Nueva evolución del llamado virus de la Policía.....

 

    El virus de la policía continúa evolucionando, con altos niveles de  infección y nuevas estrategias fundamentadas siempre en la misma  premisa: el secuestro del ordenador con la excusa de que, ante la  detección de actividad ilegal en el sistema, es necesario pagar una  multa a la policía. Veremos qué ligeros cambios se han observado en  las últimas versiones y una idea para protegernos.

Las últimas versiones aparecían en forma de DLL. Era necesario llamarlas  conociendo el nombre de la función de entrada del binario para poder  ejecutarlo. Esta estrategia podía estar orientada a intentar eludir los  sistemas de ejecución automática y desatendida de los laboratorios,  puesto que la DLL pasaría a veces inadvertida si no se llamaba a la  función concreta. Estas muestras solían instalarse en la carpeta de  inicio.

En los últimos tiempos se ha observado que el malware ha pasado a  utilizar un archivo con extensión .DAT (y de nombre skype), que no es  más que un ejecutable (cuyos dos primeros bytes son MZ). Esto no es un  problema para que sea lanzado, pero sí podría confundir a usuarios y  análisis. Además crea un skype.ini. También ha vuelto a los “orígenes”,  anclándose en una rama del registro donde se lanza el explorer.exe.  Veamos cómo funciona.

El ejecutable, fundamentalmente, busca el %APPDATA% del usuario, puesto  que en Windows 7, podrá escribir sin problemas en él. Ahí dejará el  archivo skype.dat (ejecutable).

En el registro, acudirá a la rama de usuario (también porque puede  escribir sin problemas en ella) donde se lanza explorer.exe (proceso  encargado de dibujar el escritorio y delegar los tokens de seguridad).  Ahí se añade como ejecutable que será lanzado al inicio. Es muy extraño  que un usuario necesite modificar ese punto del registro, así que podría  ser protegido por permisos. Esto ya lo hace la herramienta WinLockLess,  negando por permisos de registro la escritura en los puntos habituales  que utiliza el ramsonware.

Pero también es posible tocar los permisos NTFS de la máquina, para  evitar que se escriba en un punto clave que están usando tanto los  creadores del virus de la policía como el malware en general. %APPDATA%  es una variable que apunta habitualmente a

C:\usuarios\nombreusuario\appdata\roaming

Ahí se almacena información de los programas del usuario y su  configuración privada. En esta carpeta es muy extraño que se creen  ficheros. No suele ser necesario. Normalmente son directorios que alojan  archivos con datos. Todavía más extraño es que se necesite ejecutar  código desde la raíz de %APPDATA%.

Por tanto, de nuevo, utilizar los permisos NTFS (siempre demasiado  relajados por defecto) puede mitigar el problema. Podemos decirle a  Windows que impida la ejecución de ficheros desde esta carpeta, pero que  siga permitiendo crear carpetas e, incluso, archivos… pero que no los  ejecute.

Gráficamente es muy simple. En las propiedades de la carpeta Roaming,  Seguridad, Opciones Avanzadas, Cambiar Permisos, Agregar. Ahí añadimos  que “Todos” no puedan explícitamente ejecutar archivos. Importante  indicar que esto se aplica a “Solo archivos”.

Con esto no se evita la infección, pero sí que en el siguiente reinicio  se ejecute el fichero. Si se desea, también se puede evitar la escritura  de ficheros en la raíz de Roaming.

Por línea de comando, se puede llamar a:

icacls %appdata% /deny *S-1-1-0:(OI)(IO)(X)

Donde “(OI)(IO)” indica el “Solo ficheros”, el “X” la ejecución, y  “S-1-1-0″ es el SID del usuario “Todos” en los Windows.

Importante apreciar que en Windows XP, por implementar una versión  ligeramente diferente de NTFS, es posible seguir estos pasos pero no  tendrán exactamente el mismo comportamiento.

Más información:

Golpe policial a una de las mayores redes cibercriminales especializada en infectar millones de ordenadores de todo el mundo
http://www.interior.gob.es/press/golpe-polici…