Guía básica de utilización de medios Informáticos en forma segura. Compilado por Juan Guillermo Ossa Li profejgol@yahoo.es Septiembre de 2010 Existen medios y programas que ayudan a protegerse ante amenazas y conductas maliciosas al usar medios computacionales. Es sabido a estas alturas, que se hacen necesarios los sistemas de defensa ante contagios de virus y otras amenazas cuando se usa una computadora, sea que esté o no conectada a Internet. En el mercado existen conocidas empresas dedicadas a la fabricación de medios de detección y eliminación de códigos maliciosos que afectan a redes y computadoras. En el presente trabajo, sigo la máxima de que no existe mejor protección ante el mal uso y la delincuencia informática que la educación. Un buen conocimiento de los medios de uso de la ciberdelincuencia, permite tomar las precauciones adecuadas y no caer en estafas o contagios. Es la ingenuidad, el desconocimiento y la buena fe de los usuarios de computadoras el medio explotado más común para infectar y estafar a los usuarios. Así, espero que los datos aportados, permita sumar el sentido común y los conocimientos necesarios para mantenerse a salvo de las amenazas más habituales y los trucos usados para por los ciberdelincuentes. Claro está, que lo aquí expuesto no suple que se cuente con buenas herramientas protectoras actualizadas en cada computadora. Por último, me parece bueno explicar que conocer las diversas formas de amenaza, ayuda a crear estrategias de protección por parte de los usuarios. Tales estrategias no son desarrolladas in-extenso en el presente trabajo, sin embargo se aportan algunas recomendaciones breves. Los temas sobre la seguridad en informática son actualmente muy extensos y existen sitios en Internet muy buenos para profundizar, hacerle seguimiento y ponerse al día de las nuevas formas de amenazas que surgen a diario.
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Les recomiendo la lectura del presente resumen que les ahorrará seguramente muchos sinsabores, les resultará muy útil para adquirir mayor confianza en el uso de Internet y sus servicios.
Amenazas Actuales Actualmente existen muchas amenazas a las que los usuarios están expuestos por el simple hecho de encender su computadora o de conectarnos a una red. A continuación, se definirán las más comunes y ampliamente difundidas. Desde hace más de 20 años se conocen los programas llamados Virus Informáticos y su definición ha variado notablemente con el correr el tiempo. A diferencia de programas normales, no considerados malware y que son instalados con el consentimiento del usuario, estas aplicaciones son capaces de realizar acciones dañinas sin que el usuario lo sepa. Los primeros virus se reproducían de equipo en equipo utilizando los medios disponibles en ese momento, que eran los disquetes. Por esta razón, la velocidad de contagio era baja y se tardaba relativamente bastante tiempo desde que un virus era creando hasta que el mismo llegaba al usuario. Luego, cuando las redes se masificaron e Internet llegó a todos los hogares y organizaciones, la velocidad de propagación de los virus se incrementó pudiendo llegar a ser inmediata, luego de la creación y difusión del virus. La clasificación del malware se ha diversificado y crece día a día en donde cada vez es más común escuchar distintos términos anglosajones que los describen. Clasificación de Malware En sus orígenes sólo se identificaba un tipo de malware, el cual recibió el nombre de virus informático debido a ciertas semejanzas que estos programas tienen con los virus biológicos. Estas aplicaciones nacieron como experimentos matemáticos en laboratorios, buscando alternativas para técnicas de vida artificial, y al
Página 2 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
principio sólo eran capaces de infectar archivos del sistema operativo DOS y con una baja tasa de reproducción debido a los métodos que utilizaban. Al evolucionar el software y los sistemas operativos, los virus también lo hicieron con ellos hasta llegar a las formas actuales de malware. Hoy en día, la clasificación, si bien es más extensa, puede considerarse que es la siguiente. Virus Informático (propiamente dicho) Su origen se puede establecer al observar investigaciones sobre Inteligencia y Vida Artificial. Estos conceptos fueron desarrollados por John Von Newman hacia 1950, estableciendo por primera vez la idea de programas autoreplicantes. Luego de muchas investigaciones, recién en 1983, Fred Cohen y Len Adleman le asignan el nombre de “virus”, se los define y se hacen los primeros experimentos que funcionan sobre un sistema Unix. Su nombre proviene del latín “veneno” y de su semejanza con los virus biológicos ya citados: · · ·
Ambos utilizan un huésped e inician sus actividades en forma oculta al mismo. Ninguno de los dos posee “metabolismo” propio y hacen uso del huésped. Ambos tienen como objetivo la reproducción y modifican de alguna forma al huésped.
