Alerta: Troyanos financiero para dispositivos Android

Buenas,

Los troyanos financieros no son una novedad. Que se programen para dispositivos Android, sí.

Android es una mezcolanza de sistema operativo, middleware y aplicaciones para dispositivos móviles. Utiliza el núcleo de Linux, y fue inicialmente desarrollado por Android Inc., una compañía comprada por Google y que finalmente está bajo el control de la Open Handset Alliance. Tal y como se explica en la Wikipedia, Android permite a los desarrolladores escribir código gestionado en Java. Sea como fuere, si por algo se ha popularizado Android, es por darle vida a Nexus One, el nuevo juguete de Google.

Según un aviso de seguridad de la First Tech Credit Union se ha localizado malware puesto a la venta bajo el seudónimo Droid09 en el propio marketplace de Android, lugar a donde acuden los usuarios de este sistema para la adquisición de aplicaciones de su interés para sus teléfonos.

droid09

Técnicamente hablando no se dispone de gran detalle, pero sí ha trascendido que el ejemplar tenía como misión el robo de credenciales. El desarrollador puso a la venta más aplicaciones financieras; Todas han sido eliminadas, y se recomienda a los usuarios Android que revisen si están en posesión de alguno de estos programas con el objetivo de eliminarlos y contactar con su entidad financiera lo antes posible para la obtención de soporte. La lista es la siguiente:

Abbey Bank
Alaska USA FCU
Alliance & Leicester (v. 1.1)
Bank Atlantic
Bank of America
Bank of Queensland
Barclaycard (v. 1.1)
Barclays Bank (v. 1.2)
BB&T
Chase
City Bank Texas
Commerce Bank
Compass Bank
Deutsche Bank
Fifty Third Bank v.1.1
First Republic Bank v.1.1
Great Florida Bank
Grupo Banco Popular
HSBC US (v. 1.2)
ING DiBa v.1.1
Key Bank
LloydsTSB
M&I
Mechanics Bank v.1.1
MFFCU v.1.1
Midwest
Nationwide (v. 1.1)
NatWest (v. 1.1)
Navy Federal Credit Union (v. 1.1)
PNC
Royal Bank of Canada
RBS v.1.1
SunTrust
TD Bank v.1.1
US Bank v.1.2
USAA v.1.1
Valley Credit Union
Wachovia Corp (v. 1.2)
Wells Fargo (v. 1.1)

Por cierto, una de las cosas que más me ha llamado la atención es que los primeros en avisar han sido los de la propia entidad financiera. También digno de reseñar es que a partir de ahora, cuando hablemos de troyanos financieros, (y eso que hay pruebas de concepto anteriores para Linux) ya no podremos ser tan categóricos echándole todo el muerto al mundo Microsoft :)

Un saludo,

Zeus, o cómo desarrollar un troyano indetectable para la mayoría de antivirus

Hola,

Que confiar toda la seguridad de nuestros equipos a un antivirus es absolutamente inútil es algo que todos sabemos (o deberíamos saber). Que los estudios sobre virus y antivirus propician que cada cual cuente la feria según le ha ido tampoco es una novedad. Que los antivirus, por desgracia, son cada día menos efectivos, es algo que se viene comprobando desde hace bastante tiempo, y buena culpa de ello la tiene la especialización de la industria del malware.

Considerando todo lo anterior, os enlazo un interesante documento que bien podría poner en jaque a la industria antivirus. Se llama Measuring the in-the-wild effectiveness of Antivirus against Zeus, y como su propio nombre indica, es un estudio en el que se trata de analizar la efectividad de los antivirus a la hora de proteger a los usuarios de Zeus.

La familia Zeus, también conocida como Zbot, WSNPOEM, NTOS y PRG, es una familia de troyanos financieros de alta especialización orientados al robo de credenciales. Como buen pack de crimeware, Zeus viene acompañado de un panel de control PHP y un ejecutable para construir el troyano a medida. Entre las poco honrosas habilidades de Zeus se encuentran la capacidad de interceptación de credenciales en cualquier puerto TCP, incluyendo HTTP y HTTPS, la posiiblidad de ser personalizado en el momento de la compilación, comunicación aunque la máquina infectada esté tras NAT mediante un proxy Socks 4/4a/5, o la generación de capturas de pantalla del escritorio de la máquina infectada, por citar algunos ejemplos.

Zeus incorpora una lista de direcciones que, una vez visitadas por la víctima, disparan el proceso de apropiación ilegítima de las credenciales, enviándolas en tiempo real al servidor de destino. También tiene capacidad para inyectar código HTML, superponiendo falsos formularios de autenticación a los legítimos. Zeus también es el nombre de una red de ordenadores infectados (botnet) que sólo en Estados Unidos cuenta con más de 3,5 millones de máquinas infectadas por esta virulenta familia de troyanos.

Pero lo peor de Zeus es que utiliza algunas técnicas rootkit para evadir la detección de los antivirus, y quizás ese sea el factor que hace que sea extremadamente difícil su tratamiento. En el estudio de Trusteer las cifras hablan por sí mismas: después de analizar 10,000 máquinas infectadas, la principal conclusión es que Zeus acaba infectando el 77% de las máquinas con antivirus actualizados, lo que reduce la tasa neta de efectividad a un 23%. Para más inri, la mayoría de las infecciones detectadas (un 55%) correspondía a equipos con antivirus actualizados.

Que sólo un 23% de los despliegues antivirus consiga frenar un troyano y sus variantes es una cifra que debe hacernos pensar y mucho. Yo, si os sirve de algo, os aliento a que dejéis de pensar en que el antivirus que tenéis instalado es el Santo Grial de la protección, y que empecéis a considerar seriamente realizar una navegación responsable, huyendo del software pirata que hay en las redes de pares, los cracks, los keygens y los ficheros ZIP y/o RAR de la mula con las últimas canciones del Bisbal y compañía.

Sí, ya sabemos que según la legislación y jurisprudencia española descargar música sin ánimo de lucro no es un delito, pero la cantidad de descargas que además de la canción del verano incluyen regalito sorpresa es bastante más elevada de la que podáis pensar. Os recomiendo también que evitéis la tentación de ver cuerpos femeninos/masculinos en poses provocativas en páginas de dudoso origen y contenidos, ya que también son fuente habitual de contaminación. Sé que a alguno le costará trabajo, pero le va en ello su salud financiera :)

Un saludo,