Quantcast
Channel: Noticias Antivirus - zonavirus.com
Viewing all 16418 articles
Browse latest View live
↧

Un programa ransomware (cryptowall) acampa en los espacios publicitarios de conocidos sitios de internet

November 7, 2014, 8:53 am
$
0
0
Se ha descubierto que el programa chantajista Cryptowall 2.0 estaba explotando una vulnerabilidad en Flash que le permitía mostrar anuncios falsos en los espacios publicitarios de sitios populares de Internet como Yahoo!, AOL, Match.com y 9gag. Los atacantes aprovecharon esta falla para instalar el programa malicioso en los equipos de los visitantes que pulsaban en los anuncios.

Los investigadores de la compañía de seguridad Proofpoint descubrieron la amenaza, que había puesto en peligro a los visitantes de 22 sitios web. Más de 3 millones de usuarios quedaron expuestos a esta operación de malware cada día, explicaron los analistas de Proofpoint.

Los atacantes publicaron anuncios falsos que se hacían pasar por avisos de marcas conocidas como Bing de Microsoft, Case Logic y Fancy. Utilizaron una herramienta de ataque llamada Flash Pack que les ayudaba a ejecutar exploits para vulnerabilidades en complementos antiguos de Flash en los navegadores.

De este modo, los cibercriminales intentaban instalar el programa chantajista CryptoWall 2.0 en los equipos de sus víctimas y cifrar los documentos que encontraban. Los delincuentes de CryptoWall exigen un rescate en bitcoins para devolver al usuario el acceso a su propia información y, en esta operación, la cantidad de bitcoins que pedían bordeaba los 500 dólares.

Se estima que las billeteras de Bitcoin de los cibercriminales han logrado recolectar 25.000 $ con esta amenaza, 9.350 de los cuales consiguieron en sólo una semana. Los expertos de Dell SecureWorks calculan que este programa malicioso ha infectado más de 600.000 ordenadores con diferentes métodos de ataque entre marzo y agosto, con lo que los cibercriminales consiguieron más de 1 millón de dólares.

Ver información original al respecto en Fuentes:
http://www.viruslist.com/sp/news?id=208275386
↧
Search

Nueva/s version/es de utilidad/es elistara 30.96 + elipups 1.71

November 7, 2014, 9:24 am
$
0
0
Para nuevas variantes viricas segun muestras recibidas, hemos desarrollado las nuevas versiones de:



ElistarA

---v30.96-( 6 de Noviembre del 2014) (Muestras de (2)CrossRider(bho), (2)AdWare.MultiPlug(bho) y (3)Adware.Salus "********.EXE")




EliPups

---v1.71--( 6 de Noviembre del 2014)(Añadidos nuevos PUPs "Salus", "WindowsMangerProtect***" y "WindowsProtectManger***")



Ya se han subido a esta web exclusivamente para pruebas de evaluacion en el foro de zonavirus


saludos

ms,6-11-2014
↧
↧

Nuevos mails maliciosos que se estan recibiendo masivamente anexando fichero malicioso con downloader sounder

November 8, 2014, 1:37 am
$
0
0
Se están recibiendo mailS con estas caracterçisticas, muy escuetos, anexando típico fichero conteniendo nueva variante de downloader souner, aunque esta vez su nombre del fichero anexado, varía respecto a los anteriores ya conocidos, al utilizar éste como nombre, el de IPHONE-PHOTO.ZIP


MAILS MALICIOSOS
_____________



Asunto: my new photo ;)
De: "Jessica" <proudgye18@amazon.kwiveolicensings.com>
Fecha: 06/11/2014 18:43
Para: <DESTINATARIO>

my new photo ;)


Y CON EL MISMO ANEXADO, PERO CON OTRO REMITENTE, MAS DE LO MISMO:

Asunto: my new photo ;)
De: "Jessica" <overspecializing92@fallcolorsredandbrown.com>
Fecha: 06/11/2014 18:39
Para: <DESTINATARIO>

my new photo ;)


EN AMBOS EL ANEXADO ES EL MISMO:


ANEXADO: IPHONE-PHOTO.ZIP


FIN DE LOS MAILS MALICIOSOS
___________________________


El desempaquetado de dicho ZIP anexado, ofrece este fichero: iphone_photo_id_8237489237982.exe

cuyo preanalisis del virustotal ofrece este informe:


MD5 8b9aa1589fea77caa7a1b17a3c4617f2
SHA1 a9a22fdf9ed8cd9496da748b97881fadf249243b
Tamaño del fichero 140.0 KB ( 143389 bytes )
SHA256: dc2ade64db04b2da7bd825d842025deae7ebb43419a727435962cb093d4299b6
Nombre: iphone_photo_id_8237489237982.exe
Detecciones: 31 / 53
Fecha de análisis: 2014-11-07 09:03:03 UTC ( hace 0 minutos )


0 24


Antivirus Resultado Actualización
AVG VBCrypt.INC 20141107
AVware Trojan.Win32.Generic!BT 20141107
Ad-Aware Trojan.GenericKD.1960859 20141107
AhnLab-V3 Trojan/Win32.Injector 20141107
Avast Win32:Trojan-gen 20141107
Avira TR/VB.Rogue.141161 20141107
Baidu-International Trojan.Win32.Wauchos.bAL 20141106
BitDefender Trojan.GenericKD.1960859 20141107
Bkav W32.HfsAutoA.60DF 20141106
CAT-QuickHeal (Suspicious) - DNAScan 20141107
Cyren W32/Trojan.SFRM-3167 20141107
DrWeb BackDoor.Andromeda.404 20141107
ESET-NOD32 Win32/TrojanDownloader.Wauchos.AL 20141107
Emsisoft Trojan.GenericKD.1960859 (B) 20141107
F-Prot W32/Trojan3.LWZ 20141107
F-Secure Trojan.GenericKD.1960859 20141107
Fortinet W32/Shiotob.LE!tr 20141107
GData Trojan.GenericKD.1960859 20141107
Ikarus Trojan-Banker.Win32.Shiotob 20141107
Kaspersky Trojan-Banker.Win32.Shiotob.le 20141107
Malwarebytes Trojan.Crypt.NKN 20141107
McAfee Artemis!8B9AA1589FEA 20141107
McAfee-GW-Edition BehavesLike.Win32.Dropper.cm 20141107
Microsoft Worm:Win32/Gamarue 20141107
Norman Suspicious_Gen4.HFWJS 20141107
Qihoo-360 HEUR/QVM03.0.Malware.Gen 20141107
Sophos Troj/VB-HTC 20141107
Symantec Backdoor.Trojan 20141107
Tencent Win32.Trojan.Rogue.Dsot 20141107
TrendMicro TROJ_VBKRYPT.XEF 20141107
VIPRE Trojan.Win32.Generic!BT 20141107

