Founder of MalwareIntelligence, a site dedicated to research on all matters relating to anti-malware security, criminology computing and information security in general, always from a perspective closely related to the field of intelligence.

jueves, 28 de junio de 2007

TU AMIGO FALSO, EL MALWARE MENSAJERO
Desde el nacimiento de Internet, los sistemas de mensajería instantánea se han convertido en un medio de comunicación masivo y eficaz para cualquier usuario, en cualquier parte del mundo, debido a la simplicidad y rapidez de su manejo, constituyendo en la actualidad la vía de comunicación preferida a la hora de entablar una conversación en tiempo real.

En consecuencia, también se ha convertido en una fuente altamente explotable para la difusión y diseminación de códigos maliciosos de todo tipo, resultando que la mensajería instantánea sea un medio muy utilizado para este fin.

Un poco de historia
La forma de IM (Instant Messenger – Mensajería Instantánea) que se conoce en la actualidad tiene sus orígenes en un sistema generalizado de asistencia computacional creado en la década del ’70 denominado PLATO (Programmed Logic Automated Teaching Operations).

A partir de allí fueron naciendo otras aplicaciones, tales como Talk durante el año 1990 e implementado únicamente para sistemas UNIX/LINUX, e ICQ creado durante el año 1996 y disponible tanto para sistemas UNIX/LINUX como para Windows.

Desde entonces, muchas aplicaciones fueron surgiendo hasta llegar a las que se conocen actualmente, incluso combinando diferentes servicios como VoIP, videoconferencia, etc. Las aplicaciones más comunes y utilizadas son AOL Instant Messenger, Yahoo Messenger y MSN Messenger/Windows Live Messenger.


Imagen 1 – Clientes de mensajería instantánea

Infección a través del Messenger
Se mencionó que uno de los medios de comunicación más explotados para propagar malware son las vías de Chat. Precisamente, una de las aplicaciones más utilizadas y más explotadas es el Windows Messenger/MSN Messenger/Windows Live Messenger de Microsoft.

Uno de los tantos malware de este tipo es el gusano/troyano catalogado por ESET NOD32 bajo el nombre de Win32/Spy.Banker.CHC que utiliza la Ingeniería Social para intentar propagarse a través de los contactos del sistema infectado al momento de utilizar el cliente de mensajería instantánea.

Análisis superficial
Esta familia de códigos maliciosos está diseñada para enviar mensajes a cada uno de los contactos del usuario infectado, adjuntándose el siguiente mensaje en idioma portugués:

“Olha meu flogao atualizei
http://www.flogao-com-br.xxxxxx.ru/virgens.htm
espero que goste”


Imagen 2 - Enlace agregado al mensaje original

En ningún momento el usuario percibe que en realidad está enviando una invitación a descargar el malware.

El usuario desprevenido que haga clic sobre el enlace ingresará a una página web alojada en un sitio de Web Hosting y correo electrónico gratuito ubicado en Rusia. Aquí pueden ocurrir dos hechos:

Si el usuario mantiene su sistema operativo actualizado podría hacer clic en el vínculo mostrado en la imagen y observar que al pasar el mouse sobre el vínculo “CLIQUE AQUI”, este hace referencia a la dirección http://www.flogao-com-br.xxx.ru/extra.html.757674576945785.exe#/Carrinho/Amor/Saudades.imag/”, que remite a un archivo ejecutable (extensión “.exe”).


Imagen 3 – Redireccionamiento hacia un .exe y descarga del ejecutable

Si el usuario no mantiene actualizado su sistema, se explotará una vulnerabilidad del mismo permitiendo descargar y ejecutar, en forma totalmente silenciosa y automática, un programa del tipo “downloader” encargado de descargar otros códigos maliciosos una vez instalado en el sistema víctima. Cabe aclarar que, con el sólo hecho de ingresar a la dirección web, este archivo se descarga y ejecuta automáticamente sin el consentimiento del usuario y sin que se percate de ello.

Un análisis del código fuente de la página web exhibe la ejecución automática del archivo al momento de ingresar al sitio. Primero se distingue una etiqueta que vincula la dirección web con archivo ejecutable. A su vez, este posee incrustado un script ofuscado (Ofuscamiento: Técnica utilizada para hacer ilegible un código y dificultar su lectura.) escrito en lenguaje JavaScript que descarga y ejecuta otro archivo denominado ”pork.exe”, copia del ejecutable que se descarga en primera instancia.


Imagen 4 – Descarga del ejecutable

En cualquiera de los dos casos, el archivo ejecutable, es en realidad el gusano que se descarga e instala en la computadora. Al hacer clic sobre el enlace se presenta la típica ventana de descarga de archivos de Windows.

Al descargarse, se aloja en la carpeta temporal de Windows realizando una copia del troyano en la raíz del disco “X” bajo el nombre “system00.exe”. También se copia en la siguiente dirección “X:\WINDOWS\system32\” bajo el nombre de “windows.exe” (donde X es la unidad donde está instalado Windows).


Imagen 5 – Copia del troyano alojada en el disco “C” y en la carpeta “Temp”

En la imagen, se puede notar que los ejecutables creados por el código malicioso poseen íconos de aplicaciones comunes, como es el caso de los archivos de imagen o la llave asociada a elementos de seguridad del sistema.

Esta característica está presente en la mayoría del malware y constituye una de las técnicas más comunes: hacer creer al usuario que se tratan de archivos de imagen/seguridad cuando en realidad no lo son. Nótese además que los nombres que se utilizan pretenden hacer creer al usuario que están asociados al sistema.

Además de realizar copias de si mismo, el troyano manipula el registro del sistema creando las siguientes claves:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
C:\Arquivos de programas\My_Love.exe
C:\WINDOWS\system32\windows.exe


Imagen 6 – Manipulación del registro

Estas claves son creadas por el gusano con el objetivo de asegurar que en cada reinicio del sistema operativo arranque su proceso.

Si se observa con detalle la clave creada en el registro referida al ejecutable “My_Love.exe”,se puede ver que el mismo es creado en la carpeta “Arquivos de programas” y no en “Archivos de programas”.

Si el sistema operativo se encuentra en idioma portugués, el código malicioso realiza una copia en esta carpeta bajo un nombre que va cambiando a medida que se va modificando el código del mismo.

De aquí en más, cada vez que se establezca una conversación con algún contacto a través de cualquiera de los mensajeros de Microsoft, se adjuntará en el mensaje un enlace hacia la página web maliciosa.


Profundizando el análisis
Al descender un nivel en la página web se encuentran, además del troyano en sí mismo, los archivos ejecutables que el código malicioso descarga una vez que la máquina víctima ha sido comprometida.

Por otro lado, a través del seguimiento realizado a lo largo de unos días, se pudo establecer que los troyanos alojados en la página web maliciosa son constantemente modificados, no sólo en los nombres utilizados sino también en el código.

En la siguiente captura se observa el dinamismo con el cual se llevan a cabo las modificaciones de los códigos maliciosos por parte de sus autores.


Imagen 7 – Seguimiento del troyano

A simple vista, se observa que el archivo ejecutable que se intenta descargar en primera instancia bajo el nombre de “extra.html.757674576945785.exe” pesa 200.192 bytes y no fue modificado. Este archivo ejecutable, es en realidad el troyano detectado como Win32/TrojanDownloader.Banload.BJU por ESET NOD32, un tipo de código malicioso cuya tarea consiste en descargar otros especimenes de malware a la máquina infectada.

Además, para no ser fácilmente detectado por los productos de seguridad y minimizar su tamaño, todos los archivos están empaquetados con la aplicación “tElock 0.98b1”, una herramienta que además de comprimir, encripta archivos PE (Portable Executable).


Imagen 8 – Empaquetado del archivo

El archivo que simula ser una imagen, llamado “extra.jpg”, es en realidad un ejecutable que contiene al troyano Win32/Spy.Banker.CHC que se encarga de capturar información sobre sitios web de bancos brasileros. Al ver su contenido, se visualiza el indicador “MZ” correspondiente a archivos ejecutables (.exe, .dll, .ocx).



Imagen 9 – Malware desarrollado en Delphi

Como se puede apreciar en la captura, el código malicioso está escrito en lenguaje de programación Delphi.

Esta misma situación se presenta con el archivo llamado “ex.htm” que aparece en la última actualización realizada por los diseminadores del malware; es decir, este archivo simula tener extensión “.htm” (página web) pero en realidad es un archivo ejecutable.

Anteriormente se mencionó que este malware se ejecuta con el sólo hecho de ingresar a la página web maliciosa y que esta acción la lleva a cabo mediante un script ofuscado. Al realizar la conversión a “código legible” se puede ver el código fuente (en vbscript) que permite descargar el código malicioso en la carpeta temporal de Windows.

