 |
|
| Nueva actualización de Blackhole Exploit Kit El Equipo de Respuesta ante Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN-CERT, informa sobre una nueva actualización de Blackhole Exploit Kit. Blackhole Exploit Kit es un conocido framework de infección web comercializado en diferentes foros underground. Desde su aparición, en septiembre de 2010, ha tenido muy buena aceptación en este tipo de ambientes, comercializándose a través de foros específicos. La primera variante se liberó en estado beta en septiembre del año 2010, con un coste muy competitivo (1.500 dólares por licencia anual; 1.000 por semestral y 700 trimestral). Aunque su diseño es igual en todas las generaciones, la última versión (1.1.0) incorpora una serie de funcionalidades "extras" respecto a las anteriores. Descripción Para llevar a cabo la infección, BlackHole buscaba en sus comienzos explotar vulnerabilidades "0 Day" que, a día de hoy son conocidas. Una vez que el host se infecta, se comunica con su Command and Control "C&C" para notificar que la infección se ha realizado con éxito, así como para esperar nuevas órdenes. Entre las vulnerabilidades que explota se encuentran las siguientes:
Análisis Para llevar a cabo la infección con Blackhole, se debe descargar un archivo PE32 que realiza una descarga no permitida en el sistema, accediendo a URLs para la descarga y ejecución del código dañino utilizando las siguientes extensiones y URLs: Ficheros .php
Ficheros .jar La detección de URLs en archivos Java es menos fiable, ya que como se ha podido observar, se dan más casos con la extensión de fichero ".jar". Sin embargo, hay varios tipos dependiendo de la configuración que le hayan proporcionado los atacantes. Los más observados son:
Blackhole en numerosas ocasiones ejecuta el siguiente archivo Flash, que carga un código en JavaScript cuya intención es vulnerar al visitante:
Los archivos .pdf infectados con Blackhole, suelen coincidir con las siguientes URLs:
El menú de gestión del Blackhole es posiblemente el más difícil de detectar, debido a que los atacantes suelen alterar la URL del archivo y el nombre de los parámetros. A continuación se muestran algunos ejemplos:
Más información
|
|
|
Atentamente, Su misión es ser el centro de alerta y respuesta nacional que coopere y ayude a las administraciones públicas a responder, de forma rápida y eficiente, a los incidentes de seguridad que pudieran surgir y afrontar de forma activa las nuevas amenazas a las que hoy en día están expuestas. La finalidad principal del CCN-CERT es contribuir a la mejora del nivel de seguridad de los sistemas de información de la Administración Pública española. La comunidad a la que presta servicio está constituida por el conjunto de organismos de las distintas administraciones: general, autonómica y local. --------------------- Fingerprint: 4A7D 155F 38FA 2204 55F8 5E4C A62B AB99 7527 F5AF Descarga: https://www.ccn-cert.cni.es/index.php?option=com_docman&task=doc_download&gid=113&lang=es
Fingerprint: 0D4D BD59 ADCB 5466 0FB6 2529 C57E 8849 CE7B 4475 Descarga: https://www.ccn-cert.cni.es/index.php?option=com_docman&task=doc_download&gid=114&lang=es AVISO DE CONFIDENCIALIDAD: |
|
| © 2012 Centro Criptológico Nacional - C/Argentona, 20 28023 MADRID | www.ccn-cert.cni.es |
