Malware caducado


En la época de los virus para DOS los especímenes se mantenían activos durante años. Hoy día el malware no suele ser autosuficiente, sino que depende de una infraestructura basada en servidores en Internet con los que se comunica. Cuando esa infraestructura es desactivada, el malware ya no es útil para sus propósitos.





Los que somos menos jóvenes (o más viejos) recordaremos a virus como
Viernes 13, Brain, Ping-Pong, Barrotes, etc. Además de por ser los
primeros con los que nos topamos, perduran en nuestra memoria porque
estuvieron con nosotros mucho tiempo.

Cuando los virus eran virus, es decir, cuando se autoreplicaban de
archivo en archivo o de disco en disco, las epidemias eran más
similares a la de los virus biológicos. Un virus aparecía en una zona
geográfica concreta, por ejemplo en una universidad, y su área de
influencia iba propagándose de forma lenta a través de los usuarios
que compartían disquetes y archivos infectados. Tenía que transcurrir
varios meses para llegar a ser una epidemia de ámbito internacional.

No había forma de erradicarlos completamente. El virus era
autosuficiente, así que en cualquier momento y lugar podía aparecer
un nuevo brote si los ordenadores que tenían contacto con el virus no
contaban con un antivirus actualizado.

Con la explosión de Internet aparecieron los gusanos de propagación
masiva por correo electrónico. La distribución de éstos era mucho más
explosiva, en apenas unas horas podían dar la vuelta al mundo y llegar
a cientos de miles de sistemas. También perduraban en el tiempo,
algunas variantes de Netsky han dado la lata durante muchos meses en
los Tops de clasificación de malware.

Ahora que vivimos la época de los troyanos con fines lucrativos, nos
topamos con un malware mucho menos perenne, de usar y tirar, que
necesita reciclarse constantemente con nuevas variantes, y que da
lugar a gran cantidad de especímenes caducados.

Por un lado tenemos que los troyanos no son autosuficientes en su
distribución/replicación, a diferencia de los virus y gusanos que ellos
mismos se encargan de llegar a otros PCs. Hoy día los troyanos se
distribuyen en alguna campaña puntual de spam, o a través de la web.
Pasado ese primer envío masivo y manual, o desactivada la web desde
la que se distribuye, esa variante del troyano es probable que nunca
más vuelva a distribuirse.

Además, los propios troyanos suelen tener una dependencia de
infraestructura externa. Imaginemos un troyano "downloader" que se
encarga de descargar otros componentes. En el momento que se desactiva
el servidor desde donde realiza las descargas, ya no podrá llevar a
cabo su acción.

Pensemos ahora en el autor del troyano Gpcode. Lo distribuye a través
de spam. En las máquinas que se ejecuta, el troyano cifra los
archivos sensibles del ordenador (documentos, imágenes, y un largo
etcétera de extensiones), y pide un rescate al usuario para descifrar
y volver a recuperar esos archivos. La forma de contacto es una
dirección de e-mail en un servidor de correo público de Rusia. Cuando
las autoridades consiguen que el proveedor del servicio de correo
desactive esa dirección de e-mail, esa versión del troyano será
inútil para el autor ya que no puede ponerse en contacto con sus
víctimas para llevar a cabo el chantaje y, por tanto, no volverá a
utilizarla ni distribuirla. Deberá crear una nueva versión.

Situaciones similares se pueden dar con muchos otros tipos de
troyanos, por ejemplo, un malware dedicado a hacer pharming local para
redirigir a los usuarios infectados a páginas de phishing cuando
visiten determinados bancos. Lo que hace el troyano es modificar el
archivo hosts de Windows para redirigir los dominios de un determinado
banco a la IP del servidor web que hospeda las páginas falsas. Cuando
el banco tiene conocimiento de este tipo de fraude inicia una
actuación para desactivar las páginas de phishing. En el momento que
lo logra, que suele ser cuestión de horas, a lo sumo días, el troyano
será inútil, nunca más se distribuirá de nuevo. El autor se verá
obligado a crear nuevas versiones.