Para lograrlo, el troyano explota la vulnerabilidad solucionada en el boletín MS06-014 [1] de Windows que le permite ejecutar códigos en forma remota a través de su navegador Internet Explorer. En la siguiente captura se observa parte del mismo:


Imagen 10 – Exploit utilizado por el troyano para descargar y ejecutar “pork.exe”

Una vez que la computadora ha sido infectada, el troyano se copia en la carpeta de archivos temporales de Windows y al reiniciar el sistema se borra dejando copias de sí mismo en la carpeta “system32” y en la raíz del disco en donde se encuentre instalado el sistema operativo (comúnmente C:\).

Al arrancar sus procesos queda residente en memoria controlando los sitios visitados con el navegador Internet Explorer asegurándose, mediante la manipulación de la clave “Run” del registro, que sus procesos arrancarán en cada inicio del sistema.


Imagen 11 –Envío del mensaje con el enlace, copia del malware y manipulación del registro

Además, dependiendo del idioma del Sistema Operativo, crea una serie de archivos que son copias de cada troyano.

·Si el sistema operativo (SO) se encuentra en portugués, crea el archivo “My_Love.exe”, como se mencionó anteriormente, en la carpeta “Arquivos de programas” siendo una copia de “extra.jpg” y con un tamaño de 1.969 KB.

·Cuando se trata de un SO en español no crea éste archivo. Sin embargo lo agrega igualmente en la clave “Run” del registro. Se crean los archivos “system00.exe” que es una copia del mismo “extra.jpg” y “windows.exe” que es una copia de “extra.html.757674576945785.exe” y del ejecutable “pork.exe” con un peso de 196 KB.

·En caso de tratarse de un SO en inglés, crea los archivos “My_Love.exe” y “bios.exe” (copia de “extra.jpg”) en la dirección “X:\Documents and Settings\All Users\Start Menu\Programas\Startup”.

Resumiendo:

·extra.html.757674576945785.exe (downloader de 196 Kb) --> pork.exe --> windows.exe --> bios.exe
·extra.jpg (troyano banker de 1.969 Kb) --> My_Love.exe --> system00.exe

Inmediatamente después de haberse ejecutado, comienza a monitorear y registrar los sitios visitados por el usuario. En caso de que ingrese a determinadas páginas web, se activará el proceso asociado al “banker”.

Algunos de los sitios web que activarán la ejecución del troyano son los siguientes:
http://www.caixa.gov.br/
http://www.hsbc.com.br/

Al entrar a cualquiera de estas páginas web, el código malicioso cubre la sección del sitio del banco que permite el ingreso al home-banking real. En su lugar, muestra una imagen falsa con el objetivo de que el usuario ingrese a un formulario falso para registrar sus datos personales.

El malware ejecuta un proceso encargado de desplegar un banner que se superpone con el sector original en donde el usuario debe hacer clic para ingresar sus datos y operar en la entidad bancaria.

En el caso del primer sitio, el banner mostrado por el troyano se ubica en la parte superior de la página web:


Imagen 12 – Superposición del banner

Al hacer clic sobre el banner, se presenta la ventana, supuestamente original, que permite el ingreso de datos por parte del usuario.

Por intermedio de las siguientes capturas se pueden apreciar en forma cronológica, las diferentes pantallas que el código malicioso va presentando a medida que el usuario avanza en la navegación de la página web.

En primer lugar, una vez que el usuario ingresa sus datos y confirma (1), muestra una pantalla en la que se presentan los campos a llenar mediante la utilización del teclado virtual (2); una vez confirmado, el malware muestra otra ventana en la que se debe elegir una de las opciones mostradas en el menú izquierdo (3). Al hacer clic en cualquiera de las opciones, lanza una ventana de advertencia informando sobre la supuesta falta de una firma electrónica (4).


Imagen 13 - Pantallas desplegadas durante el ataque (I)

Al aceptar, despliega la pantalla para ingresar una firma electrónica (5) y por último, al confirmar esta acción, muestra una pequeña ventana en donde dice que la página se encuentra en mantenimiento, por ende, que se intente la operación en otro momento (6). Finalmente al aceptar, se cierra el navegador.


Imagen 14 – Pantallas desplegadas durante el ataque (II)

En forma similar, actúa sobre la página web del banco HSBC pero a diferencia de la anterior, resulta muy difícil darse cuenta a simple vista que se trata de una imagen engañosa debido al parecido con la original. A continuación, se puede observar el sector donde el código malicioso superpone la imagen.