Dicha versión del ElistarA 30.97 que lo detecta y elimina, estará disponible en nuestra web a partir de las 15 h CEST de hoy


saludos

ms, 7-11-2014
↧

Nuevas variantes de adware eorezo que pasamos a controlar con el elistara

November 8, 2014, 2:03 am
$
0
0
El popular EOREZO sigue reportando nuevas variantes que pasamos a controlar a partir del ElistarA 30.97 de hoy

El preanalisis de viristotal ofrece el siguiente informe:

MD5 0b50ba82547503946393cce4af496acc
SHA1 ce19ab33395ab8741f29f96491c764ea690cb353
Tamaño del fichero 3.2 MB ( 3305928 bytes )
SHA256: 0933af5eea01a55079325de0613301198440408e157979ef2f3d65e154a20bbc
Nombre: upmbot_es_168.exe
Detecciones: 10 / 54
Fecha de análisis: 2014-11-07 09:58:33 UTC ( hace 1 minuto )

0 1


Antivirus Resultado Actualización
AVG Generic.EC7 20141107
AVware Tuto4PC (fs) 20141107
AegisLab AdWare.W32.Gamevance 20141107
Avast Win32:Adware-ASG 20141107
Avira ADWARE/EoRezo.Gen4 20141107
Baidu-International Adware.Win32.EoRezo.bAJ 20141106
ESET-NOD32 a variant of Win32/Adware.EoRezo.AJ 20141107
F-Prot W32/EoRezo.J.gen!Eldorado 20141107
Ikarus AdWare.Eorezo 20141107
VIPRE Tuto4PC (fs) 20141107


Dicha versión del ElistarA 30.97 que lo detecta y elimina, estará disponibnle en nuestra web a partir de las 15 h CEST de hoy


saludos

ms, 7-11-2014
↧

Nuevas variantes de adwares crossrider que pasamos a controlar con el elistara

November 8, 2014, 2:15 am
$
0
0
La familia Crossrider crece diariamente, y a partir del ElistarA 30.97 de hoy pasamos a controlar las nuevas conocidas hoy

El preanalisis de uno de los actuales ofrece este informe:


MD5 d4a9c3b29d80c1b64dc391ce50af4086
SHA1 5da67e771f2d8fe26671597d36762714402dc25a
Tamaño del fichero 513.4 KB ( 525744 bytes )
SHA256: f1fa11d2759991d14e424f9805641fdb6539a90f7fddce265f18392a05235589
Nombre: CinemaProGoV07.11-bho.dll
Detecciones: 7 / 53
Fecha de análisis: 2014-11-07 10:08:13 UTC ( hace 0 minutos )

0 1


Antivirus Resultado Actualización
AVware Crossrider (fs) 20141107
Avast Win32:Crossrider-AI 20141107
Avira ADWARE/CrossRider.Gen 20141107
ESET-NOD32 a variant of Win32/Toolbar.CrossRider.BA 20141107
F-Prot W32/A-ee826839!Eldorado 20141107
Malwarebytes PUP.Optional.CinemaProGo.A 20141107
VIPRE Crossrider (fs) 20141107


Dicha version del ElistarA 30.97 que los detecta y elimina, estará disponible en nuestra web a partir de las 15 horas CEST de hoy

saludos

ms, 7-11-2014
↧
↧

Mcafee anunció una nueva versión de mcafee next generation firewall

November 8, 2014, 5:27 am
$
0
0
McAfee, parte de Intel Security, anunció la versión más reciente de McAfee Next Generation Firewall, que se integra a la perfección con varias soluciones y tecnologías claves de McAfee, para ofrecer a las empresas y a los organismos gubernamentales un ecosistema en constante expansión contra amenazas.

"Las nuevas integraciones con la estructura de McAfee Security Connected proporcionan a los clientes de McAfee Next Generation Firewall protección en capas contra las amenazas y evasiones más recientes, además de eficiencias operativas y flujos de trabajo mejorados, comentó Pat Calhoun, gerente general de Seguridad de redes de McAfee, parte de Intel Security.


Un estudio reciente de Vanson Bourne encomendado por McAfee reveló que las empresas con varias soluciones de seguridad en silos suelen presentar posturas de seguridad fácilmente comprometidas, que las pone en mayor riesgo de fuga de datos. Según el estudio, en los EE. UU., casi el 60% de los tomadores de decisiones de TI en grandes empresas (más de tres mil empleados) creen que las soluciones de seguridad de punto que no comparten la información, pueden dar lugar amenazas que pasan desapercibidas. Más del 65% afirmó que la seguridad en silos también hace que los departamentos de TI inviertan demasiado tiempo en descubrir y remediar amenazas en forma manual.

"Mediante información procesable de endpoints de McAfee ePolicy Orchestrator, los clientes de McAfee Next Generation Firewall observarán ahora los beneficios de la eficiencia operativa en los conocimientos sobre posturas de seguridad de endpoint y flujos de trabajo administrativo simplificados al investigar incidentes. La integración con McAfee Enterprise Security Manager mejora la postura de seguridad, reduce los tiempos de respuesta de eventos, y permite el monitoreo en forma continua y los alertas sobre los estados de cumplimiento. La integración de McAfee Advanced Threat Defense proporciona protección en tiempo real contra malware de mutación rápida y ataques de día cero.Por último, la inteligencia de reputación de McAfee Global Threat Intelligence permite a McAfee Next Generation Firewall proporcionar una protección superior contra malware y amenazas avanzadas activas a nivel global, anotó Calhoun.

Agregó que McAfee Next Generation Firewall protege las redes empresariales con "conciencia de inteligencia y con apoyo de actualizaciones en tiempo real del ecosistema de McAfee Security Connected. "Esto permite a McAfee ofrecer una defensa contra evasiones avanzadas junto con las protecciones completas de Next Generation Firewall cuando y donde lo necesite: sitios remotos, sucursales, centros de datos y frontera de redes, afirmó el ejecutivo.

