28-12-2009

En las últimas horas se han encontrado numerosos casos de videos falsos del ataque que sufrió el Papa Benedicto XVI por parte de una mujer. Si el usuario realiza una búsqueda determinada, encontrará en las primeras posiciones de cualquier buscador supuestos videos que conducen al usuario a la descarga de rogue (falsos antivirus).

En las últimas horas se han encontrado numerosos casos de videos falsos del ataque que sufrió el Papa Benedicto XVI por parte de una mujer. Si el usuario realiza una búsqueda determinada, encontrará en las primeras posiciones de cualquier buscador supuestos videos que conducen al usuario a la descarga de rogue (falsos antivirus).

Si el usuario hace clic en los enlaces ofrecidos, será dirigido a un dominio desde donde se descarga un malware que ESET NOD32 detecta proactivamente como variantes del troyano Win32/Kryptik.BNZ. En caso de no contar con una protección proactiva, el sistema se infectará.

Este antivirus falso denominado Internet Security 2010 posteriormente descarga otros programas dañinos al sistema entre las que se encuentra:

    * Agrega en el registro una llamada a su propio instalador en el directorio C:\Windows\System32\nombre_aleatorio.exe (es el mismo archivo descargado la primera vez).
    * Agrega en el registro y en la ruta C:\Documents and Settings\All Users\Datos de programa\número_aleatorio\ un archivo ejecutable con nombre también aleatorio. En este caso se trata del adware Win32/Adware.SecurityTool.AA, el mismo propagado en el caso de Berlusconi.
    * Instala un otro adware reconocido como Win32/Adware.AdvancedVirusRemover.B en los archivos temporales de Internet.
    * Cuando se abre el navegador descarga una variante del troyano Win32/Daonol y también lo aloja en los archivos temporales de Internet. Este troyano monitorea el tráfico de Internet, roba credenciales de acceso y desactiva herramientas del sistema (administrador de tareas, registro, etc).
    * Se instala como rootkit (otra variante Win32/Daonol) de a través de un archivo alojado en C:\Documents and Settings\Nombre_Usuario\Configuración local\Temp\nombre_aleatorio.tmp. Este programa se instala como driver en el sistema y puede ser el causante de numerosos pantallazos azules.

Luego de cada reinicio, intenta asustar al usuario mostrando el siguiente mensaje y comienza una exploración falsa del sistema:

Más información aquí.