Imagen 15 - Sector sustituido por el malware en el caso de HSBC

En el momento de ingresar a alguna de las entidades bancarias antes mencionadas, el malware ejecuta las acciones de superposición de imagen descriptas. Estas acciones son realizadas por el archivo “system00.exe” a través del proceso “ExperT”.


Imagen 16 - Imágenes manipuladas por el malware

Una vez que el usuario ha caído en la trampa del código malicioso introduciendo los datos en la entidad bancaria, el malware se encarga de establecer una conexión SMTP mediante la cual envía los datos del usuario a una cuenta de correo electrónico. La siguiente imagen muestra una captura del momento en que se activa dicha conexión.


Imagen 17 – Captura de tráfico SMTP

Conclusiones
Tanto los creadores como los diseminadores de malware, utilizan el ingenio para intentar engañar a sus víctimas por intermedio de técnicas de Ingeniería Social, demostrando una vez más que el eslabón más débil siempre es un usuario final no capacitado y que el objetivo principal del malware que actualmente se disemina en forma cotidiana, es netamente económico.

Así lo demuestra este ejemplar de código malicioso que, a través de la manipulación de un cliente de mensajería instantánea masiva, intenta infectar las computadoras de todos aquellos usuarios desprevenidos para realizar ataques a determinados sitios bancarios.

Si bien en lo presentado se trata del análisis de un malware cuyas características suponen que fue creado en Brasil y apunta a usuarios de ese país, en las últimas semanas se han reportado otros casos de códigos maliciosos similares que utilizan como medio de propagación a los clientes de mensajería instantánea. Uno de ellos es el gusano detectado por ESET NOD32 como Win32/VB.NKY que se propaga mostrando un mensaje en idioma español bajo el nombre de “Bush.exe” simulando ser una película en flash o como “yo_posse_007.jpg.exe”, una supuesta imagen de las vacaciones.

Además, es fundamental que el usuario tome conciencia de los peligros que corre por el sólo hecho de ingresar a determinadas páginas web, ya que muchos creadores de malware utilizan las funcionalidades de los scripts para infectar un sistema sin que el usuario se percate de ello. Es importante recordar que mientras se navega o se visualiza una página, pueden estar sucediendo -en forma oculta y totalmente transparente- actividades dañinas que ponen en peligro la confidencialidad del usuario.

También resulta interesante que esta característica puede presentarse cuando se hace alguna búsqueda como la que se muestra en la siguiente captura:


Imagen 18 – Búsqueda en google

Cabe destacar la importancia que tiene mantener el sistema operativo debidamente actualizado; si bien se sabe que es imposible que un sistema sea 100% seguro, se puede disminuir el riesgo actualizándolo, ya que como se pudo apreciar, el código malicioso en cuestión aprovecha una vulnerabilidad descubierta durante abril de 2006.

Adicionalmente, un punto primordial es contar con una herramienta de seguridad que solucione este problema, como con un antivirus actualizado que incorpore características de detección heurística y proactiva como ESET NOD32.

Por tales argumentos se puede decir que la mejor arma que posee el usuario para repeler este y cualquier otro tipo de metodologías que atenten contra la seguridad del sistema, y por ende, de la información contenida en ellos, radica principalmente en la educación. [2]

Jorge Mieres, Analista de Seguridad de ESET para Latinoamérica.

Más información:
[1] Boletín MS06-014 de Microsoft
http://www.microsoft.com/technet/sec.../ms06-014.mspx
http://www.microsoft.com/latam/techn.../ms06-014.mspx

[2] Plataforma Educativa de ESET Latinoamérica
http://edu.eset-la.com/

[3] Otros
http://www.eset-la.com/company/1602-eset-lanza-informe-troyanos-mensajeria-instantanea

Fuente: http://www.psicofxp.com/forums/articulos-de-informatica.520/463617-tu-amigo-falso-el-malware-mensajero.html

Ver más

QUE ES NMAP
Nmap es una aplicación multiplataforma usada para explorar redes y obtener información acerca de los servicios, sistemas operativos y vulnerabilidades derivadas de la conjunción de éstos.

Es muy usado por todo aquél que se interesa por las tareas de seguridad y hacking en general, desde Administradores de Sistemas a interesados con fines menos respetables. Las técnicas de escaneo que usa Nmap han sido ya implementadas en sistemas de detección de intrusos y firewalls, ya que los desarrolladores de sistemas de seguridad también usan Nmap en su trabajo y toman medidas. No obstante, pese a estar ampliamente documentado su funcionamiento, hay formas de escaneo que lo hacen difícil de detectar cuando se trata de obtener información.

