Koobface Secuestra y Redirecciona los Resultados de la Búsqueda del Google a Sitios de Terceros
Cuando los hackers no están ocupados pensando en nuevas maneras de convencer a los usuarios a comprar softwares de seguridad falsos, ellos están ocupados cometiendo fraude de clics para ganar dinero extra. Viendo el vídeo a continuación, te darás cuenta de cómo, cuando el usuario hace clic en un resultado en particular, que apunta a una relación particular, un gusano o caballo de Troya (con capacidades de rootkit) esto hace que el resultado de la búsqueda de Google sea redirigido al azar a sitios web llenos de anuncios. Hacer clic en el fraude es una táctica que los hackers aprovechan simplemente porque pueden inscribirse en diferentes programas de publicidad afiliados y recibir el pago por enviar tráfico a un sitio web.
Después de un análisis adicional, los archivos maliciosos descubiertos en la máquina infectada pertenecían a una variante de Worm.Koobface, que es notoriamente conocido como un gusano de propagación en Facebook, Twitter y MySpace. Los archivos de Koobface son los siguientes:
- * C:\Windows\sYSteM32\SvchOst.eXE -k fioo32
- * C:\Windows\system32\drivers\fio32.sys
- * C:\windows\system32\fio32.dll
Este video fue tomado desde el ordenador de un usuario que vino a nosotros, porque tenía una infección de Koobface, y no lo podía quitar.
Koobface utiliza las redes sociales como plataforma para ganar la confianza de un usuario, mediante la creación de falsos mensajes, que incluyen un enlace malicioso y los envía a los contactos (lista de amigos) de los usuarios infectados. El enlace malicioso redirecciona los amigos del usuario a un sitio Web (haciéndose pasar por la red social) que instala software malicioso cuando el amigo intenta reproducir un vídeo. El malware vinculado a Koobface fue diseñado para dirigir los usuarios a sitios web que se utilizan para alojar los anuncios cuyo objectivo es el fraude de clics e infecta a los usuarios mediante el envío para sitios web que les advierten sobre una amenaza de spyware en su computadora y sugieren un programan anti spyware para su descarga, que es en realidad un anti-spyware dañino . El sistema es tan convincente que el usuario no sabe que los resultados de búsqueda de Google fueron secuestrados y el sitio que se ha hecho clic en no es lo que se destina a ver y que está a punto de descargar una fraudware.
Los secuestradores de búsqueda se han sido muy populares en los últimos tiempos, pero se remontan a los inicios de la publicidad en Internet. Lo que es interesante y más terrible es la forma sutil con la que el troyano modifica los resultados de Google y muestra sus propios resultados disfrazados como los resultados orgánicos de Google, por lo que es indistinguible de lo real. Este método de secuestro se confunde fácilmente a los usuarios de computadoras en la creencia de que los resultados son directamente procedentes de Google.com. Una vez que un usuario hace clic en un enlace de los resultados de búsqueda secuestrados, él/ella será redirigido a sitios web distintos y no a los que el usuario debe dirigirse. Laura Mather, presidente del Comité de Política del Grupo de Trabajo Antiphishing de Internet, fue citada diciendo sobre el artículo de DarkReading, "Los consumidores no saben cómo buscar en las direcciones para saber dónde ir ..."
Desafortunadamente, la mayoría de los usuarios de computadoras no son ni siquiera conscientes de que su equipo está infectado con una amenaza de malware, como un troyano, gusano o botnet, hasta que ya estén profundamente absorbidos en el sistema. Así que, aunque el equipo de un usuario puede parecer que funciona normalmente, la infección puede llevar a cabo una serie de actividades maliciosas.
Una amenaza de malware puede aprovechar los fallos de seguridad en el navegador Internet Explorer y realizar cambios en las entradas dell archivo HOSTS, para que cuando el usuario entar en una página web, él/ella será redirigido a la dirección IP de un sitio falso o de búsqueda patrocinada. Lo que es peor, los usuarios pueden buscar en un sitio familiar, por ejemplo, nytimes.com (el New York Times, página web), y una ventana emergente de anuncios destinada a parecerse a un espía de notificación de Windows puede ser puesta en marcha diciendo que ha sido que el spyware ase ha detectado en el equipo. La falsa notificación de Windows es utilizada para inducir a los usuarios a descargar, instalar, y, finalmente, comprar un programa anti-spyware malicioso, para eliminar el software espía imaginario.