236 troyanos en el disco C:\

Recientemente tuve que reparar un Windows XP infectado con un bonito virus polimórfico (W32.Sality). Este virus infecta los archivos ejecutables en discos locales, removibles y shares de smb. Además crea una botnet P2P y, lo mejor de todo, deshabilita todo software de seguridad instalado (léase antivirus). Esto último que parece tan peligroso en realidad es una debilidad, ya que lo pone en evidencia y permite detectar fácilmente que el sistema está infectado (un virus indetectable es mucho más peligroso ya que puede controlar un sistema durante mucho tiempo).

En el sitio de Symantec se puede leer una descripción completa del mismo. Aparentemente es un virus antiguo ya que se originó en Rusia (que novedad jeje) por el 2003. Se infecta reemplazando el código en el punto de entrada de los ejecutables para redirigir al código polimórfico, que se encripta y se adiciona en la última sección de los archivos.

Como comenté anteriormente, la forma de detectarlo fue fácil: desapareció el ícono del antivirus (en este caso ClamWin) de la barra de tareas de Windows XP y era imposible tratar de iniciarlo. Luego de escanear los discos utilizando clamav (desde un Linux instalado en otra partición, aunque podría ser también desde un livecd) se detectaron una gran cantidad de infecciones en archivos .exe.

Para remover el virus sin acudir a simple pero tediosa "formateada/reinstalada" utilicé una herramienta de AVG hecha a medida para este caso. Aunque previamente tuve que reparar la registry ya que Windows era incapaz de arrancar en modo a prueba de fallos a causa del virus.

Luego de desinfectar completamente el sistema utilizando la herramienta de AVG (tardó unas tres horas aproximadamente) el mismo volvió a funcionar correctamente, sin rastros del virus.


Ahora, que tiene que ver todo esto con el título del artículo?

Luego de escanear el sistema con clamav pasé un tiempo investigando el virus y la forma de removerlo. En un foro, no recuerdo cual, encontré un link al sitio www.virustotal.com.



Este sitio me pareció de lo más útil y original. Te deja subir un archivo infectado, lo escanea con una variedad de antivirus y te muestra el resultado. En ese momento me sirvió para confirmar el tipo de virus que tenía infectado, pero luego sentí curiosidad por probar este sitio un poco más. Para esto me puse a buscar virus y ver resultados:



Luego me dí cuenta que también es posible enviar una URL, por lo que me puse a buscar sitios maliciosos (de scam o malware) y ver que resultados tenía. Fue cuando me encontré con este espectacular sitio de malware:



Este sitio primero muestra un alert diciendo algo como "Se ha detectado actividad sospechosa en su sistema y a continuación será escaneado en busca de virus" Jaaa! es muy bueno. Luego se abre una imitación, muy bien lograda, del explorador de archivos de Windows con una barra de progreso del escaneo, el cual detecta 236 troyanos en el disco C:

Menuda infección jeje. Luego de este simulacro se redirige a la descarga de un archivo ejecutable y el resto se imaginarán.

De esta forma se puede ver un sitio de malware en acción, realmente brillante, sobretodo teniendo en cuenta que me apareció en la segunda página de la búsqueda en Google de la palabra "keygen". Esta clase de sitios pueden engañar a una gran cantidad de usuario de Windows, por eso no sorprende la cantidad y el tamaño de las botnets.

Procedí a escanear este sitio con VIRUS TOTAL el cual me mostró el siguiente resultado:



Me pareció raro que no todas las herramientas lo detectaran como sitio de malware. También me pareció raro que Google Safebrowsing lo detecte como sitio de malware pero aparezca en la segunda página de la búsqueda de la palabra "keygen" en Google Search... Cuestiones de Google.

En definitiva, VIRUS TOTAL, una excelente herramienta para tener a mano para analizar archivos sospechosos y sitios de scam.

Para finalizar les dejo unas recomendaciones:

• Mantengan su software antivirus actualizado (todos los días)


• Eviten visitar sitios sospechosos/desconocidos


• Tengan cuidado dónde hacen clic, siempre revisen las direcciones de los links que aparecen en la barras de estado de los browsers


• Mucho más cuidado con las descargas y archivos adjuntos


• Escaneen absolutamente todo lo que descarguen antes de abrir/ejecutar, por más tedioso que sea es preferible esto antes que enfrentarse a la pérdida de datos

Saludos y feliz 2011!!!

P.D.: Espero que el título del artículo resulte tan "vendedor" como el sitio de malware desde donde lo obtuve!

F*ck! Hotmail no se cierra!

Pensé que con los años dejaría de ver este tipo de mails, pero los años pasan y sigo recibiendo este mail, una y otra vez, cambia un poco la descripción, cambia el supuesto director de hotmail, pero el mensaje final es siempre el mismo "Hotmail se cierra!"...
Para el que sea más nuevo en el tema, vengo recibiendo este mail desde que utilizo internet, osea, desde el 2001, y estoy seguro que data de tiempos anteriores al 2001.
Es increíble, pero la gente sigue creyendo en esta clase de e-mails, a pesar de que lo reciben una y otra vez... cada vez que lo reciben, lo vuelven a mandar!!! BASTA! Hotmail no se cierra!, como se pueden imaginar que algo así puede llegar a ocurrir! y mucho menos que M$ valla a reconocer que tiene problemas de almacenamiento, eso sería como decir "ok, no servimos para esto, nos damos por vencidos"... estamos hablando de M$!
Por otro lado, si están teniendo problemas de almacenamiento no van a alentar a sus usuarios a mandar tonelada de mails que ocupen más almacenamiento!, es totalmente contradictorio!
Además, si se cierra hotmail, qué? dejan de existir los mails? deja de existir el chat? no, no y NO! existen miles de webmails gratuitos, y existen muchos protocolos de chat para utilizar! Como reemplazo perfecto podríamos utilizar Yahoo!/Yahoo! Messenger o Gmail/Gtalk, siendo el servicio de mail de google mucho mejor que el de hotmail...

Ahora, aquel desconfiado que todavía no se convenza con mis palabras se podría preguntar, si no es real, para qué enviarían un mail así?... bueno, tienen muchos motivos.
Por un lado puede utilizarse como una forma de Dennial of Service, saturando la red de mails, intentando voltear el servicio de hotmail... aunque esto data más del pasado, no creo que actualmente sea este el fin... el problema es que estos mails del pasado quedaron vagando por la red por años y siempre hay alguien que los reenvía.
Por otro lado tenemos una forma perfecta para distribuir malware, si el mail se encuentra infectado con alguna vulnerabilidad del browser o de nuestro cliente de correo, estamos listos.
También se puede realizar phishing, pidiendo que visitemos alguna página para registrar alguna información adicional y así regalarle nuestro nombre de usuario y contraseña a un tercero.
Otra posibilidad es ganar algunas visitas en alguna página para sumar plata con alguna forma de adsense.
Hay muchas finalidades para hacer que un mail llegue a las masas, incluyendo una bien infantil, la cual es, simplemente molestar y ver cuantos ignorantes reenvían el mail...

En fin, espero que cuando alguien reciba alguno de estos mails, googlee un poco, encuentre este post y no lo reenvíe más!!! Estoy realmente re podrido de seguir recibiendo "hotmail se cierra!"... hagan correr la bola!