Bueno, descargamos Nmap del sitio oficial para nuestra plataforma y lo instalamos. Si usamos Debian es mejor usar los repositorios:

$ apt-get install nmap

Comenzemos a escanear…

$ nmap -sP 192.168.1.0/24

Esto escaneará las 255 direcciones de la red 192.168.1.0 El atributo -sP indica que será un escaneo mediante ping. Envia un ping (ICMP echo request) y un paquete TCP ACK al puerto 80. Si el destino contesta con otro ping o con un paquete TCP RST significa que está operativo.

Tipos de escaneo en función de los paquetes

Si no queremos usar la técnica del ping y el paquete ACK para comprobar el equipo o la red hay varias opciones diferentes:

solo el ping
nmap -PE 192.168.1.0/24

sólo el paquete ACK dirigiéndolo a un puerto determinado, p. ej. el 20
nmap -PA20 192.168.1.0/24

paquetes SYN al puerto 20
nmap -PS20 192.168.1.0/24

paquetes UDP al puerto 20
nmap -PU20 192.168.1.0/24

paquetes timestamp
nmap -PP 192.168.1.0/24

paquetes netmask request
nmap -PM 192.168.1.0/24

Latencia en la red

Si la red a escanear es lenta, tiene mucho tráfico o somos nosotros los que generamos gran cantidad de tráfico, el tiempo de respuesta aumentará. Para mitigar estos inconvenientes podemos ajustar el tiempo de búsqueda que emplea nmap. La opción -T indica la política de tiempo a usar. Existen 6 niveles con números entre 0-5, cuanto más alto más rápido. Si no se especifica se usa -T3

$ nmap -T5 192.168.1.0/24

Escanearía la red 192.168.1.0 en modo Insane, muy rápido…

Más opciones de escaneo serian:

–max-hostgroup 150 (enviar 150 peticiones simultaneas de escaneo)
–scan-delay2s (retardo entre escaneo de 2 segundos)
-host-timeout500m (tiempo empleado para escanear cada host de 500 milisegundos)

Descubriendo servicios en un host

Nmap por defecto escanea los 65.535 puertos TCP del objetivo. Para solo escanear un determinado nº de puertos usaremos la opción -p

$ nmap -p 25,80,1000-4000 192.168.1.1

Con esto escaneamos el puerto 25,80 y del 1000 al 4000 del host 192.168.1.1

Hay varios estados posibles para un puerto. Si hay algún servicio escuchando en él, el estado es OPEN. Si no hay servicios en ese puerto puede respnder con un mensaje ICMP o simplemente con nada. En Linux estas respuestas vienen dadas por las reglas de IPTABLES REJECT (rechazar el paquete enviando un mensaje ICMP informando que el puerto esta cerrado) o DROP (tirar o ignorar el tráfico). En caso de que la petición sea ignorada Nmap mostrará el puerto como filtered, ya que no puede determinar si hay algún servicio o no en ese puerto.

También es posible que el equipo a sondear tenga los puertos abiertos pero tenga la política de no responder al ping ni al TCP ACK que usa Nmap para saber si el equipo está levantado. En ese caso el parámetro -P0 escaneará el objetivo asumiendo que el equipo está activo.

Sondeos sigilosos

SYN: Se trata en enviar un paquete TCP SYN al puerto a comprobar, y si hay algún servicio activo, el sistema escaneado continuará con la sequencia de conexión enviando un paquete TCP/SYN. En este punto Nmap tendría que proseguir enviando el ACK, pero no continúa con la secuencia de conexión y al no consumarse la conexión no queda registrado en los logs.

$ nmap -PS20 192.168.1.0/24

Una técnica parecida es enviar una secuencia incorrecta de paquetes TCP con la intención de valerse de los mensajes recogidos para obtener información. Por ejemplo, enviar un paquete TCP FIN que corresponde al final de una conexión o enviar paquetes sin ningún flag activado. Las respuestas pueden servir para identificar los puertos abiertos o el sistema operativo.

