Detecci%C3%B3n_APT

Los Webkits se aprovecharán de dicha información para ejecutar un exploit u otro
en función del tipo de vulnerabilidad encontrada, la cual le permitirá ejecutar
cierto payload en el equipo de la víctima. Webkits sofisticados como Blackhole
utilizarán payloads polimórficos para dificultar la detección por parte de antivirus
que ellos mismos, de forma automatizada, chequearán y modificarán para
garantizar su ocultación. El contenido de dicho payload, es decir, el código
malicioso ejecutado en el equipo vulnerable dependerá del precio pagado a la hora
de adquirir o “alquilar” el servicio. Algunos de los payloads descargarán
ransomware, troyanos, falsos antivirus, etc.
Las siguientes dos capturas extraídas del paper ‘Exploring the Blackhole Exploit
Kit’ de Sophos 128 muestran el contenido del landing page de un dominio malicioso.
Ilustración 33. Extraído del paper "Exploring the BalckHole Exploit Kit"
Una vez obtenidas las versiones, la página contará con diversas funciones para
generar un iframe apuntando a un recurso u otro en función de la versión
previamente obtenida.
128 Exploring the Blackhole Exploit Kit
Como se observa
en el código, en
un primer
momento se hace
uso de los
métodos de
PluginDetect para
recuperar las
versiones de
Adobe Reader y
Flash.
http://www.sophos.com/en-us/why-sophos/our-people/technical-papers/exploring-the-Blackhole-exploit-kit.aspx
72