Una al dÃa: 12 años de seguridad informática - Hispasec
Una al dÃa: 12 años de seguridad informática - Hispasec
Una al dÃa: 12 años de seguridad informática - Hispasec
- No tags were found...
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
1998 - 2009<strong>Una</strong> <strong>al</strong> díaOnce años <strong>de</strong> <strong>seguridad</strong> informáticaSergio <strong>de</strong> los SantosDiseño: Alberto García<strong>Hispasec</strong> SistemasSeguridad y Tecnologías <strong>de</strong> la Información
<strong>Una</strong> <strong>al</strong> día: Once años <strong>de</strong> <strong>seguridad</strong> informáticapor Sergio <strong>de</strong> los SantosDiseño: Alberto Garcíaestá licenciada bajoCreative Commons Reconocimiento-No comerci<strong>al</strong>-Sin obras <strong>de</strong>rivadas 3.0 Unported.Basada en un trabajo <strong>de</strong> <strong>Hispasec</strong> SistemasTodas las marcas y logotipos que se encuentran en este libro son propiedad <strong>de</strong> sus respectivascompañías o dueños.Los permisos más <strong>al</strong>lá <strong>de</strong> esta licencia están disponibles en <strong>Hispasec</strong>.com.ISBN: 978-1-4092-4380-9
Descargo <strong>de</strong> responsabilidadEl libro está basado en su mayoría en información propia <strong>de</strong> <strong>Hispasec</strong>, recopilada durante los últimos diezaños. Todas las referencias y créditos pue<strong>de</strong>n ser encontrados en la página <strong>Hispasec</strong>.com. También se hacontrastado información con la Wikipedia en Wikipedia.org, tanto en su versión en castellano como eninglés a<strong>de</strong>más <strong>de</strong> diferentes diarios online.Hemos tenido el máximo cuidado a la hora <strong>de</strong> ofrecer datos y fechas, <strong>de</strong> forma que la información ofrecidasea lo más ajustada y veraz posible. Aun así, no po<strong>de</strong>mos ofrecer responsabilidad ni garantía <strong>al</strong>guna sobreel contenido <strong>de</strong>l libro.Con respecto a las erratas, el texto ha pasado varios filtros <strong>de</strong> corrección, pero es muy probable que notodas hayan sido <strong>de</strong>tectadas y subsanadas. Nos disculpamos <strong>de</strong> antemano.Gracias a los que han confiado en mí para llevar a cabo este proyecto, y a todos los que me han ayudado amejorarlo.Sergio <strong>de</strong> los Santos
El libro está estructurado en años. En cada año se hace un recorrido <strong>de</strong> forma breve por los acontecimientosmás importantes ocurridos en la política, sociedad, economía, sucesos... En una segunda sección se habla<strong>de</strong> los datos y noticias más relevantes ocurridos en <strong>seguridad</strong> informática en ese mismo año. Se incluyenlas mejores una-<strong>al</strong>-día <strong>de</strong>l año correspondiente, t<strong>al</strong> cu<strong>al</strong> fueron publicadas, con sus potenci<strong>al</strong>es f<strong>al</strong>los,erratas, etc. La última sección se trata <strong>de</strong> una entrevista en exclusiva a los personajes que, por una u otrarazón, han sido relevantes en <strong>de</strong>l mundo <strong>de</strong> la <strong>seguridad</strong> informática durante el año referido.SeccionesDurante ese año...Cada párrafo se correspon<strong>de</strong> con una breve <strong>de</strong>scripción <strong>de</strong> los sucesos <strong>de</strong> cu<strong>al</strong>quier ámbito (ecología,política, sociedad...) que han marcado el año. No preten<strong>de</strong> ser un exhaustivo anuario que recorra todo loacontecido en ningún ámbito en concreto, sino un pequeño recordatorio que sitúe históricamente <strong>al</strong> lectoren el contexto <strong>de</strong>l año sobre el que se <strong>de</strong>sarrolla el resto <strong>de</strong> noticias sobre informática.Seguridad informáticaCada párrafo se correspon<strong>de</strong> con una <strong>de</strong>scripción <strong>de</strong> la evolución <strong>de</strong> <strong>al</strong>gún suceso <strong>de</strong>stacable relacionadocon la <strong>seguridad</strong> informática. Un recorrido por toda una década <strong>de</strong> virus, vulnerabilida<strong>de</strong>s, frau<strong>de</strong>s, <strong>al</strong>ertase innovación en Internet. En la mayoría <strong>de</strong> las ocasiones se re<strong>al</strong>iza un pequeño análisis con la perspectiva<strong>de</strong>l tiempo, que ayuda a conocer dón<strong>de</strong> han ido a parar los proyectos, o qué punto <strong>de</strong> inflexión supuso elgermen <strong>de</strong> <strong>al</strong>guna ten<strong>de</strong>ncia que hoy en día se conserva.<strong>Una</strong>-<strong>al</strong>-díaSe trata <strong>de</strong> una pequeña selección <strong>de</strong> una-<strong>al</strong>-día. Las que hemos consi<strong>de</strong>rado más relevantes y que pue<strong>de</strong>naportar <strong>al</strong>go más <strong>al</strong> apartado previo. Las una-<strong>al</strong>-día han sido específicamente seleccionadas para ofreceruna visión completa y glob<strong>al</strong> <strong>de</strong> la <strong>seguridad</strong> <strong>de</strong>l año referido. Suponen un complemento <strong>al</strong> resumen previosobre <strong>seguridad</strong>, ahondado o añadiendo información relevante escrita en el momento <strong>de</strong>l suceso, t<strong>al</strong> cu<strong>al</strong>se percibía en ese momento. Se ha respetado la ortografía y las potenci<strong>al</strong>es erratas incluso que hayanpodido s<strong>al</strong>ir publicadas, para obtener una sensación más exacta <strong>de</strong>l contexto en el que fueron escritas.EntrevistaHemos re<strong>al</strong>izado entrevistas en exclusiva a los que creemos personajes relevantes <strong>de</strong> la <strong>seguridad</strong>: BruceSchneier, Eugene Kaspersky, Cuartango, Mikel Urizarbarrena, Jorge Ramió, Johannes Ullrich... que nosrespon<strong>de</strong>n amablemente a preguntas sobre el pasado, presente y futuro <strong>de</strong> la <strong>seguridad</strong> informática.DocumentaciónPublicaremos <strong>al</strong>gunas fotografías relevantes o anecdóticas sobre <strong>Hispasec</strong> en estos últimos 10 años.Todo el texto está s<strong>al</strong>picado a<strong>de</strong>más <strong>de</strong> pequeñas y gran<strong>de</strong>s anécdotas referentes a una-<strong>al</strong>-día e <strong>Hispasec</strong>,secretos confesables y documentación añeja.
03/06/1999 Absuelto el princip<strong>al</strong> acusado <strong>de</strong>l “Caso Hispahack”29/06/1999 Tres años <strong>de</strong> virus para Windows9x/NT16/08/1999 Escuchas y censura en Internet28/09/1999 Cifrado seguro utilizando una simple baraja <strong>de</strong> pókerEntrevista | 42Mercè Molist, periodista especi<strong>al</strong>izada en Internet y hacking.Capítulo 2 | 2000 | 47Es el año <strong>de</strong>l miedo a la pérdida <strong>de</strong> intimidad: Echelon, Carnívoro y los números <strong>de</strong> serie en el PentiumIII, <strong>de</strong> la esperanza en el comercio electrónico y su eterno <strong>de</strong>spegue inmediato, <strong>de</strong> los troyanos clásicossofisticados como SubSeven y BackOrifice, <strong>de</strong>l virus LoveLetter y la infección masiva a través <strong>de</strong>l correo yOutlook Express, <strong>de</strong>l <strong>de</strong>spegue <strong>de</strong> Google frente a otros buscadores más engañosos...Noticias seleccionadas | 5602/01/2000 Efecto 2000: éxito sin prece<strong>de</strong>ntes y verda<strong>de</strong>s a medias21/01/2000 El gobierno reformará la ley para evitar el <strong>de</strong>lito informático23/02/2000 Virus “in the wild”, ¿cuál es la fórmula?06/04/2000 Las guerras <strong>de</strong> los MP304/05/2000 Consi<strong>de</strong>raciones sobre VBS.LoveLetter, un gusano muy simple<strong>12</strong>/07/2000 Carnívoro18/09/2000 Aparece el primer virus “companion” para NTFS27/10/2000 Caso Microsoft: <strong>de</strong>bilida<strong>de</strong>s en el planteamientoEntrevista | 66Juan S<strong>al</strong>om, Jefe <strong>de</strong>l Grupo <strong>de</strong> Delitos Telemáticos <strong>de</strong> la Unidad Centr<strong>al</strong> Operativa <strong>de</strong> la GuardiaCivil.Capítulo 3 | 2001 | 69El año <strong>de</strong>l mayor atentado terrorista <strong>de</strong> la historia, <strong>de</strong>l nacimiento <strong>de</strong> XP, <strong>de</strong>l virus Anna Kournikova, <strong>de</strong> losbulos infinitamente enviados y reenviados por email, <strong>de</strong> la llegada <strong>de</strong>l ADSL y las banda ancha a España aprecios razonables, <strong>de</strong> epi<strong>de</strong>mias como la <strong>de</strong> SirCam y Co<strong>de</strong> Red con sus respectivas variantes...Noticias seleccionadas | 7813/02/2001 AnnaKournikova: ¿fracaso <strong>de</strong> la comunidad antivirus?15/04/2001 Windows XP, ¿el fn<strong>al</strong> <strong>de</strong> los virus informáticos?
19/04/2001 Virus y teléfonos móviles29/07/2001 Refexiones sobre SirCam14/11/2001 Legislación norteamericana contra los análisis <strong>de</strong> <strong>seguridad</strong>Entrevista | 88Jorge Ramió, coordinador <strong>de</strong> la Red Temática Iberoamericana <strong>de</strong> Criptografía y Seguridad <strong>de</strong> laInformación (CriptoRed)Capítulo 4 | 2002 | 93Es el año <strong>de</strong> la llegada <strong>de</strong>l euro, <strong>de</strong>l nacimiento <strong>de</strong>l emule, <strong>de</strong>l hundimiento <strong>de</strong>l Prestige, <strong>de</strong>l persistente ymutante virus Klez, <strong>de</strong> programas troyanizados en servidores ofici<strong>al</strong>es (OpenSSH, libpcap y Sendmail),<strong>de</strong> P<strong>al</strong>ladium y el miedo la pérdida <strong>de</strong> libertad, <strong>de</strong> los éxitos <strong>de</strong> la computación distribuida, <strong>de</strong>l ataque <strong>de</strong><strong>de</strong>negación <strong>de</strong> servicio a los servidores DNS raíz...Noticias seleccionadas | 10301/01/2002 Gusanos <strong>de</strong> Internet: pasado, presente y futuro (III)04/04/2002 La trastienda <strong>de</strong>l “full disclosure”25/04/2002 ¿Infectado por “Klez.x”? Hora <strong>de</strong> cambiar <strong>de</strong> antivirus15/05/2002 “Spam” para robar datos sensibles24/07/2002 Certificaciones antivirus obsoletas13/08/2002 Antivirus corporativo: dos (diferentes) mejor que uno31/10/2002 Comentarios sobre los antivirus perimetr<strong>al</strong>es11/11/2002 Certificaciones <strong>de</strong> productos, ¿garantía <strong>de</strong> <strong>seguridad</strong> o marketing?30/<strong>12</strong>/2002 Actu<strong>al</strong>izaciones <strong>de</strong> Microsoft, un arma <strong>de</strong> doble filoEntrevista | 115Héctor Sánchez Montenegro, responsable <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Microsoft en España <strong>de</strong>s<strong>de</strong> el 2001 <strong>al</strong>2003.Capítulo 5 | 2003 | 119Es el año <strong>de</strong> la horrible guerra <strong>de</strong> Iraq, <strong>de</strong>l nacimiento <strong>de</strong> Fedora, <strong>de</strong>l avistamiento <strong>de</strong> los primerosphishings y la creación <strong>de</strong>l término como t<strong>al</strong>, <strong>de</strong> epi<strong>de</strong>mias como Slammer, Blaster, Sobig... <strong>de</strong> la <strong>al</strong>ianzaentre spammers y troyanos, <strong>de</strong>l <strong>de</strong>spegue fin<strong>al</strong> <strong>de</strong> las re<strong>de</strong>s in<strong>al</strong>ámbricas y <strong>de</strong>l wardriving...Noticias seleccionadas | <strong>12</strong>903/02/2003 Antivirus: el efecto “zoo”
28/03/2003 Antivirus: ¿especi<strong>al</strong>ización o navaja suiza?28/04/2003 Virus, antivirus, y sensacion<strong>al</strong>ismo mediático13/06/2003 Microsoft y el mercado antivirus28/09/2003 Impacto <strong>de</strong>l monopolio <strong>de</strong> Microsoft en la <strong>seguridad</strong>13/10/2003 Microsoft: marketing vs. SeguridadEntrevista | 141Johannes Ullrich, fundador <strong>de</strong> Dshield, que ahora forma parte <strong>de</strong> SANS Internet.Capítulo 6 | 2004 | 145El año <strong>de</strong> los atentados <strong>de</strong>l 11 <strong>de</strong> marzo en Madrid, el fin <strong>de</strong> la época romántica <strong>de</strong> los virus con la aparición<strong>de</strong> Bagle y sus múltiples evoluciones, <strong>de</strong>l nacimiento <strong>de</strong> Ubuntu y <strong>de</strong>l s<strong>al</strong>to por los aires <strong>de</strong> las reglasestablecidas en el correo web con la irrupción <strong>de</strong> Gmail. De la guerra entre creadores <strong>de</strong> m<strong>al</strong>ware conNetsky y Mydoom, <strong>de</strong> Sasser y <strong>de</strong>l <strong>de</strong>spegue <strong>de</strong> la sindicación RSS para estar informado. Nace Virustot<strong>al</strong>.Noticias seleccionadas | 15208/02/2004 Un 90% <strong>de</strong> las aplicaciones web son inseguras15/02/2004 ¿Cuánto se tarda en resolver una vulnerabilidad?28/02/2004 Cambios en la arquitectura <strong>de</strong> los PC26/03/2004 Flecos <strong>de</strong> las soluciones antivirus03/05/2004 Gusano Sasser: un m<strong>al</strong> menor que evi<strong>de</strong>ncia la f<strong>al</strong>ta <strong>de</strong> <strong>seguridad</strong>01/06/2004 El mayor antivirus público <strong>de</strong> Internet24/10/2004 Informe: comparando la <strong>seguridad</strong> <strong>de</strong> Windows y LinuxEntrevista | 161Bruce Schneier, criptógrafo y gurú <strong>de</strong> la <strong>seguridad</strong>, Chief Security Technology Officer <strong>de</strong> BT.Capítulo 7 | 2005 | 165El año <strong>de</strong>l huracán Katrina, <strong>de</strong> la Constitución Europea y <strong>de</strong> la muerte <strong>de</strong> Juan Pablo II. De los virus Mytoby sus variantes, <strong>de</strong> las máquinas zombi y las gran<strong>de</strong>s botnets, <strong>de</strong>l fin <strong>de</strong> Phrack y <strong>de</strong>l <strong>de</strong>spegue <strong>de</strong> MozillaFirefox, <strong>de</strong>l rootkit <strong>de</strong> Sony y <strong>de</strong> la aparición <strong>de</strong> las tarjetas <strong>de</strong> coor<strong>de</strong>nadas y teclados virtu<strong>al</strong>es comoprotección ante el phishing.Noticias seleccionadas | 17501/02/2005 Publicidad f<strong>al</strong>sa <strong>de</strong> Terra en relación a su antivirus<strong>12</strong>/04/2005 Fuerza bruta contra creatividad, los gusanos buscan el dinero
21/04/2005 Virus y móviles, una ten<strong>de</strong>ncia <strong>al</strong> <strong>al</strong>za26/05/2005 Nueva generación <strong>de</strong> phishing rompe todos los esquemas27/07/2005 Troyanos y phishing, una amenaza en <strong>al</strong>za21/09/2005 La publicidad web como vía para infectar los sistemas07/10/2005 Planes <strong>de</strong> recuperación ante <strong>de</strong>sastresEntrevista | 184Mikel Urizarbarrena, fundador <strong>de</strong> Panda Software.Capítulo 8 | 2006 | 189Es el año <strong>de</strong> la gripe aviar, <strong>de</strong> las caricaturas <strong>de</strong> Mahoma, <strong>de</strong>l <strong>de</strong>spegue fin<strong>al</strong> <strong>de</strong> la llamada web 2.0, <strong>de</strong>l éxito<strong>de</strong> YouTube tras ser comprado por Google, <strong>de</strong> las bandas organizadas <strong>de</strong> m<strong>al</strong>ware, <strong>de</strong> las vulnerabilida<strong>de</strong>s“0 day” para Microsoft Office, <strong>de</strong>l Blue Pill <strong>de</strong> Rutkowska, <strong>de</strong> la moda <strong>de</strong> los periodos temáticos <strong>de</strong>publicación <strong>de</strong> vulnerabilida<strong>de</strong>s “mes <strong>de</strong> los f<strong>al</strong>los en...”Noticias seleccionadas | 20222/01/2006 250.000 máquinas “zombies” <strong>al</strong> día en diciembre22/02/2006 Manzanas y gusanos28/03/2006 Troyanos bancarios: nuevos enfoques contra sistemas <strong>de</strong> <strong>seguridad</strong>24/04/2006 Sexo, troyanos, y phishing<strong>12</strong>/07/2006 Troyanos bancarios y evolución <strong>de</strong>l phishing31/08/2006 La <strong>de</strong>ca<strong>de</strong>ncia <strong>de</strong> los gusanos <strong>de</strong> infección masiva24/10/2006 M<strong>al</strong>ware y phishing, ¿ponemos más puertas <strong>al</strong> campo?18/<strong>12</strong>/2006 De compras en el supermercado <strong>de</strong>l m<strong>al</strong>wareCapítulo 9 | 2007 | 219El año <strong>de</strong> las fuertes lluvias, inundaciones y tormentas en toda Europa, <strong>de</strong> la aparición <strong>de</strong> Windows Vista,<strong>de</strong> los ataques coordinados e insistentes contra la infraestructura <strong>de</strong> Internet <strong>de</strong> Estonia, <strong>de</strong>l Storm Wormy el <strong>de</strong>safío a las casas antivirus con la frenética aparición <strong>de</strong> variantes, <strong>de</strong> las gran<strong>de</strong>s infraestructurasdon<strong>de</strong> <strong>al</strong>ojar el m<strong>al</strong>ware 2.0, <strong>de</strong> la guerra <strong>de</strong> cifras y <strong>de</strong> graves vulnerabilida<strong>de</strong>s en Firefox e InternetExplorer, <strong>de</strong>l ataque a páginas web legítimas para inst<strong>al</strong>ar troyanos...Noticias seleccionadas | 23<strong>12</strong>2/01/2007 El mediático troyano <strong>de</strong> la tormenta y las lecciones no aprendidas06/02/2007 Kaspersky reconoce que no pue<strong>de</strong> hacer milagros13/02/2007 Phishing, el “hermano pobre” <strong>de</strong> los troyanos
21/06/2007 Resaca <strong>de</strong>l ataque masivo a través <strong>de</strong> webs comprometidas09/08/2007 M<strong>al</strong>ware 2.008/08/2007 Antivirus: rendimiento vs. Protección18/08/2007 El escarabajo <strong>de</strong> oro17/10/2007 ¿Es la Russian Business Network el centro <strong>de</strong> operaciones mundi<strong>al</strong> <strong>de</strong>l m<strong>al</strong>ware?02/11/2007 Ataque con troyano para usuarios <strong>de</strong> Mac05/<strong>12</strong>/2007 Servicios antiphishing ¿efectivos?Entrevista | 246Eugene Kaspersky, presi<strong>de</strong>nte y fundador <strong>de</strong> Kaspersky Labs.Capítulo 10 | 2008 | 251El año <strong>de</strong> la crisis económica mundi<strong>al</strong>, <strong>de</strong> la catástrofe <strong>de</strong>l avión <strong>de</strong> Spanair y <strong>de</strong> la puesta en marcha <strong>de</strong>lLHC, <strong>de</strong> la montaña rusa en las bolsas e inestabilidad económica mundi<strong>al</strong>, <strong>de</strong> la muerte <strong>de</strong>l grupo 29A, <strong>de</strong>los consorcios europeos para mejorar y monitorizar la <strong>seguridad</strong> y <strong>de</strong> las gran<strong>de</strong>s “catástrofes” <strong>de</strong> Internet:Vulnerabilida<strong>de</strong>s en el protocolo base <strong>de</strong> DNS, BGP, el problema criptográfico <strong>de</strong> Debian y en f<strong>al</strong>lo en TCP/IP que permite provocar una <strong>de</strong>negación <strong>de</strong> servicio a cu<strong>al</strong>quier dispositivo conectado...Noticias seleccionadas | 26417/01/2008 Un año <strong>de</strong> Storm Worm01/04/2008 Mitos y leyendas: Las contraseñas en Windows I (Tipos <strong>de</strong> ataques)23/04/2008 ¿PayP<strong>al</strong> bloqueará a los navegadores “inseguros”?16/05/2008 Preguntas frecuentes sobre el problema critptográfco <strong>de</strong> Debian20/05/2008 “Hoy goodware, mañana no sé”27/05/2008 Virus y promiscuidad. Del disquete <strong>al</strong> USB22/07/2008 Descubiertos los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> la vulnerabilidad en el protocolo DNS30/07/2008 Consejos útiles contra el m<strong>al</strong>ware 2.0 en Windows20/10/2008 La comparativa <strong>de</strong>l escánd<strong>al</strong>o27/11/2008 El antivirus que lo <strong>de</strong>tecta todoCapítulo 11 | 2009 | 285Es el año <strong>de</strong> la resaca <strong>de</strong> la crisis económica, <strong>de</strong> la Gripe A, <strong>de</strong> la muerte <strong>de</strong> Michael Jackson y <strong>de</strong>l golpe <strong>de</strong>estado en Honduras. Es el año <strong>de</strong>l Conficker, <strong>de</strong> graves vulnerabilida<strong>de</strong>s en productos <strong>de</strong> Acrobat y <strong>de</strong> lostroyanos más avanzados que podamos imaginar.
Noticias seleccionadas | 29211/02/2009 Por qué el 92% <strong>de</strong> las vulnerabilida<strong>de</strong>s críticas en Windows minimizarían su impacto si no seusase la cuenta <strong>de</strong> administrador18/03/2009 Antivirus y f<strong>al</strong>sos positivos... un <strong>de</strong>smadre25/03/2009 Routers, mo<strong>de</strong>ms y botnets02/04/2009 Éxitos y fracasos <strong>de</strong> Conficker21/06/2009 Protegiéndonos <strong>de</strong> las soluciones <strong>de</strong> <strong>seguridad</strong>
Prólogo a la edición anteriorHace un año, por estas mismas fechas cumplíamos 10 años, motivo por el cu<strong>al</strong> nos embarcábamosen el apasionante reto <strong>de</strong> la publicación <strong>de</strong> un libro que recogiera todo lo acontecido en esos 10 años, enel mundo <strong>de</strong> la <strong>seguridad</strong> informática. A la larga el proyecto se convirtió en <strong>al</strong>go mucho más ambicioso,dando como resultado un magnifico volumen en el que se hacía un recorrido por 10 años <strong>de</strong> historia, <strong>de</strong>informática, <strong>de</strong> <strong>seguridad</strong> informática, <strong>de</strong> curiosida<strong>de</strong>s sobre <strong>Hispasec</strong> y se complementaba con un buennúmero <strong>de</strong> entrevistas a personas relevantes <strong>de</strong> nuestro sector.Ha transcurrido un año más, por lo que si Pitágoras no f<strong>al</strong>la ahora cumplimos 11 años, un número menosredondo pero no por ello menos importante. De una forma mucho más silenciosa, pasando <strong>de</strong>sapercibida,hace pocos días enviábamos la “una <strong>al</strong> día” número 4.000. Para no sobrecargar a nuestros lectores conmúltiples avisos y celebraciones <strong>de</strong> aniversario preferimos juntar todo en una única fecha.Por todo ello, editamos ahora una nueva versión <strong>de</strong> nuestro libro, con una revisión y ampliación paracubrir todo lo acontecido durante este último año, para a<strong>de</strong>más publicarlo en formato digit<strong>al</strong>.Este último año no ha estado exento <strong>de</strong> gran<strong>de</strong>s retos y emociones para <strong>Hispasec</strong> Sistemas. La concesión<strong>de</strong>l “Trofeo Extraordinario <strong>de</strong>l Jurado” <strong>de</strong>ntro <strong>de</strong> los “Trofeos <strong>de</strong> la Seguridad TIC 2008” <strong>de</strong> la revista RedSeguridad, la cada vez mayor repercusión <strong>de</strong> VirusTot<strong>al</strong> internacion<strong>al</strong>mente, la ampliación <strong>de</strong> recursosen VirusTot<strong>al</strong>, la ampliación <strong>de</strong> nuestro laboratorio técnico o nuestra participación como miembrosfundadores <strong>de</strong>l Consejo Nacion<strong>al</strong> Consultivo <strong>de</strong> CiberSeguridad...Aun con todo, el prólogo que tuve ocasión <strong>de</strong> escribir el año pasado sigue tot<strong>al</strong>mente vigente por lo queantes <strong>de</strong> ofrecer la introducción <strong>de</strong>l pasado año, no me queda más que reiterar el agra<strong>de</strong>cimiento a todoslos que hicieron y han hecho posible <strong>Hispasec</strong> y este libro, a los amigos, lectores, integrantes y clientes <strong>de</strong><strong>Hispasec</strong>.Antonio Ropero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática 1
IntroducciónHace diez años no había mucha información sobre <strong>seguridad</strong> informática que fuera más <strong>al</strong>lá <strong>de</strong> los virus<strong>de</strong>l momento. Internet tampoco estaba muy implantado en la sociedad como ocurre en la actu<strong>al</strong>idad.Sin embargo hace diez años, hablando por IRC con Bernardo, me dijo <strong>al</strong>go así como “apuesto a que haysuficiente materi<strong>al</strong> sobre <strong>seguridad</strong> como para sacar una noticia todos los días”. No me sorprendió.En aquella época yo trabajaba en la revista PC Actu<strong>al</strong> y Bernardo era colaborador externo. Solíamosredactar juntos artículos sobre temas <strong>de</strong> <strong>seguridad</strong>, comparativas antivirus, y similares. Así que escribirsobre informática, o en concreto sobre <strong>seguridad</strong> informática, no nos resultaba raro ni complicado.Bernardo escribió ese mismo día la primera noticia y la envió a un pequeño grupo <strong>de</strong> amigos y compañeros.El reto propuesto por Bernardo me pareció una gran i<strong>de</strong>a, a<strong>de</strong>más tenía claro que era tot<strong>al</strong>mente factible,así que me propuse ayudarle con otra noticia. Los dos primeros días, Bernardo envió su noticia, pero <strong>al</strong>tercero envió la que había escrito yo. Poco a poco, se convirtió en <strong>al</strong>go habitu<strong>al</strong>, entre los dos y sin darnosapenas cuenta habíamos conseguido mantener el ritmo diario.De esa forma tan espontánea nació una-<strong>al</strong>-día y el proyecto empezó a tomar forma y a ampliarse. Habíamosconseguido mantener la regularidad día a día, y cada vez era más gente la que nos pedía que le añadiésemosa la lista <strong>de</strong> los que recibían la noticia. En las primeras semanas <strong>de</strong>l proyecto también se unieron AntonioRomán y Jesus Cea, <strong>de</strong> forma que lo que hoy es <strong>Hispasec</strong> empezó a convertirse en re<strong>al</strong>idad. Trabajamos enun diseño y dos meses <strong>de</strong>spués, a fin<strong>al</strong>es <strong>de</strong> 1998, nacía el port<strong>al</strong> <strong>de</strong> <strong>Hispasec</strong>.Cada día se apuntaba más gente y en pocos meses ya contábamos con miles <strong>de</strong> subscriptores. Con el tiempo,la aceptación <strong>de</strong>l servicio creció hasta sobrepasar los 40.000 suscriptores diarios directos, y sobre todo,comenzamos a ser reconocidos como una fuente <strong>de</strong> información rigurosa sobre <strong>seguridad</strong> informática conun carácter técnico y tot<strong>al</strong> in<strong>de</strong>pen<strong>de</strong>ncia <strong>de</strong> terceros.<strong>Hispasec</strong> había nacido como un reto <strong>de</strong>sinteresado, sin ninguna pretensión económica ni empresari<strong>al</strong>,pero la <strong>de</strong>manda <strong>de</strong> los propios usuarios y lectores hizo que el proyecto se afianzara y dos años más tar<strong>de</strong>nació <strong>Hispasec</strong> Sistemas. <strong>Una</strong> empresa creada y gestionada por los cuatro fundadores <strong>de</strong> <strong>Hispasec</strong>, con elmismo carácter con el que había nacido una-<strong>al</strong>-día. Es <strong>de</strong>cir, una empresa <strong>de</strong> marcado carácter técnico,sin capit<strong>al</strong> externo, tot<strong>al</strong> in<strong>de</strong>pen<strong>de</strong>ncia <strong>de</strong> intereses ajenos y pensando en seguir ofreciendo servicios a lacomunidad.Des<strong>de</strong> un primer momento <strong>Hispasec</strong> se vio envuelta en continuos proyectos, mejoras y crecimiento. Peroaun con la gestión empresari<strong>al</strong> <strong>de</strong> por medio, siempre hemos mantenido nuestra primera i<strong>de</strong>a <strong>de</strong> ofrecerservicios gratuitos que sirvan para mejorar la <strong>seguridad</strong> e información <strong>de</strong> la comunidad: una-<strong>al</strong>-día,CheckDi<strong>al</strong>er, informes técnicos, VirusTot<strong>al</strong> y su VTUploa<strong>de</strong>r, y muchos otros. Y esperamos, con la ayuda<strong>de</strong> todos, po<strong>de</strong>r seguir haciéndolo durante mucho tiempo más.Más <strong>de</strong> 3.650 una-<strong>al</strong>-día publicadas hasta la actu<strong>al</strong>idad, seleccionar un grupo <strong>de</strong> ellas (86 en concreto) esun difícil reto. ¿Qué criterios seguir para la selección? No quiere <strong>de</strong>cir que sean las mejores noticias <strong>de</strong>laño, ni las que más repercusión hayan tenido. Seguramente nuestros lectores más habitu<strong>al</strong>es recuer<strong>de</strong>n<strong>al</strong>guna en especi<strong>al</strong> que no aparezca. <strong>Una</strong> labor <strong>de</strong> selección complicada, re<strong>al</strong>izada pensando en tratar <strong>de</strong>ofrecer una visión glob<strong>al</strong> <strong>de</strong> la <strong>seguridad</strong> en el año concreto.Pero hemos querido ir mucho más lejos. Este libro, no es solo una selección <strong>de</strong> las una-<strong>al</strong>-día publicadas. Elestupendo trabajo re<strong>al</strong>izado por Sergio <strong>de</strong> los Santos permite tener una i<strong>de</strong>a gener<strong>al</strong> <strong>de</strong>l estado <strong>de</strong>l mundo2<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática
en sus aspectos más glob<strong>al</strong>es (política, sociedad, etc.), <strong>de</strong> la informática y concretamente <strong>de</strong> la <strong>seguridad</strong>informática. Permite recapitular los <strong>de</strong>t<strong>al</strong>les más relevantes <strong>de</strong> cada año, recordar sucesos ya olvidados,y englobar cada año en su contexto. Para ello, en cada uno <strong>de</strong> los once capítulos en que se estructura estelibro, se re<strong>al</strong>iza un breve recordatorio <strong>de</strong> los hechos soci<strong>al</strong>es, políticos, económicos <strong>de</strong>l año, y un repaso <strong>de</strong>datos y sucesos más relevantes en relación con la <strong>seguridad</strong> informática.A<strong>de</strong>más cada capítulo se ve complementado con una entrevista a diez personajes representativos <strong>de</strong> la<strong>seguridad</strong> informática en España y en el mundo. Bernardo Quintero se ha encargado <strong>de</strong> formular unasinteresantes preguntas a Bruce Schneier, Kaspersky, Cuartango, Mikel Urizarbarrena, Jorge Ramió, MercéMolist, Juan S<strong>al</strong>om, Hector Sánchez Montenegro y Johannes Ullrich. Todos ellos dan su visión sobre la<strong>seguridad</strong> informática, cómo ha cambiado o evolucionado a lo largo <strong>de</strong> estos últimos diez años, qué nos<strong>de</strong>para, o cómo ha sido su relación con <strong>Hispasec</strong>. Nuestro más sincero agra<strong>de</strong>cimiento a todos ellos por sucolaboración en este proyecto.Los más fieles seguidores <strong>de</strong> una-<strong>al</strong>-día, que nos consta que los hay, también encontrarán múltiplescuriosida<strong>de</strong>s a lo largo <strong>de</strong>l libro. Hemos rebuscado en los cajones, en copias <strong>de</strong> <strong>seguridad</strong> ya olvidadas,en carpetas olvidadas en discos duros y entre los mensajes más antiguos para ofrecer datos y fotografíasnunca antes revelados ni publicados sobre <strong>Hispasec</strong>.En estos 10 años todos hemos sufrido muchos cambios, y este libro bien refleja todos ellos, tanto en lasociedad como en el mundo <strong>de</strong> la informática. A modo <strong>de</strong> reflexión, se podría <strong>de</strong>cir que en muchos aspectosla <strong>seguridad</strong> informática ha cambiado bien poco. Para muchas empresas sigue siendo una carga, y muchasotras no ven la necesidad <strong>de</strong> invertir en <strong>seguridad</strong> hasta que no ven las “orejas <strong>al</strong> lobo”. Por otra parte,el eslabón más débil en la ca<strong>de</strong>na <strong>de</strong> la <strong>seguridad</strong> informática sigue siendo el usuario. En eso no hemoscambiado.Sólo me queda aprovechar la ocasión para agra<strong>de</strong>cer a todos los que en <strong>al</strong>gún momento, <strong>de</strong> una forma u otra,han dado lugar a que el espontáneo proyecto origin<strong>al</strong> se haya convertido en la actu<strong>al</strong> <strong>Hispasec</strong>. Bien por suaportación, confianza, enseñanzas o sugerencias e incluso críticas. A PC Actu<strong>al</strong> (y todos sus integrantes), <strong>al</strong>os subscriptores <strong>de</strong> una-<strong>al</strong>-día, a todos los que hayan leído <strong>al</strong>guna <strong>de</strong> nuestras informaciones, compañeros,clientes, a los usuarios <strong>de</strong> cu<strong>al</strong>quiera <strong>de</strong> nuestros servicios.Muy especi<strong>al</strong>mente a:Francisco Santos, Julio Canto, Sergio <strong>de</strong> los Santos, Eusebio <strong>de</strong>l V<strong>al</strong>le, Giorgio T<strong>al</strong>vanti, Xavier Cab<strong>al</strong>lé,Sergio Hernando, Javier Labella, Santos Herranz, Esther <strong>de</strong> Pazos, Karim Adolfo Bouhl<strong>al</strong>a, MoritzKonstantin Meurer, Pablo Molina, David García, Emiliano Martínez, Michael Skladnikiewicz, AlbertoGarcía, Pawel Janic, Alejandro Bermú<strong>de</strong>z, Manuel Castillo, Victor Manuel Álvarez, Marcin Noga, MatthewJurczyk, María <strong>de</strong>l Carmen Padilla, Christian Soto, Rafael Fuentes, Jacob Fernán<strong>de</strong>z, Carlos Boni, VictorTorre, David Reguera, Alejandro Gómez, José Ignacio P<strong>al</strong>acios......y todos los que lo han hecho re<strong>al</strong>idad.Antonio Ropero: Socio fundador <strong>de</strong> <strong>Hispasec</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática 3
4<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática
7CE3716año 1998Capítulo011111001110
8836<strong>12</strong>800 – 915148799Durante este año...__El año comienza con el fenómeno meteorológico <strong>de</strong> El Niño en todos los informativos.Las tormentas causadas azotan el norte <strong>de</strong> América y meses más tar<strong>de</strong>, se cebaría enFlorida con una nueva ola <strong>de</strong> tornados. El nombre <strong>de</strong> “El Niño” viene <strong>de</strong> “El niño Jesús”por anunciarse habitu<strong>al</strong>mente en la época <strong>de</strong> Navidad en la costa oeste <strong>de</strong> América <strong>de</strong>l Sur. Aunque losefectos <strong>de</strong> este fenómeno ya se <strong>de</strong>scubrieron en 1923, fue mundi<strong>al</strong>mente conocido durante ese año.__La película Titanic, estrenada el año anterior, gana 11 premios <strong>de</strong> la Aca<strong>de</strong>mia (Oscars). James Cameronconsigue así un rotundo éxito <strong>de</strong> taquilla tras Terminator 2 en 1991. El director rodó casi consecutivamentedos <strong>de</strong> las películas más caras <strong>de</strong> la historia: Terminator 2 y Titanic. Terminaron por ser tan caras comorentables.__En marzo se <strong>de</strong>scubre que G<strong>al</strong>ileo, la sonda enviada <strong>al</strong> espacio, ha recopilado datos que indican que l<strong>al</strong>una Europa <strong>de</strong>l planeta Júpiter podría disponer <strong>de</strong> un océano líquido bajo una capa <strong>de</strong> hielo.__La administración americana aprueba la Viagra como medicamento paratratar la impotencia. Esta pastilla se convertiría en un pequeño milagro azulpara miles <strong>de</strong> hombres y más tar<strong>de</strong>, en un potente reclamo en el correo basura.Su precio es elevado, y existen <strong>de</strong>cenas <strong>de</strong> farmacias clan<strong>de</strong>stinas en Internet<strong>de</strong>stinadas a la producción (<strong>de</strong> forma leg<strong>al</strong> o no). En ocasiones se trata <strong>de</strong> unaestafa, en otras permiten adquirirla <strong>de</strong> forma barata y anónima. El correo basura,durante mucho tiempo, tendría en la Viagra (y todas sus variantes ortográficasposibles) su mayor <strong>al</strong>iado.__El 25 <strong>de</strong> abril se rompe la presa <strong>de</strong> contención <strong>de</strong> la b<strong>al</strong>sa <strong>de</strong> la mina <strong>de</strong> pirita en Azn<strong>al</strong>cóllar (Sevilla).Se vierte agua ácida y lodos muy tóxicos en 100 kilómetros cuadrados, constituyendo un gravísimo <strong>de</strong>sastreecológico que afecta a la reserva <strong>de</strong>l Coto <strong>de</strong> Doñana. Las organizaciones ecológicas pregonan que era un<strong>de</strong>sastre anunciado, y hoy día siguen diciendo que es posible que vuelva a ocurrir. La causa pen<strong>al</strong> seríaarchivada en 2001. Diez años <strong>de</strong>spués no se ha castigado a ningún responsable <strong>de</strong>l <strong>de</strong>sastre.__ Eurovisión, el festiv<strong>al</strong> caduco y <strong>de</strong>sfasado (que sufriría una revit<strong>al</strong>ización en 2001 gracias a OperaciónTriunfo) nombra a un transexu<strong>al</strong> como ganadora, Dana Internation<strong>al</strong>. A pesar <strong>de</strong> su efímera fama, laartista lleva 14 años trabajando.__Se acuñan ya las primeras monedas <strong>de</strong> Euro, tras un primer intento <strong>de</strong> introducción <strong>de</strong>l ECU comomoneda “abstracta”. Las especificaciones fin<strong>al</strong>es no fueron emitidas hasta fin<strong>al</strong>es <strong>de</strong> año, con los que todasestas primeras monedas tendrían que ser fundidas y vueltas a hacer en 1999.__Charlton Heston se convierte en presi<strong>de</strong>nte <strong>de</strong> la controvertida Nation<strong>al</strong> Rifle Association(Asociación Nacion<strong>al</strong> <strong>de</strong>l Rifle), una organización que <strong>de</strong>fien<strong>de</strong> el <strong>de</strong>recho libre <strong>de</strong> la tenencia <strong>de</strong> armas <strong>de</strong>fuego. En 2003 Michael Moore le haría partícipe involuntariamente <strong>de</strong> su película-document<strong>al</strong> Bowlingfor Columbine. Aunque Moore consiguió un importante golpe <strong>de</strong> efecto, también sería criticado por“manipular” a Heston. El actor moriría en 2008 víctima <strong>de</strong> una enfermedad <strong>de</strong>generativa. Defendió laigu<strong>al</strong>dad <strong>de</strong> <strong>de</strong>rechos civiles entre blancos y negros en Estados Unidos durante los años 60.6<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
__En el mundi<strong>al</strong> <strong>de</strong> fútbol <strong>de</strong> Francia <strong>de</strong> ese año, España no pasa ni a octavos. Es <strong>de</strong>rrotada en laprimera fase contra Bulgaria, Paraguay y Nigeria. Pasarían diez años para que se resarciese y ganara lacopa <strong>de</strong> Europa <strong>de</strong> 2008.__Durante todo el año, el escánd<strong>al</strong>o <strong>de</strong> Bill Clinton y Monica Lewinsky está en su mayor apogeo.Nunca una felación había proporcionado tanto rédito. Los primeros rumores e informaciones sobre esteasunto fueron volcadas en Internet. Al parecer la becaria <strong>de</strong> la Casa Blanca, <strong>de</strong> 25 años entonces, habíamantenido “relaciones sexu<strong>al</strong>es” con el presi<strong>de</strong>nte <strong>de</strong> Estados Unidos (Clinton sostuvo durante muchotiempo que no mantuvo relaciones con esa mujer, por no consi<strong>de</strong>rar el “sexo or<strong>al</strong>” como una “relación”).Matt Drudge, responsable <strong>de</strong> la página “The Drudge Report”, fue el primero en difundir el escánd<strong>al</strong>o,que costó <strong>al</strong>gún tiempo publicar en medios serios por la “gravedad” <strong>de</strong>l asunto. Monica publicaría muypoco <strong>de</strong>spués, en 1999, un libro llamado “Monica’s Story”, una biografía autorizada en la que <strong>de</strong>t<strong>al</strong>laba suaffair con Bill Clinton. Hoy tiene su propio negocio y ven<strong>de</strong> su propia marca <strong>de</strong> bolsos, a<strong>de</strong>más <strong>de</strong> aparecerocasion<strong>al</strong>mente en programas <strong>de</strong> televisión._ El británico Kevin Warwick re<strong>al</strong>iza las primeras pruebas <strong>de</strong> implantación<strong>de</strong> RFID (Radio-frequency i<strong>de</strong>ntification) en humanos, insertando un chip ensu propio brazo. RFID es una tecnología <strong>de</strong>stinada a i<strong>de</strong>ntificar cu<strong>al</strong>quier objetoo anim<strong>al</strong> a través <strong>de</strong> un dispositivo equipado con una antena y un chip que<strong>al</strong>macena información. Da pie a un abierto <strong>de</strong>bate sobre el as<strong>al</strong>to a la intimidadque podría suponer la i<strong>de</strong>ntificación <strong>de</strong> personas y los posibles problemas <strong>de</strong><strong>seguridad</strong> que sufriría el protocolo o la implementación. Es consi<strong>de</strong>rado unserio atentado contra la privacidad. Se le llega a llamar “código <strong>de</strong> barras parahumanos”. En Florida, una familia entera (los Jacbos) se implantarían chipsRFID en febrero <strong>de</strong> 2002. Su intención sería la <strong>de</strong> <strong>al</strong>macenar en ellos información médica importanteque pudiera ayudarles o prevenir problemas <strong>de</strong> contraindicaciones con medicamentos en situaciones <strong>de</strong>emergencia.__El Reino Unido se <strong>de</strong>spi<strong>de</strong> parci<strong>al</strong>mente <strong>de</strong> la pena <strong>de</strong> muerte. Se ratificó así la convención <strong>de</strong>Derechos Humanos prohibiendo la pena <strong>de</strong> muerte excepto en “tiempos <strong>de</strong> guerra o inminente amenaza<strong>de</strong> guerra”. Dejando una puerta abierta para aplicar el castigo. Habría que esperar a febrero <strong>de</strong> 2004 paraque quedase prohibida <strong>de</strong>finitivamente bajo todas las circunstancias.A mediados <strong>de</strong> 1998, la configuración estándar <strong>de</strong> un sistema podía ser:Precesado r Pentium I I a 3 5 0 MHz, 6 4 Megas <strong>de</strong> SDRAM a 10 0 Mhz, D isco duro <strong>de</strong>4. 3 Gigaby tes, VGA <strong>de</strong> 8 megas, Monito r CRT <strong>de</strong> 17 pulgadas, CD ROM <strong>de</strong> 32velocida<strong>de</strong>s, SoundBlaster <strong>de</strong> 64 bits.Y pagar 270.000 pts (más <strong>de</strong> 1.600 euros) por ella. Por 10.000 ptas. más (60 euros) se podríatener el sistema con DVD. Y por unas 20.000 ptas. más (<strong>12</strong>0 euros) un procesador a 400 Mhz.<strong>Una</strong> grabadora <strong>de</strong> CD <strong>de</strong> doble velocidad lo encarecía en 50.000 ptas. (300 euros). Si sequería equipar <strong>al</strong> sistema con una unidad ZIP externa <strong>de</strong> 2 gigas, podía costar 85.000 pts.(500 euros).También se podían comprar sistemas <strong>de</strong> gama baja, con procesadores Celeron con 32megas <strong>de</strong> RAM, disco duro <strong>de</strong> 2 gigabytes y monitor <strong>de</strong> 14 pulgadas por 130.000 ptas.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 7
(unos 800 euros). Esta misma configuración en un portátil, rozaba las300.000 ptas. (1.800 euros) y podía pesar más <strong>de</strong> 3 kilos. Aun con estosprecios, en el primer trimestre <strong>de</strong> 1998 se bate un récord y se ve<strong>de</strong>n 233.000or<strong>de</strong>nadores. <strong>Una</strong> configuración parecida pero con conexión Ultra/Wi<strong>de</strong>SCSI y <strong>de</strong> marca DELL podía s<strong>al</strong>ir por 500.000 pts (3.000 euros).__En octubre American Airlines se convierte en la primera línea aérea en ofrecer billetes electrónicosen 44 países a través <strong>de</strong> su página aa.com. Rápidamente el sistema es adoptado y hoy la mayoría <strong>de</strong> losbilletes han <strong>de</strong>jado <strong>de</strong> ser físicos.__Pokemon llega a Estados Unidos. Tardaría varios años más en llegar a Españay convertirse en un fenómeno en vi<strong>de</strong>ojuegos, televisión y todo tipo <strong>de</strong> productos <strong>de</strong>márketing. 160 millones <strong>de</strong> juegos vendidos hasta la fecha av<strong>al</strong>an el éxito comerci<strong>al</strong> <strong>de</strong>una imagen reconocida en todo el mundo con sólo <strong>12</strong> años <strong>de</strong> vida (fue creado en 1996).__En febrero <strong>de</strong> 1998, XML 1.0 se convierte en una recomendación <strong>de</strong> la W3C. Su diseño comenzó dosaños antes. XML se convertiría <strong>de</strong>s<strong>de</strong> entonces en un estándar ampliamente aceptado y <strong>de</strong> gran éxito entreprogramadores. XML tiene sus raíces en un lenguaje <strong>de</strong> IBM <strong>de</strong> los setenta, llamado GML (Gener<strong>al</strong>izedMarkup Language), que surgió <strong>de</strong> la necesidad <strong>de</strong> IBM <strong>de</strong> <strong>al</strong>macenar gran<strong>de</strong>s cantida<strong>de</strong>s <strong>de</strong> información.En 1986 ISO comenzó a trabajar para norm<strong>al</strong>izarlo, creando SGML, que sentaría las bases <strong>de</strong> XML. Aprincipios <strong>de</strong> 1998, sólo un 1% <strong>de</strong> páginas usan XML. Para cuando acabase el año ya serían un 16%.__En 1997 Network Gener<strong>al</strong> y McAfee Associates se fun<strong>de</strong>n en Network Associates, que a su vez en 1998compran (por 640 millones <strong>de</strong> dólares) Dr. Solomon’s. Dr.Solomon’s Antivirus Toolkit era lí<strong>de</strong>r europeo enAntivirus y se podía comprar por 37.000 pts (220 euros). Más tar<strong>de</strong> todo quedaría bajo la marca McAfee.__ Para conectarse a Internet, un mo<strong>de</strong>m <strong>de</strong> 33600 bps. pue<strong>de</strong> costar 10.000 pts (60 euros). <strong>Una</strong> cámaradigit<strong>al</strong> Casio <strong>de</strong> 1.3 megapixeles, con 8 megas, capaz <strong>de</strong> grabar películas <strong>de</strong> hasta 6.4 segundos,cuesta 109.000 pts. (más <strong>de</strong> 600 euros).__Nace Red2000 un can<strong>al</strong> temático <strong>de</strong> informática en Vía Digit<strong>al</strong> (que en 2003 se fusionaría con suprincip<strong>al</strong> riv<strong>al</strong> Digit<strong>al</strong>+). Se une así <strong>al</strong> can<strong>al</strong> C: que comenzó a emitir en 1997.__Nicholas Negroponte, gurú tecnológico, vaticina que: “En cinco años [a partir <strong>de</strong> 1998, se entien<strong>de</strong>]la gente <strong>de</strong>legará en agentes la tarea <strong>de</strong> navegar por Internet. Pero el comercio electrónico moverá billones<strong>de</strong> dólares y los sistemas <strong>de</strong> pago se diversificarán, creándose nuevas monedas basadas en bits. Todas lascosas que nos ro<strong>de</strong>an tendrán una dirección IP, con lo que se generará información propia que servirá paraque la intervención <strong>de</strong> los intermediarios <strong>de</strong>saparezca”. Definió el correo basura como el enemigo númerouno <strong>de</strong>l comercio electrónico.__Augusto Pinochet es <strong>de</strong>tenido en Londres por or<strong>de</strong>n <strong>de</strong> B<strong>al</strong>tasar Garzón.__El último minuto <strong>de</strong> 1998 dura 61 segundos. Se introduce un “leap second” o “segundo bisiesto”que <strong>al</strong>arga el día en un segundo. Es un ajuste parecido <strong>al</strong> que se re<strong>al</strong>iza con los años bisiestos, pero que sóloaña<strong>de</strong> un segundo para compensar las pequeñas diferencias entre el ritmo <strong>de</strong> la rotación <strong>de</strong> la Tierra con laesc<strong>al</strong>a <strong>de</strong> tiempo UTC (Coordinated Univers<strong>al</strong> Time). La Tierra gira a un ritmo que <strong>de</strong>crece continuamente,con una <strong>de</strong>saceleración pequeña y conocida. Por el contrario, el tiempo es medido a través <strong>de</strong> relojesatómicos muy precisos que son estables. Se <strong>de</strong>sfasan cada cierto tiempo y hay que corregirlos para que8<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
la hora “solar” y la hora medida por los humanos sigan parejas. Existe la <strong>al</strong>ternativa <strong>de</strong> <strong>de</strong>jar pasar esossegundos y añadir un día extra cada varios siglos, pero <strong>de</strong>s<strong>de</strong> 1972 se viene haciendo regularmente (casitodos los años <strong>de</strong> la década <strong>de</strong> los 70) y cada varios años actu<strong>al</strong>mente. Al último día <strong>de</strong> <strong>de</strong> 2005 y <strong>de</strong> 2008también se le añadirá un segundo.__En la una-<strong>al</strong>-día <strong>de</strong> 23 <strong>de</strong> noviembre, “Incompatibilidad entre K6-2 <strong>de</strong> AMD y Windows 95” seincluye por primera vez la cabecera en cada correo enviado:----------------------------------------------------------HISPASEC una <strong>al</strong> día (23/11/98)Todos los días una noticia <strong>de</strong> <strong>seguridad</strong>----------------------------------------------------------en junio <strong>de</strong> 2000 se cambiaría a la actu<strong>al</strong> que se mantendría hasta hoy.--------------------------------------------------------------------<strong>Hispasec</strong> - una-<strong>al</strong>-día 18/06/2000Todos los días una noticia <strong>de</strong> <strong>seguridad</strong> www.hispasec.com--------------------------------------------------------------------Seguridad InformáticaEn junio, lo que Microsoft llamaba internamente Proyecto Memphis seconvierte en Windows 98, uno <strong>de</strong> los sistemas operativos más esperados trasel bombazo <strong>de</strong> Windows 95 (englobado en el proyecto Chicago perosin todo lo que se esperaba <strong>de</strong> él. “Chicago” todavía se pue<strong>de</strong> ver enlos archivos <strong>de</strong> configuración <strong>de</strong> los sistemas actu<strong>al</strong>es). Windows 98 nosupone una ruptura tot<strong>al</strong> con lo que venía siendo el sistema operativo<strong>de</strong> la compañía (MS-DOS 6.2, su última edición) pero sí que resulta enuna interesante revisión <strong>de</strong> Windows 95.En abril, en el Com<strong>de</strong>x se produce una anécdota muy sonada. Bill Gates presenta su sistemaoperativo Windows 98 y sus virtu<strong>de</strong>s. En el momento <strong>de</strong> <strong>de</strong> hablar <strong>de</strong> su funcion<strong>al</strong>idad Plugand Play (PnP), Chris Capossela enchufa un escáner en el or<strong>de</strong>nador para comprobarcómo lo reconoce. El sistema se par<strong>al</strong>iza <strong>al</strong> intentar inst<strong>al</strong>ar el dispositivo y muestra la BSOD(pant<strong>al</strong>lazo azul <strong>de</strong> la muerte). Tras los vítores, risas y aplausos <strong>de</strong>l público, Gates dice “Thatmust be why we’re not shipping Windows 98 yet.” El ví<strong>de</strong>o está disponible en YouTube.Las diferencias en cuestión <strong>de</strong> <strong>seguridad</strong> con Windows 95 son nulas: los dos carecen casipor completo <strong>de</strong> funcion<strong>al</strong>ida<strong>de</strong>s <strong>de</strong> <strong>seguridad</strong>. La fama negra <strong>de</strong> Microsoft se agranda apasos agigantados y le perseguiría a pesar <strong>de</strong> sus esfuerzos. Su éxito sería t<strong>al</strong> que Microsoftmantendría el soporte <strong>de</strong>l sistema operativo hasta el 11 <strong>de</strong> julio <strong>de</strong> 2006.__Sin duda, es el año <strong>de</strong> “Estados Unidos contra Microsoft”. La compañía es acusada ante lostribun<strong>al</strong>es, <strong>al</strong>egando que Microsoft está abusando <strong>de</strong> su po<strong>de</strong>r monopolístico para ven<strong>de</strong>r su navegador<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 9
junto con su sistema operativo Windows 98. Microsoft incrustó <strong>de</strong> forma inseparable su Internet Explorercon su Windows 98, y esto es tachado <strong>de</strong> juego sucio por parte <strong>de</strong> toda la comunidad. Para obtenerInternet Explorer con su anterior sistema operativo, había que inst<strong>al</strong>arlo como una aplicación más, peroen Windows 98 viene <strong>de</strong> serie y no hay forma ofici<strong>al</strong> <strong>de</strong> eliminarlo. Es el momento en el que el navegadorNetscape está en su mayor apogeo y Microsoft quiere su parte <strong>de</strong> la tarta <strong>de</strong> los navegadores. Es el añoen el que Internet Explorer gana más a<strong>de</strong>ptos, pero sin duda influye el hecho <strong>de</strong> que todo usuario <strong>de</strong>Windows dispone ahora <strong>de</strong> forma gratuita <strong>de</strong>l navegador, a mano y por <strong>de</strong>fecto, con lo que el resto quedanen <strong>de</strong>sventaja. Incluso se acusa a Microsoft <strong>de</strong> <strong>al</strong>terar las APIs para favorecer a su navegador sobre otros.Para Microsoft, la incrustación <strong>de</strong>l navegador es el resultado <strong>de</strong> un mejor rendimiento y compatibilida<strong>de</strong>ntre navegador y sistema operativo, que suponía una ventaja para sus clientes. Sus <strong>de</strong>tractores <strong>al</strong>egan: ¿SiIE está disponible para Mac <strong>de</strong> forma in<strong>de</strong>pendiente, por qué no para Windows?_ Chen Ing Hau crea el virus CIH o Chernobyl (que lleva sus propias inici<strong>al</strong>es).Justificaría su creación por una venganza en contra <strong>de</strong> los que llamó “incompetentes<strong>de</strong>sarrolladores <strong>de</strong> software antivirus”. Denomina a su criatura Chernobyl enconmemoración <strong>de</strong>l día <strong>de</strong>l aniversario <strong>de</strong> la catástrofe ocurrida en la planta nuclearsoviética. Sería c<strong>al</strong>ificado como uno <strong>de</strong> los virus más po<strong>de</strong>rosos, por atacar <strong>al</strong> hardware<strong>de</strong>l sistema. Modificaba o <strong>de</strong>struía la programación <strong>de</strong> la BIOS, sobreescribiendo parte<strong>de</strong> este firmware. Tendría diferentes variantes.__Linus Torv<strong>al</strong>ds obtiene la marca leg<strong>al</strong> <strong>de</strong> “Linux”. Se lanza la versión <strong>de</strong>l kernel 2.2,aunque la verda<strong>de</strong>ramente estable se consi<strong>de</strong>ra todavía la rama 2.0. Aparecen versionesavanzadas <strong>de</strong> sistemas operativos que usan el kernel Linux como Red Hat 5.1, Slackware 3.5y OpenLinux 1.1 <strong>de</strong> C<strong>al</strong><strong>de</strong>ra._ El 7 <strong>de</strong> septiembre dos jóvenes universitarios que pretendían terminar su postgrado en la Universidad<strong>de</strong> Stanford constituyen una pequeña firma llamada “Google Inc.”. Larry Page y Sergey Brin cubren asíleg<strong>al</strong>mente un buscador <strong>de</strong> enlaces web que habían creado un par <strong>de</strong> años antes con el nombre <strong>de</strong> BackRub.Posteriormente sería bautizado como Google en honor <strong>al</strong> término “googol”. Es un término acuñado en1938 por Milton Sirotta (<strong>de</strong> 10 años) sobrino <strong>de</strong>l matemáticoestadouni<strong>de</strong>nse Edward Kasner para dar nombre a 10elevado a 100. Sientan las bases <strong>de</strong> lo que se convertiría enuna <strong>de</strong> las marcas más reconocidas <strong>de</strong>l planeta. Mientras,el usuario tecleaba Excite, Infoseek, Inktomi, AltaVista oYahoo! para re<strong>al</strong>izar sus búsquedas. Nace Biwe, un buscadorespañol que pasó sin pena ni gloria.__Tras la Sega Saturn, aparece en Japón la Sega Dreamcast, una consola a<strong>de</strong>lantada a su tiempo quefracasaría. Llegaría a Europa en 1999. Cuesta unos 200 dólares <strong>de</strong>l momento. Tiene 16 megas <strong>de</strong> RAM,8 <strong>de</strong> ví<strong>de</strong>o, 200 Mhz <strong>de</strong> procesador y 2 megas <strong>de</strong> RAM para sonido. Por primera vez, posee un mó<strong>de</strong>mincorporado y soporta el juego en línea. Sony todavía pelea con la Playstation 1 y Nintendo con su Nintendo64.__En septiembre se crea la Internet Corporation for Assigned Names and Numbers (másconocida como ICANN). Establecida en C<strong>al</strong>ifornia, ICANN es una compañía sin ánimo <strong>de</strong> lucro creadapara or<strong>de</strong>nar ciertas tareas en Internet <strong>de</strong> las que antes se ocupaba IANA (Internet Assigned NumbersAuthority) en nombre <strong>de</strong>l gobierno <strong>de</strong> los Estados Unidos. ICANN controla el reparto <strong>de</strong> direcciones IPy el manejo <strong>de</strong> dominios primarios. En 2003 jugaría un papel <strong>de</strong>terminante a la hora <strong>de</strong> “convencer” aVerisign para que retirase su controvertido servicio <strong>de</strong> DNS “Site Fin<strong>de</strong>r”.10<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
__AOL compra Netscape y Netscape funda la Mozilla Organization. En principio su función eracoordinar el <strong>de</strong>sarrollo <strong>de</strong> la Mozilla Application Suite (actu<strong>al</strong>mente Seamonkey Suite). Aunque estabacompuesto básicamente <strong>de</strong> trabajadores <strong>de</strong> Netscape, operaba in<strong>de</strong>pendientemente. El navegador Mozillaen aquel momento no estaba pensado para ser usado por usuarios fin<strong>al</strong>es.__ Ericsson, IBM, Intel, Nokia y Toshiba comienzan a <strong>de</strong>sarrollar las especificaciones <strong>de</strong> una nuevatecnología <strong>de</strong> transmisión bajo el nombre en código <strong>de</strong> Bluetooth.__Se lanza con gran éxito el juego Commandos para PC. Tecnología nacion<strong>al</strong> que <strong>de</strong>vuelve a España suéxito en la creación <strong>de</strong> vi<strong>de</strong>ojuegos, olvidada con el Spectrum.__La versión <strong>de</strong> Norton Anvirus Deluxe 4.0, incluye un método para “actu<strong>al</strong>izar el antivirus <strong>de</strong>forma gratutita a través <strong>de</strong> Internet, con sólo pulsar un botón”, cosa que es “conveniente hacer <strong>de</strong> vez encuando”.__Se cree que el DHTML podría oscurecer el futuro <strong>de</strong> Flash en Internet.__Apache lanza su versión 1.3, que aporta numerosas mejoras en el rendimiento <strong>de</strong>l sistema. Paramediados <strong>de</strong> año, copa justo la mitad <strong>de</strong> los sistemas web <strong>de</strong> Internet. La rama todavía sigue estandooperativa, <strong>de</strong>bido a que marcaría un antes y un <strong>de</strong>spués en el <strong>de</strong>sarrollo <strong>de</strong>l servidor web. La versión <strong>de</strong>Internet Information Server 4.0, aparecida con Windows NT 4.0 en su Option Pack a fin<strong>al</strong>es <strong>de</strong> 1997, yaes muy usada durante el año, aunque su versión 3.0 todavía tiene bastante éxito. Para ese año el servidor<strong>de</strong> Microsoft copa el 20% <strong>de</strong> uso <strong>de</strong> servidores web. IIS 4.0 se convertiría en un verda<strong>de</strong>ro quebra<strong>de</strong>ro <strong>de</strong>cabeza para la <strong>seguridad</strong> en Microsoft. Se resarciría años <strong>de</strong>spués con excelentes resultados en segurida<strong>de</strong>n su versión 6.0 y 7.0.__Aparece en octubre el Service Pack 4 para Windows NT 4.0. Sus problemas e incompatibilida<strong>de</strong>sserían objeto <strong>de</strong> la primera una-<strong>al</strong>-día publicada por en octubre <strong>de</strong> 1998.Internet no se entien<strong>de</strong> sin Netscape, el navegador que usa la mayoría... pero eseaño cambiaría todo. Internet Explorer aparece por primera vez en el paqueteopcion<strong>al</strong> Plus! para Windows 95, y no arrasaría con todo hasta 1999. En aquelmomento su versión 4.0, aparecida en septiembre <strong>de</strong> 1997, es la más usada. En1998 gana rápidamente a<strong>de</strong>ptos “gracias” a la maniobra <strong>de</strong> la compañía <strong>de</strong> incluirlo <strong>de</strong>serie en Windows 98. Durante todo el año se libra una dura bat<strong>al</strong>la <strong>de</strong> navegadores, don<strong>de</strong>la b<strong>al</strong>anza cambia radic<strong>al</strong> y rápidamente en favor <strong>de</strong> Microsoft. Empieza el año con un40% <strong>de</strong> usuarios, frente el casi 60% <strong>de</strong> Netscape, y termina 1998 ganando con la mitad <strong>de</strong>la tarta y <strong>de</strong>jando un 47% para su princip<strong>al</strong> competidor, que nunca más se recuperaría.Opera es todavía minoritario, va por su versión 3. Ese mismo año la compañía <strong>de</strong>ci<strong>de</strong>apostar por <strong>de</strong>sarrollar un navegador especi<strong>al</strong>mente diseñado para los dispositivosmóviles. A la postre resultaría un acierto para la empresa.__Hay ya 100 millones <strong>de</strong> usuarios <strong>de</strong> Internet en el mundo. En España, poco más <strong>de</strong> un millón. 7,5millones <strong>de</strong> usuarios tienen or<strong>de</strong>nador.__Se lanza el procesador K6-2, competencia directa <strong>de</strong> los Pentium. <strong>Una</strong> <strong>de</strong> las diferencias con respecto<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 11
<strong>al</strong> Pentium <strong>al</strong> que planta cara, es que sigue fiel a la conexión Socket 7, mientras que Intel apostó para susPentium 2 por el Slot 1 (en perpendicular a la placa).__Las P<strong>al</strong>m Pilot son los PDA más vendidos. Su nombre quedaría prácticamente como sinónimo <strong>de</strong>PDA.__ Apple, <strong>de</strong>spués <strong>de</strong> unos años <strong>de</strong> crisis sin productos novedosos, comienza su resurgimiento y lanza losiMac con un estilo futurista y mo<strong>de</strong>rno. Llamados “Bondi Blue”, tienen un procesador G3 y una carcasatranslúcida que luego se comerci<strong>al</strong>izaría en distintos colores. Comienza la rama iMac que perdura hastahoy. Este primer iMac se <strong>de</strong>jaría <strong>de</strong> fabricar en 2003. Usó el sistema operativo Mac OS 8, Mac OS 9, MacOS X y pasó <strong>de</strong> los 233 a los 700 Mhz. Comenzó con 4 gigas <strong>de</strong> disco duro.__StarOffice 4.0 se lanza para competir contra Office 97.__Se lanza Qmail. El servidor <strong>de</strong> correo <strong>de</strong> código abierto <strong>de</strong>stinado a la <strong>seguridad</strong>. Se ofrecen 1.000dólares a quien encontrase una vulnerabilidad grave en él. Nadie lo ha conseguido todavía, diez años<strong>de</strong>spués.__Se ven<strong>de</strong>n kits <strong>de</strong> acceso a Internet como, por ejemplo, el <strong>de</strong> Teleline: Un año <strong>de</strong> acceso a Internet másmó<strong>de</strong>n 33.600 bps. Por 20.000 pts. (<strong>12</strong>0 euros). Jet Internet ofrece también un año <strong>de</strong> acceso a través <strong>de</strong>RDSI, con tarjeta por 45.000 pts. (270 euros).__Nace Info Vía Plus para sustituir a infovía.__El <strong>12</strong> <strong>de</strong> marzo <strong>de</strong> 1998 se publica el primer número <strong>de</strong> Ciberp@ís, en forma <strong>de</strong> pequeño periódico<strong>de</strong>dicado a Internet. <strong>Una</strong> publicación <strong>de</strong> c<strong>al</strong>idad que apostó <strong>de</strong>s<strong>de</strong> el primer momento por la informaciónútil sobre la red.__Juan Carlos García Cuartango se convierte en la pesadilla <strong>de</strong> Microsoft. El ingeniero españolcomienza a estudiar el navegador Interntet Explorer en busca <strong>de</strong> problemas <strong>de</strong> <strong>seguridad</strong> en 1998 y<strong>de</strong>scubre lo que se llamó el “agujero Cuartango” en él. El agujero permitía ejecución <strong>de</strong> código a través<strong>de</strong> JavaScript (diez años <strong>de</strong>spués sigue siendo el origen <strong>de</strong> la mayoría <strong>de</strong> los problemas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>los navegadores actu<strong>al</strong>es). Después viene la “ventana <strong>de</strong> Cuartango”... y <strong>de</strong>s<strong>de</strong> entonces pasaría años<strong>de</strong>svelando vulnerabilida<strong>de</strong>s cada poco tiempo, ayudando así a mejorar la <strong>seguridad</strong> <strong>de</strong>l navegador. Juntocon Georgi Guninski, <strong>de</strong>svelaron la mayoría <strong>de</strong> los problemas <strong>de</strong> <strong>seguridad</strong> en Microsoft a fin<strong>al</strong>es <strong>de</strong> los90.__La adquisición <strong>de</strong> PGP por parte <strong>de</strong> NAi levanta discusiones en todos los círculos <strong>de</strong> la criptografíaacerca <strong>de</strong>l camino que seguirá este programa. www.pgp.com redirige a la web <strong>de</strong> Network Associates.Asegura que seguirá distribuyendo este programa en las mismas condiciones que se ha venido haciendohasta ahora: gratuito y ofreciendo las fuentes <strong>de</strong> esta versión <strong>al</strong> público gener<strong>al</strong>. Zimmerman abandonaríael proyecto pocos años <strong>de</strong>spués.__El 28 <strong>de</strong> diciembre nace <strong>Hispasec</strong> como un port<strong>al</strong> <strong>de</strong> noticias con presencia web. Des<strong>de</strong> octubre, sehabían publicado a través <strong>de</strong>l boletín <strong>de</strong> correo suficientes boletines como para recopilarlos y publicarlos enuna página. A<strong>de</strong>más, así cu<strong>al</strong>quiera podía suscribirse a una-<strong>al</strong>-día. Bernardo Quintero utiliza el dominiowww.hispasec.com para este fin. La página se monta sobre un “viejo” PC que él mismo tiene en casa, conprocesador Cyrix. Se hospeda <strong>de</strong> forma “gratuita” en el CPD <strong>de</strong> un ISP <strong>de</strong> Málaga para el que Bernardohabía comenzado a trabajar por las tar<strong>de</strong>s, administrando y asegurando los sistemas.<strong>12</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
<strong>Una</strong> <strong>al</strong> día01/11/1998 WinScript.Rabbit, una nueva generación <strong>de</strong> virusdirigidos a Internet.Se presenta <strong>de</strong>ntro <strong>de</strong> la nueva ola <strong>de</strong> virus dirigidos a Internet, WinScript.Rabbit es capaz<strong>de</strong> infectar ficheros script <strong>de</strong> Windows sobreescribiéndolos con sí mismo. Lo más peligroso <strong>de</strong> este virus esque es capaz <strong>de</strong> propagarse a través <strong>de</strong> Internet, ya que las últimas versiones <strong>de</strong> los navegadores ejecutanlos ficheros scripts <strong>de</strong> forma loc<strong>al</strong> aunque se encuentren <strong>al</strong>ojados en servidores remotos.La i<strong>de</strong>a <strong>de</strong> este virus es muy antigua, tenemos que remontarnos a los orígenes <strong>de</strong> los virus en los sistemasUNIX. En los años 80 los virus escritos en lenguajes scripts clónicos para UNIX se convirtieron enautenticas plagas para las re<strong>de</strong>s <strong>de</strong> or<strong>de</strong>nadores <strong>de</strong> por aquel entonces. Conocidos como “gusanos” son<strong>de</strong> <strong>de</strong>stacar el “Christmas Tree,” HI.COM y “Wank Worm”. Ahora WinScript.Rabbit se presenta como lanueva generación <strong>de</strong> “gusanos” en la era Windows/Internet.Es el primer virus i<strong>de</strong>ntificado que afecta a los ficheros scripts <strong>de</strong> Windows. Su código es xtremadamentesimple, apenas contiene 10 comandos, y todo parece indicar que su origen proviene <strong>de</strong>l grupo“Co<strong>de</strong>Breakers”. El virus contiene <strong>al</strong>gunos f<strong>al</strong>los que provocan que se <strong>de</strong>tecte fácilmente cuando infecta unsistema. Cuando un navegador lo ejecuta el virus infecta todos los ficheros <strong>de</strong> la caché <strong>de</strong>l navegador, y loscopia <strong>al</strong> escritorio <strong>de</strong> Windows, que es el directorio por <strong>de</strong>fecto <strong>de</strong> los navegadores. Cuando esto ocurre, elescritorio se inunda <strong>de</strong> iconos correspondiente a los ficheros infectados. El nombre <strong>de</strong> Rabbit proviene <strong>de</strong>su facilidad para la reproducción similar a la <strong>de</strong> los conejos.Pese a los graves f<strong>al</strong>los <strong>de</strong> funcionamiento y su simplicidad, este virus representa una amenaza potenci<strong>al</strong>para todos los usuarios <strong>de</strong> Internet, ya que pue<strong>de</strong> servir <strong>de</strong> base para virus más sofisticados que utilicenel mismo principio <strong>de</strong> propagación. Es probable que en el fúturo surgan nuevos virus que aprovechandolas características <strong>de</strong> los navegadores y <strong>de</strong> los sistemas Windows infecten otros tipos <strong>de</strong> ficheros a<strong>de</strong>más<strong>de</strong> los scripts.El virus trabaja bajo todas las versiones <strong>de</strong> Windows 32bits (Windows 95/98/NT) si se encuentra inst<strong>al</strong>adoel Microsoft Scripting Host, el cu<strong>al</strong> viene por <strong>de</strong>fecto activado en las versiones 98 y NT 5.0 (Windows 2000).En el resto <strong>de</strong> sistemas windows pue<strong>de</strong> encontrarse si se han actu<strong>al</strong>izado <strong>de</strong>terminados componentes.Para protegerse <strong>de</strong> este nuevo tipo <strong>de</strong> virus <strong>de</strong>bemos <strong>de</strong> activar la siguiente protección:Internet Explorer Windows 98:View/Fol<strong>de</strong>rOptions/FileTypes/VBScriptFile/Edit/Confirm open after downloadEn Netscape no existe una opción para la ejecución <strong>de</strong> ficheros scripts. Por el momento no se ha <strong>de</strong>tectadopropagación <strong>de</strong> este virus en Netscape.Bernardo Quintero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 13
03/11/1998 El Gusano <strong>de</strong> Morris, 10 años <strong>de</strong>spues.El 3 <strong>de</strong> noviembre <strong>de</strong> 1988, t<strong>al</strong> día como hoy, miles <strong>de</strong> or<strong>de</strong>nadores sucumbieron ante el engendro <strong>de</strong>Robert Tappan Morris, un estudiante <strong>de</strong> 23 años <strong>de</strong> la Universidad <strong>de</strong> Cornnel Al llegar a sus puestos <strong>de</strong>trabajo, los administradores no daban crédito <strong>al</strong> ver como sus VAXs y SUNs se bloqueaban en ca<strong>de</strong>na,víctimas <strong>de</strong> una sobrecarga <strong>de</strong> tareas invisibles. Ninguno era consciente <strong>de</strong> que estaba siendo testigo <strong>de</strong>excepción <strong>de</strong> lo que ha llegado a ser un mito en la informática y las comunicaciones, aquellas 99 líneas <strong>de</strong>código, causas <strong>de</strong>l <strong>de</strong>sastre, han dado lugar a lo que hoy se conoce como: el Gusano <strong>de</strong> Morris.No son pocas las discusiones que siempre se han mantenido sobre si el término “gusano” es o noapropiado para <strong>de</strong>scribirlo, o si por el contrario <strong>de</strong>beríamos hablar <strong>de</strong>l primer “virus” <strong>de</strong> red. La princip<strong>al</strong>diferencia entre un “gusano” y un “virus” tradicion<strong>al</strong> la po<strong>de</strong>mos encontrar en el método <strong>de</strong> operar a lahora <strong>de</strong> reproducirse. Cuando un “virus” estándar entra en un or<strong>de</strong>nador el suele <strong>al</strong>terar un fichero <strong>al</strong>que se adjunta. Cu<strong>al</strong>quier uso posterior <strong>de</strong>l fichero infectado hará que éste se active, siempre <strong>de</strong> formatransparente <strong>al</strong> usuario. El “virus” se encontrará en el sistema sin dar señ<strong>al</strong>es <strong>de</strong> vida aparentes, hastaque ejecute su efecto (payload) en una fecha <strong>de</strong>terminada ó por otra condición que el programador <strong>de</strong>l“virus” haya elegido. A<strong>de</strong>más, para lograr pasar <strong>de</strong> un or<strong>de</strong>nador a otro necesita que un fichero infectadosea traspasado por la acción <strong>de</strong> un usuario.En el otro lado, cuando un “gusano” entra en un or<strong>de</strong>nador, norm<strong>al</strong>mente a través <strong>de</strong> Internet, comienzauna busqueda <strong>de</strong> otros sistemas conectados a la Red que puedan ser victimas <strong>de</strong> su infección. Alcontrario que los “virus”, no existe un estado <strong>de</strong> latencia, el se activa nada más infectar el or<strong>de</strong>nador,y no necesita adjuntarse a ningún fichero. Para lograr su cometido se basa en los “agujeros” <strong>de</strong> otrossistemas que le permita introducirse en ellos, y continuar su infección. Es una especie <strong>de</strong> “virus hacker”que explota los f<strong>al</strong>los <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> los sistemas para reproducirse. En el caso <strong>de</strong>l Gusano <strong>de</strong> Morris,explotaba vulnerabilida<strong>de</strong>s bien conocidas <strong>de</strong>l s.o. Unix. Por ejemplo, la versión <strong>de</strong>l sendmail <strong>de</strong> aquellaépoca permitía conocer los usuarios <strong>de</strong> forma remota. Simplemente probando cuentas cuyos nombres <strong>de</strong>usuarios y passwords coincidieran, el Gusano consiguió gran cantidad <strong>de</strong> accesos.El origen <strong>de</strong> los “gusanos” <strong>de</strong>riva <strong>de</strong> los años 60, cuando en los laboratorios AT&T Bell se originó el juego“Core Wars” ó guerra <strong>de</strong> núcleos <strong>de</strong> ferrita. La memoria <strong>de</strong> nucleo <strong>de</strong> ferrita contenia tanto conjunto <strong>de</strong>instrucciones como <strong>de</strong> datos. El juego consistía en crear un programa que <strong>al</strong> reproducirse fuera ocupandotoda la memoria, <strong>al</strong> tiempo que borraba <strong>de</strong> ella <strong>al</strong> programa <strong>de</strong>l contrincante. El jugador cuyo programaconseguía hacerse con toda la memoria, o que tras transcurrido un tiempo tenía mayor número <strong>de</strong>reproducciones, ganaba la partida.Parece clara la relación entre estos juegos <strong>de</strong> los años 60 y el Gusano <strong>de</strong> Morris. Sin embargo, un estudiomás <strong>de</strong>t<strong>al</strong>lado nos llevará a compren<strong>de</strong>r hasta que punto se estrechan los lazos entre estas historias. Lostres estudiantes que dieron origen, en los laboratorios AT&T Bell, a “Core Wars” respondían a los nombres<strong>de</strong> H.Douglas McIlroy, Victor Vysottsky y Robert Morris. No, no se trata <strong>de</strong> una equivocación, RobertMorris <strong>de</strong> los laboratorios AT&T <strong>de</strong> los años 60 es, ni mas ni menos, que el padre <strong>de</strong> Robert Morris creador<strong>de</strong>l Gusano.Pero aun hay más, un estudio <strong>de</strong>t<strong>al</strong>lado <strong>de</strong>l código <strong>de</strong>l Gusano <strong>de</strong> Morris viene a <strong>de</strong>mostrar la existencia<strong>de</strong> dos programadores. Todo parece indicar que Robert Morris hijo utilizó parte <strong>de</strong> los programas creadospor el padre en “Core Wars”, junto con documentación reservada <strong>de</strong> los laboratorios Bell, don<strong>de</strong> su padrefue uno <strong>de</strong> los <strong>de</strong>sarrolladores <strong>de</strong>l UNIX. Al fin y <strong>al</strong> cabo, <strong>de</strong> t<strong>al</strong> p<strong>al</strong>o, t<strong>al</strong> astilla.Bernardo Quintero14<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
07/11/1998 DeepThoat se suma a la moda <strong>de</strong> los troyanos.Tras los ya conocidos BackOriffice y NetBus aparece un nuevo troyano con características <strong>de</strong> administraciónremota, DeepThroat. Al igu<strong>al</strong> que con BO y NetBus la herramienta se compone <strong>de</strong> dos partes claramentediferenciadas, el cliente y el servidor. El cliente que aparce bajo el nombre <strong>de</strong> RemoteControl, se usa paracontrolar los or<strong>de</strong>nadores afectados mientras que el programa Systempatch es el servidor. DeepThroat(http://hax0r.to/<strong>de</strong>ept/) es una herramienta <strong>de</strong> administración remota para 95/98. Básicamente es unaherramienta freeware con capacida<strong>de</strong>s similares a las que ya disponían NetBus y BO.El cliente permite acceso a la unidad <strong>de</strong> CD, abriendo y cerrando la unidad <strong>de</strong> forma remota, tambiénpermite el envío <strong>de</strong> cajas <strong>de</strong> mensjaes, ocultar y mostrar la barra <strong>de</strong> inicio. Al inst<strong>al</strong>ar el servidor tambiénse proce<strong>de</strong> a la inst<strong>al</strong>ación <strong>de</strong> un servidor <strong>de</strong> ftp a través <strong>de</strong>l puerto 21, gracias <strong>al</strong> que se pue<strong>de</strong> subir y bajarficheros <strong>de</strong>l or<strong>de</strong>nador afectado sin ningún problema. Se pue<strong>de</strong> ver la pant<strong>al</strong>la <strong>de</strong>l or<strong>de</strong>nador infectadogracias a la posibilidad <strong>de</strong> efectuar una captura <strong>de</strong> pant<strong>al</strong>la, en formato jpg y <strong>de</strong> unos 80kb que seráenviada <strong>de</strong> forma automática <strong>al</strong> cliente. No permite ver la pant<strong>al</strong>la <strong>de</strong>l or<strong>de</strong>nador remoto en tiempo re<strong>al</strong>,pero si pue<strong>de</strong> dar una buena i<strong>de</strong>a <strong>de</strong> que hay “en el otro lado”.Algo que pue<strong>de</strong> llegar a resultar muy molesto es la posibilidad <strong>de</strong> encen<strong>de</strong>r y apagar el monitor remoto.Esta función hace que el monitor pase <strong>al</strong> estado <strong>de</strong> ahorro <strong>de</strong> energía y sólo pue<strong>de</strong> ser restaurada <strong>de</strong> nuevo<strong>de</strong> forma remota. Igu<strong>al</strong> <strong>de</strong> molesta pue<strong>de</strong> resultar la opción <strong>de</strong> rebotar el or<strong>de</strong>nador.Por último DeepThroat incluye un scanner que permite buscar or<strong>de</strong>nadores con el servidor inst<strong>al</strong>ado.El equipo <strong>de</strong> I+D <strong>de</strong> HispaSec investigará y comprobará más a fondo el funcionamiento <strong>de</strong> DeepThoatesperando seguir informandoos sobre esta nueva herramienta.08/11/1998 Virus infector <strong>de</strong> htmlBernardo QuinteroHa nacido una nueva generación <strong>de</strong> virus, HTML.Intern<strong>al</strong> es el primer virus conocido capaz <strong>de</strong> infectararchivos html. HTML.Intern<strong>al</strong> busca ficheros html en los discos infectándolos. Para difundirse a sí mismoel virus usa rutinas <strong>de</strong> script escritas en Visu<strong>al</strong> Basic que incluye <strong>de</strong>ntro <strong>de</strong>l código html. El virus sólo escapaz <strong>de</strong> replicarse en caso <strong>de</strong> que los niveles <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>l navegador permitan la ejecución <strong>de</strong> rutinas<strong>de</strong> script con capacidad <strong>de</strong> acce<strong>de</strong>r a los archivos <strong>de</strong>l disco. Por <strong>de</strong>fecto ésta opción viene <strong>de</strong>sactivada y <strong>al</strong>acce<strong>de</strong>r a un archivo infectado se muestra un mensjae <strong>de</strong> error.La cabecera <strong>de</strong> los archivos html infectados contienen la referencia a un script (rutina princip<strong>al</strong> <strong>de</strong>lvirus) que es ejecutada automáticamente cuando el navegador acce<strong>de</strong> <strong>al</strong> archivo infectado. Cuando larutina princip<strong>al</strong> <strong>de</strong>l virus toma el control está llama a la rutina <strong>de</strong> infección con una probabilidad <strong>de</strong> 1/6<strong>de</strong>pendiendo <strong>de</strong> un contador <strong>al</strong>eatorio, en caso contrario se <strong>de</strong>vuelve el control.Usando instrucciones Visu<strong>al</strong> Basic el virus busca todos los archivos *.htm y *.html en el directorio actu<strong>al</strong> ysuperior infectándolos. Cuando el el virus infecta un archivo se escribe asimismo <strong>al</strong> comienzo <strong>de</strong>l ficherosin ningún daño para los datos <strong>de</strong> los ficheros.La cabecera <strong>de</strong>l virus contiene la siguiente línea que lo i<strong>de</strong>ntifica: Después <strong>de</strong> infectar el virus muestra «HTML.Prepend /1ntern<strong>al</strong>» en la barra <strong>de</strong> estado <strong>de</strong> Windows.Antonio Ropero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 15
03/<strong>12</strong>/1998 USA nos exporta sus restricciones criptográficas.Los Estados Unidos y la administración Clinton no contentos con imponer su severa política <strong>de</strong> exportación<strong>de</strong> materi<strong>al</strong> criptográfico han convencido a otras 33 naciones, entre las que se incluye España, para quesigan sus directrices en esta materia.En una reunión celebrada ayer jueves tres <strong>de</strong> diciembre, las 33 naciones que firmaron el acuerdo <strong>de</strong>Wassenaar (www.wassenaar.org) limitando la exportación <strong>de</strong> armamento se mostraron <strong>de</strong> acuerdo enimponer controles a las tecnologías más avanzadas <strong>de</strong> encriptación <strong>de</strong> datos, incluyendo el software<strong>de</strong>stinado <strong>al</strong> mercado <strong>de</strong> masas. Entre las naciones firmantes <strong>de</strong> este acuerdo se encuentran potenciascomo Japón, Alemania y Gran Bretaña.De esta forma Estados Unidos ha conseguido convencer a otras naciones <strong>de</strong> que sigan sus mismasdirectrices en la materia <strong>de</strong> exportación <strong>de</strong> software <strong>de</strong> encriptación <strong>de</strong> datos.Compañías <strong>de</strong> <strong>al</strong>ta tecnología estadouni<strong>de</strong>nses, como Microsoft e Intel, se habían quejado <strong>de</strong> que lacarencia <strong>de</strong> restricciones en otros países obstaculizaba su capacidad <strong>de</strong> competir <strong>al</strong> exterior. La industriapedía que las restricciones americanas se relajaran o eliminaran tot<strong>al</strong>mente, pero no ha pedía controlesmás apretados en otros países.Los abogados <strong>de</strong> la privacidad también se han opuesto firmemente a los controles <strong>de</strong> la exportación en elcifrado <strong>de</strong> los EE.UU., discutiendo que las tecnologías <strong>de</strong> encriptación proporcionarán los medios cruci<strong>al</strong>espara proteger la privacidad en la era digit<strong>al</strong>.La nueva política excluye específicamente <strong>de</strong>l control a aquellos productos, como películas o grabacionesenviadas a través <strong>de</strong> Internet, que usen la encriptación para proteger la propiedad intelectu<strong>al</strong> <strong>de</strong>l copiadoileg<strong>al</strong>.Según las claves <strong>de</strong>l acuerdo firmado, los países miembros <strong>de</strong>l tratado restringirán las exportaciones<strong>de</strong> productos <strong>de</strong> encriptación gener<strong>al</strong> que usen claves superiores a 56 bits, los productos <strong>de</strong>stinados <strong>al</strong>mercado <strong>de</strong> masas tendrán una limitación <strong>de</strong> 64 bits.Ahora será cada uno <strong>de</strong> los países los que <strong>de</strong>ban redactar sus propias leyes para la implementación <strong>de</strong>lacuerdo. Las 33 naciones firmantes <strong>de</strong> este restrictivo acuerdo son las siguientes: Argentina, Austr<strong>al</strong>ia,Austria, Bélgica, Bulgaria, Canadá, República Checa, Dinamarca, Finlandia, Francia, Alemania, Grecia,Hungría, Irlanda, It<strong>al</strong>ia, Japón, Luxemburgo, Holanda, Nueva Zelanda, Noruega, Polonia, Portug<strong>al</strong>,República <strong>de</strong> Corea, Rumanía, Rusia, República Eslovaca, España, Suecia, Suiza, Turquía, Ucrania, ReinoUnido y Estados Unidos.En estos momentos en HispaSec mostramos una gran preocupación por lo que pueda representar estetratado, esperando que no afecte a la libertad y la privacidad <strong>de</strong> todo el mundo. ¿Cuál es el futuro <strong>de</strong>l PGP?¿Qué pasará con la versión internacion<strong>al</strong> <strong>de</strong> PGP? ¿Cuál es la opinión <strong>de</strong> las compañías que se puedanver afectadas por la restricción? Todo parece indicar que cada día nos quieren dificultar más la libertad yponer más trabas a la privacidad.Antonio Ropero16<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
13/<strong>12</strong>/1998 El sistema militar británico in<strong>de</strong>fenso ante el 2000.Según el último informe elaborado por la secretaría <strong>de</strong> <strong>de</strong>fensa Británica, se <strong>de</strong>tectan graves problemas entodos sus sistemas informáticos para la transición <strong>al</strong> año 2000. Un 90% <strong>de</strong> los sistemas informáticos másimportantes <strong>de</strong> la marina <strong>de</strong> su Majestad no están preparados para el cambio <strong>de</strong> milenio. Este problemano sólo afecta a la armada, ya que también se ven afectados el 65% <strong>de</strong> los sistemas <strong>de</strong> las Fuerzas Aéreas,el 82% <strong>de</strong> los Sistemas <strong>de</strong> la Secretaría <strong>de</strong> Defensa y el 50% <strong>de</strong> los sistemas <strong>de</strong>l Ejercito <strong>de</strong> Tierra.Los or<strong>de</strong>nadores que controlan los misiles Tri<strong>de</strong>nt, también se ven afectados, lo que hace ha este problematomar un cariz más peligroso, ya que estos misiles portan cabezas nucleares.La f<strong>al</strong>ta <strong>de</strong> tiempo para po<strong>de</strong>r re<strong>al</strong>izar una óptima comprobación, aña<strong>de</strong> una mayor peligrosidad <strong>al</strong> tema,ya que la previsión re<strong>al</strong>izada por la Secretaría <strong>de</strong> Estado, estimaba que la optimización <strong>de</strong>bería haberfin<strong>al</strong>izado para el 31 <strong>de</strong> Diciembre <strong>de</strong> 1.998. Esto hubiera dado un margen <strong>de</strong> un año para la comprobación<strong>de</strong> todos los sistemas informáticos. Las autorida<strong>de</strong>s británicas consi<strong>de</strong>ran tras dos años <strong>de</strong> actu<strong>al</strong>ización,imposible <strong>de</strong> cumplir los plazos preestablecidos.Antonio Ropero14/<strong>12</strong>/1998 <strong>Una</strong> nueva generación <strong>de</strong> virus informáticos ha llegado.El intercambio <strong>de</strong> disquetes y aplicaciones ha sido la vía princip<strong>al</strong> <strong>de</strong> transmisión <strong>de</strong> virus informáticos. Conla llegada <strong>de</strong> Internet llegan también los nuevos virus capaces <strong>de</strong> viajar por la red para infectar maquinassituadas a miles <strong>de</strong> kilómetros. La primera muestra <strong>de</strong> esta nueva amenaza nos llega una vez más <strong>de</strong> lamano <strong>de</strong> 29A. Para los menos introducidos en éste mundo, 29A es un grupo español <strong>de</strong> programadores<strong>de</strong>dicados a la investigación y <strong>de</strong>sarrollo <strong>de</strong> vida artifici<strong>al</strong>, especi<strong>al</strong>mente <strong>de</strong> virus informáticos.Win32.Parvo es un virus capaz <strong>de</strong> infectar or<strong>de</strong>nadores remotos, utilizando técnicas <strong>de</strong> propagación porred. Esto significa que el virus es capaz <strong>de</strong> transmitirse <strong>de</strong>s<strong>de</strong> una maquina infectada a otra mientras laprimera está conectada a Internet.En un primer análisis <strong>de</strong>scubrimos que Win32.Parvo es un virus <strong>al</strong>tamente polimorfo, que infectaaplicaciones tanto <strong>de</strong> Windows95 y 98 como <strong>de</strong> WindowsNT. Los programas infectados se ejecutan sinningún problema, y el usuario pue<strong>de</strong> permanecer infectado durante meses antes <strong>de</strong> <strong>de</strong>scubrir que sumaquina ha sido invadida.Tras re<strong>al</strong>izar varias pruebas <strong>de</strong>scubrimos que Win32.Parvo infecta varias aplicaciones <strong>de</strong>stinadas aInternet, especi<strong>al</strong>mente el navegador y el cliente <strong>de</strong> correo. Cuando se utilizan estos programas es porque,norm<strong>al</strong>mente, estamos conectados a Internet, momento que aprovechará el virus para crear una imagenvirtu<strong>al</strong> <strong>de</strong> si mismo en el mismo formato que los clientes <strong>de</strong> correo utilizan para mandar attachments.Sin la intervención <strong>de</strong>l usuario y sin <strong>de</strong>latar su actividad, el virus se envía a si mismo por mail. Tras este<strong>de</strong>scubrimiento a todos nos surge la misma duda: ¿y a quien se envía? ¿<strong>de</strong> don<strong>de</strong> obtiene el virus lasdirecciones <strong>de</strong> mail <strong>de</strong> otros usuarios?Después <strong>de</strong> trastear un poco mas <strong>de</strong>ntro <strong>de</strong>l código vírico nos encontramos con la respuesta. El virus seconecta a un grupo <strong>de</strong> news elegido <strong>al</strong> azar y extrae <strong>de</strong> él un mensaje cu<strong>al</strong>quiera. Seguidamente busca ladirección <strong>de</strong> correo <strong>de</strong>l remitente y esa será su próxima víctima.Cuando otro usuario recibe un correo infectado, nada hace sospechar que se trata <strong>de</strong> un virus. El virus<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 17
Sorpren<strong>de</strong>ntemente se trata <strong>de</strong> un virus con un gran tamaño. Sus <strong>12</strong>5 Kbytes lo convierten en todo ungigante, especi<strong>al</strong>mente comparándolo con los tamaños habitu<strong>al</strong>es <strong>de</strong> 10 Kbytes aproximadamente <strong>de</strong>lotros virus. Este tamaño, pue<strong>de</strong> venir dado <strong>al</strong> estar escrito en C, contando con unas 50.000 líneas <strong>de</strong>código y estimándose en 200 horas las labores <strong>de</strong> programación <strong>de</strong>l virus.El virus lleva una dll consigo para el proceso <strong>de</strong> infección, pero si la dll se borra el mismo creará otra copia.El virus incluye una rutina <strong>de</strong> tiempo, diseñada para aumentar su velocidad en el proceso <strong>de</strong> infeccióny búsqueda durante el periodo que compren<strong>de</strong> las 3:00 PM <strong>de</strong> cu<strong>al</strong>quier sábado hasta las 6:00 AM <strong>de</strong>lsiguiente domingo. Otra característica sorpren<strong>de</strong>nte <strong>de</strong>l virus es su ausencia <strong>de</strong> payload, o acción que llevaa cabo en su activación.Si se loc<strong>al</strong>iza un sistema infectado en el entorno <strong>de</strong> red, es recomendable aislar dicho or<strong>de</strong>nador y<strong>de</strong>terminar que maquinas están en conexión directa con ella, <strong>de</strong>sactivando, <strong>de</strong> igu<strong>al</strong> forma, la conexióna la red <strong>de</strong> estas otras. Como el virus infecta la memoria es necesario arrancar con un disquete limpiopara proce<strong>de</strong>r a su <strong>de</strong>tección y limpieza. Network Assiciates dispone <strong>de</strong> un <strong>de</strong>tector gratuito para RemoteExplorer en sus páginas web, en la dirección http://www.nai.com/products/antivirus/remote_explorer.aspAntonio Ropero31/<strong>12</strong>/1998 Adiós 1998, Feliz 1999.Se acaba el 1998, y damos la bienvenida a un nuevo año. Un 1998, que ha significado el nacimiento <strong>de</strong>HispaSec y que ha estado lleno <strong>de</strong> noticias. Vamos a aprovechar este último día <strong>de</strong>l año para re<strong>al</strong>izar unbreve repaso a las noticias publicadas más <strong>de</strong>stacadas.La andadura <strong>de</strong> una-<strong>al</strong>-día nació un 28 <strong>de</strong> octubre y fue exactamente dos meses <strong>de</strong>spués, el 28 <strong>de</strong> diciembrecuando se abría <strong>al</strong> público nuestro web (www.hispasec.com). Nuestra primera noticia hacía referencia <strong>al</strong>Service Pack 4 y todos los problemas que se habían encontrado en él.El tema vírico junto con el <strong>de</strong> Internet ha sido las materias que más artículos han generado en nuestroservicio <strong>de</strong> noticias. Hemos cubierto el nacimiento <strong>de</strong> nuevas tecnologías víricas, como los virus <strong>de</strong>script, los troyanos <strong>de</strong> Internet, con un estudio especi<strong>al</strong> sobre el DeepThroat, los virus html o el primervirus para PowerPoint. También hemos <strong>de</strong>dicado un espacio a virus españoles como el Win32.Parvo o elIthaqua. Internet y las vulnerabilida<strong>de</strong>s encontradas en <strong>de</strong>terminados sistemas ha generado importantesnoticias. Los f<strong>al</strong>los <strong>de</strong>scubiertos por el español Juan Carlos García Cuartango han sido noticia en múltiplesocasiones, otros sistemas vulnerables <strong>de</strong> los que nos hemos hecho noticia han sido el SHH, BIND, routerscisco, el KDE, MS-Proxy, etc.Pero también hemos informado <strong>de</strong> hechos importantes y relevantes en el mundo <strong>de</strong> la <strong>seguridad</strong>informática. La propuesta <strong>de</strong>l PGP como estándar, el tratado <strong>de</strong> Wassenar, la problemática <strong>de</strong> Interneten China, o la reducción <strong>de</strong> las medidas en la limitación <strong>de</strong> exportación <strong>de</strong> materi<strong>al</strong> criptográfico por elgobierno estadouni<strong>de</strong>nse.El 2000 y toda la problemática asociada también ha venido a ocupar una parte importante <strong>de</strong> este servicio<strong>de</strong> noticias. Sin duda el próximo año 1999, el problemático año dará mucho más que hablar. Para acabarsólo nos queda <strong>de</strong>sear un feliz año nuevo a todos nuestros suscriptores.Antonio Ropero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 19
EntrevistaJuan Carlos García Cuartango s<strong>al</strong>ta a la fama en 1998 cuando (con 38 años)<strong>de</strong> forma obstinada y continua, comienza a encontrar problemas <strong>de</strong> <strong>seguridad</strong> enel inmaduro Internet Explorer. El agujero <strong>de</strong> Cuartango, la ventana <strong>de</strong> Cuartango...junto con Guninsky, protagoniza una época en la que los investigadores privados Juan C. G. Cuartango<strong>de</strong>muestran las carencias <strong>de</strong> un software muy popular, poniendo en evi<strong>de</strong>nciaa los <strong>de</strong>sarrolladores y, a la vez, motivándolos para mejorar la <strong>seguridad</strong> <strong>de</strong>l producto. <strong>Una</strong>-<strong>al</strong>-día se<strong>al</strong>imentó durante mucho tiempo <strong>de</strong> sus <strong>de</strong>scubrimientos, <strong>de</strong>s<strong>de</strong> don<strong>de</strong> se le daba la repercusión mediáticanecesaria.<strong>Hispasec</strong>: ¿Con qué edad empezaste a tener contacto con la informática? ¿Recuerdas losprimeros equipos informáticos que pudiste trastear?Juan Carlos García Cuartango: Antes <strong>de</strong> la informática estaba la electrónica. Recuerdo una radiocon un diodo <strong>de</strong> germanio, un con<strong>de</strong>nsador y una bobina construida sobre el cartón <strong>de</strong> un rollo <strong>de</strong> papelhigiénico enchufada <strong>al</strong> radiador y <strong>al</strong> somier <strong>de</strong> la cama. Esto marcó mi futuro hacia las telecomunicacionescuando yo tenía <strong>12</strong> años. Después ya en la veintena conocí el ZX Spectrum.H: En <strong>Hispasec</strong> conocimos a Cuartango, el <strong>de</strong>scubridor <strong>de</strong> vulnerabilida<strong>de</strong>s en el navegador<strong>de</strong> Microsoft, en 1998. Antes <strong>de</strong> entonces, ¿cuál era tu especi<strong>al</strong>idad profesion<strong>al</strong>?, ¿quétrabajos <strong>de</strong>sempeñabas?JCGC: Siempre he trabajado en temas <strong>de</strong> comunicaciones informáticas en gran<strong>de</strong>s fabricantes comoconsultor y <strong>de</strong>sarrollador.H: ¿Cuál fue tu primer contacto con <strong>Hispasec</strong>? ¿Estás suscrito a una-<strong>al</strong>-día?JCGC: Mi primer contacto con <strong>Hispasec</strong> sería en 1999, la verdad es que por aquella época no había casinada en castellano sobre <strong>seguridad</strong>. Des<strong>de</strong> entonces sigo leyendo puntu<strong>al</strong>mente el una-<strong>al</strong>-día. Por ciertoaprovecho para <strong>de</strong>searos feliz cumpleaños a todo el equipo <strong>de</strong> <strong>Hispasec</strong>.H: ¿Cuándo y cómo encontraste la primera vulnerabilidad en Internet Explorer?JCGC: La primera vulnerabilidad en 1998 era visu<strong>al</strong> ya que era posible f<strong>al</strong>sificar ventanas para hacerpulsar <strong>al</strong> usuario el botón equivocado. Los avisos <strong>de</strong> Windows estaban m<strong>al</strong> diseñados, <strong>de</strong> hecho siguenestando m<strong>al</strong> diseñados.H: En las posteriores vulnerabilida<strong>de</strong>s que <strong>de</strong>tectaste en el navegador <strong>de</strong> Microsoft,¿seguías <strong>al</strong>gún tipo <strong>de</strong> proceso o metodología para su <strong>de</strong>scubrimiento? ¿cuánto <strong>de</strong> esfuerzo(<strong>de</strong> <strong>de</strong>dicarle horas) y/o geni<strong>al</strong>idad (intuición)?JCGC: Solo el olfato y ninguna herramienta ni método.H: ¿Cómo era tu relación con Microsoft en el momento <strong>de</strong> los <strong>de</strong>scubrimientos continuos?¿Trabajabas con ellos para solucionarlos o esperabas tranquilamente el parche? ¿Algunaanécdota que contar?JCGC: Yo les pasaba la información y esperaba el parche y <strong>de</strong>spués publicaba los <strong>de</strong>t<strong>al</strong>les. <strong>Una</strong> vez me20<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
preguntaron en Navidad si me gustaba más el güisqui porque querían reg<strong>al</strong>arme una botella. Les contestéque era <strong>de</strong> muy m<strong>al</strong> gusto la pregunta <strong>al</strong> menos para nuestra cultura española así que les dije que en t<strong>al</strong>escondiciones no podía aceptar ningún reg<strong>al</strong>o <strong>de</strong> ellos.H: Durante aquellos años también <strong>de</strong>stacó Georgi Guninski como <strong>de</strong>scubridor <strong>de</strong>vulnerabilida<strong>de</strong>s en navegadores, raro era el mes que no se publicaba una nuevavulnerabilidad suya o tuya. ¿Cómo era tu relación con Guninski (si es que existía)?JCGC: De vez en cuando intercambiábamos mensajes incluso en <strong>al</strong>guna ocasión nos intercambiamosinformación para discutirla técnicamente.H: ¿Qué opinas <strong>de</strong>l <strong>de</strong>bate “full disclosure” o revelación responsable?JCGC: Me parece el tratamiento a<strong>de</strong>cuado para los problemas <strong>de</strong> <strong>seguridad</strong>.H: A día <strong>de</strong> hoy existen mercados, tanto negros como iniciativas legítimas y reconocidas,en el que se ven<strong>de</strong>n y se compran las vulnerabilida<strong>de</strong>s. ¿Existía <strong>al</strong>go parecido en la época enla que estuviste más activo en el <strong>de</strong>scubrimiento <strong>de</strong> vulnerabilida<strong>de</strong>s? ¿Podía ser entoncesuna actividad directamente rentable en términos económicos o sólo en imagen y prestigio?¿Tuviste ofertas para comprar tus próximas vulnerabilida<strong>de</strong>s?JCGC: Yo nunca tuve ofertas ni blancas ni negras, tan solo en una ocasión cuando <strong>de</strong>scubrí un agujero <strong>de</strong>lNetscape me enviaron una camiseta y un cheque <strong>de</strong> mil dólares, ahora que ya está prescrito (pues hace yacasi 10 años) puedo confesar mi pecado. No <strong>de</strong>claré el cheque a Hacienda, solo lo ingresé en Caja Madrid,esa ha sido mi única trampa a hacienda en 25 años <strong>de</strong> experiencia como contribuyente.H: Tras varios años con una gran actividad en el <strong>de</strong>scubrimiento <strong>de</strong> vulnerabilida<strong>de</strong>s, <strong>al</strong>menos en el terreno público, no volvimos a tener más “agujeros” ni “ventanas” <strong>de</strong> Cuartango¿por qué?JCGC: Todo cansa.H: Ahora hay una hornada nueva, <strong>de</strong> gente muy joven, en el terreno <strong>de</strong> la <strong>seguridad</strong> y el<strong>de</strong>scubrimiento <strong>de</strong> vulnerabilida<strong>de</strong>s. ¿Algún consejo para ellos?JCGC: Que se <strong>de</strong>diquen a otra cosa.H: ¿Qué sistema operativo y navegador utilizas? ¿Algún programa <strong>de</strong> <strong>seguridad</strong> adicion<strong>al</strong>como antivirus?JCGC: Person<strong>al</strong>mente utilizo Windows XP y Explorer. Como antivirus Kaspersky. ¡ Viva el vino, lasmujeres y las Windows ! (Espero que no se consi<strong>de</strong>re machista lo dicho)H: ¿A qué <strong>de</strong>dicas más tiempo últimamente? ¿Hobbies?JCGC: Mi afición <strong>de</strong>s<strong>de</strong> hace unos años es la astronomía, los agujeros negros (aunque no se vean, sonmucho más interesantes que los agujeros <strong>de</strong> los or<strong>de</strong>nadores). Por otra parte la contemplación <strong>de</strong> la lunacreciente <strong>de</strong> 6 días es mucho más relajante que la contemplación <strong>de</strong> los pant<strong>al</strong>lazos azules.H: Un libro, una canción.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 21
JCGC: Lo que leo en el metro estos días: “La quinta mujer” <strong>de</strong> Henning Mankell. Canción : “Bye bye missAmerican pie”H: ¿Alguna predicción en materia <strong>de</strong> <strong>seguridad</strong> informática? ¿Qué nos espera?JCGC: En 19 años no ha habido ningún avance. Cada vez los or<strong>de</strong>nadores hacen menos cosas sin advertirteocho veces sobre el peligro <strong>de</strong> lo que vas a hacer. Windows Vista y su UAC, o el “sudo” <strong>de</strong> linux son elparadigma <strong>de</strong> los avances logrados en 10 años. Parece que nos espera más <strong>de</strong> lo mismo: tú haz lo quequieras pero yo ya te había avisado así que no soy responsable <strong>de</strong> nada. En re<strong>al</strong>idad la informática engener<strong>al</strong> no ha avanzado nada en los últimos 30 años.22<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
DocumentaciónAlojaba la primera página web. Suscaracterísticas:. Procesador Cyrix 486 DX2 80,. 16 Mbytes <strong>de</strong> RAM,. Disco duro <strong>de</strong> 6 Gbytes y Windows NT 4.0.Estaba directamente conectado a internet,sin cortafuegos físico o por software.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 - 23
24<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1998 -
7CF3717año 1999Capítulo111111001111
915148800 – 946684799Durante este año...__En la Unión Europea entra en vigor el euro como moneda única en <strong>12</strong> estados. Eldinero físico se pondría en circulación a principios <strong>de</strong> 2001.__En enero se lanza la Mars Polar Lan<strong>de</strong>r. Fue una sonda espaci<strong>al</strong> estadouni<strong>de</strong>nse que <strong>de</strong>spegó enenero y llegó a su <strong>de</strong>stino en diciembre <strong>de</strong> 1999. Es el primer intento <strong>de</strong> amartizaje <strong>de</strong>s<strong>de</strong> el éxito <strong>de</strong>Pathfin<strong>de</strong>r en 1997. El 3 <strong>de</strong> diciembre <strong>de</strong> 1999, diez minutos antes <strong>de</strong> aterrizar, se per<strong>de</strong>ría el contacto.__El asunto <strong>de</strong> Bill Clinton sigue coleando. Comienza el juicio.__Teleline ofrece ahora por 20.000 pts. (<strong>12</strong>0 euros) conexión a un año pero con mó<strong>de</strong>m<strong>de</strong> 56kbps. Aña<strong>de</strong> 5 megas <strong>de</strong> página web y 3 buzones <strong>de</strong> correo.__En abril se produce la masacre en el instituto Columbine. Eric Harris y Dylan Klebold, dos adolescentes<strong>de</strong> Littleton (Colorado) disparan contra sus compañeros y profesores, matando a 13 personas y suicidándosemás tar<strong>de</strong>. Michael Moore lo tomaría como referencia para su película-document<strong>al</strong> Bowling for Columbine,en una reflexión sobre el uso <strong>de</strong> armas <strong>de</strong> fuego en los Estados Unidos.__En mayo aparece Microsoft Windows 98 Second Edition. Se trata <strong>de</strong> unaactu<strong>al</strong>ización como consecuencia <strong>de</strong> la pérdida <strong>de</strong>l juicio antimonopolio por laintegración <strong>de</strong>l navegador en el sistema operativo. Podía ser visto como un ServicePack para Windows 98. Actu<strong>al</strong>izaba el navegador a Internet Explorer 5.0 (que ahorapodía <strong>de</strong>sinst<strong>al</strong>arse ofici<strong>al</strong>mente, o <strong>al</strong> menos hacerlo <strong>de</strong>saparecer <strong>de</strong>l escritorio, cosaimposible con otras versiones), mejor soporte para USB, DVD y la corrección <strong>de</strong>otros muchos problemas menores.__La agenda electrónica más pequeña <strong>de</strong>l mundo tiene 256 kilobytes <strong>de</strong> memoria.En junio nace Napster, lo que supondría la primerarevolución <strong>de</strong> compartición <strong>de</strong> archivos y re<strong>de</strong>s <strong>de</strong> paresen Internet. Se convertiría en un programa tremendamentepopular y la industria arremetería contra él hasta <strong>de</strong>tenerpor completo el proyecto. En 2001 <strong>al</strong>canzaría su máxima popularidad. Se trata <strong>de</strong> unared centr<strong>al</strong>izada para mantener la lista <strong>de</strong> usuarios conectados y archivos compartidospor cada uno <strong>de</strong> ellos. Sin embargo las transferencias <strong>de</strong> archivos son re<strong>al</strong>izadas entre lospropios usuarios sin intermediarios. No permitía “resumir” por lo que se podía per<strong>de</strong>r unarchivo por completo aunque se hubiese <strong>de</strong>scargado <strong>al</strong> 99% si se cortaba la conexión. Trasvarios juicios y <strong>de</strong>mandas que no harían más que elevar su popularidad, en julio <strong>de</strong> 2001un juez or<strong>de</strong>naría el cierre <strong>de</strong> los servidores Napster. En mayo <strong>de</strong> 2008 Napster resurgiríabajo el reclamo <strong>de</strong> tienda <strong>de</strong> MP3.__En junio Apple comienza a comerci<strong>al</strong>izar suiBook con CPU PowerPC G3 entre 300 y 466 Mhz. La26<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
primera versión viene equipada con 288 MB <strong>de</strong> RAM y 3 gigas <strong>de</strong> disco duro.Se aplica el exitoso diseño <strong>de</strong> los or<strong>de</strong>nadores <strong>de</strong> sobremesa, con unas formasinnovadores y colores translúcidos. Cuesta más <strong>de</strong> 260.000 pts. (unos 1.500euros) Un poco más tar<strong>de</strong> ese mismo año aparecería el Power Macintosh G4.__ En la una-<strong>al</strong>-día <strong>de</strong>l 15 <strong>de</strong> mayo, “G<strong>al</strong>adriel, una semana <strong>de</strong>spués ” se comienzaa incluir el título <strong>de</strong> la noticia en el asunto <strong>de</strong>l correo enviado._ Se <strong>de</strong>ci<strong>de</strong> que el euro v<strong>al</strong>drá 166,386 pts._ Es un año especi<strong>al</strong>mente virulento en cuestión <strong>de</strong> terremotos. 17.000 personas muerenen agosto en Turquía. Este país sufriría más terremotos ese año. También temblaría la tierra <strong>de</strong> Grecia eincluso España.__Silicon Graphics lanza Viru<strong>al</strong>Workstation 540. Permite 4 procesadores Xeon Pentium II a 450 Mhzy hasta 2 Gigas <strong>de</strong> memoria. Cuesta cerca <strong>de</strong> un millón <strong>de</strong> pts. (6.000 euros).__Philip Morris es con<strong>de</strong>nada por un jurado <strong>de</strong> San Francisco a pagar 7.250 millones <strong>de</strong> pesetas (43millones <strong>de</strong> euros) a una fumadora con cáncer <strong>de</strong> pulmón irreversible.__En octubre, se establece simbólicamente que el mundo llega a estar habitado por 6.000 millones<strong>de</strong> personas. La población crece indiscriminadamente <strong>de</strong>s<strong>de</strong> el fin<strong>al</strong> <strong>de</strong> la segunda guerra mundi<strong>al</strong> ycontinúa hasta nuestros días. En 1950 sólo existían 2.000 millones <strong>de</strong> seres humanos. En 2008 somos6.700 millones. Se esperan los 9.000 millones para 2042. En España somos 40 millones en 1999 y 46 en2008.__Las memorias Compact Flash <strong>al</strong>canzan los 160 megas. Un escáner 600x<strong>12</strong>00 cuesta casi 20.000 pts.(<strong>12</strong>0 euros). <strong>Una</strong> grabadora Yamaha 6x2x2x (lee a 6 velocida<strong>de</strong>s, graba y regraba a 2) cuesta 300 euros(50.000 pts).__Se lanza FreeBSD versión 3 y OpenLinux 1.3.Seguridad Informática_ Se <strong>de</strong>scubre uno <strong>de</strong> los primeros troyanos que roba cuentas <strong>de</strong> usuarios <strong>de</strong> AmericaOnline. Se aña<strong>de</strong> <strong>al</strong> fichero win.ini para asegurarse la ejecución en cada inicio. El troyanoviene en forma <strong>de</strong> archivo ejecutable y “cifra” a través <strong>de</strong> una simpletransposición <strong>de</strong> caracteres los datos robados, que son enviados a una dirección <strong>de</strong>correo en China. Durante todo el año se <strong>de</strong>scubrirán muchos más, <strong>de</strong>stinados a robarlas contraseñas para permitir la conexión gratuita a Internet a través <strong>de</strong> AOL y otrosproveedores.__Un an<strong>al</strong>ista <strong>de</strong> SecureXpert da a conocer una vulnerabilidad que afecta a todos los navegadores.La vulnerabilidad permite <strong>al</strong> autor <strong>de</strong> una página especi<strong>al</strong>mente manipulada o un mensaje correo HTML,f<strong>al</strong>sear la información presentada por otro sitio web. El problema es común a Microsoft Internet Explorery a Netscape Communicator, y se <strong>de</strong>be a que ambos navegadores no pue<strong>de</strong>n evitar que un sitio web pueda<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 27
eemplazar un frame mostrado por otro sitio web con contenido que está bajo el control <strong>de</strong>l atacante.El f<strong>al</strong>lo se <strong>de</strong>scubrió primero en Internet Explorer y más tar<strong>de</strong> se observó que el resto también eranvulnerables. Todavía estos métodos no serían usados para el phishing, un concepto que llegaría mucho<strong>de</strong>spués, <strong>al</strong> igu<strong>al</strong> que un buen número <strong>de</strong> vulnerabilida<strong>de</strong>s parecidas compartidas entre los navegadoresactu<strong>al</strong>es.__La colegi<strong>al</strong>a irlan<strong>de</strong>sa Sarah Flannery <strong>de</strong> 16 años, <strong>de</strong>sarrolla un <strong>al</strong>goritmo <strong>de</strong> clave pública basadoen matrices 2x2, con el que consigue un cifrado fuerte comparable a RSA y 30 veces más rápido. Sarahno piensa patentar el código. Su padre comenta que “a ella no le importa el ser rica, lo que re<strong>al</strong>mente<strong>de</strong>sea es hacer partícipe a todo el mundo <strong>de</strong> la felicidad que le ha proporcionado su <strong>de</strong>scubrimiento”. Lollama Cayley-Purser en honor a Arthur Cayley, un experto en matrices <strong>de</strong> Cambridge <strong>de</strong>l siglo XIX, y aMichael Purser, un criptógrafo <strong>de</strong>l Trinity College, en Dublín, quienes inspiraron a Sarah en su <strong>de</strong>sarrollo.Publicaría un libro en 2001 y posteriormente se <strong>de</strong>scubriría que su <strong>al</strong>goritmo contenía un error fat<strong>al</strong>,aunque esto no lo <strong>de</strong>scartaba tot<strong>al</strong>mente para po<strong>de</strong>r ser usado bajo ciertas circunstancias. Actu<strong>al</strong>menteSarah trabaja en Electronic Arts.__Tras el virus Strange Brew, la plataforma Java se ve afectada por el virus BeanHive, mucho mássofisticado que su pre<strong>de</strong>cesor. BeanHive está <strong>de</strong>stinado a conseguir acceso tot<strong>al</strong> a los datos <strong>de</strong> los usuariosa través <strong>de</strong> su ejecución en los navegadores.__Intel llega a un acuerdo con la RSA para dotar a sus futuros procesadores <strong>de</strong> capacida<strong>de</strong>s para elcifrado <strong>de</strong> datos. Se habla <strong>de</strong> que esta tecnología permitirá facilitar en gran medida el uso <strong>de</strong>l cifrado enred e impulsar el comercio electrónico, una gran apuesta en aquel momento.__El <strong>de</strong>safío DES III se rompe en el tiempo récord <strong>de</strong> 22 horas y 15 minutos, gracias <strong>al</strong> po<strong>de</strong>r <strong>de</strong> unos100.000 or<strong>de</strong>nadores y un superor<strong>de</strong>nador especi<strong>al</strong>mente diseñado por la EFF (Electronic FrontierFoundation) conocido como “Deep Crack”. En esta ocasión el ya mítico or<strong>de</strong>nador, (que ganó por sí solo elanterior concurso en menos <strong>de</strong> tres días) colaboraba con distributed.net, y en combinación se probaban245.000 millones <strong>de</strong> claves cada segundo. Se <strong>de</strong>muestra en primer lugar la <strong>de</strong>bilidad <strong>de</strong>l <strong>al</strong>goritmo DES y lanecesidad <strong>de</strong> buscar un nuevo sustituto <strong>de</strong> forma inmediata (se propuso AES) y por otro lado la efectividad<strong>de</strong>l uso <strong>de</strong> la informática distribuida para la resolución <strong>de</strong> problemas que requieran una gran potencia<strong>de</strong> cálculo. El escrito tras la clave oculta la siguiente misiva “See you in Rome (second AES Conference,March 22-23, 1999)”. RC5-64 caería tres años <strong>de</strong>spués.__ Durante el transcurso <strong>de</strong> la Conferencia <strong>de</strong> Seguridad <strong>de</strong> Datos <strong>de</strong> la RSA en San José, compañías comoIBM o Netscape se <strong>de</strong>cantan por la implantación y el uso <strong>de</strong>l estándar PKI. El estándar PKI (Public KeyInfraestructure) <strong>de</strong>sarrollado por la Internet Engineering Task Force (IETF), está basado en el uso <strong>de</strong> clavepública y preten<strong>de</strong> asegurar que tanto el receptor como el emisor <strong>de</strong> un mensaje son re<strong>al</strong>mente quienesdicen ser. A<strong>de</strong>más, PKI garantiza que la integridad <strong>de</strong> los datos no ha sido comprometida. Representael primer apoyo firme por parte <strong>de</strong> la industria para su implementación. Entre las diferentes medidasadoptadas por IBM se encuentra la migración <strong>de</strong> 30 millones <strong>de</strong> usuarios <strong>de</strong> Lotus Notes (princip<strong>al</strong>competencia <strong>de</strong> Office en el momento) <strong>al</strong> estándar PKIX (PKI sobre X.509). En esos momentos no existíanmuchas aplicaciones que soportasen o hicieran uso <strong>de</strong>l PKI.__Juan Carlos García Cuartango <strong>de</strong>scubre una vulnerabilidad en Internet Explorer por la que se<strong>de</strong>ja visible el portapapeles en Internet. Las reglas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Microsoft <strong>de</strong>jan clara la prohibición<strong>de</strong>l acceso <strong>al</strong> contenido <strong>de</strong>l portapapeles a los scripts <strong>de</strong> Internet Explorer a no ser que sea propiedad <strong>de</strong>lpropio Explorer, pero existe un medio para evadir esta protección a través <strong>de</strong>l uso <strong>de</strong> <strong>al</strong>gunos controlesActiveX incluidos en MS Forms 2. La vulnerabilidad también pue<strong>de</strong> ser aprovechada por correo. Cuartango28<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
<strong>de</strong>scubre más tar<strong>de</strong> que no es necesario usar el ActiveX. Años <strong>de</strong>spués este problema <strong>de</strong>l portapapelesseguiría coleando con Internet Explorer.__Según el CERT, <strong>al</strong>gunas <strong>de</strong> las copias <strong>de</strong>l código fuente <strong>de</strong> TCP Wrappers han sido modificadas paraincluir en ellas un troyano, que daría la posibilidad a un intruso a entrar en un sistema remoto por elpuerto 421 con permisos <strong>de</strong> root. <strong>Una</strong> vez compilado este troyano es capaz <strong>de</strong> mandar información a unadirección <strong>de</strong> correo externa, como la i<strong>de</strong>ntificación <strong>de</strong>l lugar y <strong>de</strong> la cuenta que lo ha compilado.__El proyecto Katmai se materi<strong>al</strong>iza comerci<strong>al</strong>mente en Pentium III. Se dice que incluirá importantesmedidas para fort<strong>al</strong>ecer la <strong>seguridad</strong> y mejorar las condiciones <strong>de</strong>l comercio electrónico. Se modifica elgenerador <strong>de</strong> números <strong>al</strong>eatorios, hasta ahora basado en software, a pesar <strong>de</strong> que todos los criptoan<strong>al</strong>istasconfirman las <strong>de</strong>bilida<strong>de</strong>s <strong>de</strong> este medio para crear números <strong>al</strong>eatorios. A la larga pue<strong>de</strong>n emerger patronesnuméricos, llegar a pre<strong>de</strong>cirse el numero pseudo<strong>al</strong>eatorio y por lo tanto <strong>de</strong>scifrar el mensaje. El generadorque se incluirá en el Pentium III <strong>de</strong>terminará el número c<strong>al</strong>culando la diferencia entre el ruido térmicoemitido por <strong>al</strong> menos dos puntos <strong>de</strong>l procesador.__ El chat hace furor en la red, y es una <strong>de</strong> las activida<strong>de</strong>s más re<strong>al</strong>izadas en Internet. mIRC 5.5, el programacliente IRC en Windows por excelencia, se convierte en una importante puerta <strong>de</strong> entrada para troyanosa través <strong>de</strong> comandos DCC. El DCC también sirve como vía <strong>de</strong> contagio para los virus-scripts <strong>de</strong>mIRC, que aprovechan que por <strong>de</strong>fecto los archivos aceptados por DCC se <strong>al</strong>macenan en el directoriojunto con los ficheros <strong>de</strong> scripts.El tema estrella <strong>de</strong>l año es el “efecto 2000”, pero también seavisa <strong>de</strong> que la entrada <strong>de</strong>l Euro (<strong>al</strong> menos <strong>al</strong> año siguienteentraría como moneda <strong>de</strong> curso en los mercados bulsátiles,no llegaría a los bolsillos hasta 2001) también podría causarproblemas. A primeros <strong>de</strong> año un gran número <strong>de</strong> informáticosse ven obligados a hacer horas extras par adaptar todos lossistemas a la nueva moneda europea. Se piensa que los f<strong>al</strong>losque traerá consigo no permitirán que se baje la guardia durantemucho tiempo y que los tres próximos años serán susceptiblesa la aparición <strong>de</strong> errores y problemas con igu<strong>al</strong> probabilidada la <strong>de</strong> cu<strong>al</strong>quier otro día. Microsoft retira <strong>de</strong>l mercado toda su serie <strong>de</strong> programas <strong>de</strong>contabilidad doméstica Money 99 por un problema <strong>de</strong> adaptación <strong>de</strong> la nueva monedacon la banca online. Money 99 incluye unos scripts para la conversión, pero estos semuestran incapaces <strong>de</strong> acce<strong>de</strong>r a los servidores bancarios <strong>al</strong>emanes a pesar <strong>de</strong> sercompatibles. La línea <strong>de</strong> soporte <strong>de</strong> la compañía recibe más <strong>de</strong> 500 llamadas diarias conrelación <strong>al</strong> Euro y el Money 99.Durante todo el año, la CIA sigue <strong>al</strong>armando sobre el problema <strong>de</strong>l año 2000. El nuevomilenio podría causar serios problemas en <strong>al</strong>gunos países en los sistemas <strong>de</strong> misiles,suministros <strong>de</strong> agua y gas, reactores nucleares, etc. El vicesecretario <strong>de</strong> <strong>de</strong>fensaestadouni<strong>de</strong>nse, John Hamre, anuncia que según los informes <strong>de</strong> inteligencia en su po<strong>de</strong>r,son posibles dificulta<strong>de</strong>s en los envíos <strong>de</strong> gas en la antigua Unión Soviética. Los países envías <strong>de</strong> <strong>de</strong>sarrollo como China podrían sufrir con mayor virulencia la entrada <strong>de</strong>l mileniocon probables daños en sectores como telecomunicaciones, electricidad y banca.Los países árabes podrían no ser conscientes <strong>de</strong>l bug <strong>de</strong>l 2000 porque se rigen por unc<strong>al</strong>endario musulmán. Los Estados Unidos hacen culpables <strong>de</strong> los posibles f<strong>al</strong>los <strong>de</strong> sus<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 29
sistemas a la f<strong>al</strong>ta <strong>de</strong> previsión <strong>de</strong> los países <strong>al</strong>iados. La Comisión <strong>de</strong>l Senado que estudiael problema dice <strong>al</strong> respecto “Los estadouni<strong>de</strong>nses <strong>de</strong>ben prepararse para el problema<strong>de</strong>l año 2000 en los or<strong>de</strong>nadores como lo harían <strong>de</strong> cara a un huracán, <strong>al</strong>macenando<strong>al</strong>imentos enlatados y agua embotellada”. La fantasía sobre el efecto 2000 <strong>al</strong>imentapelículas, series y todo tipo <strong>de</strong> artículos catastrofistas.En España siguen publicándose estudios acerca <strong>de</strong>l año 2000. Según afirman fuentes<strong>de</strong>l gobierno, un 85% <strong>de</strong> los sistemas informáticos <strong>de</strong> la administración están dispuestospara afrontar el año 2000 sin errores. En agosto se crea la Oficina <strong>de</strong> Transición para elEfecto 2000. Este nuevo centro <strong>de</strong> coordinación viene a sustituir a la Comisión Nacion<strong>al</strong><strong>de</strong>l Efecto 2000, y el periodo <strong>de</strong> coordinación será <strong>de</strong> seis meses que compren<strong>de</strong>rán entreoctubre <strong>de</strong> 1999 y marzo <strong>de</strong>l 2000. Sectores como el nuclear y el <strong>de</strong> transporte marítimoestán preparados tot<strong>al</strong>mente para el efecto 2000 y otros como los <strong>de</strong> hidrocarburosposeen una adaptación <strong>de</strong>l 95%. Otro sector con <strong>al</strong>tos índices <strong>de</strong> preparación es el <strong>de</strong>ferrocarriles, con una adaptación <strong>de</strong>l 93%, mientras que la banca con un 90% pareceque tampoco tendrá problemas para tenerlo todo a punto para el 31 <strong>de</strong> diciembre. Elpanorama más inquietante viene por parte <strong>de</strong> la sanidad pública que sólo dispone <strong>de</strong> un50% <strong>de</strong> sus or<strong>de</strong>nadores preparados. Otro problema añadido es el <strong>de</strong> las Comunida<strong>de</strong>sAutónomas: el 30% no ha comenzado la adaptación. El intercambio <strong>de</strong> información entreadministraciones nacion<strong>al</strong>es y autónomas pue<strong>de</strong> dar <strong>al</strong> traste con los ya preparadosor<strong>de</strong>nadores <strong>de</strong>l Estado. No sería para tanto.__ Cisco, Lucent, NAi y Sun, firman un acuerdo para unir sus fuerzas a favor <strong>de</strong> la protección <strong>de</strong> losusuarios. Se crea la Security Research Alliance para compartir avances en sus investigaciones, asícomo colaborar en el <strong>de</strong>sarrollo <strong>de</strong> nuevos medios y aplicaciones que garanticen la <strong>de</strong>fensa <strong>de</strong> los sistemasinformáticos. La <strong>al</strong>ianza tiene como meta proporcionar a los administradores la información que necesitanpara tomar <strong>de</strong>cisiones a largo plazo. También, en la cabeza <strong>de</strong> la lista <strong>de</strong> priorida<strong>de</strong>s <strong>de</strong> la Alianza seencuentra la <strong>de</strong>tección <strong>de</strong> intrusos y la respuesta ante este tipo <strong>de</strong> inci<strong>de</strong>ntes. La mayoría <strong>de</strong> los sistemas<strong>de</strong> <strong>de</strong>tección <strong>de</strong> intrusos fijan su atención en la capa <strong>de</strong> aplicación, pero la Alianza quiere llegar a ser capaz<strong>de</strong> <strong>de</strong>tectar ataques a una organización <strong>de</strong>s<strong>de</strong> el nivel más bajo <strong>de</strong> las capas IP hasta en los niveles <strong>al</strong>tos <strong>de</strong>aplicación. Con la perspectiva <strong>de</strong>l tiempo, el efecto re<strong>al</strong> <strong>de</strong>l proyecto en la <strong>seguridad</strong> no sería <strong>de</strong>masiado<strong>de</strong>stacable.__Bajo el nombre <strong>de</strong> Linux.Vit.4096 se anuncia la aparición <strong>de</strong> un nuevo virus que afecta <strong>al</strong> sistemaoperativo Linux, no resi<strong>de</strong>nte en memoria y capaz <strong>de</strong> replicarse en ejecutables con formato ELF. Elproceso <strong>de</strong> infección lo lleva a cabo insertando su código (4096 bytes) <strong>de</strong>spués <strong>de</strong> la cabecera ELF enla primera sección <strong>de</strong> código <strong>de</strong>l fichero. La primera noticia que se conoce sobre virus para Linux seremonta a septiembre <strong>de</strong> 1996, cuando en <strong>al</strong>gunas news se difundió en un mensaje la versión <strong>al</strong>pha <strong>de</strong>Bliss, consi<strong>de</strong>rado como el primer virus para Linux. Por aquel entonces fue McAfee el primer antivirus ensacar su antídoto <strong>al</strong> mercado. Los productos antivirus para Microsoft aña<strong>de</strong>n este virus a sus firmas.__Un nuevo virus <strong>de</strong> macro (tipo favorito <strong>de</strong> virus durante todo 1999), W97M/C<strong>al</strong>igula, roba los ficheros<strong>de</strong> claves <strong>de</strong>l programa <strong>de</strong> cifrado PGP. Un ataque posterior a estos ficheros por fuerza bruta podría permitirabrir los archivos cifrados. Copia el fichero secreto <strong>de</strong> llaves <strong>de</strong> PGP (SECRING.SKR) y lo enviaba a través<strong>de</strong> FTP <strong>al</strong> servidor <strong>de</strong> su creador. Parece que la única razón por la que este virus roba el fichero <strong>de</strong> PGPes para convertirse en el primero con esta característica y obtener así la máxima notoriedad. Un ataquemás efectivo podría llevarse a cabo introduciendo capacida<strong>de</strong>s <strong>de</strong> “keylogger”. En 2008 se <strong>de</strong>tectaría otrotroyano que robaba claves PGP y obtendría una repercusión mediática parecida.30<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
__En febrero se <strong>de</strong>tecta el primer virus que elimina virus. W97M.Ethan funciona <strong>de</strong> forma similara la mayoría <strong>de</strong> virus <strong>de</strong> macro y sólo infecta ficheros <strong>de</strong> Word. Ethan borra el archivo class.sys, en el quese escon<strong>de</strong> el virus <strong>de</strong> macro W97M.Class. Años más tar<strong>de</strong> se observaría una guerra vírica en la que variostipos <strong>de</strong> m<strong>al</strong>ware se centraron en eliminarse mutuamente.__ La administración <strong>de</strong> Estados Unidos sigue intentando restringir la exportación <strong>de</strong> productoscriptográficos. WatchGuard Technologies recibe el permiso para la exportación <strong>de</strong> software <strong>de</strong>cifrado <strong>de</strong> <strong>12</strong>8 bits. La concesión otorga libertad para exportar el componente Virtu<strong>al</strong> Private Network(VPN, Red Privada Virtu<strong>al</strong>) <strong>de</strong>l Sistema <strong>de</strong> Seguridad WatchGuard (WatchGuard Security System) a 41países. Esto sienta un prece<strong>de</strong>nte en la exportación <strong>de</strong> materi<strong>al</strong> criptográfico.La polémica viene <strong>de</strong> la mano <strong>de</strong> Intel y su nuevo Pentium III por la <strong>de</strong>cisión <strong>de</strong>incorporar un número <strong>de</strong> i<strong>de</strong>ntificación a todos los chips. Este número conocidocomo PSN (Pentium Seri<strong>al</strong> Number) ofrece la posibilidad <strong>de</strong> acce<strong>de</strong>r a él<strong>de</strong>s<strong>de</strong> las aplicaciones. Intel justifica la inclusión <strong>al</strong>egando su utilidad para lastransacciones electrónicas. La medida <strong>de</strong>l número i<strong>de</strong>ntificativo no convencea una gran parte <strong>de</strong> los usuarios. Para ac<strong>al</strong>lar las quejas, Intel opta por ofrecer los chips condos posiciones para el acceso <strong>al</strong> código. Por <strong>de</strong>fecto, los procesadores se distribuirán con lacaracterística cerrada, <strong>de</strong>jando <strong>al</strong> usuario la <strong>de</strong>cisión <strong>de</strong> activarla mediante un programaproporcionado por la propia compañía. Intel asegura que no sería posible acce<strong>de</strong>r <strong>al</strong>número <strong>de</strong> serie si el usuario <strong>de</strong>ja <strong>de</strong>sactivada dicha opción, pero la revista CEBit anunciaque uno <strong>de</strong> sus ingenieros ha <strong>de</strong>sarrollado un programa capaz <strong>de</strong> acce<strong>de</strong>r <strong>al</strong> número <strong>de</strong>serie incluso sin que el usuario lo haya permitido. Se pone a disposición <strong>de</strong> todos la webhttp://www.zks.net/p3 para que a través <strong>de</strong> ActiveX se pueda leer el famoso número <strong>de</strong>serie <strong>de</strong> Pentium III. Si se pue<strong>de</strong> acce<strong>de</strong>r por software sin permiso <strong>de</strong>l usuario, también seráposible modificarlo, o <strong>de</strong>volver un número f<strong>al</strong>so cuando se solicite. Se crea una campañaanti-Intel, mofándose <strong>de</strong> su logo http://www.bigbrotherinsi<strong>de</strong>.com/. En diciembre <strong>de</strong> esemismo año, el Parlamento Europeo, aconsejado por un grupo <strong>de</strong> expertos en <strong>seguridad</strong>informática, se plantearía la posibilidad <strong>de</strong> prohibir la inst<strong>al</strong>ación <strong>de</strong> procesadores IntelPentium III en Europa. Fin<strong>al</strong>mente, la polémica terminaría en marzo <strong>de</strong> 2000, cuando Intel<strong>de</strong>ci<strong>de</strong> eliminar el número <strong>de</strong> serie en su próxima familia <strong>de</strong> procesadores.__Aparece un gusano con múltiples técnicas reproductoras. IRC-Worm.Septic es capaz <strong>de</strong> reproducirsepor múltiples vías, <strong>de</strong>s<strong>de</strong> el IRC, hasta los ficheros html o los BAT.__Se publica la nueva versión <strong>de</strong> NetBus Pro, la 2.0. Los troyanos <strong>de</strong> acceso remoto a través <strong>de</strong> un puertoabierto en la víctima están en pleno auge. NetBus riv<strong>al</strong>iza en popularidad con el conocido Back Orifice. Eltroyano permite la obtención <strong>de</strong> información <strong>de</strong> los sistemas remotos, caché <strong>de</strong> contraseñas, subir y bajarficheros, capturas <strong>de</strong> teclado y pant<strong>al</strong>las <strong>de</strong>l or<strong>de</strong>nador remoto o la posibilidad <strong>de</strong> incorporar plug-ins.NetBus permite ahora escuchar a través <strong>de</strong>l micrófono, capturar <strong>de</strong>s<strong>de</strong> dispositivos <strong>de</strong> vi<strong>de</strong>o (webcams),acceso y edición <strong>de</strong>l registro, chatear y hasta la incorporación <strong>de</strong> un programador <strong>de</strong> tareas para ejecutarscripts en un momento <strong>de</strong>terminado sin necesidad <strong>de</strong> que el cliente “atacante” esté conectado. NetBusPro 2.0 incorpora soporte multilingue y sólo pesa 1.7 megas. El puerto TCP que utiliza para escucharlas conexiones es el 20034. En hexa<strong>de</strong>cim<strong>al</strong> obtendremos 4E42, y estos dos bytes pasan a ser en ASCII“NB”, inici<strong>al</strong>es <strong>de</strong> NetBus. Más tar<strong>de</strong>, Back Orifice anunciaría su nueva versión durante la convención <strong>de</strong>temática un<strong>de</strong>rground Un<strong>de</strong>rcon 7, celebrada en julio en Las Vegas. Cult of Dead Cow (Culto <strong>de</strong> la vacamuerta) presenta la Back Orifice 2000 (o BO2K).<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 31
__En marzo se <strong>de</strong>scubre que Windows pue<strong>de</strong> bloquearse pasados 49,7 días <strong>de</strong> uso continuado.Microsoft ofrece un parche para solucionar este problema. Son muchos los usuarios que ante este anunciose preguntan en qué condiciones ha conseguido Microsoft mantener una máquina con estos sistemasoperativos funcionando mes y medio <strong>de</strong> forma continuada para po<strong>de</strong>r reproducir el f<strong>al</strong>lo.__Los sistemas informáticos estadouni<strong>de</strong>nses siguen sufriendo ataques <strong>de</strong> hacktivistas. Curt Weldonrepresentante <strong>de</strong>l Departamento <strong>de</strong> Defensa <strong>de</strong> los Estados Unidos, lleva a cabo una investigaciónsobre estas intrusiones. Los intentos <strong>de</strong> introducirse <strong>de</strong>ntro <strong>de</strong> los sistemas informáticos <strong>de</strong> la <strong>de</strong>fensanorteamericana se re<strong>al</strong>izan <strong>de</strong> forma coordinada y organizada. Según el Pentágono, Rusia ha sido el origen<strong>de</strong> estos ataques. Weldon aña<strong>de</strong> “podríamos <strong>de</strong>cir que estamos en guerra”.__Microsoft admite el uso <strong>de</strong> un número i<strong>de</strong>ntificativo en Word y Excel que permite reconocer <strong>de</strong>forma única a los autores <strong>de</strong> estos documentos. La confirmación s<strong>al</strong>e a la luz justo durante la polémicaexistente con el número <strong>de</strong> serie <strong>de</strong> los Pentium III, por lo que Microsoft reconoce rápidamente la amenazaa la intimidad <strong>de</strong> los usuarios que constituye este código. Dice que se trata <strong>de</strong> un error <strong>de</strong> programación yque será solucionado en la próxima Service Release <strong>de</strong> Windows 98. Para aquellos usuarios que ya tieneninst<strong>al</strong>ado el sistema operativo, la compañía ofrece una utilidad para <strong>de</strong>sactivarlo.En marzo irrumpe Melissa y los medios se vuelcan. Llega la época dorada <strong>de</strong> los virus <strong>de</strong>Macro, basados en documentos Office. Es t<strong>al</strong> su propagación que llegaría a colapasar lossistemas <strong>de</strong> correo con emails infectados. Aunque no fue diseñado en primera instanciapara provocar daño <strong>al</strong>guno, causa el caos en la red. Se distribuye a través <strong>de</strong>l grupo<strong>de</strong> discusión <strong>al</strong>t.sex, <strong>de</strong>ntro <strong>de</strong> un fichero .DOC que contiene contraseñas para acce<strong>de</strong>ra páginas pornográficas <strong>de</strong> pago. Aparecerían posteriormente <strong>de</strong>cenas <strong>de</strong> variantes,como por ejemplo el virus <strong>de</strong> macro Papa que se basa en su código.<strong>Hispasec</strong> re<strong>al</strong>izaría en su una-<strong>al</strong>-día <strong>de</strong>l 28 <strong>de</strong> marzo <strong>de</strong> 1999 un extensísimo análisis sobreeste especimen.__Un error en los Kernel Linux inferiores a 2.0.36 posibilita ataques IP Spoofing <strong>de</strong> forma trivi<strong>al</strong>, sinnecesidad <strong>de</strong> tener acceso a la red loc<strong>al</strong> <strong>de</strong> la máquina atacada, ni <strong>de</strong> re<strong>al</strong>izar predicción <strong>de</strong> números <strong>de</strong>secuencia TCP. Muchas pilas TCP implementadas en aquellos momentos, ofrecían números <strong>de</strong> secuencia<strong>de</strong> paquetes correlativos, favoreciendo ataques que permiten el envenenamiento <strong>de</strong> tráfico.__Se <strong>de</strong>signa el AES (Avanced Encryption Standard) como <strong>al</strong>goritmo que sustituye a DES. El NIST(Nation<strong>al</strong> Institute of Standards and Technology) es el encargado <strong>de</strong> la elección <strong>de</strong>l método <strong>de</strong> cifrado<strong>de</strong>stinado a convertirse en un estándar internacion<strong>al</strong>. Los mejores criptógrafos creen que el AES durarácomo estándar unos 50 años. En marzo la RSA patenta un sistema para interactuar entre criptosistemas<strong>de</strong> curvas elípticas, lo que se supone será el futuro <strong>de</strong> la criptografía.__Se lanza Internet Explorer 5.0 y reaparecen los agujeros <strong>de</strong> Cuartango. Guninski <strong>de</strong>scubre un nuevof<strong>al</strong>lo que permite leer y enviar ficheros loc<strong>al</strong>es a un servidor remoto. Se <strong>de</strong>scubre que durante la inst<strong>al</strong>aciónse modifican las propieda<strong>de</strong>s en el s<strong>al</strong>vapant<strong>al</strong>las sin avisar <strong>al</strong> usuario, lo que podría acarrear problemasen la <strong>seguridad</strong> a nivel loc<strong>al</strong> en <strong>de</strong>terminadas configuraciones. Durante los siguientes meses Cuartango yGuninski seguirían encontrando vulnerabilida<strong>de</strong>s en el navegador.__ En abril se <strong>de</strong>scubre que los or<strong>de</strong>nadores PC Aptiva <strong>de</strong> la serie 240, 301, 520 y 580 fabricados por IBM32<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
entre los días 5 y 17 <strong>de</strong> marzo <strong>de</strong> 1999 pue<strong>de</strong>n estar infectados por el virus CIH.__Un agujero basado en JavaScript permite que usuarios <strong>de</strong> eBay, el famoso sitio <strong>de</strong> subastas, robencontraseñas <strong>de</strong> otros miembros legítimos. Cu<strong>al</strong>quier usuario <strong>de</strong>l sistema que utilice un navegador conJavaScript habilitado pue<strong>de</strong> ser víctima. El f<strong>al</strong>lo se <strong>de</strong>be a que existe la posibilidad <strong>de</strong> incluir códigoJavaScript como parte <strong>de</strong> las <strong>de</strong>scripciones <strong>de</strong> los objetos que se proponen a subasta.__La policía taiwanesa no toma ninguna acción contra el joven programador <strong>de</strong>l virus CIH. Por elcontrario, se dice que el creador <strong>de</strong> Melissa podría ser con<strong>de</strong>nado a una pena <strong>de</strong> hasta 40 años <strong>de</strong>prisión.__En mayo <strong>Hispasec</strong> <strong>de</strong>scubre el primer virus para Corel Draw, GaLaDRieL. Basado en Corel Script,el lenguaje <strong>de</strong> programación para la automatización <strong>de</strong> tareas y guiones <strong>de</strong> Corel Draw. No tiene efectosdañinos. Ante el anuncio público y exclusivo <strong>de</strong> <strong>Hispasec</strong>, la reacción que <strong>de</strong>muestran las casas antivirusy los medios en gener<strong>al</strong> es diversa. Des<strong>de</strong> las que solicitaban una muestra <strong>de</strong>l virus, pasando por las quese apresuran en hacer llegar sus actu<strong>al</strong>izaciones para combatirlo, hasta las menos afortunadas que pi<strong>de</strong>nun fichero binario infectado.__Se <strong>de</strong>scubre el virus Girigat, cuya princip<strong>al</strong> característica es su capacidad <strong>de</strong> automutar: su forma <strong>de</strong>funcionar varía cada vez que cambia <strong>de</strong> or<strong>de</strong>nador. El virus pue<strong>de</strong> ser resi<strong>de</strong>nte por proceso (por medio<strong>de</strong> API “hooking”) o “runtime”, o incluso ambos. También, en caso <strong>de</strong> funcionar por medio <strong>de</strong> accióndirecta, es capaz <strong>de</strong> trabajar o bien en el directorio actu<strong>al</strong>, o bien en el <strong>de</strong> Windows, o bien en ambos. Porúltimo, Girigat es capaz <strong>de</strong> infectar CPL (paneles <strong>de</strong> control), EXE (ejecutables PE) y SCR (s<strong>al</strong>vapant<strong>al</strong>las).Pue<strong>de</strong> resultar en 63 variantes distintas <strong>de</strong> un mismo m<strong>al</strong>ware. Los creadores <strong>de</strong> m<strong>al</strong>ware se lucen conespecímenes muy sofisticados.__Las boyante escena vírica española <strong>de</strong>l momento crea Veneno, un virus <strong>de</strong> macro para la versiónespañola <strong>de</strong> Word, a la zaga <strong>de</strong> Melissa y Papa. Luego aparecería ZippedFiles, también aprovechando elcódigo <strong>de</strong> Melissa.__En mayo nace HushMail, un proyecto <strong>de</strong> éxito que perduraría hasta nuestros días y que proporcionaprivacidad, mediante un sistema <strong>de</strong> cifrado <strong>de</strong> llave pública, a través <strong>de</strong> un cliente <strong>de</strong> correo vía Webusando un applet <strong>de</strong> Java. Se presentan como la <strong>al</strong>ternativa a otros sistemas que resultan más complicadosa la hora <strong>de</strong>l intercambio <strong>de</strong> claves criptográficas, el coste <strong>de</strong>l software y las limitaciones que supone lasleyes <strong>de</strong> exportación <strong>de</strong> los EE.UU.__También en mayo <strong>Hispasec</strong> inaugura su servidor <strong>de</strong> llaves PGP basado en LDAP (LightweightDirectory Access Protocol). Se comienzan a firmar criptográficamente las noticias.__En junio se hace público un grave agujero <strong>de</strong> <strong>seguridad</strong> en Internet Information Server 4.0 paraWindows NT 4.0. eEye Digit<strong>al</strong> Security Team advierte <strong>de</strong>l peligro <strong>de</strong> la existencia <strong>de</strong> un problema <strong>de</strong><strong>de</strong>sbordamiento <strong>de</strong> memoria intermedia que permite la ejecución <strong>de</strong> código. El exploit es trivi<strong>al</strong> y público.Si se envía una or<strong>de</strong>n “GET /[sobrecarga].htr HTTP/1.0”, don<strong>de</strong> [sobrecarga] es una ca<strong>de</strong>na <strong>de</strong> unos 3Kbytes, el Internet Information Server trata <strong>de</strong> leer la página solicitada, pero la isapi.dll (por <strong>de</strong>fectoen todos los IIS) no re<strong>al</strong>iza una comprobación apropiada. El agujero <strong>de</strong>spierta el interés <strong>de</strong> todos, sonmillones los servidores vulnerables. eEye publica un parche no ofici<strong>al</strong>. Microsoft lanza un comunicado.Muchas páginas web amanecen <strong>de</strong>sfiguradas. Microsoft publica la actu<strong>al</strong>ización ofici<strong>al</strong> tres días <strong>de</strong>spués<strong>de</strong>l <strong>de</strong>scubrimiento.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 33
