Seguridad > Reportaje Ampliado

Seguridad online

La "nube" ayuda a los buscadores a luchar contra el malware

Internet Explorer no es el único buscador que tiene vulnerabilidades de seguridad. Firefox, Chrome, Safari, Opera también las sufren, lo que trae de cabeza a los profesionales de TI

Rik Ferguson, Responsable de Arquitectura de Soluciones de Trend Micro . Actualizado: 19 / 02 / 2009 | 19:50

 

A raíz de la recientemente publicada noticia de la vulnerabilidad encontrada en Microsoft Internet Explorer (IE) y el exploit de día-cero, la seguridad y los buscadores de Internet, y de forma más general la seguridad web, se han convertido con razón en una de las principales preocupaciones de la mayoría de las personas, pues Internet es una herramientas que prácticamente todo el mundo utiliza ya en su día a día. http ha superado con creces al correo electrónico como vector de infección y el reto ahora reside en el cambio de mentalidad que se está produciendo entre los profesionales de TI para tener en cuenta el peligro que procede de la web.

 

Ante esta situación, cabe preguntarse ¿qué ocurrió con Internet Explorer hace ya unos meses?. El día 9 de diciembre Microsoft, como cada mes, lanzó su boletín de parches. El mismo día se descubrió un exploit procedente de una vulnerabilidad en Internet Explorer que no estaba contemplada en dichos parches. El momento no había podido ser más apropiado, pues definitivamente no se trataba de una coincidencia, ya que la aparición de esta vulnerabilidad sirvió para incrementar la confusión e incertidumbre entre los usuarios.

 

La vulnerabilidad fue explotada por un código JavaScript malicioso que era proporcionado desde sitios web localizados principalmente en China. El elemento JavaScript descargaba invisiblemente un troyano en los ordenadores de las víctimas que, a su vez, cambiaba la dirección del comando y controlaba la infraestructura para descargar varios componentes maliciosos con el objetivo de robar información personal.

 

El código exploit fue lanzado de forma accidental en un dominio público por un grupo de investigadores que creían que la vulnerabilidad ya había sido solucionada con los parches que regularmente distribuye Microsoft, y lo que descubrimos es que los ataques y el nivel de amenaza, lejos de descender, se incrementaban significativamente. Una oleada masiva de inyecciones SQL registró en un primer momento 6.000 páginas afectadas, para poco después pasar a 10.000 y más tarde a 200.000 websites infectados –y la cifra todavía sigue en aumento-. Estos sites comprometidos contenían una pequeña parte, casi invisible, de código malicioso en sus páginas, por lo que cualquiera que los visitara estaba siendo redireccionado a las webs que alojaban el exploit original, poniendo en la línea de fuego todavía a más internautas.

 

Microsoft sostenía que el 0,2% de sus usuarios se habían visto afectados por este problema y se apresuró en la búsqueda y envío de un parche “out-of-band” para arreglar esta situación que afectaba a todas las versiones de Internet Explorer, desde la 5.01 hasta la IE8 Beta 2, en cada una de las versiones soportadas por el sistema operativo Windows.

 

A juzgar por el éxito de ataques anteriores de esta naturaleza, donde un parche estaba ya disponible incluso desde el primer momento, podemos anticipar que esta vulnerabilidad estaba siendo explotada desde hacía bastante tiempo.

 

Así, es justo decir que, a pesar del aviso realizado por varios expertos de seguridad, entre los que me encuentro, para utilizar un buscador alternativo hasta que se lanzara un parche, Internet Explorer no es el único buscador que tiene vulnerabilidades de seguridad. Firefox, Chrome, Safari, Opera, cualquiera que se elija, todos ellos han sufrido vulnerabilidades y continuarán haciéndolo.

 

El poder del exploit de día-cero es tan grande que ha obligado a subir los precios de forma notable en el mundo de la clandestinidad digital, donde este kit de exploit era ofrecido inicialmente a un precio de saldo. Este ataque pone de manifiesto que la investigación y la innovación entre los miembros de esta comunidad clandestina de ciber-delincuentes se están convirtiendo en elementos clave. De ahí que sea fundamental para los usuarios tener una imagen clara de las amenazas que posee el ciber-crimen, así como de los métodos que emplea. Es sólo a través de la vía de la educación y la comprensión cómo las personas serán capaces de evaluar de forma efectiva si las soluciones de seguridad online elegidas se mantienen al ritmo al que cambia el entorno de las amenazas.

 

Creo que es cierto decir que la percepción que tiene el público en general de las amenazas que proceden del ciber-crimen no es tan alta como debería serlo. En realidad el número de ejemplos de malware único libre está creciendo de forma exponencial. Hace 20 años, en 1988, se detectaron 1.738 ejemplos de malware binarios únicos, diez años más tarde, en 1998, la cifra de nuevo malware aumentó hasta los 177.000, mientras que transcurridos otros diez años, es decir, en 2008, ya se habían superado los 5,7 millones de nuevo malware a finales del mes de agosto. Este crecimiento del malware requiere una respuesta acorde en cuanto al crecimiento de los archivos de patrones de virus producidos por los fabricantes de seguridad de contenidos. Actualmente, TrendLabs detecta cerca de 800 virus por hora. Teniendo en cuenta la tasa actual de crecimiento, se prevé que tal cantidad aumente hasta los 26.500 virus por hora para el año 2015. Está claro que estamos frente a un reto insuperable si seguimos “armados” solamente con los ficheros de firmas.

 

La única manera eficaz de derrotar a este nuevo tipo de amenazas web es rechazar la tecnología basada en ficheros de patrones del siglo pasado y confiar en una nueva arquitectura. La tecnología Smart Protection Network de Trend Micro ha reubicado la detección de malware llevándola a la nube y dejando a un lado la metodología basada en la distribución de fichero de patrones para todos. Dado que Trend Micro Smart Protection Network reside en la nube, es decir, en Internet, los clientes siempre tienen la información plenamente actualizada de ficheros, emaill y websites de confianza y todo ello disponible en tiempo real y de forma dinámica. Utilizando esta tecnología, las peticiones son comprobadas contrastándose con nuestra amplia base de datos Smart Protection Network que incorpora múltiples variables para determinar la reputación del archivo, del email y de la web.

 

En el ejemplo real de este exploit de día cero, Smart Protección Network fue capaz de detener de forma inmediata y eficaz la infección de las máquinas bloqueando las conexiones a un número limitado de servidores que proporcionaban componentes de malware a los equipos explotados por el JavaScript. Esta misma tecnología de reputación también fue eficaz en el recuento de las redirecciones de cientos de miles de webs aparentemente “inocentes” que se han visto comprometidas con el ataque masivo de inyección SQL.

 

Actualmente Smart Protection Network proporciona alrededor de 5.000 millones de accesos al día y bloquea más de 10 millones de infecciones diarias escaneando páginas web, emails y ficheros de código malicioso.

 

Para el futuro…

El entorno de los ciber-criminales en 2009 estará influenciado también por la desaceleración económica global iniciada en 2008, que se espera se acentúe durante 2009. A continuación explicaré los factores derivados de este fenómeno socio-económico que considero serán importantes:

 

1.- A medida que la crisis financiera comience a golpear los hogares de forma más tangible durante 2009, seremos testigos de un aumento continuo del desempleo y un declive general de la salud financiera que afectará a las familias. Con este panorama se espera que las bandas del ciber-crimen organizado se aprovechen de esto, pues a medida que los programadores altamente cualificados, que están relativamente descontentos y que quieren prosperar económicamente se queden sin trabajo, tanto en Europa como en los países que tradicionalmente proporcionan servicios externalizados de TI, los ciber-delincuentes se dedicarán a hacer su labor de captación. Si estos no encuentran ninguna dificultad para reclutar voluntarios que craqueen CAPTCHAS por un precio medio de 2 o 3 dólares, es seguro que se aprovecharán del crecimiento de la fuerza de trabajo altamente capacitada y disponible.

 

2.- Las continuas perturbaciones en el mundo comercial (banca, retail, finanzas, seguros, etc.) provocará que veamos cada vez a más compañías atravesando dificultades, dejando sus negocios o como candidatas posibles a compras y fusiones. Esta es exactamente el tipo de confusión con la que la ingeniería social prospera y que ya hemos visto actual a principios de 2008 durante la crisis financiera. Como este conjunto peculiar de circunstancias comience a hacer más mella se estará ofreciendo una corriente de novedosas alternativas de ingeniería social a la que se aferrarán los ciber-criminales.

 

Explotar vulnerabilidades y descargar programas que contienen código recurrente para publicidad en Internet continuará creciendo porque no hay ningún impedimento para que los ciber-criminales cambien su comportamiento. La funcionalidad que impulsa la Web 2.0, las herramientas como AJAX, Adobe Flash y JavaScript, continuarán permitiendo que los criminales utilicen los mismas mecanismos para conseguir sus fines. No creo que el mercado acoja cambios tecnológicos en las metodologías que hay detrás del ciber-crimen aunque, desde mi punto de vista, creo que empezaremos a ver un cambio en los vectores de suministro y en los objetivos:

1.- Los dispositivos móviles están siendo cada vez más prolíficos, y se han visto ayudados en gran medida por la popularidad del iPhone y el aumento de la tecnología táctil en Windows mobile y dispositivos Symbian. Se prevé detectar malware específicamente dirigido a dispositivos móviles y quizá sea la primera vez que se utilicen para “botnets 3G”.

2.- La confianza en los “amigos” que se tienen en las páginas de redes sociales ha sido testigo de la evolución de estafas de ingeniería social hacia finales de 2008 y se espera que esto continúe durante 2009, mediante la utilización de cuentas comprometidas que serán utilizadas para enviar mensajes a amigos asociados en un estilo directo y creíble, y cuya intención real es infectar, comprometer u obtener información o beneficios económicos de la víctima a través de las técnicas de ingeniería social.

3.- La tecnología VoIP está ganando aceptación rápidamente y se convertirá también en un objetivo para el lucro de los ciber-delincuentes tanto en aplicaciones VOIP rebeldes, vishing y como una potencial fuente de beneficios en ataques DDoS.
 

*Rik Ferguson es Responsable de Arquitectura de Soluciones de Trend Micro

Enviar a un amigo

Imprimir noticia

Compartir noticia

OPINA SOBRE LA NOTICIA

Su comentario
Nombre E-mail (no se mostrarÁ)
Introduce el número de la imagen. (Código de verificación para prevenir envios automáticos)
Enviar