Atentos al descargar las app más populares
Están circulando nuevas campañas de espionaje usando a FinFisher, el infame spyware también conocido como FinSpy que es comercializado a gobiernos y sus agencias en todo el mundo, según un informe publicado por el sitio especializado en seguridad informática en su versión en español www.welivesecurity.com. Además de presentar mejoras a nivel técnico, algunas de estas variantes han estado usando un vector de infección sigiloso, previamente desconocido, con fuertes indicadores de que hay proveedores de servicios de Internet (ISP) involucrados.
Cuando el usuario al que se quiere espiar está por descargar una de las aplicaciones (populares y legítimas) que los atacantes alteraron, es redirigido a una versión de esa aplicación que está infectada con FinFisher. Más adelante explicaremos este proceso en detalle.
En el informe publicado en el boletín del sitio propiedad de Eset (NOD 32) se establece que, FinFisher tiene amplias capacidades de espionaje, como vigilancia en tiempo real a través de cámaras web y micrófonos, keylogging y extracción de archivos de las víctimas. Lo que la distingue de otras herramientas de este tipo, sin embargo, son las controversias alrededor de sus implementaciones. FinFisher se comercializa como herramienta destinada a agencias gubernamentales con fines de control y monitoreo en investigaciones, y se cree que también ha sido utilizada en regímenes opresivos.
Descubrimos estas últimas variantes de FinFisher en siete países; desafortunadamente, no podemos nombrarlos para no poner a nadie en peligro.
La infección de los objetivos
Las campañas anteriores de FinFisher usaron varios mecanismos de infección, incluyendo phishing dirigido, instalaciones manuales con acceso físico a dispositivos, exploits 0-day y ataques watering hole, es decir, alterar los sitios web que las víctimas objetivo seguramente visitarán. Observamos este último comportamiento en una campaña que servía una versión móvil de FinFisher, por ejemplo.
Lo novedoso (y más preocupante) sobre las nuevas campañas en términos de distribución es el uso de un ataque Man-In-The-Middle, siendo probablemente un ISP el “man in the middle” o intermediario. Hemos visto que este vector se utilizó en dos de los países en los que los sistemas de ESET detectaron el último spyware de FinFisher; en los cinco países restantes, las campañas se valían de vectores de infección tradicionales.
El ataque comienza con una alteración al sitio de descarga oficial. Luego de que el usuario hace clic en el enlace de descarga, su navegador recibe un enlace modificado y es redirigido a un paquete de instalación troyanizado, alojado en el servidor del atacante. Cuando se descarga y ejecuta el programa, no solo instala la aplicación legítima que el usuario esperaba, sino también al spyware FinFisher.
Las aplicaciones que hemos visto utilizadas para propagar FinFisher son WhatsApp, Skype, Avast, WinRAR, VLC Player y algunas otras. Es importante señalar que virtualmente cualquier aplicación puede ser aprovechada de esta forma.
La redirección se logra comprometiendo el enlace de descarga legítimo y reemplazándolo con uno malicioso. Este se entrega al navegador del usuario mediante un código de respuesta de redireccionamiento temporal HTTP 307, que indica que el contenido solicitado se ha trasladado temporalmente a una nueva URL. Todo el proceso de redirección se produce sin el conocimiento del usuario y es invisible a simple vista.
FinFisher, siempre tratando de permanecer fuera del radar
La última versión de FinFisher también recibió mejoras técnicas, y sus autores pusieron aún más foco en el sigilo para permanecer fuera del radar. El spyware usa virtualización de código personalizada para proteger la mayoría de sus componentes, incluyendo el controlador en modo kernel. Además, el código está lleno de trucos para complicar el desensamblado. Encontramos muchas instancias de anti-sandboxing, anti-debugging, anti-virtualización y anti-emulación en el spyware, todo lo cual complica mucho más el análisis.
Tras superar el primer nivel de protección (anti-desensamblado), nos aguarda el siguiente nivel (virtualización de código). El distribuidor de la máquina virtual tiene 34 controladores; casi toda la ejecución del spyware se realiza en un intérprete, que añade otra capa a la que hay que enfrentarse durante el análisis.
Tratamiento especial para los usuarios preocupados por la privacidad
Mientras analizábamos las campañas recientes, descubrimos una muestra interesante: el spyware FinFisher haciéndose pasar por un archivo ejecutable llamado “Threema”. Dicho archivo podría utilizarse para apuntar a los usuarios más preocupados por la privacidad, dado que la aplicación legítima Threema provee mensajería instantánea segura con cifrado de punto a punto. Lo irónico es que quienes caigan en el engaño y descarguen esta aplicación buscando resguardar su privacidad terminarán siendo espiados.
Este foco especial en usuarios que buscan privacidad no está limitado a comunicaciones de punto a punto, aparentemente. Durante nuestra investigación, encontramos también un archivo de instalación de TrueCrypt, el software de cifrado de disco que alguna vez fue muy popular, troyanizado con FinFisher.
¿Quién es el “hombre en el medio”?
Sería técnicamente posible que el “hombre” en estos ataques Man-In-The-Middle se sitúe en varias posiciones a lo largo de la ruta que va desde la computadora de la víctima objetivo hasta el servidor legítimo (por ejemplo, los hotspots Wi-Fi comprometidos). Sin embargo, la dispersión geográfica de las detecciones de ESET de las últimas variantes de FinFisher sugiere que el ataque MITM está ocurriendo a un nivel más alto; un ISP surge como la opción más probable.
Esta suposición se sustenta en varios hechos: primero, según materiales internos filtrados que se publicaron en WikiLeaks, el fabricante de FinFisher ofreció una solución llamada “FinFly ISP” para ser implementada en redes ISP con capacidades que coincidan con las necesarias para realizar tal ataque MITM.
En segundo lugar, la técnica de infección (mediante el redireccionamiento HTTP 307) se implementa de la misma manera en ambos países afectados, lo cual es muy improbable a menos que sea desarrollado y/o proporcionado por la misma fuente.
En tercer lugar, todos los objetivos afectados dentro de un país están utilizando el mismo ISP. Por último, los ISP en al menos uno de los países afectados han usado el mismo método y formato de redirección para el filtrado de contenido de Internet.
La implementación de la técnica de ataque MITM a nivel del ISP mencionada en los documentos filtrados nunca se ha revelado (hasta ahora). Si se confirma, estas campañas de FinFisher representarían un sofisticado y sigiloso proyecto de vigilancia sin precedentes dada su combinación de métodos y alcance.