McAfee Next Generation Firewall comienza con una base de protecciones que incluyen control granular de la aplicación, un sistema de prevención de intrusiones, una red privada virtual incorporada y paquetes de inspección profunda. "Entonces McAfee agrega tecnologías de antievasión que decodifican y normalizan el tráfico de red, antes de la inspección y en todas las capas de protocolo, para exponer y bloquear los métodos de ataque más avanzados, finalizó Calhoun.


Ver mas información en Fuente:
http://cioperu.pe/articulo/17254/mcafee ... tion/#?p=2
↧

Publicación del hotfix 1014944 para epo 4.x y 5.x

November 8, 2014, 5:32 am
$
0
0
McAfee ha publicado el Hotfix 1014944 para ePolicy Orchestrator 4.x y 5.x que solventa tres vulnerabilidades de SSLv3.


Este hotfix ha sido desarrollado para su uso con las siguientes versiones de McAfee ® ePolicy Orchestrator ® (McAfee ePO™):

•ePolicy Orchestrator 4.6.x

•ePolicy Orchestrator 5.0.x

•ePolicy Orchestrator 5.1.0

•ePolicy Orchestrator 5.1.1 (build 357)


Clasificación del parche: Mandatory (obligatoria)

Esta actualización debe ser aplicada de forma inmediata para evitar una potencial brecha de seguridad.

Para obtener más información acerca de clasificación de parches, consulte el artículo de la base de conocimientos de McAfee KB51560.


Problemas resueltos:


Ambas vulnerabilidades descritas a continuación involucran ataques de denegación de servicio mediante fuga de datos en memoria. Para más información consulte los enlaces a continuación:

•CVE-2014-3513

•CVE-2014-3567

•McAfee Security Bulletin SB10091


Versiones de OpenSSL afectadas:

•OpenSSL 0.9.8a-zb

•OpenSSL 1.0.0a-n

•OpenSSL 1.0.1a-i2


Versiones de OpenSSL que no están afectadas:

•OpenSSL 0.9.8zc

•OpenSSL 1.0.0m

•OpenSSL 1.0.1j


Notas para el administrador:

•Si se instala este hotfix y, posteriormente, se vuelve a instalar el servidor ePO entonces será necesario volver a instalar el hotfix. Este hotfix se incluirá en próximos parches para Epo.

•Instale el hotfix sobre el servidor ePO sobre los Agent Handler (si los hubiera) en los que la versión de OpenSSL no sea la 1.0.1.10 o superior.

•Este Hotfix substituye todos los archivos de Apache y de Open SSL utilizados por ePO debido a la dependencia que existe entre estas dos tecnologías.


Verificación de la instalación del Hotfix:

Abra la carpeta de instalación de McAfee ePO o del Agent Handler

•McAfee ePO: <ePO Install folder>\Apache2\bin

•Agent Handler: <AH Install folder>\apache\bin

Haga clic con el botón derecho sobre le archivo ssleay32.dll y seleccione Propiedades; en la pestaña detalles verá los siguientes valores:

•Versión del fichero: 1.0.1.10

•Versión del Producto: 1.0.1j


Ver mas información original en Fuente:
http://www.satinfo.es/noticies/2014/pub ... 4-x-y-5-x/
↧

Nueva/s version/es de utilidad/es elistara 30.97 + elipups 1.72

November 8, 2014, 5:47 am
$
0
0
Para nuevas variantes viricas segun muestras recibidas, hemos desarrollado las nuevas versiones de:



ElistarA


---v30.97-( 7 de Noviembre del 2014) (Muestras de (2)CrossRider(bho), (2)AdWare.MultiPlug(bho), (2)AdWare.Eorezo "upmbot_**.EXE y mbot_**.EXE" y DownLoader.Sounder "MS****.EXE")




EliPups

---v1.72--( 7 de Noviembre del 2014)(Añadidos nuevos PUPs "itesing" y "moters")





Ya se han subido a esta web exclusivamente para pruebas de evaluacion en el foro de zonavirus


saludos

ms,7-11-2014
↧
Search

Dridex. ¿vuelven los virus de macro? (información ya adelantada por nosotros en 30-10-2014)

November 9, 2014, 6:52 am
$
0
0
Parecía que se habían acabado, un resquicio del pasado, pero los
atacantes buscan nuevas (o antiguas) formas de engañar a los usuarios
para lograr su objetivo. En esta ocasión, un virus en forma de documento
Word con macros es el encargado de infectar el sistema con un troyano
bancario.

Seguramente muchos de los usuarios actuales nunca hayan visto ni oído
hablar de los virus de macro, y posiblemente de ese desconocimiento se
quiere aprovechar este virus. Los virus de macro tuvieron su época
dorada hace ya más de 10 años (finales de los 90 y principios de los
2000). Quizás el más recordado de todos sea el famoso "Love Letter".
Este tipo de virus se aprovechan de las capacidades del lenguaje de
macros de diferentes productos (principalmente Word y Excel) para
realizar sus acciones maliciosas, anteriormente tan solo se reproducían
e infectaban otros sistemas, pero su carga maliciosa puede ser de
cualquier tipo.

El nuevo malware, descubierto por Trend Micro ha sido bautizado como
Dridex, al considerarlo como el sucesor del troyano bancario Cridex, ya
conocido desde hace unos años. Tanto Cridex y Dridex están destinados al
robo de información personal, especialmente datos bancarios, nada nuevo.

Sin embargo, mientras el malware Cridex es directamente uno de los
"payloads" asociados al kit de ataque. Dridex, por el contrario, usa
spam para distribuir documentos Word que contienen código macro
malicioso. Es esa macro la encargada de descargar Dridex en el sistema
afectado.

Esa es la novedad de este malware, se emplea un documento Word con
macros para realizar la descarga del malware en el sistema del usuario.

La infección

El primer eslabón en la cadena de infección es la recepción de un
mensaje de spam. Los correos están supuestamente enviados por empresas
legítimas, e incluyen un adjunto que dice ser facturas o documentos
contables.

