WINLOCK: El malware de la policía aprovecha un exploit de Java “in-the-wild” y el secreto su “éxito”

Este malware está consiguiendo un alto nivel de infectados y notoriedad en medios de comunicación de toda Europa al usar la imagen de los cuerpos del Estado para amedrentar al infectado. Hemos investigado la raíz del problema: ¿Con qué método se infectan los usuarios? ¿Qué hacen realmente para que el malware se ejecute en sus sistemas? ¿Por qué tanto “éxito”?

Tras varios casos analizados en nuestro laboratorio de análisis forense, las investigaciones previas de Emiliano Martínez y las evidencias encontradas en los ordenadores infectados, hemos confirmado que se está utilizando activamente una vulnerabilidad en Java para conseguir ejecutar código.

Las circunstancias coincidían en los casos afectados: visitas a determinados sitios de descarga directa o pornográficos (repletos de publicidad agresiva no controlada directamente por el servidor) y sistemas desactualizados.

Según nuestros análisis, poco antes de la ejecución del troyano, se descargan ciertos objetos que quedan presentes en la caché de Java.

En la figura se observa la caché de Java, además de evidencias del malware: carpeta kodak (como se denomina en sus últimas versiones). Dentro, los archivos “ip.txt” y “pic.bmp”. Este último contiene la conocida imagen de la policía nacional según el país. También se comprueba en la imagen que el usuario mantiene dos versiones de Java obsoletas y con numerosos problemas de seguridad.

Los ficheros .idx, desvelan la descarga desde servidores (todavía activos), de un paquete .cab compuesto por dos clases Java (“Test.class” y “Help.class”). Estos componen un exploit para una vulnerabilidad en Java reportada (y corregida) hace pocos meses .En concreto una ejecución remota de código CVE-2012-0507 de enero, relacionada con el componente Java Internationalization (i18n) y con una muy pobre detección por firmas.

total.com/file/7e758c7c1078ff9db6c89ce47c15d261829d00590a6a11e6bb2a40d6f29bc01d/analysis/

Estos ficheros son descargados a través del plugin Java del navegador sin previo aviso en el sistema (desde banners de publicidad, normalmente) y se encargan de, una vez que consiguen aprovechar la vulnerabilidad en Java, descargar y ejecutar el malware en sí.
Pero no se descarga tal cual el fichero para ejecutarlo, sino que lo compone de alguna manera en local tras descargarlo, en un proceso en el que se involucran varias URL diferentes. Aquí una muestra el fichero d7ac8a6-2335eb9d (en la imagen de más arriba) que coincide en tamaño con el ejecutable (66k), pero que se encuentra ofuscado.

total.com/file/4c80b9292dc1181dd14d9dde98f57b75a177f86524945366d26349eb8b643d54/analysis/1331223350/

Una vez tienen el binario en el formato ejecutable, se copia oculto en el %appdata% del usuario, normalmente bajo el directorio “kodak” y con nombre aleatorio. También se introduce en el registro para lanzarse tras cada inicio.

Aquí la detección del .exe (de 66k).

total.com/file/96e69e839952fa8935b82bccd7a3ec3cc49f943715c62551813493ef6a221f76/analysis/

La vulnerabilidad inicial que desencadena el proceso, según ha investigado nuestro compañero Javier Rascón, se está utilizando ampliamente en kits de explotación de vulnerabilidades que se venden en el mercado negro como Scalaxy o Golfhole.

Detección antivirus

Para detener el ataque, los antivirus podrían haber detectado en primera instancia el intento de infección (el exploit) y en segunda instancia el ejecutable en sí. En ambos estadios del ataque, los niveles de detección por firmas han resultado insuficientes. Nuestros datos en VirusTotal confirman que, por firmas, los ficheros Java son muy poco detectados. Apenas 6 motores por firmas detectan el exploit y solo uno detecta el binario ofuscado.
Con respecto al ejecutable en sí, los datos tampoco son muy alentadores. La inmensa mayoría de las muestras que hemos recibimos en VirusTotal a finales de febrero, eran detectadas por uno o dos motores la primera vez que fueron enviadas. Elevándose días después a aproximadamente hasta 26 los motores que reconocían el malware.
Por tanto, en estos momentos actualizar los sistemas (en especial Java) es esencial para protegerse.

El secreto del éxito

El éxito de este malware se basa a nuestro entender en cuatro factores:

Una difusión profesional. Están aprovechando vulnerabilidades muy recientes (enero) en software popular (Java) y difundiéndolo en páginas muy visitadas (webs de descarga directa de material multimedia). Esto está resultando en una difusión masiva del malware puesto que los usuarios se infectan aparentemente sin haber ejecutado directamente ningún fichero.

Un malware “simple” y efectivo. El malware en sí no es “sofisticado” en los términos que manejamos hoy en día (con SpyEye y Zeus como referencia). Solo muestra en pantalla una imagen descargada de un servidor, y espera recibir órdenes. Aunque complejo, no se incrusta en el sistema de una manera especialmente enrevesada. Esto ayuda a que, unido a una detección pobre por firmas, los antivirus no lo detecten tampoco por la heurística de un comportamiento sospechoso.

La ingeniería social. Amenazar al usuario con actividades que realizan comúnmente (descarga de material multimedia, por ejemplo), ayuda a dar credibilidad a la estafa. En algunos foros “underground” (de los que esperamos hablar en próximos artículos) hemos observado que el creador se jacta de conseguir que aproximadamente un 1% de los infectados termine pagando. Con el nivel de infección conseguido en toda Europa, podemos imaginar lo lucrativo de la estafa.

Eludir antivirus. Las muestras recién llegadas a VirusTotal suelen ser poco detectadas. Están trabajando en eludir las firmas de forma notable, consiguiendo que las muestras “frescas” pasen muy desapercibidas.

 Fuente