Modificador de hosts sencillo evita la detección de los antivirus


Una parte importante de los troyanos realizan acciones de modificación del archivo hosts.





Son los conocidos como "modificadores de hosts" o como "host modifier". Durante el análisis de un malware de este tipo en nuestro laboratorio, y con gran sorpresa, observamos que no fue detectado por ningún antivirus. Lo hemos analizado para ver su código malicioso y comprender por qué no fue detectado.

Dentro del departamento antifraude de Hispasec, una de las acciones que solemos realizar diariamente es el análisis de malware que afecta a los clientes de las entidades bancarias suscriptoras de nuestros servicios antifraude. Estamos acostumbrados a tratar con múltiples muestras, aunque generalmente solemos encontrar versiones de las familias más habituales. Sin embargo, de vez en cuando, encontramos alguna muestra que nos sorprende por no ser detectada por antivirus, aportar alguna técnica novedosa, etc.

El análisis de esta nueva muestra (con hash
ecc58e97f64ca42fe638e499a2ad7f50a3008f30f071cecb71b2c223d7d8d1ac) permitió observar que realizaba una modificación del hosts pero no empleaba ningún mecanismo de ofuscacion o poliformismo. Esto nos sorprendió, ya que una acción como la de modificar el archivo hosts debería ser detectado por al menos un buen número de antivirus. Actualmente esta muestra es detectada por 12 de 47 antivirus.

Un "HostModifier" es un modificador del archivo hosts. El archivo hosts contiene la correspondencia entre el nombre de un dominio y su dirección IP. Cuando Windows resuelve la dirección IP, va a consultar primero el archivo host y si el dominio no está dentro, hace una petición al servidor DNS para recoger la dirección IP.

Un atacante puede modificar el archivo hosts para redireccionar los dominios reales a dominios fraudulentos. Este ataque se utiliza para robar datos como, por ejemplo credenciales bancarias. Además, este ataque es más sencillo de realizar para robar datos y credenciales, comparado con otras familias más elaboradas y complejas como Zeus, Citadel, SpyEye, etc.

Fuente:
Por Laurent Delosieres
http://hispasec.com



Otras noticias de interés:

Gusanos Korgo: un peligroso experimento que ya va por la duodécima variante
Su autor parece estar experimentando continuamente con el objetivo de conseguir nuevas variantes que, en un momento dado, puedan sorprender a los usuarios y provocar una gran epidemia. En un principio, el gusano Korgo.A fue considerado como una...
Microsoft Windows XP/2003 Remote Denial of Service Exploit
Este exploit permite crear un DOS en forma remota a equipos con Windows XP/2003 vulnerables...
Hackeando a Mr Robot
Una serie que esta dando mucho que hablar es Mr Robot, serie tipo thriller psicológico. Mr. Robot es una serie de televisión estadounidense creada por Sam Esmail que se estrenó el 24 de junio de 2015 en la cadena USA Network....
La verdad sobre misteriosos ataques a Windows 2000
La semana pasada, algunas noticias indicaban una extraña serie de ataques a servidores ejecutando Windows 2000. El alerta, no especificaba las causas, puestos que en un primer momento estas no habían sido identificadas....
La próxima GPL protegerá el software libre de las demandas
La próxima versión de la General Public License incluirá una cláusula que impedirá utilizan patentes contra el software libre....
Ocultar extensiones de ficheros con codificación Unicode
No es algo nuevo pero últimamente, el malware se está aprovechando de esta característica especial de codificación que permite engañar al usuario para que crea que un archivo ejecutable no lo es, puesto que ciertos programas lo muestran de forma...
Revelación de información sensible en Opera 7.52 y 7.53
Se ha descubierto una vulnerabilidad en algunas versiones del popular navegador Opera que podría ser explotada por un usuario remoto para adquirir información sensible de un sistema remoto....
Rutkowska utiliza Windows XP... pero sin antivirus
Joanna Rutkowska, posiblemente una de las mayores expertas del mundo en malware, utiliza Windows XP x64 en su ordenador principal, y sin ningún antivirus, porque "no le gusta su aproximación al problema del malware". ...
#Google denuncia dominios similares a Youtube
Google ha dado los primeros pasos para cerrar una serie de dominios con nombres que imitan a Youtube, como Youtub, Youtbe o Yutube. Estas páginas pertenecen a la misma persona y se utilizan para realizar una falsa encuesta en nombre del portal de v...
Boletines de seguridad publicados por Microsoft en septiembre
El martes 14/09/2010 Microsoft ha publicado nueve boletines de seguridad (del MS10-061 al MS10-069) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft cuatro de los boletines presentan un nivel de gr...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • deteccion
  • evita
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • hosts
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • modificador
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • sencillo
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra