Informe General de Amenazas 2007 - eset-la.com · resumen siguen centralizándose en el malware;...

www.eset.com

Protegemos su Mundo Digital

Informe General de Amenazas2007

www.eset.com

1

ESET - Informe General de Amenazas del 2007

1-866-343-ESET (3738)

Llegamos al cierre de otro año en el que a muy pocas personas se les puede haber pasado por alto las plagas de códigos maliciosos, la cantidad desbordante de correos electrónicos fraudulentos y la creciente corrupción de nuestro mundo en línea, que han convertido al año 2007 en uno de los más extraordinarios de la historia del malware.

Desde la fundación de ESET en 1992, surgieron muchos tipos de amenazas, evolucionaron y, en ciertos casos, volvieron a desaparecer. El 2007 no fue una excepción; como empresa, hemos tenido que crecer y evolucionar para encontrar formas innovadoras de combatir esas amenazas. Para cerrar este año emocionante – quizá demasiado emocionante en algunos aspectos – decidimos hacer una retrospectiva para reflexionar sobre los retos y triunfos de los últimos meses.

ESET cuenta con una base de datos única para explotar y analizar, recopilados a través de nuestra tecnología ThreatSense.Net®, que reúne información sobre amenazas de códigos maliciosos, en particular sobre nuevas amenazas detectadas por heurística. La información es enviada por nuestros clientes (con su consentimiento explícito, por supuesto) a nuestro Laboratorio de Amenazas. Este proceso nos permite reconocer las nuevas amenazas instantáneamente y recopilar estadísticas sobre la efectividad de nuestra detección. De este modo, logramos obtener un panorama completo del malware en constante evolución en el “mundo real”.

ThreatSense.Net no sólo nos permite mejorar constantemente nuestros productos por medio del análisis de datos, alcanzando una detección perfeccionada, sino que también nos permite compartir nuestra perspectiva de las tendencias y avances del año con el resto del mundo.

Es evidente que el nuevo año nos presentará más desafíos. Pero hay una tendencia clara: al momento de lidiar con las enormes cantidades de códigos maliciosos y la rápida propagación que vemos hoy, cada vez más personas notan que la detección proactiva de programas maliciosos constituye un componente imprescindible en la estrategia de defensa.

En ESET, sabemos que la mera predicción y seguimiento de tendencias no constituyen recursos suficientes para asegurar la protección de nuestros clientes y continuaremos basándonos en nuestros valores principales, quedando siempre al frente de las evaluaciones comparativas gracias a la consistencia de nuestra innovación tecnológica. Como somos exitosos pioneros en técnicas heurísticas, ¡pueden confiar plenamente en que nos aseguraremos de vencer el reto de lo impredecible!

Al leer este informe, hay que tener en cuenta que la información no está limitada a la perspectiva de ESET, sino que también refleja lo ocurrido a nivel mundial durante los últimos doce meses. Como sucede con las acciones y valores, las tendencias pasadas de las amenazas informáticas no conforman pronósticos suficientes sobre los procesos futuros: no obstante, podemos estar seguros de una cosa. Aunque las amenazas cambien y surjan otras nuevas, seguirán existiendo códigos maliciosos mientras tanto existan computadoras para ser atacadas y explotadas, y usuarios para hacer el papel de víctimas. Además, mientras más plataformas empiecen a ser de uso corriente, inevitablemente serán utilizadas como medio de explotación. Vale la pena recordar que muchas amenazas de códigos maliciosos explotan al usuario y no a una plataforma en particular. El phishing (fraude informático), por ejemplo, no corresponde únicamente al entorno de un solo sistema operativo.

Esperamos que la lectura de este informe resulte interesante y estaremos encantados de recibir sus comentarios. Por favor, escríbanos a [email protected].

Le deseamos un buen viaje a través de 2008, y quédese tranquilo: haremos todo lo que esté a nuestro alcance para Proteger su Mundo Digital.

El Equipo de Investigación de ESET

2

Introducción y Nociones generales

Las diez amenazas principales propagadas por el correo electrónicoImagen 1: Comparativa de las 10 amenazas principales de 2007Tabla 1: Significado de los nombresProporción de mails infectados en el total de mensajes controladosDescripciones de las amenazas

Win32/Stration• “Probablemente desconocido NewHeur_PE virus” • Win32/Netsky.Q• Win32/Nuwar.gen• Win32/Fuclip• Win32/Nuwar•

Imagen 2: Top 10 de VirusRadar de los principales malware

Resumen de Tendencias de 2007Los diez malware principales de Enero del 2007• Otros evento de Enero• Los diez malware principales de Febrero del 2007• Otros eventos de Febrero• Los diez malware principales de Marzo del 2007• Otros eventos de Marzo• Los diez malware principales de Abril del 2007• Otros eventos de Abril• Los diez malware principales de Mayo del 2007• Otros eventos de Mayo• Los diez malware principales de Junio del 2007• Otros eventos de Junio• Los diez malware principales de Julio del 2007• Otros eventos de Julio• Los diez malware principales de Agosto del 2007• Otros eventos de Agosto• Los diez malware principales de Septiembre del 2007• Otros eventos de Septiembre• Los diez malware principales de Octubre del 2007• Otros eventos de Octubre• Los diez malware principales de Noviembre del 2007• Otros eventos de Noviembre• Los diez malware principales de Diciembre del 2007• Otros eventos de Diciembre•

Más malware de interésConclusiónRecursos y lecturas complementariasGlosarioAcerca de ESETAcerca de ESET NOD32 Antivirus y ESET Smart SecurityAcerca de ThreatSense®

Página34455666667789

10121313141415161717181820202121222324252626272729303132353535

Tabla de Contenidos

www.eset.com

3


1-866-343-ESET (3738)

Introducción y Nociones generalesLa línea de productos de ESET tradicionalmente se ha centrado en la detección y eliminación de todo tipo de códigos maliciosos, aunque se nota al leer este documento que se hace bastante más que eso y que el alcance de los productos tiene una versatilidad cada vez mayor. Aún así, las fuentes de datos que utilizadas para poder ofrecer este resumen siguen centralizándose en el malware; por lo tanto, no se hará más que una referencia superficial a otros fascinantes fenómenos relacionados a la seguridad y a temas que han predominado en el año, como los siguientes:

El uso de archivos PDF de Adobe Acrobat y otros objetos con menús gráficos fáciles de usar, como las • hojas de cálculo de Excel, en campañas de envío de correos electrónicos no deseados y estafas bursátiles, conocidas como fraudes pump and dump.El surgimiento de Windows Vista de Microsoft y las reñidas discusiones sobre sus mejoras de seguridad.• La creciente atención que tanto los especialistas de seguridad como los crackers le han dado a las tecnologías • Web 2.0 (tecnologías y plataformas colaboradoras, como wikis, blogs, entre otras), así como a mundos virtuales como Second Life y a redes sociales como Facebook, MySpace, Ning y Linkedin.La diversificación continua y la sofisticación cada vez mayor de la tecnología y topología de las redes • botnets.La constante transición desde los programas maliciosos replicativos (virus y gusanos) hacia otras formas de • códigos maliciosos (backdoors, keyloggers, troyanos bancarios) y desde la creación de virus como recreación hacia su desarrollo profesional con objetivos delictivos.El reconocimiento por parte de desarrolladores, investigadores y evaluadores de programas antimalware del • hecho de que las pruebas comparativas y las certificaciones no sólo deben incluir las evaluaciones de códigos maliciosos conocidos, sino también metodologías más demandantes diseñadas para probar la capacidad que posee un producto de usar el análisis de comportamiento, la heurística y otras formas de detección proactiva y dinámica en lugar de centrarse exclusivamente en la detección específica de programas maliciosos por medio de las firmas de virus.

Para elaborar este resumen, hacemos uso de las fuentes de datos que empleamos continuamente para mantener y mejorar el alcance de nuestros productos. En particular, VirusRadar.com recopila datos sobre programas maliciosos propagados por el correo electrónico, mientras que nuestra tecnología ThreatSense.Net® recopila automáticamente información sobre todo tipo de amenazas conocidas y desconocidas que son detectadas por la heurística y reenviadas de inmediato a nuestro Laboratorio de Investigación de Amenazas.

Estos datos cumplen la función principal de darnos una ventaja en el mercado de seguridad informática al permitirnos mejorar la capacidad de detección de nuestros productos, para que no sólo sigamos detectando programas maliciosos sino también amenazas totalmente nuevas, gracias al perfeccionamiento continuo de las tecnologías de detección proactiva. Esperamos que esta breve mirada a la esencia de nuestra tecnología y a lo que hemos recopilado en los últimos doce meses le resulte interesante, informativa y útil.

4

Top 10 de malware propagado por e-mailVirusRadar.com es un proyecto creado por ESET y sus Partners para efectuar análisis estadísticos y de control de los códigos maliciosos propagados a través del correo electrónico. A continuación, presentamos las diez amenazas principales del año 2007, según los datos obtenidos por VirusRadar. Los valores indican la cantidad de instancias registradas hasta el 10 de diciembre de 2007 y luego se da una explicación de las amenazas mencionadas.

Nombre bajo el cual ESET detecta el código malicioso Cantidad de detecciones“Variante de Win32/Stration.XW” 11,608,228“Probablemente virus desconocido NewHeur_PE” 4,184,672Gusano Win32/Netsky.Q 3,355,513Gusano Win32/Nuwar.gen 2,965,119Troyano Win32/Fuclip.B 1,740,631Gusano Win32/Stration.XW 1,300,049“Variante del Gusano Win32/Stration.WL” 760,689“Probablemente una variante del gusano Win32/Nuwar” 745,021Gusano Win32/Stration.WC 668,624“Variante del Gusano Win32/Stration.QQ” 585,736

Otras detecciones de malware registrados: 5,895,524

Imagen 1: Proporción comparativa de las 10 amenazas principales del 2007Nota: En el momento de la captura de datos, 1.142 amenazas individuales fueron identificadas por VirusRadar.

