Symantec usa la ciencia infusa para detectar los fallos en tu ordenador

Esta mañana ha empezado bien el día, con gracia y solera vamos… Al abrir la carpeta de Spam de mi correo (cosa que suelo hacer de vez en cuando para ver qué ha caido, vaciarla, etc.), había un mensaje que me ha llamado la atención. Los motivos han sido dos: el remitente aparecía como “Symantec” y el asunto era “Symantec Examen de Seguridad“. Al instante, la eterna pregunta… ¿lo abro o no lo abro? mmm… los que me conocéis sabéis como acabó la cosa, soy demasiado curioso

Al abrirlo, me he encontrado con la siguiente imagen (por cierto, hay premio para el que encuentre más de 7 patadas al diccionario):

A continuación vamos a empezar a destrozar este correo, por si a alguien no le ha quedado claro que es más falso que un billete de 3€.

Empezamos por el contenido, que ya me da la risa con solo leerlo… Ese “Hemos probado los defectos en su sistema”… Esto lo conozco yo como ciencia infusa… Si ni siquiera le he pedido un escáner, ni tengo el antivirus de Symantec, ni naa de naa, ha cogido el sistema, que es muy listo, y ha dicho “este tío tiene el virus Worm@blda.245. ¡¡¡Que encima no existe!!! O al menos, hoy en día si no aparece en google es lo mismo… Pero vamos, que acojona el mensaje… ¿o no?

Lo segundo, es el remitente, que en la imagen no lo podéis ver. Por lo visto viene de la dirección symantec@worm.es. Vamos, clavadito a las direcciones que usaría Symantec en sus notificaciones oficiales. Y encima ese “worm.es” como que no echa para atrás…

Pero podemos ir algo más allá… Si le damos para ver las cabeceras SMTP del mensaje, que en gmail se realiza pulsando en el botón que está a la derecha de “Responder“, opción “Mostrar original” del desplegable:

Con esto podemos ver de dónde viene el mensaje, y dice cosas relevadoras.

Received: from vsmtp4.tin.it ([212.216.176.224]) by SNT0-MC1-F48.Snt0.hotmail.com with Microsoft SMTPSVC(6.0.3790.3959);
 Tue, 19 May 2009 13:08:37 -0700
Received: from User (189.73.235.32) by vsmtp4.tin.it (8.0.025) (authenticated as mick999@virgilio.it)
        id 49F5BF4D0152E173; Tue, 19 May 2009 22:08:34 +0200
Message-ID: <49F5BF4D0152E173@vsmtp4.tin.it> (added by postmaster@virgilio.it)
Reply-To: symantec@worm.es
From: symantec@worm.es

Como podemos ver, lo ha enviado el servidor vsmtp4.tin.it. Es decir, que este servidor es un coladero de spam. Además, quien lo ha enviado se ha autenticado como mick999@virgilio.it. Es decir, o bien cualquiera con una dirección en ese sevidor puede enviar correo sin poner contraseña,  bien le han sacado la contraseña, o bien es un servidor de cuentas gratuitas el spammer se ha abierto una y la está usando a saco. Me inclino por esta última, sobre todo después de visitar el sitio…

Además viene el mail del postmaster, que como no podía ser de otra forma es “postmaster@virgilio.it“. Dan ganas de mandarle un correo diciendo que su servidor tiene algún problemilla…

Si intentamos conectarnos al servidor, nos saldrá lo siguiente:

telnet vsmtp4.tin.it 25
Trying 212.216.176.224...
Connected to vsmtp4.tin.it.
Escape character is '^]'.
220 vsmtp4.tin.it ESMTP Service ready
helo me
250 vsmtp4.tin.it
mail from:
250 MAIL FROM: OK
rcpt to:
550 RCPT TO: Relaying not allowed -please use SMTP AUTH

Sí que pide autenticación, por lo que seguramente se hayan creado una cuenta gratuita…

Queda otro detalle. La imagen tiene un botón start. ¿Qué pasa si lo pulsamos? Como se puede ver, se conecta a “http://www.starturl.com/hsecg” con el objetivo de descargar un fichero denominado “Update.Symantec.Worm_blda.245.exe“.

wget http://www.starturl.com/hsecg
--2009-05-20 10:30:57--  <a></a>
Resolviendo www.starturl.com... 72.167.131.40
Conectando a www.starturl.com|72.167.131.40|:80... conectado.
Petición HTTP enviada, esperando respuesta... 302 Moved Temporarily
Ubicación: http://symantec.update.worm.mail15.su/Update.Symantec.Worm_blda.245.exe
[siguiente]
--2009-05-20 10:30:58--
http://symantec.update.worm.mail15.su/Update.Symantec.Worm_blda.245.exe
Resolviendo symantec.update.worm.mail15.su... 82.204.219.237
Conectando a symantec.update.worm.mail15.su|82.204.219.237|:80... conectado.
Petición HTTP enviada, esperando respuesta... 200 OK
Longitud: 209920 (205K) [application/octet-stream]
Guardando: «Update.Symantec.Worm_blda.245.exe»
 
100%[======================================>] 209.920      206K/s   en 1,0s
 
2009-05-20 10:31:00 (206 KB/s) - `Update.Symantec.Worm_blda.245.exe' guardado [209920/209920]

 Se supone que un usuario inocente pensará que es una actualización de Symantec para protegerle de tan temido virus y lo ejecutará agradeciendo a dicha empresa su generosidad en detectar el virus a tiempo… Hombrecillos…

Lo que no he hecho aún, y sinceramente no creo que haga ya, es comprobar que hace el virus. De todos modos en un visazo rápido parece que está realizado en .NET usando Code Gear RAD Studio. Lo digo por que tiene esto:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0">
 <assemblyIdentity
 
                  type="win32"
 
                                 name="CodeGear RAD Studio"
   version="11.0.2627.5503"
   processorArchitecture="*"/>
 <dependency>
   <dependentAssembly>
     <assemblyIdentity
       type="win32"
       name="Microsoft.Windows.Common-Controls"
       version="6.0.0.0"
       publicKeyToken="6595b64144ccf1df"
       language="*"
       processorArchitecture="*"/>
  </dependentAssembly>
 
 </dependency>
<trustInfo xmlns="urn:schemas-microsoft-com:asm.v3">
...........

Es que, ya no hacen virus como los de antes…

Resumiendo: esto es un phising que pretende venir de Symantec para protegernos de un super virus que tenemos (viva la ingeniería social, por lo menos no han dicho nada de que cierran Hotmail XD ), y para ello nos tenemos que descargar un fichero, siendo este el virus vedadero. Está visto que hay que ir con cuidadito por esos mundos del ciber-espacio…

Related posts

• La seguridad interna sí es importante… (1)
• [Guía] Vamos a bastionar… (0)
• Métricas de seguridad (0)
• Lista Robinson… ¿Ayuda o estafa? (0)
• Convirtiendo Firefox en una máquina de matar… (0)

(1 votes, average: 4.00 out of 5)