__Julio César Hernán<strong>de</strong>z, consultor <strong>de</strong> IP6 Seguridad, <strong>de</strong>scubre WinSATAN, un nuevo troyano queresulta una versión para Windows <strong>de</strong> la herramienta <strong>de</strong> auditoría <strong>de</strong> <strong>seguridad</strong> para Unix SATAN.__Las conexiones por cable y ADSL se popularizan gracias a las primeras ofertas <strong>de</strong> tarifa plana y routergratis. En aquellos momento se obtenía una dirección IP fija por <strong>de</strong>fecto y sin pagar más por ello. Se<strong>al</strong>erta sobre los potenci<strong>al</strong>es peligros <strong>de</strong> la conexión permanente con una dirección fija, que favorece unseguimiento <strong>de</strong>l usuario <strong>al</strong> que se preten<strong>de</strong> atacar.__ Las pilas TCP <strong>de</strong> Windows no toleran cabeceras IGMP m<strong>al</strong> construidas. Cuando se recibe un paquete<strong>de</strong> t<strong>al</strong>es características, la pila f<strong>al</strong>la <strong>de</strong> forma impre<strong>de</strong>cible, con resultados como un clásico bloqueo con lapant<strong>al</strong>la azul o un reinicio automático. Se <strong>de</strong>scubre un nuevo “ping <strong>de</strong> la muerte”.__En junio s<strong>al</strong>ta la polémica a causa <strong>de</strong> un grave problema <strong>de</strong> <strong>seguridad</strong> en Hotmail, el servicio <strong>de</strong>cuentas <strong>de</strong> correo gratuitas más empleado <strong>de</strong>l mundo. En julio, Georgi Guninski <strong>de</strong>scubre un medio porel que se pue<strong>de</strong> conseguir robar la contraseña <strong>de</strong>l usuario que se <strong>de</strong>see. Descubriría todavía <strong>al</strong>gún otrométodo más durante el año. En agosto dos sitios web, uno en el Reino Unido y otro en Suecia, permitíanacce<strong>de</strong>r a cu<strong>al</strong>quier cuenta <strong>de</strong> Hotmail conociendo su nombre <strong>de</strong> usuario, sin necesidad <strong>de</strong> suministrarla contraseña. El correo confi<strong>de</strong>nci<strong>al</strong> <strong>de</strong> los cerca <strong>de</strong> 50 millones <strong>de</strong> usuarios <strong>de</strong> Hotmail ha estado adisposición <strong>de</strong> cu<strong>al</strong>quiera. www.lettera.net, el popular webmail ya <strong>de</strong>saparecido, sufriría el mismoproblema meses <strong>de</strong>spués.__En julio se <strong>de</strong>scubre que el sistema <strong>de</strong> cifrado en MacOS es bastante débil. La combinación <strong>de</strong>los v<strong>al</strong>ores hexa<strong>de</strong>cim<strong>al</strong>es que componen la contraseña a través <strong>de</strong> sencillas operaciones XOR, junto conv<strong>al</strong>ores fijos, bastan para re<strong>al</strong>izar la inversión <strong>de</strong>l cifrado.__ La quinta encuesta anu<strong>al</strong> sobre la influencia <strong>de</strong> virus informáticos re<strong>al</strong>izada por la ICSA reflejainteresantes datos sobre el incremento <strong>de</strong> las infecciones víricas en los últimos meses, a pesar<strong>de</strong> que la mayoría <strong>de</strong> or<strong>de</strong>nadores y servidores tienen inst<strong>al</strong>ado <strong>al</strong>gún tipo <strong>de</strong> software antivirus. Enenero y febrero <strong>de</strong> 1999 el porcentaje <strong>de</strong> infecciones por mes y por cada cien or<strong>de</strong>nadores es el dobleque la tasa <strong>de</strong> 1998 y cuadriplica la <strong>de</strong> 1997. La encuesta es re<strong>al</strong>izada entre 300 compañías americanas yorganizaciones gubernament<strong>al</strong>es con un tot<strong>al</strong> <strong>de</strong> más <strong>de</strong> 800.000 or<strong>de</strong>nadores representados. Tambiénse refleja el aumento en el uso <strong>de</strong> software antivirus, un 83 % <strong>de</strong> los entrevistados tienen <strong>al</strong> menos un90% <strong>de</strong> los PCs protegidos con software antivirus. La mayoría <strong>de</strong> los PCs (60%) están protegidos en todomomento con <strong>al</strong>gún tipo <strong>de</strong> antivirus resi<strong>de</strong>nte. En torno a un 43% <strong>de</strong> los entrevistados ha sufrido <strong>al</strong>gún<strong>de</strong>sastre por infección vírica en <strong>al</strong>gún momento, con un índice <strong>de</strong> más <strong>de</strong> 25 or<strong>de</strong>nadores infectados <strong>al</strong>mismo tiempo. Y una gran mayoría, un 80%, ha tardado más <strong>de</strong> 50 horas en recuperarse <strong>de</strong> un ataque <strong>de</strong>este tipo. Toda la encuesta refleja la importancia <strong>de</strong> la protección antivirus, así como la actu<strong>al</strong>ización <strong>de</strong>lsoftware y la educación <strong>de</strong> los usuarios._ En agosto la página ofici<strong>al</strong> <strong>de</strong> la Moncloa sufre un ataque y modifican unafotografía <strong>de</strong>l presi<strong>de</strong>nte <strong>de</strong> aquel momento, Jose María Aznar, añadiéndole cuernosy una boca chorreando sangre. “España NO VA BIEN”, escribieron a<strong>de</strong>más losatacantes.__<strong>Hispasec</strong> <strong>de</strong>scubre el sistema <strong>de</strong> cifrado <strong>de</strong> WS_FTP, un popular cliente FTP.__Nace MSN Messenger, el exitoso intento <strong>de</strong> Microsoft por <strong>de</strong>rrocar <strong>al</strong> imperante ICQ <strong>de</strong>l momentoen el campo <strong>de</strong> la mensajería instantánea. MSN Messenger Service 1.0 nace sin versión en español yreduciendo drásticamente el tamaño y los recursos necesitados por ICQ. MSN Messenger se trata <strong>de</strong> un34<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
diminuto ejecutable <strong>de</strong> 324kb. ICQ ya pesaba varios megas en 1999. A fin<strong>al</strong>es <strong>de</strong> año se <strong>de</strong>scubriría que<strong>al</strong>macenaba las contraseñas con cifrado débil.__En octubre Re<strong>al</strong>Networks admite que una <strong>de</strong> sus aplicaciones, Re<strong>al</strong>Jukebox, registra los hábitos yactivida<strong>de</strong>s <strong>de</strong> los usuarios. La aplicación envía los datos a Re<strong>al</strong>Networks sin el conocimiento <strong>de</strong>l usuario.Re<strong>al</strong>Networks recopila información <strong>de</strong> más <strong>de</strong> 13 millones <strong>de</strong> usuarios registrados <strong>de</strong> Re<strong>al</strong>Jukebox:tipo <strong>de</strong> música, el formato <strong>de</strong> los ficheros, o el número <strong>de</strong> canciones <strong>al</strong>macenadas en su disco duro. Estainformación es acompañada <strong>de</strong> un número único (GUID) que i<strong>de</strong>ntifica <strong>al</strong> usuario y permite a Re<strong>al</strong>Networksmantener una base <strong>de</strong> datos con los hábitos individu<strong>al</strong>es <strong>de</strong> cada uno <strong>de</strong> los usuarios. La intimidad se veconstantemente amenazada en la red.__A fin<strong>al</strong> <strong>de</strong> año Cuartango <strong>de</strong>scubre un grave f<strong>al</strong>lo en Outlook y Outlook Express. La vulnerabilidadpermite la ejecución <strong>de</strong> cu<strong>al</strong>quier programa tras abrir, por medio <strong>de</strong> doble click, un fichero adjuntoaparentemente multimedia, que en re<strong>al</strong>idad sería un ejecutable sin advertencia <strong>al</strong>guna. Microsoft locorregiría 10 días <strong>de</strong>spués.__Se hace pública documentación técnica y software para <strong>de</strong>codificar y copiar discos DVDs,s<strong>al</strong>tándose las protecciones criptográficas diseñadas para este sistema, <strong>de</strong>nominadas CSS (ContentScrambling System).__En diciembre aparece Babylonia, el primer virus autoactu<strong>al</strong>izable por Internet por medio <strong>de</strong> “plugins”.Un agente infeccioso que reúne las habilida<strong>de</strong>s <strong>de</strong> un gusano en cuanto a su distribución, <strong>de</strong> un virusen cuanto a la infección <strong>de</strong> ficheros, y <strong>de</strong> un troyano <strong>de</strong> “backdoor” en lo que a las actu<strong>al</strong>izaciones se refiere.Sería un comportamiento habitu<strong>al</strong> <strong>de</strong>l m<strong>al</strong>ware varios años <strong>de</strong>spués.<strong>Una</strong> <strong>al</strong> día07/01/1999 RSA evita la regulación criptográfica <strong>de</strong> EE.UU.RSA Data Security ha abierto una fili<strong>al</strong> en Austr<strong>al</strong>ia, <strong>de</strong> esta manera consigue liberarse <strong>de</strong> las regulacionescomerci<strong>al</strong>es impuestas por los EE.UU. en materia <strong>de</strong> exportación criptográfica. La RSA fue fundada en1982 por los inventores <strong>de</strong>l criptosistema <strong>de</strong> llave publica (RSA PKC), River, Shamir y Adleman. Hoy dí<strong>al</strong>a RSA se ha convertido en sinónimo <strong>de</strong> criptografía, con más <strong>de</strong> 300 millones <strong>de</strong> copias <strong>de</strong> sus sistemas<strong>de</strong> cifrado y autentificación.Hasta el momento, la RSA tenía que regular su software teniendo en cuenta la política <strong>de</strong> la administraciónClinton, que impi<strong>de</strong> exportar productos cuyos <strong>al</strong>goritmos criptográficos superen la barrera <strong>de</strong> los 56-bit.Según el gobierno <strong>de</strong> los EE.UU., longitu<strong>de</strong>s más largas hacen los cifrados más difíciles <strong>de</strong> romper, y enconsecuencia podría ayudar a encubrir información a los crimin<strong>al</strong>es.El resultado fin<strong>al</strong> es que los que soportan estas restricciones son los usuarios y empresas que se ajustana la ley. Con respecto a los crimin<strong>al</strong>es, parece claro que harán caso omiso <strong>de</strong> estas restricciones, y por<strong>de</strong>scontado no van a utilizar los <strong>al</strong>goritmos fáciles <strong>de</strong> romper para que el gobierno <strong>de</strong> los EE.UU. puedatener acceso a su información.Para evitar estas restricciones la RSA ha inst<strong>al</strong>ado en Austr<strong>al</strong>ia una sucurs<strong>al</strong>, <strong>de</strong>ntro <strong>de</strong> un ambiente<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 35
egulador mucho menos riguroso, don<strong>de</strong> podrán <strong>de</strong>sarrollar y comerci<strong>al</strong>izar software <strong>de</strong> cifrado fuerte.Los an<strong>al</strong>istas dicen que con este movimiento la RSA consigue un gran avance <strong>al</strong> po<strong>de</strong>r competir en igu<strong>al</strong>dad<strong>de</strong> condiciones con sus riv<strong>al</strong>es.La RSA (www.rsa.com) llevaba varios meses negociando con el Departamento <strong>de</strong> Comercio <strong>de</strong> los EE.UU.para cerciorarse <strong>de</strong> que la nueva empresa austr<strong>al</strong>iana no violara el código comerci<strong>al</strong>. Tras estos encuentros,el <strong>de</strong>partamento accedió con la condición <strong>de</strong> que no se utilizara a ningún empleado ó tecnología <strong>de</strong> losEE.UU. en la fili<strong>al</strong> austr<strong>al</strong>iana.Para cumplir el acuerdo, la RSA compró una compañía austr<strong>al</strong>iana que reconstruyó los <strong>al</strong>goritmosbasándose en especificaciones disponibles públicamente. Con esta medida, la RSA se ahorra el coste quesuponía el obtener una licencia comerci<strong>al</strong> para cada producto suyo que superara el cifrado <strong>de</strong> 56-bit.SUN Microsystems había intentado, con anterioridad, la misma estrategia a través <strong>de</strong> la empresa rusaElvis-Plus, <strong>de</strong> la que poseía el 10%. En aquella ocasión el Departamento <strong>de</strong> Comercio <strong>de</strong> los EE.UU. juntocon la Agencia <strong>de</strong> Seguridad Nacion<strong>al</strong> (NSA) <strong>de</strong>cidieron par<strong>al</strong>izar el intento <strong>de</strong> SUN. La NSA requirió yan<strong>al</strong>izó el código fuente <strong>de</strong> los <strong>al</strong>goritmos <strong>de</strong> SUN y Elvis-Plus, <strong>de</strong>terminando que había indicios <strong>de</strong> latecnología <strong>de</strong> SUN en los fuentes <strong>de</strong> la compañía rusa.Bernardo Quintero15/03/1999 Windows 98 un peligro para la intimidadCuando todavía está reciente la información acerca <strong>de</strong> los problemas <strong>de</strong>l número i<strong>de</strong>ntificativo generadopor las aplicaciones más conocidas <strong>de</strong> Microsoft y que se envía <strong>al</strong> registrar Windows 98, surgen nuevosavisos <strong>de</strong> ataque a la privacidad en torno a Windows 98.Cu<strong>al</strong>quier sitio web pue<strong>de</strong> leer la información que i<strong>de</strong>ntifica uniquívocamente cada usuario y su or<strong>de</strong>nador,pero incluso estos datos pue<strong>de</strong>n ser modificados y enviados a Microsoft, todo ello sin el conocimiento nila autorización <strong>de</strong>l usuario.Windows 98 hace uso <strong>de</strong> RegWiz para procesar el formulario <strong>de</strong> registro <strong>de</strong>l sistema operativo y enviarloa Microsoft a través <strong>de</strong> Internet. A partir <strong>de</strong> la configuración <strong>de</strong>l or<strong>de</strong>nador y los datos introducidos por elusuario en el formulario <strong>de</strong> registro se generan dos números que permiten i<strong>de</strong>ntificar <strong>de</strong> forma única <strong>al</strong> PCy <strong>al</strong> usuario. A través <strong>de</strong>l Número <strong>de</strong> I<strong>de</strong>ntificación <strong>de</strong> Hardware (hardware i<strong>de</strong>ntification number, HWID)se pue<strong>de</strong> <strong>de</strong>terminar <strong>de</strong> forma inequívoca el or<strong>de</strong>nador <strong>de</strong>l usuario, mientras que a través <strong>de</strong>l MicrosoftID (MSID), se pue<strong>de</strong> precisar el usuario. Este segundo dato se loc<strong>al</strong>iza en una cookie para el acceso a losservicios <strong>de</strong>l web <strong>de</strong> Microsoft.Pero las funciones <strong>de</strong> RegWiz van mucho más lejos, ya que permite que tanto el HWID como el MSIDque<strong>de</strong>n <strong>al</strong> <strong>al</strong>cance <strong>de</strong> cu<strong>al</strong>quier sitio web, e incluso permite su modificación. Esto quiere <strong>de</strong>cir que cu<strong>al</strong>quiersitio web pue<strong>de</strong> leer los números o por otra parte modificarlos, todo ello sin el conocimiento <strong>de</strong>l usuario.Se pue<strong>de</strong> encontrar una <strong>de</strong>mostración <strong>de</strong> cómo una página web pue<strong>de</strong> leer y modificar los números enwww.winmag.com/web/regwiz.htm.Todo parece indicar que la problemática es mucho mayor <strong>de</strong> lo que en principio parecía, ya RegWiz tambiéntiene la posibilidad <strong>de</strong> enviar toda la información acerca <strong>de</strong>l PC, el hardware y las aplicaciones que se36<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
ejecutan sobre él, a Microsoft sin el conocimiento, ni la autorización <strong>de</strong>l usuario.Microsoft pondrá a disposición <strong>de</strong> los usuarios un parche y una herramienta que permitirán borrartodo rastro <strong>de</strong> estos números <strong>de</strong> su or<strong>de</strong>nador y documentos. La compañía también asegura que estacaracterística estará tot<strong>al</strong>mente <strong>de</strong>sabilitada en el ya inminente Office 2000.Antonio Ropero30/03/1999 Problemas en los nuevos navegadoresTanto Netscape como Microsoft brindan a los usuarios las últimas y más actu<strong>al</strong>izadas versiones <strong>de</strong> susnavegadores, pero ninguno se libra <strong>de</strong> los problemas <strong>de</strong> <strong>seguridad</strong>. Las dos compañías brindan navegadoresmás rápidos, más evolucionados y con mejores características, todo con objeto <strong>de</strong> obtener una mayor cuota<strong>de</strong> usuarios que su competidor. Pero qué ocurre con la <strong>seguridad</strong> <strong>de</strong> los usuarios. A los pocos días <strong>de</strong> suaparición pública ya se han encontrado errores y problemas en ambos productos.Georgi Guninski habitu<strong>al</strong> por sus <strong>de</strong>scubrimientos en torno a Netscape ha encontrado el primer f<strong>al</strong>lopropio en la versión 4.51 <strong>de</strong> Communicator para Windows 95, también existente en la anterior 4.5 y 4.08para Windows NT. El problema permite espiar y obtener la url que se está visitando en otra ventana <strong>de</strong>lnavegador.Pero los problemas no sólo ro<strong>de</strong>an a Netscape ya que el novedoso Explorer 5.0 <strong>de</strong> Microsoft sigue inmerso <strong>de</strong>problemas con relación <strong>al</strong> portapapeles. Juan Carlos García Cuartango ya <strong>de</strong>tectó varias vulnerabilida<strong>de</strong>s,<strong>de</strong> las que nos hicimos eco en su momento, en torno a la visibilidad <strong>de</strong>l contenido <strong>de</strong>l portapapeles conExplorer 4. Hemos podido comprobar como <strong>al</strong>gunos <strong>de</strong> aquellos problemas que estaban parcheados en laanterior versión, no lo están en la edición española <strong>de</strong>l nuevo navegador.El propio Cuartango avisa sobre un cambio en la política <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Explorer 5, en el nuevo navegadorse pue<strong>de</strong>n re<strong>al</strong>izar operaciones <strong>de</strong> pegado <strong>de</strong>s<strong>de</strong> cu<strong>al</strong>quier origen <strong>de</strong>l portapapeles. La conclusión es clara,la política <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> este elemento es menos restrictiva en Explorer 5 que en la anterior versión.Juan Carlos lo advierte claramente, «la re<strong>al</strong>idad es que los usuarios <strong>de</strong> Internet Explorer 5 están perdiendoprivacidad».Antonio Ropero13/04/1999 Virus y troyanos in<strong>de</strong>scifrables, a la búsqueda <strong>de</strong> objetivos<strong>de</strong>sconocidosAunque hasta el momento la mayoría <strong>de</strong> los virus y troyanos que hacen uso <strong>de</strong> técnicas criptográficas lohacen con fines exclusivamente <strong>de</strong> “prueba <strong>de</strong> concepto” o <strong>de</strong>mostración, en el futuro es previsible que esasmismas técnicas sean empleadas para ocultar el objetivo <strong>de</strong> esos programas, ya no <strong>de</strong> los investigadoresque intentan an<strong>al</strong>izarlos, ¡¡sino también <strong>de</strong> sí mismos!!.Efectivamente, las claves necesarias para <strong>de</strong>scifrar el virus, en la actu<strong>al</strong>idad, están accesibles en el propiocódigo <strong>de</strong>l programa, ya que éste las necesita para <strong>de</strong>scifrarse a sí mismo antes <strong>de</strong> ejecutar el “payload”.Aunque esas claves pue<strong>de</strong>n estar protegidas mediante intrincadas rutinas cuyo único fin es mantener<strong>al</strong>ejados los ojos curiosos, no pue<strong>de</strong>n ocultarse in<strong>de</strong>finidamente contra un investigador con medios y<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 37
tiempo para afrontar la tediosa la tarea <strong>de</strong> an<strong>al</strong>izar el funcionamiento <strong>de</strong>l espécimen.No obstante el estado <strong>de</strong>l arte, en el ámbito criptográfico, permitiría <strong>de</strong>sarrollar programas víricos,cab<strong>al</strong>los <strong>de</strong> troya, gusanos, etc., protegidos mediante cifrado, pero cuya clave <strong>de</strong> apertura no aparece en elcódigo, sino en el entorno <strong>de</strong> ejecución <strong>de</strong>l programa. Ello hace que el código no sólo esté protegido contramiradas indiscretas, sino que ni él mismo “sepa” cuál es su objetivo o qué está buscando... hasta que loencuentre.Supongamos un gusano polimórfico. <strong>Una</strong> vez <strong>de</strong>scifrado el polimorfismo (<strong>al</strong>go que se pue<strong>de</strong> hacer conconocimientos y experiencia) comprobamos que el programa se <strong>de</strong>dica a recorrer el disco duro, leer losficheros que no haya chequeado en la ejecución anterior, dividirlos en porciones <strong>de</strong> 21 bytes “solapados”, yc<strong>al</strong>cular una función HASH sobre ellos.El resultado <strong>de</strong> ese HASH se usa como clave para <strong>de</strong>scifra un segmento <strong>de</strong>l gusano. Para verificar si el<strong>de</strong>scifrado es correcto, basta con mantener <strong>al</strong>gún tipo <strong>de</strong> control <strong>de</strong> integridad.21 bytes nos dan 168 bits <strong>de</strong> entropía. ¡¡Eso es un número <strong>de</strong> 56 cifras!!.¿Qué pue<strong>de</strong> estar buscando?. Nunca lo sabremos... ¡¡hasta que lo encuentre!!. Eso es así porque el <strong>de</strong>scifradosolo será correcto cuando dé con lo que busca.Y como el gusano revisa todos los ficheros <strong>de</strong>l disco duro, in<strong>de</strong>pendientemente <strong>de</strong> en qué directorio esténo qué extensión tengan, no tenemos ninguna pista <strong>de</strong> por dón<strong>de</strong> empezar. ¿Qué busca?. ¿Un email?. ¿Unprograma concreto?. ¿Un número <strong>de</strong> licencia <strong>de</strong>terminado?. No lo sabemos.Y lo que es peor... Tampoco sabemos qué acciones hará cuando lo encuentre.Jesús Cea Avión03/06/1999 Absuelto el princip<strong>al</strong> acusado <strong>de</strong>l “Caso Hispahack”“No apareciendo, por tanto, que fuese el acusado quién <strong>al</strong>teró los programas contenidos en el sistemainformático <strong>de</strong> dicha Universidad, no cabe llegar a otro pronunciamiento que el <strong>de</strong> su libre absolución”. Asítermina la sentencia <strong>de</strong>l juez Juan Carlos Llavona C<strong>al</strong><strong>de</strong>rón y un capítulo <strong>de</strong> la historia <strong>de</strong>l “hacking” español,que llevó <strong>al</strong> banquillo, el pasado 26 <strong>de</strong> marzo, <strong>al</strong> princip<strong>al</strong> inculpado, <strong>al</strong>ias JFS, 22 años, administrador<strong>de</strong> sistemas informáticos y miembro <strong>de</strong>l grupo !Hispahack (!H). El llamado “Caso Hispahack” est<strong>al</strong>ló aprimeros <strong>de</strong> abril <strong>de</strong> 1998, cuando el grupo <strong>de</strong> Delitos Informáticos <strong>de</strong> la Guardia Civil <strong>de</strong>tuvo, acusadas<strong>de</strong> revelación <strong>de</strong> secretos y daños informáticos, a cuatro personas apodadas STK, Magne, JFS y JR.Fin<strong>al</strong>mente, la presión judici<strong>al</strong> se concretó en JFS, para quien el fisc<strong>al</strong> pedía una pena <strong>de</strong> dos años <strong>de</strong>prisión y multa <strong>de</strong> dieciocho meses, por “un acceso no autorizado a través <strong>de</strong> Internet” a or<strong>de</strong>nadores <strong>de</strong> laUniversitat Politècnica <strong>de</strong> Cat<strong>al</strong>unya (UPC), el 11 <strong>de</strong> septiembre <strong>de</strong> 1997. Se <strong>de</strong>scubrió que el intruso teníaprivilegios <strong>de</strong> administrador en dieciseis máquinas, cinco <strong>de</strong> las cu<strong>al</strong>es tenían inst<strong>al</strong>ado un programasabueso para cazar datos que, aquel 11 <strong>de</strong> septiembre, el visitante recogió y transfirió a un or<strong>de</strong>nador <strong>de</strong>P<strong>al</strong>ma <strong>de</strong> M<strong>al</strong>lorca.Aunque el juez consi<strong>de</strong>ra estos hechos como probados y, por tanto, no da v<strong>al</strong>i<strong>de</strong>z a las reclamaciones<strong>de</strong>l abogado <strong>de</strong> la <strong>de</strong>fensa, Carlos Sánchez Almeida, sobre nulidad <strong>de</strong> las pruebas, inexistencia <strong>de</strong> <strong>de</strong>litoo <strong>de</strong>scrimin<strong>al</strong>ización <strong>de</strong> Internet, sí admite que “t<strong>al</strong>es sospechas no <strong>al</strong>canzan la categoría <strong>de</strong> indicios38<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
astantes como para <strong>de</strong>svirtuar tot<strong>al</strong>mente la presunción <strong>de</strong> inocencia” <strong>de</strong> JFS. Según la sentencia, noqueda probada la i<strong>de</strong>ntidad <strong>de</strong>l misterioso intruso, se pier<strong>de</strong> su rastro y, en el or<strong>de</strong>nador <strong>de</strong> M<strong>al</strong>lorca,dice el juez “el acceso se h<strong>al</strong>laba <strong>al</strong> <strong>al</strong>cance <strong>de</strong> cu<strong>al</strong>quiera que lo hiciese a través <strong>de</strong>l usuario “Hispahack””.Igu<strong>al</strong>mente, recuerda que, según los péritos, “no se h<strong>al</strong>laba ningún fichero <strong>de</strong> password (sic) <strong>de</strong> la UPC”en los or<strong>de</strong>nadores <strong>de</strong> JFS.A pesar <strong>de</strong>l <strong>al</strong>ivio <strong>de</strong>l abogado <strong>de</strong>fensor, quien asegura “el caso !Hispahack ha sido la piedra <strong>de</strong> toque <strong>de</strong> l<strong>al</strong>ibertad <strong>de</strong> expresión en Internet en este país. Afortunadamente para el sistema <strong>de</strong> liberta<strong>de</strong>s, el sistemajudici<strong>al</strong> funciona”; la sentencia se muestra firme en <strong>al</strong>gunos puntos que interesarán a la comunidadinformática, como la no necesidad <strong>de</strong> una <strong>de</strong>nuncia previa a la investigación en casos <strong>de</strong> daños, laafirmación <strong>de</strong>l <strong>de</strong>recho <strong>de</strong> las fuerzas <strong>de</strong> <strong>seguridad</strong> a obtener datos sobre usuarios <strong>de</strong> proveedores <strong>de</strong>acceso sin autorización judici<strong>al</strong> o la respuesta <strong>de</strong>l juez a las insinuaciones <strong>de</strong> la <strong>de</strong>fensa <strong>de</strong> que el “hackblanco” no <strong>de</strong>bería estar penado: “(Son) conductas que, en cuanto suponen <strong>de</strong> agresión contra el interés<strong>de</strong>l titular <strong>de</strong> un <strong>de</strong>terminado sistema <strong>de</strong> que la información que en él se contiene no sea interceptada,resultan tanto más reprobables, y aún merecedoras <strong>de</strong> sanción pen<strong>al</strong>”.Mercè Molist29/06/1999 Tres años <strong>de</strong> virus para Windows9x/NTEstán a punto <strong>de</strong> cumplirse los tres primeros años <strong>de</strong>s<strong>de</strong> la aparición <strong>de</strong> Bizatch (Win95.Boza según lanomenclatura CARO), el primer virus <strong>de</strong>l mundo para plataformas Windows <strong>de</strong> 32 bits (Windows9x/NT),y parece que es hora <strong>de</strong> hacer recapitulaciones y estudiar la expansión <strong>de</strong>l fenómeno vírico en este nuevoterreno.<strong>Una</strong> nueva plataforma, un nuevo sistema operativo, ha traído como consecuencia la <strong>de</strong>saparición <strong>de</strong>ciertos tipos clásicos <strong>de</strong> virus, y la consiguiente llegada <strong>de</strong> sus sustitutos natur<strong>al</strong>es. A<strong>de</strong>más es <strong>de</strong> vit<strong>al</strong>importancia res<strong>al</strong>tar el hecho <strong>de</strong> que el cambio ha sido un proceso progresivo y paulatino, una adaptacióndarwiniana a los nuevos esquemas funcion<strong>al</strong>es.El cambio más radic<strong>al</strong> ha sido el <strong>de</strong> la “<strong>de</strong>función” <strong>de</strong> los famosos virus <strong>de</strong> “boot”, que no han sido capaces<strong>de</strong> encontrar su sitio en Windows, a pesar <strong>de</strong> haber sido <strong>de</strong>s<strong>de</strong> siempre números uno en las listas <strong>de</strong>virus “in the wild” durante la etapa <strong>de</strong>l DOS. El progresivo relevo generacion<strong>al</strong> lo tomaron los virus <strong>de</strong>macro, que por su sencillez estructur<strong>al</strong> y su carácter multiplataforma han sido una auténtica mina para losescritores <strong>de</strong> virus que no se manejaban en ensamblador. Dicen que en muchas ocasiones lo más sencilloes lo que triunfa, y en el caso <strong>de</strong> los virus <strong>de</strong> macro este dicho se ha hecho bueno: su progresión en cuantoa número ha sido geométrica, y llevan copando, prácticamente <strong>de</strong>s<strong>de</strong> sus orígenes, los primeros puestos<strong>de</strong> las listas “in the wild”.Por su parte, los virus <strong>de</strong> fichero siguen siendo los más “artísticos”. Des<strong>de</strong> la aparición <strong>de</strong> Bizatch, elprimero <strong>de</strong> la saga, pasó <strong>al</strong>gún tiempo hasta que empezó a darse un flujo norm<strong>al</strong> <strong>de</strong> producción <strong>de</strong> virus <strong>de</strong>estas características. En un principio se trataba más bien <strong>de</strong> “virus <strong>de</strong> museo”, y así se fueron sucediendoespecímenes como Mr.Klunky, Punch, Harry... el paso <strong>de</strong>finitivo <strong>de</strong> la experimentación a la funcion<strong>al</strong>idadvino <strong>de</strong> la mano <strong>de</strong>l escritor <strong>de</strong> virus peruano <strong>de</strong>l grupo 29A, Jacky Qwerty, el primero en abrir las puertasa los virus <strong>al</strong> mundo <strong>de</strong> la compatibilidad Win32, y famoso por haber sido el pionero en numerosas técnicas<strong>de</strong> programación, como la resi<strong>de</strong>ncia por proceso.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 39
De esta manera se ha llegado, con el paso <strong>de</strong> los meses, a una paulatina <strong>de</strong>saparición <strong>de</strong> los virus <strong>de</strong>fichero <strong>de</strong> DOS, que han cedido el terreno a sus sucesores <strong>de</strong> Win32. Esto, por otra parte, ha <strong>de</strong>sembocadoen una triple vertiente: en líneas gener<strong>al</strong>es, los únicos virus <strong>de</strong> DOS <strong>de</strong> los que hemos tenido noticia enlos últimos meses están caracterizados por un <strong>al</strong>to nivel técnico, siendo el Emperor el último ejemplomás significativo; por su parte, los virus <strong>de</strong> Win32 en un principio comenzaron siendo extremadamente“naïve”, y no tuvieron que pasar muchos meses para que empezasen a s<strong>al</strong>ir a la luz ejemplares <strong>de</strong> una grancomplejidad técnica, <strong>de</strong> la mano <strong>de</strong> aquellos escritores <strong>de</strong> virus experimentados en DOS cuyo proceso<strong>de</strong> adaptación a Win32 fue un simple cambio <strong>de</strong> hábitos <strong>de</strong> programación. Este doble carril ha venidosiendo la nota dominante <strong>de</strong>l panorama Win32 hasta el último año aproximadamente, época en la que lasituación se ha norm<strong>al</strong>izado, trayendo como consecuencia la predominancia <strong>de</strong> virus <strong>de</strong> nivel estándarpara plataformas Win32.Por otra parte, la versatilidad <strong>de</strong> Windows ha traído consigo la aparición <strong>de</strong> nuevos tipos <strong>de</strong> virus hasta ahora<strong>de</strong>sconocidos, nuevas amenazas que, a pesar <strong>de</strong> haber sorprendido a propios y extraños en el momento <strong>de</strong>su aparición, no han causado <strong>de</strong>masiados quebra<strong>de</strong>ros <strong>de</strong> cabeza a las casas antivirus. Entre los tipos <strong>de</strong>virus <strong>de</strong> nueva generación más importantes cabría <strong>de</strong>stacar los dos grupos princip<strong>al</strong>es: I-Worms y virus <strong>de</strong>WSH. Mientras que los segundos no parece que vayan a suponer una seria amenaza, a pesar <strong>de</strong> ser capaces<strong>de</strong> infectar HTML y procesos VBS y JS, los primeros están compitiendo en los últimos meses seriamentecon los virus <strong>de</strong> macro en la cabeza <strong>de</strong> las listas “in the wild”.Los I-Worms son los primeros resultados víricos <strong>de</strong> la amoldación tot<strong>al</strong> a la integración a la red <strong>de</strong>los or<strong>de</strong>nadores por medio <strong>de</strong> Windows: estos agentes infecciosos se limitan a infectar y/o parchearúnicamente lo imprescindible, y su mayor amenaza está en su capacidad <strong>de</strong> reproducirse por medio <strong>de</strong> lared, o bien v<strong>al</strong>iéndose <strong>de</strong>l e-mail, o bien <strong>de</strong> mensajes en newsgroups o enviándose por FTP. En el últimosemestre hemos tenido ocasión <strong>de</strong> oír acerca <strong>de</strong> las “andadas” <strong>de</strong> ejemplares <strong>de</strong> este tipo como Parvovirus,Happy, PrettyPark o, en la última semana, Zipped_Files. Aparte <strong>de</strong> éstos, otros dos virus, Melissa yPapa, <strong>de</strong> macro, también coparon posiciones privilegiadas en los “top-ten” <strong>de</strong> la ITW, llegando el primerohasta el punto <strong>de</strong> ver involucrado <strong>al</strong> FBI en la <strong>de</strong>tención <strong>de</strong> su autor, un escritor <strong>de</strong> virus aparentemente<strong>de</strong>sconocido en la escena.En cu<strong>al</strong>quier caso la rápida difusión “in the wild” no es <strong>al</strong>go exclusivo <strong>de</strong> I-Worms y virus <strong>de</strong> macro: ahíestán los ejemplos <strong>de</strong>, en un principio, Marburg -que llegó a ser distribuido en el CD <strong>de</strong> un simulador<strong>de</strong> vuelo y <strong>de</strong> la conocida revista <strong>de</strong> difusión europea “PC Gamer”- y HPS, y, en una segunda etapa, elextendidísimo CIH y el versátil Girigat, que ha llegado a colapsar los sistemas administrativos <strong>de</strong>l gobierno<strong>de</strong> Grecia. Es curioso observar también que, mientras que Estados Unidos y la Unión Europea se disputanel número <strong>de</strong> autorías <strong>de</strong> virus casi por igu<strong>al</strong> -con Sudamérica y Europa <strong>de</strong>l Este a los t<strong>al</strong>ones-, un grannúmero <strong>de</strong> las infecciones que se registran cada año tienen su origen a lo largo <strong>de</strong> todo el continenteasiático con especi<strong>al</strong> intensidad.El futuro y la evolución son inciertas, aunque lo que parece claro es que los virus tien<strong>de</strong>n a ser cadavez más complejos, <strong>de</strong>bido a las exigencias <strong>de</strong> la nueva plataforma, y que el camino está abierto hacia laintegración con Internet. Los límites están en la propia imaginación <strong>de</strong> los escritores <strong>de</strong> virus, y el únicofreno que existe es el propio tiempo, que es el que va trayendo consigo día a día las innovaciones en elterreno <strong>de</strong> Win32. La duda está en si las compañías antivirus van a ser capaces <strong>de</strong> seguir el ritmo frenético<strong>de</strong> la evolución vírica o si, por el contrario, se verán fin<strong>al</strong>mente <strong>de</strong>sbordadas por la imaginación <strong>de</strong>l ladooscuro <strong>de</strong> la programación.Giorgio T<strong>al</strong>vanti40<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
16/08/1999 Escuchas y censura en InternetEl parlamento <strong>de</strong> Japón aprobó la semana pasada una polémica ley que da <strong>de</strong>recho a los policías a interceptarlas comunicaciones, como pue<strong>de</strong>n ser las llamadas telefónicas o los emails en Internet. La justificación seenmarca <strong>de</strong>ntro <strong>de</strong> las necesida<strong>de</strong>s que los agentes tienen para perseguir <strong>al</strong> crimen organizado.En re<strong>al</strong>idad se aprobaron tres leyes que tenían como fin la lucha contra el crimen organizado pero, comoera <strong>de</strong> esperar, la polémica s<strong>al</strong>tó en la que daba carta blanca a la interceptación <strong>de</strong> las comunicaciones.El gobierno insiste en que esta medida ayudará a los agentes, y que sólo será utilizada en los casos en losque se vean implicados asuntos <strong>de</strong> drogas, armas, asesinatos y en la entrada <strong>de</strong> grupos organizados aJapón.Sin embargo, las explicaciones <strong>de</strong>l gobierno no terminan <strong>de</strong> convencer a la gran masa soci<strong>al</strong>, que ve conmiedo la posibilidad <strong>de</strong> que esta ley dañe los <strong>de</strong>rechos más básicos sobre privacidad e intimidad. A fin<strong>de</strong> cuentas, se supone que los grupos organizados utilizaran sistemas criptográficos fuera <strong>de</strong>l <strong>al</strong>cance <strong>de</strong>lgobierno, con lo que para muchos los argumentos esgrimidos son sólo una m<strong>al</strong>a justificación <strong>de</strong> cara <strong>al</strong>control <strong>de</strong> las comunicaciones <strong>de</strong>l ciudadano.Mientras tanto, en Austr<strong>al</strong>ia, Internet también se encuentra en el ojo <strong>de</strong>l huracán <strong>de</strong> la clase política. Enesta ocasión, <strong>de</strong>ntro <strong>de</strong> la normativa que rige los servicios <strong>de</strong> difusión, se está intentando implantar lacensura en cuanto a los contenidos accesibles en la Red.En principio, se quiere hacer hincapié en el materi<strong>al</strong> pornográfico y el clasificado <strong>de</strong> <strong>al</strong>to riesgo, comopue<strong>de</strong> ser la construcción <strong>de</strong> bombas. El gobierno se escuda en que las medidas han sido fruto <strong>de</strong> lapetición popular, don<strong>de</strong> los padres han ejercido mucha presión preocupados por los contenidos nocivosque sus hijos pue<strong>de</strong>n encontrar en la Red.De nuevo todo parece indicar que el perjudicado será el ciudadano <strong>de</strong> a pie, ya que las medidas a tomar noimpedirán a las personas con los medios o conocimientos necesarios s<strong>al</strong>tarse este tipo <strong>de</strong> censuras y seguiraccediendo a todos los contenidos. Por otro lado, ya existe en el mercado software <strong>de</strong> control parent<strong>al</strong>,<strong>de</strong>stinado a restringir contenidos clasificados a los más pequeños, por lo que <strong>de</strong> nuevo la argumentación<strong>de</strong>l gobierno parece estar fuera <strong>de</strong> lugar.Bernardo Quintero28/09/1999 Cifrado seguro utilizando una simple baraja <strong>de</strong> pókerBruce Schneier ha diseñado un <strong>al</strong>goritmo <strong>de</strong> cifrado seguro que emplea únicamente una baraja <strong>de</strong> póker <strong>de</strong>54 cartas. Se trata <strong>de</strong> un <strong>al</strong>goritmo <strong>de</strong> cifrado en ristra o flujo (“stream”, en inglés), y ha sido diseñado paraque sea sencillo y fácil <strong>de</strong> re<strong>al</strong>izar a mano, sin apoyo informático. El <strong>al</strong>goritmo se llama “solitaire” y fuecreado para la novela Cryptonomicon, <strong>de</strong> Ne<strong>al</strong> Stephenson, publicada esta primavera. El <strong>al</strong>goritmo se basaen mover las cartas <strong>de</strong>l mazo siguiendo una serie <strong>de</strong> pasos, y combinar sus resultados con el documento acifrar. La clave está constituida por la disposición inici<strong>al</strong> <strong>de</strong> las 54 cartas <strong>de</strong> la baraja <strong>de</strong> póker, por lo quesu fort<strong>al</strong>eza aparente es <strong>de</strong> 54! (54 factori<strong>al</strong>), aproximadamente 236 bits.Se dá la curiosa circunstancia <strong>de</strong> que este <strong>al</strong>goritmo parece lo bastante seguro como para que sea<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 41
consi<strong>de</strong>rado como tecnología <strong>de</strong> doble uso (como las minas o las b<strong>al</strong>as <strong>de</strong> ametr<strong>al</strong>ladora) por parte <strong>de</strong>lgobierno estadouni<strong>de</strong>nse. Este hecho podría suponer la ileg<strong>al</strong>idad <strong>de</strong> exportar el conocimiento <strong>de</strong> dicho<strong>al</strong>goritmo a países extranjeros.Sin embargo la legislación <strong>de</strong> EE.UU. protege la libertad <strong>de</strong> expresión escrita, por lo que se permitiría laexportación sin problemas si el <strong>al</strong>goritmo se <strong>de</strong>scribiese en un libro editado <strong>de</strong> forma leg<strong>al</strong>, con ISBN, etc.Y eso es precisamente lo que se hace en la novela <strong>de</strong> Ne<strong>al</strong> Stephenson, en la que “solitaire” aparece comoun apéndice.Parece increíble que un <strong>al</strong>goritmo criptográfico tan sencillo, que pue<strong>de</strong> memorizarse y utilizarse <strong>de</strong> formamanu<strong>al</strong>, pueda estar sujeto a legislación militar. Pero la legislación norteamericana es así. En cu<strong>al</strong>quier casoBruce Schneier ha tomado la iniciativa y ha <strong>de</strong>cidido publicar una página web en la que <strong>de</strong>scribe con todo<strong>de</strong>t<strong>al</strong>le el <strong>al</strong>goritmo, proporciona ejemplos, consejos <strong>de</strong> uso, código fuente para los que <strong>de</strong>seen utilizarlocon un or<strong>de</strong>nador y vectores <strong>de</strong> prueba para comprobar que las implementaciones son correctas.El documento origin<strong>al</strong> está escrito en inglés, pero Jesús Cea Avión se ha encargado <strong>de</strong> traducirlo <strong>al</strong>castellano y hablar con Bruce Schenier para que añada enlaces a la traducción. En este momento, a<strong>de</strong>más<strong>de</strong> la versión en inglés y la versión en castellano recientemente traducida, existen también traduccionesofici<strong>al</strong>es el francés y <strong>al</strong> <strong>al</strong>emán.Jesús Cea AviónEntrevistaMercé Molist Ferrer es periodista freelance especi<strong>al</strong>izada en Internet. Haescrito sobre la red en diversos medios <strong>de</strong>s<strong>de</strong> 1995. Actu<strong>al</strong>mente colabora en lossuplementos “Ciberpaís” y “El País Seman<strong>al</strong>”, (ambos <strong>de</strong>l diario “El País”) lasrevistas “@rroba” y “Popular Science”, mantiene el blog Port666, imparte charlas y Mercé Molist Ferreracaba <strong>de</strong> poner en marcha el wiki Hack Story, sobre la historia <strong>de</strong> la cultura hacker.Fue la primera periodista en hacer referencia a <strong>Hispasec</strong> en un medio <strong>de</strong> nivel nacion<strong>al</strong>, y actu<strong>al</strong>mente nossigue contactando cuando lo necesita. Es probablemente la periodista más veterana, conocida, respetadae involucrada con la red en España.<strong>Hispasec</strong>: <strong>Una</strong> reflexión sobre la <strong>seguridad</strong> en Internet <strong>de</strong>s<strong>de</strong> 1998...Merce Molist Ferrer: Miro los artículos que escribí aquel año y me doy cuenta <strong>de</strong> que en esencia noha cambiado mucho. Entonces escribía sobre virus, spam, pérdida <strong>de</strong> privacidad, cons <strong>de</strong> hackers (aquelaño fui <strong>al</strong> Chaos Communication Congress y <strong>al</strong> hackmeeting it<strong>al</strong>iano, que era la primera vez que se hacía).Y también aquel año tuvimos el juicio a !Hispahack. Ahora tenemos virus, spam, pérdida <strong>de</strong> privacidad,cons y, en vez <strong>de</strong> persecución a hackers, persecución a gente relacionada con el P2P (que <strong>al</strong>gunos son loshackers <strong>de</strong> entonces). Así que... poco ha cambiado a gran<strong>de</strong>s rasgos. Se sigue investigando y rompiendolo que se pue<strong>de</strong> (ahora hay más cosas para romper), el sistema sigue sin enten<strong>de</strong>r nada y el usuario siguesiendo igu<strong>al</strong> <strong>de</strong> ignorante en temas <strong>de</strong> <strong>seguridad</strong>, solo que ahora hay más usuarios y les imponen por<strong>de</strong>creto unos programas (antivirus, cortafuegos) que no saben usar.¿Qué ha cambiado? Que muchos hackers que conocí entonces ahora trabajan como consultores <strong>de</strong><strong>seguridad</strong>. Que la actividad crimin<strong>al</strong> ha pasado <strong>de</strong> 1 a 100. Que en vez <strong>de</strong> meterte un virus tonto ahora te42<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
oban dinero o datos person<strong>al</strong>es. Que empresas y gobiernos están (o lo parecen) mas concienciados por eltema <strong>seguridad</strong>. Que las empresas <strong>de</strong> <strong>seguridad</strong> ven<strong>de</strong>n más motos. Que todo se ha hecho bastante máscomerci<strong>al</strong>, en ambos bandos.... Y que cansada <strong>de</strong> la in<strong>seguridad</strong> <strong>de</strong> Windows me he pasado a Linux.En lo que a mi trabajo como periodista se refiere, el cambio más importante es que hay menos informaciónbuena sobre <strong>seguridad</strong>. Quiero <strong>de</strong>cir: ha aumentado muchísimo la información en Internet sobre <strong>seguridad</strong>,es impresionante, no doy abasto con los RSS, pero es... insípida. No son fuentes directas, no vienen <strong>de</strong>lhacker, <strong>de</strong> su web, <strong>de</strong> su ezine, sino que mayoritariamente vienen <strong>de</strong> las empresas o <strong>de</strong> intereses diversos.Se ha caído en lo mismo que vemos en los telediarios: que todos dan las mismas noticias, la mayoríaincorrectas y s<strong>al</strong>idas <strong>de</strong> intereses oscuros.Y, sobre todo, sobre todo, ha <strong>de</strong>saparecido el humor, la i<strong>de</strong>a <strong>de</strong>l juego que impregnaba los as<strong>al</strong>tos, los<strong>de</strong>scubrimientos, la forma <strong>de</strong> contarlos... Ahora todos somos profesion<strong>al</strong>es, los <strong>de</strong> antes y los <strong>de</strong> ahora,se perdió por el camino buena parte <strong>de</strong> la creatividad, <strong>de</strong>l arte... y, con ellos, la gran mayoría <strong>de</strong> gruposhacker, <strong>de</strong> aquí y <strong>de</strong> fuera.Pero advierto que es una visión subjetiva. Ahora tengo la sensación <strong>de</strong> haberlo visto todo y, en cambio, enel 98 me lo estaba pasando pipa. Hacía <strong>al</strong>gunos años que escribía sobre Internet y sentía mucha curiosidadpor la comunidad y su un<strong>de</strong>rground, a los que había <strong>de</strong>dicado diversos artículos. Era mi forma <strong>de</strong> apren<strong>de</strong>r:escribir un articulo, que requería que me documentase-estudiase, y así cada reportaje era como hacer unmaster.Entonces, El Pais abrió el suplemento Ciberpais, en el 98, y me pidieron que escribiese para ellos y que meencargase <strong>de</strong> los temas <strong>de</strong> <strong>seguridad</strong> y hacking. Así, lo que hasta entonces era simple curiosidad pasó a sertrabajo pagado. ¿Que más podía pedir? Y pu<strong>de</strong> <strong>de</strong>dicarme a saciar esta curiosidad con una buena excusa.Entonces fue cuando me puse a “estudiar” <strong>seguridad</strong> más a fondo que antes. ¿Cómo? Leyendo todos losnumeros <strong>de</strong> SET y otros ezines, aprendiendo hasta <strong>al</strong>tas horas <strong>de</strong> la noche qué era aquello <strong>de</strong>l “spoofing”y <strong>de</strong> los envenenamientos y el buffer overflow y otros esoterismos para una persona <strong>de</strong> letras. Mandé unmail <strong>de</strong> presentación a todos los grupos hacker hispanos que conocía, ofreciéndome a escribir artículossobre sus logros, y <strong>al</strong>gunos me respondieron y otros me ignoraron. Y, en gener<strong>al</strong>, fue una época <strong>al</strong>tamenteexcitante, <strong>de</strong> aprendizaje, <strong>de</strong> leerme entero el Jargon File y otros libros electrónicos sobre el un<strong>de</strong>rground<strong>de</strong> aquí y <strong>de</strong> fuera (aún los tengo impresos), “SnowCrash” en ingles, que te juro que no entien<strong>de</strong>s nada, yotros sobre hacking, virus, el “Hackers, heroes of the computer revolution”...Conocí a gente flipante. Aprendí cosas sorpren<strong>de</strong>ntes. Todo era información nueva y geni<strong>al</strong>. Se me abrió lamente como jamás, aquello era “food for thought” en estado puro. Interioricé hasta el fondo <strong>de</strong> mi corazónesta actitud, esa comunidad, esa diversión y curiosidad intelectu<strong>al</strong>. ¿Cómo, dime, cómo puedo pensar quelo que ha venido <strong>de</strong>spués sea mejor? Pero es subjetivo, ya digo, porque para <strong>al</strong>guien que este aprendiendoahora, estos son los “exciting days” :).H: ¿Cuál y cómo fue tu primer contacto con <strong>Hispasec</strong>?MMF: Conocía a <strong>al</strong>gunas personas <strong>de</strong> <strong>Hispasec</strong> antes <strong>de</strong> que se crease la empresa. Sé que primero fue“<strong>Una</strong>-<strong>al</strong>-dia” y que me suscribí <strong>de</strong>s<strong>de</strong> bastante pronto, pero no recuerdo los <strong>de</strong>t<strong>al</strong>les.H: ¿Estás suscrita a una-<strong>al</strong>-día? ¿Las lees?MMF: Si, estoy suscrita. Y sí, <strong>al</strong> menos el titular me lo miro. Si me interesa, leo el articulo. Y si me interesamucho, más <strong>de</strong> una vez he <strong>de</strong>cidido escribir yo misma un articulo sobre este tema, contactando con su<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 43
autor en una-<strong>al</strong>-día y pidiéndole mas información.H: ¿Cuántas entrevistas has hecho? ¿Quién te ha impactado más <strong>de</strong> todas tus entrevistas?MMF: No tengo ni i<strong>de</strong>a <strong>de</strong> cuántas entrevistas he hecho en mi vida. La que me impactó más no tiene nadaque ver con Internet y hace tantos años que está perdida, no existe en formato digit<strong>al</strong>. Era una entrevistaa un antropólogo que explicaba sus experiencias con unos indios <strong>de</strong>l Amazonas, su forma <strong>de</strong> vivir, sufilosofía, me impactaron. En cuanto a entrevistas relacionadas con Internet... muchas. Me gusta hablarcon personas que tengan puntos <strong>de</strong> vista abiertos, <strong>al</strong>ternativos, que te puedan sorpren<strong>de</strong>r con una i<strong>de</strong>ainesperada, que vibren en tu misma sintonía y que sean auténticos maestros. En este sentido, <strong>de</strong>stacanWau Holland, me encantaba hablar con él, mucho, Ricardo Domínguez y Richard St<strong>al</strong>lman.H: ¿Cuál es el sitio más interesante en el que has estado por trabajo?MMF: Los hackmeetings it<strong>al</strong>ianos. Allí <strong>de</strong>scubrí, en vivo, lo que era el sentimiento <strong>de</strong> comunidad.H: ¿Piensas que se ha perdido el “romanticismo” <strong>de</strong> aquellos primeros días en la red?MMF: Sí. En aquellos días (yo no estoy <strong>de</strong>s<strong>de</strong> los primeros, ni mucho menos), quien estaba en Internetera porque era <strong>al</strong>guien geni<strong>al</strong>, avispado, inteligente. En resumen: “raro”. Daba la sensación <strong>de</strong> que todoslos parias <strong>de</strong>l primer mundo estaban en la red. Parias en el sentido <strong>de</strong> incomprendidos por la sociedad,especi<strong>al</strong>mente por sus geni<strong>al</strong>es mentes y visiones <strong>de</strong>l mundo. Entonces, la red era un reflejo <strong>de</strong> esas mentespioneras y, claro, había una c<strong>al</strong>idad flipante.H: ¿Cómo y por qué te metiste en esto?MMF: Por curiosidad. Trabajaba como “freelance” y estaba suscrita a la revista “Newsweek”, para ver pordón<strong>de</strong> iba el mundo y, si acaso, sacar i<strong>de</strong>as para reportajes. Vi que hablaban todo el día <strong>de</strong> una cosa llamadaInternet, <strong>de</strong> la que no se hablaba en España. Puse la antena e investigué cómo entrar. Entonces colaborabaen “La Vanguardia” y me las apañé para po<strong>de</strong>r ir un día a la semana y usar su Internet, básicamente la web,para sacar documentación para reportajes. El único proveedor en España entonces era Goya y sus preciosera prohibitivos para mí. Cuando abrió Servicom, en el 95, me apunté. Fue una odisea, para <strong>al</strong>guien queno tenía amigos informáticos y solo sabía usar el Wordperfect y cuatro cosas <strong>de</strong> MS-DOS. Aun hoy noentiendo cómo conseguí yo sola hacer funcionar aquel mó<strong>de</strong>m. Debían ser enormes mis ganas :).H: ¿Por dón<strong>de</strong> andarán los tiros en <strong>seguridad</strong> en el futuro?MMF: Se norm<strong>al</strong>izará. Sera como hoy en el mundo re<strong>al</strong>. Hay in<strong>seguridad</strong>, se maneja fat<strong>al</strong>, está todo elsistema m<strong>al</strong> montado, las cárceles no sirven, la policía tampoco, funciona fat<strong>al</strong>, pero se va tirando. Poruna parte, porque hay cierto or<strong>de</strong>n <strong>de</strong>ntro <strong>de</strong> lo que es la in<strong>seguridad</strong> y, por otra parte, porque nos hemosacostumbrado y no nos llevamos las manos a la cabeza por cosas que quizá nuestros abuelos sí se llevabanlas manos a la cabeza. Se norm<strong>al</strong>izará. A costa <strong>de</strong> un control férreo y <strong>de</strong> la pérdida <strong>de</strong> muchos <strong>de</strong>rechos,eso también hay que <strong>de</strong>cirlo. 1984 era un juego ante lo que viene.H: ¿A qué <strong>de</strong>dicas más tiempo últimamente?MMF: A las cosas <strong>de</strong> fuera <strong>de</strong> la red que olvidé cuando estaba obsesionada con ella, empezando pormí misma. Y, <strong>de</strong>ntro <strong>de</strong> la red, hace poco he encontrado un nuevo juego que me tiene abducida: montarun wiki con la historia <strong>de</strong> la comunidad hacker española. La razón es la siguiente: un día, mirando laspocas historias <strong>de</strong> la Internet española que se han escrito, me di cuenta <strong>de</strong> que la gente que yo conocí, los44<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
auténticos hackers, los que <strong>de</strong> verdad construyeron la red, no s<strong>al</strong>ían. Solo se mencionaba a señores concorbata, instituciones y empresas especi<strong>al</strong>istas en colgarse med<strong>al</strong>las.Si <strong>al</strong>guien no lo explica, las generaciones futuras creerán que, re<strong>al</strong>mente, esa gente inventó nuestra red yel recuerdo <strong>de</strong> aquellos hackers <strong>de</strong>saparecerá para siempre. Llámame justiciera :).<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 - 45
Documentación46<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 1999 -
7C03720año 2000Capítulo211111010000
946684800 – 978307199Durante este año...__En enero, AOL (America On-Line) anuncia un acuerdo para comprar la empresaTime Warner por 162.000 millones <strong>de</strong> dólares. Resulta en la fusión <strong>de</strong> empresas másgran<strong>de</strong>s <strong>de</strong>l mundo, creando todo un imperio.__ Después <strong>de</strong> “Volver a empezar” <strong>de</strong> José Luís Garci en 1983, y “Belle Epoque” <strong>de</strong> Fernando Trueba en 1994,Pedro Almodóvar recibe el Oscar a la mejor película <strong>de</strong> habla no inglesa con “Todo sobre mi madre”,recogiendo el premio <strong>de</strong> manos <strong>de</strong> Penélope Cruz y Antonio Ban<strong>de</strong>ras <strong>de</strong>spués <strong>de</strong> un escand<strong>al</strong>oso grito.__En marzo, el Ministerio <strong>de</strong> Sanidad permite a los científicos re<strong>al</strong>izar experimentos genéticos enpacientes.__ En la una-<strong>al</strong>-día <strong>de</strong>l 23 <strong>de</strong> marzo, “¿Qué son los “hypes” y cómo nos afectan?” Giorgio T<strong>al</strong>vanti escribe“Como no podría ser <strong>de</strong> otra manera, el que suscribe se centra una vez más en su especi<strong>al</strong>idad, el campo<strong>de</strong> los virus informáticos y <strong>de</strong>más especímenes agrupables bajo el hiperónimo <strong>de</strong> “m<strong>al</strong>ware”. Usandopor primera vez esta última p<strong>al</strong>abra.__ El Partido Popular <strong>al</strong>canza mayoría absoluta en las elecciones legislativas <strong>de</strong> marzo, <strong>de</strong>jando muy atrás<strong>al</strong> candidato <strong>de</strong>l PSOE Joaquín Almunia. José María Aznar renueva así su mandato cuatro años.__En noviembre <strong>de</strong> 1999 Elián Gonzáles <strong>de</strong> 6 años huye <strong>de</strong> Cuba hacia Estados Unidos. En el trayectore<strong>al</strong>izado con una barcaza muere (entre otros) la madre. Los supervivientes <strong>al</strong>canzan las costas <strong>de</strong> Florida<strong>de</strong>spués <strong>de</strong> varios días a la <strong>de</strong>riva. El pequeño es rescatado por dos pescadores y entregado <strong>al</strong> servicio <strong>de</strong>Guardacostas <strong>de</strong> los Estados Unidos. Según las leyes <strong>de</strong> Estados Unidos, la madre <strong>de</strong> Elián cometió unsecuestro. Sin embargo, dada la práctica jurispru<strong>de</strong>nci<strong>al</strong> estadouni<strong>de</strong>nse “wet feet, dry feet”, los cubanosque <strong>al</strong>canzan las costas <strong>de</strong> los Estados Unidos pue<strong>de</strong>n solicitar asilo político. Los que son h<strong>al</strong>lados en elmar son <strong>de</strong>vueltos a Cuba. Comienza un importante conflicto diplomático entre ambos países con unniño <strong>de</strong> 6 años como protagonista. La fisc<strong>al</strong> gener<strong>al</strong> <strong>de</strong> Estados Unidos, Janet Reno, pone fecha límite el13 <strong>de</strong> abril para <strong>de</strong>volver <strong>al</strong> crío. Empieza el pulso. El 22 <strong>de</strong> abril <strong>de</strong> 2000 el Departamento <strong>de</strong> Justiciaor<strong>de</strong>na que Elián sea sacado por la fuerza <strong>de</strong> la casa <strong>de</strong> Florida en que se encuentra y entregado a su padre.En una exagerada puesta en escena, un numeroso grupo <strong>de</strong> agentes <strong>de</strong>l INS (Servicio <strong>de</strong> Inmigracióny Natur<strong>al</strong>ización) vistiendo uniformes <strong>de</strong> combate y armados <strong>de</strong> subfusiles automáticos toman la casadon<strong>de</strong> se <strong>al</strong>oja Elián. <strong>Una</strong> fotografía célebre <strong>de</strong> Alan Diaz <strong>de</strong> Associated Press (que le proporcionaría elPremio Pulitzer en 2001) muestra a un agente <strong>de</strong>l INS apuntando con el <strong>de</strong>do fuera <strong>de</strong>l gatillo a Elián. Lafotografía daría la vuelta <strong>al</strong> mundo.__ En abril el estado <strong>de</strong> Vermont en Estados Unidos, leg<strong>al</strong>iza la unión civilentre parejas <strong>de</strong>l mismo sexo.__Sony pone a la venta la Playstation 2. Es la consola más rápidamentevendida <strong>de</strong> la historia y con la perspectiva <strong>de</strong>l tiempo, la que más haperdurado. 8 años <strong>de</strong>spués <strong>de</strong> su lanzamiento, todavía es posible adquirirlaorigin<strong>al</strong> en tiendas y se siguen creando juegos en exclusiva para esta exitosaversión <strong>de</strong> Sony, que obligaría a retrasar su Playstation 3 hasta 2007. Ha48<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
vendido más <strong>de</strong> 100 millones <strong>de</strong> unida<strong>de</strong>s. Su primera versión tenía una CPU <strong>de</strong> 294 Mhz y 32 megas <strong>de</strong>RAM. Cuesta unos 300 dólares.__“405” es el primer corto distribuido ampliamente por Internet. Se trata <strong>de</strong> una <strong>de</strong> las primeras campañasque se beneficia <strong>de</strong>l efecto <strong>de</strong> márketing vir<strong>al</strong> en la Red. Tiene más <strong>de</strong> dos millones <strong>de</strong> visitas en un mes.Costó 300 dólares y 3 meses <strong>de</strong> re<strong>al</strong>ización. Logra una gran repercusión mediática en Estados Unidos.__Se lanza el Pentium 4, cuya producción continúa en forma <strong>de</strong> varios núcleos hoy en día. En agosto <strong>de</strong>2000 se llega a los 2 GHz <strong>de</strong> velocidad. Sufre muchos problemas con sus primeros mo<strong>de</strong>los (no llegaríana su completa madurez hasta 2004) y muestran rendimientos inferiores a los Pentium III y a su princip<strong>al</strong>competidor <strong>de</strong>l momento, la línea Thun<strong>de</strong>rbird <strong>de</strong> AMD. Comerci<strong>al</strong>mente, Intel <strong>de</strong>ci<strong>de</strong> romper con lanumeración romana que había adoptado hasta el Pentium III. Consi<strong>de</strong>ra que no sería entendida por todoel mundo.__ En el año 2000 entra en funcionamiento la primera plataforma comerci<strong>al</strong> <strong>de</strong> Televisión Digit<strong>al</strong> Terrestre(TDT) en España, Quiero TV. No <strong>al</strong>canzaría la rentabilidad esperada y cesaría sus emisiones el 30 <strong>de</strong>junio <strong>de</strong> 2002.__En la una-<strong>al</strong>-día <strong>de</strong>l 28 <strong>de</strong> julio, “<strong>Hispasec</strong> y una-<strong>al</strong>-día accesibles vía WAP” se aña<strong>de</strong> el enlace “opinasobre esta noticia” por primera vez, con comentarios públicos.__Google firma un acuerdo con Yahoo!, buscador lí<strong>de</strong>r <strong>de</strong>l momento. En los resultados <strong>de</strong> Yahoo! Sepue<strong>de</strong> observar la leyenda “powered by google” y la explosión <strong>de</strong> Google comienza. Los usuarios acce<strong>de</strong>n agoogle.com y se sorpren<strong>de</strong>n por la sencillez y limpieza <strong>de</strong> una página diseñada exclusivamente para buscar.La web <strong>de</strong> Yahoo! por el contrario se encuentra artifici<strong>al</strong>mente recargada con <strong>de</strong>cenas <strong>de</strong> servicios, y elbuscador es sólo una pequeña caja en la parte superior. A<strong>de</strong>más <strong>de</strong> esta ventaja, los internautas agra<strong>de</strong>cenque con este nuevo buscador los resultados no están adulterados por ningún tipo <strong>de</strong> publicidad. Se correla voz y su popularidad se multiplica.En agosto se hun<strong>de</strong> el submarino ruso Kursk en el mar <strong>de</strong> Barents. <strong>Una</strong> serie <strong>de</strong> <strong>de</strong>sgraciasocurren en ca<strong>de</strong>na a causa <strong>de</strong>l <strong>de</strong>rrame <strong>de</strong> una sustancia química. Explotan variostorpedos y el submarino se hun<strong>de</strong> hasta el fondo <strong>de</strong>l mar. Se intenta silenciar la tragedia,pero s<strong>al</strong>e a la luz. Varias naciones prestan ayuda para un rescate agónico y complicado.Se filtra información contradictoria sobre si existen supervivientes o no. Más tar<strong>de</strong>, lasnotas <strong>de</strong>jadas por los tripulantes que sobrevivieron las primeras horas <strong>de</strong> hundimiento yexplosiones, <strong>de</strong>mostrarían que <strong>al</strong> menos 16 <strong>de</strong> los tripulantes se refugiaron durante seis díasen partes estancas traseras tras las explosiones. Pero el daño en el casco estaba hecho ya medida que el agua subía, un incendio se <strong>de</strong>claró en el interior y murieron asfixiados.Al rescatar el submarino se recuperan 3 notas <strong>de</strong> los supervivientes, solo 2 son hechaspúblicas y no en su tot<strong>al</strong>idad.__En septiembre se inauguran losconsigue 11 med<strong>al</strong>las.Juegos Olímpicos <strong>de</strong> la XXVII edición en Sydney. España__En noviembe, el gobierno <strong>de</strong> Saddam Husein rechaza las nuevas propuestas <strong>de</strong>l Consejo <strong>de</strong> Seguridad<strong>de</strong> la ONU para re<strong>al</strong>izar más inspecciones en busca <strong>de</strong> armas <strong>de</strong> <strong>de</strong>strucción masiva. Este tema retomaríafuerza en 2003 y terminaría <strong>de</strong>clarándose la guerra.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 49
__ Bajo la eterna sospecha <strong>de</strong> frau<strong>de</strong> e irregularida<strong>de</strong>s (en parte por las famosas tarjetas “mariposa”), elcandidato republicano George W. Bush <strong>de</strong>rrota <strong>al</strong> vicepresi<strong>de</strong>nte <strong>de</strong>mócrata <strong>de</strong> la era Clinton, Al Gore.Se vive un agónico recuento <strong>de</strong> los votos en el estado <strong>de</strong> Florida durante un mes.__A fin<strong>al</strong> <strong>de</strong>l 2000 se presenta la versión 6.0 <strong>de</strong> Netscape Navigator tras dos años <strong>de</strong> <strong>de</strong>sarrollo,basándose en el navegador Mozilla. A mediados <strong>de</strong> año Netscape pier<strong>de</strong> fuelle ante la imparable esc<strong>al</strong>ada<strong>de</strong> Internet Explorer. 86% <strong>de</strong> uso frente a un 13% que nunca remontaría.Seguridad Informática__En enero se publica SubSeven 2.1 Gold, que junto a BackOrifice y NetBus son sinduda los troyanos (<strong>de</strong>fendidos como herramientas <strong>de</strong> administración remota) clásicosmás conocidos <strong>de</strong>l momento. Como otros troyanos similares consta <strong>de</strong> dos partes, la quese inst<strong>al</strong>a en el or<strong>de</strong>nador atacado hace las veces <strong>de</strong> servidor, mientras que la parte que emplea el atacantees el cliente. Esta versión <strong>de</strong> SubSeven incluye nuevas características como libro <strong>de</strong> direcciones, visor <strong>de</strong>procesos, explorador <strong>de</strong> IPs remotas, webcam, texto a voz, espías <strong>de</strong> ICQ, Microsoft Messenger y YahooMessenger, visor <strong>de</strong> portapapeles, movimiento <strong>de</strong>l ratón remoto, abrir y cerrar la unidad <strong>de</strong>l CD-ROM,control <strong>de</strong>l sistema <strong>de</strong> archivos y un largo etcétera <strong>de</strong> posibilida<strong>de</strong>s.__ Según fuentes gubernament<strong>al</strong>es chinas, cu<strong>al</strong>quier compañía que se implante <strong>de</strong>ntro <strong>de</strong> su república<strong>de</strong>berá poner a disposición <strong>de</strong> técnicos <strong>de</strong> su gobierno el código fuente <strong>de</strong> los programas que seutilicen para transmitir información <strong>de</strong> forma cifrada.Las re<strong>de</strong>s glob<strong>al</strong>es <strong>de</strong> espionaje se ponen <strong>de</strong> moda. La NSA, Agencia estadouni<strong>de</strong>nse par<strong>al</strong>a Seguridad Nacion<strong>al</strong>, <strong>de</strong>sclasifica unos documentos, secretos hasta ese momento, queconfirman el nacimiento <strong>de</strong>l mayor programa <strong>de</strong> espionaje conocido hasta la fecha. Estemegaproyecto apodado Echelon consiste en una red <strong>de</strong> ámbito internacion<strong>al</strong> <strong>de</strong>dicadaa la interceptación indiscriminada <strong>de</strong> todo tipo <strong>de</strong> comunicación electrónica: telefonía,fax, Internet, etc, gracias <strong>al</strong> conglomerado <strong>de</strong> satélites y sistemas informáticos sustentadospor los servicios secretos <strong>de</strong> países como EE.UU, Gran Bretaña y Canadá. Quedan bajo sudominio tanto usuarios individu<strong>al</strong>es como corporaciones y estamentos gubernament<strong>al</strong>es.Gran parte <strong>de</strong> su <strong>de</strong>spliegue a esc<strong>al</strong>a mundi<strong>al</strong> toma como receptores <strong>de</strong> estas escuchaslas bases que Estados Unidos mantiene en los países que componen Echelon. Estos datosson enviados posteriormente a la centr<strong>al</strong> <strong>de</strong> la NSA para su análisis. A<strong>de</strong>más <strong>de</strong>l supuesto finmilitar, todo parece indicar que el espionaje también es aprovechado con fines puramenteeconómicos. El gobierno francés dice que <strong>de</strong>mandará a los gobiernos <strong>de</strong> Estados Unidosy Reino Unido por ello, tras hacer público que han estado espiando las comunicacionesfrancesas durante décadas. Dicen, por ejemplo, poseer pruebas <strong>de</strong> que la pérdida <strong>de</strong> uncontrato <strong>de</strong> 3.5 miles <strong>de</strong> millones <strong>de</strong> libras esterlinas <strong>de</strong>l consorcio europeo Airbus en 1995en favor <strong>de</strong> la compañía norteamericana Boeing, fue <strong>de</strong>bido <strong>al</strong> espionaje <strong>de</strong> su oferta.El servicio secreto ruso, here<strong>de</strong>ro <strong>de</strong> la antigua KGB, toma posiciones <strong>de</strong>ntro <strong>de</strong> los ISPsrusos y obliga a mas <strong>de</strong> 350 servidores <strong>de</strong> Internet <strong>de</strong> este país a implantar un softwarepara el control <strong>de</strong> las comunicaciones. La creación <strong>de</strong> este <strong>de</strong>partamento <strong>de</strong>ntro <strong>de</strong> losservicios <strong>de</strong> <strong>seguridad</strong> rusos <strong>de</strong>nominado SORM-2, nace con la misma excusa que Echelon<strong>de</strong> controlar las comunicaciones <strong>de</strong> terroristas y grupos organizados que utilizan Internet50<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
para comunicarse entre ellos. En una carta remitida por Londres a sus socios europeoscomo contestación a la <strong>de</strong>nuncia re<strong>al</strong>izada por la Comisión Europea, <strong>de</strong>spués <strong>de</strong> s<strong>al</strong>ira la luz la posible colaboración por parte <strong>de</strong> los británicos con la red Echelon, Inglaterramanifiesta no haber re<strong>al</strong>izado ninguna escucha aunque se siente con todo el <strong>de</strong>recho are<strong>al</strong>izar tareas <strong>de</strong> espionaje sobre el resto <strong>de</strong> Europa. El Gobierno Británico se ampara enuna ley <strong>de</strong>l año 1985 por la que faculta a sus servicios secretos para po<strong>de</strong>r interceptar todotipo <strong>de</strong> comunicaciones para s<strong>al</strong>vaguardar la <strong>seguridad</strong> nacion<strong>al</strong> y hacer prev<strong>al</strong>ecer elbienestar económico entre sus ciudadanos. La fantasía entorno a una gigantesca red <strong>de</strong>espionaje se dispara. EL parlamento europeo crearía un informe publicado en 2001 enel que se concluye: “las capacida<strong>de</strong>s técnicas <strong>de</strong>l proyecto probablemente no iban tanlejos como han asumido <strong>al</strong>gunos medios <strong>de</strong> comunicación”.__ En febrero un investigador <strong>de</strong> la Universidad Autónoma <strong>de</strong> Barcelona, Andreu Riera Jorba, proponesoluciones para muchos <strong>de</strong> los problemas tradicion<strong>al</strong>es <strong>de</strong>l voto electrónico. Años <strong>de</strong>spués todavía nose ha aceptado como forma fiable <strong>de</strong> votación.__Juan Carlos García Cuartango <strong>de</strong>scubre una puerta trasera en Internet Explorer por la queMicrosoft podría inst<strong>al</strong>ar cu<strong>al</strong>quier aplicación sin permiso ni conocimiento <strong>de</strong> los usuarios. Ofrece unapágina web que lo <strong>de</strong>muestra. Él mismo explica: “El componente Active Setup requiere software firmadopara actuar, el truco <strong>de</strong> Microsoft es que el software firmado por ellos se inst<strong>al</strong>a sin ningún tipo <strong>de</strong> aviso <strong>al</strong>usuario (<strong>al</strong> contrario <strong>de</strong> lo que ocurre con el resto <strong>de</strong> casas) y sin necesidad <strong>de</strong> que se encuentre en la lista<strong>de</strong> certificados y compañías en los que se confía”.__ Es el año <strong>de</strong> los problemas <strong>de</strong> las páginas dinámicas en PHP, ASP y los CGI. Un gran error por parte<strong>de</strong> Telefónica permite que los datos <strong>de</strong> las facturas <strong>de</strong> cu<strong>al</strong>quier abonado <strong>de</strong> Telefónica (lo que incluyenombre, dirección, NIF, e incluso cuenta bancaria y <strong>de</strong>sglose <strong>de</strong> llamadas) que<strong>de</strong>n accesibles a la consulta<strong>de</strong> un navegador. El problema proviene <strong>de</strong> un f<strong>al</strong>lo <strong>de</strong> programación y configuración <strong>de</strong>l servidor web. Loarregla en tiempo récord. Cibertienda, el paquete <strong>de</strong> Banesto para la implantación <strong>de</strong> tiendas virtu<strong>al</strong>es, seve aquejado <strong>de</strong> un f<strong>al</strong>lo que pue<strong>de</strong> permitir a cu<strong>al</strong>quier visitante <strong>de</strong> una <strong>de</strong> las tiendas <strong>al</strong>terar el contenido<strong>de</strong> los carritos <strong>de</strong> la compra <strong>de</strong> otros clientes.__El 2000 es un año bisiesto. Muchos programas cometían el error <strong>de</strong> consi<strong>de</strong>rar el 2000 como año nobisiesto, <strong>al</strong> tratarse <strong>de</strong> un múltiplo <strong>de</strong> 100, ignorando la regla <strong>de</strong> los múltiplos <strong>de</strong> 400 que sí son bisiestos.Gran número <strong>de</strong> sistemas se ven afectados por el problema <strong>de</strong>l 29 <strong>de</strong> febrero. Japón reconoce f<strong>al</strong>los enregistradoras, sistemas <strong>de</strong> predicción meteorológica y sísmica e incluso una planta nuclear.__Microsoft lanza en febrero Windows 2000, y comienza la era NT 5.0. El sistema operativo tiene unagran aceptación, supone un paso a<strong>de</strong>lante en tecnología y fiabilidad para Microsoft. Aunque no tenía encuenta la <strong>seguridad</strong> por <strong>de</strong>fecto, con el Service Pack 4 y una buena configuración manu<strong>al</strong>, Windows 2000resultó un gran producto que todavía es muy usado, casi 9 años <strong>de</strong>spués <strong>de</strong> su lanzamiento. Ese mismoaño, en julio, sacaría su primer Service Pack.__En marzo Microsoft soluciona el problema <strong>de</strong>l bloqueo <strong>al</strong> ejecutar en una consola el comando con\con,15 días <strong>de</strong>spués <strong>de</strong> advertir sobre el problema.__Siguen los problemas <strong>de</strong> privacidad. S<strong>al</strong>ta a todos los medios el caso <strong>de</strong> Advert.dll, una librería que seinst<strong>al</strong>a con un gran número <strong>de</strong> aplicaciones shareware <strong>de</strong> renombre, y que según todas las informacionesestá <strong>de</strong>stinada a espiar las transmisiones <strong>de</strong> los usuarios.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 51
_ Nace CriptoRed, la Red Iberoamericana <strong>de</strong> Criptografía. Se presenta como uno <strong>de</strong> losproyectos más ambiciosos <strong>de</strong>ntro <strong>de</strong>l campo <strong>de</strong> la difusión criptográfica a través <strong>de</strong> Internet. Esta red <strong>de</strong>cooperación docente con todos los países <strong>de</strong> Iberoamérica, cuenta en solo 3 meses conmás <strong>de</strong> 100 miembros, la mayoría <strong>de</strong> ellos profesores <strong>de</strong> reconocido prestigio académico einvestigador, así como buen número <strong>de</strong> universida<strong>de</strong>s y centros <strong>de</strong> investigación. Hoy endía continúan sus activida<strong>de</strong>s con éxito.Es el año <strong>de</strong>l virus LoveLetter. Aparece en mayo. Se trata <strong>de</strong> código Visu<strong>al</strong> Basic Script yse envía princip<strong>al</strong>mente a través <strong>de</strong>l correo electrónico y el IRC. Consiste en un mensajecon el asunto “ILOVEYOU” y el fichero adjunto LOVE-LETTER-FOR-YOU.TXT.vbs. La extensiónVBS (Visu<strong>al</strong> Basic Script) pue<strong>de</strong> permanecer oculta en las configuraciones por <strong>de</strong>fecto<strong>de</strong> Windows, lo que hace pensar que se trata <strong>de</strong> un inocente archivo <strong>de</strong> texto. Cuandose abre el archivo el gusano infecta el sistema y se expan<strong>de</strong> rápidamente enviándosea los contactos en la agenda <strong>de</strong>l Outlook, incluidas las agendas glob<strong>al</strong>es corporativas.Rápidamente se convierte en un fenómeno mediático.Según las primeras líneas <strong>de</strong> código el gusano proce<strong>de</strong> <strong>de</strong>Manila, Filipinas, y el autor se apoda “spy<strong>de</strong>r”:rem barok -loveletter(vbe) rem by: spy<strong>de</strong>r / ispy<strong>de</strong>r@mail.com / @GRAMMERSoft Group / Manila,PhilippinesEste gusano obligaría a Microsoft a publicar poco <strong>de</strong>spués una actu<strong>al</strong>ización <strong>de</strong>funcion<strong>al</strong>ida<strong>de</strong>s <strong>de</strong> <strong>seguridad</strong> para su Outlook. La actu<strong>al</strong>ización (Outlook 98/2000 e-mailsecurity update) aporta varias características. Impi<strong>de</strong> la ejecución directa <strong>de</strong> un buennúmero <strong>de</strong> extensiones e incorpora dos zonas <strong>de</strong> <strong>seguridad</strong> a Outlook. Bajo la zona 1se incluirán 28 tipos <strong>de</strong> archivos con las extensiones potenci<strong>al</strong>mente peligrosas másconocidas.__<strong>Hispasec</strong> publica su comparativa antivirus 2000, tras el éxito <strong>de</strong> la comparativa <strong>de</strong> 1999, querevolucionó toda la metodología <strong>de</strong> pruebas antivirus a nivel mundi<strong>al</strong> hasta el momento. Ese año se sigueinnovando y se presenta la mayor comparativa antivirus <strong>de</strong> la historia, an<strong>al</strong>izando un tot<strong>al</strong> <strong>de</strong> 30 productosseleccionados entre los mejores <strong>de</strong> todo el mundo. <strong>Una</strong> <strong>de</strong> las pruebas (hasta el momento sólo re<strong>al</strong>izadapor <strong>Hispasec</strong>) consiste en el envío <strong>de</strong> una muestra <strong>de</strong> virus re<strong>al</strong>, pero no <strong>de</strong>tectado por ningún antivirus,para comprobar la velocidad <strong>de</strong> respuesta y efectividad <strong>de</strong> los servicios técnicos <strong>de</strong> cada firma.__ En junio, se sabe que un juego <strong>de</strong> Disney Interactive, distribuido en España por Infogrames, lleva en suinterior el virus CIH activado, uno <strong>de</strong> los más dañinos <strong>de</strong> toda la historia. <strong>Una</strong> “sorpresa” que ambascompañías intentan silenciar. Concretamente el archivo “RT4.EXE”, perteneciente <strong>al</strong> juego “El Reino<strong>de</strong> las Matemáticas con Aladdin” se ve afectado. El <strong>de</strong>sconcierto surge cuando ningún antivirus <strong>de</strong>tectapresencia <strong>al</strong>guna <strong>de</strong>l virus en el CD origin<strong>al</strong> <strong>de</strong> inst<strong>al</strong>ación.__ Los gusanos programados en Visu<strong>al</strong> Basic Script (VBS) están <strong>de</strong> moda. Tras la fulgurante irrupción<strong>de</strong> “I love you” y todas sus mutaciones, se <strong>de</strong>tecta un m<strong>al</strong>ware <strong>de</strong> menos <strong>de</strong> <strong>12</strong> kilobytes <strong>de</strong> longitud,“Timofónica” creado en España. Programado en VBS es capaz <strong>de</strong> autoenviar copias por medio <strong>de</strong> correoelectrónico a todas las cuentas <strong>al</strong>macenadas en la libreta <strong>de</strong> direcciones <strong>de</strong>l usuario a<strong>de</strong>más <strong>de</strong> mandarmensajes cortos a teléfonos móviles escogidos <strong>al</strong> azar. También inst<strong>al</strong>a un troyano que, <strong>al</strong> siguiente52<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
arranque, borra los datos <strong>de</strong> la CMOS y formatea el disco duro <strong>de</strong> t<strong>al</strong> manera que no se pue<strong>de</strong>n recuperarlos datos perdidos por medio <strong>de</strong> ninguna aplicación específica.__ Tras observar los buenos resultados con respecto a la <strong>seguridad</strong> que ofrecía la configuración por <strong>de</strong>fecto<strong>de</strong>l sistema operativo OpenBSD, los orgullosos <strong>de</strong>sarrolladores establecen como lema <strong>de</strong> su página ellogro que estaban consiguiendo. A mediados <strong>de</strong> 2000, se pue<strong>de</strong>n leer las frases: “Tres años sin un agujeroremoto en la inst<strong>al</strong>ación por <strong>de</strong>fecto” y “Dos años sin agujero loc<strong>al</strong> en la inst<strong>al</strong>aciónpor <strong>de</strong>fecto” junto con el pez globo que representa este sistema operativo. Esta últimaafirmación sobre la <strong>seguridad</strong> en loc<strong>al</strong> duraría poco, y para fin<strong>al</strong>es <strong>de</strong> ese mismoaño 2000 la sentencia ya había sido retirada. En junio <strong>de</strong> 2002, cuando la frase yahablaba <strong>de</strong> “seis años sin agujeros remotos”, el eslogan tendría que ser modificado<strong>de</strong> nuevo. Se encontraría un grave f<strong>al</strong>lo <strong>de</strong> <strong>seguridad</strong> en OpenSSH que permitía aun atacante remoto obtener tot<strong>al</strong> control <strong>de</strong>l sistema. Des<strong>de</strong> entonces hasta 2007,se podría leer “sólo un agujero <strong>de</strong> <strong>seguridad</strong> en la inst<strong>al</strong>ación por <strong>de</strong>fecto en más <strong>de</strong>10 años”.__P3P (Platform for Privacy Preferences Project) , <strong>de</strong>sarrollado por el World Wi<strong>de</strong> WebConsortium, se presenta como una ayuda para mejorar la privacidad <strong>de</strong> los usuarios en la web. Preten<strong>de</strong>estandarizar la industria <strong>de</strong>l sector y automatizar la vía para que los usuarios tengan el control sobre susdatos person<strong>al</strong>es o la información que recogen las webs visitadas. El control se re<strong>al</strong>izaría mediante unformulario, que sería a la vez fuente <strong>de</strong> información y límite para las webs visitadas. Se supone que laspáginas no podrán <strong>al</strong>macenar dicha información en formato legible y se supone que otros navegadores yusuarios no podrán acce<strong>de</strong>r a esa información person<strong>al</strong>. Para <strong>de</strong>fensores <strong>de</strong>l proyecto P3P, este métodoimpulsaría a los usuarios a controlar sus propias políticas <strong>de</strong> privacidad <strong>de</strong> datos, mediante un formulariosencillo <strong>de</strong> enten<strong>de</strong>r. Fracasaría estrepitosamente.__Se crea “Búfer abierto”, una nueva sección en <strong>Hispasec</strong> en la que tendrán cabida las contribucionesque los lectores <strong>de</strong> <strong>Hispasec</strong> hagan llegar, a través <strong>de</strong> la dirección bufer@hispasec.com a modo <strong>de</strong> noticiasy artículos. Siempre con el tema <strong>de</strong> la <strong>seguridad</strong> informática como telón <strong>de</strong> fondo, “Búfer abierto” brind<strong>al</strong>a oportunidad a los usuarios <strong>de</strong> <strong>Hispasec</strong> <strong>de</strong> publicar cu<strong>al</strong>quier contenido que quieran compartir con elresto <strong>de</strong> la comunidad. La propuesta no tendría mucho éxito._ El concurso televisivo Gran Hermano consigue superar todos los récords<strong>de</strong> audiencia en España, se convierte en verda<strong>de</strong>ro fenómeno soci<strong>al</strong>. Sepublican en una página web todos los datos <strong>de</strong> las personas que se presentarona las pruebas <strong>de</strong> selección. Alguien entra en los servidores y hace públic<strong>al</strong>a información. Según comprueba <strong>Hispasec</strong>, Zeppelin TV, la productora<strong>de</strong>l concurso, presenta a<strong>de</strong>más un gran número <strong>de</strong> vulnerabilida<strong>de</strong>s en suservidor._ Sigue <strong>de</strong> moda la privacidad y el espionaje glob<strong>al</strong> conel reconocimiento <strong>de</strong> la existencia <strong>de</strong> “Carnívoro” por parte <strong>de</strong>l FBI. Entre <strong>al</strong>gunas<strong>de</strong> las peculiarida<strong>de</strong>s <strong>de</strong> Carnívoro se sabe que no es un único software sino que secompone <strong>de</strong> diferentes programas incluidos en un mismo paquete. “Carnívoro” es lacontinuación <strong>de</strong> otro programa <strong>de</strong>sarrollado con la misma fin<strong>al</strong>idad por el FBI <strong>de</strong>nominado “Omnívoro”,este fue creado origin<strong>al</strong>mente a principios <strong>de</strong>l año 1997 para plataformas Sun Solaris x86. Omnívoro quedaen el olvido, pero es reemplazado por “Carnívoro”, <strong>de</strong>sarrollado para plataformas NT.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 53
__ Georgi Guninski <strong>de</strong>scubre <strong>de</strong> nuevo un agujero en un producto <strong>de</strong> Microsoft. En esta ocasión el problemapue<strong>de</strong> permitir la ejecución arbitraria <strong>de</strong> código <strong>al</strong> abrir un documento <strong>de</strong> Microsoft Word 2000.Lamentablemente se <strong>de</strong>scubrirían muchísimos más años <strong>de</strong>spués. Especi<strong>al</strong>mente en verano <strong>de</strong> 2006.__Aparece Sysid, un espécimen programado en Delphi (<strong>de</strong> 200 kilobytes tras haber sido procesado pormedio <strong>de</strong>l compresor Aspack, reduciendo los casi 400 origin<strong>al</strong>es <strong>de</strong> peso). Muy pesado para la época,aunque hoy en día po<strong>de</strong>mos encontrar m<strong>al</strong>ware creado en Delphi <strong>de</strong> varios megas <strong>de</strong> peso. La aportaciónnovedosa que efectúa este virus consiste en lo que en virología informática se conoce como <strong>de</strong>sactivación“on the fly”: el m<strong>al</strong>ware escon<strong>de</strong> todo indicio <strong>de</strong> su presencia en cada momento susceptible <strong>de</strong> po<strong>de</strong>r serexaminado por el usuario o por <strong>al</strong>gún producto antivirus. En el caso <strong>de</strong> Sysid, el gusano escribe su clave<strong>de</strong> activación en el registro sólo en el momento en que <strong>de</strong>tecta que la sesión activa <strong>de</strong> Windows está siendocerrada, y la borra tan pronto como es ejecutado en el siguiente arranque y su presencia en memoria estáya garantizada. Se asegura <strong>de</strong> esta forma el no po<strong>de</strong>r ser ni <strong>de</strong>scubierto ni <strong>de</strong>sactivado, a menos que elusuario conozca en <strong>de</strong>t<strong>al</strong>le las características <strong>de</strong>l m<strong>al</strong>ware y elimine los ficheros semilla inst<strong>al</strong>ados en losdirectorios <strong>de</strong>l sistema.__ La Fundación para la Privacidad (Privacy Foundation) hace público un comunicado don<strong>de</strong> <strong>de</strong>scribe laposibilidad que tienen los documentos <strong>de</strong> Microsoft Office <strong>de</strong> permitir a sus autores seguir el rastro <strong>de</strong> losusuarios que los leen y las organizaciones por las que se transmite. En el aviso <strong>de</strong> la Privacy Foundationse hace referencia a la posibilidad que tiene Microsoft Word, Excel y PowerPoint <strong>de</strong> incluir, lo que se da enllamar, “Web bugs”. Estos chivatos o espías permiten <strong>al</strong> autor <strong>de</strong>l documento <strong>de</strong>tectar y rastrear fugas <strong>de</strong>documentos confi<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> una compañía, posibles infracciones <strong>de</strong>l copyright <strong>de</strong> informes y boletineso monitorizar la distribución <strong>de</strong> notas <strong>de</strong> prensa.__En septiembre, el sitio web <strong>de</strong> Western Union sufre una intrusión. Los atacantes se hacen con lainformación <strong>de</strong> 15.700 tarjetas <strong>de</strong> crédito y débito <strong>de</strong> usuarios que utilizan sus servicios. La compañíaatribuye el agujero <strong>de</strong> <strong>seguridad</strong> <strong>al</strong> error <strong>de</strong> un administrador <strong>de</strong>l sistema durante unas operacionesrutinarias <strong>de</strong> mantenimiento. Este patrón <strong>de</strong> robos a gran<strong>de</strong>s compañías que <strong>al</strong>macenan datos privados<strong>de</strong> usuarios no pararía <strong>de</strong> producirse esporádicamente en los años posteriores.__En octubre Erkki Liikanen, comisario <strong>de</strong> la comisión europea <strong>de</strong> Empresa y Sociedad <strong>de</strong> laInformación, da a conocer los principios en los que se basará la Unión Europea para luchar contra los<strong>de</strong>litos que se re<strong>al</strong>icen en Internet. El comisario informa <strong>de</strong> que se potenciará la formación <strong>de</strong> los usuarios,se incrementarán las medidas <strong>de</strong> <strong>seguridad</strong> en la red y se fomentará la cooperación internacion<strong>al</strong>. Paraaplicar esta política se tipifican los <strong>de</strong>litos en dos gran<strong>de</strong>s grupos. En el primero se parte <strong>de</strong> la base <strong>de</strong> quelos <strong>de</strong>litos que se cometen fuera <strong>de</strong> Internet lo son también si se re<strong>al</strong>izan <strong>de</strong>ntro <strong>de</strong> la red. Separados enun segundo apartado se encuentran los <strong>de</strong>litos propios <strong>de</strong> las nuevas tecnologías, como el “cracking” y losvirus informáticos.__ Tras un largo proceso <strong>de</strong> casi cuatro años, el NIST (Instituto Nacion<strong>al</strong> <strong>de</strong> Estándares y Tecnología)norteamericano selecciona <strong>al</strong> <strong>al</strong>goritmo Rijndael como estándar AES. NIST hace público el <strong>al</strong>goritmoganador <strong>de</strong> la convocatoria AES (estándar <strong>de</strong> cifrado avanzado), que sustituye <strong>al</strong> DES (estándar <strong>de</strong>cifrado <strong>de</strong> datos) hasta bien entrado el siglo 21. Para sorpresa <strong>de</strong> muchos, Rijndael es un <strong>al</strong>goritmo belga,venciendo a <strong>al</strong>goritmos norteamericanos y a criptólogos <strong>de</strong> reputada fama mundi<strong>al</strong>. Se quedan atrás“twofish”, diseñado por un equipo li<strong>de</strong>rado por el conocido Bruce Schneier (autor, entre otras cosas, <strong>de</strong>llibro “Applied Cryptography”), y <strong>al</strong> <strong>al</strong>goritmo “RC6”, diseñado, entre otros, por Ron<strong>al</strong>d Rivest (la “R” <strong>de</strong>l<strong>al</strong>goritmo RSA). Se establece que los programas y hardware que incorporen AES podrán ser exportadosfuera <strong>de</strong> EE.UU., lo que incrementará tanto la <strong>seguridad</strong> como la interoperatividad <strong>de</strong> los productos contecnología criptográfica.54<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
__ <strong>Una</strong> semana <strong>de</strong>spués <strong>de</strong> ser <strong>de</strong>scubierto, Microsoft facilita un parche que elimina una grave vulnerabilida<strong>de</strong>n su Máquina Virtu<strong>al</strong> <strong>de</strong> Java (Microsoft VM). El problema que corrige, <strong>de</strong>scubierto por GeorgiGuninski permite la ejecución <strong>de</strong> código arbitrario en los sistemas <strong>de</strong> los usuarios con tan sólo visitar unapágina web o leer un mensaje <strong>de</strong> correo HTML. La máquina virtu<strong>al</strong> <strong>de</strong> Java <strong>de</strong> Microsoft <strong>de</strong>jaría <strong>de</strong> seractu<strong>al</strong>izada o incluida en sus productos en 2004 y terminaría <strong>de</strong>finitivamente su soporte en 2008.__La utilidad traceroute, utilizada por cu<strong>al</strong>quier administrador <strong>de</strong> re<strong>de</strong>s, contiene una vulnerabilidadque permite que un usuario loc<strong>al</strong> obtenga privilegios <strong>de</strong> administrador o “root”. La vulnerabilidad afectaa las versiones anteriores a la “traceroute-1.4a5-16”, distribución LBL.__Microsoft publica versiones para entornos Unix <strong>de</strong> Internet Explorer y Outlook Express.En concreto para Solaris y HP-UX. Luego Microsoft no proporcionaría actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong> paraestas nuevas versiones. Ni facilitaría para estas plataformas las versión 5.5.Se publica en octubre una nueva variante <strong>de</strong> la vulnerabilidad <strong>de</strong> esc<strong>al</strong>ada <strong>de</strong> directoriosen Internet Information Server. Esta vez, s<strong>al</strong>tándose con codificación Unico<strong>de</strong> la restricción<strong>de</strong> los caracteres “..” impuesta por el servidor.http://servidor.iis.afectado/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir+c:\Muchos años <strong>de</strong>spués, seguiría siendo la forma más sencilla y predilecta <strong>de</strong> muchos <strong>de</strong>burlar la <strong>seguridad</strong> <strong>de</strong> servidores web.__Comienza noviembre con el “Caso Microsoft”. El W<strong>al</strong>l Street Journ<strong>al</strong> publica que unos atacantespodrían haber accedido <strong>al</strong> código fuente <strong>de</strong>l software <strong>de</strong> Microsoft, incluyendo las últimas versiones <strong>de</strong>Windows y Office. Este mismo diario cita a un familiar <strong>de</strong> una persona cercana <strong>al</strong> caso, que filtra el nombre<strong>de</strong>l troyano “Qaz” como posible herramienta para introducirse en la red interna <strong>de</strong> Microsoft a través <strong>de</strong> unmensaje <strong>de</strong> correo electrónico. El troyano, tras ser ejecutado por un empleado <strong>de</strong> Microsoft, habría abiertouna puerta trasera en el or<strong>de</strong>nador infectado que facilitara el acceso <strong>al</strong> atacante y la posterior inst<strong>al</strong>ación<strong>de</strong> otras herramientas para conseguir contraseñas y acceso a información sensible. Bernardo Quintero<strong>de</strong>smonta en una serie <strong>de</strong> entregas <strong>de</strong> una-<strong>al</strong>-día la teoría <strong>de</strong>l troyano Qaz, an<strong>al</strong>izando <strong>de</strong>tenidamente sucomportamiento y cómo sería técnicamente inviable que se hubiera usado este programa para vulnerar lared, hipótesis sin embargo av<strong>al</strong>ada por otros “expertos”.__El CERT norteamericano hace pública su nueva política a la hora <strong>de</strong> difundiravisos <strong>de</strong> <strong>seguridad</strong>. En ella se indica que los problemas <strong>de</strong> <strong>seguridad</strong> serán anunciados<strong>de</strong> forma pública a los 45 días <strong>de</strong>l aviso inici<strong>al</strong>, in<strong>de</strong>pendientemente <strong>de</strong> que existan o no soluciones porparte <strong>de</strong> los fabricantes. El CERT fue creado en 1988 por el gobierno americano, tras el conocido ataque<strong>de</strong>l “gusano <strong>de</strong> Morris” que contaminó el 10% <strong>de</strong> todas las máquinas conectadas a Internet.__En noviembre se <strong>de</strong>tecta la primera unión estrecha entre m<strong>al</strong>ware y banca online. Se <strong>de</strong>scubre Req,un gusano que roba información <strong>de</strong> un banco <strong>de</strong> Suiza. <strong>Una</strong> vez ejecutado, el gusano proce<strong>de</strong> a buscaren el disco duro <strong>de</strong>l usuario infectado documentos generados por un programa que el Union Bank <strong>de</strong>Suiza proporciona a sus clientes para efectuar pagos por medio <strong>de</strong> Internet (una especie <strong>de</strong> resguardoselectrónicos) y, en caso <strong>de</strong> encontrar <strong>al</strong>guno, lo envía a tres direcciones <strong>de</strong> correo pertenecientes <strong>al</strong> autor<strong>de</strong>l m<strong>al</strong>ware.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 55
__Hybris, un gusano programado por el mismo autor que Babylonia, se presenta como el m<strong>al</strong>ware másdifícil <strong>de</strong> combatir. Probablemente, también el más complejo aparecido hasta el momento.__A fin<strong>al</strong> <strong>de</strong> año, fruto <strong>de</strong> la colaboración tecnológica entre <strong>Hispasec</strong> y MyAlert y el apoyo estratégico<strong>de</strong> la Asociación <strong>de</strong> Internautas, se presenta el primer servicio <strong>de</strong> <strong>al</strong>ertas <strong>de</strong> virus y <strong>seguridad</strong> informáticavía SMS que todos los usuarios podían recibir gratis. Un sistema <strong>de</strong> <strong>al</strong>ertas a<strong>de</strong>lantado a su tiempo que<strong>de</strong>saparecería sólo un año <strong>de</strong>spués.__La Agencia <strong>de</strong> Seguridad Nacion<strong>al</strong> (NSA) norteamericana hace pública una versión “segura” <strong>de</strong>lpopular sistema operativo Linux. Varios organismos ofici<strong>al</strong>es norteamericanos habían <strong>de</strong>mostrado interésen disponer <strong>de</strong> un sistema operativo <strong>de</strong> c<strong>al</strong>idad y seguro, con código fuente, para po<strong>de</strong>r hacer frente a laeventu<strong>al</strong>idad <strong>de</strong> que <strong>de</strong>sapareciesen los sistemas actu<strong>al</strong>mente en uso, como Trusted Solaris (Sun), TrustedAIX (IBM) o Trusted IRIX (SGI, antigua Silicon Graphics). La NSA norteamericana hace pública unaversión <strong>de</strong> Linux que cumple los criterios “Trusted”, basada en el kernel Linux 2.2.<strong>12</strong> y en la distribuciónRedHat 6.1, bajo licencia GNU GPL (GNU Gener<strong>al</strong> Public License).<strong>Una</strong> <strong>al</strong> día02/01/2000 Efecto 2000: éxito sin prece<strong>de</strong>ntes y verda<strong>de</strong>s a mediasPese a que esperamos surjan nuevos inci<strong>de</strong>ntes a causa <strong>de</strong>l efecto 2000, la escasa inci<strong>de</strong>ncia <strong>de</strong> problemasen los servicios críticos a nivel mundi<strong>al</strong> hace pensar en el éxito <strong>de</strong> las medidas adoptadas. En estosmomentos, mientras <strong>al</strong>gunos hasta se plantean la gravedad re<strong>al</strong> <strong>de</strong>l problema, es cuando no po<strong>de</strong>mos -niqueremos- pasar por <strong>al</strong>to el enorme esfuerzo <strong>de</strong> miles <strong>de</strong> personas en la lucha contra el mayor <strong>de</strong>sastrepotenci<strong>al</strong> <strong>de</strong> la historia informática: felicida<strong>de</strong>s. Aun queda por ver el impacto fin<strong>al</strong> que supondrá el efecto2000 en los sistemas, existen procesos administrativos don<strong>de</strong> los inci<strong>de</strong>ntes pue<strong>de</strong>n tardar semanas omeses en s<strong>al</strong>ir a la luz. Pero una vez pasadas las primeras horas, don<strong>de</strong> se temía por los sistemas máscríticos, el efecto 2000 nos ha <strong>de</strong>jado <strong>al</strong>gunas enseñanzas: el mundo está más conectado <strong>de</strong> lo que muchospreveían, la tecnología actu<strong>al</strong> permite afrontar retos glob<strong>al</strong>es <strong>de</strong> forma eficaz, y la princip<strong>al</strong> “culpable” esInternet.Inci<strong>de</strong>ntes que no s<strong>al</strong>en a la luz pública----------------------------------------Aunque los inci<strong>de</strong>ntes reportados hasta el momento no son excesivamente numerosos ni graves, nosignifica que en re<strong>al</strong>idad no se estén dando mas casos <strong>de</strong> sistemas afectados. La información <strong>de</strong> la quedisponen los medios es facilitada, en la mayoría <strong>de</strong> los casos, por los gabinetes <strong>de</strong> crisis <strong>de</strong> los gobiernos,<strong>de</strong>s<strong>de</strong> don<strong>de</strong> se está ejerciendo un estricto filtro sobre las notificaciones. A este contratiempo mediático,hay que sumar que muchas compañías privadas tienen contratos <strong>de</strong> confi<strong>de</strong>nci<strong>al</strong>idad, por lo que tampocopue<strong>de</strong>n suministrar datos sobre las actuaciones que se están llevando a cabo en estos momentos.Por poner <strong>al</strong>gún ejemplo, Gartner Group afirma haber recibido durante media jornada cerca <strong>de</strong> 400inci<strong>de</strong>ntes Y2K <strong>de</strong>s<strong>de</strong> pequeñas y medianas empresas. Por supuesto, ellos no pue<strong>de</strong>n ofrecer más datos, yaque tienen firmados contratos <strong>de</strong> confi<strong>de</strong>nci<strong>al</strong>idad con sus clientes.En España, aunque todos <strong>de</strong>bemos felicitarnos por los resultados hasta el momento, el panorama noes muy diferente. Se están trabajando en inci<strong>de</strong>ntes en distintas empresas y organismos, si bien estos56<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
problemas no s<strong>al</strong>tan a la luz pública por la rápida actuación <strong>de</strong> los técnicos y por no afectar a los serviciosexternos. Por los comunicados ofici<strong>al</strong>es <strong>de</strong>l gobierno todo parece indicar que no se ha dado ningún caso,contrastando, por ejemplo, con una <strong>de</strong> las últimas filtraciones a los medios <strong>de</strong> comunicación fuera <strong>de</strong>nuestro país, don<strong>de</strong> se habla <strong>de</strong> problemas <strong>de</strong>rivados <strong>de</strong>l efecto 2000 en centr<strong>al</strong>es nucleares <strong>de</strong> España.Dudas sobre el Efecto 2000--------------------------Nos ha sorprendido, tristemente, que <strong>de</strong>s<strong>de</strong> <strong>al</strong>gunos foros, supuestamente <strong>de</strong> carácter informático, sehaya insinuado la inexistencia <strong>de</strong>l problema o intentado minimizar. Des<strong>de</strong> un punto <strong>de</strong> vista técnico elproblema es p<strong>al</strong>pable, así como su implicación en la mayoría <strong>de</strong> los procesos críticos y administrativos. Sibien no hay que dar mayor importancia a esos comentarios ya que, como viene siendo habitu<strong>al</strong>, no aportanningún dato técnico o base teórica, y simplemente se excusan en suposiciones subjetivas en base a queno hay inci<strong>de</strong>ntes graves. Parece ser que para <strong>al</strong>gunos es imposible que los informáticos hagan bien sutrabajo, o simplemente esperaban que el efecto 2000 terminara por estropearles la tostadora.Sobredimensionamiento y “<strong>de</strong>fectos secundarios”----------------------------------------------Otros comentarios y artículos, aunque con un enfoque distinto a nuestro planteamiento, si han merecidola reflexión <strong>de</strong> la comunidad y nuestra participación activa en <strong>al</strong>gunos foros <strong>de</strong> discusión. En estos casosla atención se ha centrado sobre los medios que han generado psicosis en la población con <strong>al</strong>armasinnecesarias, sobredimensionando el <strong>al</strong>cance <strong>de</strong> los posibles inci<strong>de</strong>ntes, así como en el gasto que ha supuestolas medidas adoptadas <strong>de</strong>s<strong>de</strong> los gobiernos y el enriquecimiento <strong>de</strong> empresas que han aprovechado laconfusión. Si bien aceptamos en parte, y con matices, dichos planteamientos -sigue siendo complicado yoportunista hacer v<strong>al</strong>oraciones a posteriori sobre temas tan subjetivos- hemos querido <strong>de</strong>jar constancia<strong>de</strong> que estos “<strong>de</strong>fectos secundarios” no <strong>de</strong>ben empañar el esfuerzo y <strong>de</strong>dicación <strong>de</strong> los profesion<strong>al</strong>es, ni lagravedad <strong>de</strong>l problema origin<strong>al</strong>.Bernardo Quintero21/01/2000 El gobierno reformará la ley para evitar el <strong>de</strong>lito informáticoSegún expuso el Ministro <strong>de</strong> Interior Jaime Mayor Oreja el gobierno tiene intención <strong>de</strong> adaptar la leypara luchar contra la proliferación <strong>de</strong>l <strong>de</strong>lito informático. El Ministro <strong>de</strong> Economía Rodrigo Rato tambiénconfirmó este dato en las jornadas sobre <strong>seguridad</strong> en la economía digit<strong>al</strong> organizadas por la GuardiaCivil. Según el ministro <strong>de</strong> Interior la evolución que manifiesta Internet así como el mayor <strong>de</strong> volumen<strong>de</strong> transacciones electrónicas a través <strong>de</strong> la Red obligará <strong>al</strong> Gobierno <strong>de</strong>l PP, caso <strong>de</strong> ganar las próximasElecciones Gener<strong>al</strong>es, a legislar con agilidad y a su vez esas leyes <strong>de</strong>berán estar sujetas a continuos cambios.Todo ello <strong>de</strong>bido a la evolución continua <strong>de</strong> la Red y el modo <strong>de</strong> cometer <strong>de</strong>litos <strong>de</strong>ntro <strong>de</strong> ella.Entre los asistentes a estas jornadas se ha hecho especi<strong>al</strong> hincapié a la protección <strong>de</strong> la propiedad intelectu<strong>al</strong>y garantizar la <strong>seguridad</strong> en las transacciones electrónicas. Algunos <strong>de</strong> los datos fueron aportados por<strong>de</strong>stacados nombres <strong>de</strong>ntro <strong>de</strong> la sociedad informática española, como Francisco Román, director gener<strong>al</strong><strong>de</strong> Microsoft, que afirmó que España es uno <strong>de</strong> los países europeos con mayor índice <strong>de</strong> piratería.El Coronel <strong>de</strong> la Guardia Civil Manuel Nieto dio a conocer el dato que <strong>de</strong> los <strong>12</strong>5 casos investigados por laG.C. en estos tres últimos años se han resuelto el 90%. También <strong>de</strong>staco que el <strong>de</strong>lito que está tomandomayor auge es el <strong>de</strong> la utilización fraudulenta <strong>de</strong> tarjetas <strong>de</strong> crédito a través <strong>de</strong> Internet. Para esto se<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 57
utilizan diversos medios, como la obtención <strong>de</strong> recibos tirados por los usuarios en papeleras, la difusión<strong>de</strong> listas <strong>de</strong> números a través <strong>de</strong> la Red, generadores <strong>de</strong> números válidos, etc.Antonio Román23/02/2000 Virus “in the wild”, ¿cuál es la fórmula?En muchas ocasiones diversos especi<strong>al</strong>istas han tratado <strong>de</strong> extraer conclusiones a partir <strong>de</strong> las llamadas“wildlists”, con el fin <strong>de</strong> po<strong>de</strong>r intuír <strong>de</strong> antemano cuáles serán los virus o i-worms <strong>de</strong> mayor prev<strong>al</strong>enciaa corto plazo. Las estadísticas que revela este tipo <strong>de</strong> listas, sin embargo, aún <strong>de</strong>jan muchas incógnitaspendientes. Para muestra, un botón: la producción <strong>de</strong> virus <strong>de</strong> fichero para Win32 es, <strong>de</strong>s<strong>de</strong> hace meses,sensiblemente superior a la <strong>de</strong> virus <strong>de</strong> macro, i-worms y, por supuesto, especímenes infectores <strong>de</strong>l yavetusto DOS. Sin embargo, y <strong>de</strong> acuerdo con los datos ofrecidos a partir <strong>de</strong> la última “wildlist” ofici<strong>al</strong>, elúnico representante <strong>de</strong> este grupo <strong>de</strong> cuya actividad infecciosa se tiene constancia es el “CIH”, que, eso sí,con 38 impactos, se sitúa segundo en la lista, <strong>de</strong>trás <strong>de</strong>l aparentemente imbatible “Happy99”.Esta situación viene a ser una continuación <strong>de</strong> la relación que ya protagonizaron los virus <strong>de</strong> fichero <strong>de</strong> DOSy los prácticamente <strong>de</strong>saparecidos infectores <strong>de</strong> “boot”: a pesar <strong>de</strong> que los primeros eran cuantitativamentesuperiores, los segundos siempre llevaron la <strong>de</strong>lantera en cuanto <strong>al</strong> número <strong>de</strong> infecciones producidas anivel mundi<strong>al</strong>.Lo cierto es que resultaría increíblemente tedioso efectuar una v<strong>al</strong>oración para dilucidar si el problemaatien<strong>de</strong> a razones <strong>de</strong> mayor o menor complejidad, si bien es cierto que, en líneas gener<strong>al</strong>es, los virus <strong>de</strong>fichero suelen ofrecer aspectos <strong>de</strong> tipo técnico más interesantes que los que po<strong>de</strong>mos encontrar en losespecímenes infectores <strong>de</strong> “boot”. Pero este argumento chocaría <strong>de</strong> golpe con un hecho tan peculiar comoel que representa la presencia <strong>de</strong>l virus “Form”, simple y directo don<strong>de</strong> los haya, año tras año y mes tras mesen puestos privilegiados <strong>de</strong> las listas <strong>de</strong> prev<strong>al</strong>encia, compartiendo cartel con un clásico <strong>de</strong> fichero como“OneH<strong>al</strong>f” -conocido por ser uno <strong>de</strong> los virus <strong>de</strong> DOS más complejos que se recuerdan y con “AntiCMOS”y “AntiEXE”, dos ejemplares más <strong>de</strong> “boot” cuyo estilo raya en el más puro <strong>de</strong> los minim<strong>al</strong>ismos. El testigo<strong>de</strong> “OneH<strong>al</strong>f” parece recogerlo el “CIH”, que en su momento fue un auténtico impacto técnico - poca gentehasta entonces había sido capaz <strong>de</strong> <strong>al</strong>canzar “ring-0” (el anillo <strong>de</strong> privilegios máximos en Windows) <strong>de</strong>s<strong>de</strong>un virus.Entonces... ¿tienen más posibilida<strong>de</strong>s <strong>de</strong> exten<strong>de</strong>rse “in the wild” los virus <strong>de</strong> “boot” simples y los virus<strong>de</strong> fichero más complejos? ejemplos como “Marburg” -un infector <strong>de</strong> archivos <strong>de</strong> formato PE EXE paraWindows95 bastante simple- o “Zhengxi”, consi<strong>de</strong>rado como uno <strong>de</strong> los virus <strong>de</strong> fichero más complejos <strong>de</strong>la historia, no son más que la punta <strong>de</strong>l iceberg que <strong>de</strong>sbarata cu<strong>al</strong>quier tipo <strong>de</strong> teoría <strong>al</strong> respecto.Por si esto fuera poco, los virus <strong>de</strong> macro, relevo generacion<strong>al</strong> <strong>de</strong> los infectores <strong>de</strong> “boot”, crecen enprogresión geométrica mes tras mes, y siguen siendo, con mucho, el género <strong>de</strong> virus más extendido <strong>de</strong>s<strong>de</strong>su aparición. Estadísticas ofici<strong>al</strong>es hacen eco <strong>de</strong> un dato <strong>al</strong>armante: más <strong>de</strong>l 65% <strong>de</strong> las infecciones quetienen lugar a diario están producidas por un virus <strong>de</strong> macro, y <strong>de</strong> hecho es posible comprobar cómo, <strong>de</strong>los diez especímenes más extendidos <strong>de</strong> acuerdo con la “wildlist” <strong>de</strong>l mes <strong>de</strong> enero, seis pertenecen a estesimple pero muy efectivo género vírico.Sin embargo, el verda<strong>de</strong>ro problema lo tenemos a la vuelta <strong>de</strong> la esquina: el fenómeno <strong>de</strong> los gusanos(i-worms e IRC worms) está cobrando un peligroso protagonismo, pese a su corto periodo <strong>de</strong> vida.58<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
Especi<strong>al</strong>mente en el caso <strong>de</strong> los i-worms, habría que hacer hincapié en un hecho esc<strong>al</strong>ofriante: el primerespécimen <strong>de</strong> este tipo data <strong>de</strong> enero <strong>de</strong> 1999, y, <strong>de</strong>s<strong>de</strong> entonces, se han escrito menos <strong>de</strong> quince ejemplares<strong>de</strong> este género. Sin embargo, cuatro <strong>de</strong> ellos aparecen en los primeros puestos <strong>de</strong> la “wildlist” <strong>de</strong>l mes <strong>de</strong>enero (entre ellos, “Happy99” en el primer puesto), y se tiene constancia que la práctica tot<strong>al</strong>idad <strong>de</strong> losrestantes i-worms conocidos hasta el momento han sido encontrados en <strong>al</strong>gún momento “in the wild”.Las estadísticas que se barajan, en comparación con las <strong>de</strong> los géneros <strong>de</strong> virus más antiguos, nos hacenaugurar un futuro muy poco esperanzador. El clavo ardiente <strong>al</strong> que <strong>de</strong>bemos agarrarnos es el hecho <strong>de</strong>que, s<strong>al</strong>vo el caso <strong>de</strong> “BubbleBoy”, la ejecución <strong>de</strong> un i-worm en un or<strong>de</strong>nador no infectado es una situación<strong>de</strong> interacción en la que se mi<strong>de</strong>n las fuerzas los recursos a nivel <strong>de</strong> ingeniería soci<strong>al</strong> <strong>de</strong> los escritores <strong>de</strong>virus y la precaución <strong>de</strong> los usuarios, que, en el momento <strong>de</strong> recibir un gusano pasan automáticamente aconvertirse en posibles víctimas.A pesar <strong>de</strong> todas estas conjeturas, siempre nos quedará una duda por resolver: ¿hasta qué punto <strong>de</strong>pen<strong>de</strong>nlas probabilida<strong>de</strong>s que tiene un virus <strong>de</strong> cara a su ulterior expansión “in the wild” <strong>de</strong> sus mecanismos <strong>de</strong>auto-ocultación? ¿cuándo y cómo se suele <strong>de</strong>scubrir la mayoría <strong>de</strong> las infecciones víricas? ¿tras haberescaneado el disco duro con un antivirus actu<strong>al</strong>izado, o antes <strong>de</strong> que el propio antivirus haya tenido noticia<strong>de</strong> la existencia <strong>de</strong>l espécimen en cuestión? y, sobre todo, ¿cuántas infecciones víricas se han producido <strong>al</strong>o largo <strong>de</strong>l mundo y siguen vigentes hoy día sin haber sido <strong>de</strong>scubiertas?Las estadísticas son un dato fundament<strong>al</strong> <strong>de</strong> cara a la futura prevención <strong>de</strong> m<strong>al</strong>es que hoy en día nosaquejan, y por <strong>de</strong>sgracia son todavía muy pocas las compañías antivirus que se preocupan por obtener<strong>al</strong>gún tipo <strong>de</strong> información adicion<strong>al</strong> por parte <strong>de</strong> sus usuarios acerca <strong>de</strong> los ataques víricos que éstossufren día tras día, <strong>al</strong>go que pue<strong>de</strong> suscitar dos últimas preguntas: ¿hasta qué punto interesa a este tipo<strong>de</strong> empresas erradicar <strong>de</strong> manera <strong>de</strong>finitiva las plagas víricas <strong>de</strong> la informática? ¿funcionan <strong>de</strong> maneraanáloga a la medicina gener<strong>al</strong>, prestando más atención a las consecuencias que a las causas re<strong>al</strong>es?Giorgio T<strong>al</strong>vanti06/04/2000 Las guerras <strong>de</strong> los MP3¿Acabará el formato MP3 y la distribución <strong>de</strong> música a través <strong>de</strong> Internet con la industria discográfica?Para muchos la respuesta es un contun<strong>de</strong>nte y rotundo SÍ. La única duda resta en saber exactamenteen cuánto tiempo.Esta industria multimillonaria se ha caracterizado por aplastar todas las tecnologías que potenci<strong>al</strong>mentepodían amenazar sus vastos intereses económicos. Primero <strong>de</strong>struyó el formato DAT y cuando MP3se extendía peligrosamente, su reacción no se hizo esperar: en cuanto Diamond (www.diamond.com)lanzó <strong>al</strong> mercado su controvertido reproductor Rio, la RIAA (Asociación Americana <strong>de</strong> la IndustriaDiscográfica), que representa a los princip<strong>al</strong>es sellos discográficos <strong>de</strong>l mundo, llevó a la compañía a lostribun<strong>al</strong>es <strong>al</strong>egando que la venta <strong>de</strong> Rio <strong>al</strong>entaría la piratería. El veredicto fin<strong>al</strong>, emitido en junio <strong>de</strong> 1999,<strong>de</strong>claró que Rio no violaba ninguna ley ni la AHRA (Audio Home Recording Act), en la medida en que elreproductor copia las canciones directamente <strong>de</strong> un or<strong>de</strong>nador y no <strong>de</strong>s<strong>de</strong> un CD origin<strong>al</strong>. Este veredictose consi<strong>de</strong>ró una gran victoria <strong>de</strong> MP3 sobre la voraz industria discográfica. A continuación, RIAA sevolvió contra MP3.com (www.mp3.com), el mayor sitio web <strong>de</strong> distribución <strong>de</strong> música comprimida. Enenero <strong>de</strong> 2000, la asociación <strong>de</strong> discográficas <strong>de</strong>mandó a MP3.com por supuesta infracción <strong>de</strong> <strong>de</strong>rechos<strong>de</strong> autor <strong>de</strong> más <strong>de</strong> 45.000 CD <strong>de</strong> música, ofrecidos a través <strong>de</strong> su servicio My.MP3 en circunstancias que<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 59
poco tenían que ver con las acusaciones. Por su parte, MP3.com <strong>de</strong>mandó a RIAA un mes <strong>de</strong>spués porprácticas comerci<strong>al</strong>es <strong>de</strong>sle<strong>al</strong>es, difamación, libelo, e interferencias con posibles ganancias económicas.Otros <strong>de</strong>mandados por RIAA han sido Lycos (caso perdido también) y Napster (probablemente, perdidotambién). Los <strong>de</strong>fensores <strong>de</strong> MP3 y la música en Internet se preguntan, ¿a cuántos más <strong>de</strong>be <strong>de</strong>mandar laRIAA antes <strong>de</strong> darse cuenta <strong>de</strong> que su guerra está perdida?¿Qué guerra? Cuando el can<strong>al</strong> <strong>de</strong> distribución primario era el CD, las cosas estaban atadas y bien atadas.¿Que <strong>al</strong>guien graba un CD a cinta? No supone una amenaza, <strong>al</strong> fin y <strong>al</strong> cabo, la c<strong>al</strong>idad es menor. Poco<strong>de</strong>spués hacen su aparición los copiadores <strong>de</strong> CD-ROM. ¿Que la industria discográfica afronta pérdidaspor piratería? Tampoco pasa nada, <strong>al</strong> fin y <strong>al</strong> cabo, todos están metidos en el mismo cotarro y son los queven<strong>de</strong>n los aparatos, los CD vírgenes y <strong>de</strong>más: se grava a los CD vírgenes con un canon para afrontar laspérdidas y los ingresos vuelven a su cauce. ¿Que el artista s<strong>al</strong>e perdiendo? Qué se le va a hacer.Sin embargo, la distribución <strong>de</strong> música a través <strong>de</strong> Internet, que gracias <strong>al</strong> formato <strong>de</strong> compresión <strong>de</strong> MP3permite su rápida <strong>de</strong>scarga y <strong>al</strong>macenamiento en disco, hace tamb<strong>al</strong>ear los cimientos <strong>de</strong> este emporio.La primera solución buscada consistió en luchar contra MP3, pero no se pue<strong>de</strong> escupir a las cataratas <strong>de</strong>lNiágara. Al fin y <strong>al</strong> cabo, a lo mejor hasta se pue<strong>de</strong> sacar tajada <strong>de</strong> Internet. Vivimos en plena fiebre <strong>de</strong>pelotazos, ¿no?“Si no pue<strong>de</strong>s con ellos, únete a ellos”, dice el refrán. La RIAA, con su Iniciativa para la Música Digit<strong>al</strong>Segura (SDMI), está intentando poner freno a la distribución incontrolada <strong>de</strong>l MP3, pero sin renunciar asus nuevas oportunida<strong>de</strong>s <strong>de</strong> negocio a través <strong>de</strong> Internet. La SDMI, lanzada por RIAA y que reúne a más<strong>de</strong> 160 compañías y organizaciones, entre ellas sellos discográficos (como los gigantes EMI o Warner),compañías <strong>de</strong> electrónica y <strong>de</strong> TI, proveedores <strong>de</strong> servicio <strong>de</strong> Internet y compañías <strong>de</strong> tecnología <strong>de</strong><strong>seguridad</strong>, ha estado trabajando en la creación <strong>de</strong> un estándar para la protección <strong>de</strong> música en MP3 yotros formatos. Hasta el momento, en su Fase I, la SDMI ha acordado adoptar la tecnología <strong>de</strong> VeranceCorporation (www.verance.com), llamada Musico<strong>de</strong>, para la inserción <strong>de</strong> marcas <strong>de</strong> agua robustas enlas obras music<strong>al</strong>es. La Sociedad Gener<strong>al</strong> <strong>de</strong> Autores y Editores (SGAE) ha firmado en diciembre <strong>de</strong>laño pasado un acuerdo con Verance, que licencia a la SGAE para que utilice la tecnología MusiCo<strong>de</strong> <strong>de</strong>Verance para incluir marcas <strong>de</strong> agua inaudibles en las obras music<strong>al</strong>es <strong>de</strong> sus miembros y monitorizarautomáticamente sus difusiones públicas por radio, TV e Internet. De esta forma, la <strong>al</strong>ianza entre SGAE yVerance supone un hito en la historia <strong>de</strong> la mo<strong>de</strong>rna lucha contra la piratería digit<strong>al</strong>.En el futuro, los reproductores MP3, incluido Rio, que cumplan con las especificaciones <strong>de</strong> la SDMI, sóloserán capaces <strong>de</strong> reproducir la música grabada leg<strong>al</strong>mente, dotando así a las compañías discográficas <strong>de</strong>mayor control sobre sus materi<strong>al</strong>es protegidos. Con esta iniciativa, la RIAA preten<strong>de</strong> adoptar un marcocomún para que artistas y empresas <strong>de</strong> tecnología y sellos discográficos puedan utilizar Internet comonuevo can<strong>al</strong> <strong>de</strong> distribución, novedoso y potenci<strong>al</strong>mente muy beneficioso. Eso sí, velando por la protección<strong>de</strong> los <strong>de</strong>rechos <strong>de</strong> autor legítimos.Queda por ver la aceptación que tendrán estas nuevas medidas entre el público y las pequeñas casas ydistribuidoras y tiendas <strong>de</strong> música. ¿Se preten<strong>de</strong> s<strong>al</strong>vaguardar las ventas <strong>de</strong> los gran<strong>de</strong>s sellos, que venamenazada su posición <strong>de</strong> abuso con la <strong>de</strong>mocratización <strong>de</strong> las tecnologías <strong>de</strong> copia y reproducción <strong>de</strong>música, o proteger los <strong>de</strong>rechos <strong>de</strong> autor <strong>de</strong> los artistas? La criptografía no da respuestas a estas preguntas,ofrece herramientas para proteger la propiedad intelectu<strong>al</strong>, como las marcas <strong>de</strong> agua, pero nunca inf<strong>al</strong>ibles.Y si no, que le pregunten a Stephen King.Gonz<strong>al</strong>o Álvarez Marañón60<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
04/05/2000 Consi<strong>de</strong>raciones sobre VBS.LoveLetter, un gusano muy simplePese a la fiebre mediática que ha <strong>de</strong>satado, merecida sólo en parte por la propagación que ha conseguido,a la postre la mayor <strong>de</strong> toda la historia, <strong>de</strong>bemos <strong>de</strong> tener en cuenta que en re<strong>al</strong>idad se trata <strong>de</strong> un scriptque ha <strong>de</strong> interpretarse, un gusano muy simple, con su código <strong>al</strong> <strong>de</strong>scubierto, que an<strong>al</strong>izaremos <strong>al</strong> <strong>de</strong>t<strong>al</strong>leen una próxima entrega.No hay un antes y un <strong>de</strong>spués <strong>de</strong> este gusano, <strong>al</strong> menos en el apartado técnico, aunque la eficacia conseguidaa la hora <strong>de</strong> propagarse, gracias en gran parte <strong>al</strong> factor humano, t<strong>al</strong> vez sea utilizada como excusa paraimplantar nuevas medidas y restricciones en las políticas <strong>de</strong> <strong>seguridad</strong> y control.En cuanto a las casas antivirus, por un lado sólo cabe felicitarlas por su rápida actuación, apenas unashoras <strong>de</strong>spués los clientes contaban con actu<strong>al</strong>izaciones para <strong>de</strong>tectar y eliminar el gusano, y hasta se hanfacilitado utilida<strong>de</strong>s gratuitas para los usuarios no registrados.Por otro lado, mientras las casas <strong>de</strong> software hacen su particular agosto, más <strong>de</strong> uno se preguntará como esposible que un gusano tan simple, con técnicas conocidas, ha podido atacar por igu<strong>al</strong> a los que disponían<strong>de</strong> un antivirus actu<strong>al</strong>izado como a los que iban a “pecho <strong>de</strong>scubierto”. El mo<strong>de</strong>lo actu<strong>al</strong> <strong>de</strong> los antiviruses eficaz contra virus conocidos, promesas <strong>de</strong> anuncios y heurísticas <strong>al</strong> margen, hoy día sigue siendo muyfácil s<strong>al</strong>tarse esta barrera <strong>de</strong> protección que casos como el <strong>de</strong> VBS.LoveLetter ponen en entredicho.Internet se ha convertido en todo un handicap para los antivirus, si bien es cierto que han ganado encapacidad <strong>de</strong> actu<strong>al</strong>ización, los virus tampoco <strong>de</strong>jan <strong>de</strong> aprovechar las ventajas <strong>de</strong> la Red, pudiendopropagarse por miles <strong>de</strong> sistemas antes que los laboratorios hayan terminado <strong>de</strong> an<strong>al</strong>izar el espécimen.El mo<strong>de</strong>lo <strong>de</strong> <strong>de</strong>tección <strong>de</strong> virus conocidos, resolutivo en épocas pasadas cuando la infección entresistemas aislados se producía, por ejemplo, <strong>al</strong> intercambiar disquetes, pier<strong>de</strong> eficacia cuando el ciclo<strong>de</strong> propagación entre millones <strong>de</strong> máquinas vía Internet se reduce a unas pocas horas. La re<strong>al</strong>idad esque existen soluciones <strong>de</strong> <strong>seguridad</strong> más efectivas, basta que las empresas <strong>de</strong> software se planteen lasnecesidad <strong>de</strong> una pequeña revolución.Dejando <strong>al</strong> margen los antivirus, necesarios y recomendables, así como a Internet, <strong>de</strong> cuyo beneficionadie duda, VBS.LoveLetter pone <strong>de</strong> nuevo el <strong>de</strong>do en la llaga: la in<strong>seguridad</strong> <strong>de</strong> Microsoft. <strong>Una</strong> vez máslos usuarios <strong>de</strong> Linux se han convertido en meros espectadores, protegidos por un mo<strong>de</strong>lo <strong>de</strong> <strong>seguridad</strong>mucho más robusto que el <strong>de</strong> Windows, y don<strong>de</strong> los virus, hasta la fecha, son simples anécdotas.En el último esc<strong>al</strong>ón nos encontramos con el factor humano, que es sin duda el gran protagonista en elcaso <strong>de</strong> VBS.LoveLetter, don<strong>de</strong> la Ingeniería Soci<strong>al</strong> <strong>de</strong> este simple gusano ha obtenido mejores resultadosa la hora <strong>de</strong> propagarse que las complicadas técnicas <strong>de</strong>sarrolladas bajo ensamblador <strong>de</strong> otros virus muchomás sofisticados. <strong>Una</strong> vez más, es en última instancia el usuario quién tiene en su mano la <strong>seguridad</strong> <strong>de</strong> lossistemas, y quién <strong>de</strong>be ser consciente y responsable <strong>de</strong>l peligro que entrañan sus acciones en <strong>de</strong>terminadassituaciones.Bernardo Quintero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 61
<strong>12</strong>/07/2000 CarnívoroCarnívoro es el nombre <strong>de</strong>l nuevo invento <strong>de</strong>l FBI. Resulta un poco “gore”, asusta sólo el nombrecito y, loque pue<strong>de</strong> hacer también. Vigila, intercepta y an<strong>al</strong>iza gran<strong>de</strong>s cantida<strong>de</strong>s <strong>de</strong> correo electrónico, va más<strong>al</strong>lá <strong>de</strong> lo que imaginó la propia ley sobre Privacidad en Comunicaciones Electrónicas (ECPA).Esta semana he recibido varias cartas interesantes, una <strong>de</strong> ellas me habla <strong>de</strong> Carnívoro y me adjuntan lamisiva enviada por Laura W. Murphy, Barry Steinhardt, y Gregory T. Nojeim, cúpula directiva <strong>de</strong> ACLU,(American Civil Liberties Union), a varios representantes <strong>de</strong>l pueblo norteamericano, los honorablesCharles T. Canady, y Melvin L. Watt. Carta que <strong>de</strong>ja clara la protesta por la existencia misma <strong>de</strong> dichoCarnívoro que segun los autores <strong>de</strong> la carta podría incluso violar la Cuarta Enmienda.Al parecer <strong>de</strong> la existencia <strong>de</strong> Carnívoro ya se sabía <strong>de</strong>s<strong>de</strong> el 6 <strong>de</strong> abril, básicamente un software muyespeci<strong>al</strong>izado inst<strong>al</strong>ado directamente en los propios ISPs, (Internet Service Provi<strong>de</strong>r’s), o proveedores<strong>de</strong> servicios, que intercepta en tiempo re<strong>al</strong> los contenidos <strong>de</strong> las comunicaciones individu<strong>al</strong>es,permiteel acceso a todo el correo <strong>de</strong> todos los clientes <strong>de</strong>l ISP, y <strong>de</strong> todas personas que comuniquen con dichoproveedor, las copia, tracea y registra, basta con darle una o varias p<strong>al</strong>abras a buscar en cada correo.Carnívoro acce<strong>de</strong> a todo el trafico <strong>de</strong>l ISP, y no sólo a las comunicaciones. Según los autores <strong>de</strong> la carta,Carnívoro an<strong>al</strong>iza millones <strong>de</strong> mensajes por segundo, reteniendo sólo los que tengan <strong>de</strong>terminadasp<strong>al</strong>abras buscadas, hace su trabajo sin informar, <strong>de</strong>spués <strong>al</strong> ISP (antes sí, ya que pue<strong>de</strong> ser obligado ainst<strong>al</strong>ar el programa). Y lo peor <strong>de</strong> todo, sin informar antes <strong>al</strong> Juzgado. Aunque no lo sepan <strong>al</strong>gunos,también en Estados Unidos es necesaria una or<strong>de</strong>n judici<strong>al</strong> para t<strong>al</strong> tipo <strong>de</strong> comportamiento.El FBI asegura que sólo graban lo que tiene un perfil <strong>de</strong>terminado, y sobre la necesidad <strong>de</strong> or<strong>de</strong>n judici<strong>al</strong>para ello, vienen a contestar, <strong>al</strong>go así como “creed en nosotros, somos lo buenos, los chicos <strong>de</strong>l gobierno”.Como principio gener<strong>al</strong> en las legislaciones occi<strong>de</strong>nt<strong>al</strong>es la interceptación <strong>de</strong> comunicaciones <strong>de</strong>be ser<strong>al</strong>go excepcion<strong>al</strong>, no habitu<strong>al</strong>, <strong>de</strong>be minimizarse, para un tiempo, persona y conducta <strong>de</strong>terminada, y porsupuesto <strong>de</strong>be estar autorizada por el Juez, Carnívoro obviamente hace todo lo contrario.En España se pue<strong>de</strong>n ver como <strong>de</strong>recho materi<strong>al</strong> los art. 197 y 536 <strong>de</strong>l Código Pen<strong>al</strong>, o en jurispru<strong>de</strong>nci<strong>al</strong>as sentencias <strong>de</strong>l Tribun<strong>al</strong> Constitucion<strong>al</strong> 107/85, la 64/86, la 49/96 <strong>de</strong> 26 <strong>de</strong> marzo, la 34/96 <strong>de</strong>l 11 <strong>de</strong>marzo; el auto <strong>de</strong>l Tribun<strong>al</strong> Supremo 18/6/92, o la sentencia <strong>de</strong>l mismo órgano <strong>de</strong> 23/11/95, la <strong>de</strong> 28/3/96.Y ello sólo para empezar.Para los miembros <strong>de</strong> ACLU sería ileg<strong>al</strong>, (legislación norteamericana), que el gobierno pueda obtener <strong>de</strong>un ISP las entradas y s<strong>al</strong>idas <strong>de</strong> correo <strong>de</strong> un cliente, dirección <strong>de</strong> correo, IP, etc., consi<strong>de</strong>ran tambiénileg<strong>al</strong> que los ISPs puedan ser obligados a inst<strong>al</strong>ar semejante “trampa” en sus máquinas. Para el ACLU lacuarta enmienda prohibiría t<strong>al</strong> cosa, ya que prohibe el acceso a los contenidos, incluida la “subject” <strong>de</strong>lmensaje, el cu<strong>al</strong> es ya contenido.El FBI ya no necesita ni a Kevin Mitnick, que aunque s<strong>al</strong>ió <strong>de</strong> prisión en enero, sólo <strong>de</strong>s<strong>de</strong> el día 10 <strong>de</strong> Juliola Juez Fe<strong>de</strong>r<strong>al</strong> Marianne Pfaelzer le permite contestar a <strong>al</strong>gunas <strong>de</strong> las ofertas <strong>de</strong> trabajo recibidas, <strong>al</strong>guna<strong>de</strong> ellas en el campo <strong>de</strong> la <strong>seguridad</strong> informática; e incluso, ya pue<strong>de</strong> escribir sobre materia tecnológica yhablar en público, ya lo ha hecho en la KFI, radio <strong>de</strong> Los Angeles.Lástima no le preguntaran su opinión sobre Carnívoro. Tot<strong>al</strong>, por cosas similares él fue a la cárcel, encambio otros, ni siquiera dimiten.Eusebio <strong>de</strong>l V<strong>al</strong>le62<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
18/09/2000 Aparece el primer virus “companion” para NTFSHace apenas unas semanas el mundo <strong>de</strong> los virus informáticos volvía a experimentar una revolución enel campo <strong>de</strong> la investigación y el <strong>de</strong>sarrollo <strong>de</strong> nuevas técnicas <strong>de</strong> infección; en esta ocasión se ha tratado<strong>de</strong> “Stream”, que pasará a la historia por ser el primer patógeno <strong>de</strong> tipo “companion” nativo para sistemas<strong>de</strong> tipo NTFS.La inmensa mayoría <strong>de</strong> los virus informáticos, <strong>de</strong>s<strong>de</strong> la aparición <strong>de</strong> “Brain” en 1986, se pue<strong>de</strong> subdividiren dos gran<strong>de</strong>s grupos, en función <strong>de</strong>l tipo <strong>de</strong> infección aplicada a los ficheros “huésped” o víctimas <strong>de</strong>lcontagio: “appending” (anexión <strong>de</strong>l código m<strong>al</strong>igno <strong>al</strong> fin<strong>al</strong> <strong>de</strong>l archivo), la más común, especi<strong>al</strong>mentecon la llegada <strong>de</strong> los sistemas <strong>de</strong> 32 bits, y “prepending” (adhesión <strong>de</strong>l cuerpo <strong>de</strong>l virus antes <strong>de</strong>l códigoorigin<strong>al</strong>), característica <strong>de</strong> un nutrido grupo <strong>de</strong> especímenes experiment<strong>al</strong>es <strong>de</strong> las primeras oleadas enla era <strong>de</strong>l DOS.Otros métodos menos convencion<strong>al</strong>es pero también frecuentados por diversos autores han sido el <strong>de</strong>“overwriting” (sobreescritura <strong>de</strong>l fichero huésped con el código vírico) y el <strong>de</strong> “spawning” o “companion”,consistente en sustituir un programa origin<strong>al</strong> con una copia <strong>de</strong>l virus que, <strong>al</strong> ser ejecutada, se encargará <strong>de</strong>correr la aplicación huésped, previamente renombrada y escondida <strong>de</strong> los ojos <strong>de</strong>l usuario afectado.El origen <strong>de</strong> esta técnica <strong>de</strong> infección -que gener<strong>al</strong>mente conserva intacto e íntegro el código <strong>de</strong> los ficherosorigin<strong>al</strong>es- se pue<strong>de</strong> encontrar en la jerarquía ejecutiva prev<strong>al</strong>ente en el DOS, mediante la cu<strong>al</strong> un fichero<strong>de</strong> extensión COM con idéntico nombre que uno <strong>de</strong> extensión EXE estaba dotado <strong>de</strong> preferencia. Así,se daba la circunstancia <strong>de</strong> que si el usuario ejecutaba “programa” -sin especificar extensión <strong>al</strong>guna- yexistían los ficheros <strong>de</strong> nombre “programa.exe” y “programa.com”, era este último el primero en el or<strong>de</strong>n<strong>de</strong> ejecución.Aprovechándose <strong>de</strong> esta característica, los virus “companion” más antiguos lo tenían tan fácil comobuscar archivos <strong>de</strong> un tipo <strong>de</strong>terminado <strong>de</strong> extensión y renombrarlos, creando una copia <strong>de</strong> su propiocódigo con el nombre origin<strong>al</strong> <strong>de</strong>l fichero afectado, <strong>de</strong> forma que la carga m<strong>al</strong>igna sea ejecutada cada vezque el usuario <strong>de</strong>see correr un programa, que acaba siempre por ser lanzado por el propio virus, tras haberllevado a cabo sus menesteres.Años más tar<strong>de</strong>, cuando una técnica <strong>de</strong> semejante primitivismo ya había quedado <strong>de</strong>sfasada, los autores<strong>de</strong> virus han vuelto a darle la vuelta a la tortilla y han encontrado una manera <strong>de</strong> volver a dar vida a unresorte <strong>de</strong> tecnología vírica que había caído en el olvido; uno <strong>de</strong> los programadores <strong>de</strong> “Stream”, el checo“Benny”, ya había pasado a la posteridad meses antes tras su participación en la escritura <strong>de</strong> “Inst<strong>al</strong>l”, elprimer virus para Windows2000.La adaptación <strong>de</strong>l mecanismo “companion” puesta en práctica por el virus “Stream” ha sido ya bautizadacomo “stream companion”, <strong>de</strong> don<strong>de</strong> el patógeno ha tomado su nombre. Se trata <strong>de</strong> un método <strong>de</strong> infecciónválido única y afortunadamente para or<strong>de</strong>nadores con sistema <strong>de</strong> ficheros NTFS, el que emplean,princip<strong>al</strong>mente, tanto WindowsNT como Windows2000. El motivo radica en el hecho <strong>de</strong> que en estasplataformas ha sido habilitado por Microsoft, su <strong>de</strong>sarrollador, un complejo mediante el cu<strong>al</strong> cada ficheroposee un flujo <strong>de</strong> datos o “data stream” <strong>al</strong> que se pue<strong>de</strong>n asociar otros elementos análogos, accesiblesmediante su nombre person<strong>al</strong>, que respon<strong>de</strong> <strong>al</strong> formato “nombre_fichero:nombre_flujo”.La asociación <strong>de</strong> un flujo con su fichero es permanente, y así, resulta imposible <strong>de</strong> acce<strong>de</strong>r o modificar sinprevia referencia a su “compañero”, <strong>al</strong> que permanece “grapado” incluso si éste es renombrado o borrado,<strong>al</strong>go que complica sobremanera la <strong>de</strong>tección <strong>de</strong> “Stream”, <strong>al</strong> no existir herramientas incluidas por <strong>de</strong>fecto<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 63
en el sistema para editar o visu<strong>al</strong>izar los flujos <strong>de</strong> un archivo.Lejos <strong>de</strong> tratarse <strong>de</strong> una técnica <strong>de</strong> implementación laboriosa, la longitud <strong>de</strong>l código <strong>de</strong> este patógeno estan insignificante como irrelevante, especi<strong>al</strong>mente tras haber sido procesada por el compresor “Petite”,que reduce el tamaño <strong>de</strong> “Stream” a tan solo cuatro kilobytes. Al tratarse <strong>de</strong> un espécimen <strong>de</strong> carácterexperiment<strong>al</strong>, <strong>de</strong> su acción expansiva potenci<strong>al</strong> podría <strong>de</strong>cirse que se encuentra en relación directamenteproporcion<strong>al</strong> con la longitud <strong>de</strong>l virus: su acción m<strong>al</strong>igna se limita a intentar infectar todos los ficheros <strong>de</strong>ldirectorio actu<strong>al</strong>. En caso <strong>de</strong> f<strong>al</strong>lo, “Stream” muestra el siguiente mensaje en pant<strong>al</strong>la:[ Win2k.Stream by Benny/29A & Ratter ]This cell has been infected by [Win2k.Stream] virus![ OK ]La rutina <strong>de</strong> contagio, por su parte, se limita a acce<strong>de</strong>r a cada uno <strong>de</strong> los ficheros encontrados y a copiarel código origin<strong>al</strong> en un nuevo flujo, <strong>de</strong> nombre “STR”, sustituyéndolo en el “stream” princip<strong>al</strong> por unacopia <strong>de</strong>l virus, que, tras ser ejecutada, se encarga <strong>de</strong> ce<strong>de</strong>r el control <strong>al</strong> archivo huésped, accesible pormedio <strong>de</strong> la ruta “nombre_fichero:STR”. Como nota anecdótica cabría res<strong>al</strong>tar que -por motivos hastaahora <strong>de</strong>sconocidos- a pesar <strong>de</strong> que la técnica <strong>de</strong> “stream companion” es perfectamente compatible conWindowsNT, los autores <strong>de</strong> “Stream” incluyeron en el código <strong>de</strong> su creación una rutina que le impi<strong>de</strong>correr en otras versiones <strong>de</strong>l sistema operativo <strong>de</strong> Microsoft distintas a Windows2000, reduciendo aúnmás si cabe el posible radio <strong>de</strong> acción <strong>de</strong>l virus en caso <strong>de</strong> ser liberado.Giorgio T<strong>al</strong>vanti27/10/2000 Caso Microsoft: <strong>de</strong>bilida<strong>de</strong>s en el planteamientoLa filtración origin<strong>al</strong> en el W<strong>al</strong>l Street Journ<strong>al</strong>, <strong>de</strong> una fuente no i<strong>de</strong>ntificada, sitúa <strong>al</strong> troyano “Qaz” comola herramienta usada por los atacantes para introducirse en la red interna <strong>de</strong> Microsoft. Este rumor noconfirmado se ha convertido en la hipótesis “ofici<strong>al</strong>” a la que medios y “expertos” han recurrido paraexplicar el ataque. Vamos a ver sus princip<strong>al</strong>es puntos débiles, tanto <strong>de</strong> la hipótesis como <strong>de</strong>l troyano, quelo convierten en una herramienta que ni siquiera cumpliría su objetivo contra la red <strong>de</strong> cu<strong>al</strong>quier medianaempresa.- ¿Cómo funciona “Qaz”?“Qaz” es un ejecutable Win32, escrito en Visu<strong>al</strong> C++. Cuando se ejecuta, busca una copia <strong>de</strong>l ficheroNOTEPAD.EXE (Bloc <strong>de</strong> Notas <strong>de</strong> la carpeta Windows) y lo renombra como NOTE.COM, a continuación“Qaz” se copia con el nombre <strong>de</strong> NOTEPAD.EXE. Esto provoca que, cada vez que se intente lanzar el Bloc<strong>de</strong> Notas en un sistema infectado, primero se ejecuta el troyano, y éste a su vez llama a NOTE.COM, por loque el usuario no percibe a primera vista ninguna irregularidad. El troyano es capaz <strong>de</strong> propagarse a través<strong>de</strong> las unida<strong>de</strong>s compartidas <strong>de</strong> las re<strong>de</strong>s loc<strong>al</strong>es, don<strong>de</strong> intenta loc<strong>al</strong>izar la carpeta <strong>de</strong> Windows, para locu<strong>al</strong>, busca la ca<strong>de</strong>na “WIN”, y re<strong>al</strong>iza con NOTEPAD.EXE la misma operación ya <strong>de</strong>scrita. Por último,<strong>de</strong>staca en “Qaz” su funcion<strong>al</strong>idad como backdoor, envía la dirección IP <strong>de</strong> los or<strong>de</strong>nadores infectados asu autor vía correo electrónico (a buzones loc<strong>al</strong>izados en China origin<strong>al</strong>mente), y abre una puerta traseraen el puerto TCP 7597, por el cu<strong>al</strong> el autor <strong>de</strong>l virus pue<strong>de</strong> acce<strong>de</strong>r <strong>de</strong> forma remota <strong>al</strong> sistema <strong>de</strong> susvíctimas.- La víctima: el empleado <strong>de</strong> Microsoft64<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
En una red loc<strong>al</strong> los or<strong>de</strong>nadores no se conectan directamente a Internet, sino que cuentan con un servidorproxy a través <strong>de</strong>l cu<strong>al</strong> se comunican con el exterior, ya sea para recoger/enviar correo, visitar páginaswebs o cu<strong>al</strong>quier otra conexión. Este esquema también supone un primer nivel <strong>de</strong> <strong>seguridad</strong>, <strong>al</strong> impedirlas conexiones directas <strong>de</strong>s<strong>de</strong>/hacia el exterior, y es el mismo que cu<strong>al</strong>quier pequeña o mediana empresautiliza para aprovechar la conexión <strong>de</strong> varios or<strong>de</strong>nadores mediante una única línea telefónica.- Problema en el planteamientoEn el caso <strong>de</strong> que “Qaz” infectara un or<strong>de</strong>nador <strong>de</strong> una red loc<strong>al</strong>, ejemplo Microsoft, el troyano abriría enesa máquina el puerto TCP 7579 y enviaría a continuación la dirección IP loc<strong>al</strong> <strong>de</strong> la víctima <strong>al</strong> atacantepor correo electrónico a través <strong>de</strong>l proxy. <strong>Una</strong> vez recibida la dirección IP, el atacante no pue<strong>de</strong> conectarsea ese or<strong>de</strong>nador, ya que esa IP es interna y no está accesible <strong>de</strong>s<strong>de</strong> Internet. Cuando se trata <strong>de</strong> un usuarioparticular, que acce<strong>de</strong> <strong>de</strong> forma directa a Internet, “Qaz” si se muestra efectivo.- ¿Podría el atacante conocer la dirección <strong>de</strong>l servidor proxy?De forma fácil, ya que podría recibir la dirección en la cabecera <strong>de</strong>l mensaje <strong>de</strong> correo electrónico quemanda “Qaz”. El atacante si podría intentar interactuar con la dirección IP <strong>de</strong>l proxy, si bien no podríaacce<strong>de</strong>r remotamente por la puerta trasera vía TCP 7579, ya que el proxy no se encuentra infectado.- Si “Qaz” se transmite a través <strong>de</strong> las re<strong>de</strong>s loc<strong>al</strong>es, ¿no podría haber infectado <strong>al</strong> servidor proxy?“Qaz” sólo se transmite entre las unida<strong>de</strong>s compartidas <strong>de</strong> una red loc<strong>al</strong>. Un proxy por <strong>de</strong>fecto, bienconfigurado, no <strong>de</strong>be compartir su unidad sin ningún tipo <strong>de</strong> protección.- Bueno, t<strong>al</strong> vez el proxy <strong>de</strong> Microsoft estuviera m<strong>al</strong> configurado, ¿no?En cu<strong>al</strong>quier caso, sería necesario que compartiera toda la unidad con acceso lectura/escritura (unerror aun menos probable), ya que “Qaz” busca la carpeta <strong>de</strong> “Windows” para escribir en ella la copia <strong>de</strong>ltroyano.- V<strong>al</strong>e, aunque imposible, supón que hubiera llegado <strong>al</strong>lí“Qaz” no es capaz <strong>de</strong> ejecutarse a través <strong>de</strong> la red loc<strong>al</strong>, sólo sitúa el fichero infectado en una posiciónóptima para que un usuario lo ejecute (simulando <strong>al</strong> bloc <strong>de</strong> notas). En el caso <strong>de</strong>l servidor proxy <strong>de</strong> unagran empresa no hablamos <strong>de</strong> un termin<strong>al</strong> que se utilice como una estación <strong>de</strong> trabajo por un usuario, sino<strong>de</strong> un servidor <strong>de</strong>dicado, lo que dificultaría también que se ejecutara.- Bueno, una posibilidad entre 1 millón, pero pudo darse, ¿no?Hasta ahora sólo habíamos hablado <strong>de</strong>l servidor proxy cómo esc<strong>al</strong>ón <strong>de</strong> <strong>seguridad</strong>, en cu<strong>al</strong>quier empresa conuna política <strong>de</strong> <strong>seguridad</strong> mínima <strong>de</strong>bemos <strong>de</strong> contar con la figura <strong>de</strong>l cortafuegos que filtra las conexionesen base a una configuración, cómo mínimo se limita el acceso sólo a través <strong>de</strong> unos <strong>de</strong>terminados puertos.Un troyano tan limitado como “Qaz” tampoco s<strong>al</strong>varía este obstáculo, el cortafuegos impediría la conexión<strong>de</strong>s<strong>de</strong> el exterior.- ¿Existen más puntos en contra?Si, “Qaz” es un troyano conocido <strong>de</strong>s<strong>de</strong> principios <strong>de</strong> agosto, la mayoría <strong>de</strong> las casas antivirus <strong>de</strong>tectan<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 65