Hay información más actualizada disponible en: http://www.virusradar.com/stat_01_current/index_all_c12m_esn.html.

www.eset.com

5


1-866-343-ESET (3738)

Tabla 1 Significado de los nombres“Variente de Win32/Stration.XW” Detección de un programa malicioso muy similar al

gusano Win32/Stration.XW. “Probablemente desconocido NewHeur_PE virus” Detección heurística (ver glosario) de un programa

malicioso desconocido.Win32/Netsky.Q Detección específica de un gusano de Internet.Win32/Nuwar.gen Detección genérica de una variante del gusano Nuwar.TroWin32/Fuclip.B Detección específica del troyano Fuclip.B.Win32/Stration.XW Detección específica de una variante en particular del

gusano Stration.“Variante de Win32/Stration.WL” Detección genérica de un código malicioso muy similar a

una variante del gusano Stration. “Probable variante de Win32/Nuwar worm” Detección de un código malicioso muy similar a una

variante del gusano Nuwar. Win32/Stration.WC Detección de un programa malicioso muy similar a una

variante del gusano Nuwar.“Variante de Win32/Stration.QQ” Detección genérica de un programa malicioso muy

similar a una variante del gusano Stration.

Proporción de mails infectados en el total de correos electrónicos controladosNuestras cifras indican que de una muestra de 4.251,9 millones de mensajes controlados durante el período entre el 1 de enero del 2007 y el 10 de diciembre del 2007, 33,8 millones de mensajes tenían contenido malicioso en forma de archivos maliciosos adjuntos o de vínculos a un sitio web que posee códigos maliciosos. Es cierto que la cantidad de mensajes que controlamos ni siquiera se acerca al total de todos los correos electrónicos enviados en todo el mundo; sin embargo, es una muestra suficientemente extensa para formarnos una idea de lo que ocurre a nivel mundial. Naturalmente, existen ciertas cosas que no podemos controlar, por ejemplo, no sabemos cuántos mensajes infectados fueron interceptados por otros sensores antes de llegar a los servidores que nosotros controlamos, pero es un problema que tienen todos los vendedores de soluciones de seguridad. Tampoco podemos saber qué proporción de mensajes no infectados constituyen correos no deseados molestos, pero “inofensivos” que no transportan ningún contenido malicioso evidente: para averiguarlo, hace falta la puesta en marcha de una serie de herramientas completamente diferentes y aún así, el envío indiscriminado de correos no deseados no se puede medir con la misma precisión que el contenido de mensajes con programas maliciosos porque, hasta cierto punto, el destinatario es quien define qué correo electrónico es correo no deseado y no la comunidad de seguridad informática.

A pesar de todo, las estadísticas brindan la tranquilidad de que nuestra detección proactiva de nuevas amenazas – ya sea por su semejanza a amenazas conocidas usando firmas genéricas como por sofisticadas técnicas heurísticas que identifican códigos maliciosos totalmente nuevos – sigue siendo tan sorprendentemente efectiva como lo esperan nuestros clientes.

6

Descripciones de las Amenazas Informáticas

Win32/StrationLa amenaza Stration ha estado en circulación desde mediados del 2006. Este programa malicioso de correo masivo se usa para enviar mensajes de correo electrónico no solicitado (spam). Por lo general, llega en un archivo adjunto del mensaje e intenta hacerse pasar por un archivo de texto normal modificando su icono propio. Hemos visto variantes del Stration que también utilizan los programas de mensajería instantánea MSN Messenger o Skype para enviar copias de sí mismos.Stration envía correos masivos con un pequeño archivo ejecutable que, cuando el usuario lo abre, descarga componentes adicionales de sitios web registrados por los mismos creadores. Los creadores del Stration han registrado decenas de sitios web para actualizar sus redes de los equipos anfitriones comprometidos. También se usan los servidores para insertar el contenido de los correos electrónicos no solicitados y los objetos a infectar en todos los nodos de la red antes de iniciar la propagación.Las variantes del Stration usan diversas estrategias para convencer al usuario de que su computadora no se encuentra infectada. Por ejemplo, si intenta abrir un archivo ejecutable que se hace pasar por un archivo de texto, se le mostrará un mensaje de “Error desconocido”, para cubrir el hecho de que en realidad no aparecerá ningún texto en el Bloc de notas. Otros nombres comunes para referirse a esta amenaza son Warezov y Strati.

“Probablemente desconocido NewHeur_PE virus” Este rótulo indica que el mecanismo de Heurística Avanzada (ver glosario) implementado en ESET NOD32 llegó a la conclusión de que el archivo era malicioso. El rótulo no se usa para identificar una familia de malware en particular; indica la detección proactiva de amenazas informáticas que no se han visto antes ni fueron clasificados. La gran cantidad de detecciones en esta categoría demuestra la sobresaliente efectividad de nuestra tecnología heurística.

Win32/Netsky.Q Es una variante muy común de un gusano de Internet que se difunde a través de mensajes de correo electrónico, redes P2P (entre pares, o “peer-to-peer”) o unidades compartidas de red. En general, se propaga como un archivo adjunto en los correos electrónicos, usando la extensión .pif ó .zip. Es capaz de explotar una vulnerabilidad en las copias de Internet Explorer 5.x a las que no se les instalaron los parches correspondientes y las que permiten la ejecución del código malicioso cuando la víctima abre el mensaje o su vista previa, incluso cuando el archivo adjunto no es abierto. Se puede identificar a este programa malicioso por otros nombres, entre los que se encuentran: Netsky.P, I-Worm.NetSky.q, W32.Netsky.P@mm o WORM_NETSKY.GEN.Al ejecutarse, el programa genera un archivo con extensión .dll empaquetado con el compresor UPX. El correo electrónico parece haber sido enviado por un remitente conocido por el destinatario, pero en realidad la dirección está falsificada. El gusano encontró el nombre del supuesto remitente buscando en varios tipos de archivos del disco rígido de una computadora infectada previamente. El asunto y el cuerpo del correo electrónico varían considerablemente.El gusano crea archivos en el sistema infectado y manipula el registro de Windows agregando entradas. Tiene incorporado un motor SMTP que le permite enviarse a sí mismo a las direcciones encontradas en el sistema infectado cada vez que haya una conexión a Internet activa. A veces provoca ataques de denegación de servicio (DoS) contra sitios web específicos. El hecho de que un programa relativamente antiguo que envía correos masivos haya seguido circulando durante tanto tiempo constituye un mensaje perturbador sobre la cantidad de usuarios y sitios que no cuentan con la protección adecuada contra los programas maliciosos y sobre la continua necesidad de contar con detección por firmas de virus para identificar y eliminar códigos maliciosos conocidos, a pesar de los avances en la detección heurística y en los análisis de comportamiento.

www.eset.com

7


1-866-343-ESET (3738)

Win32/Nuwar.genLos sitios web utilizados para distribuir variantes del Nuwar (ver notas sobre Win32/Nuwar) ponen en circulación una nueva versión del programa malicioso cada treinta minutos. Para garantizar la detección de cada variante de esta amenaza se utiliza una firma genérica en lugar de firmas individuales para cada una de las variantes. El rótulo Nuwar.gen identifica muestras que han sido detectadas basándose en la firma genérica para la familia de gusanos Storm Worm, y no en la detección específica de una variante o subvariante particular.

Win32/FuclipEl nombre Fuclip es una abreviación que proviene del inglés “Full Clip” (“video completo”). Este programa malicioso formó parte de la primera ola de infección de Nuwar. ESET NOD32 detecta los archivos en las unidades del sistema creados por Nuwar en su intento por ocultar su presencia mediante técnicas de rootkits y de componentes como Fuclip. La variante Fuclip.B se ha enviado como correo masivo con una gran diversidad de mensajes y algunos de los asuntos tenían la siguiente modalidad de noticias (todos aparecían en inglés):

230 muertos tras tormenta que azota EuropaGenocidio de musulmanes británicosSecretaria de Estado de los E.E.U.U. Condoleezza Rice golpeó a la Canciller alemana Ángela MerkelHugo Chávez muertoMusulmán radical bebe sangre enemiga¡Sadam Hussein sano y salvo!¡Sadam Hussein vivo!Fidel Castro muerto.

Con frecuencia, Fuclip descarga un archivo de Internet y lo ejecuta. El archivo puede ser utilizado para controlar la computadora infectada en forma remota o para ocultar su presencia en el sistema, usando las técnicas comunes de rootkits.

Win32/NuwarNuwar, también muy conocido como el gusano Storm Worm (a pesar de ser un troyano, en lugar de un gusano), llega a la computadora personal como un archivo adjunto en un correo electrónico o se descarga cuando un usuario visita un sitio web con programas maliciosos. Los creadores del Nuwar utilizaron decenas de estrategias distintas de Ingeniería Social para engañar a los usuarios y lograr que seleccionen el vínculo malicioso que les llegó en el correo electrónico o que abran el archivo adjunto.Al parecer, el propósito principal de este programa malicioso es crear una poderosa red de computadoras comprometidas que se comporten como zombis (una botnet). Se ha utilizado para enviar información relacionada al fraude bursátil “pump and dump” y también para instalar programas maliciosos adicionales con el objetivo de robar datos bancarios de las computadoras comprometidas.Nuwar es único porque sus programadores y los administradores de las botnets, con quienes trabajan, le prestan suma atención al mantenimiento de las botnets y lanzan actualizaciones frecuentes para evadir los sistemas de detección de programas antimalware.Otros nombres de uso común para esta amenaza son: Peacomm, Zhelatin y Tibs, y aparece en la lista de programas maliciosos comunes como CME-711, en el sitio web Common Malware Enumeration (http://cme.mitre.org).

8

Imagen 2: Listado de VirusRadar de los 10 malware principales según el tipo de detección

Detección específica de códigos maliciosos 7,064,817Detección por firmas genéricas 16,604,793Detección heurística 4,184,672

La “detección específica de códigos maliciosos” denota que se ha identificado un programa malicioso que ya conocemos. La “detección por firmas genéricas” denota que se ha identificado un programa malicioso que se asemeja mucho a una variante de un programa malicioso conocido o que pertenece a una familia de programas maliciosos. La “detección heurística” denota que se ha identificado un programa malicioso que no se asemeja a los programas maliciosos existentes.Las cifras obtenidas por VirusRadar demuestran que la detección de amenazas nuevas (y de nuevas versiones de amenazas antiguas) es al menos tan importante en los programas de seguridad como la detección tradicional basada en firmas de virus. Consideramos que nuestra heurística es la mejor de la industria y cuando usted vea las tendencias de las amenazas y la tecnología de seguridad a lo largo del año, notará que varios expertos de la industria están de acuerdo con nosotros.

www.eset.com

9


1-866-343-ESET (3738)

Resumen de Tendencias del 2007Esta sección muestra las tendencias de cada mes desde enero hasta diciembre del 2007. La mayoría de los datos presentados fueron extraídos de ThreatSense.Net®, intercalados con otra información de interés más general. Mientras que VirusRadar.com controla los correos electrónicos, los datos de ThreatSense.Net® están basados en muestras enviadas automáticamente a nuestro Laboratorio de Investigación de Amenazas por los clientes que desean participar, por lo tanto, no se restringen a las amenazas distribuidas en correos electrónicos.

