Los cinco y el misterio de la doble tilde

Les comparto esta entrada que me parecio excelente.

________________________________________________________________________________

A mediados de 2011 el código fuente del troyano bancario ZeuS fue filtrado en Internet. Esto supuso que empezaran a aparecer forks del mismo, entre ellos Citadel y Ice IX.

ZeuS es conocido, dentro de ámbitos profanos de la seguridad informática de habla castellana, como el virus del doble acento o de la doble tilde. La causa reside en el efecto que provoca en aquellos equipos que utilizan la distribución hispana del teclado:

Cuando se intenta escribir una letra con tilde, en vez de incluirla en la letra de manera correcta hace algo como a´´ e imposibilita el escribir correctamente.

Sabiendo que Citadel y ICE IX son evoluciones de ZeuS, quisimos comprobar si seguía ocurriendo.

Windows utiliza mensajes para las comunicaciones entre aplicaciones, como por ejemplo:

WM_SYSCOMMAND	Relacionado con ventanas (se maximiza, se minimiza, se elige algo en el menú, etc.)
WM_DESTROY	Cuando una ventana está a punto de cerrarse.
WM_KEYDOWN	Cuando una tecla se pulsa
WM_KEYUP	Cuando una tecla se suelta.
WM_MOUSEMOVE	Cuando se haya movido el ratón.

Relacionado con el teclado hay un mensaje especial llamado WM_DEADCHAR, generado cuando pulsamos la tecla tilde.

MSDN (Remarks): “A dead key is a key that generates a character, such as the umlaut (double-dot), that is combined with another character to form a composite character. For example, the umlaut-O character (Ö) is generated by typing the dead key for the umlaut character, and then typing the O key.” http://msdn.microsoft.com/en-us/library/windows/desktop/ms646277(v=vs.85).aspx

Una traducción aproximada sería: “Un deadkey es una tecla que genera un carácter que combinado con otro carácter, genera un carácter compuesto.”

Viendo los hooks que utiliza Citadel, sospechamos del hook de TranslateMessage, ya que su función es convertir los mensajes de tecla-virtual en mensajes de caracteres.

Repasamos directamente el código fuente filtrado de ZeuS y vemos la función encargada de establecer el hook en la API TranslateMessage.

Por lo visto, los parámetros de TranslateMessage no son modificados. Sin embargo, hace uso de ToUnicode. Vamos a ver que dice Microsoft.

MSDN (Remarks): “The parameters supplied to the ToUnicode function might not be sufficient to translate the virtual-key code because a previous dead key is stored in the keyboard layout.” http://msdn.microsoft.com/en-us/library/windows/desktop/ms646320(v=vs.85).aspx

Su traducción sería: “Los parámetros enviados a la función ToUnicode, pueden no ser suficientes para traducir el código virtual de la tecla porque la deadkey anterior es almacenada en la capa del teclado.”

Googleando un poco nos encontramos con varios foros donde la gente anuncia problemas relacionados con hooks y el uso de ToUnicode.

http://stackoverflow.com/questions/2604541/how-can-i-use-tounicode-without-breaking-dead-key-support

http://stackoverflow.com/questions/1964614/toascii-tounicode-in-a-keyboard-hook-destroys-dead-keys

http://blogs.msdn.com/b/michkap/archive/2005/01/19/355870.aspx

Así que el problema viene de la función ToUnicode, que al tener una tilde en cola provoca el mal funcionamiento. Tanto Citadel como Ice IX hacen uso de la función, con lo que tampoco están exentos del problema, por lo que si un equipo empieza a mostrar el síntoma de la doble tilde, es muy probable que sea provocado por una infección de Citadel, Ice IX o algunos de los “bichos” de la familia de ZeuS.

Como muchos os habréis dado cuenta, el título de la entrada homenajea a la famosa saga de libros de "los cinco" escrita por Enid Blyton y que nos hizo disfrutar mucho a algunos de nosotros de niños.

Jozsef Gegeny y Mario González

S21sec ACSS

Fuente:http://blog.s21sec.com/2012/07/los-cinco-y-el-misterio-de-la-doble.html