Así, actualmente se considera a un Virus Informático (VI) como un archivo o porción de código ejecutable capaz de reproducirse, auto-ejecutarse y ocultarse. Es decir, que cumple con el modelo de ser Dañino, Auto-replicante y Subrepticio (DAS). Descripción de un virus Como ya se ha mencionado un VI no es más que un programa que modifica de alguna forma a otro programa para lograr sus objetivos de reproducción. De manera general, se puede graficar el siguiente modelo:
Página 3 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Imagen 1-Modelo de Virus
Como puede apreciarse, el usuario ejecuta su “ProgramaBueno.exe” que aloja el virus. El programa se ejecuta, el virus toma el control por un breve período de tiempo, realiza sus acciones y devuelve el control al huésped. Como es fácil imaginar, el usuario no se entera de las acciones realizadas por el virus. La amplia difusión que alcanzaron principalmente en sistemas Windows (muy utilizado), llevó que en poco tiempo se pudieran contar por cientos las variedades y la clasificación de los virus. Si bien cada virus puede clasificarse en más de una forma y puede utilizar más de una técnica de infección, para su estudio conviene hacerlo por separado. Así se tiene la siguiente clasificación:
Página 4 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Virus de programas ejecutables Los virus que infectaban programas ejecutables (.exe, .com, .dll, .sys, .pif) fueron los primeros que lograron expansión masiva.1 1 Más información: http://es.wikipedia.org/wiki/Ejecutable Estos virus se “adosan” al programa huésped mediante diferentes técnicas. Una vez que el virus es iniciado por primera vez, queda residente en memoria infectando otros archivos ejecutables. Virus residentes en memoria El objetivo de residir en memoria es tomar el control de las acciones realizadas por el sistema operativo (y el usuario). Cada vez que se accede a un tipo de archivo que el virus sea capaz de infectar, procede a hacerlo. Por supuesto, para que el virus logre residir en memoria el usuario debe, previamente, haber recibido y ejecutado un archivo infectado. Virus de sector de arranque (ACSO: Anterior Carga del Sistema Operativo) En los primeros 512 bytes de un disco se encuentra lo que se llama sector de arranque o sector de booteo. El mismo es capaz de contener código ejecutable y este espacio es aprovechado por este tipo de virus, ya que permaneciendo en ese sector, se asegura su ejecución cada vez que se arranca desde el disco infectado. Estos virus almacenan el sector de booteo original en otro sector del disco de forma tal que posterior a la ejecución del virus se pueda ejecutar. Macrovirus Las aplicaciones de ofimática (Microsoft Office y OpenOffice) tienen la capacidad de ejecutar macros e incluir lenguajes de programación para realizar algunas funciones. Los virus de macro se han aprovechado de esa funcionalidad para ejecutar su código. Su funcionamiento consiste en que si la aplicación abre un archivo infectado, ella (o parte de ella) se infecta y cada vez que se genera un nuevo documento o se modifique uno, contendrá el macrovirus.
Página 5 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Virus de correo electrónico Este tipo de virus tomó relevancia en los últimos años con la supremacía del correo electrónico como medio de comunicación. Si bien explotan diferentes técnicas de ingeniería social o vulnerabilidades para su expansión, la forma de reproducción es siempre la misma: · · ·
Un usuario recibe un correo con un virus. Abre el correo y el virus se ejecuta infectando su computadora. El virus es capaz de auto-enviarse a los contactos y seguir la cadena de reproducción.
Actualmente, este tipo de virus es el de mayor propagación por la gran difusión que ha sabido obtener el correo electrónico. Los métodos utilizados y las distintas técnicas se verán con profundidad a continuación. Gusano Originalmente eran programas que se reproducían constantemente hasta agotar totalmente los recursos del sistema huésped. Como ejemplo se puede citar al que se considera el primer gusano de Internet: el gusano de Morris, el cual colapsó ArpaNet (la Internet de los 80). Actualmente son desarrollados para reproducirse por algún medio de comunicación como el correo electrónico (el más común), mensajeros o redes P2P. El objetivo de los mismos es llegar a la mayor cantidad de usuarios posible y lograr distribuir otros tipos de códigos maliciosos que se mencionarán a continuación. Estos últimos serán los encargados de llevar a cabo el engaño, robo o estafa. Otro objetivo muy común de los gusanos es realizar ataques de Denegación de Servicio Distribuido (DDoS) contra sitios webs específicos o incluso eliminar "virus que son competencia" para el negocio que se intente realizar. A continuación se muestra un correo en el cual llega el gusano Bagle, de amplia repercusión durante los últimos años:
Página 6 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Imagen 2-Correo Virus Bagle
Como puede preciarse, el cuerpo del mensaje contiene “Robert” y luego puede verse que el archivo adjunto se llama “Margrett.zip”.
Imagen 3-Virus Comprimido
Posteriormente se puede observar el contenido del archivo comprimido: un archivo ejecutable que es el gusano propiamente dicho. Troyano Es un código malicioso que permite el acceso a un sistema ignorando los procedimientos normales y correctos de autenticación. Es un pequeño
Página 7 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
programa generalmente alojado dentro de otra aplicación (un archivo) normal. En la teoría, un troyano no es virus, ya que no cumple con todas las características de los mismos, pero debido a que estas amenazas pueden propagarse de igual manera, suele incluírselos dentro del mismo grupo. Su objetivo es pasar inadvertido al usuario e instalarse en el sistema cuando este ejecuta el archivo "huésped". Luego de instalarse, pueden realizar las más diversas tareas, ocultas al usuario. Actualmente se los utiliza para la instalación de otros malwares, como backdoors, y permitir el acceso al sistema al creador del troyano. Algunos troyanos, los menos, simulan realizar una función útil al usuario a la vez que también producen una acción dañina. La similitud con el "caballo de Troya" de los griegos es evidente y debido a esa característica recibieron su nombre. Exploits Es un programa o código que "explota" una vulnerabilidad del sistema o parte de él, para aprovechar esta deficiencia en beneficio del creador del mismo. Si bien el código que explota la vulnerabilidad no es un código malicioso en sí mismo, generalmente se lo utiliza para otros fines como permitir el acceso a un sistema o como parte de otros malwares como gusanos y troyanos. Es decir, que actualmente, los exploits son utilizados como “componente” de otro malware, ya que al explotar vulnerabilidades del sistema permite hacer uso de funciones que no estarían permitidas en caso normal. Existen diversos tipos de exploits dependiendo de las vulnerabilidades utilizadas y todos los días son publicados nuevos, para cualquier sistema y programa existente, pero sólo una gran minoría son utilizados como parte de otros malwares (aquellos que pueden ser explotados en forma relativamente sencilla y que pueden lograr gran repercusión). Rootkits Originalmente, el término proviene de sistemas Unix y hacía referencia a pequeñas utilidades y herramientas que permitían acceso como Página 8 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