y eliminan <strong>de</strong>s<strong>de</strong> entonces este espécimen. Muchas empresas utilizan distintos niveles <strong>de</strong> protecciónantivirus, que llegan hasta el chequeo <strong>de</strong> los mensajes <strong>de</strong> correo electrónico en el servidor, lo que hubieraimpedido que llegara el troyano <strong>al</strong> empleado <strong>de</strong> Microsoft.- Bueno, t<strong>al</strong> vez se utilizó contra éste empleado en un primer momento, antes que las casas lo i<strong>de</strong>ntificaran y<strong>de</strong>tectaran. La versión origin<strong>al</strong> <strong>de</strong> “Qaz” enviaba los mensajes <strong>de</strong> correo electrónico a una cuenta <strong>de</strong> China,en este caso se trataría <strong>de</strong> una versión modificada (posterior) que un atacante configura para beneficiopropio. Aunque se hubiera utilizado antes <strong>de</strong> que los antivirus lo incluyeran en su base <strong>de</strong> datos <strong>de</strong> firmas,un antivirus loc<strong>al</strong> con una actu<strong>al</strong>ización más o menos reciente lo habría <strong>de</strong>tectado a posteriori.- ¿Es norm<strong>al</strong> que un “hacker” (<strong>de</strong>beríamos <strong>de</strong>cir “cracker”) <strong>de</strong> cierto nivel, cómo para comprometer aMicrosoft, utilice un troyano <strong>de</strong> estas características?No, cu<strong>al</strong>quier atacante <strong>de</strong> cierto nivel programará las herramientas <strong>de</strong> forma person<strong>al</strong>izada, lo que lepermite ajustarse a las necesida<strong>de</strong>s <strong>de</strong> la operación y asegurarse <strong>de</strong> que ningún antivirus va a <strong>de</strong>tectarlocómo “m<strong>al</strong>ware”.- ¿Es posible que con un esquema similar, evitando las <strong>de</strong>bilida<strong>de</strong>s intrínsecas <strong>de</strong> “Qaz”, se haya podidollevar una intrusión en la red <strong>de</strong> Microsoft?Si, hay muchas formas <strong>de</strong> vulnerar la <strong>seguridad</strong> <strong>de</strong> una red, sobre todo en entornos basados en los productos<strong>de</strong> Microsoft. Es posible re<strong>al</strong>izar un ataque similar, más efectivo, basado en las propias <strong>de</strong>bilida<strong>de</strong>s <strong>de</strong>Windows, sin necesidad <strong>de</strong> una cabeza <strong>de</strong> turco como “Qaz”.- ¿Por ejemplo?En la próxima entrega.Bernardo QuinteroEntrevistaJuan S<strong>al</strong>om es el Jefe <strong>de</strong>l Grupo <strong>de</strong> Delitos Telemáticos <strong>de</strong> la Unidad Centr<strong>al</strong>Operativa <strong>de</strong> la Guardia Civil <strong>de</strong>s<strong>de</strong> el 2000. <strong>Hispasec</strong> siempre ha colaborado con Juan S<strong>al</strong>omellos en lo que han estimado oportuno. Resulta muy sencillo ayudar a personas queestán siempre dispuestas a apren<strong>de</strong>r y aprecian tanto su trabajo. Su labor cuenta con muchos éxitos en l<strong>al</strong>ucha contra el frau<strong>de</strong> online y la difusión <strong>de</strong> pornografía infantil.<strong>Hispasec</strong>: ¿Cuándo y cómo se creó el Grupo <strong>de</strong> Delitos Telemáticos?Juan S<strong>al</strong>om: El Grupo <strong>de</strong> Delitos Telemáticos fue creado a fin<strong>al</strong>es <strong>de</strong>l año 1.996, encuadrado <strong>de</strong>ntro<strong>de</strong> la Unidad Centr<strong>al</strong> Operativa <strong>de</strong> la Guardia Civil. Tras una serie <strong>de</strong> investigaciones que pusieron enevi<strong>de</strong>ncia la necesidad <strong>de</strong> especi<strong>al</strong>izar personas en la investigación informática, a fin<strong>al</strong>es <strong>de</strong> ese año, seconstituyó el embrión <strong>de</strong>l actu<strong>al</strong> Grupo <strong>de</strong> Delitos Telemáticos <strong>de</strong> la Guardia Civil. Compuesto por cuatroagentes y un ofici<strong>al</strong> que combinaban experiencia investigadora y conocimientos informáticos, empezó aandar la unidad. Trabajo no le f<strong>al</strong>tó, y enseguida llegaron los primeros éxitos. Operaciones como TOCO eHISPAHACK, tuvieron un importante eco mediático, no tanto por su dificultad como por su novedad. Elconcepto <strong>de</strong> “ciberpolicía” empezaba a asentarse. La pequeña unidad <strong>de</strong> Delitos Informáticos pedía pan yhabía que darle <strong>de</strong> comer. Su plantilla se duplicó y llegaron más servicios.66<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
H: ¿Cómo te metiste en esto?JS: El esfuerzo inici<strong>al</strong> estaba hecho y la factura <strong>de</strong> ese trabajo person<strong>al</strong> fue muy <strong>al</strong>ta. Quizá por eso, sujefe, un entrañable amigo, <strong>de</strong>cidió pasar el testigo. Rondaba el inicio <strong>de</strong>l año 2000. Casu<strong>al</strong>ida<strong>de</strong>s <strong>de</strong> lavida me llevaron a optar a ese puesto. Yo era un hombre <strong>de</strong> investigación. Me había curtido como ofici<strong>al</strong> einvestigador en otras li<strong>de</strong>s. Acababa, como quien dice, <strong>de</strong> llegar a Madrid. Mi misión era otra, el blanqueo<strong>de</strong> capit<strong>al</strong>es. Recién empezaba en ese mundo y <strong>de</strong> repente la suerte llamó a mi puerta. Y digo suerte conla perspectiva <strong>de</strong> los años, entonces era el reto. ¿Qué sabía yo <strong>de</strong> informática? Un aficionado, <strong>de</strong> esos quese i<strong>de</strong>ntifican en las entrevistas con el triste “conocimientos a nivel usuario”. Pero los retos me atraen y laignorancia es muy atrevida. Y <strong>al</strong>lí me lancé, a intentar hacerlo lo mejor que supiera.Lo primero que hice, lo que hace todo jefe para que se note que ha llegado, fue mover la mesa y cambiar elnombre <strong>de</strong> la unidad. Nos llamaríamos Grupo <strong>de</strong> Delitos Telemáticos. Hoy se mantiene el nombre, lo quesignifica que continúo en el puesto. Después, seguir los consejos <strong>de</strong> mi antecesor, que fueron pocos peroprecisos: Léete este libro que te permitirá conocer los conceptos básicos <strong>de</strong> re<strong>de</strong>s, procura estar <strong>al</strong> día enlas innovaciones que van apareciendo y déjate ayudar por todos aquellos que nos quieren y nos v<strong>al</strong>oran.Y así empecé las interminables horas <strong>de</strong> estudio con el mo<strong>de</strong>lo <strong>de</strong> protocolos OSI, con los TCP/IP, lastipologías <strong>de</strong> re<strong>de</strong>s,… hasta que entendí mínimamente, o eso creía yo, qué era eso <strong>de</strong> la red <strong>de</strong> re<strong>de</strong>s,Internet, y los distintos servicios. Los siguientes pasos fueron buscar las fuentes para mantenermeactu<strong>al</strong>izado en mis escasos conocimientos y a ser posible incrementarlos, y conocer a todos aquellos quepudieran y quisieran apoyar a los “ciberpolicías” <strong>de</strong> la Guardia Civil. Y ahí entrasteis vosotros, <strong>Hispasec</strong> con<strong>Una</strong>-<strong>al</strong>-día. Des<strong>de</strong> entonces me habéis acompañado en mi viaje <strong>de</strong> dirección <strong>de</strong> un grupo <strong>de</strong> investigacióninformática.H: ¿Cuál fue tu primer contacto con <strong>Hispasec</strong>?JS: Por aquel entonces, <strong>de</strong>s<strong>de</strong> mi ignorancia (que aún mantengo) <strong>al</strong>ucinaba con <strong>Una</strong>-<strong>al</strong>-día. ¿Cómo esposible que <strong>al</strong>guien escriba todos los días sobre un tema tan técnico? ¿Habrá tantas noticias? Hoy sigo<strong>al</strong>ucinando, no por el hecho <strong>de</strong> escribir todos los días, que con la cultura <strong>de</strong> la web 2.0, es <strong>al</strong>go ya superado,sino con la c<strong>al</strong>idad técnica y claridad <strong>de</strong> los artículos. La lectura diaria <strong>de</strong> vuestras noticias no hacía másque incrementar mi admiración por vosotros. Y para colmo, otros foros <strong>de</strong>l mundo <strong>de</strong> la <strong>seguridad</strong> TIC,repetían vuestras noticias.Por el papel que me ha tocado jugar, mi ámbito <strong>de</strong> relaciones en este mundillo se iba ampliando y mipresencia era reclamada en distintos foros que <strong>de</strong>seaban conocer la respuesta que daba la Guardia Civilfrente <strong>al</strong> problema <strong>de</strong> la <strong>de</strong>lincuencia informática. Y <strong>al</strong>lí don<strong>de</strong> acudía, cuanto más técnico era el encuentro,<strong>al</strong>lí encontraba referencias a <strong>Hispasec</strong>. Hasta en Sudamérica se os conocía. Hubo un momento, <strong>de</strong> verdad,que me planteé como objetivo táctico el contactar con vosotros. Y si antes lo pienso, antes surge la ocasión.Un buen día, <strong>al</strong>lí por el año 2003, se recibe en la cuenta <strong>de</strong> correo <strong>de</strong>l Grupo <strong>de</strong> Delitos Telemáticos unmensaje informando sobre un presunto ataque a los servidores <strong>de</strong> <strong>Hispasec</strong>. En cuanto me pasaron elmail, le di la máxima prioridad. Esa era mi brecha y <strong>de</strong>bía aprovecharla. Y para Málaga que me fui. Esosí, acompañado <strong>de</strong> mi hombre más técnico y temeroso <strong>de</strong> encontrarme y enfrentarme con “gurús” <strong>de</strong> la<strong>seguridad</strong> <strong>de</strong> la información. Y hete aquí que encontré sapiencia y sencillez. Por suerte, aquella <strong>de</strong>nunciadio lugar a una sencilla investigación con fin<strong>al</strong> feliz. Pero lo más importante fue el camino abierto. Des<strong>de</strong>entonces nos hemos reunido varias veces, hemos coincidido en encuentros o jornadas, <strong>al</strong>gunas organizadaspor nosotros, sigo leyendo y aprendiendo <strong>de</strong> vuestro <strong>Una</strong>-<strong>al</strong>-día y los boletines mensu<strong>al</strong>es sobre frau<strong>de</strong>bancario, hemos investigado juntos y, sobre todo, lo más importante, cuando os hemos llamado, <strong>al</strong>líestabais.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 - 67
Ya habéis visto que yo soy pedigüeño por natur<strong>al</strong>eza. Para ser más claros, que no me corto a la hora <strong>de</strong>pedir. Pido apoyo para el Grupo <strong>de</strong> Delitos Telemáticos, para su trabajo. Somos pocos y nuestro saber eslimitado. Somos Guardias Civiles, investigadores formados en el campo <strong>de</strong> la informática, y no informáticosformados en el campo <strong>de</strong> la investigación. Y eso tiene sus contrapartidas. Nuestras limitaciones técnicas.Y contra eso, siguiendo el consejo <strong>de</strong> mi antecesor, no tenemos otra solución que apoyarnos en los amigos,en gente como vosotros.H: ¿Cuáles han sido vuestros éxitos más importantes?JS: Relacionados con los <strong>de</strong>litos y <strong>al</strong> margen <strong>de</strong> la pornografía infantil, recuerdo éxitos como porejemplo:En 2003, la operación Piolín. I<strong>de</strong>ntificación y <strong>de</strong>tención <strong>de</strong> una persona que tras la inst<strong>al</strong>ación <strong>de</strong> programas<strong>de</strong>l tipo troyano, obtuvo contraseñas ajenas para acce<strong>de</strong>r <strong>al</strong> servicio <strong>de</strong> banca electrónica. <strong>Una</strong> vez en supo<strong>de</strong>r, re<strong>al</strong>izó distintas transferencias bancarias hasta paraísos fisc<strong>al</strong>es.En 2003, la operación Ronnie. Esclarecimiento <strong>de</strong>l mayor ataque documentado <strong>de</strong> Denegación <strong>de</strong> ServiciosDistribuidos (DDoS) a distintos servidores <strong>de</strong> Internet, que afectó a más <strong>de</strong>l 30% <strong>de</strong> los internautasespañoles y a varios <strong>de</strong> los proveedores <strong>de</strong> Internet más importantes <strong>de</strong> España.En 2003 también, la operación Clon. Detención <strong>de</strong> una persona presuntamente implicada en la creación ydifusión <strong>de</strong> un virus informático (tipo troyano) que podría haber afectado a más <strong>de</strong> 100.000 usuarios <strong>de</strong>Internet en lengua castellana. Se trata <strong>de</strong>l famoso “cabronator”.Ya en 2005, la operación Pampa. Desarticulación <strong>de</strong> una red internacion<strong>al</strong> <strong>de</strong> <strong>de</strong>lincuentes <strong>de</strong>dicados <strong>al</strong>frau<strong>de</strong> <strong>de</strong>l “phishing”, cuyo responsable se ubicaba en Argentina, logrando la colaboración internacion<strong>al</strong>.H: ¿Cómo ves el futuro?JS: Sabéis, <strong>al</strong> igu<strong>al</strong> que yo, que el escenario <strong>de</strong> la <strong>de</strong>lincuencia informática es cada vez más complejo,y que ha <strong>de</strong>jado <strong>de</strong> ser un problema <strong>de</strong> la administración para ser un problema <strong>de</strong> todos. Aquellos quetenéis un papel importante en esta sociedad <strong>de</strong> la información, tenéis un compromiso soci<strong>al</strong> para conella. Debemos arrimar el hombro para lograr un Internet más seguro. Por eso, estoy seguro que conlo insistente que soy, probablemente, en <strong>al</strong>gún momento, podéis haber pensado que hacíais esto o lootro para el pesado <strong>de</strong> Juan, o para los <strong>de</strong>l Grupo <strong>de</strong> Delitos Telemáticos. Por eso quiero reivindicar que<strong>Hispasec</strong>, <strong>de</strong>s<strong>de</strong> su esfuerzo <strong>de</strong> informarnos y ponernos <strong>al</strong> día frente a los problemas <strong>de</strong> <strong>seguridad</strong>, y<strong>de</strong>s<strong>de</strong> el apoyo que ha prestado numerosas veces <strong>al</strong> Grupo <strong>de</strong> Delitos Telemáticos <strong>de</strong> la Guardia Civil, noha hecho más que asumir ese compromiso <strong>de</strong> responsabilidad soci<strong>al</strong>. Como representante <strong>de</strong> una unidadpolici<strong>al</strong> comprometida directamente con la <strong>seguridad</strong> <strong>de</strong> la sociedad <strong>de</strong> la información, gracias, y como<strong>de</strong>stinatario muchas veces directo <strong>de</strong> esa ayuda, mil gracias más. Y por favor, no abandonéis el camino.Sin vosotros nos sentiríamos más inseguros. Se me olvidaba, ¡Felicida<strong>de</strong>s <strong>Una</strong>-<strong>al</strong>-día! Por el bien <strong>de</strong> todos,que cumplas muchos más.68<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2000 -
7D13721año 2001Capítulo311111010001
noticia en directo durante los informativos<strong>de</strong> la tar<strong>de</strong>, que no se <strong>de</strong>tiene en ningunaca<strong>de</strong>na según avanza la información hastaenlazar con los <strong>de</strong> la noche. Se recibenprimero las imágenes <strong>de</strong> una <strong>de</strong> las torresardiendo, existe mucha confusión. Minutosmás tar<strong>de</strong> se asiste en directo a la colisión <strong>de</strong>lavión comerci<strong>al</strong> con la segunda torre. Ambasse vienen abajo durante la tar<strong>de</strong>, entre humo,llamas e impactantes imágenes <strong>de</strong> sombrascayendo <strong>de</strong>s<strong>de</strong> las ventanas. La página web<strong>de</strong> la CNN, completamente saturada a visitas mientras se producen los atentados, <strong>de</strong>be<strong>al</strong>igerar la web <strong>de</strong> todo contenido superfluo para que cargue más rápidamente ante laimportante <strong>de</strong>manda. La red Al Qaeda y su lí<strong>de</strong>r Osama bin La<strong>de</strong>n, se atribuirían la autoría<strong>de</strong> los ataques. La <strong>seguridad</strong> a todos los niveles se convertiría en el asunto prioritario paragobiernos, instituciones y empresas privadas. El mundo parece mucho más vulnerable, se<strong>de</strong>safía el po<strong>de</strong>r <strong>de</strong>l país más po<strong>de</strong>roso. Nada vuelve a ser igu<strong>al</strong>, comienza la lucha a granesc<strong>al</strong>a contra el terrorismo mundi<strong>al</strong>.Poco <strong>de</strong>spués <strong>de</strong> los ataques a las Torres Gemelas, se <strong>de</strong>tectan los primeras cartas quecontienen antrhax, dirigidas a las redacciones <strong>de</strong> noticias <strong>de</strong> las norteamericanas ABCNews, CBS News, NBC News, el New York Post y el Nation<strong>al</strong> Enquirer. Morirían dos personasy otras 17 se infectarían.__En septiembre, Google obtiene la patente <strong>de</strong> su PageRank, el <strong>al</strong>goritmo <strong>de</strong> búsqueda <strong>de</strong> su motor, elcorazón <strong>de</strong> su éxito. En febrero había comprado Deja News (archivo <strong>de</strong> grupos Usenet), comenzando asíun largo histori<strong>al</strong> <strong>de</strong> adquisiciones empresari<strong>al</strong>es.__Se difun<strong>de</strong> en spam y por importantes medios <strong>de</strong> comunicación el bulo <strong>de</strong> Nostradamus. <strong>Una</strong> f<strong>al</strong>saprofecía atribuida a Nostradamus, en la que supuestamente predice el ataque a Estados Unidos y elcomienzo <strong>de</strong> la tercera guerra mundi<strong>al</strong>. Reputados periodistas se hacen eco <strong>de</strong> la cita sin constatar suveracidad, aun contando con un error garraf<strong>al</strong>. Está datada en 1654 y Nostradamus murió en 1566. Sedifun<strong>de</strong>n varias versiones. Hace referencia a una supuesta predicción <strong>de</strong> Nostradamus en 1654 don<strong>de</strong> seanuncia que la tercera guerra mundi<strong>al</strong> comenzará con la caída <strong>de</strong> “dos hermanos”, imagen que recuerda <strong>al</strong>a <strong>de</strong>strucción <strong>de</strong> las torres gemelas <strong>de</strong>l World Tra<strong>de</strong> Center. Otras versiones <strong>de</strong>l hoax van aún más lejos,incluyendo referencias a los “pájaros <strong>de</strong> hierro” o indicando el día y mes <strong>de</strong>l suceso. Otro bulo muy popularcorrespon<strong>de</strong> <strong>al</strong> número <strong>de</strong> vuelo <strong>de</strong> los aviones implicados en el ataque. Se difun<strong>de</strong> por email que uno<strong>de</strong> sus códigos <strong>de</strong> vuelo es Q33NY, que codificado con el tipo <strong>de</strong> letra Wingdings resulta en .Muchos, tras comprobar que es cierto, lo toman como una profecía, cuando en re<strong>al</strong>idad el número nocorrespon<strong>de</strong> a ningún avión estrellado.__Nintendo lanza GameCube. La consola más pequeña (y barata) <strong>de</strong>l momento.Cuesta unos 200 dólares. Su CPU corre a 485 Mhz y cuenta con 24 megas <strong>de</strong>RAM.__El 7 <strong>de</strong> octubre empieza la invasión <strong>de</strong> Afganistán por parte <strong>de</strong> EstadosUnidos y sus <strong>al</strong>iados.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 71
__En octubre aparecen casi simultanemante el primer iPod y Windows XP. El primer iPod (que luegopasaría a llamarse iPod Classic) venía con la rueda mecánica, no con la táctil que le haría popular dosaños <strong>de</strong>spués. Su capacidad es <strong>de</strong> 5.10 gigas y aguanta sólo 10 horas <strong>de</strong> audio. El primero con la pant<strong>al</strong>la encolor se fabricaría en 2004. En 2007, la versión más avanzada <strong>de</strong> iPod, el iPod Touch, sería completamentetáctil, y su batería soportaría 22 horas <strong>de</strong> audio y hasta 32 gigabytes <strong>de</strong> capacidad. Supuso una revoluciónen el mercado <strong>de</strong> los dispositivos <strong>de</strong> audio portátiles, y ha resultado uno <strong>de</strong> los productos <strong>de</strong> más éxitopara Apple.Nace Windows XP, el que sería el sistema operativo más exitoso<strong>de</strong> Microsoft hasta la fecha. Es here<strong>de</strong>ro directo <strong>de</strong> la filosofía NT yWindows 2000, arrastrando por fin para el entorno doméstico unabuen parte <strong>de</strong> sus mejoras con respecto a la <strong>seguridad</strong>. Trivi<strong>al</strong>ida<strong>de</strong>scomo el fondo <strong>de</strong> pant<strong>al</strong>la, el aspecto casi infantil, la necesidad<strong>de</strong> “activar” el producto (una apuesta por la eliminación <strong>de</strong> lapiratería) incomoda a sus <strong>de</strong>tractores. XP supone una ruptura conla filosofía anterior <strong>de</strong> los Windows 9x y Me, en los que no existía posibilidad <strong>de</strong> asegurar elsistema. XP es multiusuario, soporta NTFS, cifrado <strong>de</strong> datos, los servicios se ejecutan bajocuentas más limitadas, las contraseñas nulas no permiten a usuarios externos entrar porla red, mejoras en la gestión <strong>de</strong> versiones <strong>de</strong> librerías, se introduce Authentico<strong>de</strong>... sinembargo son pocos los que aprovechan estas ventajas y utilizan el sistema en permanentemodo administrador, heredando los problemas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> sus pre<strong>de</strong>cesores. XPmejoraría <strong>de</strong> forma sustanci<strong>al</strong> con el Service Pack 2 en 2004, tanto en <strong>seguridad</strong> comoestabilidad. Paradójicamente y a pesar <strong>de</strong> su rechazo inici<strong>al</strong>, se convertiría en el princip<strong>al</strong>problema para la propia Microsoft cuando intentara introducir en 2007 su nuevo sistemaoperativo Windows Vista. XP se mantiene en el mercado 6 años, mucho más <strong>de</strong> lo queen un principio se esperaba (Vista <strong>de</strong>bía estar listo para 2004-2005) y los usuarios (y elm<strong>al</strong>ware) se resistirían a abandonarlo.__Se producen los cacerolazos argentinos. Forman parte <strong>de</strong> un est<strong>al</strong>lido popular que causa, entreotros efectos, la renuncia <strong>de</strong>l presi<strong>de</strong>nte Fernando <strong>de</strong> la Rúa, ante una agudísima recesión económica.Argentiza <strong>al</strong>canza entre 2001 y 2002 cifras récord <strong>de</strong> pobreza (53%) y <strong>de</strong> paro (20%). Se producen saqueosa tiendas y supermercados y se <strong>de</strong>clara el estado <strong>de</strong> sitio en todo el país. Renuncia el ministro <strong>de</strong> economía<strong>de</strong> Argentina Domingo Cav<strong>al</strong>lo, el presi<strong>de</strong>nte y las revueltas se s<strong>al</strong>dan con <strong>al</strong>re<strong>de</strong>dor <strong>de</strong> 20 manifestantesmuertos.__India se convierte en la segunda nación en rebasar los mil millones <strong>de</strong> habitantes. La primera fueChina en 1979.Seguridad Informática__En enero se <strong>de</strong>scubre Ramen, un gusano para Linux bastante activo. Afecta a sistemasRedHat 6.2 y RedHat 7.0 aprovechándose <strong>de</strong> vulnerabilida<strong>de</strong>s conocidas (y con parches)en los servicios rpc, wuftp o LPRng. En abril se <strong>de</strong>tectaría también un nuevo gusano,llamado Adore, que aprovechándose <strong>de</strong> las vulnerabilida<strong>de</strong>s <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> los sistemas operativos <strong>de</strong>software libre infectaría a sistemas Linux.72<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
__Hotmail presenta graves <strong>de</strong>ficiencias en la <strong>de</strong>tección <strong>de</strong> virus. McAfee, el motor antivirus con quecuenta el sistema <strong>de</strong> webmail <strong>de</strong> Microsoft, llevaba 6 meses sin actu<strong>al</strong>izar sus firmas. Cientos <strong>de</strong> muestras<strong>de</strong> m<strong>al</strong>ware quedan potenci<strong>al</strong>mente in<strong>de</strong>tectadas. McAfee culpa a Microsoft <strong>de</strong> no mostrar interés enla actu<strong>al</strong>ización. La relación entre el antivirus y Hotmail se va <strong>de</strong>gradando hasta que a fin<strong>al</strong>es <strong>de</strong> 2004,Microsoft optaría por usar Trend Micro en Hotmail, y prescindir <strong>de</strong> McAfee.__En febrero <strong>de</strong> 2001, <strong>Hispasec</strong> inaugura su nuevo servicio <strong>de</strong> <strong>de</strong>tección <strong>de</strong> virus on-linegracias a un acuerdo con la firma antivirus Trend Micro. Este nuevo servicio gratuito permite re<strong>al</strong>izar elanálisis, la <strong>de</strong>tección y la <strong>de</strong>sinfección <strong>de</strong> los virus directamente <strong>de</strong>s<strong>de</strong> una página web. Se acce<strong>de</strong> a través<strong>de</strong> la dirección http://www.hispasec.com/housec<strong>al</strong>l. Se visu<strong>al</strong>izará una ventana con el árbol <strong>de</strong> directorios<strong>de</strong> las unida<strong>de</strong>s <strong>de</strong>l sistema <strong>de</strong>l usuario, momento en que se pue<strong>de</strong>n seleccionar las unida<strong>de</strong>s o directoriosque se <strong>de</strong>sean an<strong>al</strong>izar.__El famoso gusano Anna Kournikova se propaga por correo en los Windows<strong>de</strong> todo el mundo. Camuflado como una foto <strong>de</strong> la conocida tenista AnnaKournikova, promete enseñarla <strong>de</strong>snuda. Miles <strong>de</strong> usuarios no dudan en ejecutarel archivo y quedan así infectados. Tiene varios <strong>al</strong>ias, I-Worm/Lee.O o KALAMAR.Se v<strong>al</strong>e <strong>de</strong> Outlook y Outlook Express para reproducirse. El mensaje incluye unarchivo adjunto, con el nombre “AnnaKournikova.jpg.vbs”, que <strong>de</strong>pendiendo <strong>de</strong>la configuración <strong>de</strong>l sistema podrá aparecer únicamente como una imagen jpg, loque confun<strong>de</strong> a los usuarios para que abran la f<strong>al</strong>sa imagen. Es consi<strong>de</strong>rado unamancha en el expediente <strong>de</strong> <strong>de</strong>tección <strong>de</strong> antivirus, puesto que fue “programado” con una herramienta <strong>de</strong>creación vírica conocida, a golpe <strong>de</strong> ratón, con lo que su <strong>de</strong>tección <strong>de</strong>bía resultar teóricamente sencilla, y<strong>de</strong>s<strong>de</strong> luego, a tenor <strong>de</strong> los niveles <strong>de</strong> infección que consiguió, no fue así.En febrero Phil Zimmerman abandona NAi. En un mensaje dirigido a todos los usuarios <strong>de</strong>PGP el mítico Phil Zimmerman (creador y <strong>de</strong>sarrollador <strong>de</strong>l extendido programa <strong>de</strong> cifradoPGP, consi<strong>de</strong>rado un luchador por las liberta<strong>de</strong>s <strong>al</strong> <strong>de</strong>safiar las leyes <strong>de</strong> exportación <strong>de</strong>materi<strong>al</strong> cirptográfico <strong>de</strong> Estados Unidos) anuncia su marcha <strong>de</strong> Network Associates. Elmensaje <strong>de</strong> Zimmerman comienza recordando la compra <strong>de</strong> PGP Inc. por NAi a fin<strong>al</strong>es <strong>de</strong>1997. Durante esos tres años Phil permanece en la compañía para proporcionar orientacióntécnica para el <strong>de</strong>sarrollo <strong>de</strong> PGP y asegurar la integridad criptográfica <strong>de</strong>l producto. Peroanuncia que la visión <strong>de</strong>l futuro <strong>de</strong> PGP que tiene NAi difiere <strong>de</strong> la suya por lo que <strong>de</strong>ci<strong>de</strong>cambiar a otros proyectos más acor<strong>de</strong>s con sus objetivos <strong>de</strong> proteger la privacidad <strong>de</strong>las personas. Hasta la versión 6.5.8 la <strong>seguridad</strong> quedaba garantizada en PGP con lapublicación completa <strong>de</strong>l código fuente. Pero la entrada <strong>de</strong> un nuevo administrador enla división PGP Security a fin<strong>al</strong>es <strong>de</strong>l 2000 cambiaría el rumbo marcado hasta el momento,con su <strong>de</strong>cisión <strong>de</strong> reducir la cantidad <strong>de</strong> código publicado. A pesar <strong>de</strong> ello, Phil garantizaque el <strong>de</strong>sarrollo se ha mantenido bajo su control y se encuentra libre <strong>de</strong> puertas traseras.Zimmerman anunciaría su paso a Hush Communications, <strong>de</strong>sarrolladores <strong>de</strong> HushMail paraayudarles en la implementación <strong>de</strong>l estándar OpenPGP en sus <strong>de</strong>sarrollos futuros. De igu<strong>al</strong>forma también colaborará con Veridis para la creación <strong>de</strong> nuevos productos OpenPGP,incluido software para autorida<strong>de</strong>s certificadoras.__Aparece Winux, primer virus para ejecutables <strong>de</strong> Windows y Linux. Aunque no se <strong>de</strong>tectarían casos<strong>de</strong> infecciones significativas. Se trata <strong>de</strong> una prueba <strong>de</strong> concepto. También conocido como Lindose, esun virus escrito en ensamblador que infecta ejecutables Windows (PE) y Linux (ELF) por acción directa<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 73
(no queda resi<strong>de</strong>nte en memoria). Su única acción consiste en buscar ficheros con estos formatos en eldirectorio actu<strong>al</strong> y superiores en el caso <strong>de</strong> Windows, para proce<strong>de</strong>r a su infección. No posee ningún tipo<strong>de</strong> efecto <strong>de</strong>structivo. En el interior <strong>de</strong>l virus se pue<strong>de</strong> encontrar una ca<strong>de</strong>na con el apodo <strong>de</strong>l autor, Benny,y con referencias a 29A, el famoso grupo <strong>de</strong> creadores <strong>de</strong> virus conocido por sus innovaciones en la escenavírica._ VeriSign, la empresa lí<strong>de</strong>r en emisión <strong>de</strong> certificados para Internet,protagoniza en marzo uno <strong>de</strong> los fiascos más importantes <strong>de</strong> su historiaque compromete <strong>de</strong> lleno la <strong>seguridad</strong> <strong>de</strong> los usuarios <strong>de</strong> Windows. Emitendos certificados a un impostor que se hizo pasar por trabajador <strong>de</strong> Microsoft.Esto permitiría firmar virus y cu<strong>al</strong>quier software m<strong>al</strong>icioso como si fueranaplicaciones origin<strong>al</strong>es <strong>de</strong> Microsoft. A efectos prácticos y en líneas gener<strong>al</strong>es, el trabajo <strong>de</strong> VeriSign(raíz <strong>de</strong>l problema) consiste en hacer las veces <strong>de</strong> notario mediante la emisión <strong>de</strong> certificados digit<strong>al</strong>es(autoridad <strong>de</strong> certificación). Las empresas que quieren certificar la autenticidad <strong>de</strong> sus aplicaciones antelos usuarios solicitan a VeriSign un certificado con el que firmar digit<strong>al</strong>mente su código. A<strong>de</strong>más <strong>de</strong> exigirel pago correspondiente, VeriSign tiene un protocolo para verificar la i<strong>de</strong>ntidad <strong>de</strong>l solicitante, es <strong>de</strong>cir, laempresa o persona con los privilegios a<strong>de</strong>cuados a nombre <strong>de</strong> la que se emite el certificado. El protocolof<strong>al</strong>la y los certificados pasan por válidos. McAfee y Symantec s<strong>al</strong>tan a la arena para anunciar que susantivirus cuentan con actu<strong>al</strong>izaciones para <strong>de</strong>tectar los certificados fraudulentos, como si <strong>de</strong> un virus setratara. Los certificados serían revocados en una posterior actu<strong>al</strong>ización <strong>de</strong> Microsoft. Todavía pue<strong>de</strong>n servistos en el respositorios <strong>de</strong> certificados revocados <strong>de</strong> muchos Windows XP.__ Se publica la primera metodología <strong>de</strong> libre uso para la verificación <strong>de</strong> la <strong>seguridad</strong>.OSSTMM (Open Source Security Testing Methodology Manu<strong>al</strong>). Se trata <strong>de</strong>un manu<strong>al</strong> dirigido a la comunidad profesion<strong>al</strong> <strong>de</strong>dicada a la <strong>seguridad</strong> informática, que<strong>de</strong>scribe el conjunto mínimo <strong>de</strong> pruebas que <strong>de</strong>ben re<strong>al</strong>izarse en un test <strong>de</strong> intrusión,“hacking ético” y análisis <strong>de</strong> la <strong>seguridad</strong> <strong>de</strong> la información. El objetivo es ofrecer unmarco estandarizado para la re<strong>al</strong>ización <strong>de</strong> las v<strong>al</strong>oraciones <strong>de</strong> <strong>seguridad</strong>.Para el <strong>de</strong>sarrollo <strong>de</strong>l manu<strong>al</strong> se han tenido presente diversas normativas leg<strong>al</strong>es (entre las que se incluyela ley española <strong>de</strong> protección <strong>de</strong> datos), <strong>de</strong> forma que también pue<strong>de</strong> ser utilizada en la ev<strong>al</strong>uación <strong>de</strong>lcumplimiento <strong>de</strong> las mismas. Se trata <strong>de</strong> un proyecto abierto, distribuido bajo licencia GNU. Se distribuyeen inglés y en formato HTML, PDF y PS. En su primera época, el Open-Source Security TestingMethodology Manu<strong>al</strong> se <strong>al</strong>oja en el mítico dominio http://www.i<strong>de</strong>ahamster.org. El proyectoI<strong>de</strong>ahamster publicaría también en octubre <strong>de</strong> ese mismo año un manu<strong>al</strong> con una metodología para laprogramación segura <strong>de</strong> aplicaciones para Internet. La metodología para la programación segura es unsuplemento <strong>de</strong> la metodología <strong>de</strong> <strong>seguridad</strong> OSSTMM.__Se <strong>de</strong>scubre en mayo W32/Hello, primer gusano que se distribuye por MSN Messenger e infecta amáquinas Windows.__En mayo, y tras varios meses <strong>de</strong>s<strong>de</strong> su <strong>de</strong>scubrimiento, Magistr sigue activo y el número <strong>de</strong> infeccionessigue aumentando. El polimorfismo <strong>de</strong> este virus hace mella en <strong>al</strong>gunas soluciones antivirus. La ingenieríasoci<strong>al</strong> utilizada por el autor <strong>de</strong>l espécimen y el <strong>de</strong>scuido <strong>de</strong> los usuarios hace el resto. Magistr contienerutinas para borrar los discos duros, la CMOS y la Flash BIOS. Tendría más versiones.Aunque lleva muchos meses circulando, el bulo <strong>de</strong>l archivo Sulfnbk.exe se vuelvetremendamente popular. El archivo está presente en todos los Windows 98 y Me <strong>de</strong>l74<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
momento, y correspon<strong>de</strong> a una aplicación legítima<strong>de</strong>l sistema. A través <strong>de</strong>l correo los propios usuariosreenvían constantemente una <strong>al</strong>erta que indica quequien posea ese archivo en su sistema, está infectadopor un virus. Los usuarios reciben un mensaje don<strong>de</strong>se advierte <strong>de</strong> un supuesto nuevo virus y facilitaa<strong>de</strong>más unos sencillos pasos para po<strong>de</strong>r comprobar si estamos infectados. El métodoconsiste en buscar el fichero sulfnbk.exe en el sistema, y eliminarlo en caso <strong>de</strong> encontrarlopues supondría una infección. No son pocos los que reaccionaban con pánico ante lasupuesta evi<strong>de</strong>ncia <strong>de</strong> un virus en su sistema. Algunos formateaban completamente eldisco duro. Lógicamente, <strong>al</strong> comprobar que están infectados y que las intrucciones sonprecisas, <strong>al</strong>ertan a sus amigos por email y la ca<strong>de</strong>na se re<strong>al</strong>imenta. Afortunadamente, elimpacto es mínimo. Se trata <strong>de</strong> una utilidad <strong>de</strong> Windows que permite s<strong>al</strong>var y restaurar losnombres largos <strong>de</strong> los ficheros si han sido reemplazados por el formato corto compatiblecon MS-DOS. Poco <strong>de</strong>spués el bulo se repetiría con el archivo jdbgmgr.exe, cuyo iconocorrespondía a un osito <strong>de</strong> peluche. Se baraja la posibilidad <strong>de</strong> que el origen <strong>de</strong>l bulo nosea intencionado, <strong>al</strong>gunas hipótesis apuntan a que <strong>al</strong>guien recibió un mensaje don<strong>de</strong> seadjuntaba el fichero sulfnbk.exe infectado con el gusano Magistr. El antivirus <strong>de</strong>l usuariopudo <strong>al</strong>ertarlo, e interpretó que existía un gusano que se distribuía con este nombre <strong>de</strong>fichero, <strong>de</strong> ahí que comenzara a <strong>al</strong>ertar a sus contactos más próximos.__El gusano sadmind/IIS, que aprovecha vulnerabilida<strong>de</strong>s ya conocidas y parcheadas para reproducirsey modificar páginas web, afecta a versiones sin actu<strong>al</strong>izar <strong>de</strong> Microsoft IIS y <strong>de</strong> Solaris hasta Solaris 7(incluida). Este gusano explota una vulnerabilidad en los sistemas Solaris para posteriormente inst<strong>al</strong>ar unsoftware capaz <strong>de</strong> atacar servidores web con Microsoft Internet Information Server.__En verano Microsoft anuncia que no publicará el Service Pack 7 para el sistema operativo WindowsNT.__<strong>Hispasec</strong> Sistemas y el Instituto para la Seguridad en Internet (ISI) comienzan a organizarcursos presenci<strong>al</strong>es, eminentemente prácticos, dirigidos a todos aquellos administradores <strong>de</strong> sistemas y<strong>de</strong>sarrolladores <strong>de</strong> entornos Microsoft.__La Agencia <strong>de</strong> Seguridad Nacion<strong>al</strong> <strong>de</strong> los Estados Unidos pone a disposición <strong>de</strong> los usuarios<strong>de</strong> Windows 2000 una serie <strong>de</strong> directrices con el fin <strong>de</strong> facilitar una mejor administración <strong>de</strong>l sistemaoperativo <strong>de</strong> Microsoft. La documentación liberada consta <strong>de</strong> 5 plantillas para usar con el editor <strong>de</strong>configuración <strong>de</strong> <strong>seguridad</strong>, más otras 17 plantillas que cubren diversos aspectos sobre la <strong>seguridad</strong> ensistemas operativos y tres documentos que tratan fundament<strong>al</strong>mente sobre <strong>seguridad</strong> en paquetes <strong>de</strong>software populares relacionados con Windows 2000.__En junio <strong>Hispasec</strong> proporciona un test mediante el que los usuarios podrán simular la llegada<strong>de</strong> un virus a su sistema a través <strong>de</strong>l correo electrónico. De esta manera, se podrá comprobar la reacción<strong>de</strong>l programa antivirus inst<strong>al</strong>ado en el or<strong>de</strong>nador. El test consiste en enviar un mensaje con el archivoEICAR como documento adjunto a la dirección <strong>de</strong> correo electrónico <strong>de</strong>l usuario y comprobar la reacción<strong>de</strong>l antivirus a su llegada.__ Aunque todavía no son muy usadas, en julio IBM presenta una herramienta <strong>de</strong> <strong>seguridad</strong> para re<strong>de</strong>sin<strong>al</strong>ámbricas. Se trata <strong>de</strong> la primera herramienta existente para la re<strong>al</strong>ización <strong>de</strong> auditorías y recopilación<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 75
<strong>de</strong> información relacionada con la <strong>seguridad</strong>, <strong>de</strong> forma automática, en las re<strong>de</strong>s in<strong>al</strong>ámbricas 802.11.Wireless Security Auditor es el prototipo <strong>de</strong> una aplicación que funciona en Linux y permite a losadministradores <strong>de</strong> red la loc<strong>al</strong>ización <strong>de</strong> la existencia <strong>de</strong> puntos <strong>de</strong> acceso vulnerables y evitar quesupongan una amenaza para la <strong>seguridad</strong>. En esos momentos solo se disponen <strong>de</strong> dos mecanismos <strong>de</strong><strong>seguridad</strong> existentes para las re<strong>de</strong>s in<strong>al</strong>ámbricas 802.11: una técnica <strong>de</strong> cifrado <strong>de</strong>nominada WiredEquiv<strong>al</strong>ent Privacy (WEP) y un <strong>al</strong>goritmo <strong>de</strong> autenticación <strong>de</strong>nominado Shared Key Authentication. TantoWEP como Shared Key son opcion<strong>al</strong>es y habitu<strong>al</strong>mente los puntos <strong>de</strong> conexión <strong>de</strong> las re<strong>de</strong>s in<strong>al</strong>ámbricasson distribuidos con ambas funciones <strong>de</strong>sactivadas. Poco <strong>de</strong>spués se <strong>de</strong>mostraría que el WEP era uncifrado débil e inútil.__En verano aparece SirCam un gusano <strong>de</strong> propagación masiva. Viaja adjunto en un e-mail con lasca<strong>de</strong>nas “Hola como estas ?” y “Nos vemos pronto, gracias” como primera y última línea <strong>de</strong>l cuerpo <strong>de</strong>lmensaje. Este gusano consigue una especi<strong>al</strong> relevancia en países <strong>de</strong> habla hispana, sin duda gracias a lautilización <strong>de</strong> frases en español, a<strong>de</strong>más <strong>de</strong>l inglés, para formar los mensajes en los que se adjunta.__ Es un verano negro en cuestión <strong>de</strong> virus <strong>de</strong> propagaciónmasiva. Aparece también Co<strong>de</strong> Red. Ataca a los servidores IIS noactu<strong>al</strong>izados. En los tres primeros días <strong>de</strong>spués <strong>de</strong> su <strong>de</strong>scubrimiento,ya se contabilizan más <strong>de</strong> cinco mil servidores infectados. Para atacarlos servidores utiliza el <strong>de</strong>sbordamiento <strong>de</strong> búfer existente en el filtroISAPI <strong>de</strong> Microsoft In<strong>de</strong>xing Service. Esta vulnerabilidad permite a unatacante remoto ejecutar código arbitrario en el servidor con privilegios<strong>de</strong> SYSTEM, lo que le facilita un control absoluto <strong>de</strong> la máquina. Laspáginas web en los servidores infectados son reemplazadas por unreconocible texto que perduraría en muchos servidores durante años.__En agosto aparecería el gusano “Co<strong>de</strong> Red II”. El parecido con la versión origin<strong>al</strong> es el mecanismo <strong>de</strong>propagación. <strong>Una</strong> <strong>de</strong> las características <strong>de</strong> esta nueva mutación es el abrir diversas puertas traseras en lamáquina infectada.__En agosto <strong>Hispasec</strong> <strong>de</strong>scubre OUTLOOK.PDFWorm, el primer gusano que se presenta en un archivoPDF (Portable Document Format). No es la única novedad: este espécimen se distribuye utilizandofunciones <strong>de</strong> Outlook nunca vistas antes en un gusano. Aunque es un virus <strong>de</strong> laboratorio que apenas ve l<strong>al</strong>uz, se trata <strong>de</strong> una importante semilla que pue<strong>de</strong> hacer proliferar este tipo <strong>de</strong> virus insertados en archivosPDF, un formato hasta ahora consi<strong>de</strong>rado seguro por los usuarios.__Microsoft presenta HFNETCHK una utilidad para los administradores <strong>de</strong> Windows que permite<strong>de</strong>terminar la presencia o ausencia <strong>de</strong> las diferentes actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong> en uno o variosor<strong>de</strong>nadores. Sería el germen <strong>de</strong> lo que posteriormente se conocería como Microsoft Baseline SecurityAn<strong>al</strong>yzer.__En septiembre, la comisión <strong>de</strong> la Unión Europea encargada <strong>de</strong> <strong>de</strong>terminar la existencia re<strong>al</strong> <strong>de</strong> Echelon,entrega su informe que indica la existencia <strong>de</strong> la red <strong>de</strong> espionaje. Tras las <strong>de</strong>nuncias <strong>de</strong> importantescompañías europeas, testimonios <strong>de</strong> ex-operarios <strong>de</strong> la red y rumores más que fundados, el parlamentoeuropeo <strong>de</strong>cidió fundar en 2000 una comisión para <strong>de</strong>terminar la existencia o no <strong>de</strong> Echelon, así comola participación <strong>de</strong>l Reino Unido en ella. El informe re<strong>al</strong>iza reveladoras aseveraciones: Echelon existey la privacidad es un <strong>de</strong>recho fundament<strong>al</strong>. También recomienda el uso <strong>de</strong> comunicaciones cifradas, atodos los niveles. Se llega incluso a afirmar la conveniencia <strong>de</strong> <strong>de</strong>sarrollar campañas <strong>de</strong> concienciacióninstitucion<strong>al</strong>es.76<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
__En septiembre, nimda campa a sus anchas por los sistemas Windows. Llega adjunto en un mensajecon el nombre <strong>de</strong> archivo “readme.exe”, o intenta <strong>de</strong>scargarse <strong>al</strong> visitar la página web <strong>de</strong> un servidorinfectado. Su enorme capacidad <strong>de</strong> propagación se <strong>de</strong>be a que infecta y se difun<strong>de</strong> aprovechando tantolas infecciones entre clientes (módulo readme.exe) cómo a través <strong>de</strong> servidores Web basados en InternetInformation Server (módulo Admin.dll). Entre otras características también <strong>de</strong>staca la compartición <strong>de</strong>la unidad C: en los sistemas infectados. A gran<strong>de</strong>s rasgos, nimda suma características <strong>de</strong> SirCam y Co<strong>de</strong>Red.__Virus <strong>de</strong> poca monta como WTC.EXE, <strong>al</strong>ias “Vote”, nunca habrían s<strong>al</strong>tado <strong>de</strong>s<strong>de</strong> <strong>al</strong>gunas casasantivirus a los medios <strong>de</strong> no ser por las referencias <strong>al</strong> World Tra<strong>de</strong> Center. Aunque sus efectos dañinosson muy anunciados, no se esperan infecciones significativas. “Vote” se covierte en objeto <strong>de</strong> discordiaentre las propias casas antivirus. Mientras que <strong>al</strong>gunas lo situan en las primeras horas como “In the wild”(distribución gener<strong>al</strong>izada), otras lo cat<strong>al</strong>ogan como un “hype” (exageración).__ Microsoft publica un polémico llamamiento a la comunidad profesion<strong>al</strong> <strong>de</strong>dicada a la <strong>seguridad</strong> paraque no se divulguen los errores <strong>de</strong>tectados en sus productos. El objetivo <strong>de</strong> la compañía es“no proporcionar información gratuita a los hackers para explotar las <strong>de</strong>bilida<strong>de</strong>s <strong>de</strong>l sistema”. En uncomunicado firmado por Scott Culp, responsable <strong>de</strong>l Microsoft Security Response Center se atribuye a la“anarquía informativa” existente en la actu<strong>al</strong>idad el éxito <strong>al</strong>canzado por los últimos gusanos: Co<strong>de</strong> Red,Lion, Sadmin y Nimda. Microsoft <strong>al</strong>ega: “Si bien la industria <strong>de</strong>be esforzarse en producir productos másseguros, no es re<strong>al</strong>ista esperar que seamos capaces nunca <strong>de</strong> <strong>al</strong>canzar la perfección. Todos los programasno trivi<strong>al</strong>es contienen bugs y los sistemas operativos mo<strong>de</strong>rnos son cu<strong>al</strong>quier cosa excepto trivi<strong>al</strong>es. Dehecho, se pue<strong>de</strong>n incluir entre las cosas más complejas que nunca haya re<strong>al</strong>izado la humanidad. Lasvulnerabilida<strong>de</strong>s <strong>de</strong> <strong>seguridad</strong> están aquí para quedarse”.__ Sony solicita a un programador experto que retire <strong>de</strong> Internet sus programasgratuitos para modificar los comportamientos y añadir nuevas funcion<strong>al</strong>ida<strong>de</strong>s<strong>al</strong> perro-robot Aibo. La <strong>de</strong>cisión <strong>de</strong> Sony provoca protestas en la comunidad <strong>de</strong>seguidores <strong>de</strong> Aibo que comienzan a retirar sus páginas webs <strong>de</strong>dicadas a estacibermascota, a<strong>de</strong>más <strong>de</strong> recomendar a los usuarios que <strong>de</strong>jen <strong>de</strong> comprarlo.__ Las actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong> específicas para los sistemas operativos <strong>de</strong> Microsoft en español ya notienen que esperar tanto. A fin<strong>al</strong> <strong>de</strong> año parece que Microsoft presenta mejoría en este aspecto. El ServicePack 2 para Internet Explorer 5.5 versión en español tiene un retraso <strong>de</strong> sólo 10 días respecto <strong>al</strong>a versión <strong>de</strong> Estados Unidos, mientras que el Service Pack 1 para SQL Server 2000 apenas los separan 3días, todo un récord en comparación con las semanas, incluso meses, <strong>de</strong> tiempos atrás._ En noviembre Hipasec lanza SANA. El Servicio <strong>de</strong> Análisis, Notificación y Alertas(SANA) es un completo sistema <strong>de</strong> información en tiempo re<strong>al</strong> <strong>de</strong>stinado a cubrir lasnecesida<strong>de</strong>s <strong>de</strong> empresas y profesion<strong>al</strong>es en materia <strong>de</strong> <strong>seguridad</strong> informática. SANAhace llegar la información más reciente que pueda afectar o ser <strong>de</strong> interés para el usuario,según el perfil que haya configurado. Utiliza distintos formatos <strong>de</strong> notificación, a través<strong>de</strong>l correo electrónico y mediante mensajes SMS a teléfonos móviles, un servicio <strong>de</strong> <strong>al</strong>ertasque trabaja 24 horas <strong>al</strong> día, 365 días <strong>al</strong> año y que sigue vigente._ En noviembre aparece BadTrans, que también tendría varias versiones. Se distribuyepor correo electrónico y es capaz <strong>de</strong> ejecutarse <strong>de</strong> forma automática en Outlook y Outlook Express contan sólo visu<strong>al</strong>izar un mensaje infectado. “BadTrans.B” explota una vulnerabilidad conocida <strong>de</strong> InternetExplorer que permite la ejecución automática <strong>de</strong> un binario adjunto en un mensaje <strong>de</strong> correo (.EML). Para<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 77
lograrlo modifica la cabecera MIME que hace referencia <strong>al</strong> archivo <strong>de</strong> forma que simula ser un formatoconfiable. Esto provoca que Internet Explorer lo abra sin preguntar <strong>al</strong> usuario.__Nace Passport .NET (que posteriormente sería Live), un servicio en línea que hace posible que puedautilizar una dirección <strong>de</strong> correo electrónico y una única contraseña para iniciar una sesión <strong>de</strong> forma seguraen cu<strong>al</strong>quier servicio o sitio web participante <strong>de</strong> Passport.__ En diciembre <strong>Hispasec</strong> <strong>de</strong>sarrolla una solución para los timos basados en números <strong>de</strong> tarificaciónadicion<strong>al</strong> 906. En el contexto <strong>de</strong> la Campaña Nacion<strong>al</strong> <strong>de</strong> Seguridad en la Red, inciada por la Asociación<strong>de</strong> Internautas, <strong>Hispasec</strong> presenta el <strong>de</strong>sarrollo <strong>de</strong> CheckDi<strong>al</strong>er, una solución contra el llamado “frau<strong>de</strong>906”. Cada día aumentan los sitios webs que anuncian el acceso a contenidos pornográficos <strong>de</strong> formagratuita, sin necesidad <strong>de</strong> re<strong>al</strong>izar pagos con tarjeta <strong>de</strong> crédito. Muchas <strong>de</strong> estas ofertas sólo pi<strong>de</strong>n <strong>al</strong>usuario que <strong>de</strong>scargue e inst<strong>al</strong>e un programa gratuito que le permitirá disfrutar <strong>de</strong> los contenidos. Lamayoría <strong>de</strong> los usuarios, bien arrastrados por publicidad engañosa, bien por no leer la letra pequeña quese escon<strong>de</strong> en estos programas, <strong>de</strong>sconocen que en re<strong>al</strong>idad están utilizando marcadores o “di<strong>al</strong>ers” queconectan a través <strong>de</strong> números 906 <strong>de</strong> tarificación especi<strong>al</strong> en España, en el mejor <strong>de</strong> los casos a 100pesetas (0, 60 euros) el minuto. CheckDi<strong>al</strong>er, es un programa para sistemas Windows que monitoriza lasconexiones que se re<strong>al</strong>izan a través <strong>de</strong> un mó<strong>de</strong>m (o RDSI). Su éxito perduraría hasta nuestros días, enpaíses en los que aún es habitu<strong>al</strong> la conexión por mó<strong>de</strong>m.__El servicio UPNP (Univers<strong>al</strong> Plug and Play) sufre <strong>de</strong> una grave vulnerabilidad en Windows XPque permite la ejecución remota <strong>de</strong> código. Aunque no sería aprovechada <strong>de</strong> forma masiva, un error muyparecido sentaría las bases para la nefasta propagación <strong>de</strong> Blaster y Sasser dos años <strong>de</strong>spués. El servicioUPNP (Univers<strong>al</strong> Plug and Play) es una ampliación <strong>de</strong>l ya conocido Plug and Play. Mientras que este últimopermite que Windows reconozca los dispositivos que están inst<strong>al</strong>ados directamente a nuestro or<strong>de</strong>nador,UPNP amplía esta funcion<strong>al</strong>idad a las re<strong>de</strong>s TCP/IP.<strong>Una</strong> <strong>al</strong> día13/02/2001 AnnaKournikova: ¿fracaso <strong>de</strong> la comunidad antivirus?El último virus <strong>de</strong> gran propagación, <strong>al</strong>ias “AnnaKournikova”, pone en entredicho la utilidad <strong>de</strong> muchas<strong>de</strong> las soluciones antivirus existentes en el mercado. El virus es el resultado <strong>de</strong> usar un kit <strong>de</strong> creaciónautomática, que permite diseñar gusanos sin necesidad <strong>de</strong> saber programar y que se conoce <strong>de</strong>s<strong>de</strong> agosto<strong>de</strong> 2000. Para colmo se ha contado con la “colaboración ciudadana”, ya que son muchos los usuarios quese han <strong>de</strong>jado engañar por prácticamente un “remake” <strong>de</strong>l archiconocido “ILOVEYOU”. A bote pronto sepue<strong>de</strong>n sacar <strong>al</strong>gunas conclusiones <strong>de</strong> este último brote vírico <strong>de</strong> esc<strong>al</strong>a mundi<strong>al</strong>:* La tan anunciada <strong>de</strong>tección heurística en las soluciones antivirus parece que queda en la mayoría <strong>de</strong> loscasos en simple publicidad, a juzgar por la propagación que ha conseguido <strong>al</strong>canzar este gusano.“AnnaKournikova” está creado con “Vbs Worms Generator”, un kit <strong>de</strong> creación automática <strong>de</strong>sarrollado porun argentino apodado [K]Alamar, que permite diseñar gusanos a golpe <strong>de</strong> ratón con tan sólo seleccionarciertas características en un menú <strong>de</strong> configuración.Según las últimas noticias, fue un joven holandés quién generó el “AnnaKournikova” aprovechando esta78<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
utilidad. El autor es lo <strong>de</strong> menos, lo peor es que provocar un caos mundi<strong>al</strong> está <strong>al</strong> <strong>al</strong>cance <strong>de</strong> cu<strong>al</strong>quieraque sepa manejar Windows. En estos momentos tenemos que “agra<strong>de</strong>cer” que el joven no pulsara en laopción <strong>de</strong> payload (efecto) dañino, ya que a juzgar por la propagación <strong>al</strong>canzada hubiera causado perdidasmultimillonarias entre empresas y usuarios.Esta utilidad está disponible en Internet <strong>de</strong>s<strong>de</strong> agosto <strong>de</strong>l año pasado y, como es norm<strong>al</strong>, todos los gusanosgenerados tienen mucho código en común, lo que hace trivi<strong>al</strong> que se pueda <strong>de</strong>tectar cu<strong>al</strong>quier versiónque produzca. En el caso concreto <strong>de</strong> “AnnaKournikova”, el <strong>al</strong>goritmo <strong>de</strong> <strong>de</strong>scrifrado que pue<strong>de</strong> verse asimple vista es exactamente el mismo, línea por línea, que el <strong>de</strong> gusanos reconocidos hace meses, con laúnica diferencia en el nombre <strong>de</strong> las variables. No se entien<strong>de</strong> pues que este gusano haya podido infectarsistemas que contaran con un antivirus, a no ser que la má simple <strong>de</strong> las heurísticas brille por su ausenciaen dichas soluciones.A continuación, se presentan los resultados <strong>de</strong> un test llevado a cabo por <strong>Hispasec</strong> en relación a la eficacia<strong>de</strong> los motores antivirus en el caso <strong>de</strong>l gusano “AnnaKournikova”, según po<strong>de</strong>r <strong>de</strong> <strong>de</strong>tección/heurísticaantes <strong>de</strong> que éste s<strong>al</strong>iera a la luz. En el grupo <strong>de</strong> los aprobados se encuentran los antivirus que <strong>de</strong>tectaronel virus <strong>de</strong>s<strong>de</strong> el primer momento sin necesidad <strong>de</strong> una actu<strong>al</strong>ización adicion<strong>al</strong>.Aprobados: AVP/Karspersky, F-Secure, McAfee, TrendMicroSuspensos: Norman, Norton, Panda, Sophos * La ingeniería soci<strong>al</strong> sigue siendo la mejor arma <strong>de</strong> los viruscontra los usuarios.No ha hecho f<strong>al</strong>ta crear ninguna nueva técnica <strong>de</strong> infección, aprovechar agujeros <strong>de</strong> <strong>seguridad</strong>, ni <strong>de</strong>sarrollarcomplicadas rutinas. Si con “ILOVEYOU” no se pudo resistir la tentación <strong>de</strong> leer una <strong>de</strong>claración <strong>de</strong>amor, en esta ocasión ha bastado con el simple reclamo <strong>de</strong> ver una foto <strong>de</strong> la joven tenista Kournikova.Los encantos <strong>de</strong> Anna hicieron olvidar a miles <strong>de</strong> usuarios la regla básica: no abrir archivos adjuntos nosolicitados.* El actu<strong>al</strong> esquema <strong>de</strong> <strong>de</strong>tección <strong>de</strong> virus que implementan la inmensa mayoría <strong>de</strong> las soluciones antivirusno es efectivo ante virus nuevos que aprovechan Internet como can<strong>al</strong> <strong>de</strong> propagación.Primero es necesario que el virus nuevo infecte a <strong>al</strong>gunos usuarios, que éstos se percaten y envíen unamuestra <strong>al</strong> laboratorio antivirus. Allí an<strong>al</strong>izan el espécimen y <strong>de</strong>sarrollan una vacuna que ponen adisposición <strong>de</strong>l resto <strong>de</strong> sus usuarios registrados a través <strong>de</strong>l proceso <strong>de</strong> actu<strong>al</strong>ización.Siempre existen unos usuarios perjudicados que reciben el primer azote <strong>de</strong>l virus (tengan sus antivirusactu<strong>al</strong>izados o no), y el resto <strong>de</strong> la comunidad se encuentra in<strong>de</strong>fensa mientras que se <strong>de</strong>sarrolla la vacunaespecífica y, posteriormente, actu<strong>al</strong>izan su antivirus.Este esquema podía ser válido hace años, cuando los virus se propagaban con el intercambio <strong>de</strong> disquetes.Hoy día, en cuestión <strong>de</strong> horas (las que se tardan en el mejor <strong>de</strong> los casos en an<strong>al</strong>izar y proporcionaruna vacuna específica), un gusano pue<strong>de</strong> haber causado cientos <strong>de</strong> miles <strong>de</strong> infecciones aprovechando lainfraestructura <strong>de</strong> Internet. La Red ha facilitado las actu<strong>al</strong>izaciones <strong>de</strong> los productos, pero aun se muestramás efectiva como can<strong>al</strong> <strong>de</strong> distribución <strong>de</strong> una nueva generación <strong>de</strong> virus. Es la pescadilla que se muer<strong>de</strong>la cola.Sin duda es un esquema productivo para las casas antivirus, que se aseguran el mantenimiento <strong>de</strong> porvida gracias a la necesidad <strong>de</strong> actu<strong>al</strong>izaciones continuas, y útil para el usuario si no tiene la <strong>de</strong>sgracia<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 79
<strong>de</strong> sufrir la infección en los primeros momentos. En cu<strong>al</strong>quier caso, no es una solución óptima y ya haymovimientos en pro <strong>de</strong> esquemas que ataquen el problema <strong>de</strong>l código m<strong>al</strong>icioso <strong>de</strong> raíz, <strong>de</strong> una forma másglob<strong>al</strong> y genérica.Bernardo Quintero15/04/2001 Windows XP, ¿el fin<strong>al</strong> <strong>de</strong> los virus informáticos?Este artículo forma parte <strong>de</strong> los contenidos <strong>de</strong> la Comparativa Antivirus 2001, en él se incluyen loscomentarios <strong>de</strong> Eugene Kaspersky y Mikel Urizarbarrena, presi<strong>de</strong>ntes <strong>de</strong> AVP y Panda Softwarerespectivamente, así como <strong>de</strong> “Zulu”, el creador <strong>de</strong> virus-scripts más <strong>de</strong>stacado <strong>de</strong> los últimos tiempos.Junto a ellos an<strong>al</strong>izamos las nuevas características <strong>de</strong> <strong>seguridad</strong> que Windows XP pue<strong>de</strong> incorporar en unintento <strong>de</strong> frenar la actividad <strong>de</strong> los virus informáticos.A fin<strong>al</strong>es <strong>de</strong> noviembre, un portavoz <strong>de</strong> Microsoft, Jim Ewel, <strong>de</strong>jaba entrever en una conferencia en Londres<strong>al</strong>gunas <strong>de</strong> las nuevas características que Windows XP, por aquel entonces conocido como Whistler,incorporaría en materia <strong>de</strong> <strong>seguridad</strong>. El anuncio <strong>de</strong> que Whistler podría bloquear cu<strong>al</strong>quier aplicaciónque no contara con un certificado digit<strong>al</strong> suscitó tanto interés como polémica.En respuesta a los problemas <strong>de</strong> los virus que utilizan el correo electrónico, Microsoft planeaba exten<strong>de</strong>rla nueva característica a “cada porción <strong>de</strong> código que pueda ejecutarse en la máquina””, comentó Ewel. Ala espera <strong>de</strong> que Microsoft arroje más luz sobre esta funcion<strong>al</strong>idad, este anuncio ha suscitado <strong>de</strong> nuevo un<strong>de</strong>bate sobre la posibilidad <strong>de</strong> crear un entorno seguro contra virus informáticos.Para compren<strong>de</strong>r mejor en qué consistiría esta característica, basta con conocer el mo<strong>de</strong>lo <strong>de</strong> <strong>seguridad</strong> enel que se basan los controles ActiveX. Estos componentes en su aplicación en Internet son muy similaresen aspecto a los applets <strong>de</strong> Java, ya que pue<strong>de</strong>n formar parte <strong>de</strong> cu<strong>al</strong>quier página web, con el peligropotenci<strong>al</strong> que eso podría acarrear.Microsoft, a diferencia <strong>de</strong> Sun cuando <strong>de</strong>sarrolló Java, no limitó en ningún momento la capacidad <strong>de</strong> estoscontroles. Un ActiveX pue<strong>de</strong> llevar a cabo cu<strong>al</strong>quier tipo <strong>de</strong> acción en el sistema, si bien siempre <strong>de</strong>beestar convenientemente i<strong>de</strong>ntificado con un certificado digit<strong>al</strong> que proporcione información sobre quiénlo ha <strong>de</strong>sarrollado. Si el <strong>de</strong>sarrollador es fiable, el sistema lo ejecuta directamente, si no lo es o carece <strong>de</strong>certificado, el sistema informa <strong>al</strong> usuario que es él quien <strong>de</strong>ci<strong>de</strong> en última instancia si <strong>de</strong>sea ejecutarlo ono. Un sistema sencillo y que <strong>de</strong>ja fin<strong>al</strong>mente la patata c<strong>al</strong>iente <strong>al</strong> usuario, pero que se muestra efectivoapenas se aplique <strong>al</strong>go <strong>de</strong> sentido común.El anuncio <strong>de</strong> Microsoft en relación a Windows XP exten<strong>de</strong>ría esta filosofía a todo el sistema operativo.Es <strong>de</strong>cir, podríamos configurar un entorno don<strong>de</strong> sólo se permitiera la ejecución <strong>de</strong> las aplicaciones quevengan firmadas digit<strong>al</strong>mente por ciertos <strong>de</strong>sarrolladores y negar el permiso a cu<strong>al</strong>quier otro código. Esto,sin duda, representa un paso hacia una solución genérica <strong>al</strong> problema planteado por los virus informáticosy <strong>al</strong> m<strong>al</strong>ware en gener<strong>al</strong>.A la espera <strong>de</strong> conocer más <strong>de</strong>t<strong>al</strong>les sobre esta nueva característica, y ver fin<strong>al</strong>mente cuál es la implantaciónre<strong>al</strong> (y libre <strong>de</strong> f<strong>al</strong>los), parece claro que se trata <strong>de</strong> una funcion<strong>al</strong>idad que podría tener su mayor acogidaen entornos corporativos. Un administrador <strong>de</strong> red podría controlar con exactitud qué software tienepermiso <strong>de</strong> ejecución en su compañía, por ejemplo aquellos códigos que vengan firmados por Microsoft o80<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
por el propio certificado <strong>de</strong> su empresa. De esta forma, el administrador firmaría los propios <strong>de</strong>sarrollos<strong>de</strong> la empresa o el software propietario que está reconocido por la compañía, y evitaría la ejecución <strong>de</strong>cu<strong>al</strong>quier otra aplicación, incluido virus, programas que los usuarios se intenten bajar <strong>de</strong> Internet, etc.Des<strong>de</strong> el punto <strong>de</strong> vista <strong>de</strong>l usuario la cosa cambia bastante, ya que es un consumidor habitu<strong>al</strong> <strong>de</strong>shareware y freeware. Es bastante improbable que los <strong>de</strong>sarrolladores <strong>de</strong> este tipo <strong>de</strong> software paguenel registro <strong>de</strong> un certificado digit<strong>al</strong> para <strong>de</strong>spués reg<strong>al</strong>ar sus aplicaciones. La experiencia también dictaque el usuario tien<strong>de</strong> a <strong>de</strong>saten<strong>de</strong>r las pant<strong>al</strong>las <strong>de</strong> peligro y <strong>al</strong> fin<strong>al</strong> opta por inhabilitar este tipo <strong>de</strong>sistemas <strong>de</strong> <strong>seguridad</strong> para ganar en comodidad. En cu<strong>al</strong>quier caso, sería un buen momento para que losprogramadores Windows optasen por la filosofía <strong>de</strong> código abierto, solución óptima para todos.Tanto las casas antivirus como los creadores <strong>de</strong> virus ven con bastante recelo este tipo <strong>de</strong> iniciativas, sinojuzgad por los comentarios. T<strong>al</strong> vez sea una buena señ<strong>al</strong>.La opinión <strong>de</strong> Mikel Urizarbarrena, presi<strong>de</strong>nte <strong>de</strong> Panda Software:Sobre el papel, este sistema pue<strong>de</strong> representar un avance significativo en el campo <strong>de</strong> la <strong>seguridad</strong>. Ningunaaplicación que no esté firmada digit<strong>al</strong>mente podrá ser ejecutada en la red, ninguna. En la práctica, estápor ver la acogida que tendrá entre los administradores y los usuarios.Es posible que inici<strong>al</strong>mente el sistema tenga una gran aceptación entre los administradores <strong>de</strong> red, perocreo que los inconvenientes que presenta acabarán por <strong>de</strong>saconsejarlo. ¿qué ocurrirá cuando estos veanque esa utilidad shareware que acaban <strong>de</strong> <strong>de</strong>scubrir y que soluciona sus problemas no pue<strong>de</strong> ejecutarsemientras esté el sistema activado, pues no ha sido certificada por Microsoft?¿Qué suce<strong>de</strong>rá con los pequeños fabricantes <strong>de</strong> software?, tendrán que adquirir certificados digit<strong>al</strong>es conel coste adicion<strong>al</strong> que conlleva o se les obligará a ser certificados por Microsoft. Si Microsoft hubieseoptado en sus comienzos por un sistema como éste, seguramente sus productos no hubiesen <strong>al</strong>canzadotanto éxito.A<strong>de</strong>más, un sistema <strong>de</strong> este tipo animará sin duda a los creadores <strong>de</strong> virus, pues si consiguiesen burlarlointroduciendo en una red este tipo un virus con firma digit<strong>al</strong>, por la propia natur<strong>al</strong>eza <strong>de</strong>l sistema, el viruscorrería a sus anchas por todos los or<strong>de</strong>nadores <strong>de</strong> la red. Los usuarios lo ejecutarían sin ningún temorcreyéndose protegidos.El efecto <strong>de</strong> este sistema <strong>de</strong> certificados podría compararse a <strong>de</strong>sconectar un or<strong>de</strong>nador <strong>de</strong> la red y quitarlelas disqueteras y CDs. El or<strong>de</strong>nador en este caso estará completamente protegido <strong>de</strong> virus,pero, ¿seguirá resultándonos útil?La opinión <strong>de</strong> Eugene Kaspersky, presi<strong>de</strong>nte <strong>de</strong> Kaspersky AntiVirus (AVP)En los sistemas mo<strong>de</strong>rnos hay <strong>de</strong>masiados tipos <strong>de</strong> ficheros ejecutables, programas que pue<strong>de</strong>n acce<strong>de</strong>ra los componentes <strong>de</strong>l or<strong>de</strong>nador. También es muy complicado que un sistema no tenga problemas,incluyendo agujeros <strong>de</strong> <strong>seguridad</strong>. Por todo ello, creo que los virus seguirán existiendo aunque el entornocontemple la <strong>seguridad</strong> basada en certificados digit<strong>al</strong>es.Es posible <strong>de</strong>sarrollar un entorno completamente protegido por la comprobación <strong>de</strong> firmas digit<strong>al</strong>es, ¡perolos usuarios no lo usarán!, porque un entorno <strong>de</strong> este tipo no es lo suficientemente amigable... <strong>de</strong>masiadaslimitaciones, <strong>de</strong>masiados avisos, <strong>de</strong>masiadas preguntas.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 81
La opinión <strong>de</strong> “Zulu”, creador <strong>de</strong> virus (LIFE_STAGES, BubbleBoy, Freelinks, etc).Sinceramente lo veo como <strong>al</strong>go ridículo. Si esta tecnología ya fracasó con los drivers para Windows 2000,es mucho mas probable que fracase con aplicaciones, ya que existen más cantidad <strong>de</strong> aplicaciones que <strong>de</strong>drivers y un usuario norm<strong>al</strong> inst<strong>al</strong>a más aplicaciones que drivers. ¿Acaso <strong>al</strong>guno usa controladores <strong>de</strong>NVIDIA o Via que estén firmados digit<strong>al</strong>mente?, no me parece... Uno terminada <strong>de</strong>shabilitando el warningo aceptando por costumbre el cartelito <strong>de</strong> aviso <strong>de</strong> driver no firmado digit<strong>al</strong>mente.Mi opinión (Bernardo) in<strong>de</strong>pendiente <strong>al</strong> respecto es bastante escéptica, no tanto por la i<strong>de</strong>a, que en lateoría me parece muy útil, sino por la implementación que <strong>al</strong> fin<strong>al</strong> se re<strong>al</strong>ice <strong>de</strong> ella. Resulta bastanteextraño que Microsoft, tan dada a los problemas <strong>de</strong> <strong>seguridad</strong> en sus sistemas y que ha protagonizadoprácticamente dos revoluciones en el mundo <strong>de</strong> los virus (macros e Office y el compendio Outlook/VBS),pueda resolver <strong>de</strong> un día para otro un problema <strong>de</strong> esta envergadura.Por otro lado, también me quedan bastantes dudas en el aspecto técnico y práctico <strong>de</strong> la solución, por ejemplo,cómo este esquema va a proteger la interpretación <strong>de</strong> scripts o los problemas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> tercerasaplicaciones. Imaginemos que tengo AutoCAD registrado en mi Windows XP con su correspondientecertificado digit<strong>al</strong> seguro y confiable, por tanto, tot<strong>al</strong>mente v<strong>al</strong>idado en mi sistema. Sin embargo, cada vezque abra un nuevo proyecto con este programa tengo el peligro potenci<strong>al</strong> <strong>de</strong> contagio, ya que es factiblere<strong>al</strong>izar un virus en el lenguaje <strong>de</strong> automatización <strong>de</strong> AutoCAD.Este artículo, parte <strong>de</strong> los contenidos <strong>de</strong> la Comparativa Antivirus 2001, fue redactado antes <strong>de</strong> que seprodujera el fiasco protagonizado por VeriSign con la emisión <strong>de</strong> certificados f<strong>al</strong>sos a nombre <strong>de</strong> Microsoft.T<strong>al</strong> y como anunciábamos entonces, la publicidad y el soporte a este inci<strong>de</strong>nte por parte <strong>de</strong> las casasantivirus podía tener una segunda lectura basada en el contenido <strong>de</strong>l presente artículo.Los certificados f<strong>al</strong>sos emitidos a nombre <strong>de</strong> Microsoft podrían haber sido aprovechados para crearun virus o gusano firmado digit<strong>al</strong>mente que traspasara sin ningún tipo <strong>de</strong> problemas la <strong>seguridad</strong> <strong>de</strong>Windows XP, incluso <strong>de</strong> forma más efectiva que los actu<strong>al</strong>es gusanos ya que se trataría <strong>de</strong> código confiable.No es <strong>de</strong> extrañar entonces que las casas antivirus pusieran cierto enfasis en publicitar el inci<strong>de</strong>nte quevendría a <strong>de</strong>mostrar la <strong>de</strong>bilidad <strong>de</strong> este sistema glob<strong>al</strong> contra el m<strong>al</strong>ware que amenaza con <strong>de</strong>splazar <strong>al</strong>as soluciones antivirus actu<strong>al</strong>es.Bernardo Quintero19/04/2001 Virus y teléfonos móvilesNueva entrega <strong>de</strong> los contenidos y entrevistas adicion<strong>al</strong>es que acompañan a la comparativa antivirus 2001<strong>de</strong>sarrollada por <strong>Hispasec</strong>, publicada en el número <strong>de</strong> abril en la revista PC-Actu<strong>al</strong> y próximamente enwww.hispasec.com.Durante el pasado año el tema <strong>de</strong> los virus y ataques a teléfonos móviles ha tomado un especi<strong>al</strong> protagonismo.Aunque gran parte <strong>de</strong> lo que se dice correspon<strong>de</strong> a la mitología <strong>de</strong> Internet y a simples “hoaxs” (bulos)sin ningún fundamento técnico. Resulta curioso ver como <strong>al</strong>gunos <strong>de</strong> estos avisos tot<strong>al</strong>mente f<strong>al</strong>sos, quese caracterizan por afirmar que ante la recepción <strong>de</strong> un <strong>de</strong>terminado tipo <strong>de</strong> llamada el termin<strong>al</strong> podráquedar tot<strong>al</strong>mente inutilizable, s<strong>al</strong>tan a medios <strong>de</strong> prensa habitu<strong>al</strong> e incluso las propias operadoras losdan como ciertos en sus páginas web.82<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
Entre los inci<strong>de</strong>ntes re<strong>al</strong>es más <strong>de</strong>stacables nos encontramos con el gusano “Timofónica”, que si bieninfectaba PCs tenía como payload (efecto) el envío <strong>de</strong> mensajes SMS aprovechando una pasarela <strong>de</strong>Internet.El i-worm “Timofónica” envía mensajes a móviles (5-06-2000)http://www.hispasec.com/una<strong>al</strong>dia.asp?id=587En lo que respecta a creaciones específicas para dispositivos móviles nos encontramos con varios troyanospara EPOC, el sistema operativo <strong>de</strong> 32bits diseñado por Psion.Virus y troyanos en or<strong>de</strong>nadores <strong>de</strong> mano (3-08-2000)http://www.hispasec.com/una<strong>al</strong>dia.asp?id=647Durante la entrevista con los presi<strong>de</strong>ntes <strong>de</strong> AVP y Panda también charlamos sobre lo que nos pue<strong>de</strong><strong>de</strong>parar esta nueva corriente <strong>de</strong> especímenes:- Este año pasado también se ha hablado mucho <strong>de</strong> telefonía móvil en relación a los virus, sin embargo,aún es un campo que, por fortuna, no ha sido explotado. ¿Cuáles son los factores que dificultan hoy porhoy la generación <strong>de</strong> virus/gusanos para esta plataforma?Habla Eugene Kaspersky (presi<strong>de</strong>nte <strong>de</strong> Kaspersky AntiVirus - AVP)Si, tuvimos muchas consultas <strong>al</strong> respecto cuando antes <strong>de</strong>l verano <strong>de</strong>l pasado año <strong>de</strong>scubrimos Timofónica,un virus que re<strong>al</strong>izaba spam con mensajes cortos (SMS) a teléfonos móviles GSM. Aunque el efecto <strong>de</strong>lvirus era mandar mensajes cortos a través <strong>de</strong> Internet aprovechando una pasarela SMS <strong>de</strong> MoviStar,en re<strong>al</strong>idad no podía introducir ningún tipo <strong>de</strong> código en los teléfonos móviles, y su replicación seguíabasándose en los or<strong>de</strong>nadores tradicion<strong>al</strong>es.Aunque en la actu<strong>al</strong>idad no existan virus 100% operativos para telefonía móvil, es <strong>de</strong> prever que hagan suaparición en breve, ya que los dispositivos <strong>de</strong> última generación no están ni mucho menos informatizadosque un or<strong>de</strong>nador person<strong>al</strong>. Habrá sistemas operativos, procesadores <strong>de</strong> texto, hojas <strong>de</strong> cálculo, editoresincorporados, etc., permitiendo que los usuarios creen sus propios ficheros ejecutables y que seanfácilmente intercambiables entre dispositivos sin hilos.Por ejemplo, hoy día existe la posibilidad <strong>de</strong> crear virus para móviles basándose en los teléfonos WAP. Demomento somos muy afortunados porque los creadores <strong>de</strong> virus no han podido acce<strong>de</strong>r a las herramientas<strong>de</strong> <strong>de</strong>sarrollo a<strong>de</strong>cuadas.¿Cómo los operadores <strong>de</strong> telefonía móvil pue<strong>de</strong>n contrarrestar el ataque <strong>de</strong> un hipotético virus para WAP?De la misma forma que los virus se <strong>de</strong>tectan y eliminan en el correo electrónico hoy día. Habrá programasantivirus inst<strong>al</strong>ados en los gateways <strong>de</strong> WAP que filtrarán constantemente el tráfico.Habla Mikel Urizarbarrena (presi<strong>de</strong>nte <strong>de</strong> Panda Software)La telefonía móvil está caracterizada por disponer <strong>de</strong> hardware variado y <strong>de</strong> capacidad limitada. A<strong>de</strong>más,no existe un sistema operativo sobre el que los virus puedan ejecutarse o provocar infecciones.A pesar <strong>de</strong> que la tecnología WAP podría ser una base sobre la que puedan proliferar los virus, se ha visto<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 83
que es muy limitado para que los virus puedan actuar hoy por hoy.De cara <strong>al</strong> futuro, parece que el sistema i-mo<strong>de</strong> pue<strong>de</strong> ser una plataforma suficientemente potente y portablecomo para que los virus puedan proliferar. Sin embargo esto no será posible hasta que se extienda el uso<strong>de</strong> Java en estos sistemas.Creo que la tecnología móvil es un campo muy a tener en cuenta y que en el plazo <strong>de</strong> un año pue<strong>de</strong>convertirse en una nueva vía <strong>de</strong> infección. En Panda estamos investigando este campo <strong>de</strong>s<strong>de</strong> hace casi unaño, así que es muy posible que exista un Panda para Móviles.Bernardo Quintero29/07/2001 Reflexiones sobre SirCamDos años <strong>de</strong>spués <strong>de</strong> que apareciera Melissa, el gusano que pilló <strong>de</strong>sprevenidos a miles <strong>de</strong> usuarios, vamospara atrás, como los cangrejos. SirCam sólo representa una nueva faceta, unas más, <strong>de</strong>l mismo problema.¿Hay soluciones?Des<strong>de</strong> la simplicidad <strong>de</strong> Melissa o ILoveYou, pasando por especímenes mucho más elaborados y complejoscomo Hybris o Magistr, el problema siempre es el mismo. Por un lado, los usuarios que no se resisten a latentación <strong>de</strong> abrir el archivo adjunto que les llega a través <strong>de</strong>l correo electrónico. Por el otro, los antivirusque siguen siendo incapaces <strong>de</strong> proteger contra virus nuevos. El resultado es siempre la infección <strong>de</strong> miles<strong>de</strong> sistemas, la espera mientras las casas antivirus <strong>de</strong>sarrollan la vacuna y, <strong>de</strong>spués, las actu<strong>al</strong>izacionesque <strong>de</strong>ben re<strong>al</strong>izar los usuarios para reconocer el nuevo virus.En el mejor <strong>de</strong> los casos, cuando se trata <strong>de</strong> gusanos <strong>de</strong> gran propagación, la vacuna suele estar disponibleentre <strong>12</strong> y 24 horas <strong>de</strong>spués <strong>de</strong> las primeras infecciones, tiempo más que suficiente para que el virus logreautoenviarse a miles <strong>de</strong> sistemas aprovechando Internet. El problema se agrava si tenemos en cuent<strong>al</strong>os <strong>de</strong>sfases que ocurren entre la aparición <strong>de</strong> la vacuna y la actu<strong>al</strong>ización por parte <strong>de</strong> los usuarios. Acontinuación los resultados obtenidos en la Encuesta AntiVirus 2001 - <strong>Hispasec</strong>, llevada a cabo hace unassemanas sobre más <strong>de</strong> 2000 usuarios que participaron en el test EICAR.Cada cuanto tiempo suele actu<strong>al</strong>izar su antivirus:Todos los días -> 23,46%Dos o tres veces por semana -> 15,64%<strong>Una</strong> vez a la semana -> 29,62%Dos o tres veces <strong>al</strong> mes -> 14,10%<strong>Una</strong> vez <strong>al</strong> mes -> 11,28%Trimestr<strong>al</strong>mente -> 2,82%No suele actu<strong>al</strong>izarlo -> 3,08%Tuvimos ocasión <strong>de</strong> comentar este problema con Eugene Kaspersky y Mikel Urizarbarrena, presi<strong>de</strong>ntes<strong>de</strong> AVP y Panda Software respectivamente, con motivo <strong>de</strong> la Comparativa Antivirus 2001 <strong>de</strong> <strong>Hispasec</strong>(http://www.hispasec.com/comp_avs2001.asp?id=18). Ambos coincidieron en apuntar a la heurísticacomo solución, si bien queda patente que sigue resultando trivi<strong>al</strong> crear virus que burlen este tipo <strong>de</strong><strong>de</strong>tecciones genéricas.84<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
Otras soluciones más genéricas pasan por el uso <strong>de</strong> la criptografía. En la misma comparativa antivirusabordamos esta posibilidad en el caso concreto <strong>de</strong> Windows XP y el uso <strong>de</strong> la firma digit<strong>al</strong> a nivel <strong>de</strong>aplicaciones (http://www.hispasec.com/comp_avs2001.asp?id=28).Visto que aún existe un gran número <strong>de</strong> usuarios que hacen oídos sordos a la regla <strong>de</strong> oro <strong>de</strong> no abrirarchivos adjuntos no solicitados, que los antivirus no planean modificar su esquema actu<strong>al</strong> y que tampocoesperamos que Microsoft resuelva este problema a nivel <strong>de</strong> sistema operativo, vamos a proponer unasolución intermedia.Actu<strong>al</strong>izaciones Urgentes AutomatizadasComo hemos visto, el <strong>de</strong>sfase <strong>de</strong> tiempo entre la aparición en escena <strong>de</strong>l virus y la protección efectiva <strong>de</strong>lusuario es <strong>de</strong>bido en su mayor parte <strong>al</strong> proceso <strong>de</strong> actu<strong>al</strong>ización <strong>de</strong>l antivirus. La mayoría <strong>de</strong> las soluciones<strong>de</strong>jan esta acción a discreción <strong>de</strong>l usuario, que <strong>de</strong>be activarla manu<strong>al</strong>mente.Existen otras soluciones que permiten automatizar estas <strong>de</strong>scargas, si bien los tiempos no suelen serinferiores a 24 horas y aún son muchos los usuarios reticentes a que el antivirus <strong>de</strong>cida cuándo <strong>de</strong>scargarcientos <strong>de</strong> kilobytes sin tener en cuenta que pue<strong>de</strong> consumir ancho <strong>de</strong> banda en <strong>de</strong>trimento <strong>de</strong> otrosservicios que se estén utilizando en ese momento, como <strong>de</strong>scarga <strong>de</strong> otros archivos, juegos en línea,ví<strong>de</strong>oconferencias, etc.La propuesta consiste en que el antivirus pueda <strong>de</strong>tectar la necesidad <strong>de</strong> una actu<strong>al</strong>ización urgente,cómo por ejemplo la <strong>de</strong> SirCam, y proce<strong>de</strong>r a la <strong>de</strong>scarga automatizada <strong>de</strong> su correspondiente vacuna. Lacomprobación periódica a través <strong>de</strong> Internet mientras el usuario está conectado no tiene por qué consumirmás que unos pocos bytes (pue<strong>de</strong> ser inferior a 1 Kb a la hora), tráfico insignificante que no supone molestia<strong>al</strong>guna para el usuario.Ante la <strong>de</strong>tección <strong>de</strong> una <strong>al</strong>erta, la casa antivirus sólo tendría que modificar el estado en su servidor y losantivirus proce<strong>de</strong>rían a la <strong>de</strong>scarga automática <strong>de</strong> la vacuna <strong>de</strong> forma casi inmediata. El tráfico producidoen el caso <strong>de</strong> <strong>al</strong>erta también sería mínimo, pues incluiría la vacuna específica para el virus en lugar <strong>de</strong> lasactu<strong>al</strong>izaciones diarias o periódicas que suelen incluir información sobre <strong>de</strong>cenas <strong>de</strong> especímenes.Bernardo Quintero14/11/2001 Legislación norteamericana contra los análisis <strong>de</strong> <strong>seguridad</strong>Recientemente, EE.UU. ha aprobado una serie <strong>de</strong> leyes encaminadas a <strong>de</strong>clarar ileg<strong>al</strong>es la publicación<strong>de</strong> estudios y análisis que <strong>de</strong>muestren vulnerabilida<strong>de</strong>s en sistemas hardware o software. Las leyes,englobadas bajo el nombre común <strong>de</strong> DMCA (Digit<strong>al</strong> Millennium Copyright Act), preten<strong>de</strong>r <strong>de</strong>fen<strong>de</strong>rlas industrias <strong>de</strong> contenidos (audio, texto y ví<strong>de</strong>o) frente a la piratería, pero sus implicaciones son muyamplias y peligrosas.La DMCA convierte en ileg<strong>al</strong> la distribución <strong>de</strong> “circumvention technology” (tecnología para burlarprotecciones). Entendido en un sentido amplio, <strong>al</strong>go que ya se está aplicando en EE.UU., un documentocientífico <strong>de</strong>scribiendo una vulnerabilidad en una tecnología entraría <strong>de</strong>ntro <strong>de</strong> esta categoría y, por lotanto, sería ileg<strong>al</strong> en los Estados Unidos.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 85
Publicar casi cu<strong>al</strong>quier trabajo sobre <strong>seguridad</strong>, entonces, sería un acto <strong>de</strong>lictivo en ese país.A este respecto me gustaría exponer una serie <strong>de</strong> conclusiones, a título person<strong>al</strong>:* Aunque publicar información sobre vulnerabilida<strong>de</strong>s sea ileg<strong>al</strong>, la información seguirá circulandolibremente por el mundo “un<strong>de</strong>rground”, don<strong>de</strong> el anonimato es ley. En cambio, los administradores <strong>de</strong>sistemas y responsables <strong>de</strong> <strong>seguridad</strong>, siendo personas leg<strong>al</strong>es, no tendrán acceso a esa información, quesí tendrán sus atacantes.* El progreso técnico y científico se basa en el libre flujo <strong>de</strong> información y en estudios in<strong>de</strong>pendientes. Estoes especi<strong>al</strong>mente cierto en el campo <strong>de</strong> la criptología. Si los problemas <strong>de</strong> diseño o implementación <strong>de</strong> unsistema criptográfico no se pudiesen hacer públicos <strong>de</strong> forma leg<strong>al</strong>, los usuarios tendrán sistemas débilese inseguros.Ya existen casos <strong>de</strong>mostrables en los que una tecnología criptográfica, una vez expuesta a expertosin<strong>de</strong>pendientes, se ha <strong>de</strong>mostrado insegura: el cifrado GSM, la protección anticopia <strong>de</strong> los DVDs, elcifrado WEP <strong>de</strong> las re<strong>de</strong>s in<strong>al</strong>ámbricas 802.11... Si dichas tecnologías se hubiesen hecho públicas, el<strong>de</strong>scubrimiento <strong>de</strong> sus vulnerabilida<strong>de</strong>s se habría efectuado antes <strong>de</strong> llegar <strong>al</strong> mercado.¿Qué hubiera ocurrido si la publicación <strong>de</strong> las vulnerabilida<strong>de</strong>s fuese ileg<strong>al</strong>?. La vulnerabilidad seguiríaexistiendo, por supuesto, y sería conocida <strong>de</strong>ntro <strong>de</strong> <strong>de</strong>terminados círculos. El público, no obstante, pensaríaque está utilizando tecnología segura y <strong>de</strong> c<strong>al</strong>idad, estando a merced <strong>de</strong> tiburones sin escrúpulos.Adicion<strong>al</strong>mente, sin la publicidad <strong>de</strong> las vulnerabilida<strong>de</strong>s, las empresas no tendrían ningún <strong>al</strong>iciente paraseguir innovando y dotar a los sistemas, aunque sea tras infinidad <strong>de</strong> intentos f<strong>al</strong>lidos, <strong>de</strong> verda<strong>de</strong>ra<strong>seguridad</strong> a toda prueba.Los primeros resultados negativos ya se han empezado a ver:* La versión 2.2.20 <strong>de</strong>l kernel Linux, <strong>de</strong> reciente aparición, indica expresamente en su fichero <strong>de</strong> “cambios”que se han solucionado varios problemas <strong>de</strong> <strong>seguridad</strong>, pero que no se proporcionan <strong>de</strong>t<strong>al</strong>les para noviolar la DMCA.* Un ciudadano ruso, <strong>de</strong> nombre Dmitri Sklyarov, está pendiente <strong>de</strong> juicio en EE.UU., <strong>al</strong> ser coautor <strong>de</strong> unprograma utilizado para <strong>de</strong>scifrar ficheros PDF. El programa, elaborado y distribuido por una firma rusa,se ven<strong>de</strong> <strong>de</strong>s<strong>de</strong> ese país. Dimitri está acusado <strong>de</strong> contravenir la DMCA, aunque sea ciudadano extranjero ylos actos <strong>de</strong> los que se le acusa se re<strong>al</strong>izasen fuera <strong>de</strong> los EE.UU.. Dimitri fue <strong>de</strong>tenido por el FBI, tras una<strong>de</strong>nuncia <strong>de</strong> Adobe, <strong>al</strong> término <strong>de</strong> una jornadas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>sarrolladas en los Estados Unidos, a don<strong>de</strong>había viajado <strong>de</strong>s<strong>de</strong> su país nat<strong>al</strong>. El trabajo <strong>de</strong> Sklyarov es perfectamente leg<strong>al</strong> en Rusia y en la mayoría<strong>de</strong> los países occi<strong>de</strong>nt<strong>al</strong>es.Si tienes más <strong>de</strong> un hijo, ¿pue<strong>de</strong>s ir <strong>de</strong> vacaciones a China sin peligro <strong>de</strong> ser encarcelado, <strong>al</strong> haber violadouna ley loc<strong>al</strong> <strong>de</strong> ese país, mientras estabas en el exterior y siendo ciudadano foráneo?. Probablemente enChina sí, pero no en los Estados Unidos, si se ven los prece<strong>de</strong>ntes.* El profesor Edward Felten, <strong>de</strong> la universidad <strong>de</strong> Princeton, <strong>de</strong>cidió no publicar los f<strong>al</strong>los <strong>de</strong> <strong>seguridad</strong>que había <strong>de</strong>scubierto en el reto SDMI (Secure Digit<strong>al</strong> Music Initiative), con los que probaba que eraposible eliminar las “marcas <strong>de</strong> agua” insertadas en una canción, <strong>de</strong>struyendo el sistema anticopia puestoa prueba por la SDMI. A pesar <strong>de</strong> que el objetivo <strong>de</strong>l reto era <strong>de</strong>mostrar si los sistemas propuestos eran86<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
seguros, <strong>al</strong>go que Felten echó por tierra, publicar sus resultados sería ileg<strong>al</strong>. En ese sentido, la industriadiscográfica seguía intentando aprobar un esquema <strong>de</strong> protección music<strong>al</strong> <strong>de</strong>mostradamente f<strong>al</strong>lido,aunque las pruebas <strong>de</strong> ello no fuesen públicas, y el autor <strong>de</strong> las mismas tuviese que afrontar <strong>de</strong>nunciasjudici<strong>al</strong>es.* Recientemente Niels Ferguson, criptógrafo holandés <strong>de</strong> reconocido prestigio internacion<strong>al</strong>, afirmóhaber <strong>de</strong>scubierto una vulnerabilidad en el esquema <strong>de</strong> protección HDCP <strong>de</strong> Intel. HDCP es un sistema <strong>de</strong>cifrado para el bus DVI, don<strong>de</strong> se conectan televisores, cámaras, reproductores <strong>de</strong> DVD y similares. SegúnFerguson, se pue<strong>de</strong> obtener la clave maestra <strong>de</strong>l sistema en menos <strong>de</strong> dos semanas. <strong>Una</strong> vez obtenida dichaclave, se pue<strong>de</strong>n copiar o crear contenidos sin restricción, crear dispositivos nuevos, etc.Aunque Ferguson no publicó los <strong>de</strong>t<strong>al</strong>les (aunque es holandés, podría ser <strong>de</strong>tenido en cu<strong>al</strong>quiera <strong>de</strong> susviajes a EE.UU.), poco <strong>de</strong>spués se <strong>de</strong>svelaron todas las interiorida<strong>de</strong>s <strong>de</strong> forma abierta, a través <strong>de</strong> otravía: Scott A. Crosby, <strong>de</strong> la universidad Carnegie Mellon. Estudiándolas <strong>de</strong>tenidamente, se pue<strong>de</strong> observarque la <strong>seguridad</strong> <strong>de</strong>l sistema HDCP es trivi<strong>al</strong>.Como se cita a Ferguson en el semanario Ciberpaís: “Si no investigamos, nunca <strong>de</strong>sarrollaremos buenosesquemas <strong>de</strong> protección anticopia. La DMCA protege <strong>al</strong> fabricante <strong>de</strong> un m<strong>al</strong> producto en el sentido <strong>de</strong> quees ileg<strong>al</strong> <strong>de</strong>mostrar que es <strong>de</strong>fectuoso”. De hecho la DMCA contraviene sus propios intereses, ya que sinpo<strong>de</strong>r investigar sistemas anticopia avanzados es imposible <strong>de</strong>sarrollar esquemas seguros.El problema <strong>de</strong> la DMCA no son tanto sus objetivos sino los medios que aborda para ello. La discusión<strong>de</strong> vulnerabilida<strong>de</strong>s o la posesión <strong>de</strong> sistemas capaces <strong>de</strong> s<strong>al</strong>tarse protecciones no <strong>de</strong>be ser <strong>al</strong>go ileg<strong>al</strong>,sencillamente porque existen multitud <strong>de</strong> usos leg<strong>al</strong>es para esa tecnología e información.Los cerrajeros, por ejemplo, necesitan disponer <strong>de</strong> sus herramientas <strong>de</strong> forma leg<strong>al</strong>. Las empresas <strong>de</strong>recuperación <strong>de</strong> datos necesitan herramientas <strong>de</strong> escaneo <strong>de</strong> discos duros a bajo nivel para po<strong>de</strong>r hacersu trabajo.Las herramientas y los conocimientos no <strong>de</strong>berían ser ileg<strong>al</strong>es si tienen usos beneficiosos. Lo que <strong>de</strong>be serileg<strong>al</strong>, y ya lo es en la mayor parte <strong>de</strong> los países, es la copia, venta y distribución no autorizada <strong>de</strong> materi<strong>al</strong>protegido con “copyright”. Esa legislación ya existe y se utiliza constantemente <strong>de</strong>s<strong>de</strong> hace <strong>de</strong>cenios. LaDMCA, en su estado actu<strong>al</strong>, no tiene ningún sentido.Prohibir difundir un documento porque su temática no nos es grata es <strong>al</strong>go prohibido (s<strong>al</strong>vo casosexcepcion<strong>al</strong>es) en la mayor parte <strong>de</strong>l mundo “civilizado”, tratándose <strong>de</strong> un <strong>de</strong>recho garantizado con leyesque promueven la libertad <strong>de</strong> expresión y la libertad <strong>de</strong> prensa. Es triste comprobar como el país <strong>de</strong>lmundo que se vanagloria <strong>de</strong> mayor libertad tira por tierra su “Primera Enmienda” constitucion<strong>al</strong> conuna ley que ni siquiera cumple sus objetivos <strong>de</strong>clarados. El reciente f<strong>al</strong>lo judici<strong>al</strong> cat<strong>al</strong>ogando el código“DeCSS” como protegido por la libertad <strong>de</strong> expresión, hecho <strong>de</strong>l que nos hicimos eco en <strong>Hispasec</strong> estamisma semana, abre una brecha leg<strong>al</strong> para atacar la DMCA. Cuando el juicio <strong>de</strong> Dmitri Sklyarov empiece(Dmitri está actu<strong>al</strong>mente en libertad provision<strong>al</strong> y tiene prohibido abandonar EE.UU., aunque es ruso yresi<strong>de</strong> en Rusia) no sería sorpren<strong>de</strong>nte que la DMCA fuese <strong>de</strong>clarada anticonstitucion<strong>al</strong>.Mientras tanto, seguiré teniendo mucho cuidado con lo que digo, aunque sea español y no tenga pensadoviajar a EE.UU. en un futuro próximo...Recomiendo a todos los lectores <strong>de</strong> “<strong>Una</strong>-Al-Día” que echen un <strong>de</strong>tenido vistazo a los enlaces que siguen.Jesús Cea Avión<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 87
EntrevistaHablar <strong>de</strong> Jorge Ramió es hablar <strong>de</strong> criptografía y <strong>seguridad</strong> en España yLatinoamérica. Es Ingeniero <strong>de</strong> Ejecución en Electrónica por la Universidad <strong>de</strong>l Norte<strong>de</strong> Arica en Chile, Dr. Ingeniero <strong>de</strong> Telecomunicación por la Universidad Politécnica<strong>de</strong> Madrid y actu<strong>al</strong>mente cursa el Máster y Doctorado en Ingeniería <strong>de</strong> Sistemas Jorge Ramió Aguirrey Servicios Accesibles para la Sociedad <strong>de</strong> la Información en la UPM. Entre otrasasignaturas, en la Escuela Universitaria <strong>de</strong> Informática EUI ha sido profesor <strong>de</strong>s<strong>de</strong> el curso 1994/1995 <strong>de</strong>la asignatura Seguridad Informática. Des<strong>de</strong> el curso 2004/2005 es coordinador <strong>de</strong> la asignatura Gestión,Auditoría, Normativas y Legislación en Seguridad Informática que en el curso 2007/2008 pasa a llamarseTemas Avanzados en Seguridad y Sociedad <strong>de</strong> la Información. Des<strong>de</strong> 2006 imparte junto a la profesoraÁngeles Mahíllo la asignatura Historia <strong>de</strong> los Códigos Secretos en formato e-learning. A<strong>de</strong>más es creador yCoordinador <strong>de</strong> la Red Temática Iberoamericana <strong>de</strong> Criptografía y Seguridad <strong>de</strong> la Información CriptoRed<strong>de</strong>s<strong>de</strong> diciembre <strong>de</strong> 1999 y Director <strong>de</strong> la Cátedra UPM Applus+ <strong>de</strong>s<strong>de</strong> mayo <strong>de</strong> 2006. Alienta y motiva asus <strong>al</strong>umnos como nadie. Le gusta lo que hace y eso se nota.<strong>Hispasec</strong>: ¿Cuál y cómo fue tu primer contacto con <strong>Hispasec</strong>?Jorge Ramió Aguirre: En el mes <strong>de</strong> diciembre <strong>de</strong> 1999 creé la Red Temática Iberoamericana <strong>de</strong>Criptografía y Seguridad <strong>de</strong> la Información CriptoRed, justo un año <strong>de</strong>spués <strong>de</strong>l nacimiento <strong>de</strong> <strong>Hispasec</strong>;es <strong>de</strong>cir, somos casi <strong>de</strong> la misma quinta. Las razones <strong>de</strong> su creación no son el caso comentarlas aquí, peroseguramente coincidirían con <strong>al</strong>gunas <strong>de</strong> las razones por la que <strong>Hispasec</strong> hizo su aparición en la Red: elauge ya comprobado en esos años <strong>de</strong> la <strong>seguridad</strong> informática, una especie <strong>de</strong> efervescencia académica yganas <strong>de</strong> hacer cosas en este área por parte <strong>de</strong> las universida<strong>de</strong>s y la convicción certera <strong>de</strong> que esto <strong>de</strong> la<strong>seguridad</strong> seguiría creciendo, como así ha sido.Recuerdo que una <strong>de</strong> las primeras cosas que hice <strong>al</strong> crear la red fue ponerme en contacto con BernardoQuintero y presentarle el proyecto. De hecho, en una-<strong>al</strong>-día <strong>de</strong>l 23 <strong>de</strong> abril <strong>de</strong>l año 2000 aparece dichapresentación y contesto a <strong>al</strong>gunas cuestiones que Bernardo me plantea con respecto <strong>al</strong> proyecto. En esafecha la red temática contaba con 110 miembros; hoy en día, nueve años <strong>de</strong>spués, los miembros son más<strong>de</strong> 730, ambos nos hemos hecho mayores <strong>de</strong> edad.H: ¿Estás suscrito a una-<strong>al</strong>-día? ¿Des<strong>de</strong> cuándo?JRA: De acuerdo a lo comentado en la pregunta anterior, mi fecha <strong>de</strong> <strong>al</strong>ta en una-<strong>al</strong>-día <strong>de</strong>bería estar entorno <strong>al</strong> primer trimestre <strong>de</strong>l año 2000. Más <strong>de</strong> ocho años recibiendo ese servicio, casi <strong>de</strong>s<strong>de</strong> sus inicios,no está m<strong>al</strong>.H: ¿Cómo influyó una-<strong>al</strong>-día e <strong>Hispasec</strong> en la difusión <strong>de</strong> CriptoRed?JRA: Sin lugar a dudas muy positivamente. Primero que nada, <strong>de</strong>bo <strong>de</strong>cir que dicho servicio es muy bienv<strong>al</strong>orado en toda Latinoamérica, países a los cu<strong>al</strong>es se difun<strong>de</strong> preferentemente la información que segenera en la red temática, y que su Resumen <strong>de</strong> Actu<strong>al</strong>idad número 5 correspondiente <strong>al</strong> mes <strong>de</strong> febrero<strong>de</strong> 2001 ya se publica en una-<strong>al</strong>-día, y así ininterrumpidamente durante más <strong>de</strong> 80 meses.Últimamente la media <strong>de</strong> accesos a CriptoRed se sitúa sobre los 1.200 diarios. Cuando en <strong>Hispasec</strong> sepublica en una-<strong>al</strong>-día dicho resumen, esos accesos se sitúan sobre los 2.000 el primer día <strong>de</strong> su publicacióny en torno a los 1.500 el segundo día. Por tanto, se pue<strong>de</strong> concluir que hay muchos usuarios <strong>de</strong> este servicio<strong>de</strong> <strong>Hispasec</strong> que esperan mes a mes t<strong>al</strong>es resúmenes <strong>de</strong> la red temática, preferentemente para <strong>de</strong>scargarse88<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
los nuevos documentos que habitu<strong>al</strong>mente se suben a dicha red. En conclusión, <strong>de</strong>bo estar muy agra<strong>de</strong>cido<strong>de</strong> <strong>Hispasec</strong> por hacer llegar a <strong>de</strong>cenas <strong>de</strong> miles <strong>de</strong> usuarios los contenidos <strong>de</strong> CriptoRed.H: ¿Cuál es el sitio más interesante en el que has estado por trabajo?JRA: Podría <strong>de</strong>cir que mi visita a vuestras <strong>de</strong>pen<strong>de</strong>ncias en Málaga, pero sonaría a peloteo. Creo que nohay un sitio en especi<strong>al</strong> y no es que mi vida profesion<strong>al</strong> sea aburrida ni mucho menos; por ejemplo no hetenido aún ocasión <strong>de</strong> visitar Bletchley Park ni otros museos similares. Por la red temática que coordino, hevisitado <strong>de</strong>s<strong>de</strong> el año 2000 la práctica tot<strong>al</strong>idad <strong>de</strong> los países latinoamericanos por razones <strong>de</strong> promoción<strong>de</strong> dicha red o bien invitación a congresos y cursos, <strong>al</strong>gunos <strong>de</strong> ellos en varias ocasiones, y <strong>de</strong> todos me hetraído excelentes recuerdos. Ahora bien, si en vez <strong>de</strong> sitios modificamos la pregunta por personas, en estecaso diría que conocer y compartir conversación y experiencias con Martin Hellman y Alfred Menezes,dos pesos pesados <strong>de</strong> la criptografía mundi<strong>al</strong> y que he tenido la suerte <strong>de</strong> invitar a congresos DISI y CIBSIque he organizado: como casi siempre suce<strong>de</strong> en estos casos, te das cuenta que son excelentes personas y<strong>de</strong> una humildad increíble con todo lo importantes que son.H: ¿Piensas que se ha perdido el “romanticismo” <strong>de</strong> aquellos primeros días en la red?JRA: En gener<strong>al</strong>, es muy posible que sí. Ambientando esta pregunta en el entorno hacker, está claro quela respuesta es afirmativa. Hoy prima el negocio, se están acabando los hackers que tenían bien ganado eseapellido <strong>de</strong> ser la conciencia <strong>de</strong> la red, se <strong>de</strong>sea ganar dinero lo más rápidamente posible a costa <strong>de</strong> lo quesea y sin contar para nada con unos mínimos principios éticos. Estamos avanzando a pasos agigantadosen el cibercrimen y los problemas que esto traerá no sólo a las personas sino a los países no serán muyagradables. Cierto es que siempre habrá quienes estén preocupados <strong>de</strong> que los sistemas sean más seguros(sin ir más lejos <strong>Hispasec</strong> entre ellos) pero <strong>al</strong> igu<strong>al</strong> que suce<strong>de</strong> con las leyes, los m<strong>al</strong>os irán por <strong>de</strong>lante y losbuenos persiguiéndoles y poniendo parches. Pero volviendo <strong>al</strong> sentido <strong>de</strong> tu pregunta, también es ciertoque los primeros años <strong>de</strong> Internet y <strong>de</strong>l correo electrónico, fin<strong>al</strong>es <strong>de</strong> los 80, fueron maravillosos porquetodo era novedad, éramos como chav<strong>al</strong>es ante una nueva consola con prestaciones insospechables.H: ¿Cómo y por qué te metiste en esto?JRA: Pues muy sencillo. Corría el año 1990 y en la Escuela Universitaria <strong>de</strong> Informática <strong>de</strong> la UPM don<strong>de</strong>trabajo, en el <strong>de</strong>partamento <strong>de</strong> LPSI, se preparaba el nuevo Plan <strong>de</strong> Estudios para 1992. Los profesores queasí querían podían proponer nuevas asignaturas optativas y estuve dudando entre proponer una asignaturarelacionada con la ofimática o bien una <strong>de</strong> <strong>seguridad</strong> informática. En ambos temas se comenzaba <strong>de</strong>s<strong>de</strong>cero pero había suficiente tiempo para su preparación porque las primeras clases serían en el curso1994/1995. No sé muy bien por qué me <strong>de</strong>cidí por la <strong>de</strong> <strong>seguridad</strong>, pues la ofimática estaba muy <strong>de</strong> moda enesos años; t<strong>al</strong> vez por ser un <strong>de</strong>safío más interesante y tener un campo más amplio. No me equivoqué y nome arrepiento; en estos 15 años he visto cómo se ha <strong>de</strong>sarrollado la oferta académica <strong>de</strong> estas asignaturas:<strong>de</strong> las más <strong>de</strong> 100 asignaturas similares que se ofrecen en las universida<strong>de</strong>s españolas en la actu<strong>al</strong>idad,la <strong>de</strong> Seguridad Informática que imparto <strong>de</strong>s<strong>de</strong> 1994 se encuentra entre las 10 más antiguas. Un datoimportante: cuando comencé en esto seguramente seríamos en España unos 50 a 75 profesores <strong>de</strong>dicadosa la <strong>seguridad</strong> y en la actu<strong>al</strong>idad estamos en torno a los 400. Teniendo en cuenta la baja contratación <strong>de</strong>nuevo profesorado en las universida<strong>de</strong>s <strong>de</strong>s<strong>de</strong> más <strong>de</strong> una década a esta parte, este espectacular incrementoen la oferta y grupos <strong>de</strong> <strong>seguridad</strong> habla por sí solo <strong>de</strong> la importancia <strong>de</strong> la misma.H: ¿Cuáles eran los princip<strong>al</strong>es retos a fin<strong>al</strong>es <strong>de</strong> los noventa?JRA: Aunque sea simplificar mucho las cosas, en los comienzos <strong>de</strong> los años noventa se repetía hasta el<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 89
cansancio lo <strong>de</strong> confi<strong>de</strong>nci<strong>al</strong>idad, integridad y disponibilidad, y digamos que poco más. A fin<strong>al</strong>es <strong>de</strong> esadécada, ya con el <strong>de</strong>sarrollo masivo <strong>de</strong> Internet, recuerdo haber pasado <strong>de</strong> claves RSA <strong>de</strong> 5<strong>12</strong> a 1.024bits, y <strong>de</strong> los 40 bits <strong>de</strong> clave simétrica en una sesión SSL a los <strong>12</strong>8 actu<strong>al</strong>es, <strong>de</strong> un día para otro, <strong>al</strong>goimpresionante. El reto por excelencia era encontrar un nuevo <strong>al</strong>goritmo <strong>de</strong> cifra simétrica estándar, dadoque el DES había ya sucumbido a un ataque en red y sin embargo seguía siendo el estándar <strong>de</strong> cifradosimétrico. A fin<strong>al</strong>es <strong>de</strong> la década llegó el concurso <strong>de</strong>l AES y ya todos sabemos la historia.No obstante, humil<strong>de</strong>mente siempre me pregunto cómo es que se ha pasado tan rápidamente <strong>de</strong> unaparanoia tot<strong>al</strong> en cuanto a la limitación <strong>de</strong> la longitud <strong>de</strong> las claves en función <strong>de</strong> los países, las restriccionespara las exportaciones <strong>de</strong> productos criptográficos, etc., a la <strong>de</strong>mocratización (por hacer un símil) tot<strong>al</strong><strong>de</strong> la criptografía. Hoy en día encuentras en Internet implementaciones <strong>de</strong>l código fuente <strong>de</strong>l AES en<strong>de</strong>cenas <strong>de</strong> lenguajes…. con el cibercrimen en aumento e incluso manifestaciones claras <strong>de</strong> guerra digit<strong>al</strong>e information warfare, aquí nadie se rasga las vestiduras. T<strong>al</strong> vez haya gato encerrado. Quien haya leído ellibro Cripto <strong>de</strong> Steven Levy, <strong>de</strong>berá concluir que obviamente <strong>al</strong>go ha cambiado en nuestros días, <strong>al</strong> menosen la famosa triple <strong>al</strong>ambrada.H: ¿Para cuándo una carrera universitaria específica <strong>de</strong> Seguridad TIC?JRA: Buena pregunta. De momento no la hay, <strong>al</strong> menos en España. Pero los tiempos cambian y mirapor dón<strong>de</strong> en los nuevos planes <strong>de</strong> estudio <strong>de</strong> mi escuela orientados hacia la convergencia con Bolonia, seimpartirán las nuevas titulaciones <strong>de</strong> Graduado en Ingeniería <strong>de</strong>l Software y Graduado en Ingeniería <strong>de</strong>Computadores, y en ambas aparecen “Fundamentos <strong>de</strong> la Seguridad <strong>de</strong> la Información” y “Seguridad enRe<strong>de</strong>s” como asignaturas obligatorias y con una amplia carga lectiva. Algo por lo que muchos profesoresveníamos años suplicando, <strong>al</strong> menos en mi caso <strong>de</strong>s<strong>de</strong> el año 2.000 en que tuve la osadía <strong>de</strong> proponer en uncongreso celebrado en P<strong>al</strong>ma <strong>de</strong> M<strong>al</strong>lorca una nueva titulación específica en <strong>seguridad</strong> informática. Estopue<strong>de</strong> ser una quimera, pero opino que t<strong>al</strong> vez no vendría m<strong>al</strong> <strong>al</strong> menos an<strong>al</strong>izar esa posibilidad y hacerun estudio <strong>de</strong> mercado. Lo que sí es cierto es que en España abundan ofertas <strong>de</strong> postgrado en <strong>seguridad</strong><strong>de</strong>s<strong>de</strong> distintas universida<strong>de</strong>s y organismos, superando en la actu<strong>al</strong>idad las 15, un número muy a tener encuenta si lo comparamos con otras especi<strong>al</strong>ida<strong>de</strong>s <strong>de</strong> la informática y las telecomunicaciones más antiguasy, supuestamente, con más cuota <strong>de</strong> mercado. Si a eso unimos el momento incierto por el que pasa elmercado tradicion<strong>al</strong> <strong>de</strong> la informática en nuestro país, t<strong>al</strong> vez nos llevaríamos más <strong>de</strong> una sorpresa.Pensado sólo en la faceta civil, puesto que la militar va por otros <strong>de</strong>rroteros más estrictos, la <strong>seguridad</strong>no sólo está <strong>de</strong> moda sino que es necesario contar con ella en todos los niveles <strong>de</strong> diseño, producción,gestión y auditoría. A<strong>de</strong>más, <strong>de</strong>s<strong>de</strong> hace poco más <strong>de</strong> un lustro muchos <strong>de</strong> sus procesos son <strong>de</strong> estrictocumplimiento <strong>de</strong> acuerdo con las actu<strong>al</strong>es leyes <strong>de</strong> protección <strong>de</strong> datos y normas internacion<strong>al</strong>es, con locu<strong>al</strong> se cierra el ciclo en tanto t<strong>al</strong>es procesos <strong>de</strong>ben ser auditados. Sinceramente, no se pue<strong>de</strong> pedir más.Tienes razón, hace f<strong>al</strong>ta una nueva titulación en Seguridad TIC; el tema está en quién está dispuestoa llevarse el gato <strong>al</strong> agua y comenzar casi <strong>de</strong>s<strong>de</strong> cero con esta oferta; no es fácil y mucho menos en elmomento que vive actu<strong>al</strong>mente la universidad española.H: ¿Por dón<strong>de</strong> andarán los tiros en <strong>seguridad</strong> en el futuro?JRA: Sinceramente creo que esto no hay quién lo conteste; como dijo Niels Bohr “pre<strong>de</strong>cir es muydifícil, especi<strong>al</strong>mente el futuro”. No obstante, se supone que el advenimiento <strong>de</strong> la computación cuánticacon equipos estables y a un coste razonable significará un cambio radic<strong>al</strong> en los actu<strong>al</strong>es conceptoscriptográficos. Mucha gente opina que esto nunca llegará a ser una re<strong>al</strong>idad por el tamaño actu<strong>al</strong> <strong>de</strong> estosequipos y sus <strong>al</strong>tos costes; pero <strong>de</strong>bemos recordar que lo mismo se <strong>de</strong>cía hace 40 años sobre aquelloscomputadores a válvulas <strong>de</strong> vacío y <strong>de</strong> tamaños <strong>de</strong>scomun<strong>al</strong>es y todos sabemos a lo que hemos llegado en90<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
cuanto a miniaturización.Para lo que no hace f<strong>al</strong>ta ser un adivino es para indicar que la <strong>seguridad</strong> <strong>de</strong> la información irá cada vezteniendo una mayor importancia en nuestra sociedad, en instituciones y empresas y que, por lo tanto,sigue siendo una excelente s<strong>al</strong>ida profesion<strong>al</strong> para nuestros futuros ingenieros.H: ¿A qué <strong>de</strong>dicas más tiempo últimamente?JRA: A leer una-<strong>al</strong>-día… bueno, digamos que <strong>al</strong>go más. Bromas aparte, a<strong>de</strong>más <strong>de</strong> impartir tres asignaturasrelacionadas con la <strong>seguridad</strong> informática en mi universidad, participo como profesor invitado en 5postgrados en Latinoamérica, soy director <strong>de</strong> la cátedra UPM Applus+ que organiza todos los años elDía Internacion<strong>al</strong> <strong>de</strong> la Seguridad <strong>de</strong> la Información DISI, congreso gratuito que este año trae a Madrida la Dra. Radia Perlman <strong>de</strong> Sun Microsystems (quien no conozca a “la Madre <strong>de</strong> Internet” que busqueen Google) el 1 <strong>de</strong> diciembre <strong>de</strong> 2008, y coordino CriptoRed que entre otras cosas organiza en AméricaLatina un Congreso Iberoamericano <strong>de</strong> Seguridad Informática todos los años impares, <strong>de</strong> forma que laquinta edición <strong>de</strong> CIBSI se celebrará en noviembre <strong>de</strong> 2009 en Montevi<strong>de</strong>o, Uruguay, nada menos que enla famosa torre Antel <strong>de</strong> dicha ciudad (lo mismo, quien no la conozca que busque en Google). Hay otrasactivida<strong>de</strong>s par<strong>al</strong>elas como colaboración en proyectos <strong>de</strong> investigación y <strong>de</strong>sarrollo, informes técnicos,etc., pero creo que sólo con esto es ya suficiente como para <strong>de</strong>cir que no tengo <strong>de</strong>masiado tiempo libre, locu<strong>al</strong> como todos sabemos no es nada s<strong>al</strong>udable.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 - 91
92<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2001 -
7D23722año 2002Capítulo411111010010
1009843200 – 1041379199Durante este año...__“¿En euros o en pesetas?” El 1 <strong>de</strong> enero comienzan a circular en doce estados, lasmonedas y billetes físicos <strong>de</strong> euro. Se populariza como reg<strong>al</strong>o una bolsa <strong>de</strong> <strong>12</strong> euros conlas diferentes monedas, que pue<strong>de</strong> adquirirse en bancos. La peseta y el euro convivirándurante tres meses, y en todas las tiendas se repite la misma pregunta “¿Vas a pagar en euros o en pesetas?”.A las pocas semanas se <strong>de</strong>scubre que ciertas sustancias en las monedas provocan <strong>al</strong>ergias en la población.El 1 <strong>de</strong> marzo <strong>de</strong>saparece la peseta como moneda <strong>de</strong> curso leg<strong>al</strong>, pero todavía podrá cambiarse en el Banco<strong>de</strong> España.__Se prohíbe por ley la venta <strong>de</strong> cu<strong>al</strong>quier tipo <strong>de</strong> gasolina con plomo.__La película “Los otros”, <strong>de</strong> Alejandro Amenábar, se convierte en triunfadora <strong>de</strong> los Premios Goya conocho g<strong>al</strong>ardones.Mircrosoft entra <strong>de</strong> lleno en el mercado <strong>de</strong> las consolas <strong>de</strong> vi<strong>de</strong>ojuegos con la Xbox.Es la primera consola en incorporar un disco duro, pensado para <strong>al</strong>macenar partidasguardadas. Su precio es <strong>de</strong> unos 300 dólares. Cuenta con una CPU <strong>de</strong> 733 Mhz y una RAM<strong>de</strong> 64 megas. A principios <strong>de</strong> 2002 ya había sido lanzada en Estados Unidos. Su integridaddura poco más <strong>de</strong> un mes. Un estudiante <strong>de</strong>l Instituto <strong>de</strong> Tecnología <strong>de</strong> Massachusettspublica el código <strong>de</strong> su BIOS. Informa con todo lujo <strong>de</strong> <strong>de</strong>t<strong>al</strong>les<strong>de</strong> todo el proceso en su página web, junto con documentaciónvariada sobre su funcionamiento. El estudiante recibe un<strong>al</strong>lamada telefónica <strong>de</strong> un <strong>al</strong>to cargo <strong>de</strong> Microsoft y cuelga ensu web el mensaje que <strong>de</strong>ja en su contestador. Todavía estádisponible en la dirección http://web.mit.edu/bunnie/www/proj/anatak/xboxedited.mp3. Más tar<strong>de</strong>, en junio <strong>de</strong> ese mismoaño, se publicarían los <strong>de</strong>t<strong>al</strong>les técnicos <strong>de</strong> todo el proceso <strong>de</strong>arranque, y se <strong>de</strong>scribiría una vulnerabilidad que permite inst<strong>al</strong>arsoftware en la máquina. Todo fue posible gracias a tres semanas<strong>de</strong> trabajo <strong>de</strong> un ingeniero inverso y 50 dólares en materi<strong>al</strong>.__En febrero, la sonda espaci<strong>al</strong> Mars Odyssey comienza a cartografiar la superficie <strong>de</strong> Marte a través <strong>de</strong>un sistema térmico. En mayo se encuentran signos <strong>de</strong> <strong>de</strong>pósitos <strong>de</strong> hielo en el planeta.__Las autorida<strong>de</strong>s británicas autorizan el nacimiento <strong>de</strong> un bebé probeta, genéticamenteseleccionado, para intentar s<strong>al</strong>var la vida <strong>de</strong> su hermano enfermo.__El 23 <strong>de</strong> febrero Íngrid Betancourt, candidata a la presi<strong>de</strong>ncia, y su jefa <strong>de</strong> <strong>de</strong>bate Clara Rojasson sonsecuestradas por las FARC en Colombia. Serían liberadas más <strong>de</strong> seis años <strong>de</strong>spués.__El dinero está barato en Estados Unidos. Las hipotecas se conce<strong>de</strong>n a cu<strong>al</strong>quiera, sin av<strong>al</strong>es,sin garantías. Incluso con solo respon<strong>de</strong>r a un correo basura, don<strong>de</strong> se comienzan a anunciar bancos94<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
fantasmas <strong>de</strong> forma masiva, reg<strong>al</strong>ando “mortgages”. Se establece el germen <strong>de</strong> la crisis económica <strong>de</strong>2008 (c<strong>al</strong>ificada como la peor <strong>de</strong>s<strong>de</strong> 1927).__En el campeonato <strong>de</strong>l mundo <strong>de</strong> fútbol <strong>de</strong> 2002, España vuelve a caer en cuartos ante Corea <strong>de</strong>lSur.__El 20 <strong>de</strong> junio los sindicatos UGT y CC.OO convocan la segunda huelga gener<strong>al</strong> en España. Suseguimiento sería importante, pero menor que la que tuvo lugar el 14 <strong>de</strong> diciembre <strong>de</strong> 1988, en la queocasionó gran impacto el hecho <strong>de</strong> que toda RTVE <strong>de</strong>jase <strong>de</strong> emitir <strong>al</strong> unísono. Ambas huelgas estaban<strong>de</strong>stinadas a protestar contra reformas labor<strong>al</strong>es introducidas por el gobierno.__ El 11 <strong>de</strong> julio un grupo <strong>de</strong> gendarmes marroquíestoma la Isla Perejil. Se trata <strong>de</strong> un islote <strong>de</strong>shabitado a8 kilómetros <strong>de</strong> Ceuta reclamado <strong>al</strong>ternativamente tantopor España como por Marruecos, que se encuentra en unlimbo leg<strong>al</strong> sobre a quién pertenece re<strong>al</strong>mente. Marruecosexige su soberanía sin dudas jurídicas sobre el islote yreivindica que forma parte <strong>de</strong> su territorio nacion<strong>al</strong>. Enverano <strong>de</strong> 2002 <strong>de</strong>safía a España, tras una esc<strong>al</strong>a <strong>de</strong>inci<strong>de</strong>ntes diplomáticos en los que se crearon tensiones entre ambos países, seis gendarmes toman la islapor sorpresa. Poco <strong>de</strong>spués son sustituidos por soldados. El gesto <strong>de</strong> Marruecos es tachado <strong>de</strong> inamistosopor la OTAN y España entra en el primer inci<strong>de</strong>nte armado tras la <strong>de</strong>mocracia, en una simple operaciónmilitar que duraría apenas unas horas, pero en la que se <strong>de</strong>spliega un pequeño y <strong>de</strong>sproporcionado ejército.El 20 <strong>de</strong> julio España recogería su ban<strong>de</strong>ra y el islote volvería a quedar <strong>de</strong>shabitado.__En septiembre, George W. Bush <strong>de</strong>safía a los miembros <strong>de</strong> Naciones Unidas, para que afronten el“grave y creciente peligro” que representa Iraq o, <strong>de</strong> lo contrario, se mantengan <strong>al</strong> margen <strong>de</strong> los actos quelos Estados Unidos y <strong>al</strong>iados pudieran re<strong>al</strong>izar.__Comienza el proyecto emule. Después <strong>de</strong>l cierre <strong>de</strong> Napster, aparecen <strong>al</strong>ternativascomo WinMX (que cerraría en 2005) e iMesh, pero ninguno <strong>de</strong>staca por encima <strong>de</strong>lresto. Llega Audiog<strong>al</strong>axy y con él la época dorada <strong>de</strong>l intercambio <strong>de</strong> archivos music<strong>al</strong>es.Mucho más completo y eficiente que Napster, también <strong>de</strong>saparecería por presiones <strong>de</strong>la RIAA. Se utiliza mucho eDonkey2000, pero el programa cada vez contiene más spyware y es pocoeficiente... entonces llega emule, programa abierto y gratuito que se impone con fuerza <strong>de</strong>s<strong>de</strong>ese momento y hasta nuestros días. La compañía propietaria <strong>de</strong> eDonkey2000, MetaMachine,también <strong>al</strong>canzaría un acuerdo en 2006 con la RIAA para evitar un juicio por violar <strong>de</strong> los<strong>de</strong>rechos <strong>de</strong> propiedad intelectu<strong>al</strong>. Tuvo que pagar una compensación <strong>de</strong> 30 millones <strong>de</strong>dólares.El 19 <strong>de</strong> noviembre se parte en dos, con 77.000 toneladas <strong>de</strong> fuel <strong>de</strong>ntro, el petrolero Prestigeen las costas <strong>de</strong> G<strong>al</strong>icia, a 250 kilómetros <strong>de</strong> Finisterre. Antes <strong>de</strong> hundirse <strong>de</strong>finitivamente,cuando se <strong>de</strong>tecta el daño en el casco <strong>de</strong>l barco y la potenci<strong>al</strong> catástrofe, el gobierno, lasempresas <strong>de</strong> s<strong>al</strong>vamento y el capitán <strong>de</strong>l barco comienzan unas fracasadas negociacionescon las que no llegan a ningún acuerdo. La situación es crítica y cada minuto cuenta.Mientras, se especula sobre si es mejor <strong>al</strong>ejarlo o acercarlo a las costas g<strong>al</strong>legas: elv<strong>al</strong>or <strong>de</strong> la mercancía que lleva <strong>al</strong>canza los 60 millones <strong>de</strong> euros, y no se quiere correr elriesgo ni <strong>de</strong> arruinar las costas <strong>de</strong> ningún país, ni <strong>de</strong> per<strong>de</strong>r por completo el cargamento.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 95
Fin<strong>al</strong>mente el petrolero es remolcado lejos <strong>de</strong> las costasg<strong>al</strong>legas, se intenta evitar la contaminación <strong>de</strong> las RíasBajas. El presi<strong>de</strong>nte <strong>de</strong> la Junta <strong>de</strong> G<strong>al</strong>icia, Manuel Fraga,asegura que el hundimiento no tendría efectos sobre elmedio ambiente. Más tar<strong>de</strong> Aznar reconoce errores <strong>de</strong>apreciación. Cuando la nave se hun<strong>de</strong>, se <strong>de</strong>rramaron63.000 toneladas <strong>de</strong> fuel-oil <strong>al</strong> océano. Comienza a llegara la costa el chapapote en forma <strong>de</strong> g<strong>al</strong>letas compactas<strong>de</strong> fuel que <strong>de</strong>stroza las playas, la flora, los peces y las aves.Durante todo 2003, se produciría una av<strong>al</strong>ancha espontanea <strong>de</strong> voluntarios que acu<strong>de</strong>na limpiar <strong>al</strong>truistamente las playas equipados con monos blancos. Se recogen a manolos restos <strong>de</strong> crudo <strong>de</strong>rramado que se escapa <strong>de</strong>l barco hundido. El 10 <strong>de</strong> septiembre <strong>de</strong>2004 Repsol-YPF daría por fin<strong>al</strong>izada la tarea <strong>de</strong> extracción <strong>de</strong>l fuel <strong>de</strong>l barco hundido.Seguridad Informática__ A principios <strong>de</strong> año se <strong>de</strong>tecta SWF.LFM.926 un virus muy primitivo capaz <strong>de</strong> infectarlos archivos <strong>de</strong> Shockwave Flash (extensión .swf). Se trata <strong>de</strong> una prueba <strong>de</strong> concepto,sin riesgo re<strong>al</strong>, que <strong>de</strong>muestra la posibilidad <strong>de</strong> re<strong>al</strong>izar un comportamiento vírico enformatos no habitu<strong>al</strong>es.__ Aparece un virus como prueba <strong>de</strong> concepto capaz <strong>de</strong> infectar a la plataforma .NET.__ El usuario no apren<strong>de</strong>, y los internautas que se conectan por primera vez a Internet se <strong>de</strong>jan engañar <strong>de</strong>nuevo. A principios <strong>de</strong> 2002 rebrota con fuerza el bulo <strong>de</strong>l archivo <strong>de</strong> Windows Sulfnbk.exe.__En enero se presenta la especificación SAML para su revisión pública, un f<strong>al</strong>lido intento <strong>de</strong> crear unestándar para el intercambio <strong>de</strong> información <strong>de</strong> autorización y autenticación. Security Assertion MarkupLanguage (SAML, que se pronuncia “samul”) es un entorno basado en XML especi<strong>al</strong>mente diseñado parafacilitar el intercambio <strong>de</strong> información <strong>de</strong> autenticación y autorización entre los diferentes componentes<strong>de</strong> la infraestructura <strong>de</strong> <strong>seguridad</strong> informática.__Virus como Myparty, aunque sin ninguna aportación técnica <strong>al</strong> género, triunfan por ingeniería soci<strong>al</strong>.El asunto <strong>de</strong>l correo con el que se distribuye es “new photos from my party”.Bajo el nombre <strong>de</strong> Strategic Technology Protection Program (STPP) Microsoft presenta unainiciativa que preten<strong>de</strong> mejorar la <strong>seguridad</strong> <strong>de</strong> sus sistemas operativos y su respuesta antenuevos problemas <strong>de</strong> <strong>seguridad</strong>. El programa Strategic Technology Protection Program(STPP) es una iniciativa por la que Microsoft preten<strong>de</strong> proporcionar herramientas gratuitasy soporte técnico a empresas <strong>de</strong> cu<strong>al</strong>quier tamaño. Propone entre otras medidas unteléfono <strong>de</strong> asistencia gratuita para ayudar a los clientes a resolver inci<strong>de</strong>ncias originadaspor un virus, asesoramiento acerca <strong>de</strong>l modo <strong>de</strong> inst<strong>al</strong>ar actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong>...Microsoft también se compromete a publicar <strong>de</strong> forma sistemática y bimensu<strong>al</strong> (aunqueesta periodicidad nacería ya como los famosos parches mensu<strong>al</strong>es) los conjuntos <strong>de</strong>actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong>. Se establece la i<strong>de</strong>a <strong>de</strong> un sistema centr<strong>al</strong> <strong>de</strong> gestión <strong>de</strong>96<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
actu<strong>al</strong>izaciones (lo que mas tar<strong>de</strong> se convertiría en los exitosos Software Update Services,Windows Software Update Services, Microsoft Operations Manager...).Microsoft se toma en serio su “Trustworthy Computing” o “Informática <strong>de</strong> Confianza”que anunció tras llegar a lo que (por aquél entonces) se creía techo <strong>de</strong> la in<strong>seguridad</strong> yproblemas acarreados por el sistema operativo Windows y sus productos. Poco <strong>de</strong>spués,cuando todavía comenzaba a dar los primeros pasos hacia la implementación re<strong>al</strong> <strong>de</strong>este nuevo concepto <strong>de</strong> introducción <strong>de</strong> <strong>seguridad</strong> en sus productos, virus como Blasterfueron mucho más <strong>al</strong>lá y la situación se volvería casi insostenible.__ Hewlett-Packard publica una distribución comerci<strong>al</strong> Linux con novedosas características <strong>de</strong> <strong>seguridad</strong>,llamada Linux HP-LX 1.0. Está basada en RedHat 7.1.__ Se <strong>de</strong>cubren nuevos ataques contra la privacidad. Microsoft recopila información <strong>de</strong> la música yví<strong>de</strong>os reproducidos a través <strong>de</strong> Windows Media Player 8 sin avisar. La información recopilada,aunque limitada, pue<strong>de</strong> formar junto con otras un perfil <strong>de</strong>l usuario. <strong>Una</strong> vez procesada la información,Microsoft <strong>de</strong>vuelve y <strong>al</strong>macena en el sistema <strong>de</strong>l usuario un archivo en el que se reflejan las preferencias<strong>de</strong>l usuario.__En marzo, la vulnerabilidad <strong>de</strong> los routers ADSL <strong>de</strong> Telefónica que se <strong>de</strong>scubriera dos mesesatrás, se comienza a aprovechar <strong>de</strong> forma masiva por atacantes. Los routers son los Efficient SpeedStream5660. Se cometió un error que provocaba que los filtros IP no funcionasen. Los filtros IP se utilizan, porejemplo, para limitar el acceso administrativo <strong>de</strong>l router a ciertas IPs. Si los filtros no funcionan, cu<strong>al</strong>quieratacante que conozca la clave pue<strong>de</strong> acce<strong>de</strong>r a ellos y re<strong>al</strong>izar los cambios que <strong>de</strong>see. Como las claves <strong>de</strong>los ADSL <strong>de</strong> Telefónica son todas igu<strong>al</strong>es y, en la práctica, la contraseña en cuestión es <strong>de</strong> dominio público(adminttd, adminttd), a efectos prácticos cu<strong>al</strong>quier usuario <strong>de</strong> Internet pue<strong>de</strong> conectarse a esos router ymanipularlos <strong>de</strong> forma arbitraria.__Se populariza el gusano W32.Gibe.dam que simula ser una actu<strong>al</strong>ización <strong>de</strong> <strong>seguridad</strong> queMicrosoft envía por correo.__En marzo s<strong>al</strong>e a la luz uno <strong>de</strong> los hacks más famosos <strong>de</strong> la historia. El acceso a Internetgracias a los tubos <strong>de</strong> g<strong>al</strong>letas Pringles. Las re<strong>de</strong>s in<strong>al</strong>ámbricas empiezan a <strong>de</strong>spuntaren todo el mundo y surgen proyectos para compartir la conexión entre usuarios <strong>de</strong> la mismasciuda<strong>de</strong>s. La BBC informa <strong>de</strong> que los tubos vacíos <strong>de</strong> g<strong>al</strong>letas Pringles pue<strong>de</strong>n convertirse enunos útiles (y baratos) amplificadores <strong>de</strong> las señ<strong>al</strong>es <strong>de</strong> radio. Gracias a la particular forma <strong>de</strong>ltubo <strong>de</strong> Pringles, es posible usarlo como amplificador y antena direccion<strong>al</strong>.__Klez.H, variante <strong>de</strong>l origin<strong>al</strong> virus Klez, es ofici<strong>al</strong>mente proclamado el mayor virus <strong>de</strong> toda la historia,robando el puesto a SirCam, Melissa e incluso <strong>al</strong> famoso I Love You, uno <strong>de</strong> los más populares. Se registran20.000 copias <strong>de</strong>l virus cada día, con una media <strong>de</strong> una infección por cada 300 correos electrónicos quecirculan por Internet. Disfraza los correos infectados con asuntos completamente <strong>al</strong>eatorios. Las sucesivasmodificaciones <strong>de</strong>l código <strong>de</strong>l Klez origin<strong>al</strong> dan lugar a nuevas variantes mucho más complicadas <strong>de</strong><strong>de</strong>tectar y cada una <strong>de</strong> ellas más popular que la anterior entre la comunidad afectada.__En mayo, un matemático japonés consigue engañar a once lectores <strong>de</strong> huellas digit<strong>al</strong>esinvirtiendo menos <strong>de</strong> 10 dólares en materi<strong>al</strong> y una hora <strong>de</strong> trabajo. Tsutomu Matsumoto duplicó una huelladigit<strong>al</strong> res<strong>al</strong>tando su impresión sobre crist<strong>al</strong> (por ejemplo, un vaso o una ventana) mediante adhesivo <strong>de</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 97
cianoacrilato (comerci<strong>al</strong>mente distribuido con marcas tan conocidas como “Super Glue”) y fotografiandoel resultado con una cámara digit<strong>al</strong>. La imagen resultante se mejoró mediante Photoshop y se imprimióen una hoja <strong>de</strong> papel transparente. Matsumoto utilizó la hoja como máscara para generar un circuitoimpreso con la imagen <strong>de</strong> la huella digit<strong>al</strong> (para proporcionar “relieve”). Seguidamente obtuvo un <strong>de</strong>do <strong>de</strong>“gelatina” empleando el circuito impreso para proporcionarle el relieve que emula la huella digit<strong>al</strong> origin<strong>al</strong>.El resultado: un “<strong>de</strong>do” que pasa la prueba <strong>de</strong> un escáner digit<strong>al</strong> con una efectividad <strong>de</strong>l 80%. Se cree quela biometría es el futuro <strong>de</strong> la informática. Inci<strong>de</strong>ntes como este harían que, muchos años <strong>de</strong>spués, siga sinllegar con éxito rotundo a la informática <strong>de</strong> consumo.__Las tres ramas <strong>de</strong> BIND sufren constantes problemas <strong>de</strong> <strong>seguridad</strong> durante todo el año. Todavía semantienen activas la 4, la 8 y la 9.__Apache es el servidor web más popular <strong>de</strong>l mundo, con más <strong>de</strong>l 60% <strong>de</strong> cuota <strong>de</strong> mercado. Se <strong>de</strong>scubreque las versiones <strong>de</strong> Apache previas a la 1.3.26 y 2.0.39 son susceptibles a un ataque re<strong>al</strong>izado a través<strong>de</strong> cabeceras incorrectas en los “chunked data”. Los “chunked data” (datos troceados) permiten enviarsegmentos <strong>de</strong> datos <strong>de</strong> forma paulatina, por ejemplo, si no se conoce el tamaño fin<strong>al</strong> <strong>de</strong> los datos perose quiere re<strong>al</strong>izar la transmisión a medida que se van obteniendo, envez <strong>de</strong> esperar a tenerlos todos. Se trata <strong>de</strong> una mod<strong>al</strong>idad <strong>de</strong> protocoloHTTP poco utilizada. Las versiones <strong>de</strong> Apache vulnerables no gestionana<strong>de</strong>cuadamente la presencia <strong>de</strong> v<strong>al</strong>ores ileg<strong>al</strong>es en la cabeceras “chunkeddata” y esto pue<strong>de</strong> permitir la ejecución <strong>de</strong> código. No tardan en aparecerexploits y se convierte en una grave vulnerabilidad.__ La Agencia Fe<strong>de</strong>r<strong>al</strong> <strong>de</strong> comunicación e Información <strong>de</strong>l gobierno ruso <strong>de</strong>clara a bombo y platillo queel nuevo sitio web <strong>de</strong>l presi<strong>de</strong>nte www.presi<strong>de</strong>nt.kremlin.ru está blindado contra ataques. Recuerda a lasonada campaña <strong>de</strong> Oracle cuando presentó su versión 9i con el nombre <strong>de</strong> “Unbreakable”, (irrompible).A fin<strong>al</strong>es <strong>de</strong> 2001 Internet se llenó <strong>de</strong> anuncios y banners que prometían que la nueva versión <strong>de</strong> Oracleera irrompible. Entre la comunidad, este mensaje perteneciente a una agresiva campaña <strong>de</strong> marketingno pudo más que tomarse a broma. No tardaron en aparecer todo tipo <strong>de</strong> <strong>de</strong>sbordamiento <strong>de</strong> memoriasintermedias, f<strong>al</strong>los remotos, loc<strong>al</strong>es, internos, exploits... <strong>al</strong>gunos incluso obvios y trivi<strong>al</strong>es. El software <strong>de</strong>Oracle seguía siendo vulnerable a todo tipo <strong>de</strong> f<strong>al</strong>los <strong>de</strong> <strong>seguridad</strong>, tanto o más que sus pre<strong>de</strong>cesores y, conel tiempo se sabría, menos que sus sucesores. La campaña todavía se recuerda por lo pretenciosa y popularque resultó. Nunca más Oracle usaría esa campaña.__En junio <strong>de</strong> 2002 se encuentra un grave f<strong>al</strong>lo <strong>de</strong> <strong>seguridad</strong> en OpenSSH que permite a un atacanteremoto obtener tot<strong>al</strong> control <strong>de</strong>l sistema.__Ross An<strong>de</strong>rson publica un estudio an<strong>al</strong>izando la iniciativa <strong>de</strong> Intel, HP, IBM y Microsoft <strong>de</strong>nominada“Trusted Computing Platform Alliance” (TCPA, que en 2003 se convertiría en la Trusted ComputingGroup). Se supone que su objetivo es que la nueva generación <strong>de</strong> or<strong>de</strong>nadores person<strong>al</strong>es sean más seguros,pero según An<strong>de</strong>rson, el objetivo re<strong>al</strong> es aumentar la <strong>seguridad</strong> en aquello que interesa a los fabricantes<strong>de</strong> or<strong>de</strong>nadores y <strong>de</strong> software, en contra <strong>de</strong> los intereses re<strong>al</strong>es <strong>de</strong> los usuarios <strong>de</strong> los mismos en materia<strong>de</strong> <strong>seguridad</strong>. A<strong>de</strong>más An<strong>de</strong>rson afirma que la TCPA , si prospera, pue<strong>de</strong> ser una amenaza directa a lacomunidad <strong>de</strong> software <strong>de</strong> código abierto, por motivos más directamente relacionados con la economíaque no con la tecnología.__ Bernardo Quintero y Jesús Cea acu<strong>de</strong>n <strong>de</strong> invitados a e-G<strong>al</strong>laecia. Hablan <strong>de</strong> los problemas <strong>de</strong> las<strong>de</strong>tecciones basadas en firmas y crean en directo un gusano para la ocasión en apenas unas líneas <strong>de</strong> VBS,para comprobar cómo con simples modificaciones se hacía invisible a los motores antivirus. Era una prueba98<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
<strong>de</strong> concepto muy básica que no infectó a nadie, y a<strong>de</strong>más se envíaa los laboratorios antivirus para que la incluyeran en sus firmas.Lo bautizaron como “G<strong>al</strong>la”. Enumeran diferentes estrategias parahacer frente a las limitaciones <strong>de</strong> la <strong>de</strong>tección por firmas, <strong>de</strong>s<strong>de</strong>la heurística en el análisis <strong>de</strong> código hasta la <strong>de</strong>tección genéricabasada en el comportamiento. Algo que sería común a partir <strong>de</strong>2005. En 2002 nadie había apostado fuerte por esta estrategia <strong>de</strong><strong>de</strong>tección basada en el comportamiento como complemento a lasfirmas. <strong>Hispasec</strong> presenta entonces su propia prueba <strong>de</strong> concepto:SecureCenter. Creado para la ocasión, básicamente contaba conun monitor <strong>de</strong> archivos y <strong>de</strong>l registro <strong>de</strong> Windows, a<strong>de</strong>más <strong>de</strong> <strong>al</strong>gunaopción para configurar automáticamente contra virus <strong>al</strong>gunosaspectos <strong>de</strong> Windows y Office. La i<strong>de</strong>a era: en vez <strong>de</strong> reconocer <strong>al</strong>os virus por una firma que los i<strong>de</strong>ntifique, reconocerlos <strong>de</strong> formagenérica por el tipo <strong>de</strong> acciones que preten<strong>de</strong>n llevar a cabo en unsistema. El programa fue <strong>de</strong>scartado, aunque suponía un a<strong>de</strong>lantoa las técnicas que más tar<strong>de</strong> ofrecerían todos los antivirus.__Se bautiza con el nombre <strong>de</strong> Frethem un gusano caracterizado por venir en un mensaje con el asunto“Re: Your password!”. Alcanza índices <strong>de</strong> inci<strong>de</strong>ncia bastante <strong>al</strong>tos. El virus tiene las mismas característicasque BadTrans, Nimda o Klez, pero aun así consigue <strong>al</strong>tas cotas <strong>de</strong> infección. Aprovecha la vulnerabilidadiFRAME <strong>de</strong>l Internet Explorer 5.01 y 5.5 y pue<strong>de</strong> hacer que el usuario se vea infectado sin llegar a abrir elmensaje, puesto que consigue ejecutarse <strong>de</strong>s<strong>de</strong> las vista previa <strong>de</strong> mensajes <strong>de</strong>l cliente <strong>de</strong> correo electrónicoOutlook y Outlook Express.__ Se populariza en los virus el cambio o f<strong>al</strong>sificación <strong>de</strong> dirección <strong>de</strong> remitente en loscorreos. Recibir un mensaje que intenta infectar con el virus <strong>de</strong>l momento no indica expresamente que elremitente mostrado también esté infectado. Los usuarios comienzan a acusar o advertir a los remitentes,creando una preocupación innecesaria. Esto también provoca un <strong>al</strong>uvión <strong>de</strong> mensajes automáticosinformativos <strong>de</strong> los antivirus en las pasarelas <strong>de</strong> correo: primero los <strong>de</strong>l tipo que avisan <strong>al</strong> supuestoremitente <strong>de</strong> una f<strong>al</strong>sa infección. Segundo los que avisan <strong>al</strong> receptor <strong>de</strong> que una dirección (simulada y quenada tiene que ver con su dueño re<strong>al</strong>) intenta infectarlos. Se crea mucha confusión, acusaciones y m<strong>al</strong>aimagen injustificada entre usuarios y empresas.Es el año <strong>de</strong> los programas troyanizados en servidores ofici<strong>al</strong>es. En agosto se <strong>de</strong>tecta quela distribución ofici<strong>al</strong> <strong>de</strong> OpenSSH está troyanizada. El código fuente <strong>de</strong>l paquete OpenSSHes modificado por un intruso y puesto a disposición <strong>de</strong> todos a través <strong>de</strong> la página web.Entre el 30 y el 31 <strong>de</strong> julio se insertó el código <strong>de</strong> un troyano en las versiones <strong>de</strong> OpenSSH3.2.2p1, 3.4p1 y 3.4 sobre el servidor FTP ofici<strong>al</strong> <strong>de</strong> OpenBSD y <strong>de</strong> ahí se propagó a través <strong>de</strong>lproceso norm<strong>al</strong> <strong>de</strong> replicación a otros servidores FTP. Las versiones <strong>de</strong> OpenSSH afectadaspor el troyano contienen un código que permite abrir una shell remota con los permisos<strong>de</strong>l usuario que compiló OpenSSH. Ocurriría lo mismo con Sendmail en octubre <strong>de</strong> esemismo año. Un intruso modifica el código fuente para incluir el troyano y comprometela <strong>seguridad</strong> <strong>de</strong>l servidor FTP ofici<strong>al</strong> para hospedar las copias infectadas. En noviembre,el servidor utilizado para la distribución <strong>de</strong> dos herramientas muy utilizadas por losprofesion<strong>al</strong>es <strong>de</strong> la <strong>seguridad</strong>, tcpdump y libpcap, también es atacado para introducir untroyano en el código fuente <strong>de</strong> estos programas. El troyano consistía en una modificación<strong>de</strong>l archivo <strong>de</strong> configuración (./configure) y <strong>de</strong> uno <strong>de</strong> los archivos <strong>de</strong> código fuente para<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 99
