Mebroot

---

Poniéndome al día en noticias de seguridad informática que ha habido últimamente, he encontrado esta entrada en Sahw, sobre Mebroot, el primer malware instalado en el Master Boot Record que se ha conocido en mucho mucho tiempo.

Los equipos técnicos de F-Secure y de Symantec han colaborado en la investigación de este malware. Se puede ver una presentación sobre Mebroot realizada en las conferencias Virus Bulletin de este año, con algunos detalles interesantes (aunque me pierdo en la parte más técnica). Por ejemplo, que hubo algunos prototipos de software similar presentados en BlackHat en 2005 ("Bootroot") y en 2007 ("Vbootkit").

Según la propia presentación, es el primer rootkit, que se instala en el MBR, que además incluye un payload realmente malo en sus tripas, permitiendo descargar todo tipo de software malicioso, incluyendo troyanos bancarios. Se menciona Neosploit en la presentación, indicando la evolución de versiones de este paquete con Mebroot, entre Enero y Agosto 2008.

Algunos de sus puntos fuertes:

• no deja ningún ejecutable en el sistema de ficheros
• no utiliza ninguna clave del registro de Windows, ni tampoco ninguna manera estándar de lanzar la ejecución de un programa. Utiliza un buen número de funciones de la API de Windows no documentadas.
  
• no instala ningún tipo de módulo o driver nuevos en el sistema
• "huella" mínima en la memoria de la máquina infectada
• se ejecuta en los primeros estadios del arranque del sistema (está en el MBR)
• todas las operaciones de lectura y escritura en disco son difícilmente rastreables, también lo son sus comunicaciones por la red (por ejemplo, emplea un buen cifrado en todas estas comunicaciones)
• es capaz de protegerse frente a soluciones software que intente eliminarlo
  

Resulta ser así, en palabras de F-secure, la pieza de malware más maligna y más avanzada conocida hasta la fecha, ha tenido un proceso de desarrollo muy cuidadoso y de gran calidad (no "cuelga" ninguna de las máquinas que infecta), y que tiene como principal objetivo las webs de banca online.

Se utiliza la web para distribuirlo, es decir, un usuario se infecta porque ha visitado una sitio web comprometido previamente.

En fin, un nombre que nos deberá sonar, aunque sea sólo como culturilla general informática... porque dará mucho mucho mal.

Slds!

Algo más de información:
Symantec security response

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por email o por RSS...

Still alive...

---

¿Muchos días sin escribir nada, verdad? Tranquilidad, no he perdido interés por el blog... un pico de trabajo me impide tenerlo atendido como se merece, pero en un par de días volveré a estar en plena forma :) . Mientras, dejo un enlace a un pequeño artículo de Eugene Kaspersky, sobre cibercrimen, que me ha gustado leer.

Slds!

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por email o por RSS...

Panda betatester

---

Panda (cuyo blog suelo mencionar) lanzó la semana pasada una promoción para dar a conocer su nuevo Panda Internet Security 2009 (versión Beta), para lo cual, entre otras cosas, se han puesto en contacto con muchísimos de los que escribimos algo sobre seguridad (y otros, supongo), pidiéndonos que demos publicidad a la promoción, y de paso, que nos unamos a su comunidad de betatesters.

Prometen 150 Nintendo DS, a aquellos que encuentren incidencias de seguridad, de las cuáles, a día de hoy, han entregado 18.

Yo me animaré a descargarlo y probarlo, me den o no una Nintendo DS (que cambiaría gustoso por una pata de jamón, la verdad, aunque la agradeceré si toca).

¡Anímate!

LiveCD para recuperación y reparación de sistemas Windows

---

Se llama Trinity Rescue Kit o TRK. Es una distribución Linux pensada para labores de recuperación y reparación en máquinas con Windows. (También vale para sistemas Linux, según se indica en la página web, pero el autor no tenía eso en mente).

Básicamente, es una recopilación de utilidades que podríamos conseguir por otras vías, que puestas todas juntas resultan en un CD que viene muy a mano.

Entre las cositas que facilita, están:

• borrar la contraseña de un usuario de Windows
• emplear distintos antivirus para hacer una limpieza del disco (Bitdefender, ClamAV, F-Prot, AVG y Verixa), utilizando un único comando para ejecutar cualquiera de ellos y/o actualizar sus ficheros de firmas
• escribir en particiones NTFS (y clonarlas si se desea)
• recuperación de ficheros eliminados
• recuperación de particiones dañadas
• detección de rootkits (hay dos utilidades para esto en la distro)
  
• etc

Tiene buena pinta ;)

Visto en: Gurú de la informática, y en DragonJAR.

Actualización 28/07/2008: leo hoy en Sahw que F-Secure lanzó un liveCD para hacer limpieza del disco, también basado en Linux, usando sus productos. Otra opción más :)

Antivirus falsos

---

Un usuario normal, no sólo puede estar usando un antivirus desactualizado: puede estar usando un antivirus que no existe.

No me había parado a pensar en esto, a pesar de que, seguro, ha salido hasta en la sopa de letras. Si se puede engañar a un usuario, básicamente por desconocimiento e inocencia perpetua, para que abra un email malicioso e ignora la advertencia de su antivirus... ¿por qué no va a intentar buscar otro muy poco conocido, pero baratito baratito?. ¿Y por qué no poner uno que sea falso en la web, y darle un poco de publicidad?

Me ha llamado la atención localized-fake-security-software, en un blog del que os he hablado otras veces, y del que aprendo un huevo, el de D.Danchev [lectura super recomendable :) ]. Nos presenta un listado de urls con productos de este estilo.

Slds!