El troyano OSX.RSPlug.A cambia la configuración de DNS local para
la redirección a servidores DNS malintencionados
Descripción: Se ha detectado un troyano maligno en varios sitios web pornográficos, que solicita la instalación de un códec de vídeo necesario para visualizar vídeos pornográficos gratuitos en el Mac. Numerosos foros de Mac han recibido gran cantidad de spam en un intento por atraer usuarios a estos sitios. Cuando los usuarios llegan a uno de estos sitios web, encuentran fotos de vídeos pornográficos famosos, y al hacer clic en dichas fotos con la intención de poder ver los vídeos, llegan a una página web con el siguiente mensaje:
Quicktime Player no puede reproducir esta película.
Haga clic aquí para descargar una nueva versión del códec.
Una vez que la página se carga, se descarga automáticamente en el Mac del usuario un archivo de imagen de disco (.dmg). Si el usuario ha seleccionado “Abrir archivos ‘seguros’ al descargarlos” en el panel de preferencias General de Safari (o ajustes similares en otros navegadores), la imagen de disco se montará y el paquete de instalación que contiene abrirá el instalador. En caso contrario, si el usuario desea instalar este códec, deberá hacer doble clic en la imagen de disco para montarla y, a continuación, en el archivo del paquete, denominado “install.pkg”.
Si el usuario prosigue con la instalación, el troyano se instala. Dado que la instalación requiere una contraseña de administrador, el troyano obtiene además privilegios completos de administrador. No se instala ningún códec de vídeo y, si el usuario regresa al sitio web, simplemente visitará la misma página web y volverá a descargar un archivo.
Este troyano, una variación del DNSChanger, utiliza un método sofisticado, por medio del comando “scutil”, para cambiar el servidor DNS del Mac (el servidor que se emplea para hallar las correspondencias entre nombres de dominio y direcciones IP de sitios web y otros servicios de Internet). Cuando este nuevo y malintencionado servidor DNS está activo, captura algunas peticiones web, conduciendo a los usuarios hasta sitios web de “phishing” (suplantación de identidad) que se hacen pasar por entidades como Ebay, PayPal y algunos bancos, o simplemente hasta páginas que muestran anuncios de otros sitios web de pornografía. En el primer caso, los usuarios pueden pensar que se encuentran en sitios legítimos e introducir un nombre de usuario y contraseña, un número de tarjeta de crédito o un número de cuenta, que serían capturados por los responsables de la página. En el segundo caso, parece que la única intención consiste en generar ingresos procedentes de la publicidad.
En Mac OS X 10.4 no existe ningún modo de ver el servidor DNS cambiado desde la interfaz gráfica del sistema. En Mac OS X 10.5, esto puede verse dentro del panel Avanzado del panel de preferencias Red, donde los servidores DNS añadidos aparecen sombreados y no pueden eliminarse manualmente. (Intego está realizando pruebas con versiones anteriores de Mac OS X, aunque es probable que también hayan podido quedar infectadas, dado que todas las versiones de Mac OS X cuentan con el comando “scutil”.)
El troyano también instala una función “crontab” como root, que realiza una comprobación cada minuto para ver si su servidor DNS permanece activo. Dado que un cambio en la ubicación de la red podría cambiar el servidor DNS, esta tarea programada se asegura de que, en un caso así, el servidor DNS malintencionado siga siendo el servidor activo.
Este troyano también proporciona diferentes versiones de sí mismo, quizá en función del país en que se encuentre el usuario, con el fin de ofrecer contenidos apropiados para el país en cuestión. Al descargar repetidamente la imagen de disco se observa que existen numerosas versiones distintas.
Modo de protección: La mejor forma de protegerse de esta amenaza consiste en ejecutar Intego VirusBarrier X4 con su definición de virus correspondiente al 31 de octubre de 2007. Intego VirusBarrier X4 erradica el código maligno y evita que el troyano pueda instalarse. Intego recomienda que los usuarios no descarguen ni instalen nunca software procedente de fuentes que no sean de confianza o de sitios web de dudosa legitimidad.
