Exitos y fracasos del Malware Stuxnet


Excelente artículo publicado en el sitio de seguridad hispasec.com escrito por Sergio de los Santos, donde explica en forma detallada las características del Stuxnet.





Stuxnet ha marcado un antes y un después en la mitología del malware, acaparando titulares y una buena parte de las últimas noticias mediáticas sobre malware. Hay quien dice que asistimos al nacimiento "de un nuevo mundo". No es para menos, sus virtudes no son pocas. Pero también ha cometido un error.

Eugene Kaspersky considera que Stuxnet (diseñado y financiado supuestamente por algún gobierno para atacar el plan nuclear Iraní) es "el prototipo funcional de una ciber-arma, que dará el pistoletazo de salida a una ciber-guerra en el mundo". Según Eugene, "este programa no ha sido diseñado para robar dinero, enviar spam o acceder a datos personales: ha sido diseñado para sabotear plantas y causar daños en entornos industriales. Me temo que es el principio de un nuevo mundo. Los 90 fueron la década de los ciber-vándalos, la década del 2000 fue la de los ciber-criminales, y me temo que ahora es la nueva era de las ciber-guerras y el ciber-terrorismo".

Al margen de los hitos establecidos, veamos algunos de los puntos fuertes de Stuxnet.

El uso de vulnerabilidades desconocidas hasta el momento para difundirse

Stuxnet ha usado hasta cuatro vulnerabilidades desconocidas hasta el momento para ejecutar código en las máquinas infectadas. Esto lo hacía 100% eficaz contra cualquier Windows, desde 2000 hasta 7. Solo los administradores que hubiesen tomado las máximas precauciones (evitar la ejecución de programas no conocidos, limitar al máximo los privilegios u otras medidas similares) se habrían podido librar de la menaza.

El uso combinado e inteligente de estas vulnerabilidades

De las cuatro vulnerabilidades desconocidas, una permitía la ejecución de código aunque el AutoPlay y AutoRun se encuentrasen desactivados. A efectos prácticos, implica que se había descubierto una forma totalmente nueva de ejecutar código en Windows cuando se inserta un dispositivo extraíble, independientemente de que se hayan tomado todas las medidas oportunas conocidas hasta el momento para impedirlo. Esto ayudaba a su máxima difusión a través de dispositivos USB y del propio explorador de Windows. Fue parcheada por Microsoft en agosto, en un boletín de emergencia.

La segunda permitía la ejecución de código a través del servicio de impresión (spooler) de cualquier Windows. En impresoras compartidas por red, el troyano podía enviar una petición al servicio y colocar archivos en rutas de sistema. Esto permitía su máxima difusión dentro de una red interna, por ejemplo. Fue parcheada en septiembre.

Las otras dos, permitían la elevación de privilegios. Esto cerraba el círculo: si los administradores habían tomado la precaución de limitar los permisos de los usuarios, el troyano podía conseguir ser administrador a través de estos fallos. No había escapatoria, puesto que podía ejecutar código tanto en red como a través de dispositivos extraíbles, y una vez ahí, obtener todos los privilegios.

Uso de certificados válidos

Los drivers de Stuxnet utilizados como rootkit estaban firmados digitalmente por la empresa china Realtek. Esto significa que, en principio, solo Realtek puede ser responsable de ese código... excepto que su clave privada haya sido comprometida de alguna forma, cosa que no se ha confirmado todavía. En cualquier caso, Microsoft trabajó con Verisign para revocar en sus sistemas los certificados (con el apoyo de Realtek también). Los atacantes reaccionaron firmando su troyano de nuevo con un certificado válido de otra empresa Taiwanesa dedicada también a crear controladores, llamada JMicron. El caso es que el uso de certificados válidos les permitía instalarse sin advertencias en los sistemas de 64 bits, por ejemplo, que requieren controladores firmados.

Objetivos concretos

Otra de sus virtudes es que dentro de su código contenía la contraseña por defecto "2WSXcder" para la base de datos central del producto SCADA WinCC de Siemens. El troyano conseguía acceso de administración de la base de datos. Los sistemas "Supervisory Control and Data Acquisition (SCADA)" son programas críticos de producción industrial: toman datos muy sensibles de sensores de una fábrica, por ejemplo, y los envían a un sistema central para ser controlados. Se usan en grandes plantas de tratamiento de aguas, control eléctrico, de tráfico... Por tanto, se trata de un malware destinado a un perfil muy diferente del usuario "medio". En otras palabras, malware para al espionaje industrial. Se encontró sobre todo en Indonesia, India, Irán y China. Esto, unido a las cualidades anteriormente mencionadas, permitía llegar a su objetivo de forma silenciosa y eficaz.

Todas estas cualidades hacen pensar que el troyano ha sido concebido no solo por una mafia organizada como la que sostiene la industria antivirus actual, sino que va más allá: forma parte de un entramado que parece tocar altas esferas. Descubrir cuatro vulnerabilidades potentes y desconocidas en Windows y crear exploits eficaces para ellas requiere tiempo y mucho conocimiento... o en su defecto, del dinero para comprarlo. El supuesto robo físico de certificados, el objetivo Iraní... los involucrados han ido mucho más allá de la simple creación de laboratorio y buscaban algo más que limpiar las cuentas de unos cuantos infectados.

El punto débil

El punto débil (siempre desde el punto de vista de Stuxnet y sus creadores) ha sido solo uno: ¿por qué un gusano que se autorreplica indiscriminadamente? ¿Qué necesidad de infectar más allá de los sistemas objetivo? Esto ha facilitado su difusión, sin duda, pero también que escape del círculo cerrado que se supone eran sus objetivos primarios y, por tanto, que sea conocido, reconocido y detectado por las casas antivirus. No había ninguna necesidad de salir de los entornos SCADA, puesto que su "payload" solo era válido contra estas infraestructuras; en una máquina de usuario, resulta relativamente "inocuo".

La "fama" del troyano también ha permitido que las vulnerabilidades hayan sido eliminadas rápidamente: todavía queda una de elevación de privilegios por parchear, pero Microsoft ha solucionado tres de ellas en los últimos tres meses. Además ha provocado que los certificados sean revocados... en resumen, que su salida a los medios eche a perder el trabajo y Stuxnet no siga siendo tan eficaz. El troyano debería, o bien no replicarse indiscriminadamente, o bien controlar sobre qué sistemas lo hace para evitar los que escapen a su objetivo.

Después de reflexionar sobre las características de este malware, hemos consultado nuestra base de datos en VirusTotal, buscando referencias sobre Stuxnet para comprobar su evolución. Nos hemos llevado algunas sorpresas.

Por ejemplo, según nuestra base de datos de Virustotal, la primera referencia a Stuxnet viene el 1 de julio de 2009. Sí, 2009 (Stuxnet saltó a los medios en julio de 2010). Pero no es el troyano como tal. Lo que encontramos entonces son las primeras referencias a malware que aprovecha una vulnerabilidad por entonces llamada simplemente por algunos antivirus "Autorun". Solo era detectado por 6 motores. Lo que no sabían, es que esta sería la vulnerabilidad que más tarde (un año más tarde) se calificaría como CVE-2010-2568, y que permitía a Stuxnet la ejecución de código a través de enlaces LNK. En pocas palabras: esta vulnerabilidad (que obligó a Microsoft a publicar un parche de emergencia por su gravedad) era conocida desde hacía más de un año y, aunque algunos motores la detectaban entonces, no descubrieron que era "nueva". La metieron en el saco de malware genérico que se ejecutaba a través del Autorun. Tuvo que entrar en escena Stuxnet para que se analizase, saliera a la luz y fuera corregida.

Las primeras muestras en aprovechar este fallo vienen desde Vietnam, China y una casa antivirus en el Reino unido en julio de 2009. Se siguen recibiendo muestras, pocas, durante todo 2009 y 2010, y no es hasta julio de 2010 que es ampliamente reconocida como lo que realmente es. Una muestra real de Stuxnet en nuestra base de datos la encontramos por primera vez el 16 de mayo de 2010. Se trata de un driver (archivo .sys que contiene la funcionalidad de rootkit de Stuxnet) que no era detectado entonces por ningún motor. Sigue pasando relativamente desapercibido hasta el 7 de julio, cuando un antivirus lo bautiza como Stuxnet. A partir de ahí, recibimos muchas muestras, pero no es hasta finales de julio que es detectado por la mayoría.

El primer ejecutable Stuxnet del que tenemos noticia, se remonta también al 16 de mayo de 2010 y sigue una trayectoria muy similar al driver en nivel de detección.

Durante los últimos 30 días, hemos recibido más de 300 muestras calificadas como Stuxnet, y son detectadas por una media de 31 motores antivirus (casi el 80% de detección). Esto no quiere decir que se trate del propio Stuxnet que ataca a plantas nucleares. A partir del descubrimiento de la vulnerabilidad en archivos LNK en julio, muchos otros troyanos comenzaron a incorporar esta vulnerabilidad como método de difusión. Ante la confusión inicial, las casas antivirus comenzaron a llamar Stuxnet a cualquier malware que la explotara, por tanto, podemos encontrar referencias a Stuxnet en archivos de apenas 100 bytes y en otros de hasta 5 megabytes.

Como siempre, creemos que es probable que existan otros "Stuxnet" ahora mismo ocultos en sistema críticos, que compartan las virtudes de este troyano... y todavía no hayan salido a la luz.

Fuente:
Por Sergio de los Santos
http://www.hispasec.com/



Otras noticias de interés:

Evento GNU/ Linux en Maracaibo - Venezuela
Bajo el rótulo de El Evento Linux de Venezuela, del 14 al 15 de octubre del presente año se desarrollará en la ciudad de Maracaibo este evento que persigue la congregación de diferentes miradas para fomentar el Conocimiento y Uso del Sistema Op...
Nuevo Modo de Proteger Redes de Ordenadores Frente a Gusanos de Internet
Ness Shroff, académico de Redes y Comunicaciones en la Universidad del Estado de Ohio, y sus colegas, podrían haber encontrado una nueva manera de combatir la forma más peligrosa de virus de ordenador. El método detecta en minutos automáticament...
Big data, ¿una amenaza a nuestra intimidad?
Un artículo de Jordi Sabaté en consumer.es, hace especial énfasis en un grave problema que con las mejoras y avances tecnológicos atentan en forma directa en contra de nuestra derecho a la privacidad....
Internet Explorer 7 versión final, para finales de año
La nueva versión corrige más de 1000 bugs, mejora la gestión de los controles ActiveX y la seguridad en general, y por primera vez podrá ser instalado como una actualización automática....
Gestión de passwords en navegadores (I)
Me ha impresionado bastante gratamente el artículo Password Management Concerns with IE and Firefox, que hoy publica Mikhael Felker en Security Focus, hasta el punto que espero con ansiedad que se publique, este próximo lunes, su segunda y última ...
Denegación de servicio en NTP (Network Time Protocol)
Múltiples fabricantes se han visto afectados por un problema de seguridad en el protocolo estándar NTP (Network Time Protocol) que podría permitir a un atacante provocar una denegación de servicio....
Redes sociales necesitan políticas de seguridad corporativas
Las redes sociales, como Twitter o Facebook, abren la puerta a nuevas amenazas para los datos corporativos. Por ello, las empresas necesitan protegerse adoptando políticas de seguridad. ...
Las empresas parchan fallas del SO, pero la prioridad deberían ser las aplicaciones
Las Corporaciones parecen ser mucho más lentas en parchar sus aplicaciones que sus sistemas operativos, aunque los atacantes están enfocados principalmente en las vulnerabilidades de las aplicaciones, según un nuevo informe....
Cerrado MegaUpload
David Gómez, en emslinux.com publicó un articulo bastante bueno donde hacen referencia al cierre del sitio MegaUpload. A continuación el texto....
OpenKapow: cómo crear robots rastreadores web (spiders) con un clic
Estos primeros días de descanso vacacional los estoy aprovechando para preparar parte de mi trabajo de suficiencia investigadora (que me abrirá las puertas a poder preparar la tesina para el doctorado). El caso es que acabo de descubrir una aplicac...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exitos
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • fracasos
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • malware
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • stuxnet
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra