Desarrollo de las amenazas informáticas en 2007: la muerte de los programas nocivos “sin fines de lucro” Kaspersky: Boletín de segu-ridad 2007

Kaspersky Lab, el líder en la producción de sistemas de defensa contra software nocivo e indeseable, ataques de hacker y spam, anuncia la publicación en Viruslist de su informe analítico anual “Kaspersky: Boletín de seguridad 2007. Desarrollo de las amenazas informáticas en 2007”, elaborado por los expertos de la compa-ñía.

En este informe anual de Kaspersky Lab se analizan los cambios más importantes en la dinámica del desarrollo de los programas noci-vos. Durante la elaboración del informe se ha usado un novísimo método estadístico, diferente del que usaban los especialistas en el pasado. El informe está dirigido tanto a los profesionales en el campo de la seguridad informática, como a todos los usuarios interesados en los problemas de la virología informática.

El año 2007 quedará en la historia como el de la muerte de los programas nocivos “sin fines de lucro”. En este año ninguna de las epidemias o propagación de programas nocivos más o menos importantes careció de ánimo de lucro. Casi todas las epidemias de 2007 fueron de corta duración y no afectaron Internet en todo el mundo, sino en regiones y países aislados. Esta forma de organizar las epidemias ya se ha convertido en estándar de facto.

Entre los nuevos programas nocivos de este año se destaca el así denominado “Gusano de tormenta” (Zhelatin en la clasificación de Kaspersky Lab), que fue detectado por primera vez en enero de 2007. En el lapso de un año demostró un espectro tan amplio de con-ductas y formas de propagación, que los expertos antivirus quedaban atónitos ante el as-pecto de cada troyano creado por desconocidos autores.

En Zhelatin se plasmaron casi todos los logros de la filosofía de los autores de virus al-canzados en estos últimos años. Entre ellos podemos ver tecnologías rootkit, ofuscación del código, redes zombi que se saben defender del análisis y la investigación; así como la interacción a través de redes P2P entre los ordenadores infectados sin que medie ningún centro de administración. El gusano usaba todos los medios posibles para propagarse, desde los tradicionales (correo electrónico, sistemas de mensajes instantáneos, etc.) hasta los servicios de la época de la Web 2.0 (difusión a través de redes sociales: blogs, foros, RSS).

En 2007, los ataques DoS fueron uno de los temas clave en la seguridad informática. Después de un periodo de aplicación activa en 2002-2003, los ataques DoS no gozaban de gran popularidad entre los delincuentes cibernéticos, pero esto cambiaría en 2007. En este año hicieron su regreso, y no sólo como instrumento de extorsión, sino también como un medio de lucha política y contra la competencia. El ataque realizado contra Estonia en mayo de 2007 tuvo gran cobertura en los medios y muchos expertos lo consideran el primer caso de guerra ci-bernética. Detrás de una serie de ataques DoS está la competencia de las víctimas. Si hace cuatro años sólo los hackers extorsionadores o los hooligans usaban estos ataques, ahora se han convertido en una mercadería más, al igual que los envíos masivos de spam o la creación de programas nocivos “a la medida” del cliente.

El mundo de los negocios informáticos delictivos dio a luz en 2007 varios nuevos tipos de actividades criminales. El sector de creación de nuevos programas nocivos “a la medida” y con prestación de asistencia técnica a los clientes se desarrolló de forma muy activa. El ejemplo más notorio de este tipo de negocio es la historia del programa troyano-espía Pinch. Sus autores crearon por encargo más de 4.000 va-riantes de este troyano. Todo parece indicar que esta historia terminó en diciembre de 2007, cuando el director de FSB, N. Pátrushev, anun-ció el arresto de los autores de Pinch.

Si vemos los resultados de este año en su expresión cuantitativa, la victoria indiscutible les pertenece a los troyanos que roban los datos de los usuarios de juegos en Internet: su número es mucho mayor que el de los programas troyanos dedicados al robo de cuentas de bancos.

Los incidentes más curiosos de 2007 fueron los ataques masivos a sitios web, para después poner en los mismos programas nocivos o en-laces a sitios infectados. Uno de estos sucesos fue el acontecido con unos 10.000 sitios web italianos, en los cuales se instaló un surtido de exploits Mpack. Este incidente en Italia y el ya mencionado Mpack dirigieron nuestra atención a una más de las actividades de los delincuentes cibernéticos: durante la investigación se estableció que los programas nocivos habían sido colocados en sitios web hospedados por la red Russian Business Network (RBN). Se trataba de un servicio de hospedaje de páginas web “a prueba de balas”, cuyos propietarios garantizaban a sus clientes completo anonimato, protección contra persecución jurídica y ausen-cia de ficheros que registren sus actividades (logs). Los medios de información de todo el mundo levantaron un gran revuelo alrededor de RBN, hasta que ésta se vio obligada a pasar a la clandestinidad, dividiéndose en varias platafor-mas de hospedaje en diferentes países del mundo para ocultar las dimensiones reales de sus actividades.

