La embajada de la India en España, víctima de una ataque de malware

Un análisis más exhaustivo sugiere que la web de este organismo no es la única afectada, de ahí que se apunte a la posibilidad de un ataque de inyección de código masivo y a escala global.

El propósito de las embajadas como canal diplomático se está viendo continuamente afectado por los ciber-criminales. Así lo confirman los investigadores de Trend Micro, que en esta ocasión han descubierto que la embajada de la India en España estaba distribuyendo malware mediante la inyección de iFrame malicioso.

Dicho iFrame malicioso conduce a un archivo detectado por Trend Micro como BKDR_TDSS.CG, que está siendo analizado por el equipo de investigación de la compañía con el objetivo de identificar sus rutinas.
Las investigaciones también ponen de manifiesto que, aparte del iFrame malicioso, una gran cantidad de código diferente también ha sido insertado en la página web de dicha embajada, pues se han encontrado numerosas etiquetas <div> en el site, con cabeceras que contienen enlaces a otros websites. Dichos encabezados están escondidos y el código es demasiado pequeño como para ser visto por los incautos visitantes.

Un análisis más exhaustivo también sugiere que la web de la embajada de la India no es la única afectada con código inyectado, de ahí que se apunte a la posibilidad de que exista un ataque de inyección de código masivo y a escala global. Junto a esto, se ha detectado que el conjunto de códigos inyectados está preparado para cambiar con cierta frecuencia.

El código malicioso

Un análisis en profundidad del archivo BKDR_TDSS.CG ha llevado a descubrir que éste descarga un rootkit que posteriormente es inyectado en SVCHOST.EXE. Mientras se produce este proceso, el rootkit intenta conectarse a varios websites y enviar la información recibida.

Del mismo modo, BKDR_TDSS.CG también descarga un archivo encriptado. Una vez que es descodificado, este fichero parece contener comandos para descargar otros archivos dll y una copia actualizada de TDSSserv.sys, puede cargar determinados módulos del archivo dll y subir archivos de registro (que contienen registros erróneos, listas de procesos y detalles del sistema operativo). Además, despliega anuncios popup, evita que el software de seguridad entre en funcionamiento y despliega una serie de comandos. Mientras el contenido de los archivos de las URLs descargadas varían cada cierto tiempo, esta puerta trasera mantiene el acceso de la lista de URLs incluso después de completar su rutina, lo que eventualmente puede permitir el acceso a todas las URLs (excepto a aquellas que ya se encuentran inaccesibles) necesarias para lograr todas las funcionalidades mencionadas.

[tags]Trend Micro,Virus[/tags]