permitir a un atacante tomar el control <strong>de</strong>l sistema afectado en remoto. Por otra parte lamodificación efectuada en el código fuente <strong>de</strong> libpcap es para ignorar todo el tráficocon origen o <strong>de</strong>stino a la puerta trasera.__ Symantec anuncia la adquisición <strong>de</strong> cuatro compañías centradas en el mercado <strong>de</strong> la <strong>seguridad</strong>:Mountain Wave, Recourse Technologies, Riptech y SecurityFocus, por un v<strong>al</strong>or tot<strong>al</strong> cercano a los 375millones <strong>de</strong> euros. La adquisición <strong>de</strong>l port<strong>al</strong> SecurityFocus, que hasta el momento gozaba <strong>de</strong> una granreputación como port<strong>al</strong> <strong>de</strong> información in<strong>de</strong>pendiente sobre <strong>seguridad</strong>, levanta una gran polémica. Losniveles <strong>de</strong> c<strong>al</strong>idad <strong>de</strong> la página, sin embargo, se mantendrían con el tiempo.P<strong>al</strong>ladium es el nombre en clave que recibe una iniciativa <strong>de</strong> Microsoft para implementarla especificación TCPA (Trusted Computing Platform Alliance). Se habla <strong>de</strong> P<strong>al</strong>ladiumcomo un ambicioso proyecto que supone una revolución en la arquitectura <strong>de</strong>l PC quehoy conocemos. El objetivo fin<strong>al</strong> <strong>de</strong>l proyecto P<strong>al</strong>ladium es crear una nueva plataformainformática que mejore ostensiblemente la capacidad <strong>de</strong> los usuarios para proteger laprivacidad <strong>de</strong> sus datos y controlar el software que se ejecuta en sus máquinas. Microsofttambién plantea P<strong>al</strong>ladium como la plataforma para una nueva serie <strong>de</strong> serviciosrelacionados con la privacidad, el comercio electrónico y el entretenimiento. Uno <strong>de</strong> susobjetivos básicos es poner fin <strong>al</strong> <strong>de</strong>scontrol existente en el mundo <strong>de</strong> los virus informáticos.<strong>Una</strong> <strong>de</strong> las características que más llama la atención es la posibilidad <strong>de</strong> impedir la ejecución<strong>de</strong> cu<strong>al</strong>quier código que no esté firmado digit<strong>al</strong>mente por una fuente <strong>de</strong> confianza, peroa nivel <strong>de</strong> hardware. Los <strong>de</strong>fensores <strong>de</strong>l software libre se quejan. Si la nueva versión <strong>de</strong>lnúcleo <strong>de</strong> Linux, por ejemplo, no dispone <strong>de</strong> una firma digit<strong>al</strong> <strong>de</strong> una gran compañía,un sistema basado en P<strong>al</strong>ladium se negaría a ejecutarlo. Se crea StopP<strong>al</strong>ladium.org. Elproyecto P<strong>al</strong>ladium como t<strong>al</strong> fracasa y se <strong>de</strong>svanecería en enero <strong>de</strong> 2003, pasando <strong>al</strong>lamarse “Next-Generation Secure Computing Base for Windows” y funcionando <strong>de</strong> formamucho más discreta y menos intrusiva <strong>de</strong> lo imaginado en un principio.__ En junio, la muerte <strong>de</strong>l responsable <strong>de</strong> la conservación y archivado <strong>de</strong> importantes documentos históricos<strong>de</strong> Noruega los <strong>de</strong>ja inaccesibles. Los documentos se conservaban cifrados, y la única persona que conocela clave muere sin comunicarla. Ottar Grepstad, director <strong>de</strong>l Centro Nacion<strong>al</strong> <strong>de</strong> Lenguaje y Cultura <strong>de</strong>Noruega, re<strong>al</strong>iza un llamamiento mundi<strong>al</strong> solicitando ayuda para atacar el cifrado o sus contraseñas,y así recuperar los documentos. Apenas cinco horas más tar<strong>de</strong>, un programador sueco envia la clave:LADEPUJD. La clave se trata, en re<strong>al</strong>idad, <strong>de</strong>l nombre escrito <strong>al</strong> revés <strong>de</strong>l propietario origin<strong>al</strong> <strong>de</strong> losarchivos. Esa información se indicaba en el dossier publicado con los antece<strong>de</strong>ntes <strong>de</strong> los archivos, con laesperanza <strong>de</strong> que proporcionasen <strong>al</strong>guna pista sobre la clave utilizada. Cientos <strong>de</strong> usuarios acertarían sindificultad la respuesta correcta__En agosto s<strong>al</strong>ta a los medios un troyano capaz <strong>de</strong> burlar a los cortafuegos. Aprovecha InternetExplorer para burlar las protecciones <strong>de</strong> los firew<strong>al</strong>ls, aunque el concepto no es nuevo y lleva tiempoutilizándose. El troyano, diseñado como prueba <strong>de</strong> concepto, se da a conocer en la DefCon con el nombre<strong>de</strong> Setiri. La “novedad” que incorpora es que abre una ventana invisible <strong>de</strong> Internet Explorer y se conectacon un sitio para <strong>de</strong>scargar distintos módulos <strong>de</strong>l troyano, recoger los comandos y enviar informaciónsensible. Los cortafuegos person<strong>al</strong>es que se inst<strong>al</strong>an como software en los mismos sistemas, no <strong>de</strong>tectannada anorm<strong>al</strong> en Setiri puesto que la transmisión <strong>de</strong> datos se re<strong>al</strong>iza a través <strong>de</strong>l Internet Explorer, una <strong>de</strong>las primeras aplicaciones que se marcan como legítimas para conexiones externas en el cortafuegos. Esta100<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
técnica sería, a partir <strong>de</strong> 2004, usada por la práctica tot<strong>al</strong>idad <strong>de</strong>l m<strong>al</strong>ware bancario.__MessageLabs protagoniza unas vergonzosas <strong>de</strong>claraciones. Des<strong>de</strong> la compañía británica se lanzanlos siguientes titulares: “Los creadores <strong>de</strong> virus a través <strong>de</strong> Internet se convierten en inofensivas reliquias<strong>de</strong>l pasado”. “Expertos aseguran que <strong>de</strong>saparece la amenaza <strong>de</strong> los virus”. Queda la duda <strong>de</strong> si forma parte<strong>de</strong> una burda táctica para provocar la creación <strong>de</strong> nuevos virus o si se trata <strong>de</strong> un intento <strong>de</strong>sesperado<strong>de</strong> <strong>al</strong>canzar cierta notoriedad en los medios <strong>de</strong> comunicación. MessageLabs ofrece un servicio antivirusexterno para filtrar el correo electrónico. El simulacro <strong>de</strong> argumento ofrecido por la compañía viene a<strong>de</strong>cir: “Han pasado 18 meses <strong>de</strong>s<strong>de</strong> que el virus Anna Kournikova, consi<strong>de</strong>rado por muchos el último granvirus <strong>de</strong> or<strong>de</strong>nadores creado por un precoz programador, infligió graves daños en el mundo corporativo,en lo que podría ser un indicio <strong>de</strong> que su época ha pasado. Ya no son la amenaza que eran”. Mark Toshack,an<strong>al</strong>ista <strong>de</strong> la firma británica <strong>de</strong> <strong>seguridad</strong> MessageLabs, se cubriría <strong>de</strong> gloria.Dos esfuerzos distribuidos mundi<strong>al</strong>es culminan sus retos con éxito, tras casi cinco años <strong>de</strong>proceso. El reto RC5-64 forma parte <strong>de</strong> un conjunto <strong>de</strong> retos ofertados por la compañíaRSA, con el fin <strong>de</strong> concienciar a los usuarios sobre la importancia <strong>de</strong> la criptografía y laresistencia relativa <strong>de</strong> cada <strong>al</strong>goritmo según el tamaño <strong>de</strong> claves. Distributed.net coordinael proyecto. Voluntarios prestan <strong>de</strong> forma <strong>al</strong>truista los tiempos “ociosos” <strong>de</strong> sus máquinaspara procesar datos <strong>de</strong>l <strong>al</strong>goritmo <strong>de</strong> cifrado elegido. Mediante un sistema distribuidodon<strong>de</strong> son asignados bloques <strong>de</strong> claves a cada cliente y coordinadas con un servidor, seintenta por fuerza bruta averiguar el mensaje cifrado con un <strong>al</strong>goritmo concreto. En 1999se propusieron romper un mensaje cifrado con el <strong>al</strong>goritmo RC5 <strong>de</strong> 64 bits por fuerza brutay en julio <strong>de</strong> 2002 la clave buscada es encontrada por un PentiumIII a 450Mhz, en Japón.La clave en cuestión es “0x63DE7DC154F4D039”, y el texto <strong>de</strong>scifrado se lee como “Somethings are better left unread”.Los <strong>de</strong>t<strong>al</strong>les <strong>de</strong>stacados <strong>de</strong>l reto:. Se ha mantenido en funcionamiento ininterrumpidodurante casi 5 años, aprovechando los recursospuestos a su disposición por cientos <strong>de</strong> miles <strong>de</strong>usuarios repartidos por todo el mundo.. A lo largo <strong>de</strong>l proyecto, se han involucrado en élmás <strong>de</strong> 331.252 personas.. Hasta encontrar la clave correcta, se comprobaron15.769.938.165.961.326.592 claves distintas.. Ha habido días en los que se ha comprobado el 0.<strong>12</strong>% <strong>de</strong>l espacio <strong>de</strong> claves. Si ese ritmose hubiera mantenido durante todo el proyecto, se hubiera encontrado la clave en 790días, en vez <strong>de</strong> en 1757.. Ese ritmo es equiv<strong>al</strong>ente a 32.504 Apple PowerBook G4 a 800 MHz o 45.998 AMD AthlonXP a 2 GHz trabajando a la vez.En noviembre, tras cuatro años, un equipo <strong>de</strong> la universidad <strong>de</strong> Notre Dame, en Indiana,supera el reto ECCp-109, propuesto por la empresa Certicom en 1997. La criptografía<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 101
<strong>de</strong> curvas elípticas permite la creación <strong>de</strong> criptosistemas asimétricos (como RSA), peroutilizando curvas elípticas en vez <strong>de</strong> números primos. Su ventaja fundament<strong>al</strong> consisteen que las claves son mucho más cortas (160 bits en vez <strong>de</strong> 1024 bits, por ejemplo) y losrequerimientos <strong>de</strong> memoria y CPU para re<strong>al</strong>izar las operaciones criptográficas son bastanteinferiores. Su <strong>de</strong>sventaja fundament<strong>al</strong> es que muchas <strong>de</strong> sus variantes están patentadas yno pue<strong>de</strong>n utilizarse <strong>de</strong> forma libre.El reto ECCp-109 ofrece un premio <strong>de</strong> 10.000 dólares a quien consiga <strong>de</strong>scifrar unmensaje cifrado con una clave ECC <strong>de</strong> 109 bits. El equipo <strong>de</strong> la universidad <strong>de</strong> NotreDame mantuvo 10.000 or<strong>de</strong>nadores funcionando 24 horas durante 549 días para <strong>de</strong>scifrarel mensaje. Participan más <strong>de</strong> 247 equipos <strong>de</strong> todo el mundo, sumando más <strong>de</strong> 10.308personas. Certicom patrocina estos retos como una forma <strong>de</strong> verificar la <strong>seguridad</strong> <strong>de</strong>su tecnología, para aumentar el conocimiento <strong>de</strong> la misma por parte <strong>de</strong>l público y para<strong>de</strong>mostrar la robustez <strong>de</strong>l sistema criptográfico incluso con claves <strong>de</strong> pequeño tamaño.Comerci<strong>al</strong>mente Certicom utiliza tecnología <strong>de</strong> 163 bits, lo que resulta unos cien millones<strong>de</strong> veces más robusta que el reto resuelto.__Con la presentación <strong>de</strong>l Service Pack 1 para Windows XP, Microsoft preten<strong>de</strong> que únicamentelos usuarios <strong>de</strong> copias leg<strong>al</strong>es <strong>de</strong>l sistema operativo pudieran inst<strong>al</strong>arlo. El resultado es un auténticofiasco. Cuando se proce<strong>de</strong> a la inst<strong>al</strong>ación <strong>de</strong>l Service Pack para Windows XP el programa <strong>de</strong> inst<strong>al</strong>aciónre<strong>al</strong>iza una verificación para <strong>de</strong>terminar si el sistema operativo es una copia legítima o pirata. Para ello,se comprueba el número <strong>de</strong> serie <strong>de</strong>l sistema cotejándolo con una lista negra. Si el número <strong>de</strong> serie figura<strong>de</strong>ntro <strong>de</strong> esta lista, no pue<strong>de</strong> re<strong>al</strong>izarse la inst<strong>al</strong>ación. Des<strong>de</strong> entonces, cada vez que un usuario visite elservicio “Windows Update” se proce<strong>de</strong>rá a comprobar si su sistema operativo es una versión legítima.Tan pronto como se <strong>de</strong>tecte una versión pirata, Microsoft bloqueará el acceso <strong>al</strong> servicio automático <strong>de</strong>actu<strong>al</strong>izaciones aunque se podrá seguir actu<strong>al</strong>izando el sistema a través <strong>de</strong>l servicio <strong>de</strong> actu<strong>al</strong>izacionesinterno. No obstante, y antes <strong>de</strong> incluso <strong>de</strong> la disponibilidad ofici<strong>al</strong> <strong>de</strong>l Service Pack, se publicaron endiferentes web métodos que explicaban cómo s<strong>al</strong>tarse esta protección <strong>de</strong> forma que los usuarios <strong>de</strong>versiones no leg<strong>al</strong>es <strong>de</strong> Windows XP también pudiesen re<strong>al</strong>izar la inst<strong>al</strong>ación <strong>de</strong>l Service Pack.El 21 <strong>de</strong> octubre Internet se tamb<strong>al</strong>ea. Se re<strong>al</strong>iza un ataque organizado <strong>de</strong> <strong>de</strong>negación <strong>de</strong>servicio sobre los servidores raíz DNS. Cada vez que se escribe un nombre, éste <strong>de</strong>be sertraducido a una dirección IP numérica. Cada or<strong>de</strong>nador tiene la dirección <strong>de</strong>l servidor<strong>de</strong> nombres loc<strong>al</strong>, habitu<strong>al</strong>mente configurado por el ISP. Si este servidor <strong>de</strong> nombres loc<strong>al</strong>no conoce la conversión a re<strong>al</strong>izar, pasa la solicitud <strong>de</strong> conversión <strong>al</strong> servidor responsable<strong>de</strong>l dominio .COM (dominio <strong>de</strong> primer nivel). En el caso <strong>de</strong> que no sepa cuál es el servidorresponsable <strong>de</strong>l dominio <strong>de</strong> primer nivel, re<strong>al</strong>iza la consulta a uno <strong>de</strong> los servidores raíz. Estosservidores raíz disponen <strong>de</strong> punteros a todos los servidores responsables <strong>de</strong> los dominios <strong>de</strong>primer nivel: .com, .net, .org, .es, .uk, .info...En 2002 existen 13 sistemas consi<strong>de</strong>rados servidores raíz en todo el mundo: diez <strong>de</strong> ellossituados en Estados Unidos, dos en Europa (Londres y Estocolmo) y otro en Japón (muypoco <strong>de</strong>spúes se uniría un <strong>de</strong>cimocuarto servidor raíz situado en España por Espanix). Ladistribución origin<strong>al</strong> <strong>de</strong>ja mucho que <strong>de</strong>sear por su elevada concentración <strong>de</strong> servidoresen áreas geográficas muy reducidas. Durante aproximadamente una hora, entre las 22:45y las 23:45 CET <strong>de</strong>l 21 <strong>de</strong> octubre, se <strong>de</strong>tecta un ataque distribuido <strong>de</strong> <strong>de</strong>negación <strong>de</strong>servicio contra todos los servidores raíz. Durante el apogeo <strong>de</strong>l ataque un máximo <strong>de</strong> siete102<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
servidores raíz tuvieron problemas y se c<strong>al</strong>cula que únicamente un 6% <strong>de</strong> las peticiones <strong>de</strong>resolución no fueron atendidas. Lo más significativo <strong>de</strong> este ataque fue que tenía comoobjetivo todos los servidores raíz, <strong>de</strong> forma simultánea.Con anterioridad han existido <strong>al</strong>gunos problemas con la resolución <strong>de</strong> nombres con unimpacto mayor. En abril <strong>de</strong> 1997 el sistema <strong>de</strong> resolución <strong>de</strong> nombres no funcionó durantevarías horas <strong>de</strong>bido a que un router, por error en su configuración, se anunció él mismoa todos en Internet como el camino más rápido para acce<strong>de</strong>r a otras direcciones. Estocausó que todas las peticiones intentaran utilizar este servidor, provocando el colapso <strong>de</strong>la red.__En 2002 se superan los 40.000 suscritos directamente por correo a una-<strong>al</strong>-día. En 2008 son más<strong>de</strong> 35.000 los suscritos directamente por correo y se diversifican las fuentes <strong>de</strong> lectura con can<strong>al</strong>es<strong>al</strong>ternativos como el RSS.__En diciembre, eBay, la mayor casa <strong>de</strong> subastas <strong>de</strong>l mundo, comunica que sus 55 millones <strong>de</strong> clientes estáen el punto <strong>de</strong> mira <strong>de</strong> un espectacular frau<strong>de</strong> <strong>al</strong> que todavía no se le daría el nombre <strong>de</strong> “phishing”. En2008, eBay y PayP<strong>al</strong> siguen siendo las favoritas indiscutibles <strong>de</strong> este tipo <strong>de</strong> estafas.__Tras más <strong>de</strong> 5 años sin cambios, se publica una actu<strong>al</strong>ización <strong>de</strong> la zona raíz <strong>de</strong>l sistema DNS.<strong>Una</strong> <strong>al</strong> día01/01/2002 Gusanos <strong>de</strong> Internet: pasado, presente y futuro (III)En la última entrega <strong>de</strong> esta trilogía sobre gusanos <strong>de</strong> Internet vamos a abordar que nos pue<strong>de</strong> <strong>de</strong>pararel futuro más inmediato en el terreno <strong>de</strong> los códigos víricos. Hablar <strong>de</strong> futuro en el mundillo <strong>de</strong> los virussupone un ejercicio <strong>de</strong> responsabilidad, ya no tanto por el grado <strong>de</strong> acierto que se pueda tener, <strong>de</strong> caraa la g<strong>al</strong>ería, entre las i<strong>de</strong>as expuestas y lo que fin<strong>al</strong>mente suceda, sino por la posibilidad <strong>de</strong> que <strong>al</strong>gúncomentario resulte ser origin<strong>al</strong> y se convierta en la semilla <strong>de</strong> <strong>al</strong>gún nuevo virus.En este sentido recuerdo que <strong>de</strong>jé <strong>de</strong> escribir un artículo, durante los primeros años <strong>de</strong> Windows 95 y lagener<strong>al</strong>ización <strong>de</strong> Internet, sobre el peligro que entrañaría el <strong>de</strong>sarrollo <strong>de</strong> un gusano que explotara lacompartición <strong>de</strong> recursos aprovechando que Windows 95 “montaba” por <strong>de</strong>fecto NetBIOS sobre TCP/IP.El resultado era que las máquinas que compartían sus recursos en una red loc<strong>al</strong>, como pue<strong>de</strong> ser un discoduro, también lo hacían automáticamente para cu<strong>al</strong>quier usuario <strong>de</strong> Internet.Por aquel entonces era un agujero <strong>de</strong> <strong>seguridad</strong> muy gener<strong>al</strong>izado, que Microsoft nunca reconoció comot<strong>al</strong> y por tanto no existía aviso ni parche ofici<strong>al</strong>, <strong>de</strong> forma que escanear <strong>de</strong> forma arbitraria una clase C enInternet <strong>de</strong>volvía la mayoría <strong>de</strong> las veces <strong>al</strong>gunas máquinas con este grave problema don<strong>de</strong> no f<strong>al</strong>taban lasque compartían todo el disco duro. Que el gusano re<strong>al</strong>izara una copia <strong>de</strong> si mismo en la carpeta <strong>de</strong> Inicio<strong>de</strong> Windows en el disco duro remoto no era empresa difícil, <strong>de</strong> forma que la próxima vez que se iniciaraWindows el virus se ejecutaría automáticamente y proce<strong>de</strong>ría a buscar nuevas víctimas una vez conectadoa Internet. Por fortuna, nunca sabremos el impacto que un gusano <strong>de</strong> este tipo pudo haber causado enaquellas circunstancias.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 103
La verdad es que aquellos años los creadores <strong>de</strong> virus estaban más ocupados investigando a fondo losentresijos <strong>de</strong> Windows 95 para po<strong>de</strong>r crear virus compatibles con el nuevo sistema y formato <strong>de</strong> ejecutables.Se abría un periodo <strong>de</strong> adaptación para trasladar y adaptar todas las técnicas que habían venido utilizandohasta la fecha en la antigua escuela aprovechando todo los recovecos <strong>de</strong>l DOS. No perdieron el tiempo, lainnovación en el terreno <strong>de</strong> los virus Win32 ha sido constante, con la incorporación <strong>de</strong> nuevas técnicas quenunca llegamos a imaginar.De un modo u otro, lo que está claro es que Microsoft juega un papel fundament<strong>al</strong> en el terreno <strong>de</strong> los virusinformáticos. Dejando a un lado que por diseño sus sistemas sean más o menos seguros y que faciliten enparte la vida a los virus, su importancia viene <strong>de</strong> la posición predominante que ocupa en el mercado <strong>de</strong>los sistemas operativos, aplastante en el caso <strong>de</strong> los usuarios domésticos y puestos clientes. Si el fin <strong>de</strong> unvirus es sobrevivir y reproducirse <strong>al</strong> máximo, lo norm<strong>al</strong> es que se diseñe para que pueda afectar <strong>al</strong> mayornúmero <strong>de</strong> víctimas posibles, y hoy día en el caso <strong>de</strong> la informática eso se traduce en la compatibilidad conWindows y productos Microsoft.A<strong>de</strong>más <strong>de</strong> los virus para DOS y la nueva generación Windows ya comentada, la historia <strong>de</strong>ja claro quela aparición <strong>de</strong> nuevas clases o familias <strong>de</strong> virus se basa en los nuevos productos o tecnologías Microsoft.Si con Office asistimos <strong>al</strong> nacimiento <strong>de</strong> la plaga <strong>de</strong> los virus <strong>de</strong> macro, con gusanos como “Melissa”, laincorporación por <strong>de</strong>fecto <strong>de</strong>l interprete Windows Scripting Host en Windows 98 y posteriores nos trajoel <strong>al</strong>uvión <strong>de</strong> gusanos escritos en Visu<strong>al</strong> Basic Script (VBS), como “ILoveYou” y compañía.Visto ésto, para hablar <strong>de</strong> futuro en el mundo <strong>de</strong> los virus informáticos, que mejor que darse una vuelta porla web <strong>de</strong> Microsoft para ver las nuevas tecnologías y productos que con casi tot<strong>al</strong> <strong>seguridad</strong> terminaránimplantándose <strong>de</strong> forma glob<strong>al</strong>.Tanto si visitamos www.microsoft.com, como si somos asiduos a las noticias <strong>de</strong> tecnología, veremos queMicrosoft ha puesto mucho hincapié en introducirnos a su nueva tecnología .NET, que se hará notar tantoen los sistemas operativos como en las aplicaciones. .NET nos abrirá la puerta a la informática distribuidacon nuevas funcion<strong>al</strong>ida<strong>de</strong>s que facilitarán la conexión <strong>de</strong> componentes a través <strong>de</strong> re<strong>de</strong>s, un ambiente quea buen seguro aprovecharán los creadores <strong>de</strong> virus.Si profundizamos en .NET, en lo que <strong>de</strong>sarrollo se refiere, po<strong>de</strong>mos ver nuevos conceptos como elCommon Language Runtime, un mo<strong>de</strong>lo que busca integrar el código generado por los compiladores <strong>de</strong>manera in<strong>de</strong>pendiente <strong>al</strong> lenguaje utilizado. Para lograrlo aparece un nuevo lenguaje y su correspondienteformato <strong>de</strong> archivo, Microsoft intermediate language (MSIL), que a<strong>de</strong>más amenaza con que su código esin<strong>de</strong>pendiente <strong>al</strong> juego <strong>de</strong> instrucciones <strong>de</strong> la CPU, en su búsqueda por convertirse en un estándar quetermine por implantarse también en otras plataformas. El sueño <strong>de</strong> cu<strong>al</strong>quier creador <strong>de</strong> virus, un formatoque le permita <strong>de</strong> forma fácil diseñar gusanos multiplataforma.En futuras entregas, fuera <strong>de</strong> esta trilogía, abordaremos <strong>al</strong>gunas funcion<strong>al</strong>ida<strong>de</strong>s y características <strong>de</strong> .NETy las implicaciones que pueda tener en la <strong>seguridad</strong> <strong>de</strong> nuestros sistemas. De momento nos quedamoscon .NET y MSIL (Microsoft intermediate language) como candidatos a c<strong>al</strong>do <strong>de</strong> cultivo para una nuevageneración <strong>de</strong> virus y gusanos.Bernardo Quintero104<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
04/04/2002 La trastienda <strong>de</strong>l “full disclosure”Las últimas vulnerabilida<strong>de</strong>s publicadas por Guninski, antes <strong>de</strong> que Microsoft proporcione loscorrespondientes parches, reaviva el recurrente y cansino <strong>de</strong>bate sobre la divulgación tot<strong>al</strong> en materia <strong>de</strong><strong>seguridad</strong> informática (“full disclosure”).Posturas inici<strong>al</strong>esA gran<strong>de</strong>s rasgos la discusión se presenta bastante simple y obvia, <strong>al</strong> menos en su vertiente <strong>de</strong> cara a lag<strong>al</strong>ería. Por un lado nos encontramos con las casas <strong>de</strong> software, que argumentan que la publicación <strong>de</strong><strong>de</strong>t<strong>al</strong>les sobre nuevas vulnerabilida<strong>de</strong>s es contraproducente para la <strong>seguridad</strong>, ya que facilita la labor a lospotenci<strong>al</strong>es atacantes.En frente, investigadores in<strong>de</strong>pendientes, criptólogos, hackers y grupos <strong>de</strong> <strong>seguridad</strong> informática, entreotros, que consi<strong>de</strong>ran que la información <strong>de</strong>be ser libre y divulgada a la opinión pública. Bajo su prisma,el conocimiento permite establecer <strong>de</strong>fensas contra unos ataques cuyos <strong>de</strong>t<strong>al</strong>les circularían en cu<strong>al</strong>quiercaso entre los atacantes, puesto que el “un<strong>de</strong>rground” mantiene can<strong>al</strong>es <strong>de</strong> comunicación sobre los que noes posible ejercer ningún tipo <strong>de</strong> control.Situación actu<strong>al</strong>Existe un código no escrito <strong>de</strong> buenas maneras que establece que, antes <strong>de</strong> re<strong>al</strong>izar cu<strong>al</strong>quier avisopúblico, el hacker o investigador <strong>de</strong>be poner en sobreaviso a la empresa afectada, proporcionándole todoslos <strong>de</strong>t<strong>al</strong>les sobre las vulnerabilida<strong>de</strong>s que ha <strong>de</strong>scubierto en cu<strong>al</strong>quiera <strong>de</strong> sus productos y, en la medida<strong>de</strong> lo posible, ayudando en su resolución.Esta regla suele cumplirse en la inmensa mayoría <strong>de</strong> los casos, si bien no está exenta <strong>de</strong> problemas ycontratiempos. En ocasiones resulta toda una odisea po<strong>de</strong>r, simplemente, hacer llegar la información <strong>al</strong>a persona a<strong>de</strong>cuada y/o recibir un acuse <strong>de</strong> recibo. Por contra, y a favor <strong>de</strong> las empresas, hay que <strong>de</strong>cirque <strong>al</strong>gunas cuentan con direcciones y person<strong>al</strong> <strong>de</strong>dicado exclusivamente a este menester, como es el caso<strong>de</strong> Microsoft. En otros casos, aun habiendo existido contacto entre <strong>de</strong>scubridor <strong>de</strong> la vulnerabilidad y<strong>de</strong>sarrollador afectado, no hay un acuerdo en la importancia <strong>de</strong>l problema o en la urgencia y tiempos <strong>de</strong>resolución que requiere.Este tipo <strong>de</strong> contratiempos suelen acabar con la publicación prematura <strong>de</strong> los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> las vulnerabilida<strong>de</strong>sy medidas preventivas <strong>de</strong> carácter urgente propuestas por el <strong>de</strong>scubridor, antes <strong>de</strong> que los <strong>de</strong>sarrolladoreshayan facilitado un parche o aviso ofici<strong>al</strong>.En estos casos el <strong>de</strong>scubridor argumenta que se ha visto obligado a la publicación para poner en aviso <strong>al</strong>os usuarios afectados ante un problema que consi<strong>de</strong>ra pue<strong>de</strong> afectarles, a la vez que espera que la presiónpública fuerce a la empresa a una rápida actuación y resolución <strong>de</strong> la vulnerabilidad.Por su parte, los <strong>de</strong>sarrolladores se quejan <strong>de</strong> que el proceso <strong>de</strong> análisis <strong>de</strong> la vulnerabilidad, diseño <strong>de</strong>lparche, y posteriores comprobaciones y tests <strong>de</strong> c<strong>al</strong>idad, no es tarea fácil y requiere más tiempo, <strong>de</strong> cara afacilitar <strong>al</strong> usuario fin<strong>al</strong> una solución fiable y segura.Lo que la verdad escon<strong>de</strong>Como vemos, tanto unos como otros, utilizan como excusa <strong>de</strong> sus argumentos la <strong>seguridad</strong> <strong>de</strong>l usuario.Parece ilógico que teniendo un mismo fin no se pongan <strong>de</strong> acuerdo. En re<strong>al</strong>idad, como cabe pensar, existen<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 105
otros intereses más partidistas y lucrativos en juego.La imagen, y todo lo que se <strong>de</strong>riva <strong>de</strong> ella, es re<strong>al</strong>mente uno <strong>de</strong> los princip<strong>al</strong>es factores que originanel <strong>de</strong>bate “full disclosure”. El anuncio público <strong>de</strong> una nueva vulnerabilidad, con sus respectivos ecos ensitios especi<strong>al</strong>izados y, cada vez más, en otros medios <strong>de</strong> comunicación, lleva consigo un aumento <strong>de</strong>popularidad y publicidad para el <strong>de</strong>scubridor, mientras que para la empresa supone un duro varap<strong>al</strong>opara su producto e imagen corporativa. En <strong>al</strong>gunos casos concretos cabe pensar que este es el interés queprima, <strong>de</strong> otro modo costaría enten<strong>de</strong>r <strong>de</strong>terminadas actitu<strong>de</strong>s por ambas partes.¿Qué opción es la correcta?En mi opinión person<strong>al</strong>, si buscamos la <strong>seguridad</strong> <strong>de</strong> los posibles usuarios afectados, no existe una únicavía <strong>de</strong> actuación, no hay que se extremistas en uno u otro sentido.Por ejemplo, pasando por avisar en primer lugar a la empresa <strong>de</strong>l producto vulnerable, t<strong>al</strong> vez creamosconveniente dar un aviso con <strong>al</strong>gunas indicaciones para que los usuarios puedan tomar medidaspreventivas mientras se <strong>de</strong>sarrolla el parche, si bien no tiene mucha razón <strong>de</strong> ser dar todos los <strong>de</strong>t<strong>al</strong>les <strong>de</strong>forma explícita o adjuntar código <strong>de</strong> ejemplo durante esta fase.Los problemas se presentan bien cuando el <strong>de</strong>scubridor lanza los <strong>de</strong>t<strong>al</strong>les sin avisar a la empresa, bien si laempresa hace caso omiso <strong>de</strong>l aviso o no presta la atención que la vulnerabilidad se merece. En condicionesnorm<strong>al</strong>es, si existe ánimo <strong>de</strong> cooperación por ambas partes, no tienen porqué existir conflictos <strong>de</strong>intereses.Bernardo Quintero25/04/2002 ¿Infectado por “Klez.x”? Hora <strong>de</strong> cambiar <strong>de</strong> antivirusLa última variante <strong>de</strong>l gusano “Klez” está causando furor <strong>de</strong>s<strong>de</strong> la semana pasada, <strong>al</strong>canzando unas cifras<strong>de</strong> infecciones muy significativas. Antes <strong>de</strong> que viera la luz esta nueva versión ya existían técnicas para<strong>de</strong>tectarlo <strong>de</strong> forma genérica, sin necesidad <strong>de</strong> actu<strong>al</strong>izaciones <strong>de</strong> última hora. Si aun teniendo un antivirusse vió infectado por “Klez.x” <strong>de</strong> forma automática, t<strong>al</strong> vez sea hora <strong>de</strong> plantearse un cambio <strong>de</strong> producto.Pue<strong>de</strong> llamar la atención <strong>de</strong> <strong>al</strong>gunos lectores la “x” que he utilizado en el “apellido” <strong>de</strong> esta versión <strong>de</strong>“Klez”, pero ante la diversidad <strong>de</strong> criterio <strong>de</strong> las casas antivirus, en lo que a nomenclatura se refiere, hepreferido no <strong>de</strong>cantarme por ninguna <strong>de</strong> las letras utilizadas. Es <strong>de</strong>cir, cambie la “x” por “G”, “H”, “I” o “K”,<strong>al</strong> fin y <strong>al</strong> cabo, el nombre es lo <strong>de</strong> menos.Aunque a día <strong>de</strong> hoy cu<strong>al</strong>quier antivirus actu<strong>al</strong>izado lo <strong>de</strong>tecta, no sucedió lo mismo en los primerosmomentos <strong>de</strong> propagación, como suele ocurrir cuando aparece un virus <strong>de</strong> nueva creación o variante.Dejando a un lado la <strong>de</strong>tección heurística, capaz <strong>de</strong> lo mejor y lo peor, existe una forma muy fácil <strong>de</strong>reconocer e impedir la acción <strong>de</strong> este tipo <strong>de</strong> gusanos.¿Qué tienen en común, entre otros, gusanos tan extendidos como BadTrans, Nimda o el propio Klez.x?Todos aprovechan vulnerabilida<strong>de</strong>s para forzar la ejecución, y por tanto infección, automática, sinnecesidad <strong>de</strong> que el usuario abra o ejecute un archivo, sin duda la característica que los ha dotado <strong>de</strong>mayor po<strong>de</strong>r <strong>de</strong> propagación.106<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
Más curioso aun resulta que los tres gusanos nombrados, protagonistas <strong>de</strong> verda<strong>de</strong>ras epi<strong>de</strong>mias, explotanla misma vulnerabilidad para forzar la ejecución automática en el cliente <strong>de</strong> correo Outlook Express(Nimda, a<strong>de</strong>más <strong>de</strong> ésta, aprovecha otras vulnerabilida<strong>de</strong>s para infectar servidores IIS).La cosa se agrava si tenemos en cuenta que la vulnerabilidad en cuestión data <strong>de</strong> marzo <strong>de</strong> 2001, y que esmuy fácil <strong>de</strong> <strong>de</strong>tectar an<strong>al</strong>izando el mensaje <strong>de</strong> correo electrónico. Basta con mirar si una cabecera MIMEhace referencia a un programa ejecutable que simula ser un formato confiable, por ejemplo un archivo <strong>de</strong>audio.Aunque para los menos iniciados pueda sonar complicado, vamos a ver <strong>al</strong>gunos ejemplos re<strong>al</strong>es <strong>de</strong> lascabeceras utilizadas por estos gusanos para comprobar los elementos comunes, lo que convierte en trivi<strong>al</strong>su <strong>de</strong>tección por cu<strong>al</strong>quier antivirus para clientes, e incluso a través <strong>de</strong> un sencillo filtro en el servidor <strong>de</strong>correo:BadTrans-> Content-Type: audio/x-wav;name=”news_doc.DOC.scr”Nimda-> Content-Type: audio/x-wav;name=”readme.exe”Klez.x -> Content-Type: audio/x-wav;name=200).exeEn <strong>de</strong>finitiva, <strong>de</strong>s<strong>de</strong> marzo <strong>de</strong> 2001 todos los antivirus podrían haber <strong>de</strong>tectado <strong>de</strong> forma genéricacu<strong>al</strong>quier e-mail don<strong>de</strong> viaje un gusano que intenta explotar esta vulnerabilidad <strong>de</strong>l Outlook Express,para lograr la ejecución <strong>de</strong> forma automática. Lo fácil <strong>de</strong> su <strong>de</strong>tección y lo cruci<strong>al</strong> que resulta para la<strong>seguridad</strong> <strong>de</strong>l usuario convierten a este tipo <strong>de</strong> <strong>de</strong>tección <strong>de</strong> ataques o “exploits” en un requisito exigible eimprescindible en un buen antivirus.Hay que <strong>de</strong>cir que <strong>al</strong>gún que otro antivirus ya cuentan con este tipo <strong>de</strong> <strong>de</strong>tecciones, sólo cabe esperar queno <strong>de</strong>tecten esta noticia como un gusano o intento <strong>de</strong> exploit por contener los anteriores ejemplos. Si bien,<strong>de</strong>jaremos la problemática <strong>de</strong> los f<strong>al</strong>sos positivos para otra entrega.Bernardo Quintero15/05/2002 “Spam” para robar datos sensiblesTodos los usuarios <strong>de</strong> Internet hemos recibido en <strong>al</strong>guna ocasión mensajes <strong>de</strong> correo electrónico nosolicitados <strong>de</strong> <strong>al</strong>guien que no conocíamos, la mayoría <strong>de</strong> las veces con anuncios y publicidad. Este tipo <strong>de</strong>mensajes enviados <strong>de</strong> forma masiva e indiscriminada es lo que <strong>de</strong>nominamos “correo basura” o “spam”.En los últimos tiempos hemos podido observar como prolifera esta vía para hacer llegar mensajes que,mediante engaños, tratan <strong>de</strong> robar información sensible <strong>de</strong>l usuario, como contraseñas y datos <strong>de</strong> tarjetas<strong>de</strong> crédito.Curiosida<strong>de</strong>sDebemos retroce<strong>de</strong>r a 1926 para encontrar el término “Spam”, que en su origen hacía referencia <strong>al</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 107
jamón con especias (Spiced Ham) <strong>de</strong> la casa Hormel, primer producto <strong>de</strong> carne enlatada que no requeríarefrigeración. Esta característica convirtió <strong>al</strong> “Spam” en un producto muy extendido, que podía encontrarseen cu<strong>al</strong>quier parte.A<strong>de</strong>más <strong>de</strong> ser utilizado en la segunda guerra mundi<strong>al</strong> por los ejércitos como parte imprescindible <strong>de</strong> losvíveres, el “Spam” solía acompañar a cu<strong>al</strong>quier plato <strong>de</strong> la cocina americana <strong>de</strong> la época. La popularidadque ha <strong>al</strong>canzado este producto es t<strong>al</strong> que hoy día po<strong>de</strong>mos visitar hasta su propio museo. El uso masivoque se hacía <strong>de</strong>l “Spam”, que podía encontrarse prácticamente en cu<strong>al</strong>quier sitio, pue<strong>de</strong> ser la razón por laque se ha utilizado este término para c<strong>al</strong>ificar el envío <strong>de</strong> correo indiscriminado a través <strong>de</strong> Internet.También basándose en el producto <strong>de</strong> carne enlatada, <strong>al</strong>gunos <strong>de</strong>fien<strong>de</strong>n que el uso <strong>de</strong>l término “spam”para c<strong>al</strong>ificar <strong>al</strong> correo basura se popularizó a raíz <strong>de</strong> una obra <strong>de</strong> los británicos Monthy Phyton en unaescena en la que en un restaurante todos los platos eran acompañados por “spam”. Otra teoría <strong>al</strong>ternativaafirma que el término SPAM es el acrónimo <strong>de</strong> “Stuff Posing As Mail”, traducido como “mentira que sepresenta como correo”.En el ataqueLa versatilidad <strong>de</strong>l correo electrónico a través <strong>de</strong> Internet, como toda tecnología, pue<strong>de</strong> utilizarse condistintos fines. Hace apenas una semana se ha distribuido un “spam” masivo que bajo el asunto “AnUrgent notice from eBay Safe Harbor !”, simulaba ser un aviso a los usuarios registrados <strong>de</strong>l popular sitioeBay. El mensaje fraudulento notifica que los datos <strong>de</strong> nuestra cuenta <strong>de</strong> eBay <strong>de</strong>ben ser actu<strong>al</strong>izados porencontrarse erróneos o corruptos, para lo cu<strong>al</strong> facilita un enlace a un formulario web que <strong>de</strong>beremosrellenar para que no se nos interrumpa el servicio.Para darle más credibilidad, la dirección <strong>de</strong> remite aparece como “Safe Harbor” <SafeHarbor@eBay.com>, mientras que a lo largo <strong>de</strong>l mensaje hace referencia a que se utiliza SSL para que los datostransferidos viajen <strong>de</strong> forma segura, así como todo tipo <strong>de</strong> garantías sobre privacidad av<strong>al</strong>ada por terceros.<strong>Una</strong> vez llegamos <strong>al</strong> formulario, mediante una URL encabezada por la IP <strong>de</strong>l servidor, para intentar ocultarque el dominio no pertenece en re<strong>al</strong>idad a eBay, nos encontramos con el citado formulario que simula elinterfaz <strong>de</strong> eBay (logos, etc).Por <strong>de</strong>scontado, toda la información que se introduzca llegará a las manos <strong>de</strong>l atacante, que podrá utilizarlapara suplantar la i<strong>de</strong>ntidad <strong>de</strong> los usuarios <strong>de</strong> eBay o re<strong>al</strong>izar compras en otros sitios con los datos <strong>de</strong> sustarjetas <strong>de</strong> crédito.Bernardo Quintero24/07/2002 Certificaciones antivirus obsoletasAncladas en el pasado, las princip<strong>al</strong>es certificaciones antivirus como ICSALabs, Checkmark o VB 100%,no se ajustan a las necesida<strong>de</strong>s actu<strong>al</strong>es <strong>de</strong> los usuarios ni ev<strong>al</strong>uan en su justa medida la re<strong>al</strong>idad <strong>de</strong> lassoluciones antivirus <strong>de</strong> hoy día. Sus logotipos suelen ocupar contraportada <strong>de</strong> las cajas <strong>de</strong> productos yaparecen en las webs <strong>de</strong> las casas antivirus como g<strong>al</strong>ardones que, supuestamente, certifican la c<strong>al</strong>idad <strong>de</strong>sus soluciones. Si nos a<strong>de</strong>ntramos un poco en sus especificaciones encontramos que los tests son pobresy se centran princip<strong>al</strong>mente en los porcentajes <strong>de</strong> <strong>de</strong>tección, y en el mejor <strong>de</strong> los casos <strong>de</strong>sinfección, sobrecolecciones <strong>de</strong> muestras conocidas.108<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
Con la explosión <strong>de</strong>l fenómeno Internet, y las implicaciones que todos conocemos en el mundo <strong>de</strong> los virusinformáticos, sobre todo a modo <strong>de</strong> i-worms, el mo<strong>de</strong>lo reactivo <strong>de</strong> los antivirus tradicion<strong>al</strong>es, basados enofrecer vacunas <strong>de</strong>spués <strong>de</strong> haber <strong>de</strong>tectado un espécimen nuevo, <strong>de</strong>ja <strong>de</strong> ser una solución efectiva.En el tiempo en que se <strong>de</strong>tecta un virus nuevo, es an<strong>al</strong>izado por el laboratorio antivirus, <strong>de</strong>sarrollan lavacuna, la solución pasa el control <strong>de</strong> c<strong>al</strong>idad interno, ponen la nueva firma <strong>de</strong> <strong>de</strong>tección a disposición <strong>de</strong>los usuarios y éstos se actu<strong>al</strong>izan, un gusano <strong>de</strong> Internet o i-worm pue<strong>de</strong> haber infectado miles y miles<strong>de</strong> sistemas. No hay que incidir mucho en esta cuestión, basta con nombrar a “Melissa”, “ILoveYou”,“Kournikova”, “Nimda”, “BadTrans”, “Sircam” o “Klez”, entre otros muchos.En este punto <strong>al</strong>guien podría preguntar por las heurísticas actu<strong>al</strong>es, ya que supuestamente, o <strong>al</strong> menos asíse ven<strong>de</strong>n, son las tecnologías encargadas <strong>de</strong> <strong>de</strong>tectar nuevos virus. Queda claro por la experiencia que noson efectivas, <strong>de</strong> lo contrario no tendríamos que recordar para nada los nombres <strong>de</strong> especímenes antescomentados.Las heurísticas, en re<strong>al</strong>idad, son también <strong>de</strong>tecciones basadas en firmas, pero que buscan porciones <strong>de</strong>código más genéricas en vez <strong>de</strong> la ca<strong>de</strong>na concreta que i<strong>de</strong>ntifica a un virus en particular. El diseño <strong>de</strong>un virus nuevo, o la ofuscación a nivel <strong>de</strong> código <strong>de</strong> uno ya existente, burla <strong>de</strong> forma trivi<strong>al</strong> este tipo <strong>de</strong><strong>de</strong>tección. <strong>Una</strong> pequeña prueba <strong>de</strong> concepto se pudo ver el pasado junio durante las jornadas <strong>de</strong> <strong>seguridad</strong><strong>de</strong> e-G<strong>al</strong>laecia, don<strong>de</strong> mi compañero Jesús Cea y yo expusimos sobre las <strong>de</strong>bilida<strong>de</strong>s <strong>de</strong> las solucionesantivirus actu<strong>al</strong>es. El simple uso <strong>de</strong> variables intermedias, en un gusano escrito en Visu<strong>al</strong> Basic Script<strong>de</strong> apenas 20 líneas <strong>de</strong> código, logró vencer a las heurísticas <strong>de</strong> los princip<strong>al</strong>es productos antivirus <strong>de</strong>lmercado.El futuro, que ya <strong>de</strong>bería ser presente, pasa claramente por la implantación <strong>de</strong> tecnologías proactivascapaces <strong>de</strong> ofrecer <strong>al</strong> usuario sistemas <strong>de</strong> protección contra virus nuevos sin necesidad <strong>de</strong> recurrir acontinuas actu<strong>al</strong>izaciones. Claro está que no es la panacea, no acabará con la problemática <strong>de</strong> los virus, yseguirán siendo necesarias las actu<strong>al</strong>izaciones puntu<strong>al</strong>es, pero la capacidad <strong>de</strong> prevención <strong>de</strong> las solucionesantivirus aumentará drásticamente y el usuario <strong>de</strong>jará <strong>de</strong> tener la sensación <strong>de</strong> in<strong>de</strong>fensión tot<strong>al</strong> durantelas primeras horas <strong>de</strong> propagación <strong>de</strong> un virus nuevo.Las buenas noticias son que <strong>al</strong>gunas casas antivirus, bien por exigencias <strong>de</strong>l mercado, bien porconvencimiento propio o como ventaja competitiva, ya comienzan a implantar funcion<strong>al</strong>ida<strong>de</strong>s proactivasque van más <strong>al</strong>lá <strong>de</strong>l antivirus tradicion<strong>al</strong> que todos conocemos.Volviendo <strong>al</strong> títular que nos ocupa, el problema es que estas nuevas tecnologías no son ev<strong>al</strong>uadas por lascertificaciones actu<strong>al</strong>es, cuyas metodologías sólo se centran en la <strong>de</strong>tección a nivel <strong>de</strong> código. El resultadoes que hoy día <strong>al</strong>gunos productos antivirus pue<strong>de</strong>n llegar a ser incluso pen<strong>al</strong>izados en este tipo <strong>de</strong>ev<strong>al</strong>uaciones, cuando en re<strong>al</strong>idad el nivel <strong>de</strong> protección que ofrecen es muy superior <strong>al</strong> <strong>de</strong> otras solucionesque simplemente, <strong>al</strong> igu<strong>al</strong> que las certificaciones, se han quedado ancladas en el pasado.Bernardo Quintero13/08/2002 Antivirus corporativo: dos (diferentes) mejor que unoAunque el titular parece obvio, “dos mejor que uno”, la re<strong>al</strong>idad es que la mayoría <strong>de</strong> las corporacionesterminan inst<strong>al</strong>ando en sus sistemas, tanto servidores perimetr<strong>al</strong>es como estaciones <strong>de</strong> trabajo, la misma<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 109
marca antivirus, lo que pen<strong>al</strong>iza la capacidad <strong>de</strong> <strong>de</strong>tección. Des<strong>de</strong> <strong>Hispasec</strong> Sistemas, en nuestra faceta<strong>de</strong> consultores y <strong>de</strong> manera in<strong>de</strong>pendiente a la publicación <strong>de</strong> la comparativa antivirus anu<strong>al</strong> para PCs,re<strong>al</strong>izamos análisis a <strong>de</strong>manda <strong>de</strong> cara a presentar proyectos sobre la implantación idónea <strong>de</strong> solucionesantivirus según un <strong>de</strong>terminado entorno corporativo. Des<strong>de</strong> esta experiencia, y en virtud <strong>de</strong> la situación<strong>de</strong> partida con la que nos encontramos en cada caso, hemos podido observar que la mayoría <strong>de</strong> lascorporaciones suelen contratar con una sola casa antivirus la protección <strong>de</strong> todos sus sistemas. Situaciónque solemos corregir.Aunque las casas antivirus suelen tener una amplia gama <strong>de</strong> soluciones según el puesto a proteger, lare<strong>al</strong>idad es que todos sus productos comparten el mismo motor antivirus y base <strong>de</strong> datos <strong>de</strong> firmas.Es <strong>de</strong>cir, si inst<strong>al</strong>amos en el firew<strong>al</strong>l, el proxy, el servidor <strong>de</strong> correo, en el servidor <strong>de</strong> ficheros, y en lasestaciones <strong>de</strong> trabajo el antivirus <strong>de</strong> la marca X, habremos aumentado cuantitativamente el número<strong>de</strong> chequeos, pero no su c<strong>al</strong>idad.Imaginemos que queremos proteger un edificio y situamos un guarda jurado o person<strong>al</strong> <strong>de</strong> segurida<strong>de</strong>n la puerta <strong>de</strong>l garaje, otro en la entrada <strong>de</strong>l edificio, uno más en la puerta <strong>de</strong> los ascensores, y porúltimo repartimos varios guardas en la puerta <strong>de</strong> cada una <strong>de</strong> las oficinas. Todos se han formado <strong>de</strong> lamisma forma y siguen las mismas pautas <strong>de</strong> actuación, a<strong>de</strong>más todos tienen la misma lista <strong>de</strong> intrusossospechosos basándonos en fotografías <strong>de</strong> sus rostros.Cada persona que quiere acce<strong>de</strong>r <strong>al</strong> edificio es examinada por varios <strong>de</strong> los guardas <strong>de</strong>pendiendo <strong>de</strong> la vía<strong>de</strong> entrada que utilice, pero en todos los casos la comprobación es la misma. Si un intruso no aparece en l<strong>al</strong>ista <strong>de</strong> sospechosos, podrá burlar a todos los guardas <strong>de</strong> manera in<strong>de</strong>pendiente a la vía que haya elegidopara entrar (virus nuevo no reconocido).Otro caso que pue<strong>de</strong> darse es que un intruso ya fichado intente disfrazarse para burlar a los agentes. Sitodos los agentes siguen las mismas técnicas <strong>de</strong> reconocimiento (motor antivirus), como por ejemplo pedirque se quiten las gafas <strong>de</strong> sol en caso <strong>de</strong> duda, el intruso podrá pasar inadvertido empleando otras técnicas<strong>de</strong> camuflaje, por ejemplo utilizar una peluca (variante o nueva versión <strong>de</strong> un virus conocido).Parece obvio que lo i<strong>de</strong><strong>al</strong> sería contar con varias listas <strong>de</strong> sospechosos y guardas con diferentes capacida<strong>de</strong>sy métodos <strong>de</strong> reconocimiento <strong>de</strong> forma que se puedan complementar entre sí, aumentando el grado <strong>de</strong>protección glob<strong>al</strong>. Siguiendo la an<strong>al</strong>ogía con los antivirus, cada motor tiene sus características y bases <strong>de</strong>datos <strong>de</strong> firmas diferentes que se actu<strong>al</strong>izan <strong>de</strong> manera in<strong>de</strong>pendiente.La re<strong>al</strong>idad es que no basta simplemente con incluir más <strong>de</strong> un motor antivirus, ya que se hace necesarioun estudio sobre el grado <strong>de</strong> complementariedad entre los distintos motores, el rendimiento y estabilidadque ofrecen según el puesto <strong>de</strong> la red, y facilitar la gestión y administración centr<strong>al</strong>izada <strong>de</strong> los productoselegidos según la casuística.Bernardo Quintero31/10/2002 Comentarios sobre los antivirus perimetr<strong>al</strong>esSiendo el correo electrónico el princip<strong>al</strong> medio <strong>de</strong> propagación e infección <strong>de</strong> virus informáticos y gusanos,parece lógica la implantación <strong>de</strong> sistemas antivirus a nivel <strong>de</strong> servidores <strong>de</strong> correo, así como en otrospuntos críticos <strong>de</strong> la red, por ejemplo un proxy, por don<strong>de</strong> se can<strong>al</strong>izan las conexiones <strong>de</strong> los usuarioscorporativos a Internet.110<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
No obstante la implantación <strong>de</strong> estos sistemas antivirus no está exenta <strong>de</strong> problemas, en especi<strong>al</strong> a nivel<strong>de</strong> rendimiento cuando se trata <strong>de</strong> servidores que manejan un gran volumen <strong>de</strong> tráfico. Si un usuario escapaz <strong>de</strong> notar que su PC se enlentece o se vuelve inestable <strong>al</strong> inst<strong>al</strong>ar <strong>de</strong>terminado producto antivirus, elcaso se complica aun más cuando hablamos <strong>de</strong> un servicio tan crítico para la empresa como es el correoelectrónico. A buen seguro son muchos los sufridos administradores <strong>de</strong> sistemas los que pue<strong>de</strong>n contarnosmás <strong>de</strong> una bat<strong>al</strong>lita en este sentido.Para contrarrestar este tipo <strong>de</strong> efectos, o como causa <strong>de</strong> ellos, <strong>al</strong>gunos sistemas antivirus hace <strong>de</strong>jación<strong>de</strong> sus funciones. Así, por ejemplo, en <strong>al</strong>gunos casos nos hemos podido encontrar con sistemas que <strong>de</strong>jan<strong>de</strong> an<strong>al</strong>izar mensajes <strong>de</strong> forma arbitraria cuando hay mucha carga <strong>de</strong> trabajo, o aquellos otros que paraaumentar su velocidad <strong>de</strong> análisis no soportan ciertos formatos <strong>de</strong> empaquetado o la mayoría <strong>de</strong> formatos<strong>de</strong> compresión, lo que abre en ambos casos una ventana a la entrada <strong>de</strong> e-mails infectados.Aunque los avances son constantes en este terreno, siendo muchos los servidores <strong>de</strong> correo que yaincorporan interfaces específicos para facilitar la función a los antivirus, la propia natur<strong>al</strong>eza <strong>de</strong> losantivirus los pen<strong>al</strong>iza. Esto es así ya que cada día que pasa aumenta la base <strong>de</strong> datos <strong>de</strong> firmas que tienenque contrastar para i<strong>de</strong>ntificar a los virus, así como aumenta las formas y formatos en que éstos pue<strong>de</strong>nocultarse y presentarse.También por la propia funcion<strong>al</strong>idad <strong>de</strong> los virus y gusanos tradicion<strong>al</strong>es (<strong>de</strong>jando a un lado los gusanospara servidores web y similares), la capacidad <strong>de</strong> <strong>de</strong>tección los antivirus, sobre todo a nivel <strong>de</strong> heurísticay proactividad, siempre será menor en un servidor perimetr<strong>al</strong> que en una estación <strong>de</strong> trabajo o PC. No envano, el servidor perimetr<strong>al</strong> no <strong>de</strong>ja <strong>de</strong> ser un punto <strong>de</strong> tránsito para el virus, mientras que se <strong>de</strong>senmascaray proce<strong>de</strong> a la infección y resto <strong>de</strong> acciones en la estación <strong>de</strong> trabajo, por lo que es más fácil <strong>de</strong>tectarlo enesta última.Para terminar <strong>de</strong> poner trabas a los antivirus perimetr<strong>al</strong>es, tampoco hay que pasar por <strong>al</strong>to que sonmuchos los casos don<strong>de</strong> se inst<strong>al</strong>a la misma marca <strong>de</strong> antivirus en todos los puntos <strong>de</strong> la red, tanto enservidores perimetr<strong>al</strong>es como en las estaciones <strong>de</strong> trabajo, fruto <strong>de</strong> “paquetes oferta” o recomendaciones<strong>de</strong>l distribuidor. En estos casos se está multiplicando el número <strong>de</strong> análisis que se re<strong>al</strong>izan sobre loscontenidos que llegan a la empresa, pero no su c<strong>al</strong>idad, ya que las soluciones <strong>de</strong> la misma marca compartenel fichero <strong>de</strong> firmas <strong>de</strong> virus reconocidos. Si un virus es i<strong>de</strong>ntificado en el servidor <strong>de</strong> correo, también losería en la estación <strong>de</strong> trabajo, y si burla uno <strong>de</strong> los puntos probablemente lo hará con el resto. (Antiviruscorporativo: dos (diferentes) mejor que uno. http://www.hispasec.com/una<strong>al</strong>dia.asp?id=1388).Llegados a este punto hay que <strong>de</strong>cir que las soluciones antivirus perimetr<strong>al</strong>es son recomendables, se trata<strong>de</strong> una capa más <strong>de</strong> protección. Aunque queda claro que están lejos <strong>de</strong> ser la panacea, y que su implantaciónrequiere un análisis concienzudo que comprenda una comparativa <strong>de</strong> productos con diversos tests sobrela casuística particular <strong>de</strong>l entorno corporativo don<strong>de</strong> se ha <strong>de</strong> inst<strong>al</strong>ar. En <strong>al</strong>gunos casos especi<strong>al</strong>es suinst<strong>al</strong>ación pue<strong>de</strong> ser no recomendable, y en su lugar será más fácil y a<strong>de</strong>cuado, y no por ello menosefectivo, implantar una política especi<strong>al</strong> <strong>de</strong> filtros a nivel <strong>de</strong> contenidos.Por último, recomendamos que su implantación sea transparente <strong>al</strong> usuario y que se haga hincapié en lanecesidad <strong>de</strong> no bajar la guardia a nivel <strong>de</strong> estaciones <strong>de</strong> trabajo, ya que en muchas ocasiones el saber queexiste un antivirus perimetr<strong>al</strong> pue<strong>de</strong> crear una f<strong>al</strong>sa sensación <strong>de</strong> <strong>seguridad</strong>, que conlleva el <strong>de</strong>scuidar lasprácticas más básicas <strong>de</strong> prevención.Bernardo Quintero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 111
11/11/2002 Certificaciones <strong>de</strong> productos, ¿garantía <strong>de</strong> <strong>seguridad</strong> o marketing?La reciente certificación “Common Criteria” otorgada a Windows 2000 <strong>de</strong>sata la polémica sobre cu<strong>al</strong> es el<strong>al</strong>cance re<strong>al</strong> <strong>de</strong> estos g<strong>al</strong>ardones sobre la <strong>seguridad</strong> fin<strong>al</strong> <strong>de</strong> los usuarios.Las certificaciones, básicamente, son un procedimiento por el cu<strong>al</strong> una parte, en principio imparci<strong>al</strong>,asegura que un producto, proceso o servicio cumple con una serie <strong>de</strong> puntos bien <strong>de</strong>finidos. Partiendo <strong>de</strong>esta base los beneficiarios <strong>de</strong> esa certificación serían tanto los proveedores, como <strong>de</strong>mostración anteterceros <strong>de</strong>l cumplimiento <strong>de</strong> una serie <strong>de</strong> requisitos, así como los clientes, que cuentan con una ev<strong>al</strong>uaciónin<strong>de</strong>pendiente que asegura que no les dan gato por liebre, una especie <strong>de</strong> “control <strong>de</strong> c<strong>al</strong>idad”. Hasta aquítodo bien.Mi visión sobre las certificaciones es bastante más crítica, en parte formada por los contrasentidos queregularmente me encuentro entre los g<strong>al</strong>ardones que ofrecen la mayoría <strong>de</strong> certificaciones antivirus ylos resultados que obtenemos en los tests que re<strong>al</strong>izamos a esos mismos productos durante los análisisy comparativas en <strong>Hispasec</strong>. Aunque hay muchos matices a discutir, básicamente podríamos resumiren que la metodología utilizada y los requisitos que se exigen en las certificaciones no se ajustan a lasnecesida<strong>de</strong>s re<strong>al</strong>es <strong>de</strong> los usuarios y, por tanto, no aseguran un nivel a<strong>de</strong>cuado <strong>de</strong> protección.A partir <strong>de</strong> aquí para mí <strong>de</strong>saparece el concepto <strong>de</strong> “c<strong>al</strong>idad” asociado a las certificaciones, que pasan a sersimplemente la confirmación <strong>de</strong> que un producto, en un <strong>de</strong>terminado momento y bajo unas circunstanciasmuy concretas, cumple un <strong>de</strong>terminado número <strong>de</strong> requisitos. La certificación no me asegura que losrequisitos ev<strong>al</strong>uados cubran mis necesida<strong>de</strong>s, ni que las circunstancias especi<strong>al</strong>es en las que se cumplendichos requisitos se <strong>de</strong>n en mi entorno re<strong>al</strong>, ni me pue<strong>de</strong> garantizar que el producto en su próximaactu<strong>al</strong>ización siga cumpliendo esos mismos requisitos, y mucho menos pue<strong>de</strong> asegurar (<strong>de</strong> hecho es másque probable que ocurra) que <strong>de</strong>ntro <strong>de</strong> x semanas no se <strong>de</strong>scubra una nueva vulnerabilidad crítica queponga en entredicho no ya <strong>al</strong> producto, sino incluso a la propia certificación.En estos momentos todo el mundo recuerda cuando a Windows NT le otorgaron el nivel <strong>de</strong> <strong>seguridad</strong> C2,<strong>de</strong> acuerdo con los estándares <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>l Departamento <strong>de</strong> Defensa <strong>de</strong> Estados Unidos según elcriterio <strong>de</strong>l famoso libro naranja. Entre los “<strong>de</strong>t<strong>al</strong>les” nos encontramos que la certificación la obtenía unsistema Windows NT sin conexión <strong>al</strong>guna <strong>de</strong> red, <strong>de</strong> lo contrario <strong>de</strong>jaba <strong>de</strong> ser seguro. ¿Cuántos sistemasWindows NT se inst<strong>al</strong>an para que funcionen <strong>de</strong> forma aislada?. Por lo <strong>de</strong>más, no vamos a enumerar lasvulnerabilida<strong>de</strong>s que se <strong>de</strong>scubrieron a posteriori y que afectaban <strong>de</strong> lleno a los requisitos <strong>de</strong>l nivel C2 (aunestando el sistema sin conexiones <strong>de</strong> red).En el caso <strong>de</strong> la certificación “Common Criteria” recientemente otorgada a Windows 2000, <strong>de</strong> la que noshacíamos eco en la anterior entrega <strong>de</strong> “una-<strong>al</strong>-día”, comparto con mi compañero Xavier Cab<strong>al</strong>lé en quese trata <strong>de</strong> una muestra más <strong>de</strong>l interés que está mostrando Microsoft por la <strong>seguridad</strong> y, sobre todo, <strong>de</strong>linterés en explotarla como herramienta <strong>de</strong> marketing, que en mi opinión es la auténtica funcion<strong>al</strong>idad quetienen las certificaciones para los productos ev<strong>al</strong>uados.Con esto no quiero criticar a Microsoft, re<strong>al</strong>mente pienso que está consiguiendo a<strong>de</strong>lantos en materia <strong>de</strong><strong>seguridad</strong> en sus productos. Para llegar a esta conclusión, más que fijarme, o fiarme, <strong>de</strong> los anuncios <strong>de</strong>g<strong>al</strong>ardones, prefiero observar <strong>de</strong>t<strong>al</strong>les más mundanos que nos afectan a diario a todos como, por ejemplo,que su nueva política <strong>de</strong> distribuir actu<strong>al</strong>izaciones acumulativas está disminuyendo los riesgos <strong>de</strong> sufrirregresiones en las vulnerabilida<strong>de</strong>s así como la omisión <strong>de</strong> parches específicos.En <strong>de</strong>finitiva, la obtención <strong>de</strong> certificaciones por parte <strong>de</strong> productos es un indicador positivo, si bien no1<strong>12</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
garantizan su <strong>seguridad</strong> glob<strong>al</strong> ni la a<strong>de</strong>cuación a nuestro entorno y necesida<strong>de</strong>s re<strong>al</strong>es. La <strong>seguridad</strong> esun proceso constante que no <strong>de</strong>be ser medido puntu<strong>al</strong>mente y <strong>de</strong> forma aislada.Bernardo Quintero30/<strong>12</strong>/2002 Actu<strong>al</strong>izaciones <strong>de</strong> Microsoft, un arma <strong>de</strong> doble filoA principios <strong>de</strong> 2002 se presentaba en España, bajo el nombre <strong>de</strong> Strategic Technology ProtectionProgram (STPP), la iniciativa <strong>de</strong> Microsoft para mejorar la <strong>seguridad</strong> <strong>de</strong> sus productos. Tras la experienciaacumulada en estos últimos meses podríamos resumirla en una sola p<strong>al</strong>abra: automatización.Bajo el título <strong>de</strong> “Microsoft STPP, ¿estrategia tecnológica o lavado <strong>de</strong> cara?”, intenté por aquel entoncesb<strong>al</strong>ancear entre los pros y los contras <strong>de</strong> la iniciativa, con un pequeño listado <strong>de</strong> problemas por resolverque Microsoft arrastraba y que entendía eran críticos (http://www.hispasec.com/una<strong>al</strong>dia.asp?id=<strong>12</strong>13).En la situación actu<strong>al</strong>, tras casi un año <strong>de</strong> STPP, parte <strong>de</strong> esos problemas se han minimizado, otros seagravan, y surgen nuevas interrogantes.El usuario fin<strong>al</strong> mejora su <strong>seguridad</strong>.Queda claro que Microsoft ha puesto especi<strong>al</strong> empeño en facilitar la vida a los usuarios automatizandotodo el proceso <strong>de</strong> actu<strong>al</strong>izaciones, tanto en el ámbito <strong>de</strong> notificaciones, <strong>de</strong>scarga e inst<strong>al</strong>ación. Parece quenos dirige hacía sistemas tot<strong>al</strong>mente autosuficientes y transparentes, que se encargarán por nosotros <strong>de</strong>estar actu<strong>al</strong>izados puntu<strong>al</strong>mente.Este planteamiento, que ya se intuía con servicios como Windows Update y que se hacen más evi<strong>de</strong>ntesen sistemas como Windows XP, corrige en gran parte los problemas <strong>de</strong> regresión <strong>de</strong> vulnerabilida<strong>de</strong>s<strong>de</strong> antaño, <strong>al</strong> menos los inducidos directamente por el usuario. Básicamente, estos problemas aparecíanpor la inst<strong>al</strong>ación <strong>de</strong> parches específicos sin el or<strong>de</strong>n a<strong>de</strong>cuado, lo que llevaba a sobrescribir bibliotecas ycomponentes con versiones más antiguas y, por tanto, la aparición <strong>de</strong> vulnerabilida<strong>de</strong>s anteriores. Con losnuevos servicios <strong>de</strong> actu<strong>al</strong>ización automática, como Windows Update, es el propio sistema el que <strong>de</strong>ci<strong>de</strong>que parches y en que or<strong>de</strong>n <strong>de</strong>ben ser inst<strong>al</strong>ados, minimizando este riesgo.Por contra, esta misma automatización, agrava el enmascaramiento <strong>de</strong> nuevas versiones y funcion<strong>al</strong>ida<strong>de</strong>scon la excusa <strong>de</strong> la <strong>seguridad</strong>, lo que en <strong>al</strong>gunos casos ha supuesto la aparición <strong>de</strong> nuevas vulnerabilida<strong>de</strong>s.Lo i<strong>de</strong><strong>al</strong> es que cada vulnerabilidad cuente con un parche específico diseñado para corregirla. Sinembargo, Microsoft suele ofrecer como solución la actu<strong>al</strong>ización a nuevas versiones <strong>de</strong>l software ocomponente afectado, <strong>al</strong>gunas veces <strong>de</strong> forma pública, y otras veces ocultando las nuevas funcion<strong>al</strong>ida<strong>de</strong>so modificaciones en un parche <strong>de</strong> <strong>seguridad</strong>.Las implicaciones <strong>de</strong> esta política en el ámbito <strong>de</strong> <strong>seguridad</strong> son varias, por un lado las nuevas funcion<strong>al</strong>ida<strong>de</strong>sincorporadas en los parches o nuevas versiones son en muchos casos origen <strong>de</strong> nuevas vulnerabilida<strong>de</strong>s,problemas que no habrían aparecido en los componentes anteriores si se hubieran limitado a corregirla vulnerabilidad. Por otro lado, esta práctica es la que provoca la mayoría <strong>de</strong> incompatibilida<strong>de</strong>s o m<strong>al</strong>funcionamiento <strong>de</strong>l sistema con el hardware / software ya existente tras haber re<strong>al</strong>izado una actu<strong>al</strong>ización<strong>de</strong> <strong>seguridad</strong>.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 113
En líneas gener<strong>al</strong>es, en lo que respecta <strong>al</strong> usuario fin<strong>al</strong> y b<strong>al</strong>anceando lo dicho anteriormente, la iniciativaSTPP representa un avance significativo, ya que ha mejorado los tiempos <strong>de</strong> actu<strong>al</strong>ización <strong>de</strong> los PCS yfacilita en gran manera la tarea <strong>al</strong> usuario.Pérdida <strong>de</strong> control por parte <strong>de</strong> los administradores y profesion<strong>al</strong>esSin embargo, <strong>de</strong>s<strong>de</strong> el punto <strong>de</strong> vista <strong>de</strong> los administradores <strong>de</strong> sistemas y profesion<strong>al</strong>es, tantaautomatización y abstracción se traducen en un menor control, que ya <strong>de</strong> por sí era bastante limitado enplataformas Microsoft.De entrada, tanta actu<strong>al</strong>ización automática seguro que pone en <strong>al</strong>erta a más <strong>de</strong> un administrador <strong>de</strong>sistemas, que ya habrá experimentado como un simple parche a <strong>de</strong>manda, o el Service Pack <strong>de</strong> turno,ha podido volver inestable ciertos servicios, cuando no a todo un servidor. Con esta experiencia, no es<strong>de</strong> extrañar que <strong>al</strong>gunas políticas corporativas contemplen tests <strong>de</strong> los parches en equipos <strong>de</strong> pruebas,durante <strong>al</strong> menos un mes, antes <strong>de</strong> pasarlos a los sistemas <strong>de</strong> producción.Con STPP se plantean nuevos problemas, ya que Microsoft está optando en muchas ocasiones por “macroparches” acumulativos, que resuelven múltiples vulnerabilida<strong>de</strong>s con una sola actu<strong>al</strong>ización. Mientrasantes un administrador <strong>de</strong> sistemas podía <strong>de</strong>cidir si inst<strong>al</strong>ar un parche específico o retrasarlo, <strong>de</strong>pendiendo<strong>de</strong> sí afectaba a la configuración <strong>de</strong> su servidor o si podía prevenirlo por su cuenta (por ejemplo con reglasen el firew<strong>al</strong>l o modificando la configuración <strong>de</strong>l sistema), ahora esa opción es muy limitada, por lo quetendremos que inst<strong>al</strong>ar los “macro parches” aun a sabiendas <strong>de</strong> que <strong>al</strong>gunas correcciones no las necesitabanuestro sistema, con las implicaciones que ello pueda acarrear en cuanto a estabilidad.Por otro lado, la ten<strong>de</strong>ncia parece que apunta a que cada vez más los sistemas <strong>de</strong> Microsoft re<strong>al</strong>izaránoperaciones y actu<strong>al</strong>izaciones automáticas, transparentes <strong>al</strong> usuario, <strong>de</strong>pendiendo <strong>de</strong> conexiones externasvía Internet. Algunas <strong>de</strong> estas ten<strong>de</strong>ncias ya pue<strong>de</strong>n verse en los sistemas <strong>de</strong> actu<strong>al</strong>ización automáticosactu<strong>al</strong>es o en Windows XP, sin entrar en otras consi<strong>de</strong>raciones como pue<strong>de</strong>n ser el control que Microsoftpue<strong>de</strong> establecer a través <strong>de</strong> estas vías, políticas <strong>de</strong> control <strong>de</strong> licencias o fi<strong>de</strong>lización (sólo permitiractu<strong>al</strong>izar a los usuarios suscritos) y sus implicaciones en el ámbito <strong>de</strong> la privacidad. Si extrapolamosesto a un servidor, los administradores <strong>de</strong> sistemas tendrán aun menos control o, dicho <strong>de</strong> otra forma,contarán con un “superusuario” por encima <strong>de</strong> ellos: Microsoft.Windows NT, crónica <strong>de</strong> una muerte anunciadaAnte este panorama <strong>al</strong>gunos podrían <strong>de</strong>cidir no migrar hacia los nuevos sistemas <strong>de</strong> Microsoft y quedarsecon plataformas como por ejemplo Windows NT, sistemas con años en producción, bien conocidos porlos administradores, con múltiples Service Packs a sus esp<strong>al</strong>das que han ido puliendo sus <strong>de</strong>fectos ymejorándolo, que ya se encuentran bien implantados, cumplen su cometido y no necesitan <strong>de</strong> las nuevasfuncion<strong>al</strong>ida<strong>de</strong>s que propone Microsoft.Desgraciadamente Windows NT tiene sus días contados, y eso es fácil <strong>de</strong> pre<strong>de</strong>cir, bien observando lahistoria reciente <strong>de</strong> Microsoft, bien <strong>de</strong>jándose llevar por simples reglas <strong>de</strong> mercado: hay que ven<strong>de</strong>r losnuevos productos. En este apartado la <strong>seguridad</strong> juega un papel crítico, incluso como herramienta paraforzar a la actu<strong>al</strong>ización. Igu<strong>al</strong> que no hay solución para ciertos problemas <strong>de</strong> <strong>seguridad</strong> en Windows 95 oen Internet Explorer 5.0, obligando <strong>al</strong> usuario a actu<strong>al</strong>izar a Windows 98 o IE6.0 si quiere estar seguro.Es sólo cuestión <strong>de</strong> tiempo que Microsoft <strong>de</strong>je <strong>de</strong> dar soporte a Windows NT.Posibles mejoras114<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
Des<strong>de</strong> el punto <strong>de</strong> vista <strong>de</strong>l administrador <strong>de</strong> sistemas lo i<strong>de</strong><strong>al</strong> sería ofrecerles la posibilidad <strong>de</strong> obtener unmayor control. Aunque las comparaciones en este ámbito son casi inevitables, evitaré entrar en el eterno<strong>de</strong>bate entre la comunidad Open Source y Microsoft, no en vano <strong>al</strong>gunas posturas que se podrían copiar yadoptar pue<strong>de</strong>n sonar a pura quimera. Así que las peticiones serán escasas y simples.De entrada sería importante que Microsoft, a<strong>de</strong>más <strong>de</strong> los macro parches acumulativos, ofreciera laposibilidad <strong>de</strong> obtener parches específicos e individu<strong>al</strong>es, <strong>de</strong> forma que el administrador pudiera optarpor una inst<strong>al</strong>ación person<strong>al</strong>izada <strong>de</strong> los mismos, según configuración y necesida<strong>de</strong>s.Llegados a este punto es vit<strong>al</strong> que se ofrezca información más <strong>al</strong> <strong>de</strong>t<strong>al</strong>le sobre las vulnerabilida<strong>de</strong>s,entrando más en profundidad en la explotación y opciones <strong>de</strong> mitigación <strong>de</strong>l ataque, así como en losparches propuestos (que componentes serán actu<strong>al</strong>izados, que <strong>de</strong>pen<strong>de</strong>ncias crea dicha actu<strong>al</strong>ización, sise introducen modificaciones adicion<strong>al</strong>es, etc.).Bienvenida sería la opción <strong>de</strong> <strong>de</strong>sactivar todas las <strong>de</strong>pen<strong>de</strong>ncias y conexiones externas y automáticas, tantoa nivel <strong>de</strong> servidores como <strong>de</strong> estaciones <strong>de</strong> trabajo. Así como documentar el proceso <strong>de</strong> WindowsUpdate yfacilitar su person<strong>al</strong>ización, posibilitando a los administradores establecer sus propias políticas y sistemasinternos <strong>de</strong> autoactu<strong>al</strong>ización según necesida<strong>de</strong>s. Aunque Microsoft ya dispone <strong>de</strong> soluciones propietariaspara la distribución <strong>de</strong> parches, su adopción sólo optimiza recursos y cambia el problema <strong>de</strong> sitio, pero nopermite corregir la situación <strong>de</strong> <strong>de</strong>pen<strong>de</strong>ncia y f<strong>al</strong>ta <strong>de</strong> control.Bernardo QuinteroEntrevistaHector Montenegro fue responsable <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Microsoft en España en lostiempos duros, <strong>de</strong>s<strong>de</strong> el 2001 <strong>al</strong> 2003, sabe como nadie qué es enfrentarse a lascríticas (fundadas) sobre <strong>seguridad</strong> en productos <strong>de</strong> Microsoft y tener poco con loque “<strong>de</strong>fen<strong>de</strong>rse”.Hector Montenegro<strong>Hispasec</strong>: ¿Cuál y cómo fue tu primer contacto con <strong>Hispasec</strong>?Hector Montenegro: Mi primer contacto “person<strong>al</strong>” con <strong>Hispasec</strong> lo recuerdo perfectamente. Fue endiciembre <strong>de</strong>l año 2001. Año especi<strong>al</strong>mente activo en términos <strong>de</strong> “inci<strong>de</strong>ncias” masivas <strong>de</strong> <strong>seguridad</strong>.Lanzamos un programa <strong>de</strong> Protección tecnológica (STPP) y necesitábamos credibilidad, consejo, opiniónexperta, etc.H: ¿Estás suscrito a una-<strong>al</strong>-día? ¿<strong>de</strong>s<strong>de</strong> cuándo?HM: Sí, estoy suscrito <strong>de</strong>s<strong>de</strong> el año 1998. Recuerdo que en aquel entonces era el responsable <strong>de</strong> Seguridad<strong>de</strong> la empresa DINSA.H: ¿Cómo influyó una-<strong>al</strong>-día e <strong>Hispasec</strong> en el <strong>de</strong>partamento <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Microsoft (sies que lo hizo)?HM: Sí que lo hizo, <strong>de</strong>s<strong>de</strong> varias perspectivas. La primera, porque la noticia <strong>de</strong> una-<strong>al</strong>-día era <strong>de</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 115
lectura obligatoria y diaria. Si en <strong>al</strong>gún momento aparecía una noticia relacionada con Microsoft, sabíaperfectamente que ese iba a ser motivo <strong>de</strong> conversación con la visita, cliente, partner que tuviera ese día.¡Teníais mucha influencia!Y por otro lado, <strong>Hispasec</strong> tuvo la generosidad en su momento <strong>de</strong> “ilustrarnos” y abrirnos los ojossobre muchos aspectos <strong>de</strong> la <strong>seguridad</strong> re<strong>al</strong> que nos podían pasar <strong>de</strong>sapercibidos. De forma amigable,pero rotunda. Tuvisteis mucha mas influencia <strong>de</strong> lo que pensáis llevándonos a una fuerte autocrítica.Indispensable para mejorar.H: ¿Cómo y por qué te metiste en esto?HM: Cuando comencé a trastear en el año 1994 con un disquete promocion<strong>al</strong> <strong>de</strong> Compuserve adjunto a nosé qué, quién me iba a <strong>de</strong>cir entonces que eso iba a modificar <strong>de</strong> <strong>al</strong>guna forma la prometedora y meteóricacarrera que como Físico había emprendido hacia el Nobel ;-) <strong>de</strong>s<strong>de</strong> una empresa <strong>de</strong> I+D <strong>de</strong>l entoncesInstituto Nacion<strong>al</strong> <strong>de</strong> Industria, enfrascado en publicar el máximo número <strong>de</strong> artículos posible sobreSimulación Computacion<strong>al</strong>. Sin apenas darme cuenta, me vi sustituyendo mis libros <strong>de</strong> “Computation<strong>al</strong> fluidDynamics” o “Co<strong>al</strong> combustión simulation” por “Los secretos <strong>de</strong> la Seguridad en Internet”, “Programaciónen Internet” o “Net Privacy”.H: ¿Piensas que se ha perdido el “romanticismo” <strong>de</strong> aquellos primeros días en la red?HM: ¿Romanticismo? Respondo a nivel person<strong>al</strong>, y recordando el 1995 entre las cuatro pare<strong>de</strong>s <strong>de</strong>mi habitación. Éramos era una pandilla <strong>de</strong> “taraos” a los ojos <strong>de</strong> muchos. Hablando <strong>de</strong> dominios,proveedores, <strong>seguridad</strong>... ¿Seguridad? ¿Pero <strong>de</strong> qué me está hablando este buen hombre que no se levanta<strong>de</strong>l or<strong>de</strong>nador? Lo recuerdo como un campo <strong>de</strong> experimentación constante. Como un campo <strong>de</strong> pruebas y<strong>de</strong> permanente sorpresa. Para mí era t<strong>al</strong> la pasión que sentía cada vez que <strong>de</strong>scubría <strong>al</strong>go nuevo, que la redterminó en convertirse en un auténtico <strong>de</strong>vorador <strong>de</strong> tiempo, y fin<strong>al</strong>mente en una parte importante <strong>de</strong> mifutura profesión (reconoceré haber <strong>de</strong>jado en el camino una expulsión <strong>de</strong> mi ISP, y es que trastear con la<strong>seguridad</strong> nunca fue <strong>de</strong>l agrado <strong>de</strong> todos ;-))H: Si bien es cierto que a partir <strong>de</strong>l 2002 el propio Bill Gates centró atención y recursosen mejorar todos los aspectos <strong>de</strong> <strong>seguridad</strong>, Microsoft aún mantiene una imagen cuandomenos cuestionada en este área. ¿Cuánto hay <strong>de</strong> herencia <strong>de</strong>l pasado y cuánto <strong>de</strong> re<strong>al</strong>ida<strong>de</strong>n las críticas actu<strong>al</strong>es? ¿A día <strong>de</strong> hoy es un problema más <strong>de</strong> imagen que <strong>de</strong> tecnología?HM: Absolutamente. Es evi<strong>de</strong>nte para los profesion<strong>al</strong>es <strong>de</strong> la <strong>seguridad</strong> el gran esfuerzo que se ha hechoy se sigue haciendo <strong>de</strong>s<strong>de</strong> Microsoft, en todas y cada una <strong>de</strong> las fases relacionadas con la <strong>seguridad</strong> <strong>de</strong> unproducto. Muchas <strong>de</strong> las acciones criticadas ferozmente por muchos (actu<strong>al</strong>ización periódica), hoy en díason imitadas por casi la tot<strong>al</strong>idad <strong>de</strong> fabricantes.Todos sabemos que la <strong>seguridad</strong> es un arduo proceso. En una ocasión vi la <strong>seguridad</strong> <strong>de</strong>finida como “unestado <strong>de</strong> ánimo”. Pero no cabe duda que con frecuencia nos encontramos con una inercia (interesada y<strong>al</strong>imentada por competidores) a modificar prejuicios relacionados con la <strong>seguridad</strong> en Microsoft y perpetuaruna imagen que no correspon<strong>de</strong> con la re<strong>al</strong>idad actu<strong>al</strong>. Y pondría muchos ejemplos como los relacionadoscon ORACLE o Apache en su comparación con SQL Server o IIS respectivamente. Los problemas <strong>de</strong><strong>seguridad</strong> <strong>de</strong> los primeros suman más <strong>de</strong> 10 veces los problemas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> los segundos, y sinembargo la percepción no va en consonancia con este dato.H: Suponemos que a lo largo <strong>de</strong> los años te habrás encontrado en más <strong>de</strong> una situación116<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
“hostil” a la hora <strong>de</strong> dar conferencias como responsable <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Microsoft, porser objeto <strong>de</strong> crítica tanto por parte <strong>de</strong> ponentes (nosotros hemos participado en <strong>al</strong>guno)como <strong>de</strong> público. ¿Has observado <strong>al</strong>guna evolución en las críticas durante estos años o sonrecurrentes?HM: Sí, en efecto ser responsable <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Microsoft en los tiempos “heavies” <strong>de</strong>l 2001 <strong>al</strong> 2003fue una experiencia y un sobres<strong>al</strong>to. Recuerdo especi<strong>al</strong>mente aquella ocasión (2001) que vosotros tambiénrecordáis en el evento e-G<strong>al</strong>laecia, en el que permanecí durante tres días completos, sentado en primerafila, escuchando las “<strong>de</strong>dicatorias” <strong>de</strong> bastantes ponentes, y tomando notas como un <strong>de</strong>scosido pararespon<strong>de</strong>rles a<strong>de</strong>cuadamente en mi intervención posterior. Afortunadamente mi intervención era laúltima <strong>de</strong>l último día (había morbo, y por eso me <strong>de</strong>jaron hasta el fin<strong>al</strong> ;-) , pero el número <strong>de</strong> <strong>al</strong>usionesen tres días había sido tan enorme, que respon<strong>de</strong>r a todas ellas fue un reto. Recuerdo especi<strong>al</strong>mente lamención que os hice en aquel evento (estabais entre el público) a sabiendas <strong>de</strong> que vuestro sitio web seencontraba sobre Windows NT, sin protecciones perimetr<strong>al</strong>es, configurado con conocimiento y criterio <strong>de</strong>forma que nunca había sufrido un percance <strong>de</strong> <strong>seguridad</strong> a pesar <strong>de</strong>l elevado número <strong>de</strong> ataques. Asíqueme servisteis <strong>de</strong> ejemplo para hablar <strong>de</strong> la “vulnerabilidad <strong>de</strong> capa 7” ;-) .La hostilidad hacia Microsoft en <strong>de</strong>bates públicos acerca <strong>de</strong> la <strong>seguridad</strong>, no tiene nada que ver en laactu<strong>al</strong>idad. Especi<strong>al</strong>mente gracias a que lo que en el 2001 eran solo promesas, con el tiempo se ibanplasmando en re<strong>al</strong>ida<strong>de</strong>s y argumentos con los que te sentías mas “protegido” (es <strong>de</strong>cir, common Criteria,Secure Development lifecicle, reducción <strong>de</strong>l 60% en número <strong>de</strong> vulnerabilida<strong>de</strong>s, etc.). En el 2001 mesentía como si Microsoft me daba una navajita cortaúñas y me <strong>de</strong>cía: “Ale chav<strong>al</strong>, haz lo que puedas”.Ahora sinceramente siento que la “navajita cortaúñas” es un bazuca. Recuerdo también <strong>de</strong> forma especi<strong>al</strong>la mesa redonda en Securmatica sobre la <strong>seguridad</strong> en código abierto vs. propietario. Toda una experiencia;-)De estas he tenido unas cuantas, pero reconozco que la mayor “pasión” en <strong>de</strong>bates estaba aún por llegar.Y es que el “apasionamiento” cuasi religioso que traen consigo los temas relacionados con la competenciaOpen Source vs. software propietario, hacen que ese tipo <strong>de</strong> experiencias sobre <strong>seguridad</strong> las recuer<strong>de</strong> casicomo un juego <strong>de</strong> niños. Lo “mejor” estaba aún por llegar (frase un tanto masoquista, lo sé).H: En una industria tan bien asentada y especi<strong>al</strong>izada como la <strong>de</strong> los antivirus, ¿quéimpulsó a Microsoft a entrar <strong>de</strong> lleno con sus propias soluciones? ¿Simplemente negocioo sintió la necesidad <strong>de</strong> mejorar en <strong>al</strong>gún aspecto que no era cubierto por las compañíasantivirus?HM: No fue un aspecto relacionado con “f<strong>al</strong>ta <strong>de</strong> confianza”. Es más, los gran<strong>de</strong>s fabricantes antivirus sonmuy buenos socios <strong>de</strong> Microsoft con un enorme conocimiento y experiencia. Pero sí veíamos importante elaumentar nuestro conocimiento sobre el mundo <strong>de</strong> la <strong>seguridad</strong> (no solo <strong>de</strong>s<strong>de</strong> la perspectiva <strong>de</strong> <strong>de</strong>sarrolloseguro <strong>de</strong> código y <strong>de</strong> respuesta a emergencias) y participar <strong>de</strong> la evolución <strong>de</strong> ese mercado. Tenemosmás capacidad <strong>de</strong> enten<strong>de</strong>r los problemas <strong>de</strong> <strong>seguridad</strong>, reaccionar <strong>de</strong> forma más sólida y colaborar máseficazmente con nuestros socios <strong>de</strong> <strong>seguridad</strong> ahora que antes.H: ¿Cuál es el sitio más interesante en el que has estado por trabajo?HM: Des<strong>de</strong> la perspectiva lúdico-festiva, sin duda el viaje que aproveché para visitar unos días el parquenatur<strong>al</strong> <strong>de</strong> Banff en plenas montañas Rocosas en Canada. <strong>Una</strong> vez pasada la aprensión a ser <strong>de</strong>vorado porun oso, los paisajes <strong>de</strong> los que ahí se disfrutan son “in<strong>de</strong>scriptibles”, a<strong>de</strong>más <strong>de</strong> circular por la <strong>al</strong>ucinanteAutopista <strong>de</strong> Hielo que recorre el parque, dicen que la más espectacular <strong>de</strong> América, y no es para menos.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 - 117
Prohibido tocar el freno, por razones obvias. Des<strong>de</strong> la perspectiva profesion<strong>al</strong>, pues es difícil. Quizá, ypor ser mas reciente, la reunión en San Francisco que <strong>de</strong>scribo en este post http://blogs.technet.com/hectormontenegro/archive/2008/05/26/<strong>al</strong>ucinante-reuni-n.aspx (sí, sin duda, estoy aprovechando parahacer publicidad <strong>de</strong> mi blog ;-))H: ¿Por dón<strong>de</strong> andarán los tiros en <strong>seguridad</strong> en el futuro?HM: Esto siempre es una aventura, pero a nivel <strong>de</strong> investigación básica creo que los avances en criptografíacuántica marcarán el futuro <strong>de</strong> la <strong>seguridad</strong> en función <strong>de</strong> su capacidad <strong>de</strong> implementación <strong>de</strong> bajo costey accesibilidad.H: ¿A qué <strong>de</strong>dicas más tiempo últimamente?HM: Esa pregunta me hace sospechar que no tienes hijos, ¿Verdad? Pues el tiempo no profesion<strong>al</strong> ami familia, a la música (aporrear baterías y guitarras me vine relajando <strong>de</strong>s<strong>de</strong> los 18 años), a la lectura(recomiendo Un dia <strong>de</strong> Cólera. Alucinante) y a la montaña. Si la pregunta iba más por el lado profesion<strong>al</strong>,te reconoceré que hace un par <strong>de</strong> años no me <strong>de</strong>dico con la misma intensidad a la <strong>seguridad</strong>, y si por elcontrario <strong>al</strong> mundo <strong>de</strong> los estándares (OpenXML,) interoperabilidad, a pelearme en mi blog (http://www.hectormontenegro.com), aunque no per<strong>de</strong>r la <strong>seguridad</strong> <strong>de</strong> vista sigue siendo una satisfacción.118<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2002 -
7D33723año 2003Capítulo511111010011
1041379200 – 1073001599Durante este año...__El 23 <strong>de</strong> enero se recibe la última señ<strong>al</strong> <strong>de</strong>l mítico Pioneer 10, una aeronave espaci<strong>al</strong>lanzada <strong>al</strong> espacio en 1972 que hizo las primeras observaciones <strong>de</strong> Júpiter. Se perdió suseñ<strong>al</strong> cuando estaba a unos <strong>12</strong>.000 millones <strong>de</strong> kilómetros <strong>de</strong> la Tierra.__El 14 <strong>de</strong> febrero muere la Oveja Dolly. Fue el primer mamífero clonado en 1996. Su muerte se <strong>de</strong>be,entre otras posibles causas, a la antigüedad genética <strong>de</strong>l núcleo <strong>de</strong> la célula adulta que le fue transferida.Aunque cuenta cronológicamente con más <strong>de</strong> 5 años, ya tiene artritis. Genéticamente suma 11 (hay quesumar los 6 <strong>de</strong> la edad genética <strong>de</strong> la madre).__Vodafone sufre una avería el 20 <strong>de</strong> febrero que <strong>de</strong>ja sin teléfono móvil a sus casi 9 millones <strong>de</strong> abonadosen España.__Aparece Second Life, un mundo virtu<strong>al</strong> <strong>de</strong>sarrollado por Lin<strong>de</strong>n Research Inc. Obtendría una atencióny popularidad cada vez mayores a partir <strong>de</strong>l año 2006, cuando las empresas comienzan a montar sus se<strong>de</strong>svirtu<strong>al</strong>es <strong>de</strong>ntro <strong>de</strong> este lugar que parece atrapar a sus participantes. Gaspar Llamazares, coordinador <strong>de</strong>Izquierda Unida tiene su propio personaje <strong>de</strong> Second Life y la <strong>de</strong>legación <strong>de</strong>l PP en Castilla La Manchacuenta con una oficina elector<strong>al</strong>. Se montarían, incluso, manifestaciones virtu<strong>al</strong>es contra las se<strong>de</strong>s <strong>de</strong>partidos políticos. Se crea toda una jerarquía y mundo par<strong>al</strong>elo, que se refleja en cifras muy re<strong>al</strong>es <strong>al</strong>ven<strong>de</strong>r en la vida re<strong>al</strong> las cuentas <strong>de</strong> personajes po<strong>de</strong>rosos en Second Life. A fin<strong>al</strong>es <strong>de</strong> 2004 se lanzaríaWorld of Warcraft, otro mundo virtu<strong>al</strong> con mucho éxito.La guerra contra Iraq comienza a materi<strong>al</strong>izarse. Los lí<strong>de</strong>res <strong>de</strong>l Reino Unido, España,Dinamarca, Hungría, It<strong>al</strong>ia, Polonia, República Checa, Portug<strong>al</strong> y Rumanía <strong>de</strong>muestransu apoyo a los planes <strong>de</strong> Estados Unidos para invadir el país. Francia muestra su rechazo yEstados Unidos cambia el nombre <strong>de</strong> sus “French Fries” (con este nombre se conocen <strong>al</strong>lílas patatas fritas) por “Freedom Fries”.El 15 <strong>de</strong> febrero 10 millones <strong>de</strong> personas en más <strong>de</strong> 600 ciuda<strong>de</strong>s <strong>de</strong> todo el mundo semanifiestan en contra <strong>de</strong> la guerra. Al día siguiente, todos los grupos <strong>de</strong> oposición <strong>de</strong>lParlamento español apoyan una moción contra la posición <strong>de</strong> Bush y Aznar. El 16 <strong>de</strong>marzo, Aznar, Blair y Bush se reúnen en la conocida “foto <strong>de</strong> las Azores” don<strong>de</strong> los tresargumentan que, según p<strong>al</strong>abras <strong>de</strong>l propio Bush, “es el momento <strong>de</strong> la verdad”. Se daun ultimátum <strong>de</strong> 48 horas a Iraq para forzar el <strong>de</strong>sarme inmediato. Bush insiste en que laoperación será corta y eficaz.El <strong>de</strong>sarme no se produce y el día 19 <strong>de</strong> marzo, las primeras bombas caen sobre Baghdad.Ni Saddam Hussein ni sus hijos abandonan el país. Los hijos <strong>de</strong> Hussein morirían el día 22 <strong>de</strong>julio en manos <strong>de</strong> las tropas <strong>de</strong> los Estados Unidos. El 9 <strong>de</strong> abril las fuerzas estadouni<strong>de</strong>nsesconquistan la capit<strong>al</strong> Baghdad, y para el 1 <strong>de</strong> mayo, George W. Bush anuncia a bomboy platillo que la misión se ha conseguido y que los combates se dan por concluidos en elpaís.<strong>12</strong>0<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
En marzo <strong>de</strong> 2008 se llegaría a los 4.000 militares estadouni<strong>de</strong>nses muertos en la guerra. Losciviles y militares iraquíes muertos se cuentan por <strong>de</strong>cenas <strong>de</strong> miles bajo una atmósfera <strong>de</strong>continuo miedo y ataques terroristas en las princip<strong>al</strong>es ciuda<strong>de</strong>s <strong>de</strong>l país.__El 14 <strong>de</strong> abril se completa el genoma humano con un 99.99% <strong>de</strong> precisión. Concluye así la carrerahacia el conocimiento <strong>de</strong> la genética humana.__El 26 <strong>de</strong> mayo <strong>de</strong> 2003, un aviónYakovlev 42-D <strong>de</strong> fabricación rusa se estrella en Turquía cerca <strong>de</strong>laeropuerto <strong>de</strong> Trebisonda con 75 personas a bordo. Entre ellos, 62 militares españoles que regresabana España <strong>de</strong>spués <strong>de</strong> cuatro meses <strong>de</strong> misión en Afganistán y Kirguizistán. Mueren todos junto a <strong>12</strong>tripulantes ucranianos y un ciudadano <strong>de</strong> origen bielorruso. El acci<strong>de</strong>nte se convierte en la peor tragedia<strong>de</strong>l Ejército español en toda su historia en tiempo <strong>de</strong> paz.__Durante el verano, se vive una ola <strong>de</strong> c<strong>al</strong>or en todo el mundo. En el Reino Unido se <strong>al</strong>canzan los 38,5grados centígrados en agosto. Paris llega a los 44.__En la una-<strong>al</strong>-día <strong>de</strong>l 23 <strong>de</strong> agosto “Nuevo caso <strong>de</strong> “phishing”, esta vez con Citibank” se incluye porprimera vez el término phishing. Hasta ahora se venía usando la expresión genérica “frau<strong>de</strong> online”.__A principios <strong>de</strong> octubre Arnold Schwarzenegger es elegido como gobernador <strong>de</strong> C<strong>al</strong>ifornia,abandonando su carrera <strong>de</strong> actor.__El 20 <strong>de</strong> noviembre Michael Jackson es arrestado con cargos <strong>de</strong> abuso infantil.__El día <strong>de</strong> Nochebuena la policía española frustra un ataque <strong>de</strong> ETA. Pretendía colocar 50 kilos <strong>de</strong>explosivos en la estación <strong>de</strong> Chamartín <strong>de</strong> Madrid.__El 26 <strong>de</strong> noviembre el Concor<strong>de</strong> re<strong>al</strong>iza su último vuelo. Elprimero lo re<strong>al</strong>izó en 1969, comenzando el servicio comerci<strong>al</strong>en 1976. Se convirtió en un icono <strong>de</strong> la aviación durante los80 y 90, muy popular <strong>de</strong>bido a su diseño futurista y velocidadsupersónica. El vuelo Air France 4590 re<strong>al</strong>izado por unConcor<strong>de</strong> <strong>de</strong> París a Nueva York, se estrelló en Francia el 25 <strong>de</strong>julio <strong>de</strong> 2000 con 109 personas en su interior. Todas murieron.El inci<strong>de</strong>nte se produjo por una pieza <strong>de</strong> titanio que se había<strong>de</strong>sprendido <strong>de</strong> un <strong>de</strong>spegue anterior en la misma pista <strong>de</strong>s<strong>de</strong>don<strong>de</strong> s<strong>al</strong>ía el Concor<strong>de</strong>. Aunque se consi<strong>de</strong>raba el avión másseguro <strong>de</strong>l mundo, con respecto <strong>al</strong> ratio pasajeros f<strong>al</strong>lecidos y distancia viajada, este acci<strong>de</strong>nte marcaría elprincipio <strong>de</strong>l fin <strong>de</strong>l Concor<strong>de</strong>. La crisis económica tras los atentados <strong>de</strong>l 11 <strong>de</strong> septiembre, junto con otrosfactores, pusieron punto y fin<strong>al</strong> a sus vuelos a fin<strong>al</strong>es <strong>de</strong> 2003.__Se crea el Proyecto Fedora. La mítica Red Hat Linux es <strong>de</strong>scontinuada y se reciclaen forma <strong>de</strong> Red Hat Enterprise Linux (RHEL). Se trata <strong>de</strong> la distribución <strong>de</strong> Linuxofici<strong>al</strong>mente soportada por Red Hat, orientada a empresas. Fedora se convertiría en unproyecto comunitario como lo había venido siendo hasta ahora Red Hat Linux. Red HatLinux 9 <strong>de</strong>jaría <strong>de</strong> ser soportada ofici<strong>al</strong>mente en abril <strong>de</strong> 2004, aunque el proyecto FedoraLegacy continuó publicando actu<strong>al</strong>izaciones hasta fin<strong>al</strong>es <strong>de</strong> 2006. Fedora ganaría gran popularidad conun elevado número <strong>de</strong> versiones. La versión 1.0 <strong>de</strong> Red Hat fue presentada el 3 <strong>de</strong> noviembre <strong>de</strong> 1994.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - <strong>12</strong>1
Seguridad Informática_ Durante el año 2003, hasta 60 millones <strong>de</strong> europeos usanla banca online para gestionar sus ahorros, en contraste con los23 millones que hacían uso <strong>de</strong> este servicio en el año 2000. Lasbases para el phishing y el frau<strong>de</strong> online se asientan._ El mes <strong>de</strong> enero se inaugura con la <strong>de</strong>tección <strong>de</strong>l virus Avril (o Lirva, Avrono Naith). Se propaga a través <strong>de</strong>l correo electrónico, unida<strong>de</strong>s <strong>de</strong> re<strong>de</strong>s loc<strong>al</strong>es,IRC, ICQ y Kazaa, a<strong>de</strong>más <strong>de</strong> robar contraseñas. Hace referencia a la cantanteAvril Lavigne, a la que el gusano <strong>de</strong>dica el “payload”. Consigue una gran difusión.En pocas horas se sitúa en segunda posición en los indicadores <strong>de</strong> infección,sólo por <strong>de</strong>bajo <strong>de</strong> Klez. Pocos días <strong>de</strong>spués aparece Sobag, un gusano <strong>de</strong> granpropagación que ataca con fuerza en Estados Unidos y países anglosajones. Ladifusión <strong>de</strong> estos virus se re<strong>al</strong>iza todavía <strong>de</strong> forma clásica, con un adjunto en unmensaje <strong>de</strong> correo... pero esto no tardaría en cambiar.Irrumpe en escena a fin<strong>al</strong>es <strong>de</strong> enero Slammer, un gusano en el sentido más liter<strong>al</strong> <strong>de</strong>ltérmino que haría historia. Aprovecha una vulnerabilidad <strong>de</strong> Microsoft SQL Server.Slammer se conecta, aprovecha el f<strong>al</strong>lo y ejecuta un pequeño código que busca nuevosservidores a los que infectar. En apenas unos minutos los servidores infectados se elevanexponenci<strong>al</strong>mente, hasta que la Red completa sufre una pequeña saturación. Cada8,5 segundos se dobla el número <strong>de</strong> sistemas infectados y en sólo diez minutos consigueintroducirse e infectar a 75.000 or<strong>de</strong>nadores. Se cuela en la red <strong>de</strong> monitorización <strong>de</strong> unacentr<strong>al</strong> nuclear, <strong>de</strong>jándola inoperativa durante cinco largas horas. Slammer no se escribecomo archivo, sólo existe en la memoria <strong>de</strong> los sistemas infectados, lo que complica la<strong>de</strong>tección por parte <strong>de</strong> los antivirus.El gusano actúa enviando un paquete UDP <strong>de</strong> 376 bytes <strong>al</strong> puerto 1434, y aprovechauna vulnerabilidad <strong>de</strong> <strong>de</strong>sbordamiento <strong>de</strong> memoria intermedia existente en este serviciopara forzar la ejecución automática <strong>de</strong>l código. El puerto 1434 es usado por los clientespara consultar cuál es el puerto TCP asignado a un servidor SQL virtu<strong>al</strong> en particular. Lavulnerabilidad fue documentada por Microsoft el 24 <strong>de</strong> julio <strong>de</strong> 2002, fecha <strong>de</strong>s<strong>de</strong> la queestá disponible un parche específico para corregirla.__En agosto el gusano Sobig bate un récord: Messagelabs lo c<strong>al</strong>ifica como el virus con la propagación másrápida <strong>de</strong> la historia.__ En febrero The Washington Post publica que el presi<strong>de</strong>nte <strong>de</strong> los Estados Unidos ha firmado unadirectiva secreta en la que or<strong>de</strong>na <strong>al</strong> gobierno <strong>de</strong>sarrollar, por primera vez, un plan nacion<strong>al</strong> que fijarácuándo y cómo lanzar ciber-ataques contra las re<strong>de</strong>s informáticas <strong>de</strong>l “enemigo”. El Pentágonoprepara los planes para establecer todos los pasos necesarios para <strong>de</strong>sarrollar una actuación hostil contr<strong>al</strong>a infraestructura informática <strong>de</strong> un país enemigo. Se compara esta directiva con la existente para eluso <strong>de</strong>l armamento nuclear, que establece las situaciones en las que pue<strong>de</strong> utilizarse este tipo <strong>de</strong> fuerza,la selección <strong>de</strong> objetivos que se consi<strong>de</strong>ren legítimos y quién <strong>de</strong>be autorizar un ataque <strong>de</strong> este tipo. Elperiódico norteamericano indica que todo el <strong>de</strong>sarrollo se ha re<strong>al</strong>izado internamente por organismospúblicos (Pentágono, CIA, FBI y NSA). Un mes antes se había solicitado por primera vez la opinión <strong>de</strong><strong>12</strong>2<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
expertos externos, en una reunión celebrada en el MIT. De acuerdo con la noticia, diversos investigadoresexpresaron sus reservas en participar en este tipo <strong>de</strong> planes bélicos.__VISA y MasterCard reconocen que los datos <strong>de</strong> más <strong>de</strong> cinco millones <strong>de</strong>tarjetas <strong>de</strong> crédito se han visto comprometidos. Algunas fuentes elevan la cifrahasta los 8 millones, <strong>al</strong> incluir las tarjetas <strong>de</strong> American Express, también afectada.El atacante obtuvo los datos <strong>de</strong> los números <strong>de</strong> tarjetas <strong>de</strong> crédito tras comprometerla <strong>seguridad</strong> <strong>de</strong> una tercera compañía encargada <strong>de</strong> procesar las transacciones <strong>de</strong> lastarjetas <strong>de</strong> crédito en nombre <strong>de</strong> comerciantes.__Se <strong>de</strong>tecta a fin<strong>al</strong>es <strong>de</strong> febrero Lovgate, cuya peculiaridad es que respon<strong>de</strong> a los correos re<strong>al</strong>es. Entreotras técnicas, el gusano se distribuye por email simulando ser respuestas a los mensajes nuevos que seencuentran en la ban<strong>de</strong>ja <strong>de</strong> entrada <strong>de</strong> los usuarios infectados. Esta simple técnica <strong>de</strong> ingeniería soci<strong>al</strong>(que contrasta con los asuntos fijos usados en gener<strong>al</strong> por el m<strong>al</strong>ware hasta la fecha) le hace esc<strong>al</strong>ar puestosrápidamente como gusano <strong>de</strong> gran propagación.__Se popularizan nuevos métodos <strong>de</strong> envío <strong>de</strong> spam usando el servicio Messenger <strong>de</strong> Windows.El servicio Messenger (no confundir con el Microsoft Messenger o el MSN Messenger ni con ningúnprograma <strong>de</strong> navegación web o lectura <strong>de</strong> correo electrónico) es un servicio <strong>de</strong> los sistemas operativos <strong>de</strong>la familia Windows que implementa un sencillo sistema <strong>de</strong> envío <strong>de</strong> mensajes y avisos entre las máquinasconectadas en la red loc<strong>al</strong>. Los mensajes emergentes utilizan el protocolo NetBIOS, por lo que cuandocirculan por una red TCP/IP utilizan los puertos 137 (UDP) y 139 (TCP). Este es el mecanismo habitu<strong>al</strong><strong>de</strong> transmisión para los mensajes enviados mediante un NET SEND o la API NetMessageBufferSend. Losmensajes se presentan en una ventana <strong>de</strong> Windows, con el título “Mensajería <strong>de</strong> Windows”, con el texto<strong>de</strong>l mensaje y un botón “Aceptar”. Al pulsar el botón, la ventana se cierra. La mayoría <strong>de</strong> los usuarios no seprotegen <strong>de</strong>trás <strong>de</strong> ningún cortafuegos en ese momento, y se encuentran con que, cada cierto tiempo, <strong>de</strong>s<strong>de</strong>Internet se le envía a través <strong>de</strong> este molesto sistema (que obliga a aceptar o cerrar una ventana emergente)anuncios sobre viagra y otros productos. Incluso se anuncian <strong>de</strong> esta forma programas fraudulentos queprometen evitar este tipo <strong>de</strong> spam en el sistema (simples ejecutables que <strong>de</strong>tenían el servicio en Windows).Con el Service Pack 2 para Windows XP, Microsoft <strong>de</strong>shabilitaría por <strong>de</strong>fecto el servicio “Mensajero” o“Messenger”.__En marzo Sendmail vuelve a sufrir una grave vulnerabilidad. Las versiones anteriores a la 8.<strong>12</strong>.8 sonsusceptibles a un ataque que permite que un usuario remoto ejecute código arbitrario en el servidor <strong>de</strong>correo, con privilegios <strong>de</strong> administrador.__El estudio “Decim<strong>al</strong>isation table attacks for PIN cracking” <strong>de</strong>muestra la vulnerabilidad <strong>de</strong> lossistemas <strong>de</strong> <strong>seguridad</strong> utilizados por los cajeros automáticos para la v<strong>al</strong>idación <strong>de</strong> los PIN asociados <strong>al</strong>as tarjetas <strong>de</strong> crédito. Dos investigadores <strong>de</strong> la universidad <strong>de</strong> Cambridge (Reino Unido) presentan unestudio <strong>de</strong> las <strong>de</strong>bilida<strong>de</strong>s existentes en los dispositivos hardware para el <strong>al</strong>macenamiento seguro y lav<strong>al</strong>idación <strong>de</strong> los PIN asociados a las tarjetas <strong>de</strong> crédito utilizadas habitu<strong>al</strong>mente por las institucionesfinancieras. Citibank intenta ocultar la información, que fin<strong>al</strong>mente s<strong>al</strong>e a la luz.__ Marzo <strong>de</strong> 2003 es un mes especi<strong>al</strong>mente prolífico en cuestión <strong>de</strong> vulnerabilida<strong>de</strong>s. En apenas dossemanas, se publican graves vulnerabilida<strong>de</strong>s para Sendmail, BIND, Flash, Snort, Internet Explorer,WebDAV, Windows Script Engine, Samba y el kernel <strong>de</strong> Linux.__ Se <strong>de</strong>scubre la vulnerabilidad en el servicio RCP Endpoint Mapper presente por <strong>de</strong>fecto en el puertoTCP/135 en Windows NT 4.0, 2000 y XP. Microsoft publica el parche para Windows 2000 y XP, mientras<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - <strong>12</strong>3
que <strong>de</strong>ja a todos los sistemas Windows NT vulnerables, con la única excusa <strong>de</strong> que la solución en estesistema es muy complicada. Es el principio <strong>de</strong>l fin para NT.__En marzo se <strong>de</strong>scubre una <strong>de</strong>bilidad en el protocolo <strong>de</strong> autenticación NTLM. Todas las versiones<strong>de</strong> Windows utilizan el protocolo SMB para los servicios <strong>de</strong> compartición <strong>de</strong> archivos e impresoras. Cuandoun cliente se conecta a un recurso <strong>de</strong> la red, se utiliza la autenticación NTLM para enviar las cre<strong>de</strong>nci<strong>al</strong>es<strong>de</strong> usuario incluyendo la contraseña. Un servidor SMB especi<strong>al</strong>mente manipulado pue<strong>de</strong> utilizar estainformación para autenticarse en el cliente, llegando a po<strong>de</strong>r obtener pleno control sobre los recursoscompartidos en el cliente.__Es el año <strong>de</strong> los problemas en los servidores web más populares. Netcraft supone el mayor repositorio<strong>de</strong> información sobre estadísticas <strong>de</strong> servidores web. En la encuesta <strong>de</strong> marzo se basa en las respuestas<strong>de</strong> casi cuarenta millones <strong>de</strong> servidores, en la que se refleja la posición dominante <strong>de</strong> Apache con un 63%<strong>de</strong>l mercado. La Fundación Apache lanza la voz <strong>de</strong> <strong>al</strong>arma sobre un grave riesgo <strong>de</strong> <strong>de</strong>negación <strong>de</strong> servicioen las versiones que van <strong>de</strong> la 2.0 a la 2.0.44 <strong>de</strong> su servidor web. Los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> la vulnerabilidad no seconocerían hasta el ocho <strong>de</strong> abril, pero el grupo advierte a los usuarios antes <strong>de</strong> que se hagan públicos estos<strong>de</strong>t<strong>al</strong>les. Este comportamiento les viene a redimir ante una embarazosa situación que sufrió la Fundaciónen junio <strong>de</strong> 2002, cuando los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> su peor problema <strong>de</strong> <strong>seguridad</strong> conocido hasta la fecha fueronpúblicos antes <strong>de</strong> que ellos mismos tuvieran la solución y pusieran a disposición <strong>de</strong> los usuarios el parchea<strong>de</strong>cuado. IIS sufre <strong>de</strong> un problema <strong>de</strong> ejecución <strong>de</strong> código a través <strong>de</strong> WebDAV también por esas fechas.Un estudio <strong>de</strong> Netcraft afirma que tres cuartos <strong>de</strong> los sitios web que operan con este IIS 5.0 lo hacen conel protocolo WebDAV habilitado y por lo tanto son vulnerables <strong>al</strong> f<strong>al</strong>lo.__Alan R<strong>al</strong>sky, el rey <strong>de</strong>l spam, recibe un auténtico ataque distribuido <strong>de</strong> <strong>de</strong>negación <strong>de</strong> servicio. Seinunda <strong>de</strong> basura su correo físico post<strong>al</strong>. En 2003 Alan R<strong>al</strong>sky es uno <strong>de</strong> los personajes más prolíficos enel envío <strong>de</strong> correo basura a través <strong>de</strong> Internet, con una larga trayectoria iniciada en 1997. En diciembre<strong>de</strong> 2002 R<strong>al</strong>sky concedió una entrevista don<strong>de</strong> ridiculizaba y se reía <strong>de</strong> toda la comunidad contrariaa la existencia <strong>de</strong>l spam y que v<strong>al</strong>ora la intimidad <strong>de</strong> su buzón <strong>de</strong> correo. Se quejaba, por ejemplo, <strong>de</strong>lcoste que le suponía tener toda su infraestructura en China ante la imposibilidad <strong>de</strong> utilizar las empresasnorteamericanas. En esa entrevista cometió el error <strong>de</strong> comentar que su casa estaba situada en unapoblación <strong>de</strong>l estado norteamericano <strong>de</strong> Michigan. Esta entrevista es reproducida en slashdot.org y uno<strong>de</strong> los lectores encuentra la dirección post<strong>al</strong> <strong>de</strong>l domicilio <strong>de</strong>l spammer. De forma tot<strong>al</strong>mente espontánea,otros lectores utilizan esta dirección para suscribir <strong>al</strong> spammer a catálogos comerci<strong>al</strong>es, revistas <strong>de</strong>anuncios, panfletos, solicitu<strong>de</strong>s para recibir información, etc... Otros van más <strong>al</strong>lá y le envían directamentebasura (en el sentido liter<strong>al</strong> <strong>de</strong> la p<strong>al</strong>abra).__En mayo Fyodor, el autor <strong>de</strong>l popular “Nmap”, publica los resultados <strong>de</strong> una encuesta re<strong>al</strong>izada entresus usuarios, <strong>de</strong>t<strong>al</strong>lando las herramientas <strong>de</strong> <strong>seguridad</strong> más utilizadas.__ Todos los medios especi<strong>al</strong>izados se sorpren<strong>de</strong>n <strong>de</strong> una escena inusu<strong>al</strong>mente re<strong>al</strong>ista en la popularpelícula The Matrix Reloa<strong>de</strong>d. Transcurridos aproximadamente dos tercios <strong>de</strong> la película, Trinityse sienta <strong>de</strong>lante <strong>de</strong>l or<strong>de</strong>nador. En este punto, en lugar <strong>de</strong> aparecer las típicas pant<strong>al</strong>las <strong>de</strong> “acceso<strong>de</strong>negado” o “introduzca la contraseña” <strong>de</strong> aspecto irre<strong>al</strong>, Trinity utiliza Nmap, una potente herramientapara <strong>de</strong>terminar qué servicios ofrece una máquina conectada en Internet. La escena es muy breve, unospocos segundos, pero suficientes para reconstruirlos. Trinity, <strong>de</strong>s<strong>de</strong> una sesión root en una máquinaUnix (i<strong>de</strong>ntificable por el prompt #), utiliza Nmap 2.54BETA25 para i<strong>de</strong>ntificar los servicios que ofrece lamáquina 10.2.2.2. Encuentra el puerto 22 (TCP), correctamente i<strong>de</strong>ntificado como SSH. A continuación,utiliza un programa llamado sshnuke que muestra este texto “Attempting to exploit SSHv1 CRC32”. Setrata <strong>de</strong> un exploit que le permite cambiar la contraseña <strong>de</strong>l usuario root <strong>de</strong>l sistema remoto. Si bien no se<strong>12</strong>4<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
tiene constancia <strong>de</strong> la existencia <strong>de</strong> ningún exploit llamado “sshnuke”, lo que sí es re<strong>al</strong> es la vulnerabilidady también sus efectos. Otro aspecto interesante es la ubicación tempor<strong>al</strong>. La versión <strong>de</strong> Nmap utilizadafue publicada el 4 <strong>de</strong> junio <strong>de</strong> 2001 y la vulnerabilidad que explota el sshnuke, el 8 <strong>de</strong> febrero <strong>de</strong> 2001. Enla primera película “The Matrix”, la acción se sitúatempor<strong>al</strong>mente en 1999. Morpheus indica, en lanueva película que “durante estos seis meses” (<strong>de</strong>s<strong>de</strong>el momento en que Neo se transforma en “TheOne”) “se han liberado más mentes que en los seisaños anteriores”. Por tanto, la acción <strong>de</strong> “The MatrixReloa<strong>de</strong>d” transcurre en un mundo simulado en los<strong>al</strong>re<strong>de</strong>dores <strong>de</strong>l mes <strong>de</strong> junio <strong>de</strong> 2000. Trinity utilizauna vulnerabilidad y una versión <strong>de</strong> un productotodavía no publicados.En junio se <strong>de</strong>scubre un gusano que simula ser un test enviado <strong>de</strong>s<strong>de</strong> <strong>Hispasec</strong>. El archivoque se adjunta en el correo es en re<strong>al</strong>idad un nuevo gusano que está siendo distribuido<strong>de</strong>s<strong>de</strong> Hotmail. El mensaje tiene el siguiente aspecto:Remite: “test@hispasec.com”Asunto: “Tests antivirus para comprobar la protección <strong>de</strong>l e-mail”Adjunto: “eicax.com”Cuerpo: “<strong>Hispasec</strong> pone a disposición <strong>de</strong> todos los usuarios dos tests para comprobar elcorrecto funcionamiento <strong>de</strong> la protección antivirus <strong>de</strong>l correo electrónico. El primero <strong>de</strong>ellos nos indicará la correcta inst<strong>al</strong>ación y buen funcionamiento <strong>de</strong>l antivirus, mientras queel segundo <strong>de</strong>terminará la capacidad <strong>de</strong> <strong>de</strong>tección proactiva para i<strong>de</strong>ntificar gusanosque explotan vulnerabilida<strong>de</strong>s conocidas.”El adjunto tiene un tamaño <strong>de</strong> 180.736 bytes, resultado <strong>de</strong> comprimir con UPX el ejecutableorigin<strong>al</strong> <strong>de</strong> 438.784 bytes, <strong>al</strong> parecer escrito en Delphi. En el código se pue<strong>de</strong> apreciarcomo, a<strong>de</strong>más <strong>de</strong>l mensaje simulando un envío <strong>de</strong> <strong>Hispasec</strong>, se encuentran otros muchostextos para construir otros e-mails y utilizarlos como anzuelo. Entre otras temáticas, hacenreferencia a Hotmail, Microsoft, Madonna, Spam, SARS, otros sitios <strong>de</strong> información sobrevirus y <strong>seguridad</strong> (a<strong>de</strong>más <strong>de</strong> <strong>Hispasec</strong>), chistes, etc., todos en español.Consigue cierta repercusión en los países <strong>de</strong> habla Hispana. Obviamente se trata <strong>de</strong> unmensaje f<strong>al</strong>so que utiliza la imagen <strong>de</strong> <strong>Hispasec</strong> como reclamo.__Se comienza a observar, <strong>de</strong> forma gener<strong>al</strong>izada, la <strong>al</strong>ianza entre spammers y troyanos. El spamse multiplica, tomando dimensiones <strong>de</strong> plaga (y todavía tendría que crecer mucho más). Se comienzaa dudar <strong>de</strong> la eficacia <strong>de</strong> los métodos habitu<strong>al</strong>es y poco efectivos que se vienen utilizando en contra <strong>de</strong>lcorreo basura hasta la fecha. Las protecciones habitu<strong>al</strong>es son poco eficaces e incluso ingenuas ante unproblema creciente. Se comienza a <strong>de</strong>tectar cada vez más el uso <strong>de</strong> <strong>de</strong> troyanos que tienen como fin el envío<strong>de</strong> spam <strong>de</strong>s<strong>de</strong> los sistemas infectados. Al re<strong>al</strong>izarse el envío <strong>de</strong> forma distribuida entre múltiples sistemases mucho más complicado i<strong>de</strong>ntificar todos los puntos <strong>de</strong> envío para introducirlos en las listas negras.__En junio Microsoft publica el Service Pack 4 para Windows 2000, que sería el último.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - <strong>12</strong>5
__En julio, <strong>de</strong>s<strong>de</strong> una página web asociada a Zone-H (la web <strong>de</strong> los “<strong>de</strong>facers”) se propone un concurso.Ganan aquellos que primero consigan atacar y modificar 6.000 sitios web en 6 horas o, en su <strong>de</strong>fecto,el que logre la cifra más <strong>al</strong>ta en ese plazo <strong>de</strong> tiempo. El domingo 6 <strong>de</strong> julio, día <strong>de</strong>l concurso, se esperauna av<strong>al</strong>ancha <strong>de</strong> páginas <strong>de</strong>sfiguradas, los medios tradicion<strong>al</strong>es se encargan <strong>de</strong> exagerar la jugada. Larepercusión sería escasa o nula, entre otras razones por un supuesto ataque <strong>de</strong> <strong>de</strong>negación <strong>de</strong> servicio a lapropia Zone-H. La organización, participación, y objetivos <strong>de</strong>l concurso resultarían todo un fiasco.__Aparece en julio Migmaf, un troyano que convierte los PCs en servidores <strong>de</strong> páginas pornográficas.Destaca por inst<strong>al</strong>ar un proxy reverso en el or<strong>de</strong>nador infectado que redirecciona las peticiones HTTPcontra un servidor centr<strong>al</strong>, habitu<strong>al</strong>mente con contenido pornográfico. De esta forma, se consigue ocultarla ubicación re<strong>al</strong> <strong>de</strong> ese servidor centr<strong>al</strong>, impidiendo cu<strong>al</strong>quier posible acción <strong>de</strong> bloqueo <strong>de</strong> su contenido.__ En julio se <strong>de</strong>scubre el <strong>de</strong>sbordamiento <strong>de</strong> memoria intermedia en la interfaz RPC <strong>de</strong> sistemasWindows que, a la postre, permitiría la aparición <strong>de</strong>l fatídico gusano Blaster. Remote Procedure C<strong>al</strong>l(RPC) es un protocolo usado para proporcionar mecanismos <strong>de</strong> comunicación entre procesos <strong>de</strong> formaque un programa que se ejecute en un sistema pueda ejecutar código en otro sistema remoto <strong>de</strong> formatransparente. La implementación <strong>de</strong> Microsoft <strong>de</strong> este protocolo está <strong>de</strong>rivada <strong>de</strong>l protocolo RPC <strong>de</strong> laOSF (Open Software Foundation) pero con la inclusión <strong>de</strong> <strong>al</strong>gunas extensiones específicas <strong>de</strong> Microsoft.En el caso <strong>de</strong> Windows, el servicio RPC está asociado <strong>al</strong> puerto 135 (TCP). El f<strong>al</strong>lo se loc<strong>al</strong>iza en la parte <strong>de</strong>RPC que negocia con el intercambio <strong>de</strong> mensajes sobre TCP/IP. Lo provoca por un tratamiento incorrecto<strong>de</strong> mensajes m<strong>al</strong> construidos. Para explotar esta vulnerabilidad, un atacante <strong>de</strong>be enviar peticionesespeci<strong>al</strong>mente manipuladas <strong>al</strong> sistema remoto a través <strong>de</strong>l puerto 135.En agosto s<strong>al</strong>tan todas las <strong>al</strong>armas. Se comienzana recibir informes <strong>de</strong> un nuevo gusano que utiliza lareciente vulnerabilidad <strong>de</strong>scubierta en el mecanismoRPC <strong>de</strong> todas las versiones <strong>de</strong> Windows. Blasteroscurece el verano <strong>de</strong> 2003. Uno <strong>de</strong> los efectos <strong>de</strong>este gusano es que provoca el reinicio <strong>de</strong>l or<strong>de</strong>nadorinfectado cada pocos minutos. El gusano re<strong>al</strong>izaun barrido <strong>de</strong> las direcciones IP con el objeto <strong>de</strong>i<strong>de</strong>ntificar los sistemas Windows vulnerables (sistemascon el puerto 135 accesible). Cuando <strong>de</strong>tect<strong>al</strong>a existencia <strong>de</strong> un sistema vulnerable, utiliza lavulnerabilidad RPC para abrir una sesión <strong>de</strong> laconsola (cmd) accesible <strong>de</strong> forma remota a través<strong>de</strong>l puerto 4444. Ataca a los or<strong>de</strong>nadores que utilizancu<strong>al</strong>quier versión <strong>de</strong> Windows <strong>de</strong>l momento. Para cada dirección IP obtenida, el gusanoan<strong>al</strong>iza las 20 direcciones IP siguientes, intentando establecer una conexión en el puerto135. Si la conexión es satisfactoria, el gusano utiliza dos exploits diferentes para intentarinfiltrarse en el sistema remoto. El primero <strong>de</strong> estos exploits sólo funciona si el sistema remotoejecuta Windows 2000 mientras que el segundo es válido en el caso <strong>de</strong> que el sistemaremoto utilice Windows XP. Debido a que el gusano no intenta <strong>de</strong>terminar que versión <strong>de</strong>Windows utiliza el sistema remoto, sino que lanza uno u otro exploit <strong>de</strong> forma <strong>al</strong>eatoria, enel momento <strong>de</strong> enviar el código <strong>de</strong>l exploit pue<strong>de</strong> provocar la <strong>de</strong>tención inesperada <strong>de</strong>lproceso SVCHOST.EXE en el sistema atacado, lo que provocará que el sistema se vuelvainestable. En estos casos, la infección no se concluye, pero el sistema atacado pue<strong>de</strong>quedar inoperativo y necesitar un reinicio. Si funciona correctamente, se abrirá una sesión<strong>12</strong>6<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
<strong>de</strong>l intérprete <strong>de</strong> ór<strong>de</strong>nes <strong>de</strong> Windows, asociada <strong>al</strong> puerto 4444. Dentro <strong>de</strong> esta sesión,el gusano utiliza la utilidad TFTP para transferir el código <strong>de</strong>l gusano <strong>al</strong> or<strong>de</strong>nador reciénatacado. Blaster se convierte en una verda<strong>de</strong>ra pesadilla para millones <strong>de</strong> usuarios queven cómo su or<strong>de</strong>nador comienza a reiniciarse cada vez que se conecta a Internet. Laplaga cobra dimensiones <strong>de</strong>sproporcionadas.__El phishing sigue popularizándose. Se <strong>de</strong>tectan en verano frau<strong>de</strong>s contra PayP<strong>al</strong>, BBVA... Todavía nose c<strong>al</strong>ifica específicamente <strong>de</strong> “phishing”. Se usan las p<strong>al</strong>abras “frau<strong>de</strong> online”.__Sobig.F se propaga masivamente <strong>de</strong> forma tradicion<strong>al</strong>, enviándose como adjunto en un e-mail, y através <strong>de</strong> los recursos compartidos <strong>de</strong> las re<strong>de</strong>s loc<strong>al</strong>es.En agosto se anuncia que los documentos <strong>de</strong> Word escon<strong>de</strong>n información sensible. Elarchivo creado con Word oculta en re<strong>al</strong>idad más datos <strong>de</strong> los que pue<strong>de</strong>n verse a primeravista: versiones anteriores <strong>de</strong>l documento, rectificaciones o los nombres <strong>de</strong> personas que hantrabajado en él, pue<strong>de</strong>n quedar escondidos en el documento y extraerse posteriormente.El gobierno británico abandona el uso <strong>de</strong> Microsoft Word, en favor <strong>de</strong>l formato PDF trasverse forzado a comparecer en la Cámara <strong>de</strong> los Comunes Alastair Campbell, director <strong>de</strong>comunicación y mano <strong>de</strong>recha <strong>de</strong> Tony Blair, para dar más datos <strong>de</strong> cuatro empleadoscuyos nombres aparecían ocultos como autores <strong>de</strong>l informe ya conocido como “dodgydossier”. Este expediente fue publicado en febrero <strong>de</strong> 2003 como fruto <strong>de</strong>l trabajo <strong>de</strong> lainteligencia británica don<strong>de</strong> se evi<strong>de</strong>nciaba la existencia en Iraq <strong>de</strong> armas <strong>de</strong> <strong>de</strong>strucciónmasiva. Poco tiempo <strong>de</strong>spués se <strong>de</strong>mostró que el informe era en re<strong>al</strong>idad un plagio quecontenía copias liter<strong>al</strong>es <strong>de</strong> una antigua tesis <strong>de</strong> un estudiante c<strong>al</strong>iforniano <strong>de</strong> apenas 13años <strong>de</strong> edad.Aunque fuese el más sonado, no se trataba <strong>de</strong> un caso aislado. Un estudio llevado acabo en abril por Simon Byers, <strong>de</strong>l laboratorio <strong>de</strong> investigación <strong>de</strong> AT&T en los EE.UUevi<strong>de</strong>ncia que gran parte <strong>de</strong> los documentos Microsoft Word publicados en Internetcontienen información sensible oculta. Des<strong>de</strong> nombres, direcciones <strong>de</strong> e-mail, nombres <strong>de</strong>documentos relacionados, números <strong>de</strong> la <strong>seguridad</strong> soci<strong>al</strong>, trayectorias <strong>de</strong> las unida<strong>de</strong>sy carpetas don<strong>de</strong> estaba <strong>al</strong>macenado el documento, etc. La metodología <strong>de</strong> Byersconsistió en recolectar 100.000 documentos Word <strong>de</strong>s<strong>de</strong> Internet <strong>de</strong> forma <strong>al</strong>eatoria. Más<strong>de</strong> la mitad <strong>de</strong> los documentos mantenían entre 10 y 50 p<strong>al</strong>abras ocultas, un tercio <strong>de</strong> losmismos entre 50 y 500, y el 10% escondían más <strong>de</strong> 500 p<strong>al</strong>abras en su interior.__En septiembre se encuentra una vulnerabilidad crítica en Internet Explorer que permite laejecución <strong>de</strong> código con sólo visitar una página web. El parche acumulativo <strong>de</strong> agosto no soluciona porcompleto un agujero crítico que permite ejecutar código arbitrario en los sistemas con Internet Explorer.<strong>Hispasec</strong> proporciona <strong>al</strong>gunas <strong>de</strong>mostraciones re<strong>al</strong>es <strong>de</strong> cómo la vulnerabilidad sigue existiendo, aunteniendo inst<strong>al</strong>adas todas las actu<strong>al</strong>izaciones disponibles hasta la fecha. El exploit elegido por <strong>Hispasec</strong>para <strong>de</strong>mostrar el f<strong>al</strong>lo pone <strong>de</strong>l revés la pant<strong>al</strong>la. Un mes <strong>de</strong>spués, Microsoft soluciona el problema.__Aparece Swen, un m<strong>al</strong>ware que se hace pasar por una actu<strong>al</strong>ización <strong>de</strong> Microsoft. Envía un elaboradomensaje don<strong>de</strong> simula un envío <strong>de</strong> Microsoft con un adjunto que preten<strong>de</strong> ser una actu<strong>al</strong>ización. Lograengañar a muchos usuarios.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - <strong>12</strong>7
El 15 <strong>de</strong> septiembre, Verisign re<strong>al</strong>iza una serie <strong>de</strong> modificaciones en la<strong>de</strong>finición <strong>de</strong> los dominios <strong>de</strong> primer nivel .COM y .NET sin previo aviso.Se <strong>de</strong>nominaría “Site Fin<strong>de</strong>r”. Estos cambios consistieron en añadiruna entrada comodín para que cu<strong>al</strong>quier petición <strong>de</strong> resolución <strong>de</strong>un nombre <strong>de</strong> dominio erróneo fuera automáticamente redirigidahacia un sistema (sitefin<strong>de</strong>r.verisign.com), don<strong>de</strong> hay un servicio <strong>de</strong> búsqueda y directorio<strong>de</strong> páginas web. Las implicaciones <strong>de</strong> esta modificación re<strong>al</strong>izada son más graves <strong>de</strong>las <strong>de</strong>scritas por la compañía y afectan en gran medida <strong>al</strong> funcionamiento <strong>de</strong> la red. Elcambio efectuado por Verisign pue<strong>de</strong> c<strong>al</strong>ificarse como la modificación más importantere<strong>al</strong>izada en la arquitectura <strong>de</strong>l servicio <strong>de</strong> resolución <strong>de</strong> nombres <strong>de</strong>s<strong>de</strong> la introducción<strong>de</strong>l DNS.La existencia <strong>de</strong> los comodines implica que cu<strong>al</strong>quier petición <strong>de</strong> resolución <strong>de</strong> nombres<strong>de</strong> un dominio .COM o .NET siempre resultará satisfactoria, con in<strong>de</strong>pen<strong>de</strong>ncia <strong>de</strong> laexistencia re<strong>al</strong> <strong>de</strong> ese dominio. Si el dominio está registrado, el cambio efectuado porVerisign no afecta en absoluto a la resolución. Continuará siendo <strong>de</strong>legada en losservidores <strong>de</strong> nombres asociados <strong>al</strong> dominio. La comunidad no tarda en respon<strong>de</strong>r.A<strong>de</strong>más <strong>de</strong> las iniciativas para pedir la inmediata suspensión <strong>de</strong>l servicio, se plantea el<strong>de</strong>sarrollo <strong>de</strong> sistemas para la circunv<strong>al</strong>ación<strong>de</strong> los comodines en los dominios <strong>de</strong> primernivel. El ISC (Internet Software Consortium),que <strong>de</strong>sarrolla el servidor <strong>de</strong> nombres BINDanuncia que en breve facilitará un parche parainhabilitar el cambio efectuado por Verisign.Fin<strong>al</strong>mente, tras muchas protestas, el rechazo<strong>de</strong> la comunidad y varias gran<strong>de</strong>s empresas,la intervención <strong>de</strong> ICANN y las <strong>de</strong>mostraciones<strong>de</strong> que una modificación así supone un ultrajepara los internautas, pocas semanas <strong>de</strong>spués elservicio se retira. Verisign insistiría poco <strong>de</strong>spués,sin fin<strong>al</strong>mente llevarlo a cabo, en relanzarlo.__En octubre V<strong>al</strong>ve, compañía <strong>de</strong>sarrolladora <strong>de</strong> H<strong>al</strong>f Life y “Counter Strike”, “Team Fortress” o “Day ofDefeat” confirma la noticia: el código fuente <strong>de</strong> la segunda parte <strong>de</strong> su esperado juego, aun en <strong>de</strong>sarrollo,había sido robado y difundido por la red. Al parecer <strong>al</strong>guien había inst<strong>al</strong>ado un registrador <strong>de</strong> teclas en elequipo <strong>de</strong>l fundador <strong>de</strong> la compañía.__En noviembre, las nuevas versiones “I” y “J” <strong>de</strong>l gusano Mimail simulan ser un mensaje <strong>de</strong>l servicioPayP<strong>al</strong> y solicitan <strong>al</strong> usuario datos sensibles sobre su tarjeta <strong>de</strong> crédito. Utiliza el formato <strong>de</strong> compresiónZIP para distribuirse, lo que le permite traspasar la mayoría <strong>de</strong> fltros perimetr<strong>al</strong>es basados en extensionespotenci<strong>al</strong>mente peligrosas. Se acercan tímidamente a lo que sería el m<strong>al</strong>ware 2.0.__Se <strong>de</strong>stapa el intento <strong>de</strong> inst<strong>al</strong>ar una puerta trasera en el kernel Linux. Un análisis rutinarioautomático <strong>de</strong>l código fuente <strong>de</strong> la última versión <strong>de</strong>l kernel Linux (2.6-test) <strong>de</strong>scubre el intento <strong>de</strong> implantaruna puerta trasera en el núcleo. Permitiría a un atacante loc<strong>al</strong> obtener privilegios <strong>de</strong> administrador o rootcon la ejecución <strong>de</strong> una función aparentemente inocua y <strong>de</strong> uso norm<strong>al</strong>. El fichero <strong>al</strong>terado fue “kernel/exit.c”, y constaba <strong>de</strong> apenas dos líneas <strong>de</strong> código fuente. Estuvo disponible para <strong>de</strong>scarga varias horas.Después <strong>de</strong>l inci<strong>de</strong>nte se reforzaron las medidas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> acceso <strong>al</strong> código.<strong>12</strong>8<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
__También en noviembre se conoce que cuatro máquinas <strong>de</strong>l Proyecto Debian han sidocomprometidas, aunque se insistía en que las fuentes <strong>de</strong>l archivo princip<strong>al</strong> no habían sufrido ningúninci<strong>de</strong>nte.__ Las re<strong>de</strong>s in<strong>al</strong>ámbricas se popularizan. Un estudio re<strong>al</strong>izado por la multinacion<strong>al</strong> informática HP<strong>de</strong>muestra la carencia <strong>de</strong> <strong>seguridad</strong> en las re<strong>de</strong>s in<strong>al</strong>ámbricas madrileñas en particular yespañolas en gener<strong>al</strong>. Los investigadores <strong>de</strong> HP re<strong>al</strong>izan un recorrido por las c<strong>al</strong>les con un vehículo, unor<strong>de</strong>nador portátil con tarjeta Wi-Fi, un software <strong>de</strong> <strong>de</strong>tección <strong>de</strong> re<strong>de</strong>s y una antena omnidireccion<strong>al</strong>(actividad que se daría a conocer como wardriving). Con este método pudieron <strong>de</strong>tectar cerca <strong>de</strong> 7.500or<strong>de</strong>nadores y sistemas conectados a 518 puntos <strong>de</strong> acceso in<strong>al</strong>ámbrico <strong>de</strong>sprotegidos, constatando quecerca <strong>de</strong>l diez por ciento eran <strong>de</strong> gran<strong>de</strong>s empresas. “Creemos que no se conocen bien los riesgos <strong>de</strong> unpunto <strong>de</strong> acceso m<strong>al</strong> configurado y sin <strong>seguridad</strong>”, comentaban <strong>de</strong>s<strong>de</strong> HP.La noticia <strong>de</strong> una-<strong>al</strong>-día <strong>de</strong>l 28 <strong>de</strong> diciembre, titulada “Windows XP: sobrevivir <strong>al</strong> primerdía”, se convierte en una <strong>de</strong> las más visitadas <strong>de</strong> siempre, incluso en 2008 sigue teniendocientos <strong>de</strong> visitas <strong>al</strong> día. Habla <strong>de</strong> cómo actuar ante la inst<strong>al</strong>ación <strong>de</strong> Windows XP en unsistema y cómo conectarlo a Internet <strong>de</strong> forma segura antes <strong>de</strong> que Blaster infectase elor<strong>de</strong>nador.<strong>Una</strong> <strong>al</strong> día03/02/2003 Antivirus: el efecto “zoo”A la pregunta <strong>de</strong> “¿cuál sería el mejor antivirus?”, una respuesta bastante obvia sería “el que <strong>de</strong>tectetodos los virus”. Afortunadamente atrás quedaron las campañas <strong>de</strong> publicidad engañosas que prometíanprotección 100% contra virus conocidos y <strong>de</strong>sconocidos. Así que hoy día, <strong>de</strong>mostrado una y otra vez que nopue<strong>de</strong>n ofrecer garantías <strong>de</strong> protección proactiva contra especímenes nuevos, la respuesta podría quedaren “el que <strong>de</strong>tecte más número <strong>de</strong> virus”. F<strong>al</strong>so. Es más, el enfoque <strong>de</strong> “cuantos más, mejor” nos conduce<strong>de</strong> forma irreversible hacia peores productos antivirus. ¿Hora <strong>de</strong> cambiar?En este artículo no pretendo entrar en nuevas tecnologías proactivas que podrían, sino sustituir <strong>de</strong> inmediato,<strong>al</strong> menos complementar los actu<strong>al</strong>es sistemas por <strong>de</strong>tección <strong>de</strong> firmas. Ya no sólo como ev<strong>al</strong>uador, sinocomo <strong>de</strong>sarrollador en <strong>Hispasec</strong> <strong>de</strong> <strong>al</strong>gunas pruebas <strong>de</strong> concepto sobre nuevas tecnologías antivirus, soyconsciente <strong>de</strong> que aun queda mucho camino por recorrer antes <strong>de</strong> que puedan equipararse a los sistemasactu<strong>al</strong>es en cuanto a fiabilidad y facilidad. Esto no quita que existan <strong>al</strong>gunas funcion<strong>al</strong>ida<strong>de</strong>s proactivasque no estarían <strong>de</strong> más en los actu<strong>al</strong>es antivirus, y que <strong>al</strong>gunas casas ya empiezan a implementar.En <strong>de</strong>finitiva, se trata <strong>de</strong> an<strong>al</strong>izar el efecto negativo que, en los actu<strong>al</strong>es sistemas antivirus <strong>de</strong> <strong>de</strong>tección porfirmas, provoca <strong>al</strong>gunas prácticas que persiguen adulterar y engordar <strong>de</strong> forma artifici<strong>al</strong> las estadísticas<strong>de</strong> virus reconocidos <strong>de</strong> cara a la g<strong>al</strong>ería.Las colecciones “zoo”En la mayoría <strong>de</strong> certificaciones y comparativas se suele enfrentar los productos antivirus contra varias<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - <strong>12</strong>9
colecciones <strong>de</strong> muestras infectadas. El porcentaje <strong>de</strong> aciertos en las diferentes colecciones suele ser elindicador más <strong>de</strong>terminante a la hora <strong>de</strong> v<strong>al</strong>orar un producto.Las colecciones pequeñas, <strong>de</strong> virus más significativos y activos, como la “InTheWild”, apenas presentandiferencias <strong>de</strong> resultados entre la mayoría <strong>de</strong> los productos y, más que un indicador comparativo, sirvecomo mínimo exigible.Para marcar diferencias en las comparativas, y también como prueba <strong>de</strong> fuego en las certificaciones, sesuele utilizar la llamada colección “zoo”, que básicamente consiste en un conjunto <strong>de</strong> todas las muestrasinfectadas que se posee.La “zoo” compren<strong>de</strong>, a<strong>de</strong>más <strong>de</strong> los virus más relevantes y novedosos, toda muestra que el ev<strong>al</strong>uador hayaconseguido recolectar a lo largo <strong>de</strong> su carrera, <strong>de</strong>s<strong>de</strong> los primeros virus que aparecieron, <strong>de</strong> los que hoy díaya no existen pruebas <strong>de</strong> infecciones re<strong>al</strong>es, hasta aquellos que nunca han visto la luz ni infectado a nadie,pero que forman parte <strong>de</strong> pruebas <strong>de</strong> laboratorio o colecciones privadas.Llegados a este punto, el usuario <strong>de</strong>be ser consciente que <strong>de</strong> los 60.000 o 70.000 virus que hoy día <strong>al</strong>gunosantivirus afirman <strong>de</strong>tectar, tan sólo unos cientos representan el 99% <strong>de</strong> las infecciones re<strong>al</strong>es durante unaño.La necesidad <strong>de</strong> que un antivirus <strong>de</strong>tecte un virus <strong>de</strong> los años 80 que hoy día no tiene posibilida<strong>de</strong>s <strong>de</strong>propagación bajo Windows, o un virus que nunca ha s<strong>al</strong>ido a la luz y no ha infectado a nadie, pue<strong>de</strong> llegara ser discutible. Aunque las comparaciones y extrapolaciones en este campo no son buenas, es como si<strong>al</strong>guien se vacunara contra una enfermedad ya erradicada o contra un virus biológico <strong>de</strong> laboratorio, porsi <strong>al</strong>gún día resulta que hay un brote.Pero la re<strong>al</strong>idad es que la posibilidad, por remota que sea, existe, y el <strong>de</strong>ber <strong>de</strong> un antivirus es ofrecer elmayor grado <strong>de</strong> protección posible, en especi<strong>al</strong> si se trata <strong>de</strong> virus conocidos. Así que hasta el momento,nada que objetar.Adulteraciones en las “zoo”El problema re<strong>al</strong> <strong>de</strong> las colecciones “zoo” es que no están <strong>de</strong>puradas. Es <strong>de</strong>cir, existen muestras consi<strong>de</strong>radasvirus (o cu<strong>al</strong>quier otra variante <strong>de</strong> m<strong>al</strong>ware, como gusanos, troyanos, etc.) que en re<strong>al</strong>idad no lo son, nipresentan ningún efecto nocivo ni dañino. En <strong>de</strong>finitiva, no tendrían que formar parte <strong>de</strong> la colección, nitendrían que ser <strong>de</strong>tectadas por los antivirus.Para la confección <strong>de</strong> las propias comparativas antivirus <strong>de</strong> <strong>Hispasec</strong>, revistas especi<strong>al</strong>izadas, así comopara análisis e informes técnicos, necesitamos contar con el mayor número <strong>de</strong> muestras posibles parare<strong>al</strong>izar nuestro trabajo. Entre otras fuentes, regularmente recorremos las webs <strong>de</strong> creadores <strong>de</strong> virus ycoleccionistas que permiten la <strong>de</strong>scarga <strong>de</strong> muestras <strong>de</strong> forma pública a través <strong>de</strong> Internet y, por tanto, sonespecímenes que potenci<strong>al</strong>mente podrían llegar a cu<strong>al</strong>quier usuario.<strong>Una</strong> <strong>de</strong> las tareas más tediosas para mantener la colección <strong>de</strong> muestras <strong>de</strong> <strong>Hispasec</strong> no es la recolección,sino la comprobación <strong>de</strong> las mismas. Afortunadamente a lo largo <strong>de</strong> los años hemos <strong>de</strong>sarrollado variasherramientas que <strong>de</strong> forma automática nos hacen las primeras cribas y son capaces <strong>de</strong> <strong>de</strong>scubrir lasmuestras f<strong>al</strong>sas más comunes.Sin embargo, son muchas las comparativas, incluida <strong>al</strong>gunas certificaciones, que a juzgar por <strong>al</strong>gunos130<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
esultados no re<strong>al</strong>izan una <strong>de</strong>puración <strong>de</strong> las colecciones. Como resultado, sus colecciones “zoo” estánadulteradas con muestras que no son virus, y ello se extrapola a los indicadores que obtienen los diferentesproductos antivirus.Lo peor aun es que la mayoría <strong>de</strong> las casas antivirus, t<strong>al</strong> vez condicionadas por estas comparativas ycertificaciones don<strong>de</strong> se podían ver perjudicadas, han optado por incluir en su base <strong>de</strong> datos <strong>de</strong> firmasesas f<strong>al</strong>sas muestras como si fueran auténticos virus. Otra posibilidad podría ser la inversa, que las casasantivirus hubieran sido las primeras en incorporarlos como virus a sus bases <strong>de</strong> datos y que las comparativaslos incluyeran a posteriori en sus colecciones <strong>al</strong> comprobar que <strong>al</strong>gún antivirus las reconocían como virus.In<strong>de</strong>pendientemente <strong>de</strong> si fue primero el huevo o la g<strong>al</strong>lina, el caso es que el circulo vicioso no hace másque aumentar.Como dato, durante la comparativa antivirus que llevé a cabo en 1999 para PCActu<strong>al</strong> e <strong>Hispasec</strong>, introducíun test inédito hasta la fecha, que consistió en enfrentar a los antivirus contra una serie <strong>de</strong> archivosrepresentativos que habían quedado fuera <strong>de</strong> nuestra colección durante las cribas <strong>de</strong> recopilación <strong>al</strong>comprobarse que no eran virus re<strong>al</strong>es. Los resultados son reveladores:http://www.hispasec.com/comp_avs.asp?id=25En re<strong>al</strong>idad hay muchos otros tipos <strong>de</strong> muestras que suelen ser incluidas en las bases <strong>de</strong> datos <strong>de</strong> firmasantivirus y que en re<strong>al</strong>idad no tienen ningún efecto dañino, <strong>de</strong>s<strong>de</strong> binarios que ni siquiera pue<strong>de</strong>n llegar aejecutarse, porciones <strong>de</strong> virus que están corruptos y no pue<strong>de</strong>n activarse, etc.El efecto “zoo”¿Cómo repercute el número <strong>de</strong> firmas que reconoce un motor antivirus en su rendimiento? Parece claroque existe una relación directa, a mayor número <strong>de</strong> firmas a chequear, mayores recursos necesitará, y lavelocidad <strong>de</strong> proceso será menor, lo que perjudica <strong>al</strong> resto <strong>de</strong> procesos o aplicaciones que existan en elsistema.El hecho <strong>de</strong> que los antivirus reconozcan virus f<strong>al</strong>sos, a<strong>de</strong>más <strong>de</strong> la publicidad engañosa que pueda generaro la búsqueda <strong>de</strong> buenos resultados artifici<strong>al</strong>es en comparativas y certificaciones <strong>de</strong> dudosa c<strong>al</strong>idad, tieneun efecto negativo en el comportamiento <strong>de</strong>l propio antivirus que pue<strong>de</strong> pen<strong>al</strong>izar el rendimiento <strong>de</strong>lsistema e incluso hacer peligrar la <strong>seguridad</strong> <strong>de</strong>l cliente.La solución aunque pueda parecer sencilla, bastaría con <strong>de</strong>purar las firmas <strong>de</strong> <strong>de</strong>tección <strong>de</strong> los antivirus,tiene efectos negativos inmediatos a nivel comerci<strong>al</strong>: podrían verse perjudicados en comparativas ycertificaciones que cuenten con muestras f<strong>al</strong>sas. Es la pescadilla que se muer<strong>de</strong> la cola.Las casas antivirus se encuentran en muchas ocasiones en la encrucijada <strong>de</strong> diseñar sus productospensando en la protección re<strong>al</strong> <strong>de</strong>l usuario o en los requisitos <strong>de</strong> los ev<strong>al</strong>uadores. Paradójicamente, a<strong>de</strong>más<strong>de</strong> no coincidir en <strong>al</strong>gunas ocasiones, pue<strong>de</strong>n existir incluso intereses opuestos. Norm<strong>al</strong>mente se opta porun punto intermedio, intentar acometer los requerimientos <strong>de</strong> ambos, aunque a costa <strong>de</strong>l <strong>de</strong>trimento enla optimización <strong>de</strong>l producto.Llegados a este punto, no <strong>de</strong>bemos caer en la tentación <strong>de</strong> arrojar sobre las esp<strong>al</strong>das <strong>de</strong> las casas ntivirustoda la responsabilidad. De hecho, buena parte <strong>de</strong> esta percepción errónea <strong>de</strong> lo que <strong>de</strong>be ser un buenantivirus es achacable a las revistas especi<strong>al</strong>izadas y an<strong>al</strong>istas que nos <strong>de</strong>dicamos a crear opinión sobrelas soluciones antivirus.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - 131