El documento Word adjunto contiene la macro maliciosa. El usuario debe
abrir el archivo y verá un documento en blanco. También existen adjuntos
en los que se le indica al usuario que el contenido no será visible
hasta que active las macros. Generalmente, por defecto, Word tiene
desactivada la ejecución de macros. Por lo que mostrará una indicación
para activar dicha función. Una vez más la ingeniería social entra en
acción, el usuario desapercibido puede entender que el contenido del
archivo no será visible a menos que se active la función de macros. Pero
si el usuario activa las macros, se producirá la descarga del malware
Dridex (concretamente TSPY_DRIDEX.WQJ).

Una vez se ejecuta, el malware actúa de una forma tradicional, como
cualquier otro troyano bancario. Monitoriza la actividad relacionada con
una serie de bancos online, principalmente europeos. Algunos de sus
bancos objetivos son: Bank of Scotland, Lloyds Bank, Danske Bank,
Barclays, Kasikorn Bank o Santander. Una vez el usuario accede a alguno
de estos bancos online, procede al robo de información a través de
diferentes métodos, como la grabación de formularios, capturas de
pantalla o inyecciones en el sitio.







NOTA IMPORTANTE:
________________


Ya hace pocos días alertabamos de este virus en la siguiente Noticia del blog:

http://www.satinfo.es/blog/2014/vuelven ... -de-macro/


Consideramos que conviene saber que, de otras fuentes, tambien llega hoy la noticia de la llegada de dicho virus, segun Fuente:
http://unaaldia.hispasec.com/2014/11/dr ... l#comments



saludos

ms, 8-11-2014
↧
↧

Microsoft publicará 16 boletines de seguridad el próximo martes

November 10, 2014, 1:58 am
$
0
0
Como cada mes, Microsoft ha revelado un adelanto de los boletines de
seguridad que serán publicados dentro de su ciclo de actualizaciones, el
próximo martes 11 de noviembre. En esta ocasión, Microsoft publicará 16
boletines (del MS14-063 al MS14-078) que corregirán múltiples
vulnerabilidades en diversos sistemas.

Hay que remontarse a abril de 2011, cuando se publicaron 17 boletines,
para encontrar un mes con más boletines de seguridad. Entre los 16
boletines que se publicarán, cinco están calificados como críticos y
corrigen vulnerabilidades que pueden dar lugar a la ejecución remota de
código en Internet Explorer y sistemas Windows. Nueve boletines serán de
carácter importante y los dos boletines restantes de nivel moderado.

Las actualizaciones corregirán vulnerabilidades en sistemas Microsoft
Windows, Internet Explorer, Office, Exchange, .NET Framework, Internet
Information Services (IIS), Remote Desktop Protocol (RDP), Active
Directory Federation Services (ADFS), Input Method Editor (IME)
(japonés) y el controlador modo kernel (Kernel Mode Driver, KMD).

Cuatro de las actualizaciones críticas también afectan a Windows 10
Technical Preview. Por la información facilitada por Microsoft sabemos
que hay dos actualizaciones para Office, aunque no se confirma si
publicará la solución final para el 0-day en Microsoft OLE descubierto
recientemente.


Ver mas información en Fuente:
http://unaaldia.hispasec.com/2014/11/mi ... es-de.html
↧

Delito de revelación de secretos a través de internet y corrupción de menores

November 10, 2014, 2:13 am
$
0
0
Agentes de la Policía Nacional de Logroño han detenido a tres personas como responsables de los delitos de revelación de secretos a través de Internet y corrupción de menores.

La investigación se inició el pasado mes de junio cuando una joven menor de edad denunció que en un conocido portal de anuncios en Internet aparecían varias fotografías suyas, aunque no incluian sus datos personales y el rostro aparecía tapado con unos corazones coloreados. El anuncio ofrecía servicios de tipo sexual, y las fotografías pudieron ser obtenidas en una conocida red social.

Los agentes localizaron en el portal de anuncios un total de 34 publicados por una misma persona, en los que se ofrecían servicios sexuales en Logroño utilizando fotografías de chicas jóvenes ocultando su rostro. Estos archivos habrían sido descargados por los detenidos de diferentes perfiles en redes sociales.

A raíz de las pesquisas se detuvo a un varón de 32 años de edad y otra joven que regentaban un piso de contactos en Logroño, negocio para el que utilizaban el reclamo de estos anuncios en Internet.

Se procedió al registro del domicilio donde se intervino un ordenador con numerosas imágenes de jóvenes, correspondientes a los anuncios subidos a la red. Los detenidos pfueron puestos a disposición del Juzgado de Instrucción en funciones de Guardia y de la Fiscalía de Menores de la Comunidad Autónoma de la Rioja, quienes decretaron su libertad con cargos debido a que no tienen antecedentes.

La investigación sigue abierta para lograr la total identificación de las personas cuyas fotografías aparecen en los anuncios publicados, para que puedan ejercer las correspondientes acciones legales y también para poder determinar si ha habido explotación sexual de menores de edad.

Al subir imágenes personales a Internet estamos expuestos a que terceras personas puedan utilizarlas para fines como este. El derecho a la propia imagen es fundamental en estos casos, y es trabajo de las autoridades defenderlo y garantizar su cumplimiento. En este caso, la investigación permitió identificar a decenas de víctimas que podrán emprender acciones legales contra las personas que vulneraron su derecho a la intimidad utilizando las fotografías con fines no autorizados por los dueños. Si eres víctima de uno de estos actos, lo mejor es que denuncies de inmediato para que las fuerzas de seguridad puedan iniciar la investigación cuanto antes y esclarecer los hechos.

Ver mas informacion al respecto en Fuente:
http://www.delitosinformaticos.com/11/2 ... n-internet
↧

Peligroso envio actual de mails masivos maliciosos ofreciendo enlace a descarga de variante de ransomware cryptolocker-torrent

November 11, 2014, 2:08 am
$
0
0
Un mail malicioso que se está recibiendo actualmente, contiene un enlace de descarga de un fichero INVOICE.ZIP el cual contiene un aparente PDF que realmente es un EXE (truco de la doble extensión):

Invoice.Pdf_____________________________________________________________.exe


La apariencia del mail malicioso es la siguiente:


MAIL MALICIOSO:
_______________


Asunto: Le consegne di attrezzature.
De: <mrhoden@relatiefront.nl>
Fecha: 08/11/2014 08:10
Para: <"destinatario">



Hola, "destinatario".


