Mensajes

En [File_Types_Created_Modified] se definen los tipos de archivos que deben mostrarse cuando se crean o se modifican.

En [Custom_Folders_Entries] se definen los directorios que deben mostrarse cuando un fichero es escrito dentro de ellos.

Hay reglas que se cumplen para un mismo fichero. Imagina que definimos en [File_Types_Created_Modified] los ficheros tipo .SYS y en [Custom_Folders_Entries] definimos C:\Archivos de programa. Si aparece por ejemplo:

C:\Archivos de programa\Prueba\Fichero.SYS

ese fichero cumple ambas reglas: es .SYS y está en C:\Archivos de programa.

En ese caso sólo se notifica la primera coincidencia.

Las reglas están hechas para que sean lo más flexibles posibles y permitan abarcar el mayor abanico de situaciones posibles.

En cuanto a las sugerencias...

Lo que es significativo es la creación del fichero AUTORUN.INF, el contenido no es relevante ya que el fichero al que apunta será reportado por una de las reglas casi con toda seguridad ya que será un archivo ejecutable.

La carpeta RECYCLER puede añadirse al grupo de [Custom_Folders_Entries]. De todas formas lo más probable es que si se mete algún fichero ahí dentro ya exista una regla que lo contemple y por lo tanto avise de su presencia.

A mí para desinfectar en este momento el que más me gusta es el DrWeb CureIt!

Si es un fallo, es un fallo del malware. BSA se limita a mostrar el valor de la clave del registro y la clave que escribe el malware es "Seguridad".

Lo que se define como peligroso es la clave, no el valor. Esas definiciones son editables. Las tienes en BSA.DAT.

Mira el manual (BSA.PDF) para ver qué es lo que se puede definir en BSA.DAT. Hay siete categorías diferentes si no recuerdo mal.

El análisis es como lo que he dejado, pero seguro que esto ha llevado mucho menos tiempo y revisión

Generar ese análisis ha llevado menos de un minuto.

Revisar se revisa rápido porque sólo son unas pocas líneas de texto. Lo que lleva un poco de tiempo es aprender a interpretar la información.

El análisis del bicho que indicas es éste:

Detailed report of suspicious malware actions:

Created an event named: _fCanRegisterWithShellService
Created an event named: Global\ScmCreatedEvent
Created an event named: ShellReadyEvent
Created process: C:\Seguridad\ctfmon.exe,"C:\Seguridad\ctfmon.exe" ,C:\M\X
Created process: C:\WINDOWS\Explorer.exe,"C:\WINDOWS\Explorer.exe" /idlist,:444:3460,C:\M\X,C:\M\X
Defined Autostart file added: C:\AutoRun.inf
Defined Autostart file added: C:\RECYCLED\AUTOEXEC.BAT
Defined Autostart file added: D:\AutoRun.inf
Defined file type created: C:\Bootfont.sys
Defined file type created: C:\RECYCLED\AUTOEXEC.BAT
Defined file type created: C:\Seguridad\@b@ddon.exe
Defined file type created: C:\Seguridad\ctfmon.exe
Defined file type created: D:\Seguridad\@b@ddon.exe
Defined registry AutoStart location added or modified: machine\software\microsoft\windows nt\currentversion\winlogon\Shell = Explorer.exe, C:\Seguridad\ctfmon.exe
Defined registry AutoStart location added or modified: machine\software\microsoft\Windows\CurrentVersion\Run\index = C:\Seguridad\ctfmon.exe
Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Desktop\Components\0\CurrentState = 04000040
Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Desktop\Components\0\Position = 2C0000009C0000000000000064030000E2020000000000000100000001000000010000000000000000000000
Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Desktop\Components\0\RestoredStateInfo = 180000009C0000000000000064030000E202000001000000
Defined registry AutoStart location added or modified: user\current\software\Microsoft\Internet Explorer\Desktop\Components\GeneralFlags = 05000000
Defined registry AutoStart location added or modified: user\current\software\Microsoft\Windows NT\CurrentVersion\Windows\Load = C:\Seguridad\ctfmon.exe
Defined registry AutoStart location added or modified: user\current\software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell = Explorer.exe, C:\Seguridad\ctfmon.exe
Defined registry AutoStart location added or modified: user\current\software\Microsoft\Windows\CurrentVersion\Run\index = C:\Seguridad\ctfmon.exe
Detected keylogger functionality
Hide file extension for known file types: user\current\software\microsoft\windows\currentversion\explorer\advanced\hidefileext = seguridad
Hide file from user: C:\AutoRun.inf
Hide file from user: C:\Bootfont.sys
Hide file from user: C:\RECYCLED\AUTOEXEC.BAT
Hide file from user: C:\Seguridad\@b@ddon.exe
Hide file from user: C:\Seguridad\ctfmon.exe
Hide file from user: D:\AutoRun.inf
Hide file from user: D:\Seguridad\@b@ddon.exe
Opened a service named: ShellHWDetection
Show hidden files and folders: user\current\software\microsoft\windows\currentversion\explorer\advanced\hidden = 2

Risk evaluation result: High

Ya sólo por esta entrada:

Defined registry AutoStart location added or modified: machine\software\microsoft\Windows\CurrentVersion\Run\index = C:\Seguridad\ctfmon.exe

ya se sabe que es un malware, aunque hay otras cosas que son muy indicativas como:

Hide file extension for known file types: user\current\software\microsoft\windows\currentversion\explorer\advanced\hidefileext = seguridad
Show hidden files and folders: user\current\software\microsoft\windows\currentversion\explorer\advanced\hidden = 2

Lo que hace es ocultar de la vista los archivos ocultos y ocultar la extensión para tipos de archivos conocidos.

