El virus del ébola se ha extendido en África Occidental desde que apareció por primera vez en Guinea en diciembre de 2013. Websense Security Labs ha encontrado dos campañas maliciosas distintas que han aprovechado el tema del ébola y seguramente éstas continuarán en el futuro.
Campaña DarkKomet RAT/Backdoor
Websense ThreatSeeker Intelligence Cloud detectó miles de e-mails maliciosos que toman ventaja del tema del ébola. La línea de asunto dice:
Subject: Ebola Safety Tips-By WHO
(Asunto: Consejos de Seguridad del Ébola por la OMS)
“Sabemos que los cibercriminales se aprovechan de cualquier oportunidad para dirigirse a sus víctimas. Al hacerse pasar por la Organización Mundial de la Salud (OMS), una confiable fuente global de información, y utilizando la amenaza del virus del ébola, estos criminales están usando tácticas de ingeniería social para obligar a las víctimas a hacer clic”, mencionó Pavel Orozco, Gerente de Ingeniería en América Latina para Websense. “No sólo es nefasto sino además muy eficaz. Los usuarios deben tener precaución y las empresas soluciones de seguridad para prevenir que estos ataques tengan éxito”.
Al comienzo de la campaña, los mensajes contenían una URL que redireccionaba a las víctimas a un sitio de descarga de un archivo RAR (comprimido). El archivo contenía DarkKomet RAT/Backdoor, una herramienta de administración remota (RAT) que proporciona acceso completo a los clientes remotos y es utilizada por los atacantes para controlar la computadora de la víctima y robar información. En otros mensajes recientes, la campaña evolucionó para incluir archivos adjuntos ejecutables y un archivo comprimido tipo RAR que contiene el ejecutable.
El malware de esta campaña contacta a un servidor ubicado en Rumania. ThreatScope lo identificó como ejemplos de malware malicioso.
Vulnerabilidades de Ejecución de Código Remoto Windows OLE CVE-2014-4114 & CVE-2014-6352
El 14 de octubre de 2014, iSight descubrió la vulnerabilidad CVE-2014 a 4114 utilizada en la campaña Sandworm que tuvo como blanco a la OTAN, a la Unión Europea, y a miembros de los sectores de Energía y Telecomunicaciones. CVE-2014-4114 puede permitir la ejecución remota de código si un usuario abre un archivo de Microsoft Office especialmente diseñado, que contiene un objeto OLE. La vulnerabilidad está en todas las versiones compatibles de Microsoft Windows, excepto en Windows Server 2003.
Debido a que la vulnerabilidad no implica corrupción de memoria que puede resultar en código shell y porque pertenece a la categoría de “error de diseño”, las protecciones del tipo DEP y ASLR no son eficaces. El código ejemplo para los exploits CVE-2014-4114 fue publicado en la web.
Potencialmente, los criminales podrían utilizar esta vulnerabilidad para construir un archivo PowerPoint para propagar el malware. Además, poco después de la divulgación de CVE-2014-4114, una vulnerabilidad muy similar también atacó a objetos OLE y fue dada a conocer como CVE-2014 hasta 6.532. Mientras CVE-2014-4114 ya fue parcheada por Microsoft, aún se espera un parche para la vulnerabilidad CVE 2014-6532.
Websense Security Labs informó que el tema del ébola se ha utilizado en relación con CVE-2014-4114. Una muestra de una fuente de terceros, llamada “Ébola en American.pps” estaba aprovechando CVE-2014-4114 para descargar y ejecutar una carga desde una dirección remota a través del protocolo SMB, que la mayoría de las veces no se le permite conectarse a direcciones públicas de Internet.
Es posible detectar CVE-2014-6352 utilizando Yara. Existe una regla de Yara que puede ejecutarse contra archivos de Microsoft Office para detectar la vulnerabilidad.
Los clientes de Websense están protegidos contra esta amenaza con ACE (nuestro Advanced Classification Engine) en las diferentes etapas del ataque.
Compartir nota:
