Un análisis más exhaustivo sugiere que la web de este organismo no es la única afectada, de ahí que se apunte a la posibilidad de un ataque de inyección de código masivo y a escala global.

El propósito de las embajadas como canal diplomático se está viendo continuamente afectado por los ciber-criminales. Así lo confirman los investigadores de Trend Micro, (TS4704) que en esta ocasión han descubierto que la embajada de la India en España estaba distribuyendo malware mediante la inyección de iFrame malicioso.

Dicho iFrame malicioso conduce a un archivo detectado como BKDR_TDSS.CG, que está siendo analizado por el equipo de investigación de la compañía con el objetivo de identificar sus rutinas.
Las investigaciones también ponen de manifiesto que, aparte del iFrame malicioso, una gran cantidad de código diferente también ha sido insertado en la página web de dicha embajada, pues se han encontrado numerosas etiquetas <div> en el site, con cabeceras que contienen enlaces a otros websites. Dichos encabezados están escondidos y el código es demasiado pequeño como para ser visto por los incautos visitantes.

Figura 1: Pantalla de código encontrado insertado en la página web de la Embajada de India

Un análisis más exhaustivo también sugiere que la web de la embajada de la India no es la única afectada con código inyectado, de ahí que se apunte a la posibilidad de que exista un ataque de inyección de código masivo y a escala global. Junto a esto, se ha detectado que el conjunto de códigos inyectados está preparado para cambiar con cierta frecuencia.

Según el Analista de Amenazas Avanzadas de Trend Micro, Ryan Flores, “se ha descubierto que existe código insertado en las webs comprometidas que incorpora páginas que parecen ser entradas de blog a dominios de sites amenazados.  Las páginas insertadas contienen diversa información relacionada con productos farmacéuticos”. Flores indica que “esto es posiblemente un esquema de SEO infectado, o una trama para utilizar dominios legítimos de las páginas comprometidas para evitar los filtros de spam”.

Figura 2: Entrada de un blog farmacéutico insertada en una de los websites comprometida

Aunque no existen indicios de malware en los otros enlaces, Edgardo Díaz, Jr., Ingeniero Antivirus de Trend Micro, opina que “es posible que esto se trate de una estafa, también conocido como scam, o de un ataque de malware masivo en su etapa inicial. Esto también podría explicar por qué algunas partes de esta amenaza no parecen estar completamente operativas”. Sin embargo, advierte que “desde que la web está comprometida, es sólo una cuestión de modificar las etiquetas para activar la aparente inserción de código “no malicioso” y convertirlo en un ataque de malware en toda regla”.

Rutinas de BKDR_TDSS.CG
Un análisis en profundidad del archivo BKDR_TDSS.CG ha llevado a descubrir que éste descarga un rootkit que posteriormente es inyectado en SVCHOST.EXE. Mientras se produce este proceso, el rootkit intenta conectarse a varios websites y enviar la información recibida.

Del mismo modo, BKDR_TDSS.CG también descarga un archivo encriptado. Una vez que es descodificado, este fichero parece contener comandos para descargar otros archivos dll y una copia actualizada de TDSSserv.sys, puede cargar determinados módulos del archivo dll y subir archivos de registro (que contienen registros erróneos, listas de procesos y detalles del sistema operativo). Además, despliega anuncios popup, evita que el software de seguridad entre en funcionamiento y despliega una serie de comandos. Mientras el contenido de los archivos de las URLs descargadas varían cada cierto tiempo, esta puerta trasera mantiene el acceso de la lista de URLs incluso después de completar su rutina, lo que eventualmente puede permitir el acceso a todas las URLs (excepto a aquellas que ya se encuentran inaccesibles) necesarias para lograr todas las funcionalidades mencionadas.

Para más información

01 CONSULTING                                                                                                  
Marta Correas / Natividad de Mateo
informacion[informacion arroba 01consulting.com]                                 
Tel.: 91 713 18 10                                     

TREND MICRO ESPAÑA
Carmen Pastor
carmen_pastor[carmen_pastor arroba trendmicro.es]
Tel.: 91 369 70 30

Entradas relacionadas

1. La familia de malware DNSChanger instala “simuladores de DHCP” en la víctima
2. Malware oculto en una copia pirata de Apple iWork 09 para Mac OS X
3. El divorcio entre el malware y la pornografía
4. WatchGuard acelera su ataque al mercado con el programa “Red Instead”
5. Otra comparativa antivirus: solo detectan un 19% del malware