Análisis y Gestión de Sistemas Informáticos

Los expertos en seguridad están de acuerdo en considerar a Flame, el código malicioso descubierto por la compañía rusa Kaspersky Lab y que lleva cinco años infectando ordenadores en países de Oriente Medio, como el más sofisticado de su clase hallado hasta ahora. Asimismo, sospechan que podría tratarse de una especia de 'ciberarma' de algún país, aún sin identificar.

Algunas pruebas sugieren que el virus pudo haber sido promovido por el mismo país (o países) que encargaron el gusano Stuxnet que atacó el programa nuclear de Irán en 2010, según Kaspersky Lab. No obstante, aún no señalan a nadie. Hay que recordar que Irán acusó en su momento a Estados Unidos e Israel de la distribución de Stuxnet.

La mayor parte de los ordenadores infectados con Flame se encuentran en Irán, seguido por Israel (y los territorios palestinos), Sudán, Siria, El Líbano, Arabia Saudi y Egipto.

Algunos expertos en seguridad informática afirman que este descubrimiento demuestra públicamente lo que de alguna manera se sabe desde hace tiempo: que las naciones han estado utilizando código informático malicioso (virus, troyanos, etc...) como arma para promover sus intereses de seguridad desde hace años.

"Esta es una de muchas campañas que suceden todo el tiempo y nunca salen a la luz pública", dijo Alexander Klimburg, experto en seguridad cibernética en el Instituto Austriaco de Asuntos Internacionales.

En su sitio web en inglés, la agencia de ciberseguridad iraní establece una unión muy estrecha entre Flame y Stuxnet, y afirma que Flame puede estar vinculado a recientes ataques cibernéticos responsables de pérdidas masivas de datos en algunos sistemas iraníes.

No obstante, las investigaciones sobre este virus, que arrancaron hace semanas, no ha terminado. Expertos del laboratorio de Kaspersky Lab y del Laboratorio de Criptografía y Seguridad de Hungría (que ha emitido un completo informe sobre el virus en PDF) afirman que aún no han encontrado ninguna prueba de que puede atacar infraestructuras, eliminar datos o causar otros daños físicos.

De demostrarse dichos extremos, Flame podría considerarse como la tercera 'ciberarma' descubierta en la reciente historia de la ' ciberguerra', tras Stuxnet y Duqu.

Sofisticado

De momento, se sabe que este 'software' contiene hasta 20 veces más código que Stuxnet, el cual fue capaz de afectar el funcionamiento de centrifugadoras nucleares. Tiene cerca de 100 veces más cantidad de código de un virus típico diseñado, por ejemplo, para robar información financiera, asegura el investigador de Kaspersky Lab Roel Schouwenberg.

Una vez infectada una máquina, puede reunir archivos de datos, cambiar la configuración de forma remota en los equipos e incluso encender los micrófonos de los equipos para grabar conversaciones cercanas para grabar las conversaciones, así como tomar capturas de pantalla y registrar los chats de mensajería instantánea y las comunicaciones telefçónicas por VoIP. También puede activar las comunicaciones inalámbricas basadas en Bluetooth y comprometer dispositivos inalámbricos cercanos.

Además, se propaga de una manera muy similar a Stuxnet, a través de la misma brecha de seguridad del sistema Windows de Microsoft.

Desde otras compañías de seguridad fabricantes de antivirus han confirmado el nivel de sofisticación del virus. Dave Marcus, director de investigación avanzada y amenazas de McAfee, afirmó que "parece más complejo que Duqu pero aún es pronto para situarlo en la historia". Por su parte, desde Symantec, el responsable Vikram Thakur aseguró que hay una "alta" probabilidad de que Flame estuviera en la lista de los programas maliciosos más complejos jamás descubiertos, análisis que comparte su compañero Orla Cox

El profesor Alan Woodward, del departamento de Informática de la Universidad de Surrey, dijo en uans declaraciones recogidas por The Telegraph que el virus es extremadamente invasivo, y puede recopilar información del teclado e incluso grabar audio de gente cercana a la máquina infectada, si ésta tiene micrófono. "Esto no ha sido escrito por un adolescente en su dormitorio, es grande, complicado y ha podido robar datos sin dejar rastro durante un largo tiempo", dijo.

Naturalmente, no todo el mundo opina igual. Desde Webroot aseguran que descubrieron este 'software' en diciembre de 2007 pero no le prestaron mucha atención debido a que su código no les pareció especialmente amenazador. "Hay amenazas mucho más peligrosas por ahí", afirmó su videcresidente, Joe Jaroch.

Estás trabajando con el PC cuando, de repente, se abre un aviso a pantalla completa con el logo de la policía. Hay un montón de letra pequeña e instrucciones para pagar algo que parece una multa.

Si te ha pasado eso, tu PC ha sido infectado por el "Virus de la Policía", un ransomware (virus secuestrador) que está causando estragos en ordenadores de España y América Latina.

Te explicamos cómo eliminar de una vez por todas el virus de la policía (conocido también como Ukash virus) y cómo evitar que vuelva a infectarte otra vez.

El virus de la policía es un ejemplo perfecto de ransomware: cuando se activa, impide usar el ordenador hasta que no se ha llevado a cabo una acción determinada, como efectuar un pago en efectivo. El susto es mayúsculo.
La policía no tiene nada que ver. Un atento examen del texto -pobremente redactado- y de las direcciones usadas demuestra que se trata de una falsificación. Además, la policía nunca solicita el pago de multas de esta forma.

Eliminación a través de PoliFix

PoliFix es un antivirus para el virus de la policía. Diseñado por Infospyware, se ejecuta desde cualquier unidad, preferiblemente en Modo a prueba de errores.

