Post by Boricuas Online on Aug 1, 2005 20:26:36 GMT -5
Eset, proveedor global de soluciones antivirus de última tecnología, informa sobre una de las técnicas que en la actualidad están usando los creadores de virus para difundir sus creaciones.
Entre los varios métodos que utilizan los programadores de virus, se encuentra la distribución manual de troyanos a través del correo electrónico. En lugar de desarrollar un gusano que se reproduzca por si mismo, envían manualmente un troyano sin capacidad de propagación propia, pero con otras características.
Los creadores de virus preparan un mensaje que llame la atención de los usuarios y así, incitarlos a abrir el archivo adjunto. Estos menajes engañosos son enviados por los autores del virus de la misma forma que el spam es distribuido a diario. El mensaje puede estar en cualquier idioma y con esto los creadores de virus se aseguran de poder atacar distintos tipos de usuarios cada vez.
La motivación detrás de esto es que en realidad, el verdadero virus que quieren que llegue a los equipos no es siempre el troyano enviado por correo electrónico, sino que éste no es más que una herramienta para limpiar el camino y descargar de Internet el virus que verdaderamente quieren distribuir.
Un caso de esto es el troyano Vidlo.Q que fue enviado masivamente ayer por primera vez, en un mensaje de correo electrónico en inglés, con un archivo adjunto que simulaba ser un documento en formato PDF. El mensaje y el nombre del archivo adjunto no siempre fueron los mismos.
El troyano, llamado Win32/TrojanDownloader.Vidlo.Q por NOD32, cuyo envío comenzó a detectarse el día 20 de Julio por la mañana. Se enviaron dos versiones de este troyano, una empaquetada mediante la herramienta gratuita UPX y la otra en formato ejecutable convencional.
Si el usuario abría el archivo adjunto al mensaje, el troyano comienza su ejecución y se instala en el sistema. Tras ello, intenta bloquear los sitios antivirus más conocidos y luego, trata de descargar otro código malicioso desde múltiples sitios de Internet.
De esta manera, el troyano Vidlo.Q limpia el camino para que el troyano Win32/Dumador se instale en el sistema. Este último es el verdadero objetivo, y es capaz de abrir una puerta trasera en el equipo infectado y capturar datos confidenciales para enviarlos por correo electrónico administrada por los programadores del troyano o a un servidor FTP.
Tanto las dos versiones del troyano Vidlo.Q como el Dumador son detectados por NOD32. Los dos "sabores" de Vidlo.Q fueron detectadas por el producto antivirus de Eset mediante el motor heurístico avanzado ThreatSense, que brindo protección automática a sus clientes, ya que no necesitaron descargar actualizaciones para que el producto reconociera este nuevo virus.
Según el sitio estadístico VirusRadar.com, se envió un alto número de mensajes con este troyano adjunto, de manera que ambas versiones llegaron a estar entre los 15 virus más detectados del día.
Esta técnica de envío masivo manual no es nueva, y se viene actualizando desde hace mucho tiempo. Algunas de las últimas versiones del conocido gusano Bagle están siendo distribuidas de esta manera.
Entre los varios métodos que utilizan los programadores de virus, se encuentra la distribución manual de troyanos a través del correo electrónico. En lugar de desarrollar un gusano que se reproduzca por si mismo, envían manualmente un troyano sin capacidad de propagación propia, pero con otras características.
Los creadores de virus preparan un mensaje que llame la atención de los usuarios y así, incitarlos a abrir el archivo adjunto. Estos menajes engañosos son enviados por los autores del virus de la misma forma que el spam es distribuido a diario. El mensaje puede estar en cualquier idioma y con esto los creadores de virus se aseguran de poder atacar distintos tipos de usuarios cada vez.
La motivación detrás de esto es que en realidad, el verdadero virus que quieren que llegue a los equipos no es siempre el troyano enviado por correo electrónico, sino que éste no es más que una herramienta para limpiar el camino y descargar de Internet el virus que verdaderamente quieren distribuir.
Un caso de esto es el troyano Vidlo.Q que fue enviado masivamente ayer por primera vez, en un mensaje de correo electrónico en inglés, con un archivo adjunto que simulaba ser un documento en formato PDF. El mensaje y el nombre del archivo adjunto no siempre fueron los mismos.
El troyano, llamado Win32/TrojanDownloader.Vidlo.Q por NOD32, cuyo envío comenzó a detectarse el día 20 de Julio por la mañana. Se enviaron dos versiones de este troyano, una empaquetada mediante la herramienta gratuita UPX y la otra en formato ejecutable convencional.
Si el usuario abría el archivo adjunto al mensaje, el troyano comienza su ejecución y se instala en el sistema. Tras ello, intenta bloquear los sitios antivirus más conocidos y luego, trata de descargar otro código malicioso desde múltiples sitios de Internet.
De esta manera, el troyano Vidlo.Q limpia el camino para que el troyano Win32/Dumador se instale en el sistema. Este último es el verdadero objetivo, y es capaz de abrir una puerta trasera en el equipo infectado y capturar datos confidenciales para enviarlos por correo electrónico administrada por los programadores del troyano o a un servidor FTP.
Tanto las dos versiones del troyano Vidlo.Q como el Dumador son detectados por NOD32. Los dos "sabores" de Vidlo.Q fueron detectadas por el producto antivirus de Eset mediante el motor heurístico avanzado ThreatSense, que brindo protección automática a sus clientes, ya que no necesitaron descargar actualizaciones para que el producto reconociera este nuevo virus.
Según el sitio estadístico VirusRadar.com, se envió un alto número de mensajes con este troyano adjunto, de manera que ambas versiones llegaron a estar entre los 15 virus más detectados del día.
Esta técnica de envío masivo manual no es nueva, y se viene actualizando desde hace mucho tiempo. Algunas de las últimas versiones del conocido gusano Bagle están siendo distribuidas de esta manera.