Gracias!

Este blog ya anda transitando su segundo año de vida y quiero agradecerles a todos lo que lo vienen siguiendo y los que vendrán porque son los que hacen que den ganas de seguir ampliando contenidos.

Ya son mas de 200, promedio, los seguidores del blog vía RSS, y las visitas siguen aumentando, pero no solo eso, sino que también hay otros sitios y blogs que están considerando algo del material aquí publicado como útil y hacen referencia al mismo.

Por ello, quiero agradecerles a ellos personalmente:

• Jonathan, de MiDecadencia, que linkeo el post sobre 0-day.

• Marcelo, de InfoSpyware, que hizo referencia al post sobre lo que Google hace contra el malware.

• SebasP, de Experimento Paschmann, a quien le gusto mucho el tema de la serie de aprendizaje y comento sobre ella.
  

• A David y Analia, de Rompecadenas, que siempre incluyen alguna que otra referencia.

• A SebasB, de Un Mundo Binario, que tambien hizo referencia al comentario sobre lo que Google hace contra el malware.
  

• A CFB, de Segu-Info, que tambien ha hecho referencia en varias oportunidades.

• A Martin, que reprodujo en su blog personal el tema de las redirecciones de Google.
  

Y a otros tantos que he visto nos siguen y utilizan de fuente, y a quienes espero poder seguir ayudando desde aquí y que ellos también me ayuden a conocer mas sobre los temas que publican regularmente.

Gracias a todos!!

¿Qué es un falso positivo? (Lección 17)

Una reciente noticia sobre MSN y Youtube me dio el pie ideal para explicar el concepto de falsos positivos en los sistemas de seguridad.

La novedad era que durante el fin de semana pasado, el mensajero instantáneo de Microsoft (MSN o Live Messenger, dependiendo la versión), estaba bloqueando el acceso a direcciones de Youtube que fueran compartidas por sus usuarios por considerarlas potencialmente dañinas.

Esto se debió a un error en el sistema de seguridad usado por el mensajero que erróneamente clasificaba a las direcciones que contenían el dominio youtube.com como si fueran un enlace que pudiera, potencialmente, causar daño a la computadora del usuario.

Lo anterior es un ejemplo claro de lo que se denomina falso positivo.

Un falso positivo es cuando cualquier sistema de seguridad interpreta que algo (un programa, un código, una dirección web, etc) es malicioso cuando no lo es. Otro ejemplo es cuando un antivirus detecta a una aplicación inocua como si fuera un malware y bloquea el acceso a la misma.

Los falsos positivos pueden ser causados por cuestiones humanas o automáticas. Las primeras, cuando un miembro del laboratorio de la aplicación de seguridad clasifica algo en forma errónea, mientras la segunda es cuando las reglas en las que se basa el sistema de seguridad no están desarrolladas correctamente y detectan mas de lo que deberían como dañino.

¨is¨

Actualizaciones automáticas, usuario promedio y seguridad

Hay muchas cosas que se le achacan a Microsoft, muchas veces con razón, pero hay una que, a mi parecer, se hace bien, y no todo el resto de los sistemas operativos y plataformas lo tienen implementado: las actualizaciones automáticas.

Tuve acceso estos días a una Asus eeePC, ese gadget tan interesante que es furor en algunos lugares. El mismo viene por defecto con Linux, basado en una distribución llamada Xandros, y con cierta personalización hecha para el dispositivo.

La eeePc viene preparada para que el usuario pueda comenzar a utilizarla ni bien se enciende, ya que trae navegador, cliente de correo, suite ofimática y otras tantas aplicaciones.

El navegador, por ejemplo, es el Mozilla Firefox. Por curiosidad, consulte la versión del navegador (Menú Ayuda, Opción Acerca de) y me encontré con que la que trae la eeePC por defecto es la 2.0.0.11 la cual es ya vieja, dado que fue reemplazada por una nueva allá por Febrero de este año. Es mas, la versión actual de Firefox es la 2.0.0.14, habiendo 3 actualizaciones importantes entre la versión que tiene la eeePC y la actual.

El problema no es ese, porque bastaría con actualizar el navegador, pero la versión de Firefox instalada en la Asus eeePC tiene desactivada la opción para buscar actualizaciones.

Mas allá de lo anterior, el sistema mismo no tiene una forma automática de actualizar software, al menos no accesible por el usuario poco experimentado, que es aquel para quien esta pensado este dispositivo. Entonces, el usuario tiene un sistema inseguro, sin importar sobre que sistema operativo esta trabajando, dado que el poder mantener la plataforma actualizada es primordial en materia de seguridad y si el sistema no cuenta con una forma de hacerlo automáticamente, el usuario promedio, directamente, no lo hará manualmente.

Obviamente, se puede reemplazar el sistema operativo que viene por defecto en la Asus eeePC por otro, entre ellos Windows XP y otras distribuciones de Linux que si tienen la posibilidad de actualizaciones automáticos, pero el usuario promedio no suele tener los conocimientos para hacer eso.

Este tipo de situaciones – sistemas operativos sin opciones de actualización automática – es algo que se da en muchos lados (Blackberry, por ejemplo, no tiene esto, al menos no en la que tengo yo sin conectar al Desktop Software), y aunque la plataforma en cuestión sea en estos días menos vulnerable a otras, eso no implica que podemos dejar de lado la necesidad de mantenerlo al día.

Me resulta llamativo que este aspecto tan básico de la seguridad sea dejado de lado en dispositivos nuevos como la Asus eeePC, sobretodo en uno que está pensado para ser sencillo de usar y orientado al propio usuario promedio.

¿Qué significan 0-day, zero day o día cero? (Lección 16)

Esta no era la siguiente lección que pensaba publicar, pero al final del post explicaré el por qué lo estoy haciendo :) (*)

El término día cero (que en inglés sería zero day o se designa a veces como 0-day) se puede aplicar al momento en que cualquier cosa se hace disponible. Si algo ya se conoce, no está en su día cero.

En cuanto a seguridad informática, se habla de vulnerabilidades 0-day, cuando se hace referencia a todos aquellas que previamente no son conocidas (siquiera por el fabricante del software, en teoría) y para las cuales no existe un parche, actualización o solucione que permita cerrar el agujero de seguridad.

De vez en cuando se encuentran exploits que aprovechan estas vulnerabilidades 0-day, lo cual las hace técnicamente más peligrosas, dado que no existe una solución para evitarlos.

Si hablamos de malware, aquel de día cero es específicamente cualquier nuevo malware para el cual aún no existen firmas específicas que sean capaces de detectarlo, y los cuales solamente pueden llegar a ser detectados a través de otros tipos de técnicas no reactivas.

En ambos casos, el concepto es simple: el día cero es aquel en el que la amenaza informática es conocida y a partir del momento en el que se puede actuar para detenerla. Si la amenaza no era conocida, ya que era de día cero, no puede haber una solución específica contra la misma.

“is”

(*) En un evento en el que me tocó estar como panelista, escuché de uno de los conferencistas, si se le puede llamar así, la frase “las firmas de antivirus son la mejor y única solución contra el malware 0-day”, diciendo que cualquier metodo, directamente, "no sirve". Esto es una falacia total dado que entre que dicho malware aparece (momento 0) hasta que la firma sea creada y liberada pasa un tiempo X durante el cual existe una ventana de vulnerabilidad a la que todos nosotros podemos ser susceptibles.

Si hay algo importante en la seguridad informática es evitar el alarmismo y la falacia para vender productos, sino intentar educar lo mejor posible a las personas para que comprendan el alcance el problema y así puedan elegir la solución que más les conviene. Si la comunidad de expertos en el tema no explica las cosas correctamente, o si no es tan “experto” cómo dice serlo, vamos a tener más problemas en lugar de trabajar en evitarlos. “Por lo menos así, lo veo yo”, parafraseando a G. Nimo.

El caso del Firefox vietnamita con malware de "fabrica"

Anda dando vueltas por toda Internet la noticia de que un complemento del navegador Mozilla Firefox (el que yo uso) que contenía un malware desde hace meses. Por ejemplo, aquí va la noticia publicada en Kriptopolis:

http://www.kriptopolis.org/malware-en-servidores-mozilla

El complemento infectado era el que permitía tener Firefox en idioma vietnamita, estaba disponible en los servidores de Mozilla, y fue descargado por una cantidad no informada de usuarios en ese lapso, la cual recibió un malware junto a lo que realmente buscaba.

El alcance de este problema fue bajo, dado que se trató de un complemento que no está entre los más utilizados, pero vuelve a poner en el tapete problemas relacionados con algunos modelos del open-source (que comenté en un caso en Squirrelmail) y de los controles en la liberación de software, que comenté también en otros posts anteriores (aquí y aquí).

El software de código abierto tiene aspectos muy interesantes que me encantan, pero como cualquier otra cosa en la vida, no es 100 % seguro. En su desarrollo participan programadores repartidos por distintas partes del mundo, que desarrollan en distintas plataformas, las cuales vaya uno a saber qué seguridad tienen o si siquiera la tienen.