Fingerprinting

Nmap puede averiguar el sistema operativo del objetivo usando las pequeñas diferencias en la implementación de los protocolos. Aunque siguen el mismo estándard al programar los sistemas, existen algunas disimilitudes que usa Nmap para determinar el sistema operativo para ver como responde a ciertas secuencias TCP/IP. El atributo es -O

$ sudo nmap -O 192.168.1.33
Interesting ports on 192.168.1.33:
Not shown: 1676 closed ports
PORT STATE SERVICE
135/tcp open msrpc
139/tcp open netbios-ssn
445/tcp open microsoft-ds
1110/tcp open nfsd-status
MAC Address: 00:18:DE:A0:B2:C9 (Unknown)
Device type: general purpose
Running: Microsoft Windows 2003/.NET|NT/2K/XP
OS details: Microsoft Windows 2003 Server or XP SP2
Nmap finished: 1 IP address (1 host up) scanned in 3.451 seconds

La otra técnica de Fingerprinting se usa para comprovar las versiones del software que escucha en los puertos, es decir el servidor ftp, la versión de apache, etc… El parámetro es -sV

$ sudo nmap -sV -O -p 22,25,3306 localhost
Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2007-06-27 18:43 CEST
Warning: OS detection will be MUCH less reliable because we did not find at least 1 open and 1 closed TCP port
Interesting ports on localhost (127.0.0.1):
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.3p2 Debian 9 (protocol 2.0)
25/tcp open smtp Exim smtpd 4.63
3306/tcp open mysql MySQL 5.0.32-Debian_7etch1-log
Device type: general purpose|printer|broadband router|telecom-misc
Running (JUST GUESSING) : Linux 2.4.X|2.5.X|2.6.X|2.3.X (95%), Lexmark embedded (93%), D-Link embedded (93%), Wooksung embedded (93%)
Aggressive OS guesses: Linux 2.4.0 - 2.5.20 (95%), Linux 2.4.18 (95%), Linux 2.4.18 - 2.4.20 (x86) (95%), Linux 2.4.20 (X86, Redhat 7.3) (95%), Linux 2.4.21 (x86, RedHat) (95%), Linux 2.4.22 (SPARC) (95%), Linux 2.4.30 (95%), Linux 2.4.7 - 2.6.11 (95%), Linux 2.5.25 - 2.6.8 or Gentoo 1.2 Linux 2.4.19 rc1-rc7 (95%), Linux 2.6.0-test10 (x86) (95%)
No exact OS matches for host (test conditions non-ideal).
Service Info: Host: xxxxx.xxxxxxxx; OS: Linux
Nmap finished: 1 IP address (1 host up) scanned in 10.892 seconds

Esto nos muestra información bastante valiosa sobre las versiones de SSH, Exim y MySQL así com el nombre y el dominio. También ha intentado determinar la versión del sistema operativo, pero no concreta la distribución usada (95% Gentoo) ni la versión del kernel. En la anterior prueba contra un Windows XP, si que es capaz de obtener información referente al sistema operativo, y en menos tiempo.

Todas las prácticas aquí mostradas se han realizado con fines experimentales, así que no os lanzéis ahora a escanear los pc de vuestro trabajo, instituto o universidad porque si vais con intenciones dudosas seguramente os pillarán. El contenido de este artículo es fruto de lectura de manuales, revistas, artículos y mi experiencia profesional-personal. Mis fuentes:

Fuente: http://www.thewilfamily.com/hacking/nmap-a-fondo-escaneo-de-redes-y-hosts

Ver más

RUTKOWSKA: "LA MAYORIA DE ATAQUES EXPLOTAN EL FACTOR HUMANO, LA ESTUPIDEZ DEL USUARIO"

Por MERCÈ MOLIST 28/06/2007

Joanna Rutkowska, experta en código malicioso, creó su primer virus a los 14 años. Hoy estudia cómo detenerlos - "Sólo con tener la tarjeta inalámbrica del portátil funcionando, sin conectarte, alguien puede controlarlo".

A los 14 años escribió su primer virus. A los 27, estudia cómo detenerlos. Joanna Rutkowska es polaca, experta en código malicioso y musa de la comunidad de seguridad informática. Le intriga saber si en España todos hacen la siesta: "Yo sí, cuando investigo algo complicado, y al despertar sé cómo resolverlo".

Pregunta. ¿Cuál es el estado del arte en el código malicioso?
Respuesta. Es más fácil crearlo que detectarlo. Las técnicas de los chicos malos están por delante de las nuestras.

P. ¿Los chicos malos le han pedido alguna vez sus conocimientos?
R. Acabo de crear mi propia empresa, Invisible Things, y entre otras cosas hacemos cursos. No sé si mis clientes son criminales o no.

