A través de películas hemos visto que los espías utilizan periódicos o emisiones en noticiarios para transmitir mensajes ocultos de manera que no llamen la atención. Esto se ha hecho en la realidad, por ejemplo, en la BBC en Reino Unido, o en algunos periódicos. En el siglo XXI, esto pasa por las redes sociales; en concreto, el perfil de Instagram de Britney Spears.
Hackers rusos especializados en el espionaje utilizan redes sociales para manejar malware
Turla, troyano usado por un grupo de hackers ruso conocido por tener como objetivo atacar a gobiernos de todo el mundo está experimentando ahora con un método muy sencillo, pero a la vez muy inteligente, para ocultar malware. En 2014 ya publicaron otro malware relacionado con el espionaje llamado Wipbot, que tenía como objetivo infectar a ordenadores con Windows (y posteriormente de Linux) de embajadas y gobiernos de países europeos. Este mismo mes de marzo, el grupo usó una vulnerabilidad día cero en Windows para infiltrarse en ordenadores con Windows de gobiernos y ejércitos. El grupo usa Internet vía satélite para no dejar rastro de su actividad.
Según un informe publicado por la empresa de seguridad Eset, un troyano descubierto ahora utilizaba comentarios posteados en el perfil de Instagram de Britney Spears para localizar los servidores de control que le mandaban las instrucciones de ejecución y al que se enviaban los datos robados de los ordenadores infectados.
El sistema utilizado hace que el malware sea mucho más difícil de detectar, ya que los servidores controlados por el atacante no son mencionados de manera directa en el código del malware ni en el comentario que le da acceso al servidor. Inicialmente, el usuario sólo tenía que instalar una extensión de Firefox para que los atacantes pudieran tomar el control completo del ordenador. Para mantenerse oculto, la extensión usaba expresiones regulares (regex) y hashes para encontrar el servidor al que enviar los datos sin que fuera detectable.
El mensaje contenía el enlace al malware
Para obtener la dirección completa del servidor, la extensión usa enlaces bit.ly. El problema es que la dirección no aparece por ningún lado en el código del malware. En su lugar, el malware buscaba la parte que faltaba para completar la dirección URL en los comentarios. Analizando uno por uno los comentarios, cuando se encontrase uno cuyo hash fuese igual a 183, se ejecutaba la siguiente expresión regular para obtener la ruta de la URL:
(?:\\u200d(?:#|@)(\\w)
Analizando los comentarios de esta foto, Eset vio que sólo uno coincidía con el hash 183, y fue posteado el 6 de febrero.
Pasando el comentario por el regex, se obtiene el siguiente enlace, que ya ha sido detectado como malicioso por parte de bit.ly y está bloqueado. El enlace redirige a static.travelclothes.org/dolR_1ert.php, que ya fue utilizado como watering hole por el troyano Turla.
http://bit.ly/2kdhuHX#2hot make loveid to her, uupss #Hot #X
Analizando el regex, se ve que busca el carácter Unicode \200d, llamado Zero Width Joiner, usado para separar emojis, y que no es visible. Si se analiza el comentario de Instagram, se ve que ese carácter aparece justo delante de cada letra que forma el enlace de bit.ly.
Bit.ly afirmó que el enlace había recibido 17 visitas en febrero. Eso quiere decir que el malware estaba en fase de pruebas, o que había sido usado contra objetivos muy específicos. Firefox está siendo renovado de momento para evitar que este tipo de ataques se vuelvan a producir.
Comentarios
Publicar un comentario