6.308 mensajes en el buzón es lo que me encontré el sábado, tras estar cinco días fuera, desconectado por completo. Cada vez se hace más complicado estar mucho tiempo sin Internet, no porque estemos enganchados (no lo echo para nada en falta), sino por lo que se nos amontona a la vuelta entre correo pendiente de leer, feeds, etc. Lo cierto es que una vez en casa me costó encender el ordenador, más de 15 horas, no me apetecía.
Empecé por los blogs, en concreto con un par de ellos que leo asiduamente por diversión, para seguir las andanzas de Kirai y Varsavsky. Después seguí echando un vistazo rápido a los feeds de seguridad, no había mucho nuevo. Me paré en una entrada del blog de McAfee Labs, pq salían un par de pantallazos de VirusTotal. En esa entrada se puede ver una minicomparativa que ha hecho McAfee con VirusTotal sobre como se comportan los motores al incrustar un binario en archivos RTF. Por supuesto McAfee sale bien parado, nadie tira piedras contra su propio tejado, no así la mitad de los motores de VirusTotal.
Al parecer comienza a ser una técnica habitual para distribuir el malware y pasar los filtros antivirus perimetrales. Hice un pequeñito script en python para procesar mi correo pendiente y buscar adjuntos o enlaces a archivos con extensión .RTF y, efectivamente, alguno que otro encontré. Están dándole al tema.
Al abrir el archivo RFT con WorPad un aparente mensaje de error nos informa de que Microsoft Word ha encontrado algún problema al abrir el documento y solicita que demos doble click al icono de Word que aparece para cargarlo de nuevo. El aparente mensaje de error es en realidad el nombre del archivo incrustado, y tras el icono de Word se esconde un ejecutable, de forma que si hacemos doble click estaremos ejecutando el troyano.
Ahora vamos a ver la diferencia de detección cuando el troyano está incrustado en el RTF:
Y cuando analizamos el troyano en crudo, sin incrustar:
Como se puede apreciar hay motores que reconocen el troyano en crudo pero que fallan cuando se lo encuentran incrustado en el RTF (AntiVir, Avast, AVG, CAT-QuickHeal, NOD32 y Sunbelt). Si lo comparamos con la prueba que hizo McAfee, la cosa más o menos cuadra, aunque se ven algunas excepciones.
Dejando a un lado que hay motores que no detectan el troyano en crudo y por tanto tampoco incrustado en el RTF aunque soporten el formato (caso de el propio McAfee, DrWeb, eTrust-Vet o Symantec), puede llamar la atención el caso de AntiVir que en la prueba de McAfee acertó a detectar el EICAR incrustado en el RTF y sin embargo falla en el troyano incrustado de nuestro ejemplo, e Ikarus que hace lo contrario, falló en el test de McAfee y lo detectó en el nuestro. ¿Por qué?... os dejo a vosotros las pruebas y conclusiones, la cosa puede ir por firmas específicas de malware empaquetado vs. soporte de formatos.