Si más <strong>de</strong> una vez he dicho que muchos productos antivirus se encuentran anclados en el pasado, por nointegrar nuevas tecnologías <strong>de</strong> <strong>de</strong>tección más <strong>al</strong>lá <strong>de</strong> las firmas, las comparativas y certificaciones estánmucho peor. Uno <strong>de</strong> los casos más sonados fue el <strong>de</strong> la comparativa antivirus <strong>de</strong> CNET en 2001, entreotros <strong>de</strong>spropósitos, llegaron a utilizar simuladores <strong>de</strong> virus en vez <strong>de</strong> muestras re<strong>al</strong>es para <strong>al</strong>gunos tests.Por lo <strong>de</strong>más, la mayoría siguen basando su mo<strong>de</strong>lo <strong>de</strong> ev<strong>al</strong>uación en arcaicas pruebas <strong>de</strong> <strong>de</strong>tección ITWy Zoo.SolucionesLas comparativas y certificaciones <strong>de</strong>ben <strong>de</strong> evolucionar, incluyendo nuevos tests acor<strong>de</strong> con lascaracterísticas <strong>de</strong> las nuevos especímenes que aprovechan Internet para su propagación, así comoev<strong>al</strong>uaciones que contemplen las nuevas tecnologías antivirus que se están incorporando. Por otro lado,<strong>de</strong>berían <strong>de</strong> incorporar mecanismos para la <strong>de</strong>puración <strong>de</strong> sus colecciones para evitar el efecto “zoo”,incluyendo tests <strong>de</strong> <strong>de</strong>tección <strong>de</strong> f<strong>al</strong>sos virus cuyos indicadores se relacionen con tests <strong>de</strong> rendimiento <strong>de</strong>lmotor.Los antivirus <strong>de</strong>berían <strong>de</strong> <strong>de</strong>jar <strong>de</strong> utilizar el concepto <strong>de</strong> número <strong>de</strong> virus <strong>de</strong>tectados como arma <strong>de</strong>marketing, ya que no tiene ningún sentido que sigan en una guerra <strong>de</strong> cifras que <strong>de</strong> sobra saben no tieneningún v<strong>al</strong>or re<strong>al</strong> y que tar<strong>de</strong> o temprano terminará por perjudicarles. A<strong>de</strong>más, <strong>de</strong>berían optimizar subase <strong>de</strong> datos <strong>de</strong> firmas para reconocer sólo los especímenes que re<strong>al</strong>mente pue<strong>de</strong>n llevar a cabo accionesdañinas, eliminando los f<strong>al</strong>sos virus. En caso <strong>de</strong> verse perjudicados en comparativas o certificacionesque utilicen colecciones “zoo” no <strong>de</strong>puradas, con muestras f<strong>al</strong>sas, <strong>de</strong>berían <strong>de</strong>nunciar públicamente losresultados.Los usuarios <strong>de</strong>ben <strong>de</strong> tomar conciencia <strong>de</strong> que el número tot<strong>al</strong> <strong>de</strong> virus que dice reconocer un antiviruses un dato sin ningún v<strong>al</strong>or. A<strong>de</strong>más <strong>de</strong> todo lo comentado con anterioridad respecto a los f<strong>al</strong>sos virus,la propia tecnología <strong>de</strong> <strong>de</strong>tección por firmas lleva a resultados dispares. Por ejemplo, dado 10 variantes<strong>de</strong> un mismo virus, un producto pue<strong>de</strong> necesitar 10 firmas diferentes mientras otro pue<strong>de</strong> <strong>de</strong>tectar las 10variantes <strong>de</strong> forma más genérica con sólo 2 firmas. A efectos <strong>de</strong> marketing, el primero sumará 10 virusmientras que el segundo contará sólo 2, sin embargo la <strong>de</strong>tección <strong>de</strong>l segundo producto es más genérica yefectiva. Tan sólo las comparativas con colecciones <strong>de</strong>puradas pue<strong>de</strong>n ofrecer las diferencias re<strong>al</strong>es entreel po<strong>de</strong>r <strong>de</strong> <strong>de</strong>tección <strong>de</strong> los distintos motores antivirus, nunca el número <strong>de</strong> virus que el propio productoanuncia.Bernardo Quintero28/03/2003 Antivirus: ¿especi<strong>al</strong>ización o navaja suiza?Filtros <strong>de</strong> contenidos, firew<strong>al</strong>ls, y ahora funcion<strong>al</strong>ida<strong>de</strong>s anti-spam y <strong>de</strong>tector <strong>de</strong> intrusiones. Cada vez sonmás los antivirus que <strong>de</strong>jan <strong>de</strong> ser herramientas especi<strong>al</strong>izadas en la <strong>de</strong>tección <strong>de</strong>l m<strong>al</strong>ware y amplían susfunciones.La carrera por la integración <strong>de</strong> aplicaciones <strong>de</strong> <strong>seguridad</strong> ha comenzado. Las casas antivirus están enuna espir<strong>al</strong> <strong>de</strong> crecimiento a la búsqueda <strong>de</strong> po<strong>de</strong>r ofrecer soluciones completas, tanto productos comoservicios, que puedan abarcar todas las necesida<strong>de</strong>s <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> empresas y usuarios fin<strong>al</strong>es. En esteúltimo sector es don<strong>de</strong> aparecen en escena las suites <strong>de</strong> <strong>seguridad</strong>, partiendo <strong>de</strong>l núcleo <strong>de</strong>l antiviruscomo herramienta con mayor implantación y éxito en el mercado.132<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
Que las amenazas <strong>de</strong> <strong>seguridad</strong> han aumentado y mutado con respecto a épocas pasadas es evi<strong>de</strong>nte. Hoydía la inst<strong>al</strong>ación <strong>de</strong> un antivirus clásico no garantiza la <strong>seguridad</strong> <strong>de</strong> un sistema, han surgido nuevasamenazas que van más <strong>al</strong>lá <strong>de</strong> los virus. De igu<strong>al</strong> forma, la propia evolución <strong>de</strong>l m<strong>al</strong>ware, en estrecharelación con Internet, pone en entredicho la <strong>de</strong>tección basada en firmas y requiere nuevas estrategias para<strong>de</strong>tectar <strong>de</strong> forma más proactiva y genérica a los nuevos especímenes con gran po<strong>de</strong>r <strong>de</strong> propagación enapenas minutos.Llegados a este punto surgen <strong>al</strong>gunas dudas, partiendo <strong>de</strong> la relativa necesidad <strong>de</strong> ciertas funcion<strong>al</strong>ida<strong>de</strong>s,o <strong>de</strong> la f<strong>al</strong>ta <strong>de</strong> otras, hasta la pregunta <strong>de</strong> ¿solución integrada y compacta, o productos especi<strong>al</strong>izados ein<strong>de</strong>pendientes?.Es un hecho que la incorporación <strong>de</strong> nuevas funcion<strong>al</strong>ida<strong>de</strong>s no siempre respon<strong>de</strong> a las necesida<strong>de</strong>s re<strong>al</strong>es<strong>de</strong> <strong>seguridad</strong>, en ocasiones vienen a encarecer el producto, complicar su uso, a requerir más recursos <strong>de</strong>sistema, y a perjudicar el rendimiento glob<strong>al</strong>.A su favor, estas soluciones compactas <strong>de</strong> <strong>seguridad</strong> evitan problemas <strong>de</strong> incompatibilidad e interferenciasque pue<strong>de</strong>n surgir entre productos in<strong>de</strong>pendientes y terceras marcas, a<strong>de</strong>más <strong>de</strong> ofrecer una verda<strong>de</strong>raintegración entre las diferentes funcion<strong>al</strong>ida<strong>de</strong>s <strong>de</strong>s<strong>de</strong> un único interfaz, y un precio más ajustado en elcaso <strong>de</strong> adquirir todas las funcion<strong>al</strong>ida<strong>de</strong>s en forma <strong>de</strong> productos in<strong>de</strong>pendientes.Si miramos a las re<strong>de</strong>s corporativas se imponen los productos especi<strong>al</strong>izados, tanto en servidores comoestaciones <strong>de</strong> trabajo. Para los servidores es vit<strong>al</strong> contar con productos configurables según requisitosespecíficos, <strong>de</strong> <strong>al</strong>to rendimiento, estabilidad, y <strong>de</strong>mostrada fiabilidad. En este perfil los productos “todo enuno” no encajan, a<strong>de</strong>más que es preferible no hipotecar toda la <strong>seguridad</strong> corporativa en un único productoo marca. Lo norm<strong>al</strong> en estos casos es contar con varios productos in<strong>de</strong>pendientes <strong>de</strong> casas especi<strong>al</strong>izadasen las distintas áreas: firew<strong>al</strong>l, antivirus con más <strong>de</strong> un motor, IDS, etc., dotando <strong>al</strong> sistema <strong>de</strong> múltiplescapas <strong>de</strong> protección in<strong>de</strong>pendientes. En estos casos las dificulta<strong>de</strong>s <strong>de</strong> integración quedan compensadascon el resultado fin<strong>al</strong>, gracias a la labor <strong>de</strong> los administradores <strong>de</strong> sistemas y person<strong>al</strong> especi<strong>al</strong>izado en<strong>seguridad</strong>.En las estaciones <strong>de</strong> trabajo corporativas podría parecer en un principio que encajan mejor las suites <strong>de</strong><strong>seguridad</strong> compactas, si bien el problema en este punto se sitúa en la necesidad <strong>de</strong> productos sencillos,inst<strong>al</strong>ación distribuida, <strong>de</strong> configuración 0 para el usuario fin<strong>al</strong>, y <strong>de</strong> tot<strong>al</strong> administración centr<strong>al</strong>izaday remota. Las últimas versiones <strong>de</strong> los antivirus con funciones extras <strong>de</strong>jan mucho que <strong>de</strong>sear en esteapartado (por ejemplo los que incorporan firew<strong>al</strong>l person<strong>al</strong>), por lo que fin<strong>al</strong>mente los administradoresoptan por la inst<strong>al</strong>ación <strong>de</strong> motores antivirus muy ligeros, que consumen pocos recursos para no tenerproblemas ante un parque heterogéneo <strong>de</strong> sistemas, y atendiendo a las facilida<strong>de</strong>s <strong>de</strong> gestión en red.Parece claro que el <strong>de</strong>stino <strong>de</strong> las soluciones compactas está más ligado a los usuarios fin<strong>al</strong>es, si bienes necesario reinventar estos productos, ya que las necesida<strong>de</strong>s <strong>de</strong> un usuario <strong>de</strong> a pie no se cubrenadquiriendo e integrando tecnologías clásicas (firew<strong>al</strong>ls, IDS, etc.), aunque t<strong>al</strong> vez sea éste el camino máscómodo y seguro para los <strong>de</strong>sarrolladores, a corto plazo. Las casas <strong>de</strong> <strong>seguridad</strong> han <strong>de</strong> ser conscientesque este tipo <strong>de</strong> tecnologías clásicas vienen a requerir más conocimientos e interactividad por parte <strong>de</strong>lusuario, quienes <strong>de</strong>mandan todo lo contrario: <strong>al</strong>go que apenas se note y que no necesite <strong>de</strong> su atención.Partiendo <strong>de</strong> la sencillez <strong>de</strong> inst<strong>al</strong>ación, configuración y uso <strong>de</strong> los productos compactos, es <strong>de</strong> esperar<strong>de</strong> estas soluciones una mayor a<strong>de</strong>cuación a las necesida<strong>de</strong>s re<strong>al</strong>es <strong>de</strong> los usuarios fin<strong>al</strong>es (problemas<strong>de</strong> configuración, inst<strong>al</strong>ación <strong>de</strong> parches, criptografía aplicada a los mensajes y documentos, etc.), sinper<strong>de</strong>r las posibilida<strong>de</strong>s <strong>de</strong> person<strong>al</strong>ización según cada perfil. Por ejemplo, partiendo <strong>de</strong> la compra <strong>de</strong> un<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - 133
antivirus, po<strong>de</strong>r adquirir módulos adicion<strong>al</strong>es, según necesida<strong>de</strong>s, a modo <strong>de</strong> plugins en línea. Lo que setraduciría en una configuración más ajustada, tanto en requerimientos, funcion<strong>al</strong>ida<strong>de</strong>s y precio.Bernardo Quintero28/04/2003 Virus, antivirus, y sensacion<strong>al</strong>ismo mediáticoA lo largo <strong>de</strong> la historia los creadores <strong>de</strong> virus han explotado los temas <strong>de</strong> máxima actu<strong>al</strong>idad en susespecímenes, bien como reclamo para llamar la atención <strong>de</strong> los usuarios y conseguir así mayor número<strong>de</strong> infecciones, bien para aumentar las probabilida<strong>de</strong>s <strong>de</strong> que su creación fuera motivo <strong>de</strong> noticia en losmedios. Aunque la mayoría <strong>de</strong> las compañías antivirus procuran llevar una política seria <strong>de</strong> informaciónsobre virus, en ocasiones también se han <strong>de</strong>jado arrastrar por el sensacion<strong>al</strong>ismo en la búsqueda <strong>de</strong> unapublicidad fácil, barata y, en la mayoría <strong>de</strong> las ocasiones, <strong>de</strong>sproporcionada.Hace unos días hemos podido asistir <strong>al</strong> último “virus mediático”, en la forma <strong>de</strong> un gusano que aprovechacomo reclamo la epi<strong>de</strong>mia <strong>de</strong> neumonía atípica, simulando ser un mensaje con información relativa aesta enfermedad para engañar a los usuarios. Bautizado por las casas antivirus como “Coronex”, se envíapor e-mail utilizando diferentes asuntos y nombres <strong>de</strong> archivo con términos como SARS (Severe AcuteRespiratory Syndrome) o Corona virus, haciendo referencia a la enfermedad <strong>de</strong> la neumonía atípica.El gusano nunca habría s<strong>al</strong>ido a la luz por su peligrosidad, ya que no lleva a cabo ninguna acción dañinaen los sistemas más <strong>al</strong>lá <strong>de</strong> intentar propagarse, ni por su nivel <strong>de</strong> propagación, hasta el momento muybaja, tendiendo a nula según los indicadores <strong>de</strong> las propias casas antivirus. Sin embargo, hemos podidotener conocimiento <strong>de</strong> él a través <strong>de</strong> diversos medios, con titulares don<strong>de</strong> se mezcla la enfermedad <strong>de</strong> laneumonía con los virus informáticos, la única verda<strong>de</strong>ra razón por la que se ha conocido.En esta ocasión todas las noticias hacían referencia a la casa antivirus Sophos, que se ha encargado <strong>de</strong>“advertir” sobre este nuevo gusano. No <strong>de</strong>ja <strong>de</strong> ser paradójico que en la nota publicada por Sophos sepidiera <strong>al</strong> resto <strong>de</strong> casas antivirus responsabilidad a la hora <strong>de</strong> informar sobre este gusano para evitarposibles confusiones. La re<strong>al</strong>idad es que ellos han sido los únicos hasta el momento que han <strong>de</strong>dicado unanota especi<strong>al</strong> a este espécimen, dando lugar a noticias sobre un gusano que, fuera <strong>de</strong>l sensacion<strong>al</strong>ismomediático, no tendría que estar siendo motivo <strong>de</strong> noticia <strong>al</strong>guna.Bernardo Quintero13/06/2003 Microsoft y el mercado antivirusEl pasado martes, 10 <strong>de</strong> junio, Microsoft distribuía una nota <strong>de</strong> prensa don<strong>de</strong> anunciaba la adquisición <strong>de</strong>la tecnología antivirus <strong>de</strong> GeCAD Software, un peso pluma en el mercado <strong>de</strong> la <strong>seguridad</strong>. La expectaciónante este movimiento es máxima, sobre todo entre las casas antivirus, a la espera <strong>de</strong> conocer las intencionesy planificación <strong>de</strong> Microsoft en este terreno.La nota <strong>de</strong> prensa <strong>de</strong> Microsoft es lo suficientemente ambigua como para mantener la incertidumbre. Porun lado habla <strong>de</strong> aprovechar los conocimientos y experiencia <strong>de</strong> GeCAD para dotar a la plataforma <strong>de</strong>Windows <strong>de</strong> nuevas funcion<strong>al</strong>ida<strong>de</strong>s que aumenten y faciliten la integración <strong>de</strong> soluciones antivirus <strong>de</strong>134<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
terceros, pero por otro lado no se <strong>de</strong>scarta que Microsoft termine por ofrecer su propio motor antivirusbasándose en el producto <strong>de</strong> GeCAD.Si a esta última posibilidad se le une la ten<strong>de</strong>ncia <strong>de</strong> Microsoft a integrar en Windows los productos quepue<strong>de</strong>n tener una competencia dominante en el mercado (recordar los casos <strong>de</strong> Internet InformationServer o Internet Explorer), no es <strong>de</strong> extrañar el revuelo que la nota <strong>de</strong> prensa causó entre las firmasantivirus.Experiencias anterioresEl escenario no sería nuevo, en 1993 Microsoft hizo una incursión en este mercado con MSAV (MicroSoftAnti-Virus) que distribuía junto a la versión 6.0 <strong>de</strong> MS-DOS. El antivirus <strong>de</strong> Microsoft era una versión <strong>de</strong>CPAV (Centr<strong>al</strong> Point Anti-Virus), un producto con solera en aquellos años que fin<strong>al</strong>mente sería adquiridopor Symantec.El resultado fue nefasto, MSAV quedaba fuera <strong>de</strong> juego en poco tiempo por una m<strong>al</strong>a política <strong>de</strong>actu<strong>al</strong>izaciones que lo situó en clara <strong>de</strong>sventaja respecto a sus competidores. En una comparativa re<strong>al</strong>izadaen enero <strong>de</strong> 1995, con la participación <strong>de</strong> más <strong>de</strong> 20 productos, MSAV quedaba en último lugar conresultados muy pobres en todos los apartados, incluyendo índices más que preocupantes en la <strong>de</strong>tección<strong>de</strong> la colección In-The-Wild (los virus más extendidos).En esa misma comparativa CPAV, que seguía su <strong>de</strong>sarrollo y mantenimiento in<strong>de</strong>pendiente a MSAV,consiguió resultados muy por encima a la solución <strong>de</strong> Microsoft. MSAV <strong>de</strong>sapareció con la entrada enjuego <strong>de</strong> Windows 95.Extrapolando esta experiencia a la situación actu<strong>al</strong>, Microsoft <strong>al</strong> menos pue<strong>de</strong> estar seguro <strong>de</strong> que elantivirus <strong>de</strong> GeCAD no podrá superarle en ningún caso, ya que ha adquirido tanto el producto, RAVantivirus, como a su equipo <strong>de</strong> <strong>de</strong>sarrollo y mantenimiento, incluyendo en el acuerdo cláusulas paraimpedir que puedan <strong>de</strong>sarrollar otras soluciones antivirus. Con respecto a los problemas <strong>de</strong> actu<strong>al</strong>izacióncon que se toparon en MSAV, hoy día no sería mayor problema, teniendo en cuenta que Microsoft se haconvertido en el rey <strong>de</strong>l parche con Windows Update y, a<strong>de</strong>más, ya cuentan con un público sumiso a lanecesidad <strong>de</strong> las actu<strong>al</strong>izaciones continuas.RAV antivirus <strong>de</strong> GeCAD, ¿qué ha comprado Microsoft?Definitivamente Microsoft no ha comprado tecnología <strong>de</strong> última generación, RAV es un antivirus clásico<strong>de</strong> <strong>de</strong>tección por firmas, que no <strong>de</strong>staca por su innovación o funcion<strong>al</strong>ida<strong>de</strong>s proactivas. Eso sí, todo indicaque en los últimos tiempos han inflado sus cifras incluyendo todo tipo <strong>de</strong> firmas, lo que en comparativasbasadas en porcentajes <strong>de</strong> <strong>de</strong>tección en colecciones zoo pue<strong>de</strong> dar una f<strong>al</strong>sa sensación <strong>de</strong> buen producto.Particularmente no he ev<strong>al</strong>uado RAV antivirus <strong>de</strong>s<strong>de</strong> el año 2000, cuando participó en la comparativa<strong>de</strong> <strong>Hispasec</strong> <strong>de</strong> ese año, quedando fuera <strong>de</strong> la lista <strong>de</strong> los 10 mejores productos antivirus tras obtener unpésimo 17,32% <strong>de</strong> <strong>de</strong>tección en la colección <strong>de</strong> troyanos.Tras el anuncio <strong>de</strong> Microsoft he <strong>de</strong>scargado e inst<strong>al</strong>ado la última versión <strong>de</strong> RAV, y lo que primero <strong>de</strong>stacaes la cifra <strong>de</strong> más <strong>de</strong> 79.000 especímenes <strong>de</strong> m<strong>al</strong>ware que afirma i<strong>de</strong>ntificar. Esta cifra tan elevada, muypor encima <strong>de</strong> productos <strong>de</strong>stacados en el sector, apunta a que RAV es un claro exponente <strong>de</strong>l “efecto zoo”(producto que artifici<strong>al</strong>mente aumenta el número <strong>de</strong> virus <strong>de</strong>tectados incluyendo firmas innecesarias conel único fin <strong>de</strong> <strong>al</strong>canzar buenos resultados en comparativas, certificaciones y en la publicidad basada ennúmeros cuantitativos).<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - 135
De las sospechas a las evi<strong>de</strong>ncias. Enfrentado contra una colección <strong>de</strong> f<strong>al</strong>sos virus, RAV <strong>de</strong>tecta muchasmuestras que en re<strong>al</strong>idad no pue<strong>de</strong>n causar daño <strong>al</strong>guno, <strong>de</strong>s<strong>de</strong> archivos dañados que no se pue<strong>de</strong>nejecutar, a los que RAV i<strong>de</strong>ntifica con el sufijo “remnants”, pasando por la <strong>de</strong>tección <strong>de</strong> simples magazinessobre virus, herramientas clientes <strong>de</strong> <strong>seguridad</strong> y hacking, o muestras que suelen formar parte <strong>de</strong> lascolecciones ZOO no <strong>de</strong>puradas, pero que en re<strong>al</strong>idad no pue<strong>de</strong>n ser clasificadas como m<strong>al</strong>ware.Llegados a este punto, cabría preguntarse porqué Microsoft ha escogido a GeCAD. Bien porque se ha<strong>de</strong>jado llevar por los cantos <strong>de</strong> sirena <strong>de</strong> sus cerca <strong>de</strong> 80.000 virus que anuncia <strong>de</strong>tectar, bien porquebuscaba en la sección oportunida<strong>de</strong>s y la empresa rumana era <strong>de</strong> las más baratas en comparación conotras que ya cuentan con un buen posicionamiento en el mercado, bien porque no quería irrumpir enel mercado como un elefante en una cacharrería y buscaba un peso pluma para no tener que elegir y<strong>de</strong>cantarse por <strong>al</strong>guna <strong>de</strong> las gran<strong>de</strong>s.Si re<strong>al</strong>mente lo único que quería era un antivirus clásico basado princip<strong>al</strong>mente en la <strong>de</strong>tección por firmasy su base <strong>de</strong> datos histórica, la elección en lo económico no es m<strong>al</strong>a, ya que la tecnología es relativamentesimple y similar en cu<strong>al</strong>quiera <strong>de</strong> los productos y RAV/GeCAD <strong>de</strong>be ser con mucha diferencia la opciónmás barata que pue<strong>de</strong> adquirir a día <strong>de</strong> hoy.Si lo que pretendía era dar un vuelco a la <strong>seguridad</strong> <strong>de</strong> Windows con respecto a los virus y gusanos que lesazotan, la compra <strong>de</strong>l antivirus <strong>de</strong> GeCAD sirve <strong>de</strong> muy poco. Microsoft pue<strong>de</strong> mejorar mucho en la luchacontra el m<strong>al</strong>ware si re<strong>al</strong>iza modificaciones en la base, ya que presenta muchas <strong>de</strong>bilida<strong>de</strong>s por diseño. Perointegrar en Windows un antivirus basado en la <strong>de</strong>tección <strong>de</strong> firmas supone un nuevo parche <strong>al</strong> ya <strong>de</strong> porsí parcheado sistema, y seguir un mo<strong>de</strong>lo <strong>de</strong> antivirus reactivo que día a día se muestra insuficiente parafrenar a los especímenes que explotan el potenci<strong>al</strong> <strong>de</strong> Internet para propagarse en cuestión <strong>de</strong> minutos.¿Qué pue<strong>de</strong> ocurrir?Si fin<strong>al</strong>mente la compra <strong>de</strong> GeCAD por parte <strong>de</strong> Microsoft sólo tiene como fin la investigación y <strong>de</strong>sarrollo<strong>de</strong> nuevas funcion<strong>al</strong>ida<strong>de</strong>s en Windows que faciliten el trabajo <strong>de</strong> terceras casas antivirus, el mercado ylos usuarios no <strong>de</strong>ben <strong>de</strong> notar cambios bruscos. La vida seguirá igu<strong>al</strong>.Si por el contrario Microsoft preten<strong>de</strong> integrar el antivirus <strong>de</strong> GeCAD en Windows, queda claro quesupondrá un duro varap<strong>al</strong>o para las firmas actu<strong>al</strong>es. Bajo este escenario, las casas antivirus, en clara<strong>de</strong>sventaja, sólo podrían competir (mejor dicho, adaptarse e intentar complementar <strong>al</strong> antivirus <strong>de</strong>Microsoft) innovando en nuevas técnicas antivirus más proactivas, productos especi<strong>al</strong>izados, y marcandodiferencias en los servicios y tiempos <strong>de</strong> respuesta, don<strong>de</strong> a buen seguro serán mucho más ágiles y efectivosque Microsoft.¿Mejoraría la <strong>seguridad</strong> <strong>de</strong>l usuario?Situándonos en el escenario más cambiante, la integración <strong>de</strong> un motor por <strong>de</strong>tección <strong>de</strong> firmas enWindows, queda claro que supondrá la existencia <strong>de</strong> un antivirus en todos los sistemas Microsoft y quepodría asegurarse su actu<strong>al</strong>ización con <strong>al</strong>gún método agresivo (forzar la actu<strong>al</strong>ización automática, sin<strong>de</strong>pen<strong>de</strong>r <strong>de</strong> la acción <strong>de</strong>l usuario). En este punto la mejora parece evi<strong>de</strong>nte.Pero si la entrada <strong>de</strong> un antivirus <strong>de</strong> Microsoft supone fin<strong>al</strong>mente un claro predominio sobre el sector y la<strong>de</strong>saparición <strong>de</strong> la mayoría <strong>de</strong>l resto <strong>de</strong> casas antivirus, el usuario está en peligro.Por un lado la f<strong>al</strong>ta <strong>de</strong> competencia re<strong>al</strong>, que hoy día está garantizada entre las diferentes firmas, supondría136<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
un relajamiento en la necesidad <strong>de</strong> ofrecer respuestas inmediatas y mejoras en los productos. Por otro lado,el escenario <strong>de</strong> un antivirus común en todos los sistemas Windows da lugar a un sistema <strong>de</strong> <strong>seguridad</strong>muy homogéneo, que facilita enormemente la vida a los creadores <strong>de</strong> virus y permitiría epi<strong>de</strong>mias másglob<strong>al</strong>es.Mientras que hoy día un creador <strong>de</strong> virus <strong>de</strong>be diseñar su espécimen para que pueda burlar a una veintena<strong>de</strong> productos antivirus, cada uno con sus funcion<strong>al</strong>ida<strong>de</strong>s, firmas genéricas y heurísticas (cosa fácil, como<strong>de</strong>mostramos en e-g<strong>al</strong>laecia), el día que reine un único producto en la mayoría <strong>de</strong> los sistemas sólo <strong>de</strong>berá<strong>de</strong>dicar “esfuerzos” (cosa <strong>de</strong> niños) para burlar esa protección a sabiendas <strong>de</strong> que afectará <strong>al</strong> 90% <strong>de</strong>lparque mundi<strong>al</strong>.¿Podría Microsoft ven<strong>de</strong>r su antivirus sin integrarlo en Windows?La posibilidad siempre existe, aunque la historia y la razón no apuntan hacia esa vía. También plantearíaun dilema ético, que por un lado las <strong>de</strong>bilida<strong>de</strong>s <strong>de</strong> diseño <strong>de</strong> sus plataformas facilitaran la vida a los virusy que por otro se <strong>de</strong>dicara a ven<strong>de</strong>r la protección a su propia incompetencia.En <strong>de</strong>finitiva, fin<strong>al</strong>mente <strong>de</strong>beremos esperar la jugada <strong>de</strong> Microsoft para ver como pue<strong>de</strong> afectar estaadquisición a la situación actu<strong>al</strong> <strong>de</strong> los antivirus, <strong>de</strong> momento todo son conjeturas e hipótesis.Bernardo Quintero28/09/2003 Impacto <strong>de</strong>l monopolio <strong>de</strong> Microsoft en la <strong>seguridad</strong>El dominio aplastante en el mercado <strong>de</strong> las soluciones <strong>de</strong> Microsoft, que se estima mantiene unacuota superior <strong>al</strong> 90% <strong>de</strong>l parque mundi<strong>al</strong>, es en gran parte el responsable <strong>de</strong> que las infraestructurasinformáticas sean más vulnerables a virus y ataques. Esta es la conclusión a la que han llegado sietereconocidos expertos en <strong>seguridad</strong>, coautores <strong>de</strong> un informe que pone <strong>de</strong> relieve los peligros intrínsecos<strong>de</strong> las prácticas monopolistas y la f<strong>al</strong>ta <strong>de</strong> diversificación en los entornos informáticos.Aunque el informe ha causado cierto revuelo en los medios <strong>de</strong> comunicación, sobre todo en EE.UU., losargumentos utilizados son bien conocidos en el mundo <strong>de</strong> la <strong>seguridad</strong>. Nada más conocer la publicación<strong>de</strong>l informe, recordé un ejemplo muy gráfico que mi compañero Jesús Cea expuso hace 2 años en uncongreso <strong>de</strong> <strong>seguridad</strong>, don<strong>de</strong> ambos an<strong>al</strong>izábamos en nombre <strong>de</strong> <strong>Hispasec</strong> el grado <strong>de</strong> “culpabilidad” <strong>de</strong>Microsoft en la aparición <strong>de</strong> vulnerabilida<strong>de</strong>s y epi<strong>de</strong>mias <strong>de</strong> virus. Entre otros aspectos, s<strong>al</strong>ió a colacióncomo la f<strong>al</strong>ta <strong>de</strong> diversificación aumentaba los riesgos <strong>de</strong> <strong>seguridad</strong> y facilitaba las infecciones masivas.El ejemplo <strong>de</strong> Jesús Cea se situaba en el terreno <strong>de</strong> la agricultura, explicando como los monocultivostenían importantes problemas cuando eran atacados por plagas o enfermeda<strong>de</strong>s, ya que el agente dañinose propaga rápidamente y afecta a la tot<strong>al</strong>idad <strong>de</strong> la especie cultivada, aprovechando que se trata <strong>de</strong> unaplantación homogénea con las mismas propieda<strong>de</strong>s y puntos débiles. Por contra, los cultivos múltiples opolicultivos, que interc<strong>al</strong>an la plantación <strong>de</strong> diversas especies sobre el terreno, son mucho más resistentes <strong>al</strong>as plagas y enfermeda<strong>de</strong>s, a<strong>de</strong>más <strong>de</strong> proporcionar otras ventajas en términos <strong>de</strong> estabilidad, rendimientoy productividad. La diversificación que establecen los policultivos actúan minimizando el impacto <strong>de</strong> lasplagas y enfermeda<strong>de</strong>s, ya que el agente dañino se encuentra con especies a las que no pue<strong>de</strong> atacar nipermiten su propagación, y en cu<strong>al</strong>quier caso nunca afecta a toda la plantación.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - 137
A gran<strong>de</strong>s rasgos, y en clave tecnológica, esta es una <strong>de</strong> las líneas argumentativas princip<strong>al</strong>es <strong>de</strong>l informe“CyberInsecurity: The Cost of Monopoly”. La an<strong>al</strong>ogía es t<strong>al</strong> que en una charla posterior, Will Rodger,director <strong>de</strong> la Computer and Communications Industry Association, comentaba que la situación actu<strong>al</strong>,con Windows dominando en la mayoría <strong>de</strong> los PCs, era similar a las condiciones que se encontraron losgranjeros durante el Hambre Irlan<strong>de</strong>sa a mediados <strong>de</strong>l siglo XIX.Para los que no estén <strong>al</strong> tanto <strong>de</strong> esta crisis, por aquellos tiempos Irlanda tenía en la patata su princip<strong>al</strong>fuente <strong>de</strong> <strong>al</strong>imentación. <strong>Una</strong> <strong>de</strong>vastadora plaga entre 1845 y 1848 asoló en varias ocasiones los cultivos,lo que <strong>de</strong>rivó en una época <strong>de</strong> hambre, enfermeda<strong>de</strong>s, muertes, y la catástrofe sumió a Irlanda en unaprofunda <strong>de</strong>presión en todos los ámbitos.Como era <strong>de</strong> esperar la visión <strong>de</strong> Microsoft difiere tot<strong>al</strong>mente. En p<strong>al</strong>abras <strong>de</strong> Sean Sundh<strong>al</strong>l, portavoz <strong>de</strong>la compañía, este tipo <strong>de</strong> an<strong>al</strong>ogías pue<strong>de</strong>n ser más útiles para las patatas que para el software. Sundh<strong>al</strong>lcritica que el informe sólo señ<strong>al</strong>e los aspectos negativos <strong>de</strong> la monocultura en el sistema operativo, y sinembargo no mencione los positivos como la facilidad <strong>de</strong> mantenimiento.Parche sobre parcheEl informe, que no se basa en an<strong>al</strong>ogías con la agricultura, sino en hechos concretos y constatables <strong>de</strong> laspolíticas <strong>de</strong> Microsoft, también señ<strong>al</strong>a como el grado <strong>de</strong> complejidad que cada vez es mayor en Windowssupone irremediablemente un aumento <strong>de</strong> los riesgos <strong>de</strong> <strong>seguridad</strong>.Según este análisis, <strong>de</strong>cisiones como la <strong>de</strong> incluir Internet Explorer <strong>de</strong> forma nativa en el sistemaoperativo, y convertirlo en parte integr<strong>al</strong> y esenci<strong>al</strong> <strong>de</strong>l mismo, no respon<strong>de</strong> a necesida<strong>de</strong>s re<strong>al</strong>es, sinoa planes estratégicos y <strong>de</strong> mercado para castigar cu<strong>al</strong>quier competencia en este terreno. Los riesgos <strong>de</strong><strong>seguridad</strong> que esta <strong>de</strong>cisión supone lo sufrimos regularmente, sólo hay que repasar los históricos <strong>de</strong> “una<strong>al</strong>-dia”<strong>de</strong> <strong>Hispasec</strong>, incluido el último agujero crítico <strong>de</strong>l navegador <strong>de</strong> Microsoft que data <strong>de</strong> primeros <strong>de</strong>septiembre y <strong>de</strong>l que aun esperamos solución.El número <strong>de</strong> vulnerabilida<strong>de</strong>s en el que <strong>de</strong>semboca esta complejidad artifici<strong>al</strong> adquirida por el sistema <strong>de</strong>Microsoft, con la integración <strong>de</strong> aplicaciones y funcion<strong>al</strong>ida<strong>de</strong>s en Windows que no obe<strong>de</strong>ce a necesida<strong>de</strong>sbásicas ni a la elección <strong>de</strong> los usuarios, lleva consigo una política <strong>de</strong> continuos parches para intentarcorregir los problemas <strong>de</strong> <strong>seguridad</strong>. El informe recoge que este año llevamos 39 parches <strong>de</strong> Microsofta día 16 <strong>de</strong> septiembre, a razón <strong>de</strong> parche cada 6 días. Un ritmo frenético para los administradores yprofesion<strong>al</strong>es, y casi una odisea para un usuario particular.A<strong>de</strong>más, el análisis mantiene que Windows ha llegado a t<strong>al</strong> punto <strong>de</strong> complejidad que la inst<strong>al</strong>ación <strong>de</strong> unparche para corregir una vulnerabilidad conocida tiene muchas probabilida<strong>de</strong>s <strong>de</strong> introducir una nuevavulnerabilidad <strong>de</strong>sconocida, un hecho que también hemos podido constatar en numerosos casos. A losriesgos <strong>de</strong> <strong>seguridad</strong>, hay que unirle los problemas <strong>de</strong> compatibilidad y estabilidad que las actu<strong>al</strong>izacionespue<strong>de</strong>n acarrear, lo que a efectos prácticos supone que muchos usuarios y profesion<strong>al</strong>es, temerosos <strong>de</strong> losefectos colater<strong>al</strong>es, retrasen la inst<strong>al</strong>ación <strong>de</strong> los parches hasta pasados unos días.Protocolos y formatos cerradosOtro <strong>de</strong> los frentes que utiliza Microsoft para controlar el mercado, también <strong>de</strong>nunciado en el informe,es utilizar su posición <strong>de</strong> fuerza para implantar <strong>de</strong> forma unilater<strong>al</strong> estándares <strong>de</strong> facto, cuyos <strong>de</strong>t<strong>al</strong>lesmantienen ocultos, asegurándose su explotación.138<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
Como ejemplos básicos que el usuario pue<strong>de</strong> apreciar día a día, no son pocas las páginas webs que sólose visu<strong>al</strong>izan <strong>de</strong> forma correcta en Internet Explorer o que utilizan componentes que sólo pue<strong>de</strong>n serejecutados bajo Windows. También hoy día es difícil encontrar una empresa privada u organismo público(lo que es más grave) que no utilice Microsoft Word como procesador <strong>de</strong> textos, incluido su formatopropietario <strong>de</strong> documentos (.doc) tanto para el <strong>al</strong>macenamiento como intercambio <strong>de</strong> los mismos, en vez<strong>de</strong> utilizar formatos abiertos no <strong>de</strong>pendientes <strong>de</strong> intereses privados.En este tipo <strong>de</strong> situaciones los usuarios <strong>de</strong> otras plataformas no Windows se encuentran discriminados,hasta t<strong>al</strong> punto que para acce<strong>de</strong>r a servicios <strong>de</strong> la administración pública se fuerza a utilizar las soluciones<strong>de</strong> Microsoft. Afortunadamente se está avanzando <strong>al</strong>go en este terreno, por ejemplo hoy día ya es posibleacce<strong>de</strong>r a los programas <strong>de</strong> ayuda <strong>de</strong> la Agencia Tributaria <strong>de</strong> España <strong>de</strong>s<strong>de</strong> otras plataformas, aunque aunqueda mucho camino por recorrer.Polémicas sobre el informeAlgunas voces han querido poner <strong>de</strong> manifiesto una posible f<strong>al</strong>ta <strong>de</strong> imparci<strong>al</strong>idad en el informe,basándose en la participación <strong>de</strong> la CCIA (Computer and Communications Industry Association) en supresentación y publicación. Esta asociación <strong>de</strong> empresas integra, entre otras, a America Online, Oracle, oSun microsystems, reconocidas competidoras <strong>de</strong> Microsoft. A<strong>de</strong>más, la propia asociación tiene como finla promoción <strong>de</strong> re<strong>de</strong>s y sistemas abiertos, para garantizar la libre competencia, en clara oposición a lapolítica <strong>de</strong> soluciones cerradas y las supuestas prácticas monopolistas <strong>de</strong> Microsoft.Los autores han hecho hincapié en la in<strong>de</strong>pen<strong>de</strong>ncia <strong>de</strong>l informe, <strong>al</strong>egando que su origen parte <strong>de</strong> unainiciativa tot<strong>al</strong>mente person<strong>al</strong>, que en ningún momento ha sido patrocinado por la CCIA o bajo los intereses<strong>de</strong> terceros. El documento viene firmado por Daniel Geer <strong>de</strong> @Stake (empresa a la que pertenecía hasta lapublicación <strong>de</strong>l informe), Charles P. Pfleeger <strong>de</strong> Exodus Communications, John S. Quarterman <strong>de</strong> MatrixNetSystems, Perry Metzger, consultor in<strong>de</strong>pendiente, Rebecca Bace <strong>de</strong> Infi<strong>de</strong>l, Peter Gutmann investigador<strong>de</strong>l <strong>de</strong>partamento <strong>de</strong> Ciencias <strong>de</strong> la Computación <strong>de</strong> la universidad <strong>de</strong> Auckland, y el reconocido BruceSchneier <strong>de</strong> Counterpane Internet Security.La CCIA también mantiene que su participación se ha limitado a la última fase, y que los autores sepusieron en contacto con ellos para dar la máxima difusión <strong>al</strong> informe, en especi<strong>al</strong> para aprovechar susrecursos <strong>de</strong> cara a hacerlo circular en ambientes políticos y legislativos <strong>de</strong> Washintong.También ha <strong>de</strong>satado ríos <strong>de</strong> tinta la s<strong>al</strong>ida fulgurante <strong>de</strong> Daniel Geer <strong>de</strong> @Stake, la que hasta ahora era suempresa, compañía <strong>de</strong> <strong>seguridad</strong> que tiene en Microsoft una importante fuente <strong>de</strong> ingresos. Des<strong>de</strong> @Stakeaseguran que no han recibido ningún tipo <strong>de</strong> presión por parte <strong>de</strong> Microsoft, aunque tampoco escon<strong>de</strong>n elm<strong>al</strong>estar porque uno <strong>de</strong> sus trabajadores arremetiera públicamente contra un cliente tan importante, y sehan dado prisas en <strong>de</strong>smarcarse <strong>de</strong> la opinión <strong>de</strong>l mismo.Buscando el equilibrioQue Microsoft aprovecha su posición en el mercado es evi<strong>de</strong>nte, que los intereses comerci<strong>al</strong>es se superponena la <strong>seguridad</strong> <strong>de</strong> sus productos y que en la mayoría <strong>de</strong> las ocasiones son contrapuestos, también esconstatable. De ahí a <strong>de</strong>monizar a Microsoft como origen y culpable <strong>de</strong> todos los m<strong>al</strong>es y problemas <strong>de</strong><strong>seguridad</strong> que azotan a la informática actu<strong>al</strong>, no parece razonable.Mi opinión person<strong>al</strong> <strong>al</strong> respecto es que Microsoft es tanto víctima como culpable <strong>de</strong> la situación. Tenersu sistema implantado en más <strong>de</strong>l 90% <strong>de</strong>l parque informático actu<strong>al</strong> lo sitúan en el punto <strong>de</strong> mira <strong>de</strong> los<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - 139
atacantes o <strong>de</strong> cu<strong>al</strong>quier creador <strong>de</strong> virus, que siempre busca la plataforma más extendida para que suespécimen tenga un buen c<strong>al</strong>do <strong>de</strong> cultivo y que pueda obtener los mayores índices <strong>de</strong> propagación. Portanto las vulnerabilida<strong>de</strong>s <strong>de</strong> Microsoft, que en mayor o menor medida también po<strong>de</strong>mos encontrar enotras plataformas, siempre tendrán una mayor repercusión en su caso.Este papel <strong>de</strong> víctima no le exime <strong>de</strong> sus problemas específicos <strong>de</strong> <strong>seguridad</strong>, más aun cuando muchos <strong>de</strong>ellos han sido originados por la implantación <strong>de</strong> sus agresivas políticas <strong>de</strong> mercado que buscan asegurarsela explotación frente a terceros.Por otro lado, es responsabilidad <strong>de</strong> los estamentos públicos y privados, sobre todo <strong>de</strong> los primeros, nosometerse a la línea marcada por Microsoft o cu<strong>al</strong>quier otra iniciativa interesada que no permita la librecompetencia. Es muy importante ser conscientes <strong>de</strong> la importancia <strong>de</strong> adoptar estándares abiertos, <strong>de</strong>forma que las infraestructuras básicas, incluso el formato en que nuestros datos están <strong>al</strong>macenados, no<strong>de</strong>pendan en exclusividad <strong>de</strong> un tercero.Des<strong>de</strong> la competencia a Microsoft, <strong>de</strong> nada sirve apuntarle y criticarle <strong>de</strong> forma constante, si <strong>de</strong> formapar<strong>al</strong>ela no se ofrecen soluciones que cumplan todos los requerimientos <strong>de</strong> los usuarios fin<strong>al</strong>es. No sólo <strong>de</strong><strong>seguridad</strong> vive el usuario, la re<strong>al</strong>idad es que no suele ser un factor clave que incline la b<strong>al</strong>anza <strong>de</strong> la elección<strong>de</strong> un sistema operativo o aplicación, factores como la sencillez <strong>de</strong> manejo son mucho más v<strong>al</strong>oradas porel usuario fin<strong>al</strong>. Es necesario un ejercicio <strong>de</strong> autocrítica que, <strong>al</strong> margen <strong>de</strong> las prácticas monopolistas<strong>de</strong> mercado ejercidas por Microsoft, permita reconocer sus aciertos y aplicarlos en las soluciones que seofrezcan <strong>al</strong> usuario como <strong>al</strong>ternativa <strong>al</strong> dúo formado por Windows y Office.Con respecto <strong>al</strong> informe, es <strong>de</strong> lectura fácil y muy recomendable para todos los usuarios, que en últimainstancia <strong>de</strong>berán formarse su propia opinión. Se encuentra disponible en formato PDF en la siguientedirección http://www.ccianet.org/papers/cyberinsecurity.pdfBernardo Quintero13/10/2003 Microsoft: marketing vs. <strong>seguridad</strong>En octubre <strong>de</strong> 2001 Microsoft lanzaba Strategic Technology Protection Program (STPP), que anunciaroncomo una iniciativa sin prece<strong>de</strong>ntes que mejoraría la <strong>seguridad</strong> <strong>de</strong> sus sistemas operativos y su respuestaante nuevos problemas <strong>de</strong> <strong>seguridad</strong>. Pasados dos años, don<strong>de</strong> los inci<strong>de</strong>ntes <strong>de</strong> <strong>seguridad</strong> que aprovechanvulnerabilida<strong>de</strong>s <strong>de</strong> Microsoft no han hecho más que aumentar, vuelven a re<strong>al</strong>izar nuevas promesas.De nuevo el marketing se a<strong>de</strong>lanta a la tecnología. Durante una conferencia <strong>de</strong> partners la pasada semana,Steve B<strong>al</strong>lmer anunció nuevas iniciativas que harán <strong>de</strong> Windows un sistema menos vulnerable a losataques. De entrada ha a<strong>de</strong>lantado que estas funcion<strong>al</strong>ida<strong>de</strong>s se ofrecerán gratuitamente en el próximoservice pack para Windows XP y Windows Server 2003. No sabemos si este anuncio <strong>de</strong>be interpretarsecomo que los usuarios <strong>de</strong> versiones anteriores <strong>de</strong> Windows, incluido Windows 2000, tendrán que migrarforzosamente si quieren acce<strong>de</strong>r a este nuevo y prometido nivel <strong>de</strong> <strong>seguridad</strong>.A<strong>de</strong>más <strong>de</strong>l anuncio público, <strong>de</strong> cara a mitigar el <strong>al</strong>uvión <strong>de</strong> críticas que está pa<strong>de</strong>ciendo Microsoft por elverano negro que ha protagonizado en materia <strong>de</strong> <strong>seguridad</strong>, tan sólo han transcendido vagas pinceladassobre las medidas re<strong>al</strong>es que implantarán. Des<strong>de</strong> la activación por <strong>de</strong>fecto <strong>de</strong>l firew<strong>al</strong>l que incluyeWindows, hasta una nueva política <strong>de</strong> avisos, parches y actu<strong>al</strong>izaciones que pasarán a ser mensu<strong>al</strong>es, en140<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
vez <strong>de</strong> los más periódicos como nos tenía acostumbrado hasta ahora. Este último punto parece más unai<strong>de</strong>a <strong>de</strong> un creativo <strong>de</strong> marketing que <strong>de</strong> un an<strong>al</strong>ista técnico. Des<strong>de</strong> el punto <strong>de</strong> vista <strong>de</strong> <strong>seguridad</strong> todoson <strong>de</strong>sventajas. En p<strong>al</strong>abras <strong>de</strong> Amy Carroll, director <strong>de</strong> producto <strong>de</strong> la unidad <strong>de</strong> negocio <strong>de</strong> <strong>seguridad</strong><strong>de</strong> Microsoft, esta cambio facilitará a los usuarios la loc<strong>al</strong>ización e inst<strong>al</strong>ación <strong>de</strong> las actu<strong>al</strong>izaciones <strong>de</strong><strong>seguridad</strong>.Microsoft ha recibido en los últimos tiempos muchas críticas por los continuos parches <strong>de</strong> <strong>seguridad</strong>que <strong>de</strong>ben aplicarse en Windows, lo que dificulta la labor a los profesion<strong>al</strong>es y es poco práctico para losusuarios fin<strong>al</strong>es que no tienen porqué estar pendientes continuamente <strong>de</strong> las actu<strong>al</strong>izaciones. Parece queMicrosoft ha optado por simplificar el problema y reducirlo a lo absurdo: si no quieren muchos parchespequeños <strong>de</strong> forma periódica, daremos uno gran<strong>de</strong> una vez <strong>al</strong> mes.Los riesgos son evi<strong>de</strong>ntes, por un lado la ventana <strong>de</strong> tiempo entre que una vulnerabilidad es <strong>de</strong>scubierta yla corrección está disponible será aun mayor, por otro lado los macro-parches, que tienen que modificarmúltiples componentes <strong>de</strong>l sistema, son más proclives a los problemas <strong>de</strong> compatibilidad e interferenciascon el software ya existente.Como anécdota, la misión princip<strong>al</strong> <strong>de</strong> la iniciativa STPP era disminuir el tiempo que transcurre <strong>de</strong>s<strong>de</strong> quees <strong>de</strong>scubierta la vulnerabilidad hasta que el sistema <strong>de</strong>l cliente es actu<strong>al</strong>izado, y <strong>de</strong> esta forma disminuirel riesgo <strong>de</strong> que los sistemas resulten dañados. Ahora parece que dan la vuelta a la tortilla.Como ya hiciéramos en su día en <strong>Hispasec</strong>, a través <strong>de</strong> la noticia “Microsoft STPP, ¿estrategia tecnológicao lavado <strong>de</strong> cara?”, <strong>de</strong> nuevo hacemos hincapié en que es una simplificación subjetiva y partidista <strong>de</strong>lproblema que sitúa <strong>al</strong> usuario como princip<strong>al</strong> responsable <strong>al</strong> no actu<strong>al</strong>izar periódicamente sus productos. AMicrosoft le ha f<strong>al</strong>tado <strong>de</strong> nuevo autocrítica en el planteamiento <strong>de</strong> la estrategia, y el anuncio <strong>de</strong> iniciativasencaminadas a corregir el problema en su origen. Más v<strong>al</strong>e prevenir que curar.Bernardo QuinteroEntrevistaJohannes Ullrich es el fundador <strong>de</strong> Dshield, que ahora forma parte <strong>de</strong> SANSInternet Storm Center, li<strong>de</strong>rado también por él. En 2005 fue nombrado una <strong>de</strong> las 50personas más influyentes en la industria <strong>de</strong> las re<strong>de</strong>s por la revista Network World.En su trabajo diario suele usar Virustot<strong>al</strong>.Johannes B. Ullrich<strong>Hispasec</strong>: ¿Con qué edad empezaste a tener contacto con la informática? ¿Recuerdas losprimeros equipos informáticos con los que pudiste trastear?Johannes B. Ullrich: Tenía unos 14 años. La mayoría <strong>de</strong> los or<strong>de</strong>nadores con los que tenía contacto enel instituto era <strong>de</strong> Commodore. Por ejemplo tenía <strong>al</strong>gunos Commodore 4004 (con 4 kylobytes <strong>de</strong> RAM ypequeños monitores ver<strong>de</strong>s). En re<strong>al</strong>idad aprendí bastante bien ensamblador 6502 que tenías que escribiren hexa<strong>de</strong>cim<strong>al</strong> puro. Mi primer or<strong>de</strong>nador fue un Commodore 64.H: ¿Cómo llega a convertirse un físico especi<strong>al</strong>izado en la investigación científica <strong>de</strong> rayosX, en un experto en <strong>seguridad</strong> informática e Internet?JBU: Siempre me ha gustado jugar con los or<strong>de</strong>nadores. Mientras más me a<strong>de</strong>ntraba en experimentos<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - 141
con rayos X, más importantes se hacían los or<strong>de</strong>nadores como herramienta para automatizar estosexperimentos. Muchas <strong>de</strong> estas pruebas pue<strong>de</strong>n llegar a ser aburridas si tienes que sentarte y esperar aque los datos se acumulen. Es mucho más divertido escribir un pequeño programa y <strong>de</strong>jar que el or<strong>de</strong>nadorcontrole el experimento. Más tar<strong>de</strong> también empecé a controlar estos experimentos <strong>de</strong> forma remota através <strong>de</strong> simples scripts CGI. Por supuesto, cuando empecé a trabajar con estos sistemas en red, meempezó a preocupar cada vez más la <strong>seguridad</strong>. Para <strong>al</strong>gunas <strong>de</strong> estas simulaciones teóricas <strong>de</strong> estosexperimentos, tomé prestadas varias estaciones <strong>de</strong> trabajo para planificar trabajos por todo el campus. Denuevo, esto me llevó a interesarme en cómo funciona re<strong>al</strong>mente la autenticación y la reserva <strong>de</strong> recursos.H: Para los que no conozcan a tu criatura, DShield, ¿pue<strong>de</strong>s contar brevemente cuál es suobjetivo y cómo ha ido evolucionando a lo largo <strong>de</strong> estos años?JBU: Comencé Dshield como un “ISAC para usuarios norm<strong>al</strong>es” (ISAC = Information Sharing andAn<strong>al</strong>ysis Center). El término “ISAC” se usa <strong>de</strong>s<strong>de</strong> 2000 para <strong>de</strong>scribir a las organizaciones <strong>de</strong> la industriaque trabajan juntas para intercambiar información sobre <strong>seguridad</strong>. Por ejemplo, los bancos <strong>de</strong> EstadosUnidos trabajan juntos en una ISAC. Leí sobre el tema y <strong>al</strong> mismo tiempo empecé a jugar con cortafuegosperson<strong>al</strong>es en casa. Supuse que a muchos usuarios caseros como yo les gustaría compartir informaciónpara tener una visión mejor <strong>de</strong> lo que re<strong>al</strong>mente está pasando. A<strong>de</strong>más, averigüé por amigos que trabajabanen ISPs que estaban absolutamente inundados <strong>de</strong> quejas relacionadas con el abuso <strong>de</strong>l servicio.<strong>Una</strong> <strong>de</strong> mis i<strong>de</strong>as era proporcionar a estos ISPs una forma sencilla y estándar <strong>de</strong> procesar estas quejas<strong>de</strong> abuso, las cu<strong>al</strong>es están basadas la mayoría en muchos usuarios observando el mismo ataque, no sóloun individuo. Le di <strong>al</strong>gunas vueltas a la i<strong>de</strong>a y en noviembre <strong>de</strong> 2000 escribí mi primera versión <strong>de</strong>l sitiodurante un largo fin <strong>de</strong> semana. Lo ejecuté en un pequeño servidor que construí por unos 200 dólares ylo <strong>al</strong>ojé en un ISP cercano que conocía. El primer problema fue encontrar un número <strong>de</strong> usuarios basepara que introdujeran datos. Tuve suerte y Slashdot publicó la página <strong>de</strong>spués <strong>de</strong> un mes. Por supuestola página se rompió y el ISP por poco me echa, pero <strong>al</strong> fin<strong>al</strong>, todo fue bien y conseguí mi “masa crítica”<strong>de</strong> suscriptores. En concreto, en 2001 estaba sorprendido con lo bien que funcionaba. Este fue un buenaño <strong>de</strong> gusanos. Casi todos los encontramos pronto gracias a Dshield. Co<strong>de</strong> Red fue particularmenteinteresante.Mi primer pequeño servidor tuvo también sus problemas con este virus, mientras se introducían unmontón <strong>de</strong> reportes y teníamos un buen número <strong>de</strong> visitas <strong>de</strong>bido <strong>al</strong> interés <strong>de</strong> la prensa. La fuente <strong>de</strong><strong>al</strong>imentación <strong>de</strong>l servidor echó a ar<strong>de</strong>r pero tuvimos suerte y conseguimos seguir funcionando <strong>al</strong>gunosdías más hasta que pue<strong>de</strong> reemplazarla (sólo se quemó <strong>al</strong>go <strong>de</strong> aislante).H: Internet Security Center (ISC) es un referente para todos los que necesitamos tenerinformación <strong>de</strong> última hora respecto a las amenazas que surgen en Internet. ¿Cómoestá organizado internamente ISC para dar este servicio 24x7 y proporcionar siempreinformación relevante y contrastada?JBU: Todos los “handlers” <strong>de</strong> ISC son voluntarios. Gracias a estos voluntarios po<strong>de</strong>mos ofrecer el servicio.Todos tienen a<strong>de</strong>más trabajos re<strong>al</strong>es. Como consecuencia, mucha <strong>de</strong> esa experiencia se cuela en nuestros“diarios”. Muchos servicios <strong>de</strong> <strong>seguridad</strong> profesion<strong>al</strong> no tienen la misma experiencia en el mundo re<strong>al</strong>.H: Hemos podido comprobar que habitu<strong>al</strong>mente en ISC, cuando se habla <strong>de</strong> amenazas<strong>de</strong> m<strong>al</strong>ware, se hace referencia a los resultados obtenidos en VirusTot<strong>al</strong>. ¿Qué opiniónte merece VirusTot<strong>al</strong> y cuál crees que <strong>de</strong>be ser su evolución y papel en el sector <strong>de</strong> la<strong>seguridad</strong>?142<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
JBU: Virustot<strong>al</strong> es una gran fuente para saber rápidamente si un m<strong>al</strong>ware es nuevo o no. An<strong>al</strong>izarm<strong>al</strong>ware lleva mucho tiempo, y recibimos muchos. Virustot<strong>al</strong> es una gran herramienta para clasificar yseleccionar rápidamente. Soy un gran fan <strong>de</strong>l análisis automatizado <strong>de</strong>l m<strong>al</strong>ware para hacerse una i<strong>de</strong>a<strong>de</strong> lo que re<strong>al</strong>iza el m<strong>al</strong>ware. Norm<strong>al</strong>mente no es perfecto, pero <strong>al</strong>gunos <strong>de</strong> los mejores sistemas pue<strong>de</strong>nacercarse mucho a lo que en re<strong>al</strong>idad ejecuta el troyano. Todo lo que podáis hacer en esa dirección seríamuy interesante y apreciado.H: Tanto DShield como ISC, o nuestro propio VirusTot<strong>al</strong>, parten <strong>de</strong> un enfoque don<strong>de</strong> seaprovecha la cooperación <strong>de</strong> la comunidad <strong>de</strong> Internet. ¿Cuáles crees que son las princip<strong>al</strong>esventajas y retos <strong>de</strong> estos esquemas colaborativos que se nutren <strong>de</strong> datos distribuidos <strong>de</strong>terceras fuentes?JBU: Internet es una gran comunidad. Tener una comunidad para investigar Internet tiene sentido. <strong>Una</strong>comunidad <strong>de</strong> voluntarios motivados pue<strong>de</strong> resultar tremendamente po<strong>de</strong>rosa. Por otro lado, seleccionary motivar miembros responsables y con conocimientos para esa comunidad resulta un reto.H: Esta entrevista formará parte <strong>de</strong> un libro que conmemora el décimo aniversario <strong>de</strong> una<strong>al</strong>-día,el primer boletín diario <strong>de</strong> <strong>seguridad</strong> informática en español. No queríamos <strong>de</strong>jarpasar la oportunidad <strong>de</strong> aprovechar tu visión privilegiada en ISC para que nos resumierasbrevemente tu opinión sobre cuál ha sido la evolución <strong>de</strong> las amenazas en Internet duranteestos últimos 10 años.JBU: El gran cambio es la “person<strong>al</strong>ización masiva” <strong>de</strong> los exploits mo<strong>de</strong>rnos. La década ha empezado conherramientas para automatizar la difusión <strong>de</strong> exploits. Inci<strong>al</strong>mente teníamos simples herramientas paraatacar manu<strong>al</strong>mente sistemas y <strong>de</strong>spués, <strong>de</strong> nuevo gusanos simples pululaban por la red. Hoy, tenemosherramientas <strong>de</strong> ataques <strong>al</strong>tamente flexibles y que escogen y seleccionan automáticamente exploits paraque ataquen a un sistema en particular.H: ¿Alguna predicción para el futuro en materia <strong>de</strong> <strong>seguridad</strong> en Internet? ¿Qué nosespera?JBU: Con diseños <strong>de</strong> sistemas más complejos, como la virtu<strong>al</strong>ización y la “cloud computing”, los ataquestambién se volverán más complejos. Creo que lo que veremos será nuevas formas <strong>de</strong> escon<strong>de</strong>r m<strong>al</strong>ware enestos sistemas complejos. Por ejemplo en forma <strong>de</strong> virtu<strong>al</strong>ización “sigilosa” o procesos “inter-cloud”.H: Al margen <strong>de</strong> tu actividad profesion<strong>al</strong> como Chief Research Officer for the SANSInstitute,,¿a qué <strong>de</strong>dicas más tiempo últimamente? ¿Hobbies?JBU: Estoy <strong>de</strong>dicando mucho tiempo a la <strong>seguridad</strong> web estos días. No hay <strong>de</strong>masiado tiempo parahobbies. De <strong>al</strong>guna forma, mi trabajo es mi hobbie ;-).H: ¿Qué sistema operativo y navegador utilizas?OS X y Firefox (también Safari). También uso Linux bastante.H: Un libro, una canciónJBU: Sara Hickman, Mad World.Duerrenmatt, The Physicists (mi libro favorito <strong>de</strong> todos los tiempos).<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 - 143
Documentación144<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2003 -
7D43724año 2004Capítulo611111010100
1073001600 – 1152748799Durante este año...__En febrero la CIA admite que no existía amenaza inminente por las supuestasarmas <strong>de</strong> <strong>de</strong>strucción masiva antes <strong>de</strong> la invasión <strong>de</strong> Iraq.__El 13 <strong>de</strong> febrero se pone en marcha en España el Documento Nacion<strong>al</strong> <strong>de</strong> I<strong>de</strong>ntidad (DNI)electrónico. En 2008 se haría popular. Su implantación y uso en la Red es aún margin<strong>al</strong>.__ M<strong>al</strong>ta, Chipre, Estonia, Eslovenia, Letonia, Lituania, Eslovaquia, Hungría, República Checa y Poloniapasan a formar parte <strong>de</strong> la la Unión Europea. De la “Europa <strong>de</strong> los 15”, se pasa a la “Europa <strong>de</strong> los 25”.__El Señor <strong>de</strong> los anillos: El retorno <strong>de</strong>l Rey, logra 11 Oscars, igu<strong>al</strong>ando el récord <strong>de</strong> Titanic y Ben-Hur.__El 2 <strong>de</strong> febrero, durante el espectáculo montado en el intermedio <strong>de</strong> la 38ª Super Bowl, JustinTimberlake interpreta “Rock your body” junto a Janet Jackson ante más <strong>de</strong> 100 millones <strong>de</strong>espectadores. Justin (en un supuesto movimiento <strong>de</strong> baile que pretendieron que resultara casu<strong>al</strong>) arrancauna parte <strong>de</strong>l traje que oportunamente parecía sujeta con velcro y Janet <strong>de</strong>ja ver su pecho <strong>de</strong>recho. Suinterpretación <strong>de</strong> la sorpresa es más bien pobre, permite que se vea unos segundos e intenta ocultarlo conlas manos. Este inci<strong>de</strong>nte, aunque se <strong>de</strong>smintiera hasta la saciedad que fuese <strong>al</strong>go preparado, sirvió comoexcusa para incluir cierto retraso en las emisiones en directo y po<strong>de</strong>r estar preparados para “imprevistos”,supuestamente <strong>de</strong> otra índole.__El 16 <strong>de</strong> febrero se <strong>de</strong>scubre una g<strong>al</strong>axia a 13.000 millones <strong>de</strong> años luz, la más lejana conocida.Se consigue gracias a una combinación <strong>de</strong> observaciones <strong>de</strong>l Telescopio Espaci<strong>al</strong> Hubble y <strong>de</strong>l observatorioKeck <strong>de</strong> Hawai.Mueren 191 personas en los atentados <strong>de</strong>l 11 <strong>de</strong> marzo en Madrid. Terroristas <strong>de</strong> nacion<strong>al</strong>idadmarroquí colocan 13 mochilas con bombas en el interior <strong>de</strong> 4 trenes <strong>de</strong> cercanías que sedirigían a la estación <strong>de</strong> Atocha. Comienzan las especulaciones sobre la autoría <strong>de</strong> lamasacre. Las elecciones se celebrarían sólo 3 días <strong>de</strong>spués, y durante el fin <strong>de</strong> seman<strong>al</strong>os partidos políticos aspirantes se acusan <strong>de</strong> ocultar o exagerar información en beneficiopropio. El 14 <strong>de</strong> marzo el PSOE gana las elecciones gener<strong>al</strong>es. El 15 <strong>de</strong> marzo Zapateroanuncia que retirará los 1.300 soldados que el país mantiene en Iraq.El 3 <strong>de</strong> abril se produce la explosión en un inmueble <strong>de</strong> Leganés, habitado por sospechososterroristas <strong>de</strong>l atentado <strong>de</strong> Atocha. Muere un policía y siete terroristas se suicidan.__En los Juegos Olímpicos <strong>de</strong> Atenas 2004, el marroquí Hicham El Guerrouj gana las pruebas <strong>de</strong>5.000 y 1.500 metros, <strong>al</strong>go que sólo había conseguido el finlandés Paavo Nurmi, en París en 1924.146<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
El 1 <strong>de</strong> abril (el día <strong>de</strong> los inocentes anglosajón) Googleanuncia por sorpresa su nuevo servicio <strong>de</strong> correollamado Gmail que ofrecerá <strong>de</strong> forma gratuita a sususuarios una cuenta con buzón <strong>de</strong> un gigabyte <strong>de</strong>capacidad. Muchos lo toman como una broma. Lacapacidad media <strong>de</strong> un disco duro en 2004 es <strong>de</strong> 60-80gigas. Hotmail (quizás el servicio <strong>de</strong> correo más popular) ofrece en esos momentos gratisun buzón <strong>de</strong> dos megas, con la posibilidad <strong>de</strong> ampliar a 100 megas en el servicio <strong>de</strong> pago.Por si fuera poco, Google permite acceso a través <strong>de</strong> POP3 seguro con cu<strong>al</strong>quier cliente.Gmail rompería así las reglas establecidas hasta el momento en el mercado <strong>de</strong>l correoweb. Ofrece durante muchos meses cuentas exclusivamente a través <strong>de</strong> invitaciones, perono es complicado conseguirlas. Después el servicio se abriría para todos sin necesidad<strong>de</strong> invitación. Todos los servicios <strong>de</strong> correo comenzarían a aumentar el tamaño <strong>de</strong> susbuzones a pasos agigantados. El estándar establecido <strong>de</strong> “<strong>al</strong>gunos megas” <strong>de</strong> formagratuita para un buzón <strong>de</strong> correo se percibía ridículo <strong>de</strong> repente. No tardan en aparecerlas utilida<strong>de</strong>s que permiten usar esa capacidad extra integrada en el sistema operativopara s<strong>al</strong>vaguardar datos <strong>de</strong> forma cómoda y remota, como si <strong>de</strong> una unidad loc<strong>al</strong> más setratase. Gmail hoy día ofrece capacidad casi ilimitada y que aumenta cada día.__El 1 <strong>de</strong> septiembre el colegio <strong>de</strong> Beslán, en Osetia <strong>de</strong>l Norte (Rusia) es secuestrado por terroristasmusulmanes armados. Durante dos días retienen a cientos <strong>de</strong> personas en su interior, mientras sostienenarmas y abundante materi<strong>al</strong> bélico. Se escon<strong>de</strong>n bajo pasamontañas y portan numerosos explosivos.Toman como rehenes a 1.181 personas. Al día siguiente las conversaciones entre los negociadores ylos secuestradores fracasan, negándose los terroristas incluso a permitir la entrada <strong>de</strong> <strong>al</strong>imentos ymedicamentos para los rehenes, o a retirar los cadáveres <strong>de</strong>l colegio. El día 3 <strong>de</strong> septiembre se produce untiroteo entre los secuestradores y las fuerzas <strong>de</strong> <strong>seguridad</strong> rusas, <strong>de</strong>jando un s<strong>al</strong>do <strong>de</strong> más <strong>de</strong> 335 rehenesmuertos (156 niños), 200 <strong>de</strong>saparecidos y cientos <strong>de</strong> heridos.__El 20 <strong>de</strong> septiembre la Wikipedia <strong>al</strong>canza ya un millón <strong>de</strong> artículos en 100 idiomas.__El 20 <strong>de</strong> octubre se lanza la primera versión <strong>de</strong> Ubuntu. La 4.10 <strong>al</strong>ias Warty Warthog. Ubuntu seconvertiría en el “Linux para seres humanos” cuya filosofía es facilitar en lo posible el uso para escritorio.Supone un avance consi<strong>de</strong>rable en reconocimiento <strong>de</strong> hardware, drivers, etc, convirtiéndose en elaban<strong>de</strong>rado <strong>de</strong>l software libre en el entorno doméstico. En poco tiempo consigue una buena imagen, ycopa el 30% <strong>de</strong> todas las inst<strong>al</strong>aciones linux. Ofrece CDs ofici<strong>al</strong>es gratuitos que pue<strong>de</strong>nser pedidos online y enviados a cu<strong>al</strong>quier parte <strong>de</strong>l mundo gratis. Basada ofici<strong>al</strong>menteen el escritorio GNOME, más tar<strong>de</strong> aparecerían Kubuntu y Xubuntu, con el escritorioKDE y Xfce respectivamente. Su objetivo, como “fork” <strong>de</strong> Debian, sería proporcionarnuevas versiones cada 6 meses, <strong>al</strong>go consi<strong>de</strong>rado un problema en Debian, que en favor<strong>de</strong> la fiabilidad y estabilidad perdía “frescura” en su software.__En noviembre, George W. Bush rev<strong>al</strong>ida su título en la Casa Blanca batiendo <strong>al</strong> senador JohnKerry.__En diciembre, Symantec Corp se fun<strong>de</strong> con Veritas Software Corp.__ El 26 <strong>de</strong> diciembre se produce una <strong>de</strong> las mayores catástrofes natur<strong>al</strong>es <strong>de</strong> toda la historia. Un tremendoterremoto <strong>de</strong> magnitud 9,3 sacu<strong>de</strong> el sudoeste <strong>de</strong> Asia. El epicentro se encuentra en la costa oeste <strong>de</strong> la<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 147
isla <strong>de</strong> Sumatra. Su fuerza es t<strong>al</strong>, que genera un monstruoso tsunami que <strong>de</strong>vora las costas cercanas <strong>de</strong>Tailandia, India, Sri Lanka, las M<strong>al</strong>divas, M<strong>al</strong>asia, Myanmar, Bangla<strong>de</strong>sh e Indonesia. <strong>Una</strong> gigantesca ola<strong>de</strong> <strong>de</strong>cenas <strong>de</strong> metros <strong>de</strong> <strong>al</strong>to se introduce varios kilómetros tierra a<strong>de</strong>ntro, arrastrando y <strong>de</strong>struyendo todolo que encuentra a su paso. Los muertos ofici<strong>al</strong>es ascien<strong>de</strong>n a 186.983 aunque más <strong>de</strong> 40.000 personassiguen <strong>de</strong>saparecidas hoy.Seguridad Informática__ A principios <strong>de</strong> año el grupo <strong>de</strong> trabajo <strong>de</strong> la IETF (responsable <strong>de</strong> la <strong>de</strong>finición <strong>de</strong> lasextensiones <strong>de</strong> <strong>seguridad</strong> en el protocolo DNS) solicita a la comunidad su opinión sobre loscambios propuestos para <strong>de</strong>finir DNSSEC. No tendría mucho éxito. A raíz <strong>de</strong>l problema<strong>de</strong>scubierto en 2008, se replantearía con fuerza su uso más gener<strong>al</strong>izado.En enero aparece en escena Bagle y con élculmina la “época romántica” <strong>de</strong>l m<strong>al</strong>warepara pasar a la era <strong>de</strong> la industri<strong>al</strong>izacióno m<strong>al</strong>ware 2.0. Su primera versión sentab<strong>al</strong>as bases <strong>de</strong> evoluciones posteriores quedurante todo 2004 <strong>al</strong>canzaría un nivel<strong>de</strong> sofisticación insospechado hasta lafecha. Los primeros Bagle tenían fecha<strong>de</strong> caducidad propia apenas 10 días<strong>de</strong>spués <strong>de</strong> ser lanzados. Se propagabanpor correo electrónico. La versión B abríauna puerta trasera en el puerto 8866. Deforma periódica intentaba conectar convarios servidores HTTP, incluyendo en esapetición el puerto abierto en el sistema infectado y un i<strong>de</strong>ntificador especi<strong>al</strong>. Esto parecíaser un sistema <strong>de</strong> notificación i<strong>de</strong>ado por el creador <strong>de</strong>l virus para tener controlados lossistemas infectados (práctica habitu<strong>al</strong> <strong>de</strong>s<strong>de</strong> entonces). Las diversas variantes <strong>de</strong> Bagle,conjuntamente con otros gusanos con los que coincidió en el tiempo, provocarían por sísolos en los dos primeros meses <strong>de</strong> 2004 más actividad vírica que la registrada por todo elm<strong>al</strong>ware anterior durante todo el año 2003.__ En enero Microsoft anuncia la firma <strong>de</strong> un acuerdo con el Gobierno español, que se adhiere así <strong>al</strong>Programa <strong>de</strong> Seguridad para Gobiernos (Government Security Program, GSP). Este acuerdosignifica que los expertos en <strong>seguridad</strong> <strong>de</strong>l Centro Nacion<strong>al</strong> <strong>de</strong> Inteligencia (CNI), <strong>de</strong>pendiente <strong>de</strong>lMinisterio <strong>de</strong> Defensa, podrán acce<strong>de</strong>r <strong>al</strong> código fuente <strong>de</strong> Windows, y a toda la información técnica queprecisen para auditar las características <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> la plataforma Windows. Poco <strong>de</strong>spués, y sinrelación con el programa GSP, se filtran 660 megas <strong>de</strong> código fuente <strong>de</strong> Windows NT y 2000 en re<strong>de</strong>s <strong>de</strong>pares con el nombre “windows_2000_source_co<strong>de</strong>.zip”__En enero aparece otro m<strong>al</strong>ware clásico: Mydoom. Se distribuye también por correo electrónico.Cuando todavía no han transcurrido 48 horas <strong>de</strong>s<strong>de</strong> la explosión <strong>de</strong>l gusano Mydoom, se aprecia unasegunda versión que apenas es reconocida por los antivirus. En febrero, el gusano Doomjuice aprovecharía148<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
la puerta trasera <strong>de</strong> Mydoom para inst<strong>al</strong>arse. Sus princip<strong>al</strong>es objetivos son atacar la web <strong>de</strong> Microsoft yre<strong>al</strong>izar barridos <strong>de</strong> direcciones IPs buscando este puerto abierto. Cuando loc<strong>al</strong>iza uno, establece unaconexión y envía una copia <strong>de</strong>l ejecutable <strong>de</strong> Doomjuice, que el backdoor <strong>de</strong> Mydoom se encarga <strong>de</strong> recibiry ejecutar en el sistema. Comienza una guerra entre creadores <strong>de</strong> m<strong>al</strong>ware, que les lleva a <strong>de</strong>jarse mensajessarcásticos en los códigos <strong>de</strong> los especímenes, aprovechar funcion<strong>al</strong>ida<strong>de</strong>s <strong>de</strong> otros e incluso <strong>de</strong>sinfectar<strong>al</strong> usuario <strong>de</strong>l m<strong>al</strong>ware “enemigo”.__En marzo, Netsky.P es el más propagado <strong>de</strong>l momento, y lo sería durante incluso años más tar<strong>de</strong>.__El 23 <strong>de</strong> marzo el equipo <strong>de</strong> GNOME hace pública una intrusión en sus sistemas informáticos. Elperson<strong>al</strong> técnico encargado <strong>de</strong> la administración <strong>de</strong> gnome.org comunica públicamente la <strong>de</strong>tección <strong>de</strong>una intrusión en su servidor web. Todos los servidores gnome.org son <strong>de</strong>sconectados inmediatamente,para ev<strong>al</strong>uar la profundidad <strong>de</strong> la intrusión y evitar que los usuarios accediesen a información y códigofuente comprometido.__En abril Bagle se <strong>al</strong>ía con spammers para distribuirse junto a fotografías, una práctica que todavíaperdura. El ancho <strong>de</strong> banda en los hogares aumenta, así que el gusano Bagle pue<strong>de</strong> permitirse, entre otrasformas <strong>de</strong> envío, simular ser un mensaje <strong>de</strong> una mujer y dotar a los correos con diferentes fotografíassugerentes, lo que lo dota <strong>de</strong> mayor re<strong>al</strong>ismo.__En mayo, Sasser infecta automáticamente sistemas Windows 2000 y XP vulnerables, convirtiéndoseen una epi<strong>de</strong>mia parecida a la que protagonizó Blaster. Aprovecha un <strong>de</strong>sbordamiento <strong>de</strong> memoriaintermedia en el servicio LSASS <strong>de</strong> Windows para infectar a otros sistemas <strong>de</strong> forma automática. Deja unapuerta trasera que permite la intrusión a terceros. La propagación <strong>de</strong> Sasser en internet va en aumentoexponenci<strong>al</strong>, afectando a usuarios domésticos y servidores que no cuentan con las mínimas medidas <strong>de</strong><strong>seguridad</strong> (con el puerto 445 TCP sin filtrar).En mayo se da a conocer la historia <strong>de</strong>Guillaume contra Tegam. Un científicofrancés se enfrenta a una posible penamáxima <strong>de</strong> dos años <strong>de</strong> cárcel y multa<strong>de</strong> 150.000 euros, tras ser <strong>de</strong>mandado por<strong>de</strong>scubrir y publicar varias <strong>de</strong>bilida<strong>de</strong>sen el software antivirus <strong>de</strong> Tegam. En<strong>Hispasec</strong> se le da un especi<strong>al</strong> seguimientopuesto que el resultado podría crearun importante prece<strong>de</strong>nte sobre lainvestigación in<strong>de</strong>pendiente en materia<strong>de</strong> <strong>seguridad</strong> informática.Guillaume publica en su página web person<strong>al</strong> bajo el apodo <strong>de</strong> “Guillermito”, <strong>al</strong>gunosanálisis sobre vulnerabilida<strong>de</strong>s que ha <strong>de</strong>tectado en diversas soluciones <strong>de</strong> <strong>seguridad</strong>.El seudónimo es un guiño a sus raíces, puesto que sus abuelos eran españoles y migrarona Francia antes <strong>de</strong>l comienzo <strong>de</strong> la Guerra Civil. En 2002 había publicado un análisis<strong>de</strong>l antivirus francés ViGUARD (<strong>de</strong> Tegam Internation<strong>al</strong>), en el que <strong>de</strong>mostraba que lapublicidad <strong>de</strong>l producto era f<strong>al</strong>sa <strong>al</strong> anunciar la <strong>de</strong>tección <strong>de</strong>l 100% <strong>de</strong> virus conocidos ono. Es más, re<strong>al</strong>izaba sencillas pruebas que ponían muy en duda la eficacia <strong>de</strong>l programapara la <strong>de</strong>tección <strong>de</strong> muestras re<strong>al</strong>mente simples. A raíz <strong>de</strong> sus investigaciones publicadas,<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 149
en octubre <strong>de</strong> 2003 Guillaume tuvo que respon<strong>de</strong>r a <strong>al</strong>gunas cuestiones ante el grupo<strong>de</strong> la policía francesa que se encarga <strong>de</strong> los casos relacionados con las tecnologías<strong>de</strong> la información. También se vio obligado a acudir <strong>al</strong> Juzgado <strong>de</strong> Instrucción <strong>de</strong> París,atendiendo a la convocatoria <strong>de</strong> primera comparecencia sobre una acusación <strong>de</strong> TegamInternation<strong>al</strong>.Se la acusaba <strong>de</strong> presunta “f<strong>al</strong>sificación <strong>de</strong> programas informáticos y ocultación <strong>de</strong> estos<strong>de</strong>litos”, escudándose para ello en varios artículos <strong>de</strong>l código <strong>de</strong> la propiedad intelectu<strong>al</strong>y el código pen<strong>al</strong>. En un principio Tegam Internacion<strong>al</strong> emprendió una agresiva campaña<strong>de</strong> marketing, con anuncios en publicaciones don<strong>de</strong> liter<strong>al</strong>mente llamaba “terroristainformático” a “Guillermito”. Acusación que cobraba una especi<strong>al</strong> relevancia si tenemosen cuenta que apenas habían transcurridos unos meses <strong>de</strong>s<strong>de</strong> el 11 <strong>de</strong> septiembre. El sitioweb <strong>de</strong> Guillaume que hospedaba en un servidor francés <strong>de</strong>saparece junto con todo elque se había hecho eco <strong>de</strong> su estudio. Fin<strong>al</strong>mente, tras el trabajo <strong>de</strong> su abogado, se retiranla mitad <strong>de</strong> los cargos esgrimidos contra Guillaume, pero <strong>de</strong>be afrontar los <strong>de</strong> “f<strong>al</strong>sificación<strong>de</strong> información”. El juicio, tras programarse para octubre, se retrasa hasta primeros<strong>de</strong> 2005. La historia seguiría.__Del 31 <strong>de</strong> mayo <strong>al</strong> 4 <strong>de</strong> junio la ciudad <strong>de</strong> Santiago <strong>de</strong> Compostela acoge la IV Semana Internacion<strong>al</strong><strong>de</strong> las TIC, que compren<strong>de</strong> cuatro congresos internacion<strong>al</strong>es: Seguridad Informática y Legislación en elComercio Electrónico, Bases <strong>de</strong> Datos y Programación, Open Source, y Movilidad. Acu<strong>de</strong>n BernardoQuintero y Julio Canto con la conferencia “EL MAYOR ANTIVIRUS DEL MUNDO: VIRUSTOTAL”.Sería la primera presentación pública <strong>de</strong> Virustot<strong>al</strong>.com, tras un <strong>de</strong>sarrollo <strong>de</strong> un año.__En julio se anuncia la primera vulnerabilidad en Gmail. No se hacen públicos los <strong>de</strong>t<strong>al</strong>les.__En julio, las nuevas versiones <strong>de</strong> Bagle, Bagle.AH o Bagle.AI (la <strong>de</strong>nominación varía según el motorantivirus) consigue los mayores ratios <strong>de</strong> propagación.__El CERT/CC y el Servicio Secreto <strong>de</strong> los Estados Unidos publican un estudio que an<strong>al</strong>iza los ataquesinformáticos re<strong>al</strong>izados <strong>de</strong>s<strong>de</strong> <strong>de</strong>ntro <strong>de</strong> las empresas <strong>de</strong>l sector bancario y fnanciero.__En verano, la nueva versión <strong>de</strong>l gusano Mydoom <strong>de</strong>staca por re<strong>al</strong>izar peticiones a los servicios <strong>de</strong>búsqueda <strong>de</strong> Google, Yahoo, Altavista y Lycos para recopilar direcciones <strong>de</strong> correo a las que enviarse.Algunos antivirus actu<strong>al</strong>izan hasta 8 veces enuna hora para po<strong>de</strong>r hacer frente a la aparicións<strong>al</strong>vaje <strong>de</strong> variantes. Son tantos los infectadosque re<strong>al</strong>izan peticiones <strong>de</strong> forma automática einvoluntaria a los buscadores que caen variosservidores <strong>de</strong> Google. Necesita varias horas pararestaurar la norm<strong>al</strong>idad. Google se vio obligada<strong>de</strong>s<strong>de</strong> entonces a inst<strong>al</strong>ar una medida <strong>de</strong> <strong>seguridad</strong>que, ante ciertas búsquedas sospechosas, pi<strong>de</strong> <strong>al</strong>usuario un CAPTCHA para comprobar que noestán siendo automatizadas. Hoy en día esa característica <strong>de</strong> Mydoom es todavía muy usada, gracias aque los atacantes han conseguido s<strong>al</strong>tarse la <strong>seguridad</strong> proporcionada por los CAPTCHAS con sistemasautomatizados.150<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
__La Fundación Mozilla ofrece una recompensa <strong>de</strong> 500 dólares por cada informe <strong>de</strong> vulnerabilidad ensus productos. Las condiciones son matizables. Sentaría prece<strong>de</strong>nte para otras campañas <strong>de</strong> recompensapor búsqueda y comunicación responsable <strong>de</strong> vulnerabilida<strong>de</strong>s.__Aparecen gran<strong>de</strong>s listas <strong>de</strong> aplicaciones incompatibles con el Service Pack 2 para Windows XP.El princip<strong>al</strong> problema es que el Service Pack activa el cortafuegos entrante por <strong>de</strong>fecto. Es el Service Packque más modificaciones re<strong>al</strong>iza sobre el sistema. Se trata prácticamente <strong>de</strong> una actu<strong>al</strong>ización <strong>de</strong> versión<strong>de</strong> sistema operativo. La <strong>seguridad</strong> <strong>de</strong> XP mejora consi<strong>de</strong>rablemente. Microsoft publica una herramientapara bloquear la inst<strong>al</strong>ación <strong>de</strong>l paquete. Pasaría casi un año hasta que Microsoft volviese inefectiva estaherramienta y, aun inst<strong>al</strong>ada, obligara a la aplicación <strong>de</strong>l Service Pack.__En septiembre, Bagle sigue campando a sus anchas sobre los sistemas Windows. Se <strong>de</strong>tecta que laversión <strong>de</strong>l momento no es un gusano (no se propaga por sí mismo), sino una especie <strong>de</strong> troyano que tienecomo misión fin<strong>al</strong>izar la ejecución <strong>de</strong> varios procesos <strong>de</strong> antivirus que pudieran estar activos en el sistemay <strong>de</strong>sactivar el cortafuegos <strong>de</strong> Windows, para evitar así ser <strong>de</strong>tectado. A<strong>de</strong>más <strong>de</strong> intentar <strong>de</strong>scargar lo quepodrían ser nuevos componentes <strong>de</strong>l gusano. Tiene como fuente 131 sitios webs distintos <strong>de</strong> Internet. Lascaracterísticas <strong>de</strong>l m<strong>al</strong>ware 2.0 se consolidan.__En un movimiento similar <strong>al</strong> que adoptase Microsoft meses atrás, Oracle anuncia que distribuirá lasactu<strong>al</strong>izaciones <strong>de</strong> sus productos <strong>de</strong> forma mensu<strong>al</strong>. Esta nueva política y los argumentos son exactamentelos mismos que los que Microsoft estableció a fin<strong>al</strong>es <strong>de</strong> 2003 y que, en lo que a marketing se refiere,le da buenos resultados. Oracle recibe fuertes críticas. Durante más <strong>de</strong> 8 meses existían hasta 34vulnerabilida<strong>de</strong>s reconocidas por la propia compañía, que no ofrecía parche a sus clientes. El 31 <strong>de</strong> agostopublica el primero <strong>de</strong> sus superparches sin dar explicaciones ni <strong>de</strong>t<strong>al</strong>les. Poco <strong>de</strong>spués Oracle ofrecería susparches trimestr<strong>al</strong>mente. La <strong>seguridad</strong> <strong>de</strong> Oracle es un <strong>de</strong>sastre y no es hasta 2007 que comenzaría contímidas mejoras para solucionar sus carencias en cuestión <strong>de</strong> <strong>seguridad</strong>.__En noviembre se <strong>de</strong>tecta Banker-AJ. Únicamente se activa cuando el usuario visita <strong>de</strong>terminadasse<strong>de</strong>s web <strong>de</strong> bancos ingleses, capturando las cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> acceso e incluso capturando las pant<strong>al</strong>laspara conocer el estado <strong>de</strong> las cuentas corrientes. Banker-AJ representa una nueva evolución en el m<strong>al</strong>ware,<strong>al</strong>tamente especi<strong>al</strong>izado y con un objetivo muy concreto. Cada días es más difícil <strong>de</strong>finirlos como simplesvirus, gusanos, troyanos y otras variantes. La mayoría <strong>de</strong> los virus actu<strong>al</strong>es utilizan las tácticas <strong>de</strong> losgusanos para su distribución y muchos troyanos pue<strong>de</strong>n actuar como auténticos virus y sus funcion<strong>al</strong>ida<strong>de</strong>sson muy variadas. Banker se convertiría en toda una familia que, ante la imposibilidad <strong>de</strong> una or<strong>de</strong>nacióncoherente, <strong>al</strong>bergaría cientos <strong>de</strong> miles <strong>de</strong> troyanos con estas características que aparecerían en el futuro.La banca online se convierte ya en objetivo preferente para el m<strong>al</strong>ware. Se siguen armando lentamente laspiezas <strong>de</strong>l panorama vírico actu<strong>al</strong>.__En noviembre la versión <strong>de</strong> Sober.I se extien<strong>de</strong> por Europa. El gusano utiliza textos en <strong>al</strong>emán paraenviarse por correo electrónico en caso <strong>de</strong> <strong>de</strong>tectar que la dirección <strong>de</strong> <strong>de</strong>stino pertenece a un país <strong>de</strong>habla <strong>al</strong>emana, utilizando el inglés para el resto.__ En noviembre <strong>Hispasec</strong> publica un polémico estudio. Se refleja que el diseño <strong>de</strong> un 44% <strong>de</strong> las páginasweb bancarias españolas favorece el phishing. El estudio está centrado en an<strong>al</strong>izar los aspectos<strong>de</strong> diseño <strong>de</strong> la primera página web <strong>de</strong> las 50 princip<strong>al</strong>es entida<strong>de</strong>s bancarias en España. Esta primerapágina <strong>de</strong> autenticación <strong>de</strong>l usuario pue<strong>de</strong>n permitir o facilitar el éxito <strong>de</strong> ataques phishing. Todas lasentida<strong>de</strong>s bancarias an<strong>al</strong>izadas re<strong>al</strong>izan correctamente la transmisión <strong>de</strong> datos <strong>de</strong> forma cifrada, sinembargo <strong>al</strong>gunas <strong>de</strong> ellas, por motivos <strong>de</strong> diseño, usabilidad, etc. ocultan la url con HTTPS en <strong>al</strong>gúnframe, lo que dificulta a los usuarios la comprobación <strong>de</strong> que se encuentran en el sitio correcto. Un mes<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 151
<strong>de</strong>spués, más <strong>de</strong> un tercio <strong>de</strong> ellas han corregido sus <strong>de</strong>ficiencias, quedando sólo 16páginas “<strong>de</strong>ficientes”. El dato es significativo teniendo en cuenta el corto espacio <strong>de</strong>tiempo transcurrido, lo que muestra la importancia e impacto que tuvo el estudio._ Después <strong>de</strong> semanas <strong>de</strong> críticas y una sonada campaña publicitaria, Lycos Europa<strong>de</strong>ci<strong>de</strong> suspen<strong>de</strong>r el polémico programa antispam titulado “Make love not Spam”.El programa consiste en la <strong>de</strong>scarga gratuita <strong>de</strong> un s<strong>al</strong>vapant<strong>al</strong>las para usuarios<strong>de</strong> Windows o Mac que cuando es activado envia peticiones inocuas a un servidorconocido <strong>de</strong> distribución <strong>de</strong> correo basura. Se busca que el efecto combinado <strong>de</strong> todos los s<strong>al</strong>vapant<strong>al</strong>las<strong>de</strong>scargados provoque una saturación <strong>de</strong> la máquina por congestión <strong>de</strong> tráfico. La polémica i<strong>de</strong>a, tancriticada como <strong>al</strong>abada, pretendía <strong>al</strong>imentarse <strong>de</strong> bases <strong>de</strong> listas negras reputadas como Spamcop. Esrechazada por suponer una verda<strong>de</strong>ra guerra “sucia” contra la basura. Pero se pone en marcha y <strong>al</strong> poco,Lycos sufre su propia medicina cuando un avispado spammer redirecciona los ataques hacia la propiapágina <strong>de</strong> la campaña makelovenotspam.com que cae durante horas. Lycos promete la vuelta <strong>de</strong>l proyectopero nunca se haría re<strong>al</strong>idad.__El 15 <strong>de</strong> diciembre una-<strong>al</strong>-día comienza a estar también disponible a través <strong>de</strong> RSS.<strong>Una</strong> <strong>al</strong> día08/02/2004 Un 90% <strong>de</strong> las aplicaciones web son insegurasSegún un estudio re<strong>al</strong>izado durante los últimos cuatro años por WebCohort, tan solo un 10 por ciento <strong>de</strong>las aplicaciones web pue<strong>de</strong>n consi<strong>de</strong>rarse seguras ante cu<strong>al</strong>quier tipo <strong>de</strong> ataque. En estos datos se incluyensitios <strong>de</strong> comercio electrónico, banca online, B2B, sitios <strong>de</strong> administración, etc.Los estudios re<strong>al</strong>izados han concluido que <strong>al</strong> menos un 92% <strong>de</strong> las aplicaciones web eran vulnerables a<strong>al</strong>gún tipo <strong>de</strong> ataque. Los problemas más comunes son las vulnerabilida<strong>de</strong>s <strong>de</strong> cross-site scripting (80%),inyección SQL (62%) y f<strong>al</strong>sificación <strong>de</strong> parámetros (60%). En las auditorías re<strong>al</strong>izadas por <strong>Hispasec</strong>Sistemas también hemos podido comprobar como este tipo <strong>de</strong> problemas son más habitu<strong>al</strong>es <strong>de</strong> lo quecabría <strong>de</strong>sear, lo que evi<strong>de</strong>ncia que la mayoría <strong>de</strong> las empresas no aseguran a<strong>de</strong>cuadamente sus sitios web,aplicaciones y servidores contra cu<strong>al</strong>quier tipo <strong>de</strong> intrusión.La gravedad <strong>de</strong> estos problemas resi<strong>de</strong> en como los ataques se re<strong>al</strong>izan contra la propia aplicación web,el uso <strong>de</strong> las <strong>de</strong>fensas habitu<strong>al</strong>es como firew<strong>al</strong>ls, <strong>de</strong>tectores <strong>de</strong> intrusos, etc. en la mayoría <strong>de</strong> los casos semuestran ineficientes. Los atacantes podrán acce<strong>de</strong>r a datos <strong>de</strong> usuarios, <strong>de</strong> la empresa, <strong>de</strong>tener sitiosweb, modificar la información <strong>de</strong>l sitio web, e incluso llegar a ejecutar comandos en el servidor sin ser<strong>de</strong>tectado en ningún momento.Ya en el 2001, Gartner Group anunció que el 75% <strong>de</strong> los ataques informáticos a través <strong>de</strong> Internet eranre<strong>al</strong>izados a través <strong>de</strong> las aplicaciones web. En la actu<strong>al</strong>idad es fácil comprobar como persiste el mismoproblema.Antonio Ropero152<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
15/02/2004 ¿Cuánto se tarda en resolver una vulnerabilidad?En el momento en que se anunció la disponibilidad <strong>de</strong>l parche para la vulnerabilidad en la bibliotecaASN.1 <strong>de</strong> Windows, los <strong>de</strong>scubridores <strong>de</strong>l problema mostraron públicamente su queja por el prolongadoperiodo <strong>de</strong> tiempo que transcurrió entre el <strong>de</strong>scubrimiento y la disponibilidad <strong>de</strong>l parche, especi<strong>al</strong>menteteniendo en cuenta la criticidad <strong>de</strong>l problema.Cuando se publicó el reciente parche MS04-007, eEye (la empresa que había <strong>de</strong>scubierto el problema)publicó un boletín con la <strong>de</strong>scripción técnica el problema, como suele hacer.Pero en esta ocasión, el boletín era ligeramente diferente. Para ilustrar el prolongado lapso <strong>de</strong> tiempo quetranscurrió entre el <strong>de</strong>scubrimiento y notificación <strong>de</strong>l problema (fin<strong>al</strong>es <strong>de</strong> julio <strong>de</strong> 2003) y la disponibilidad<strong>de</strong>l parche (febrero <strong>de</strong> 2004), eEye añadió un preámbulo <strong>al</strong> boletín con el texto <strong>de</strong> una canción.Por si no fuera poco, eEye explicaba: “Nos hubiera gustado escribir un poema <strong>de</strong>l tipo “<strong>Una</strong> noche antes<strong>de</strong> Navidad”, pero el fabricante ha <strong>de</strong>jado pasar <strong>al</strong>gunas fechas, por lo que <strong>de</strong>bemos <strong>de</strong> acudir a MC(SE)Hammer”. A continuación, publicaban la letra <strong>de</strong> la canción “U Can’t Trust This” (“No pue<strong>de</strong>s confiar enesto”). Esta canción, por <strong>de</strong>scontado, incluye un buen número <strong>de</strong> referencias a los diversos problemas <strong>de</strong><strong>seguridad</strong> que ha sufrido recientemente Windows.En varias ocasiones, <strong>de</strong>s<strong>de</strong> <strong>Hispasec</strong>, hemos comentado el método tradicion<strong>al</strong> (y no escrito) utilizado por lacomunidad especi<strong>al</strong>izada en <strong>seguridad</strong> informática en lo referente <strong>al</strong> <strong>de</strong>scubrimiento <strong>de</strong> vulnerabilida<strong>de</strong>s.Así, tradicion<strong>al</strong>mente, se suele poner en preaviso a la empresa afectada, facilitando toda la informacióntécnica y todos los <strong>de</strong>t<strong>al</strong>les conocidos en primer lugar a la empresa y, en la medida que sea posible, colaboraren la resolución <strong>de</strong>l problema.Por su parte, el <strong>de</strong>scubridor <strong>de</strong> la vulnerabilidad asume el compromiso mor<strong>al</strong> <strong>de</strong> no <strong>de</strong>svelar la existencia<strong>de</strong> la misma hasta que el fabricante no distribuya públicamente la actu<strong>al</strong>ización necesaria para eliminarel problema.¿Es norm<strong>al</strong> tardar más <strong>de</strong> 28 semanas en publicar un parche para una vulnerabilidad tan importantecomo esta?Se pue<strong>de</strong> aducir, por parte <strong>de</strong>l fabricante, que el <strong>de</strong>sarrollo <strong>de</strong> una actu<strong>al</strong>ización no es una tarea trivi<strong>al</strong>, yaque se hace necesario investigar y verificar que las modificaciones efectuadas no afectan negativamente<strong>al</strong> funcionamiento norm<strong>al</strong> y esperado <strong>de</strong>l producto. Igu<strong>al</strong>mente, <strong>de</strong>ben utilizarse unos mecanismos muyprecisos para garantizar que las modificaciones efectuadas pasan a formar parte <strong>de</strong>l repositorio ofici<strong>al</strong> <strong>de</strong>lproducto (evitando, <strong>de</strong> esta forma, los problemas <strong>de</strong> regresiones).Pero incluso asumiendo estos condicionantes que acabamos <strong>de</strong> citar, un periodo <strong>de</strong> 28 semanas (200días) es muy difícil <strong>de</strong> justificar. Durante todo este tiempo Microsoft ha conocido la existencia <strong>de</strong> unaimportante vulnerabilidad <strong>de</strong> <strong>seguridad</strong>, que afectaba a un gran número <strong>de</strong> sus productos (incluyendo susbuques insignias) y que podía ser utilizada por atacantes remotos para ejecutar código <strong>de</strong> forma impunee incontrolable.Otras vulnerabilida<strong>de</strong>seEye parece que se ha cansado <strong>de</strong> esperar in<strong>de</strong>finidamente la respuesta <strong>de</strong> Microsoft a los problemas<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 153
que van <strong>de</strong>scubriendo. Así, acaba <strong>de</strong> publicar una página <strong>de</strong> “próximos avisos”, indicando la fecha <strong>de</strong> lanotificación y el número <strong>de</strong> días que han transcurrido sin que Microsoft aporte una solución.En esa relación <strong>de</strong> vulnerabilida<strong>de</strong>s existentes y no solucionadas, por lo que cu<strong>al</strong>quier intruso que conozcasu existencia pue<strong>de</strong> sacar provecho <strong>de</strong> las mismas, eEye avisa <strong>de</strong> la existencia <strong>de</strong> cinco vulnerabilida<strong>de</strong>scríticas (aquellas que permiten la ejecución <strong>de</strong> código por un atacante remoto) que afectan potenci<strong>al</strong>mentea varios centenares millones <strong>de</strong> usuarios. También se citan tres vulnerabilida<strong>de</strong>s <strong>de</strong> severidad media y unavulnerabilidad <strong>de</strong> severidad baja.Todas estas vulnerabilida<strong>de</strong>s han sido convenientemente notificadas a Microsoft y el lapso <strong>de</strong> tiempo queha transcurrido es, en el momento <strong>de</strong> redactar este boletín, entre 0 y 98 días. Sin llegar, <strong>de</strong> momento, <strong>al</strong>extremo recientemente vivido con la vulnerabilidad en la biblioteca ASN.1, a mi enten<strong>de</strong>r 98 días ya es unperiodo <strong>de</strong> tiempo <strong>de</strong>masiado prolongado para una vulnerabilidad crítica.Xavier Cab<strong>al</strong>lé28/02/2004 Cambios en la arquitectura <strong>de</strong> los PCEn los últimos meses, han aparecido diversos anuncios sobre los cambios previstos en la arquitectura <strong>de</strong>los PC para aumentar la protección ante las inci<strong>de</strong>ncias <strong>de</strong> <strong>seguridad</strong>.Hace ya más <strong>de</strong> veinte años, IBM presentó su primer or<strong>de</strong>nador PC con un procesador Intel 8088 a 4,77MHz. Los or<strong>de</strong>nadores que hoy po<strong>de</strong>mos encontrar en cu<strong>al</strong>quier tienda <strong>de</strong> informática son una evolución<strong>de</strong> aquél diseño origin<strong>al</strong>, aunque básicamente los fundamentos continúan siendo los mismos.En la actu<strong>al</strong>idad existe un consorcio <strong>de</strong> empresas, la Trusted Computing Platform Alliance formado porMicrosoft, IBM, HP, Intel, AMD y otros. Su objetivo es cambiar la filosofía básica <strong>de</strong> los or<strong>de</strong>nadoresPC. Así, el PC <strong>de</strong>jaría <strong>de</strong> ser un equipo <strong>de</strong> propósito gener<strong>al</strong> don<strong>de</strong> es el usuario quien <strong>de</strong>ci<strong>de</strong> el softwarea ejecutar (o dispone como mínimo <strong>de</strong> la posibilidad teórica <strong>de</strong> <strong>de</strong>cidirlo) para convertirse en una cajacerrada don<strong>de</strong> sólo pue<strong>de</strong> ejecutarse aquél software que el fabricante ha autorizado expresamente.Es <strong>de</strong>cir, a gran<strong>de</strong>s rasgos lo que preten<strong>de</strong>n estos fabricantes es convertir un PC en el equiv<strong>al</strong>ente a unavi<strong>de</strong>oconsola <strong>de</strong> juegos como las Playstation, Gameboy, Xbox y similares.No obstante, en este boletín nos centraremos en dos cambios más próximos y que seguramente veremosen los próximos meses: la <strong>de</strong>saparición <strong>de</strong>l BIOS y la incorporación <strong>de</strong> medidas <strong>de</strong> protección en losprocesadores.Desaparición <strong>de</strong>l BIOSEl BIOS (Basic Input/Output System, sistema básico <strong>de</strong> entrada/s<strong>al</strong>ida) es el primer software que ejecutael procesador en el momento <strong>de</strong> arrancar (o reiniciar) el or<strong>de</strong>nador, antes <strong>de</strong> la carga <strong>de</strong>l sistema operativo.Su función básica es re<strong>al</strong>izar un chequeo <strong>de</strong>l or<strong>de</strong>nador y ofrecer acceso a los periféricos conectados <strong>al</strong>sistema. El BIOS es uno <strong>de</strong> los pocos componentes <strong>de</strong> la arquitectura <strong>de</strong> los PC que prácticamente no havariado <strong>de</strong>s<strong>de</strong> el primer PC.Como sustituto <strong>de</strong>l BIOS, Intel y Microsoft proponen una especificación <strong>de</strong>nominada EFI (Extensible154<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
Firmware Interface). El objetivo es permitir un arranque más rápido <strong>de</strong>l or<strong>de</strong>nador. Adicion<strong>al</strong>mentepermite re<strong>al</strong>izar activida<strong>de</strong>s como la i<strong>de</strong>ntificación <strong>de</strong> la presencia <strong>de</strong> virus informáticos, especi<strong>al</strong>menteaquellos que se inst<strong>al</strong>an en el sector <strong>de</strong> arranque o modifican los archivos <strong>de</strong> inici<strong>al</strong>ización <strong>de</strong>l sistemaoperativo.Mecanismos <strong>de</strong> protección en los procesadoresEl siguiente cambio anunciado recientemente es la inclusión <strong>de</strong> mecanismos en los procesadores paraevitar que los <strong>de</strong>sbordamientos <strong>de</strong> buffer puedan ser utilizados para la ejecución <strong>de</strong> código. Básicamenteconsiste en que los datos que se encuentran en el buffer son consi<strong>de</strong>rados como <strong>de</strong> solo lectura y no pue<strong>de</strong>ser ejecutado.Los dos princip<strong>al</strong>es fabricantes <strong>de</strong> procesadores, Intel y AMD han anunciado <strong>de</strong> forma in<strong>de</strong>pendiente lainclusión <strong>de</strong> estos mecanismos. No se trata, por <strong>de</strong>scontado, <strong>de</strong> ninguna novedad. Ya hace años que losprocesadores SPARC <strong>de</strong> Sun disponen <strong>de</strong> mecanismos similares.Esta protección ya forma parte <strong>de</strong> los procesadores Athlon 64 <strong>de</strong> AMD actu<strong>al</strong>mente disponibles. Por suparte, los futuros procesadores Prescott <strong>de</strong> Intel (nombre en clave <strong>de</strong> la versión mejorada <strong>de</strong>l Pentium 4con extensiones <strong>de</strong> 64-bit) incluirán <strong>al</strong>gunas prestaciones similares.Sin una protección <strong>de</strong> este tipo, un programa que no re<strong>al</strong>ice una comprobación a<strong>de</strong>cuada <strong>de</strong> los datosintroducidos por el usuario es susceptible <strong>de</strong> sufrir un ataque <strong>de</strong> <strong>de</strong>sbordamiento <strong>de</strong> buffer. En este tipo<strong>de</strong> ataques, se envía una gran cantidad <strong>de</strong> datos, mayor <strong>de</strong> lo que inici<strong>al</strong>mente está previsto.Como el área <strong>de</strong> memoria inici<strong>al</strong>mente reservada no pue<strong>de</strong> <strong>al</strong>macenar esta gran cantidad <strong>de</strong> datos, éstossobreescriben otras áreas <strong>de</strong> memoria. En <strong>de</strong>terminadas circunstancias, este código pue<strong>de</strong> ser controladopor el atacante para enviar código ejecutable que podrá ser utilizado <strong>de</strong> forma remota.Es importante indicar, no obstante, que para sacar provecho <strong>de</strong> esta capacidad, el sistema operativo ha <strong>de</strong>incluir código para utilizar estas nuevas funcion<strong>al</strong>ida<strong>de</strong>s. No es <strong>al</strong>go que automáticamente pueda serutilizado, sino que el sistema operativo que se ejecute <strong>de</strong>be activarlas.Xavier Cab<strong>al</strong>lé26/03/2004 Flecos <strong>de</strong> las soluciones antivirusEn plena oleada <strong>de</strong> gusanos informáticos son más evi<strong>de</strong>ntes los problemas que originan, como efectocolater<strong>al</strong>, <strong>al</strong>gunas características <strong>de</strong> las soluciones antivirus. Aunque no <strong>de</strong>jan <strong>de</strong> ser inci<strong>de</strong>ntes que enteoría no afectan <strong>de</strong> forma directa a la <strong>seguridad</strong> <strong>de</strong>l sistema, la re<strong>al</strong>idad es que pue<strong>de</strong>n <strong>de</strong>sembocar entodo tipo <strong>de</strong> situaciones.Uno <strong>de</strong> los problemas más comunes son los avisos que originan <strong>al</strong>gunas soluciones antivirus para <strong>al</strong>ertary avisar a los remitentes <strong>de</strong> los mensajes infectados. En un principio podía consi<strong>de</strong>rarse una función útil,pero hace ya tiempo que la mayoría <strong>de</strong> los gusanos f<strong>al</strong>sean la dirección <strong>de</strong> remite cuando se propagan. Elresultado es que estas soluciones antivirus envían un mensaje <strong>al</strong>ertando a una dirección <strong>de</strong> correo que enre<strong>al</strong>idad no ha enviado el virus.Muchos <strong>de</strong> nosotros habremos recibido <strong>al</strong>gún que otro mensaje avisándonos <strong>de</strong> que hemos enviado un<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 155
virus y estamos infectados, cuando en re<strong>al</strong>idad lo único que ha sucedido es que el gusano ha enviado<strong>de</strong>s<strong>de</strong> otro or<strong>de</strong>nador infectado, que nada tiene que ver con nosotros, un mensaje con nuestro e-mail comoremite f<strong>al</strong>seado.A partir <strong>de</strong> aquí se originan situaciones para todos los gustos. Des<strong>de</strong> aquellos usuarios que se creen elaviso y optan por apagar el sistema y buscar ayuda, hasta aquellos que escriben <strong>al</strong> <strong>de</strong>stinatario pararecomendarle que cambie <strong>de</strong> solución antivirus y que <strong>de</strong>je <strong>de</strong> <strong>al</strong>ertar a los usuarios.A<strong>de</strong>más, por si no fuera poco con el spam y los propios gusanos, hemos <strong>de</strong> soportar el tráfico <strong>de</strong> esta nuevaplaga <strong>de</strong> mensajes no <strong>de</strong>seados, que bien podríamos consi<strong>de</strong>rar también spam, no en vano los avisossuelen incluir el nombre <strong>de</strong>l antivirus y un enlace. Primero te dicen que estás infectado, y luego te envíana la herramienta que lo <strong>de</strong>tecta y <strong>de</strong>sinfecta, no hay publicidad más directa.La solución más simple pasa por que las soluciones antivirus no contemplen la funcion<strong>al</strong>idad <strong>de</strong> aviso a losremitentes <strong>de</strong> mensajes infectados. Otra opción, más elegante, y que permite mantener la utilidad <strong>de</strong> lasnotificaciones, es que los antivirus no re<strong>al</strong>icen el aviso <strong>de</strong> forma indiscriminada, como hasta ahora, sinoque sólo lo hagan en el caso <strong>de</strong> virus, troyanos, o gusanos que no re<strong>al</strong>izan la f<strong>al</strong>sificación <strong>de</strong>l remitente,<strong>al</strong>go muy fácil para ellos, ya que les basta con incluir una simple marca en las firmas <strong>de</strong> <strong>de</strong>tección parareconocer en que casos no <strong>de</strong>ben avisar.Otro <strong>de</strong> los efectos colater<strong>al</strong>es más comunes se <strong>de</strong>tecta en aquellas soluciones antivirus <strong>de</strong> servidor <strong>de</strong>correo que <strong>de</strong>sinfectan el archivo adjunto infectado pero que <strong>de</strong>jan pasar el mensaje <strong>de</strong>l gusano, a vecescon parte <strong>de</strong> los archivos adjuntos incluido. Son muchos los usuarios que se <strong>al</strong>ertan <strong>al</strong> recibir este tipo <strong>de</strong>mensaje, ya que creen que se trata <strong>de</strong> mensajes infectados, y reclaman a los administradores <strong>de</strong> sistemas.Como anécdota, una importante organización ha enviado recientemente un comunicado a todos sususuarios avisándoles que los mensajes en inglés que reciben ya han sido <strong>de</strong>sinfectados, en un intento<strong>de</strong> tranquilizarlos y evitar las continuas <strong>al</strong>armas. La re<strong>al</strong>idad es que la solución pue<strong>de</strong> ser peor que elproblema, ¿qué ocurrirá cuando <strong>de</strong> verdad se les cuele un gusano por el antivirus perimetr<strong>al</strong>? ¿los usuarioscreerán que es inofensivo porque ya ha sido <strong>de</strong>sinfectado?De nuevo la solución está en manos <strong>de</strong> las casas antivirus, ya que es muy fácil mantener una lista o unamarca en las firmas <strong>de</strong> virus para reconocer los gusanos “puros”, especímenes que crean todo el mensajey se autoenvían. En estos casos <strong>de</strong> gusanos “puros” la solución antivirus <strong>de</strong>bería eliminar por completo,tanto el archivo adjunto como el mensaje, y que el usuario (<strong>de</strong>stinatario) no reciba absolutamente nada,evitando cu<strong>al</strong>quier tipo <strong>de</strong> confusión y un tráfico tot<strong>al</strong>mente innecesario.Bernardo Quintero03/05/2004 Gusano Sasser: un m<strong>al</strong> menor que evi<strong>de</strong>ncia la f<strong>al</strong>ta <strong>de</strong> <strong>seguridad</strong>Cuando aun nos encontramos en plena epi<strong>de</strong>mia, con la aparición en las últimas horas <strong>de</strong> una cuartavariante, po<strong>de</strong>mos afirmar que el gusano Sasser ha sido un m<strong>al</strong> menor. Todas las máquinas infectadaspermitían a un intruso obtener el control tot<strong>al</strong> sobre ellas, <strong>de</strong>s<strong>de</strong> la posibilidad <strong>de</strong> sustraer datos sensiblescomo documentos privados o las claves <strong>de</strong> la banca electrónica <strong>de</strong>l usuario, hasta borrar todo el sistem<strong>al</strong>oc<strong>al</strong> y unida<strong>de</strong>s <strong>de</strong> red.156<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
A nadie escapa los quebra<strong>de</strong>ros <strong>de</strong> cabeza que Sasser está ocasionando tanto en sistemas domésticos como,especi<strong>al</strong>mente, en re<strong>de</strong>s corporativas. Si bien, afortunadamente, el gusano sólo estaba programado parareproducirse, sin llevar a cabo ninguna acción adicion<strong>al</strong>.Si el creador <strong>de</strong>l gusano hubiera introducido una simple línea más <strong>de</strong> código con <strong>al</strong>gunas instruccionesdañinas, <strong>al</strong>go que no requiere ningún esfuerzo técnico especi<strong>al</strong>, podríamos estar en estos momentos enuna catástrofe sin prece<strong>de</strong>ntes que probablemente traspasaría la barrera <strong>de</strong> lo estrictamente informático,por la cantidad y sensibilidad <strong>de</strong> los procesos y datos a los que habría podido afectar. Pensemos por unmomento que simplemente hubiera borrado todas las unida<strong>de</strong>s a las que tenía acceso en cada uno <strong>de</strong> losor<strong>de</strong>nadores infectados.En ningún caso pretendo minimizar el daño causado por el autor <strong>de</strong>l gusano, <strong>de</strong> proporciones inc<strong>al</strong>culablesy que no tiene justificación <strong>al</strong>guna. En estos momentos ya hay varias investigaciones en par<strong>al</strong>elo par<strong>al</strong>oc<strong>al</strong>izar el origen y llevar <strong>al</strong> autor ante la justicia. Si bien, es necesario llevar a cabo un ejercicio <strong>de</strong>autocrítica más <strong>al</strong>lá <strong>de</strong> culpar exclusivamente <strong>al</strong> creador <strong>de</strong>l mismo y ser conscientes <strong>de</strong>l riesgo re<strong>al</strong> queentraña no inst<strong>al</strong>ar puntu<strong>al</strong>mente los parches, no en vano está en juego la <strong>seguridad</strong> <strong>de</strong> todos los datos yprocesos <strong>de</strong>pendientes <strong>de</strong> nuestros sistemas. ¿Po<strong>de</strong>mos permitirnos arriesgarlos <strong>de</strong> nuevo?La historia se vuelve a repetir, una y otra vez.Co<strong>de</strong> Red y Nimda en el 2001, o SQL/Slammer en el 2003, han sido claros exponentes <strong>de</strong> gusanos <strong>de</strong>propagación masiva que aprovechaban vulnerabilida<strong>de</strong>s en los productos <strong>de</strong> Microsoft para propagarse <strong>de</strong>forma automática. Mucho más peligrosos que los típicos gusanos que se propagan por el correo electrónico,que requieren que el usuario los abra y ejecute para po<strong>de</strong>r activarse.Sin ir más lejos, en agosto <strong>de</strong> 2003 asistimos a la epi<strong>de</strong>mia glob<strong>al</strong> causada por el gusano Blaster, queaprovechaba una vulnerabilidad en un servicio estándar <strong>de</strong> Windows, prácticamente un c<strong>al</strong>co a lo que estáocurriendo con Sasser.El patrón se repite. Gusanos <strong>de</strong> red que aprovechan vulnerabilida<strong>de</strong>s, cuyos parches para corregirlas yprevenir la infección estaban disponibles con antelación. En todos los casos, <strong>de</strong>s<strong>de</strong> <strong>Hispasec</strong> advertimospor este mismo medio <strong>de</strong>l riesgo potenci<strong>al</strong> que entrañaba no inst<strong>al</strong>ar dichos partes, incluso pronosticandola aparición <strong>de</strong> gusanos.Llegados a este se pue<strong>de</strong> discutir el grado <strong>de</strong> responsabilidad <strong>de</strong> Microsoft en el origen <strong>de</strong> las vulnerabilida<strong>de</strong>s,su política <strong>de</strong> distribución <strong>de</strong> parches, esperar a que incorpore y active por <strong>de</strong>fecto un firew<strong>al</strong>l person<strong>al</strong>,barajar la posibilidad <strong>de</strong> migrar a otro sistema operativo con menos índices <strong>de</strong> virus y gusanos, o lanecesidad <strong>de</strong> que los antivirus cambien su mo<strong>de</strong>lo reactivo que a todas luces es más que insuficientecontra este tipo <strong>de</strong> gusanos, capaces <strong>de</strong> infectar miles <strong>de</strong> sistemas en cuestión <strong>de</strong> minutos.Otra opción, que no excluye todo lo anterior y a muchos más factores, es empezar por hacer autocríticaconstructiva, y que los afectados asuman su buena parte <strong>de</strong> responsabilidad <strong>de</strong> cara a prevenir futurosinci<strong>de</strong>ntes.Actu<strong>al</strong>izar los sistemas, tan simple como efectivoDejando <strong>al</strong> margen comparaciones sobre el número <strong>de</strong> vulnerabilida<strong>de</strong>s críticas que periódicamenteafectan a Microsoft, los usuarios <strong>de</strong> Windows <strong>de</strong>ben ser conscientes <strong>de</strong> que se trata <strong>de</strong> un producto que<strong>de</strong>be ser actu<strong>al</strong>izado regular y puntu<strong>al</strong>mente, como todos los sistemas operativos, en mayor o menor<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 157
medida. Es necesario re<strong>al</strong>izar una campaña <strong>de</strong> concienciación/educación sobre la necesidad <strong>de</strong> manteneractu<strong>al</strong>izados los sistemas, <strong>de</strong> las herramientas y servicios automáticos que existen para facilitar esta tarea,y <strong>de</strong> los riesgos que entraña no seguir esta práctica.Ya no sólo para evitar infecciones <strong>de</strong> gusanos como Sasser, o <strong>de</strong> efectos peores. Sino que los usuarios<strong>de</strong>ben ser conscientes <strong>de</strong> que, cada vez que no inst<strong>al</strong>an un parche crítico, están <strong>de</strong>jando una puerta abiertapara que un intruso pueda controlar tot<strong>al</strong>mente su sistema, sustraer su información más sensible, borrarsus discos duros, o espiar todo lo que hacen con su or<strong>de</strong>nador. Y esto ocurre con mucha más frecuencia<strong>de</strong> la que se cree, con el agravante <strong>de</strong> que suele pasar <strong>de</strong>sapercibido, <strong>al</strong> contrario <strong>de</strong> lo que ocurre con losgusanos.En el ámbito corporativo todo lo anterior es aplicable. En <strong>Hispasec</strong> observamos, durante las auditorías <strong>de</strong><strong>seguridad</strong> a sistemas corporativos, como suele existir una atención especi<strong>al</strong> en la protección perimetr<strong>al</strong>y <strong>de</strong> los servidores con servicios en Internet, <strong>de</strong>jando en un segundo plano, a veces olvidado, <strong>al</strong> resto <strong>de</strong>servidores internos, y especi<strong>al</strong>mente a los PCs que actúan como estaciones <strong>de</strong> trabajo.Es un grave error, <strong>de</strong> hecho toda la información sensible pasa por las estaciones <strong>de</strong> trabajo, que en lamayoría <strong>de</strong> las ocasiones podría estar bajo el control <strong>de</strong> un atacante gracias a las vulnerabilida<strong>de</strong>s queposeen.Otro t<strong>al</strong>ón <strong>de</strong> Aquiles típico en las políticas <strong>de</strong> <strong>seguridad</strong> son el control <strong>de</strong> los dispositivos móviles <strong>de</strong> usoperson<strong>al</strong>, como portátiles, o usuarios <strong>de</strong> acceso remoto. En la mayoría <strong>de</strong> los casos se tratan <strong>de</strong> sistemasque se encuentran más expuestos a los riesgos <strong>de</strong> <strong>seguridad</strong>, ya que no siempre están bajo el paraguas <strong>de</strong>las protecciones corporativas. Sin embargo estos sistemas pue<strong>de</strong>n llegar a tener una estrecha relación conla red interna, siendo en muchos casos el origen <strong>de</strong> las infecciones.Bernardo Quintero01/06/2004 El mayor antivirus público <strong>de</strong> InternetVirusTot<strong>al</strong> es un nuevo servicio <strong>de</strong> <strong>de</strong>tección <strong>de</strong> virus, gusanos y m<strong>al</strong>ware en gener<strong>al</strong>, que permite an<strong>al</strong>izararchivos con múltiples motores antivirus. Cu<strong>al</strong>quier usuario <strong>de</strong> Internet pue<strong>de</strong> enviar archivos o mensajessospechosos y obtendrá <strong>de</strong> forma gratuita un informe con el resultado <strong>de</strong>l análisis.Desarrollado por <strong>Hispasec</strong> Sistemas, con la colaboración <strong>de</strong> Red.es y Jazztel en el soporte <strong>de</strong>l ancho <strong>de</strong>banda <strong>de</strong>l servicio, VirusTot<strong>al</strong> fue presentado ayer durante la Semana Internacion<strong>al</strong> <strong>de</strong> las TIC, que secelebra en Santiago.VirusTot<strong>al</strong> integra los motores antivirus <strong>de</strong> Computer Associates (etrustAV), Eset Software (NOD32),FRISK Software (F-Prot), Kaspersky Lab (Kaspersky), Network Associates (McAfee), Norman (Norman),Panda Software (Panda Platinum), Softwin (Bit<strong>de</strong>fen<strong>de</strong>r), Sybari (Antigen), Symantec (Norton Antivirus)y TrendMicro (PC-Cillin). Adicion<strong>al</strong>mente a estos antivirus, <strong>Hispasec</strong> está trabajando en la incorporación<strong>de</strong> nuevos motores que aumentarán, más si cabe, la capacidad <strong>de</strong> <strong>de</strong>tección <strong>de</strong>l servicio.En la dirección http://www.virustot<strong>al</strong>.com los usuarios podrán acce<strong>de</strong>r <strong>al</strong> formulario <strong>de</strong> análisis, aestadísticas glob<strong>al</strong>es en tiempo re<strong>al</strong> sobre inci<strong>de</strong>ncias, así como a <strong>de</strong>scripciones e información sobre virusy m<strong>al</strong>ware en gener<strong>al</strong>.158<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
A<strong>de</strong>más, los usuarios pue<strong>de</strong>n reenviar directamente los mensajes o adjuntar los archivos sospechososmediante correo electrónico a la dirección an<strong>al</strong>iza@virustot<strong>al</strong>.com con el asunto ANALIZA. En brevesinstantes, <strong>de</strong>pendiendo <strong>de</strong> la carga puntu<strong>al</strong> <strong>de</strong>l servicio, recibirán en su buzón el informe <strong>de</strong>t<strong>al</strong>lado <strong>de</strong>lanálisis.El tiempo <strong>de</strong> respuesta <strong>de</strong>pen<strong>de</strong>rá <strong>de</strong>l número simultáneo <strong>de</strong> usuarios que utilicen el servicio, que podríaser notablemente superior durante los primeros días <strong>de</strong> la publicación <strong>de</strong> VirusTot<strong>al</strong>, si bien se espera seestabilice a fin<strong>al</strong>es <strong>de</strong> esta semana.<strong>Hispasec</strong> quiere hacer hincapié en que VirusTot<strong>al</strong> no sustituye <strong>de</strong> forma <strong>al</strong>guna a los antivirus inst<strong>al</strong>adosen los PCs, ya que sólo permite el análisis a <strong>de</strong>manda <strong>de</strong> archivos individu<strong>al</strong>es, y no ofrece protecciónpermanente <strong>al</strong> sistema <strong>de</strong>l usuario. Este servicio está <strong>de</strong>stinado princip<strong>al</strong>mente a facilitar el análisis <strong>de</strong>archivos o mensajes sospechosos que, aun siendo dañinos, no sean <strong>de</strong>tectados por el antivirus utilizado porel usuario, bien porque se trata <strong>de</strong> un espécimen muy reciente aun no incorporado a sus actu<strong>al</strong>izaciones,bien por cu<strong>al</strong>quier otra circunstancia.También es importante señ<strong>al</strong>ar que, pese a que el índice <strong>de</strong> <strong>de</strong>tección ofrecido por el análisis simultáneo <strong>de</strong>múltiples motores antivirus es muy superior <strong>al</strong> <strong>de</strong> un sólo producto, los resultados no pue<strong>de</strong>n garantizarla inocuidad <strong>de</strong> un archivo. No existe solución en el mundo que pueda ofrecer un 100% <strong>de</strong> efectividad enel reconocimiento <strong>de</strong> virus y m<strong>al</strong>ware en gener<strong>al</strong>.Por último, <strong>Hispasec</strong> quiere agra<strong>de</strong>cer la colaboración y el apoyo mostrado por las casas antivirusparticipantes en VirusTot<strong>al</strong>, así como animar a los usuarios a que prueben el servicio.<strong>Hispasec</strong> Sistemas24/10/2004 Informe: comparando la <strong>seguridad</strong> <strong>de</strong> Windows y LinuxLa publicación inglesa “The Register” publica un informe don<strong>de</strong> se an<strong>al</strong>iza el mo<strong>de</strong>lo <strong>de</strong> <strong>seguridad</strong>utilizado por Windows y Linux, intentando <strong>de</strong>terminar las diferencias entre ambos. Se trata <strong>de</strong> un intento<strong>de</strong> sistematizar los puntos fuertes y débiles <strong>de</strong> cada entorno y, con esta información, intentar extraer unasconclusiones.<strong>Una</strong> discusión recurrente en los últimos meses trata sobre que es más seguro, si el software propietario oel software <strong>de</strong> código abierto. Los <strong>de</strong>fensores <strong>de</strong>l primero <strong>de</strong>fien<strong>de</strong>n que la disponibilidad <strong>de</strong>l código fuenteabre la posibilidad que los atacantes <strong>de</strong>scubran nuevas vulnerabilida<strong>de</strong>s. Por su parte, los <strong>de</strong>fensores <strong>de</strong>lsoftware <strong>de</strong> código abierto afirman que justamente la disponibilidad <strong>de</strong>l código es la mejor receta paraevitar los problemas <strong>de</strong> <strong>seguridad</strong>.Se trata <strong>de</strong> una discusión en la que habitu<strong>al</strong>mente se suelen utilizar, por ambos lados, argumentos quehuyen <strong>de</strong> los datos empíricos y <strong>de</strong>mostrables. Gener<strong>al</strong>mente se utilizan argumentaciones <strong>de</strong> caráctersentiment<strong>al</strong> y apreciaciones subjetivas, que poco ayudan a mantener un <strong>de</strong>bate sosegado y que re<strong>al</strong>mentepermita extraer conclusiones.El informe, “Security Report: Windows vs Linux” empieza con el análisis <strong>de</strong> tres mitos frecuentementeutilizados en cu<strong>al</strong>quier discusión don<strong>de</strong> se compara la <strong>seguridad</strong> <strong>de</strong> Windows y Linux.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 159
El primer mito es que Windows es objeto <strong>de</strong> más ataques y es víctima <strong>de</strong> la acción <strong>de</strong> más virus y gusanos<strong>de</strong>bido a su posición dominante en el mercado. Dado que Windows es la plataforma dominante, los autores<strong>de</strong> ataques y virus tienen preferencia por esta plataforma. El informe rebate este mito a partir <strong>de</strong> dos datosempíricos: Linux es una plataforma muy popular a nivel <strong>de</strong> servidor Web y los datos recogidos por Netcraft<strong>de</strong>muestran que máquinas ejecutando software <strong>de</strong> código abierto no son reiniciadas con frecuencia.El segundo mito se refiere a que la disponibilidad <strong>de</strong>l código fuente abre la posibilidad a <strong>de</strong>scubrir másfácilmente las vulnerabilida<strong>de</strong>s. Este argumento se rebate a partir <strong>de</strong> la enorme cantidad <strong>de</strong> gusanos yvirus que sacan provecho <strong>de</strong> vulnerabilida<strong>de</strong>s <strong>de</strong> Windows, lo que viene a <strong>de</strong>mostrar que la disponibilidad<strong>de</strong>l código fuente no es un factor clave para <strong>de</strong>tectar la existencia <strong>de</strong> problemas <strong>de</strong> <strong>seguridad</strong>.El tercer mito rebatido son las estadísticas que <strong>de</strong>muestran la existencia <strong>de</strong> menos problemas <strong>de</strong> <strong>seguridad</strong>críticos en la plataforma Windows con respecto a Linux. En el informe se facilitan datos que <strong>de</strong>muestrancomo muchas <strong>de</strong> estas estadísticas son confeccionadas a medida y se basan en datos parci<strong>al</strong>es, quedifícilmente se pue<strong>de</strong>n extrapolar a las conclusiones que a veces se extraen <strong>de</strong> los mismos.La segunda parte <strong>de</strong>l estudio compara el diseño <strong>de</strong> Linux y Windows, an<strong>al</strong>izando las implicaciones quetienen las mismas en lo relativo a la <strong>seguridad</strong>. Así se compara el diseño monolítico <strong>de</strong> Windows contrael diseño modular <strong>de</strong> Linux (no se refiere <strong>al</strong> núcleo <strong>de</strong>l sistema operativo, sino <strong>al</strong> conjunto <strong>de</strong>l sistemaoperativo), el origen <strong>de</strong>l código, las limitaciones <strong>de</strong>l mo<strong>de</strong>lo <strong>de</strong> llamadas <strong>de</strong> procedimiento remoto y ladiferencia <strong>de</strong> orientación <strong>de</strong> los ambos productos.En la tercera parte se an<strong>al</strong>izan las métricas utilizadas para la medición <strong>de</strong>l nivel <strong>de</strong> <strong>seguridad</strong> y la dificultadque supone la interpretación <strong>de</strong> los datos reflejados por las mismas.Cuando se mi<strong>de</strong> el nivel <strong>de</strong> <strong>seguridad</strong> no sólo <strong>de</strong>ben consi<strong>de</strong>rarse factores puramente numéricos, comoson el número <strong>de</strong> vulnerabilida<strong>de</strong>s sino que otros elementos tienen una importancia igu<strong>al</strong> o superior: laexposición potenci<strong>al</strong> a la vulnerabilidad, la facilidad con la que las vulnerabilida<strong>de</strong>s pue<strong>de</strong>n ser utilizadasen ataques, el daño provocado como consecuencia <strong>de</strong> un ataque. La unión <strong>de</strong> estos factores permitei<strong>de</strong>ntificar un nivel <strong>de</strong> riesgo.Con todas estas consi<strong>de</strong>raciones, el informe re<strong>al</strong>iza una comparativa <strong>de</strong> los últimos cuarenta parches yactu<strong>al</strong>izaciones <strong>de</strong> Windows Server 2003 y Red Hat Enterprirse Linux AS v3.0. Se re<strong>al</strong>iza una tabulaciónen la que se aplican las métricas <strong>de</strong>finidas, <strong>de</strong> forma que para cada vulnerabilidad se pue<strong>de</strong> i<strong>de</strong>ntificar elnivel <strong>de</strong> riesgo glob<strong>al</strong>.También se facilitan datos obtenidos a partir <strong>de</strong> la v<strong>al</strong>oración glob<strong>al</strong> <strong>de</strong> impacto que aplica el CERT a cadauna <strong>de</strong> las vulnerabilida<strong>de</strong>s que se publican.ConclusionesAplican las métricas <strong>de</strong>finidas por “The Register”, el impacto <strong>de</strong> las vulnerabilida<strong>de</strong>s y actu<strong>al</strong>izaciones esmucho más importante en Windows Server 2003. Aproximadamente la mitad <strong>de</strong> las actu<strong>al</strong>izaciones <strong>de</strong>Microsoft son consi<strong>de</strong>radas como críticas (y muchas <strong>de</strong> las que no tienen esta consi<strong>de</strong>ración es <strong>de</strong>bido <strong>al</strong>a configuración particular <strong>de</strong> Internet Explorer y Outlook Express, que son difícilmente utilizables en suconfiguración por <strong>de</strong>fecto).En cambio, aplicando la v<strong>al</strong>oración que aña<strong>de</strong> el CERT en sus estadísticas se pue<strong>de</strong> consi<strong>de</strong>rar la existencia<strong>de</strong> un “empate tácito” en el nivel <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Windows Server 2003 y Red Hat Linux Enterprise LinuxAS v3.0, con una v<strong>al</strong>oración ligeramente favorable a Windows.Xavier Cab<strong>al</strong>lé160<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
EntrevistaBruce Schneier es el criptógrafo y gurú <strong>de</strong> la <strong>seguridad</strong> por excelencia. Des<strong>de</strong>la publicación <strong>de</strong> su libro “Applied Cryptography”, un referente en cuestión <strong>de</strong><strong>seguridad</strong> <strong>de</strong> todos los tiempos, ha ganado una merecida reputación que le <strong>de</strong>finecomo una <strong>de</strong> las personas más lúcidas en el campo <strong>de</strong> la criptografía y <strong>de</strong> la <strong>seguridad</strong>.Especi<strong>al</strong>mente en el impacto que estas disciplinas ejercen sobre la sociedad re<strong>al</strong>. Ungran comunicador que ha accedido a respon<strong>de</strong>r a <strong>al</strong>gunas <strong>de</strong> nuestras preguntas.Bruce Schneier<strong>Hispasec</strong>: ¿Con qué edad empezaste a tener contacto con la informática? ¿Recuerdas losprimeros equipos informáticos que pudiste trastear?Bruce Schneier: Mi primer or<strong>de</strong>nador fue un mainframe en mi universidad. Mi instituto tenía untermin<strong>al</strong>, y los programas se guardaban en tarjetas perforadas. El primer or<strong>de</strong>nador que tuve era el primerApple <strong>de</strong> Macintosh.H: ¿Cuándo <strong>de</strong>scubres por primera vez la criptografía? ¿Por qué <strong>de</strong>ci<strong>de</strong>s <strong>de</strong>dicarte a elloprofesion<strong>al</strong>mente?BS: Siempre me ha interesado la criptografía, incluso <strong>de</strong> pequeño. Trabajé para el Departamento <strong>de</strong> Defensa<strong>de</strong> Estados Unidos cuando me gradué en la universidad, y <strong>de</strong>cidí escribir [el libro] Applied Cryptography<strong>de</strong>spués <strong>de</strong> ser <strong>de</strong>spedido <strong>de</strong> AT&T Bell Labs en 1991.H: La criptografía ha sufrido gran<strong>de</strong>s avances <strong>de</strong>s<strong>de</strong> 1998, pero también han avanzado lostipos <strong>de</strong> ataque. ¿Crees que la criptografía es ahora mejor que hace diez años?BS: Sabemos mucho más <strong>de</strong> criptografía que hace 10 años. Muchas <strong>de</strong> las mejoras están ya bor<strong>de</strong>andolos límites y podrían no ser perceptibles para <strong>al</strong>guien ajeno a este campo, más que nada porque hemostenido toda la criptografía que necesitamos y los problemas serios están en la <strong>seguridad</strong> <strong>de</strong> las re<strong>de</strong>s y losor<strong>de</strong>nadores. Pero las mejoras son re<strong>al</strong>es: el campo <strong>de</strong> la criptografía continúa avanzando.H: ¿Pue<strong>de</strong> un <strong>al</strong>goritmo criptográfico por sí sólo garantizar la <strong>seguridad</strong> <strong>de</strong> una operacióno siempre <strong>de</strong>pen<strong>de</strong>remos en última instancia <strong>de</strong> otros factores como el humano?BS: La criptografía es matemáticas, y la criptografía pue<strong>de</strong> garantizar la <strong>seguridad</strong> <strong>de</strong> las matemáticas.Por <strong>de</strong>sgracia eso no es muy interesante: la <strong>seguridad</strong> solo es importante cuando interactúa con la gente.Y una vez que la <strong>seguridad</strong> implica a las personas, las personas van a ser el mayor riesgo <strong>de</strong> <strong>seguridad</strong>. Asíque no: mientras la criptografía pueda asegurar un correo <strong>de</strong> un or<strong>de</strong>nador a otro, nunca podrá asegurarel enlace que existe entre el teclado/pant<strong>al</strong>la y la silla.H: Aunque el <strong>al</strong>goritmo MD5 se consi<strong>de</strong>ra “muerto” en términos criptográficos, vemosque aún sigue vigente en muchos sistemas y soluciones <strong>de</strong> <strong>seguridad</strong>. ¿Por qué parece quecuesta tanto migrar a <strong>al</strong>goritmos más seguros? ¿F<strong>al</strong>ta <strong>de</strong> conciencia?BS: MD5 hace tiempo que fue ofici<strong>al</strong>mente reemplazado por SHA. SHA ha sido ofici<strong>al</strong>mente reemplazadopor SHA-1. Y SHA-1 ha sido ofici<strong>al</strong>mente reemplazado por la familia <strong>de</strong> <strong>al</strong>goritmos SHA-2. Estos seránreemplazados sobre 20<strong>12</strong> por SHA-3, un <strong>al</strong>goritmo todavía por <strong>de</strong>terminar. La Nation<strong>al</strong> Institute ofStandards and Technology mantiene un concurso para elegirlo. Estoy orgulloso <strong>de</strong> mi propia propuestapara este proceso, llamada Skein (ma<strong>de</strong>ja).<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 161
Así que todo el que todavía esté usando MD5, o bien no está prestando atención o no le preocupaactu<strong>al</strong>izarse. Y ese es el problema con sistemas heredados: están estancados con <strong>seguridad</strong> que estababien cuando se crearon pero que ya no son a<strong>de</strong>cuadas.H: Ante el problema <strong>de</strong>l phishing, muchas entida<strong>de</strong>s bancarias están implantando sistemas<strong>de</strong> autenticación <strong>de</strong> doble factor, con el uso <strong>de</strong> SMS a teléfonos móviles, certificadosdigit<strong>al</strong>es, smartcards, tokens, incluso en España se está utilizando un documento <strong>de</strong>i<strong>de</strong>ntidad electrónico (e-DNI) expedido por el gobierno. Sin embargo, nosotros estamosviendo como muchos troyanos bancarios actúan modificando la cuenta <strong>de</strong> <strong>de</strong>stino y lacantidad en las transferencias <strong>de</strong> forma transparente <strong>al</strong> usuario una vez éste ya se haautenticado en el sistema, haciendo inútiles este tipo <strong>de</strong> medidas. ¿Qué <strong>de</strong>berían hacer lasentida<strong>de</strong>s bancarias para proteger a sus clientes?BS: Escribí sobre esto cuando la autenticación <strong>de</strong> dos factores comenzaba a hacerse popular... que noharía nada para <strong>de</strong>tener el frau<strong>de</strong> bancario online. El f<strong>al</strong>lo está en que la autenticación <strong>de</strong> dos factorestiene como objetivo la táctica, no el problema en sí. Así, como habéis notado, los atacantes solo han tenidoque cambiar sus tácticas. La solución es intentar <strong>de</strong>jar <strong>de</strong> autenticar a la persona y empezar a autenticarla transacción. Esa es la forma en la que las compañías <strong>de</strong> tarjetas <strong>de</strong> crédito previenen el frau<strong>de</strong>, y es loque funciona.H: En el mercado <strong>de</strong> la <strong>seguridad</strong>, ¿cuánto hay <strong>de</strong> marketing, cuanto <strong>de</strong> snake-oil y cuánto<strong>de</strong> <strong>seguridad</strong> re<strong>al</strong>? ¿Qué recomendaciones darías a los usuarios fin<strong>al</strong>es y a los responsables<strong>de</strong> <strong>seguridad</strong> corporativa para que no se <strong>de</strong>jen llevar por el marketing y elijan solucionesefectivas?BS: Es una causa perdida. La <strong>seguridad</strong> se ha vuelto tan complicada que el comprador medio ya no pue<strong>de</strong>enten<strong>de</strong>r lo que el ven<strong>de</strong>dor medio le está vendiendo. Así que los ven<strong>de</strong>dores recurren <strong>al</strong> marketing acosta <strong>de</strong> la “sustancia”. Mi consejo es hacer “ousourcing” tanto como sea posible y especificar las métricas<strong>de</strong> <strong>seguridad</strong> en el contrato. Deja que otro se preocupe por los <strong>de</strong>t<strong>al</strong>les técnicos y concéntrate en losresultados.H: Mirando hacia atrás, la historia nos dice que el criptoanálisis triunfó en muchasocasiones sobre la criptografía <strong>de</strong>l momento, que a nivel militar y gubernament<strong>al</strong> se<strong>de</strong>dicaban muchos recursos a esta tarea, y que <strong>al</strong>goritmos que por entonces se creíanrobustos en re<strong>al</strong>idad estaban siendo comprometidos. ¿Sería lógico pensar que pue<strong>de</strong> estarocurriendo lo mismo con los <strong>al</strong>goritmos actu<strong>al</strong>es?BS: Por supuesto los sistemas criptográficos están siendo comprometidos todo el tiempo, no es muycomplicado. Pero lo improbable es que la criptografía sea el punto más débil. Hay tantas partes másinseguras en un sistema criptográfico... el software, el sistema operativo, la red, la gente... Siendo tan m<strong>al</strong>acomo pue<strong>de</strong> ser la criptografía, y a menudo lo es, siempre hay <strong>al</strong>go peor.H: A nivel gubernament<strong>al</strong> se utiliza la excusa <strong>de</strong> la <strong>seguridad</strong> para argumentar que esnecesario un control y monitorización sobre las comunicaciones, por lo que existe uncontinuo <strong>de</strong>bate con las organizaciones que abogan por la privacidad y el anonimato enInternet. ¿Re<strong>al</strong>mente la <strong>seguridad</strong> exige la pérdida <strong>de</strong> la privacidad y el anonimato?BS: Por supuesto que no. La próxima vez que <strong>al</strong>guien te diga que necesitas abandonar la privacidadpara obtener <strong>seguridad</strong>, mír<strong>al</strong>e a los ojos y dile: “cerrojo, <strong>al</strong>arma anticacos, v<strong>al</strong>la <strong>al</strong>ta”. La mayor parte162<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
<strong>de</strong> la <strong>seguridad</strong> no tiene nada que ver con la privacidad. Sólo la <strong>seguridad</strong> basada en i<strong>de</strong>ntidad afecta a laprivacidad, y hay limitaciones a esa aproximación.H: ¿Alguna predicción en materia <strong>de</strong> <strong>seguridad</strong> informática? ¿Qué nos espera?BS: Crimen. Crimen es lo antiguo y crimen es lo nuevo. Sólo cambian las tácticas, pero la motivación esatempor<strong>al</strong>.H: ¿Qué sistema operativo y navegador utilizas?BS: Uso Windows, todavía XP, y Opera. Supongo que <strong>de</strong>bería cambiar a Firefox, pero es que me gustacómo funciona Opera.H: Al margen <strong>de</strong> tu actividad profesion<strong>al</strong> como Chief Security Technology Officer <strong>de</strong> BT, ¿aqué <strong>de</strong>dicas más tiempo últimamente? ¿Hobbies?BS: Sigo escribiendo reseñas <strong>de</strong> restaurantes para una revista loc<strong>al</strong> y varios sitios online.H: Un libro, una canción.BS: El último CD <strong>de</strong> mi colección se llama “Better than the Re<strong>al</strong> Thing,” una compilación <strong>de</strong> cantantes <strong>de</strong>música folk irlan<strong>de</strong>sa interpretando versiones acústicas <strong>de</strong> canciones <strong>de</strong> U2. El último libro que he leídoes “Nudge,” <strong>de</strong> Cass Sustein y Richard Th<strong>al</strong>er. Mi nuevo libro es “Schneier on Security.” Acaba <strong>de</strong> s<strong>al</strong>ir, yparece un estupendo reg<strong>al</strong>o para estas Navida<strong>de</strong>s.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 - 163
Documentación164<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2004 -
7D53725año 2005Capítulo711111010101
