Tarjetas y postales virtuales: el camino fácil para los troyanos

Hola,

Siguiendo un poco en la línea de recientes artículos sobre la fauna y flora que suele poblar el correo electrónico, he querido traer a portada un caso real y reciente, que ilustra lo peligrosas que pueden ser las postales y tarjetas virtuales como gancho para troyanizar equipos informáticos.

El spam, en este caso, es elaborado, y emplea de modo ilegítimo la imagen corporativa del proveedor de telefonía Orange, lo que causa familiaridad en las víctimas potenciales:

Los enlaces para descargar conducen a una aplicación ejecutable, llamada OrangeTM.exe. El directorio destino está desprotegido, con lo que podemos acceder alegremente a sus contenidos:

Los usuarios debidamente formados en estas cuestiones sospecharán que el ejecutable no es una postal virtual, ni tampoco nada que proceda de Orange. Se trata, una vez más, del típico y tradicional huevo kinder con sorpresita:

Lo siento por maty, pero NOD32 se traga esta muestra. Son varios los motores que no advierten peligro en el ejecutable, tal y como se puede comprobar.

¿Por qué no detectan los demás antivirus la muestra como lo que realmente es?

La respuesta es sencilla. Los antivirus jamás tienen tasas de detección del 100%, es decir, de cada 100 virus/troyanos/otros que analizan, jamás detectan a las 100 como perniciosas. Esto es debido a muchas razones, siendo la principal el tiempo de demora que existe entre el descubrimiento de una muestra y su inclusión en las firmas de detección del antivirus. Este tiempo puede ser variopinto, elevado y totalmente aleatorio, y es muy dispar según el producto antivirus que tengamos. Hasta que nuestro antivirus entienda como maliciosa una muestra, pueden pasar 5 minutos o 5 días. No hay un patrón que defina claramente tiempos de respuesta de los productos antivirus.

En el caso de motores heurísiticos, la detección por firmas se complementa con modelos de detección de innovaciones, comúnmente llamadas heurísticas. Dependiendo de la calidad de la heurística, el modelo será mejor o peor. Pero nunca detectará el 100% de las muestras maliciosas.

¿Qué hubiera pasado si me descargo y ejecuto ese archivo?

Se trata de la enésima variante de un viejo amigo, un downloader de la familia Banload. Este tipo de downloaders gestiona la descarga de los componentes verdaderamente maliciosos desde Internet una vez ejecutados, con lo que, debido a ese comportamiento, los downloaders se llaman habitualmente descargadores de troyanos. En este caso, la descarga se realiza mediante conexión HTTP contra el servidor donde está alojado el troyano secundario.

Una vez hay camino libre, el downloader se baja a su compañero y amigo el troyano, lo ejecuta y el equipo queda infectado de un modo transparente al usuario. Es frecuente que los troyanos descargados estén orientados al robo de credenciales bancarias.

¿Qué puedo hacer para evitar problemas?

* No abras correos de procedencia desconocida. Bórralos directamente.
* No pulses enlaces que acompañen a mensajes de correo, especialmente si son de origen desconocido, y muy especialmente si se repiten o si son extremadamente visibles. Las postales y tarjetas virtuales legítimas se pueden ver siempre sin descargar nada.
* No descargar ni ejecutar programas a los que lleguemos a través de mensajes de correo. Nunca.
* Confirmar con los posibles remitentes la legitimidad de la postal. Si esperas una postal de María, llama a María y pregúntale si te ha enviado algo.
* Ten tu producto antivirus actualizado. No es garantía de nada, pero es mejor que no tener nada.

Un saludo, y ojito con este tipo de mensajes.