Websense Security Labs: Zeus GameOver
Zeus es una familia de malware que se encuentra con frecuencia debido a su popularidad entre los grupos cibercriminales. Desde que el código fuente de Zeus se filtró en 2011, ha habido muchas nuevas variantes. Una de éstas, bautizada GameOver, recientemente ocupó los titulares de los medios, luego de que su infraestructura fuera descubierta por las autoridades.
Websense ThreatSeeker Intelligence Cloud supervisa activamente este tipo específico de amenaza. A continuación, ilustramos algunos indicadores clave sobre Zeus GameOver.
Existe una diferencia importante entre GameOver y otras variantes de Zeus. En un malware típico Zeus (Zbot), se utiliza un punto central de Comando y Control (C&C) para enviar datos y recibir comandos. Sin embargo, en GameOver la infraestructura es descentralizada y utiliza en su lugar tecnología peer-to-peer (P2P), por sus capacidades de C&C.
Este cambio en la infraestructura de C&C se ha convertido en un gran desafío para la industria de la seguridad, debido a que no hay ningún punto único de fallo, tal como la capacidad de acabar con un sólo comando y nodo de control. Websense® ThreatSeeker® Intelligence Cloud es consciente de esta red y actúa contra ella en la mayoría de las 7 etapas de la cadena de ataque.
Es muy importante tener en cuenta que Zeus GameOver no se envía directamente a una víctima potencial. En lugar de ello, está implicado un descargador en la infección inicial, tal como Pony Loader y más recientemente, Upatre. Históricamente, los vectores de ataque han sido en su mayoría correos electrónicos, por lo general enviados desde botnet spam Cutwail.
En el pasado, había una mezcla de archivos adjuntos directos así como direcciones URL para kits de explotación que se descargaban en la computadora de la víctima. Más recientemente, con Upatre ganando impulso debido a su habilidad para evadir la detección antivirus, la atención se ha centrado sobre todo en los archivos adjuntos. Sin embargo, en las últimas semanas hemos visto señuelos de correo electrónico que contienen direcciones URL utilizando sitios como Dropbox para servir archivos Zip que contienen Upatre. Lo que es particularmente desagradable acerca de Upatre es que descarga Zeus GameOver de forma encriptada con el fin de evitar los firewall y otros tipos de detecciones del sistema que previenen intrusiones. Otro problema, es que a veces viene con el troyano rootkit Necrus, lo que ayuda a que la infección sea persistente.
En los últimos dos meses hemos visto un aumento en la actividad de las descargas de malware a través de GameOver Upatre, siendo particularmente activa la última semana. La siguiente tabla muestra a los 10 principales países afectados por Zeus GameOver. Si bien Estados Unidos ha sido el país más atacado de esta campaña, la amenaza tiene ahora un alcance global más amplio:
Estados Unidos
97.587%
Reino Unido
13.505%
Italia
9.960%
Malasia
6.086%
Canadá
5.173%
México
3.054%
Jordania
2.619%
Turquía
2.615%
Costa Rica
2.168%
Nueva Caledonia
2.137%
