Este documento describe varias técnicas de malware como parchear la BIOS, propagarse a través de routers infectados, usar servicios como Kazaa para propagarse, evadir detección de antivirus falsificando archivos maliciosos y aprovecharse de errores en software antivirus para dejar sistemas inutilizables. También cubre técnicas de SEO malicioso y cómo los ataques de malware ocurren constantemente a nivel mundial aprovechando ventanas emergentes falsas.

2. • Parcheo de la BIOS
• Resistente a los formateos
• Controla toda la máquina
• Independiente el SO

3. Cerrando el chip del Bios a las actualizaciones, ya sea
físicamente o mediante contraseña para cambios no
autorizados del sistema.
"Necesita impedir la grabacion de la Bios, incluso si esto
significa sacar un jumper en la placa madre."

4.
El gusano Linux/PsyBot.A afecta a routers con procesadores
MIPS.
Este gusano es el primero de su especie y se estima que ha
podido infectar a más de 100.000 routers.
Se propaga a través de los servicios ssh, telnet y http (puertos
22,23 y 80 respectivamente), realizando ataques de fuerza
bruta ante contraseñas débiles en los usuarios administradores
de los dispositivos.

5. HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl
SafeBootMinimal
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl
SafeBootNetwork

6. Este es un estracto de un worm en VB6 que usa Kazaa para
propagarse a si mismo.

7. A su vez impiden las actualizaciones de los antivirus
(estracto worm en C)

8. Kaspersky ha demostrado que sus competidores no analizan
los malwares, tan sólo se limitan a generar una firma y añadirla
a sus bases de datos de archivos perjudiciales.
Como se enteraron?

9. Utilizado el servicio VirusTotal
Han enviado 20 archivos falsos, no infectados y han
configurado su motor para que en diez de ellos, Kaspersky de
positivo.
De esa forma, en los resultados de VirusTotal, Kaspersky era
el único que detectaba el (falso) virus. Y aquí viene la jugada
maestra: como VirusTotal envía estos archivos sospechosos a
los motores que no los han detectado, para que tengan
constancia de nuevas amenazas, varios de los competidores
de Kaspersky han empezado a dar positivos con esos falsos
virus.

10. McAfee hizo que uno de sus parches marcara como un virus al
proceso de Windows llamado Svchost.exe.
El Svchost.exe es el encargado de ejecutar los servicios que
corren desde una DLL. Cuando se inicia el ordenador se
ejecuta este proceso que comprueba el registro y hace una
lista de servicios que necesitan ser cargados.
Por este motivo el parche número 5958 lo que hizo fue dejar
inutilizable a miles de ordenadores de todo el mundo.

12. • La Universidad de Michigan reveló que 8 mil de sus 25 mil
equipos tuvieron inconvenientes
• La Policía de Lexington, en Kentucky, hizo sus reportes a
mano y muchas patrullas no salieron del garaje por
precaución.
• Incluso se cancelaron vistas en cárceles y el Hospital de
Rhode Island dejó las operaciones de los pacientes que no
estuvieran graves para más tarde.
• Hasta Intel tuvo problemas.

13. Las técnicas de SEO (Search Engine Optimization) hacen
referencia a los métodos legítimos utilizados para obtener un
buen posicionamiento web en los buscadores. La
implementación de estas estrategias, pero con fines maliciosos
y abusando de determinados métodos que violan las políticas
establecidas por los motores de búsqueda, es conocida con el
nombre de BlackHat SEO.

14. Una de las variantes más populares de BlackHat SEO es el
keyword stuffing, consistente en utilizar como anzuelo palabras
muy buscadas o susceptibles de generar interés entre los
usuarios de Internet, tales como:
• Catástrofes naturales
• Noticias importantes relacionada con personalidades
famosas
• Acontecimientos de importancia mundial

16. En todo el mundo se generan 100 ataques por segundo y si
bien la mayoría de estos ataques no le hacen nada a los
ordenadores, el promedio es que se infecta a uno cada 4.5
segundos.
Una de las formas que más se utilizan para infectar a usuarios
es a través de sistemas antivirus falsos. En páginas con
malware se muestran ventanas que simulan ser anuncios del
sistema operativo que le comunican al usuario que está
infectado y que hay que hacer click ahí para solucionar el
problema
Fuente:
Symantec

20. La SSDT (System Service Descriptor Table) es el lugar en el
que el sistema almacena punteros a las funciones principales
del sistema.
Algunos programas comerciales también utilizan esta técnica,
por ejemplo Panda Antivirus interviene la función
NtTerminateProcess para prevenir que los programas del
antivirus sean terminados.
Como usa este conocimiento los malware?
Fuente:
matousec.com

22. Sirven para ser listas negras de antivirus y browsers
Son repositorios de urls con malware listo para descargar