Este caso se puede haber dado tanto en forma malintencionada como porque el programador que desarrolló o actualizó el complemento no tenía un sistema seguro. Lo preocupante es que el malware en el complemento de Firefox debería haber sido detectado por quienes auditan el código o al menos debería haber sido detectado por los procesos de seguridad de los servidores de Mozilla, de donde todos nosotros, usuarios de ese navegador, lo descargamos (¿o acaso no tienen antivirus en el servidor para asegura que lo que descargamos no está infectado?).

A no ser leña del árbol caído (aunque esto no es una caída, es un caso particular) ya que esto le puede pasar a cualquiera.... (*)

"is"

(*) La falta de seguridad es algo que le puede pasar a cualquiera... Todavía me preocupa lo que sucede con las redirecciones en Google no controladas... Hoy volví a revisar, y sigue existiendo el problema que reportamos, y que permite usar Google para redireccionar a sitios con malware. Si esto pasara en el buscador de Microsoft, ya estaría en todas las primeras planas de Internet...

Vídeo de demostración de funcionamiento de redireccionamiento de Google y archivos ejecutables infectados

Tras hablar con alguna gente me dí cuenta que no siempre queda claro cómo es que llegan los malware a nosotros y cómo es que podemos quedar infectados.

Aprovechando este tema reciente que publiqué ayer sobre las redirecciones de Google, armé un vídeo de demostración de esto, tanto para que quede claro cómo funciona en este caso, así como para mostrar lo que normalmente le pasa a un usuario cuando se infecta.



Espero les sea útil. Más detalles sobre el tema pueden encontrarse en el post anterior.

"is"

Google, Yahoo!, spam, redirecciones y malware

A alguien le va a caer mal, pero lo tengo que decir igual: no prestaron atención y ahora los usuarios pagan las consecuencias.

Hace 36 días reporté a Google un problema con falta de chequeos en las redirecciones de uno de sus scripts (iclk), y me confirmaron la recepción de esto, así como se me informó que iban a trabajar en resolver el problema.

Al día de hoy, sigue sin ser resuelto, y no solo eso, sino que hoy me encontré en mi casilla de email, un correo que aprovecha dicha redirección para distribuir malware.

El mensaje recibido tiene las siguientes cabeceras:

De: Yahoo multimedia (multimedia@yahooargentina.com)
Asunto: Tenes novedades de tu amigo

Y el contenido simula ser una tarjeta enviada por un amigo, como la siguiente:

Al hacer click en los enlaces de dicha postal, seremos llevados a la descarga de un archivo yahoo.exe que está alojado en ciertas páginas alrededor de Internet.

Los enlaces en cuestión aprovechan un script alojado en las páginas de Google, usado para redirecciones de clicks, que no chequea la página de destino. Este tema es el que publiqué en este blog hace tiempo, reporté personalmente a Google, y aún no ha sido resuelto.

El archivo malicioso, que según VirusTotal, es un troyano bancario, está alojado en sitios de Internet cuya seguridad parece haber sido vulnerada, dado que son sitios reales de empresas/servicios que seguramente están alojando malware sin saberlo.

Los enlaces, en este caso, son (se han modificado para que no puedan afectar a quienes visiten este blog):

http://www.google.com/pagead/iclk?[XXXXXX]&adurl=http://www.librosdesegundamano.com/[XXXXXX]/yahoo.exe

http://www.google.com/pagead/iclk? [XXXXXX]&adurl=http://www.dinastia.g12.br/[XXXXXX]/yahoo.exe

http://www.google.com/pagead/iclk?[XXXXXX]&adurl=http://www.lana-grossa.de/[XXXXXX]/yahoo.exe

Quien creó el mensaje en cuestión, aprovecha la imagen de Yahoo! para ganar la confianza del destinatario (ingeniería social), y la de Google tanto para eso como para, por ejemplo, saltear posibles filtros que pueda haber a nivel de servidores que prevengan ciertas URLs, pero permitan el acceso a Google.

Espero que ahora Google si resuelva este error de diseño en su sitio a fin de que deje de ser utilizado para cosas como estas. Cada vez más spammers, phishers y creadores de malware están aprovechándolo para redirecciones.

Entretanto, este es otro caso que demuestra que no debemos confiar en todo lo que recibimos por correo, menos aquello que no solicitamos, diga venir de quien sea, un amigo o una empresa archi-conocida...

“is”