El "cibercrimen" está estructurado

Desde hace tiempo vengo hablando de que los creadores de malware y responsables de otros tantos ataques informáticos, se han profesionalizado a fin de aprovechar estas herramientas con el objetivo de obtener beneficios económicos a expensas de las víctimas de sus desarrollos.

Esto ha estado creciendo cada vez más, y varios equipos de investigadores han comenzado a analizar la estructura de estas organizaciones criminales que utilizan la tecnología. Net-Security comenta hoy sobre un estudio de una empresa de seguridad finlandesa algunos aspectos de estas organizaciones.

La estructura descripta en el informe no es otra que la de una organización claramente definida, con jefes, sub-jefes y operarios, que se asemeja a una industria y que se beneficia de ella. Esto es un cambio drástico de lo que era el mundo del malware 10 años atrás, y que va más allá de quién programa las herramientas, sino de quien las financia y para qué.

Todo esto se traduce en mayor cantidad de vectores de ataques, enfocados en llegar a la mayor cantidad de usuarios o a grupos específicos, y que se ven beneficiados por las nuevas tecnologías.

El informe original puede ser encontrado en la siguiente dirección:

http://www.finjan.com/Pressrelease.aspx?id=1998&PressLan=1819&lan=3

Google 1 – Yahoo 0 (según Google Safe Browsing)

Hoy se me dio por probar qué resultados darían los dominios google.com y yahoo.com en la herramienta Google Safe Browsing que comentaba aquí dos meses atrás, y a la cuál podés acceder desde un recuadro en la derecha de este blog.

En los siguientes enlaces podrán encontrar los resultados de cada dominio al día de hoy:

- Google
- Yahoo!

El resultado de Yahoo! es lógico para una empresa de tal renombre, pero el de Google es llamativo, en la última parte, dónde la herramienta nos informa si el sitio ha alojado o no malware en los últimos 90 días:

Traduciendo: “Si, este sitio ha alojado malware en los últimos 90 días. Ha infectado 1 dominio, incluyendo hoyem.org”. ¿Google alojó malware en algún momento por alguna vulnerabilidad no conocida? ¿Error de la herramienta de Google? ¿Qué habrá pasado para que Google Safe Browsing informe esto del dominio Google.com?

Homero Simpson no lee Virus Attack!

Allá por el 2002, Homero registró su casilla de correo y comenzó a usar Internet. Al menos, eso fue lo sucedido de acuerdo a un episodio de ese año del show de televisión Los Simpsons, donde Homero dice cuál es su dirección de email (chunkylover53@aol.com, para ser preciso).

Durante un tiempo, uno de los productores estuvo usando esa dirección de correo, respondiendo los mensajes de quienes escribían allí interesados en ver si Homero realmente estaba o no usando esa dirección. Incluso, el productor intentaba responder como si lo hiciera el mismo Sr. Simpson.

Pero luego, ante la avalancha de respuestas, la dirección de correo ya no devolvía mensajes, y durante años, nada más se supo de Homero en Internet… hasta la semana pesada, cuando repentinamente, todos aquellos que habían agregado a chunkylover53 a su mensajero instantáneo, lo vieron aparecer online.

Muchos comenzaron a escribirle mensajes instantáneos, para encontrarse que todo lo que recibían era un mensaje diciendo que el usuario no estaba frente al equipo en ese momento (idle) y los invitaba a descargar un video exclusivo de los Simpsons, solo para Internet.

En realidad, si se descargaba dicho archivo, el mismo no era un vídeo, sino un ejecutable que realmente era un malware, y estaba alojado en un servicio gratuito de hosting. Durante varios días, el mensaje fue cambiando, sin nunca Homero responder mensajes.

Lo que parece que ha pasado es que alguien consiguió las credenciales de la cuenta chunkylover53 y aprovechando que muchas personas la han tenido en su mensajero durante mucho tiempo, la comenzó a aprovechar para distribuir malware.

