Grave salto en explotación de nuevas vulnerabilidades

En un mes normal, la actividad de explotación se encuentra entre el 30 y 40 por ciento, de acuerdo a Fortinet. La mitad de las nuevas vulnerabilidades clasificadas como “críticas” fueron atacadas durante el mes de enero, abriendo las puertas para que un atacante pueda ejecutar cualquier comando en una máquina objetivo.

“No es un secreto que las vulnerabilidades de software continuan siendo divulgadas en gran número de manera continua –especialmente las catalogadas como críticas”, dijo Derek Manky, estratega senior de segurdad de los Laboratorios FortiGuard de Fortinet.

“Los hackers están hundiendo sus dientes en los sistemas sin protección, gracias a la gran disponibilidad de los códigos de explotación y frameworks de ataque que soportan estas nuevas vulnerabilidades. Al ser de reciente divulgación, no todos pueden tener las firmas actualizadas o los parches adecuados. Esto es imprescindible para garantizar que se actualicen de manera oportuna con el fin de combatir eficazmente contra una amenaza. Además, con el uso de la comunicación a través de protocolos comunes, el control de aplicación es el más importante en la identificación de actividad maliciosa en el nivel de aplicación”.

Los troyanos “Feebs”, “Buzus” y “Virut” se mantuvieron persistentes y activos en este mes. “Feebs” es un correo masivo que utiliza JavaScript para infectar sistemas. El correo electrónico malicioso normalmente contiene un archivo protegido por contraseña, junto con la información en el cuerpo del correo.

“Buzus”, por el contrario, fue más prevalente en la escena del spam, enviando archivos adjuntos infectados por sí mismoy usando una variedad de campañas de spam.

Dos variantes de “Virut” han surgido durante el periodo de este informe, y a partir de este escrito, todavía se están recibiendo órdenes de los controladores “Virut” para descargar y ejecutar software malicioso.

“Virut.U” utiliza una versión actualizada del canal de IRC y cifra todo el tráfico de este canal, mientras que “Virut.A” se conecta al servidor IRC “proxim.ircgalaxy.pl” sin cifrar. Ambas variantes están utilizando el puerto 65520 para la conexión.

“Virut”, que ha existido desde el año 2006 y estuvo en el Top 10 de Fortinet y en las listas del Top 100 desde entonces, es un programa malicioso que infecta archivos y que contiene un componente bot, por lo que es muy difícil de limpiar, ya que se extiende a miles de archivos en un sistema una vez lo ataca.

Los laboratorios FortiGuard observaron que “Virut” descarga otras botnets, es decir, un sistema infectado pronto tendría varias piezas de malware en su lugar.

“Virut” es una de las botnets más persistentes hoy en día, ya que es difícil de eliminar de un sistema infectado, utiliza un dominio público IRC y tiene la capacidad de propagar híbridos.

Fuente