Fauxpersky: un nuevo malware lanzado en 2018

La digitalización ha mejorado considerablemente nuestro nivel de vida, haciendo las cosas más fáciles, rápidas y fiables. Pero mantener todos los registros en la computadora y procesarlos a través de Internet es como una moneda con dos caras diferentes. Con innumerables beneficios, existen algunos inconvenientes notables, especialmente los piratas informáticos y sus herramientas, conocidas como malware. La última incorporación a esta gran familia de malware es Fauxpersky. Aunque rima con el famoso antivirus ruso 'Kaspersky' pero ahí es donde sus caminos divergen ... Fauxpersky se disfraza de Kaspersky y está diseñado para robar información de los usuarios y enviarla a los piratas informáticos a través de Internet. Se propaga a través de unidades USB, infectando la computadora del usuario, capturando todas las pulsaciones de teclado como un keylogger y finalmente enviándolo al buzón del atacante a través de Google.Formularios. La lógica detrás del nombre de este malware es simple. Cualquier cosa hecha a imitación se conocería como Faux, por lo tanto, la imitación de Kaspersky sería Faux: Kaspersky o Fauxpersky.

Para comprender el proceso de ejecución de este malware, primero revisemos sus diversos componentes:

Registrador de claves

Google define un programa de computadora que registra cada pulsación de tecla realizada por un usuario de computadora, especialmente para obtener acceso fraudulento a contraseñas y otra información confidencial. Sin embargo, cuando se diseñó inicialmente, Keylogger tenía un propósito para los padres que podían monitorear la actividad en línea de sus hijos y para las organizaciones donde los empleadores podían determinar si los empleados estaban trabajando en las tareas deseadas que se les asignaron.

Lea también: -

Cómo protegerse contra los keyloggers Los keyloggers son peligrosos y para mantenerse protegido uno siempre debe mantener el software actualizado, usar teclados en pantalla y seguir todos ...

AutoHotKey

AutoHotkey es un lenguaje de scripting personalizado de código abierto y gratuito para Microsoft Windows, inicialmente destinado a proporcionar atajos de teclado o teclas rápidas fáciles, creación rápida de macros y automatización de software que permite a los usuarios de la mayoría de los niveles de habilidad informática automatizar tareas repetitivas en cualquier aplicación de Windows. De Wikipedia, la enciclopedia gratuita.

Formularios de Google

Google Forms es una de las aplicaciones que forman la suite de aplicaciones de oficina en línea de Google. Se utiliza para crear una encuesta o cuestionario que luego se envía al grupo de personas deseado y sus respuestas se registran en una sola hoja de cálculo con fines analíticos.

Kaspersky

Kaspersky es una conocida marca de antivirus rusa que ha desarrollado antivirus, seguridad de Internet, administración de contraseñas, seguridad de terminales y otros productos y servicios de ciberseguridad.

Allí, como a veces se dice, “Demasiadas cosas buenas pueden convertirse en algo muy malo”.

Receta Fauxpersky

Fauxpersky fue desarrollado usando herramientas AutoHotKey (AHK) que leen todos los textos ingresados ​​por el usuario desde Windows y envían pulsaciones de teclas a otras aplicaciones. El método utilizado por AHK keylogger es bastante sencillo; se propaga a través de la técnica de autorreplicación. Una vez ejecutado en el sistema, inicia el almacenamiento de toda la información tecleada por el usuario en un archivo de texto con el nombre de la ventana respectiva. Opera bajo una máscara de Kaspersky Internet Security y envía toda la información registrada de las pulsaciones de teclas a un pirata informático a través de Google Forms. El método de extracción de datos es poco común: los atacantes los recopilan de los sistemas infectados mediante formularios de Google sin generar ninguna duda dentro de las soluciones de seguridad que analizan el tráfico, ya que las conexiones encriptadas con docs.google.com no parecen sospechosas. Una vez enviada la lista de pulsaciones de teclas, se elimina del disco duro para evitar la detección. Sin embargo, una vez que el sistema está infectado, el malware se reinicia nuevamente después de reiniciar la computadora. También crea un acceso directo para sí mismo en el directorio de inicio del menú Inicio.

Fauxpersky: Modus Operandi

El proceso de infección inicial aún no está determinado, pero después de que el malware compromete un sistema, escanea todas las unidades extraíbles conectadas a la computadora y se replica en ellas. Crea una carpeta en% APPDATA% con el nombre de " Kaspersky Internet Security 2017 " con seis archivos, cuatro de los cuales son ejecutables y tienen el mismo nombre que el archivo de sistema de Windows: Explorers.exe, Spoolsvc.exe, Svhost.exe y Taskhosts.exe. Los otros dos archivos son un archivo de imagen con el logotipo del antivirus Kaspersky y otro archivo que es un archivo de texto con el nombre 'readme.txt'. Los cuatro archivos ejecutables realizan diferentes funciones:

• Explorers.exe : se propaga desde las máquinas host a las unidades externas conectadas a través de la duplicación de archivos.
• Spoolsvc.exe : altera los valores de registro del sistema, lo que a su vez evita que el usuario vea todos los archivos ocultos y del sistema.
• Svhost.exe: usa funciones AHK para monitorear la ventana actualmente activa y registrar cualquier pulsación de tecla ingresada en esa ventana.
• Taskhosts.exe : se utiliza para la carga de datos final.

Todos los datos que se registran en el archivo de texto se enviarán al buzón del atacante a través de formularios de Google y se eliminarán del sistema. Además, los datos transmitidos a través de Google Forms ya han sido encriptados, lo que hace que las cargas de datos de Fauxpersky parezcan no ser sospechosas en varias soluciones de monitoreo de tráfico.

A la empresa de ciberseguridad 'Cybereason' se le atribuye el descubrimiento de este malware y, aunque no indica cuántas computadoras han sido infectadas, dado que la inteligencia de Fauxpersky se difunde a través del método anticuado de compartir unidades USB. Una vez que se notificó a Google, respondió de inmediato eliminando el formulario de sus servidores en una hora.

Eliminación

Si cree que su computadora también está infectada, simplemente acceda a la carpeta 'AppData' e ingrese a la carpeta 'Roaming' y elimine los archivos relacionados con Kaspersky Internet Security 2017 y el directorio en sí desde el directorio de inicio ubicado en el menú de inicio. También es recomendable modificar las contraseñas de los servicios, para evitar el uso no autorizado de las cuentas.

Incluso con el último antimalware, el dinero puede comprar, sería un error pensar que nuestra información personal almacenada en nuestras computadoras es segura porque los activistas de la ingeniería social en todo el mundo crean malwares con frecuencia. Los desarrolladores de antimalware pueden seguir actualizando las definiciones de malware, pero no siempre es posible al 100% detectar el software anómalo creado por las mentes brillantes que se han descarriado. La mejor manera de evitar una infiltración es visitar solo sitios web confiables y prestar mucha atención al usar unidades externas.