Se detecta en Alemania un troyano que roba contraseñas

Ha sido detectada una nueva oleada de spam infectado con un troyano que roba contraseñas mediante un reclamo en idioma alemán. Los mensajes contienen un fichero adjunto maleado que se anuncia como una actualización oficial Windows de Microsoft.

El malware adjunto, bautizado con el nombre de “Trojan-PSW.Win32.sinoval.u” por el desarrollador de software antivirus Kaspersky Lab, es un tipo de troyano de próxima generación del que ya se han dado varios casos, según Roel Schouwenberg, investigador de la compañía. La familia de malware Sinowal fue detectada por primera vez en diciembre, y en un principio se difundió a través de sitios Web maliciosos.

Si un usuario visita el sitio y no cuenta con un navegador adecuadamente parcheado, el software se instalará de manera automática, permitiendo cosechar la información sobre nombres de usuario y contraseñas para algunos sitios Web de bancos europeos. Sin embargo, en opinión de Schouwenberg, los autores del malware podrían haber decidido extenderlo mediante sistemas de e-mail masivo si un primer intento basado en la explotación del navegador no había funcionado según lo esperado.

Así, la última oleada de mensajes de spam de esta familia contiene direcciones de correo electrónico con el sufijo “.de”, y en lugar de intentar aprovechar una vulnerabilidad del browser para autoinstalarse, intentan engañar a los usuarios para que sean ellos mismos quienes lo instalen. El mensaje, escrito en alemán, anuncia que un nuevo gusano circula por la Red y que el receptor debe correr el fichero adjunto para proteger su sistema. Pese a que a que el mensaje está en alemán, según Schowenberg, la familia Sinowal podría haber sido creada en Rusia, dado que su código contiene algunas palabras en el idioma de esta zona.

El Troyano Sinowal es un tipo de malware basado en la intervención humana. Incluso si el usuario hubiera iniciado una transacción Secure Sockets Layer (SSL) con el banco, el malware puede insertar código HTML que origine una ventana pop-up pidiendo al usuario su nombre y contraseña.

Una de las peculiaridades es que envía la información de manera inmediata al servidor del hacker, en lugar de almacenarla para después mandarla en transmisiones periódicas, según indica Schouwenberg. Además, este troyano es capaz de buscar actualizaciones de sí mismo.