Tutoriales y Manuales
Entradas Mensuales
-
►
2023
(Total:
710
)
- ► septiembre (Total: 65 )
-
►
2022
(Total:
967
)
- ► septiembre (Total: 72 )
-
►
2021
(Total:
730
)
- ► septiembre (Total: 56 )
-
►
2020
(Total:
212
)
- ► septiembre (Total: 21 )
-
►
2019
(Total:
102
)
- ► septiembre (Total: 14 )
-
►
2017
(Total:
231
)
- ► septiembre (Total: 16 )
-
►
2016
(Total:
266
)
- ► septiembre (Total: 38 )
-
▼
2015
(Total:
445
)
- ► septiembre (Total: 47 )
-
▼
mayo
(Total:
35
)
-
Locker es el primer ransomware que espera instrucc...
-
Madrid ya navega con los 1.000 Mbps de Fibra FAST!...
-
El fiscal pide más de 5 años de cárcel para la cúp...
-
Comparativa de 18 antivirus para Linux
-
La herramienta de análisis IDA reinicia las claves...
-
Denegar ejecución de programas a un usuario de Win...
-
El 97% de los usuarios no es capaz de identificar ...
-
Las API's de Windows más utilizadas por el malware
-
Kali Linux presenta su contenedor Docker oficial b...
-
Moose, el gusano que ataca routers basados en Linu...
-
Rombertik: Un maestro de evasión de técnicas de an...
-
Nuevo ransomware para Android también pide rescate...
-
Obnoxious, otro miembro de Lizard Squad detenido e...
-
Nuevo truco para bypassear UAC en Windows
-
Google recomienda evitar el uso de la "Preguntas s...
-
La NSA planeaba espiar a los usuarios teléfonos mó...
-
Reporte trimestral Akamai ataques DDoS en 2015: SS...
-
Presentación del Libro CiberCrimen de Mercè Molist
-
Disco de recuperación de Windows 7 y 8
-
Adolescente de 15 años quema un ordenador de su co...
-
Nueva variante de TeslaCrypt permite chatear con l...
-
Parche de Oracle para la vulnerabilidad Venom en l...
-
Ofuscación de Macros maliciosas en Documentos Word
-
Una extensión para Chrome permite ver los amigos o...
-
Google cerrará el servicio PageSpeed el 3 de agosto
-
Microsoft Powershell DSC ahora disponible para Linux
-
Rombertik: malware que intenta escribir en el MBR ...
-
Tarjeta controladora (PCB Printed Circuit Board) d...
-
Office 2016 permitirá la edición de documentos en ...
-
Bokken, interfaz gráfica (GUI) para Radare y pyew
-
NoSuchApp para Android decubre apps que se conecta...
-
CCN-CERT: Medidas de seguridad contra el Ransomware
-
TeslaCrypt, una variante del ransomware CryptoLock...
-
Introducción a los ataques DDoS basados en JavaScript
-
Se cumplen 15 años del Virus I Love You
-
-
►
2014
(Total:
185
)
- ► septiembre (Total: 18 )
-
►
2013
(Total:
100
)
- ► septiembre (Total: 3 )
-
►
2011
(Total:
7
)
- ► septiembre (Total: 1 )
Blogroll
Etiquetas
seguridad
(
389
)
privacidad
(
349
)
ransomware
(
318
)
google
(
311
)
vulnerabilidad
(
262
)
Malware
(
242
)
android
(
227
)
Windows
(
220
)
tutorial
(
215
)
cve
(
207
)
manual
(
200
)
software
(
198
)
hardware
(
180
)
linux
(
120
)
twitter
(
109
)
ddos
(
86
)
Wifi
(
80
)
WhatsApp
(
75
)
herramientas
(
75
)
cifrado
(
73
)
hacking
(
72
)
app
(
63
)
sysadmin
(
60
)
Networking
(
49
)
nvidia
(
49
)
ssd
(
47
)
youtube
(
41
)
firmware
(
39
)
hack
(
39
)
adobe
(
38
)
office
(
38
)
firefox
(
34
)
contraseñas
(
32
)
eventos
(
32
)
antivirus
(
31
)
cms
(
30
)
anonymous
(
27
)
flash
(
27
)
juegos
(
26
)
programación
(
25
)
MAC
(
24
)
multimedia
(
22
)
apache
(
21
)
exploit
(
21
)
javascript
(
21
)
Kernel
(
19
)
ssl
(
18
)
SeguridadWireless
(
17
)
documental
(
16
)
conferencia
(
15
)
Forense
(
14
)
Debugger
(
13
)
lizard squad
(
13
)
técnicas hacking
(
13
)
auditoría
(
12
)
delitos
(
11
)
metasploit
(
11
)
Virtualización
(
10
)
adamo
(
9
)
reversing
(
9
)
Rootkit
(
8
)
Ehn-Dev
(
7
)
MAC Adress
(
6
)
antimalware
(
6
)
oclHashcat
(
5
)
Entradas populares
-
SQLmap es una de las herramienta más conocidas para hacer ataques SQLi (SQL Injection) escrita en Python. SQLmap se encarga de realizar pe...