Condicion de esta semana, que tiene una deuda.
Descarga los nuevos datos y enviar tus superiores:
http://www.xxxxxxxiexperience.com/Invoi ... c@dsav.net


______________________

FIN DEL MAIL MALICIOSO


Como se ve, está redactado en un castellano deficiente, a diferencia de los anteriores que llegaban en inglés,

El enlace que incluye descarga el fichero virico desde un servidor italiano:

xx.xxx.128.166 IT Italy, Europe 42.8333, 12.8333 Aruba S.p.A.


sito al Noreste de Roma, segun las coordenadas arriba ofrecidas.



El preanalisis de virustotal ofrece el siguiente informe:

MD5 edf51b7c2507590d697e0899c0cadcb5
SHA1 b59b8c306917ba92c48abba83992e09e9146336c
Tamaño del fichero 465.0 KB ( 476160 bytes )
Nombre: Invoice.Pdf______________________________________________________...
Detecciones: 31 / 52
Fecha de análisis: 2014-11-10 08:55:00 UTC ( hace 1 minuto )

0 4


Antivirus Resultado Actualización
AVG Luhe.Fiha.A 20141110
AVware Trojan.Win32.Generic!BT 20141110
Ad-Aware Trojan.GenericKD.1963246 20141110
AegisLab DangerousObject.Multi.Gen 20141110
Avast Win32:Malware-gen 20141110
Avira TR/Ransom.476160.1 20141110
Baidu-International Trojan.Win32.Kryptik.bCPPR 20141107
BitDefender Trojan.GenericKD.1963246 20141110
Bkav W32.HfsAutoA.D734 20141110
Comodo TrojWare.Win32.Amtar.amu 20141110
DrWeb Trojan.Encoder.799 20141110
ESET-NOD32 a variant of Win32/Kryptik.CPPR 20141110
Emsisoft Trojan-Ransom.Win32.Agent (A) 20141110
F-Secure Trojan.GenericKD.1963246 20141109
Fortinet W32/Kryptik.CPPR!tr 20141108
GData Trojan.GenericKD.1963246 20141110
Ikarus Trojan.Win32.Crypt 20141110
K7AntiVirus Trojan ( 004b06ec1 ) 20141110
K7GW Trojan ( 004b06ec1 ) 20141110
Malwarebytes Trojan.Agent.ED 20141110
McAfee PWSZbot-FAFA!EDF51B7C2507 20141110
McAfee-GW-Edition BehavesLike.Win32.PWSZbot.gh 20141110
Microsoft Ransom:Win32/Teerac.A 20141110
NANO-Antivirus Trojan.Win32.Crypren.dijcqg 20141110
Norman Troj_Generic.XCFML 20141110
Qihoo-360 HEUR/QVM10.1.Malware.Gen 20141110
Sophos Troj/Agent-AJSY 20141110
Symantec Trojan.Zbot 20141110
TrendMicro TROJ_CRYPTLOCK.I 20141110
TrendMicro-HouseCall TROJ_CRYPTLOCK.I 20141110
VIPRE Trojan.Win32.Generic!BT 20141110


Como pùede verse McAfee lo detecta aunque como variante de ZBOT, si bien nosotros vemos que es una variante de los ultimos CRYPTOLOCKER.TORRENT que ya controlamos con el ElistarA

Aunque en esta ocasión Kaspersky no lo detecte, enviamos muestra de dicho fichero a su portal para que lo puedan analizar y controlar rapidamente, aparte de que a todas las casas antivirus, el Virustotal les reporta muestras de los ficheros víricos que van recibiendo, para que implementen su control y eliminación en las siguientes actualizaciones de sus antivirus.

Este de ahora lo pasamos a controlar con el ElistarA 30.98 de hoy, que estará disponible en nuestra web a partir de las 19 h CEST de hoy.

Por cierto, que en las carpetas afectadas por el cifrado de dicho virus. aparecen ficheros INSTRUCCIONES_DESCIFRADO.html con el siguiente texto, esta vez en un mal castellano en lugar del ingles tipico de anteriores variantes:



http://www.satinfo.es/blog/wp-content/uploads/2014/11/advertencia-cryptolocher.jpg


Aparte de la diferencia en estos textos con varsiones anteriores, tambien se aprecian diferencias en las claves de ejecucion, ya que utiliza HKLM en lugar de HKCU y que el nombre del proceso activo en memoria que figura es el EXPLORER.EXE y diferentes rutinas de ejecución, es muy parecido a la gama de CRYPTOLOCKER.TORRENT del que ya informábamos en


http://www.satinfo.es/blog/2014/nueva-v ... r-torrent/

por lo que recordamos que esta gama actual, sigue lanzadose desde un O4 RUN en cada reinicio, aun despues de cifrar los ficheros de datos, por lo que no se debe olvidar el lanzar un escaneo con un antivirus que lo detecte para no volver a sufrir el cifrado de los ficheros repuestos desde la copia de seguridad.


SE RECUERDA UNA VEZ MAS:

"no deben ejecutarse ficheros anexados a mails no solicitados, ni pulsar en sus links ni en imagenes de los mismos, y NUNCA rellenar datos particulares que se pidan por e-mail, especialmente contraseñas de correo o de cuentas bancarias."

Y mantener al día y fuera del acceso compartido, una copia de seguridad incremental de los datos.


saludos

ms, 10-11-2014
↧

Wirelurker, nuevo malware para ios y os x

November 11, 2014, 6:45 am
$
0
0
Palo Alto Networks ha descubierto una nueva familia de malware para
Apple OS X y dispositivos iOS, bautizada como WireLurker.

WireLurker se ha extendido originalmente a través de Maiyadi
(http://app.maiyadi.com), una tienda de aplicaciones China no oficial.
El sitio Maiyadi es un portal chino de noticias y recursos relacionados
con Apple. La tienda de aplicaciones Maiyadi es un sitio conocido por
albergar aplicaciones para Mac, iPhone e iPad pirateadas. En los pasados
seis meses, se han detectado 467 aplicaciones infectas que se han
descargado un total de 356.104 veces, lo que implica miles de usuarios
infectados.

WireLurker infecta sistemas OS X y se queda a la espera de que se
conecte un dispositivo iOS. Momento en el que instalará aplicaciones de
terceros o generará de forma automática aplicaciones maliciosas en el
dispositivo conectado, independientemente de si tiene jailbreak o no.
Cualquier dispositivo iOS que se conecte a un sistema OS X infectado,
también quedará infectado. Esta es la razón del nombre "Wire Lurker"
("fisgón de cable").