1104537600 – 1136073599Durante este año...__El 5 <strong>de</strong> enero, <strong>de</strong>s<strong>de</strong> el observatorio <strong>de</strong> Monte P<strong>al</strong>omar <strong>de</strong>scubren el nuevo planetaenano <strong>al</strong> que llaman Eris, el más lejano <strong>de</strong>l sistema solar.__ El 11 <strong>de</strong> febrero, investigadores argentinos h<strong>al</strong>lan en la Patagonia el único yacimiento existente hastaahora <strong>de</strong> huevos <strong>de</strong> dinosaurio con embriones en su interior.El 16 <strong>de</strong> febrero entra en vigor el Protocolo <strong>de</strong> Kioto. Se trata <strong>de</strong>l convenio mundi<strong>al</strong> parael intento <strong>de</strong> reducción <strong>de</strong> gases y luchar contra el efecto inverna<strong>de</strong>ro. En 1997 los paísesindustri<strong>al</strong>izados se comprometieron en la ciudad <strong>de</strong> Kioto a ejecutar un conjunto <strong>de</strong>medidas para reducir los gases <strong>de</strong> efecto inverna<strong>de</strong>ro. Pactaron reducir en un 5% <strong>de</strong>media las emisiones contaminantes entre 2008 y 20<strong>12</strong>, tomando como referencia los niveles<strong>de</strong> 1990. El objetivo princip<strong>al</strong> es disminuir el cambio climático <strong>de</strong> origen antropogénicocuya base es el efecto inverna<strong>de</strong>ro. Cada país <strong>de</strong>bía reducir en distintos porcentajes susemisiones. Mientras, el 1 <strong>de</strong> marzo <strong>de</strong> 2005, Madrid registra la temperatura más baja en undía <strong>de</strong> marzo <strong>de</strong> los últimos 105 años: -5ºC en el Retiro, sufriendo uno <strong>de</strong> los inviernos másduros <strong>de</strong> su historia. Para muchos, el protocolo (que prometía un paso a<strong>de</strong>lante) nació yamuerto en cuanto el gobierno <strong>de</strong> Estados Unidos (ni con Clinton ni con Bush <strong>al</strong> frente) noratificó el acuerdo. En 2001 el gobierno <strong>de</strong> Bush se había retirado ya <strong>de</strong>finitivamente <strong>de</strong>lprotocolo.__La noche <strong>de</strong>l <strong>12</strong> <strong>de</strong> febrero se incendia la torre Windsor <strong>de</strong> Madrid. No se producen víctimas. Sus106 metros <strong>de</strong> <strong>al</strong>tura y 32 plantas estaban compuestos básicamente por oficinas. No se <strong>de</strong>rrumbó hastaque es <strong>de</strong>smontada en agosto <strong>de</strong> ese mismo año y a fin<strong>al</strong>es <strong>de</strong>l mismo mes, se abrirían a la circulación lasc<strong>al</strong>les adyacentes. Varias compañías con se<strong>de</strong> en el rascacielos lo pier<strong>de</strong>n absolutamente todo. Se hablamucho <strong>de</strong> la <strong>seguridad</strong> física, <strong>de</strong> copias <strong>de</strong> <strong>seguridad</strong> y armarios ignífugos.__ Durante principios <strong>de</strong>l año 2005 el Gobierno español comienza a elaborar unnuevo Plan Técnico Nacion<strong>al</strong> <strong>de</strong> la Televisión Digit<strong>al</strong> Terrestre con la intención<strong>de</strong> impulsar esta tecnología en un mercado televisivo don<strong>de</strong> las emisoras <strong>de</strong> televisióndigit<strong>al</strong> por satélite (un panorama compuesto únicamente por Digit<strong>al</strong>+, tras la fusión consu única competidora, Vía Digit<strong>al</strong>) y las re<strong>de</strong>s <strong>de</strong> cable copan el mercado <strong>de</strong> la televisióndigit<strong>al</strong>. El parque <strong>de</strong> receptores <strong>de</strong> TDT inst<strong>al</strong>ados se estima en ese año en unas <strong>de</strong>cenas<strong>de</strong> miles, la mayoría <strong>de</strong> ellos los que distribuyó Quiero TV durante sus apenas dos años <strong>de</strong> existencia. Deentre las medidas que contiene el nuevo plan <strong>de</strong>stacan el a<strong>de</strong>lanto <strong>de</strong>l apagón an<strong>al</strong>ógico <strong>de</strong>s<strong>de</strong> el año 20<strong>12</strong><strong>al</strong> 3 <strong>de</strong> abril <strong>de</strong> 2010. A partir <strong>de</strong> ese momento, todas las emisiones <strong>de</strong> televisión terrestres tendrán quere<strong>al</strong>izase mediante técnicas digit<strong>al</strong>es. También <strong>de</strong>staca la intención <strong>de</strong> aumentar el número <strong>de</strong> emisoras<strong>de</strong> TDT hasta el apagón an<strong>al</strong>ógico. Lenta pero segura, la TDT se popularizaría en 2007 gracias a los bajosprecios <strong>de</strong> los <strong>de</strong>codificadores y a la integración en las nuevas televisiones.__En España, en el referéndum nacion<strong>al</strong> para la ratificación <strong>de</strong> la Constitución Europea se aprueb<strong>al</strong>a nueva Constitución con un 76,7% <strong>de</strong> los votos. La participación es <strong>de</strong> sólo el 42%. El 1 <strong>de</strong> junio en el166<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
eferéndum sobre la Constitución Europea celebrado en Países Bajos ganaría el “no” con un 60%.__El 2 <strong>de</strong> abril muere Juan Pablo II tras varias horas <strong>de</strong> agonía. Seis días <strong>de</strong>spués se re<strong>al</strong>izan en Ciudad<strong>de</strong>l Vaticano las exequias <strong>de</strong> Su Santidad Juan Pablo II, consi<strong>de</strong>rado el funer<strong>al</strong> más gran<strong>de</strong> <strong>de</strong> toda lahistoria. El día 19 <strong>de</strong> <strong>de</strong> ese mes, Joseph Ratzinger es elegido Papa <strong>de</strong> la Iglesia Católica con el nombre <strong>de</strong>Benedicto XVI.__El 13 <strong>de</strong> junio Michael Jackson es absuelto <strong>de</strong> todos los cargos que se le imputaban.__Se publicacontinuo.Debian GNU/Linux 3.1 “Sarge”. Fruto <strong>de</strong> casi tres años <strong>de</strong> <strong>de</strong>sarrollo__El 30 <strong>de</strong> junio se aprueba en España el matrimonio entre personas <strong>de</strong>l mismo sexo.__A principios <strong>de</strong> julio se celebran nueve conciertos simultáneos en distintas ciuda<strong>de</strong>s <strong>de</strong>l planeta (Live8) para exigir el fin <strong>de</strong> la pobreza en el mundo.__El siete <strong>de</strong> julio se produce un múltiple atentado terrorista en Londres. Tres vagones <strong>de</strong> metroy un autobús urbano se ven afectados, causando 56 víctimas mort<strong>al</strong>es y 700 heridos. Los atentados serelacionan con el apoyo <strong>de</strong>l gobierno británico a la guerra <strong>de</strong> Iraq, en concreto con la foto <strong>de</strong> las Azores<strong>de</strong> 2003 en las que aparecían los lí<strong>de</strong>res <strong>de</strong> los tres princip<strong>al</strong>es países que apoyaron la invasión. Un díaantes la ciudad <strong>de</strong> Londres había sido <strong>de</strong>signada por los miembros <strong>de</strong>l COI como escenario <strong>de</strong> los JuegosOlímpicos <strong>de</strong>l 20<strong>12</strong>.__A fin<strong>al</strong>es <strong>de</strong> agosto el huracán Katrina toca tierra estadouni<strong>de</strong>nse y produce uno <strong>de</strong> los mayores<strong>de</strong>sastres que se recuerdan, con ciuda<strong>de</strong>s como Nueva Orleans completamente anegadas, junto conimportantes pérdidas materi<strong>al</strong>es y humanas en Luisiana, Mississippi, Alabama, Tennessee y el oeste <strong>de</strong>Florida. Se anuncian inici<strong>al</strong>mente más <strong>de</strong> 1.000 muertos. Las ayudas llegan tar<strong>de</strong> y m<strong>al</strong>. El presi<strong>de</strong>nteBush es duramente criticado por su incapacidad <strong>de</strong> gestionar estos <strong>de</strong>sastres en el, se supone, país másrico y preparado. Se popularizan en Internet las estafas relacionadas con la recolección <strong>de</strong> donativos paraayudar a los damnificados por el <strong>de</strong>sastre._ A principios <strong>de</strong> diciembre se pone a la venta en España la consola Xbox360 <strong>de</strong> Microsoft. Es la primera consola que se lanza simultáneamente enEuropa, Estados Unidos y Asia. Tiene una triple CPU a 3.2 Ghz y 5<strong>12</strong> MB<strong>de</strong> RAM._ Ricardo G<strong>al</strong>li compra a fin<strong>al</strong>es <strong>de</strong> 2005 el dominio “Menéame”,copiando la filosofía a Digg en España, pero con software libre. Se crearíaa su <strong>al</strong>re<strong>de</strong>dor una inmensa comunidad <strong>de</strong> fieles usuarios yclones. En noviembre <strong>de</strong> 2006 Martín Varsavsky, creador <strong>de</strong>Jazztel, Ya.com y FON, compraría el 10% (y más tar<strong>de</strong> el 33%)<strong>de</strong>l port<strong>al</strong>.__El 31 <strong>de</strong> diciembre se aña<strong>de</strong> <strong>de</strong> nuevo un segundo <strong>al</strong> año para compensar las diferencias entre larotación <strong>de</strong> la Tierra y el tiempo atómico. Se hace a las 23:59:60.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 167
Seguridad Informática__ A comienzos <strong>de</strong> 2005 ya se rozaban las 20.000 muestras mensu<strong>al</strong>es enviadas aVirustot<strong>al</strong>.com, en una esc<strong>al</strong>ada “sin control” que todavía hoy sigue experimentando.__El kernel <strong>de</strong> linux comienza con m<strong>al</strong> pie el año. Se <strong>de</strong>scubren varias vulnerabilida<strong>de</strong>s que ponensobre la mesa el <strong>de</strong>scontento en los procedimientos actu<strong>al</strong>es <strong>de</strong> parcheo y distribución <strong>de</strong> las versionesactu<strong>al</strong>izadas <strong>de</strong>l kernel. Se quejan <strong>de</strong> que, en <strong>al</strong>gunos casos, esas correcciones no han estado disponiblesen actu<strong>al</strong>izaciones “ofici<strong>al</strong>es” <strong>de</strong> los kernel hasta meses <strong>de</strong>spués. Esto es así porque la ten<strong>de</strong>ncia hasta esemomento fue el integrar esos parches en la versión en <strong>de</strong>sarrollo <strong>de</strong> los kernel, cuya fecha <strong>de</strong> publicaciónpue<strong>de</strong> estar a semanas o meses vista.__Mytob irrumpe. Se asiste a un goteo constante <strong>de</strong> nuevas variantes <strong>de</strong>l gusano durante meses. Laestrategia <strong>de</strong> su creador o creadores, sentando prece<strong>de</strong>ntes <strong>de</strong> la ten<strong>de</strong>ncia vírica actu<strong>al</strong>, parece serdistribuir muchas variantes con pequeñas modificaciones para intentar evitar a los antivirus durante lasprimeras horas, mientras que se <strong>de</strong>sarrolla la pertinente firma, y afectar <strong>al</strong> máximo número <strong>de</strong> usuarios.__A fin<strong>al</strong>es <strong>de</strong> febrero, se da a conocer que los contenidos <strong>de</strong>l teléfono móvil <strong>de</strong> Paris Hilton han sidopublicados en Internet. En un principio se baraja la posibilidad <strong>de</strong> que hubieran accedido a la tarjetaSIM, o <strong>de</strong> que se tratara <strong>de</strong> una intrusión a los servidores <strong>de</strong> T-Mobile aprovechando inyecciones SQL. Alfin<strong>al</strong> se hace público que el método empleado es mucho más sencillo, bastaba con contestar a la pregunta“¿cuál es el nombre <strong>de</strong> su mascota favorita?”. El teléfono <strong>de</strong> Paris, un Si<strong>de</strong>kick II <strong>de</strong> T-Mobile,permite mantener una copia <strong>de</strong> los contenidos en un servidor <strong>de</strong> Internet, accesible a través <strong>de</strong> la web.Como ocurre en muchos servicios en línea, T-Mobile utiliza el método <strong>de</strong> preguntas secretas para permitirel acceso a aquellos usuarios que han olvidado sus contraseñas. El nombre <strong>de</strong> su perro chihuahua erabien conocido a raíz <strong>de</strong> que la famosa here<strong>de</strong>ra ofreciera en el pasado una recompensa <strong>de</strong> varios miles <strong>de</strong>dólares tras extraviarlo. El resultado es que a día <strong>de</strong> hoy cu<strong>al</strong>quiera pue<strong>de</strong> <strong>de</strong>scargar todo el contenido <strong>de</strong>lmóvil <strong>de</strong> Paris Hilton. En él, se encontraban los teléfonos person<strong>al</strong>es <strong>de</strong> Christina Aguilera, Avril Lavigne,Eminem, o Anna Kournikova... a<strong>de</strong>más <strong>de</strong> fotos person<strong>al</strong>es (subidas <strong>de</strong> tono) re<strong>al</strong>izadas con el móvil.__En marzo es liberado, para uso person<strong>al</strong> y educativo, el libro “The Co<strong>de</strong> Book”. Escrito por SimonSingh, se trata <strong>de</strong> uno <strong>de</strong> los mejores libros <strong>de</strong> introducción a la criptografía.En la mañana <strong>de</strong>l 8 <strong>de</strong> marzo se da a conocer el f<strong>al</strong>lo <strong>de</strong>l juicio que enfrentaba a la empresaTegam contra el científico francés Guillaume T. Fin<strong>al</strong>mente Guillaume es con<strong>de</strong>nado conuna pena leve, inferior a la solicitada inici<strong>al</strong>mente por Tegam. El juez fija una con<strong>de</strong>nacondicion<strong>al</strong> <strong>de</strong> 5.000 euros, que Guillaume no tendrá que pagar si no es con<strong>de</strong>nado porotra causa durante los próximos dos años. En julio se sabe que Guillaume T. ha recurrido lasdos sentencias con<strong>de</strong>natorias, la pen<strong>al</strong> y la civil. A<strong>de</strong>más se produce una novedad: una<strong>de</strong> las pruebas presentadas por Tegam contra Guillaume era que, junto a “otros”, actuabapor intereses oscuros, acusándole en una carta dirigida el 7 marzo 2002 a la dirección <strong>de</strong>lCNRS como un “terrorista informático conocido por el FBI y la DST”. En esa carta tambiénse acusaba directamente a otra persona, R.G., que también escribe con asiduidad en losforos <strong>de</strong> usenet. En un nuevo juicio <strong>de</strong> carácter civil, un Tribun<strong>al</strong> <strong>de</strong> Toulouse con<strong>de</strong>na aTegam por una f<strong>al</strong>ta por injurias cometida contra R.G. La historia no terminaría aquí.168<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
__A principios <strong>de</strong> 2005 se asiste <strong>de</strong> nuevo a unacontinua av<strong>al</strong>ancha <strong>de</strong> variantes <strong>de</strong>l gusano Bagle,que se propagaba a través <strong>de</strong> archivos adjuntosen mensajes <strong>de</strong> correo electrónico, enviados <strong>de</strong>forma masiva <strong>de</strong>s<strong>de</strong> los sistemas infectados. Sepublica “Lessons from Virus Developers:The Beagle Worm History”, estudio en el quese re<strong>al</strong>iza un completo análisis <strong>de</strong> la evoluciónhistórica <strong>de</strong>l gusano, <strong>de</strong>s<strong>de</strong> las primeras variantes<strong>de</strong>tectadas a fin<strong>al</strong>es <strong>de</strong> enero <strong>de</strong> 2004 hasta lasúltimas, i<strong>de</strong>ntificadas en enero <strong>de</strong> 2005. Presentaun análisis <strong>de</strong> las características más <strong>de</strong>stacadas<strong>de</strong> las diversas variantes y la evolución en losmecanismos utilizados para su propagación ycómo poco a poco el gusano se iba haciendo másy más complejo, hasta el extremo <strong>de</strong> llegar a incorporar su propio servidor <strong>de</strong> nombres <strong>de</strong> dominio, lacapacidad para <strong>de</strong>sactivar o inhabilitar las medidas <strong>de</strong> <strong>seguridad</strong> inst<strong>al</strong>adas en los sistemas infectados, ladistribución en archivos cifrados con contraseña para s<strong>al</strong>tarse los antivirus en el servidor <strong>de</strong> correo, etc...La intención es mostrar a Bagle como un ejemplo paradigmático <strong>de</strong> m<strong>al</strong>ware y una ten<strong>de</strong>ncia.__ Durante una conferencia en Estados Unidos, tres investigadores <strong>de</strong>l FBI <strong>de</strong>muestran cómo son capaces<strong>de</strong> romper el cifrado WEP con clave <strong>de</strong> <strong>12</strong>8-bit <strong>de</strong> una red in<strong>al</strong>ámbrica en tan sólo tresminutos. El mecanismo tradicion<strong>al</strong> <strong>de</strong> cifrado <strong>de</strong> las re<strong>de</strong>s in<strong>al</strong>ámbricas es WEP (Wired Equiv<strong>al</strong>encyPrivacy), basado en el <strong>al</strong>goritmo RC4 utilizando claves <strong>de</strong> distinta longitud (entre 64 y 256 bits). Des<strong>de</strong>hace tiempo se conoce que WEP es, básicamente, un mecanismo inseguro <strong>al</strong> basarse en el uso <strong>de</strong> un secretocompartido entre el punto <strong>de</strong> acceso y las estaciones que acce<strong>de</strong>n a la red. WEP no ofrece ningún mecanismopara la negociación <strong>de</strong> las claves utilizadas para el cifrado <strong>de</strong>l tráfico. Es el momento <strong>de</strong> usar el estándarWPA (Wi- Fi Protected Access) que mejora las prestaciones <strong>de</strong> WEP mediante el intercambio <strong>de</strong> claves,aunque también permite una mod<strong>al</strong>idad <strong>de</strong> secreto compartido. En 2004 se presentó la especificación802.11i (también conocida como WPA2) que ofrece unos mecanismos fuertes <strong>de</strong> autenticación y cifrado<strong>de</strong>l tráfico.__En mayo Sober.q causa una av<strong>al</strong>ancha <strong>de</strong> spam con propaganda neonazi, enviadas <strong>de</strong>s<strong>de</strong> máquinaszombi.__También en mayo, <strong>Hispasec</strong> lanza un servicio <strong>de</strong> <strong>al</strong>erta temprana en tiempo re<strong>al</strong> a través <strong>de</strong> teléfonosmóviles que, mediante mensajes <strong>de</strong> texto corto (SMS), avisará a los usuarios en caso <strong>de</strong> aparición <strong>de</strong>m<strong>al</strong>ware <strong>de</strong> especi<strong>al</strong> inci<strong>de</strong>ncia o peligrosidad.__Un miembro <strong>de</strong>l equipo <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> FreeBSD <strong>de</strong>tecta un problema <strong>de</strong> <strong>seguridad</strong> en Hyper-Threading implementado en los procesadores Intel Pentium Extreme Edition, Pentium 4, Mobile Pentium4 e Intel Xeon. Un atacante podría obtener información sensible <strong>de</strong> la máquina atacada, incluyendola posibilidad <strong>de</strong> robar una clave RSA privada que se esté usando en la máquina <strong>de</strong> la víctima. Hyper-Threading es un nuevo diseño <strong>de</strong> Intel que permite <strong>al</strong> software diseñado para múltiples hilos <strong>de</strong> ejecución(multi-threa<strong>de</strong>d) procesar los hilos en par<strong>al</strong>elo <strong>de</strong>ntro <strong>de</strong> cada procesador, lo que da como resultado unincremento en la utilización <strong>de</strong> los recursos <strong>de</strong> ejecución <strong>de</strong> los procesadores.__Las máquinas zombi y botnets crecen <strong>de</strong>smesuradamente. Nadie sabe a ciencia cierta elporcentaje exacto <strong>de</strong> máquinas <strong>de</strong> este tipo que están operando en la actu<strong>al</strong>idad. Las máquinas zombi son<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 169
máquinas comprometidas <strong>al</strong> servicio <strong>de</strong> atacantes que las manejan <strong>de</strong>s<strong>de</strong> un panel <strong>de</strong> control centr<strong>al</strong>izado.Son usadas para robar sus datos y como plataforma para enviar correo basura. Las máquinas zombis seaglutinan en los <strong>de</strong>nominados botnets, anglicismo que se refiere a la asociación en red (nets) <strong>de</strong> máquinasautónomas (bots, apócope <strong>de</strong>l término sajón robots). Todavía durante 2006 y 2007 crecerían inclusomás.__ Se <strong>de</strong>tiene a 18 personas en Israel, entre las cu<strong>al</strong>es <strong>de</strong>stacan <strong>al</strong>tos ejecutivos <strong>de</strong> tres gran<strong>de</strong>s corporaciones,por espionaje industri<strong>al</strong> a través <strong>de</strong> troyanos. Durante la investigación se encuentran en posesión <strong>de</strong>los acusados documentos e imágenes <strong>de</strong> la competencia y terceras empresas <strong>de</strong> un enorme v<strong>al</strong>or comerci<strong>al</strong>.Estiman que el espionaje se llevó a cabo durante más <strong>de</strong> un año.Aparece PGPco<strong>de</strong>r, el troyano chantajista. Cifra los archivos <strong>de</strong> los sistemas y solicita dineroa los usuarios afectados si quieren volver a restaurarlos. La re<strong>al</strong>idad es que, <strong>de</strong>bido a unm<strong>al</strong> diseño <strong>de</strong> su creador, el troyano utiliza un <strong>al</strong>goritmo <strong>de</strong> cifrado muy simple, basadoen v<strong>al</strong>ores fijos, que permite invertirlo y recuperar automáticamente los archivos. Cuandose ejecuta en un sistema, cifra todos los archivos que loc<strong>al</strong>iza con las extensiones .xls, .doc,.txt, .rtf, .zip, .rar, .dbf, .htm, .html, .jpg, .db, .db1, .db2, .asc y .pgp. Creando a<strong>de</strong>más unosarchivos <strong>de</strong> texto, “ATTENTION!!!.txt”, con el siguiente mensaje:Some files are co<strong>de</strong>d.To buy <strong>de</strong>co<strong>de</strong>r mail: n781567@yahoo.comwith subject: PGPco<strong>de</strong>r 000000000032En <strong>de</strong>finitiva, que si el usuario infectado quiere volver a acce<strong>de</strong>r a sus documentos, hojas<strong>de</strong> cálculo, fotografías, etc., <strong>de</strong>be “comprar” el <strong>de</strong>scodificador que supuestamente elautor le enviaría por correo.A pesar <strong>de</strong>l nombre usado (PGPco<strong>de</strong>r) para <strong>de</strong>nominar <strong>al</strong> m<strong>al</strong>ware, el autor <strong>de</strong>l troyanoprogramó un <strong>al</strong>goritmo <strong>de</strong> cifrado bastante simple sin clave externa, lo que permite invertirel <strong>al</strong>goritmo para recuperar los archivos sin tener que pasar por el chantaje. <strong>Hispasec</strong>obsequia con una camiseta a los tres primeros lectores que envían un script o programa(incluyendo fuentes) que <strong>de</strong>bería <strong>de</strong>scifrar otro archivo cifrado por el troyano PGPco<strong>de</strong>r.__Debasis Mohanty, un investigador hindú, rompe el sistema <strong>de</strong> protección Windows GenuineAdvantage (WGA) <strong>de</strong> Microsoft. Desarrolla una herramienta <strong>de</strong>nominada genuinecheck.exe con la quese permite <strong>de</strong>scargar software hasta ahora reservado a las copias que el servidor <strong>de</strong> Microsoft consi<strong>de</strong>raseleg<strong>al</strong>es.__En una noticia aparecida en el New York Times, se afirma que Microsoft está en conversacionescon Claria, más conocida anteriormente como Gator, una <strong>de</strong> las princip<strong>al</strong>es productoras <strong>de</strong>adware. Choca directamente con los nuevos intereses <strong>de</strong> Microsoft centrados en productos antivirus yantispyware. A raíz <strong>de</strong> esta noticia se disparan los rumores. ¿Detectará el motor antispyware <strong>de</strong> Microsoftun producto que es suyo? Las últimas actu<strong>al</strong>izaciones <strong>de</strong> Microsoft AntiSpyware <strong>de</strong>tectan el adware <strong>de</strong>Claria inst<strong>al</strong>ado en el sistema pero, por <strong>de</strong>fecto, recomienda la acción <strong>de</strong> ignorarlo, es <strong>de</strong>cir, no eliminarlo<strong>de</strong>l sistema, mientras que otras soluciones gratuitas como SpyBot, a<strong>de</strong>más <strong>de</strong> <strong>de</strong>tectar el adware <strong>de</strong> Clari<strong>al</strong>o elimina por <strong>de</strong>fecto.170<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
__H<strong>al</strong>var Flake, especi<strong>al</strong>ista en ingeniería inversa y responsable <strong>de</strong> la consultora Sabre Security, <strong>de</strong>ci<strong>de</strong>investigar sobre el parche crítico MS05-025 publicado para Microsoft Internet Explorer, centrándose enla vulnerabilidad en la gestión <strong>de</strong> documentos gráficos portables PNG que permite la ejecución <strong>de</strong> código.Utilizando herramientas propias y comparando las versiones parcheadas y sin parchear, Flake loc<strong>al</strong>iz<strong>al</strong>os cambios específicos que introduce el parche MS05-025 en menos <strong>de</strong> 20 minutos. Flake documentacómo los parches rápidos y teóricamente inocuos pue<strong>de</strong>n ser fuente <strong>de</strong> obtención <strong>de</strong> código vulnerable.Esta teoría sería <strong>de</strong> nuevo retomada años <strong>de</strong>spués. Se llegaría a barajar la posibilidad <strong>de</strong> crear una formaautomatizada <strong>de</strong> programar exploits a partir <strong>de</strong> parches recién publicados.Se publica en agosto el número 63 <strong>de</strong> la la revista online Phrack,con el que esta publicación online y gratuita se <strong>de</strong>spi<strong>de</strong>. Es elfin <strong>de</strong> la primera publicación que se distribuyó exclusivamente<strong>de</strong> forma electrónica. Con casi veinte años <strong>de</strong> historia, la revistaPhrack es todo un referente y una <strong>de</strong> las publicaciones másprestigiosas en el mundo <strong>de</strong> la <strong>seguridad</strong> informática. En su largatrayectoria, en Phrack se han publicado las primeras referencias anumerosas técnicas como, por ejemplo, el artículo <strong>de</strong> Aleph One“Smashing the stack for Fun and Profit” don<strong>de</strong> se <strong>de</strong>sarrollaban las técnicas <strong>de</strong> ejecución<strong>de</strong> código en la pila inyectado a través <strong>de</strong> <strong>de</strong>sbordamiento <strong>de</strong> memoria intermedia. Otroartículo histórico <strong>de</strong>scribía el funcionamiento <strong>de</strong>l número <strong>de</strong> emergencias (911) <strong>de</strong> losEstados Unidos. La publicación <strong>de</strong> este artículo originó una serie <strong>de</strong> <strong>de</strong>mandas judici<strong>al</strong>es yel encarcelamiento <strong>de</strong> los editores, acusados <strong>de</strong> publicar materi<strong>al</strong> confi<strong>de</strong>nci<strong>al</strong> robado <strong>de</strong>la compañía telefónica Bell South y que ponía en peligro la <strong>seguridad</strong> <strong>de</strong> los ciudadanosnorteamericanos. Durante el juicio, por el que se pedían una in<strong>de</strong>mnización <strong>de</strong> 80.000dólares se <strong>de</strong>mostró que esa información estaba <strong>al</strong> <strong>al</strong>cance <strong>de</strong> cu<strong>al</strong>quier persona por sólo13 dólares.Inici<strong>al</strong>mente la revista Phrack se centraba en la <strong>seguridad</strong> <strong>de</strong> las re<strong>de</strong>s <strong>de</strong> comunicaciones,documentando un gran número <strong>de</strong> vulnerabilida<strong>de</strong>s y f<strong>al</strong>sas medidas <strong>de</strong> <strong>seguridad</strong>implementadas por las compañías telefónicas. Con el tiempo, su contenido fue moviéndosehacia el mundo <strong>de</strong> los or<strong>de</strong>nadores y la <strong>seguridad</strong> informática. Algunos nombres míticosen la historia <strong>de</strong> la <strong>seguridad</strong> informática guardan una relación muy directa con la revistaPhrack. Des<strong>de</strong> los editores origin<strong>al</strong>es, Taran King y Knight Lightning, hasta grupos comoLegion of Doom.La conmemoración <strong>de</strong> este último número se re<strong>al</strong>iza a través <strong>de</strong> la publicación <strong>de</strong> unaedición especi<strong>al</strong> en papel (por tercera vez en la historia), que se reparte durante lacelebración <strong>de</strong>l “What the Hack” y Defcon 13.__ Aparecen una serie <strong>de</strong> variantes <strong>de</strong> m<strong>al</strong>ware capaces <strong>de</strong> aprovechar la vulnerabilidad (remota y quepermite la ejecución <strong>de</strong> código) parcheada en el boletín MS05-039 <strong>de</strong> Microsoft, que afecta a Windows2000. Zotob y otras variantes comienzan a causar estragos. Medios como la CNN, ABC y The NewYork Times se ven azotados por este gusano. Como efecto colater<strong>al</strong> los sistemas infectados se reinicianconstantemente, lo que impi<strong>de</strong> trabajar con ellos.__El 1 <strong>de</strong> agosto se pone en marcha el blog <strong>de</strong>l laboratorio <strong>de</strong> Hipsasec. Nace como un espacio másdirecto e inform<strong>al</strong> don<strong>de</strong> se tratará cu<strong>al</strong>quier tema a título person<strong>al</strong>. Apuntes técnicos, anotaciones,<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 171
opinión, notas <strong>de</strong> humor y, en <strong>de</strong>finitiva, cu<strong>al</strong>quier tipo <strong>de</strong> contenido que por <strong>al</strong>guna extraña razón noshaya resultado interesante, sin que exista una periodicidad o temática prefijada.__ En la edición <strong>de</strong> la Black Hat estaba programada una presentación por parte <strong>de</strong> Michael Lynn sobrecómo comprometer los routers Cisco. En un intento <strong>de</strong> censurar dicha información, Cisco recurrea tácticas leg<strong>al</strong>es para impedir la divulgación <strong>de</strong> la información. El efecto es el contrario <strong>al</strong> buscado: haypresentación, la documentación cuelga <strong>de</strong> numerosos sitios <strong>de</strong> Internet, y el caso <strong>de</strong>spierta un gran interéstanto en investigadores <strong>de</strong> <strong>seguridad</strong> como en los medios <strong>de</strong> comunicación. En la reunión Def Con posteriorse observan grupos <strong>de</strong> trabajo discutiendo sobre cómo reproducir <strong>de</strong> forma práctica el estudio <strong>de</strong> Lynn(que no aportó <strong>de</strong>t<strong>al</strong>les técnicos). Cisco publica un parche dos días <strong>de</strong>spués <strong>de</strong> la charla.Un austr<strong>al</strong>iano consigue anular una multa <strong>de</strong> tráfico ante la imposibilidad <strong>de</strong> las autorida<strong>de</strong>s<strong>de</strong> tráfico <strong>de</strong> <strong>de</strong>mostrar fehacientemente que la imagen registrada por un radar noha sido <strong>al</strong>terada. El austr<strong>al</strong>iano circulaba con su coche por una carretera que estabasiendo controlada con un radar. El abogado que representa <strong>al</strong> amonestado recurre la<strong>de</strong>nuncia, argumentando que no se ha probado que la imagen obtenida por la cámaraasociada <strong>al</strong> radar no ha sido modificada <strong>de</strong> ninguna forma. Las autorida<strong>de</strong>s austr<strong>al</strong>ianas<strong>de</strong>l tráfico respon<strong>de</strong>n a esta argumentación que se utiliza el <strong>al</strong>goritmo matemático MD5para obtener una suma <strong>de</strong> control <strong>de</strong> las imágenes obtenidas por el radar. El problemaradica en que no encuentran a ningún perito que <strong>de</strong>muestre ante el tribun<strong>al</strong> la v<strong>al</strong>i<strong>de</strong>z<strong>de</strong> dicho <strong>al</strong>goritmo. La función <strong>de</strong> hash criptográfico MD5 (Message-Digest <strong>al</strong>gorithm 5)lleva ya años mostrando signos <strong>de</strong> <strong>de</strong>bilidad, ina<strong>de</strong>cuado para los tiempos que corren. Sibien se ha llevado varios varap<strong>al</strong>os <strong>de</strong>s<strong>de</strong> su creación, a principios <strong>de</strong> 2008 se <strong>de</strong>mostraríaque es posible crear arbitrariamente dos flujos <strong>de</strong> datos que resulten en el mismo hash ofirma. Marc Stevens, Arjen Lenstra, y Benne <strong>de</strong> Weger harían público un método por el que,añadiendo un puñado <strong>de</strong> bytes a un archivo, se podría hacer que su firma, su hash MD5,fuese idéntico a otro fichero arbitrario. La diferencia en este caso es que las colisionespue<strong>de</strong>n ser elegidas, provocadas sobre dos ficheros cu<strong>al</strong>esquiera. Lo conseguirían conuna sola máquina en menos <strong>de</strong> dos días. Un tiempo más que razonable.__ En un estudio divulgado por la asociación norteamericana <strong>de</strong> ingenieros IEEE-USA, en su publicaciónToday’s Engineer, con título “United States Facing Cyber Security Crisis”, se afirma que lainfraestructura <strong>de</strong> <strong>seguridad</strong> y tecnologías <strong>de</strong> la información en EEUU es <strong>al</strong>tamente vulnerable ante ataquesterroristas y crimin<strong>al</strong>es. Las inst<strong>al</strong>aciones afectadas y comprendidas en el estudio van <strong>de</strong>s<strong>de</strong> los sistemas<strong>de</strong> control <strong>de</strong> tráfico aéreo, re<strong>de</strong>s <strong>de</strong> electrificación y suministro energético, sistemas financieros, a<strong>de</strong>más<strong>de</strong> re<strong>de</strong>s <strong>de</strong> inteligencia y militares. Cliff Lau, perteneciente <strong>al</strong> comité <strong>de</strong> política <strong>de</strong> I+D <strong>de</strong> IEEE-USA,explica que <strong>de</strong> seguir las cosas como están, las perspectivas a cinco años vista son re<strong>al</strong>mente inquietantes.Lau <strong>de</strong>fine la situación como “<strong>al</strong> bor<strong>de</strong> <strong>de</strong> la pérdida <strong>de</strong> control”, una vez an<strong>al</strong>izada la situación actu<strong>al</strong> y lasperspectivas esperadas para ese período.__ En agosto el FBI anuncia la <strong>de</strong>tención en Marruecos <strong>de</strong> Farid Essebar, <strong>al</strong>ias “Diabl0”, <strong>de</strong> 18 años<strong>de</strong> edad, y <strong>de</strong> su supuesto cómplice en Turquía Atilla Ekici, <strong>al</strong>ias “Co<strong>de</strong>r”, <strong>de</strong> 21 años. Ambos son lossospechosos <strong>de</strong> distribuir los gusanos Zotob y Mytob. Según la investigación sus prácticas teníanun móvil económico relacionado con el frau<strong>de</strong> a usuarios <strong>de</strong> entida<strong>de</strong>s financieras. Los dos <strong>de</strong>tenidos seconocían únicamente por Internet. Microsoft juega un papel importante en su loc<strong>al</strong>ización, <strong>al</strong> ofrecerpistas importantes que encontraron <strong>al</strong> an<strong>al</strong>izar el código <strong>de</strong> los gusanos. El código origin<strong>al</strong> <strong>de</strong> Zotobincluye el texto “Botzor2005 Ma<strong>de</strong> By .... Greetz to good friend Co<strong>de</strong>r. Based On HellBot3”, y a<strong>de</strong>más el172<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
gusano intenta conectar por el puerto 8080 a un servidor IRC en la dirección “diabl0.turkco<strong>de</strong>rs.net”.Ambas pistas, fruto <strong>de</strong> un exceso <strong>de</strong> confianza o ansias <strong>de</strong> protagonismo son claves para el inicio <strong>de</strong> lainvestigación.El <strong>de</strong>bate Firefox (que no saca su versión estable 1.5 hasta noviembre <strong>de</strong>2005) vs. Internet Explorer está en su mayor auge. Firefox ya <strong>al</strong>canza el 7%<strong>de</strong> uso, y llegaría <strong>al</strong> 9 a principios <strong>de</strong> 2006. Se convierte en una amenazapara Internet Explorer que, tras haber conseguido picos <strong>de</strong>l 95% <strong>de</strong> usoen 2004, se mueve en esos momentos en el 87%. Para po<strong>de</strong>r seguir enel juego, Opera se ve obligado a volverse completamente gratuito ennoviembre, eliminando la publicidad que incluía en su navegador par<strong>al</strong>os que lo <strong>de</strong>scargaran sin pagar. Un estudio <strong>de</strong> Symantec suscita el <strong>de</strong>bate sobre quénavegador es más seguro. El titular que trascien<strong>de</strong> <strong>de</strong>l informe es que Firefox ha tenidomás vulnerabilida<strong>de</strong>s que Internet Explorer en lo que ha transcurrido <strong>de</strong> año. Aunque eldato es cierto, se pue<strong>de</strong> argumentar que aún así es más seguro navegar con Firefox quecon Internet Explorer, puesto que el m<strong>al</strong>ware siempre intenta aprovechar los sistemas <strong>de</strong>uso mayoritario. El que los atacantes <strong>de</strong>cidan fijar su atención más en Internet Explorer queen Firefox poco tiene que ver con la facilidad <strong>de</strong> explotación en aplicaciones <strong>de</strong> códigoabierto o cerrado. En junio <strong>de</strong> 2008 se <strong>de</strong>tectaría en nuestro laboratorio <strong>de</strong> <strong>Hispasec</strong> unejemplar <strong>de</strong> m<strong>al</strong>ware no interesado en la amplia base <strong>de</strong> usuarios <strong>de</strong> Internet Explorer yexclusivamente dirigido a los <strong>de</strong> Firefox.En el informe <strong>de</strong> Symantec se afirma que el tiempo medio entre que se publica unavulnerabilidad y aparece el exploit ha <strong>de</strong>scendido a 6 días, mientras que sitúa la media en54 días el tiempo que transcurre entre la aparición <strong>de</strong> una vulnerabilidad y la publicación<strong>de</strong>l parche. Esto abre una ventana <strong>de</strong> 48 días don<strong>de</strong> los sistemas pue<strong>de</strong>n ser vulnerables.__ En septiembre Creative lanza <strong>al</strong>guna remesa <strong>de</strong> sus reproductores Neeon con un “extra” en la memoria:un ejemplar <strong>de</strong>l gusano Wullik-B.__Nessus anuncia que abandonará la licencia GPL para su próxima versión (la 3), mientras que laempresa Sourcefire, los padres <strong>de</strong> Snort, son comprados por Check Point. Nessus nació <strong>de</strong> la mano <strong>de</strong>Renaud Deraison, quien creó en 2002 la empresa Tenable Security. Mientras que Martin Roesh, el creador<strong>de</strong> Snort, fundó la empresa Sourcefire en el 2001. Ante las nuevas noticias, Martin Roesh da las gracias <strong>al</strong>a comunidad open source, y asegura la continuidad <strong>de</strong>l proyecto Snort en las mismas condiciones, cosaque cumpliría. Renaud Deraison afirma que Nessus 2 seguirá bajo GPL aunque se limitará a parchear losproblemas que puedan encontrarse, mientras que Nessus 3 con importantes mejoras será gratuito pero nose distribuirá bajo GPL.__Comienzan a popularizarse las tarjetas <strong>de</strong> coor<strong>de</strong>nadas entre las entida<strong>de</strong>s bancarias para lucharcontra el phishing. La i<strong>de</strong>a es que en cada operación que implique movimiento <strong>de</strong> dinero, se pida unaclave <strong>de</strong> entre un buen número <strong>de</strong> coor<strong>de</strong>nadas disponibles en una tarjeta. Si un usuario re<strong>al</strong>iza unaoperación, sólo introduce una o dos coor<strong>de</strong>nadas y, aunque sean robadas, la posibilidad <strong>de</strong> que se solicitenlas mismas en una operación posterior son mínimas. El phishing evoluciona y se <strong>de</strong>tecta un caso contraeBankinter en el que <strong>de</strong>spués <strong>de</strong> introducir el usuario y contraseña se presenta un formulario don<strong>de</strong> se<strong>de</strong>ben introducir todos los números <strong>de</strong> la tarjeta <strong>de</strong> coor<strong>de</strong>nadas. Así el atacante está seguro <strong>de</strong> disponer<strong>de</strong> todas las posibilida<strong>de</strong>s. Anteriormente se había observado un caso contra LaCaixa en el que se pedía<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 173
directamente el envío <strong>de</strong> la tarjeta completa por fax. Los usuarios pican, pensando que supone una mejora<strong>de</strong> la <strong>seguridad</strong>. Sería una técnica habitu<strong>al</strong> y exitosa que aún se mantiene en la actu<strong>al</strong>idad.Sony utiliza un rootkit. La técnica utilizada por el software anticopia distribuido en <strong>al</strong>gunosCDs <strong>de</strong> Sony BMG es similar a la empleada por m<strong>al</strong>ware avanzado para evitar ser<strong>de</strong>scubiertos por los antivirus. El problema se agrava porque la inst<strong>al</strong>ación <strong>de</strong> ese software,que se lleva a cabo sin informar previamente <strong>al</strong> usuario que compra y utiliza leg<strong>al</strong>menteel CD, abre en Windows una brecha <strong>de</strong> <strong>seguridad</strong> que pue<strong>de</strong>n aprovechar virus, gusanosy troyanos. Ante la av<strong>al</strong>ancha <strong>de</strong> críticas, Sony BMG insiste en que su software no esm<strong>al</strong>icioso ni compromete la <strong>seguridad</strong> <strong>de</strong> sus clientes, sin embargo reconoce que pue<strong>de</strong>plantear vulnerabilida<strong>de</strong>s potenci<strong>al</strong>es y se ve forzada a ofrecer una utilidad ActiveX para<strong>de</strong>sinst<strong>al</strong>arlo. En noviembre aparece el primer troyano que utliza el rootkit <strong>de</strong> Sony paraescon<strong>de</strong>rse. Aprovecha una <strong>de</strong> las funciones <strong>de</strong>l rootkit <strong>de</strong> Sony que oculta por <strong>de</strong>fectotodas las entradas <strong>de</strong>l registro, procesos, carpetas y archivos cuyonombre comiencen por “$sys$”. Un análisis en el laboratorio <strong>de</strong><strong>Hispasec</strong> <strong>de</strong>scubre que el troyano se equivoca <strong>al</strong> introducir unaclave en el registro que le permita ejecutarse en cada inicio,perdiendo efectividad. Poco <strong>de</strong>spués, tras incluso <strong>de</strong>tectarse unavulnerabilidad en el propio ActiveX necesario para la <strong>de</strong>sinst<strong>al</strong>ación<strong>de</strong>l programa anticopia (que volvía vulnerable a los sistemas quelo habían inst<strong>al</strong>ado) la situación se vuelve insostenible y Sonyabandona <strong>de</strong>finitivamente el rootkit anticopia.__Se <strong>de</strong>tecta Lupper/Lupii, m<strong>al</strong>ware diseñado para sistemas Linux. El troyano aprovecha lavulnerabilidad XML-RPC <strong>de</strong>tectada en julio <strong>de</strong> 2005, en servidores <strong>de</strong> PHP en máquinas Linux.__Zero Day Initiative <strong>de</strong> TippingPoint publica su primera <strong>al</strong>erta en octubre. Se trata <strong>de</strong> una compañía,fili<strong>al</strong> <strong>de</strong> 3Com, que paga a investigadores por sus vulnerabilida<strong>de</strong>s <strong>de</strong>scubiertas, a cambio <strong>de</strong> cedérselasen exclusiva. TippingPoint se asegura así <strong>de</strong> una revelación responsable y, a<strong>de</strong>más, protege a los clientes<strong>de</strong> sus productos en primicia ante la vulnerabilidad <strong>de</strong>scubierta. Sería una iniciativa con bastante éxitoque motivaría la investigación entre los an<strong>al</strong>istas <strong>de</strong> <strong>seguridad</strong>. Un poco más tar<strong>de</strong>, en febrero <strong>de</strong> 2006,iDefense ofrecería hasta 10.000 dólares por vulnerabilida<strong>de</strong>s que permitiesen ejecución <strong>de</strong> código enWindows. TippingPoint contraatacaría ofreciendo hasta 50.000.__Se <strong>de</strong>tecta un <strong>de</strong>sbordamiento <strong>de</strong> memoria intermedia en la versión 2.0 <strong>de</strong>l firmware <strong>de</strong> la PSP (PlayStation Portable) que permite la ejecución <strong>de</strong> código. Aprovechando esta vulnerabilidad se publica unautilidad que permite re<strong>al</strong>izar una regresión a la versión 1.5 <strong>de</strong>l firmware, con la ventaja <strong>de</strong> que con ella elusuario pue<strong>de</strong> ejecutar software “no autorizado” por Sony. También se crea un troyano que, disfrazado <strong>de</strong>utilidad para bajar <strong>de</strong> la versión 2.0 a la 1.5 <strong>de</strong>l firmware, en re<strong>al</strong>idad elimina varios archivos críticos <strong>de</strong>la flash <strong>de</strong> la PSP.__El año acaba con la vulnerabilidad en tratamiento <strong>de</strong> archivos WMF <strong>de</strong> Windows en todo suapogeo. Se <strong>de</strong>tecta que se está usando un exploit que aprovecha una vulnerabilidad <strong>de</strong> Microsoft para laque no existe parche, y que pue<strong>de</strong> ser explotada por atacantes remotos para ejecutar código. Si la víctimautiliza Internet Explorer, pue<strong>de</strong> provocarse la ejecución automática <strong>de</strong> código arbitrario <strong>al</strong> visitar una webespeci<strong>al</strong>mente manipulada. 2006 empezaría con esta vulnerabilidad, y todo lo que dio <strong>de</strong> sí, en numerosostitulares.174<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
<strong>Una</strong> <strong>al</strong> día01/02/2005 Publicidad f<strong>al</strong>sa <strong>de</strong> Terra en relación a su antivirus“Antivirus <strong>de</strong>tecta y bloquea todos los virus <strong>de</strong>sconocidos y asegura la protección contra las variantes quese crean a partir <strong>de</strong>l virus origin<strong>al</strong>”. Con esta frase lapidaria, publicada en su web, Terra ven<strong>de</strong> el servicio<strong>de</strong> antivirus basado en el motor <strong>de</strong> McAfee.A estas <strong>al</strong>turas sobra <strong>de</strong>cir que no existe ninguna solución que pueda garantizar un 100% <strong>de</strong> <strong>seguridad</strong>.En el caso <strong>de</strong> los antivirus es <strong>al</strong>go tot<strong>al</strong>mente obvio, por <strong>de</strong>finición no pue<strong>de</strong>n <strong>de</strong>tectar todos los virus<strong>de</strong>sconocidos o <strong>de</strong> nueva creación, y <strong>de</strong> hecho cu<strong>al</strong>quier solución antivirus también pier<strong>de</strong> un porcentaje<strong>de</strong> virus que están pululando por Internet y cuyas muestras aun no han an<strong>al</strong>izado en sus laboratorios eincorporado a sus actu<strong>al</strong>izaciones.En la misma web po<strong>de</strong>mos leer “Contrate Antivirus ahora y olví<strong>de</strong>se <strong>de</strong> los virus. Antivirus compruebaautomáticamente si hay nuevas versiones o actu<strong>al</strong>izaciones <strong>de</strong> virus para que su protección esté siempreactu<strong>al</strong>izada”. Ya es contradictorio que un motor que dice <strong>de</strong>tectar todos los virus <strong>de</strong>sconocidos necesiteactu<strong>al</strong>izaciones <strong>de</strong> virus.Anuncios como el <strong>de</strong> Terra, a<strong>de</strong>más <strong>de</strong> ser publicidad f<strong>al</strong>sa (con lo que ello pudiera conllevar), son claramentecontraproducentes para los usuarios, ya que crean una f<strong>al</strong>sa sensación <strong>de</strong> <strong>seguridad</strong>. Los usuarios <strong>de</strong>benser en todo momento conscientes <strong>de</strong> las limitaciones intrínsecas <strong>de</strong> las soluciones antivirus, y en ningúnmomento <strong>de</strong>ben olvidarse <strong>de</strong> los virus, o terminarán infectándose.Los antivirus son una capa <strong>de</strong> <strong>seguridad</strong> recomendable y necesaria en sistemas domésticos y entornoscorporativos, pero como toda solución tiene sus limitaciones, y es entonces cuando la única línea <strong>de</strong> <strong>de</strong>fensaes el factor humano. Si vamos promulgando que el antivirus es inf<strong>al</strong>ible, que el usuario <strong>de</strong>be olvidarse <strong>de</strong>los virus por completo, o incluyendo un pie en el correo electrónico diciendo que el mensaje está libre <strong>de</strong>virus... <strong>al</strong> fin<strong>al</strong> lograremos que, por un exceso <strong>de</strong> confianza, el usuario se infecte.Sin ánimo <strong>de</strong> cargar las tintas contra McAfee, que suponemos habrá sido víctima <strong>de</strong>l marketing <strong>de</strong> Terra,<strong>al</strong>gunos datos para corroborar lo obvio:En VirusTot<strong>al</strong> recibimos durante el mes <strong>de</strong> enero 18.234 muestras <strong>de</strong> usuarios <strong>de</strong> Internet, <strong>de</strong> las cu<strong>al</strong>es10.297 fueron <strong>de</strong>tectadas como infectadas (uno o más antivirus la i<strong>de</strong>ntificaron como virus o m<strong>al</strong>ware). Deesas 10.297 muestras infectadas, McAfee sólo <strong>de</strong>tectó 4.062, es <strong>de</strong>cir, un 39,45% <strong>de</strong> acierto. Si hiciéramosun ranking basado en el porcentaje <strong>de</strong> <strong>de</strong>tección, McAfee ocuparía el 7º puesto.Seguramente a más <strong>de</strong> uno le sorpren<strong>de</strong>rá un porcentaje <strong>de</strong> <strong>de</strong>tección tan bajo. Hay que <strong>de</strong>cir en <strong>de</strong>fensa<strong>de</strong> McAfee que las muestras que suelen enviar los usuarios a VirusTot<strong>al</strong> son bastante heterogéneas, no sólose envía el típico gusano <strong>de</strong> turno. Pero, <strong>al</strong> fin y <strong>al</strong> cabo, son muestras infectadas enviadas por los usuariosy que circulan por Internet.En el siguiente enlace po<strong>de</strong>mos observar una captura <strong>de</strong> la publicidad <strong>de</strong> Terra, que esperamos seacorregida a la mayor brevedad:http://www.hispasec.com/images/mcafee_terra_20050201.pngBernardo Quintero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 175
<strong>12</strong>/04/2005 Fuerza bruta contra creatividad, los gusanos buscan el dineroEn los últimos días estamos asistiendo a un goteo constante <strong>de</strong> nuevas variantes <strong>de</strong>l gusano Mytob. Laestrategia <strong>de</strong> su creador o creadores, a f<strong>al</strong>ta <strong>de</strong> nuevas i<strong>de</strong>as en la propagación <strong>de</strong> gusanos, parece serdistribuir muchas variantes con pequeñas modificaciones para intentar evitar a los antivirus durante lasprimeras horas, mientras que se <strong>de</strong>sarrolla la pertinente firma, y afectar <strong>al</strong> máximo número <strong>de</strong> usuarios.Pese <strong>al</strong> bombar<strong>de</strong>o continuo, hay días que hemos contado hasta 5 nuevas variantes, la propagación hasta elmomento es discreta, no protagonizando ningún pico especi<strong>al</strong>mente relevante <strong>de</strong> infecciones. No obstanteestá por ver si esta estrategia está dando re<strong>al</strong>mente sus frutos y si, sin necesidad <strong>de</strong> una propagaciónrelámpago, poco a poco está logrando un parque importante <strong>de</strong> sistemas infectados.Las motivaciones por las que se crea un gusano pue<strong>de</strong>n ser <strong>de</strong> lo más variadas, pero en este caso apunta aque el interés se centra en controlar el mayor número <strong>de</strong> sistemas <strong>de</strong> forma remota, probablemente parare<strong>al</strong>izar ataques distribuidos, <strong>de</strong>s<strong>de</strong> envío <strong>de</strong> spam, hasta una <strong>de</strong>negación <strong>de</strong> servicios, pasando por elrobo <strong>de</strong> cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> acceso a sistemas bancarios.Y es que en los últimos tiempos se ha perdido el “romanticismo” en la creación <strong>de</strong> virus y gusanos, si es que<strong>al</strong>guna vez pudo <strong>de</strong>scribirse en esos términos, especi<strong>al</strong>mente cuando, en el mejor <strong>de</strong> los casos, terminancausando auténticos quebra<strong>de</strong>ros <strong>de</strong> cabeza, sin contar <strong>de</strong>strozos mayores.Hoy día, hemos pasado <strong>de</strong> los experimentos <strong>de</strong> estudiantes a la mafia organizada, a auténticos profesion<strong>al</strong>es<strong>de</strong>l m<strong>al</strong>ware que, por encima <strong>de</strong> todo, buscan un rendimiento económico.En un primer momento pudiera parecer que esta profesion<strong>al</strong>ización, con mayores recursos a sus esp<strong>al</strong>das,se traduciría en unos especímenes más sofisticados. Sin embargo po<strong>de</strong>mos observar que más bien es <strong>al</strong>contrario, se ha pasado <strong>de</strong> la creatividad a la fuerza bruta. Cada vez hay más proliferación <strong>de</strong> m<strong>al</strong>ware,pero se ha perdido en “c<strong>al</strong>idad” técnica.Mientras para los creadores <strong>de</strong> virus <strong>de</strong> la vieja escuela parte <strong>de</strong> la motivación venía dada por inventar yexperimentar con nuevas técnicas, hoy día la mayoría lo que busca son resultados cuantitativos. Y todoparece indicar que resulta más rentable en esos términos <strong>de</strong>dicarse a modificar continuamente el código<strong>de</strong>l mismo gusano más que a buscar nuevos enfoques que t<strong>al</strong> vez no tengan una rentabilidad directa ennúmero <strong>de</strong> infecciones.En el caso <strong>de</strong> la av<strong>al</strong>ancha actu<strong>al</strong> <strong>de</strong> variantes <strong>de</strong> Mytob, por ejemplo, po<strong>de</strong>mos ver como se utiliza la típicaestrategia <strong>de</strong>l envío <strong>de</strong>l archivo infectado adjunto por e-mail junto a otras técnicas bien conocidas, comoes aprovechar la vulnerabilidad LSSAS que Microsoft parcheó el año pasado, la misma que explotó elfamoso gusano Sasser.Y con esa estrategia bien conocida y para las que existen formas básicas <strong>de</strong> prevención, ¿logran infectarsistemas?. Afirmativo. Internet es enorme, y si bien mucha gente, como nuestros lectores, cumplen unasnormas básicas <strong>de</strong> <strong>seguridad</strong> que les permite prevenir este tipo <strong>de</strong> gusanos, existe un gran número <strong>de</strong>sistemas y usuarios sin protección <strong>al</strong>guna, a los que un gusano <strong>de</strong> e-mail les <strong>de</strong>be sonar a <strong>al</strong>go parecido aun insecto.Es para este parque <strong>de</strong> máquinas y usuarios <strong>de</strong>sprotegidos para los que se <strong>de</strong>sarrolla este tipo <strong>de</strong> gusanosy otro tipo <strong>de</strong> m<strong>al</strong>ware que a nosotros nos molesta más por el spam que pue<strong>de</strong>n llegar a generar que porel peligro <strong>de</strong> infectarnos.176<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
a través <strong>de</strong> mensajes multimedia (MMS), con una estrategia muy similar a la <strong>de</strong> los típicos gusanos <strong>de</strong>Internet por e-mail.Afortunadamente el inci<strong>de</strong>nte no pasó a mayores, pero todos los indicios apuntan a que la cuenta atrásha comenzado en este nuevo campo <strong>de</strong> bat<strong>al</strong>la, y que la amenaza <strong>de</strong> una infección masiva empieza acontemplarse como una posibilidad a medio plazo.Bernardo Quintero26/05/2005 Nueva generación <strong>de</strong> phishing rompe todos los esquemas<strong>Hispasec</strong> <strong>de</strong>muestra como es posible re<strong>al</strong>izar ataques phishing en servidores seguros <strong>de</strong> entida<strong>de</strong>sbancarias, aun cuando el usuario visu<strong>al</strong>ice que la URL comienza por https:// seguido <strong>de</strong>l nombre <strong>de</strong>la entidad y que el icono <strong>de</strong>l candado que aparece en la parte inferior <strong>de</strong>l navegador certifique que seencuentra en el servidor seguro <strong>de</strong>l banco.Hasta la fecha las recomendaciones para acce<strong>de</strong>r <strong>de</strong> forma segura a la banca electrónica hacían hincapiéen comprobar que la URL <strong>de</strong>l navegador comenzara por https:// seguido <strong>de</strong>l nombre <strong>de</strong> la entidad, asícomo que haciendo doble click en el candado que aparece en la parte inferior <strong>de</strong>l navegador se comprobarael certificado, para cerciorarse <strong>de</strong> que el usuario estaba navegando en el servidor seguro <strong>de</strong> la entidad.En un estudio sobre phishing avanzado, llevado a cabo por <strong>Hispasec</strong> <strong>de</strong> cara a prevenir futuras técnicas<strong>de</strong> ataque, se han <strong>de</strong>tectado varias áreas <strong>de</strong> oportunidad, una <strong>de</strong> ellas hace inútiles las recomendacionesanteriores.Básicamente se trata <strong>de</strong> aprovechar un tipo <strong>de</strong> vulnerabilidad muy común en aplicaciones webs, como es elCross-Site Scripting (XSS), para modificar el contenido <strong>de</strong> la web que el usuario visu<strong>al</strong>iza en su navegador.Este tipo <strong>de</strong> vulnerabilidad es bien conocida en el mundo <strong>de</strong> la <strong>seguridad</strong>, si bien en contadas ocasiones seconsi<strong>de</strong>ra <strong>de</strong> un riesgo medio y no se le presta la atención que se merece.En el análisis re<strong>al</strong>izado por <strong>Hispasec</strong> en webs re<strong>al</strong>es <strong>de</strong> entida<strong>de</strong>s bancarias se <strong>de</strong>muestra como es posibleaprovechar este tipo <strong>de</strong> vulnerabilidad para llevar a cabo ataques <strong>de</strong> phishing avanzados. Este tipo <strong>de</strong>ataque permite <strong>al</strong> usuario comprobar el certificado <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>l web <strong>de</strong> la entidad que está visitandosin que pueda observar nada irregular, hasta la fecha uno <strong>de</strong> los métodos más seguros que el usuario teníapara cerciorarse <strong>de</strong> que no estaba siendo víctima <strong>de</strong> un phishing y que sus datos se transmitían <strong>de</strong> formacifrada a la entidad bancaria.Para hacer más visu<strong>al</strong> y comprensible el <strong>al</strong>cance <strong>de</strong>l problema, <strong>Hispasec</strong> ha preparado tres ví<strong>de</strong>os (flash)don<strong>de</strong> se <strong>de</strong>t<strong>al</strong>la un caso re<strong>al</strong> <strong>de</strong> phishing sobre una entidad re<strong>al</strong>izado como prueba <strong>de</strong> concepto (avisado ycorregido antes <strong>de</strong> publicar estas líneas). El primero <strong>de</strong> los ví<strong>de</strong>os muestra la perspectiva <strong>de</strong> la víctima quesufre la estafa, el segundo como el atacante ha preparado el phishing, y un tercero genérico explicando <strong>de</strong>forma gráfica las implicaciones <strong>de</strong> los Cross-Site Scripting en los servidores seguros.Recomendamos encarecidamente la visu<strong>al</strong>ización <strong>de</strong> los ví<strong>de</strong>os flash disponibles en la dirección:http://www.hispasec.com/directorio/laboratorio/phishing/<strong>de</strong>mo178<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
De manera in<strong>de</strong>pendiente a si es un problema <strong>de</strong> implementación o vacío en las especificaciones, parecetambién oportuno que los navegadores, <strong>al</strong> igu<strong>al</strong> que avisan cuando <strong>de</strong>s<strong>de</strong> una conexión segura se vana visu<strong>al</strong>izar elementos no seguro, incorporaran un mecanismo para <strong>al</strong>ertar cuando se están cruzandocontenidos <strong>de</strong> diferentes servidores seguros. De lo contrario siempre rondará la duda en el esquema <strong>de</strong>autenticación <strong>de</strong> servidores web seguros.A<strong>de</strong>más <strong>de</strong> las implicaciones técnicas y <strong>de</strong> la dificultad que entrañaría a los usuarios <strong>de</strong>tectar este nuevotipo <strong>de</strong> phishing, el ataque sitúa gran parte <strong>de</strong> la responsabilidad en manos <strong>de</strong> la entidad bancaria afectada,ya que es posible llevarlo a cabo aprovechando vulnerabilida<strong>de</strong>s en la programación <strong>de</strong> su web, y no sefacilitan <strong>al</strong> usuario mecanismos adicion<strong>al</strong>es para po<strong>de</strong>r prevenir y <strong>de</strong>tectar el frau<strong>de</strong> <strong>de</strong> forma sencilla.<strong>Hispasec</strong> ha llevado a cabo un estudio preliminar sobre 50 sitios webs <strong>de</strong> entida<strong>de</strong>s bancariasespañolas, re<strong>al</strong>izando un análisis superfici<strong>al</strong> <strong>de</strong> la portada, <strong>de</strong>tectando que 6 <strong>de</strong> ellas (<strong>12</strong>%) presentabanvulnerabilida<strong>de</strong>s <strong>de</strong>l tipo Cross-Site Scripting (XSS) evi<strong>de</strong>ntes en su primera página.Debemos hacer hincapié en que las vulnerabilida<strong>de</strong>s XSS pue<strong>de</strong>n estar presentes en cu<strong>al</strong>quier página <strong>de</strong> laentidad, no sólo en la portada, por lo que el número re<strong>al</strong> <strong>de</strong> entida<strong>de</strong>s afectadas pue<strong>de</strong> ser muy superior.Dada las implicaciones en materia <strong>de</strong> <strong>seguridad</strong> que pue<strong>de</strong> tener este tipo <strong>de</strong> <strong>de</strong>bilida<strong>de</strong>s para susclientes, <strong>Hispasec</strong> recomienda encarecidamente a todas las entida<strong>de</strong>s bancarias re<strong>al</strong>icen periódicamenteauditorias <strong>de</strong> sus servicios webs incluyendo, <strong>de</strong> forma especi<strong>al</strong>, el análisis por parte <strong>de</strong> expertos <strong>de</strong>l diseñoy programación <strong>de</strong> sus páginas.Por su parte los usuarios <strong>de</strong>berán evitar a toda costa utilizar enlaces que les lleguen a través <strong>de</strong>l correoelectrónico o mediante otra vía para enlazar con servicios sensibles, como es el caso <strong>de</strong> la banca electrónica.Para evitar en concreto este nuevo tipo <strong>de</strong> ataque se recomienda que los usuarios escriban <strong>de</strong> forma manu<strong>al</strong>y directa la dirección web <strong>de</strong> su banco en el navegador.<strong>Hispasec</strong> ha notificado los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> las vulnerabilida<strong>de</strong>s <strong>de</strong>tectadas a las entida<strong>de</strong>s bancarias que formanparte <strong>de</strong>l grupo <strong>de</strong> cooperación anti-phishing recientemente formado, y <strong>de</strong> forma especi<strong>al</strong> a las entida<strong>de</strong>safectadas, <strong>de</strong> manera in<strong>de</strong>pendiente a su participación en el grupo, para que puedan proce<strong>de</strong>r a su prontacorrección y prevenir este tipo <strong>de</strong> ataques.Por ultimo <strong>de</strong>stacar el interés y eficiencia <strong>de</strong> las entida<strong>de</strong>s afectadas en la corrección <strong>de</strong> los casos <strong>de</strong>tectados,<strong>de</strong> forma especi<strong>al</strong> queremos agra<strong>de</strong>cer a Bankpyme por su diligencia ejemplar a la hora <strong>de</strong> abordar ysolucionar el problema.Bernardo Quintero27/07/2005 Troyanos y phishing, una amenaza en <strong>al</strong>zaLos phishers incorporan masivamente el uso <strong>de</strong> troyanos especi<strong>al</strong>izados en la captura <strong>de</strong> cre<strong>de</strong>nci<strong>al</strong>es comocomplemento a las técnicas habitu<strong>al</strong>es <strong>de</strong> frau<strong>de</strong>, basadas en la f<strong>al</strong>sificación <strong>de</strong> páginas web y formularios<strong>de</strong> entida<strong>de</strong>s bancarias.Que el número <strong>de</strong> ataques phishing no <strong>de</strong>ja <strong>de</strong> aumentar es un hecho evi<strong>de</strong>nte, así lo reflejan tanto lasestadísticas que recopilan este tipo <strong>de</strong> inci<strong>de</strong>ntes como los casos concretos que cu<strong>al</strong>quiera <strong>de</strong> nosotrospo<strong>de</strong>mos llegar a recibir en nuestro buzón <strong>de</strong> correo.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 179
Existe a<strong>de</strong>más una amenaza íntimamente relacionada con el phishing tradicion<strong>al</strong>, los troyanosespeci<strong>al</strong>izados en el robo <strong>de</strong> las cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> acceso a servicios <strong>de</strong> entida<strong>de</strong>s bancarias.El fin <strong>de</strong> estos troyanos y el daño que causan <strong>al</strong> usuario es el mismo que cu<strong>al</strong>quier phishing basado enel engaño mediante mensajes y páginas f<strong>al</strong>sas. Con el agravante <strong>de</strong> que el troyano pue<strong>de</strong> permanecer enel sistema <strong>de</strong>l usuario semanas o meses capturando y enviando a los phishers todas las cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong>acceso utilizadas durante ese tiempo, sin que el usuario pueda percatarse a simple vista <strong>de</strong> lo que ocurre.La re<strong>al</strong>idad es que, en la actu<strong>al</strong>idad, el número <strong>de</strong> inci<strong>de</strong>ntes relacionados con la suplantación <strong>de</strong> i<strong>de</strong>ntida<strong>de</strong>sen los servicios <strong>de</strong> banca electrónica tiene su princip<strong>al</strong> origen en este tipo <strong>de</strong> troyanos, más que en elphishing más tradicion<strong>al</strong> y reconocido basado en el engaño mediante mensajes y páginas webs que imitanlas <strong>de</strong> la entidad legítima.En los últimos casos <strong>de</strong> phishing an<strong>al</strong>izados por <strong>Hispasec</strong>, y en los que hemos logrado el acceso a losdatos obtenidos por los phishers, se comprueba que cuantitativa y cu<strong>al</strong>itativamente los troyanos son másefectivos para los intereses <strong>de</strong> los atacantes, en comparación con los datos obtenidos mediante la imitación<strong>de</strong> los formularios <strong>de</strong> acceso a banca electrónica.Por su natur<strong>al</strong>eza, los troyanos plantean más problemas <strong>de</strong> prevención a las propias entida<strong>de</strong>s bancarias. Yaque a diferencia <strong>de</strong>l phishing tradicion<strong>al</strong> no es un ataque contado en el tiempo, con un principio (cuando se<strong>de</strong>tecta el envío <strong>de</strong>l spam con el mensaje f<strong>al</strong>so) y un fin (cuando se logra <strong>de</strong>sactivar la página fraudulenta),y por tanto no pue<strong>de</strong>n establecer las medidas <strong>de</strong> vigilancia especi<strong>al</strong> que ponen en marcha en estos casos.A<strong>de</strong>más los troyanos bancarios pue<strong>de</strong>n tener un campo <strong>de</strong> acción muy amplio. Mientras que un phishingtradicion<strong>al</strong> se diseña contra una entidad en concreto, el troyano permite diseñarlo para que actúecapturando las cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> un gran número <strong>de</strong> entida<strong>de</strong>s. De hecho, a día <strong>de</strong> hoy se están capturandocre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> usuarios cuyas entida<strong>de</strong>s no han sufrido ataques <strong>de</strong> phishing tradicion<strong>al</strong>.Dada las ventajas que los troyanos suponen para los phishers, no es <strong>de</strong> extrañar que la corriente actu<strong>al</strong><strong>de</strong> este tipo <strong>de</strong> ataques combine ambas técnicas, <strong>de</strong> modo que los ataques <strong>de</strong> phishing que simulan laspáginas webs <strong>de</strong> servicio <strong>de</strong> banca electrónica incluyen a<strong>de</strong>más la inst<strong>al</strong>ación <strong>de</strong> troyanos para capturarlas cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> acceso.Un ejemplo <strong>de</strong> como funcionan este tipo <strong>de</strong> ataques combinados lo po<strong>de</strong>mos encontrar en el último caso<strong>de</strong> phishing contra clientes <strong>de</strong>l BBVA.Des<strong>de</strong> el punto <strong>de</strong> vista <strong>de</strong>l usuario, recibe en su buzón <strong>de</strong> correo electrónico un mensaje supuestamenteemitido por el BBVA, con dirección <strong>de</strong> remite bbva-supporte.es y la imagen corporativa <strong>de</strong> la i<strong>de</strong>ntidad(logotipos, etc.), don<strong>de</strong> se le informa que <strong>de</strong>be rellenar un formulario para v<strong>al</strong>idar su i<strong>de</strong>ntidad o <strong>de</strong> locontrario su cuenta será bloqueada.El formulario incluye el número <strong>de</strong> usuario, clave <strong>de</strong> acceso, clave <strong>de</strong> operaciones, PIN <strong>de</strong> la tarjeta, código<strong>de</strong> verificación <strong>de</strong> la tarjeta y documento <strong>de</strong> i<strong>de</strong>ntidad.Si el usuario, víctima <strong>de</strong>l engaño, introduce sus datos en el formulario, éstos serán enviados a los phishers,que <strong>de</strong>s<strong>de</strong> ese momento podrán suplantar la i<strong>de</strong>ntidad <strong>de</strong>l usuario para acce<strong>de</strong>r y re<strong>al</strong>izar operaciones através <strong>de</strong> la banca electrónica en su nombre.Cuando el usuario pulsa el botón <strong>de</strong> aceptar <strong>de</strong>l formulario, a<strong>de</strong>más <strong>de</strong> proce<strong>de</strong>r <strong>al</strong> envío <strong>de</strong> los datos180<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
introducidos (aunque éstos sean f<strong>al</strong>sos), se le redirige a una página web que incluye diversos scripts quetienen como fin explotar <strong>al</strong>gunas vulnerabilida<strong>de</strong>s <strong>de</strong> Internet Explorer para inst<strong>al</strong>ar un troyano.Si el usuario no cuenta con una versión actu<strong>al</strong>izada <strong>de</strong> Internet Explorer o una solución antivirus que<strong>de</strong>tecte los scripts m<strong>al</strong>iciosos o el troyano, el ejecutable preparado por los phishers se <strong>de</strong>scargará e inst<strong>al</strong>aráen su sistema. A partir <strong>de</strong> entonces todas las cre<strong>de</strong>nci<strong>al</strong>es que utilice en sus accesos, bien <strong>al</strong> BBVA u a otrosservicios por Internet, pue<strong>de</strong>n ser capturadas y enviadas a los phishers.En el momento <strong>de</strong> escribir estas líneas el phishing <strong>de</strong>l BBVA sigue activo, por lo que evitaremos dar <strong>de</strong>t<strong>al</strong>les<strong>de</strong> las direcciones para evitar cu<strong>al</strong>quier infección acci<strong>de</strong>nt<strong>al</strong>.La respuesta <strong>de</strong> las soluciones antivirus a las diferentes páginas web, exploits y ejecutable utilizados porlos phishers en este caso concreto ha sido irregular, como suele ocurrir en este tipo <strong>de</strong> ataques. No obstantelas casas antivirus participantes en VirusTot<strong>al</strong> han obtenido las muestras utilizadas en el phishing que nohan <strong>de</strong>tectado y es previsible que en un corto plazo <strong>de</strong> tiempo ofrezcan protección contra las mismas.Es por ello que los usuarios, a<strong>de</strong>más <strong>de</strong> contar con la necesaria solución antivirus, <strong>de</strong>ben prestar especi<strong>al</strong>atención en mantener su sistema actu<strong>al</strong>izado, y <strong>de</strong> forma más especi<strong>al</strong> si cabe el navegador. A<strong>de</strong>más, ydada la corriente <strong>de</strong> incluir exploits y troyanos en las páginas <strong>de</strong> phishing, se recomienda a los usuariosque eliminen <strong>de</strong> forma inmediata cu<strong>al</strong>quier mensaje que sospechen sea un phishing, evitando visitar laspáginas preparadas por los phishers.En cuanto a las entida<strong>de</strong>s, que están trabajando diligentemente en la formación y protección <strong>de</strong> sus clientes,es recomendable que amplíen su visión <strong>de</strong> la problemática <strong>de</strong>l phishing y actu<strong>al</strong>icen sus conocimientossobre las técnicas empleadas por los phishers, ya que existen áreas <strong>de</strong> oportunidad en la prevenciónproactiva y mitigación tanto <strong>de</strong>l phishing tradicion<strong>al</strong> como <strong>de</strong> la generación <strong>de</strong> troyanos especi<strong>al</strong>izados encapturar cre<strong>de</strong>nci<strong>al</strong>es.Bernardo Quintero21/09/2005 La publicidad web como vía para infectar los sistemasLa publicidad dinámica que muestran las páginas webs a modo <strong>de</strong> banners o ventanas está siendo utilizadapara hacer llegar a los usuarios contenidos m<strong>al</strong>iciosos.En los últimos tiempos se ha visto una clara proliferación en la utilización <strong>de</strong> la web como can<strong>al</strong> para infectarlos sistemas y llevar a cabo estafas <strong>de</strong> todo tipo. Son muchas las páginas que aprovechan vulnerabilida<strong>de</strong>s<strong>de</strong> los navegadores no actu<strong>al</strong>izados, especi<strong>al</strong>mente Internet Explorer por ser el <strong>de</strong> mayor implantación, ointentan engañar a los usuarios con distintas tretas para que inst<strong>al</strong>en los programas m<strong>al</strong>iciosos.Hasta la fecha este tipo <strong>de</strong> infecciones siempre se achacaba a que el usuario visitaba webs <strong>de</strong> dudosaproce<strong>de</strong>ncia, no confiables. Así los “di<strong>al</strong>ers”, programas que re<strong>al</strong>izan llamadas <strong>de</strong> tarificación adicion<strong>al</strong>, sesolían relacionar con la navegación por páginas webs <strong>de</strong> contenidos adultos, o los troyanos con la <strong>de</strong>scarga<strong>de</strong> cracks para juegos y aplicaciones piratas.Sin embargo a día <strong>de</strong> hoy se ha diversificado en gran manera los sitios web que pue<strong>de</strong>n contener m<strong>al</strong>ware,una simple <strong>de</strong>scarga <strong>de</strong> un s<strong>al</strong>vapant<strong>al</strong>las o incluso una aplicación antispyware pue<strong>de</strong> escon<strong>de</strong>r en su<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 181
interior un programa m<strong>al</strong>icioso.A diferencia <strong>de</strong> los métodos <strong>de</strong> propagación <strong>de</strong> m<strong>al</strong>ware a través <strong>de</strong>l correo electrónico, don<strong>de</strong> el programam<strong>al</strong>icioso llega directamente <strong>al</strong> buzón <strong>de</strong>l usuario, la infección a través <strong>de</strong> los sitios webs requiere que elusuario vaya a visitar una página <strong>de</strong>terminada.Las estrategias para llamar la atención <strong>de</strong>l usuario son variadas, la más habitu<strong>al</strong> consiste en re<strong>al</strong>izar unspam con un mensaje llamativo para que los usuarios <strong>al</strong> leerlo se sientan atraídos a visitar la página webm<strong>al</strong>iciosa. Con la catástrofe <strong>de</strong>l Katrina se han podido ver varios ejemplos.Otro <strong>de</strong> los métodos en boga consiste en hacer llegar los sitios webs m<strong>al</strong>iciosos a los usuarios a través<strong>de</strong> publicidad. El resultado es que los usuarios, visitando webs confiables, pue<strong>de</strong>n visu<strong>al</strong>izar banners oventanas que le invitan a inst<strong>al</strong>ar supuestas utilida<strong>de</strong>s gratuitas que en re<strong>al</strong>idad escon<strong>de</strong>n m<strong>al</strong>ware.Norm<strong>al</strong>mente los sitios webs don<strong>de</strong> aparece esta publicidad m<strong>al</strong>iciosa no son conscientes <strong>de</strong> esta práctica,ya que los banners <strong>de</strong> publicidad suelen ser gestionados por terceras empresas y se incrustan en suspáginas <strong>de</strong> forma dinámica.Esta práctica constituye un riesgo potenci<strong>al</strong>, ya que el sitio web no tiene control sobre los contenidospublicitados. Aunque en los contratos se establece una política <strong>de</strong> contenidos, lo cierto es que en muchasocasiones a las empresas <strong>de</strong> publicidad se les cuelan páginas webs m<strong>al</strong>iciosas, <strong>de</strong>bido a que no existe uncontrol exhaustivo para evitar este tipo <strong>de</strong> inci<strong>de</strong>ntes.Para ver un claro ejemplo <strong>de</strong> <strong>de</strong> como los atacantes están aprovechando la publicidad para intentar inst<strong>al</strong>arprogramas m<strong>al</strong>iciosos recomendamos ver el caso que <strong>de</strong>scribimos <strong>de</strong>l conocido sitio <strong>de</strong> tirascómicas dilbert.com en http://blog.hispasec.com/laboratorio/43Bernardo Quintero07/10/2005 Planes <strong>de</strong> recuperación ante <strong>de</strong>sastresLos recientes inci<strong>de</strong>ntes provocados por los <strong>de</strong>sastres natur<strong>al</strong>es, especi<strong>al</strong>mente el huracán Katrina, hanpuesto <strong>de</strong> manifiesto lo importante que resulta disponer <strong>de</strong> un buen plan <strong>de</strong> continuidad en las empresascuyos procesos críticos reposan en sistemas <strong>de</strong> la información.Es frecuente que muchas organizaciones, <strong>de</strong>s<strong>de</strong> pequeñas cuentas a las más gran<strong>de</strong>s corporaciones, nocontemplen éste tipo <strong>de</strong> planes, o los eludan en su puesta <strong>al</strong> día por el simple hecho <strong>de</strong> que en las zonas<strong>de</strong> operación no sean frecuentes o sean poco probables eventos in<strong>de</strong>seables que pudieran tumbar nuestro<strong>de</strong>spliegue informático, como podrían ser los <strong>de</strong>sastres natur<strong>al</strong>es o los ataques terroristas. Muchas veces,una copiosa lluvia pue<strong>de</strong> <strong>de</strong>jarnos sin actividad, y en lo referente <strong>al</strong> factor humano, un boicot interno o laacción vandálica <strong>de</strong> un ladrón podrían ser suficientes para par<strong>al</strong>izar la actividad <strong>de</strong> nuestra empresa.También se consi<strong>de</strong>ra error pensar sólo en gran<strong>de</strong>s <strong>de</strong>sastres como fuentes <strong>de</strong> la ruptura <strong>de</strong> la continuidad:huracanes, tsunamis, terremotos, inundaciones ... son sin duda aspectos a consi<strong>de</strong>rar, pero no menosimportantes son otros problemas no natur<strong>al</strong>es que podrían <strong>de</strong>jar en el dique seco nuestras operaciones.Incrementos <strong>de</strong> la tensión eléctrica, <strong>de</strong>rrames químicos y/o tóxicos en entornos industri<strong>al</strong>es, o la simpleacción humana pue<strong>de</strong>n poner en jaque nuestra capacidad <strong>de</strong> operar, t<strong>al</strong> y como explicábamos en el párrafo182<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
anterior.En sistemas <strong>de</strong> la información, la estrategia más habitu<strong>al</strong> <strong>de</strong> recuperación es aquella que implica ellevantamiento <strong>de</strong> una réplica <strong>de</strong> la infraestructura en otro sitio, <strong>al</strong>ejado <strong>de</strong>l emplazamiento habitu<strong>al</strong>,don<strong>de</strong> haya podido acontecer el <strong>de</strong>sastre. Así hablamos <strong>de</strong> sitios c<strong>al</strong>ientes, templados, fríos y sitios espejoc<strong>al</strong>ientes. Hay otra estrategia importante, que es la relativa a la pérdida <strong>de</strong>l person<strong>al</strong>, pero esa estávinculada a la gestión <strong>de</strong> recursos humanos, con lo que no entraremos en ella. Tampoco diferenciaremosentre sitios remotos, próximos o inst<strong>al</strong>aciones <strong>de</strong> recuperación internas, quedando ésta elección a criterio<strong>de</strong> los responsables implicados.Los sitios fríos son los indicados para sistemas con <strong>al</strong>ta tolerancia a la indisponibilidad, cuando larecuperación se pue<strong>de</strong> restablecer en dos o tres días. Los sitios templados están indicados para tolerancias<strong>de</strong> uno o dos días, y los c<strong>al</strong>ientes son aquellos emplazamientos cuya tolerancia ante la indisponibilidad esmuy limitada, requiriéndose una recuperación tot<strong>al</strong> en el plazo <strong>de</strong> cuatro a 24 horas. Los sitios c<strong>al</strong>ientestipo espejo son los indicados para tolerancia cero ante los tiempos <strong>de</strong> recuperación, y por tanto, funcionan<strong>de</strong> un modo par<strong>al</strong>elo entrando en acción inmediatamente <strong>de</strong>spués <strong>de</strong> que el centro <strong>de</strong> datos princip<strong>al</strong> hayacolapsado. Son por tanto, sistemas redundantes.Recuperarse ante un <strong>de</strong>sastre no es fácil. <strong>Una</strong> vez que hemos s<strong>al</strong>vaguardado los datos, toca <strong>de</strong>cidir en quéor<strong>de</strong>n vuelven a la norm<strong>al</strong>idad los procesos abatidos. Norm<strong>al</strong>mente, los procesos que más rentabilidadofrecen son los que <strong>de</strong>berían ser activados primero, si bien el or<strong>de</strong>n <strong>de</strong> la recuperación varía sustanci<strong>al</strong>menteen función <strong>de</strong> muchos parámetros.Otra tarea común es la recuperación <strong>de</strong> las líneas <strong>de</strong> contacto y <strong>de</strong> servicio a los clientes, la cu<strong>al</strong> bviamentees vit<strong>al</strong>. La telefonía o los sistemas <strong>de</strong> atención online a la clientela <strong>de</strong>ben ser rápidamente levantados, pormotivos obvios.Para elaborar un plan <strong>de</strong> recuperación no existe una metodología fija. Cada cuenta es in<strong>de</strong>pendiente <strong>de</strong>las <strong>de</strong>más en cuanto a sus requisitos <strong>de</strong> recuperación y los impactos que la discontinuidad pue<strong>de</strong> tener ensus operaciones. No obstante, es frecuente contemplar, <strong>al</strong> menos, éstos ocho pasos o fases <strong>de</strong> <strong>al</strong>to nivel a lahora <strong>de</strong> establecer una estrategia <strong>de</strong> recuperación ante <strong>de</strong>sastres:1) Inici<strong>al</strong>ización <strong>de</strong>l plan. Es el punto <strong>de</strong> comienzo, don<strong>de</strong> <strong>de</strong>berían <strong>de</strong>finirse la meta <strong>de</strong>l plan y los objetivosespecíficos que sean necesarios.2) Gestión <strong>de</strong>l riesgo y ev<strong>al</strong>uación <strong>de</strong> los potenci<strong>al</strong>es emergencias. La única manera <strong>de</strong> po<strong>de</strong>r or<strong>de</strong>nara<strong>de</strong>cuadamente los procesos <strong>de</strong> recuperación es or<strong>de</strong>nando previamente los <strong>de</strong>sastres que po<strong>de</strong>mossufrir, así como la ev<strong>al</strong>uación <strong>de</strong> los mismos en términos <strong>de</strong> discontinuidad, así como su impacto técnicoeconómicoen la organización.3) Preparación para las posibles emergencias, i<strong>de</strong>ntificado claramente los métodos <strong>de</strong> recuperación <strong>de</strong>copias <strong>de</strong> <strong>seguridad</strong> y otras técnicas <strong>de</strong> recuperación colater<strong>al</strong>es que pudieran ser necesarias.4) Recuperación tras los <strong>de</strong>sastres, don<strong>de</strong> <strong>de</strong>ben quedar claramente <strong>de</strong>finidos los pasos a seguir por losequipos <strong>de</strong> recuperación, especi<strong>al</strong>mente en los casos don<strong>de</strong> haya riesgo <strong>de</strong> pérdida <strong>de</strong> vidas humanas.5) Recuperación <strong>de</strong>l negocio, ya que una vez aplicado el plan se preten<strong>de</strong> que el negocio como conjuntovuelva a la norm<strong>al</strong>idad.6) Pruebas <strong>de</strong>l proceso <strong>de</strong> recuperación, en las que se pue<strong>de</strong>n diagnosticar f<strong>al</strong>los y corregir <strong>de</strong>ficiencias en<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 183
las fases anteriores.7) Entrenamiento <strong>de</strong>l person<strong>al</strong> para el proceso <strong>de</strong> recuperación, ya que a fin <strong>de</strong> cuentas, el person<strong>al</strong> es elque ejecuta los planes.8) Actu<strong>al</strong>ización constante <strong>de</strong>l plan <strong>de</strong> recuperación, para mantener <strong>al</strong> día los procedimientos establecidos,así como la lista <strong>de</strong> emergencias potenci<strong>al</strong>es y su v<strong>al</strong>oración probabilística <strong>de</strong> riesgo.Los planes <strong>de</strong> recuperación son un enfoque que corrige un error frecuente, que es aquel en el que caenmuchas organizaciones que estiman que la recuperación consiste únicamente en levantar los backups yp<strong>al</strong>iar los daños en infraestructura. Son sin duda factores importantes, pero no son los únicos.Y para vencer las reticencias que provoca la inversión en consultoría y mantenimiento <strong>de</strong> un plan <strong>de</strong>recuperación, sólo hay que pensar que suce<strong>de</strong>ría si usted perdiera todos sus activos <strong>de</strong> información y notuviera posibilidad <strong>de</strong> recuperarlos, o si no los recuperase a tiempo, o si <strong>al</strong> recuperarlos los datos no fueranconsistentes. ¿Merece la pena?Sergio HernandoEntrevistaMikel Urizarbarrena ha montado un imperio en una década. Des<strong>de</strong> Lantek en1986, pasando por Eurosoft en 1987 hasta Panda Software a principios <strong>de</strong> los 90, Mikel Urizarbarrenaahora es un referente en cuestión <strong>de</strong> antivirus, y el único 100% español. Mikel noes sólo el fundador <strong>de</strong> Panda sino un empren<strong>de</strong>dor nato que ha sabido enfrentarse a todo con ganas eilusión.<strong>Hispasec</strong>: ¿Cuál y cómo fue tu primer contacto con <strong>Hispasec</strong>? ¿Estás suscrito a una-<strong>al</strong>-día?¿Des<strong>de</strong> cuándo?Mikel Urizarbarrena: Creo que mi primer contacto con <strong>Hispasec</strong> fue a raíz <strong>de</strong> una comparativa <strong>de</strong>anti-virus. Por cierto, consi<strong>de</strong>ro aquella comparativa como la más seria que jamás se ha re<strong>al</strong>izado anivel mundi<strong>al</strong>. Es muy difícil que <strong>al</strong>guien <strong>de</strong>dique tanto esfuerzo y tiempo a hacer una comparativa tanexhaustiva.Estoy suscrito a una-<strong>al</strong>-día <strong>de</strong>s<strong>de</strong> junio <strong>de</strong> 1999. Es una forma magnífica <strong>de</strong> estar re<strong>al</strong>mente <strong>al</strong> día enmateria <strong>de</strong> <strong>seguridad</strong> informática. ¡Os felicito por estos 10 años <strong>de</strong> magnífico trabajo!H: ¿Siempre quisiste tener tu propio negocio? ¿Llegaste a trabajar para terceros o en otrasempresas antes <strong>de</strong> crear Panda?MU: Sólo trabajé para terceros mientras estudiaba. <strong>Una</strong> vez que fin<strong>al</strong>icé mis estudios <strong>de</strong> ingeniería, meincorporé a una incubadora <strong>de</strong> empresas (Saiolan) y pronto creé Lantek Informática Técnica, empresa<strong>de</strong>dicada <strong>al</strong> <strong>de</strong>sarrollo <strong>de</strong> Software <strong>de</strong> Diseño y Fabricación asistida por or<strong>de</strong>nador (CAD/CAM). En 1987fundé EUROSOFT con la vocación <strong>de</strong> mo<strong>de</strong>rnizar la enseñanza y la gestión <strong>de</strong> las autoescuelas medianteherramientas informáticas…184<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
H: El empren<strong>de</strong>dor, ¿nace o se hace?. Tres claves/consejos que darías a un futuroempren<strong>de</strong>dor.MU: Es posible que <strong>al</strong>gunos nazcan, pero creo que la mayoría <strong>de</strong> los empren<strong>de</strong>dores nos hacemos día adía.Estoy convencido <strong>de</strong> que todos somos empren<strong>de</strong>dores en potencia. Por eso mi mensaje a los potenci<strong>al</strong>esempren<strong>de</strong>dores es que “el hambre agudiza el ingenio y que se pue<strong>de</strong>n crear empresas con poco dinero. Quelo verda<strong>de</strong>ramente importante es querer hacerlo, <strong>de</strong>scubrir necesida<strong>de</strong>s y formas eficaces <strong>de</strong> satisfacerlasy abordar el proyecto sin miedo a fracasar”.Para mí empren<strong>de</strong>r es, por encima <strong>de</strong> todo, una actitud que hace que todo sea más divertido e inclusoapasionante. Person<strong>al</strong>mente creo que los buenos empren<strong>de</strong>dores son gente sencilla, humil<strong>de</strong>, apasionadospor lo que hacen, muy trabajadores, y con una enorme curiosidad; están interesados en las cosas, más queellos mismos tratando <strong>de</strong> ser interesantes.Mis tres claves serían las siguientes: (1) lánzate a hacer re<strong>al</strong>idad tu sueño sin pensártelo <strong>de</strong>masiado, (2)corrige el rumbo tan pronto como <strong>de</strong>tectes las necesida<strong>de</strong>s exactas que buscan tus clientes, y (3) perseveray no te amedrentes con las dificulta<strong>de</strong>s. Creo que el resto <strong>de</strong> ingredientes, incluyendo la “suerte”, aparecenen escena cuando has hecho lo anterior.H: ¿Cuantas horas <strong>de</strong> media trabajas <strong>al</strong> día? ¿Haces ejercicio? ¿Hobbies?MU: Trabajo unas 10 ó <strong>12</strong> horas diarias, pero aunque pueda sonar a bastante, me divierto con lo que hago,porque hago lo que quiero, así que más que trabajo, en re<strong>al</strong>idad se trata <strong>de</strong> juego y diversión. Sí, hagoejercicio. Me encanta el <strong>de</strong>porte y aunque ya no corro maratones y ultra-maratones como hace unos años,sí que me pego <strong>al</strong>gunas p<strong>al</strong>izas corriendo. También juego <strong>al</strong> paddle, practico tiro con arco y hago trecking.También tengo otras gran<strong>de</strong>s pasiones: la natur<strong>al</strong>eza, viajar, todo lo étnico...H: ¿Cuándo y cómo nace la i<strong>de</strong>a <strong>de</strong> <strong>de</strong>sarrollar un antivirus?MU: Fue por casu<strong>al</strong>idad. En 1989 uno <strong>de</strong> los programadores <strong>de</strong> EUROSOFT (la empresa <strong>de</strong>dicada a softwarepara auto-escuelas) me mostró un virus y la verdad es que la “criatura” me fascinó. Inmediatamente nospusimos manos a la obra para crear ARTEMIS anti-virus. Aquella 1ª versión que presentamos en el otoño<strong>de</strong> 1990 era eficaz, <strong>al</strong> tiempo que divertida: incluía una animación cuando “mataba” <strong>al</strong> “bicho”...H: ¿Recuerdas cuántos virus aproximadamente <strong>de</strong>tectaba vuestra primera versión <strong>de</strong>antivirus y cuántas personas formabais Panda? ¿Y actu<strong>al</strong>mente?MU: Sí, recuerdo perfectamente que Artemis 1.0 era capaz <strong>de</strong> reconocer 42 virus. Eramos sólo 4 personas,incluyendo a mi mujer, Berta, que se ocupaba <strong>de</strong> los temas administrativos y financieros. Hoy <strong>de</strong>tectamosmás <strong>de</strong> tres millones <strong>de</strong> ejemplares y el grupo Panda está compuesto por más <strong>de</strong> 1.000 personas en 56países <strong>de</strong> todo el mundo.H: ¿Alguna anécdota vírica <strong>de</strong> aquellos primeros años?MU: Muchísimas. Aparte <strong>de</strong> los anti-telefónica y <strong>de</strong>más virus-protesta, recuerdo una curiosa. En los iniciosmodificábamos <strong>al</strong>gunos virus, eliminándoles las acciones <strong>de</strong>structivas, para po<strong>de</strong>r probar la capacidad <strong>de</strong><strong>de</strong>tección “en vivo” <strong>de</strong> los productos, sin correr riesgos <strong>de</strong> transmisión acci<strong>de</strong>nt<strong>al</strong>. Uno <strong>de</strong> estos virus era<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 185
el “Casca<strong>de</strong>”, también llamado “F<strong>al</strong>ling letters”. “Casca<strong>de</strong>” era popular porque provocaba que todas lasletras que había en la pant<strong>al</strong>la cayeran progresivamente hacia la parte inferior <strong>de</strong> la misma, don<strong>de</strong> seacumulaban.Pues bien, recuerdo que los técnicos pusieron este “Casca<strong>de</strong>” inofensivo en el PC <strong>de</strong> una secretaria, justocuando teníamos una visita importante. Éramos pocos y estábamos en una s<strong>al</strong>a gran<strong>de</strong>. La secretaria<strong>al</strong>ucinaba cuando las letras empezaron a caer… Ella pensó que estaba infectada y no le pareció muyconveniente mostrar que “estábamos infectados” y se c<strong>al</strong>ló. Pasó un m<strong>al</strong> rato.H: En estos últimos 10 años, 1998-2008, ¿cómo has visto la evolución <strong>de</strong> la industria <strong>de</strong> losantivirus? ¿Cuáles han sido los princip<strong>al</strong>es cambios y retos?MU: Como bien sabes, en el frente <strong>de</strong>l m<strong>al</strong>ware hemos pasado <strong>de</strong> autores que buscaban “fama” a verda<strong>de</strong>roscrimin<strong>al</strong>es con motivaciones claramente económicas. Así, hemos pasado <strong>de</strong> los virus loc<strong>al</strong>es <strong>de</strong> comienzos<strong>de</strong> los 90, a las epi<strong>de</strong>mias masivas <strong>de</strong> fin<strong>al</strong>es <strong>de</strong> los 90 y comienzos <strong>de</strong>l 2000, y a la larga cola <strong>de</strong> millones<strong>de</strong> bichos creados con fines económicos: robo <strong>de</strong> secretos industri<strong>al</strong>es y otros datos confi<strong>de</strong>nci<strong>al</strong>es; robo<strong>de</strong> cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> cuentas bancarias; secuestro <strong>de</strong> información; etc. Esto constituye un auténtico ataque<strong>de</strong> <strong>de</strong>negación <strong>de</strong> servicios contra los laboratorios <strong>de</strong> las empresas <strong>de</strong> <strong>seguridad</strong>, ya que <strong>de</strong>bemos an<strong>al</strong>izarvarios miles <strong>de</strong> “bichos” <strong>al</strong> día, cuando no hace mucho eran sólo unas pocas <strong>de</strong>cenas. El m<strong>al</strong>ware <strong>de</strong> hoyes insidioso, imperceptible; a veces glob<strong>al</strong>, y otras muy loc<strong>al</strong>, afectando sólo a los clientes <strong>de</strong> una región,o a los clientes <strong>de</strong> un <strong>de</strong>terminado servicio; a veces efímero, otras diseñado para permanecer años sinser <strong>de</strong>tectado… El verda<strong>de</strong>ro reto ha sido y es, hoy más que nunca, proteger contra lo <strong>de</strong>sconocido, y esorequiere un acercamiento estratégico y tecnológico muy innovador. En Panda hemos apostado siemprepor ello, y así hemos creado tecnologías pro-activas eficaces, como Tru-prevent®.H: A día <strong>de</strong> hoy los anti-virus han pasado a ser un “anti-todo”, verda<strong>de</strong>ras suites <strong>de</strong> <strong>seguridad</strong>que van más <strong>al</strong>lá <strong>de</strong> la <strong>de</strong>tección <strong>de</strong> todo tipo <strong>de</strong> m<strong>al</strong>ware, con la integración <strong>de</strong> firew<strong>al</strong>l,antispam, antiphishing, antidi<strong>al</strong>ers, etc., lo que también ha traído un mayor consumo <strong>de</strong>recursos en los sistemas y en ocasiones una mayor interacción con el usuario, quien <strong>de</strong>betomar <strong>de</strong>cisiones a petición <strong>de</strong> la suite. ¿No se está “engordando” <strong>de</strong>masiado la solución?¿Debe ser el trabajo <strong>de</strong> la suite transparente o el usuario <strong>de</strong>be tener nociones <strong>de</strong> <strong>seguridad</strong>para <strong>de</strong>cidir sobre <strong>de</strong>terminadas acciones?MU: Creo que es responsabilidad 100% <strong>de</strong> los proveedores <strong>de</strong> <strong>seguridad</strong> el evitar y solucionar los problemas<strong>de</strong> <strong>seguridad</strong>, sin crear problemas adicion<strong>al</strong>es a los usuarios, y no siempre ha sido así. Muy claramente, eslabor <strong>de</strong> las empresas el <strong>de</strong>sarrollar las tecnologías a<strong>de</strong>cuadas para conseguirlo.Por supuesto, también es muy recomendable que los usuarios tengan unas nociones mínimas <strong>de</strong> <strong>seguridad</strong>informática, <strong>de</strong> la misma manera que todos tenemos ciertas nociones acerca <strong>de</strong> cómo mantener una cierta<strong>seguridad</strong> y evitar robos y <strong>de</strong>más <strong>de</strong>sastres.H: Observamos que el Panda ThreatWatch, el indicador <strong>de</strong> riesgo <strong>de</strong> infección que apareceen vuestra Web, lleva muchos meses (o incluso más <strong>de</strong> un año), en nivel naranja-intermedio.Esa situación se repite prácticamente en todos los indicadores <strong>de</strong>l resto <strong>de</strong> empresas<strong>de</strong> <strong>seguridad</strong>. Tras la <strong>de</strong>ca<strong>de</strong>ncia <strong>de</strong> los gusanos <strong>de</strong> propagación masiva que causabanpan<strong>de</strong>mias puntu<strong>al</strong>es y la aparición <strong>de</strong> la larga cola <strong>de</strong>l m<strong>al</strong>ware (miles <strong>de</strong> variantesnuevas cada día), ¿sigue teniendo sentido los indicadores <strong>de</strong> riesgo glob<strong>al</strong>? ¿Cómo <strong>de</strong>bemosinformar y concienciar <strong>al</strong> usuario <strong>de</strong> los peligros re<strong>al</strong>es <strong>de</strong> infección?186<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
MU: Tienes razón, estos indicadores no son muy útiles hoy en día. Se da la paradoja <strong>de</strong> que siendo lasituación mucho más peligrosa que nunca antes en la historia, el usuario no lo percibe como t<strong>al</strong>… Vemoscomo incluso Inteco también comunica sistemáticamente esta dramática situación sin que el mensaje c<strong>al</strong>e<strong>de</strong>masiado.Ahora mismo no es fácil informar <strong>de</strong> forma creíble, porque la situación es <strong>de</strong> hecho, increíble. Posiblementelo hayamos hecho m<strong>al</strong> en el pasado con la profusión <strong>de</strong> <strong>al</strong>ertas y creo que es humano acabar harto <strong>de</strong> tanto<strong>al</strong>armismo. Al fin y <strong>al</strong> cabo, las herramientas son sobre todo, para usarse.Creo que sería más práctico formar a los usuarios en las nuevas amenazas mediante elementos multimedia,que informar una y otra vez <strong>de</strong> todo lo nuevo que acontece. Un usuario formado, será seguramente tambiénun usuario informado.H: Siguiendo con las herencias <strong>de</strong>l pasado, la mayoría <strong>de</strong> certificaciones y <strong>al</strong>gunascomparativas se basan en la lista in-the-wild (los virus más extendidos). ¿Tiene sentidomantener esa lista y seguir utilizándola como patrón <strong>de</strong> las ev<strong>al</strong>uaciones antivirus? Agran<strong>de</strong>s rasgos, ¿cómo <strong>de</strong>berían evolucionar las certificaciones y comparativas?MU: T<strong>al</strong> y cómo funciona la lista in-the-wild hoy en día tiene una utilidad escasa. En el pasado ha sidoun instrumento muy útil tanto para usuarios como para <strong>de</strong>sarrolladores, pero se ha quedado obsoletay ha sido ampliamente superada por la situación <strong>de</strong>l m<strong>al</strong>ware. Como <strong>de</strong>cía antes, hoy en día el m<strong>al</strong>warees imperceptible e insidioso, y muchas veces también efímero, <strong>de</strong>jando <strong>de</strong> funcionar en pocas horas. Almismo tiempo hemos asistido a una gran proliferación <strong>de</strong> troyanos e incluso rootkits, y estos no aparecenreflejados en la lista in-the-wild. A mi modo <strong>de</strong> ver esto requiere que la lista in-the-wild: (1) pase <strong>de</strong> ser un<strong>al</strong>ista <strong>de</strong> virus, a una lista <strong>de</strong> m<strong>al</strong>ware, y (2) que se actu<strong>al</strong>ice prácticamente en tiempo re<strong>al</strong>. Des<strong>de</strong> 2006, enPanda venimos luchando por conseguirlo, promoviendo la colaboración entre los diversos agentes públicosy privados. No es un tema sencillo, pero pue<strong>de</strong> y <strong>de</strong>be hacerse.Tanto las certificaciones, como las comparativas, <strong>de</strong>berían estar diseñadas para proporcionar a losusuarios una garantía <strong>de</strong> si el producto en cuestión pue<strong>de</strong> protegerle a<strong>de</strong>cuadamente o no frente <strong>al</strong> m<strong>al</strong>wareen circulación en ese momento. Esto <strong>de</strong>bería ser monitorizado continuamente, <strong>de</strong> forma que se vea laevolución <strong>de</strong> la protección que ofrece cada producto y fabricante. Esto requiere un esfuerzo enorme, perono sería posible hacerlo sin tener un muestreo en tiempo re<strong>al</strong> <strong>de</strong> qué m<strong>al</strong>ware está afectando re<strong>al</strong>mente <strong>al</strong>os usuarios <strong>de</strong> cada región. Creo que tenemos que comenzar por ahí.H: En los últimos tiempos han existido cambios importantes en Panda, especi<strong>al</strong>mente conla entrada <strong>de</strong> fondos <strong>de</strong> inversión <strong>al</strong> accionariado. ¿Cuál es tu puesto y función actu<strong>al</strong>menteen Panda?MU: Tras la entrada <strong>de</strong> los fondos <strong>de</strong> inversión en la compañía mi posición pasó a ser la <strong>de</strong> Presi<strong>de</strong>nte <strong>de</strong>lConsejo <strong>de</strong> Administración. Colaboro en la planeación <strong>de</strong> la estrategia <strong>de</strong>l grupo.H: Al margen <strong>de</strong> tu trabajo en la industria <strong>de</strong> la <strong>seguridad</strong>, ¿a qué <strong>de</strong>dicas más tiempoúltimamente?MU: Hace tres años inicié una start-up en el campo <strong>de</strong> la semántica. Estamos a punto <strong>de</strong> lanzar las primerassoluciones. También estoy arrancando una Empresa soci<strong>al</strong> que tiene que ver con crear puestos <strong>de</strong> trabajoen países en vías <strong>de</strong> <strong>de</strong>sarrollo. A nivel más person<strong>al</strong> acabo <strong>de</strong> tener un hijo y esperamos incrementar lafamilia con un par <strong>de</strong> niños adoptados.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 - 187
H: ¿Cuál es el sitio más interesante en el que has estado por trabajo? ¿y por hobby?MU: Por trabajo, en el Silicon v<strong>al</strong>ley. Es un hervi<strong>de</strong>ro <strong>de</strong> pasión y actividad creativa. Por hobby, la selvacentro-africana don<strong>de</strong> viven los pigmeos baká. T<strong>al</strong> vez para no olvidar las raíces… Me apasiona esecontraste entre lo más avanzado y lo más primitivo.H: El último libro que has leídoMU: “Un mundo sin pobreza” <strong>de</strong> Muhammad Yunus. Me ha llamado po<strong>de</strong>rosamente la atención su concepto<strong>de</strong> “Empresa Soci<strong>al</strong>”: una empresa mercantil que <strong>de</strong>be generar beneficio que se reinvierte tot<strong>al</strong>mente ensu fin<strong>al</strong>idad, exclusivamente soci<strong>al</strong>.H: ¿Cómo te ves <strong>de</strong>ntro <strong>de</strong> diez años?MU: Hace ya muchos años tomé la firme <strong>de</strong>cisión <strong>de</strong> que cuando fuera más mayor diría que hice esto y queme s<strong>al</strong>io bien; también que hice esto otro y no me s<strong>al</strong>ió tan bien; pero me juré a mi mismo que no diría, nipensaría “si hubiera hecho” o “pu<strong>de</strong> hacer, pero...”. Nada <strong>de</strong> lamentos, ni “sies” condicion<strong>al</strong>es…Espero sentirme muy satisfecho <strong>de</strong> haber hecho todo lo que estuviera a mi <strong>al</strong>cance en esos 10 años. Tambiénespero tener proyectos ambiciosos y que me llenen para los 10 años siguientes…188<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2005 -
7D63726año 2006Capítulo811111010110
1152748800 – <strong>12</strong>15907199Durante este año...__El 1 <strong>de</strong> enero entra en vigor en España la nueva ley antitabaco, que impi<strong>de</strong> fumaren la mayoría <strong>de</strong> sitios públicos que no posean una infraestructura a<strong>de</strong>cuada ni en loslugares <strong>de</strong> trabajo.__En Sidney, Austr<strong>al</strong>ia, se llega el 1 <strong>de</strong> enero a los 45 grados centígrados, su día más c<strong>al</strong>uroso hasta lafecha.__Se establece que el 3 <strong>de</strong> enero <strong>de</strong> 2006 internet <strong>al</strong>canza los mil millones <strong>de</strong> usuarios en todo elmundo.__ Aunque es i<strong>de</strong>ntificada por primera vez en It<strong>al</strong>ia a principios <strong>de</strong>l siglo XX , se comienza a crear histeriaen todo el mundo a raíz <strong>de</strong> ciertos brotes aislados <strong>de</strong> gripe aviar en Europa, Medio Oriente y África. Lasnoticias provocan un dramático <strong>de</strong>scenso <strong>de</strong> consumo <strong>de</strong> productos avícolas. Se establecen restriccionesen el comercio y caen los precios. Tiene suficiente potenci<strong>al</strong> como para infectar a distintas especies <strong>de</strong>mamíferos, como por ejemplo el cerdo y el gato, pero se cree en principio que es imposible o muy improbablela transmisión entre humanos, necesitando contacto directo con las aves para su contagio. Sin embargo enjunio se comprobaría un caso re<strong>al</strong> <strong>de</strong> transmisión <strong>de</strong>l virus entre personas.__Fin<strong>al</strong>iza con éxito la misión espaci<strong>al</strong> <strong>de</strong> la NASA que pretendía recoger polvo espaci<strong>al</strong> <strong>de</strong> un cometa.En febrero se <strong>de</strong>sata la polémica sobre las caricaturas <strong>de</strong> Mahoma expuestas en unperiódico danés. El mundo islámico protesta enérgicamente contra la reproducción endiarios europeos <strong>de</strong> dibujos y caricaturas <strong>de</strong>l profeta, por consi<strong>de</strong>rarlas ofensivas. Lasdoce caricaturas <strong>de</strong> Mahoma que inician el grave conflicto diplomático son publicadaspor el diario danés Jyllands-Posten y reproducidas por otros periódicos <strong>de</strong> Europa en losdías siguientes. Los países islámicos prohíben la venta <strong>de</strong> los diarios don<strong>de</strong> hayan sidopublicadas. En uno <strong>de</strong> los dibujos aparece Mahoma vistiendo un turbante con forma <strong>de</strong>bomba clásica con la mecha encendida. En otra viñeta, un cuadro <strong>de</strong> diálogo asegura quese está quedando sin vírgenes. El diputado in<strong>de</strong>pendiente holandés Geert Wil<strong>de</strong>rs sube asu página web las polémicas caricaturas sobre Mahoma. C<strong>al</strong>ifica <strong>de</strong> “muy preocupante”que los dibujos <strong>de</strong>sataran la ira entre los musulmanes. Las publica para mostrar su apoyo asus creadores. Como resultado es amenazado <strong>de</strong> muerte por integristas.__El 3 <strong>de</strong> febrero la Frikipedia es retirada tempor<strong>al</strong>mente <strong>de</strong> Internet tras una <strong>de</strong>nuncia <strong>de</strong> la SGAE. La“Frikipedia” nace como una parodia <strong>de</strong> la Wikipedia. Entre sus <strong>de</strong>finiciones, se incluye una irónica<strong>de</strong>scripción <strong>de</strong> la Sociedad Gener<strong>al</strong> <strong>de</strong> Autores y Ejecutantes (SGAE). Pero según Pedro Farré, director <strong>de</strong>Relaciones Institucion<strong>al</strong>es <strong>de</strong> la SGAE, constituye una “clamorosa difamación”. Al recibirla <strong>de</strong>manda, el autor <strong>de</strong> la web la cierra y pi<strong>de</strong> ayuda económica a la comunidad internauta,para sufragarse un abogado. Más <strong>de</strong> 200 webs secundan una sonora campaña <strong>de</strong> apoyo.Entre los internautas y la SGAE se tensa aún más si cabe la relación. Aparecen pintadasofensivas en la fachada <strong>de</strong> la se<strong>de</strong> <strong>de</strong> la entidad. Un programador <strong>de</strong>scubre que el sistema190<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
<strong>de</strong> envío <strong>de</strong> comentarios <strong>de</strong> la web <strong>de</strong> la SGAE tiene un filtro que bloquea p<strong>al</strong>abras “m<strong>al</strong>sonantes”: “Linux”entre ellas. Es un pequeño escánd<strong>al</strong>o en la comunidad <strong>de</strong> Internet. Farré lo c<strong>al</strong>ifica <strong>de</strong> “anécdota ridícula”y continúa: “Hace cinco años, cuando hicimos este filtro, Linux se asociaba a movimientos <strong>al</strong>ternativos y ainsultos. Olvidamos retirarla, pero se retirará”. La <strong>de</strong>manda contra la Frikipedia también sería retirada.__La Wikipedia en inglés edita su artículo número 1.000.000.__En marzo se encuentra muerto a Slobodan Milosevic en su celda <strong>de</strong> la prisión <strong>de</strong>l Tribun<strong>al</strong> Pen<strong>al</strong>Internacion<strong>al</strong>. Era juzgado en La Haya por crímenes <strong>de</strong> guerra y genocidio por su responsabilidad en lostres conflictos <strong>de</strong> los B<strong>al</strong>canes (Croacia, Bosnia y Kosovo) durante toda la década <strong>de</strong> los 90 y que causaronmás <strong>de</strong> 200.000 muertos. El juicio comenzó en febrero <strong>de</strong> 2002 y había sido interrumpido en numerosasocasiones por los problemas <strong>de</strong> s<strong>al</strong>ud <strong>de</strong>l acusado. Pasaría a la historia como el primer ex Jefe <strong>de</strong> Estadoque comparecía ante un tribun<strong>al</strong> internacion<strong>al</strong>.__ETA anuncia un <strong>al</strong>to el fuego permanente a partir <strong>de</strong>l día 24 <strong>de</strong> marzo <strong>de</strong> 2006. Son momentos<strong>de</strong> esperanza para la paz. Sin romper ofici<strong>al</strong>mente el <strong>al</strong>to el fuego, el 30 <strong>de</strong> diciembre <strong>de</strong> ese mismo añoharía est<strong>al</strong>lar un artefacto en el aparcamiento <strong>de</strong> la Termin<strong>al</strong> 4 <strong>de</strong>l Aeropuerto <strong>de</strong> Barajas <strong>de</strong> Madrid. Enjunio <strong>de</strong> 2007 se rompería la tregua ofici<strong>al</strong>mente en un comunicado publicado en la página web <strong>de</strong>l diarioBerria. Los terroristas argumentarían que “no se dan las condiciones mínimas para seguir con un proceso<strong>de</strong> negociación” y que el Gobierno <strong>de</strong> Zapatero “ha respondido <strong>al</strong> parón <strong>de</strong> las acciones armadas, con<strong>de</strong>tenciones, torturas y persecuciones”.__Durante el verano, Fi<strong>de</strong>l Castro <strong>de</strong>lega el po<strong>de</strong>r en su hermano Raúl. Castrose encuentra en un <strong>de</strong>licado estado <strong>de</strong> s<strong>al</strong>ud. Incluso se rumorea que podría estarmuerto. Aparecería varias semanas <strong>de</strong>spués con su famoso chánd<strong>al</strong>. Se enviaríanposteriormente por email varias oleadas que contienen bulos sobre ví<strong>de</strong>os y noticias<strong>de</strong> su muerte, que escon<strong>de</strong>rían en re<strong>al</strong>idad m<strong>al</strong>ware.__ Después <strong>de</strong> <strong>al</strong>gunas <strong>de</strong>tenciones en Londres, relacionadas con terroristas que pretendían viajar <strong>de</strong>s<strong>de</strong>esta ciudad hacia los Estados Unidos, los líquidos y geles se prohíben en el equipaje <strong>de</strong> mano <strong>de</strong> losvuelos comerci<strong>al</strong>es.__En agosto, y más <strong>de</strong> 70 años <strong>de</strong>spués <strong>de</strong> ser <strong>de</strong>scubierto, Plutón es <strong>de</strong>gradado <strong>de</strong> “planeta” a “planetaenano” por la asociación internacion<strong>al</strong> <strong>de</strong> astronomía en su vigésimosexta asamblea gener<strong>al</strong>.__El 23 <strong>de</strong> agosto encuentran sana y s<strong>al</strong>va a Natascha Kampusch, <strong>de</strong>saparecida en marzo <strong>de</strong> 1998 enextrañas circunstancias y con solo 10 años <strong>de</strong> edad. Durante su secuestro vivió en un zulo a 2,5 metros<strong>de</strong> profundidad y sólo 5 metros cuadrados, sin luz natur<strong>al</strong> en el sótano <strong>de</strong> la casa <strong>de</strong> su raptor WolfgangPriklopil. Tenía “permisos” ocasion<strong>al</strong>es para s<strong>al</strong>ir <strong>al</strong> jardín. Al parecer Priklopil la educó durante ese tiempo.Amenazaba a Kampusch con matar a quien pidiera ayuda o suicidarse si escapaba. Natascha huye duranteuna <strong>de</strong> sus s<strong>al</strong>idas <strong>de</strong>l zulo y, antes <strong>de</strong> que lo encuentren, Priklopil se suicida s<strong>al</strong>tando a las vías <strong>de</strong> un tren.Natascha se convierte en un fenómeno mediático. Se abre una cuenta para financiar el tratamiento <strong>de</strong> sustraumas y comienza a ofrecer entrevistas millonarias, que se supone dona a instituciones caritativas.__ El 3 <strong>de</strong> septiembre la selección española <strong>de</strong> b<strong>al</strong>oncesto, sin po<strong>de</strong>r contar con Pau Gasol lesionado en lasemifin<strong>al</strong>, gana el campeonato <strong>de</strong>l mundo contra Grecia, en un cómodo partido que termina 70 a 47. En lasemifin<strong>al</strong> había vencido a Argentina gracias a un apretado 74 a 75.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 191
El 10 <strong>de</strong> octubre Google compra YouTube por 1.650 millones <strong>de</strong> dólares. Google Vi<strong>de</strong>oes un fracaso, no consigue ni la popularidad ni las funcion<strong>al</strong>ida<strong>de</strong>s técnicas que hanhecho <strong>de</strong> YouTube un fenómeno soci<strong>al</strong>. YouTube había nacido apenas año y medio antes,en febrero <strong>de</strong> 2005 y en cuestión <strong>de</strong> meses se convierte en una marca mundi<strong>al</strong>mentereconocida en la web, que no <strong>de</strong>ja <strong>de</strong> innovar e incluir nuevas funcion<strong>al</strong>ida<strong>de</strong>s. ChadHurley y Steve Chen emiten a través <strong>de</strong> su página un ví<strong>de</strong>o en el que, <strong>de</strong> forma inform<strong>al</strong>,se muestran exultantemente <strong>al</strong>egres ante la compra.__El 28 <strong>de</strong> octubre Televisión Española celebra los 50 años <strong>de</strong>l comienzo <strong>de</strong> sus emisiones en España,y una-<strong>al</strong>-día, su octavo cumpleaños.__Estados Unidos llega a los 300 millones <strong>de</strong> habitantes.__En octubre Microsoft publica Windows Internet Explorer 7. Han pasado 5 años exactos <strong>de</strong>s<strong>de</strong> laaparición <strong>de</strong> la versión anterior. La guerra <strong>de</strong> navegadores ha comenzado hace tiempo y Microsoft <strong>de</strong>ci<strong>de</strong>trabajar en un producto que tenía <strong>de</strong>sastrosamente abandonado. Ofrece por fin características programadasen otros navegadores <strong>de</strong>s<strong>de</strong> hace años, como la navegación por pestañas o lector RSS integrado. Llega enun momento en el que prácticamente todos los navegadores se ven afectados <strong>de</strong> una manera u otra pordistintas vulnerabilida<strong>de</strong>s.__ El 3 <strong>de</strong> noviembre la revista Science predice que el 90% <strong>de</strong> las formas <strong>de</strong> vida marítimas estaránextinguidas en el 2048.__El 30 <strong>de</strong> noviembre s<strong>al</strong>e Windows Vista para ser comprado por licencias <strong>de</strong> distribuidores.__El 30 <strong>de</strong> diciembre Saddam Hussein es ahorcado en Baghdad. Las imágenes <strong>de</strong> su ejecución sonrecogidas por un teléfono móvil y distribuidas por las re<strong>de</strong>s P2P.__Ese mismo día tiene lugar el atentado en el aeropuerto <strong>de</strong> Madrid-Barajas. ETA hace est<strong>al</strong>laruna bomba en el aparcamiento “C” en la Termin<strong>al</strong> 4 <strong>de</strong> Barajas. El resultado es <strong>de</strong> 19 heridos leves y dosciudadanos <strong>de</strong> nacion<strong>al</strong>idad ecuatoriana f<strong>al</strong>lecidos..Seguridad InformáticaMicrosoft publica un aviso <strong>de</strong> <strong>seguridad</strong> don<strong>de</strong> confirma la existencia <strong>de</strong>la vulnerabilidad WMF (Windows Meta File) en Windows. El f<strong>al</strong>lo permite laejecución <strong>de</strong> código <strong>de</strong> forma transparente y con sólo visitar una página web. Está siendoaprovechado activamente para infectar los sistemas <strong>de</strong> forma masiva. Prácticamentetodas las versiones <strong>de</strong> Windows se ven afectadas. Aparecen todo tipo <strong>de</strong> exploits máspotentes, capaces <strong>de</strong> presentarse bajo otros formatos <strong>de</strong> imágenes (jpg, gif...) y generarcódigo polimórfico que dificulta su <strong>de</strong>tección genérica por parte <strong>de</strong> los antivirus, IDS, yresto <strong>de</strong> soluciones basadas en firmas. Se popularizan los correos que incorporan unaimagen especi<strong>al</strong>mente manipulada que aprovecha el f<strong>al</strong>lo, pretendiendo felicitar elnuevo año. La fecha ofici<strong>al</strong> en la que Microsoft pensaba publicar sus parches es el 10 <strong>de</strong>enero, más <strong>de</strong> una semana <strong>de</strong>spués <strong>de</strong> la <strong>de</strong>tección. En ese tiempo la situación podría192<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
volverse insostenible. Ilfak Guilfanov, autor <strong>de</strong>lpopular <strong>de</strong>sensamblador IDA, publica un parcheno ofici<strong>al</strong> que soluciona el f<strong>al</strong>lo. Su web hexblog.com se ve completamente saturada ante laav<strong>al</strong>ancha <strong>de</strong> <strong>de</strong>scargas y permanece inactivadurante varias horas. Steve Gibson insinúa que elproblema es tan absurdo y lleva ahí <strong>de</strong>s<strong>de</strong> hacetanto tiempo, que podria ser intencionado.Ante las presiones, Microsoft publica un parchefuera <strong>de</strong> su ciclo habitu<strong>al</strong> <strong>de</strong> actu<strong>al</strong>izaciones lossegundos martes <strong>de</strong> cada mes, y el día 5 aparecela solución ofici<strong>al</strong>. Esta actu<strong>al</strong>ización soluciona elproblema <strong>de</strong> la ejecución <strong>de</strong> código, pero no el <strong>de</strong> <strong>de</strong>negación <strong>de</strong> servicio. Distintasversiones <strong>de</strong>l parche solucionarían por completo este gravísimo inci<strong>de</strong>nte.__El 19 <strong>de</strong> enero se cumplen 20 años <strong>de</strong> la aparición <strong>de</strong>l virus Brain, primer ejemplar para la plataforma PC.Antes <strong>de</strong> ese Brain, en noviembre <strong>de</strong> 1983, Fred Cohen acuñó el término “virus” y <strong>de</strong>mostró empíricamentelo que todos temían e intuían: efectivamente, como muchos habían estudiado teóricamente, se podía crearcódigo que atacara a otros programas modificándolos, y a la vez fuese capaz <strong>de</strong> auto-replicarse. Cohenpresentó el código <strong>de</strong>l experimento en su doctorado para la Universidad <strong>de</strong>l Sur <strong>de</strong> C<strong>al</strong>ifornia y <strong>de</strong>mostró<strong>al</strong> mundo que este comportamiento era posible en un programa implementándolo en una máquina Vax(bajo Unix). El programa creado podía hacerse con los <strong>de</strong>rechos <strong>de</strong> los archivos <strong>de</strong>l sistema en menos <strong>de</strong>una hora, con un tiempo récord <strong>de</strong> cinco minutos. El hecho causó tanto miedo que se prohibieron estetipo <strong>de</strong> prácticas, pero la curiosidad y fascinación crecía en los nuevos informáticos, que comenzaron aexperimentar con nuevos “programas” y los recién estrenados sistemas. Nacían los primeros virus._ Se <strong>de</strong>tecta un troyano que se distribuye por correo basura, simulandoprovenir <strong>de</strong> VirusTot<strong>al</strong>. Está dirigido a usuarios brasileños. La excusaesta vez es avisarles <strong>de</strong> que están infectados con un virus, W32.Jeefo@mm, y ofrecer un enlace para que se <strong>de</strong>scargue una vacuna genérica para<strong>de</strong>sinfectarse (que en re<strong>al</strong>idad es el troyano). <strong>Una</strong> vez más se aprovecha laimagen <strong>de</strong> una reputada web para dar confianza a las víctimas._ En febrero se <strong>de</strong>tecta la distribución por todo el mundo <strong>de</strong> un nuevogusano, que <strong>de</strong>bido a los textos que incluye recibe el imaginativo nombre <strong>de</strong>“Kama Sutra”. A pesar <strong>de</strong> ser “otro más” <strong>de</strong> los gusanos que aprovechanla ingeniería soci<strong>al</strong> para infectar a sus víctimas, consigue una coberturaimportante en medios especi<strong>al</strong>izados. El autor <strong>de</strong>l virus consigue con creceslo que probablemente preten<strong>de</strong>: la atención incondicion<strong>al</strong> <strong>de</strong> los medios, miles <strong>de</strong> noticias escritas sobreél y la inquietud <strong>de</strong> muchos usuarios horas antes <strong>de</strong>l día 3 <strong>de</strong> febrero, supuesto momento <strong>de</strong> activación <strong>de</strong>su código m<strong>al</strong>igno. <strong>Una</strong> vez infecta el sistema, intenta <strong>de</strong>sactivar el funcionamiento <strong>de</strong> diversos productosantivirus, recoge direcciones <strong>de</strong> correo en el or<strong>de</strong>nador <strong>de</strong> la víctima para distribuirse por e-mail utilizandosu propio motor SMTP, y también intenta distribuirse a través <strong>de</strong> los recursos compartidos. Lo que provocaque se le tome en cuenta es que los días 3 <strong>de</strong> cada mes el gusano sobreescribe (que no borra) archivos conextensiones .doc, .xls, .mdb, .m<strong>de</strong>, .ppt, archivos comprimidos con .zip y .rar, .pdf, .psd y .dmp. Destruyedocumentos muy v<strong>al</strong>orados por todo tipo <strong>de</strong> usuarios y que suelen contener información importante parasu trabajo, estudios o cu<strong>al</strong>quier otra actividad. Hoy en día, pocos son los virus que se <strong>de</strong>dican a <strong>de</strong>struir<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 193
<strong>de</strong> <strong>al</strong>guna forma el sistema en el que se han <strong>al</strong>ojado. Otro <strong>de</strong>t<strong>al</strong>le que lo lleva a ser tan popular es el exóticonombre adoptado por <strong>al</strong>gunas casas antivirus para diferenciarlo. No ha existido un consenso claro, y,entre otros, <strong>al</strong> virus se le ha llamado Nyxem, BlackM<strong>al</strong>, Kapser, MyWife, Tearec... pero “Kama Sutra” haresultado ganador en los medios no especi<strong>al</strong>izados, y eso que “Kama Sutra” era simplemente uno <strong>de</strong> las<strong>de</strong>cenas <strong>de</strong> asuntos que aparecían en los correos infectados. El sexo siempre será un reclamo fácil paraintentar que usuarios <strong>de</strong>spistados ejecuten archivos que vienen <strong>de</strong> fuentes no confiables, y esta vez no esuna excepción.__ El 14 <strong>de</strong> febrero <strong>al</strong>gunos empleados <strong>de</strong> la compañía “The Trainning Camp” entregan en mano, aviandantes que acudían a su lugar habitu<strong>al</strong> <strong>de</strong> trabajo, un CD bajo la excusa <strong>de</strong> que el disco conteníainformación sobre una promoción especi<strong>al</strong> motivada por el día <strong>de</strong> San V<strong>al</strong>entín. Los compactos contienenen re<strong>al</strong>idad un simple código que permitía informar a la compañía <strong>de</strong> quién había ejecutado el programaen su interior. Entre ellos se encontraba person<strong>al</strong> <strong>de</strong> gran<strong>de</strong>s bancos y aseguradoras multinacion<strong>al</strong>es. Lomás grave es que en la carátula <strong>de</strong>l CD se advertía claramente sobre los peligros <strong>de</strong> la inst<strong>al</strong>ación<strong>de</strong> software <strong>de</strong> terceros no confiables, y <strong>de</strong> que el hecho <strong>de</strong> hacerlo podría suponer una violación <strong>de</strong> laspolíticas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>l lugar don<strong>de</strong> se inst<strong>al</strong>ase.__Durante febrero y marzo, esc<strong>al</strong>onadamente, <strong>Hispasec</strong> se muda a unas oficinasmás gran<strong>de</strong>s, cerca <strong>de</strong> su se<strong>de</strong> anterior. Las vistas son envidiables.Un equipo <strong>de</strong> investigación, apoyándose en computación distribuida,consigue <strong>de</strong>scifrar un mensaje <strong>de</strong> un tot<strong>al</strong> <strong>de</strong> tres que llevan más <strong>de</strong> 60 añosen la oscuridad <strong>al</strong> estar cifrados con una variante <strong>de</strong> la máquina Enigma. Fueroninterceptados en el Atlántico Norte en 1942. 64 años <strong>de</strong>spués comienzan los resultadostangibles en las labores <strong>de</strong> <strong>de</strong>scifrado. Este legendario aparato se caracterizó por po<strong>de</strong>rcifrar y <strong>de</strong>scifrar mensajes <strong>de</strong> forma robusta, siendo tot<strong>al</strong>mente transportable. Dotada <strong>de</strong>una serie <strong>de</strong> rotores mecánicos, Enigma comenzó a comerci<strong>al</strong>izarse en la década <strong>de</strong> losaños 20, aunque fue el uso intensivo que le dieron <strong>de</strong>s<strong>de</strong> la Alemania Nazi el factor que lacovirtió en un instrumento muy conocido, por las evi<strong>de</strong>ntes implicaciones históricas <strong>de</strong>l usobélico <strong>de</strong> la máquina. La versión militar, llamada Wehrmacht Enigma, fue protagonista,durante la Segunda Guerra Mundi<strong>al</strong>, <strong>de</strong> una encarnizad<strong>al</strong>ucha por parte <strong>de</strong> criptoan<strong>al</strong>istas <strong>al</strong>iados para <strong>de</strong>scifrarlos mensajes capturados. La revelación <strong>de</strong> ULTRA (nombrecódigo asignado a los resultados <strong>de</strong>l <strong>de</strong>scifrado <strong>de</strong> lascomunicaciones <strong>al</strong>emanas) es consi<strong>de</strong>rada hoy en día unfactor crítico para acelerar el fin <strong>de</strong> la guerra en un períodoestimado <strong>de</strong> uno a dos años. Muchas comunicaciones <strong>de</strong> lainteligencia <strong>al</strong>emana fueron capturadas y <strong>de</strong>scifradas porlos <strong>al</strong>iados, lo que según los historiadores, otorgó significativasventajas en la estrategia militar <strong>de</strong>l conflicto. Muy poco<strong>de</strong>spués se <strong>de</strong>scifraría el resto <strong>de</strong> mensajes.__Se sufre una pequeña epi<strong>de</strong>mia <strong>de</strong> Commwarrior en España. Muchos usuarios reciben a través <strong>de</strong>bluetooth m<strong>al</strong>ware que afecta a los más avanzados móviles <strong>de</strong> marca Nokia.__En marzo “Guillermito” pier<strong>de</strong> fin<strong>al</strong>mente la apelación en el juicio con Tegam. Es obligado a pagar15.000 euros. Tras no pocas vicisitu<strong>de</strong>s, el 7 <strong>de</strong> junio <strong>de</strong> 2005 la justicia francesa con<strong>de</strong>nó a Guillaume <strong>al</strong>194<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
pago <strong>de</strong> 14.300 euros. En re<strong>al</strong>idad la cantidad es mínima en comparación con la petición <strong>de</strong> la acusación,900.000 euros, que consi<strong>de</strong>raban era sólo el 10% <strong>de</strong> los daños re<strong>al</strong>es que habían sufrido. Guillaumeironizaba con el hecho <strong>de</strong> que supuestamente habría hecho per<strong>de</strong>r 9 millones <strong>de</strong> euros a una empresa cuyovolumen <strong>de</strong> negocio en 2003 era <strong>de</strong> 1.4 millones <strong>de</strong> euros. Guillaume T. comenta “No se tiene <strong>de</strong>recho enFrancia a <strong>de</strong>mostrar técnicamente que un programa informático presenta vulnerabilida<strong>de</strong>s <strong>de</strong> <strong>seguridad</strong>o que su publicidad es f<strong>al</strong>sa. Duerman tranquilos, ciudadanos, todos sus programas informáticos sonperfectos”. En Francia está prohibido solicitar dinero para pagar una multa así que Guillaume, que nodispone <strong>de</strong> t<strong>al</strong> cantidad, pi<strong>de</strong> a la comunidad donaciones para comprar “un antivirus nuevo”. Medianteuna campaña <strong>de</strong> donaciones a través <strong>de</strong> PayP<strong>al</strong> se recauda con creces la cifra necesaria. El remanente sería<strong>de</strong>stinado a caridad.__ Karpersky anunciaba una prueba <strong>de</strong> concepto capaz <strong>de</strong> infectar tanto a sistemas operativos Windows<strong>de</strong> Microsoft como GNU/Linux en gener<strong>al</strong>. Lo llama Virus.Linux.Bi.a/Virus.Win32.Bi.a, y vuelvea <strong>al</strong>ertar sobre la posibilidad <strong>de</strong> que el mercado <strong>de</strong> los virus se abra para ambas plataformas. Bastanteinofensivo, sólo se extien<strong>de</strong> sobre los archivos en el directorio don<strong>de</strong> se haya ejecutado, no causa daño<strong>al</strong>guno y no se autopropaga a otros sistemas. Su peculiaridad es que es capaz <strong>de</strong> infectar dos tipos <strong>de</strong>ejecutables distintos, los PE (Portable Executable) que son los ejecutables que usa Windows, y los ELF(Executable and Linkable Format) que es el formato estándar binario para Linux.__El 21 <strong>de</strong> abril nace el blog específico <strong>de</strong> VirusTot<strong>al</strong>. Se publicarán anuncios <strong>de</strong> nuevas funcion<strong>al</strong>ida<strong>de</strong>s,motores, y noticias <strong>de</strong>l sector en gener<strong>al</strong>.Es un año <strong>de</strong> importantes cambios para VirusTot<strong>al</strong>. Amediados <strong>de</strong> 2006 ya procesa el millón <strong>de</strong> muestrasmensu<strong>al</strong>es recibidas <strong>de</strong> forma sostenida. Esto requiereun aumento y modificación <strong>de</strong> infraestructura interna,a<strong>de</strong>más <strong>de</strong> una ampliación importante <strong>de</strong> los recursosutilizados por el servicio en sí. También se facilita el usopor web. El funcionamiento origin<strong>al</strong> consistía en <strong>de</strong>jar a laespera <strong>al</strong> usuario para presentar los resultados completosuna vez se había terminado <strong>de</strong> hacer el análisis. El nuevointerfaz <strong>de</strong> respuestas es mucho más informativo en lafase previa, dando <strong>de</strong>s<strong>de</strong> la posición en la cola <strong>de</strong> espera hasta tiempos estimados parael comienzo <strong>de</strong>l análisis. <strong>Una</strong> vez en fase, los resultados presentados por los motores sedan en tiempo re<strong>al</strong>. El nuevo interfaz web ofrece información extra <strong>al</strong> usuario, incluyehashes <strong>de</strong>l archivo an<strong>al</strong>izado, empaquetadores <strong>de</strong>tectados por <strong>al</strong>gunos <strong>de</strong> los motores, yel resultado <strong>de</strong> la Sandbox <strong>de</strong> Norman en caso <strong>de</strong> <strong>de</strong>tecciones heurísticas. Estos datos sonmuy apreciados por usuarios avanzados <strong>de</strong>l servicio que buscan un mayor <strong>de</strong>t<strong>al</strong>le sobre lamuestra an<strong>al</strong>izada. La <strong>de</strong>manda se multiplica por cinco <strong>de</strong>s<strong>de</strong> principios <strong>de</strong> 2005. En esosmomentos el número <strong>de</strong> muestras an<strong>al</strong>izadas en el servicio rondaba las 20.000 diarias, afin<strong>al</strong>es <strong>de</strong> 2008 se está sosteniendo la cifra <strong>de</strong> 60.000 análisis <strong>al</strong> día.__En mayo Steve Wiseman <strong>de</strong>scubre, casi por casu<strong>al</strong>idad, una importante vulnerabilidad en VNC. Setrata <strong>de</strong> un software <strong>de</strong> administración remota muy usado en distintos sistemas operativos que permiteinteractuar con el escritorio <strong>de</strong> cu<strong>al</strong>quier sistema. El f<strong>al</strong>lo pue<strong>de</strong> hacer que se eluda <strong>de</strong> forma sencill<strong>al</strong>a autenticación y acce<strong>de</strong>r <strong>al</strong> equipo con el servidor inst<strong>al</strong>ado sin necesidad <strong>de</strong> conocer la contraseña.Aparecen numerosas herramientas que permiten escanear la red en búsqueda <strong>de</strong> versiones vulnerables.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 195
Entrar en sistemas remotos se convierte, durante <strong>al</strong>gunas semanas, en un juego <strong>de</strong> niños.__ Aunque Yahoo, AOL y Microsoft junto con el gobierno <strong>de</strong>l Reino Unido anunciaron en 2003 unaestrategia diseñada para combatir el spam tanto <strong>de</strong> forma conjunta como por separado, la basurasigue creciendo. Establecerían estándares técnicos para combatir la amenaza e intentarían promovernuevas leyes que perseguirían y castigarían <strong>de</strong> forma más severa a los infractores. Des<strong>de</strong> entonces,exceptuando casos más o menos sonados, el envío <strong>de</strong> correo basura sigue siendo <strong>al</strong>go poco perseguido. Lasleyes <strong>de</strong>jan <strong>de</strong> ser eficaces en el momento en el que enviar spam pue<strong>de</strong> ser una actividad <strong>de</strong>scentr<strong>al</strong>izada,llevada a cabo <strong>de</strong>s<strong>de</strong> cu<strong>al</strong>quier punto <strong>de</strong>l planeta contra cu<strong>al</strong>quier país, <strong>de</strong>legada en millones <strong>de</strong> máquinassecuestradas y encubiertas bajo direcciones f<strong>al</strong>sas. La situación era más preocupante hace <strong>al</strong>gún tiempo.En diciembre <strong>de</strong> 2002 se anunciaba ya que el 40% <strong>de</strong> los correos que circulaban por Internet eran basura.En junio <strong>de</strong> 2003 se llegaba a la s<strong>al</strong>omónica situación <strong>de</strong> un 50% <strong>de</strong> correo inútil entre todo el tráficocirculante. Ryan Hamlin, jefe <strong>de</strong>l grupo antispam <strong>de</strong> Microsoft, <strong>de</strong>claraba por aquellas fechas que lasnuevas medidas leg<strong>al</strong>es que se estaban diseñando, provocarían un ligero <strong>de</strong>scenso <strong>de</strong> esta ten<strong>de</strong>nciapara fin<strong>al</strong>es <strong>de</strong> 2004 o comienzos <strong>de</strong> 2005. En 2006 llega a más <strong>de</strong>l 60%. Años más tar<strong>de</strong> se frenaría lavelocidad <strong>de</strong> subida (más que nada por las cifras que se están <strong>al</strong>canzando) pero la ten<strong>de</strong>ncia sigue siendo<strong>al</strong> <strong>al</strong>za, llegando a picos <strong>de</strong>l 80 y 90% <strong>de</strong> basura en todo el correo mundi<strong>al</strong> recibido.__Durante todo el verano se encuentran numerosas vulnerabilida<strong>de</strong>s “0 day”en productos <strong>de</strong> Microsoft Office. Se <strong>de</strong>tectan ataques que aprovechanvulnerabilida<strong>de</strong>s <strong>de</strong>sconocidas públicamente y para las que no existe parche. Setrata <strong>de</strong> f<strong>al</strong>los que permiten atacar cu<strong>al</strong>quier sistema, puesto que la <strong>de</strong>tecciónpor parte <strong>de</strong> las casas antivirus <strong>de</strong> este tipo <strong>de</strong> documentos infectados es escasa.Al contrario que la mayoría <strong>de</strong>l m<strong>al</strong>ware, que suele ser genérico y lanzadoindiscriminadamente contra cu<strong>al</strong>quiera que posea un sistema <strong>de</strong>sprotegido, se popularizan las amenazasdirectas a compañías que reciben este intento <strong>de</strong> infección. Se trata <strong>de</strong> ataques perpetrados especi<strong>al</strong>mentecontra ellos. No se sabe durante cuánto tiempo han podido aprovechar estos f<strong>al</strong>los. A razón <strong>de</strong> casi una odos vulnerabilida<strong>de</strong>s por mes en Word, Excel o PowerPoint, es un verano negro para Office. A<strong>de</strong>más, losataques con nuevos f<strong>al</strong>los se <strong>de</strong>tectan muy poco tiempo <strong>de</strong>spués <strong>de</strong>l segundo martes <strong>de</strong> cada mes, con loque habitu<strong>al</strong>mente es necesario esperar casi todo un mes para que Microsoft cumpla su siguiente ciclo <strong>de</strong>actu<strong>al</strong>izaciones y po<strong>de</strong>r estar protegido. Se observa un claro cambio <strong>de</strong> ten<strong>de</strong>ncia en la forma en la queaparecen estos problemas, unida a una obsesiva y oportunista fijación contra este software <strong>de</strong> Microsoft.__ En mayo se empiezan a conocer las mejoras <strong>de</strong> <strong>seguridad</strong> que incluiría Windows Vista, como porejemplo que implementará ASLR (Address Space Layout Randomization) activado <strong>de</strong> serie. En labeta 2 <strong>de</strong> Windows Vista se incluye una nueva funcion<strong>al</strong>idad <strong>de</strong>stinada a prevenir la ejecución <strong>de</strong> códigono <strong>de</strong>seado en el sistema a través <strong>de</strong>, habitu<strong>al</strong>mente, <strong>de</strong>sbordamientos <strong>de</strong> memoria intermedia. Cuandoocurre un <strong>de</strong>sbordamiento <strong>de</strong> memoria, el espacio <strong>de</strong> direcciones <strong>de</strong> memoria <strong>de</strong>l sistema operativo secorrompe <strong>de</strong> <strong>al</strong>guna forma. Si un atacante, a través <strong>de</strong> cu<strong>al</strong>quier vulnerabilidad, es capaz <strong>de</strong> sobrescribirciertos v<strong>al</strong>ores, pue<strong>de</strong> tomar el control <strong>de</strong>l sistema y hacer que se ejecute cu<strong>al</strong>quier parte <strong>de</strong> la memoria(con el código que contenga). Es habitu<strong>al</strong> que los atacantes “se ayu<strong>de</strong>n” <strong>de</strong> ciertas direcciones <strong>de</strong> memoriaconocidas para po<strong>de</strong>r “s<strong>al</strong>tar” en el espacio <strong>de</strong> memoria y ejecutar su código inyectado. Estas direccionescoinci<strong>de</strong>n habitu<strong>al</strong>mente con las librerías básicas <strong>de</strong>l sistema operativo, que son siempre cargadas en elmismo espacio <strong>de</strong> memoria. Así los exploits, programados con una dirección concreta, funcionan siempreen las mismas versiones <strong>de</strong> Windows, pues saben exactamente dón<strong>de</strong> ir para po<strong>de</strong>r ser ejecutados porquelos procesos princip<strong>al</strong>es siempre se cargan en el mismo espacio. Esta facilidad para pre<strong>de</strong>cir las direccionescomunes es precisamente el punto que ataca ASLR. Cada vez que se arranca el sistema el método se ocupa<strong>de</strong> cargar las áreas críticas <strong>de</strong>l sistema en espacios más o menos <strong>al</strong>eatorios, <strong>de</strong> forma que no pue<strong>de</strong>n serpredichas <strong>de</strong> forma sencilla. Al menos, un atacante tendría que probar un número significativo <strong>de</strong> v<strong>al</strong>ores196<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
(hasta 256) para po<strong>de</strong>r acertar con la dirección a<strong>de</strong>cuada. Incluso así, este v<strong>al</strong>or no sería el mismo encu<strong>al</strong>quier otro sistema Windows Vista, por lo que un sistema automatizado <strong>de</strong> ataque (por ejemplo ungusano) tendría que adivinar en cada sistema atacado la dirección concreta. Durante la Black Hat <strong>de</strong>2008, se <strong>de</strong>mostraría un método para s<strong>al</strong>tarse esta y otras medidas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Vista.__ En junio se da a conocer que HP ha hospedado en su página web, durante un tiempo in<strong>de</strong>finido, uno<strong>de</strong> sus controladores <strong>de</strong> impresora infectado por FunLove, un virus <strong>de</strong> 2001. BitDefen<strong>de</strong>r <strong>al</strong>erta<strong>de</strong> la situación y HP se ve obligada a retirar <strong>de</strong> sus servidores un controlador para la impresora <strong>de</strong> HP“Officejet g85 All-in-One” en su versión coreana para Windows 95/98 por contener el virus FunLove. Alparecer HP tropieza en la misma piedra, pues ya sufrió la embestida <strong>de</strong> este virus anteriormente, y fuedistribuido también con una versión japonesa <strong>de</strong> uno <strong>de</strong> sus controladores. Un año <strong>de</strong>spués (en 2002), aMicrosoft le pasó exactamente lo mismo... incluso con el mismo virus FunLove.__Joanna Rutkowska presenta a mediados <strong>de</strong> 2006 su Blue Pill y causa un gran revuelo y confusión.Rutkowska, experta en rootkits, aprovecha una nueva funcion<strong>al</strong>idad <strong>de</strong> los procesadores AMD para crearun rootkit in<strong>de</strong>tectable en cu<strong>al</strong>quier sistema operativo. AMD incluye una tecnología llamada SVM/Pacifica<strong>de</strong>stinada a optimizar la virtu<strong>al</strong>ización a bajo nivel <strong>de</strong>s<strong>de</strong> el procesador. Forma parte <strong>de</strong> los Athlon 64 yTurion 64 bits. Rutkowska crea una prueba <strong>de</strong> concepto que <strong>de</strong>muestra que cu<strong>al</strong>quier sistema operativoque use este hardware tiene un serio problema: el software pue<strong>de</strong> asumir un rol llamado “hypervisor”. Esteconcepto se refiere a un nivel superior incluso <strong>al</strong> supervisor, que es el nivel <strong>al</strong> quecorre el sistema operativo. Por hacer una comparación, VMware corre a un nivelhypervisor, mayor incluso que el sistema operativo que <strong>al</strong>oja. Esto, trasladado<strong>al</strong> hardware, hace que cu<strong>al</strong>quier sistema operativo pueda tener un rootkitin<strong>de</strong>tectable. Las pruebas que re<strong>al</strong>iza Joanna son sobre Windows Vista (en betaen ese momento). Inv<strong>al</strong>ida lógicamente la medida <strong>de</strong> prevención <strong>de</strong> Vista 64 bitsque impi<strong>de</strong> que en el kernel se ejecute software no firmado digit<strong>al</strong>mente. Losmedios creen erróneamente por tanto, que sólo afecta <strong>al</strong> sistema <strong>de</strong> Microsoft.__HD Moore tiene una ocurrencia imitada hasta la saciedad. “El mes <strong>de</strong> los f<strong>al</strong>los en...” Durantetodo julio, se <strong>de</strong>dica a publicar una vulnerabilidad <strong>al</strong> día, referente a los navegadores y <strong>de</strong>sconocidashasta el momento. La i<strong>de</strong>a tiene tanto éxito que sería copiada durante meses. Se piensa que el f<strong>al</strong>lo quecorrespon<strong>de</strong> con el día 17 <strong>de</strong> julio (como la mayoría) es una <strong>de</strong>negación <strong>de</strong> servicio. Hubo que esperar <strong>al</strong>27 <strong>de</strong> septiembre para que <strong>al</strong>guien hiciese pública una forma <strong>de</strong> aprovecharlo para ejecutar código y seconvirtiese en una <strong>de</strong> las vulnerabilida<strong>de</strong>s más explotadas <strong>de</strong>l momento.En julio la compañía SoftScan publica un estudio sobre el correo. Los cinco primeros puestos<strong>de</strong> familias <strong>de</strong> virus en junio y su porcentaje <strong>de</strong> presencia en correos infectados es:1.- Phishing: 48.05%, 2.- Netsky: 16.69%, 3.- Mytob: 15.05%, 4.- Bagle: 5.94%, 5.- Mydoom: 3.44%El primer puesto lo ocupan los virus (o m<strong>al</strong>ware en gener<strong>al</strong>) <strong>de</strong>stinados <strong>al</strong> phishing. En estacategoría se englobaría todo tipo <strong>de</strong> código <strong>de</strong>stinado a robar cre<strong>de</strong>nci<strong>al</strong>es bancarias,ya sea registrando teclas, robando información, engañando <strong>al</strong> usuario... pero siempre<strong>de</strong>s<strong>de</strong> el punto <strong>de</strong> vista <strong>de</strong> la rentabilidad y el lucro. Nada menos que casi la mitad <strong>de</strong>lm<strong>al</strong>ware que circula en junio correspon<strong>de</strong> a este tipo <strong>de</strong> basura.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 197
