Una página falsa de YouTube es utilizada para propagar malware

na vez que la víctima aterriza en esta falsa página, aparece un pop-up pidiendo permiso al usuario para ejecutar un plug-in Java sin firma confirmada, sin el cual no se podrá ver el vídeo. Este es un truco, así que tened cuidado y no caigáis en la trampa. La última vez que lo comprobamos, la mayoría de los sitios para compartir vídeos requerían un plug-in de Adobe ® Flash ®, no de Java.

Una vez que el usuario es engañado para pinchar el botón Ejecutar, una pieza de código malicioso [identificada por BitDefender ® como Trojan.Generic.KDV.128306] se descargará inmediatamente en el sistema de la víctima y se copiará en la carpeta temporal como services.exe con el fin de poder acceder a Internet.

Este Trojan.Generic.KDV.128306 inmediatamente inicia la comunicación con su centro de comando y control, accede a un determinado canal de IRC con un apodo formado con la siguiente estructura:%% [Idioma] [% operativo System%]%% nrRandom, registrándose con el nombre de usuario del Virus y el nombre "real": My_Name_iS_PIG_and_Iam_A_GaY%randomNumber%.(mi nombre es cerdo y soy gay)

Habiendo así establecido su identidad, el troyano se conectará en el canal con el comando JOIN: # # Turb0-XXX # #, donde un robot-maestro le dará instrucciones sobre qué hacer a continuación en el PC infectado. Las instrucciones le permiten descargar archivos, salvarlos con nombres concretos y, por supuesto, ejecutarlos.

Los archivos que el troyano descarga en el equipo afectado tienen varias capacidades maliciosas:

• micro1.exe puede enviar mensajes a través de la ventana de chat de Facebook ® cuando el usuario está conectado a la red social, pero también es capaz de registrar la conversaciones de chat de populares clientes de mensajería instantánea como Pidgin, MSN ®, Yahoo ® e ICQ ®.

• fsaf24.exe tiene capacidades de DDoS, y también contiene el código necesario para permitir que el malware se propague a través de tarjetas de memoria.

• afasfa4.exe es capaz de redirigir las consultas de búsqueda realizadas en Google ™ y Bing y cuando se usan los navegadores más importantes, tales como Firefox, Internet Explorer ® y Chrome ®.

Y algo que es particularmente interesante es el hecho de que utiliza el mismo exploit técnicamente conocido como CVE-2010-3338, que utiliza el gusano Stuxnet para elevar su código y ejecutarse como administrador en sistemas protegidos con UAC.