Un ejemplo de este último caso puede verse en:
http://blog.hispasec.com/laboratorio/232

La realidad es que un porcentaje del malware específico que detecta
un antivirus ya está "fuera de mercado", no nos afectará. Si los
antivirus deben detectar ese "malware caducado" es una cuestión que
no sólo depende de ellos, ya que las evaluaciones antivirus actuales
fomentan lo contrario: que se detecte de todo, incluso muestras que
no son dañinas. Si los antivirus tienen problemas para diferenciar
el malware, del grayware y el goodware, los evaluadores y
comparativas antivirus sencillamente no saben.

Al ritmo actual del crecimiento del número de variantes, el mantener
firmas de detección de todo el malware histórico podría dar lugar a
algunos problemas de tamaño/rendimiento. Hace ahora algo más de 4
años denominé el problema como "efecto ZOO", en la noticia
http://www.hispasec.com/unaaldia/1562

Entonces el problema del tamaño de firmas parecía no preocupar a los
desarrolladores antivirus, ya que el principal cuello de botella es
el acceso a los archivos a analizar.

Hoy día sigue siendo manejable, al menos en cuanto a volumen que no
a estrategia, pero la curva de crecimiento sigue imparable y amenaza
con pasar a medio plazo de la necesidad de reconocer 20.000 muestras
hace unos años a 2 millones. ¿Seguimos anclados como las comparativas
pidiendo que los antivirus detecten de todo aunque no nos afecte?
¿O pedimos antivirus modernos adaptados a una realidad diferente?


Fuente:
Bernardo Quintero
http://www.hispasec.com



Otras noticias de interés:

Microsoft Message Queuing Remote Overflow Universal Exploit
Vulnerabilidad que en forma remota permite la ejecución de código en colas de mensajes, una vez que se ejecutó un atacante puede hacerse del control completo del sistema afectado....
Microsoft publicará seis boletines de seguridad el próximo martes
En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan seis boletines de seguridad. Afectan a toda la gama de sistemas operativos Microsoft y Office....
El número de vulnerabilidades en el código abierto desciende un 16 por ciento en los últimos dos años
El informe ha sido llevado a cabo por la firma de software Coverity, la cual examina los defectos y vulnerabilidades que suelen darse en proyectos de código abierto mediante la utilización de herramientas analíticas, las cuales detectan automátic...
#Google libera código fuente #Android 4.0
Google ha liberado el código fuente de la nueva versión del sistema operativo para teléfonos móviles y Tablet Android 4.0. Así lo confirman un grupo de desarrolladores a través de la red social del Google, informando al resto de programadores q...
10 razones para "NO" usar Linux
Esta es una recopilación de las diez razones fundamentales por las que nadie en el mundo debería utilizar Linux, ya sabeis, ese sistema operativo que según algunos es complicadísimo y cuesta tanto trabajo instalar....
Fallo en kernel permite se eluda seguridad UAC de Windows
Microsoft está investigando una serie de informaciones sobre una vulnerabilidad no parcheada en el kernel de Windows que podría ser utilizada por un atacante para evitar una importante medida de seguridad del sistema operativo....
Actualizaciones críticas para los navegadores más populares... en especial para Internet Explorer
Microsoft ha sufrido durante la última semana uno de los peores escenarios conocidos para una vulnerabilidad: es crítica y ha sido descubierta mientras estaba siendo aprovechada por atacantes. Esto implica que todo usuario de Internet Explorer (don...
Disponible el 6to ejemplar de Planetix
Planetix, es una revista con contenido referente a GNU/Linux y al Software Libre....
El director de la división Linux de IBM explica: ¿Por qué apuesta IBM por Linux?
Anteriormente, IBM tenía miles de programadores que cobraban elevados salarios por su trabajo. Ahora, la compañía tiene más de 2 millones de programadores registrados, que trabajan gratuitamente. En su mayoría se trata de estudiantes que sueñan...
Apple obliga a instalar Safari. ¡Mala idea!
Los usuarios de QuickTime o iTunes, tal vez comiencen a ver una ventana donde se les informa de un nuevo software disponible (New software is available from Apple). La ventana ofrece la instalación de Safari, el navegador de Apple....

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • caducado
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • malware
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra