Conoce a Kyle y Stan, una nueva pesadilla de publicidad maliciosa

Conoce a Kyle y Stan. No, no estoy hablando del dúo de South Park, sino de la última red de Malvertising del infierno. Es ingenio. Es pernicioso Y amenaza a los usuarios de Mac y Windows.

Malvertising es un acrónimo de 'malware' y 'publicidad'. La forma en que funciona es simple. En primer lugar, se utilizan canales de publicidad en línea legítimos para obligar a los navegadores a descargar software malicioso. De manera problemática, las víctimas ni siquiera necesitan estar en un sitio web sospechoso. Estos anuncios maliciosos incluso se han publicado a través de sitios web tan inocuos como Amazon.com, Apple.com y ads.yahoo.com.

Kyle y Stan aprovechan la ingeniería social para bombear su computadora llena de malware no deseado y desagradable. ¿Curioso de cómo puedes defenderte? Sigue leyendo.

Cómo funciona el ataque

El ataque depende de varias cosas. El primero es de alguna manera convencer a una red de publicidad tradicional (y legítima), como DoubleClick, de Google, para ejecutar un anuncio que contenga código malicioso. Sin ser detectado por la red publicitaria, este anuncio se conecta en cascada a otros sitios legítimos, que luego se ejecuta en el navegador y luego redirige a los usuarios a sitios que sirven software malicioso.

El malware también determina qué sistema operativo y navegadores se están utilizando al examinar la cadena de agente de usuario, que contiene una gran cantidad de información sobre la configuración de la computadora. Contiene todo, desde la resolución de la pantalla hasta los complementos que se ejecutan en el navegador.

Una vez que el malware ha determinado el sistema operativo del usuario, entonces decide dónde redirigir el navegador. Los usuarios de Mac se envían a sitios que sirven malware que es específico para OS X y se incluyen como DMG, mientras que los usuarios de Windows se envían a sitios que sirven malware de Windows como archivos ejecutables.

Su navegador descargará automáticamente un malware. Se informa que se trata de un paquete de software legítimo, generalmente un reproductor multimedia, además de varios paquetes de malware y un archivo de configuración específico para el usuario.

Como comentó la publicación del blog de Cisco que inicialmente identificó el malware, lo interesante de 'Kyle y Stan' es que también ataca a los usuarios de Mac. Estos son usuarios que tradicionalmente no han tenido que lidiar con los riesgos de seguridad inherentes a Microsoft Windows, y como resultado pueden ser más vulnerables al aspecto social del ataque..

El malware servido por Kyle y Stan es fundamentalmente diferente en cómo operan y cómo se eliminan para cada plataforma objetivo. ¿Curioso? Sigue leyendo.

El malware de Windows

El malware de Windows es una aplicación de Windows de 32 bits escrita en C ++. Tras la ejecución, instala varias piezas de malware, así como NewPlayer. Esto viene disfrazado de un reproductor multimedia, que es la faceta legítima que disfraza otra actividad menos que legítima. Es decir, secuestra Internet Explorer, Google Chrome y Firefox y sirve anuncios y ventanas emergentes no deseadas, y secuestra el tráfico de búsqueda.

El malware de Windows servido por Kyle y Stan ofusca su actividad con algo llamado Dynamic Forking. Esto funciona secuestrando procesos legítimos y los reemplaza con otra actividad. Esto permite que el malware omita las características de seguridad de Windows y le permite instalar un nuevo software malicioso sin que surja ninguna sospecha. Puede encontrar una explicación más detallada de cómo funciona esto en la publicación del blog de Cisco.

Dynamic Forking es increíblemente difícil de mitigar. También muestra el nivel extremo de sofisticación de este malware en particular. ¿Pero qué hay de quitarlo? Bueno, deshacerse de NewPlayer es un proceso bien documentado y bien entendido. Sin embargo, como se mencionó anteriormente, esto instala (y puede instalar) otros paquetes arbitrarios. Como resultado, se recomienda tener una instalación de antivirus actualizada y actualizada. Esto está completamente documentado en nuestra Guía de eliminación de malware.

El malware de Mac

Pero, ¿qué pasa con el malware de Mac? Cuando una Mac visita un sitio que ejecuta un anuncio de Kyle y Stan, se descarga automáticamente un DMG. Dentro hay una copia de MPlayerX, un reproductor multimedia legítimo que fue revisado el año pasado por mi colega, Dave LeClair..

Esto viene incluido con dos piezas de malware menos que legítimas. Ambos son secuestradores de navegador: Conduit y VSearch. Conduit tiene una apariencia de legitimidad: es creado por una compañía real con empleados, oficinas y direcciones postales, y el usuario tiene la opción de optar por no instalar este secuestrador de navegador en particular. Sin embargo, no existe tal opción para VSearch.

El comportamiento de VSearch es consistente con la mayoría de los secuestradores de navegador. El tráfico de búsqueda se redirige a través de sus propios portales que tienen sus propios anuncios salpicados, y periódicamente se lanzan anuncios emergentes. Es molesto e intrusivo. Y lo más importante, es una amenaza para su privacidad. VSearch también comienza en tiempo de ejecución, ya que se agrega un lanzador a launchctl una vez instalado.

Sin embargo, eliminarlo es relativamente fácil. Simplemente suelte los siguientes elementos en la basura:

/ Library / Application Support / VSearch /Library/LaunchAgents/com.vsearch.agent.plist /Library/LaunchDaemons/com.vsearch.daemon.plist /Library/LaunchDaemons/com.vsearch.helper.plist / Library / LaunchDaemons / Jack. plist / Library / PrivilegedHelperTools / Jack /System/Library/Frameworks/VSearch.framework

Qué puedes hacer?

Derrotar a Kyle y Stan es fácil. Solo necesitas estar increíblemente alerta. ¿Su computadora ha descargado automáticamente un ejecutable que no esperaba? ¿Se ve sospechoso? ¿Ha sido redirigido a la página de descarga de un software con el que no está familiarizado? Todas estas son razones para preocuparse..

También te animo a que también tengas un antivirus moderno y actualizado ejecutándose en tu sistema. Esto también se aplica a los usuarios de Mac. Soy bastante aficionado al antivirus Sophos OS X.

¿Has sido golpeado por Kyle y Stan? Déjame saber al respecto. El cuadro de comentarios está debajo.

Crédito de imagen: Cisco