Según Palo Alto Networks WireLurker, para evitar la ingeniería inversa
este malware exhibe una estructura de código compleja, múltiples
versiones de componentes, ocultación de archivos, ofuscación de código
y cifrado personalizado.

Este es el primer malware que automatiza la generación de aplicaciones
iOS maliciosas, a través de reemplazar el archivo binario. También es el
primer malware conocido que puede infectar aplicaciones iOS instaladas
en un dispositivo de forma similar a la de un virus tradicional.

Como no podía ser de otra forma, WireLurker es capaz de robar una
variedad de información de los dispositivos móviles infectados y pide
regularmente actualizaciones desde un centro de comando y control de los
atacantes. Este malware está en desarrollo activo y el objetivo último
de su creador no es todavía claro. En cualquier momento puede recibir
una actualización que cambie su forma de actuación en los dispositivos
infectados.

No existe una única versión de WireLurker, desde el 30 de abril al 17 de
octubre de 2014 se han detectado tres versiones distintas de WireLurker
(A, B y C). Cada una de las versiones ha significado una evolución y
nuevas funcionalidades. Mientras que la primera versión no descargaba
ninguna aplicación, la versión B descargaba dos aplicaciones: "lszr2"
(un juego para iOS) y "pphelper" (un cliente de una tienda de
aplicaciones iOS no oficial). Por su parte, WireLurker.C descarga una
aplicación "7b9e685e89b8c7e11f554b05cdd6819a" (un lector de comics). Los
nombres mostrados en el teléfono son todos en caracteres chinos.

WireLurker troyaniza aplicaciones OS X e iOS mediante el reemplazo
de archivos ejecutables reempaquetados. Esta técnica es simple de
implementar y efectiva, por lo que seguramente nuevo malware para OS X
e iOS empleará esta técnica en el futuro. De forma similar a la del
aumento de APKs maliciosas reempaquetadas por los creadores de malware.

El ataque de dispositivos iOS sin jailbreak a través de conexiones USB,
no es nuevo, ya existían pruebas de concepto disponibles desde hace algo
más de un año. Ni siquiera se trata del primer malware en emplear esta
técnica, en junio de 2014 los laboratorios Kaspersky descubrieron una
versión iOS del spyware Mekie que usaba conexiones USB en Windows y OS X
para infectar dispositivos iOS (con jailbreak). WireLurker se trata
de la segunda familia que usa esta estrategia para infectar los
dispositivos, sin embargo la diferencia entre Mekie y WireLurker es
que el nuevo malware también infecta dispositivos sin jailbreak.

Palo Alto Networks destaca el incremento de malware destinado a atacar
dispositivos iOS con jailbreak, durante 2014 se han detectado seis
nuevas familias contra dispositivos con esta modificación.

Pero la gran novedad de WireLurker está en la infección a dispositivos
sin jailbreak. Para ello emplea un perfil de aprovisionamiento
empresarial, característica destinada a la distribución de aplicaciones
creadas por empresas para su uso interno. El uso de aprovisionamiento
empresarial explica cómo se pueden instalar aplicaciones en dispositivos
iOS sin jailbreak. Sin embargo, al ejecutar por primera vez la
aplicación infectada en iOS, se presenta un diálogo que solicita
confirmación para abrir una aplicación de terceros. Si el usuario opta
por continuar, se instalará un perfil de aprovisionamiento empresarial
de terceras partes y WireLurker habrá comprometido con éxito ese
dispositivo sin jailbreak. Por lo demás, la aplicación infectada
funcionará de igual forma que la aplicación legítima.

Palo Alto Networks confirma que ha enviado cinco archivos diferentes de
WireLurker (de las tres versiones detectadas) a VirusTotal, sin embargo
ninguno de los 55 antivirus ha detectado este nuevo malware.

Para la detección, los usuarios de Mac e iOS deben revisar los procesos
y archivos en sus ordenadores Mac y dispositivos iOS. Palo Alto Networks
ofrece un programa en Python para sistemas OS X para detectar archivos
conocidos como maliciosos y sospechosos, así como las aplicaciones que
muestran características de infección.
Esta herramienta está disponible desde:
https://github.com/PaloAltoNetworks-BD/ ... erDetector

Ver mas informacion original al respecto en Fuente:
http://unaaldia.hispasec.com/2014/11/wi ... l#comments

y se puede complementar con la información de esta otra Fuente:
http://www.seguridad.unam.mx/noticia/?noti=2013

saludos

ms, 10-11-2014
↧
↧

Nueva técnica, phishing más sencillo y difícil de detectar

November 11, 2014, 7:09 am
$
0
0
Investigadores han detectado una nueva técnica usada por los phishers (cibercriminales encargados de hacer phishing) la cual podría engañar aún más a los usuarios, haciéndoles creer que están ingresando su información en un formulario web legítimo.

En lugar de replicar lo más fielmente posible una página web legítima, por ejemplo, un sitio de comercio electrónico, los atacantes sólo necesitan configurar una página de phishing con un proxy que haga la función de intermediario de la página legítima, además de crear un par de páginas falsas para cuando los usuarios necesiten ingresar su información personal y financiera.

"Siempre y cuando las posibles víctimas estén navegando en la página, verían el mismo contenido como en el sitio original. Es solamente cuando se ingresa información de pago se muestran las páginas modificadas a los usuarios", explica Noriaki Hayashi, investigador senior de amenazas de Trend Micro.

"No importa el dispositivo (PC, laptop, teléfono, tableta) o navegador usado, ya que el ataque usa el proxy para todas las partes de la petición HTTP de la víctima y todas las partes de la respuesta del servidor legítimo."

En el ataque detectado, los usuarios son direccionados al sitio malicioso, haciendo clic en un resultado de búsqueda del nombre del producto. Los atacantes usaron un gran número de técnicas blackhat SEO (técnicas ilegales para dar buen posicionamiento a páginas web en los buscadores) para hacer que la URL apareciera en los resultados. Pero los correos electrónicos y mensajes de spam también se pueden utilizar para atraer víctimas potenciales al sitio malicioso.

El ataque real empieza cuando el usuario da clic sobre el botón de "Add to Basket" del sitio legítimo, el atacante ha reescrito la función para que el usuario sea redirigido a una página falsa de carrito electrónico que lleva a más páginas falsas, simulando el proceso de compra.