__En julio se anuncia que Microsoft compra SysIntern<strong>al</strong>s. Históricamente se trata <strong>de</strong> herramientastécnicas para Windows muy populares y usadas por especi<strong>al</strong>istas: monitores <strong>de</strong> comportamiento <strong>de</strong>archivos, <strong>de</strong> registro, un excelente explorador <strong>de</strong> procesos, y un largo etcétera. Mark Russinovich, creador<strong>de</strong> SysIntern<strong>al</strong>s (que parecía conocer la programación <strong>de</strong> Windows mejor que los propios <strong>de</strong>sarrolladoresofici<strong>al</strong>es) pasa a la plantilla <strong>de</strong> Microsoft. SysIntern<strong>al</strong>s ofrecía no solo las herramientas sino también sucódigo fuente. Se especula sobre la <strong>de</strong>saparición <strong>de</strong> las herramientas y la página sufre una av<strong>al</strong>ancha <strong>de</strong>visitas buscando un código que se supone <strong>de</strong>saparecerá. Microsoft seguiría ofreciendo <strong>de</strong> forma gratuit<strong>al</strong>as herramientas, y su <strong>de</strong>sarrollo continuaría a<strong>de</strong>lante, ya sin ofrecer a<strong>de</strong>más el código fuente.__En agosto un banner <strong>de</strong> publicidad <strong>al</strong>ojado en MySpace consigue infectar a más <strong>de</strong> un millón <strong>de</strong>usuarios <strong>de</strong> Windows gracias a una vulnerabilidad para la que existía parche <strong>de</strong>s<strong>de</strong> enero <strong>de</strong> 2006. MySpaceno tiene, en principio, responsabilidad directa sobre el inci<strong>de</strong>nte. El m<strong>al</strong>ware se ejecuta sin permiso, através <strong>de</strong> la vulnerabilidad WMF, parcheada por Microsoft en enero <strong>de</strong> 2006. Bernardo Quintero, enseptiembre <strong>de</strong> 2005, ya an<strong>al</strong>izó una situación parecida, en la que una publicidad en la página <strong>de</strong> la tiracómica <strong>de</strong> Dilbert intentaba infectar con el adware Winfxer 2005.__Durante la DefCon <strong>de</strong> este año Collin Mulliner <strong>de</strong>muestra que es posible <strong>de</strong>sarrollar un gusano queinfecte los dispositivos móviles basados en Windows CE <strong>de</strong> forma automática y transparente, sinla necesidad <strong>de</strong> que el usuario intervenga. La prueba <strong>de</strong> concepto es posible gracias a una vulnerabilida<strong>de</strong>n el procesamiento <strong>de</strong> mensajes MMS (Multimedia Messaging Service).__En VirusTot<strong>al</strong> se <strong>de</strong>tectan varios troyanos que re<strong>al</strong>izan un ví<strong>de</strong>o <strong>de</strong> la pant<strong>al</strong>la <strong>de</strong>l usuariomientras este se autentica para entrar en su cuenta bancaria por Internet. Esta funcion<strong>al</strong>idad representaun s<strong>al</strong>to cu<strong>al</strong>itativo en la peligrosidad <strong>de</strong> los troyanos bancarios, y en especi<strong>al</strong> contra los teclados virtu<strong>al</strong>esimplantados por muchas entida<strong>de</strong>s. Como suele ocurrir cuando una medida <strong>de</strong> <strong>seguridad</strong> como los tecladosvirtu<strong>al</strong>es se gener<strong>al</strong>iza, no tardan en aparecer troyanos bancarios que burlan este tipo <strong>de</strong> protección. Des<strong>de</strong>aquellos que directamente se inyectan en el navegador y capturaban el usuario y contraseña antes <strong>de</strong> quesean enviados por HTTPS <strong>al</strong> servidor <strong>de</strong> la entidad, hasta los que fueron programados específicamentecontra los teclados virtu<strong>al</strong>es y se activan <strong>al</strong> hacer click con el ratón, <strong>al</strong>macenando la posición <strong>de</strong>l cursor ore<strong>al</strong>izando pequeñas capturas <strong>de</strong> pant<strong>al</strong>la. <strong>Hispasec</strong> publica un popular ví<strong>de</strong>o <strong>de</strong>mostración que obtieneuna gran repercusión.__En septiembre, se <strong>de</strong>scubre que el SMiShing llega a España. Panda <strong>al</strong>erta a fin<strong>al</strong>es <strong>de</strong> agosto <strong>de</strong> unnuevo virus que se distribuye a través <strong>de</strong> correo electrónico y convierte a los sistemas infectados en equiposzombi. Las víctimas no reenvían correos electrónicos, sino mensajes cortos a móviles españoles.__El día 19 <strong>de</strong> septiembre Symantec anuncia una nueva vulnerabilidad <strong>de</strong>sconocida en PowerPointque permite la ejecución <strong>de</strong> código arbitrario y que está siendo activamente aprovechada. Ante la av<strong>al</strong>ancha<strong>de</strong> este tipo <strong>de</strong> noticias que azotan a Microsoft ese verano, todo apunta a que se trata <strong>de</strong> un nuevo “0day”, vulnerabilidad sin parche explotada <strong>de</strong> forma masiva. En esta ocasión las <strong>al</strong>armas suenan <strong>de</strong> formaprecipitada, y sobre todo, antes <strong>de</strong> un buen análisis <strong>de</strong>l problema.__ Ante tanto “0 day”, se popularizan los parches no ofici<strong>al</strong>es para Microsoft. Se <strong>de</strong>scubre unavulnerabilidad basada en la funcion<strong>al</strong>idad VML (Vector Markup Language) <strong>de</strong>l navegador InternetExplorer que permite la ejecución <strong>de</strong> código con solo visitar una página. Necesita soluciones porqueestá siendo aprovechada <strong>de</strong> forma masiva. Un grupo <strong>de</strong> reputados expertos (entre los que se encuentraIlfak Guilfanov, programador <strong>de</strong>l exitoso primer parche no ofici<strong>al</strong> para la vulnerabilidad WMF ) crea laorganización ZERT (Zero Day Emergency Response Team). Su objetivo <strong>de</strong>s<strong>de</strong> entonces es el <strong>de</strong> programarparches para solventar problemas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> tipo “0 day” siempre que su gravedad lo requiera. ZERT198<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
no preten<strong>de</strong> reemplazar a los parches ofici<strong>al</strong>es. Según ellos, sólo ofrecen una <strong>al</strong>ternativa en un momento <strong>de</strong>crisis. El día 27 <strong>de</strong> septiembre, fuera <strong>de</strong> su ciclo ofici<strong>al</strong> <strong>de</strong> actu<strong>al</strong>izaciones, Microsoft publicaría el parcheofici<strong>al</strong> para solucionar <strong>de</strong>finitivamente la vulnerabilidad.__<strong>Hispasec</strong> <strong>de</strong>scubre y an<strong>al</strong>iza un nuevo troyano bancario dirigido a entida<strong>de</strong>s españolasy latinoamericanas, que combina la captura <strong>de</strong>l teclado físico con una técnica optimizada para losteclados virtu<strong>al</strong>es. Está diseñado específicamente contra los usuarios <strong>de</strong> diversas entida<strong>de</strong>s <strong>de</strong> Argentina,Bolivia, Brasil, Cabo Ver<strong>de</strong>, España, Estados Unidos, Paraguay, Portug<strong>al</strong>, Uruguay y Venezuela.__ Mischa Spiegelmock y Andrew Wbeelsoi muestran en la conferencia ToorCon una vulnerabilidad enMozilla Firefox que pue<strong>de</strong> permitir a un atacante remoto ejecutar código arbitrario en el contexto <strong>de</strong>lusuario que ejecutase la aplicación, in<strong>de</strong>pendientemente <strong>de</strong>l sistema operativo sobre el que se asiente.No se publican más <strong>de</strong>t<strong>al</strong>les técnicos sobre el problema, pero la revelación <strong>de</strong> los <strong>de</strong>scubridores llama laatención <strong>de</strong> los medios. Poco <strong>de</strong>spués los propios responsables <strong>de</strong> la difusión <strong>de</strong>l supuesto f<strong>al</strong>lo confiesanque querían pasárselo bien y sin pruebas, afirmaron que podrían ejecutar código y que conocían muchasotras vulnerabilida<strong>de</strong>s no reveladas. Pura fanfarronería. Sny<strong>de</strong>r, jefa <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Mozilla, confirmaque la <strong>de</strong>negación <strong>de</strong> servicio es reproducible en base a la información aportada por los dos bromistas,pero que no pue<strong>de</strong>n confirmar la ejecución <strong>de</strong> código. Ocurre <strong>al</strong>go parecido a principios <strong>de</strong> agosto, cuandoJon “Johnny Cache” Ellch y David Maynor quisieron <strong>de</strong>mostrar en una presentación en Black Hat cómocolarse en un Apple Macbook en 60 segundos a través <strong>de</strong> sus controladores “wireless”. Fin<strong>al</strong>mente todoresulta una gran exageración y la <strong>de</strong>mostración, aunque vistosa, no era <strong>de</strong>l todo re<strong>al</strong>. En resumen, usaronotros controladores vulnerables que no pertenecían a Apple.__Microsoft retira el g<strong>al</strong>ardón MVP a un programador que distribuía software espía. MVP(Most V<strong>al</strong>ued Profession<strong>al</strong>s) es un reconocimiento anu<strong>al</strong> que ofrece Microsoft a miembros <strong>de</strong>stacados <strong>de</strong>comunida<strong>de</strong>s que, <strong>de</strong> <strong>al</strong>guna forma, ayudan a mejorar productos Microsoft. Se basa en las contribucionesre<strong>al</strong>izadas durante el año anterior y se nombran a través <strong>de</strong> un período <strong>de</strong> nominación. Tras reconocer quela aplicación por la que se le premiaba se distribuía junto con un programa espía, <strong>de</strong>ci<strong>de</strong> retirarle el premioa Cyril Paciullo (más conocido como Patchou) creador <strong>de</strong> Messenger Plus!. El programa viene integrado ensu inst<strong>al</strong>ador con un “patrocinador” opcion<strong>al</strong> que no es más que un simple m<strong>al</strong>ware espía.__Oracle anuncia que mejora su sistema <strong>de</strong> notificación <strong>de</strong> <strong>al</strong>ertas <strong>de</strong> <strong>seguridad</strong>, añadiendomás información a la <strong>de</strong>scripción <strong>de</strong> las vulnerabilida<strong>de</strong>s. Esto respon<strong>de</strong> a una aclamada <strong>de</strong>manda porparte <strong>de</strong> administradores <strong>de</strong> sus bases <strong>de</strong> datos, que sufrían <strong>de</strong>s<strong>de</strong> hace años un confuso sistema trimestr<strong>al</strong><strong>de</strong> parches y kilométricos boletines. Parece que Oracle acaba reconociendo que la forma en la que venía<strong>de</strong>scribiendo sus problemas <strong>de</strong> <strong>seguridad</strong> resultaba manifiestamente mejorable y <strong>de</strong>ci<strong>de</strong> rediseñar susistema <strong>de</strong> boletines que hasta ahora venía siendo poco más que un jeroglífico. Para ello, se ayuda <strong>de</strong> CVSS(Common Vulnerability Scoring System), un estándar que gradúa la severidad <strong>de</strong> manera estricta a través<strong>de</strong> fórmulas establecidas. De esta forma los administradores conocerán <strong>de</strong> manera objetiva (a través <strong>de</strong> unnúmero) la gravedad <strong>de</strong> los f<strong>al</strong>los. CVSS es un sistema ya usado por compañías como Cisco, Qu<strong>al</strong>ys, Nessusy Skype que basa el cálculo <strong>de</strong> rango <strong>de</strong> criticidad en tres puntuaciones: Base (a su vez c<strong>al</strong>culada a través <strong>de</strong>siete factores), tempor<strong>al</strong> (un v<strong>al</strong>or c<strong>al</strong>culado a partir <strong>de</strong> tres factores) y ambient<strong>al</strong> (a través <strong>de</strong> dos). De estostres factores princip<strong>al</strong>es, los dos últimos (tempor<strong>al</strong> y ambient<strong>al</strong>) pue<strong>de</strong>n modificar y corregir el primero (lapuntuación base) según las circunstancias volátiles <strong>de</strong> la vulnerabilidad. Un sistema riguroso y objetivoque espera convertirse en el estándar <strong>de</strong> c<strong>al</strong>ificación <strong>de</strong> vulnerabilida<strong>de</strong>s.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 199
__En octubre se introducen más y mejores noveda<strong>de</strong>s en VirusTot<strong>al</strong> parahacer frente a la creciente carga <strong>de</strong> trabajo que viene soportando. Aunque a nivelvisu<strong>al</strong>ización <strong>de</strong> resultados los usuarios no notan nada nuevo, sí percibirán que lostiempos <strong>de</strong> espera para las peticiones se reducen <strong>de</strong> forma sensible respecto a loexperimentado en los últimos meses. En un periódico económico a nivel nacion<strong>al</strong>,y ante la noticia <strong>de</strong> la mejora en VirusTot<strong>al</strong>, <strong>de</strong>ci<strong>de</strong>n que nuestros laboratorios sonasí:__Alan Cox, un respetado <strong>de</strong>sarrollador <strong>de</strong>l núcleo <strong>de</strong> Linux y actu<strong>al</strong> trabajador<strong>de</strong> Red Hat, se queja <strong>de</strong> la autocomplacencia <strong>de</strong>l mundo <strong>de</strong>l código abierto conrespecto a la <strong>seguridad</strong>. Advierte <strong>de</strong> que mucho código abierto está lejos <strong>de</strong> ser seguro. “Lo que apareceen los medios <strong>de</strong> comunicación como que el código abierto es seguro y más fiable y que tiene menos f<strong>al</strong>losson afirmaciones muy peligrosas”, dice Cox. “Un análisis <strong>de</strong> 150 proyectos <strong>de</strong> SourceForge (un repositorio<strong>de</strong> software <strong>de</strong> código abierto) no obtendría los mismos buenos resultados que el núcleo <strong>de</strong> Linux. La <strong>al</strong>tac<strong>al</strong>idad sólo se aplica a <strong>al</strong>gunos proyectos, los que tienen buenos autores y buenas revisiones <strong>de</strong> código”.Alan Cox continua: “El <strong>de</strong>bate <strong>de</strong> Microsoft diciendo “Mira qué seguros somos” contra Linux afirmando“Nosotros somos más seguros” no se está enfocando en los puntos importantes”.LMH, otro investigador relacionado con el proyecto Metasploit, pone en marcha ennoviembre la iniciativa “Month of the kernel bugs”. La i<strong>de</strong>a es publicar un nuevo error en elkernel <strong>de</strong> cu<strong>al</strong>quier sistema operativo durante todos los días <strong>de</strong> noviembre. El objetivo esmostrar herramientas y procedimientos que ayu<strong>de</strong>n a mejorar la c<strong>al</strong>idad <strong>de</strong> los núcleos <strong>de</strong>cu<strong>al</strong>quier sistema operativo. <strong>Una</strong> <strong>de</strong> las herramientas usadas para <strong>de</strong>tectar estos erroreses fsfuzzer, un programa capaz <strong>de</strong> encontrar f<strong>al</strong>los en una gran cantidad <strong>de</strong> sistemas <strong>de</strong>ficheros, a<strong>de</strong>más <strong>de</strong> otras herramientas <strong>de</strong>stinadas a tantear los límites <strong>de</strong>l software y quese <strong>de</strong>sarrollan <strong>de</strong>ntro <strong>de</strong>l proyecto Metasploit.Fin<strong>al</strong>mente, se <strong>de</strong>scubren: Once f<strong>al</strong>los en la rama 2.6.x <strong>de</strong> Linux, la mayoría relacionadoscon el montaje <strong>de</strong> sistemas <strong>de</strong> ficheros. Dos f<strong>al</strong>los en el núcleo <strong>de</strong> FreeBSD, ambos <strong>al</strong> montarsistemas <strong>de</strong> ficheros UFS. Un f<strong>al</strong>lo en Solaris 10, también <strong>al</strong> montar sistemas <strong>de</strong> ficheros UFS.Ocho f<strong>al</strong>los en Mac OS X. Entre ellos un grave problema en DMG, formato muy común <strong>de</strong>inst<strong>al</strong>ación en entornos Mac. Tres f<strong>al</strong>los en controladores NetGear, dos <strong>de</strong> ellos permitiríanla ejecución <strong>de</strong> código arbitrario a nivel <strong>de</strong> kernel. Un f<strong>al</strong>lo en controladores D-Link, quepermitía potenci<strong>al</strong>mente la ejecución <strong>de</strong> código. Un f<strong>al</strong>lo en Microsoft Windows, quepermitiría provocar una <strong>de</strong>negación <strong>de</strong> servicio (pant<strong>al</strong>lazo azul) o esc<strong>al</strong>ar privilegios através <strong>de</strong> GDI . Dos f<strong>al</strong>los en Apple Airport, y un f<strong>al</strong>lo en controladores in<strong>al</strong>ámbricos <strong>de</strong>Broadcom. Este es el que causa más revuelo. El controlador <strong>de</strong> dispositivo in<strong>al</strong>ámbricoBroadcom (BCMWL5.SYS) es vulnerable a un <strong>de</strong>sbordamiento <strong>de</strong> memoria intermediabasado en pila que permite la ejecución <strong>de</strong> código arbitrario en modo núcleo. Seproporciona unido a los sistemas <strong>de</strong> muchos fabricantes y el f<strong>al</strong>lo, con exploit público,pue<strong>de</strong> ser aprovechado sin interacción por parte <strong>de</strong>l usuario. Para colmo, es complicado<strong>de</strong>limitar la responsabilidad <strong>de</strong> publicar un parche.__ El noviembre, los creadores <strong>de</strong> m<strong>al</strong>ware aprovechan <strong>de</strong> nuevo la credibilidad <strong>de</strong> una página consolidadapara intentar infectar a usuarios <strong>de</strong> sistemas Windows. En la Wikipedia <strong>al</strong>emana se inserta un artículofraudulento sobre el famoso gusano Blaster que enlazaba a la <strong>de</strong>scarga <strong>de</strong> un m<strong>al</strong>ware que preten<strong>de</strong> seruna solución para una ficticia nueva variante.200<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
__Bernardo Quintero <strong>de</strong>scubre sin querer una pequeña <strong>de</strong>negación <strong>de</strong> servicio en Opera 9.02bajo Windows (navegador <strong>al</strong> que se aficiona tras la insistencia <strong>de</strong> Sergio <strong>de</strong> los Santos). Al visitar ladirección “http:///”, se provoca una <strong>de</strong>negación <strong>de</strong> servicio que consume los recursos <strong>de</strong>l procesador. Seríasolucionado poco <strong>de</strong>spués por los programadores <strong>de</strong>l navegador.__Cesar Cerrudo empren<strong>de</strong> una nueva campaña centrada en un solo producto: La semana <strong>de</strong> los bugsen Oracle (“Week of Oracle Database Bugs”), anunciada para principios <strong>de</strong> diciembre. La WoODB preten<strong>de</strong>centrarse en la publicación <strong>de</strong> una vulnerabilidad o error por día durante una semana, caracterizadas porno tener solución ofici<strong>al</strong> y ser <strong>de</strong>sconocidas hasta el momento. Su creador indica que bien podrían hacer“el año <strong>de</strong> los f<strong>al</strong>los en Oracle” sin ningún problema. Aña<strong>de</strong> que incluso la compañía miente sobre susesfuerzos <strong>de</strong> <strong>seguridad</strong>. Después <strong>de</strong> <strong>al</strong>guna que otra polémica, y por intereses no <strong>de</strong>svelados <strong>de</strong> formaclara, Cerrudo abandonaría la iniciativa poco <strong>de</strong>spués sin llevarla a cabo. Meses más tar<strong>de</strong> publicaríaotras vulnerabilida<strong>de</strong>s para Oracle en conferencias._ <strong>Hispasec</strong> <strong>de</strong>tecta un phishing a Banesto con intento <strong>de</strong>protección anti-inyección. <strong>Una</strong> <strong>de</strong> las medidas <strong>de</strong> reaccióncontra un phishing, a<strong>de</strong>más <strong>de</strong> la obvia <strong>de</strong> cerrar el sitio o retirar laspáginas, es inyectar basura en el formulario. La i<strong>de</strong>a es dificultar <strong>al</strong>os atacantes el po<strong>de</strong>r discernir entre los datos <strong>de</strong> víctimas re<strong>al</strong>es ylos f<strong>al</strong>sos introducidos por una herramienta automática. Se observael primer phishing que se v<strong>al</strong>e <strong>de</strong> un CAPTCHA para evitar elenvenamiento <strong>de</strong>l can<strong>al</strong> con basura, y solo obtener datos verda<strong>de</strong>ros<strong>de</strong> víctimas._ A fin<strong>al</strong>es <strong>de</strong> noviembre se <strong>de</strong>scubre una vulnerabilidad en GnuPG c<strong>al</strong>ificada <strong>de</strong> “obvia”. Pue<strong>de</strong>ser aprovechada por atacantes para ejecutar código arbitrario en el sistema afectado. El <strong>de</strong>scubridorc<strong>al</strong>ifica el problema <strong>de</strong> “obvio”, por lo que no se explica que lleve ahí <strong>de</strong>s<strong>de</strong> hace casi 8 años.A fin<strong>al</strong>es <strong>de</strong> 2006, Inteco (Instituto Nacion<strong>al</strong> <strong>de</strong> Tecnologías <strong>de</strong> la Comunicación)comienza el estudio sobre la inci<strong>de</strong>ncia y confianza <strong>de</strong> los usuarios <strong>de</strong> Internet españoles.Se basa en la medición mensu<strong>al</strong> <strong>de</strong> la frecuencia <strong>de</strong> los episodios <strong>de</strong> riesgo individu<strong>al</strong>en una muestra amplia <strong>de</strong> más <strong>de</strong> 3.000 hogares panelizados online. Básicamente, losusuarios inst<strong>al</strong>an voluntariamente un cliente que <strong>de</strong>tecta el potenci<strong>al</strong> m<strong>al</strong>ware en elsistema, contrastado contra la base <strong>de</strong> datos <strong>de</strong> VirusTot<strong>al</strong>. <strong>Hispasec</strong> es la encargada <strong>de</strong><strong>de</strong>sarrollar específicamente para este estudio la herramienta iScan, basada en microfirmasy consultas online a través <strong>de</strong> Internet para la i<strong>de</strong>ntificación <strong>de</strong> m<strong>al</strong>ware. Se trata <strong>de</strong> laprimera solución que hace uso <strong>de</strong>l “cloud computing” en la <strong>de</strong>tección <strong>de</strong> m<strong>al</strong>ware. Estatécnica que popularizaría en 2008 <strong>de</strong> la mano <strong>de</strong> <strong>al</strong>gunas casas antivirus, aunque fue<strong>de</strong>sarrollada sin ser conscientes <strong>de</strong> que el concepto sería tan popular dos años <strong>de</strong>spués.Pocos meses <strong>de</strong>spués, el estudio concluiría que el 70% <strong>de</strong> los or<strong>de</strong>nadores domésticoscontiene m<strong>al</strong>ware o programas espía.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 201
El estudio muestra, por primera vez, los hábitos que afectan a la <strong>seguridad</strong> en Internet:equipamiento <strong>de</strong> <strong>seguridad</strong> en los hogares, las medidas que los usuarios toman antes y<strong>de</strong>spués <strong>de</strong> las inci<strong>de</strong>ncias y la percepción relativa a la <strong>seguridad</strong> en Internet existente enlos hogares españoles Refleja también la creciente exigencia por parte <strong>de</strong> los usuarios <strong>al</strong>as administraciones públicas <strong>de</strong> que “hagan <strong>de</strong> Internet un lugar seguro”.<strong>Una</strong> <strong>al</strong> día22/01/2006 250.000 máquinas “zombies” <strong>al</strong> día en diciembreSegún un estudio que po<strong>de</strong>mos ver en technewsworld.com, en el último mes se han batido todas lasmarcas. En diciembre, hasta 250.000 or<strong>de</strong>nadores <strong>al</strong> día han sido infectados por <strong>al</strong>gún tipo <strong>de</strong> troyanoque permitía controlarlos. Hasta siete millones y medio <strong>de</strong> “zombies” ese mes <strong>al</strong> servicio <strong>de</strong> spammers,phishers, virus, y <strong>de</strong>más in<strong>de</strong>seables <strong>de</strong> Internet.250.000 “zombies” <strong>al</strong> día supone un incremento <strong>de</strong> un 50% respecto <strong>al</strong> mes anterior, lo que no es poco. Porpaíses, estos sistemas se distribuyen así:China: 17.10 %Estados Unidos <strong>de</strong> América: 14.75 %Alemania: 8.57 %Francia: 5.61 %España: 4.37 %Corea: 4.35 %Brasil: 4.06 %Polonia: 4.05 %Japón: 3.92 %Reino Unido: 3.32 %En números, nos da una cifra <strong>de</strong> aproximadamente 330.000 or<strong>de</strong>nadores secuestrados en diciembre enEspaña. En este repunte <strong>de</strong> cifras a fin<strong>al</strong> <strong>de</strong> año, sin duda, han tenido mucho que ver las últimas variantes<strong>de</strong> Sober y la vulnerabilidad WMF <strong>de</strong> Microsoft Windows como causantes <strong>de</strong>l robo <strong>de</strong> estas máquinas.De la intención <strong>de</strong>l reclutamiento masivo <strong>de</strong> or<strong>de</strong>nadores ya se ha hablado en una-<strong>al</strong>-día anteriormente.Con la <strong>de</strong>bida coordinación, un sólo “click” <strong>de</strong>l programa maestro permite or<strong>de</strong>nar a una red <strong>de</strong> miles <strong>de</strong>máquinas ejecutar una misma or<strong>de</strong>n <strong>de</strong> ataque. La mayoría <strong>de</strong> usuarios ni siquiera conoce la clan<strong>de</strong>stinaactividad <strong>de</strong> su sistema y en un principio, simplemente suelen percibir cierta merma en su velocidad <strong>de</strong>navegación y proceso. Las máquinas “zombie” se aglutinan en los <strong>de</strong>nominados “botnets”, anglicismo quese refiere a la asociación en red (nets) <strong>de</strong> máquinas autónomas (bots, apócope <strong>de</strong>l término sajón robots).Los “botnets” pue<strong>de</strong>n concentrar un gran número <strong>de</strong> máquinas “zombie” que se coordinan para gestionarel envío <strong>de</strong> correo basura, pero, sobre todo, suelen ser las culpables <strong>de</strong> los ataques <strong>de</strong> <strong>de</strong>negación <strong>de</strong> serviciodistribuido (DDoS).202<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
Hace ahora justo un año, se publicaba un estudio <strong>de</strong> Honeynet.org, especi<strong>al</strong>istas en el seguimiento <strong>de</strong> re<strong>de</strong>sautomatizadas <strong>de</strong> máquinas comprometidas, efectuado entre noviembre <strong>de</strong> 2004 y enero <strong>de</strong> 2005. En él semonitorizaron más <strong>de</strong> 100 “botnets” diferenciados, <strong>al</strong>guno <strong>de</strong> ellos con más <strong>de</strong> 50.000 máquinas “zombie”comprometidas. Se llegaron a censar más <strong>de</strong> 226.000 direcciones IP distintas por can<strong>al</strong> auditado, lo quenos ofrece una i<strong>de</strong>a aproximada <strong>de</strong> la magnitud <strong>de</strong>l problema. Un año <strong>de</strong>spués, se bate récord <strong>de</strong> máquinasinfectadas diariamente.¿Qué potencia se pue<strong>de</strong> <strong>al</strong>canzar con t<strong>al</strong> ejército <strong>de</strong> máquinas? La computación coordinada es muyimportante y no siempre se utiliza con fines <strong>de</strong>spreciables. Según lo que se ha podido conseguir con muchasmenos <strong>de</strong> esas 250.000 máquinas “zombies” i<strong>de</strong>ntificadas diariamente en diciembre, podremos llegar ahacernos una i<strong>de</strong>a <strong>de</strong>l problema que supone para la <strong>seguridad</strong> que ciertos irresponsables controlen a suantojo t<strong>al</strong> cantidad <strong>de</strong> sistemas, cada uno con su capacidad <strong>de</strong> proceso y con su ancho <strong>de</strong> banda dispuestosa ser sacrificados a la primera or<strong>de</strong>n.Un ejemplo <strong>de</strong> computación coordinada es Distributed.net, un proyecto <strong>de</strong>stinado a comprobar la <strong>seguridad</strong><strong>de</strong> los <strong>al</strong>goritmos <strong>de</strong> cifrado más conocidos. Voluntarios prestan <strong>de</strong> forma <strong>al</strong>truista los tiempos “ociosos”<strong>de</strong> sus máquinas para procesar datos <strong>de</strong>l <strong>al</strong>goritmo <strong>de</strong> cifrado elegido. Mediante un sistema distribuidodon<strong>de</strong> son asignados bloques <strong>de</strong> claves a cada cliente y coordinadas con un servidor, se intenta por fuerzabruta averiguar el mensaje cifrado con un <strong>al</strong>goritmo concreto.En 1999 se propusieron romper un mensaje cifrado con el <strong>al</strong>goritmo RC5 <strong>de</strong> 64 bits por fuerza bruta y lesllevó casi cuatro años probar 15.769.938.165.961.326.592 claves para fin<strong>al</strong>mente <strong>de</strong>scubrirla en julio <strong>de</strong>2002. Des<strong>de</strong> diciembre <strong>de</strong> ese mismo año intentan, insistentemente, <strong>de</strong>scifrar un mensaje cifrado ahoracon RC5 <strong>de</strong>72. bits, lo que implica probar 2 elevado a 72 claves, un número <strong>de</strong> 22 cifras. Para el primer<strong>de</strong>safío contaron “sólo” con 331.252 máquinas <strong>de</strong> todo tipo durante todo el proceso. Para el <strong>de</strong>safío actu<strong>al</strong>todavía no resuelto, han participado ya 69.2<strong>12</strong> or<strong>de</strong>nadores.SETI, o la Búsqueda <strong>de</strong> Inteligencia ExtraTerrestre, es un esfuerzo científico que trata <strong>de</strong> <strong>de</strong>terminarsi hay vida inteligente en el Universo. Su proyecto más exitoso es SETI@Home, <strong>al</strong> igu<strong>al</strong> <strong>de</strong> Distributed.net, utiliza sistemas person<strong>al</strong>es conectados a Internet para an<strong>al</strong>izar la increíble cantidad <strong>de</strong> informaciónque el equipo SETI recibe en sus radiotelescopios. Las señ<strong>al</strong>es <strong>de</strong> “ruido” <strong>de</strong>l Universo recibidas, soncodificadas y enviadas por paquetes <strong>al</strong> cliente. Este es un pequeño programa que cada usuario mantienevoluntariamente inst<strong>al</strong>ado en su sistema. Aprovecha los tiempos muertos para an<strong>al</strong>izar y procesar lospaquetes y son <strong>de</strong>vueltos <strong>al</strong> equipo SETI con los resultados. La probabilidad <strong>de</strong> que un or<strong>de</strong>nador <strong>de</strong>tecteel murmullo lejano <strong>de</strong> una civilización extraterrestre es mínima, pero con t<strong>al</strong> capacidad <strong>de</strong> computaciónunida, las posibilida<strong>de</strong>s aumentan.Seti@Home cuenta actu<strong>al</strong>mente con unos 370.000 usuarios registrados, y unas 750.000 máquinas entodo el mundo. En España, menos <strong>de</strong> 9.000. En este caso, teniendo en cuenta los 330.000 “zombies”<strong>de</strong>tectados en nuestro país en diciembre, son más las máquinas que tienen programas inst<strong>al</strong>adosclan<strong>de</strong>stina e involuntariamente que <strong>de</strong> forma consciente, y mayores los recursos invertidos para finesileg<strong>al</strong>es y prohibidos que para proyectos interesantes y <strong>al</strong>truistas.La intensidad <strong>de</strong> los ataques perpetrados por re<strong>de</strong>s “zombies” o “botnets”, es poco menos que incontenible.Unir <strong>de</strong> forma coordinada la capacidad <strong>de</strong> proceso y “bombar<strong>de</strong>o” <strong>de</strong> cada máquina, puntando su caud<strong>al</strong>hacia un objetivo fijo y <strong>de</strong>terminado, pue<strong>de</strong> terminar por consumir los recursos <strong>de</strong> las re<strong>de</strong>s más anchas ypreparadas. Si estas re<strong>de</strong>s <strong>de</strong> “zombies” se emplean, a<strong>de</strong>más, para el envío <strong>de</strong> correo basura, el resultadoes el que po<strong>de</strong>mos comprobar cada día en las casillas <strong>de</strong> correo <strong>de</strong> todos los usuarios <strong>de</strong>l planeta: miles <strong>de</strong>millones <strong>de</strong> mensajes inútiles que se cuelan en nuestros clientes, (más los miles <strong>de</strong> millones ya <strong>de</strong>sechados<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 203
por los programas anti-spam), a<strong>de</strong>más <strong>de</strong>l phishing y <strong>de</strong> los correos infectados por virus. En gran parte, esculpa <strong>de</strong> estos “zombies” t<strong>al</strong> cantidad <strong>de</strong> basura <strong>de</strong>sproporcionada, y, para colmo, hoy por hoy según estosnuevos datos, los sufrimos más que nunca.Sergio <strong>de</strong> los Santos22/02/2006 Manzanas y gusanosSe habla en los medios <strong>de</strong> un par <strong>de</strong> virus (o troyanos o gusanos) que han sido <strong>de</strong>tectados replicándose a símismos. Esto no sería en absoluto novedad, sino fuera porque el código infecta a los MAC OS X <strong>de</strong> Apple.¿Está siendo atacado el sistema operativo más elegante? No es un ataque propiamente dicho y a uno<strong>de</strong> ellos, incluso, ni siquiera se le pue<strong>de</strong> llamar virus. Por ahora los usuarios <strong>de</strong> Mac pue<strong>de</strong>n respirartranquilos: los virus <strong>de</strong> difusión masiva siguen siendo una parcela reservada para Microsoft y Windows,pero quizás se <strong>de</strong>bería reflexionar sobre esta posibilidad en un futuro.El día 13 <strong>de</strong> febrero, un usuario anónimo (no podía ser <strong>de</strong> otra forma) <strong>de</strong>jaba un mensaje en uno <strong>de</strong>los foros más populares para usuarios <strong>de</strong> Mac, MacRumors. En él se ofrecía a través <strong>de</strong> un enlace a unservidor externo, un archivo comprimido que se supone contenía imágenes <strong>de</strong> la nueva versión <strong>de</strong> Mac (laOS X 10.5, llamada Leopard). El fichero se llama latestpics.tgz y con él, llegó la polémica.Aunque lo aparentase, no contenía imágenes. Eran simples ejecutables UNIX compilados y camuflados...un programa. A partir <strong>de</strong> aquí, podríamos c<strong>al</strong>ificar a este engendro <strong>de</strong> troyano, por ocultarse como <strong>al</strong>go quere<strong>al</strong>mente no era. Estas <strong>de</strong>nominaciones han provocado profundas discusiones, pues las connotacionesimplícitas que conlleva c<strong>al</strong>ificar <strong>de</strong> troyano a un código no son las mismas que c<strong>al</strong>ificarlo <strong>de</strong> virus ogusano.Esta última nomenclatura <strong>de</strong>nota más vulnerabilidad por parte <strong>de</strong>l sistema operativo (virus y gusanospue<strong>de</strong>n ejecutarse con mínima interacción <strong>de</strong>l usuario, a escondidas, y pue<strong>de</strong>n replicarse hábilmenteentre los sistemas) mientras que un troyano es habitu<strong>al</strong>mente ejecutado consciente o inconscientementepor un usuario, lo que <strong>de</strong>ja caer la b<strong>al</strong>anza <strong>de</strong> la culpa y la responsabilidad más hacia este último. Los<strong>de</strong>fensores <strong>de</strong> Mac, en este punto, quieren <strong>de</strong>jar muy claro que el sistema operativo es seguro, pero nopue<strong>de</strong> hacerse responsables <strong>de</strong> las intenciones o consecuencias <strong>de</strong> la utilización por parte <strong>de</strong> un usuarioincauto e irresponsable.Al archivo, una vez an<strong>al</strong>izado se le podían reconocer rutinas <strong>de</strong>stinadas a autorreplicarse e infectar otrossistemas Mac. Aprovechaba la lista <strong>de</strong> contactos <strong>de</strong> iChat para enviarse a sí mismo e intentar contagiara otros usuarios. Sobre esto, los usuarios <strong>de</strong> Mac han rechazado igu<strong>al</strong>mente la <strong>de</strong>nominación <strong>de</strong> “virus”,pues necesita <strong>de</strong> bastantes acciones irresponsables por aparte <strong>de</strong>l usuario para po<strong>de</strong>r replicarse. En primerlugar el usuario <strong>de</strong> iChat <strong>de</strong>be aceptar la transferencia <strong>de</strong> las supuestas imágenes, <strong>de</strong>scomprimirlas yejecutar el archivo en su interior. Si el usuario pertenece <strong>al</strong> grupo <strong>de</strong> administradores se infectará, si no,el sistema operativo le pedirá las cre<strong>de</strong>nci<strong>al</strong>es porque el m<strong>al</strong>ware intenta escribir en zonas reservadas.Esto es como en cu<strong>al</strong>quier otro sistema operativo, aunque entre usuarios Mac sea más habitu<strong>al</strong> relegar lacuenta <strong>de</strong> root a labores administrativas. Necesitar <strong>de</strong> tanta ayuda para infectar, <strong>de</strong>bilita enormemente lasposibilida<strong>de</strong>s <strong>de</strong> contagio masivo.Parece ser que también es capaz <strong>de</strong> infectar otros archivos en el sistema, aunque su código no resulte204<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
<strong>de</strong>masiado sofisticado. A<strong>de</strong>más, cabe <strong>de</strong>stacar que no aprovecha ninguna vulnerabilidad conocida o<strong>de</strong>sconocida <strong>de</strong>l sistema para ejecutarse. Su “modus operandi” para infectar un sistema que lo <strong>al</strong>oje,resulta completamente manu<strong>al</strong>.En todo caso, el código ha llegado <strong>al</strong> estatus <strong>de</strong> m<strong>al</strong>ware, pues varias casas antivirus lo han incluidoen sus firmas bajo el nombre <strong>de</strong> OSX/Leap (otros como OSX/Oomp-A), cosa que no ocurre a menudoaunque, a tenor <strong>de</strong> lo acontecido estos últimos días, cabría preguntarse si está cambiando esta ten<strong>de</strong>ncia.Sólo una semana <strong>de</strong>spués <strong>de</strong> la aparición <strong>de</strong> este troyano, se hacía público la existencia <strong>de</strong> un segundocódigo in<strong>de</strong>seado para Mac OS X. Igu<strong>al</strong> <strong>de</strong> minoritario (pue<strong>de</strong> ser consi<strong>de</strong>rado una prueba <strong>de</strong> concepto),Inqtana-A sí pue<strong>de</strong> ser llamado virus pues aprovecha una vulnerabilidad en el componente Bluetooth<strong>de</strong> este sistema operativo para ejecutarse y, teóricamente, la necesidad <strong>de</strong> una mano que lo ejecute esmínima. Se replica <strong>de</strong> sistema vulnerable a sistema vulnerable a través <strong>de</strong> Bluetooth, pero es casi seguroque encuentre pocos huéspe<strong>de</strong>s que puedan <strong>al</strong>ojarlo, pues Apple publicó un parche para ese problema enmayo <strong>de</strong> 2005, con lo que la mayoría <strong>de</strong> sistemas hoy día serán inmunes.Los usuarios <strong>de</strong> Mac han permanecido durante muchos años ajenos a la amenaza <strong>de</strong>l m<strong>al</strong>ware, sonconfiados y la historia les av<strong>al</strong>a. Des<strong>de</strong> que en 1982 apareciese Elk Cloner (creado por un quinceañero) einfectase a sistemas Apple II (nada que ver con los Mac OS X actu<strong>al</strong>es) a través <strong>de</strong> disquetes, pocas hansido las oportunida<strong>de</strong>s <strong>de</strong> bautizar a un virus. El problema es que en dos semanas, han tenido que hacerloen dos ocasiones.Aunque Mac OS X es un excelente sistema operativo, seguro por diseño, son siempre los usuarios quemanejan cu<strong>al</strong>quier máquina los que pue<strong>de</strong>n resultar re<strong>al</strong>mente peligrosos. Si no ejecutan código noconfiable y se mantienen actu<strong>al</strong>izados, no sufrirán a estos dos nuevos especímenes encontrados. Aun así,no conviene bajar la guardia ante posibles amenazas futuras más sofisticadas y propagadas que ocurrirán,según las ten<strong>de</strong>ncias actu<strong>al</strong>es, sólo y exclusivamente cuando la creación <strong>de</strong> m<strong>al</strong>ware para este sistemaoperativo proporcione <strong>al</strong>gún tipo <strong>de</strong> rentabilidad significativa a sus creadores.De hecho, <strong>de</strong> una encuesta promocionada por Sophos sobre 600 usuarios, el 79% pensaba que Apple seráobjetivo <strong>de</strong>l m<strong>al</strong>ware en el futuro, aunque la mitad pensara que nunca llegaría a suponer el problemaque representa para usuarios <strong>de</strong> Microsoft. Lo curioso <strong>de</strong> la encuesta, quizás, es ese 21% que se muestraconfiado y no cree que el m<strong>al</strong>ware vaya a suponer nunca un problema para su sistema operativo.Esa confianza, se use el sistema operativo que se use, resulta m<strong>al</strong>a compañera y es bastante probable quehaya impulsado, por ejemplo, a muchos usuarios <strong>de</strong> Mac a ejecutar <strong>al</strong>egremente las supuestas y esperadasimágenes <strong>de</strong>l nuevo sistema operativo, sin preguntarse si eran re<strong>al</strong>mente imágenes, quién las enviaba ypor qué. Esta pru<strong>de</strong>ncia básica, por experiencia, es <strong>al</strong>go que ya muchos usuarios <strong>de</strong> Windows se planteanantes <strong>de</strong> lanzar su ratón sobre archivos <strong>de</strong>sconocidos, mientras que a usuarios <strong>de</strong> Mac, también por propiaexperiencia, es probable que ni se les pase por la cabeza.A<strong>de</strong>más <strong>de</strong> este <strong>de</strong>bate abierto sobre el futuro <strong>de</strong>l m<strong>al</strong>ware para Mac, habrá que estar atento <strong>al</strong> potenci<strong>al</strong>impacto que tendrá en la <strong>seguridad</strong> la posibilidad <strong>de</strong> ejecutar el sistema operativo bajo microprocesadoresIntel.Sergio <strong>de</strong> los Santos<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 205
28/03/2006 Troyanos bancarios: nuevos enfoques contra sistemas <strong>de</strong> <strong>seguridad</strong>Que el asunto <strong>de</strong> los troyanos orientados <strong>al</strong> frau<strong>de</strong> bancario se está poniendo muy serio es <strong>al</strong>go quepo<strong>de</strong>mos comprobar en <strong>Hispasec</strong> día a día en nuestro servicio VirusTot<strong>al</strong>. Son liter<strong>al</strong>mente cientos los queson an<strong>al</strong>izados en el servicio cada día, y esta legión no está formada sólo por variantes <strong>de</strong> las familias yaclásicas (Bifrose, Goldun, Zagaban, Psyme, etc.) sino también por nuevos ejemplares que se suman a lasfilas <strong>de</strong> esta amenaza creciente.Los códigos TAN (Transaction Authentication Number, Número <strong>de</strong> Autenticación <strong>de</strong> Transacción par<strong>al</strong>os hispanoparlantes) son utilizados por <strong>al</strong>gunas entida<strong>de</strong>s bancarias como una forma para reforzar la<strong>seguridad</strong> a la hora <strong>de</strong> re<strong>al</strong>izar operaciones <strong>de</strong>s<strong>de</strong> las cuentas online. Básicamente se trata <strong>de</strong> claves <strong>de</strong> unsolo uso que el usuario pue<strong>de</strong> recibir <strong>de</strong> su entidad bancaria por ejemplo vía SMS (una vez por código) opor correo ordinario (una lista para varios usos). Teóricamente, este mecanismo <strong>de</strong> ‘doble autenticación’ofrece una protección mayor que el uso <strong>de</strong> una clave <strong>de</strong> autenticación inici<strong>al</strong> con el banco más el uso típico<strong>de</strong> una secundaria para re<strong>al</strong>izar operaciones.Sin embargo, y como es natur<strong>al</strong>, los <strong>de</strong>sarrolladores <strong>de</strong> m<strong>al</strong>ware van modificando sus criaturas paraadaptarse a nuevos retos. Otro representante <strong>de</strong> las anteriormente nombradas familias clásicas <strong>de</strong>troyanos, con <strong>de</strong>nominación Kaspersky Trojan-Spy.Win32.Goldun.im, ha optado por añadir a sus múltiplescapacida<strong>de</strong>s (entre las que se encuentra funcion<strong>al</strong>idad rootkit para ocultarse convenientemente en elsistema) la captura <strong>de</strong> estos códigos <strong>de</strong> transacción para po<strong>de</strong>r re<strong>al</strong>izar sus activida<strong>de</strong>s fraudulentas.Este ejemplar utiliza un sistema sencillo man-in-the-middle, pero que si es convenientemente explotado,pue<strong>de</strong> ser sumamente eficiente: interceptando la comunicación HTTPS con las entida<strong>de</strong>s afectadas(en este caso dos bancos <strong>al</strong>emanes: Postbank y Deutsche Bank), captura el TAN que envía el usuario yseguidamente muestra un mensaje <strong>de</strong> error a la víctima. Mientras ésta se pregunta que <strong>de</strong>monios hapasado, llega para el atacante el momento <strong>de</strong> hacer rápido uso <strong>de</strong> dicho TAN para po<strong>de</strong>r acce<strong>de</strong>r a la cuenta<strong>de</strong> la víctima, dado el periodo <strong>de</strong> vida limitado que tiene dicho código <strong>de</strong> transacciones.Visto <strong>de</strong> forma glob<strong>al</strong>, en re<strong>al</strong>idad este ejemplar <strong>de</strong> m<strong>al</strong>ware no constituye ninguna novedad técnica, peropone <strong>de</strong> nuevo en evi<strong>de</strong>ncia que ningún sistema <strong>de</strong> protección es inf<strong>al</strong>ible a lo largo <strong>de</strong>l tiempo contra lacada vez más agresiva acción <strong>de</strong> este tipo <strong>de</strong> amenazas.Como <strong>de</strong> costumbre, ante este tipo <strong>de</strong> activida<strong>de</strong>s lo recomendable es seguir <strong>al</strong> menos unas cuantasdirectrices técnicas, como mantener convenientemente parcheado el sistema operativo, usar un buenantivirus y un igu<strong>al</strong>mente competente firew<strong>al</strong>l person<strong>al</strong>. Sin embargo, lo más importante es aplicar elsentido común, sobre todo en lo referente a los hábitos <strong>de</strong> navegación y <strong>al</strong> tratar con el correo electrónico.Julio Canto24/04/2006 Sexo, troyanos, y phishingYa lo <strong>de</strong>cía Nietzsche, “el sexo es una trampa <strong>de</strong> la natur<strong>al</strong>eza para no extinguirse”. Ahora son los phisherslos que están utilizando esta trampa como reclamo para infectar a los usuarios con troyanos y capturarsus claves <strong>de</strong> acceso a la banca electrónica.El phishing tradicion<strong>al</strong> se presenta en forma <strong>de</strong> correo electrónico simulando provenir <strong>de</strong> la empresa206<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
suplantada, la mayoría <strong>de</strong> las veces una entidad financiera, e instando <strong>al</strong> usuario con cu<strong>al</strong>quier excusa aintroducir sus claves en un formulario que re<strong>al</strong>mente envía los datos <strong>al</strong> phisher.Aunque simple, llega a ser efectivo. El hecho <strong>de</strong> que continúen con esa estrategia lo <strong>de</strong>muestra por si sólo,sin necesidad <strong>de</strong> contar con estadísticas o datos concretos <strong>de</strong> inci<strong>de</strong>ntes re<strong>al</strong>es, tema tabú por otro lado.Dejando claro que el phishing tradicion<strong>al</strong> es un tema importante, que mueve mucho dinero, no es menoscierto que en muchas ocasiones es más el ruido que las nueces. Ruido que suele traducirse en daño a laimagen corporativa, publicidad negativa difícil <strong>de</strong> cuantificar, si bien no son pocas las veces que ese efectocolater<strong>al</strong> supera a la pérdida directa <strong>de</strong>l ataque, ya que el phisher no obtiene ningún resultado.Por una causa u otra, en ocasiones por ambas, el phishing tradicion<strong>al</strong> es sin duda temido y bien conocido.Sin embargo, pese a su popularidad, no es ni el único ni, t<strong>al</strong> vez, el método más efectivo <strong>de</strong> ataque queutilizan los phishers. Existe una amenaza oculta, casi fantasma, <strong>de</strong> la que apenas se tienen datos glob<strong>al</strong>es,y que lleva ya tiempo siendo explotada <strong>de</strong> forma efectiva por los phishers: troyanos.A diferencia <strong>de</strong>l phishing tradicion<strong>al</strong>, los troyanos permiten diversidad <strong>de</strong> ataques una vez la máquina<strong>de</strong>l usuario está comprometida. El phishing tradicion<strong>al</strong> es efectivo en el caso <strong>de</strong> contraseñas estáticas,requiere que el usuario se crea que el e-mail fraudulento proviene <strong>de</strong> su banco, y que meta las claves en unapágina cuya dirección no correspon<strong>de</strong> a la web <strong>de</strong> su entidad. Amén <strong>de</strong> que son rápidamente <strong>de</strong>tectados ysu <strong>de</strong>sactivación varía entre pocas horas y, en el peor <strong>de</strong> los casos, <strong>al</strong>gunos días.Por su parte, los troyanos pasan mucho más <strong>de</strong>sapercibidos y pue<strong>de</strong>n capturar los datos sin levantarsospechas <strong>al</strong> usuario, no necesitan exponerse <strong>al</strong> conocimiento público a través <strong>de</strong> un spam, y su esperanza<strong>de</strong> vida es mucho mayor, suelen <strong>de</strong>scubrirse semanas o meses <strong>de</strong>spués <strong>de</strong> haber iniciado su actividad.A<strong>de</strong>más, los troyanos no tienen las limitaciones <strong>de</strong> una página web f<strong>al</strong>sa y pue<strong>de</strong>n burlar las proteccionesmás habitu<strong>al</strong>es. Un troyano pue<strong>de</strong> capturar tanto las pulsaciones <strong>de</strong> teclado, como pequeñas áreas <strong>de</strong>pant<strong>al</strong>la <strong>al</strong>re<strong>de</strong>dor <strong>de</strong>l cursor en el caso <strong>de</strong> teclados virtu<strong>al</strong>es, o capturar los datos <strong>de</strong>l formulario en claro,antes <strong>de</strong> que el navegador lo pase por SSL. Pue<strong>de</strong>n modificar las páginas que la web <strong>de</strong>l banco presenta <strong>al</strong>usuario, o los datos que el usuario envía <strong>al</strong> servidor seguro <strong>de</strong> la entidad, llevar a cabo ataques tipo hombreen medio, vulnerar los sistemas basados en clave única, tokens, SMS, DNI electrónico, etc.<strong>Una</strong> vez una máquina está comprometida, no se pue<strong>de</strong> garantizar la <strong>seguridad</strong> <strong>de</strong> una transacción re<strong>al</strong>izadaa través <strong>de</strong> ella.En el laboratorio <strong>de</strong> <strong>Hispasec</strong> llegamos a an<strong>al</strong>izar más <strong>de</strong> 50 muestras diarias distintas <strong>de</strong> troyanosbancarios, que son enviadas <strong>al</strong> servicio VirusTot<strong>al</strong>. Distinguimos princip<strong>al</strong>mente dos escuelas,internamente las <strong>de</strong>nominamos rusa y brasileña, que difieren bastante en la estrategia, técnicas utilizadas,y programación.Si bien, a<strong>de</strong>más <strong>de</strong>l fin común que persiguen (robar claves <strong>de</strong> acceso a la banca electrónica), hemosencontrado otro punto en común que suele aparecer con asiduidad en ambas escuelas: el sexo comoreclamo para infectar usuarios.El sexo es un tema utilizado recurrentemente en ingeniería soci<strong>al</strong> (término utilizado en <strong>seguridad</strong>informática a las técnicas para engañar <strong>al</strong> usuario), así como otras temáticas mucho más románticas. Noolvi<strong>de</strong>mos el famoso “iloveyou”, gusano que hiciera aparición en mayo <strong>de</strong> 2000, y que se propagó por todoel mundo gracias a que pocos se resistieron a abrir una supuesta carta <strong>de</strong> amor que llegaba a su buzón <strong>de</strong>correo.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 207
En el caso <strong>de</strong> los troyanos bancarios que nos ocupa las temáticas suelen ser menos románticas y másexplícitas. Pue<strong>de</strong>n llegar adjuntos en un e-mail como una supuesta foto <strong>al</strong>go subida <strong>de</strong> tono, hasta ahorasiempre <strong>de</strong> una fémina, o un mensaje, tipo spam, que nos invita a visitar una página con contenidos paraadultos.En ambos casos, y como norma gener<strong>al</strong>, el usuario logra visu<strong>al</strong>izar el contenido que esperaba, lo queminimiza las sospechas <strong>de</strong> que <strong>al</strong>go irregular ha ocurrido.En el caso <strong>de</strong> los adjuntos el archivo suele ser un ejecutable, con la extensión re<strong>al</strong> ofuscada y que aparecerepresentado en Windows con el icono utiliza para los formatos gráficos. Al ser abierto el ejecutablemuestra la esperada foto, pero <strong>al</strong> mismo tiempo que el usuario se recrea en su visu<strong>al</strong>ización, <strong>de</strong> formaoculta, el troyano es inst<strong>al</strong>ado en su sistema.En la otra variante ampliamente utilizada, la <strong>de</strong>l mensaje que incita <strong>al</strong> usuario a visitar una página, tambiénse muestran los contenidos adultos. En esta ocasión la página web suele incluir a<strong>de</strong>más <strong>al</strong>gún exploit queaprovecha vulnerabilida<strong>de</strong>s conocidas <strong>de</strong>l navegador, la mayoría <strong>de</strong> veces contra Internet Explorer porser el que mayor cuota <strong>de</strong> mercado tiene y por tanto, a priori, augura mayor número <strong>de</strong> infecciones <strong>al</strong>atacante.En el caso <strong>de</strong> que el usuario no mantenga su sistema actu<strong>al</strong>izado con los últimos parches <strong>de</strong> <strong>seguridad</strong>, eltroyano es <strong>de</strong>scargado e inst<strong>al</strong>ado en su sistema <strong>de</strong> forma oculta mientras visu<strong>al</strong>iza el contenido adulto.Algunos ejemplos <strong>de</strong> los contenidos utilizados por los últimos troyanos pue<strong>de</strong>n encontrarse en:http://blog.hispasec.com/laboratorio/118Las recomendaciones para prevenir este tipo <strong>de</strong> infecciones son básicas, por un lado <strong>de</strong>bemos ignorartodos los mensajes <strong>de</strong> spam, no abrir sus archivos adjuntos ni visitar sus enlaces, directamente borrarlos.Las soluciones antispam también minimizarán el riesgo <strong>de</strong> recibir este tipo <strong>de</strong> mensajes.Por otro lado es fundament<strong>al</strong> que mantengamos el sistema operativo puntu<strong>al</strong>mente actu<strong>al</strong>izado con losúltimos parches <strong>de</strong> <strong>seguridad</strong>. Especi<strong>al</strong> atención a disponer <strong>de</strong> la última versión <strong>de</strong> nuestro navegador. Enel caso <strong>de</strong> Windows, sistema <strong>al</strong> que <strong>de</strong> momento se dirigen este tipo <strong>de</strong> troyanos, se recomienda activar lasactu<strong>al</strong>izaciones automáticas y/o visitar periódicamente el sitio http://windowsupdate.microsoft.comUn buen antivirus también será <strong>de</strong> gran ayuda para prevenir estas vías <strong>de</strong> infección y otras estrategias <strong>de</strong>distribución seguidas por los troyanos bancarios y el resto <strong>de</strong>l m<strong>al</strong>ware.Como hemos visto, en el terreno virtu<strong>al</strong> también es necesario tomar una serie <strong>de</strong> precauciones paradisfrutar <strong>de</strong>l sexo <strong>de</strong> forma segura. Por terminar como empezamos, con una cita, <strong>de</strong>bemos ser más críticoscon lo que nos ofrecen en Internet y no <strong>de</strong>jarse ofuscar como Woody Allen, que llegó a <strong>de</strong>cir, “Solo existendos cosas importantes en la vida. La primera es el sexo y la segunda no me acuerdo”.Bernardo Quintero<strong>12</strong>/07/2006 Troyanos bancarios y evolución <strong>de</strong>l phishingEl phishing tradicion<strong>al</strong>, aquel que llega a través <strong>de</strong> e-mail y nos invita a visitar una página web que imita a208<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
la origin<strong>al</strong> <strong>de</strong> la entidad para que suministremos las claves <strong>de</strong> acceso, ya no es el princip<strong>al</strong> vector <strong>de</strong> ataque<strong>de</strong>l frau<strong>de</strong> en Internet. El número <strong>de</strong> troyanos bancarios supera en número y efectividad <strong>al</strong> phishingmás conocido, sin embargo no hay datos públicos sobre su actividad ni modus operandi. A continuaciónmostraremos un ví<strong>de</strong>o <strong>de</strong> como actúa uno <strong>de</strong> esos troyanos que lleva meses entre nosotros.El phishing tradicion<strong>al</strong>El phishing tradicion<strong>al</strong> es fácil <strong>de</strong> advertir, ya que es enviado <strong>de</strong> forma masiva a nuestros buzones <strong>de</strong>correo, lo que facilita su loc<strong>al</strong>ización temprana y los avisos relativos a casos concretos. A la parte pública,con iniciativas <strong>de</strong> información y <strong>al</strong>erta o las recomendaciones <strong>de</strong> <strong>seguridad</strong> publicadas por las propiasentida<strong>de</strong>s financieras, hay que sumar las acciones privadas entre entida<strong>de</strong>s y empresas <strong>de</strong> <strong>seguridad</strong>que permiten la <strong>de</strong>tección <strong>de</strong> sitios fraudulentos antes que sean conocidos. En estos últimos casos losinci<strong>de</strong>ntes no suelen trascen<strong>de</strong>r, por lo que el número <strong>de</strong> ataques phishing es mayor que el que puedarevelar cu<strong>al</strong>quier estadística pública.A<strong>de</strong>más <strong>de</strong> la <strong>de</strong>tección, más o menos temprana, otro apartado importante es el <strong>de</strong> la mitigación. Elphishing tradicion<strong>al</strong> ofrece oportunida<strong>de</strong>s <strong>al</strong> usuario para que pueda diferenciar el sitio origin<strong>al</strong> <strong>de</strong> unofraudulento, ya que hay elementos visibles que permiten su i<strong>de</strong>ntificación.En la mayoría <strong>de</strong> los casos, el usuario podrá observar que la URL o dirección que aparece en el navegadorno correspon<strong>de</strong> con la <strong>de</strong> su entidad, o que la conexión no es segura (no aparece el https ni el candadito enel navegador). Y como medida preventiva, por activa y por pasiva, se le está recomendando a los usuariosque <strong>de</strong>ben hacer caso omiso <strong>de</strong> los mensajes <strong>de</strong> correo electrónico que le pi<strong>de</strong>n que introduzca su usuarioy contraseña con cu<strong>al</strong>quier excusa.Las entida<strong>de</strong>s y empresas <strong>de</strong> <strong>seguridad</strong> también tienen fácil prevenir ciertas prácticas <strong>de</strong> phishingtradicion<strong>al</strong>, mitigar la funcion<strong>al</strong>idad <strong>de</strong> los que se <strong>de</strong>tecten activos y cerrarlos <strong>de</strong> forma rápida.Pese a que efectivamente el phishing tradicion<strong>al</strong> es bastante primitivo, no <strong>de</strong>ja <strong>de</strong> ser un problemaimportante. Aunque el número <strong>de</strong> inci<strong>de</strong>ntes re<strong>al</strong>es es prácticamente un tema tabú, nunca se ofrecerándatos <strong>de</strong> usuarios afectados o cantida<strong>de</strong>s económicas concretas, el hecho <strong>de</strong> que no <strong>de</strong>caigan los ataqueses la mayor constatación <strong>de</strong> que sigue siendo una actividad rentable para los estafadores.El problema no acaba en el frau<strong>de</strong> en sí mismo, a los ataques con éxito que puedan darse hay que sumarla imagen negativa que afecta a entida<strong>de</strong>s con nombre propio y <strong>al</strong> can<strong>al</strong> en gener<strong>al</strong>, efecto colater<strong>al</strong> que enocasiones es más perjudici<strong>al</strong> para las entida<strong>de</strong>s que el propio frau<strong>de</strong> directo.En este contexto, cuando aun no hemos superado el phishing tradicion<strong>al</strong> y los diferentes agentes implicadosdiscuten sobre responsabilida<strong>de</strong>s o estrategias para luchar contra este tipo <strong>de</strong> estafas, existe una evolución<strong>de</strong>l phishing que es más <strong>de</strong>sconocida y complicada <strong>de</strong> prevenir.Los troyanos bancariosAunque todo el mundo ha escuchado hablar <strong>de</strong> los troyanos bancarios, no existen datos concretos sobre suproliferación ni sobre los métodos que utilizan.Por norma gener<strong>al</strong> los troyanos bancarios suelen asociarse a los keyloggers, programan que capturan laspulsaciones <strong>de</strong> teclas cuando introducimos nuestras claves. Incluso en círculos más especi<strong>al</strong>izados se tieneesa errónea percepción, basta con observar como las propias entida<strong>de</strong>s implantan teclados virtu<strong>al</strong>es en<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 209
Es fundament<strong>al</strong> que, ante la diversificación <strong>de</strong> las técnicas, exista una cooperación re<strong>al</strong> y que los agentesimplicados superen sus intereses particulares, <strong>de</strong> lo contrario nos seguirán ganando la partida.En estos momentos, <strong>de</strong>s<strong>de</strong> el propio sector <strong>de</strong> la <strong>seguridad</strong>, hay muchos intereses creados respecto a lossistemas <strong>de</strong> autenticación empleados. Sin embargo, el t<strong>al</strong>ón <strong>de</strong> Aquiles y princip<strong>al</strong> cab<strong>al</strong>lo <strong>de</strong> bat<strong>al</strong>la es yserá la integridad <strong>de</strong>l sistema <strong>de</strong>l usuario.En este terreno <strong>de</strong>bemos sumar lo que tienen que ofrecernos (y <strong>de</strong>bemos exigirles) las casas antivirus,hoy por hoy cuentan con el software <strong>de</strong> <strong>seguridad</strong> más implantado a nivel <strong>de</strong> usuario y con los recursoshumanos más especi<strong>al</strong>izados a nivel técnico. Sin embargo suelen ser convidados <strong>de</strong> piedra en <strong>al</strong>gunosgrupos antiphishing.Tampoco hay que olvidar la responsabilidad <strong>de</strong>l sistema operativo o <strong>de</strong>l navegador, ya que muchos ataquesaprovechan vulnerabilida<strong>de</strong>s o <strong>de</strong>bilida<strong>de</strong>s <strong>de</strong>l software. Sumemos los ISPs, las fuerzas <strong>de</strong> <strong>seguridad</strong>,legislación, iniciatias específicas <strong>de</strong>s<strong>de</strong> la administración pública, aportaciones <strong>de</strong> la comunidad académica,asociaciones <strong>de</strong> usuarios...Luchar contra el phishing y las estafas en Internet <strong>de</strong> forma unilater<strong>al</strong> es con<strong>de</strong>narse <strong>al</strong> fracaso.Bernardo Quintero31/08/2006 La <strong>de</strong>ca<strong>de</strong>ncia <strong>de</strong> los gusanos <strong>de</strong> infección masivaLarry Seltzer publica en eWeek una reflexión sobre el escaso impacto actu<strong>al</strong> <strong>de</strong> los gusanos <strong>de</strong> red. Si enotros tiempos fueron capaces <strong>de</strong> afectar a millones <strong>de</strong> usuarios <strong>de</strong> Windows (aunque también han existidopara servidores PHP, por ejemplo), <strong>de</strong>gradar re<strong>de</strong>s mundi<strong>al</strong>es y permanecer activos durante meses, hoyrepresentan una simple reseña más en las firmas <strong>de</strong> antivirus. Sin embargo, esto no significa que lossistemas informáticos <strong>de</strong> consumo no estén en su peor momento en cuanto a niveles <strong>de</strong> infección.Bajo el título “The end of the worm era” (el fin <strong>de</strong> la era <strong>de</strong> los gusanos), Seltzer comienza hablando sobreel virus W32.Wargbot que aprovecha la vulnerabilidad <strong>de</strong>scrita en el boletín MS06-040 <strong>de</strong> Microsoft.Este virus ha pasado (o está pasando) sin pena ni gloria por los sistemas (especi<strong>al</strong>mente Windows 2000)sin que haya causado un mayor <strong>de</strong>strozo. La vulnerabilidad <strong>de</strong>jaba la puerta abierta a la creación <strong>de</strong> ungusano y este no tardó en aparecer. <strong>Una</strong> simple conexión abierta a una red podía permitir el envío <strong>de</strong>paquetes manipulados y la ejecución <strong>de</strong> código arbitrario en todas las versiones <strong>de</strong> Windows.Estos tipos <strong>de</strong> f<strong>al</strong>los <strong>de</strong> <strong>seguridad</strong> fueron los responsables <strong>de</strong> gusanos tan efectivos como el infame Blaster,que se <strong>al</strong>imentaba <strong>de</strong> la vulnerabilidad <strong>de</strong>scrita en MS03-039. Sasser, meses <strong>de</strong>spués, apareció también aprincipios <strong>de</strong> 2004 con un método muy parecido. Ambos causaron estragos en re<strong>de</strong>s <strong>de</strong> todo el mundo, ymillones <strong>de</strong> personas observaban impotentes cómo les aparecía el mensaje <strong>de</strong> que había ocurrido un f<strong>al</strong>locrítico y el or<strong>de</strong>nador se apagaría en un minuto.Pero esto fue hace tres años, y quizás fuimos testigos <strong>de</strong>l último <strong>de</strong> los gran<strong>de</strong>s gusanos <strong>de</strong> expansión einfección masiva. Hoy no es lo habitu<strong>al</strong>, y la discreta presencia <strong>de</strong> Wargbot lo confirma. Esto no quiere<strong>de</strong>cir que la amenaza sea menor, simplemente que la ten<strong>de</strong>ncia cambia. Las primeras versiones <strong>de</strong> Blastereran un <strong>de</strong>sastre en cuestión <strong>de</strong> programación, y aun así consiguió una propagación masiva. Wargbot esmucho más sofisticado, y no habrá sido tan famoso, pero seguro que ha cumplido la misión para la que fue<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 211
creado y ha logrado que se lucren <strong>de</strong> <strong>al</strong>guna forma sus programadores. Si bien los gusanos pue<strong>de</strong>n estaren <strong>de</strong>ca<strong>de</strong>ncia, los troyanos bancarios campan a sus anchas en or<strong>de</strong>nadores <strong>de</strong> todo el mundo, y <strong>de</strong>cenas<strong>de</strong> nuevas versiones aparecen cada día. Los niveles <strong>de</strong> infección siguen siendo excesivamente elevados,pero no precisamente por gusanos <strong>de</strong> gran expansión. Se busca la eficacia silenciosa <strong>de</strong> virus, troyanos ygusanos, huyendo <strong>de</strong> la infección masiva y <strong>de</strong>l fácil reconocimiento <strong>de</strong> casas antivirus.Las causas <strong>de</strong> esta <strong>de</strong>ca<strong>de</strong>ncia <strong>de</strong> gusanos <strong>de</strong> red pue<strong>de</strong>n ser muchas. La aparición <strong>de</strong>l Service Pack 2 paraWindows XP, con el cortafuegos activado por <strong>de</strong>fecto, y su mejora <strong>de</strong> la <strong>seguridad</strong> en gener<strong>al</strong>, pue<strong>de</strong> seruna <strong>de</strong> las más significativas. Un estudio re<strong>al</strong>izado por Microsoft, revela que <strong>de</strong>l tot<strong>al</strong> <strong>de</strong> sistemas que ha<strong>de</strong>sinfectado su “M<strong>al</strong>icious Software Remov<strong>al</strong> Tool” sólo un 3% correspon<strong>de</strong> a XP SP2, mientras que XP yXP SP1 acumulan el 63% <strong>de</strong> las infecciones <strong>de</strong>tectadas.Las actu<strong>al</strong>izaciones automáticas también ayudan a mitigar el impacto <strong>de</strong> estos gusanos, previniendo a losusuarios <strong>de</strong> infecciones causadas por vulnerabilida<strong>de</strong>s. Sobre este punto (y <strong>de</strong> lo que no habla Seltzer) esinteresante <strong>de</strong>stacar lo “contraproducente” <strong>de</strong> una actividad vírica masiva y <strong>de</strong>scontrolada que aprovechaagujeros <strong>de</strong> <strong>seguridad</strong>. Cada vez son más rápidos en aparecer los virus y gusanos que aprovechanvulnerabilida<strong>de</strong>s críticas, y esto ha podido provocar una especie <strong>de</strong> muerte por éxito <strong>de</strong>l sistema <strong>de</strong>infección masivo. Los usuarios ajenos a la <strong>seguridad</strong>, que no parchean sus sistemas, comprueban comoel or<strong>de</strong>nador se vuelve ya no sólo lento e inestable, sino absolutamente inoperativo <strong>al</strong> poco tiempo. Estocomenzó a constatarse durante 2004, cuando era imposible conectar un or<strong>de</strong>nador con un Windows noparcheado a Internet, pues era cuestión <strong>de</strong> minutos que Blaster o Sasser aparecieran infectándolo todo yobligando a una inst<strong>al</strong>ación completa con parches incluidos.Esto marcó un punto <strong>de</strong> inflexión, y el campo <strong>de</strong> la infección masiva por gusanos se ha visto tan saturado<strong>de</strong>s<strong>de</strong> entonces, que liter<strong>al</strong>mente es ya imposible mantener un or<strong>de</strong>nador “usable” durante un periodo<strong>de</strong> tiempo razonable si no es con un cortafuegos y con los parches <strong>de</strong> <strong>seguridad</strong> correspondientes.Prácticamente han sido los propios gusanos los que han “obligado” sin remedio a los usuarios, inclusoa los más <strong>de</strong>scuidados y temerarios, a parchear un sistema y refugiarse <strong>de</strong>trás <strong>de</strong> un cortafuegos, y sinvulnerabilida<strong>de</strong>s, no hay forma <strong>de</strong> propagarse. Quizás han cavado su propia tumba por un excesivo éxito.Sin embargo, la evolución sigue su camino y los niveles <strong>de</strong> infección siguen <strong>al</strong>tos. Los troyanos bancarios,mucho más discretos y que encuentran princip<strong>al</strong>mente en los navegadores la puerta <strong>de</strong> entrada en lossistemas operativos, han tomado el relevo y representan hoy una <strong>de</strong> las mayores amenazas víricas <strong>de</strong> lasque preocuparse.Sergio <strong>de</strong> los Santos24/10/2006 M<strong>al</strong>ware y phishing, ¿ponemos más puertas <strong>al</strong> campo?Los sistemas <strong>de</strong> <strong>seguridad</strong> reactivos, basados en firmas tradicion<strong>al</strong>es para el m<strong>al</strong>ware y listas negras parael phishing, están obsoletos y se muestran insuficientes para abordar una re<strong>al</strong>idad cuyos números y efectosse <strong>de</strong>sconocen.La Re<strong>al</strong> Aca<strong>de</strong>mia Española <strong>de</strong>scribe “poner puertas <strong>al</strong> campo” como frase coloqui<strong>al</strong> usada para dar aenten<strong>de</strong>r la imposibilidad <strong>de</strong> poner límites a lo que no los admite.Por <strong>de</strong>finición, tanto el m<strong>al</strong>ware como el phishing son conjuntos finitos, si bien están en continuocrecimiento. La producción actu<strong>al</strong> es tan prolífica que a efectos prácticos es imposible luchar <strong>de</strong> forma2<strong>12</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
efectiva intentando poner una nueva “puerta” para cerrar la vía <strong>de</strong> entrada <strong>de</strong> cada nuevo caso <strong>de</strong> m<strong>al</strong>wareo phishing.¿Se <strong>de</strong>sconoce la magnitud <strong>de</strong>l problema?Cuando uno trabaja <strong>de</strong>ntro <strong>de</strong>l sector tiene acceso a materi<strong>al</strong> <strong>de</strong> primera mano y ten<strong>de</strong>ncia a per<strong>de</strong>r laperspectiva que se distingue <strong>de</strong>l problema <strong>de</strong>s<strong>de</strong> el exterior. Es norm<strong>al</strong> que difiera la percepción <strong>de</strong> unusuario respecto a un profesion<strong>al</strong> <strong>de</strong> la <strong>seguridad</strong>.Tener puntos <strong>de</strong> vistas diferentes suele ser complementario y enriquecedor. A<strong>de</strong>más, tradicion<strong>al</strong>mentelas casas <strong>de</strong> <strong>seguridad</strong> han re<strong>al</strong>izado, en ocasiones o <strong>de</strong> forma puntu<strong>al</strong>, un m<strong>al</strong> uso <strong>de</strong> las estadísticas ylas <strong>al</strong>ertas, utilizándolas como herramienta <strong>de</strong> marketing para provocar la necesidad <strong>de</strong> adquirir unos<strong>de</strong>terminados productos. No es <strong>de</strong> extrañar que el usuario <strong>de</strong> hoy mantenga cierta actitud crítica, por otrolado recomendable, cuando se le habla <strong>de</strong> los peligros que acechan en Internet.Ahora bien, cuando uno lee en prensa que aparecen 2.000 nuevos virus cada mes <strong>de</strong> boca <strong>de</strong> un reputadoexperto en <strong>seguridad</strong>, ya no es un simple problema <strong>de</strong> percepción entre usuarios fin<strong>al</strong>es y profesion<strong>al</strong>es<strong>de</strong>l sector. La brecha es mayor.Algunos númerosUn laboratorio antivirus pue<strong>de</strong> recibir cada día una media <strong>de</strong> mil nuevas muestras <strong>de</strong> m<strong>al</strong>ware para lasque su solución no disponía <strong>de</strong> firma <strong>de</strong> <strong>de</strong>tección específica. No hay ninguna errata en los números,hablamos <strong>de</strong> 1.000 en 24 horas, Y hay casos don<strong>de</strong> el volumen es mayor.El phishing y el robo <strong>de</strong> cre<strong>de</strong>nci<strong>al</strong>es <strong>de</strong> acceso a banca, <strong>al</strong> contrario <strong>de</strong>l m<strong>al</strong>ware, t<strong>al</strong> vez sea una actividadmás visible. No en vano la estrategia más común por parte <strong>de</strong> los atacantes es re<strong>al</strong>izar un spam masivopara hacer llegar la dirección f<strong>al</strong>sa <strong>al</strong> mayor número <strong>de</strong> víctimas potenci<strong>al</strong>es. Todos hemos recibido variosmensajes <strong>de</strong> ese tipo, y más o menos po<strong>de</strong>mos hacernos una i<strong>de</strong>a <strong>de</strong>l volumen.Ahora bien, cuando hablamos <strong>de</strong> troyanos bancarios o <strong>de</strong> phishing segmentado entramos en un terrenomucho más oscuro. Como dato, en el laboratorio <strong>de</strong> <strong>Hispasec</strong> an<strong>al</strong>izamos más <strong>de</strong> 100 troyanos bancarioscada día.¿En qué se traducen estos números?La situación es <strong>al</strong>go contradictoria. Vivimos la época con mayor número <strong>de</strong> amenazas e inci<strong>de</strong>ntes enInternet, si bien la percepción gener<strong>al</strong> sobre la in<strong>seguridad</strong> se ha relajado respecto a años anteriores.Algunos culpablesEl m<strong>al</strong>ware ha <strong>de</strong>jado <strong>de</strong> ser noticia. Antes solía aparecer regularmente un gusano <strong>de</strong> propagación masivaque obtenía la atención <strong>de</strong> los medios tradicion<strong>al</strong>es y protagonizaba titulares.Ahora la estrategia <strong>de</strong> los atacantes ha cambiado. En vez <strong>de</strong> un gusano <strong>de</strong> propagación masiva que infectamiles <strong>de</strong> usuarios en poco tiempo, pero que también provoca que los antivirus reaccionen en tiemporécord, prefieren distribuir miles <strong>de</strong> variantes que infectan a más usuarios, pasan más <strong>de</strong>sapercibidas, ydificultan la labor <strong>de</strong> <strong>de</strong>tección <strong>de</strong> los antivirus.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 213
A<strong>de</strong>más el m<strong>al</strong>ware actu<strong>al</strong> es menos perceptible por los usuarios infectados. Atrás quedaron los virus quemostraban efectos en las pant<strong>al</strong>las <strong>de</strong> los usuarios, eliminaban archivos, o los gusanos que provocaban unaumento en el tráfico <strong>de</strong> red. Los troyanos y el spyware, reyes indiscutibles <strong>de</strong> la escena actu<strong>al</strong>, es softwarediseñado para permanecer oculto en los sistemas y no dar señ<strong>al</strong>es <strong>de</strong> su actividad.La situación actu<strong>al</strong>A efectos prácticos, el disponer <strong>de</strong> un antivirus o no hacer caso a los mensajes <strong>de</strong> phishing no garantizaa un usuario que su sistema no esté infectado o sea víctima <strong>de</strong> una estafa. De hecho, es muy comúnencontrarse sistemas con antivirus inst<strong>al</strong>ados don<strong>de</strong> conviven varios troyanos y/o spyware. Con frecuenci<strong>al</strong>os usuarios nunca llegan a ser conscientes <strong>de</strong> las infecciones, más <strong>de</strong> una vez habremos escuchado lafrase: “parece que este Windows tiene <strong>de</strong>masiado tiempo, va muy lento y con errores, toca formatearlo <strong>de</strong>nuevo”. Sí, en muchas ocasiones la responsabilidad no es <strong>de</strong>l sistema <strong>de</strong> Microsoft (comodín para todos losm<strong>al</strong>es), o <strong>al</strong> menos no en exclusividad.Tampoco f<strong>al</strong>tan casos <strong>de</strong> usuarios que han sido víctimas <strong>de</strong> frau<strong>de</strong> a través <strong>de</strong> la banca electrónica porInternet que a<strong>de</strong>más <strong>de</strong> disponer <strong>de</strong> antivirus actu<strong>al</strong>izado nunca han visitado una página <strong>de</strong> phishing.Lo que hay que exigirLos sistemas <strong>de</strong> <strong>seguridad</strong> tot<strong>al</strong>mente reactivos no son suficientes, tenemos que exigir prevención yproactividad.Por ejemplo, las firmas tradicion<strong>al</strong>es siguen siendo imprescindibles para los antivirus en la actu<strong>al</strong>idad,si bien <strong>de</strong>bemos <strong>de</strong> adquirir soluciones que complementen esa capa <strong>de</strong> <strong>de</strong>tección con buena tecnologíaheurística o basada en el comportamiento, capaces <strong>de</strong> <strong>de</strong>tectar m<strong>al</strong>ware nuevo y <strong>de</strong>sconocido.No existe antivirus inf<strong>al</strong>ible, pero a buen seguro conseguiremos un mayor grado <strong>de</strong> protección.En el caso <strong>de</strong>l phishing <strong>de</strong>bemos exigir a nuestras entida<strong>de</strong>s sistemas <strong>de</strong> autenticación más robustos,utilizar el típico usuario y contraseña o PIN estático para el acceso y autorización <strong>de</strong> transacciones es atodas luces insuficiente.Aunque son muchos los factores en contra a los que se <strong>de</strong>be enfrentar una entidad para implantar unsistema <strong>de</strong> autenticación multifactor y/o multican<strong>al</strong>, la mayoría ajenos a la tecnología, la experiencia<strong>de</strong>muestra que cu<strong>al</strong>quier avance, por pequeño que sea, es significativo en la lucha contra el phishing.Un ejemplo, las tarjetas <strong>de</strong> coor<strong>de</strong>nadas no <strong>de</strong>jan <strong>de</strong> ser un pseudo intento <strong>de</strong> OTP (One-Time Password)primitivo. A <strong>al</strong>gunos le resultará contradictorio que en pleno siglo XXI tengamos que mirar una tarjeta <strong>de</strong>plástico y jugar a los barquitos para introducir una contraseña. Pero las entida<strong>de</strong>s que las han implantadohan visto reducir drásticamente su nivel <strong>de</strong> frau<strong>de</strong> por Internet.Tampoco es, ni mucho menos, la solución <strong>de</strong>finitiva. Sistemas más robustos que las tarjetas <strong>de</strong> coor<strong>de</strong>nadas(certificados, tokens, can<strong>al</strong>es <strong>al</strong>ternativos vía móviles, etc.) pue<strong>de</strong>n ser, y serán atacados, con efectividad.De hecho <strong>al</strong>gunos <strong>de</strong> ellos ya son objetivos puntu<strong>al</strong>es en la actu<strong>al</strong>idad. Pero mientras existan entida<strong>de</strong>scon sistemas más débiles, basados en el usuario y contraseña tradicion<strong>al</strong>, los atacantes y el phishing secebarán en ellos.Resumiendo214<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
Es una frase manida, pero no por ello le quita razón: la <strong>seguridad</strong> es un proceso continuo. No vamosa encontrar la solución mágica contra los ataques y el frau<strong>de</strong>, <strong>de</strong>sconfié <strong>de</strong> quién le ofrezca el producto<strong>de</strong>finitivo y 100% seguro.Tampoco es menos cierto que la <strong>seguridad</strong> es una responsabilidad compartida. Aunque cada vez se tien<strong>de</strong>a hacer los sistemas <strong>de</strong> <strong>seguridad</strong> más transparentes para el usuario, pocos pue<strong>de</strong>n resistir cuando no sehace un uso responsable <strong>de</strong> la tecnología.Debemos <strong>de</strong> apren<strong>de</strong>r a evolucionar en el tiempo. Como usuarios tendremos que informarnos continuamentesobre las nuevas amenazas que van surgiendo, no en vano la educación en materia <strong>de</strong> <strong>seguridad</strong> es un<strong>al</strong>as princip<strong>al</strong>es y más útiles barreras contra los ataques. Nos tocará también adquirir nuevos hábitos yadaptarnos a nuevas tecnologías.Pero, sobre todo, <strong>de</strong>bemos exigir a los proveedores unos niveles mínimos <strong>de</strong> <strong>seguridad</strong> en todos lossistemas que nos ro<strong>de</strong>an, <strong>de</strong>s<strong>de</strong> la solución antivirus <strong>de</strong> nuestro PC pasando por la banca electrónica <strong>de</strong>nuestra entidad. A día <strong>de</strong> hoy muchos están por <strong>de</strong>bajo <strong>de</strong> lo que exige la situación actu<strong>al</strong>.Tú eres el usuario, tú mandas, ¿hora <strong>de</strong> cambiar?.Bernardo Quintero18/<strong>12</strong>/2006 De compras en el supermercado <strong>de</strong>l m<strong>al</strong>wareeWeek publica una entrevista con Raimund Genes, director <strong>de</strong> sistemas <strong>de</strong> Trend Micro, en el que <strong>de</strong>svel<strong>al</strong>os distintos precios que se pue<strong>de</strong>n llegar a pagar por exploits para vulnerabilida<strong>de</strong>s que todavía no hans<strong>al</strong>ido a la luz. Como quien va a <strong>al</strong> supermercado, existen <strong>de</strong> todos los tipos, gustos y precios.Según parece, Trend Micro logró infiltrase en un especie <strong>de</strong> subasta don<strong>de</strong> se comerci<strong>al</strong>izaba convulnerabilida<strong>de</strong>s y exploits. Des<strong>de</strong> ahí ha logrado tomarle el pulso a los baremos económicos en los que semueven las mafias informáticas hoy en día.Por ejemplo, un exploit para una vulnerabilidad no pública que permite ejecutar código en WindowsVista ronda (según siempre <strong>de</strong>claraciones <strong>de</strong> Genes para eWeek) los 50.000 dólares (38.100 eurosaproximadamente). Para otros sistemas, <strong>de</strong>pendiendo obviamente <strong>de</strong> su popularidad y <strong>de</strong> la gravedad <strong>de</strong>las vulnerabilida<strong>de</strong>s, los precios rondan los 20.000 a 30.000 dólares, entre 15.000 y 20.000 euros más omenos.Uno <strong>de</strong> los tipos <strong>de</strong> troyanos más habitu<strong>al</strong>es hoy día, los que secuestran máquinas Windows que generantodo ese spam que inunda los buzones (indicador <strong>de</strong> la eficacia <strong>de</strong> estos ataques) se ven<strong>de</strong>n por unos 5.000dólares (3.800 euros). Un troyano “a la carta” capaz <strong>de</strong> robar información sensible <strong>de</strong> cuentas onlinepue<strong>de</strong> ser comprado por 1.000 ó 5.000 dólares. Un troyano que permita construir todo un botnet se pue<strong>de</strong>comprar por 5.000 ó 20.000 dólares.Si la i<strong>de</strong>a <strong>de</strong> infectar y esperar beneficios no resulta atractiva, se pue<strong>de</strong>n obtener directamente números <strong>de</strong>tarjetas <strong>de</strong> crédito con su correspondiente PIN por sólo 500 dólares (380 euros). Otros datos person<strong>al</strong>esse ven<strong>de</strong>n por entre 80 y 300 dólares (<strong>de</strong> 60 a 230 euros).<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 - 215
Y no sólo m<strong>al</strong>ware y datos, según Genes, en la subasta también se vendían licencias <strong>de</strong> conducir f<strong>al</strong>sas,certificados <strong>de</strong> nacimiento, números <strong>de</strong> <strong>seguridad</strong> soci<strong>al</strong>... Lo más “asequible” son las cuentas <strong>de</strong> eBay oPayP<strong>al</strong>, a 7 dólares cada una (5 euros).Si estos son los precios que se pagan, los beneficios <strong>de</strong>ben ser potenci<strong>al</strong>mente mayores si se sabe gestionarel producto, no hay duda. El conocer cómo aprovechar una vulnerabilidad o un troyano “a la carta” y portanto no <strong>de</strong>tectable por la mayoría <strong>de</strong> antivirus (a no ser que posean unas excelentes heurísticas) suponeun ingreso potenci<strong>al</strong> <strong>de</strong> dinero que bien merece una inversión.Esto <strong>de</strong>muestra una vez más que los creadores <strong>de</strong> m<strong>al</strong>ware poseen una motivación re<strong>al</strong> para la producción<strong>de</strong> este tipo <strong>de</strong> código. Que es un “producto” que atien<strong>de</strong> a un mercado concreto y por tanto se rige por la ley<strong>de</strong> oferta y <strong>de</strong>manda que ha <strong>de</strong>rivado en la situación actu<strong>al</strong>: los niveles <strong>de</strong> infección por troyanos bancariosson <strong>al</strong>tísimos, han <strong>de</strong>saparecido las infecciones masivas por un único virus, se explotan nuevas vías <strong>de</strong>infección (MS Office, princip<strong>al</strong>mente) con numerosos “0 days” <strong>de</strong>scubiertos, VirusTot<strong>al</strong> recibe <strong>de</strong>cenas<strong>de</strong> nuevos troyanos bancarios <strong>al</strong> día (la mayoría no <strong>de</strong>tectados)... todo buscando el máximo beneficio yrendimiento, entendiendo como t<strong>al</strong> un lucro re<strong>al</strong>, tangible, económico.Lejos están los románticos tiempos <strong>de</strong> gusanos masivos y virus molestos (pero inocuos a la postre). Estamoshablando <strong>de</strong> inversión y beneficios, con el auge <strong>de</strong> la banca online ha surgido una nueva posibilidad <strong>de</strong>negocio, un nuevo nicho <strong>de</strong> mercado que no ha tardado en ser ocupado y que, t<strong>al</strong> es la cantidad <strong>de</strong> dineroque mueve, que según Genes, éste superaría ya <strong>al</strong> volumen que maneja el mercado <strong>de</strong> las solucionesantim<strong>al</strong>ware.Sergio <strong>de</strong> los Santos216<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
218<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2006 -
7D73727año 2007Capítulo911111010111
<strong>12</strong>15907200 – <strong>12</strong>47443199Durante este año...__<strong>Una</strong> entrada en el laboratorio <strong>de</strong> <strong>Hispasec</strong>, titulada “Google, ¿el otro granhermano?”, escrita por Bernardo, reflexiona sobre los po<strong>de</strong>res que está tomandoesta compañía en la recopilación <strong>de</strong> datos person<strong>al</strong>es entre sus distintos servicios <strong>de</strong>Adsense, búsqueda, Gmail... Poco tiempo <strong>de</strong>spués (en cuanto, precisamente es in<strong>de</strong>xado por Google) laentrada se convierte en un verte<strong>de</strong>ro <strong>de</strong> comentarios (más <strong>de</strong> 200) <strong>de</strong> personas que quieren participaren el concurso televisivo Gran Hermano, tanto su versión argentina como española. Algunos agudoscomentarios a la entrada son (liter<strong>al</strong>mente):quisiera participar en gran hermano 5 porque me coinci<strong>de</strong>ro una adolescente fogosa que pue<strong>de</strong> c<strong>al</strong>entar lapant<strong>al</strong>la <strong>de</strong> telefe quisiera que me avisaran cuando y don<strong>de</strong> es el casting para gran hermano 5Posted by: paola pellicciotti at abril 24,2007 16:44quisiera saber si va a ver otro gran hermano por que me gustaria hace el casting para entrar a la casasoy <strong>de</strong> camapana bs as tengo 20años y seria una gran experiencia experiencia y aparte tengo cu<strong>al</strong>ida<strong>de</strong>spara entrar en la casa y seria un gran paso para <strong>de</strong>dicarme a lo que me gusta que es la actuacion por favorenvienmen las fechas y lugares don<strong>de</strong> se va a hacer el proximo casting <strong>de</strong>s<strong>de</strong> ya muchas graciasPosted by: agustin lencina at abril 26,2007 03:3KIERO PERTICIPAR Y TARTAR DE JUGAR ESTE JUEGO LLENO DE HEMOSIONES ENCONTRADAS KIEROVIVIR ESA ADRENALINA DE ESTAR ENCERRADA POR MESES CON GENTE NUEVA PARA CONOCER YTRATAR DE CONOCERME MAS A MI MISMA BUENO GRACIAS Y ESPERO ME NOTIFIKEN LAS ULTIMASNOVEDADESPosted by: KISCHNER CAROLINA at abril 28,2007 04:08hola soy mary tengo 15 años casi cuplo los 16 pero me gustaria saver un poco mas <strong>de</strong> este proyecto porque mehe sentido un poco sola <strong>de</strong>s<strong>de</strong> hace un tiempo me gustaria que esto sea un ejemplo en mi vida y me gustariaparticipar no tengo tanta inspiracion para escribir pero hablo un montonazo. un besote bayPosted by: mary martinez“ HOLA GRAN HERMANO: me siento raro escribiendo esto, pero QUIERO ENTRAR A LA LOCURA DE ESACASA...me llamo CRISTIAN tengo 25 por favor man<strong>de</strong>n info para saber don<strong>de</strong> son los casting...BASTA DE MIRAR POR LA TELE Y DECIR YO TENGO QUE ESTAR AHI...AHORA LLEGO EL MOMENTO,ACA ESTOY TENGO UNA HISTORIA QUE CONTAR Y ESTOY LISTO PARA TODO LO QUE SE VENGADESPUES...GRACIAS Y ESTOY LISTOOOOOOOOPosted by: cristian at junio 15,2007 18:29 ”__Rumanía y Bulgaria pasan a formar parte <strong>de</strong> la Unión Europea. Cuenta ya con 27 países miembros.__Un petrolero sufre un acci<strong>de</strong>nte en aguas noruegas, vertiendoocéano.200 toneladas <strong>de</strong> crudo en el__El 17 <strong>de</strong> enero se a<strong>de</strong>lanta dos minutos el reloj <strong>de</strong>l apoc<strong>al</strong>ipsis (Doomsday clock). Se trata <strong>de</strong>l símbolomás representativo <strong>de</strong> peligro nuclear. Consiste en una esfera con el mapamundi grabado y dos agujas queno corren. <strong>Una</strong>, la <strong>de</strong> las horas, está permanentemente fijada en las doce. La otra, la <strong>de</strong> los minutos, ha sidomovida en 19 ocasiones durante el último medio siglo. Se conserva <strong>de</strong>s<strong>de</strong> 1947 en un edificio <strong>de</strong>l campus220<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
universitario <strong>de</strong> Chicago, se<strong>de</strong> <strong>de</strong> “The Bulletin of Atomic Scientist”. También es conocido como “El Reloj<strong>de</strong>l Juicio Fin<strong>al</strong>”. Sólo ha variado 19 veces <strong>de</strong>s<strong>de</strong> que se estableció. Se supone que la medianoche significaráel fin <strong>de</strong> la Humanidad. Se rige por los dictados<strong>de</strong> la política mundi<strong>al</strong>. Se estuvo a 17 minutos en1991 tras la firma <strong>de</strong> los tratados <strong>de</strong> reducción <strong>de</strong>armamento entre la Unión Soviética y EE. UU. En1953 tras las pruebas nucleares llevadas a cabopor las mismas potencias, se estuvo a 2 minutos<strong>de</strong>l fín.__El 10 <strong>de</strong> febrero la Wikipedia en español <strong>al</strong>canza los 200.000 artículos.__Durante la segunda mitad <strong>de</strong> enero se sufren fuertes lluvias en toda Europa. En el Reino Unidomueren 17 personas. En Alemania, son 13 las personas que se traga el agua. El huracán Kyrill arrasa el Oeste<strong>de</strong> Europa, <strong>de</strong>jando un tot<strong>al</strong> <strong>de</strong> 44 muertos en 20 países. Las tormentas serían la excusa para la primeraoleada <strong>de</strong>l “Storm worm”, que enviaba un spam con un adjunto prometiendo fotos <strong>de</strong> los sucesos.__El 20 <strong>de</strong> enero Microsoft lanza Windows Vista y Office 2007 fin<strong>al</strong>mente <strong>al</strong> público. Princip<strong>al</strong>mente porla carencia o los problemas con los drivers, el producto rápidamente se gana fama <strong>de</strong> inestable. También <strong>de</strong><strong>de</strong>vorador <strong>de</strong> recursos a causa <strong>de</strong> ciertas características que, en re<strong>al</strong>idad, acaparan memoria para acelerarel lanzamiento <strong>de</strong> las aplicaciones. Por último, la estabilidad y comodidad que sienten los usuarios <strong>de</strong> XP,un sistema que fue publicado en 2001, y que en parte gracias <strong>al</strong> retraso <strong>de</strong> Vista se consolida fuertementedurante los años, hacen que el sistema operativo sea c<strong>al</strong>ificado <strong>de</strong> fracaso. Sin embargo, con respectoa la <strong>seguridad</strong>, supone una importante apuesta y mejora por parte <strong>de</strong> Microsoft. Es el primer sistemaoperativo <strong>de</strong>sarrollado completamente <strong>de</strong>ntro <strong>de</strong> su programa integr<strong>al</strong> <strong>de</strong> <strong>seguridad</strong>.Sony saca a la venta su nueva consola, PlaStation 3, en Europa. Es la primera consola conlector <strong>de</strong> Blu-Ray. Cuesta 600 euros en España (bastante menos <strong>de</strong>spués) y sus ventas sonmuy discretas esa Navidad, en parte por el precio, en parte por la novedad con la queese mismo año compite Nintendo, la Wii. Su lanzamiento escasi par<strong>al</strong>elo. Es la primera consola que contiene un mandoque permite <strong>de</strong>tectar el movimiento y la rotación en tresdimensiones. Sony ya había intentado huir <strong>de</strong> los mandostradicion<strong>al</strong>es <strong>de</strong>s<strong>de</strong> su EyeToy hacía años. Se trataba <strong>de</strong>un periférico creado para la PlayStation 2. Básicamenteuna cámara que permitía que el jugador interactúese conlo que aparecía en la pant<strong>al</strong>la. No gozó <strong>de</strong> mucho éxito.Sin embargo, la Wii sorpren<strong>de</strong>ría a muchos por su precisióny novedad. El mercado se abría a jugadores <strong>de</strong> todas laseda<strong>de</strong>s que podían <strong>de</strong>s<strong>de</strong> disparar hasta hacer ejerciciocon la consola.__ <strong>Hispasec</strong> lanza el 20 <strong>de</strong> febrero su primera herramienta gratuita para móviles en forma <strong>de</strong> aplicación Java(J2ME), CryptaMobile. Se trata <strong>de</strong> un pequeño programa <strong>de</strong> <strong>al</strong>macenamiento seguro <strong>de</strong> contraseñas.__En mayo <strong>de</strong>saparece Ma<strong>de</strong>leine McCann. La niña <strong>de</strong> tres años está <strong>de</strong> vacaciones con sus padres yhermanos en un hotel <strong>de</strong> Praia da Luz, en el Algarve <strong>de</strong> Portug<strong>al</strong> cuando <strong>de</strong>saparece. El caso s<strong>al</strong>ta a los<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 221
medios y los padres convierten el asunto en un verda<strong>de</strong>ro acontecimiento mediático con anuncios, logotipo<strong>de</strong> la campaña <strong>de</strong> búsqueda (basado en una mancha en el iris <strong>de</strong> Ma<strong>de</strong>leine, una curiosa característica),recibimiento ante el Papa, recolecta <strong>de</strong> millones <strong>de</strong> dólares y apariciones en televisión. El mundo se vuelcay se i<strong>de</strong>ntifica con ellos. Poco <strong>de</strong>spués los acontecimientos toman un giro inesperado cuando los propiospadres se convierten en sospechosos. No se tienen pistas fiables <strong>de</strong> secuestro y se encuentra sangre en elcoche que <strong>al</strong>quilan. Deben <strong>de</strong>clarar. El caso se enturbia con ciertas diferencias entre la policía portuguesae inglesa, que s<strong>al</strong>en a la luz. Los padres continúan con la búsqueda ahora con fondos privados pero <strong>de</strong>s<strong>de</strong>los medios son <strong>de</strong>s<strong>de</strong> entonces rechazados y mirados con recelo.__<strong>Hispasec</strong> dispone ahora <strong>de</strong> una página en inglés, www.hispasec.com/en/ sin una-<strong>al</strong>-día.__ Se <strong>de</strong>tectan una serie <strong>de</strong> ataques <strong>de</strong> <strong>de</strong>negación <strong>de</strong> servicio, coordinados e insistentes contra lainfraestructura <strong>de</strong> Internet <strong>de</strong> Estonia. Muchas páginas ofici<strong>al</strong>es <strong>de</strong> ministerios, servidores <strong>de</strong> correoinstitucion<strong>al</strong>es y otras organizaciones <strong>de</strong>jan <strong>de</strong> estar operativas. El ataque resulta tan s<strong>al</strong>vaje que elgobierno <strong>de</strong> ese país pi<strong>de</strong> ayuda a la Unión Europea. Se especula mucho sobre quién pue<strong>de</strong> estar <strong>de</strong>trás<strong>de</strong> estos ataques. En principio se culpa a Rusia, <strong>de</strong>bido a tensiones diplomáticas entre ambos países, peroresulta imposible <strong>de</strong>terminar <strong>de</strong> dón<strong>de</strong> proviene exactamente el ataque. Lógicamente se trata <strong>de</strong> re<strong>de</strong>sdistribuidas <strong>de</strong> sistemas zombi, repartidas por todo el mundo. El “hacktivismo” se pone <strong>de</strong> moda.__El 11 <strong>de</strong> marzo se publica una entrada en el blog titulada “Sitio don<strong>de</strong> echar tu curriculum”. Enella Bernardo ce<strong>de</strong> un email para quien quiera enviar su currículum. La persona <strong>de</strong>trás <strong>de</strong> ese correo leofreció trabajo como director <strong>de</strong> <strong>seguridad</strong> y obviamente lo rechazó. La entrada es in<strong>de</strong>xada por Google yen poco tiempo, los comentarios se inundan con peticiones <strong>de</strong> empleo <strong>de</strong> lo más extrañas, <strong>de</strong>s<strong>de</strong> profesores<strong>de</strong> educación física hasta personas que buscan trabajo “<strong>de</strong> cu<strong>al</strong>quier tipo”.Re: Sitio don<strong>de</strong> echar tu curriculumhola busco trabajo en gijon tengo 16 años en octubre cumplo 17 soi muy trabajador 655XXXXXX llamarmePosted by: ivan at mayo 26,2008 16:51Re: Sitio don<strong>de</strong> echar tu curriculumholaaaa todos.......busco trabajo en lo q sea, pero me gusta mucho ser <strong>de</strong>pendienta en tiendas <strong>de</strong> ropa.tengo17 años y soy muy buena trabajadora y simpática.....lo necesito, y soy una chica que me encanta aten<strong>de</strong>r <strong>al</strong>público.si quereís yamarme <strong>al</strong> 6273XXXXXX ó 953XXXXXX.......gracias y esrtaré encantada <strong>de</strong> hacer unaentrevista con uste<strong>de</strong>s y si es posible po<strong>de</strong>r trabajar.....gracias y un buen abrazo chaoPosted by: rocio at junio 25,2008 16:09__Las bajas estadouni<strong>de</strong>nses <strong>al</strong>canzan los 3.500 militares muertos <strong>de</strong>s<strong>de</strong> la invasión<strong>de</strong> Iraq en marzo <strong>de</strong> 2003.__Se lanza en Estados Unidos el iPhone. Se trata <strong>de</strong>l teléfono móvil multimedia másgoloso hasta la fecha, creado por Apple, especi<strong>al</strong>ista en caprichos. También es el primermóvil tot<strong>al</strong>mente táctil, sin posibilidad ofici<strong>al</strong> <strong>de</strong> uso <strong>de</strong> puntero. La primera generación,que no llega a España, es cuatribanda GSM. A nuestro país llegaría a mediados <strong>de</strong> 2008con el firmware 2.0 y conocido como iPhone 3G. El anuncio fue precedido por rumoresy especulaciones que circularon durante varios meses. Esto no hizo más que crearexpectación. Fue llamado por la revista “Time” el invento <strong>de</strong>l año 2007.__ En julio el senado <strong>de</strong> los Estados Unidos duplica a 50 millones <strong>de</strong> dólares la recompensa para quiencapture vivo o muerto a Osama Bin La<strong>de</strong>n. Sigue en libertad y amenazando esporádicamente <strong>al</strong> mundo222<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
occi<strong>de</strong>nt<strong>al</strong> siete años <strong>de</strong>spués <strong>de</strong> los atentados <strong>de</strong> las Torres Gemelas.__En agosto se lanza Google Earth Sky, una evolución <strong>de</strong> Google Earth centrada en el espacio. Enoctubre <strong>de</strong> 2004 Google compró Keyhole, un programa <strong>de</strong> pago que Google ofrecería <strong>de</strong> forma gratuitay llamaría Google Earth a mediados <strong>de</strong> 2005. Poco a poco aumentaría sus servicios basados en la vistaen satélite <strong>de</strong> la tierra y lanzaría Google Maps, con la posibilidad <strong>de</strong> c<strong>al</strong>cular recorridos y muchas otrasfuncion<strong>al</strong>ida<strong>de</strong>s.__El 15 <strong>de</strong> agosto Perú sufre un terrible terremoto que mata a más <strong>de</strong> 500 personas y <strong>de</strong>ja 1.500heridos. Se lanza la <strong>al</strong>erta <strong>de</strong> un posible tsunami en el océano Pacífico.__En octubre se lanza Ubuntu 7.10.__El 16 <strong>de</strong> abril se produce la masacre <strong>de</strong> Virginia Tech. En el Instituto Politécnico y UniversidadEstat<strong>al</strong> <strong>de</strong> Virginia (conocido como Virginia Tech), en Blacksburg, Virginia (Estados Unidos). Mueren33 personas, incluyendo a Cho Seung-hui <strong>de</strong> 23 años, autor <strong>de</strong> la matanza. Se trata <strong>de</strong> un estudiantesurcoreano que el mismo día <strong>de</strong> la masacre envía a la ca<strong>de</strong>na NBC unos ví<strong>de</strong>os don<strong>de</strong> aparece disparandoen modo amenanzante. Los ví<strong>de</strong>os se distribuyen rápidamente por YouTube, creando cierta polémica. El7 <strong>de</strong> noviembre un estudiante mata a nueve personas en un instituto finlandés tras anunciar el crimenen Internet. El día antes el autor <strong>de</strong> los disparos había revelado sus planes en YouTube. El ví<strong>de</strong>o se titula“Matanza en el instituto Jokela”. Muestra una fotografía <strong>de</strong>l instituto que se rompe. Luego aparecendos imágenes en rojo <strong>de</strong> un joven que apunta a la cámara con una pistola. La historia se repetiría enFinlandia en septiembre <strong>de</strong> 2008. Matti Saari <strong>de</strong> 22 años cuelga en YouTube unos ví<strong>de</strong>os en los queaparece disparando a cámara mientras dice en inglés “Vosotros seréis los próximos en morir”. La policí<strong>al</strong>o interroga un día antes <strong>de</strong> la masacre y <strong>de</strong>ci<strong>de</strong> que no es necesaria ninguna acción, aunque efectivamenteposee una pistola W<strong>al</strong>ther P22 como aparece en el ví<strong>de</strong>o colgado en la red. Matti Saari acu<strong>de</strong> <strong>al</strong> Universidad<strong>de</strong> Ciencias Aplicadas <strong>de</strong> Kauhajoki en Seinäjoki e irrumpe a tiros matando a 10 compañeros y suicidándoseluego.Seguridad Informática__Oracle anuncia por primera vez con antelación sus publicaciones trimestr<strong>al</strong>es<strong>de</strong> parches <strong>de</strong> <strong>seguridad</strong>. Un resumen previo <strong>al</strong> estilo Microsoft que a<strong>de</strong>lanta el número yla gravedad <strong>de</strong> las actu<strong>al</strong>izaciones previstas.__Comienzan a enviarse las primeras versiones <strong>de</strong> lo que se conocería como el “Storm Worm”. Enuna evolución sospechosamente parecida a la <strong>de</strong> Bagle en 2004, el virus comienza a inundar los buzonescon spam que hace referencia a las tormentas que sufre en ese momento el norte <strong>de</strong> Europa. Durantetodo el año, y aún hoy día, comienza una evolución imparable en la que pasa <strong>de</strong> ser un m<strong>al</strong>ware <strong>al</strong> uso atodo un sistema que, cada cierto tiempo, resurge modificado y en una nueva campaña temática <strong>de</strong> spam.<strong>Una</strong> <strong>de</strong> sus características más importantes es su capacidad <strong>de</strong> ofrecer componentes <strong>de</strong> <strong>de</strong>scarga quemutan con una rapi<strong>de</strong>z asombrosa. Prácticamente cada vez que se actu<strong>al</strong>izaba la <strong>de</strong>scarga, se tenía untroyano con distinto hash pero parecida funcion<strong>al</strong>idad. Es uno <strong>de</strong> los sistemas <strong>de</strong> m<strong>al</strong>ware más complejosy profesion<strong>al</strong>es que se recuerdan.__A fin<strong>al</strong>es <strong>de</strong> enero se <strong>de</strong>tecta un phishing basado en la Agencia Tributaria (Hacienda). Noataca directamente a un banco (como viene siendo más que habitu<strong>al</strong>). Lo que preten<strong>de</strong> es que la víctima<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 223
introduzca los datos <strong>de</strong> su tarjeta <strong>de</strong> crédito para que Hacienda le <strong>de</strong>vuelva cierta cantidad. Posteriormentese <strong>de</strong>tectarían todo tipo <strong>de</strong> phishings orientados a entida<strong>de</strong>s y servicios que no son necesariamente bancos,incluso <strong>de</strong>stinados a robar contraseñas <strong>de</strong> port<strong>al</strong>es gratuitos.__ El mes <strong>de</strong> enero, <strong>al</strong> amparo <strong>de</strong> la moda <strong>de</strong> los meses temáticos <strong>de</strong>dicados a las vulnerabilida<strong>de</strong>s, secelebra “El mes <strong>de</strong> los f<strong>al</strong>los en Apple” por parte <strong>de</strong> LHM (que ya celebró el mes <strong>de</strong> los f<strong>al</strong>los en elkernel) y Kevin Finisterre. Publican un f<strong>al</strong>lo <strong>de</strong>l sistema Mac OS X o programas integrados en él cada díadurante ese mes. Los errores encontrados s<strong>al</strong>pican incluso a múltiples fabricantes, como el problema <strong>de</strong>PDF o el reproductor VLC Media Player.__En unas honestas <strong>de</strong>claraciones, Nat<strong>al</strong>ya Kaspersky, consejera <strong>de</strong>legada <strong>de</strong> la compañía especi<strong>al</strong>izadaen sistemas antivirus, reconoce que necesita <strong>de</strong> la ayuda <strong>de</strong> las fuerzas <strong>de</strong>l or<strong>de</strong>n internacion<strong>al</strong>es paraproteger a los usuarios. Según ellos, los tiempos en los que se podía controlar la situación con los antiviruspertenecen <strong>al</strong> pasado.__El día <strong>12</strong> <strong>de</strong> febrero se da a conocer una vulnerabilidad en Sun Solaris 10 tan simple comosorpren<strong>de</strong>nte. El f<strong>al</strong>lo permite el acceso trivi<strong>al</strong> como cu<strong>al</strong>quier usuario (incluido root) a través <strong>de</strong> telneten Sun Solaris 10. Sin necesidad <strong>de</strong> conocimientos especi<strong>al</strong>es, sin shellco<strong>de</strong> ni exploits, el f<strong>al</strong>lo llega a servergonzosamente simple. Para colmo, el error fue ya <strong>de</strong>scubierto y corregido en sistemas UNIX hacía 13años.Mich<strong>al</strong> Z<strong>al</strong>ewski se da a conocer durante 2006 por su trabajo a la hora <strong>de</strong> poner a prueb<strong>al</strong>a <strong>seguridad</strong> <strong>de</strong> los distintos navegadores. Descubre varias vulnerabilida<strong>de</strong>s tanto enInternet Explorer como Firefox, <strong>de</strong>dicándose con especi<strong>al</strong> hincapié a <strong>de</strong>safiar a este últimonavegador, <strong>al</strong> que sabe buscarle las cosquillas. Entre otros f<strong>al</strong>los, los torpedos <strong>de</strong> Z<strong>al</strong>ewski(una serie <strong>de</strong> exploits que provocaban que el navegador <strong>de</strong>jase <strong>de</strong> respon<strong>de</strong>r) tumbanel código <strong>de</strong> Firefox en varias ocasiones incluso <strong>de</strong>spués <strong>de</strong> aplicar actu<strong>al</strong>izaciones. Enfebrero Z<strong>al</strong>ewski vuelve a anunciar varios errores <strong>de</strong> diseño que consi<strong>de</strong>ra constituyenserios problemas <strong>de</strong> <strong>seguridad</strong>. Z<strong>al</strong>ewski es fiel seguidor <strong>de</strong> la filosofía <strong>de</strong> la revelación tot<strong>al</strong><strong>de</strong> los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> las vulnerabilida<strong>de</strong>s, lo que obliga a la organización Mozilla a retrasar lapublicación <strong>de</strong> la última actu<strong>al</strong>ización para solucionar en ella <strong>al</strong>gunos f<strong>al</strong>los <strong>de</strong>scubiertospoco antes. La vulnerabilidad por la que Z<strong>al</strong>ewski llega a c<strong>al</strong>ificar a Firefox como “el mejoramigo <strong>de</strong> los phishers”, no es corregida y se publica Mozilla Firefox 2.0.0.2 con, a<strong>de</strong>más,otros f<strong>al</strong>los conocidos y explotables. Por si fuera poco, en una <strong>al</strong>ertaofici<strong>al</strong> <strong>de</strong>scolgada <strong>de</strong>l resto, se anuncia que la última versión 2.0.0.2<strong>de</strong>l navegador Firefox también corrige una vulnerabilidad introducidapor un parche anterior. El parche, publicado en diciembre, no sólono corregía el f<strong>al</strong>lo que pretendía sino que empeoraba la situaciónpermitiendo la ejecución <strong>de</strong> código arbitrario.__Microsoft anuncia que en marzo no se publican boletines <strong>de</strong> <strong>seguridad</strong>, circunstancia que no sedaba <strong>de</strong>s<strong>de</strong> septiembre <strong>de</strong> 2005. No significa que no existiesen f<strong>al</strong>los conocidos.__En marzo, los servidores ofici<strong>al</strong>es <strong>de</strong>s<strong>de</strong> don<strong>de</strong> se <strong>de</strong>scarga el popular WordPress son comprometidosen <strong>al</strong>gún momento y el código fuente <strong>de</strong>l programa es modificado para troyanizarlo. Toda <strong>de</strong>scargaproducida <strong>de</strong>s<strong>de</strong> el servidor ofici<strong>al</strong> <strong>de</strong> WordPress <strong>de</strong>s<strong>de</strong> el día 25 <strong>de</strong> febrero hasta el 2 <strong>de</strong> marzo <strong>de</strong> 2007 essusceptible <strong>de</strong> contener el código que permite acceso <strong>al</strong> servidor don<strong>de</strong> esté inst<strong>al</strong>ado.224<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
__Stefan Esser <strong>de</strong>dica marzo <strong>al</strong> “mes <strong>de</strong> los f<strong>al</strong>los en PHP”. Publica casi 40 vulnerabilida<strong>de</strong>s en 31 días.Afortunadamente, la mayoría son problemas que no pue<strong>de</strong>n ser aprovechados <strong>de</strong> forma remota. StefanEsser es el creador <strong>de</strong> PHP, fundador <strong>de</strong> Har<strong>de</strong>ned-PHP e impulsor <strong>de</strong>l PHP Security Response Team.Durante años contribuye activamente <strong>al</strong> <strong>de</strong>sarrollo <strong>de</strong> PHP y consi<strong>de</strong>ra que el núcleo <strong>de</strong> programadores <strong>de</strong>este lenguaje no está concienciado con respecto a la <strong>seguridad</strong>. Por ello <strong>de</strong>ci<strong>de</strong> crear el mes <strong>de</strong> los f<strong>al</strong>los enPHP, como una especie <strong>de</strong> <strong>de</strong>safío hacia los programadores.McAfee da a conocer el 28 <strong>de</strong> marzo una grave vulnerabilidad en Microsoft Windows quepermite a atacantes ejecutar código <strong>de</strong> forma tot<strong>al</strong>mente silenciosa a través <strong>de</strong> web. Setrata <strong>de</strong> un f<strong>al</strong>lo en el tratamiento <strong>de</strong> archivos ANI que afecta a casi todas las versionesrecientes <strong>de</strong> Windows. Poco <strong>de</strong>spués se hace público un exploit y los acontecimientos seprecipitan. Los ataques se incrementan durante el fin <strong>de</strong> semana. Se publican hasta tresparches no ofici<strong>al</strong>es (por parte <strong>de</strong> ZERT, eEye y X-Solve) y el ofici<strong>al</strong> <strong>de</strong> Microsoft se a<strong>de</strong>lantapara s<strong>al</strong>ir el día 3 <strong>de</strong> abril, rompiendo su ciclo habitu<strong>al</strong> <strong>de</strong> los segundos martes <strong>de</strong> cadames. El problema se basa en una vulnerabilidad ya conocida y solventada (<strong>al</strong> parecer no<strong>de</strong>l todo), clasificada con el boletín MS05-002 por Microsoft y <strong>de</strong>scubierta inici<strong>al</strong>mente poreEye. Los usuarios <strong>de</strong> Internet Explorer 7 en Windows Vista no se ven afectados <strong>de</strong>bido <strong>al</strong>modo protegido <strong>de</strong> IE7. Tampoco prosperarían ataquesa través <strong>de</strong> Microsoft Outlook 2007.<strong>Hispasec</strong> publica poco <strong>de</strong>spués un extenso análisistécnico <strong>de</strong> la vulnerabilidad en ficheros ANI <strong>de</strong> Microsoft.A<strong>de</strong>más, se publica una prueba <strong>de</strong> concepto en la queel visitante pue<strong>de</strong> conocer la gravedad <strong>de</strong>l problema.Con sólo visitar una web especi<strong>al</strong>mente <strong>de</strong>dicada,se <strong>de</strong>scarga y ejecuta <strong>de</strong>s<strong>de</strong> <strong>Hispasec</strong> un pequeñoprograma que “<strong>de</strong>rrite” la pant<strong>al</strong>la.__ En abril Sophos publica un informe con interesantes conclusiones sobre la evolución <strong>de</strong>l m<strong>al</strong>ware en losúltimos tiempos. Se extrae que el número <strong>de</strong> nuevas amenazas se han multiplicado por dos en elúltimo año, y que la web se vuelve el primer vector <strong>de</strong> ataque para intentar infectar a las víctimas. Des<strong>de</strong>VirusTot<strong>al</strong> y <strong>de</strong> forma in<strong>de</strong>pendiente, llegábamos a conclusiones muy parecidas.__Se <strong>de</strong>tecta una nueva ten<strong>de</strong>ncia <strong>de</strong>l m<strong>al</strong>ware que mezcla phishing y troyanos. El atacante lanzaun troyano que haga capturas genéricas o concretas <strong>de</strong> entida<strong>de</strong>s bancarias. En los equipos que lograinfectar, el troyano va enviando <strong>al</strong> servidor las URLs y datos <strong>de</strong> los formularios seguros por los que navegael usuario. El atacante va examinando los datos que le van llegando <strong>al</strong> servidor, buscando entre las URLscapturadas webs <strong>de</strong> banca electrónica, y prepara páginas <strong>de</strong> phishing específicas en base a las entida<strong>de</strong>sque más se repiten entre los usuarios infectados. Es la corriente rusa. Des<strong>de</strong> el servidor indica a lostroyanos que cuando el usuario navegue por ciertas páginas <strong>de</strong> banca los redirija a los contenidos <strong>de</strong> losphishings que ha preparado. A partir <strong>de</strong> entonces, cuando los usuarios infectados quieren visitar la página<strong>de</strong> su banco, el troyano los redirige a la f<strong>al</strong>sa.__ A rebufo <strong>de</strong> los periodos temáticos <strong>de</strong> vulnerabilida<strong>de</strong>s, se anuncia en varias listas que el día 2 <strong>de</strong>abril comenzaría la semana <strong>de</strong> los f<strong>al</strong>los en Windows Vista. Incluso se publica una supuestaprimera vulnerabilidad. Días <strong>de</strong>spués los autores <strong>de</strong>stapan el engaño y confiesan que todo se trata <strong>de</strong> unabroma, urdida <strong>al</strong>re<strong>de</strong>dor <strong>de</strong>l “día <strong>de</strong> los inocentes” anglosajón y perfectamente orquestada con <strong>al</strong>evosía ypremeditación. Aprovechando el tirón mediático <strong>de</strong> los periodos temáticos, tomaron a Vista como objetivo,<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 225
para hacer la broma más atractiva hacia quienes consi<strong>de</strong>raban su objetivo princip<strong>al</strong>: Los medios. Con sóloanunciar su i<strong>de</strong>a en Bugtraq consiguieron posicionar la página bien <strong>al</strong>to en Google. Páginas especi<strong>al</strong>izadasy genéricas pican y tragan el anzuelo, a pesar <strong>de</strong> que la vulnerabilidad publicada carecía <strong>de</strong> base técnica eincluso incluía guiños en su <strong>de</strong>scripción que <strong>de</strong>jaban claro que el problema era inventado.__Se encuentra una vulnerabilidad en el sistema DNS <strong>de</strong> Microsoft Windows que pue<strong>de</strong> ser aprovechadapor atacantes remotos para ejecutar código en el sistema. El problema se <strong>de</strong>be a un <strong>de</strong>sbordamiento <strong>de</strong>memoria intermedia en la implementación <strong>de</strong> la interfaz RPC <strong>de</strong>l servidor DNS (Domain Name System)<strong>de</strong> Windows a la hora <strong>de</strong> procesar peticiones m<strong>al</strong> formadas enviadas a un puerto entre el 1024 y 5000. Secrean varios exploits que permiten aprovechar el f<strong>al</strong>lo. En especi<strong>al</strong>, uno programado por Andrés Tarascó yMario B<strong>al</strong>lano es capaz <strong>de</strong> aprovechar la vulnerabilidad sin necesidad <strong>de</strong> tener acceso <strong>al</strong> rango <strong>de</strong> puertosmencionados en un principio (1024-5000), sino que permite ejecutar código a través <strong>de</strong>l puerto 445.__<strong>Hispasec</strong> participa junto (pero no revueltos) con Microsoft en una gira <strong>de</strong> <strong>seguridad</strong> li<strong>de</strong>rada porChema Alonso que consiste en una serie <strong>de</strong> charlas, conferencias y mesas redondas en distintas ciuda<strong>de</strong>s<strong>de</strong> España. Durante abril y hasta junio se visitan, entre otras, V<strong>al</strong>ladolid: Bilbao, Zaragoza, Pamplona,V<strong>al</strong>encia, Murcia, León... A<strong>de</strong>más <strong>de</strong> Madrid y Barcelona en sus respectivos “Security Days”.Se pone a disposición <strong>de</strong> todos VirusTot<strong>al</strong> Uploa<strong>de</strong>r. <strong>Una</strong>pequeña utilidad para enviar muestras a VirusTot<strong>al</strong>. <strong>Una</strong> vezinst<strong>al</strong>ada se aña<strong>de</strong> la opción “Enviar a -> VirusTot<strong>al</strong>” en elmenú contextu<strong>al</strong> <strong>de</strong> Windows. Cuando se envía el archivo seobtiene la respuesta <strong>de</strong>l análisis a través <strong>de</strong> la interfaz web.Un año <strong>de</strong>spués, es seleccionada por la edición USA <strong>de</strong> PCWorld para pertenecer a su lista <strong>de</strong> “101 Fantastic Freebies”.Se trata <strong>de</strong> una prestigiosa lista anu<strong>al</strong> <strong>de</strong> 101 utilida<strong>de</strong>s software gratuitas (norm<strong>al</strong>mentepara Windows) que PC World recomienda especi<strong>al</strong>mente. La votación es llevaba a cabopor lectores y person<strong>al</strong> <strong>de</strong> la propia revista.Las categorías contempladas son:Productivity (productividad), File Sharing and Storage(<strong>al</strong>macenamiento y compartición <strong>de</strong> ficheros), Security(<strong>seguridad</strong>), System Backup and Utilities (resp<strong>al</strong>do <strong>de</strong>sistema y utilida<strong>de</strong>s), Maps and Directions (mapas y direcciones), Communications(comunicaciones), Time Management (manejo <strong>de</strong> tiempo), Music (música), DesktopCustomization (person<strong>al</strong>ización <strong>de</strong>l escritorio), News Rea<strong>de</strong>rs (lectores <strong>de</strong> noticias), Games(juegos).En el apartado <strong>de</strong> <strong>seguridad</strong>, “VirusTot<strong>al</strong> Uploa<strong>de</strong>r” encabeza la lista, juntocon programas tan reconocidos como Avira AntiVir Person<strong>al</strong>Edition, SpywareDoctor Starter Edition, Comodo Firew<strong>al</strong>l Pro, TrueCrypt, Secunia Person<strong>al</strong>Software Inspector, Spamfighter Pro, BitDefen<strong>de</strong>r Online Scanner, ThreatFireFree y McAfee Rootkit Detective.En mayo <strong>de</strong> 2007 la edición americana <strong>de</strong> PC World premia a VisusTot<strong>al</strong>,<strong>de</strong>ntro <strong>de</strong> los premios a los 100 Mejores Productos <strong>de</strong>l Año 2007. Se reconocea VirusTot<strong>al</strong> como el mejor sistio web <strong>de</strong> <strong>seguridad</strong>.226<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
__En mayo, Rock Phish, grupo pionero en ataques phishing en el mundo y responsable <strong>de</strong> la mayoría<strong>de</strong> ellos, dispara el número <strong>de</strong> ataques eludiendo leyes y contramedidas técnicas. Según <strong>al</strong>gunas fuentesRock Phish no es más que un kit <strong>de</strong> <strong>de</strong>sarrollo <strong>de</strong> phishing rápido para inexpertos. Sin embargo RockPhish es también una <strong>de</strong> las bandas más peligrosas y efectivas a la hora <strong>de</strong> crear ataques fraudulentos<strong>de</strong> robo <strong>de</strong> cre<strong>de</strong>nci<strong>al</strong>es. Por ejemplo, tienen la capacidad <strong>de</strong> crear múltiples y únicas URL para cadaataque, muy complejas (es una <strong>de</strong> sus señas <strong>de</strong> i<strong>de</strong>ntidad) que limitan <strong>de</strong> forma muy eficaz la labor <strong>de</strong>las barras antiphishing basadas en listas negras. A<strong>de</strong>más, actúan a lo gran<strong>de</strong>, pues son responsables <strong>de</strong>aproximadamente, más <strong>de</strong> la mitad <strong>de</strong> todo el phishing creado en el mundo en esos momentos.__En mayo se <strong>de</strong>tecta Badbunny, una prueba <strong>de</strong> concepto que aprovecha las macros <strong>de</strong> OpenOffice. Setrata <strong>de</strong> m<strong>al</strong>ware sin repercusión. Trata <strong>de</strong> <strong>de</strong>scargar una imagen JPG que representa a un señor vestido<strong>de</strong> conejo re<strong>al</strong>izando un acto sexu<strong>al</strong>. Lo curioso <strong>de</strong> este m<strong>al</strong>ware es que se distribuye a través <strong>de</strong> undocumento OpenOffice Draw (badbunny.ODG) que, según el sistema operativo don<strong>de</strong> se ejecute, intentainfectar <strong>de</strong> diferentes formas.__Robert Alan Soloway, un importante spammer <strong>de</strong> 27 años responsable <strong>de</strong> una buena parte <strong>de</strong>l correobasura mundi<strong>al</strong>, es sentenciado por un juzgado <strong>de</strong> Seattle y se enfrenta a una pena <strong>de</strong> hasta 65 años <strong>de</strong>cárcel por frau<strong>de</strong>, robo <strong>de</strong> cre<strong>de</strong>nci<strong>al</strong>es y blanqueo <strong>de</strong> dinero. Aunque se supone una buena noticia, niexperiencias previas ni el estado actu<strong>al</strong> <strong>de</strong> la industria <strong>de</strong>l m<strong>al</strong>ware hacen pensar que la situación para losque sufren el spam vaya a cambiar <strong>de</strong>masiado, como efectivamente ocurriría. El spam es cada vez másresponsabilidad <strong>de</strong> las re<strong>de</strong>s <strong>de</strong> zombis y menos <strong>de</strong> spammers profesion<strong>al</strong>es. El spam es todavía uno <strong>de</strong>los pilares <strong>de</strong> la industria <strong>de</strong>l m<strong>al</strong>ware. Como en la natur<strong>al</strong>eza, en cuanto un nicho queda vacío, <strong>al</strong>guien <strong>al</strong>acecho no tarda en ocuparlo. Ley <strong>de</strong> la jungla en Internet.En junio siguen las campañas <strong>de</strong> envío <strong>de</strong>l “Storm worm”, más virulentas si cabe.Prácticamente ningún antivirus, a estas <strong>al</strong>turas, se pone <strong>de</strong> acuerdo ya con los nombres<strong>de</strong> las variantes. Ocurriría ya habitu<strong>al</strong>mente con todo el m<strong>al</strong>ware: clasificarlo <strong>de</strong> formaefectiva bajo un nombre concreto es imposible. Se recurre a los nombres genéricos <strong>de</strong>familias completas y aun así es complicado encontrar nombres igu<strong>al</strong>es en las distintascasas. Hace tiempo que no se recuerda una epi<strong>de</strong>mia tan dura<strong>de</strong>ra. Si bien no se percibeigu<strong>al</strong> que en los tiempos <strong>de</strong>l Klez, Co<strong>de</strong> Red, Nimda o MyDoom, los niveles <strong>de</strong> infecciónpue<strong>de</strong>n ser parecidos. Y no se percibe igu<strong>al</strong> porque ya no es sólo que el Storm Wormmute con nuevas versiones, sino que se convierte en un complejo sistema multi-modularque se sirve <strong>de</strong> cientos <strong>de</strong> servidores comprometidos o no, una capacidad <strong>de</strong> mutaciónendiablada, y una modularidad que permite que sus funcion<strong>al</strong>ida<strong>de</strong>s cambien continuay radic<strong>al</strong>mente. Storm Worm ya no se podría clasificar como un troyano sino como uncomplejo sistema perfectamente orquestado, cambiante y eficaz. Muy <strong>al</strong> estilo m<strong>al</strong>ware2.0. En septiembre, Microsoft incluye la firma <strong>de</strong> un componente <strong>de</strong> Nuwar (como lo habautizado) en su “M<strong>al</strong>icious Software Remov<strong>al</strong> Tool”. En 15 días elimina el troyano <strong>de</strong>274.000 máquinas.__ La compañía antivirus Sunbelt da la voz <strong>de</strong> <strong>al</strong>arma a fin<strong>al</strong>es <strong>de</strong> marzo. Se utiliza contra ella un tipo <strong>de</strong>ataque person<strong>al</strong>izado que rompe las reglas habitu<strong>al</strong>es <strong>de</strong>l spam masivo, imperson<strong>al</strong> y pocosofisticado. <strong>Una</strong> supuesta carta <strong>de</strong> la BBB (Better Business Bureau), perfectamente person<strong>al</strong>izada yredactada, insta a la ejecución <strong>de</strong> un programa. Al parecer este m<strong>al</strong>ware infecta a más <strong>de</strong> 1.400 directivos.En el correo se explica que <strong>al</strong>guien ha interpuesto una queja contra la compañía y se pi<strong>de</strong> la <strong>de</strong>scarga<strong>de</strong> una supuesta imagen que resulta en re<strong>al</strong>idad un ejecutable. BBB es una organización americana que<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 227
arbitra entre usuarios y consumidores, una especie <strong>de</strong> oficina <strong>de</strong>l consumidor. En el correo electrónico,con una cuidada ortografía, se menciona con nombres y apellidos a personas re<strong>al</strong>es pertenecientes a laempresa (habitu<strong>al</strong>mente directivos), <strong>de</strong> forma que la primera impresión es que la acusación interpuestapue<strong>de</strong> ser re<strong>al</strong> y que verda<strong>de</strong>ramente <strong>al</strong>guien se ha quejado <strong>de</strong> los servicios <strong>de</strong> la compañía. En otrasversiones todavía más sofisticadas <strong>de</strong> la estafa, se usa un documento RTF adjunto en el que se incrusta unobjeto OLE que no es más que un archivo ejecutable.__El día 7 <strong>de</strong> junio, se <strong>de</strong>scubre una grave vulnerabilidad en unos ActiveX <strong>de</strong> Yahoo! Messengerque permite la ejecución <strong>de</strong> código arbitrario a través <strong>de</strong> la web. El código necesario para aprovechar elproblema se hace público, y obliga a Yahoo! a publicar, apenas unas horas <strong>de</strong>spués, una nueva versión <strong>de</strong>su producto. <strong>Hispasec</strong> ofrece una prueba <strong>de</strong> concepto para que cu<strong>al</strong>quiera pueda comprobar a qué se estáexpuesto con esta vulnerabilidad. Posteriormente Yahoo! tomaría la precaución <strong>de</strong> activar los kill bits <strong>de</strong>muchos <strong>de</strong> sus ActiveX a través <strong>de</strong> actu<strong>al</strong>izaciones ofici<strong>al</strong>es <strong>de</strong> Microsoft.__MySpace se convierte en el mes <strong>de</strong> junio en el objetivo primordi<strong>al</strong> <strong>de</strong> ataques phishing perpetradospor la banda bautizada como Rock Phish. Cientos <strong>de</strong> miles <strong>de</strong> páginas creadas cada día para engañar a losusuarios <strong>de</strong> esta red soci<strong>al</strong>.__Se populariza el spam en formato PDF, en un intento (exitoso, pero poco dura<strong>de</strong>ro) por evitar losfiltros antispam. Este tipo <strong>de</strong> ficheros no están contemplados por las soluciones antispam y, durante <strong>al</strong>gunassemanas, se tragan sin marcar como basura este tipo <strong>de</strong> archivos. Para dificultar su <strong>de</strong>tección, inclusoincluye imágenes borrosas <strong>de</strong>ntro <strong>de</strong> los propios archivos PDF. Poco <strong>de</strong>spués llega una nueva variante muysimilar pero que utiliza la extensión .FDF en los archivos adjuntos. El ataque remitiría cuando los filtrosantispam se actu<strong>al</strong>izaron. Pocos meses <strong>de</strong>spués volvería a intentar el envío <strong>de</strong> PDF pero esta vez sería paraaprovechar una vulnerabilidad en el lector Acrobat Rea<strong>de</strong>r.En julio VirusTot<strong>al</strong> se presenta con nueva imagen. Des<strong>de</strong> suestreno en junio <strong>de</strong> 2004, el port<strong>al</strong> no había sufrido cambiosestéticos <strong>de</strong>stacables. Si bien su sistema <strong>de</strong> funcionamientoha evolucionado consi<strong>de</strong>rablemente <strong>de</strong>s<strong>de</strong> sus comienzos,VirusTot<strong>al</strong> se renueva a<strong>de</strong>más con una imagen muchomás limpia, sencilla y mo<strong>de</strong>rna. Alcanza en solo tres añosun puesto muy reconocido entre los profesion<strong>al</strong>es <strong>de</strong> la<strong>seguridad</strong>. Son muchos los CERTs, laboratorios, port<strong>al</strong>es yusuarios en gener<strong>al</strong> que hacen uso diario <strong>de</strong> VirusTot<strong>al</strong> parael análisis <strong>de</strong> muestras sospechosas. Se ha convertido en elestándar “<strong>de</strong> facto” como herramienta para comprobarel estado <strong>de</strong> <strong>de</strong>tección <strong>de</strong>l m<strong>al</strong>ware por parte <strong>de</strong> losdiferentes motores antivirus. Curiosamente <strong>de</strong>s<strong>de</strong> sus inicios, e in<strong>de</strong>pendientemente <strong>de</strong>lnúmero <strong>de</strong> muestras, los porcentajes se han mantenido estables. El 70% <strong>de</strong> las muestras son<strong>de</strong>tectadas como m<strong>al</strong>ware. Des<strong>de</strong> 2005 a<strong>de</strong>más, un 30% <strong>de</strong> esa cantidad es <strong>de</strong>tectadocomo m<strong>al</strong>ware específico para robar contraseñas <strong>de</strong> banca electrónica.__El verano es duro para los navegadores. Durante estos días, se <strong>de</strong>scubren varias vulnerabilida<strong>de</strong>sen (casi) todos los navegadores, a<strong>de</strong>más <strong>de</strong> problemas en conectores (plugins) tan habitu<strong>al</strong>es en ellos comoJava y Flash Player.228<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
__Un investigador anónimo dice haber programado un gusano para Mac OS X, el sistema operativo <strong>de</strong>Apple. El gusano aprovecharía una vulnerabilidad todavía no parcheada que él mismo ha <strong>de</strong>scubierto. Elcódigo no se hace público, por lo que parece que Rape.osx (nombre con el que se ha bautizado el supuestogusano) tiene más <strong>de</strong> mediático que <strong>de</strong> proeza técnica.__En julio se <strong>de</strong>scubre un f<strong>al</strong>lo en la predicción <strong>de</strong> i<strong>de</strong>ntificadores <strong>de</strong> transacción en BIND.Podría ser aprovechado por un atacante para envenenar la caché DNS. Un atacante podría averiguar poranálisis criptográfico aproximadamente un 10% <strong>de</strong> i<strong>de</strong>ntificadores <strong>de</strong> consulta. Suficiente para re<strong>al</strong>izarun ataque. El problema se basa en que los i<strong>de</strong>ntificadores no son c<strong>al</strong>culados con la suficiente <strong>al</strong>eatoriedad.Este eterno problema <strong>de</strong> los servidores DNS volvería con muchísima más fuerza en el verano <strong>de</strong> 2008.__La rama 8.x <strong>de</strong> BIND, uno <strong>de</strong> los servidores <strong>de</strong> nombres más populares, <strong>de</strong>ja <strong>de</strong> ser mantenida porel ISC (Internet Systems Consortium). No se publican más parches <strong>de</strong> <strong>seguridad</strong> para esta versión. Susesfuerzos <strong>de</strong> <strong>de</strong>sarrollo, a partir <strong>de</strong> ahora, se centran en la rama 9.x.__Sourcefire (compañía <strong>de</strong> Martin Roesh, el creador <strong>de</strong> Snort) anuncia la compra <strong>de</strong> ClamAV a loscinco lí<strong>de</strong>res <strong>de</strong>l popular proyecto “open source”. Como era <strong>de</strong> esperar, el anuncio suscita todo tipo <strong>de</strong>reacciones en la comunidad ClamAV. El antivirus se mantendría sin <strong>de</strong>masiados cambios.__La página web <strong>de</strong>l banco <strong>de</strong> la India es atacada <strong>de</strong> <strong>al</strong>guna forma y se convierte en foco (involuntario)<strong>de</strong> infección para usuarios <strong>de</strong> Windows que no tengan su sistema actu<strong>al</strong>izado. Visitando la página weblegítima y re<strong>al</strong> <strong>de</strong>l banco, el usuario queda irónicamente infectado por varios troyanos bancarios <strong>de</strong>stinadosa robar sus contraseñas <strong>de</strong> acceso a la banca online. Esta ten<strong>de</strong>ncia se repetiría hasta la saciedad. Vulnerarla <strong>seguridad</strong> <strong>de</strong> sitios web conocidos e incrustar código que permite aprovechar <strong>al</strong>gún f<strong>al</strong>lo es una técnicaque sería usada <strong>de</strong> ahí en a<strong>de</strong>lante cada vez con mayor eficacia.__A fin<strong>al</strong>es <strong>de</strong> agosto, <strong>al</strong>guien apodado Egerstad <strong>de</strong>s<strong>de</strong> Suecia, publica en su blog las contraseñas <strong>de</strong>cien cuentas <strong>de</strong> correo pertenecientes a instituciones gubernament<strong>al</strong>es <strong>de</strong> todo el mundo.Fueron, paradójicamente, obtenidas a través <strong>de</strong>l popular TOR, una red para hacer anónimo el tráfico enInternet. El atacante creó un nodo TOR, <strong>al</strong>go a disposición <strong>de</strong> cu<strong>al</strong>quiera, y lo ofreció a la comunidad.Gracias <strong>al</strong> uso <strong>de</strong> TOR, con el que sus “víctimas” se sentían seguras, Egerstad consiguió esta informaciónconfi<strong>de</strong>nci<strong>al</strong> que colgó en su web.__<strong>Hispasec</strong> está en el “Roll of honour” <strong>de</strong> los phishers. En el Antiphishing Working Grupo (APWG) sehace público uno <strong>de</strong> los scritps encontrados en una página <strong>de</strong> phishing. En una “lista negra” <strong>de</strong> hosts, t<strong>al</strong>que así:$IP = getenv(“REMOTE_ADDR”);$host = gethostbyaddr($IP);$banhosts = array(“scotiabank”,”netcraft.com”, “ebay.com”, “panda.com”,”microsoft.com”, “fbi.gov”,“google.com”, “msn.com”, “yahoo.com”, “cia.gov”, “$resuelveserver”, “bankofamerica”, “mozilla”,“viabcp”, “veritas”, “nod32”,”antipishing”,”kapersky”, “norton”, “symantec”, “rsasecurity”, “bancopopular”,“payp<strong>al</strong>”, “unicaja”, “movistar”, “banesto”, “cajamadrid”, “bancopastor”, “rsa.com”, “symantecstore”,“gfihispana”, “fraudwatchinternation<strong>al</strong>”, “verisign”, “markmonitor”, “anti-phishing”, “pandasoftware”,“<strong>de</strong>litosinformaticos”, “zone<strong>al</strong>arm”, “<strong>al</strong>erta-antivirus”, “vsantivirus”, “nortonsecurityscan”, “hauri-la”,“cleandir”, “trendmicro”, “mcafee”, “nod32-es”, “pandaantivirus”, “free-av”, “grisoft”, “bit<strong>de</strong>fen<strong>de</strong>res”,“sophos”, “activescan”, “avast”, “bit<strong>de</strong>fen<strong>de</strong>r”, “trendmicro-europe”, “clamav”, “clamwin”, “eset”,“symantecstore”, “f-secure”, “hispasec”, “vnunet”, “<strong>seguridad</strong>”, “security”, “monitor”, “<strong>de</strong>tector”);<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 229
aparece el nombre <strong>de</strong> <strong>Hispasec</strong>. La i<strong>de</strong>a <strong>de</strong> los atacantes es que si se visita el sitio phishing <strong>de</strong>s<strong>de</strong> una IPcuya resolución inversa contenga <strong>al</strong>guna <strong>de</strong> esas ca<strong>de</strong>nas, en vez <strong>de</strong> visu<strong>al</strong>izar la página fraudulenta, elservidor <strong>de</strong>vuelve un error 404. En <strong>de</strong>finitiva, un intento para bloquear el phishing y dificultar su <strong>de</strong>teccióntemprana o que se tomen medidas <strong>de</strong> cierre.__La FIA (Fe<strong>de</strong>ración Internacion<strong>al</strong> <strong>de</strong> Automovilismo) publica en su web las transcripciones<strong>de</strong> las reuniones sobre el caso <strong>de</strong> espionaje Ferrari vs. McLaren. Antes <strong>de</strong> su publicación, el borrador<strong>de</strong>l documento fue revisado por Ferrari y McLaren para que indicaran el contenido confi<strong>de</strong>nci<strong>al</strong> que losprotagonistas revelaron en sus <strong>de</strong>claraciones, como por ejemplo datos sensibles o relativos a su tecnología,cuyo conocimiento precisamente <strong>de</strong>sata la investigaciónn y posterior sanción. La FIA lo publica en suservidor web en formato PDF. La visu<strong>al</strong>ización <strong>de</strong>l documento muestra <strong>al</strong>gunas porciones <strong>de</strong>l texto ocultaspor un rectángulo negro superpuesto, pero el texto origin<strong>al</strong> continúa ahí <strong>de</strong>bajo, <strong>al</strong> <strong>al</strong>cance <strong>de</strong> cu<strong>al</strong>quiera,a golpe <strong>de</strong> ratón.__Se publica una potenci<strong>al</strong> vulnerabilidad en Adobe Acrobat Rea<strong>de</strong>r que podría permitir a unatacante ejecutar código arbitrario. Su <strong>de</strong>scubridor no da <strong>de</strong>t<strong>al</strong>les sobre la vulnerabilidad, pero afirmaque un atacante podría fabricar un archivo PDF especi<strong>al</strong>mente manipulado y hacer que se ejecute códigoarbitrario en Windows si es abierto con Adobe Acrobat Rea<strong>de</strong>r. El autor es el mismo investigador (PetkoD. Oetkov) que da a conocer días atrás la vulnerabilidad en QuickTime Player a través <strong>de</strong> Firefox. Seríaaprovechada activamente por atacantes para <strong>de</strong>scargar un ejecutable e infectar sistemas.__Microsoft <strong>de</strong>ci<strong>de</strong>, <strong>de</strong>spués <strong>de</strong> un año, hacer que la versión 7 <strong>de</strong> su navegador esté disponiblelibremente para todo el mundo, in<strong>de</strong>pendientemente <strong>de</strong> que su Windows <strong>de</strong>muestre ser “genuino” yorigin<strong>al</strong>.__En octubre se bate el récord <strong>de</strong> archivos procesados por VirusTot<strong>al</strong> en 24 horas. Se superanlas 40.000 muestras procesadas por VirusTot<strong>al</strong> en 24 horas. 17 análisis por segundo. El récord volvería aser roto poco <strong>de</strong>spués. En noviembre se establecen los perm<strong>al</strong>inks para VirusTot<strong>al</strong>. Con ellos se pue<strong>de</strong><strong>al</strong>macenar para siempre un enlace con el resultado <strong>de</strong> una muestra enviada.__ El m<strong>al</strong>ware en forma <strong>de</strong> supuesto co<strong>de</strong>c parece “consolidadarse” contra usuarios <strong>de</strong>Mac. Sigue la “moda” <strong>de</strong> introducir m<strong>al</strong>ware en los sistemas usando como reclamo la necesidad <strong>de</strong> co<strong>de</strong>csespecíficos para po<strong>de</strong>r reproducir un ví<strong>de</strong>o. Estos co<strong>de</strong>cs suelen ser ejecutables para Windows, aunquetambién los sistemas Mac se ven afectados. Usan el user-agent <strong>de</strong>l navegador para distinguir qué sistemaoperativo visita la web y <strong>de</strong>scargar el m<strong>al</strong>ware correspondiente.__En <strong>Hispasec</strong> se <strong>de</strong>tecta un ataque phishing a gran esc<strong>al</strong>a contra entida<strong>de</strong>s bancariasespañolas que a<strong>de</strong>más intenta troyanizar el sistema. El kit <strong>de</strong> phishing afecta a 35 organizaciones, todosen un mismo servidor.__ En noviembre se re<strong>al</strong>iza un envío masivo <strong>de</strong> un mensaje que invita a visu<strong>al</strong>izar un supuesto ví<strong>de</strong>oen YouTube. El reclamo en esta ocasión es reproducir el célebre inci<strong>de</strong>nte entre el Rey <strong>de</strong> España y elPresi<strong>de</strong>nte <strong>de</strong> Venezuela. ¿Por qué no te c<strong>al</strong>las? Esta técnica se haría bastante popular con otros temas<strong>de</strong> moda.__Se encuentra una vulnerabilidad en un software preinst<strong>al</strong>ado en muchos portátiles HP.Al tratarse <strong>de</strong> un ActiveX, el usuario <strong>de</strong> estos portátiles que utilice el software por <strong>de</strong>fecto <strong>de</strong>l fabricantey que visite con Internet Explorer <strong>al</strong>guna página especi<strong>al</strong>mente manipulada, podría ejecutar códigoinadvertidamente.230<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
__Un informe <strong>de</strong> la empresa <strong>de</strong> investigación <strong>de</strong> mercado Gatner habla <strong>de</strong> unas pérdidas <strong>de</strong> 3.200millones <strong>de</strong> dólares por culpa <strong>de</strong>l phishing en 2007. El informe pone cifras <strong>al</strong> phishing “tradicion<strong>al</strong>”,contabilizando <strong>de</strong>s<strong>de</strong> agosto <strong>de</strong> 2006 a agosto <strong>de</strong> 2007 y centrado en Estados Unidos.__En <strong>Hispasec</strong> se <strong>de</strong>tecta un nuevo método <strong>de</strong> frau<strong>de</strong> bancario que aprovechaba vulnerabilida<strong>de</strong>s <strong>de</strong>routers para re<strong>al</strong>izar un pharming. Consiguen modificar los DNS <strong>de</strong>l or<strong>de</strong>nador a través <strong>de</strong> f<strong>al</strong>los en losparámetros <strong>de</strong>l router. Se centran en Banamex.<strong>Una</strong> <strong>al</strong> día22/01/2007 El mediático troyano <strong>de</strong> la tormenta y las lecciones noaprendidas“Storm Worm” o “Storm Virus” se ha popularizado en las últimas horas como m<strong>al</strong>ware <strong>de</strong> rápidadistribución que ha llegado a miles <strong>de</strong> sistemas. Lo oportuno <strong>de</strong>l asunto origin<strong>al</strong> con el que aparecía en losbuzones (haciendo referencia a la tormenta que ha azotado Europa), ha provocado que muchos usuarios loejecuten y que<strong>de</strong>n infectados. Resulta llamativa su capacidad <strong>de</strong> infección teniendo en cuenta que “Storm”es un m<strong>al</strong>ware con un método <strong>de</strong> infección “<strong>de</strong> manu<strong>al</strong>”, tradicion<strong>al</strong> y sin ninguna capacidad técnica quellame la atención.El viernes F-Secure <strong>al</strong>ertaba <strong>de</strong> una rápida propagación <strong>de</strong> un troyano llamado por <strong>al</strong>gunas casas Sm<strong>al</strong>l.DAM (más conocido como “Storm”), que llegaba a través <strong>de</strong>l correo electrónico. En la noticia publicada(acompañada <strong>de</strong> un mapa <strong>de</strong>l mundo muy vistoso) se podían seguir a través <strong>de</strong> luces parpa<strong>de</strong>antes lavelocidad <strong>de</strong> infección <strong>de</strong>l m<strong>al</strong>ware en cuestión.Técnicamente hablando Sm<strong>al</strong>l.DAM no aporta nada nuevo, ni en su técnica <strong>de</strong> expansión ni en su dañopotenci<strong>al</strong>: Es una variante <strong>de</strong> Sm<strong>al</strong>l, es un “downloa<strong>de</strong>r” para sistemas Windows, inst<strong>al</strong>a un nuevo servicioy tiene propieda<strong>de</strong>s <strong>de</strong> puerta trasera con lo que el sistema quedaría a disposición <strong>de</strong>, probablemente, unoperador <strong>de</strong> botnet. Nada que <strong>de</strong>stacar hasta el momento.La versión origin<strong>al</strong> <strong>de</strong>tectada el viernes 19 <strong>de</strong> enero se propagaba a través <strong>de</strong>l correo, en un archivo adjuntoejecutable para sistemas Microsoft (.exe) y con asuntos como:* 230 <strong>de</strong>ad as storm batters Europe (230 muertos en una tormenta que arrasa Europa)* Saddam Hussein <strong>al</strong>ive! (¡Saddam Hussein vivo!)Y adjuntos con la carga m<strong>al</strong>iciosa con nombres como:* Full Clip.exe* Full Story.exe* Read More.exe* Vi<strong>de</strong>o.exeUn ejemplo “<strong>de</strong> libro” sobre ingeniería soci<strong>al</strong> sencilla a la hora <strong>de</strong> intentar engañar a los usuarios. Este virusno ha necesitado aprovechar ningún tipo <strong>de</strong> vulnerabilidad, escon<strong>de</strong>rse bajo extensiones aparentementeinofensivas, ni partir <strong>de</strong> una familia previamente no <strong>de</strong>tectada <strong>de</strong> m<strong>al</strong>ware. Simplemente, ha usado una<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 231
noticia actu<strong>al</strong> y suficientemente morbosa (la promesa <strong>de</strong> un ví<strong>de</strong>o sobre los que han sufrido mort<strong>al</strong>menteel tempor<strong>al</strong> o la hipótesis <strong>de</strong> un dictador vivo cuando medio mundo ha presenciado su ejecución) paraconseguir cierto éxito y propagarse sin dificultad. <strong>Una</strong> muestra más <strong>de</strong>l eslabón más débil <strong>de</strong> cu<strong>al</strong>quierca<strong>de</strong>na <strong>de</strong> <strong>seguridad</strong>: el usuario.Ante el éxito, la pista se pier<strong>de</strong>. En las últimas horas han aparecido <strong>de</strong>cenas <strong>de</strong> variantes, con nuevosasuntos, adjuntos y carga vírica. En sus últimos análisis, se observan inclusos comportamientos <strong>de</strong> rootkitpara ocultarse en el sistema.Las últimas actu<strong>al</strong>izaciones <strong>de</strong> la mayoría <strong>de</strong> los antivirus están añadiendo a marchas forzadas firmas para<strong>de</strong>tectar las muchas variantes producidas. Se recomienda en cu<strong>al</strong>quier caso, aplicar el sentido común y noejecutar archivos ejecutables no solicitados. Si los administradores todavía no lo han hecho, se <strong>de</strong>berían<strong>de</strong>scartar los archivos ejecutables a nivel <strong>de</strong> pasarela <strong>de</strong> correo.Sorpren<strong>de</strong> (y <strong>de</strong>cepciona) que acudir a técnicas <strong>de</strong> propagación tradicion<strong>al</strong>es y carentes <strong>de</strong> imaginacióncomo este m<strong>al</strong>ware (que confía sólo en el po<strong>de</strong>r <strong>de</strong> un asunto llamativo para su propagación), resulte exitosoa estas <strong>al</strong>turas. Es una lección que, por repetición <strong>de</strong>s<strong>de</strong> hace ya muchos años, creíamos aprendida.Sergio <strong>de</strong> los Santos06/02/2007 Kaspersky reconoce que no pue<strong>de</strong> hacer milagrosEn unas honestas <strong>de</strong>claraciones, Nat<strong>al</strong>ya Kaspersky, consejera <strong>de</strong>legada <strong>de</strong> la compañía especi<strong>al</strong>izadaen sistemas antivirus, reconoce que necesita <strong>de</strong> la ayuda <strong>de</strong> las fuerzas <strong>de</strong>l or<strong>de</strong>n internacion<strong>al</strong>es paraproteger a los usuarios. Según ellos, los tiempos en los que se podía controlar la situación con los antiviruspertenecen <strong>al</strong> pasado.ComputerWorld recoge unas sorpren<strong>de</strong>ntes <strong>de</strong>claraciones <strong>de</strong> una <strong>de</strong> las compañías antivirus másreconocidas mundi<strong>al</strong>mente. En ellas pi<strong>de</strong>n la cooperación <strong>de</strong> la policía internacion<strong>al</strong>: “No tenemos lassoluciones. Pensamos que era posible re<strong>al</strong>izar antivirus y eso ofreció una protección a<strong>de</strong>cuada. Ya no esasí”. “Solucionar el problema está más <strong>al</strong>lá <strong>de</strong> las capacida<strong>de</strong>s <strong>de</strong> los fabricantes <strong>de</strong> productos <strong>de</strong> segurida<strong>de</strong>n solitario. Se necesitan esfuerzos coordinados entre los países”.Des<strong>de</strong> Kaspersky también reconocen que están abrumados. “La compañía tiene a 50 ingenieros an<strong>al</strong>izandoel nuevo m<strong>al</strong>ware y buscando formas <strong>de</strong> bloquearlo, pero con 200 nuevas muestras por día, y en aumento,el trabajo se hace arduo”. “Ninguna compañía antivirus pue<strong>de</strong> venir y <strong>de</strong>cirte que pue<strong>de</strong> manejarlo todo.Consi<strong>de</strong>ramos responsable hacerlo saber a la gente <strong>de</strong> forma clara.”El “Center for Strategic and Internation<strong>al</strong> Studies” (que asesora a gobiernos en cuestión <strong>de</strong> <strong>seguridad</strong>), yuna comisión fe<strong>de</strong>r<strong>al</strong> <strong>de</strong> comercio se unirán a Kaspersky para hacer una llamada a las fuerzas <strong>de</strong>l or<strong>de</strong>n,para que se involucren más en la lucha contra los creadores y distribuidores <strong>de</strong> m<strong>al</strong>ware. Intentarán llegaa acuerdos internacion<strong>al</strong>es para crear las condiciones a<strong>de</strong>cuadas que permitan perseguir a los crimin<strong>al</strong>esa través <strong>de</strong> las fronteras”.Reconocen que el éxito <strong>de</strong> la policía en este sentido ha sido limitado, con apenas 100 <strong>de</strong>tenciones por año.“Sólo los estúpidos se <strong>de</strong>jan coger. A los listos es muy complicado encontrarles”, afirma Kaspersky.232<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