10

Enero

Imagen 3: Los diez programas maliciosos principales en enero del 2007

Win32/Adware.Boran Adware.Boran no es un virus: entra en la categoría que los fabricantes de soluciones de seguridad con frecuencia denominan Programas o Aplicaciones potencialmente indeseables. Después de que se instala a sí mismo, el programa abre ventanas emergentes de publicidades y es posible que redirija algunas de las solicitudes hechas a la web a sitios de terceros. También se lo conoce con el nombre Adware.Win32.Agent. Este programa intenta contactar una gran cantidad de sitios para buscar datos sobre actualizaciones. Además cambia la información en el registro de manera que se carga automáticamente cada vez que se inicia el sistema operativo.

Win32/RJump.A RJump es un gusano de Internet que presenta características de un troyano, ya que abre una puerta trasera en el sistema infectado y envía información sobre la computadora comprometida. Se propaga copiándose a unidades externas, como discos rígidos, cámaras digitales, celulares y memorias USB. A veces también se lo conoce por los siguientes nombres: Backdoor.Rajump, W32/Jisx.A.worm, W32/RJump.A!Worm, WORM_SIWEOL.B.

Win32/Brontok Es un programa malicioso con características de un programa de puerta trasera (backdoor), se difunde por medio de los correos electrónicos y recursos compartidos en red. Utiliza su propio motor SMTP para enviar mensajes de correo electrónico con archivos adjuntos que usan las siguientes extensiones: .ASP, .CMF, .CSV, .DOC, .EML, .HTM y .HTML, .PHP, .TXT, y .WAB. También crea archivos de sistema y modifica algunas entradas en el registro.

www.eset.com

11


1-866-343-ESET (3738)

Nuwar (Storm Worm)Este programa malicioso ha atraído la atención de los medios desde enero, ya que se propagó al hacerse pasar por una noticia sobre el fuerte temporal Kyrill. Las razones son muchas. En primer lugar, fue una de las primeras amenazas de gran alcance que utilizó redes P2P como mecanismos de comunicación de comando y control (C&C o Command and Control), a pesar de que los bots han estado usando las redes P2P aproximadamente desde el 2003. El hecho de que Nuwar se comunique en una red descentralizada hace que sea muy difícil estimar la cantidad de equipos anfitriones infectados. Algunos investigadores aseguraron que existen más de un millón de equipos infectados, mientras que investigadores de Microsoft sugirieron que las máquinas comprometidas son sólo un par de cientos de miles.El objetivo principal de esta amenaza es construir una botnet sólida y confiable (una red de computadoras anfitrionas comprometidas). La botnet del Storm Worm se ha utilizado para enviar correos electrónicos con fraudes bursátiles “pump and dump”, correos no deseados, correos electrónicos de auto propagación e incluso troyanos bancarios, diseñados para robar información de cuentas bancarias.Los creadores del Storm Worm han usado una variedad de tácticas de Ingeniería Social para atraer a los usuarios a visitar sitios web maliciosos y comprometer así sus sistemas. La siguiente tabla muestra una lista de los temas de Ingeniería Social utilizados con este propósito. La duración del uso de las técnicas demuestra que los creadores cuentan con medios para controlar la efectividad de cada una de las maniobras, lo que contribuye a la mejor propagación e infección. Ajustan las estrategias en respuesta a los resultados obtenidos para incrementar el rendimiento y efectividad de su botnet.

Tipo PeríodoNoticias aterradoras o de actualidad Diciembre del 2006 a mayo de 2007Tarjetas electrónicas Junio a agosto del 2007Postales electrónicas Agosto del 2007Soporte técnico (envío de parches o conexiones a redes privadas virtuales)

Agosto del 2007 (un día solo)

Versiones de prueba de programas Agosto del 2007 (un día solo)Videos Agosto a septiembre del 2007Día del trabajo Septiembre del 2007 (un día solo)Privacidad (Tor, o red de anonimato) Septiembre del 2007 (un día solo)Temporada de la Liga de Fútbol Americano Septiembre del 2007Descarga de videojuegos clásicos Septiembre a octubre del 2007

Además de cambiar las estrategias de Ingeniería Social, los creadores de Nuwar crean actualizaciones de los programas con frecuencia. Los sitios web que utilizan para distribuir los programas maliciosos tienen un archivo diferente cada 30 minutos. En general, la diferencia entre los archivos es mínima, pero es suficiente para evadir los patrones de firmas en los que se basan la mayoría de los programas antivirus.El marco de comando y control en el que opera Nuwar es completamente descentralizado y depende del protocolo Overnet para encontrar los recursos necesarios para infectar computadoras. Por ejemplo, un equipo anfitrión infectado explorará las redes entre pares (P2P) para encontrar sitios de actualización desde donde bajar las nuevas versiones del programa malicioso. Nuwar también usa la red de pares con el objetivo de recibir información e instrucciones relacionadas a los correos no deseados que debe diseminar y de especificar los objetos para ataques de denegación de servicio distribuido (DDoS, según sus siglas en inglés). La información transmitida por la red siempre es confusa y oculta, y utiliza el algoritmo de cifrado RSA.Nuwar es un buen ejemplo de una amenaza moderna que utiliza tecnologías avanzadas para infectar computadoras y mantenerse firme en los sistemas comprometidos por cualquier medio que sea necesario. Su estructura sofisticada y diversificada así como su mecanismo de auto actualización provocan que distintos componentes sean detectados bajo nombres muy diversos, incluso por el mismo producto antivirus.

12

Win32/PSW.QQRobEs un keylogger capaz de robar información sobre el usuario y la computadora infectada, incluyendo contraseñas, nombres de usuario y cualquier tipo de información confidencial ingresada en cualquier documento o sitio web desde el teclado. Otros eventos en eneroTambién en el mes de enero, el Global Islamic Media Front, la pantalla mediática de Al Qaeda, anunció la aparición del “primer programa informático islámico para intercambio seguro en Internet”. El hacker conocido como “LMH” y Kevin Finisterre explicaron en detalle lo que llamaron el “Mes de las Fallas de Apple” (http://projects.info-pull.com/moab/). El Servicio de Seguridad del Departamento de Defensa de los Estados Unidos rectificó su informe sobre las “monedas espía canadienses”: habían afirmado que los contratistas militares estadounidenses que viajaban por Canadá estaban siendo vigilados por medio de radiotransmisores diminutos insertados en monedas. Las personas empezaron a hablar sobre Julie Amero, una maestra de escuela de Connecticut llevada a juicio por no haber evitado la exposición de los alumnos a ventanas emergentes con imágenes pornográficas durante una clase.Microsoft sacó al mercado un producto llamado Vista, sobre el cual la Electronic Frontier Foundation (Fundación Fronteras Electrónicas) resaltó la existencia de ciertas restricciones preocupantes en el Acuerdo de Licencia de Usuario Final – http://www.eff.org/deeplinks/2007/01/microsofts-vista-read-fine-print.Randy Abrams, Director of Technical Education de ESET, participó en un debate sobre la coordinación de ataques zero-day en el curso dictado por Gadi Evron “Internet Security Operations and Intelligence II” (Operaciones de seguridad e inteligencia en Internet II), al que acudieron vendedores de soluciones de seguridad y de otras organizaciones, miembros del centro CERT, representantes del departamento de Defensa y del departamento de Seguridad Nacional de los Estados Unidos y especialistas en seguridad para hablar sobre cómo “arreglar” la seguridad en Internet.AV-Comparatives anunció que ESET NOD32 fue considerado el mejor producto antivirus del año 2006.

www.eset.com

13


1-866-343-ESET (3738)

Febrero

Imagen 4: Los diez programas maliciosos principales en febrero del 2007 Win32/Adware.Yisou Este programa, al parecer de origen asiático, muestra publicidades no solicitadas en ventanas emergentes con caracteres chinos. La aplicación Win32/Adware.Toolbar. SearchColours, que “emerge” en el resumen de marzo, es bastante similar. Win32/Genetik El rótulo Win32/Genetik se usa para designar todos los archivos detectados como maliciosos por la nueva técnica implementada en ESET NOD32. Esta técnica de detección usa la Heurística Avanzada para aprovechar el conocimiento acumulado durante años en nuestra base de datos de firmas genéricas.

Otros eventos en febreroTambién en el mes de febrero, una corte holandesa sentenció a dos hackers a prisión (aunque las sentencias fueron un poco cortas) por ofensas relacionadas al uso de botnets con varios propósitos criminales, mientras que un creador holandés de spam recibió una multa de 97.000 dólares por enviar más de 90 mil millones de mensajes de correo electrónico no solicitado. En Los Ángeles, Samy Kamkar recibió una sentencia de tres años de libertad condicional y 90 días de servicio comunitario por haber creado el Superworm, que usaba la red social MySpace para propagarse. Varios artículos de noticias especularon sobre la amplia difusión de los ataques de hackers chinos.Mientras tanto, estalló la controversia sobre el caso de Julie Amero: ¿era una corruptora de menores, una ignorante incapaz de encontrar el botón de encendido de la computadora o del monitor, o la víctima de la junta directiva de una escuela que intentaba cubrir su propia incompetencia y evadir un caso de prosecución sobre falsos testimonios?ESET NOD32 obtuvo su 42º premio VB100 en una evaluación comparativa de programas antivirus en Windows Vista, realizada por Virus Bulletin. El crítico John Hawes también señaló su “impresionante velocidad, como siempre”. En el mismo mes, ICSA labs certificó el producto bajo su Programa de Certificación de Soluciones Antivirus para Windows Vista.

14

Marzo

Imagen 5: Los diez programas maliciosos principales en marzo del 2007

Win32/Perlovga Perlovga es un programa muy simple que copia archivos a la carpeta %windir%, donde se replica a sí mismo como %windir%\xcopy.exe. También intenta copiar %windir%\autorun.inf a C:\autorun.inf y a veces se lo llama Trojan.CopySelf. Puede formar parte de una amenaza más importante.

Win32/TrojanDownloader.Agent.AWF Perlovga es un programa muy simple que copia archivos a la carpeta %windir%, donde se replica a sí mismo como %windir%\xcopy.exe. También intenta copiar %windir%\autorun.inf a C:\autorun.inf y a veces se lo llama Trojan.CopySelf. Puede formar parte de una amenaza más importante.