administrador ("root") de esos sistemas. La expresión ha evolucionado y actualmente es un conjunto de herramientas utilizadas en cualquier sistema para conseguir acceder ilícitamente al mismo. Generalmente se los utiliza para ocultar procesos y programas que permiten acceso al sistema atacado, incluso tomar control de parte del mismo. Actualmente, en algunos casos, son utilizados por ciertas empresas para controlar componentes del sistema y permitir o denegar su utilización. Hay que remarcar que el uso de estos programas es éticamente incorrecto (o incluso ilegal), ya que se hace sin la autorización expresa del usuario. Backdoors Estos programas son diseñados para abrir una "puerta trasera" en nuestro sistema de modo tal de permitir al creador del backdoor tener acceso al sistema y hacer lo que desee con él. El objetivo es lograr una gran cantidad de computadoras infectadas para disponer de ellos libremente hasta el punto de formar redes como se describen a continuación. Redes de Bots (zombies) Los bots son propagados a través de Internet utilizando a un gusano como transporte. Se realizan envíos masivos de ellos mediante correo electrónico o aprovechando vulnerabilidades en navegadores. Más información: http://es.wikipedia.org/wiki/Root Una vez que se logra una gran cantidad de sistemas infectados, se forman amplias redes que "trabajan" para el creador del programa. Aquí hay que destacar tres puntos importantes: ·
·
·
Este trabajo en red se beneficia del principio de "computación distribuida" que dice que miles de sistemas funcionando juntos tienen una mayor capacidad de procesamiento que cualquier sistema aislado. El creador del programa puede pertenecer a una red de delincuencia que ha armado su ataque, y que tienen estos programas trabajando en su beneficio. El grupo "propietario de la red" de maquinas zombies puede alquilarle a otros su red para realizar alguna acción ilegal. Página 9 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
El objetivo de las redes zombies puede ser realizar ataques de DDoS (Denegación de Servicio Distribuído), distribución de spam, etc. Keyloggers Como su nombre lo indica, un keylogger es un programa que registra y graba la pulsación de teclas y clics para luego enviarla a la persona que lo haya instalado. Actualmente existen dispositivos de hardware y aplicaciones que realizan estas tareas. A continuación, puede verse la interfaz de un famoso keylogger llamado Perfect keylogger y también se ve un dispositivo de grabación. Este último se instala entre el teclado y la computadora.
Imagen 4-Keylogger físico
Imagen 5 -Keylogger por software
Estas técnicas son muy utilizadas por el malware orientado a robar datos confidenciales o privados del usuario. Ransomware El término sajón ransom se define como la exigencia de pago por la restitución de la libertad de alguien o de un objeto, lo que en castellano se traduciría como secuestro. Si a esto se agrega la palabra software se obtiene ransomware, definido como el secuestro de archivos a cambio de un rescate. Recibe este nombre cualquier software dañino generalmente distribuido a través del spam y que mediante distintas técnicas imposibilita al dueño de un Página 10 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
documento acceder al mismo. El modo más comúnmente utilizado, es cifrar con clave dicho documento y dejar instrucciones al usuario para obtenerla, posterior al pago del "rescate".
Imagen 6-Ransonware
Spam El spam es el correo no deseado que llega día a día a la bandeja de entrada. El objetivo del mismo es ofrecer productos que por lo general no son de interés, pero según las estadísticas el 4 por ciento del correo no solicitado logra su objetivo y los usuarios terminan comprando los productos ofrecidos. El spam tiene un gran "éxito", porque las empresas que publicitan sus productos pueden hacerlo por un valor muy inferior (hasta 100 veces más barato) al costo de hacer publicidad de formas tradicionales. Los spammers (personas que envían spam) obtienen sus ganancias de enviar los correos a todos los usuarios que tienen en sus bases de datos o alquilar su red de distribución. Las formas de recolectar correos para alimentar estas bases de datos pueden ser algunas de las siguientes: Cadenas de correos electrónicos (hoax y cadenas). Direcciones publicadas en foros, páginas webs, etc.
