PsiXBot: malware que activa cámara y micrófono durante la reproducción de pornografía.

Se trata de una versión mejorada del malware PsiXBot que añade nuevas funcionalidades. Entre ellas, el uso de DNS sobre HTTPS durante las operaciones de recuperación de información del servidor C&C, para ocultar las peticiones DNS, que resultarían sospechosas, bajo una capa cifrada como HTTPS. De este modo, sólo a través de un análisis de SSL/TLS posterior a un eventual MITM, podríamos detectar esas peticiones al servidor malicioso.

En los últimos días hemos tenido constancia de la actualización de este malware, capaz de grabar vídeo y audio de la webcam de los equipos infectados. La funcionalidad es activada cuando el título de las webs que se visitan en el navegador coinciden con una lista de palabras regulares que tienen relación con webs de contenido pornográfico. A continuación puede comprobarse esto en el código del malware:

Aunque la noticia más mediática ha sido la inclusión del «PornModule», enfocado, como hemos dicho, a la captura de imágenes y audio mientras se ve contenido pornográfico para una posterior extorsión, no es una práctica novedosa ni sofisticada.
Lo interesante, desde el punto de vista técnico, es la inclusión de dos elementos que refinan y mejoran la funcionalidad del malware. En primer lugar la utilización de técnicas Fast Flux y, en segundo lugar, el uso de DNS a través de HTTPS.
Fast Flux es una técnica DNS utilizada típicamente en contextos que involucren botnets y que persigue ocultar las direcciones IP de servidores de phishings y envío de malware a través del cambio permanente y rápido de la topología de red, utilizando un conglomerado de hosts comprometidos que actúan como proxies. La idea fundamental de la técnica es asociar una cantidad ingente de IPs a un dominio cualificado, siendo las IPs cambiadas con una frecuencia extremadamente alta a través de la modificación de los registros DNS.
Por otro lado, la utilización de DNS a través de HTTPS, permite ocultar las peticiones DNS a estos servidores detrás de una capa cifrada como HTTPS. El autor del malware utiliza además el propio servicio de Google para realizar este paso.

Como puede apreciarse, los dominios van hardcodeados, por lo que, simplemente, deben incluirse dentro de una petición GET a https://dns.google.com como una variable, tal y como puede apreciarse en la siguiente imagen: