Un malware que sólo afecta e infecta el registro de Windows se esconde para evitar la detección y eliminación y se ha hecho en los últimos meses con cerca de 200.000 ordenadores infectados. El nombre del malware es Poweliks que infecta a los ordenadores utilizados para hacer fraude de clics en publicidad y se aprovecha de una vulnerabilidad de día cero en Windows para tomar por completo el control de un equipo.







Poweliks puede solicitar hasta un máximo de 3.000 anuncios por día en un ordenador y aprovecha una vulnerabilidad 0-day en Windows:

• Microsoft Windows Remote Privilege Escalation Vulnerability (CVE-2015-0016)
• Microsoft Security Bulletin MS15-004 - Important

Al parecer el malware tiene conexión y relación con otro malware llamado Bedep de Flash Player, que también usa anuncios de publicidad.

Poweliks se activa primero comprobar si Windows PowerShell está presente.

PowerShell

Windows PowerShell es una interfaz de consola (CLI) con posibilidad de escritura y unión de comandos por medio de instrucciones (scripts en inglés).

PowerShell ofrece al administrador la posibilidad de automatizar las tareas cotidianas proporcionando un potente lenguaje de scripting.

La característica distintiva de PowerShell, es que es un intérprete de comandos orientado a objetos.

Utilizando una única sentencia, mediante Powershell se pueden realizar fácilmente las siguientes acciones:

• Monitorizar contadores
• Apagar o detener servicios
• Modificar registros del sistema

Ejemplos de cosas que se pueden hacer con la PowerShell

• Informar todos los dispositivos USB instalados
• Ejecutar tus tareas favoritas CMD en PowerShell
• Matar a un proceso en el PowerShell en lugar de Administrador de tareas
• Utilizar PSDrive para ver algo más que unidades
• Exportar Permisos de carpeta en NTFS - recursivo o no
• Configurar interfaces de red
• Gestionar los servicios del sistema
• Despliegue de aplicaciones

Recordemos que también existe  PowerSploit: que es una colección de módulos de Microsoft PowerShell que se pueden utilizar para ayudar a pentesters durante todas las fases de una evaluación. PowerSploit está compuesto por diferentes módulos y scripts.

En resumen:

PowerShell es un lenguaje de scripting que permite a los administradores de sistemas automatizar muchas tareas. Está presente de forma predeterminada en Windows 7 y también se puede instalar en otras versiones de Windows. En caso de PowerShell no está presente es descargado e instalado. PowerShell tarde ser utilizado para llevar a cabo un archivo de script codificado.


Este archivo de comandos contiene el malware, y permite descargar e instalar malware adicional. A continuación, una clave en el registro de Windows creado para que el malware también está cargado en el siguiente reinicio del sistema. Al no utilizar un archivo, al igual que la mayoría del malware hace, está completamente en el Registro de Windows para ocultar sería más difícil de detectar y eliminar Poweliks.

Ransomware

El malware tiene como objetivo para cometer fraude de clics, donde se visitan todos los tipos de páginas que contienen los anuncios a través de una ventana del navegador totalmente oculta. A los delincuentes se les paga por cada anuncio que se muestra. Uno de los problemas para las víctimas de Poweliks es que los anuncios que aparecen en sí pueden además ser maliciosos. Por lo tanto además pueden infectarse con una variedad de otras amenazas, incluyendo ransomware como CryptoWall

La compañía de antivirus Symantec ha publicado un informe (pdf), del malware;

• http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/evolution-of-poweliks.pdf

Hay muchos casos en los que no se ha descargado ransomware a través de los anuncios que se muestran. Cabe destacar que el malware está activo principalmente en los Estados Unidos. De los 198.500 ordenadores infectados mostró que el 99,5% estaba en los EE.UU.. Sin embargo, eso no significa que los usuarios de otros países no están en riesgo. Symantec dice que Poweliks muestra lo que las amenazas futuras pueden hacer, ya que los criminales cibernéticos están aún más decididos a hacer dinero con sus creaciones.


Fuente:
http://www.symantec.com/connect/blogs/poweliks-click-fraud-malware-goes-fileless-attempt-prevent-removal