Otros eventos en marzoEl periódico británico Daily Mail expuso una posible vulnerabilidad en los nuevos pasaportes electrónicos de Reino Unido, mientras que el Home Office (el Ministerio del Interior británico) negó la posibilidad de falsificar un pasaporte nuevo por ningún medio. El periódico Washington Post informó que hubo que apagar 2.500 computadoras del gobierno de los Estados Unidos en el condado de Anne Arundel debido a una infección de Rinbot; se informó que Al Qaeda estaba formando un complot para desmoronar el acceso a Internet de Reino Unido bombardeando el centro de comunicaciones Telehouse en Londres; y una publicación del servicio de seguridad de Microsoft describió una vulnerabilidad en los cursores e íconos animados de Windows.En ESET, el cofundador Miroslav Trnka fue nombrado el Empresario del año 2006 por Ernst & Young, y se publicó un documento informativo sobre Análisis Heurístico escrito por Andrew Lee, Chief Research Officer de ESET, y David Harley, Reseach Author.

www.eset.com

15


1-866-343-ESET (3738)

Abril

Imagen 6: Los diez programas maliciosos principales en abril del 2007

Win32/TrojanDownloader.Ani.Gen Los archivos que ESET NOD32 identifica como Win32/TrojanDownloader.Ani.Gen son archivos maliciosos de iconos que intentan explotar una falla de seguridad en el editor de iconos animados de Windows (MS07-017: ver http://www.microsoft.com/technet/security/Bulletin/MS07-017.mspx y http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0038 ). Estos archivos pueden cargarse en un explorador con javascript. La falla de seguridad se ha utilizado considerablemente para descargar programas maliciosos adicionales en las computadoras de las víctimas. La actualización de seguridad de Microsoft correspondiente a abril del 2007 incluyó un parche para esta falla de seguridad. Entre los otros nombres por los que se conoce a esta amenaza se encuentran: Exploit.Win32.IMG-ANI y Trojan.Anicmoo.

Win32/Pacex.Gen El rótulo Pacex.gen en general designa archivos maliciosos que usan una capa específica de ofuscación, para pasar desapercibidos ante programas antivirus. Se descubrió que esta capa de ofuscación es utilizada mayormente por los troyanos que roban contraseñas.

Win32/Adware.Virtumonde Este programa frecuentemente denunciado, entra en la categoría de Programas potencialmente indeseados. Se usa para enviar publicidades a las computadoras de los usuarios y también puede ser identificado bajo el nombre Vundo.

Win32/Spy.VBStat.J Spy.VBStat es un troyano que roba información, se distribuye en formato DLL y muchas veces es instalado por otro programa malicioso. También puede ser identificado por el nombre InfoStealer.

16

Otros eventos en abrilEn su primera edición de abril, la cadena de noticias CNET anunció que el presidente Bush había firmado una medida donde decretaba que Vista es tan complejo que presenta una amenaza a la seguridad nacional; que la Corte Suprema había anulado la Ley de Moore; y que el departamento de Seguridad Nacional planificaba controlar a los estadounidenses con cámaras de video integradas en las computadoras personales, como medida antiterrorista.De vuelta en el mundo real, Kevin Poulsen, el hacker que se convirtió en periodista, mencionó en la revista Wired que Vista no incluye una versión del protocolo telnet, una herramienta de red primitiva y algo insegura que se ha usado durante los últimos 35 años. Tradicionalmente, los programas exploradores de Internet tenían soporte para telnet, ya que pasaban los pedidos de las conexiones de telnet a las aplicaciones clientes locales de telnet. Sin embargo, el programa que habilita el uso de telnet no se encuentra presente en Internet Explorer 7. (Si uno lo desea, se puede volver a habilitar. Por cierto, sigue presente en muchos sistemas que no funcionan con Windows.)También hubo denuncias de mensajes y vínculos a fotografías “calientes” de Britney Spears que resultaron ser explotadores de las vulnerabilidades de iconos animados de Windows mencionadas arriba. Apareció una prueba de concepto de un malware (cuyo único objetivo es demostrar lo que se puede llegar a hacer) que infectaba iPods con Linux. Alex Ionescu puso en circulación una prueba de concepto de un programa que deshabilita la protección de “procesos protegidos” en Vista, como una forma de explotar la gestión de derechos digitales de Vista para ocultar programas maliciosos. Joanna Rutkowska anunció que entre julio y agosto iba a demostrar cómo evadir las técnicas de antirootkits y BitLocker en Vista durante una convención de Black Hat. Abril también fue un buen mes para bromas, como el virus de la antorcha olímpica y un supuesto virus de telefonía celular que es letal para seres humanos, de circulación en Pakistán.ESET anunció la versión beta del programa ESET Smart Security, un producto que integra un motor antimalware excepcional con control de correo no deseado y un firewall personal.

www.eset.com

17


1-866-343-ESET (3738)

Mayo

Imagen 7: Los diez programas maliciosos principales en mayo del 2007

Otros eventos en mayoLa empresa española especialista en seguridad industrial Neutralbit anunció la existencia de problemas en el protocolo para control de procesos “OLE for Process Control” (OPC) que podrían indicar vulnerabilidades de explotación remota en sistemas SCADA (Control supervisor y adquisición de datos, según siglas en inglés) utilizados por estaciones de servicio, refinerías, etc. Dos hombres fueron sentenciados a servicio comunitario por poner dispositivos que funcionaban con pilas en Boston y Cambridge. Resultó ser un medio de promoción del canal Cartoon Network, pero en un principio, al ser descubiertos en puentes y estaciones de subterráneos, fueron tomados por bombas, lo que ocasionó graves obstaculizaciones de tráfico. Hubo una especulación constante de que los ataques de “ciberguerra” en Estonia se originaban en Rusia, que se encontraba en conflicto con Estonia.Verison adquirió Cybertrust, por lo que incidentalmente adquirió ICSAlabs, que se especializa en la certificación de productos de seguridad y también dirige la organización internacional Wildlist International Organization (http://www.wildlist.org). Esta organización constituye una fuerza mayor en el rastreo de programas maliciosos y su colección de muestras WildCore es un componente esencial en cualquier prueba de programas antivirus. En Reykiavik, Islandia, se llevó a cabo un taller internacional sobre la evaluación de programas antivirus, que reunió a los fabricantes antivirus y organizaciones relacionadas a las pruebas comparativas y certificaciones: Andrew Lee dio una presentación de gran aceptación sobre el momento para actualizar (Time to Update). ESET anunció su servicio de análisis gratuito en línea.

18

Junio

Imagen 8: Los diez programas maliciosos principales en junio de 2007

INF/Autorun Este rótulo se usa para describir una variedad de programas maliciosos que utilizan el archivo autorun.inf para instalarse o para liberar otros archivos en el sistema. El archivo autorun.inf contiene información sobre programas que se ejecutan automáticamente, como los CD o las memorias USB. Los programas maliciosos que instalan o modifican archivos en autorun.inf son detectados por ESET NOD32 con el nombre Autorun/INF. En la actualidad corresponde a un vector de amenazas muy extendido.

Win32/BHO.G BHO (a veces llamado Metajuan) es un troyano que roba información. Su nombre proviene de “Browser Helper Objects”, un módulo a veces usado por Internet Explorer. El troyano usa los objetos de ayuda para recopilar la información ingresada en campos de texto cuando se utiliza Internet Explorer para llenar formularios, además recopila las direcciones de los sitios web visitados. Se cree que existe una relación directa entre Adware.BHO.G, Adware.Virtumonde y el troyano BHO.G.

Otros eventos en junioSe le concedió un nuevo juicio a la ex maestra de Connecticut Julie Amero. Sin embargo, todavía no se llevó a cabo y se especula que el juicio nunca se hará: algunos creen que se dejará que el asunto vaya muriendo en forma inadvertida. Una broma sobre un tsunami en Indonesia generó que miles de personas huyeran de sus hogares en la costa: se especula que la broma fue iniciada por saqueadores. (Existen ciertas evidencias de que esto también ocurrió luego del Tsunami del océano Índico de 2004, que de por sí generó muchas bromas y estafas.) El departamento de Justicia de los Estados Unidos y el FBI informaron que habían identificado a más de un millón de víctimas de crímenes relacionados a botnets como parte de una iniciativa de entorpecer la Operación: Bot Roast, una operación para eliminar las botnets. Muchos de nosotros en particular disfrutamos el informe donde se explica que la iniciativa tenía el propósito de “desbaratar y desmantelar a los botherders”. (El término botherders se aplica comúnmente a

www.eset.com

19


1-866-343-ESET (3738)

las personas que administran las botnets maliciosas: a pesar de que existan argumentos para atraparlos, colgarlos y descuartizarlos, es improbable que hasta la corte estadounidense más cruel vaya tan lejos.) En un debate de una convención de Black Hat, Thomas Ptacek, Nate Lawson y Peter Ferrie desafiaron a Joanne Rutkowska a que probara que su tecnología conocida como el proyecto “Blue Pill” (la píldora azul) puede crear un rootkit 100% indetectable. Ella aceptó el desafío bajo una serie de condiciones: los retadores aceptaron cuatro de las condiciones, pero se resistieron a pagarle 384.000 dólares para convertir el prototipo de la “Blue Pill” en un rootkit de calidad comercial; en consecuencia, no se concretó la apuesta. (Para leer la historia completa ingrese a http://blogs.zdnet.com/security/?p=334.)El programa ESET NOD32 recibió una mención de cinco estrellas en el informe sobre herramientas para la detección de programas maliciosos de la revista SC Magazine.

20

Julio

Imagen 9: Los diez programas maliciosos principales en julio del 2007

Win32/Adware.Ezula Esta aplicación “probablemente indeseada” viene con el ícono de un programa de instalación común, pero al ejecutarlo no se muestra ningún mensaje para el usuario. La instalación se completa en forma oculta y no le ofrece al usuario ningún tipo de información sobre lo que se está instalando. Una vez instalado, descarga y ejecuta componentes adicionales desde un sitio web actualmente ubicado en las Filipinas. Ezula rastrea palabras clave de búsqueda que son enviadas por el usuario a una lista predefinida de sitios web y además muestra en forma intermitente mensajes de publicidades mientras el usuario navega por Internet. También se conoce este programa por otros nombres, como AdClicker-FK, Generic5.CF, TR/Agent.aoy.1 y Trj/Downloader.OZB.

