3 ago. 2016

Fosshub hackeado y reemplazaron todos los instaladores por malware

Fosshub es uno de los mayores repositorios open-source de la red, y es el sitio al que redirigen la mayoría de programas de código abierto, algunos tan famosos y populares como qBittorrent, Audacity, Classic Shell, MKVToolNix, Calibre, HWiNFO o IrfanView. Todos estos programas se han visto comprometidos con malware que incluso puede bloquear el arranque del sistema.
Un grupo denominadode PeggleCrew, ha conseguido acceso al sitio (cuenta suspendida), y han podido modificar los archivos que descargaban los usuarios e introducir malware en ellos. Los atacantes aseguran que consiguieron acceder gracias a "un servicio de red sin autenticación que estaba expuesto a Internet". A partir de ahí, accedieron al código fuente y credenciales de acceso de la web, lo cual les permitió acceder a la infraestructura de FossHub.

El grupo ha estado comentando todos los problemas que han tenido los usuarios a raíz de esto, y mofándose de ellos. Además, han comentado que han accedido al correo personal del administrador de la web, y aunque no han hecho pública ninguna información personal, aseguran que las contraseñas no estaban cifradas.

Todos los programas del sitio web fueron sustituidos

Inicialmente, sólo se sustituyeron los instaladores de Audacity y Classic Shell, subiéndolos a través de la interfaz de la que disponen los desarrolladores para subir su contenido. El instalador de Classic Shell ocupa 6.88 MB, mientras que el infectado ocupaba 6.81 MB. Mismo nombre, mismo icono, y prácticamente el mismo tamaño. La única diferencia es que el archivo infectado no ejecutaba ningún instalador.

Una vez los administradores de FossHub lo descubrieron, revirtieron los cambios, y aquí es cuando Cult of Peggle reemplazó todos los ejecutables de los servidores de FossHub con un reemplazador de MBR. Este código malicioso pasa prácticamente desapercibido por los antivirus por ser nuevo.
Cuando los usuarios ejecutaban e instalaban el programa descargado de la web y reiniciaban el ordenador, se encontraban con un mensaje que los atacantes habían escrito, y no se podía iniciar el ordenador. Esto es debido a que el malware reescribía el código MBR (Master Boot Record).

Fuente: ADSLZone

0 comentarios:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info
Si vas a dejar una consulta, procura tener habilitado tu perfil en Blogger o deja una forma de contacto.

Gracias por comentar!