-
El investigador de seguridad Naor Hodorov (aka @mansk1es) ha hecho público un exploit de prueba de concepto (PoC) para una vulner...
-
La Europol (Oficina Europea de Policía), ha informado que, junto a los jefes de la policía europeos, quieren que se eliminen las conversacio...
Rombertik: malware que intenta escribir en el MBR del disco duro si es descubierto
jueves, 7 de mayo de 2015
|
Publicado por
el-brujo
|
Editar entrada
Si el malware Rombertik no tiene permisos para sobrescribir el MBR del disco duro, en su lugar intentará destruir todos los archivos en la carpeta de inicio del usuario (por ejemplo C:/Documents and Settings/Usuario) cifrando cada archivo con una clave aleatoria generada en RC4. Rombertik tiene además avanzadas técnicas anti-debugging para no ser analizado, y si es descubierto consuma su venganza escribiendo en el sector de arranque del disco duro, el MBR.
Talos, es uno de los grupos de investigación en seguridad de Cisco Systems, explica que lleva tres mecanismos capaces de detectar si hay un análisis antivirus en marcha y si ha sido cazado. Es entonces cuando pasa al ataque pudiendo llegar a destruir los archivos de la carpeta de inicio del usuario.
Algunos otros malware, como Dyreza, tratan también de averiguar si se está ejecutando dentro de un ambiente de investigación y análsis de malware , y se comporta de un modo totalmente inocente de ser así.
Efectivamente, Rombertik comienza a comportarse como una muestra de malware wiper, destrozando el equipo del usuario si detecta que está siendo analizado.
Rombertik se propaga mediante técnicas de spam a través de correos electrónicos maliciosos y tiene el objetivo de conseguir toda la información introducida en nuestro navegador web, especialmente nombres y contraseñas de usuario. Los datos se envían a un centro de comando y control a través de HTTP.
Aunque este archivo puede parece ser algún tipo de PDF desde el icono o miniatura, el archivo en realidad es un archivo ejecutable que contiene salvapantallas .SCR Rombertik. Una vez que el usuario hace clic doble para abrir el archivo, Rombertik comenzará el proceso de poner en peligro el sistema.
Una vez que los usuarios abran el archivo adjunto Rombertik primero comprobar si se está ejecutando en un entorno limitado. Entornos Sandbox son muy a menudo utilizados por los investigadores para analizar malware y se comprueba periódicamente en busca de malware de la presencia de este tipo de entornos de análisis.
En caso de que no hay ninguna "caja de arena", la instalación continúa. Rombertik está diseñado para robar contraseñas de los navegadores. Antes de que no se trata de una revisión final aún se lleva a cabo con el fin de comprobar que el malware no se analiza a través de la memoria. .Si esta comprobación falla Rombertik destruye el MBR y sobrescribe particiones con "byte nulo", por lo que la recuperación de datos a partir de estas particiones es difícil. El MBR se ajusta más para que el equipo entra en un bucle de reinicio infinito.
El proceso por el cual Rombertik compromete el sistema de destino es bastante complejo con controles anti-análisis en el lugar para evitar que el análisis estático y dinámico. Tras la ejecución, Rombertik se detendrá y luego se ejecutará de nuevo a través de un primer conjunto de controles anti-análisis para ver si se está ejecutando dentro de una caja de arena (sandbox).
