Gumblar, un virus que se expande a través de javascript
Mientras en el mundo físico tenemos que apañarnos con la gripe porcina, una nueva amenaza de origen chino se cierne sobre Internet y promete ser igual o más escandalosa que el famoso Conflicker. Se empieza a conocer como Gumblar, y consiste en un virus multiplataforma particularmente molesto y peligroso al que durante las últimas semanas se le atribuyen el 42 por ciento de las infecciones detectadas en sitios web.
El virus actúa en dos fases. En una primera infecta un sitio web a través de contraseñas FTP capturadas o explotando vulnerabilidades de su servidor. Una vez dentro inyecta código javascript malicioso en las páginas alojadas, tratando de ser lo más discreto posible. Por un lado evita las páginas susceptibles de ser examinadas ocasionalmente por un administrador, y por el otro -y aquí radica la gran peligrosidad de Gumblar- otorga a cada uno de los sitios infectados, e incluso a cada una de sus páginas, un script único, de modo que es prácticamente imposible detectarlo con métodos tradicionales.
En su siguiente fase, Gumblar ataca a los visitantes de los sitios infectados que ejecutan el código javascript, aprovechándose de fallos en el reproductor Flash, el lector de PDF o el navegador. Una vez infectados, trata de hacer con ellos lo mismo que otros virus como Conflicker, utilizándolos como botnets, para realizar ataques, cometer delitos o ponerlos al servicio de terceros. Como novedad, puede generar un código que manipule las búsquedas de Google con nuestro navegador ofreciendo resultados en los que se favorece a páginas determinadas.
El mejor método para librarnos de él es la prevención. Si descubres que estás infectado la mejor solución es reformatear el disco y reinstalar el sistema, aunque las compañías de seguridad están preparando a marchas forzadas soluciones que sean menos drásticas.
Entradas relacionadas:
- Detectar Gumblar en nuestro sistema- Un falso Conflicker sirve como gancho para instalar malware
- Cuidado con las webs anti Conflicker
22 de Mayo de 2009 a las 13:33
Me acabo de conectar para leer las últimas noticias, y ésta me ha encantado. El mundo de los virus informáticos es fascinate, y siempre es bueno estar informado. Por cierto, genial explicación.
4 de Junio de 2009 a las 19:46
Saludos yo soy administrador de un servidor y ya he visto sitios que han sido atacados por el Gumblar, como programador … he de decir que quien(es) lo hayan hecho son todos unos fenomenos al explotar el mas conocido de los defectos de los antiv¡irus… que es “los virus tienen una firma y todos los de una clase son iguales…” asi este virus se podria decir que se recompila asi mismo haciendo una version nueva y diferente (en cuanto a la encriptacion)n en todas y cada una de la maquinas infectadas.
Ahora como administrador… es UN DOLOR DE CABEZA por que hace parecer al server como infectado aunque no sea realmente el servidor el infectado si no un site del mismo…
Algunas cosas mas que deberian saberse y yo he visto que hace este virus…
1) Se contagia y/o ejecuta en las maquinas de los webmasters o gentes que tienen acceso por FTP a servidores.
2) Inicia como que entras a un site y te dice que tu flash o adobe reader estan desactualizados, ingenuo el usuario le da en descargar y como dijeramos en mexico … SE LLAMABA!!
3) una vez infectado, al accesar por el protocolo FTP, captura tus clavez de acceso y las difunde…
4) Al difundirlas al botnet, ahi es donde se comienzan a meter con tus archivos
5) Afecta a los archivos .PHP .HTM* y *.JS (por lo general al final de los mismos, y en htm antes o despues de BODY)
6) Se autoborra despues de X veces (lo que lo hace mas dificil de encontrarlo) dejando solo una pista que algo paso… etiquetas sin nada adentro ni src=”" externo
7) algunas veces deja un proceso CICLADO en el server el cual intercepta las salidas de las paginas del site para infectar mas pc… este proceso se trata de ocultar llamandose APACHE (o como se llame el user que en unix le den al proceso de APACHE) pero al ver el comando que lo ejecuto es otra cosa un nombre de entre 6 y 12 letras al azar