Estos fueron los principales sucesos de 2007, que resultó ser el año más “vírico” de toda la historia. La cantidad total de amenazas se du-plicó durante este año. En 2007 nuestra compañía agregó a nuestra base de datos antivirus casi la misma cantidad de “identikits” de programas que en todos los 15 años anteriores. Semejante avalancha de amenazas es inaudita en Internet, y durante este periodo tuvimos que aplicar todos nuestros esfuerzos y a veces hacer lo imposible para enfrentarla. Todo esto nos despierta serios recelos, porque si la situación no cambia en 2008 (y no hay premisas para lo contrario), dentro de un año nos espera otra duplicación de la cantidad de amenazas.

Pronósticos

1. Malware 2.0

La evolución de los programas nocivos desde ejemplares aislados hasta proyectos complejos que interactúan entre sí empezó hace cuatro años con el componente del sistema modular usado en el gusano Bagle. El nuevo modelo de funcionamiento de los programas nocivos, que mostró su efectividad en 2007 con el "Gusano de tormenta" no sólo se convertirá en norma para la gran masa de nuevos proyectos nocivos, sino que seguirá desarrollándose.

Sus principales rasgos son:

• la red de ordenadores infectados no tiene un centro de adminis-tración;
• consta de métodos para contrarrestar activamente los intentos de analizarlo y para obtener el mando;
• los envíos del código nocivo son al mismo tiempo masivos y de corta duración;
• usa de forma muy correcta los métodos de ingeniería social;
• se usan diferentes métodos de propagación y al mismo tiempo van abandonando los más evidentes (correo electrónico);
• tiene diferentes módulos para realizar diferentes funciones (y no todo-en-uno).

La nueva generación de programas nocivos se puede clasificar como Malware 2.0. Una técnica similar es usada por los programas noci-vos Bagle, Zhelatin y Warezov. Estos programas están destinados a hacer la mayor parte de los envíos de spam actuales, pero algunas familias de troyanos “bancarios” y “de juegos” y están empezando a mostrar ciertos rasgos de este sistema de funcionamiento.

2. Rootkits y “bootkits”

Las técnicas de camuflaje de su presencia en el sistema (rootkits) se empezarán a usar no sólo en los programas troyanos, sino también en los virus para ficheros. Una técnica peligrosa más de ocultar su presencia en el ordenador será la tecnología de infectar el sector de inicio del disco duro, usado por los así denominados “bootkits”. Esta es una reencarnación de una vieja técnica que le permite al programa nocivo obtener el mando aún antes de que se inicie el sistema operativo y los programas antivirus. En 2007 este truco lo utilizó Back-door.Win32.Sinowal. Este método representa un gran peligro para los usuarios y en 2008 puede convertirse en uno de los principales problemas de la seguridad informática.

3. Virus para ficheros

Continuará el regreso de los virus para ficheros. Al igual que antes, serán los delincuentes chinos quienes liderarán su creación, y estarán destinados a los usuarios de juegos en Internet. No excluimos la posibilidad de que los autores de Zhelatin o Warezov usen estas técnicas, ya que pueden ofrecerles un método importante para propagarse.

En 2008 nos espera un embate de incidentes con distributivos de juegos y programas infectados que estarán en sitios web y sistemas de intercambio de ficheros populares. Los virus tratarán de infectar precisamente aquellos ficheros que los usuarios quieren intercambiar. En muchos casos este método de propagación puede resultar más efectivo que el envío masivo del fichero infectado por correo electrónico.

4. Ataques contra las redes sociales

En 2008 el phishing sufrirá cambios significativos y empezará a apuntar a los usuarios de redes sociales. Los datos de las cuentas de los usuarios de servicios como Facebook, MySpace, Livejournal, Blogger y similares tendrán gran demanda entre los delincuentes. Esta será un importante método alternativo de colocación de programas nocivos en los sitios secuestrados. En 2008 una gran cantidad de programas troyanos se propagarán mediante las cuentas de los usuarios de redes sociales, sus blogs y perfiles.

Seguirá siendo un problema relacionado con las redes sociales los ataques XSS\PHP\SQL. A diferencia del phishing, que usa métodos de es-tafa y de ingeniería social, estos ataques se basarán en los errores y vulnerabilidades de los servicios Web 2.0 y afectarán hasta a los usua-rios bastante avanzados. Su objetivo será, como siempre, los datos privados y la creación de ciertas bases de datos y listas para realizar futu-ros ataques con la ayuda de métodos tradicionales.

5. Amenazas para dispositivos móviles

En lo que se refiere a los dispositivos móviles y sobre todo a los teléfonos celulares, las amenazas se repartirán entre primitivos programas troyanos - similares a los representantes de la familia Skuller para Symbian y el “primer troyano para iPhone” - y diferentes vulnerabilidades en los sistemas operativos y aplicaciones para smartphones. Nos parece que es poco probable la aparición de alguna epidemia global de gusanos para celulares, aunque las premisas técnicas ya existen. La repartición del mercado de sistemas operativos para smartphones entre Symbian y Windows Mobile, en 2007 se vio conmovida por la aparición de iPhone y el anuncio de la nueva plataforma móvil Android creada por Google. Lo más probable es que la novedad y popularidad de iPhone atraigan la atención de los delincuentes más que hacia otros dispositivos móviles. Sobre todo si los entornos de progra-mación de aplicaciones para el mismo (SDK) se hacen públicos, como anunció la compañía Ap-ple a finales de 2007.

Lea la versión completa del informe anual “Kaspersky Security Bulletin 2007. Desarrollo de las amenazas en 2007” en el portal informativo y de análisis Viruslist.com.