Una vez que estos controles son completos, Rombertik procederá a descifrar y instalarse en el ordenador de las víctimas para mantener la persistencia. Después de la instalación, que será lanzada una segunda copia de sí mismo y sobrescribir la segunda copia con funcionalidad principal del malware.
Antes de eso Rombertik comienza el proceso de espiar a los usuarios, Rombertik llevará a cabo una vez que la última verificación para asegurarse de que no se está analizando en la memoria. Si esta comprobación falla, Rombertik intentará destruir el Master Boot Record y reiniciar el equipo para inutilizarlo.
El siguiente gráfico ilustra el proceso.
En este caso, la muestra de Rombertik desempacado ocupa sólo 28KB mientras que la versión normal pesa alrededor de 1264KB. Más del 97% del archivo empaquetado se dedica a hacer que archivo parezca legítimo incluyendo 75 imágenes y más de 8.000 funciones que nunca se utilizan. Esta empacador intenta abrumar analistas ya que es casi imposible mirar cada función.
El MBR es el primer sector de datos en el disco duro, conocido como el Master Boot Record, y mantiene un índice de cómo se reparte el disco.
Limpiando el MBR es en realidad una forma rencorosa de proceder, ya que te deja tan cerca, pero tan lejos.
Técnicamente hablando, todos sus datos se queda atrás, así que con la experiencia o de recuperación de herramientas adecuadas es muy posible recuperarlo, pero casi seguro que no, sin un montón de frustración en el camino.
El Master Boot Record comienza con código que se ejecuta antes de que el sistema operativo. El malware sobrescribe el MBR contiene el código para imprimir
luego entra en un bucle infinito evitar que el sistema siga arrancar.
El MBR también contiene información sobre las particiones de disco. La alteración del MBR sobrescribe los bytes para estas particiones con bytes nulos, lo que hace aún más difícil la recuperación de datos del disco duro saboteado.
Una vez que se reinicie el equipo, equipo de la víctima se ha quedado atascado en esta pantalla hasta que se vuelve a instalar el sistema operativo:
Afortunadamente, escribir en el MBR requiere privilegios de administrador en Windows, por lo que un programa dirigido por un usuario normal no puede hacerlo.
Si falla en destrozar el MBR, Rombertik lo vuelve a intentar con en esto:
• A partir de la carpeta de inicio, sobrescribe casi todos los archivos.
En lo que es casi seguro que un poco de humor macabro de los ladrones, Rombertik funciona como un ransomware , cifrando los archivos en el lugar en el disco.
El malware elige una clave de cifrado de 256 bytes al azar para cada archivo, pero ninguna de las teclas se guarda en cualquier lugar, por lo que terminan con lo que es efectivamente aleatoria, repollo rallado en lugar de sus datos.
Sólo los archivos con las extensiones .EXE, .DLL, .vxd y .DRV sobreviven..
Origen:
http://blogs.cisco.com/security/talos/rombertik
Talos, es uno de los grupos de investigación en seguridad de Cisco Systems, explica que lleva tres mecanismos capaces de detectar si hay un análisis antivirus en marcha y si ha sido cazado. Es entonces cuando pasa al ataque pudiendo llegar a destruir los archivos de la carpeta de inicio del usuario.
Algunos otros malware, como Dyreza, tratan también de averiguar si se está ejecutando dentro de un ambiente de investigación y análsis de malware , y se comporta de un modo totalmente inocente de ser así.
Efectivamente, Rombertik comienza a comportarse como una muestra de malware wiper, destrozando el equipo del usuario si detecta que está siendo analizado.
Rombertik se propaga mediante técnicas de spam a través de correos electrónicos maliciosos y tiene el objetivo de conseguir toda la información introducida en nuestro navegador web, especialmente nombres y contraseñas de usuario. Los datos se envían a un centro de comando y control a través de HTTP.
Aunque este archivo puede parece ser algún tipo de PDF desde el icono o miniatura, el archivo en realidad es un archivo ejecutable que contiene salvapantallas .SCR Rombertik. Una vez que el usuario hace clic doble para abrir el archivo, Rombertik comenzará el proceso de poner en peligro el sistema.
Una vez que los usuarios abran el archivo adjunto Rombertik primero comprobar si se está ejecutando en un entorno limitado. Entornos Sandbox son muy a menudo utilizados por los investigadores para analizar malware y se comprueba periódicamente en busca de malware de la presencia de este tipo de entornos de análisis.
