Presentamos una nueva muestra "ransomware", con la particularidad de que suplanta la imagen de la policía española. Llama la atención la forma tan elaborada de conseguirlo. Hemos realizado un vídeo demostración. Intenta que el usuario pague 100 euros por recuperar su equipo, acusándolo de almacenar contenido pedófilo, zoofílico y de enviar spam a favor del terrorismo.

El troyano ha sido denominado por algunas casas antivirus como Trojan-Ransom.Win32.Chameleon.mw. En estos momentos, es detectado por firmas por solo 9 motores en VirusTotal. Aunque ayer mismo, cuando llegó por primera vez, era solo detectada de forma genérica, por un motor. No es técnicamente novedoso, ni siquiera en su planteamiento, puesto que ya hablamos en ocasiones anteriores de varios secuestradores del sistema que impedían el uso del ordenador culpando al usuario de haber realizado actos ilegales. Lo llamativo es la forma tan cuidada de engañar al usuario para que termine pagando. En nombre de la policía nacional, le acusa de:

"Su dirección IP ha sido registrada en las webs ilegales con contenido pornográfico orientadas a la difusión de la pornografía infantil, zoofilia e imágenes de violencia contra menores! [...] Además, desde su ordenador se realiza un envío ilegal (SPAM) de orientación pro terrorista."



La imagen que utiliza es la de la policía nacional española, aunque se ha visto unos días atrás un troyano de la misma familia que hacía alusión a la legislación alemana. De hecho, si se observa la imagen, se puede comprobar que se les ha escapado el texto la frase "policía alemana". El procedimiento es el habitual. El troyano se ejecuta cada vez que se inicia sesión y no permite utilizar el sistema a no ser que se pague.

El troyano se basa en los sistemas de pago online Ukash y Paysafecard. Se puede acudir a cajeros automáticos de ciertas entidades, por ejemplo, y conseguir códigos que pueden valer entre 10 y 500 euros. Y además muestra logos de reputados bancos y casas antivirus para ganar credibilidad, pero ni la policía ni las empresas tienen nada que ver en el fraude, evidentemente, solo que soportan este tipo de pagos. En el aspecto técnico, es interesante destacar que no es sencillo eludir la pantalla de bloqueo del troyano, puesto que impide arrancar el administrador de tareas.

Invitamos al lector a visualizar el vídeo alojado en YouTube (2:20 minutos).

http://www.youtube.com/watch?v=4KtjhILjdjM&feature=player_embedded

Curiosidades:

* Se puede escapar del troyano cambiando de usuario. Pero los usuarios con XP tienen más complicado zafarse. XP lanza por defecto directamente el administrador de tareas cuando se pulsa CTRL+ALT+SUP, pero el programa no llega a mostrarlo. Así que no se puede ni cambiar de usuario ni matar la tarea. En Vista y 7, sin embargo, se lanza la pantalla de presentación que muestra las opciones de bloquear la sesión, cambiar la contraseña, etc. Esta sí va a permitir cambiar de usuario y matar la tarea. Obviamente, hay que haber creado dos usuarios definidos.

* Comprueba la dirección IP, el user agent del navegador y el país de la IP y los muestra en pantalla para ganar credibilidad. Lo toma del servicio http://tools.ip2location.com/ib2/.

* Utiliza el logotipo oficial del cuerpo nacional de policía.

* El trabajo de traducción y la redacción son muy malas.

* El troyano se ejecuta en el comienzo de cada sesión gracias a la clave creada en: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

Sergio de los Santos
 ssantos@hispasec.com

FUENTE :http://www.hispasec.com/unaaldia/4623

jajajaja y lo increhible es que muchos deben haber pagado creyendo que era verdad 

Hola,

me ha aparecido hoy ese troyano en un netbook que tengo con Windows XP, estaba navegando tranquilamente con el firefox y de repente ZAS! se me bloqueó la pantalla. COn el aviso de la pornografía y todo eso. La diferencia es que no me aparece nada de la policía, me ponen unos artículos del código civil eso sí.

El caso es que pasa lo mismo que contaban y el ratón se queda bloqueado a una pequeña zona que te permite mover. Aparece también un contador de 24horas, que cada vez que inicio el ordenador va a menos para que ingrese el dinero o sino me lo deja bloqueado.

He probado las soluciones que decían abajo, pero no me funciona con el modo a prueba de errores, ni con funciones de red ni tampoco con el símbolo del sistema. al igual que si arranco la última configuración buena conocida.

Me funciona pulsar Tecla Windows + L para ir al cambio de usuario, pero el ratón sigue bloqueado y yo solo tengo un usuario en la máquina.

Además mi netbook no dispone de soporte cd para tratar de hacer un arraque con otro hirens o algo así por lo que no se muy bien que hacer.

Ojalá alguien me pueda ayudar ya que es el único sitio en la red en el que encontré algo de info sobre el tema y más que nada me gustaría recuperar los datos, ya os podéis imaginar, fotografías y sobre todo composiciones musicales que es lo que más me fastidia.

Muchas gracias

jajajaja que chapuza, eso esatara bueno para hacer bromas mas que para otra cosa xP

Dulces Lunas!¡.