Descubren nueva amenaza que recluta computadoras para una reconocida red delictiva

Diversos programas malignos descubiertos por la empresa de seguridad informática G Data permitieron reportar que la bot Andromeda sigue con vida.

Las amenazas trabajan bajo las órdenes de un mismo servidor, orientado a alimentar con computadoras a Andromeda, que saltó a la fama en 2011 luego de los ataques del troyano bancario ZeuS.

Como es habitual, las amenazas llegan camufladas en correos electrónicos no deseados. Esta vez, el malware se vale del reconocido programa Word, parte del paquete Office de Microsoft.

"El malware se distribuye embebido en macros de documentos de Word manipulados y, en los casos analizados, camuflados en falsas facturas de tren", explicó G Data.

Los macros son utilizados para automatizar procesos y unificar tareas que pasan a realizarse de forma secuencial en un solo click. Habitualmente están deshabilitados en Microsoft Office porque constituyen un riesgo de seguridad.

En este caso, si el usuario no tiene activada la ejecución automática de macros, se le mostrará una advertencia explicando que dicha ejecución esta deshabilitada. El malware ofrece un botón para activarla.

"Al abrir el documento y activar las macros de Office, la víctima activa una serie de acciones en cadena que concluyen con la generación del archivo msnjauzge.exe que, una vez ejecutado, crea una entrada en el sistema que le permite sobrevivir a cualquier reinicio: desde ese momento, el equipo está infectado y a disposición de los creadores de la botnet", aseguró G Data.

"En un siguiente paso, estas máquinas podrían ser utilizadas como aspersores de spam, infectadas con troyanos bancarios, programas espía... siempre en función de los intereses de sus creadores o de los cibercriminales que en un determinado momento puedan manejarlas", remató la empresa.

Ralf Benzmüller, director de G DATA SecurityLabs, dijo que "el malware se comporta como una muñeca Matrioska: una vez que se introduce en el sistema, poco a poco va revelando su potencial y objetivo. Sospechamos que los sistemas infectados están destinados a incorporarse como PCs zombies en la botnet Andromeda / Gamarue".