Viviendo en la paranoia

Con la proliferación de los ataques por medio de malware, he llegado a un estado de paranoia bastante exacerbado cuando recibió un correo. Ésta es la historia de cómo me afecta a mi vida profesional.

El otro día, en el buzón de registro que usamos para recibir los ficheros con los datos de los estudiantes había un correo con un adjunto en formato Excel, el que nosotros utilizamos, pero con un nombre Chino o similares – perdonad mi incultura en el tema de las lenguas-. El caso es que el próximo día 25 de Noviembre tenemos un training de la FOCA en inglés, y en el anterior ya se apuntó gente de todo el mundo, por lo que pudiera ser un registro para este seminario.


Figura 1: El sospechoso
El antivirus/antispam del servidor de correo no lo había eliminado, por lo que había pasado el primer filtro de seguridad, pero aun así… ¿hay cojones de abrirlo a la ligera? Pues en mi caso no. Lo siguiente que hice fue descargarlo y analizarlo con el antivirus de mi máquina y nada. Pasó el segundo filtro.

Si el fichero no pasa alguno de los filtros de seguridad, la opción es fácil. Se elimina o se pasa al SOCtano para que le hagan un análisis forense al malware, pero si pasa todos los filtros… tendría que enfrentarme con la dura decisión de abrirlo o no.

La siguiente opción fue enviarlo a VirusTotal y a ver si algún motor de Antivirus tenía información relevante para ver si era o no un malware


Figura 2: 43 motores antimalware dicen que no hay malware
Y nada, el puto fichero seguía pasando filtros de seguridad e iba a tener que abrirlo. Pero… ¿y si es un 0day de MS Office? Mmm… vamos a enviárselo a la FOCA y que me dé información de metadatos


Figura 3: Metadatos extraidos por la FOCA
Vaya, tiene un usuario y configurada una impresora, lo que significa que ha configurado las opciones de impresión de este documento. La fecha de creación es reciente y la de última modificación es de hace unos días, con lo cual si es un 0day lleva tiempo creado, o han estado manipulando esta información con un editor hexadecimal adrede para engañar a los que busquemos esta información… mmm… poco probable. Además está bien formado el fichero Excel y se ha sacado el sistema operativo con los OLE Streams.

Mirando las fechas, pudiera ser un exploit para la vulnerabilidad de MS Office que se explotó activamente, pero ya está parcheada en mi versión.

En fin, que va a tocar abrir el fichero pero… ni de coña en mi máquina, así que será una máquina virtual, con Office 2010 parcheado y la sandbox activada.... y aver por dónde canta la rana. Vamos allá, a dar el salto de fe.


Figura 4: Apertura en Sandbox con Office 2010
Me cago en su padre, es un correo de alguien que está buscando curro y nos envía su currículo… en chino. Lo que hace la crisis...

Al final, después de todo el tiempo invertido, era un spam y me ha hecho poner toda la paranoia activa. Y tal y como va esto… creo que cada vez acabaremos siendo más paranoicos. ¿No te da grima cuando un colega te manda una URL o un PDF?

Saludos Malignos!