Locked El Gusanito de Firefox: Destripando un Add-On Malicioso

[Anto]

Hace unos días fui "alertado" de un nuevo método de Infección Masiva de Computadoras, el método consiste en insertar en Websites previamente accedidos ilegitimamente un Falso Add-On de Firefox, que simula ser un Update a una nueva Versión, y que, en realidad, contiene código malicioso, que es ejecutado en cada Reinicio de Firefox, en este caso, el código malicioso que veremos mas adelante, descarga un archivo ".exe" que es ejecutado, de manera que el Ordenador queda Comprometido.

 

Pasemos a la parte "Practica", al entrar a una Website contaminada con este falso Add-On, Firefox nos pedirá permisos para instalarla.

 

This is the hidden content, please

• Sign In
• or
• Sign Up

 

Al instalar el Add-On, el ordenador queda comprometido, de manera que en cada reinicio de Firefox, se vuelve a descargar y ejecutar el archivo.

 

This is the hidden content, please

• Sign In
• or
• Sign Up

 

Pasemos ahora a un poco de teoría, un Add-On de Firefox tiene la extension ".xpi", que es básicamente un ".zip".

 

This is the hidden content, please

• Sign In
• or
• Sign Up

 

Este es el Código que indica a Firefox que debe instalar el Add-On encontrado en la Web.

 

This is the hidden content, please

• Sign In
• or
• Sign Up

 

Y este es el Código que descarga y ejecuta el archivo encontrado en el Add-On.

 

This is the hidden content, please

• Sign In
• or
• Sign Up

 

Lo mas Impresionante sin duda alguna, es que el Add-On aún no fue detectado por ninguna Compañía Antivirus.

 

This is the hidden content, please

• Sign In
• or
• Sign Up

 

Fuente:

This is the hidden content, please

• Sign In
• or
• Sign Up

Edited May 25, 2014 by Anto