InfoMalwares

Campaña de propagación de Koobface a través de Blogspot

Publicado el 05. Dic, 2009 por el autor Israel Rangel en la categoria Seguridad y ha sido 31 veces visto.

Una masiva campaña de propagación del gusano koobface se encuentra In-the-Wild utilizando como estrategia blogs generados desde el servicio Blogspot.

Koobface se ha transformado en una pesadilla para las redes sociales y si bien sus estrategias de propagación no cambian, este malware lleva casi dos años de actividad con una importante tasa de infección, constituyendo una de las botnets más importantes de la actualidad.

Quien accede a alguno de estos dominios es redireccionado a una página que simula la típica pantalla de YouTube. A continuación vemos una captura

Inmediatamente después, se intenta descargar un binario llamado “setup.exe” (md5 6d8ac41c64137c91939cced16cb5f2fe) que posee una tasa de detección media baja. Este binario, a su vez se encarga de descargar y ejecutar otros códigos maliciosos.

• v2prx.exe (36/41 – 87.80%)
• go.exe (7/41 – 17.07%)
• fb.75.exe (22/41 – 53.66%)
• v2newblogger.exe (36/41 – 87.80%)
• v2captcha.exe (39/41 – 95.12%)
• v2googlecheck.exe (40/41 – 97.56%)

Cada uno de estos archivos son descargados desde dominios del estilo “homemadesandwiches.com/.sys/?getexe=ff2ie.exe“.

El binario v2captcha.exe se encarga de romper el captcha que solicita blogspot para el registro de blogs, creando de manera aleatoria y masiva los mismos, y redireccionando luego a la descarga de koobface a través de, como lo mencioné en un principio, una falsa página de YouTube que utiliza la misma estrategia de ingeniería social visual utilizada en otras campañas de propagación similares.

Sin lugar a dudas koobface es otro de los códigos maliciosos que se vale de la persistencia a pesar de que muchas de sus variantes son detectadas por la mayoría de las compañías antivirus.

Etiquetas: Blogspot, Santa, Youtube

Temas relacionados:

• Spyware hasta en metrónomo musical
• Win32/Virut.AV - Virut.30
• Hi5 y Yourphot0s en vista de los creadores de worms de MSN
• TotalSecure2009 se destribuye en dominios .co.cc
• AntiMalware 2009 también se destribuye en dominios .co.cc
• Variante Bagle alojado en los servidores de rapidshare.com
• Trojan.Downloader llamado N-Virus
• Cleaner 2009