Otros eventos en julioRichard Ford, profesor de investigación en el centro de seguridad de la información del Institute of Technology de Florida y ex editor de Virus Bulletin, evaluó “25 años de virus” (http://www.npr.org/templates/story/ story.php?storyld=11954260), tomando como punto de partida el virus “Elk Cloner” para Apple II. Nuwar (Storm Worm) fue el responsable de un vendaval de correos con tarjetas electrónicas falsas, lo que inspiró a Randy Abrams a dar una explicación sobre el motivo por el cual las tarjetas electrónicas y las invitaciones electrónicas son malas en un contexto inapropiado (http://www.eset.com/threat-center/blog/?p=76; http://www.eset.com/threat-center/blog /?p=77).ESET elaboró un informe minucioso sobre phishing y amenazas relacionadas, disponible en http://www.eset.com/download/whitepapers.php y anunció las versiones beta para sus líneas de productos para servidores Linux y FreeBSD.

www.eset.com

21


1-866-343-ESET (3738)

Agosto

Imagen 10: Los diez programas maliciosos principales en agosto del 2007

Win32/Obfuscated El rótulo “Obfuscated” se utiliza cono identificador genérico para designar a los programas maliciosos que usan códigos confusos o de ofuscación para ocultar sus funciones. El nombre se aplica a una gran variedad de programas maliciosos de Windows que se ocultan por técnicas de ofuscación como empaquetamiento, polimorfismo e inyección de código basura dentro del archivo infectado.

Win32/HackAV.G La familia de programas identificados como HackAV.G tienen como objetivo hacer modificaciones (cracks y hacks) utilizadas para promover la piratería de aplicaciones. Otros eventos en agostoComo mínimo, una vez por año llega alguien con una prueba comparativa para productos antivirus se pongan con los nervios de punta de los investigadores de soluciones contra programas maliciosos en todo el mundo. Este año fue el turno de Untangle, que ofrece una solución esencial de código abierto para puertas de enlace. No hay nada de malo en esto, el problema es que realizaron una prueba en el evento LinuxWorld donde cometieron casi todos los errores metodológicos básicos, como el uso de un muestrario demasiado pequeño, el empleo de muestras no válidas, el uso inapropiado de archivos libres de virus junto con las muestras y la evaluación basada en comparaciones no válidas. Randy Abrams comentó en http://www.este.com/threat-center/blog/?p=78 que “Hay que hacer lo posible para ser menos competente”, y Andrew Lee y David Harley procedieron a redactar un paper y una presentación para la conferencia AVAR (ver resumen de noviembre) donde usaron la prueba de Untangle y la prueba de Consumer Reports del año anterior como ejemplos de lo que no hay que hacer en una evaluación comparativa.Lee, Chief Research Officer de ESET, también fue uno de los contribuyentes principales del informe de Harley “AVIEN Malware Defense Guide for the Enterprise” (“La guía AVIEN de defensa contra códigos maliciosos en la empresa”), publicado este mes en los Estados Unidos por la editorial Syngress. (No es sorprendente el hecho de que Lee y Harvey hayan escrito un capítulo juntos sobre la evaluación y las pruebas de programas antivirus.) Mientras tanto, se habilitó al público el ESET Online Scanner.

22

Septiembre

Imagen 11: Los diez programas maliciosos principales en septiembre del 2007

Win32/PSW.Agent.NDPEste programa malicioso es un juego en línea que roba contraseñas. Al ejecutarse, se copia a sí mismo a la carpeta de archivos temporales del usuario y crea un DLL en la misma ubicación. Los archivos creados tienen nombres muy variados, que incluyen “rundl132.dll” y “iexpl0rer.exe”. Se crea una entrada de registro para ejecutar el programa cada vez que se reinicia el sistema. La información robada sobre contraseñas se envía a un servidor Web remoto a través del protocolo HTTP. Los juegos que contienen esta amenaza al parecer cambian según la variante del programa malicioso. Otros nombres para designarlo incluyen InfoStealer.Gamepass y PWStealer.

IRC/SdBotEl rótulo SdBot designa a una de las familias más grandes de códigos maliciosos. Las variantes del SdBot se usan para crear redes de equipos anfitriones infectados, también conocidos como redes de zombis o botnets. El mecanismo de comando y control utilizado por la mayoría de las variantes del SdBot es el protocolo de comunicación en tiempo real IRC (Internet Relay Chat). Como el código fuente de esta amenaza está disponible para cualquiera que lo descargue de Internet, muchos creadores de programas maliciosos han copiado el código para crear sus propias versiones. La mayoría de las versiones del SdBot se transmiten en objetos compartidos en red y explotan una gran variedad de vulnerabilidades conocidas de distintas aplicaciones. Los bots como SdBot constituyen una grave amenaza para la seguridad de la comunidad en línea. Por el alcance y la naturaleza altamente variable de esta amenaza, no suele llegar a estar entre las primeras amenazas de las listas como ThreatSense.Net®, ya que se basan en el grado de difusión de las amenazas. No obstante, si observan las listas mensuales de virus activos en el mundo real o WildLists (http://www.wildlist.org/WildList/), que no se basan en el grado de difusión, notarán que las variantes de Agobot, Sdbot, IRCbot y sus hermanos se encuentran bien arriba junto a los programas más antiguos (pero aún vigentes) que envían correo masivo.

Win32/Agent ESET NOD32 utiliza este rótulo en forma genérica para designar a una gama de códigos maliciosos que tiene, el propósito de robar información. Esta familia de programas maliciosos se copia a sí misma en ubicaciones temporales y agrega entradas en el registro para asegurar que el programa se ejecute cada vez que se inicia el sistema operativo.

www.eset.com

23


1-866-343-ESET (3738)

Otros eventos en septiembrePara la comunidad de investigación contra programas maliciosos, el evento principal de septiembre fue la conferencia organizada por Virus Bulletin, donde se reunieron varias de las mejores mentes de la investigación de códigos maliciosos en Viena para intercambiar ideas e información (http://www.virusbtn.com/conference/vb2007/VB2007report.pdf). Este año, ESET estuvo muy bien representado: Andrew Lee presentó un paper junto a David Harley titulado “Phish Phodder: is User Education Helping or Hindering?” (Carnada para phishing: ¿la educación del usuario ayuda o entorpece?). Randy Abrams y Pierre-Marc Bureau dieron una presentación donde demostraron que los programas antivirus no van a morir como muchos afirman, sino todo lo contrario. Como siempre, hubo muchas otras presentaciones y papers excelentes como el de Alex Shipp “El extraño caso de Julie Amero” y la presentación de Dmitry Alperovitch sobre los fraudes con correos no deseados. De todas formas, la semana previo, el stand de ESET en la exhibición InfoSecurity en Nueva York presenció un evento de firma de libros significativo cuando se hizo la presentación del libro “AVIEN Malware Defense Guide” (“La guía AVIEN de defensa contra códigos maliciosos”) – para el cual uno de los contribuyentes principales fue nuestro Chief Research Officer, Andrew Lee – y se formó un panel con Andrew y sus coautores David Harley, Ken Betchel y Robert Vibert, quienes respondieron a las preguntas de la audiencia. También contribuyeron en la creación del libro otros miembros distinguidos de AVIEN (http://www.avien.org) y AVIEWS (http://www.aviews.net).

24

Octubre

Imagen 12: Los diez programas maliciosos principales en octubre del 2007

Mac MalwareEn octubre observamos uno de los primeros ataques (además de algunos macro virus) que infectaban tanto a computadoras personales con Windows de Microsoft como a Macintosh de Apple con Mac OS X. El vector de infección de este ataque era un códec falso que sólo se hacía efectivo cuando se lograba engañar al usuario para que lo descargue y ejecute. Para más detalles sobre códecs falsos y técnicas de Ingeniería Social, lea el siguiente análisis sobre los engaños al usuario de la computadora para ejecutar los programas maliciosos.El ataque del programa malicioso que infectaba al sistema operativo Mac OS X era similar al W32/Zlob, pero mucho más rudimentario al compararlo con los avanzados códigos maliciosos para Windows. Estaba integrado por un paquete de instalación con formato dmg que funcionaba si el usuario lo seleccionaba y lo instalaba. El programa malicioso usaba una secuencia de comandos de instalación para cambiar elementos críticos de la configuración en el sistema de la víctima. El propósito de este programa malicioso era cambiar la configuración del DNS (Domain Name Server) y redirigir todas las peticiones hechas al DNS a un servidor de la organización del cibercrimen llamada Russian Business Network. Una vez que había logrado controlar la información del DNS, el atacante redirigía las peticiones a sitios web de bancos y comercios en línea para robar la información bancaria de las víctimas.David Harley señaló en su blog Securiteam en http://blogs.securiteam.com/index.php/ archives/1029 que las investigaciones informales de Roger Grimes sugieren que los programas maliciosos que funcionan con técnicas de Ingeniería Social (en este caso engañando a la víctima para que ejecute el programa malicioso) logran “mejores resultados” que los basados en la explotación de las vulnerabilidades de aplicaciones. También están quienes afirman que los usuarios de Mac son más inteligentes que los usuarios de Windows y por lo tanto no se dejan engañar por las técnicas de Ingeniería Social (lo curioso es que en general son las mismas personas que creen que los programas maliciosos de Windows se basan sólo en la explotación de vulnerabilidades y no en Ingeniería Social). Sin embargo, en este momento, los usuarios de Mac sin conocimientos particulares sobre seguridad pueden ser especialmente vulnerables si creen que sus sistemas son tan intrínsicamente seguros fuera de la caja que no necesitan saber ni hacer nada respecto a la seguridad. Harley también comentó: “Más allá de lo que suceda, y más allá de que esta sea la punta del iceberg donde los usuarios de Mac comienzan a sufrir como los usuarios de Windows, estoy convencido de que no es momento para discusiones desde ambos lados del abismo entre Mac y Windows. Éste es un momento para observar y aprender, y para buscar hechos en lugar de prejuicios”.

www.eset.com

25


1-866-343-ESET (3738)

