Noticias

Los cibercriminales aprovechan la popularidad de «Je suis Charlie»

Publicado el

16 enero 2015

por

Los cibercriminales aprovechan la popularidad de "Je suis Charlie" 68

La masacre de Charlie Hebdo y la respuesta de la ciudadanía en apoyo a las víctimas y a la revista satírica francesa, concretado en el ya famoso «Je suis Charlie», no ha pasado desapercibida por los cibercriminales que aprovechan cualquier suceso popular -aunque sea tan desgraciado como este- para distribuir malware.

Nos avisan desde la firma de seguridad Blue Coat al identificar un malware (md5 hash 3c5266cab10c78f3a49985806c217a40) que, oculto en mensajes titulados «Je suis Charlie» ha empezado a circular viralmente tras la masacre que ha golpeado a la redacción del semanario.

El malware en cuestión es el famoso DarkComet RAT (conocido como Fynlonski), una herramienta gratuita de administración remota que también ha servido como puerta trasera para la entrada de un potente troyano. DarkComet fue inicialmente creado por el hacker francés DarkCoderSc, que abandono su desarrollo en 2012. Sin embargo, su facilidad de uso y la riqueza y variedad de sus características, lo han mantenido a la cabeza en su utilización por todo tipo de atacantes, desde «script kiddies» y activistas hasta actores mucho más perversos.

La variante utilizada en el presente ataque está oculta para evitar ser detectadas por los escáners AV. El código DarkComet Delphi está oculto dentro de un envoltorio .NET, haciendo que las señales de DarkComet muy difíciles de ser percibidos. Más aun, los índices de detección AV de este ejecutable, a la hora de redactar este texto, es bastante bajo, sólo 2 de 53 escáners son capaces de hacerlo online.

La dirección actual del dominio de comando y control es snakes63.no-ip[.]org. Esta dirección dirige a una dirección IP localizada en Orange en Francia. La dirección IP francesa y el mensaje de error en francés refuerza la impresión de que el malware ha sido diseñado pensando en usuarios franceses o a cualquiera que esté siguiendo este atentado terrorista.

La publicación en Internet de la última edición de la revista, preparada por los redactores que quedaron vivos tras la matanza y que ha agotado toda la tirada en papel, aumentará su visibilidad y con ello el malware relacionado.