En caso de que no hay ninguna "caja de arena", la instalación continúa. Rombertik está diseñado para robar contraseñas de los navegadores. Antes de que no se trata de una revisión final aún se lleva a cabo con el fin de comprobar que el malware no se analiza a través de la memoria. .Si esta comprobación falla Rombertik destruye el MBR y sobrescribe particiones con "byte nulo", por lo que la recuperación de datos a partir de estas particiones es difícil. El MBR se ajusta más para que el equipo entra en un bucle de reinicio infinito.
El proceso por el cual Rombertik compromete el sistema de destino es bastante complejo con controles anti-análisis en el lugar para evitar que el análisis estático y dinámico. Tras la ejecución, Rombertik se detendrá y luego se ejecutará de nuevo a través de un primer conjunto de controles anti-análisis para ver si se está ejecutando dentro de una caja de arena (sandbox).
Una vez que estos controles son completos, Rombertik procederá a descifrar y instalarse en el ordenador de las víctimas para mantener la persistencia. Después de la instalación, que será lanzada una segunda copia de sí mismo y sobrescribir la segunda copia con funcionalidad principal del malware.
Antes de eso Rombertik comienza el proceso de espiar a los usuarios, Rombertik llevará a cabo una vez que la última verificación para asegurarse de que no se está analizando en la memoria. Si esta comprobación falla, Rombertik intentará destruir el Master Boot Record y reiniciar el equipo para inutilizarlo.
El siguiente gráfico ilustra el proceso.
Técnicas anti-reversing (Ofuscación, anti-debugging, anti-análisis, anti-sandboxing)
En este caso, la muestra de Rombertik desempacado ocupa sólo 28KB mientras que la versión normal pesa alrededor de 1264KB. Más del 97% del archivo empaquetado se dedica a hacer que archivo parezca legítimo incluyendo 75 imágenes y más de 8.000 funciones que nunca se utilizan. Esta empacador intenta abrumar analistas ya que es casi imposible mirar cada función.
• Trata de eliminar el Master Boot Record (MBR)
El MBR es el primer sector de datos en el disco duro, conocido como el Master Boot Record, y mantiene un índice de cómo se reparte el disco.
Limpiando el MBR es en realidad una forma rencorosa de proceder, ya que te deja tan cerca, pero tan lejos.
Técnicamente hablando, todos sus datos se queda atrás, así que con la experiencia o de recuperación de herramientas adecuadas es muy posible recuperarlo, pero casi seguro que no, sin un montón de frustración en el camino.
El Master Boot Record comienza con código que se ejecuta antes de que el sistema operativo. El malware sobrescribe el MBR contiene el código para imprimir
Carbon crack attempt, failed
luego entra en un bucle infinito evitar que el sistema siga arrancar.
El MBR también contiene información sobre las particiones de disco. La alteración del MBR sobrescribe los bytes para estas particiones con bytes nulos, lo que hace aún más difícil la recuperación de datos del disco duro saboteado.
Una vez que se reinicie el equipo, equipo de la víctima se ha quedado atascado en esta pantalla hasta que se vuelve a instalar el sistema operativo:
Afortunadamente, escribir en el MBR requiere privilegios de administrador en Windows, por lo que un programa dirigido por un usuario normal no puede hacerlo.
Si falla en destrozar el MBR, Rombertik lo vuelve a intentar con en esto:
• A partir de la carpeta de inicio, sobrescribe casi todos los archivos.
En lo que es casi seguro que un poco de humor macabro de los ladrones, Rombertik funciona como un ransomware , cifrando los archivos en el lugar en el disco.
El malware elige una clave de cifrado de 256 bytes al azar para cada archivo, pero ninguna de las teclas se guarda en cualquier lugar, por lo que terminan con lo que es efectivamente aleatoria, repollo rallado en lugar de sus datos.
Sólo los archivos con las extensiones .EXE, .DLL, .vxd y .DRV sobreviven..
Origen:
http://blogs.cisco.com/security/talos/rombertik
Enviar por correo electrónico
Escribe un blog
Compartir con Twitter
Compartir con Facebook
Compartir en Pinterest
0 comentarios :
Publicar un comentario
Los comentarios pueden ser revisados en cualquier momento por los moderadores.
Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.
Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.