Otros eventos en octubreEste mes, en el blog de ESET en http://www.eset.com/threat-center/blog/, Pierre-Marc Bureau reparó en cierto comportamiento interesante del W32/Nuwar, también conocido como el Storm Worm. Señaló que los primeros veinte minutos luego de una infección se usan para establecer comunicación con otros sistemas comprometidos y unirse a la red descentralizada. El Nuwar utiliza el protocolo de red entre pares (peer-to-peer) eMule, en lugar de los protocolos más comunes IRC ó HTTP: esta peculiaridad parece tener la intención de fortificar la botnet, ya que no hay un punto central desde donde apagar el sistema, por lo tanto no existe un punto único de falla. Cuando una computadora comprometida se conecta a la botnet, provoca volúmenes considerables de tráfico de red y realiza un mantenimiento de red a cada hora. La importancia de los picos resultantes en el tráfico de red es que les otorga a los administradores de red que están alerta una forma de controlar el impacto local de Nuwar y otros programas maliciosos similares. Como dice Pierre-Marc Bureau: “los creadores de este programa malicioso parecen haber elegido la confiabilidad por sobre el encubrimiento en la red. La industria de seguridad necesita prestar atención a las concesiones operacionales que hacen los atacantes. Estos intercambios pueden mostrar debilidades que nos ayudan a asegurar nuestra infraestructura”. Pierre-Marc también llamó nuestra atención el 31 de octubre por el hecho de que el Storm Worm se estaba sumando a los festejos y juegos del Día de Brujas haciéndose pasar por una aplicación de un esqueleto bailarín. ¿Qué mejor momento para ampliar la población de zombis? Como mencionamos más arriba, un nuevo troyano llegó al radar de Mac. Esta fue una de las más interesantes: estaba relacionada a una familia significativa de programas maliciosos para los usuarios de Windows, usaba un códec falso como vector de infección y, una vez instalado, redirigía las peticiones al DNS para lograr que las víctimas finalmente ingresaran a sitios web falsos de bancos y comercios en línea con la intención de robar la información de su cuenta.Convencer a los usuarios de computadoras de que necesitan descargar un códec especial para poder ver un video fue un vector muy popular en las infecciones del año 2007. Un códec es un componente de una aplicación que permite la compresión y descompresión de archivos de video para ocupar menos espacio en el disco. Con frecuencia, los usuarios eran redirigidos a sitios web que supuestamente contenían videos, donde se les informaba que necesitaban descargar e instalar un códec para poder visualizar el video en su computadora. La mayoría de los ataques de códecs falsos que hemos visto hasta ahora se han usado para infectar computadoras con la familia de programas maliciosos Zlob. La familia de troyanos Zlob descarga componentes adicionales luego de su instalación y le provee al atacante acceso completo a la computadora de la víctima. También se realizaron estafas con códecs falsos (tanto en Windows como en OS X) para distribuir programas que modifican la configuración del DNS del equipo anfitrión para redirigir las peticiones de sitios Web legítimos a sitios maliciosos, con el objetivo de robar información sensible o recopilar estadísticas de la navegación en Internet.Mientras tanto, ESET lanzó la versión definitiva de ESET Smart Security y la versión ESET NOD32 3.0.

26

Noviembre

Imagen 13: Los diez programas maliciosos principales en noviembre del 2007

Este mes no entró ningún malware novedoso en la lista de los diez principales.

Otros eventos en noviembreEl Servicio de Hacienda y Aduanas británico (HMRC) admitió haber perdido dos CD con los datos de 25 millones de familias beneficiarias del programa de ayuda a familias con niños menores, por lo que pueden verse expuestas a explotación fraudulenta. Los datos fueron enviados a la National Audit Office (NAO) a través de un canal inseguro, al parecer no estaban codificados y los registros incluían más datos sensibles que los solicitados en realidad por la NAO, ya que resultaba más económico dejar intactos los datos correspondientes a la información no deseada. Estos temas sugieren el incumplimiento de varios de los Principios de Protección de Datos establecidos por el Reino Unido y otras leyes europeas. En forma sucesiva, se reconoció que previamente la organización había tenido siete casos más de incumplimiento de este tipo desde el 2005.Cada año se realizan tres conferencias de seguridad a las que los investigadores de seguridad contra malware no suelen faltar. Lamentablemente, la conferencia EICAR para esta temporada de 2007 fue cancelada y ya hemos hecho referencia a la conferencia de septiembre de 2007 realizada por Virus Bulletin. A fines de noviembre, el tercer gran evento sobre seguridad correspondía a la conferencia AVAR (Asociación de Investigadores de Antivirus de Asia, según sus siglas en inglés) en Seúl. Esta conferencia fue particularmente interesante para todo el que haya seguido la evolución de las pruebas de productos antivirus y de las certificaciones, ya que hubo, a falta de uno, tres papers presentados sobre el tema, incluyendo uno escrito por nuestro propio experto Andrew Lee junto a David Harley. (Este dúo se está convirtiendo rápidamente en el Abbot y Costello dentro del ámbito de eventos sobre seguridad informática; ¿o deberíamos decir Morecambe y Wise porque son ingleses?) Además, el 22 de noviembre, Andrew y Pierre-Marc Bureau presentaron un paper sobre la evolución de los programas maliciosos, titulado “Du Défi au Profit” (“Bravado to Business: from hobbyist to malware for profit” “De fanfarrón a negociante: programas maliciosos como pasatiempo o por dinero”) en el evento organizado por Infosec en Paris.ESET lanzó las versiones Business Edition de ESET Smart Security y ESET NOD32 3.0, así como la versión pública de la protección de seguridad para Linux/FreeBSD en empresas y entornos de red de PYME.

www.eset.com

27


1-866-343-ESET (3738)

Diciembre

Imagen 14: Los diez programas maliciosos principales en diciembre de 2007

W32/VirutVirut es un virus polimórfico que modifica archivos ejecutables bajo el sistema operativo Windows. Como tiene la capacidad de infectar archivos ejecutables, se propaga a través de redes compartidas y medios de almacenamiento portátiles. Este programa malicioso también se distribuyó por intermedio de sitios web maliciosos. El objetivo de Virut es instalar un programa de puerta trasera (backdoor) que se conecte al servidor IRC. Aunque Virut no llegó a estar entre los diez programas maliciosos principales del mes, incluimos esta nota sobre él porque prevaleció lo suficiente como para ser mencionado en la prueba de Virus Bulletin, a la que hacemos referencia más abajo, y generó dificultades significativas de detección para muchos programas antivirus (¡no para ESET NOD32!). Otros eventos en diciembreEn el mundo hubo denuncias sobre un chatbot ruso que seduce a sus víctimas para extraerles información confidencial mediante engaños. Habrá que ver si el “Ciberlover” llegará a tener alcance internacional, pero los geeks de la ciencia informática de inmediato comenzaron a hablar extasiados de recuerdos nostálgicos sobre la Prueba de Turing y “el juego de la imitación” citado por Alan Turing en su paper sobre inteligencia artificial de 1950 titulado “Computer Machinery and Intelligence” (http://loebner.net/Prizef/TuringArticle.html), y sobre un programa informático llamado Liza que una vez logró mantenerse en pie durante una conversación sobre Dios que duró 1½ hora. Sin embargo, este bot ruso parece haber dominado el arte de la cita rápida, ya que logra conseguir hasta diez parejas en una hora, mientras recopila información personal, como los datos del contacto y fotografías.Quizá no sea tan sorprendente que este mes Gartner haya informado que la cantidad de víctimas de ataques de phishing aumentó 40% en el efa2007. El Internet Storm Center (http://isc.sans.org), un proyecto que controla los códigos maliciosos en Internet, resaltó el constante problema de las publicidades maliciosas (también llamadas malvertising), por medio de las cuales se engaña a las víctimas para que descarguen programas indeseados o maliciosos a través de publicidades y redes sociales. Al parecer, el vector más difundido son los archivos SWF creados por el programa Flash de Adobe que incluyen códigos maliciosos desarrollados con el lenguaje de Flash ActionScript: Adobe respondió sacando un parche importante que soluciona varias vulnerabilidades de Flash de distintos niveles

28

de gravedad. El sitio Business Intelligence Lowdown publicó una lista de los diez virus, troyanos y gusanos más graciosos. Como en la lista se incluyeron programas que infectaban archivos de imagen y sonido en los sistemas de usuarios, que dejaban los teléfonos móviles inteligentes “prácticamente inservibles”, que eliminaban archivos al azar y que publicaban documentos de Word “confidenciales y personales” en el grupo de noticias Usenet, la elección del adjetivo “gracioso” suena bastante bizarro. Una vez más, los creadores del Storm Worm aprovecharon la temporada de fiestas enviando tarjetas electrónicas falsas con motivo de Navidad y Año Nuevo. Hemos visto muchos miles de variantes bien definidas del programa para Navidad y Año Nuevo, con modificaciones y actualizaciones diarias. La revista Forbes (http://www.forbes.com/technology/2007/12/20/apple-army-hackers-tech-security-cx_ag_1221army.html) informó que el Ejército de los Estados Unidos estaba comprando grandes cantidades de servidores Xserve de Apple para sus centros de datos. El sitio The Register predijo un estrépito ensordecedor de teclados Apple cuando las ciberfuerzas militares chinas, ente otras, comiencen a indagar para detectar posibles vulnerabilidades en los sistemas (http://www.theregister.co.uk/2007/12/31/us_army_mac_attack/). El nuevo blog técnico de seguridad de Microsoft Security Vulnerability and Defense ofreció información más detallada sobre sus actualizaciones de seguridad y las vulnerabilidades a las que corresponden. Ontrack, una empresa especialista en recuperación de datos, informó que en su lista de las historias más desastrosas de pérdida de datos no aparecían temas relacionados a malware, pero sí hubo muchas computadoras, dispositivos USB y discos rígidos maltratados físicamente, entre los que se encontraba una computadora embebida en repelente para insectos, una computadora portátil que tuvo que ser “pescada” del fondo de un lago, un dispositivo USB que logró escabullirse en un lavarropas y un disco rígido que “chirriaba” y fue “reparado” por su dueño, que lo perforó con un torno y lo llenó de aceite (http://www.ontrackdatarecovery.co.uk/data-disaster-2007/). ESET NOD32 obtuvo su 47º premio VB100 en una evaluación comparativa de programas antivirus en Windows 2000, realizada por Virus Bulletin. Este resultado nos permitió seguir siendo los primeros por un gran margen de diferencia, ya que varios programas antivirus de la competencia fracasaron por haber detectado Falsos Positivos o por haber pasado por alto muestras del virus polimórfico W32/Virut, que infecta archivos. Respecto al rendimiento de ESET NOD32 en la evaluación, Virus Bulletin anunció “como se esperaba, realizó la prueba a una velocidad increíble y obtuvo resultados excelentes, al igual que siempre”.

www.eset.com

29


1-866-343-ESET (3738)

Más códigos maliciosos de interésLos códigos maliciosos mencionados anteriormente son simplemente una pequeña fracción de los datos emitidos en el 2007 por ThreatSense.Net® y por otras fuentes y recursos. A continuación, exponemos algunos ejemplos más que fueron denunciados en cantidades significativas. No obstante, hay que tener en cuenta que es imposible obtener estadísticas exactas universales sobre el predominio de programas maliciosos. Lamentablemente, no existe un parquímetro informático que lleve la cuenta de todo el tráfico malicioso, por lo tanto todas las estadísticas representan una imagen parcial que llega a través de una pequeña ventana, no es la imagen completa.