Además crea un fichero AUTORUN.INF.

Vamos, que canta más que la Caballé. 

Yo lo hago a mano

Hacerlo a mano implica tener cierta experiencia con el análisis de malwares, algo de lo que carece la mayoría de usuarios. BSA pretende acercar el análisis de malwares a personas sin experiencia ni conocimientos previos.

Yo creo que merece la pena invertir algo de tiempo en aprender a utilizarlo. Es realmente potente y llega donde normalmente los antivirus y antimalware tradicionales no llegan: detectar amenazas desconocidas.

Creo que en algún momento ya me había topado con esta tool e incluso la había descargado, pero no había llegado a probarla.

Como podrás imaginar aquí somos un poco paranoicos con los archivos que cuelgan usuarios no "conocidos", así que lo primero que he hecho es verificar que fueras quién dices ser y probar la tool, yyyyy ... puedo ver que es un proyecto que llevas desde hace varios meses y cumple muy bien con su objetivo, incluso con la configuración básica

Hacéis las cosas como hay que hacerlas. Siempre hay que desconfiar del software que proviene de fuentes desconocidas. Incluso con software de fuentes conocidas te puedes llevar sorpresas. Hace unos meses se detectó un virus que infectaba una librería de Delphi. Cuando el programador compilaba su proyecto el virus automáticamente era compilado junto con el programa. En sitios confiables como Tucows había colgados programas infectados.

Efectivamente ya llevo unos meses con el proyecto y en este momento se encuentra muy avanzado. Ya casi no se me ocurren cosas que añadir. Si tienes alguna sugerencia (comportamientos sospechosos que deberían ser tenidos en cuenta) te la agradecería.

En la siguiente versión añadiré detección de "screenshots" ya que es una característica de los troyanos bancarios.

Saludos.

Hola.

Los antivirus distan mucho de ser perfectos, al igual que los anti-malwares. Muchos malwares, sobre todo los de reciente creación, son indetectables por el antivirus que tenemos instalado en nuestro ordenador.

Una solución que ahora usa mucha gente para mitigar este problema es escanear con muchos antivirus, usando la web Virus Total por ejemplo.

Esa solución tiene dos grandes problemas: el menor de ellos es que debemos disponer de una conexión a internet para poder mandar los ficheros que queramos analizar. Sin conexión no hay análisis. El mayor problema es que un malware recién creado puede no ser detectado por ninguno de los antivirus.

El problema de los malwares no se reduce sólo a la infección o corrupción del sistema operativo o a la pérdida de datos. Quizás ése sea el menor de los problemas ya que las imágenes de disco o software del tipo Deep Freeze pueden prevenir esos problemas. El robo de información (documentos, claves bancarias, etc) es quizás el mayor reto a la hora de prevenir el malware. La solución típica a este problema suelen ser los firewalls y los HIPS.

Existe otro método para la detección de malwares y es el análisis del comportamiento. Se trata de ver qué acciones realiza una aplicación y utilizando unos parámetros determinar si esas acciones son típicas de los malwares. El clásico ejemplo de este tipo de solución es el Norman Sandbox Analyzer que es una solución orientada a profesionales. Orientado a "home users" existen aplicaciones pero la mayoría de ellas son on-line. Por ejemplo ThreatExpert, Anubis, JoeBox, CWSandbox, ...

Personalmente este método de detección de malwares me atrae porque es un método genérico. Donde los antivirus fallan este método puede triunfar. El problema es que hasta ahora no había ninguna solución personal para los usuarios de a pie. El Norman Sandbox Analyzer está fuera del alcance de la mayoría de los mortales (una licencia por un año cuesta más de 10.000 euros). Las soluciones on-line requieren de una conexión a Internet además de que nosotros realmente no poseemos el software.

Por eso decidí crear un analizador de malware. Bueno, en realidad es un analizador de software que dictamina si el comportamiento es el de un malware o no.

El resultado se llama Buster Sandbox Analyzer.

El desarrollo de la herramienta de análisis se pudo seguir en el foro de Sandboxie pero a día de hoy la web ha desaparecido. De todas formas se puede seguir consultando a través de la web archive.org:

https://web.archive.org/web/20160305005414/http://forums.sandboxie.com/phpBB3/viewtopic.php?f=22&t=6557

Muchas dudas sobre el manejo de Buster Sandbox Analyzer se pueden resolver ahí.

A día de hoy la web donde continúa el desarrollo y se explican los cambios y las nuevas funciones es:

https://www.wilderssecurity.com/threads/buster-sandbox-analyzer.428538/

La web del Buster Sandbox Analyzer es:

http://bsa.isoftware.nl

La página de descarga es:

http://bsa.isoftware.nl/framea.htm

El manual incluido con el programa no está actualizado. Ha habido cambios en el programa que hacen que la configuración sea diferente. El principal cambio es que antes se añadía esta línea en el fichero Sandboxie.ini:

OpenWinClass=TFormBSA

y ahora hay que añadir:

OpenPipePath=\Device\NamedPipe\LogAPI

La versión de Sandboxie que hay que utilizar se puede descargar desde aquí:

https://github.com/sandboxie-plus/Sandboxie

Recomiendo usar la versión "Classic":

https://github.com/sandboxie-plus/Sandboxie/releases/download/v0.5.3b/SandboxieInstall32-v5.45.2.exe

https://github.com/sandboxie-plus/Sandboxie/releases/download/v0.5.3b/SandboxieInstall64-v5.45.2.exe

Si alguien tiene alguna pregunta adelante, doy soporte.

El que lo pruebe que me cuente qué le parece.

Saludos.

Arranca desde cualquier distribución Live y así podrás estar completamente seguro de que no hay nada instalado que pueda estar monitorizando tu conexión.