Las instrucciones de uso son muy sencillas, y se pueden resumir en los siguientes puntos:

Descarga PoliFix en una memoria USB desde otro PC
Inicia el PC infectado en Modo a prueba de errores
Conecta el pendrive en el ordenador
Ejecuta PoliFix desde el pendrive y espera

Otros métodos de desinfección

Es posible eliminar el virus de la policía -o Ukash virus- también con antiespías y antivirus. Malwarebytes, por ejemplo, es particularmente eficaz contra este tipo de amenaza. Otra opción es Combofix.

Si tu PC no puede arrancar en modo a prueba de errores o si el virus aparece también en ese modo, entonces es mejor recurrir a un antivirus capaz de arrancar desde el CD. Casi todos deberían ser capaces de eliminar el virus de la policía.
Cómo evitar que el PC vuelva a contagiarse con el virus de la policía

El virus de la policía aprovecha diversas vulnerabilidades -entre ellas, la ingenuidad de los usuarios- para suplantar el archivo Explorer.exe con su propio fichero. Eso hace que, en lugar de ver la barra de Inicio y los iconos, solo aparezca el virus.

Una forma eficaz de prevenir la instalación de estos troyanos es usar WinLockLess, una utilidad de Hispasec que cambia los permisos de escritura de las claves del Registro de Windows encargadas de iniciar el Explorador y otros programas.

Marca la segunda y quinta casilla de WinLockLess y haz clic en Activar Cambios para que ningún programa pueda alterar el Explorador o la pantalla de Inicio de Windows. Para deshacer los cambios, basta con ejecutar otra vez WinLockLess, desmarcar y activar la nueva configuración.

La mayoría de las computadoras que vienen a nuestro taller infectadas por virus, son dañadas por esos famosos pendrives (memoria USB, externas o flash), porque tienen un archivo llamado autorun.inf, el cual es el que indicará al sistema operativo: qué línea de códigos se ejecutarán al insertar dicho dispositivo. Normalmente en esas líneas están las instrucciones para que los virus sean copiados.

Pero, no siempre es así. Muchos usan ese archivo autorun.inf para añadir nuevas opciones que se personalizan a nuestro gusto. Además, en los discos ópticos (CD, DVD, etc.) son muy útiles como por ejemplo en las películas DVD, al insertarla, se inicia automáticamente el reproductor, para que no tengamos necesidad de abrir el software que usamos. Entonces, ¿qué puedo hacer con esto?

Es un problema, porque si desactivamos por completo la ejecución automática, del archivo que se llama autorun.inf, entonces nunca iniciará nada al insertar cualquier dispositivo externo pero ya me he encontrado la solución prácticamente definitiva a esto. Se trata de Autorun Manager, permite, bajo su interfaz intuitiva, fácil de usar, gestionar momentáneamente la ejecución automáticamente.

Autorun Manager es un programa gratis para Windows 7, XP, Vista, etc. es portátil por lo que no necesita ser instalado de ninguna manera. Descargas el programa, lo ejecutas, y administra dicha ejecución automática (autorun) de cualquier dispositivo externo como lo prefieras. Eso se hace en momentos en el que insertarás dispositivos de almacenamiento extraíble de dudosa procedencia.

Android.Gonfu.B es el nombre de un nuevo troyano que amenaza los dispositivos con el sistema operativo de Google, y cuyo objetivo es bloquear la galería de imágenes y permitir el control del teléfono desde exterior; así lo ha señalado en las ultimas horas el Instituto Nacional de Tecnología de la Comunicación (INTECO) a través de un comunicado.

Este malware se introduce en los móviles al instalar una aplicación denominada ‘LockGallery’; e intenta obtener la administración del dispositivo “aprovechándose de la vulnerabilidad de Android”.

Posteriormente, el virus hace una copia de sí mismo con el nombre de una librería del sistema, con lo que intenta prevenir que el troyano sea eliminado del terminal.

Para combatir prevenir esta amenaza, hasta ahora, de poca difusión, se aconseja utilizar un antivirus actualizado, además de no descargar aplicaciones o juegos de sitios con poca reputación, y no habilitar la compartición de ficheros si no se utilizan.

Se ha detectado un malware que inyecta un “dll cifrado” de la web directamente en la memoria del proceso javaw.exe.

Tanto Windows como MacOS están expuestos al exploit, ya que es muy difícil su detección por programas antivirus.

Una vez en el equipo, el malware intenta atacar al Windows User Account Control para instalar el troyano Lurk y conectarse a una botnet asociada.

Este intento de instalación es fundamental, ya que de lo contrario no podría sobrevivir a un reinicio del sistema.

De momento los ataques han sido interceptados en Rusia, pero los analistas no descartan que puedan extenderse, ya que puede distribuirse a través de banners.

Además puede que se distribuyan otros tipos de malware y que no sólo se utilice el Trojan-Spy.Win32.Lurk en el proceso.

Más información en The register

La solución: El archivo malware se llama mahmud.exe está instalado en este sitio: C:\Documents and Settings\Nombre de usuario\AppData\Roaming\ el archivo mahmud.exe

Enciende el PC y elegir MODO SEGURO.

Si todo lo anterior no funciona, bajar Malwarebytes, la última versión, actualizáis su Base de Datos y hacéis un análisis completo. Con ésto debería eliminarse el dichoso virus.

Ejecutar TDSSKiller tal cual lo indica Su manual. Cuando termine, guardar su reporte en el escritorio.

Cerrar todas las ventanas abiertas.
Hace doble clic al archivo ComboFix.exe y seguir las instrucciones.
Cuando termine, generará un registro en C:\ComboFix.txt.

*Nota* Mientras CF este trabajando no mover el mouse ya que pararía su proceso.

*Nota* ComboFix puede reiniciar automáticamente el PC para completar el proceso de eliminación.