VBS/Butsur.AEl VBS/Butsur.A es un gusano escrito en Visual Basic que se copia a sí mismo a la carpeta %windir% con el nombre Bha.dll.vbs: también modifica el registro y se replica en dispositivos de almacenamiento portátiles y unidades compartidas, usando el archivo autorun.inf para cargarse en otros sistemas.

Win32/Saburex.AEs un virus que infecta archivos y se distribuye a través del correo electrónico, redes P2P y otros vectores de infección. Libera archivos .DLL en la carpeta %windir% y busca archivos .EXE para infectar.

Win32/Sohanad.NAFSohanad es un gusano que se propaga a través de la mensajería instantánea por Internet: sus variantes utilizan el Yahoo! Messenger, AOL Instant Messenger, Windows Live Messenger, etc. Muestra una gran variedad de mensajes que cumplen el papel de “anzuelos” para lograr que el destinatario los abra.

Win32/Qhost Este troyano está presente en páginas web, cuyas direcciones URL se distribuyen en spam a víctimas potenciales. Si se ingresa a ellas, ejecuta un código para redirigir a las víctimas a un servidor DNS diferente.

Win32/AHKHeap.AEste gusano utiliza secuencias de comandos de AutoHotKey para propagarse a través de unidades de almacenamiento portátiles como las memorias USB, usando un archivo Autorun.inf con los atributos System (sistema) y Hidden (oculto). Los programas maliciosos que usan la función autorun (ejecución automática) para infectar desde unidades portátiles, CD, etc, fueron muy populares durante 2007. Los siguientes blogs sobre este tema valen la pena leer: http://blogs.technet.com/steriley/archive/2007/09/22/autorun-good-for-you.aspx; http://www.eset.com/threat-center/blog/?p=94.

Win32/TrojanDownloader.SwizzorEste troyano es un programa de descarga que instala un objeto de ayuda “Browser Helper Object” para Internet Explorer, con el fin de usarlo como programa espía o de publicidades. Nos llegaron muchas denuncias de este troyano durante el primer semestre del 2007. Se instala en forma oculta desde ciertos sitios web maliciosos y puede propagarse en los correos electrónicos no deseados. Se crea usando una rutina de auto generación, lo que significa que cada vez que se descarga, para el antivirus se verá como una aplicación diferente. ESET desarrolló una solución para esta amenaza al poco tiempo de su aparición usando una firma genérica que no es fácil de engañar confundiéndola con pequeñas variaciones del troyano.

Win32/TrojanClicker.Small.KJEl Win32/TrojanClicker.Small.KJ es un miembro de la conocida familia de troyanos que intenta descargar y ejecutar otros archivos ejecutables de Internet, permitiéndole al atacante remoto obtener acceso no autorizado a los sistemas infectados.

30

ConclusiónEntonces, ¿qué hemos aprendido en este rápido recorrido por el año 2007? Aprendimos que al mundo en línea no le faltan aplicaciones maliciosas ni tampoco tonterías sobre el tema de la seguridad, sin duda. Es cierto que la mayoría de nosotros ya somos concientes de que el panorama de amenazas involucra mucho más que virus y gusanos: hay spyware, troyanos, phishing y una gran variedad de otras formas de correos no deseados y de estafas; todos ellos son amenazas con las que debe lidiar un producto sofisticado y actualizado de seguridad informática.Quizás usted se haya sorprendido al notar que los tipos de programas maliciosos más antiguos, por ejemplo, las aplicaciones que envían mensajes masivos por correo electrónico, siguen circulando en grandes cantidades. No se deje engañar por el hecho de que las diez amenazas principales tienden a incluir entre 15% y 25% de las detecciones totales. Existen muchas otras amenazas activas en el mundo real, a pesar de que no hay una forma única y autoritaria para contabilizarlas – pero piense que son “montones de amenazas”. También tenga en cuenta que, como nuestra lista de las diez detecciones principales por lo general incluye firmas genéricas y detecciones heurísticas de programas maliciosos completamente nuevos, en realidad pueden transformarse en cientos o miles de variantes y subvariantes, si hubiera alguien con tiempo disponible para llevar a cabo ese tipo de análisis. Sin embargo, si usted ya es cliente de ESET, probablemente no se sorprenda por el hecho de que nuestros productos detecten una cantidad tan grande de programas maliciosos en forma genérica y proactiva en lugar de firmas para variantes y subvariantes específicas. De hecho, muchas de las detecciones registradas por ThreatSense.Net® dan una idea muy escasa sobre qué tipo de programa malicioso ha detectado exactamente. La razón es que nosotros creemos que la prioridad principal consiste en detectar las aplicaciones maliciosas antes de que encuentren la oportunidad de arraigarse en el sistema y no después de que fueron analizadas y categorizadas. Sin duda, la detección de amenazas conocidas sigue teniendo una importancia vital, en particular si algo serio logró aferrarse en el sistema porque entonces puede resultar muy difícil limpiar la infección cuando no se sabe con exactitud de qué tipo de infección se trata. Por eso es tan importante que ThreatSense.Net® recoja información sobre nuevos códigos maliciosos y la envíe a nuestros Laboratorios de Investigación de Amenazas. Hoy en día se escuchan muchos comentarios sobre “la muerte inminente de los programas antivirus” y la llegada de la detección basada en firmas digitales. Por supuesto, en ESET creemos que la detección por firmas digitales no está lo suficientemente cerca y que la creación de más técnicas proactivas es de importancia crítica. Por eso invertimos tanta cantidad de recursos en investigación y desarrollo para mejorar nuestra heurística. Sin embrago, en muchas ocasiones, únicamente la identificación exacta o casi exacta de programas maliciosos conocidos es suficiente para desinfectar un sistema correctamente. A continuación, mostramos algunas predicciones para el 2008:

Habrá más pruebas comparativas de productos antimalware mal planteadas y cientos de amateurs en • seguridad afirmarán haber demostrado que la industria de seguridad antivirus es, en el mejor de los casos, incompetente y probablemente hasta criminal.Otro individuo afirmará que los programas antivirus ya están muertos y enterrados porque “sólo detectan virus • conocidos” y porque fueron reemplazados por la panacea más reciente (probablemente las listas blancas).Los servicios de seguridad y defensa de todo el mundo seguirán perdiendo computadoras portátiles que • contienen información confidencial.Las botnets seguirán prosperando y diversificándose.• Se enviarán más cantidad de correos electrónicos no solicitados, incluso que en 2007.• Las tecnologías colaborativas web 2.0, los mundos virtuales como Second Life y los sitios de redes y recursos • sociales como FaceBook atraerán cada vez más la atención de los “malos” y, en consecuencia, de los investigadores de seguridad que necesitan controlar las amenazas nuevas y las que están por llegar.ESET continuará ofreciendo a sus clientes protección proactiva de última generación•

www.eset.com

31


1-866-343-ESET (3738)

Recursos y lecturas complementariasAnti-Phishing Working Group (APWG): • http://www.antiphishing.orgAntiSpyware Coalition (ASC): • http://www.antispywarecoalition.org AVAR (The Association of Anti-Virus Asia Researchers) • http://www.aavar.org AVIEN (Anti-Virus Information Exchange Network): • http://www.avien.orgAVIEWS(Anti-Virus Information & Early Warning System): http://www.aviews.net • Botnets: the Killer Web App: Craig Schiller, Jim Binkley et al, Syngress 2007• Definiciones de malware: • http://www.eset.com/threat-center/threats.php EICAR, The European Institute of Computer Anti-Virus Research, • http://www.eicar.orgESET Online Scanner gratuito: • http://www.eset.com/onlinescan/index.phpESET Threat Center blog: • http://www.eset.com/threat-center/blog/index.phpESET Threat Encyclopedia: • http://www.eset.com/threat-center/encyclopedia.php Más información sobre ESET Smart Security: • http://www.eset.com/download/whitepapers/ESSwhitePaper20071214.pdf; http://www.eset.com/smartsecurity/index.phpMás información sobre el análisis heurístico: • http://www.eset.com/download/whitepapers/HeurAnalysis(Mar2007)Online.pdfMás información acerca de rootkits: • http://www.eset.com/download/whitepapers/Whitepaper-Rootkit_Root_Of_All_Evil.pdfOtros documentos informativos: http://www.eset.com/download/whitepapers.php • SANS Internet Storm Center: • http://isc.sans.org The Art of Computer Virus Research and Defense: Peter Szor, Addison-Wesley, 2005.• The AVIEN Malware Defense Guide for the Enterprise: David Harley et al, Syngress, 2007• Virus Bulletin: • http://www.virusbtn.comWildList Organization International: • http://www.wildlist.org

32

GlosarioBlackhat (o cracker), whitehat, greyhat

Blackhat (o cracker): Es el individuo que se dedica a realizar actividades inequívocamente maliciosas (intrusión; hacking o cracking no autorizado; creación, diseminación o explotación de programas con códigos maliciosos; actividades criminales como el fraude o la extorsión).Whitehat: Es el individuo, en particular un profesional de seguridad informática, que se dedica a defender a toda la comunidad o a su propia organización o grupo de interés de las actividades llevadas a cabo por los crackers.Greyhat: Es el individuo cuya motivación puede ser similar a la del investigador whitehat, pero que emplea métodos que se acercan más a los utilizados por los crackers. La clasificación de estos tres grupos por colores de sombreros (que en español sería: sombrero negro, sombrero blanco y sombrero gris, respectivamente) no es tan simple y proviene de las tradicionales películas western, tan categóricas como esta clasificación, donde los bandidos siempre usaban un sombrero negro y el héroe, un sombrero blanco de vaquero.

Bot, Botnet, botmaster Bot: En el contexto de la seguridad moderna, en general se aplica a un programa de una serie de códigos maliciosos utilizados para comprometer un sistema y luego asimilarlo a una red de sistemas infectados (botnet) bajo el control de un administrador o botherder. Botherder, botmaster, botmeister: Es el individuo que administra la botnet con diversos propósitos criminales o maliciosos, como la distribución de correo electrónico no deseado, la distribución de programas maliciosos y la organización de ataques de denegación de servicio distribuido.Botnet: Es la red de sistemas comprometidos o infectados, que se encuentra bajo el control de un administrador o botmaster.

Codec La palabra códec proviene de la forma abreviada de compresión/descompresión (en inglés compression/decompression). Es una tecnología diseñada para reducir el tamaño de una señal (por lo general de audio o video) con el objetivo de ahorrar espacio en disco y reducir el tiempo de transferencia a través de una red.