La primera página pide a la víctima que ingrese su información personal (nombre, dirección, número telefónico) así como su correo electrónico y su contraseña. La segunda pide que ingrese la información de su tarjeta de crédito (incluyendo el código de seguridad). La tercera solicita información adicional que algunas veces es requerida para autorizar la transacción.

Una vez que las víctimas han mandado toda esa información, recibirán un correo falso de confirmación por la compra a la cuenta proporcionada anteriormente, así se completa la ilusión.
"Hasta ahora, solamente hemos identificado este ataque contra una tienda en línea específica en Japón. Sin embargo, si se vuelve más prominente, podría convertirse en un desarrollo muy preocupante: esto hace más difícil a las páginas de phishing ser detectadas por los usuarios finales, también, las páginas falsas serán idénticas a las páginas originales", notó Hayashi.
Este enfoque hace a las páginas de phishing mucho más fáciles de configurar y más difíciles de detectar para los dueños de las páginas web legítimas.

Ver mas informacion al respecto en Fuente:
http://www.seguridad.unam.mx/noticia/?noti=2017
↧

Otro mail que pretende ser una solicitud de presupuesto, pero que realmente anexa una variante de malware vkrtgr

November 11, 2014, 7:32 am
$
0
0
Están llegando mails pidiendo oferta para un producto indicado en un fichero anexado, que resulta ser un malware.


Las caracteristicas de dichops mails son similares a:




MAIL MALICIOSO

______________


Asunto: Re:Order
De: export partex <export.partex@gmail.com>
Fecha: 10/11/2014 11:00
Para: undisclosed-recipients:;



Hello Dear,
Can you please quote your best offer as per attachment.



Best Regards
Kirill Vojevodin
purchasing manager.
Remal Al Emarat L.L.C.
Laki 11B,
12915, Tallinn, Estonia
mob: +372 58 13 74 01
ph: +372 6 22 16 33
fax: +372 6 22 16 44
mail: alalvarado-iasa@cappelendam.com
web: http://www.cappelendam.com


ANEXADO: current order.zip

_____________________
FIN DE MAIL MALICIOSO



El preanalisis de virustotal ofrece el siguiente informe:

MD5 3e33e8769d0fb6ac7f2cd324c782b8bd
SHA1 f64e17ec9552d27f08b497149647e62054067d7b
Tamaño del fichero 353.5 KB ( 361984 bytes )
SHA256: c5381b2089f244ff4f55152d344144623288e9e1ef99e5db27b542fb2913abcc
Nombre: current order.exe
Detecciones: 7 / 53
Fecha de análisis: 2014-11-10 15:19:25 UTC ( hace 0 minutos )


0 1


Antivirus Resultado Actualización
Avast Win32:Trojan-gen 20141110
DrWeb Tool.PassView.849 20141110
ESET-NOD32 a variant of MSIL/Injector.GFS 20141110
Ikarus Trojan.Win32.Pakes 20141110
McAfee-GW-Edition BehavesLike.Win32.Backdoor.fc 20141110
Qihoo-360 HEUR/QVM03.0.Malware.Gen 20141110
Symantec Packed.Generic.469 20141110


A partir del ElistarA 30.98 de hoy pasamos a controlar

Dicha version del ElistarA 30.98 que lo detecta y elimina, estará disponible en nuestra web a partir de las 19 h CEST de hoy

saludos

ms, 10-11-2014
↧
Search

Nuevas variantes de adware crossrider que pasamos a controlar con el elistara de hoy

November 11, 2014, 7:51 am
$
0
0
A partir del ElistarA 30.98 de hoy, pasamos a controlar esta nueva variante de esta conocida familia de adwares

El preanalisis de virustotal ofrece el siguiente informe:


SHA256: 6117f99dd4667581f975c1751872c0f3dc850c74d47f8af511cb41eba724c8e9
Nombre: Browsers+Apps+1.1-bho.dll
Detecciones: 10 / 54
Fecha de análisis: 2014-11-10 15:41:10 UTC ( hace 0 minutos )


0 1


Antivirus Resultado Actualización
AVware Crossrider (fs) 20141110
Avira ADWARE/CrossRider.Gen 20141110
ESET-NOD32 a variant of Win32/Toolbar.CrossRider.BA 20141110
F-Prot W32/A-ee826839!Eldorado 20141110
Kaspersky Trojan.NSIS.GoogUpdate.dp 20141110
Malwarebytes PUP.Optional.BrowsersApp.A 20141110
McAfee PUP-FDU 20141110
McAfee-GW-Edition PUP-FDU 20141110
Rising PE:Malware.Obscure!1.9C59 20141109
VIPRE Crossrider (fs) 20141110
MD5 7a2048cc661e9c901f66ee030db53557
SHA1 39b4a39b8b95d3b7d9d190bc126d5f7b47061550
SHA256 6117f99dd4667581f975c1751872c0f3dc850c74d47f8af511cb41eba724c8e9
ssdeep12288:toCwE1a7UiRTQg3w5/Aow8+Tb13dOHLsgY5:iCD+L3g/Aow7TRtOrs5
authentihash 30d5fbe2b665f334743cacb31da7730edbd03ae1cfbc75c97818d881a6efb117
imphash dd8d880e9e02871097aaf7f470df0c40
Tamaño del fichero 591.9 KB ( 606112 bytes )

DIcha versión del ElistarA 30.98 QUE LOS DETECTA Y ELIMINA, ESTARÁ DISPONIBLE EN NUESTRA WEB A PARTIR DE LAS 19 H CEST DE HOY

saludos

ms, 10-11-2014
↧

Nuevas variantes de adware multiplug que pasamos a controlar con el elistara de hoy

November 11, 2014, 8:00 am
$
0
0
A partir del ElistarA 30.98 de hoy, pasamos a controlar esta nueva variante de esta conocida familia de adwares


El preanalisis de virustotal ofrece el siguiente informe:


MD5 2d1bb2f5caacc021548bd5b9f59292e1
SHA1 f08e6c9b51d4bc2df68968b3910cec8217acde9f
Tamaño del fichero 745.0 KB ( 762880 bytes )
SHA256: f267d027ba5e971f4eb4217d9cee744b0879181e0b6394761496ff6dc0c13f28
Nombre: QxGQMkuHVJXx0M.dll
Detecciones: 15 / 55
Fecha de análisis: 2014-11-10 15:53:15 UTC ( hace 0 minutos )


