sido la principal causa, la cual es aprovechada constantemente por los delincuentes informáticos.

Las principales vías de infección son:

• Redes Sociales.
• Sitios webs fraudulentos.
• Redes P2P (descargas con regalo)
• Dispositivos USB/CDs/DVDs infectados.
• Sitios webs legítimos pero infectados.
• Adjuntos en Correos no solicitados (Spam)

Dentro de las contaminaciones más frecuentes por interacción del usuario están las siguientes:

• Mensajes que ejecutan automáticamente programas (como el programa de correo que abre directamente un archivo adjunto).
• Ingeniería social, mensajes como ejecute este programa y gane un premio, o, más comúnmente: Haz 2 clics y gana 2 tonos para móvil gratis.
• Entrada de información en discos de otros usuarios infectados.
• Instalación de software modificado o de dudosa procedencia.

¿Cómo eliminar un virus informáticos?

Si sospecha haber sido víctima de un virus o malware en su equipo, le recomendamos actualizar su antivirus y realizar un escaneo completo de su computadora.

Fuente:  @4LF4-83.

El peligro de las URLs acortadas

Las URLs acortadas nacen en el año 2001, de la mano de los SMS y ciertas aplicaciones como las redes sociales, que solo permiten el envío de mensajes de un número reducido de caracteres. Posteriormente su uso se ha extendido, especialmente gracias a Twitter, ya que solo permite mandar mensajes de hasta 140 caracteres.

A pesar de que estos enlaces son muy útiles, a menudo son utilizados por los ciberdelincuentes para dirigirnos a sitios web de dudosa legitimidad. Ese es su principal riesgo, ya que para saber el destino de esa URL no basta con pasar el cursor por encima del enlace. De hecho, si pasamos el cursor por encima del enlace solo veremos el enlace acortado, pero no su destino real, que podría ser una web maliciosa.

Cuando navegamos por Internet nos exponemos a ciertos riesgos, por eso es importante tener cuidado con los sitios webs que visitamos. Hay direcciones de Internet que no permiten saber dónde nos llevan? Es el caso, por ejemplo, de las URLs acortadas.

Una URL acortada es una dirección web con menos caracteres que la dirección de la página web original, pero que nos dirige a la misma página web. Pongamos un ejemplo el sitio TINYURL

Como podemos comprobar en la imagen, la URL pasa de tener 76 caracteres a solo 26. Sin embargo, esta nueva URL no nos proporciona información de la página a la que nos envía.

Algunos ejemplos de URLs acortadas son 

http://tinyurl.com/nozdaph, 

http://goo.gl/NNVCPY,

http://bit.ly/1dQplGr.

Para confirmar la legitimidad o no del sitio web al que dirige, debemos hacer uso de otras herramientas para analizar estos enlaces como un analizador de direcciones web.

Por supuesto, ¡esto no quiere decir que todas las URLs acortadas sean peligrosas! Pero sí es importante que seamos conscientes de los peligros asociados a este tipo de enlaces y de las precauciones que debemos tomar:

En primer lugar, debemos ser cuidadosos con los enlaces acortados, aunque se utilicen acortadores conocidos como Bit.ly, TinyURL o Goo.gl. A pesar de que haya una gran empresa detrás del servicio en concreto, eso no quiere decir que los enlaces que proporcionan nos redirijan a sitios webs seguros.

Algunos servicios nos permiten conocer la dirección original, incluyendo al final de la URL acortada un distintivo gráfico. Podemos instalar un complemento en el navegador (como es el caso de View Thru para Chrome) que nos permita conocer la dirección original a la que nos lleva el enlace acortado.

pero si usas otro navegador o estas desde un telefono celular para averiguar el enlace original también podemos utilizar un analizador de URL online como virustotal.com.

Debemos instalar en nuestro equipo un antivirus. Muchos de ellos incorporan analizadores de URLs que nos avisan al navegar por Internet, utilizando un código de colores o distintivos gráficos.

Además de todas estas medidas debemos navegar con cautela, acceder a sitios web conocidos y ser cuidadosos con los enlaces sobre los que pinchamos.

Debemos ser conscientes de los riesgos a los que estamos expuestos y no caer en el engaño de pensar que todas las direcciones acortadas son seguras. Podemos evitar tener problemas si tomamos las precauciones oportunas cuando vayamos a pinchar una URL acortada.