P. Cada vez hay más complejidad y delincuencia. ¿Qué podemos hacer?
R. Por una parte está el factor humano y, por otra, el tecnológico. La mayoría de ataques explotan el factor humano, la estupidez de los usuarios. No podemos proteger totalmente a usuarios estúpidos.

P. ¿Y el tecnológico?
R. La tecnología suele tener fallos y hay ataques que no precisan de la intervención del usuario. Un ejemplo, que da miedo, es que sólo con tener la tarjeta inalámbrica de tu portátil funcionando, sin conectarte, alguien puede aprovechar un agujero del controlador y tomar el control de tu máquina.

P. ¿Cómo defendernos?
R. Escribiendo programas sin fallos, con mejores controles de calidad y educando a los desarrolladores para que hagan programas seguros.

P. ¿Es posible?
R. El sistema BSD tiene entusiastas auditando manualmente el código. Pero, aun así, se encuentran agujeros, a veces después de unos años. No es posible crear código 100% seguro.

P. ¿Y entonces?
R. Otra propuesta es diseñar el sistema operativo de tal forma que, aunque alguien explote un fallo, el sistema limite el alcance del ataque. Por ejemplo, con arquitecturas de micronúcleo.

P. ¿Qué?
R. Windows, Linux o Mac OS tienen grandes núcleos monolíticos, con millones de líneas de código donde no es raro que haya agujeros, y todo está allí. El micronúcleo es un núcleo diminuto que hace unas funciones básicas y el resto funciona en procesos aislados. Así, un ataque al núcleo no afecta a todo el sistema. El problema es que es un cambio drástico, pero el futuro va por aquí.

P. ¿Y mientras tanto?
R. Se están añadiendo herramientas especiales. Por ejemplo hacer que, cada vez que se pone en marcha el ordenador, los procesos estén en sitios diferentes. Así, el atacante no sabe dónde están las cosas.

P. ¿Y los antivirus?
R. No son más que parches. Se basan en bases de datos con miles de firmas de código malicioso y, por cada archivo que entra, comprueban si coincide con alguna. ¡Es un enfoque equivocado! No funciona contra nuevos ataques.

P. ¿Cómo deberían ser?
R. Con un diseño seguro de los sistemas operativos y tecnologías antiataques, los antivirus desaparecerían. Pero, en realidad, no se dirigen al factor tecnológico, sino al humano, avisando al usuario para que no abra tal adjunto. En la siguiente generación, cuando el humano esté educado, será diferente.

INVISIBLE THINGS: http://invisiblethings.org

Fuente: http://www.elpais.com/articulo/red/mayoria/ataques/explotan/factor/humano/estupidez/usuario/elp

Ver más

COMO FUNCIONAN LOS PROGRAMAS DE SEGURIDAD "ESPIAS" DE PC

En Internet existe gran cantidad de herramientas administrativas de utilidad para los responsables de redes informáticas que pueden ser utilizadas con otros fines por personas de la empresa. Cómo prevenirse del mal uso de sniffers, keyloggers, analizadores de servicios y administradores remotos.

Existen distintos tipos de software que pueden ser utilizados tanto de forma genuina como para acciones maliciosas dentro de las empresas, por eso depende completamente del administrador de la red y las políticas existentes para controlar el uso de este tipo de herramientas.

Cuando hablamos de seguridad en redes empresariales, es importante que tengamos en cuenta factores que van más allá de las intrusiones externas y el malware y que están relacionadas con aplicaciones que no son estrictamente maliciosas.

En Internet existe gran cantidad de herramientas administrativas de gran utilidad para los responsables de redes informáticas que pueden ser utilizadas con otros fines por personas de la empresa. Entre dichas aplicaciones podemos encontrar sniffers, keyloggers, analizadores de puertos/servicios y administradores remotos.

Existen versiones comerciales de dichas herramientas que no son creadas con fines maliciosos y se denominan greyware y/o aplicaciones potencialmente no deseadas, dado que pueden ser usadas tanto en forma genuina por responsables de redes empresariales como maliciosamente por atacantes.