Página 11 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Correos formados por la combinación de letras tomadas aleatoriamente. Por ejemplo enviar emails a aaa@empresa.com, aab@empresa.com, aac@empresa.com, etc. Es evidente que haciendo todas las combinaciones se obtendrán direcciones válidas. Algunos de los perjuicios a los que nos somete el spam son: Se da un mal uso al ancho de banda. Reduce la productividad. Se “paga” por recibir el spam (pago por el servicio al que se está conectado, se consume ancho de banda, se pierde tiempo, etc.). Es un medio eficiente para hacer fraudes. Perdida de mensajes legítimos por la utilización de filtros. Los virus son muchas veces creados para hacer de computadoras zombies por medio de los cuales pasas spam a millones de personas. A continuación, se puede ver uno de los tantos correos que pueden llegar con diversas ofertas:
Imagen 7-Mensaje de spam
Página 12 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Hoax Si bien los hoaxes no son una amenaza propiamente dicha, se los incluye en esta clasificación, porque suele utilizarse para robar y recolectar direcciones de correos de los usuarios. Comenzaron siendo bromas o engaños enviados por correo, y luego se convirtieron en una verdadera epidemia al ser enviados en forma de cadena que los mismos usuarios se encargan de seguir, luego de creer el mensaje que los mismos llevan. Las características que se deben remarcar de un hoax son: Son mensajes de correo electrónico engañosos que se distribuyen en cadena. Incluyen textos alarmantes sobre virus informáticos, promociones especiales, ayuda a personas, etc. Su principal propósito: engañar a los usuarios y jugarles una broma. Otro objetivo: recolectar las casillas de correo a las que se reenvía el mensaje con copia. Encontraron nuevos medios de “reproducción”, además del correo electrónico: la mensajería instantánea. No son realmente problemáticos, pero “colaboran” con otros males de Internet como el spam. Todos tienen un elemento de distribución: “envía este correo a X personas”. Como se puede ver en el último punto, los mensajes explotan la Ingeniería Social y mediante diversas metodologías convencen al usuario que debe enviar el e-mail a cierta cantidad de personas (generalmente toda la libreta de direcciones). Es común recibir un mail con cientos de personas copiadas:
Página 13 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Imagen 8-Correo reenviado con direcciones de correo en su cabecera
Como puede apreciarse es muy fácil recolectar direcciones de correo electrónico. Como ya se mencionó, esta es una técnica muy utilizada por los spammers para hacerse con miles de potenciales “clientes”. Scam El scam (engaño o timo en inglés) también conocido como fraude o estafa a la Nigeriana (por su origen) o el 419 Scam (por el número de artículo del código penal de Nigeria) es una mezcla de spam y hoax que persigue un fin delictivo y generalmente están relacionados a donaciones y comisiones. Las primeras versiones originales de scam eran enviadas por fax, pero con el advenimiento del correo electrónico, hoy son enviadas en forma de spam y generalmente tiene relación a la salida de fondos de algún país. El país donde comenzó esta técnica fue Nigeria, y esa es la explicación de su nombre. En el correo se solicitan ciertos datos confidenciales (como cuentas bancarias) con la promesa de que se traspasarán millones de dólares en concepto de comisiones. En estos correos es común observar diversas tretas para engañar al usuario y así ponerlos en contacto con los autores de los mismos. A continuación puede verse un ejemplo:
Página 14 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Imagen 9-Mensaje scam
Phishing El phishing es un mensaje de correo electrónico que simula ser enviado, comúnmente por una entidad o institución financiera, e intenta engañar a los destinatarios haciéndoles creer que el mensaje de correo es legal y proviene de dicha entidad. El mensaje generalmente informa que se han perdido o se van a perder los datos personales del usuario, e invita a los destinatarios a ingresar al enlace Página 15 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
que figura en el correo para completar el formulario con la información confidencial que se solicita. Si el usuario es engañado por dicho mensaje, hará clic en el enlace del correo y de esta manera, ingresará a una página web falsa, pero idéntica a la original de la institución correspondiente, y allí facilitará todos los datos personales a los creadores de la amenaza. Es decir que se duplica una página web para hacer creer al visitante que se encuentra en el sitio web original, en lugar del falso. Más información: http://es.wikipedia.org/wiki/Estafa_nigeriana y http://home.rica.net/alphae/419coal Normalmente, se utiliza con fines delictivos enviando spam e invitando acceder a la página señuelo. El objetivo del engaño es adquirir información confidencial del usuario. Como ya se mencionó, esta técnica de engañar al usuario se llama Ingeniería Social y es muy utilizada en ambientes delictivos relacionados con la tecnología. El problema del phishing es el daño tangible que puede generar, porque una vez que el usuario complete los datos correspondientes dentro de la página web falsa, los criminales tendrán acceso a información sensible, como claves de acceso bancarias, números de tarjetas de crédito y sus códigos de seguridad, y toda información relacionada, que luego será utilizada para estafar a la víctima. La industria del phishing es tal, que incluso actualmente se venden "kits" prearmados para que cualquiera pueda realizar estafas de este estilo en forma sencilla.