DoS (ataque de denegación de servicio), DDoS (ataque de denegación de servicio distribuido)

DoS: (siglas provenientes del inglés “Denial of Service”) ataque de denegación de servicio: es un intento de afectar el funcionamiento normal de un sistema. Con frecuencia se asocia a la extorsión: el criminal amenaza con provocar que el equipo deje de funcionar para que la empresa de la víctima no pueda continuar con sus actividades normales.DDoS: (siglas provenientes del inglés “Distributed Denial of Service”) ataque de denegación de servicio distribuido: es un ataque DoS amplificado, ya que se lleva a cabo a través de una red completa de sistemas comprometidos, por lo general a través de una botnet.

Identificación exacta Es el reconocimiento de un malware cuando cada una de las secciones de sus partes no modificables es identificada en forma precisa. La identificación “casi exacta” es el término que se utiliza cuando la detección es lo suficientemente convincente para asegurar que la eliminación del código malicioso no generará daños en el equipo anfitrión si se usa un método de desinfección inapropiado. En este caso, no se identifican en forma única todas las secciones no modificables del malware.

www.eset.com

33


1-866-343-ESET (3738)

Genérico En los programas antimalware, el término se refiere a la detección o el bloqueo de una amenaza basándose en la clase de amenaza y no en la variante específica. Antónimo de “específico”.

Firma genérica En la detección de programas maliciosos, es un término conveniente pero de uso no muy difundido que describe una definición o firma de virus que se generalizó con el objetivo de detectar una familia de virus o variantes en lugar de detectar una sola variante única. Es similar (aunque no igual) a la distinción que se hace entre “identificación exacta” e “identificación casi exacta”, ya que la identificación casi exacta por lo general se asocia a la desinfección genérica.

Heurística Es un término abarcador aplicado a una serie de técnicas para la detección de programas maliciosos y variantes aún desconocidos. Es el reconocimiento de un objeto que posee la suficiente cantidad de características de programas maliciosos como para sugerir que probablemente se trate de un virus u otro tipo de malware. Como se suele usar en el contexto de la detección de programas maliciosos y de correo no deseado, incluye un sistema de asignación de puntos dependiendo de las características y comportamientos maliciosos que presente el objeto analizado, que indicarán el grado de probabilidad de que sea malicioso.

Keylogger Es una forma de spyware o troyano que graba cada pulsación del teclado que hace un usuario sin su conocimiento y envía la información recopilada a criminales, administradores de botnets, etc. Un programa que roba contraseñas en general es un keylogger programado para buscar específicamente nombres de cuentas y contraseñas.

Malware específico Antónimo de “genérico”. Es la detección e identificación por nombre de un programa malicioso particular o una de sus variantes o subvariantes, en lugar de suponer que es un miembro de una clase o familia de programas maliciosos. Es la detección de programas maliciosos conocidos usando cadenas de códigos específicas de dichos programas maliciosos o variantes.

OS X Es el sistema operativo actual de Macintosh. Está basado en Unix BSD pero con una interfaz que continúa la larga trayectoria de la “apariencia” muy fácil de usar de Mac además de proveer acceso a una línea de comandos UNIX más convencional. Las distintas versiones de revisión y actualización del sistema operativo OS X llevan tradicionalmente el nombre de felinos en inglés, por eso la última versión es “Leopard” (OS X 10.5.x) y la versión anterior fue “Tiger”.

Rootkit Es una tecnología usada mayormente en programas maliciosos que les permite permanecer ocultos ante el sistema y el usuario. El rootkit le permite al intruso mantenerse firme en un sistema y explotarlo sin ser descubierto. Una definición más formal de rootkit sería la siguiente: una forma de herramienta instalada en un sistema comprometido con el objetivo de:

mantener el acceso privilegiado y el control del sistema;• permitirle al individuo y/o programa que utilice el acceso mencionado de la • forma que desee;ocultarse o restringir el acceso a determinados objetos o procesos, como:•

Procesos —

Hilos de ejecución —

Archivos —

Carpetas / Directorios / Subdirectorios —

Entradas de registro —

Referencias a objetos —

Puertos abiertos —

34

Pump and Dump (Hype and Dump)

Es una forma de fraude bursátil por medio de la cual el valor de las acciones se infla artificialmente para que los especuladores deshonestos obtengan ganancias al venderlas a un precio más elevado que el real. Les da buen resultado a los estafadores, pero no a la empresa (generalmente pequeña) o a las víctimas de estas estafas, cuya satisfacción por el incremento del precio se ve luego compensada con grandes pérdidas una vez que el estafador termina de vender sus acciones y deja de promocionar la empresa.

Análisis basado en firmas Es la búsqueda de la presencia de un malware mediante la comparación con una secuencia de bytes más o menos estática. De hecho, incluso los programas antivirus básicos utilizan técnicas más complejas y efectivas hoy en día, entre las que se encuentran el uso de algoritmos, comodines (wildcards), etc. En general, el término “firmas” es despreciado en el área de la investigación de antivirus porque presenta esta ambigüedad, aunque quizá sea demasiado tarde erradicarlo del uso popular y mediático (y del uso equivocado). No obstante, se sigue utilizando en la detección de intrusiones de rutina. Las firmas siguen siendo sinónimos de “secuencias de análisis”, aunque muchas veces lleve a las personas a creer que existe una secuencia única de bytes usada por todos los programas antivirus para reconocer cada virus o variante.

Ingeniería Social Es el término aplicado a una amplia gama de técnicas por medio de las cuales se provoca un cambio de comportamiento deseado en un individuo o en un grupo de individuos, o se saca provecho de ellos a través de la manipulación psicológica. El término proviene de las ciencias sociales, donde no tiene necesariamente una connotación negativa, pero al usarlo en el contexto de la seguridad informática implica casi sin excepción algún tipo de engaño, maldad o fraude.

Spyware Es un término bastante genérico para designar una gama de programas maliciosos como keyloggers (registradores de pulsaciones del teclado), troyanos de acceso remoto (RAT, según siglas en inglés), troyanos de puerta trasera, entre otros. Los programas maliciosos usados para llevar a cabo actividades realmente criminales como la falsificación (o phishing) también puede encontrarse bajo de nombre de crimeware.

Stealth (oculto), Stealthware, Stealthkit

Stealth: del inglés, oculto, furtivo. El uso de esta palabra en seguridad informática proviene de las tecnologías furtivas usadas por los militares en “aviones furtivos” (stealth aircrafts) y de otros términos relacionados a estrategias de ocultamiento. Stealthware: Programas (generalmente maliciosos) que utilizan diversas técnicas para permanecer ocultos.Stealthkit: Un grupo de herramientas (en general maliciosas) similares a un rootkit, pero que no involucran necesariamente la explotación del sistema para obtener privilegios elevados ni para mantenerse firmes en el sistema. En otras palabras, tiene la intención de esconderse, pero no necesariamente para explotar los privilegios del sistema en el nivel del administrador.

Zombi In botnet terminology, a zombie is a system (usually a PC) which has been compromised by a bot of some sort, incorporated into a botnet, and at least partly under the control of a remote attacker (the botmaster). To zombify is to compromise a system so that it becomes a zombie.

www.eset.com

35


1-866-343-ESET (3738)

Acerca de ESETFundada en 1992, ESET es proveedor mundial de programas de seguridad para la empresa y el hogar. El premiado sistema antivirus ESET NOD32 provee protección en tiempo real contra virus, spyware, rootkits y otros códigos maliciosos conocidos y desconocidos. ESET NOD32 Antivirus ofrece la protección más avanzada del mercado, además de ser el programa más liviano y rápido, con más premios de Virus Bulletin que cualquier otro producto antivirus. La empresa fue incluida en el Deloitte’s Technology Fast 500 cinco años seguidos y cuenta con una extensa red de Partners, incluyendo empresas como Canon, Dell y Microsoft. ESET tiene sus oficinas centrales en Bratislava, Eslovaquia y oficinas en Bristol, Reino Unido; Buenos Aires, Argentina; Praga, República Checa y San Diego, Estados Unidos, y cuenta con representación mundial en más de 110 países. Para mayor información, visite http://www.eset-la.com

Acerca de ESET NOD32 Antivirus y ESET Smart SecurityESET NOD32 Antivirus no es un simple antivirus: es un sistema integrado contra amenazas que protege los equipos de ataques de virus, spyware, adware, troyanos, gusanos y phishing. La tecnología proactiva ThreatSense® detiene 80% de las amenazas zero-day incluso antes de que sean liberadas en el sistema. El motor unificado ThreatSense® le confiere la mejor detección, el análisis más veloz y el menor impacto en el rendimiento del sistema de todas las soluciones antivirus y antispyware existentes. ESET NOD32 Antivirus es flexible y configurable, tiene administración centralizada y diversas funciones para la emisión de informes. La amplia plataforma del producto protege equipos con Windows, Linux, Novell y MS DOS. ESET Smart Security fue desarrollado sobre esta misma plataforma para ofrecer, además de todo lo mencionado, detección y control del spam y un firewall personal. Las versiones Business Edition de ESET NOD32 Antivirus y ESET Smart Security también incorporan la administración remota, un “mirror” para la replicación de archivos de actualización y su distribución en una red de área local, y la posibilidad de instalar el producto en servidores.Para consultar una lista completa y detallada de los productos ESET, ingrese a http://www.eset-la.com/products/

Acerca de ThreatSense®ThreatSense® es el motor unificado contra amenazas que da vida a ESET NOD32 Antivirus y ESET Smart Security. Combina la mejor Heurística Avanzada de la industria con las firmas genéricas para brindar una protección íntegra superior. Las actualizaciones dinámicas para ambas tecnologías son automáticas y gratuitas para todos los clientes actuales. El programa instalado en el sistema del cliente se conecta con el Laboratorio de Investigación de Amenazas en eset.com cada hora para verificar si hay nuevas actualizaciones.

www.eset.com

610 West Ash Street • Suite 1900 • San Diego • California 92101 • U.S.A.866-343-ESET

© 2007 ESET, LLC. All rights reserved. Trademarks used herein are trademarks or registered trademarks of ESET, sro & ESET, LLC. All other names and brands are registered trademarks of their respective companies.

GTRWC20080110

Informe General de Amenazas 2007 - eset-la.com · resumen siguen centralizándose en el malware;...

Documents

Transcript of Informe General de Amenazas 2007 - eset-la.com · resumen siguen centralizándose en el malware;...