Detectada una extensión activa desde frebrero en Chrome Web Store que roba tarjetas de crédito

Hemos detectado una extensión para Google Chrome, aún activa, que roba los datos de los formularios de las páginas que son visitadas por las víctimas. El complemento, que aún se encuentra disponible en el market de extensiones para Chrome, lleva activo desde febrero del año pasado. Está oculto a las búsquedas en la Web Store, y solo puede accederse a través de un enlace que los atacantes están distribuyendo por medio de ataques de inyección de JavaScript en webs que los redirige a él.

La extensión simula ser un "Reader Flash" creada por el supuesto desarrollador fbsgang.info. Una vez instalada, incrusta una pequeña función en todas las páginas que visita el usuario, en concreto, explota la funcionalidad que posee la API webRequest.onBeforeRequest que permite registrar un "hook" que será llamado justo antes de que el usuario emita una nueva petición HTTP dentro de la página (por ejemplo, pulsar un enlace o enviar un formulario).

Esta función registrada monitoriza con expresiones regulares los números de tarjeta de crédito (si observamos el código, vemos expresiones regulares para Visa (vvregex), MasterCard (mcregex), etc. Es decir, si alguno de los datos contenidos en la petición es un número de tarjeta, los enviará codificados en JSON al atacante mediante una petición AJAX. En concreto, emplea la función "sendFormData", que contiene codificado en base64 la URL de destino:

aHR0cDovL2Zic2dhbmcuaW5mby9jYy9nYXRlLnBocA==

que una vez decodificada es:

hxxp://fbsgang.info/cc/gate.php

Como vemos, se trata de una extensión sencilla que aprovecha un gran poder al alcance de una sola llamada de una API. Al momento de la detección contaba con unas 400 instalaciones. La infraestructura no se ha difundido masivamente, de momento. Está en la tienda desde febrero de 2018, pero gracias a que los atacantes solo han hecho pública la extensión para quien conoce el enlace, no es posible encontrarla a través de una búsqueda "normal".  

 ¿Cómo se distribuye entonces?
En vez de captar víctimas a través de la búsqueda o a través de un envío masivo de mails, cosa que haría que la campaña fuese más exitosa pero seguro más "detectable", los atacantes han preferido otra técnica. Infectan páginas webs (hostings completos con todas sus webs, como hemos observado) con un JavaScritpt que detecta si el navegador es Chrome. Si es así, simplemente redirigen a una página que indicará que debe instalar Flash y así, será redirigido a esta extensión. Este es el fragmento de JavaScript inyectado en las webs.

El detalle es que los autores no han finalizado correctamente la pieza aún (o la han desactivado por alguna razón), por lo que el contenido actual que presenta es el índice de archivos del servidor:


Esto no afecta a la extensión, solo a la fórmula de difusión. Si volvemos "atrás en el tiempo", en concreto, vemos que el aspecto anterior era mucho más creíble:

Si observamos su código fuente:

El código JavaScript, posteriormente a su decodificación, presenta el siguiente aspecto:

Es decir, presenta al usuario la petición para instalar Adobe Flash y lo redirige al market de extensiones para Chrome. Justo a la extensión que comentábamos al comienzo. Cerrando el círculo de la infección y robo de información. Hemos alertado a Google sobre esta extensión para que sea retirada cuanto antes. Entre las páginas web, sería recomendable buscar un JavaScript con la estructura mostrada por si alguna estuviese infectada. Aunque el ataque parezca "detenido" la extensión sigue suponiendo una grave amenaza. Su hash es: 4d2efd3eebcae2b26ad3009915c6ef0cf69a0ebf.

Recordad que para analizar extensiones en general, disponemos de nuestra herramienta NETO. Aquí el resultado que vuelca la herramienta.

 Vía | Elevenpaths.com

Disponible el video de la presentación de Apple en la BlackHat USA de 2016.

Ya se ha publicado el vídeo de la presentación que Apple hizo en la conferencia Black Hat USA 2016, donde de forma inesperada Apple anunció públicamente la apertura de su programa de Bug Bounty - al que se puede participar solo por invitación -. Eso sí, hay otros programas que pagan más y están abiertos a todo el mundo. El vídeo está disponible en Youtube y lo tienes aquí mismo para que puedas verlo.

Además, tienes el resto del material de las presentaciones de BlackHat disponibles online. Merece la pena estar una hora escuchando la presentación y las reacciones del público en esta primera presentación de Apple ante la comunidad de investigadores de seguridad después de tantos años de "desafortunados encuentros".

 Fuente | seguridadaple.com

Regin, el sofisticado troyano que lleva años espiando a empresas y organizaciones

La empresa de seguridad informática Symatec acaba de desvelar el descubrimiento de una sofisticada herramienta de malware instalada en decenas de ordenadores en todo el mundo. Regin, que así es como se le ha llamado a este troyano, ha sido utilizado tanto para espiar a particulares como para obtener información de organizaciones gubernamentales, empresas privadas y equipos de investigación.
Los investigadores de Symatec que ha descubierto este malware también aseguran que, tanto por su gran complejidad como por los recursos que deben haberse empleado para un desarrollo de varios años, este troyano ha debido contar con el apoyo de algún estado o nación desarrollado que, de paso, lo ha estado utilizando desde por lo menos el año 2008 como herramienta de ciberespionaje.
Regin tiene una arquitectura multietapa, lo que le permite irse introduciendo en los equipos mediante cinco etapas diferentes, cada una de las cuales desvela la mínima información sobre todo el conjunto del programa para que este sea más difícil de detectar. También puede ser considerado como un troyano modular, ya que permite que sus usuarios puedan cargar e utilizar características personalizadas y adaptadas para cada uno de sus objetivos.



De momento, casi la mitad de equipos en los que ha sido encontrado este troyano pertenecen a proveedoras de Internet. Esto podría formar parte de un primer paso destinado a espiar a clientes específicos a través de las propias empresas que les brindan el acceso a la red. De la misma manera, el 28% de las empresas infectadas han sido las de redes telefónicas, mediante las cuales los atacantes podrían haber tenido acceso a las llamadas enrutadas a través de sus infraestructuras.
Con un total de solo 100 equipos infectados detectados, Symatec aun ni sabe el país que está detrás del desarrollo del troyano, ni los comandos o el sistema de control utilizado por los atacantes para interactuar con los equipos infectados. Esto quiere decir que la investigación sigue en curso, y que en los próximos meses aun podrían descubrirse nuevos datos como funciones de Regin aun desconocidas o nuevas empresas que han sido objetivo de ciberespionaje.

Fuente | Genbeta | Symantec