Página 16 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
Imagen 10-Mensaje falso (phishing)
Spyware El Spyware (Spy Software) o software espía es una aplicación que recopila información sobre una persona u organización con o sin su conocimiento. El objetivo más común es distribuirlo a empresas publicitarias u otras organizaciones interesadas. Actualmente es uno de los tipos de malware de mayor difusión, y tiene una elevada incidencia en la actividad de los profesionales y usuarios hogareños. Las estadísticas demuestran que hoy en día existen más versiones distintas de spyware que de virus. La diferencia reside en el hecho de que los virus estuvieron presentes en el mundo informático durante los últimos veinte años, mientras que el spyware es una amenaza reciente, de no más de tres o cuatro años de antigüedad. Inicialmente el spyware nació como un conjunto de aplicaciones incluidas junto al software gratuito, con el objetivo de obtener información sobre la actividad del usuario en su computadora, a fin de poder determinar su perfil Página 17 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
de navegación e intereses. Esto tiene mucho valor para las compañías dedicadas al marketing en Internet, ya que gracias a esta información pueden confeccionar bases de datos que les permiten conocer fehacientemente qué es lo que puede interesarle a cada usuario o perfil en particular. Uno de los métodos utilizados son las páginas de Internet que aprovechan las vulnerabilidades en los navegadores de los usuarios. Cuando un usuario navega por ciertos sitios web, es posible que un spyware intente instalarse en su equipo, explotando algún agujero de seguridad. Además, los spyware incrementaron sus funcionalidades hasta convertirse en algo más que programas ocultos que procuran obtener información: hoy intentan interactuar con el usuario a través de barras de herramientas en el navegador o simulando tener alguna funcionalidad. Uno de los problemas que genera el spyware, además de la clara invasión a la privacidad, es la degradación de las redes informáticas, debido a la constante comunicación que mantienen con sitios no deseados. Quizás el caso más conocido de Spyware ha sido el del “simpático” mono Bonzi Buddy.
Imagen 11- Empresas que instalan spywares
Adware El Adware (Advertised Software) es un software que despliega publicidad de distintos productos o servicios. Estas aplicaciones incluyen código adicional que muestra la publicidad en ventanas emergentes, o a través de una barra que aparece en la pantalla.
Página 18 de 19
Juan Guillermo Ossa Lagarrigue
profejgol@yahoo.es
A continuación se muestra la instalación de una barra que es muy común de ver en los exploradores de los usuarios: Hotbar, una barra que simula ser “divertidos emoticones”.
Imagen 12-Instalación de Hotbar
En esta imagen puede apreciarse la barra instalada en Internet Explorer.
Imagen 13- Hotbar instalada
i
.Profesor de Computación especialista en enseñanza del Adulto y el Adulto Mayor.
Página 19 de 19