El 29 de junio de 2009 Ningún Comentario29 June 2009 No Comment

Los cibercriminales otra vez usaron el paso de Michael Jackson, ‘el Rey de la Música pop,’ hace unos días como una oportunidad de ir sobre con sus actividades malévolas y atacar a usuarios inocentes.Cybercriminals once again used the passing of Michael Jackson, the ‘King of Pop,’ a few days ago as an opportunity to go about with their malicious activities and attack innocent users.

Manchamos un correo electrónico (ver a la Cifra 1 abajo) sobre la muerte de Michael Jackson escrita en el español que afirma ser de la CNN México.We spotted an email (see Figure 1 below) about Michael Jackson’s death written in Spanish claiming to be from CNN Mexico.

Sobre el análisis más cercano (ver a la Cifra 2 encima), encontramos que el remitente del correo electrónico no es válido – info@hi5.com que es un remitente spammed. El correo electrónico también contuvo la información exacta sobre Michael Jackson, comprándose credibilidad a fin de atraer a usuarios en el chasquido en las relaciones contenidas dentro del mensaje.Upon closer analysis (see Figure 2 above), we found that the sender of the email isn’t valid – info@hi5.com which is a spammed sender. The email also contained accurate information about Michael Jackson, buying itself credibility in order to lure users into clicking the links contained within the message.

Dicho correo electrónico también contuvo una relación que mira del modo sospechoso a 'un vídeo de CNN exclusivo’ sobre el acontecimiento. La mayor parte de las otras relaciones en el mensaje spammed eran inaccesibles y no podían mostrar el sitio Web correcto. Pero un sitio el-por la relación en Internet TMZ (traducido a inglés: ‘encontrado en el sitio Web TMZ’) - que era una relación al sitio donde reciben supuestamente al vídeo, pero desvía al usuario a otro sitio-http: malévolo//{BLOQUEÓ}.com/openbb/avatars/imagen/CNN/indexx.php. La amenaza en dicha página es descubierta por la Tendencia Micro como HTML_DLOADR.ARM.The said email also contained a suspicious-looking link to an ‘exclusive CNN video’ about the event. Most of the other links on the spammed message were inaccessible and could not display the correct website. But one link—el sitio en internet TMZ (translated to English: ‘found in the TMZ website’)—which was a link to the site where the video is supposedly hosted but it redirects the user to another malicious site—http://{BLOCKED}.com/openbb/avatars/imagen/CNN/indexx.php. The threat in the said page is detected by Trend Micro as HTML_DLOADR.ARM.

Este sitio no contiene nada excepto un fondo negro y una caja de mensaje diciendo al usuario que la versión de jugador de Destello que corre en su/su sistema no puede jugar dicho vídeo. La caja de mensaje contiene tres botones (ver a la Cifra 3 encima), haciendo clic cualquiera de los cuales provocará la telecarga de file-flash-installer-windows.exe-which malévolo afirma ser la versión de jugador de Destello correcta que permitirá que él/su vea el vídeo exclusivo. Dicho archivo malévolo es descubierto como BKDR_IRCBOT.BW. BKDR_IRCBOT.BW se une con un cierto servidor IRC y luego se afilia a un canal IRC donde espera órdenes de un usuario remoto.This site does not contain anything but a black background and a message box telling the user that the Flash player version running on his/her system cannot play the said video. The message box contains three buttons (see Figure 3 above), clicking any of which will trigger the download of a malicious file—flash-installer-windows.exe—which claims to be the right Flash player version that will allow him/her to view the exclusive video. The said malicious file is detected as BKDR_IRCBOT.BW. BKDR_IRCBOT.BW connects to a certain IRC server and then joins an IRC channel where it waits for commands from a remote user.

Completamente notable es que aun si un usuario elige el botón Cancel, que debería permitir que él/su se marche de descargar el archivo, el sitio seguirá empujando la telecarga del códec, abandonando a usuarios sin la opción, pero tratar con el archivo malévolo descargado en su sistema.Quite notable is that even if a user chooses the Cancel button, which should allow him/her to quit from downloading the file, the site will continue to push the download of the codec, leaving users with no choice but to deal with the malicious file downloaded into their system.

El mensaje de spam y el sitio Web malévolo usado en este ataque son bloqueados ya por la Tendencia Red de Protección Elegante Micro.The spam message and malicious website used in this attack are already blocked by the Trend Micro Smart Protection Network.

Correo de: TrendLabs | Blog de Malware - por Tendencia MicroPost from: TrendLabs | Malware Blog - by Trend Micro

Michael Jackson Video Lleva a Telecarga de MalwareMichael Jackson Video Leads to Malware Download