Fuente: osi.es

CryptoLocker

Imagínate que un día de estos te llegara un correo electrónico, o simplemente tu computadora te mostrara un mensaje donde te dijera que tu información está "secuestrada", Aunque parece un argumento de ciencia ficción, es una posibilidad real. El virus CryptoLocker está programado para robar sus datos y pedir dinero a cambio de devolvérselos. el método de infección de este virus es la misma de siempre: un programa maligno, disfrazado de algún programa o archivo, se instala en la computadora. La diferencia es su modus operandi: en vez de crear estragos localmente, CryptoLocker encripta tu información y le manda a los secuestradores la clave para desencriptarlo.

¿RESCATE PARA DESENCRIPTAR? 

Normalmente la encriptación de datos suele ser algo bueno. Por ejemplo, las conexiones https encriptan los datos de navegación para que aunque sean interceptados, no puedan leerlos. En otras palabras, la información se esconde con un código secreto para que sólo el propietario pueda verla.

¿Y entonces por qué CryptoLocker es malo? Porque te roba tus propios datos, los encripta y se queda con la llave. Un secuestro de información. Si les pagas un rescate de 300 dólares, supuestamente te darán la clave para desencriptarlos. Si no pagas el rescate, la llave será destruida y tu información se quedará encriptada para siempre. Es decir, inutilizable.

¿CÓMO EVITARLO?

Debido a su forma de operación, CryptoLocker sólo ha infectado computadoras con Windows, pues la estructura de Mac y Linux es distinta. La mayoría de las infecciones han sido en el Reino Unido, pero eso no significa que el resto de computadoras sean inmunes, sólo que hasta el momento no se han presentado infecciones. Las recomendaciones son las mismas de siempre para todo tipo de virus, pero siempre vale la pena recordarlas:

Evita navegar por sitios de dudosa reputación: Ten cuidado con aquellos que aparentan ser un sitio, pero en realidad no lo son. Aunque la página tenga un logotipo fiable, verifica que la URL de la página sea realmente la que debe ser. Una letra puede hacer la diferencia.

No abras archivos sospechosos o que provengan de personas que no reconozcas: Este virus, como muchos otros, pretende ser un archivo inofensivo aunque no lo sea. Puede aparentar ser una imagen o un documento o un programa. Si vas a ejecutar alguno de estos archivos, asegúrate de haberlo bajado de una página legítima.

Mantén actualizado tu antivirus y siempre ejecútalo en segundo plano: A veces desactivamos los antivirus para que no consuman recursos de la computadora. Hacerlo puede hacer vulnerable tu computadora. CryptoLocker sólo requiere unos minutos activo para secuestrar tus datos, así que no vale la pena arriesgarse.

Como Eliminar o Desinfectarse

Cuando se ejecuta, Cryptolocker se instala en la carpeta de programas y empieza a cifrar documentos de Office y LibreOffice, archivos PDF, fotos e ilustraciones, que se vuelven inaccesibles. Los archivos se cifran con una clave que solo poseen los autores de Cryptolocker, lo que imposibilita la recuperación.

Al mismo tiempo, CryptoLocker lanza su terrible amenaza: si el propietario no paga una suma de dinero en el plazo de tres o cuatro días, la clave con la que se bloquearon los archivos será borrada para siempre, y los archivos ya no se podrán rescatar. Es como encerrar a alguien en una celda indestructible y tirar la llave. Sea cual sea tu elección, lo mejor que puedes hacer es obtener una lista de los archivos infectados y cifrados. Para ello, puedes ejecutar la herramienta ListCrilock, que crea un archivo TXT con todos los archivos cifrados por el malware. Otro programa que hace lo mismo es CryptoLocker Scan Tool, que busca archivos tocados por el malware y te dice si necesitan ser recuperados. 

Para eliminar Cryptolocker usé la herramienta Norton Power Eraser, un potente anti-troyanos que Symantec distribuye gratis en su página. 

Una vez que has desinfectado el PC, lo mejor que puedes hacer es recurrir a uno de los "secretos" más interesantes de Windows, las copias sombra (Shadow Copy), versiones previas que Windows almacena cada vez que un archivo se modifica. Para acceder a esta característica basta con hacer clic derecho sobre un archivo y abrir las propiedades. En la pestaña Versiones previas verás las diferentes versiones que Windows ha almacenado. Elige la copia de seguridad más reciente que sea anterior a la infección y haz clic para restaurarla. Una forma más rápida y cómoda de acceder a todas las copias Shadow que hay en el disco duro es a través de la herramienta gratuita ShadowExplorer. 

Los más preocupados pueden usar la herramienta CryptoPrevent para deshabilitar el tipo de permisos que el malware aprovecha para instalarse. La herramienta modifica las políticas de seguridad de Windows para evitar que un programa pueda ejecutarse desde la carpeta de Datos de programa (AppData).

Fuente: Internet