0 1


Antivirus Resultado Actualización
Ad-Aware Gen:Variant.Adware.Graftor.154184 20141110
Avira ADWARE/MultiPlug.Gen 20141110
Baidu-International Adware.Win32.MultiPlug.BBN 20141107
BitDefender Gen:Variant.Adware.Graftor.154184 20141110
Comodo Application.Win32.MultiPlug.BNJ 20141110
ESET-NOD32 a variant of Win32/AdWare.MultiPlug.BN 20141110
Emsisoft Gen:Variant.Adware.Graftor.154184 (B) 20141110
F-Secure Gen:Variant.Adware.Graftor.154184 20141110
GData Gen:Variant.Adware.Graftor.154184 20141110
Malwarebytes PUP.Optional.MultiPlug 20141110
McAfee MultiPlug 20141110
McAfee-GW-Edition BehavesLike.Win32.Downloader.bm 20141110
MicroWorld-eScan Gen:Variant.Adware.Graftor.154184 20141110
Qihoo-360 HEUR/QVM30.1.Malware.Gen 20141110
Sophos Generic PUA PA 20141110



DIcha versión del ElistarA 30.98 QUE LOS DETECTA Y ELIMINA, ESTARÁ DISPONIBLE EN NUESTRA WEB A PARTIR DE LAS 19 H cEST DE HOY

saludos

ms, 10-11-2014
↧
↧

Nuevas variantes de adware eorezo que pasamos a controlar con el elistara de hoy

November 11, 2014, 8:05 am
$
0
0
A partir del ElistarA 30.98 de hoy, pasamos a controlar esta nueva variante de esta conocida familia de adwares


El preanalisis de virustotal ofrece el siguiente informe:


MD5 f53ea7c2b42e7b5e8f93f8dccacd5523
SHA1 70fb2fe5425bad4debb2ab76606ede13882b122e
Tamaño del fichero 3.2 MB ( 3304904 bytes )
SHA256: 15d5761f8c5e7b690edf3ec47af9a465a46b4fb0cc88ef13664f05257ed21fd2
Nombre: upmbot_es_179.exe
Detecciones: 10 / 55

Fecha de análisis: 2014-11-10 16:00:12 UTC ( hace 1 minuto )


Antivirus Resultado Actualización
AVG Generic.EC7 20141110
AVware Tuto4PC (fs) 20141110
Antiy-AVL Trojan/Win32.TSGeneric 20141110
Avast Win32:Adware-ASG 20141110
Avira ADWARE/EoRezo.Gen4 20141110
Baidu-International Adware.Win32.EoRezo.bAJ 20141107
ESET-NOD32 a variant of Win32/Adware.EoRezo.AJ 20141110
F-Prot W32/EoRezo.J.gen!Eldorado 20141110
Ikarus AdWare.Eorezo 20141110
VIPRE Tuto4PC (fs) 20141110

DIcha versión del ElistarA 30.98 QUE LOS DETECTA Y ELIMINA, ESTARÁ DISPONIBLE EN NUESTRA WEB A PARTIR DE LAS 19 H cEST DE HOY

saludos

ms, 10-11-2014
↧

Nueva/s version/es de utilidad/es elistara 30.98

November 11, 2014, 9:22 am
$
0
0
Para nuevas variantes viricas segun muestras recibidas, hemos desarrollado las nuevas versiones de:



ElistarA


---v30.98-( 7 de Noviembre del 2014) (Muestras de (2)CrossRider(bho), (2)AdWare.MultiPlug(bho), (2)AdWare.Eorezo "upmbot_**.EXE y mbot_**.EXE" y DownLoader.Sounder "MS****.EXE")





Ya se han subido a esta web exclusivamente para pruebas de evaluacion en el foro de zonavirus


saludos

ms,10-11-2014
↧

Operación internacional da un golpe letal a 413 sitios criminales, incluyendo silk road 2.0

November 11, 2014, 12:46 pm
$
0
0
Una operación internacional en la que participaron autoridades de 17 países coordinadas por el FBI y la Europol ha dado fin a más de 400 sitios web con contenido ilícito alojados en la red Tor. La Operación Onymous no sólo clausuró los sitios criminales, sino que también arrestó a algunos de sus coordinadores, incluyendo al responsable del infame Silk Road 2.0.

Silk Road 2.0 apareció en noviembre de 2013 como sucesor de Silk Road, el sitio web que acababa de ser cerrado por el FBI por ser un punto de encuentro de los criminales que aprovechaban el anonimato de Internet para vender armas, drogas, servicios de sicarios y todo tipo de material ilícito. Además de cerrar el sitio, en aquel entonces el FBI arrestó a Ross Ulbricht, el supuesto creador y administrador del portal, cuyo juicio empieza este mes.

La semana pasada, 40 investigadores de 17 países - incluyendo Bulgaria, la República Checa, Estados Unidos, Finlandia, Francia, Alemania, Hungría, Lituania, Letonia, Luxemburgo, Holanda, Rumania, España, Suecia, Suiza, Inglaterra y Gales - se reunieron en La Haya para dar cierre a la operación de 6 meses de investigación con la clausura de 413 sitios con contenido criminal, incluyendo Silk Road 2.0, Cloud Nine, Hydra, BlueSky, Outlaw Market y Alpaca.

Las autoridades también coordinaron el arresto de 17 personas acusadas de haber coordinado las actividades de estos sitios web. Entre ellos se encuentra Blake Benthall, conocido en Internet por su seudónimo Defcon, un estadounidense acusado de mantener Silk Road 2.0 detrás de una red Tor para esconder la verdadera dirección IP de sus ordenadores y sus usuarios".

Las autoridades también confiscaron drogas, armas ilícitas, 180.000 euros en efectivo, oro y plata y el equivalente a 1 millón de dólares en bitcoins.

Es un golpe significativo, opinó Troels Oerting, director del Centro Europeo de Crimen Cibernético (EC3). Sólo hacemos lo que los ciudadanos que obedecen las leyes nos piden que hagamos: estamos combatiendo el crimen sin importar el lugar de Internet en el que se encuentre (…) estamos muy satisfechos, pero el trabajo continúa.

fuente
↧
Viewing all 16418 articles
Browse latest View live
Search
<script src="https://jsc.adskeeper.com/r/s/rssing.com.1596347.js" async> </script>