Modificador de hosts sencillo evita la detección de los antivirus


Una parte importante de los troyanos realizan acciones de modificación del archivo hosts.





Son los conocidos como "modificadores de hosts" o como "host modifier". Durante el análisis de un malware de este tipo en nuestro laboratorio, y con gran sorpresa, observamos que no fue detectado por ningún antivirus. Lo hemos analizado para ver su código malicioso y comprender por qué no fue detectado.

Dentro del departamento antifraude de Hispasec, una de las acciones que solemos realizar diariamente es el análisis de malware que afecta a los clientes de las entidades bancarias suscriptoras de nuestros servicios antifraude. Estamos acostumbrados a tratar con múltiples muestras, aunque generalmente solemos encontrar versiones de las familias más habituales. Sin embargo, de vez en cuando, encontramos alguna muestra que nos sorprende por no ser detectada por antivirus, aportar alguna técnica novedosa, etc.

El análisis de esta nueva muestra (con hash
ecc58e97f64ca42fe638e499a2ad7f50a3008f30f071cecb71b2c223d7d8d1ac) permitió observar que realizaba una modificación del hosts pero no empleaba ningún mecanismo de ofuscacion o poliformismo. Esto nos sorprendió, ya que una acción como la de modificar el archivo hosts debería ser detectado por al menos un buen número de antivirus. Actualmente esta muestra es detectada por 12 de 47 antivirus.

Un "HostModifier" es un modificador del archivo hosts. El archivo hosts contiene la correspondencia entre el nombre de un dominio y su dirección IP. Cuando Windows resuelve la dirección IP, va a consultar primero el archivo host y si el dominio no está dentro, hace una petición al servidor DNS para recoger la dirección IP.

Un atacante puede modificar el archivo hosts para redireccionar los dominios reales a dominios fraudulentos. Este ataque se utiliza para robar datos como, por ejemplo credenciales bancarias. Además, este ataque es más sencillo de realizar para robar datos y credenciales, comparado con otras familias más elaboradas y complejas como Zeus, Citadel, SpyEye, etc.

Fuente:
Por Laurent Delosieres
http://hispasec.com



Otras noticias de interés:

Mandriva no pagará a Microsoft por su protección
El equipo francés que está detrás de la distro de Linux ha rechazado públicamente cualquier acercamiento que pueda hacer Microsoft en su plan de acoger a todos los desarrolladores de código abierto....
Microsoft Message Queuing Remote Overflow Universal Exploit
Vulnerabilidad que en forma remota permite la ejecución de código en colas de mensajes, una vez que se ejecutó un atacante puede hacerse del control completo del sistema afectado....
Nueva versión del BugBear (Win32/Bugbear.B)
Este virus se está distribuyendo aceleradamente en las últimas horas por Internet. Se trata de un gusano de envío masivo con capacidad de propagarse también a través de recursos compartidos en red. Infecta archivos con extensión .EXE y finaliza...
Actualización de las 20 vulnerabilidades más críticas
SANS Institute acaba de publicar al versión 6.0 de su guía sobre las 20 vulnerabilidades de seguridad más críticas. Hace ahora cuatro años, SANS Institute conjuntamente con el FBI publicó un documento donde se describían las diez vulnerabili...
Adobe Flash 10 y sus vulnerabilidades
Flash ya va por su versión 10. En esta nueva actualización, Adobe ha potenciado sobre todo las posibilidades de explotar el sonido por parte de los diseñadores. El problema es que con esta versión, además, aprovecha para dejar sin resolver tempo...
IBM cede código de Lotus Symphony para OpenOffice
La suerte no ha abandonado por completo al proyecto OpenOffice después de que Oracle lo donase a la Fundación Apache para el software, pues ahora es IBM quien contribuirá con éste proyecto donando el código de Lotus Symphony para OpenOffice, una...
W3C recibe Web Tracking Protection de Microsoft
La World Wide Web Consortium (W3C) ha aceptado de manos de Microsoft, un mecanismo de protección de navegador web para proteger a los usuarios mientras navegan en la red....
Nuevo gusano ataca servidores MySQL
Symantec ha identificado una variante del gusano W32.Spybot que ataca los servidores MySQL en la plataforma Microsoft Windows....
Evento GNU/ Linux en Maracaibo - Venezuela
Bajo el rótulo de El Evento Linux de Venezuela, del 14 al 15 de octubre del presente año se desarrollará en la ciudad de Maracaibo este evento que persigue la congregación de diferentes miradas para fomentar el Conocimiento y Uso del Sistema Op...
Actualización de seguridad para Adobe Reader y Acrobat
Adobe ha publicado una actualización para corregir 15 vulnerabilidades en Adobe Reader y Acrobat en diferentes plataformas, que podrían permitir a un atacante tomar el control de los sistemas afectados. ...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • deteccion
  • evita
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • hosts
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • modificador
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sencillo
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra