El Guardián

Como ya comentábamos en El Guardián, en junio se popularizó el spam a través de archivos PDF. Incrustaban una imagen apenas legible en archivos en este formato (en el que confían los usuarios) y los spammers se saltaron así todos los filtros hasta que éstos consiguieron adaptarse y contener la avalancha.

Se trata de una web de juegos ambientados en la Edad Media. En estapágina, se simulan presentaciones en Flash que no funcionan. Todos losenlaces
(supuestamente rotos) apuntan a una página con esta URL (ofuscada):

hxxp://XXXXX.XXXXspace.com/runescape/flasherror.html

Esta página muestra un mensaje:

Your version of Macromedia Flash Player needs to be updated. Click Here
que lleva a:

hxxp://XXXXX.XXXXspace.com/runescape/shockwave/download.html

Que simula (con bastante acierto) ser la web oficial de descarga de
Adobe (Shockwave Player Download Center). Algunos "errores" que han
cometido los atacantes a la hora de copiar la original es que muestra
una versión anterior, pero solo una comparación con la web original
actual puede hacer que el usuario se percate de esta diferencia.
Curiosamente, a través de JavaScript, han desactivado el uso del botón
derecho en Internet Explorer. Finalmente el malware es descargado (si
el usuario lo consiente) desde:

hxxp://xx.xxxxay.com/flashv10/Shockwave_Installer_Slim.exe

Una de las características más llamativas de esta muestra es el nivel
de detección. A fecha de 22 de junio, sólo dos antivirus lo reconocen,
uno de ellos con firma genérica: ClamAV como Trojan.Pakes-248 y
Webwasher-Gateway como Trojan.Bifrose.NU. Curiosa (y escasa) combinación
de motores que son capaces de detectarlo.