Filezilla es un cliente
FTP con licencia GNU, escrito en C++ sobre la librería wxWidgets. La primera
versión data de junio del 2001, diseñado originalmente por Tim Kosse. Filezilla
se encuentra disponible en varias plataformas incluyendo Windows, Linux y OS X.
Detalle e Impacto de las versiones infectadas del cliente FTP Filezilla
Según Avast, habrían
sido detectadas al menos dos versiones falsificadas del cliente. En concreto
las versiones 3.7.3 y 3.5.3. Las versiones maliciosas no habrían sido expuestas
en el sitio oficial, no se trata de una inyección de código malicioso en el
repositorio ni una intrusión en el sitio web.
Las versiones troyanizadas habrían sido publicitadas y
colgadas en distintos sitios web atacados. Desde Hispasec hemos efectuado un
rastreo en la web y hemos dado rápidamente con algunos ejemplos:
Una vez bajada la
versión troyanizada de Filezilla 3.7.3, podemos analizarla en Virustotal y el
resultado es el esperado:
El malware, cuando se
instala, imita el proceso de instalación y la interfaz del instalador de
Filezilla, la única diferencia es que la versión del instalador de NullSoft es
la 2.46.3-Unicode en el troyano, siendo la v2.45-Unicode en la oficial.
Tal y como anota Avast
y hemos comprobado, el troyano instala una versión completamente funcional del
cliente FTP. Es decir, no termina la instalación con un error y abortando el
proceso como es habitual en algunos esquemas de infección por troyano. Además
el tamaño del ejecutable "filezilla.exe" es menor en el troyano e
incluye dos librerías (ibgcc_s_dw2-1.dll y libstdc++-6.dll) que no están
presentes en el Filezilla oficial. También, curiosamente, en el dialogo de
"About Filezilla" las versiones de las librerías SQLite y GnuTLS son
más antiguas que las que porta el software original.
¿Qué hace el troyano?
La funcionalidad
maliciosa se limita, hasta ahora, a conectar con un sitio web operado por el
atacante y depositar las credenciales de conexión FTP de la víctima. Esto lo
hace justo cuando el usuario se
autentica contra el servidor FTP que use. Decimos hasta ahora porque
esto puede cambiar en cualquier momento si los autores publican una versión con
una capacidad más dañina.
Recomendación
Si usas el cliente
Filezilla, asegúrate que no tienes una versión maliciosa y que esta ha sido
descargada de una fuente oficial.
Más información:
Blog de Avast
https://blog.avast.com/2014/01/27/malformed-filezilla-ftp-client-with-login-stealer/
Fuente: Hispasec