Habría que recomendarle a Homero (o al productor que tenía la cuenta) que lea Virus Attack! y siga las recomendaciones posteadas aquí para evitar el malware y mantener segura su cuenta de correo… Sin embargo, ya sabemos como es Homero con los virus y las computadoras, ya que allá por el año 2000, no ejecutó el antivirus en la planta ni se preocupó del bug del Y2K y toda la red de plantas nucleares de Estados Unidos dejó de funcionar :-) Algunos no aprenden más…

Primero visto en Slashdot ("News for nerds, stuff that matters" ;-P)

¿Qué es un dialer? (Lección 20)

Retomando la serie de aprendizaje sobre malware y relacionados, esta vez voy a hablar sobre el concepto de dialer que aunque es un tipo de código malicioso en baja, es bueno para demostrar ciertos puntos de la relación malware-dinero.

Un dialer es básicamente un troyano cuyo objetivo es interactuar con la placa módem de la computadora donde está instalado y realizar llamados telefónicos desde la misma a números de pago (p.e., 906 en España, 0600/0610 en Argentina, etc) haciéndole gastar pulsos telefónicos al usuario infectado y ganar dinero al administrador de dicho número.

Cuando el equipo se infectaba con un dialer, si éste detectaba que la conexión telefonica de la computadora estaba inactiva, realizaba llamados a estos números telefonicos por distintas cantidades de tiempo, lo cual repercutía luego en la factura telefonica del usuario.

Normalmente estos dialers no se reproducían por si mismos (de ahí que sean considerados como troyanos). Sencillos de programar, comenzaron a marcar una tendencia en los intereses transformados de los creadores de malware.

El dialer demuestra dos puntos muy importantes de la historia del malware:

• De cierto modo, los dialers fueron uno de los primeros intentos serios de utilizar los códigos maliciosos para generar ingresos económicos, aprovechando que allá por fines de los 90, comienzos de esta década, todavía muchos usuarios contaban con conexiones dial-up (que usan la línea telefonica directamente) alrededor del mundo.
• Demostraron que la interacción entre malware y “realidad” era posible, e incluso, beneficiosa para los programadores de códigos maliciosos

Aunque muchos no lo consideran así, en mi opinión, los dialers, aunque no tan masivos como otros tipos de malware, han sido un punto de inflexión en la historia de los códigos maliciosos. Obviamente que no por su calidad técnica, sino por el link que comenzaron a establecer entre malware y dinero, que hasta su aparición, nunca había sido tan claro.

¡Cuánto amor!

Que los desarrolladores de malware tienen una relación de "amor-odio" con la comunidad antivirus es algo sabido, y sino, lean el siguiente post de Hispasec:

http://blog.hispasec.com/laboratorio/295

"is"

Equipos personales en el trabajo

Un artículo reciente en MateriaBiz me hizo acordar de una entrega de la tira cómica Dilbert, que dejo a continuación:



El uso de equipos personales en el trabajo son un gran problema de seguridad, y una de las causas por las que la seguridad perimetral no puede ser aplicada completamente, ni con el control necesario.

"is"

Seguridad en el perímetro

Es muchas veces díficil explicar qué es la seguridad en el perímetro o perimetral. Desde hace varios años, en seminarios en los que he participado, siempre he hablado de este tema, y cómo se ha hecho complejo a lo largo de los años de la informática.

En un principio, el perímetro de nuestra red eran las mismas paredes de nuestra oficina. Con el advenimiento de internet, los smartphones, las laptops, y demás, este concepto se ha redefinido completamente, haciendose más complejo.

Un white paper publicado por IBM y que me ha llegado a través del blog de Sergio Hernando brinda los fundamentos de la seguridad perimetral.

Los invito a leerlo si no saben o conocen poco del tema:
http://www.redbooks.ibm.com/abstracts/redp4397.html

"is"