Archivos DRM para localizar usuarios TOR

Descargar y abrir archivos protegidos por DRM de Windows desanonimiza a los usuarios de Tor Browser y revelar sus direcciones IP reales, han advertido investigadores de seguridad de la hacker house.

Ataques utilizando archivos multimedia protegidos por DRM de Windows son conocidos desde el año 2005, pero hasta hace poco, sólo habian sido utilizados para propagar malware. 

Los ataques intentaban atraer a los usuarios a abrir y reproducir archivos protegidos con DRM. Estos archivos se abrían en Windows Media Player, y los usuarios veían una ventana emergente que les pedía que visitase un enlace para validar la licencia del archivo. 

Los usuarios que aceptaban eran redirigidos a un \"URL autorización.\" Desconocido para los usuarios era que los creadores de malware podrían modificar estos enlaces para explotar juegos o archivos malware. Los usuarios daban permiso al popup para visitar una URL externa (Hacker house) 
Los investigadores de Hacker house encontraron que este popup pidiendo a los usuarios si querían visitar la URL aparecería sólo para los archivos DRM que no se habían firmado con las herramientas adecuadas. 

Si el atacante firmó los archivos protegidos con DRM con SDKs oficiales de Microsoft tales como Windows Media Encoder, no mostraría el popup, y al usuario automáticamente se le abre una instancia de Internet Explorer y acceder a la URL.

Los investigadores de Hacker house  dicen que el costo de firmar correctamente archivos multimedia DRM oscila alrededor $10.000, una cifra que muchos creadores de malware de gama baja no están dispuestos a pagar por semejante nicho de ataque. 

Por ejemplo, una Agencia del Estado perteneciente a la busqueda y detención de ciberdelitos podría alojar archivos firmados correctamente protegidos mediante DRM en sitios pretendiendo ser pornografía infantil. Cuando un usuario intenta ver el archivo, el archivo multimedia de DRM usaría Internet Explorer para hacer ping a un servidor que pertenece a la Agencia del Estado. 

La misma táctica puede utilizarse también para militantes de ISIS tratando de ver videos de propaganda, venta de drogas ilegales y compradores de armas cuando intentan ver demos de productos en video, y mucho más. 

Un video mostrando el ataque de desanonimización está disponible a continuación, cortesía de los investigadores de Hacker house.

TorBrowser decloak with WMV from Hacker Fantastic on Vimeo.

Hackearon mi Pc, ahora que??

IRC, troyanos, puertas traseras son algunos de los programas maliciosos que se utilizan para hackear los ordenadores. Podemos mirar algunos indicadores que nos indicarán si hemos sido hackeados y luego buscar algún tipo de solución rápida. 

He aquí cómo se puede saber si su equipo con Windows ha sido hackeado

Signos:

1. Sus contraseñas o la configuración en línea han sido cambiadas
2. Las contraseñas de cuenta local de su equipo se han cambiado o ve nuevas cuentas de usuario
3. Está viendo mensajes extraños supuestamente "hechos por usted" en sus redes sociales. O tal vez sus "amigos" están recibiendo mensajes inapropiados, supuestamente de usted.
4. Sus amigos están reportando recibir spam o correos electrónicos de usted.
5. Encuentra nuevos programas o barras de herramientas instalados en su ordenador.
6. Recibe mensajes de falsos antivirus u otro software falso
7. La velocidad de Internet es lenta
8. Hay un marcado aumento en la actividad de la red.
9. El servidor de seguridad está ocupado con varias solicitudes de conexión hacia el exterior
10. El software de seguridad se ha desactivado.
11. El navegador ha cambiado la página de inicio por defecto o ha sido secuestrado
12. El puntero del ratón se mueve automáticamente para realizar las selecciones
13. Comienza a recibir llamadas de su banco, compañía de tarjeta de crédito, la tienda en línea sobre falta de pagos, movimientos desconocidos en el balance de los bancos, saldos pendientes inesperados o compras no realizadas.

Mensajes de falsos antivirus

Es uno de los signos más seguros de que su sistema ha sido comprometido. Al hacer clic en No o Cancelar para detener los falsos análisis antivirus no obtiene ninguna solución ya que el daño ya está hecho. Estos programas, a menudo hacen uso de software sin parches como el entorno de ejecución de Java para explotar el sistema.

Popups frecuentes al azar

Este problema se asocia sobre todo con sus navegadores y indica que tiene software no deseado o malware instalado en su ordenador.

Las búsquedas en Internet o cambio de la página de inicio

Es un hecho bien conocido que la mayoría de los hackers se ganan la vida mediante la reorientación de su navegador a otro lugar que no es la dirección que se desea visitar. Eso es, sin duda, porque al hacker se le paga por conseguir los clics en un sitio malicioso.

A menudo se puede detectar o identificar este tipo de malware simplemente escribiendo unas palabras relacionadas, muy comunes en la barra de búsqueda de los motores de búsqueda más populares y comprobar si los resultados relacionados con su búsqueda aparecen o no. El tráfico enviado y devuelto siempre será claramente diferente en un equipo comprometido frente a un equipo sin compromisos.

Qué hacer si su ordenador ha sido hackeado

1] Si usted siente que su PC con Windows puede haber sido secuestrado, debe desconectarse de Internet y arrancar en modo seguro, ejecutar un profundo análisis de todo el equipo con el antivirus . Si el software de seguridad se ha desactivado, utilice un buen antivirus ejecutandolo desde un disco externo o USB.

2] También es posible utilizar herramientas especializadas como Norton Power Eraser, un software anti-pirata informático o de una herramienta de eliminación de botnets .

2] Puede eliminar las barras de herramientas falsas del navegador utilizando un software de eliminación de secuestrador del navegador .

3] Abra el panel de control y desinstale los programas que pueden parecer de naturaleza sospechosa.

4] Cuando esté conectado a Internet, abra el símbolo del sistema, (en búsqueda escriba "cmd" sin las comillas y ejecutarlo como administrador) escriba el siguiente comando y pulsa intro:

netstat-ano

• parámetro -a enumera todas las conexiones del ordenador y puertos de escucha
• parámetro -n muestra las direcciones y los números de puerto
• parámetro -o da salida a la ID de proceso responsable de la conexión.

Con una mirada, un administrador de TI podrá mantener una vigilancia sobre los puertos abiertos, y la actividad de la red en el sistema.

Compruebe si hay alguna conexión sospechosa. Tenga en cuenta cualquier conexión que diga "establecido" y el número PID y asegúrese de que todas estas conexiones son conexiones válidas. Si es necesario, pulse Ctrl + Shift + Supr para abrir el Administrador de tareas. A continuación, desplace el cursor del ratón a la pestaña 'Procesos' y pulse la pestaña "Ver", seleccione las columnas y compruebe la columna identificador PID del proceso. Al instante, se mostrará la lista completa de los números de PID. Busque el número que anotó hace unos instantes en la ventana de CMD. En caso de duda, de por terminado el proceso.

5] Instalar una herramienta de monitorización de ancho de banda de manera que pueda ver el uso de su red. Utilice herramientas de rastreo de paquetes para registrar el tráfico de red.

Mantenga su sistema operativo y el software instalado actualizado en todo momento con el fin de cerrar todas las vulnerabilidades de software y el uso de un buen software de seguridad . 

Por favor, comparta este artículo sus amigos y familiares para mantenerlos a salvo.