Cita: Es un hecho conocido que, al acceder a una página web que aloja contenido realizado en Flash o en Javascript, de forma intencionada se puede llegar a localizar las sesiones guardadas de FTP, por lo que siempre deberemos utilizar clientes de FTP que encripten el password de FTP, de modo que imposibilitemos el acceso fraudulento a nuestros alojamientos.
Nunca les he comprado nada, pero no parece un comentario en serio dirigido a gente que sabe lo que hace.
Más parece una mentira, y si les da para mentir de esa forma mejor los pongo en mi lista negra (justo debajo de Economuebles
)
Que un virus lo haga, por el motivo que sea, no quiere decir que baste con visitar una página web con flash o javascript (de hecho el virus no está escrito en flash ni en javascript...) para que se tomen datos de nuestros sistemas.
Los virus suelen utilizar la etiqueta iframe, que pertenece a HTML básico. Este en particular se vale de fallos en los plugins de Acrobat y Flash *para internet explorer* según el análisis de
ScanSafe. Bastaría con mantenerlos actualizados (cosa que sucede automáticamente en la configuración por defecto) para evitar los problemas
De todas formas, si el bicho funciona como lo describen la hipótesis tiene bastante sentido, excepto por la gente que dice usar un SO diferente a Windows.
Hispasec tiene una nota interesante al respecto. Menciona por un lado que el virus tiene una baja tasa de detección por parte de los antivirus, y por otra que puede hacer uso de vulnerabilidades conocidas en el servidor.
También vincula a algunos análisis más completos.
Me suena a que sucedieron ambas cosas: algunas contraseñas fueron robadas, y además tenían alguna vulnerabilidad (quizás el virus "sabe" cómo infectar a otras cuentas en el mismo servidor, aunque lo dudo mucho)
Saludos.
Edito: Aquí algo interesante que hace las cosas *mucho* más difíciles:
Cita: As mentioned earlier, the malware downloads software to sniff network traffic, winpcap. With the network card in promiscuous mode, the attacker can then capture other FTP credentials from machines on the same subnet.
Si es así de nada sirve cambiar el cliente FTP, y SFTP sí sería una ayuda importante. También podría explicar la infección de gente que use otros SO, dado que probablemente haya en la casa o en la red alguna máquina Windows que quizás esté infectada. (
Fuente)