Expliquemos cada una de estas aplicaciones para conocer el alcance de las mismas:

  • Los sniffers son programas capaces de monitorear el tráfico de la red y pueden ser utilizados para extraer información como usuarios y contraseñas de servicios internos y externos de la empresa.
  • Los keyloggers son aplicaciones que una vez instaladas en un equipo informático, monitorean todo aquello que se teclea en el mismo, lo almacenan y pueden remitirlo a una persona en forma remota a través de distintos medios como correo electrónico, FTP, etc.
  • Los analizadores de puertos permiten monitorear un equipo informático y detectar qué puertos y servicios están abiertos, para conocer así de qué manera es posible conectarse al mismo.
  • Los administradores remotos son herramientas que, si están instaladas en una computadora o servidor, brindan la posibilidad de administrarla en forma remota, teniendo un control casi total sobre el equipo.
Es normal que un administrador de red utilice alguna de estas herramientas en sus tareas diarias, por lo que no sería raro encontrarlas en una empresa. Sin embargo, no solo pueden ser utilizadas para fines administrativos.

La información es hoy por hoy uno de los principales bienes y la seguridad informática existe para permitir que la misma esté disponible cuando sea necesario y a su vez no pueda ser accedida por personas no autorizadas. Para lograr esto último, se utilizan medidas tales como protección mediante usuarios y contraseñas, los cuales terminan siendo “la llave” para el acceso a la información protegida.

Conocer un usuario y contraseña de algún servicio de una empresa es prácticamente equivalente a ver qué información se encuentra disponible allí. Y son esos datos los más buscados por terceros para diversos fines maliciosos.

Las aplicaciones antes mencionadas permiten conocer y tener acceso a usuarios y contraseñas, y sus servicios. Por ejemplo, un sniffer puede permitir a un atacante interno conocer las claves de acceso a un servicio al cual no debería acceder. Asimismo, un administrador remoto puede permitir a una persona no autorizada acceder y controlar otros equipos dentro de la empresa y realizar acciones en ellos que no estén permitidas.

Estas situaciones son potencialmente peligrosas para una empresa dado que pueden llevar a la disrupción de servicios de importancia y/o al robo de información interna y confidencial. Siendo la información uno de los principales activos de una compañía, controlar que este tipo de aplicaciones no sean usadas erróneamente debe ser tarea primordial del área de seguridad de la información de la institución.

Recomendaciones de seguridad
Hay diversos factores a considerar a la hora de contar con protección contra este tipo de aplicaciones.

Para comenzar, es importante tener en cuenta que dichas herramientas no son maliciosas o dañinas per se, lo cual lleva a que no sean detectadas normalmente por las soluciones de seguridad existentes. Como con cualquier herramienta mal utilizada en cualquier ambiente, no sólo el informático, se debe enfocar la solución del problema potencial desde diversos ángulos.

Es importante que las políticas de seguridad de la información de la empresa especifiquen claramente si el uso de alguna de dichas aplicaciones en particular está autorizado, y si lo está, dejar claro en qué términos y por qué personas.

Las políticas de seguridad también deben prever que solamente usuarios autorizados deben ser capaces de instalar software en los equipos de la empresa, de manera que se evite que se utilicen herramientas como las mencionadas anteriormente. Si sólo los administradores tienen permisos para instalar software, se puede prevenir que se utilicen aplicaciones no deseadas.

Asimismo, existen técnicas y software que permiten monitorear servidores claves y la red misma en busca de sniffers y/o analizadores de puertos; muchas de ellas también de uso e implementación gratuita, por lo que es recomendable que los administradores las utilicen.

Dado que muchos productos antivirus y/o antimalware detectan gran cantidad de administradores remotos y/o keyloggers bajo la categoría de aplicaciones potencialmente no deseadas y/o potencialmente peligrosas, es importante asegurarse que el producto utilizado en la empresa tenga dicha funcionalidad y, en ese caso, que la misma esté activa para que si algún equipo tiene instalado este tipo de software sin autorización, el mismo sea detectado y bloqueado.

Además, es importante que se utilicen protocolos seguros para la autenticación de servicios como el correo electrónico, aplicaciones, web, etc. Por ejemplo, comúnmente, las aplicaciones de correo electrónico son utilizadas para que transmitan usuario y contraseña en forma de texto plano, el cual es fácilmente legible si se pueden monitorear las actividades de red. Utilizando protocolos seguros, esos datos serán transmitidos en forma codificada, evitando su lectura.

La conjunción de las recomendaciones anteriores más una correcta administración de los recursos informáticos y un uso seguro de los mismos, permitirá incrementar el nivel de seguridad ante atacantes internos que utilicen aplicaciones de administración para obtener información interna de la empresa.

Ignacio M. Sbampato es vicepresidente de ESET para Latinoamérica. Especial para Infobaeprofesional.com

Fuente: http://www.infobaeprofesional.com/notas/48568-Como-funcionan-los-programas-de-seguridad-espias-

Ver más