Por último, Kaspersky aña<strong>de</strong>: “El software <strong>de</strong>stinado a bloquear el m<strong>al</strong>ware es efectivo, pero no pue<strong>de</strong>parar todos los ataques. Somos como la policía, nos per<strong>de</strong>mos muchos casos pero hacemos lo que po<strong>de</strong>mos.Intentamos prevenir, pero no po<strong>de</strong>mos hacer milagros”.Kaspersky asume así la nueva situación vírica mundi<strong>al</strong> <strong>de</strong> forma honesta y responsable.Sergio <strong>de</strong> los Santos13/02/2007 Phishing, el “hermano pobre” <strong>de</strong> los troyanosEl phishing sigue siendo la práctica fraudulenta por Internet más visible y reconocida, ya que el spam masivo<strong>de</strong> correos invitando a los usuarios a que visiten una página f<strong>al</strong>sa pue<strong>de</strong> ser <strong>de</strong>tectado por cu<strong>al</strong>quiera. Porcontra, <strong>de</strong> los troyanos especi<strong>al</strong>izados en el robo <strong>de</strong> claves se saben que existen y están ahí, aunque noson tan reconocidos ni se ven a simple vista. ¿Qué técnica <strong>de</strong> estafa es más peligrosa? ¿Con cuál se estánobteniendo mayores resultados y beneficios?Primero hay que <strong>de</strong>jar por sentado que si tanto phishing como troyanos <strong>de</strong> robo <strong>de</strong> contraseñas siguenproliferando es, simplemente, porque con ambas técnicas los estafadores obtienen beneficios.Las princip<strong>al</strong>es diferencias entre una técnica y otra, pensando en la rentabilidad <strong>de</strong> los estafadores, son:* Exposición: cómo ya hemos comentado <strong>al</strong> inicio, un ataque phishing tradicion<strong>al</strong>, no segmentado odirigido, queda expuesto a cu<strong>al</strong>quiera <strong>de</strong>s<strong>de</strong> el lanzamiento <strong>de</strong>l spam, incluso en muchas ocasiones seaborta antes <strong>de</strong> que sea público a través <strong>de</strong>l spam.El troyano no pue<strong>de</strong> <strong>de</strong>tectarse antes <strong>de</strong> que sea público (nos referimos a la <strong>de</strong>tección <strong>de</strong>l sitio don<strong>de</strong>envían los datos, no a la <strong>de</strong>tección <strong>de</strong> la muestra en sí que sí pue<strong>de</strong> ser <strong>de</strong>tectada por un antivirus <strong>de</strong>s<strong>de</strong>el minuto 0), y la distribución pue<strong>de</strong> ser más silenciosa y pasar <strong>de</strong>sapercibida <strong>al</strong> no ser tan evi<strong>de</strong>nte comoun phishing.* Esperanza <strong>de</strong> vida: por la exposición, un ataque phishing se <strong>de</strong>tecta e intenta mitigar/cerrar <strong>de</strong>s<strong>de</strong> elprimer momento. Dependiendo <strong>de</strong> la insistencia <strong>de</strong>l equipo <strong>de</strong> cierre y <strong>de</strong> la profesion<strong>al</strong>idad/colaboración<strong>de</strong> los responsables <strong>de</strong>l sitio don<strong>de</strong> se hospe<strong>de</strong>, el ataque pue<strong>de</strong> estar “vivo” durante minutos, horas, o a losumo <strong>al</strong>gunos días.La esperanza media <strong>de</strong> vida <strong>de</strong> cada una <strong>de</strong> las variantes <strong>de</strong> un troyano suele ser <strong>de</strong> varias semanas omeses, <strong>de</strong>pendiendo <strong>de</strong> cuando es <strong>de</strong>tectado por un servicio antifrau<strong>de</strong> y se cierra el <strong>de</strong>stino a don<strong>de</strong> eltroyano envía los datos.* Alcance: en el phishing tradicion<strong>al</strong> cada ataque va <strong>de</strong>stinado a una entidad en concreto, ya que tanto ele-mail como la página están person<strong>al</strong>izadas para imitar a una <strong>de</strong>terminada entidad.Por otra parte, una sola variante <strong>de</strong> un troyano suele dirigirse a un mayor número <strong>de</strong> entida<strong>de</strong>s,norm<strong>al</strong>mente varias <strong>de</strong>cenas, o directamente capturar datos <strong>de</strong> forma indiscriminada que <strong>de</strong>spués pue<strong>de</strong>nser fácilmente filtrados en el servidor que recibe los datos.* Dificultad: un ataque <strong>de</strong> phishing tradicion<strong>al</strong> es relativamente muy fácil y rápido <strong>de</strong> montar sin necesidad<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 233
<strong>de</strong> gran<strong>de</strong>s conocimientos, lo que explicaría que aun no siendo tan productivo como un troyano siga siendouna práctica habitu<strong>al</strong>.Los troyanos conllevan una mayor dificultad en su diseño, requiere más conocimientos avanzados <strong>de</strong>programación que un phishing, sin embargo también se está popularizando la venta en foros un<strong>de</strong>rground<strong>de</strong> kits <strong>de</strong> troyanos “banker” que facilitarían los ataques a estafadores menos preparados.* C<strong>al</strong>idad: en el phishing tradicion<strong>al</strong> son muchos los usuarios que, a sabiendas <strong>de</strong> que se trata <strong>de</strong> un frau<strong>de</strong>,introducen en las páginas <strong>de</strong> phishing información f<strong>al</strong>sa para confundir a los estafadores. Por nuestraexperiencia, en la que hemos accedido a servidores <strong>de</strong> phishing, en los datos introducidos se encuentran<strong>de</strong>s<strong>de</strong> contraseñas f<strong>al</strong>sas hasta mensajes o insultos hacia los estafadores, el porcentaje <strong>de</strong> información útily aprovechable es pequeña, aunque suficiente para que sea rentable (aunque los que “piquen” se puedancontar con los <strong>de</strong>dos <strong>de</strong> una mano).Por el contrario, los datos capturados por los troyanos son en su inmensa mayoría auténticos, ya que elusuario no es consciente <strong>de</strong> que <strong>de</strong> forma oculta los datos introducidos en las páginas webs legítimas estánsiendo a su vez reenviados <strong>al</strong> servidor <strong>de</strong> los estafadores. A<strong>de</strong>más el volumen <strong>de</strong> datos recolectados es muysuperior <strong>al</strong> que pue<strong>de</strong> lograr cu<strong>al</strong>quier ataque phishing, <strong>de</strong> hecho los estafadores sólo explotan una parte<strong>de</strong> lo que capturan con este tipo <strong>de</strong> ataques (se centran en las entida<strong>de</strong>s que les ofrecen “mayores ventajas”a la hora <strong>de</strong> hacer las transferencias y el blanqueo a través <strong>de</strong> las mulas).Como ejemplo <strong>de</strong> lo que un troyano pue<strong>de</strong> recolectar, se pue<strong>de</strong>n encontrar datos <strong>de</strong> un caso re<strong>al</strong> en lasiguiente dirección <strong>de</strong>l blog <strong>de</strong>l Laboratorio <strong>de</strong> <strong>Hispasec</strong>:“Un día en la vida <strong>de</strong> un troyano ‘banker’”:http://blog.hispasec.com/laboratorio/195Bernardo Quintero21/06/2007 Resaca <strong>de</strong>l ataque masivo a través <strong>de</strong> webs comprometidasEl pasado día 19 <strong>al</strong>ertábamos <strong>de</strong> un ataque a gran esc<strong>al</strong>a contra webs europeas, que tenía como últimoobjetivo robar las claves <strong>de</strong> acceso a la banca por Internet <strong>de</strong> los usuarios que las visitaran. Después <strong>de</strong>laviso el ataque fue neutr<strong>al</strong>izado en menos <strong>de</strong> 24 horas, a día <strong>de</strong> hoy po<strong>de</strong>mos ofrecer nuevos datos sobreel inci<strong>de</strong>nte.Más <strong>de</strong> 11.000 páginas webs fueron modificadas para redirigir a sus visitantes <strong>de</strong> forma oculta a un tercerservidor web m<strong>al</strong>icioso. El usuario afectado en ningún momento era consciente <strong>de</strong> nada anorm<strong>al</strong>, veía connorm<strong>al</strong>idad la web a la que se había dirigido, toda la conexión m<strong>al</strong>iciosa se hacía en un segundo plano.Si el usuario que visitaba <strong>al</strong>guna <strong>de</strong> esas 11.000 webs lo hacía con una versión vulnerable <strong>de</strong> Windows(si no había inst<strong>al</strong>ado <strong>al</strong>gunos <strong>de</strong> los parches <strong>de</strong> <strong>seguridad</strong> distribuidos por Microsoft durante 2006),automáticamente se introducía en su or<strong>de</strong>nador un troyano que podía robarle las claves <strong>de</strong> acceso a subanco por Internet.Resumen cronológicoLa herramienta utilizada para re<strong>al</strong>izar las infecciones a través <strong>de</strong> las webs comprometidas fue MPack234<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
0.86. Esta herramienta ya fue motivo <strong>de</strong> un <strong>de</strong>t<strong>al</strong>lado análisis por parte <strong>de</strong> Panda Labs el pasado mes <strong>de</strong>mayo, y se viene utilizando asiduamente <strong>de</strong>s<strong>de</strong> el año pasado en ataques similares. También en mayo elblog <strong>de</strong> Symantec Security Response <strong>de</strong>dicó una entrada a las funcion<strong>al</strong>ida<strong>de</strong>s <strong>de</strong> MPack.Websense <strong>al</strong>ertó el día 18 <strong>de</strong> este mes sobre un ataque masivo a 10.000 páginas webs basándose en laherramienta MPack 0.86. <strong>Hispasec</strong> también pudo acce<strong>de</strong>r <strong>al</strong> servidor MPack utilizado por los atacantes ytener acceso a los datos <strong>de</strong>l inci<strong>de</strong>nte ese mismo día. Tras un avance en el blog <strong>de</strong>l Laboratorio <strong>de</strong> <strong>Hispasec</strong>la madrugada <strong>de</strong>l 18, <strong>al</strong>ertamos el día 19 a través <strong>de</strong>l boletín una-<strong>al</strong>-día actu<strong>al</strong>izando y aportando nuevosdatos.Al fin<strong>al</strong>izar la jornada <strong>de</strong>l día 19 se logró mitigar el ataque, <strong>al</strong> <strong>de</strong>sactivar el servidor web m<strong>al</strong>icioso <strong>al</strong> quese redirigían los más <strong>de</strong> 11.000 sitios webs comprometidos.Los días 19 y 20 la noticia s<strong>al</strong>tó <strong>de</strong> los círculos <strong>de</strong> <strong>seguridad</strong> a los medios <strong>de</strong> comunicación, y terminóacaparando espacio en prensa, radio y televisión. Lo que más llamó la atención fue el número <strong>de</strong> webscomprometidas, y el hecho <strong>de</strong> que los usuarios podían infectarse con tan sólo visitar una web “norm<strong>al</strong>”. Enmedios internacion<strong>al</strong>es el protagonismo se lo llevó la herramienta utilidad en el ataque, MPack.<strong>Hispasec</strong> en su blog <strong>de</strong>l Laboratorio apuntó a que las más <strong>de</strong> 11.000 webs comprometidas se hospedanen un mismo proveedor it<strong>al</strong>iano, Aruba, y que por tanto el ataque tan voluminoso fue posible por unproblema <strong>de</strong> <strong>seguridad</strong> en la infraestructura <strong>de</strong>l proveedor <strong>de</strong> hosting. Hoy, día 21, SANS Internet StormCenter publica una nota <strong>de</strong> Verisign/I<strong>de</strong>fense que apoya la misma conclusión que <strong>Hispasec</strong>, y apuntan aque el ataque <strong>al</strong> proveedor <strong>de</strong> Internet pudo re<strong>al</strong>izarse a través <strong>de</strong> una vulnerabilidad en la herramientacPanel <strong>de</strong> administración web.Mientras continúa la resaca informativa <strong>de</strong> este caso, a buen seguro se están sucediendo otros inci<strong>de</strong>ntessimilares, incluyendo los que estén utilizando la nueva versión MPack 0.90. Entre las noveda<strong>de</strong>s <strong>de</strong> estaversión <strong>de</strong>staca el uso <strong>de</strong> la vulnerabilidad ANI, cuyo parche para Windows fue publicado por Microsoften abril <strong>de</strong> 2007, y que dota <strong>de</strong> un mayor po<strong>de</strong>r <strong>de</strong> infección a las nuevas webs comprometidas.También se incluyen el uso <strong>de</strong> vulnerabilida<strong>de</strong>s <strong>de</strong> aplicaciones <strong>de</strong> terceros muy difundidas en Windows,como WinZip y QuickTime, que por norma gener<strong>al</strong> los usuarios <strong>de</strong>scuidan más su actu<strong>al</strong>ización.MPack 0.90 también corrige <strong>al</strong>gunos problemas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> la propia herramienta, que permitía queempresas como <strong>Hispasec</strong> pudieran acce<strong>de</strong>r a los servidores <strong>de</strong> los atacantes y tener datos puntu<strong>al</strong>es sobrelo que estaba sucediendo, motivo por el cu<strong>al</strong> hemos podido informar con tanta precisión sobre el <strong>al</strong>cance<strong>de</strong> este ataque y ayudar en su mitigación. Estas nuevas mejoras entorpecerán conocer la envergadura re<strong>al</strong>y exacta <strong>de</strong> los nuevos ataques que se sucedan, si bien la lucha se mantendrá viva entre los atacantes y lasempresas <strong>de</strong> <strong>seguridad</strong>.Mor<strong>al</strong>ejaAunque la mayoría <strong>de</strong> las informaciones se han centrado en MPack como herramienta <strong>de</strong> ataque, en <strong>Hispasec</strong>creemos que la lectura más útil <strong>de</strong>l inci<strong>de</strong>nte va encaminada a concienciar a los usuarios fin<strong>al</strong>es.Re<strong>al</strong>izar una navegación responsable no evita la posibilidad <strong>de</strong> sufrir ataques. Hay cierta ten<strong>de</strong>ncia apensar que los usuarios que se infectan es porque necesariamente han visitado páginas webs “peligrosas”(contenidos eróticos, <strong>de</strong>scarga <strong>de</strong> programas piratas, cracks, etc). Es cierto que visitando esas páginaspue<strong>de</strong> existir mayor probabilidad <strong>de</strong> infecciones, especi<strong>al</strong>mente con la inst<strong>al</strong>ación <strong>de</strong> cracks <strong>de</strong>pendiendo<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 235
<strong>de</strong> la fuente, pero también suce<strong>de</strong> en otras páginas webs con contenidos “norm<strong>al</strong>es”. También hay que<strong>de</strong>smentir el bulo <strong>de</strong> que la <strong>de</strong>scarga <strong>de</strong> MP3 o ví<strong>de</strong>os en re<strong>de</strong>s P2P es especi<strong>al</strong>mente peligrosa <strong>de</strong>s<strong>de</strong> elpunto <strong>de</strong> vista <strong>de</strong> la <strong>seguridad</strong> e integridad <strong>de</strong> los sistemas (pero ésta es otra guerra).Este inci<strong>de</strong>nte es un ejemplo más <strong>de</strong> que el ataque pue<strong>de</strong> suce<strong>de</strong>r en cu<strong>al</strong>quier escenario y que por tantola solución no es “<strong>de</strong>monizar” ciertos contenidos, sino que lo primordi<strong>al</strong> es concienciar a los usuarios <strong>de</strong>que <strong>de</strong>ben seguir unas normas básicas <strong>de</strong> <strong>seguridad</strong> para prevenir ser víctimas <strong>de</strong> este tipo <strong>de</strong> ataquesautomáticos.<strong>Una</strong>s <strong>de</strong> esas normas básicas es que <strong>de</strong>ben mantener sus sistemas puntu<strong>al</strong>mente actu<strong>al</strong>izados con losúltimos parches <strong>de</strong> <strong>seguridad</strong>. Los usuarios <strong>de</strong> Windows que hubieran seguido esta sencilla regla yvisitaron <strong>al</strong>gunas <strong>de</strong> las 11.000 webs comprometidas, no sufrieron ninguna infección.Navega por don<strong>de</strong> quieras, pero navega seguro.Bernardo Quintero09/07/2007 Los estafadores en Internet, más solidarios que nuncaSymantec publica una noticia que pue<strong>de</strong> resultar chocante en un principio. Los estafadores en Internetdonan parte <strong>de</strong>l dinero conseguido con sus frau<strong>de</strong>s a proyectos <strong>de</strong> caridad. Es una ten<strong>de</strong>ncia que se estáobservado y que, aunque parezca extraño, tiene una explicación razonable.La industria <strong>de</strong>l m<strong>al</strong>ware y la estafa en Internet mueve un volumen importante <strong>de</strong> números <strong>de</strong> tarjetas<strong>de</strong> crédito, con los que trafican y <strong>de</strong> los que se benefician directa o indirectamente. En los ambientesa<strong>de</strong>cuados, no es complicado conseguir números <strong>de</strong> tarjetas <strong>de</strong> crédito por <strong>al</strong>gunas <strong>de</strong>cenas <strong>de</strong> dólares.El “exce<strong>de</strong>nte” <strong>de</strong> información <strong>de</strong> <strong>al</strong>gunas mafias es t<strong>al</strong> que, aparte <strong>de</strong> usarlos en beneficio propio, pue<strong>de</strong>npermitirse el ven<strong>de</strong>r <strong>al</strong>gunos números <strong>de</strong> tarjeta (con sus pins y códigos <strong>de</strong> <strong>seguridad</strong> adicion<strong>al</strong>es), robadosa través <strong>de</strong> phishing o m<strong>al</strong>ware.La pregunta es: ante tanto número <strong>de</strong> tarjeta comprado y vendido, ¿cómo saber cuál es válido? ¿cuál semantiene operativo y permite comprar re<strong>al</strong>mente a través <strong>de</strong> la red? Comprobar la v<strong>al</strong>i<strong>de</strong>z <strong>de</strong> los códigos <strong>de</strong>una tarjeta comprando cu<strong>al</strong>quier producto pue<strong>de</strong> hacer s<strong>al</strong>tar las <strong>al</strong>armas. Para un atacante que necesitapasar lo más inadvertido posible, las donaciones <strong>de</strong> caridad se han convertido en buenas <strong>al</strong>iadasLos poseedores <strong>de</strong> los códigos robados traspasan pequeñas cantida<strong>de</strong>s <strong>de</strong> dinero a páginas <strong>de</strong> caridadcomo por ejemplo, la Cruz Roja. Con esto se aseguran que, si la operación se re<strong>al</strong>iza con éxito, la tarjetapue<strong>de</strong> volver a ser usada en compras más “lucrativas” o revendida. Existen otras ventajas, según Symantec.Los bancos pue<strong>de</strong>n llegar a monitorizar las transacciones habitu<strong>al</strong>es <strong>de</strong> una tarjeta, y obtener un perfil<strong>de</strong> actuación “habitu<strong>al</strong>” <strong>de</strong> su dueño. Donar cantida<strong>de</strong>s a instituciones sin ánimo <strong>de</strong> lucro no es unmovimiento “norm<strong>al</strong>” para la mayoría <strong>de</strong> las personas, y precisamente ese carácter extraordinario lo hacepasar por movimiento perfectamente posible y ocasion<strong>al</strong> para muchos. Sería complicado <strong>de</strong>terminar siuna donación concreta es “sospechosa” tanto en un usuario que la re<strong>al</strong>ice a menudo como para quien nolo tenga por norma.A<strong>de</strong>más, con este tipo <strong>de</strong> donaciones, voluntarias, pue<strong>de</strong>n donar cantida<strong>de</strong>s ridículas (<strong>de</strong>s<strong>de</strong> <strong>al</strong>gunoscéntimos a un dólar) sin necesidad <strong>de</strong> comprar re<strong>al</strong>mente nada y optimizar así los recursos invertidos enla comprobación re<strong>al</strong> <strong>de</strong> la v<strong>al</strong>i<strong>de</strong>z <strong>de</strong> la tarjeta.236<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
El Washinton Post no opina que esto sea una nueva ten<strong>de</strong>ncia, y recuerda <strong>al</strong>gunas situaciones similaresanteriores. Hace dos años, las páginas que recolectaban donaciones para los damnificados por el HuracánKatrina ya obtuvo una buena inyección <strong>de</strong> dinero a través <strong>de</strong> este sistema. También recuerda que unadministrador <strong>de</strong> una campaña presi<strong>de</strong>nci<strong>al</strong> en 2004 recibió durante varios días miles <strong>de</strong> pequeños pagosvoluntarios (<strong>de</strong> cinco centavos) re<strong>al</strong>izados con números <strong>de</strong> tarjeta distintos y automatizados a través <strong>de</strong>sistemas situados en Europa <strong>de</strong>l este. Gracias a este “efecto colater<strong>al</strong>”, recolectaron hasta 60.000 dólaresque fin<strong>al</strong>mente no pudieron quedarse.Al menos, entre tanto tráfico <strong>de</strong> datos y dinero ganado <strong>de</strong> forma fraudulenta, reconforta saber que <strong>al</strong>gunasONG e instituciones <strong>de</strong> caridad sacan <strong>al</strong>gún partido <strong>de</strong> esta “necesidad” <strong>de</strong> los estafadores... aunque a losdueños legítimos <strong>de</strong> las tarjetas seguro que no les hace ninguna gracia.Sergio <strong>de</strong> los Santos09/08/2007 M<strong>al</strong>ware 2.0Aunque no <strong>de</strong>ja <strong>de</strong> ser una etiqueta <strong>de</strong> moda sin una <strong>de</strong>finición clara, el concepto <strong>de</strong> la Web 2.0 hacereferencia a una segunda generación <strong>de</strong> aplicaciones web dinámicas e interactivas don<strong>de</strong> el usuario tieneun mayor protagonismo y participación, frente a las webs estáticas tradicion<strong>al</strong>es don<strong>de</strong> el usuario era unreceptor pasivo. ¿Existe también un nueva generación <strong>de</strong> m<strong>al</strong>ware 2.0?Tengo que confesar que creía que iba a ser origin<strong>al</strong> hablando <strong>de</strong>l concepto M<strong>al</strong>ware 2.0, pero una búsquedaen Google me ha sacado <strong>de</strong> mi error. Hace menos <strong>de</strong> un mes la empresa <strong>de</strong> <strong>seguridad</strong> PC Tools utilizó eltérmino en una nota <strong>de</strong> prensa don<strong>de</strong> hablaba <strong>de</strong> una nueva generación <strong>de</strong> m<strong>al</strong>ware:http://www.pctools.com/news/view/id/181/PC Tools hace referencia a características que llevamos comentando tiempo atrás en <strong>Hispasec</strong>:* La proliferación <strong>de</strong> nuevas variantes <strong>de</strong> m<strong>al</strong>ware ha crecido <strong>de</strong> forma brut<strong>al</strong>.* Se utilizan técnicas automáticas para ofuscar las variantes y dificultar la i<strong>de</strong>ntificación por firmas.* La estrategia actu<strong>al</strong> pasa por utilizar muchas variantes en vez <strong>de</strong> un único espécimen para llamar menosla atención y dificultar una respuesta rápida por parte <strong>de</strong> la comunidad antivirus (<strong>de</strong> ahí que llevemosbastante tiempo sin ver un gusano <strong>de</strong> propagación masiva como el ILoveYou y compañía).A continuación, como era <strong>de</strong> esperar, utiliza este argumento para ven<strong>de</strong>r su producto antispyware, queutiliza técnicas adicion<strong>al</strong>es para no <strong>de</strong>pen<strong>de</strong>r en exclusiva <strong>de</strong> las firmas <strong>de</strong> <strong>de</strong>tección.Aunque esas características son una re<strong>al</strong>idad evi<strong>de</strong>nte <strong>de</strong>s<strong>de</strong> hace bastante tiempo, mi i<strong>de</strong>a <strong>de</strong>l concepto<strong>de</strong> M<strong>al</strong>ware 2.0 tiene más an<strong>al</strong>ogía con la Web 2.0: el uso <strong>de</strong> la web como plataforma para la distribución,person<strong>al</strong>ización <strong>de</strong>l m<strong>al</strong>ware, y uso inteligente <strong>de</strong> los datos obtenidos por parte <strong>de</strong> los usuarios parapropocionar “nuevos contenidos”.Para <strong>de</strong>sarrollar la i<strong>de</strong>a voy a utilizar un ejemplo <strong>de</strong> ataque re<strong>al</strong>, <strong>de</strong> los muchos que están sucediendo a día<strong>de</strong> hoy, <strong>de</strong>stinado a los usuarios <strong>de</strong> banca electrónica:<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 237
* Los atacantes diseñan un servidor web que hospeda el código m<strong>al</strong>icioso.* Para atraer a potenci<strong>al</strong>es víctimas anuncian su URL a través <strong>de</strong> spam, en foros, comentarios en blogs,etc. con cu<strong>al</strong>quier excusa (bien una noticia <strong>de</strong> actu<strong>al</strong>idad, curiosida<strong>de</strong>s, imágenes eróticas o cu<strong>al</strong>quier otrocontenido potenci<strong>al</strong>mente atractivo que lleven a los usuarios a visitar el servidor web <strong>de</strong> los atacantes).* Cuando un usuario acce<strong>de</strong> <strong>al</strong> sitio <strong>de</strong> los atacantes, la web comprueba la versión <strong>de</strong>l navegador <strong>de</strong>lvisitante y, si es vulnerable, <strong>de</strong>vuelve un exploit específico para su versión <strong>de</strong>l navegador que provoque la<strong>de</strong>scarga automática y ejecución <strong>de</strong>l troyano.* Si el usuario tiene un navegador actu<strong>al</strong>izado, utiliza la ingeniería soci<strong>al</strong> para que el usuario <strong>de</strong>scargue yejecute por si mismo el troyano (por ejemplo, mediante un ActiveX, <strong>de</strong>cirle que es un ví<strong>de</strong>o, o una utilidadque requiere con cu<strong>al</strong>quier excusa).* Este primer troyano que se <strong>de</strong>scarga es un “downloa<strong>de</strong>r”, que lo que hace es inst<strong>al</strong>arse en el sistemay <strong>de</strong>scargar e inst<strong>al</strong>ar la última versión <strong>de</strong>l troyano bancario, así como sucesivas actu<strong>al</strong>izaciones quepudieran aparecer en el futuro.* El troyano “downloa<strong>de</strong>r” también pue<strong>de</strong> person<strong>al</strong>izar la versión <strong>de</strong>l troyano bancario que <strong>de</strong>scarga enfunción <strong>de</strong>l sistema. Por ejemplo, si el usuario tiene una versión <strong>de</strong> Windows en español, el “downloa<strong>de</strong>r”inst<strong>al</strong>ará en el sistema un troyano bancario diseñado específicamente para entida<strong>de</strong>s españolas.* El troyano bancario pue<strong>de</strong> estar <strong>de</strong>stinado a unas entida<strong>de</strong>s específicas o ser más genérico. En el caso <strong>de</strong>que tenga unas entida<strong>de</strong>s pre<strong>de</strong>finidas, si el usuario acce<strong>de</strong> a las webs <strong>de</strong> banca electrónica reconocidas porel troyano, envía los usuarios y contraseñas <strong>de</strong> acceso <strong>de</strong>l usuario <strong>al</strong> servidor web para que los atacantespuedan suplantar su i<strong>de</strong>ntidad y re<strong>al</strong>izar transferencias a otras cuentas.* En el caso <strong>de</strong> un troyano bancario más genérico e inteligente, envía a un script <strong>de</strong>l servidor web <strong>de</strong>los atacantes todas las URLs por las que el usuario navegue y que comiencen por https. En el servidorweb tienen un listado <strong>de</strong> URLs <strong>de</strong> bancos, si <strong>al</strong>guna <strong>de</strong> las URLs que envía el troyano correspon<strong>de</strong> conel listado, entonces el servidor web <strong>de</strong>vuelve <strong>al</strong> troyano una or<strong>de</strong>n concreta: redirigir <strong>al</strong> usuario a unsitio <strong>de</strong> phishing <strong>de</strong> esa entidad, modificar en loc<strong>al</strong> la página web <strong>de</strong> la entidad para que pida la clave <strong>de</strong>operaciones, etc.* La información <strong>de</strong> las URLs <strong>de</strong> páginas seguras (https) por la que los usuarios navegan, y que envían <strong>al</strong>servidor web, sirve a los atacantes para diseñar nuevos ataques y actu<strong>al</strong>izaciones <strong>de</strong> su troyano bancario.Por ejemplo, imaginemos que en un principio los atacantes contemplaban a Banesto, pero no <strong>al</strong> BBVA.Los usuarios que visitaban la web <strong>de</strong> Banesto eran afectados, mientras que los <strong>de</strong>l BBVA no porque elservidor web no <strong>de</strong>volvía ninguna or<strong>de</strong>n concreta <strong>al</strong> no tener un ataque específico preparado. Los atacantesestudian periódicamente las estadísticas <strong>de</strong> las URLs que se centr<strong>al</strong>izan en su servidor, y comprueban quehay muchos usuarios infectados que visitan la web <strong>de</strong>l BBVA. Entonces <strong>de</strong>ci<strong>de</strong>n crear una nueva versión<strong>de</strong>l troyano bancario específico o una página <strong>de</strong> phishing a la que redirigir a los usuarios infectados que lapróxima vez visiten la web <strong>de</strong>l BBVA.Este último punto tiene cierta an<strong>al</strong>ogía con servicios web 2.0 como digg.com o meneame.net, si muchosusuarios visitan una página <strong>de</strong> un banco se contabiliza en el servidor <strong>de</strong> los atacantes como votos positivosy termina por aparecer en portada (en este caso en la lista negra <strong>de</strong> entida<strong>de</strong>s para las que <strong>de</strong>sarrollan unataque concreto).238<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
Cómo po<strong>de</strong>mos ver, esta nueva generación <strong>de</strong> m<strong>al</strong>ware utiliza la infraestructura <strong>de</strong> la web para comunicarsecon los sistemas infectados <strong>de</strong> los usuarios y re<strong>al</strong>imentarse con la información que estos proporcionan,aprovechando esta inteligencia colectiva para ofrecer nuevos contenidos dinámicos en función <strong>de</strong> losperfiles <strong>de</strong> los usuarios. ¿Estamos ante el m<strong>al</strong>ware 2.0?Bernardo Quintero08/08/2007 Antivirus: rendimiento vs. protecciónEl mundo <strong>de</strong> los antivirus está en crisis técnica, que no comerci<strong>al</strong>, sigue siendo un buen negocio. Pero aestas <strong>al</strong>turas a nadie escapa que los antivirus a duras penas logran tapar parte <strong>de</strong> la ventana <strong>de</strong> riesgo <strong>de</strong>infección a la que todo usuario <strong>de</strong> Windows se expone en Internet. Ante este panorama cabría pensar queestán triunfando los antivirus que mayor protección ofrecen, si bien la re<strong>al</strong>idad es distinta.La gran proliferación y diversificación <strong>de</strong>l m<strong>al</strong>ware ha puesto en jaque a un esquema basado en tenerfichados a los m<strong>al</strong>os: firmas para i<strong>de</strong>ntificar <strong>al</strong> m<strong>al</strong>ware conocido, firmas genéricas para i<strong>de</strong>ntificarvariantes <strong>de</strong> una misma familia, y heurísticas basadas en la <strong>de</strong>tección <strong>de</strong> código sospechoso.Los m<strong>al</strong>os han ganado la partida en este juego. Modifican una y otra vez el código para que las firmasy heurísticas existentes no puedan <strong>de</strong>tectarlos, cambian la cara <strong>de</strong> sus especímenes para evitar serreconocidos aunque en el fondo siguen haciendo el mismo daño. Lo hacen <strong>de</strong> forma tan masiva que losantivirus a duras penas pue<strong>de</strong>n seguir el ritmo para actu<strong>al</strong>izarse, no dan a basto, están saturados. Es unacarrera sin fin<strong>al</strong> y nos llevan mucha ventaja.Hay que cambiar <strong>de</strong> estrategia. Visto que actu<strong>al</strong>izar firmas <strong>de</strong> forma constante no es suficiente, losantivirus han optado por implementar nuevas tecnologías que les permita más proactividad. El fin espo<strong>de</strong>r <strong>de</strong>tectar el m<strong>al</strong>ware nuevo, <strong>de</strong>sconocido o variante. No <strong>de</strong>pen<strong>de</strong>r <strong>de</strong> una firma reactiva, ser másgenéricos y proactivos en la protección.Son varias las empresas antivirus que han arriesgado en ese campo, incorporando nuevas tecnologías ycapas <strong>de</strong> <strong>seguridad</strong> <strong>al</strong> motor antivirus tradicion<strong>al</strong>, que dotan a la solución <strong>de</strong> un mayor po<strong>de</strong>r <strong>de</strong> protección.Pero no todos son ventajas a la vista <strong>de</strong>l usuario, la incorporación <strong>de</strong> este tipo <strong>de</strong> tecnologías adicion<strong>al</strong>essuele conllevar también un software más “pesado”, que consume más recursos, enlentece el sistema, tien<strong>de</strong>a dar más f<strong>al</strong>sos positivos y/o termina haciendo preguntas incomodas <strong>al</strong> usuario:“El proceso svchost.exe intenta conectar a Internet. ¿Permitir o <strong>de</strong>negar?”¿No se supone que el antivirus <strong>de</strong>be saber si es <strong>al</strong>go peligroso o no?, ¿por qué me pregunta a mí?. Después<strong>de</strong> una serie <strong>de</strong> pensamientos similares, el usuario acabará por tomar <strong>al</strong>guna <strong>de</strong>cisión <strong>de</strong>l tipo:.Intentará averiguar en google que es “svchost.exe” (no llegará a ninguna conclusión, y a la segunda otercera pregunta sobre otros procesos <strong>de</strong>sistirá en la búsqueda <strong>de</strong> la verdad).Permitir Todo (tar<strong>de</strong> o temprano terminará infectándose).Denegar Todo (<strong>de</strong>jará <strong>de</strong> funcionarle <strong>al</strong>gún software legítimo).Desinst<strong>al</strong>ar el antivirus e inst<strong>al</strong>ar otro que no le haga per<strong>de</strong>r tiempo con ventanitas emergentes y preguntas<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 239
que no sabe contestar (sin excluir las <strong>de</strong>cisiones anteriores, el usuario suele terminar <strong>de</strong>sembocando eneste punto y cambiando <strong>de</strong> antivirus)Percepción <strong>de</strong>l usuarioAhora tenemos a un usuario con un antivirus tradicion<strong>al</strong>, basado en firmas, que no incluye tecnologíasadicion<strong>al</strong>es, que no enlentece el arranque <strong>de</strong> su sistema, que no le consume mucha memoria, que no leimportuna con preguntas... tenemos a un usuario menos protegido, pero un usuario que está teniendo una“buena experiencia” con su antivirus.Y es que aunque teóricamente un <strong>de</strong>sarrollador antivirus <strong>de</strong>be b<strong>al</strong>ancear entre rendimiento y protección,la re<strong>al</strong>idad es que el usuario sólo pue<strong>de</strong> percibir el rendimiento. Un usuario no sabe <strong>de</strong> tecnologías, unusuario no pue<strong>de</strong> ev<strong>al</strong>uar el grado <strong>de</strong> protección que le ofrece una solución, en la lógica <strong>de</strong> un usuario unantivirus <strong>de</strong>be protegerle <strong>de</strong> infecciones y punto.En los años 90 cuando un virus infectaba el or<strong>de</strong>nador se notaba <strong>de</strong> inmediato: borraba archivos, mostrabaimágenes en pant<strong>al</strong>la, etc. Cuando un usuario se veía infectado por un virus aun teniendo antivirus,motivaba el cambio <strong>de</strong> producto: “este antivirus no es bueno, ha permitido que me infecte”. Pero ahora elpanorama es bien diferente, el m<strong>al</strong>ware <strong>de</strong> hoy día está diseñado para permanecer oculto y el mayor tiempoen los sistemas infectados, sin dar señ<strong>al</strong>es <strong>de</strong> vida. Así que el usuario seguirá con la buena experiencia <strong>de</strong>su “antivirus ligero” pese a que su sistema esté infectado. Simplemente, el usuario no se entera.Lo que si va a notar un usuario <strong>de</strong> inmediato es si el antivirus interfiere en su sistema y en el trabajodiario. Esa experiencia que si pue<strong>de</strong> percibir <strong>de</strong> forma directa es la que <strong>de</strong>canta hoy día la ev<strong>al</strong>uación <strong>de</strong>un antivirus y la elección fin<strong>al</strong> por parte <strong>de</strong>l usuario.La b<strong>al</strong>anza por parte <strong>de</strong>l usuario está inclinada claramente hacia un lado: el rendimiento. Mientras que<strong>al</strong>gunos antivirus son conscientes <strong>de</strong> ello y explotan esta visibilidad parci<strong>al</strong> por parte <strong>de</strong> los usuariospara ganar mercado, otros siguen intentando equilibrar la b<strong>al</strong>anza, o dándole más peso a la protección, yperdiendo clientes en el camino.¿Deben las empresas antivirus renunciar a ofrecer una mejor protección? Evi<strong>de</strong>ntemente no, pero laexperiencia <strong>de</strong>l usuario <strong>de</strong>be ser un objetivo igu<strong>al</strong> o más importante si cabe, incluso en muchas ocasionestendrá mayor peso. De nada sirve diseñar el antivirus más seguro si los usuarios no lo pue<strong>de</strong>n utilizar.Para el usuario el mejor antivirus no es el más seguro, sino el más confortable.Algunos ejemplosLa pregunta sobre el svchost.exe me s<strong>al</strong>tó ayer mientras probaba un antivirus, y no fue la única preguntaque hizo. Es más, <strong>de</strong>spués <strong>de</strong> inst<strong>al</strong>arse, tras el primer reinicio <strong>de</strong>l sistema, hizo un análisis completo <strong>de</strong>todos los archivos <strong>de</strong>l disco duro en segundo plano. Por la actividad <strong>de</strong>l disco duro <strong>de</strong>duje lo que estabahaciendo, y haciendo doble click en el icono <strong>de</strong>l antivirus pu<strong>de</strong> confirmarlo en la ventana <strong>de</strong>l escaner.Como medida <strong>de</strong> <strong>seguridad</strong> estaba muy bien, pero, ¿cuál es la experiencia <strong>de</strong> un usuario común? Pues notiene dudas, tras inst<strong>al</strong>ar el antivirus el sistema se ha vuelto muy lento y apenas lo <strong>de</strong>ja trabajar. El usuariono sabe que es una acción que llevará a cabo sólo en el primer reinicio y no en posteriores, la percepciónes que inst<strong>al</strong>ando el antivirus X el sistema inmediatamente se vuelve lento.¿Por qué el antivirus no <strong>de</strong>ja el análisis <strong>de</strong> todos los archivos para más tar<strong>de</strong>, cuando <strong>de</strong>tecte que el sistema240<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
lleva un tiempo en “reposo” en vez <strong>de</strong> hacerlo justo en el inicio? Incluso podría pausar ese análisis ensegundo plano si <strong>de</strong>tecta que el usuario comienza a utilizar el or<strong>de</strong>nador, o <strong>al</strong> menos regular la velocidady consumo <strong>de</strong> recursos <strong>de</strong>l análisis para no interferir la actividad <strong>de</strong>l usuario.Probando otros antivirus se pue<strong>de</strong> notar claramente el cambio <strong>de</strong> enfoque, acertado <strong>de</strong>s<strong>de</strong> el punto <strong>de</strong>vista comerci<strong>al</strong>, explotando <strong>al</strong> máximo los conceptos <strong>de</strong> velocidad y rendimiento. Aunque en ocasiones seaa costa <strong>de</strong> una menor protección o simplemente aplicando cierta picaresca.Hay un antivirus que se ven<strong>de</strong> como uno <strong>de</strong> los más rápidos, para ello tiene una opción por <strong>de</strong>fecto <strong>de</strong>análisis a <strong>de</strong>manda don<strong>de</strong> no utiliza las técnicas <strong>de</strong> heurística que más recursos consume, con las quehacen las pruebas <strong>de</strong> velocidad. Cuando toca hacer una prueba <strong>de</strong> <strong>de</strong>tección, pi<strong>de</strong>n encarecidamente quese utilice la opción con la heurística más lenta activada. Objetivo: aparecer en las ev<strong>al</strong>uaciones como elmás rápido sin per<strong>de</strong>r capacidad <strong>de</strong> <strong>de</strong>tección. Lo logran.ResumiendoDemostrar que una tecnología antivirus ofrece mejor protección que otra es complicado. Des<strong>de</strong> el punto<strong>de</strong> vista <strong>de</strong> marketing el usuario está cansado, <strong>al</strong> fin y <strong>al</strong> cabo todos los antivirus afirman ser los mejores,y se <strong>de</strong>ja llevar por la propia experiencia o por terceros confiables creadores <strong>de</strong> opinión.La experiencia <strong>de</strong>l usuario tiene una visibilidad muy parci<strong>al</strong>, no pue<strong>de</strong> saber que grado <strong>de</strong> protección re<strong>al</strong>le ofrece un producto. Se <strong>de</strong>jará llevar por indicadores t<strong>al</strong>es como la no interferencia con su trabajo y elrendimiento <strong>de</strong>l sistema. El usuario no sabe si está infectado o no, pero si sabe si el antivirus le molesta.Los terceros confiables no son confiables. La dificultad que el usuario tiene para ev<strong>al</strong>uar el grado<strong>de</strong> protección <strong>de</strong> un antivirus también se traslada a los creadores <strong>de</strong> opinión, <strong>de</strong>s<strong>de</strong> foros <strong>de</strong> Internetpasando por revistas <strong>de</strong> informática y comparativas que tampoco están diseñadas para ev<strong>al</strong>uar las nuevastecnologías. También tienen la resposabilidad <strong>de</strong> explicar cu<strong>al</strong> es la situación actu<strong>al</strong> y las diferencias entretecnologías, hay que formar a los usuarios.Los ev<strong>al</strong>uadores <strong>de</strong> antivirus <strong>de</strong>ben evolucionar a nuevas metodologías, siguen (seguimos) utilizando tests<strong>de</strong> los años 90 dando resultados adulterados y pen<strong>al</strong>izando a las nuevas tecnologías. Son las fuentes <strong>de</strong> laque beben los terceros confiables, “culpables” también <strong>de</strong> la formación en nuevas tecnologías que requierentraducir su eficacia re<strong>al</strong> en indicadores que a día <strong>de</strong> hoy simplemente no se mi<strong>de</strong>n.Los <strong>de</strong>sarrolladores antivirus <strong>de</strong>ben reinventarse y no per<strong>de</strong>r el foco sobre el usuario. Hay productos queestán incorporando tecnología sobre tecnología en su búsqueda <strong>de</strong> minimizar la ventana <strong>de</strong> riesgo <strong>de</strong>infección, pero convirtiéndose en un software complejo, poco optimizado, que consume muchos recursos,y que ofrece una pobre experiencia <strong>al</strong> usuario.Hay que evolucionar, pero no a cu<strong>al</strong>quier precio. A veces ten<strong>de</strong>mos a ofuscarnos con soluciones técnicasy olvidamos que <strong>al</strong> fin<strong>al</strong> un usuario, que no es informático ni tiene nociones <strong>de</strong> <strong>seguridad</strong>, tendrá queconvivir con esas soluciones en su día a día en un PC norm<strong>al</strong>, no sobrado <strong>de</strong> recursos, que ejecuta otrasaplicaciones que son re<strong>al</strong>mente las importantes para él.Bernardo Quintero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 241
18/08/2007 El escarabajo <strong>de</strong> oroLa lectura <strong>de</strong> “El escarabajo <strong>de</strong> oro”, relato <strong>de</strong> Edgar Allan Poe, ha supuesto para muchos el bautismo conel criptoanálisis, <strong>de</strong>scubriendo uno <strong>de</strong> los métodos básicos para romper un mensaje cifrado y recuperar lainformación origin<strong>al</strong>.Edgar Allan Poe es t<strong>al</strong> vez más conocido por sus obras <strong>de</strong> misterio e historias macabras, si bien tambiénfue un apasionado <strong>de</strong> la criptografía. Esa afición ha quedado reflejada para la posteridad con mensajesocultos en varios <strong>de</strong> sus poemas y <strong>de</strong> forma más explícita en “El escarabajo <strong>de</strong> oro”.Esa faceta se hizo aun más patente cuando en 1839 comenzó a escribir en la publicación Alexan<strong>de</strong>r’sWeekly Messenger una serie <strong>de</strong> artículos sobre criptografía, llegando a retar a sus lectores a que le enviaranmensajes cifrados que él intentaría resolver.Su colaboración con la publicación apenas duró 5 meses. Un año más tar<strong>de</strong> comenzó <strong>de</strong> nuevo a escribirsobre criptografía en la publicación Graham’s Magazine, bajo el título “A Few Words on Secret Writing”y una serie <strong>de</strong> tres artículos. En esta publicación afirmó que durante el transcurso <strong>de</strong>l anterior reto logróresolver todos los mensajes cifrados enviados por los lectores <strong>de</strong> Messenger, aproximadamente unoscien.Según Poe, recibió dos nuevos mensajes cifrados <strong>de</strong> un lector, Mr. W.B. Tyler, que reprodujo en Graham’sMagazine para animar a sus lectores a que intentaran <strong>de</strong>scifrarlos. Poe afirmó que no había podidoresolverlos por f<strong>al</strong>ta <strong>de</strong> tiempo. Siempre se tuvo la sospecha <strong>de</strong> que la historia era una excusa, y que Tylerera en re<strong>al</strong>idad Poe, que habría <strong>de</strong>jado <strong>de</strong> esta forma <strong>al</strong>gún mensaje oculto para la posteridad.El primero <strong>de</strong> los mensaje cifrados <strong>de</strong> Tyler no fue resuelto hasta pasados más <strong>de</strong> 150 años, en 1992, porTerence Wh<strong>al</strong>en, un estudioso <strong>de</strong> la obra <strong>de</strong> Poe, que a día <strong>de</strong> hoy ejerce en la universidad <strong>de</strong> Illinois.Este primer mensaje resultó ser un fragmento <strong>de</strong> “Cato”, obra <strong>de</strong> Joseph Addison que data <strong>de</strong> 1713, y quea priori no establece relación <strong>al</strong>guna con Poe. En cuanto <strong>al</strong> sistema <strong>de</strong> cifrado utilizado, tampoco resultóser nada sofisticado, se trataba <strong>de</strong> una simple sustitución mono<strong>al</strong>fabética, que podía ser resuelta <strong>de</strong> formasimilar a como se <strong>de</strong>scribe en “El escarabajo <strong>de</strong> oro”.El segundo mensaje cifrado <strong>de</strong> Tyler seguía resistiendose. En 1996, Shawn J Rosenheim, profesor <strong>de</strong>lWilliams College y estudioso <strong>de</strong> Poe, anunció un concurso por el que premiaría con 2.500 dólares a lapersona que <strong>de</strong>scifrara el segundo mensaje <strong>de</strong> Tyler.En el año 2000 Gil Broza, actu<strong>al</strong>mente consultor IT, se <strong>al</strong>zaría con el premio <strong>al</strong> resolver el segundomensaje <strong>de</strong> Tyler con la ayuda <strong>de</strong> un or<strong>de</strong>nador, varios programas que diseñó para la ocasión, y dosmeses <strong>de</strong> quebra<strong>de</strong>ros <strong>de</strong> cabeza. El texto <strong>de</strong>scifrado resultó ser <strong>de</strong> lo más <strong>de</strong>cepcionante, ya que no se haestablecido su autoría y a priori no guarda relación <strong>al</strong>guna con Poe. Aun así, continúan las teorías sobreque Poe pudiera ser el autor <strong>de</strong> estos mensajes cifrados y que, una vez <strong>de</strong>scifrados, aun pudiera contener<strong>al</strong>gún mensaje oculto que aun no habría sido interpretado.Si has llegado hasta aquí y no conocías la obra <strong>de</strong> Poe o te has interesado por el criptoanálisis, t<strong>al</strong> vez teapetezca leer “El escarabajo <strong>de</strong> oro”:http://www.librosgratisweb.com/pdf/poe-edgar-<strong>al</strong>an/el-escarabajo-<strong>de</strong>-oro.pdfhttp://www.estadisticaparatodos.es/t<strong>al</strong>ler/criptografia/Edgar_Allan_Poe-El_Escarabajo_<strong>de</strong>_ oro.pdf242<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
(HTML) http://es.wikisource.org/wiki/El_escarabajo_<strong>de</strong>_oroBernardo Quintero17/10/2007 ¿Es la Russian Business Network el centro <strong>de</strong> operaciones mundi<strong>al</strong> <strong>de</strong>lm<strong>al</strong>ware?Brian Krebs publica una serie <strong>de</strong> interesantes artículos sobre la Russian Business Network (más conocidacomo la RBN), una compañía que supuestamente proporciona <strong>al</strong>ojamiento e infraestructura web a lacreciente industria <strong>de</strong>l m<strong>al</strong>ware, convirtiéndose así en una especie <strong>de</strong> centro <strong>de</strong> operaciones mundi<strong>al</strong><strong>de</strong>s<strong>de</strong> don<strong>de</strong> se <strong>de</strong>scargan los troyanos y hacia don<strong>de</strong> viaja la información robada.La RBN se encuentra en St. Petersburg y proporciona <strong>al</strong>ojamiento web. Su actividad parece estaríntimamente relacionada con la industria <strong>de</strong>l m<strong>al</strong>ware, hasta el punto <strong>de</strong> que muchos han <strong>de</strong>cididobloquear directamente toda conexión con direcciones pertenecientes a esta red. Y no sólo m<strong>al</strong>ware. Sedice que la mitad <strong>de</strong>l phishing mundi<strong>al</strong> está <strong>al</strong>ojado impunemente en <strong>al</strong>guno <strong>de</strong> sus servidores.En los últimos años no es fácil encontrar un inci<strong>de</strong>nte crimin<strong>al</strong> a gran esc<strong>al</strong>a en la que no aparezcan por<strong>al</strong>gún sitio las siglas RBN (o “TooCoin” o “V<strong>al</strong>ueDot”, nombres anteriores con los que ha sido conocida).En 2005 se estaba aprovechando <strong>de</strong> forma masiva una vulnerabilidad en Internet Explorer para inst<strong>al</strong>arun keylogger. Se <strong>de</strong>mostró que la mayoría <strong>de</strong> datos robados iban a parar a un servidor <strong>de</strong> la RBN. Losservidores <strong>de</strong> la RBN estaban <strong>de</strong>trás <strong>de</strong>l inci<strong>de</strong>nte contra la HostGator en 2006. Aprovechando unf<strong>al</strong>lo en Cpanel, consiguieron tener acceso a cientos <strong>de</strong> webs <strong>de</strong> la compañía. En 2007, la empresa <strong>de</strong>hosting gratuito IPOWER también fue atacada y se inst<strong>al</strong>aron en sus páginas “frames” que <strong>de</strong> formatransparente redirigían a sitios en la RBN don<strong>de</strong> se intentaban inst<strong>al</strong>ar troyanos. M<strong>al</strong>ware como Gozi,Grab, Metaphisher, Or<strong>de</strong>rgun, Pinch, Rustock, Snatch, Torpig... todos se han servido <strong>de</strong> los servidores <strong>de</strong>la RBN para “<strong>al</strong>ojarse” o <strong>al</strong>ojar datos. Los ejemplos son muchos y variados. Mpack la herramienta usadaen varios ataques masivos durante 2007, es vendida <strong>de</strong>s<strong>de</strong> uno <strong>de</strong> los servidores <strong>de</strong> la RBN.Ante tanta evi<strong>de</strong>ncia, son muchos los administradores que han <strong>de</strong>cidido bloquear por completo el acceso <strong>al</strong>os servidores <strong>al</strong>ojados en la RBN. Pero no ha servido <strong>de</strong> mucho. Han aprendido a enrutar las conexionesa través <strong>de</strong> otras webs comprometidas en Estados Unidos y Europa <strong>de</strong> forma que, aunque sea dando unro<strong>de</strong>o a través <strong>de</strong> otras IPs (habitu<strong>al</strong>mente usuarios resi<strong>de</strong>nci<strong>al</strong>es troyanizados o webs atacadas), siguenoperando <strong>de</strong> forma norm<strong>al</strong>. Por ejemplo, en el reciente ataque <strong>al</strong> Banco <strong>de</strong> la India, <strong>al</strong> seguir el rastro <strong>de</strong>lm<strong>al</strong>ware que se intentaba inst<strong>al</strong>ar en los sistemas Windows que visitaban la web, se observó que tras pasarla información a través <strong>de</strong> varios servidores, fin<strong>al</strong>mente acababa en un servidor <strong>de</strong> la RBN.Tras las acusaciones publicadas en el Washinton Post, un t<strong>al</strong> Tim Jaret que <strong>de</strong>cía pertenecer a la RBN lonegaba todo. Decía que no podía enten<strong>de</strong>r por qué se le acusaba basándose en suposiciones. El t<strong>al</strong> Jaretincluso se queja <strong>de</strong> que intentó colaborar con el grupo antispam Spamhaus (que tiene continuamentebloqueadas nada menos que más <strong>de</strong> 2.000 direcciones IP <strong>de</strong> la RBN clasificadas como origen <strong>de</strong> correobasura) sin éxito.En SANS Internet Storm Center tienen una clara opinión <strong>al</strong> respecto, no van a tirar piedras sobre sutejado. Y es que según Verisign, la RBN cobra hasta 600 dólares mensu<strong>al</strong>es por un <strong>al</strong>ojamiento “aprueba <strong>de</strong> b<strong>al</strong>as” lo que en este caso significa que no ce<strong>de</strong>rá a presiones leg<strong>al</strong>es ni será cerrado por muyinapropiado o “infeccioso” que sea su contenido. Aun así, el t<strong>al</strong> Jaret afirma que la RBN tiene el nivel <strong>de</strong><strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 243
“crimin<strong>al</strong>idad” habitu<strong>al</strong> en cu<strong>al</strong>quier proveedor web, y que habitu<strong>al</strong>mente cierra las webs en menos <strong>de</strong> 24horas, facilitando el trabajo a los profesion<strong>al</strong>es <strong>de</strong> la <strong>seguridad</strong>. Sin embargo, es posible que la única acción<strong>de</strong> la RBN cuando recibe presiones para cerrar un sitio web, sea aumentar el “<strong>al</strong>quiler” a los <strong>de</strong>lincuentesque se basan en ella para operar.Por último, se le pidió <strong>al</strong> t<strong>al</strong> Jaret que ofreciera nombres <strong>de</strong> usuarios legítimos <strong>de</strong> sus re<strong>de</strong>s, y contestó querazones leg<strong>al</strong>es se lo impedían.La RBN (rusa, cómo la gran escuela creadora <strong>de</strong>l m<strong>al</strong>ware 2.0) se ha convertido así en cómplice y centro<strong>de</strong> operaciones web para la industria <strong>de</strong>l m<strong>al</strong>ware, que encuentra un <strong>al</strong>iado que sabe mantener la bocacerrada y las manos quietas si se le paga lo suficiente. Symantec lo llama “el refugio para todo tipo <strong>de</strong>activida<strong>de</strong>s ileg<strong>al</strong>es en la Red”.Por si queda <strong>al</strong>guna duda sobre su intención <strong>de</strong> permanecer “anónimos”, basta con comprobar hacia quéIP apunta su dominio princip<strong>al</strong> rbnnetwork.comSergio <strong>de</strong> los Santos02/11/2007 Ataque con troyano para usuarios <strong>de</strong> MacDetectada diversas variantes <strong>de</strong> un troyano <strong>de</strong>stinado a usuarios <strong>de</strong> Mac. De momento se ha <strong>de</strong>tectadoúnicamente hospedado en páginas <strong>de</strong> contenido pornográfico, a través <strong>de</strong> las cu<strong>al</strong>es intentan engañar a losusuarios para que se inst<strong>al</strong>en el troyano.Se trata <strong>de</strong> un ataque dirigido a usuarios <strong>de</strong> Windows y Mac <strong>de</strong>s<strong>de</strong> páginas con supuestos ví<strong>de</strong>ospornográficos. Para atraer a las potenci<strong>al</strong>es víctimas, las direcciones <strong>de</strong> las webs que contienen los troyanoshan sido anunciadas a través <strong>de</strong> spam, incluyendo el envío <strong>de</strong> los enlaces a varios foros <strong>de</strong> usuarios <strong>de</strong>Mac.Cuando el usuario visita una <strong>de</strong> las páginas y selecciona visu<strong>al</strong>izar uno <strong>de</strong> los ví<strong>de</strong>os, el servidor web<strong>de</strong>tecta si el sistema es un Windows o Mac a través <strong>de</strong>l user-agent <strong>de</strong>l navegador. En función <strong>de</strong> ese dato,la página web intentará que el usuario se inst<strong>al</strong>e la versión <strong>de</strong>l troyano para Windows (extensión .exe) opara Mac (extensión .dmg).La estrategia <strong>de</strong> los atacantes consiste en hacer creer <strong>al</strong> usuario que necesita inst<strong>al</strong>ar un componenteadicion<strong>al</strong>, un co<strong>de</strong>c, para po<strong>de</strong>r visu<strong>al</strong>izar el ví<strong>de</strong>o. El usuario <strong>de</strong> Mac tendrá que introducir la contraseña<strong>de</strong> administrador para proce<strong>de</strong>r a la inst<strong>al</strong>ación <strong>de</strong>l troyano, si bien muchos podrían hacerlo creyendo quees necesario para inst<strong>al</strong>ar el componente que les permitirá ver el <strong>de</strong>seado ví<strong>de</strong>o.<strong>Una</strong> vez el troyano se inst<strong>al</strong>a lleva a cabo su cometido, que no es otro que modificar los servidores DNS <strong>de</strong>lsistema para que apunten a unos nuevos que están bajo el dominio <strong>de</strong> los atacantes. Estos servidores DNSllevarían a cabo un ataque <strong>de</strong>l tipo pharming, ya que pue<strong>de</strong>n redireccionar ciertos dominios, como el <strong>de</strong><strong>al</strong>gunas entida<strong>de</strong>s bancarias, a servidores que hospedan phishing con el fin <strong>de</strong> sustraer las cre<strong>de</strong>nci<strong>al</strong>es<strong>de</strong> acceso <strong>de</strong> las víctimas.La <strong>de</strong>tección antivirus es <strong>de</strong> momento escasa, norm<strong>al</strong> si tenemos en cuenta que el m<strong>al</strong>ware suele ser, en lapráctica, un terreno <strong>de</strong> Windows, en incluso muchas casas antivirus no tienen soluciones para Mac. Lasdiversas variantes a las que tenemos acceso en <strong>Hispasec</strong> hasta el momento son <strong>de</strong>tectadas por ninguno,244<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
uno, o a lo máximo dos productos antivirus, entre los que se encuentra Sophos que lo i<strong>de</strong>ntifica con elnombre <strong>de</strong> “OSX/RSPlug-A” y Mcafee como “OSX/Pupe”.La recomendación obvia a los usuarios <strong>de</strong> Mac es que no inst<strong>al</strong>en ningún software <strong>de</strong> fuentes no confiablesy, dado este caso en concreto, especi<strong>al</strong>mente <strong>de</strong>sconfíen <strong>de</strong> cu<strong>al</strong>quier web <strong>de</strong> contenido adulto que lesincite a inst<strong>al</strong>ar un supuesto co<strong>de</strong>c <strong>de</strong> ví<strong>de</strong>o.Aunque el ataque también se dirige a usuarios <strong>de</strong> Windows, que es lo común, la noticia es que se hayanmolestado en <strong>de</strong>sarrollar una versión <strong>de</strong>l troyano específica para los usuarios <strong>de</strong> Mac. Hasta la fech<strong>al</strong>a mayoría <strong>de</strong>l m<strong>al</strong>ware para Mac era anecdótico, pruebas <strong>de</strong> concepto o laboratorio, que re<strong>al</strong>mente notenían una repercusión significativa entre los usuarios <strong>de</strong> Mac. En esta ocasión estamos ante un caso re<strong>al</strong><strong>de</strong> m<strong>al</strong>ware funcion<strong>al</strong> <strong>de</strong>sarrollado por atacantes que han fijado, como parte <strong>de</strong> sus objetivos, el frau<strong>de</strong>online a usuarios <strong>de</strong> Mac.¿Caso puntu<strong>al</strong> o el comienzo <strong>de</strong> una nueva era en lo que respecta <strong>al</strong> m<strong>al</strong>ware para Mac?Más información y ejemplos <strong>de</strong> las webs que distribuyen el troyano pue<strong>de</strong>n encontrarse en el blog <strong>de</strong>llaboratorio <strong>de</strong> <strong>Hispasec</strong>:http://blog.hispasec.com/laboratorio/250Bernardo Quintero05/<strong>12</strong>/2007 Servicios antiphishing ¿efectivos?Un estudio <strong>de</strong> Symantec revela que el 25% <strong>de</strong> las visitas a un sitio <strong>de</strong> phishing se produce durante laprimera hora <strong>de</strong>l lanzamiento <strong>de</strong>l frau<strong>de</strong>. Transcurridas <strong>12</strong> horas habrá recibido el 60% <strong>de</strong> las visitas. Silos servicios antiphishing tardan más tiempo en <strong>de</strong>sactivarlos, ¿cuál es su efectividad re<strong>al</strong> en la prevención<strong>de</strong>l frau<strong>de</strong>?El estudio, que se ha llevado a cabo durante varios meses, an<strong>al</strong>iza los logs correspondientes a 6.158 ataques,y pone números a <strong>al</strong>go que todos sabíamos: en un frau<strong>de</strong> por phishing las primeras horas son cruci<strong>al</strong>es yconcentran el mayor porcentaje <strong>de</strong> las visitas y estafas.Durante las 6 primeras horas <strong>de</strong>l ataque se llegarían a concentrar el 51,6% <strong>de</strong> las visitas, entre las 6 y <strong>12</strong>horas aumenta un 10,7%, entre las <strong>12</strong> y 24 horas se suma un 13%, y el 24,6% <strong>de</strong> las visitas restantes sesuce<strong>de</strong>n transcurridas las primeras 24 horas.Estos datos <strong>de</strong>jan en entredicho la efectividad <strong>de</strong> los servicios antiphishing reactivos que mantienenmedias superiores a las 6 horas <strong>de</strong> cierre, ya que no evitarían la mayoría <strong>de</strong> las visitas y por tanto larentabilidad <strong>de</strong>l ataque. Esto explica en parte que, pese a la inversión en este tipo <strong>de</strong> servicios, los ataquesa ciertas entida<strong>de</strong>s sigan siendo periódicos.Des<strong>de</strong> el punto <strong>de</strong> vista <strong>de</strong>l atacante, un servicio antiphishing <strong>de</strong> una entidad que cierre en el menor tiempoposible repercutiría negativamente en su negocio, y por tanto es <strong>de</strong> preveer que migrara sus ataques aotras entida<strong>de</strong>s que no entorpecieran tanto el frau<strong>de</strong>.Por ello la velocidad en el cierre <strong>de</strong> las infraestructuras <strong>de</strong> phishing es cruci<strong>al</strong> en la prevención, tanto porlos casos puntu<strong>al</strong>es, como por estrategia a medio plazo que conlleve una disminución en los ataques a unaentidad <strong>al</strong> <strong>de</strong>jar <strong>de</strong> ser un objetivo rentable.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 245
¿Deberían las entida<strong>de</strong>s exigir tiempos <strong>de</strong> reacción a los servicios antiphishing?Queda claro que a mayor tiempo <strong>de</strong> reacción aumenta la rentabilidad <strong>de</strong>l atacante, lo que tambiénfavorecería que la entidad sufra nuevos ataques. Como efecto colater<strong>al</strong> la empresa que ofrece el servicioantiphishing tendría que llevar a cabo más actuaciones, y también s<strong>al</strong>dría beneficiada económicamente.Algo f<strong>al</strong>la en la ecuación.Dada la importancia <strong>de</strong> la velocidad <strong>de</strong> reacción, es lógico pensar que la entidad requiriera establecer<strong>al</strong>gún tipo <strong>de</strong> esc<strong>al</strong>a basada en tiempos. No <strong>de</strong>bería pagar lo mismo por la <strong>de</strong>sactivación <strong>de</strong> un phishing en1 hora que en 24, <strong>de</strong>bería incentivar y premiar la mayor celeridad posible en las actuaciones, inclusive nopagar aquellas que se dilaten <strong>de</strong>masiado en el tiempo.La re<strong>al</strong>idad es que el cierre <strong>de</strong> una infraestructura <strong>de</strong> phishing <strong>de</strong>pen<strong>de</strong> <strong>de</strong> factores externos que no pue<strong>de</strong>controlar la empresa <strong>de</strong> <strong>seguridad</strong>, y por lo tanto la efectividad en casos concretos, o en <strong>de</strong>terminadascampañas, pue<strong>de</strong> ser muy variable. No obstante, eso no <strong>de</strong>be ser ápice para que se establezcan mecanismosque incentiven los mejores resultados.De los últimos 100 casos <strong>de</strong> phishing gestionados por el servicio antifrau<strong>de</strong> <strong>de</strong> <strong>Hispasec</strong>, 47 <strong>de</strong> ellos secerraron en menos <strong>de</strong> 1 hora. La media <strong>de</strong> cierre se sitúa en 3 horas 1 minuto.Bernardo QuinteroEntrevistaEn poco más <strong>de</strong> una década, Eugene Kaspersky ha construido una <strong>de</strong> las empresasantivirus más respetadas entre los profesion<strong>al</strong>es <strong>de</strong>l sector. Kaspersky se caracteriza Eugene Kasperskypor ser un profesion<strong>al</strong> <strong>al</strong> que le apasiona su trabajo. Su empresa dice y hace lo quequiere, que no siempre tiene por qué ser políticamente correcto... aunque sí que parece acertado la mayorparte <strong>de</strong> las veces.<strong>Hispasec</strong>: ¿Cómo surge la i<strong>de</strong>a <strong>de</strong> crear una empresa antivirus?Eugene Kaspersky: Comencé a trabajar como “cazador <strong>de</strong> virus” profesion<strong>al</strong> a principios <strong>de</strong> los 90,cuando acabé el servicio militar y me uní a KAMI, una <strong>de</strong> las compañías <strong>de</strong> IT más gran<strong>de</strong>s <strong>de</strong>l momentoen Rusia. Recibíamos financiación <strong>de</strong> la compañía, y eso me permitió investigar y crear un equipo <strong>de</strong>expertos <strong>de</strong> perfil <strong>al</strong>to que todavía forman parte <strong>de</strong> la empresa.Sin embargo en 1997 KAMI <strong>de</strong>cidió abandonar el <strong>de</strong>sarrollo <strong>de</strong> software y concentrarse en la integración<strong>de</strong> sistemas. No queríamos cerrar nuestro proyecto antivirus, así que la única opción que nos quedaba erafundar nuestra propia compañía, lo que hicimos en 1997. En ese momento nadie quería invertir en nuestronegocio ni darnos créditos, éramos muy pequeños y <strong>de</strong>sconocidos. Y hasta hoy no hemos tenido ningúninversor ni pedido ningún préstamo. Ahora somos los suficientemente gran<strong>de</strong>s para financiar nuestronegocio y <strong>de</strong>sarrollar nuestro proyecto.H: En <strong>Hispasec</strong> re<strong>al</strong>izamos varias comparativas antivirus para revistas <strong>de</strong>l sector a fin<strong>al</strong>es<strong>de</strong> los años 90. <strong>Una</strong> <strong>de</strong> las pruebas consistía en enviar <strong>de</strong> forma anónima un m<strong>al</strong>ware nuevo246<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
a los laboratorios para ver el tiempo <strong>de</strong> reacción y la c<strong>al</strong>idad <strong>de</strong> la respuesta. Recordamoscon agrado la anécdota <strong>de</strong> que durante <strong>al</strong>guna <strong>de</strong> esas pruebas an<strong>al</strong>izaste la muestra ycontestaste person<strong>al</strong>mente <strong>al</strong> ficticio usuario infectado. ¿Cómo compaginabas tu puesto<strong>de</strong> presi<strong>de</strong>nte <strong>de</strong> una empresa en expansión con la <strong>de</strong>dicación <strong>al</strong> análisis <strong>de</strong> m<strong>al</strong>ware ysoporte a los usuarios?EK: “Fin<strong>al</strong>es <strong>de</strong> los 90” fue hace 10 años... en ese momento yo estaba re<strong>al</strong>mente trabajando parci<strong>al</strong>mentecomo an<strong>al</strong>ista <strong>de</strong> virus, observando las peticiones <strong>de</strong> los usuarios, an<strong>al</strong>izando ficheros sospechosos,añadiendo nuevos registros... Comencé a <strong>de</strong>legar más obligaciones en otros entre 2003 y 2005, cuandoemergieron más y mejores investigadores en nuestro laboratorio que hacían el trabajo igu<strong>al</strong> <strong>de</strong> bien omejor que yo. Fin<strong>al</strong>mente reconocí que re<strong>al</strong>mente no me necesitaban en la línea <strong>de</strong> <strong>de</strong>cisiones. Así quelentamente <strong>de</strong>jé el trabajo diario <strong>de</strong> análisis y ahora más que nada me centro en la estrategia <strong>de</strong> la compañíae innovaciones tecnológicas. Viajo también mucho más para estar más en contacto con la re<strong>al</strong>idad.H: Siguiendo con aquella anécdota, en la respuesta que recibimos apreciábamos untrabajo artesan<strong>al</strong>. Re<strong>al</strong>mente habías an<strong>al</strong>izado la muestra y, a<strong>de</strong>más <strong>de</strong> la actu<strong>al</strong>izaciónpara <strong>de</strong>sinfección, nos dabas <strong>de</strong>t<strong>al</strong>les <strong>de</strong>l funcionamiento interno <strong>de</strong>l m<strong>al</strong>ware. Con elvolumen actu<strong>al</strong> <strong>de</strong> m<strong>al</strong>ware es impensable que se pueda continuar haciendo un trabajotan artesan<strong>al</strong> en los laboratorios y se intuye que buena parte <strong>de</strong>l proceso <strong>de</strong> análisis seencuentra automatizado. A lo largo <strong>de</strong> estos años, ¿cómo ha ido evolucionando el trabajoen los laboratorios antivirus? ¿cuáles son los retos actu<strong>al</strong>es y cómo se abordan?EK: Por supuesto, la mayoría <strong>de</strong>l trabajo está automatizado, pero la recoleción <strong>de</strong> muetras también, así queno necesitamos respon<strong>de</strong>r a cada muestra añadida a la colección. Contestamos a las peticiones “humanas”solo.H: La mayor parte <strong>de</strong>l m<strong>al</strong>ware <strong>de</strong> hoy día forma parte <strong>de</strong> un negocio crimin<strong>al</strong>, podríamos<strong>de</strong>cir que se ha profesion<strong>al</strong>izado la antigua figura <strong>de</strong>l creador <strong>de</strong> virus. Atrás quedan losvirus que infectaban ejecutables y vivimos una auténtica av<strong>al</strong>ancha <strong>de</strong> m<strong>al</strong>ware estático,como troyanos o adware. Parece que también existe una automatización en la creación<strong>de</strong> m<strong>al</strong>ware, con miles <strong>de</strong> variantes que tienen el mismo objetivo y sólo buscan evitar la<strong>de</strong>tección <strong>de</strong> los antivirus. ¿Qué diferencias claves encuentras entre el m<strong>al</strong>ware <strong>de</strong> 1998y el <strong>de</strong>l 2008? ¿Crees que volverán a tener un boom los virus infectores y polimórficos?De suce<strong>de</strong>r eso, ¿crees que <strong>al</strong>gunas soluciones antivirus actu<strong>al</strong>es se han acostumbrado <strong>al</strong>m<strong>al</strong>ware estático y tendrían problemas para adaptarse a ese nuevo escenario?EK: En re<strong>al</strong>idad hoy en día afrontamos más y más infectores y m<strong>al</strong>ware polimórfico, especi<strong>al</strong>mente“polifórmico en web”. Así que a fin<strong>al</strong>es <strong>de</strong> los 90 los infectores le cedieron la cuota <strong>de</strong> mercado <strong>al</strong> m<strong>al</strong>wareestático. No lo recuperan (todavía hay cientos <strong>de</strong> veces más m<strong>al</strong>ware estático), pero cada vez estamosrecibiendo más m<strong>al</strong>ware <strong>de</strong> última generación.H: En la actu<strong>al</strong>idad, ¿cuál es tú función en Kaspersky Labs? ¿Sigues re<strong>al</strong>izando tantolabores <strong>de</strong> gestión como técnicas?EK: Nunca he sido un manager directo, <strong>de</strong>l día a día. Prefería tener un buen equipo <strong>de</strong> managers quetuvieran la capacidad y libertad <strong>de</strong> hacerlo bien por ellos mismos. Mi trabajo es más que nada compren<strong>de</strong>r“el cuadro”, <strong>de</strong>sarrollar la estrategia <strong>de</strong> la compañía, tomar parte en el marketing <strong>de</strong>l producto, innovacionestecnologicas y representar a la compañía.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 247
HS: Kaspersky siempre ha tenido fama <strong>de</strong> buen motor antivirus en foros técnicos, sinembargo el ranking <strong>de</strong> ventas suele estar li<strong>de</strong>rado por otras marcas. ¿Cree que la <strong>de</strong>cisión<strong>de</strong> los usuarios fin<strong>al</strong>es se <strong>de</strong>ja llevar más por el marketing que por la re<strong>al</strong>idad <strong>de</strong>l producto?¿Qué <strong>de</strong>bería tener en cuenta el usuario a la hora <strong>de</strong> elegir su antivirus? ¿Existe una fuenteconfiable don<strong>de</strong> pueda comparar?EK: La razón por la que no estamos en la las compañías “BigThree” es muy simple: cuando fundamosnuestra compañía in<strong>de</strong>pendiente, cuando empezamos a explorar el mercado, otros ya llevaban <strong>al</strong>lí muchosaños, y no había espacio libre para nosotros. Así que tuvimos que luchar por nuestro espacio duranteaños, explicando nuestra posición y promocionando nuestra tecnología, productos y servicios. Por esoen <strong>al</strong>gunos países (no todos) somos v<strong>al</strong>orados solo por usuarios avanzados, y menos reconocidos por lamayoría <strong>de</strong>l mercado. Pero eso está cambiando.H: En el escenario actu<strong>al</strong>, con un volumen <strong>de</strong> m<strong>al</strong>ware muy consi<strong>de</strong>rable y distribuido,¿tiene sentido seguir manteniendo la lista In-The-Wild y utilizarla como referencia paraev<strong>al</strong>uar los antivirus?EK: Por supuesto que no. Porque no es posible aguantar una lista “in the wild” si s<strong>al</strong>en miles <strong>de</strong> nuevosm<strong>al</strong>ware cada día. Todas <strong>de</strong>berían estar ITW. Así que tenemos que cambiar esta metodología, pero no esuna tarea fácil.H: ¿Qué opinión te merece VirusTot<strong>al</strong> y cuál crees que <strong>de</strong>be ser su evolución y papel en laindustria antim<strong>al</strong>ware?EK: Este tipo <strong>de</strong> servicios son una herramienta para usuarios <strong>de</strong> Internet experimentados, y resultan unservicio po<strong>de</strong>roso para recolectar m<strong>al</strong>ware en la Red.H: Al margen <strong>de</strong> Kaspersky Labs, ¿a qué <strong>de</strong>dicas más tiempo últimamente? ¿Hobbies?EK: ¿Hobbies? Llevar una compañía exitosa <strong>de</strong> ITTP (IT Threat Prevention) , hacerla crecer con ceroingresos (con la ayuda <strong>de</strong> otros) explicar amenazas, solucionar problemas... ¿acaso <strong>al</strong>guien necesita otrohobbie aparte <strong>de</strong> eso?EK: ¿Alguna predicción en materia <strong>de</strong> <strong>seguridad</strong> informática? ¿Qué nos espera?EK: Estoy esperando que los gobiernos presten más atención a los problemas <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> la redglob<strong>al</strong>. I<strong>de</strong>ntificación person<strong>al</strong>, una Internet-Interpol re<strong>al</strong>mente internacion<strong>al</strong> nos traerá más regulacionesy restricciones. Sólo eso pue<strong>de</strong> hacer disminuir la carga <strong>de</strong> m<strong>al</strong>ware en Internet. Si no hacemos eso...¿Cuánto tráfico parasitario transfiere Internet? ¿Cuántos terawatios <strong>de</strong>sperdiciamos por eso? ¿Cuántascentr<strong>al</strong>es eléctricas trabajan sólo para soportar el crimen electrónico? ¿Cuánta electricidad, centr<strong>al</strong>es <strong>de</strong>datos, can<strong>al</strong>es... necesitaremos en 5, 10, 20 años si el crecimiento <strong>de</strong>l m<strong>al</strong>ware se mantiene <strong>al</strong> mismonivel?H: Un libro, una canción.EK: Muchos. Pue<strong>de</strong>s encontrar la información en www.kasperskyclub.com248<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
Documentación<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 - 249
250<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2007 -
7D83730Capítuloaño 20081011111011000
<strong>12</strong>47443200 – <strong>12</strong>78979199Durante este año...__ En enero se registra una caída <strong>de</strong>l Ibex 35 <strong>de</strong>l 7,54%, retrocediendo hasta los <strong>12</strong>.625puntos. Aunque se recuperaría ligeramente, la crisis es ya p<strong>al</strong>pable. En septiembrebajaría <strong>de</strong> 11.000 puntos. En octubre el Ibex-35 sufre la peor caída <strong>de</strong> su historia, un9,14% y retroce<strong>de</strong> hasta los 8.997,7__En febrero Fi<strong>de</strong>l Castro renuncia <strong>al</strong> cargo por motivos <strong>de</strong> s<strong>al</strong>ud, <strong>de</strong>spués <strong>de</strong> 49 años en el po<strong>de</strong>r.__En las elecciones gener<strong>al</strong>es <strong>de</strong> España, el PSOE rev<strong>al</strong>ida título. Se crearía una pequeña crisis en elprincip<strong>al</strong> partido <strong>de</strong> la oposición.__La sonda estadouni<strong>de</strong>nse Phoenix aterriza en Marte. Meses <strong>de</strong>spués podría usar su micrófono para oírlos primeros sonidos <strong>de</strong>l planeta rojo.__Del 14 <strong>de</strong> junio <strong>al</strong> 14 <strong>de</strong> septiembre se celebra la Exposición Internacion<strong>al</strong> <strong>de</strong>Zaragoza (conocida como Expo Zaragoza 08), bajo el lema “Agua y <strong>de</strong>sarrollo sostenible”.No gozaría <strong>de</strong>l éxito y popularidad <strong>de</strong> la Expo’92 <strong>de</strong> Sevilla.__ En junio Barack Obama se convierte en el primer candidato negro a la presi<strong>de</strong>ncia <strong>de</strong> Estados Unidos,tras una reñida campaña contra la también <strong>de</strong>mócrata Hillary Clinton.El 20 <strong>de</strong> agosto, el vuelo 5022 <strong>de</strong> la compañía Spanair, se estrella poco <strong>de</strong>spués <strong>de</strong>lintento frustrado <strong>de</strong> <strong>de</strong>spegue. Mueren 154 personas. El vuelo sufre <strong>al</strong>gunos problemastécnicos antes <strong>de</strong> <strong>de</strong>spegar, pero aún así, lo intenta. Se barajan todo tipo <strong>de</strong> teoríassobre las verda<strong>de</strong>ras causas <strong>de</strong>l <strong>de</strong>sastre. Las tareas <strong>de</strong> i<strong>de</strong>ntificación <strong>de</strong> cadáveresduran más <strong>de</strong> lo previsto. Durante los juegos olímpicos <strong>de</strong> Pekín, <strong>al</strong>gunos españoles lucencrespones negros en sus brazos para mostrar solidaridad con las víctimas <strong>de</strong>l acci<strong>de</strong>nte,aun siendo una manifestación no apoyada por el COI (Comité Olímpico Internacion<strong>al</strong>) noson sancionados. El 24 <strong>de</strong> agosto se estrella en Kirguistán, <strong>al</strong> aterrizar, el vuelo 6895 <strong>de</strong> lacompañía Itek-Air, mueren 69 personas.__Comienza a funcionar el 10 <strong>de</strong> septiembre en Suiza el acelerador <strong>de</strong> partículas LHC (Large HadronColli<strong>de</strong>r). Se preten<strong>de</strong> hacer colisionar partículas subatómicas a gran<strong>de</strong>s velocida<strong>de</strong>s para simular<strong>al</strong>gunos eventos ocurridos durante o inmediatamente <strong>de</strong>spués <strong>de</strong>l “big bang”. Algunas voces <strong>de</strong> supuestoscientíficos a<strong>de</strong>lantan que su puesta en marcha pue<strong>de</strong> hacer que se creen agujeros negros y provocar el fin<strong>de</strong>l planeta.__En septiembre s<strong>al</strong>ta la <strong>al</strong>arma en China por la adulteración <strong>de</strong> leche para bebés, en la que se <strong>de</strong>tectamelamina. Esta sustancia es agregada a los lácteos para que, en los controles, parezcan tener un mayorcontenido en proteínas que el re<strong>al</strong>. La sustancia resulta tóxica para el ser humano. Cuatro bebés mueren en252<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
China, y otros miles quedan gravemente intoxicados. Se acusa <strong>al</strong> gobierno Chino <strong>de</strong> ocultar la informaciónhasta que hubiesen terminado los juegos olímpicos <strong>de</strong> Pekín <strong>de</strong> agosto para no dar m<strong>al</strong>a imagen. Loschinos acu<strong>de</strong>n en masa a países vecinos a comprar leche, que <strong>de</strong>be ser racionada. Se <strong>de</strong>tectarían partidas<strong>de</strong> este tipo <strong>de</strong> leche en España.__El SIMO se cancela <strong>de</strong>bido a la crisis. La Feria Internacion<strong>al</strong> <strong>de</strong> Informática, Multimedia yTelecomunicaciones no celebra su 48º edición tras el anuncio <strong>de</strong> las gran<strong>de</strong>s empresas <strong>de</strong>l sector <strong>de</strong> queno acudirán <strong>al</strong> encuentro.__El 26 <strong>de</strong> septiembre muere Paul Newman, el gran actor americano nacido en 1925.__El 28 <strong>de</strong> septiembre, la SpaceX F<strong>al</strong>con 1 es el primer vehículo espaci<strong>al</strong> <strong>de</strong>sarrollado <strong>de</strong> forma privadaque es lanzado en órbita.__ En octubre la crisis continúa. George W. Bush firma el plan <strong>de</strong> emergencia <strong>de</strong> estabilización <strong>de</strong> laeconomía, creando <strong>de</strong> la nada 700 mil millones <strong>de</strong> dólares para comprar activos bancarios.__El 4 <strong>de</strong> noviembre Barack Obama es elegido presi<strong>de</strong>nte en las elecciones gener<strong>al</strong>es <strong>de</strong> EstadosUnidos. Es el primer presi<strong>de</strong>nte afroamericano en la historia <strong>de</strong>l país, y se entien<strong>de</strong> como un cambioradic<strong>al</strong> tras la criticada gestión <strong>de</strong> su pre<strong>de</strong>cesor George W. Bush. Obama re<strong>al</strong>iza una exitosa campaña<strong>de</strong> marketing a través <strong>de</strong> Facebook, atrayendo a los jóvenes que buscan el cambio con las re<strong>de</strong>s soci<strong>al</strong>es ylas nuevas tecnologías. Su riv<strong>al</strong> en las elecciones, John McCain, sigue una campaña <strong>de</strong> captación <strong>de</strong> vototradicion<strong>al</strong> mucho más cara y, como se <strong>de</strong>mostraría, no tan efectiva como la <strong>de</strong> Obama. Poco <strong>de</strong>spuésmateri<strong>al</strong>izaría varias promesas elector<strong>al</strong>es, que consistían básicamente en <strong>de</strong>shacer el camino hacia laguerra iniciado por Bush.__Durante noviembre, se intensifica el <strong>de</strong>bate sobre la necesidad <strong>de</strong> regulación profesion<strong>al</strong> <strong>de</strong> laInformática en España. Se convocan varias manifestaciones.__A principios <strong>de</strong> diciembre se producen revueltas en Grecia, a causa <strong>de</strong> la muerte <strong>de</strong> un adolescente<strong>de</strong> 15 años por un disparo <strong>de</strong> las fuerzas especi<strong>al</strong>es <strong>de</strong> la policía griega.__Se aña<strong>de</strong> un segundo extra <strong>al</strong> año el día 31 <strong>de</strong> diciembre.Seguridad Informática__Se elimina la opción <strong>de</strong> “no-distribución” en VirusTot<strong>al</strong>. Bernardo Quinteroofrece una amplia explicación <strong>de</strong> los motivos en el blog <strong>de</strong> VirusTot<strong>al</strong>, en inglés, y se disculpapor los usuarios legítimos <strong>de</strong> esta opción. Sin duda, es en los comentarios <strong>de</strong> esta entradaen inglés don<strong>de</strong> más se insulta a <strong>Hispasec</strong> en gener<strong>al</strong> y a familiares <strong>de</strong> muchos en particular por el hecho<strong>de</strong> eliminarla. Esta opción permitía el envío a VirusTot<strong>al</strong>.com <strong>de</strong> una muestra sin que esta fuese reportada<strong>de</strong> forma automática a las casas antivirus, aun si era clasificada como m<strong>al</strong>ware por <strong>al</strong>gún motor. Aunquese afirma y (se hace) que se pue<strong>de</strong>n plantear soluciones para quien específicamente lo requiera, muchosprefieren abandonar el uso <strong>de</strong>l servicio no sin antes manifestarlo públicamente en comentarios en el blog.La reacción en España es mucho menos impactante. Afortunadamente, la carga y uso <strong>de</strong> VirusTot<strong>al</strong>.comno se resiente, es más, aumenta.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 253
__Se encuentra la enésima vulnerabilidad que permite la ejecución <strong>de</strong> código en Re<strong>al</strong>Player. Es explotadaantes <strong>de</strong> que exista solución. Los atacantes se cuelan en servidores que <strong>al</strong>ojan páginas e incrustan suspropios IFRAMEs para infectar a los visitantes. Se estima que existen unas 80.000 páginas legítimas<strong>al</strong>teradas con exploits para este f<strong>al</strong>lo que permiten aprovechar la vulnerabilidad e inst<strong>al</strong>ar <strong>al</strong>gún tipo <strong>de</strong>m<strong>al</strong>ware. Todo tipo <strong>de</strong> webs se ven afectadas por este problema: <strong>de</strong>s<strong>de</strong> gobiernos a gran<strong>de</strong>s empresaspasando por bancos.__La empresa Sentrigo publica una encuesta sobre <strong>seguridad</strong> en Oracle. Los resultados materi<strong>al</strong>izan lasensación gener<strong>al</strong>izada <strong>de</strong>l problema <strong>de</strong> la gestión <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Oracle. Dos tercios <strong>de</strong> los administradoresno parchean sus bases <strong>de</strong> datos.El grupo 29A anuncia ofici<strong>al</strong>mente su retirada. Se trata un síntoma más <strong>de</strong> que hace yatiempo se terminó la época romántica <strong>de</strong> la creación <strong>de</strong> virus. Representaron la élite encuanto a creación <strong>de</strong> virus se refiere, era re<strong>al</strong>mente un laboratorio <strong>de</strong> I+D en España. Demarcado carácter un<strong>de</strong>rground (29A es 666 en hexa<strong>de</strong>cim<strong>al</strong>) mantuvieron un <strong>al</strong>tísimo nivel<strong>de</strong> VirusCoding <strong>de</strong>s<strong>de</strong> su creación con especímenesque innovaron en su momento en el mundo <strong>de</strong> lacodificación vírica. Sus miembros <strong>de</strong>sarrollaron lostroyanos más punteros <strong>de</strong> la época, por ejemplo,aprovechando Internet cuando no era tan habitu<strong>al</strong>estar conectado a la red. Entre otros, programaron elvirus HPS, que levantó polémica por ser el primer viruspolimórfico diseñado para Windows 98.En re<strong>al</strong>idad se trataba <strong>de</strong> un virus creado para obtener la atención <strong>de</strong> los medios, puestoque <strong>de</strong>liberadamente comprobaba <strong>al</strong> inicio <strong>de</strong> su ejecución la versión <strong>de</strong>l sistemaoperativo, y sólo continuaba sus acciones si era Windows 98. A los creadores <strong>de</strong> 29A tambiénles gustaba jugar con los laboratorios y los medios <strong>de</strong> comunicación, y en este caso lessiguieron el juego (<strong>de</strong> forma premeditada o no). La CNN dijo <strong>de</strong> él “Un virus se a<strong>de</strong>lantaa la s<strong>al</strong>ida <strong>de</strong>l sistema operativo”. Eso fue el <strong>de</strong>tonante <strong>de</strong> una explosión <strong>de</strong> noticias enperiódicos. Crearon “Marburg”, el primer virus polimórfico <strong>de</strong> 32 bits, propagado por elmundo a gran velocidad, protagonizando diversos inci<strong>de</strong>ntes. Las revistas PcGamer y PcPower Play contenían varios programas infectados en los discos que las acompañaban.El CDROM <strong>de</strong>l juego MGM/Wargames s<strong>al</strong>ía <strong>al</strong> mercado infectado. Llenaba el escritorio<strong>de</strong> iconos <strong>de</strong> error critico <strong>de</strong> Windows, un circulo rojo con un aspa blanca. MrSandmanescribió Esperanto, el primero capaz <strong>de</strong> ejecutarse tanto en Windows como en MacOS.GriYo, MrSandman, y VirusBuster, era los miembros más activos. Precisamente VirusBusteres el que pone punto y fin<strong>al</strong> <strong>al</strong> grupo, <strong>al</strong> consi<strong>de</strong>rarse último miembro activo y no po<strong>de</strong>rcontactar con el resto. Des<strong>de</strong> 1998, Bernardo Quintero los conocía bien, por an<strong>al</strong>izar suscreaciones <strong>de</strong>s<strong>de</strong> hacía más <strong>de</strong> una década. De una <strong>de</strong> las entrevistas exclusivas queAntonio Ropero publicó en PCActu<strong>al</strong> en 1998, se pue<strong>de</strong> extraer:¿Cuál es el futuro <strong>de</strong> los virus?Las nuevas plataformas son cada día más potentes, pero a la vez más complejas. Desarrollarvirus será cada vez una labor más complicada, y requerirá más tiempo y más recursos.Los virus, t<strong>al</strong> y como ahora los conocemos, <strong>de</strong>saparecerán, para dar lugar a sofisticadoshackers electrónicos <strong>de</strong>sarrollados <strong>al</strong> amparo <strong>de</strong> instituciones gubernament<strong>al</strong>es. Toma ya!;)254<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
Proyectos actu<strong>al</strong>es y metas a medio plazo.Pronto tendré acabado un virus nuevo, me gusta llamarlo “virus <strong>de</strong> nueva generación”,puesto que aplica conceptos nuevos que pronto serán muy comunes. Te puedo avanzarque Internet es tan importante para este virus como los ficheros .EXE lo han sido para losvirus tradicion<strong>al</strong>es.__ F-Secure opina que en el futuro, a<strong>de</strong>más <strong>de</strong> las loc<strong>al</strong>izaciones habitu<strong>al</strong>es don<strong>de</strong> se origina el m<strong>al</strong>wareactu<strong>al</strong>, África y Centroamérica representarán una nueva fuente <strong>de</strong> crimen informáticoorganizado.Se presenta la AMTSO (Anti-M<strong>al</strong>ware Testing StandardsOrganization). Es una iniciativa <strong>de</strong> la industria antivirus paraestandarizar comparativas. Aunque su primera reunión inform<strong>al</strong>tuvo lugar en Reykjavik (Islandia) en mayo <strong>de</strong> 2007, se <strong>de</strong>ci<strong>de</strong>organizar una reunión form<strong>al</strong> para dar cuerpo a esta iniciativa en enero <strong>de</strong> 2008. Más<strong>de</strong> 40 miembros <strong>de</strong> distintos países implicados en el tema (casas antivirus, testeadoresprofesion<strong>al</strong>es <strong>de</strong> antivirus y otras figuras <strong>de</strong> esta industria tecnológica) conforman las bases<strong>de</strong> esta organización cuyo fin es el <strong>de</strong> crear una serie <strong>de</strong> guías y herramientas que ayu<strong>de</strong>na mejorar la c<strong>al</strong>idad y la objetividad <strong>de</strong> las comparativas que se re<strong>al</strong>izan hoy en día.A<strong>de</strong>más <strong>de</strong> <strong>Hispasec</strong>, la AMTSO incluye a representantes <strong>de</strong> ALWIL Software, AV-Comparatives, AV-Test.org, AVG Technologies, Avira GmbH, Bit9, BitDefen<strong>de</strong>r, Dr. Web, Ltd.,ESET, F-Secure Corporation, G DATA Software, Internation<strong>al</strong> Business Machines Corporation,Kaspersky Lab, McAfee, Inc., Microsoft Corp., Norman ASA, Panda Security, PC Tools, SanaSecurity, Secure Computing, Sophos Plc, Symantec Corporation, Trend Micro Incorporatedy Virusbuster Ltd.__La versión 2.0.0.<strong>12</strong> <strong>de</strong> Firefox corrige (entre otras) una vulnerabilidad <strong>de</strong>scubierta por GynvaelColdwind (Michael), <strong>de</strong> <strong>Hispasec</strong>. La Fundación Mozilla publica la actu<strong>al</strong>ización 2.0.0.<strong>12</strong> para susproductos, solucionando más <strong>de</strong> 10 problemas <strong>de</strong> <strong>seguridad</strong>. <strong>Una</strong> <strong>de</strong> las vulnerabilida<strong>de</strong>s que permiteobtener información sensible <strong>de</strong>l usuario es <strong>de</strong>scubierta por el equipo técnico <strong>de</strong> <strong>Hispasec</strong> Sistemas. Sepublica un <strong>de</strong>t<strong>al</strong>lado estudio posteriormente, cuando por fin otros navegadores que se veían afectados(todos menos Internet Explorer) solucionan el problema.__La primavera se a<strong>de</strong>lanta en <strong>Hispasec</strong> y creamos unas nuevas camisetas exclusivas con las quese premia a los ganadores <strong>de</strong> un pequeño concurso <strong>de</strong> critografía que ponemos en marcha.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 255
__Se popularizan los archivos PDF que aprovechan vulnerabilida<strong>de</strong>s en Adobe Rea<strong>de</strong>r parainfectar sistemas. Adobe publica una <strong>al</strong>erta <strong>de</strong> <strong>seguridad</strong> en su lector PDF. Uno <strong>de</strong> estos f<strong>al</strong>los está siendoaprovechado para inst<strong>al</strong>ar m<strong>al</strong>ware, en concreto Zonebac. El usuario quedaría infectado con sólo abrirun archivo PDF con Adobe Acrobat anterior a la versión 8.1.2. Zonebac es un m<strong>al</strong>ware especi<strong>al</strong>izado enadware y el payload <strong>de</strong>l ataque se <strong>de</strong>scarga, como viene siendo habitu<strong>al</strong>, <strong>de</strong> un servidor remoto (no vaincluido en el PDF que está siendo distribuido).__Aparece una grave vulnerabilidad en el kernel <strong>de</strong> Linux anterior <strong>al</strong> 2.6.22.17 que permite elevarprivilegios a root. Se hace público un exploit. Son <strong>de</strong>cenas <strong>de</strong> distribuciones las que se ven afectadas. Elgoteo <strong>de</strong> parches <strong>de</strong> distintas casas es continuo.__Se <strong>de</strong>scubren nuevos métodos para intentar eludir los filtros antispam. Uno <strong>de</strong> ellos es v<strong>al</strong>erse <strong>de</strong>los mensajes automáticos <strong>de</strong> “fuera <strong>de</strong> la oficina” que utilizan <strong>al</strong>gunos servicios <strong>de</strong> webmail legítimos.Los spammers se dan <strong>de</strong> <strong>al</strong>ta en una cuenta <strong>de</strong> correo (gratuita) que ofrezca la funcion<strong>al</strong>idad <strong>de</strong> “autorespon<strong>de</strong>r”.En esta notificación se suele añadir hasta qué fecha se estará fuera, teléfonos <strong>de</strong> contactoadicion<strong>al</strong>es... etc. Son muy usados precisamente en las oficinas para indicar las vacaciones o periodos enlos que no se revisará el correo. Cada correo enviado a esa cuenta con la funcion<strong>al</strong>idad activada, generaráun correo <strong>de</strong> vuelta a quien lo envió con información en principio útil. Lo que hacen los spammers esconfigurar la respuesta <strong>de</strong> “fuera <strong>de</strong> la oficina” con el contenido basura y bombar<strong>de</strong>ar esa misma cuentacon emails con el campo ‘<strong>de</strong>s<strong>de</strong>’ (from) f<strong>al</strong>seado con listas <strong>de</strong> víctimas <strong>de</strong> spam. Otro método <strong>de</strong> moda enese momento implica el uso <strong>de</strong> Google C<strong>al</strong>endar, por ejemplo.__Cisco anuncia importantes cambios en la planificación <strong>de</strong> sus <strong>al</strong>ertas. Deci<strong>de</strong> publicar sus parches <strong>de</strong><strong>seguridad</strong> cada seis meses, en el cuarto miércoles <strong>de</strong> marzo y el cuarto miércoles <strong>de</strong> septiembre. Se uneasí a la política <strong>de</strong> <strong>al</strong>ertas <strong>de</strong> <strong>seguridad</strong> programada <strong>de</strong> Microsoft y Oracle, entre otros. Las <strong>al</strong>ertas asíprogramadas sólo afectan a su sistema operativo IOS.__Apple Mac OS X comienza el año publicando un mega parche que soluciona 90 f<strong>al</strong>los <strong>de</strong> <strong>seguridad</strong>.El número <strong>de</strong> vulnerabilida<strong>de</strong>s aumenta en cada superparche publicado y su gestión <strong>de</strong> la <strong>seguridad</strong> llevameses cuestionada. Más tar<strong>de</strong> ese mismo año lo <strong>de</strong>mostraría <strong>al</strong> ser el último gran fabricante en dar solución<strong>al</strong> gravísimo problema con los DNS <strong>de</strong>scubierto por Kaminsky._ En mayo, durante el congreso <strong>de</strong> <strong>seguridad</strong> Confi<strong>de</strong>nce 2008 enCracovia, el equipo <strong>de</strong> <strong>Hispasec</strong> <strong>al</strong>canza “The Perfect Score” en el retoplanteado, s<strong>al</strong>vando todas las dificulta<strong>de</strong>s técnicas. En momentos <strong>de</strong>asueto, Emiliano, Michael y Marcin se co<strong>de</strong>an con Joana Rutowska.Julio se conforma con hacer la fotografía._ Microsoft publica una <strong>al</strong>erta ofici<strong>al</strong> sin parche. Se observa un repunte en los ataques que aprovechanvulnerabilida<strong>de</strong>s en el Jet Database Engine <strong>de</strong> Microsoft, que procesa archivos MDB <strong>de</strong> bases <strong>de</strong>datos. Esta librería (en concreto msjet40.dll) sufre <strong>de</strong>s<strong>de</strong> hace años varios problemas <strong>de</strong> <strong>seguridad</strong> quepermiten la ejecución <strong>de</strong> código. Los atacantes envían estos ficheros por correo y, <strong>al</strong> ser una extensión“habitu<strong>al</strong>” e inofensiva para muchos usuarios, el atacante consigue su objetivo. No se <strong>de</strong>scubre una nuevavulnerabilidad, sino una ingeniosa forma <strong>de</strong> aprovechar f<strong>al</strong>los relativamente antiguos. Hasta ahora, lasdos vulnerabilida<strong>de</strong>s más graves encontradas en esta librería se hicieron públicas a mediados <strong>de</strong> 2005 yfin<strong>al</strong>es <strong>de</strong> 2007 y, aunque los f<strong>al</strong>los son activamente aprovechados por atacantes, no han sido corregidos.Microsoft consi<strong>de</strong>ra públicamente que los ficheros MDB son “cuasi” ejecutables, inherentemente inseguros,y que el hecho <strong>de</strong> que se pueda ejecutar código a través <strong>de</strong> ellos no <strong>de</strong>be escand<strong>al</strong>izar más que el hecho <strong>de</strong>que <strong>al</strong>guien haga doble click sobre un .exe y espere que <strong>al</strong>go sea ejecutado en el sistema. Pero se <strong>de</strong>scubreque, ingeniosamente, ahora se consigue que sea explotable a través <strong>de</strong> archivos .DOC y no directamente256<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
<strong>de</strong>s<strong>de</strong> los MDB, (que Microsoft bloquea en sus clientes <strong>de</strong> correo). La ‘excusa’ <strong>de</strong> que los MDB son insegurosy por ello no es necesario parchear la librería, <strong>de</strong>ja <strong>de</strong> ser válida. La librería sería parcheada y distribuidapoco <strong>de</strong>spués.__<strong>Una</strong> centr<strong>al</strong> nuclear en Georgia <strong>de</strong>be re<strong>al</strong>izar un apagado <strong>de</strong> emergencia durante 48 horas tras lainst<strong>al</strong>ación <strong>de</strong> una actu<strong>al</strong>ización <strong>de</strong> <strong>seguridad</strong> que <strong>de</strong>sestabiliza un or<strong>de</strong>nador, perteneciente a la red <strong>de</strong>control <strong>de</strong> la planta._ En junio Eva Chen, cofundadora y CEO <strong>de</strong> Trend Micro, <strong>de</strong>clara“la industria antivirus apesta”. Los atacantes van por <strong>de</strong>lantey la industria se ha quedado atrás. Está harta <strong>de</strong> invertir y noobtener los resultados esperados. Los niveles <strong>de</strong> infección son cadavez mayores y no hay visos <strong>de</strong> mejora a no ser que se modifiqueradic<strong>al</strong>mente la filosofía que hasta ahora han venido arrastrandolos antivirus._ La versión 2.0.0.14 <strong>de</strong>l navegador Firefox corrige una solavulnerabilidad, <strong>al</strong>go nada habitu<strong>al</strong> teniendo en cuenta que cadanueva versión soluciona norm<strong>al</strong>mente entre 4 y 8 vulnerabilida<strong>de</strong>s. El problema <strong>de</strong> <strong>seguridad</strong>que corrige, a<strong>de</strong>más, tiene su origen en una actu<strong>al</strong>ización anterior. La versión 2.0.0.13 corregía una solavulnerabilidad <strong>de</strong>scrita como una <strong>de</strong>negación <strong>de</strong> servicio a través <strong>de</strong>l recolector <strong>de</strong> basura <strong>de</strong> JavaScript.El problema es que se sabe que bajo ciertas circunstancias, “cuelgues” <strong>de</strong> esta misma natur<strong>al</strong>eza hanpodido llegar a ser explotables en el pasado, y por tanto, permitir la ejecución <strong>de</strong> código. Para estas fechas,Firefox tiene casi entre un 16 y un 20% <strong>de</strong> mercado. Internet Explorer entre un 73 y un 78%, Safari entreun 3 y un 6% y Opera un 0.80%.__<strong>Hispasec</strong> participa en un t<strong>al</strong>ler <strong>de</strong> trabajo <strong>de</strong> un proyecto europeo llamado FORWARD. Básicamentese trata <strong>de</strong> una iniciativa <strong>de</strong> la Unión Europea que intenta crear un grupo <strong>de</strong> expertos en materia <strong>de</strong><strong>seguridad</strong> informática que ayu<strong>de</strong> no solo a ver con perspectiva lo que ocurre en estos momentos en elmundo, sino que también se aporten i<strong>de</strong>as sobre cuáles se sospecha serán las futuras amenazas a largoplazo. El primer workshop se celebra en Gottebörg, Suecia. Está organizado por la Universidad Tecnológica<strong>de</strong> Ch<strong>al</strong>mers, uniendo la experiencia <strong>de</strong> empresas, universida<strong>de</strong>s y entida<strong>de</strong>s como la propia Comisión<strong>de</strong> la Unión Europea que se encarga <strong>de</strong> estudiar estos asuntos. Entre los participantes se encuentran:Banco <strong>de</strong> Austria, Boeing, British Telecom, Cisco, Combitech, Deep Blue, EADS, ENISA, FORTH, FranceTelecom, Fraunhofer, G-Data, <strong>Hispasec</strong> , Hitachi, Instituto Eurecom, Instituto Waterford <strong>de</strong> Tecnología,Instituto <strong>de</strong> Ciencias <strong>de</strong> la Computación (Grecia), Ipp-BAS, Joint Research Centre of the UC, Nokia, PacketGener<strong>al</strong> Networks, Panda Security, Parque Científico <strong>de</strong> Lindholmen, SEMA, SINTEF, Symantec, S21Sec, Telekom Austria, TeliaSonera, TU Darmstadt,Universidad <strong>de</strong> Mannheim, Universidad <strong>de</strong> Ulm,Universidad <strong>de</strong> Vrije, Universidad Northeast,Universidad <strong>de</strong> Columbia, Universidad CarnegieMellon, Universidad Técnica <strong>de</strong> Viena, Università<strong>de</strong>gli Studi di Milano, Universidad Tecnológica <strong>de</strong>Ch<strong>al</strong>mers, Virgin Charter, Volvo, Universidad <strong>de</strong> Kocy UCSB (USA).__Symantec, curioseando en los archivos <strong>de</strong> ayuda <strong>de</strong>l paquete <strong>de</strong> m<strong>al</strong>ware Zeus, <strong>de</strong>scubre un curioso“acuerdo”. Zeus crea una botnet con una interfaz muy cómoda con la que manejar a los zombis. En suacuerdo <strong>de</strong> licencia, aparte <strong>de</strong> la prohibición expresa <strong>de</strong> distribución <strong>de</strong>scontrolada, aplicar ingeniería<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 257
inversa y <strong>de</strong>más condiciones que se aplican en las licencias “habitu<strong>al</strong>es” <strong>de</strong> software, se pue<strong>de</strong> leer (enruso): “En caso <strong>de</strong> que se <strong>de</strong>tecte la violación <strong>de</strong> los acuerdos, el cliente pier<strong>de</strong> el soporte técnico. A<strong>de</strong>más,el código binario <strong>de</strong> la botnet será enviado inmediatamente a las casas antivirus.”__Según G Data, España ocupa el noveno puesto mundi<strong>al</strong> en número <strong>de</strong> sistemas zombi, casien empate técnico con Estados Unidos y Rusia. Lo que a<strong>de</strong>más indica que somos gran<strong>de</strong>s productores <strong>de</strong>spam, una <strong>de</strong> las funciones más importantes <strong>de</strong> los sistemas secuestrados. El informe está re<strong>al</strong>izado porG Data según la geoloc<strong>al</strong>ización <strong>de</strong> las direcciones IP. El número <strong>de</strong> zombis utilizados cada día ronda unamedia <strong>de</strong> 350.000, con momentos en los que se utilizan hasta 700.000 or<strong>de</strong>nadores para los distintos fines<strong>de</strong> estas botnets. De los diez países más infectados, la mayoría pertenecen a Europa. Según el informe, esel continente que goza <strong>de</strong> líneas <strong>de</strong> conexión más rápidas y mayor número <strong>de</strong> or<strong>de</strong>nadores.__Microsoft lanza el Service Pack 3 para el sistema operativo más popular <strong>de</strong> la compañía. Tras unpequeño retraso por cierta incompatibilidad con su Dynamics RMS, se ofrece para <strong>de</strong>scarga directa.__ El plugin <strong>de</strong>l idioma vietnamita para Firefox 2 es distribuido <strong>de</strong>s<strong>de</strong> el sitio ofici<strong>al</strong> (y durante semanas)infectado con adware. Window Sny<strong>de</strong>r, responsable <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Mozilla, <strong>de</strong>clara “todo el quehaya <strong>de</strong>scargado una copia <strong>de</strong>l paquete <strong>de</strong> idioma vietnamita <strong>de</strong>s<strong>de</strong> el 18 <strong>de</strong> febrero, está infectado”. Estomotivaría un mayor control sobre los repositorios <strong>de</strong> plugins <strong>de</strong> la fundación.__En julio Bernardo Quintero es nombrado MVP <strong>de</strong> <strong>seguridad</strong> (Most V<strong>al</strong>uable Proffesion<strong>al</strong>). Elpromotor <strong>de</strong> la nominación es Chema Alonso (MVP <strong>de</strong> Seguridad en Microsoft, <strong>de</strong> Informática64), el otro(y tercero hasta la fecha) MVP <strong>de</strong> <strong>seguridad</strong> en España. A pesar <strong>de</strong> que Bernardo ha sido muy crítico conla <strong>seguridad</strong> <strong>de</strong> Microsoft, el g<strong>al</strong>ardón es otorgado por su extraordinaria in<strong>de</strong>pen<strong>de</strong>ncia, nivel técnico yobjetividad.Es el año <strong>de</strong>l <strong>de</strong>scubrimiento <strong>de</strong> gran<strong>de</strong>s f<strong>al</strong>los catastróficos. La criptografía en Debiansufre un grave revés. Se <strong>de</strong>scubre que el generador <strong>de</strong> números <strong>al</strong>eatorios <strong>de</strong>l paqueteOpenSSL <strong>de</strong> Debian es pre<strong>de</strong>cible. Esto hace que las claves generadas con él ya no seanre<strong>al</strong>mente fiables o verda<strong>de</strong>ramente seguras. El problema tiene (y tendrá por muchosaños) una importante repercusión y numerosos efectos colater<strong>al</strong>es en otros paquetes ydistribuciones. Luciano Bello, <strong>de</strong>sarrollador <strong>de</strong> Debian, daba la voz <strong>de</strong> <strong>al</strong>arma. Sólo afecta<strong>al</strong> OpenSSL <strong>de</strong> Debian porque esta distribución parchea su propia versión <strong>de</strong> OpenSSL,a su manera. En este caso, elimina una línea cruci<strong>al</strong> <strong>de</strong> código que limita <strong>al</strong> generadora producir sólo 2^18 claves (solamente 262.144), en vez <strong>de</strong> po<strong>de</strong>r elegir claves <strong>de</strong>, porejemplo 2^1.024 posibilida<strong>de</strong>s. La noticia capta la atención <strong>de</strong> los medios. No sólo Debianse ve afectada, sino cu<strong>al</strong>quier distribución que use certificados y claves generadas con elpaquete vulnerable <strong>de</strong>s<strong>de</strong> 2006. Afecta a las comunicaciones SSH que se autentican conclaves asimétricas e incluso certificados SSL <strong>al</strong>ojados en páginas web. Con el tiempo sesabría que el f<strong>al</strong>lo sería aprovechado por atacantes para acce<strong>de</strong>r a sistemas legítimos.__ Después <strong>de</strong> <strong>al</strong>go más <strong>de</strong> un año <strong>de</strong> trabajo entre bamb<strong>al</strong>inas, y bajo el amparo <strong>de</strong> la Unión Europea,comienza su andadura el proyecto WOMBAT (Worldwi<strong>de</strong> Observatory of M<strong>al</strong>icious Behaviorsand Attack Threats), formado por un grupo <strong>de</strong> universida<strong>de</strong>s y empresas internacion<strong>al</strong>es, entre las quese encuentra <strong>Hispasec</strong>.Básicamente, WOMBAT preten<strong>de</strong> recolectar gran<strong>de</strong>s cantida<strong>de</strong>s <strong>de</strong> información sobre elementos258<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
m<strong>al</strong>iciosos que puedan afectar tanto a empresas como a usuarios. Re<strong>al</strong>izado entiempo re<strong>al</strong>, no se preten<strong>de</strong> solamente tener una visión más re<strong>al</strong> <strong>de</strong> lo que re<strong>al</strong>mentesuce<strong>de</strong> en Internet, sino mo<strong>de</strong>lar estos comportamientos en la medida <strong>de</strong> lo posible.En la lista <strong>de</strong> participantes en este proyecto se cuenta con la participación <strong>de</strong> variasuniversida<strong>de</strong>s. La Universidad Técnica <strong>de</strong> Viena y la gente que <strong>de</strong>sarrolló Anubis,también la Universidad <strong>de</strong> Vrije (Ámsterdam), que entre otras cosas aportará su experiencia en diversostipos <strong>de</strong> honeypots. La Politécnica <strong>de</strong> Milán aportará también su conocimiento en estas li<strong>de</strong>s, que incluyeaspectos tan interesantes como las tecnologías IDS. Por parte <strong>de</strong> los CERT, se cuenta con la experiencia<strong>de</strong> NASK (Polonia), y también con la perspectiva <strong>de</strong> los ISPs gracias a la colaboración <strong>de</strong>l <strong>de</strong>partamento <strong>de</strong>I+D <strong>de</strong> France Telecom (Orange). Des<strong>de</strong> <strong>Hispasec</strong> colaboraremos con nuestra experiencia en el mundo <strong>de</strong>lm<strong>al</strong>ware, y con la perspectiva que nos da mantener en funcionamiento VirusTot<strong>al</strong>.__Se <strong>de</strong>tecta una ola <strong>de</strong> troyanos bancarios que tienen como objetivo a los clientes <strong>de</strong> ING DirectEspaña (ingdirect.es). Los troyanos capturan todos los datos necesarios para suplantar la i<strong>de</strong>ntidad<strong>de</strong> los usuarios legítimos, incluyendo la tarjeta <strong>de</strong> coor<strong>de</strong>nadas para po<strong>de</strong>r re<strong>al</strong>izar transferencias <strong>de</strong>s<strong>de</strong>sus cuentas.__Se lanza Firefox 3 con gran éxito (animado por una campaña que preten<strong>de</strong> romper el récord <strong>de</strong> <strong>de</strong>scargadurante las primeras 24 horas <strong>de</strong> disponibilidad). Zero Day Initiative (ZDI) publica el <strong>de</strong>scubrimiento <strong>de</strong>un agujero <strong>de</strong> <strong>seguridad</strong> tan solo 5 horas <strong>de</strong>spués (aunque es bastante más que probable que tuvieranconocimiento <strong>de</strong>l f<strong>al</strong>lo <strong>de</strong>s<strong>de</strong> la aparición <strong>de</strong> las primeras betas, pero hubiesen esperado <strong>al</strong> lanzamientoofici<strong>al</strong> para hacerlo público). Los investigadores <strong>de</strong> ZDI confirman que la vulnerabilidad podría permitirla ejecución <strong>de</strong> código arbitrario <strong>de</strong> forma remota con los permisos <strong>de</strong>l usuario ejecutando la aplicación,aunque el f<strong>al</strong>lo no parece estar siendo explotado.Des<strong>de</strong> el 8 <strong>de</strong> julio se produce uno <strong>de</strong> los episodios más curiosos vividos nunca en la Red.Se publica ese día una actu<strong>al</strong>ización masiva para la mayoría <strong>de</strong> los dispositivos en Internetque utilizan DNS. Se dice que había sido <strong>de</strong>scubierta una vulnerabilidad que permitíaf<strong>al</strong>sificar las respuestas DNS y, por tanto, redireccionar el tráfico. Casi todos los gran<strong>de</strong>s ypequeños fabricantes y programadores actu<strong>al</strong>izan sus sistemas y se intentan mantener los<strong>de</strong>t<strong>al</strong>les técnicos <strong>de</strong> la vulnerabilidad ocultos, por la gravedad y el potenci<strong>al</strong> impacto quepodría suponer. Cisco, Microsoft, BIND... todos publican una nueva versión o actu<strong>al</strong>izansus sistemas para solucionar un misterioso f<strong>al</strong>lo. Con la mínima información disponible, yun poco <strong>de</strong> ingeniería inversa, las especulaciones comienzan a volcarse en Internet. Sesabe que los parches aña<strong>de</strong>n <strong>al</strong>eatoriedad <strong>al</strong> cálculo <strong>de</strong> puertos e i<strong>de</strong>ntificadores. Estees un problema endémico <strong>de</strong>l protocolo DNS y <strong>de</strong>s<strong>de</strong> hace mucho se sabe que no es lamejor solución para asegurarlo. Es por esto que se apuesta <strong>de</strong>s<strong>de</strong> un principio por quela vulnerabilidad <strong>de</strong> Kaminsky se trata en re<strong>al</strong>idad <strong>de</strong> una nueva forma más eficaz <strong>de</strong>engañar a los servidores DNS para que <strong>de</strong>n respuestas f<strong>al</strong>sas, gracias a un f<strong>al</strong>lo inherente<strong>de</strong>l protocolo (y así se confirmaría). Dan Kaminsky es el responsable <strong>de</strong> orquestar la macroactu<strong>al</strong>ización y el que encuentra el gravísimo f<strong>al</strong>lo. Afirma que dará los <strong>de</strong>t<strong>al</strong>les técnicosdurante la conferencia Black Hat en agosto. Pero se le a<strong>de</strong>lantan. Thomas Dullien, el CEO<strong>de</strong> la compañía Zynamics (también conocido como H<strong>al</strong>var Flake), se aventura semanas<strong>de</strong>spués a publicar en su blog su particular visión <strong>de</strong> lo que podía ser el problema <strong>de</strong>scubiertopor Kaminsky, sin tener conocimiento previo <strong>de</strong> los <strong>de</strong>t<strong>al</strong>les. Y no se equivoca en su teoría.Por si fuera poco, sería acci<strong>de</strong>nt<strong>al</strong>mente confirmado <strong>de</strong>s<strong>de</strong> el blog <strong>de</strong> una empresa queconocía a fondo la vulnerabilidad. Fin<strong>al</strong>mente los <strong>de</strong>t<strong>al</strong>les se harían públicos, <strong>de</strong>mostrandoque mantener un grave problema en secreto hasta que exista parche, es factible siempre<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 259
que no se diga que existe. Esto haría que se replanteara lo débil <strong>de</strong> <strong>al</strong>gunos protocolosque sustentan la red y que fueron diseñados en otros tiempos.__ A fin<strong>al</strong>es <strong>de</strong> julio se crea un gran revuelo con la aparición <strong>de</strong> un nuevo troyano que afecta a archivosmultimedia. Este m<strong>al</strong>ware, que muchas casas antivirus <strong>de</strong>nominan GetCo<strong>de</strong>c, emplea una técnica <strong>de</strong>infección que no había sido vista hasta el momento. <strong>Hispasec</strong> publica un amplio estudio técnico <strong>al</strong> respecto.Se propaga encubierto como cracks en páginas <strong>de</strong> warez y cracks. Es tot<strong>al</strong>mente silencioso, lo que induce apensar que tan sólo se trata <strong>de</strong> otro crack corrupto más. Tras su ejecución, el troyano busca todos aquellosarchivos con extensiones .MP2 .MP3 .WMA .WMV .ASF. El formato ASF es un formato propietario <strong>de</strong>Microsoft empleado por Windows Media Player que permite introducir secuencias ejecutables en flujos<strong>de</strong> audio/vi<strong>de</strong>o. El troyano aprovecha esta propiedad para introducir en los archivos multimedia <strong>de</strong> lavíctima una secuencia que solicita la <strong>de</strong>scarga <strong>de</strong> un co<strong>de</strong>c f<strong>al</strong>so <strong>de</strong>s<strong>de</strong> un Sitio Web. Este co<strong>de</strong>c es a suvez otro troyano, aunque la técnica podría emplearse para servir cu<strong>al</strong>quier tipo <strong>de</strong> contenido. Este método<strong>de</strong> infección también funciona con los archivos MPx porque el troyano los convierte primero a formatoASF para <strong>de</strong>spués inyectarles el código m<strong>al</strong>icioso. De forma que un archivo con extensión .MP3 pue<strong>de</strong>estar infectado. El espécimen modifica la configuración <strong>de</strong>l usuario <strong>de</strong> t<strong>al</strong> forma que este nunca llega anotar que sus archivos multimedia han cambiado, sin embargo, todo aquel que no esté infectado e intentereproducirlos sí notará el cambio. Cuando se reproduce un archivo multimedia infectado, en una máquin<strong>al</strong>impia, Windows Media Player <strong>de</strong>spliega una ventana solicitando la <strong>de</strong>scarga <strong>de</strong> un co<strong>de</strong>c f<strong>al</strong>so. Este co<strong>de</strong>cpue<strong>de</strong> ser cu<strong>al</strong>quier otro tipo <strong>de</strong> m<strong>al</strong>ware. Al aceptar la <strong>de</strong>scarga se produce la infección. <strong>Hispasec</strong> creauna herramienta específica para eliminar este troyano.__“Como impresionar a las chicas traspasando la protección <strong>de</strong> memoria con el navegador” .Con ese jocoso título, los investigadores, Alexan<strong>de</strong>r Sotirov y Mark Dowd, muestran a una expectanteaudiencia en las conferencias Black Hat 2008 cómo traspasar las protecciones <strong>de</strong> memoria <strong>de</strong> WindowsVista y ejecutar a través <strong>de</strong>l navegador cu<strong>al</strong>quier tipo <strong>de</strong> código. Consiguen burlar el ASLR y el DEP bajociertas circunstancias. Estas son dos <strong>de</strong> las soluciones introducidas y potenciadas en Microsoft Vista conrespecto a la <strong>seguridad</strong>. Los investigadores se s<strong>al</strong>tan estas barreras.__ A principios <strong>de</strong> septiembre Google lanza (<strong>de</strong>spués <strong>de</strong> muchos rumores) casi por sorpresa(como suele hacer con todo) su nuevo navegador, conocido como Chrome. <strong>Una</strong>semana <strong>de</strong>spués, Internet se inunda <strong>de</strong> comentarios sobre todos los aspectos <strong>de</strong> esta nuevaaplicación y en particular sobre su <strong>seguridad</strong>. Muchos comentarios, exploits, actu<strong>al</strong>izacionesy aclaraciones <strong>de</strong>spués, el gobierno <strong>al</strong>emán <strong>de</strong>saconseja explícitamente el uso <strong>de</strong> estenavegador, más por la acaparación <strong>de</strong> datos person<strong>al</strong>es que pue<strong>de</strong> llegar a re<strong>al</strong>izar Google que por elproblema que el navegador en cuestión <strong>de</strong> <strong>seguridad</strong> pue<strong>de</strong> suponer. Algunas <strong>de</strong> las vulnerabilida<strong>de</strong>sencontradas son serias, la mayoría sin embargo, simples <strong>de</strong>negaciones <strong>de</strong> servicio. El navegador se hacemuy popular durante <strong>al</strong>gunas horas, <strong>al</strong>canzando cotas <strong>de</strong> uso <strong>de</strong> hasta el 7%. Pero rápidamente la modapasa y pocos vuelven a usarlo tras una primera impresión. En re<strong>al</strong>idad el navegador, aunque innovadoren <strong>al</strong>gunos aspectos, carece absolutamente <strong>de</strong> funcion<strong>al</strong>ida<strong>de</strong>s prácticas e imprescindibles con las que yacuentan sus competidores. Google <strong>de</strong>be a<strong>de</strong>más modificar su EULA (End User License Agreement) inici<strong>al</strong>por resultar sorpren<strong>de</strong>ntemente abusiva con los datos person<strong>al</strong>es.__ El 10 <strong>de</strong> septiembre, el Daily Telegraph <strong>al</strong>erta <strong>de</strong> que un grupo <strong>de</strong> atacantes griegos ha <strong>de</strong>sfigurado una<strong>de</strong> las páginas relacionadas con el famoso LHC (Large Hadron Colli<strong>de</strong>r). El experimento cuentaobviamente con una inmensa red <strong>de</strong> sistemas conectados. <strong>Una</strong> <strong>de</strong> las páginas públicas (www.cmsmon.cern.ch), forma parte <strong>de</strong>l CMSMON, que controla el software que utilizan los científicos para an<strong>al</strong>izarlos resultados <strong>de</strong> las colisiones. La i<strong>de</strong>a era usar esta página para que todo el mundo pudiese disfrutar en260<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
directo <strong>de</strong> los resultados obtenidos.Aparece <strong>de</strong>sfigurada y con un mensaje escrito probablemente por ungrupo <strong>de</strong> atacantes <strong>de</strong> poca monta. C<strong>al</strong>ificaban <strong>de</strong> niñatos a los responsables <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> la red, queen última instancia es el CERN (European Organization for Nuclear Research). En la página se ofrecenciertas evi<strong>de</strong>ncias <strong>de</strong> que quizás podrían haber llegado un poco más lejos <strong>de</strong> la simple <strong>de</strong>sfiguración <strong>de</strong> lapágina. <strong>Una</strong> <strong>de</strong> las <strong>de</strong>claraciones <strong>de</strong>l portavoz <strong>de</strong>l CERN, James Gillies, aparecidas en la nota origin<strong>al</strong> <strong>de</strong>lDaily Telegraph es que: “Tenemos diferentes niveles <strong>de</strong> red, una red <strong>de</strong> acceso gener<strong>al</strong> y una mucho másrestringida para las cosas sensibles que hacen funcionar el LHC” pero esta afirmación lógica es omitidaen otros medios en favor <strong>de</strong>l sensacion<strong>al</strong>ismo. No se sabe bien cómo, es bastante más que posible quehayan podido entrar en la zona <strong>de</strong> acceso gener<strong>al</strong>, los vectores <strong>de</strong> ataque son muchos. Sin embargo, eses<strong>al</strong>to a la red verda<strong>de</strong>ramente sensible, por mucho que fanfarroneen los atacantes, habría sido mucho máscomplejo.__Un atacante acce<strong>de</strong> <strong>al</strong> correo person<strong>al</strong> <strong>de</strong> Sarah P<strong>al</strong>in, la candidata a vicepresi<strong>de</strong>nta en EstadosUnidos con el republicano John McCain. Se da a conocer su email person<strong>al</strong>, <strong>al</strong>ojado en el servicio <strong>de</strong>correo público <strong>de</strong> Yahoo! y usado a<strong>de</strong>más para cuestiones gubernament<strong>al</strong>es. A un t<strong>al</strong> “Rubico” le cuestaapenas una hora cambiar la contraseña <strong>de</strong>l correo <strong>de</strong> Sarah. Se hacen públicas conversaciones y fotografíasperson<strong>al</strong>es. El método es c<strong>al</strong>ificado por las agencias <strong>de</strong> noticias como “un magistr<strong>al</strong> ataque cirbenético”. Laverdad es que simplemente se usa el servicio <strong>de</strong> recuperación <strong>de</strong> contraseña, la Wikipedia y Google paraacertar la pregunta secreta y po<strong>de</strong>r acce<strong>de</strong>r a los emails. Esto ya le ocurrió a Paris Hilton en febrero <strong>de</strong>2005.__En agosto, durante la Black Hat, se habla <strong>de</strong> nuevo <strong>de</strong> la mayor vulnerabilidad <strong>de</strong> Internet <strong>al</strong><strong>de</strong>mostrar dos investigadores una nueva técnica que permite interceptar el tráfico <strong>de</strong> Internet a una esc<strong>al</strong>aglob<strong>al</strong>. Tony Kapela y Alex Pilosov <strong>de</strong>muestran por fin <strong>de</strong> forma empírica un problema que se presuponíateórico hasta ahora. Cu<strong>al</strong>quiera con un router BGP podría <strong>de</strong>sviar el tráfico <strong>de</strong> cu<strong>al</strong>quier gran nodo y<strong>de</strong>volverlo <strong>de</strong> forma transparente. Se trata <strong>de</strong> nuevo <strong>de</strong> un f<strong>al</strong>lo <strong>de</strong> diseño en el protocolo BGP (Bor<strong>de</strong>rGateway Protocol) que permitiría interceptar e incluso modificar todo el tráfico <strong>de</strong> Internet no cifrado.BGP es un protocolo que se utiliza para intercambiar tablas <strong>de</strong> enrutamiento entre sistemas autónomos(AS). El problema es que nunca se ha llegado a i<strong>de</strong>ar un sistema que re<strong>al</strong>mente autentique a ambas partes,y los routers estén así seguros <strong>de</strong> que la información recibida <strong>de</strong>s<strong>de</strong> un AS es legítima y viene <strong>de</strong>l sitioa<strong>de</strong>cuado.__Se <strong>de</strong>tecta en Europa un tímido intento <strong>de</strong> revivir los virus <strong>de</strong> macro, a través <strong>de</strong> un documento enMicrosoft Word que está siendo enviado a través <strong>de</strong> spam. El virus no representa ninguna evolución <strong>de</strong>lconcepto y no se le espera repercusión <strong>al</strong>guna, pero supone un renovado y discreto interés por este tipo <strong>de</strong>m<strong>al</strong>ware, prácticamente extinto <strong>de</strong>s<strong>de</strong> fin<strong>al</strong>es <strong>de</strong> los 90.__Por tercera vez en el año, se habla <strong>de</strong> la mayor vulnerabilidad encontrada en la Red. La compañíasueca Outpost24 dice que <strong>de</strong>scubrió en el 2005 (aunque lo saca a la luz 3 años <strong>de</strong>spués, posiblementeanimada por los acontecimientos vividos este año con el DNS) varias vulnerabilida<strong>de</strong>s <strong>de</strong> base en elmismísimo protocolo TCP/IP que podrían permitir la caída <strong>de</strong> cu<strong>al</strong>quier aparato con comunicación enla Red. Es la llamada “<strong>de</strong>negación <strong>de</strong> servicio <strong>de</strong> bajo ancho <strong>de</strong> banda”. Aunque no se conocen los <strong>de</strong>t<strong>al</strong>les,todo son conjeturas. Se pue<strong>de</strong> tratar <strong>de</strong> una nueva forma <strong>de</strong> aprovechar una vieja <strong>de</strong>bilidad conocida <strong>de</strong>lTCP/IP. La <strong>de</strong>negación <strong>de</strong> servicio pue<strong>de</strong> ser <strong>de</strong> muchos tipos. Lo norm<strong>al</strong> es que permanezcan caídosmientras dure el ataque (como ocurre con un DDoS, por ejemplo), pero se han dado casos en que se agotansus recursos y se necesita un reinicio con una mínima cantidad <strong>de</strong> tráfico. Por si fuera poco dicen noconocer una implementación <strong>de</strong> la pila que no sea vulnerable. Se reabre con fuerza el <strong>de</strong>bate sobre el uso<strong>de</strong> protocolos diseñados hace décadas en la Internet <strong>de</strong> hoy.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 261
__Las re<strong>de</strong>s soci<strong>al</strong>es están <strong>de</strong> moda. Por ello, FaceBook y Myspace se convierten involuntariamente engran<strong>de</strong>s distribuidoras <strong>de</strong> m<strong>al</strong>ware. Los atacantes crean cuentas f<strong>al</strong>sas don<strong>de</strong> <strong>al</strong>ojan ví<strong>de</strong>os y enlaces am<strong>al</strong>ware, que envían a las víctimas como si se tratasen <strong>de</strong> amigos que quieren contactar con ellos.__ En septiembre, junto <strong>al</strong> grupo 48bits.com, <strong>Hispasec</strong>organiza por primera vez LaCon, una serie <strong>de</strong>conferencias para un grupo muy reducido <strong>de</strong> asistentesque <strong>al</strong>canzan un <strong>al</strong>tísimo nivel técnico. Durante las dosjornadas, ponentes expertos <strong>de</strong> toda España <strong>de</strong>svelaninconfesables secretos <strong>de</strong> <strong>seguridad</strong>, vulnerabilida<strong>de</strong>s,ingeniería reversa sobre móviles, herramientas... porlas mañanas y las noches, aprovechan para conocer lasplayas y los bares m<strong>al</strong>agueños.__ A mediados <strong>de</strong> 2008, la configuración estándar <strong>de</strong> un sistema pue<strong>de</strong> ser:Microprocesador Intel Core 2 Duo con 3 MB <strong>de</strong> caché L2 por core, 1.333 Mhz FSB (Front Si<strong>de</strong> Bus), y consoporte hardware para virtu<strong>al</strong>izacion.2 GB <strong>de</strong> RAM DDR2; Disco duro <strong>de</strong> 320 GB; Tarjeta <strong>de</strong> sonido y red integrada en placa madre; Tarjetagráfica Ati Ra<strong>de</strong>on HD3850; Lector multi-tarjetas; Regrabadora <strong>de</strong> DVD; Monitor TFT <strong>de</strong> 19”Y pagar 400 euros por ella. Por menos <strong>de</strong> 200 euros más, se podría tener un Quad (cuatro núcleos). Porunos 30 euros más, 4 GB <strong>de</strong> RAM, por 60 euros más 500 GB <strong>de</strong> disco duro. <strong>Una</strong> grabadora <strong>de</strong> Blue Rayencarece en 150 euros el sistema. Si se quiere equipar <strong>al</strong> or<strong>de</strong>nador con un disco duro externo <strong>de</strong> 750GB, podría costar 100 euros. Un monitor <strong>de</strong> 21 pulgadas solo cuesta 30 euros más. También se pue<strong>de</strong>ncomprar sistemas <strong>de</strong> gama baja, sin monitor, por 250 euros.Esta misma configuración en un portátil, llega a los 700 euros. <strong>Una</strong> cámara fotográfica digit<strong>al</strong> <strong>de</strong> 5megapíxeles y con una tarjeta <strong>de</strong> 2 GB <strong>de</strong> memoria, que permite grabación ilimitada <strong>de</strong> ví<strong>de</strong>o, cuestamenos <strong>de</strong> 100 euros.__En octubre, Sun Microsystem, creador <strong>de</strong>l Java Runtime Environment (JRE) promete que por fineliminará las versiones antiguas <strong>de</strong>l JRE que quedan en el sistema cuando se actu<strong>al</strong>iza. EnJRE6 Update 10 se incluye una funcion<strong>al</strong>idad (patch-in-place) que hace que se elimine a sí misma (perono <strong>al</strong> resto anterior versiones <strong>de</strong> JRE que puedan estar inst<strong>al</strong>adas en el sistema) cuando aparece el Update11.__ El 5 <strong>de</strong> noviembre Adobe publica (entre otros boletines <strong>de</strong> <strong>seguridad</strong> para otros productos) unaactu<strong>al</strong>ización para Adobe y Adobe Rea<strong>de</strong>r 8 que soluciona varias vulnerabilida<strong>de</strong>s quepermitían la ejecución <strong>de</strong> código. Uno <strong>de</strong> los f<strong>al</strong>los más graves se da en la función JavaScript “util.printf”,provocado por un error <strong>al</strong> procesar ca<strong>de</strong>nas <strong>de</strong> formato. Adobe es advertida <strong>de</strong>l problema en abril <strong>de</strong>2008. Foxit Rea<strong>de</strong>r, otro popular lector <strong>de</strong> PDF, también sufre una vulnerabilidad muy parecida. Foxitlo soluciona un mes <strong>de</strong>spués, en abril, mientras que Adobe publica a principios <strong>de</strong> noviembre el parche.Poco <strong>de</strong>spués aparece información pública con los datos técnicos <strong>de</strong> la vulnerabilidad y comienza a seraprovechada por atacantes para inst<strong>al</strong>ar m<strong>al</strong>ware.262<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
__Los investigadores <strong>al</strong>emanes Erik Tews y Martin Beck dicen haber conseguido s<strong>al</strong>tarse parci<strong>al</strong>mentela <strong>seguridad</strong> que proporciona WPA (Wi-Fi Protected Access) en las re<strong>de</strong>s in<strong>al</strong>ámbricas. WPA sustituye<strong>al</strong> inseguro WEP (Wired Equiv<strong>al</strong>ent Privacy), que fue vencido pocos años <strong>de</strong>spués <strong>de</strong> su estandarización yque hoy en día es un cifrado obsoleto. Este <strong>de</strong>scubrimiento induce a muchos a usar por fin el WPA2 (WPAcon AES, en vez <strong>de</strong> con TKIP). El método <strong>de</strong>scubierto no permite recuperar la contraseña y tampoco influyeel método <strong>de</strong> autenticación. El problema está en el cifrado. Aunque el ataque está limitado a <strong>de</strong>scifrarpaquetes concretos o inyectar nuevos (y sólo una pequeña cantidad), sirve como <strong>al</strong>arma para migrar <strong>al</strong>otro estándar más seguro.El ataque sólo funciona si se utiliza el cifrado TKIP, no el AES y requiere <strong>de</strong> unos 15 minutos para po<strong>de</strong>rinyectar <strong>al</strong>gún paquete ARP. Un año <strong>de</strong>spués se publicaría otro estudio basado en este ataque en el que seexplica que este tiempo se podría reducir a un minuto.__Microsoft introduce en sus boletines un nuevo v<strong>al</strong>or llamado índice <strong>de</strong> explotabilidad (exploitabilityin<strong>de</strong>x) que indica las posibilida<strong>de</strong>s <strong>de</strong> que se cree un exploit para cada vulnerabilidad. A<strong>de</strong>más, continúaactivando el mayor número <strong>de</strong> killbits posibles para evitar ataques a través <strong>de</strong> ActiveX vulnerables.__La Fundación Mozilla advierte que la rama 2 <strong>de</strong> Firefox acababa con la versión 2.0.0.19. Esta serí<strong>al</strong>a última en la que se solventarían vulnerabilida<strong>de</strong>s. Sin embargo en diciembre se ve obligada a lanzarurgentemente la versión 2.0.0.20 que corrige uno <strong>de</strong> los f<strong>al</strong>los que se suponían solucionados en la2.0.0.19 para Windows. Al parecer, durante el proceso <strong>de</strong> empaquetamiento y firma <strong>de</strong> la versión paraWindows, olvidaron incluir una <strong>de</strong> las correcciones.__Nuestro compañero Michael disputa y gana la fin<strong>al</strong> <strong>de</strong>l Security Days en su sexta edición, repitiendoel mismo resultado que el año anterior.__La revista Re@ Seguridad, nos otorga en los Trofeos <strong>de</strong> la Seguridad TIC 2008, el “Trofeoextaordinario <strong>de</strong>l Jurado”, sin ni siquiera habernos presentado a esta candidatura. Según se pue<strong>de</strong>leer en la nota <strong>de</strong> prensa: “Tras un mo<strong>de</strong>rado <strong>de</strong>bate sobre las propuestas que este año han puesto sobrela mesa los miembros <strong>de</strong>l CTA, para distinguir a la persona, entidad o colectivo <strong>de</strong>l sector <strong>de</strong> la <strong>seguridad</strong>TIC por sus v<strong>al</strong>ores humanos, acciones meritorias o labor extraordinaria en pro <strong>de</strong>l <strong>de</strong>sarrollo y difusión<strong>de</strong> la cultura <strong>de</strong> la Seguridad TIC, el jurado <strong>de</strong>cidió homenajear con el “Trofeo Extraordinario <strong>de</strong>l Jurado”a la empresa española <strong>Hispasec</strong> Sistemas. La mención a esta firma, que comenzó su actividad profesion<strong>al</strong>en 1998, se <strong>de</strong>be a su carácter <strong>de</strong> servicio público y gratuito para la comunidad y su propósito <strong>de</strong> divulgary concienciar a los usuarios <strong>de</strong> la importancia <strong>de</strong> la <strong>seguridad</strong> en las TI; por su carácter pionero y suextensión a Latinoamérica.”__Un día antes <strong>de</strong>l segundo martes <strong>de</strong>l mes <strong>de</strong> diciembre un mensaje en un foro chino hace pública unavulnerabilidad en Internet Explorer 7 para la que no existe parche ofici<strong>al</strong>, no necesita interacciónpor parte <strong>de</strong>l usuario y permite, si consigue explotar el f<strong>al</strong>lo, ejecutar código arbitrario con los permisos<strong>de</strong>l usuario. Microsoft lo soluciona con un boletín fuera <strong>de</strong> su ciclo habitu<strong>al</strong> diez días <strong>de</strong>spués.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 263
<strong>Una</strong> <strong>al</strong> día17/01/2008 Un año <strong>de</strong> Storm WormEl 19 <strong>de</strong> enero <strong>de</strong> 2008 se cumple un año <strong>de</strong>l primer ‘avistamiento’ <strong>de</strong> Storm Worm. Hoy en día es una<strong>de</strong> las epi<strong>de</strong>mias más extendidas, y cumple un año con un índice aceptable <strong>de</strong> infección que sin duda lepermitirá permanecer aferrado a los primeros puestos durante bastante semanas más. Muchos lo llamanStorm, otros Peacomm o Nuwar. Es difícil seguirle el juego. Se dice que el primer Storm Worm fue vistopor primera vez en Helsinki el 19 <strong>de</strong> enero <strong>de</strong> 2007. Des<strong>de</strong> entonces, se ha posicionado como una insistenteepi<strong>de</strong>mia <strong>de</strong> nuestro tiempo y siempre ha resultado bastante mediático.Storm Worm comenzó como un ejemplo <strong>de</strong> libro en cuestión <strong>de</strong> métodos <strong>de</strong> infección. Un archivo ejecutableadjunto a un correo que prometía un ví<strong>de</strong>o sobre las tormentas que sufría Europa en aquel momento.Sin embargo, una vez conseguida una base sustanci<strong>al</strong> <strong>de</strong> víctimas e infectados, estos mismos sistemastroyanizados comenzaron una campaña <strong>de</strong> expansión a través <strong>de</strong> spam que todavía inunda las casillas <strong>de</strong>correos.Luego ha mejorado con distintas campañas. Cada cierto tiempo, cambia el método <strong>de</strong> infección. Des<strong>de</strong> eladjunto hasta la invitación a visitar páginas web que no solo pretendía que la víctima <strong>de</strong>scargase el troyano,sino que intentaba aprovechar vulnerabilida<strong>de</strong>s <strong>de</strong> todos los navegadores para conseguir la ejecución.Otro <strong>de</strong> los puntos fuertes <strong>de</strong> este virus ha sido su capacidad <strong>de</strong> poliformismo en servidor. El archivo que<strong>de</strong>scargaban las víctimas podía mutar hasta varias veces por minuto, <strong>de</strong>tectándose liter<strong>al</strong>mente <strong>de</strong>cenas<strong>de</strong> pequeñas y gran<strong>de</strong>s variaciones por día <strong>al</strong>ojadas en servidores.Las campañas con la que Storm ha enviado correos basura para incitar a la infección han sido <strong>de</strong> lo másvariopintas... <strong>de</strong>s<strong>de</strong> invitaciones a la <strong>de</strong>scarga <strong>de</strong> juegos, pasando por premios <strong>de</strong> la lotería, cirugía barata,contraseñas para port<strong>al</strong>es especi<strong>al</strong>es... y, la última, invitaciones <strong>de</strong> amor para el día <strong>de</strong> San V<strong>al</strong>entín.Hace tiempo que no se recordaba una epi<strong>de</strong>mia tan dura<strong>de</strong>ra. Si bien no se percibe igu<strong>al</strong> que en los tiempos<strong>de</strong>l Klez (un año en el “top ten” una proeza para ser el año 2003), Co<strong>de</strong> Red, Nimda, MyDoom.... SoloNetSky, en especi<strong>al</strong> su variante NetSky.P, pue<strong>de</strong> <strong>de</strong>cirse que vaya a la zaga. Descubierto en marzo <strong>de</strong> 2004,no es raro encontrar sistemas infectados con esta variante todavía.Y no es solo que Storm Worm mute con nuevas versiones, sino que se ha convertido en un complejo sistemamulti-modular que se sirve <strong>de</strong> cientos <strong>de</strong> servidores comprometidos o no, una capacidad <strong>de</strong> mutaciónendiablada, y una modularidad que permite que sus funcion<strong>al</strong>ida<strong>de</strong>s cambien continua y radic<strong>al</strong>mente. Portanto Storm Worm no se podría clasificar como un troyano sino como un complejo sistema perfectamenteorquestado, cambiante y eficaz. Muy <strong>al</strong> estilo m<strong>al</strong>ware 2.0.Existen otras familias, como los Sinow<strong>al</strong> o Zlob, que <strong>de</strong> forma mucho más silenciosa, llevan tambiénpresentes en Internet <strong>de</strong>s<strong>de</strong> hace muchos meses, aunque no <strong>de</strong> manera tan notoria. De hecho, el ratio <strong>de</strong><strong>de</strong>tección en VirusTot<strong>al</strong> <strong>de</strong> este tipo <strong>de</strong> familia (Sinow<strong>al</strong>) suele ser <strong>de</strong>l 25%.Sergio <strong>de</strong> los Santos264<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
01/04/2008 Mitos y leyendas: Las contraseñas en Windows I (Tipos <strong>de</strong> ataques)Vamos a escribir <strong>al</strong>gunos textos más o menos técnicos sobre las contraseñas en Windows. Existendiferentes mitos y leyendas que pensamos no han sido explicados <strong>de</strong> forma directa (y sin aspavientos) enla mayoría <strong>de</strong> la literatura que hemos leído <strong>al</strong> respecto. Publicaremos <strong>de</strong> sencilla, una serie <strong>de</strong> artículosaclarando <strong>de</strong>t<strong>al</strong>les que consi<strong>de</strong>ramos interesantes sobre las contraseñas loc<strong>al</strong>es en Windows, sus puntosfuertes y débiles.Cuando nos presentamos en una máquina Windows, la contraseña que proporcionamos <strong>de</strong>be estar<strong>al</strong>macenada en <strong>al</strong>gún lugar para que el sistema operativo la reconozca y bien nos <strong>de</strong>je pasar, bien rechaceel acceso. Almacenar la contraseña y compararla sin más con la que proporciona el usuario, sería una muym<strong>al</strong>a política <strong>de</strong> <strong>seguridad</strong>. Cu<strong>al</strong>quiera con acceso <strong>al</strong> disco duro podría robar la contraseña en texto plano.Lo que se <strong>al</strong>macena en re<strong>al</strong>idad es el resultado <strong>de</strong> aplicar un <strong>al</strong>goritmo a la clave introducida. Esto dacomo resultado una “firma” (o tradicion<strong>al</strong>mente llamado “hash”), un v<strong>al</strong>or que en teoría sólo es producidopor una contraseña en concreto. Son firmas lo que siempre se comparará entre sí, nunca contraseñas. EnWindows, ese hash se encuentra físicamente en el archivo <strong>de</strong> nombre SAM (Security Account Manager)para contraseñas loc<strong>al</strong>es y en el archivo ntds.dit <strong>de</strong>l controlador <strong>de</strong> dominio para los usuarios que sev<strong>al</strong>idan contra controladores <strong>de</strong> dominio. Nos centraremos en las contraseñas loc<strong>al</strong>es.Para c<strong>al</strong>cular los hashes que se <strong>al</strong>macenan en la SAM, Windows XP y anteriores utilizan por <strong>de</strong>fecto dos<strong>al</strong>goritmos para cifrar cada clave: LM (por compatibilidad hacia atrás) y NTLM, más avanzado y estándar.Vista usa (por fin) sólo NTLM y no c<strong>al</strong>cula ni <strong>al</strong>macena el inseguro LM por <strong>de</strong>fecto. Un atacante necesitaríatener acceso a estos hashes (uno, otro, o los dos) para intentar c<strong>al</strong>cular a partir <strong>de</strong> ellos las contraseñas entexto claro (aplicándoles fuerza bruta, o métodos más sofisticados como las tablas rainbow).Windows no aña<strong>de</strong> ‘s<strong>al</strong>’ a las contraseñasUno <strong>de</strong> los problemas históricos <strong>de</strong>l <strong>al</strong>macenamiento <strong>de</strong> claves en Windows es que no ‘s<strong>al</strong>tea’ las contraseñas.No aña<strong>de</strong>, como UNIX por ejemplo, un trozo <strong>al</strong>eatorio <strong>de</strong> caracteres a la hora <strong>de</strong> c<strong>al</strong>cular el hash. Con estose evitaría que una misma contraseña <strong>de</strong> dos usuarios distintos, produjese una misma firma. Esto suponeun problema <strong>de</strong> <strong>seguridad</strong>, porque si un atacante <strong>de</strong> Windows tiene acceso a estos hashes y dos son igu<strong>al</strong>es,pue<strong>de</strong> tener la certeza <strong>de</strong> que esos dos usuarios tienen la misma contraseña, incluso si no sabe cuál.Tipos <strong>de</strong> ataqueExisten básicamente dos métodos con los que obtener estos hashes. Uno es “offline” y tiene como barrera(evitable) una funcion<strong>al</strong>idad <strong>de</strong> Windows <strong>de</strong> la que hablaremos en el futuro. Otra es “online” y muestra loshashes t<strong>al</strong> cu<strong>al</strong>.Volcado <strong>de</strong> los hashes “online”<strong>Una</strong> forma <strong>de</strong> obtener los hashes <strong>de</strong> las contraseñas es conectarse <strong>al</strong> proceso LSASS (Loc<strong>al</strong> SecurityAuthority Subsystem) como administrador (o <strong>al</strong>guien con permisos equiv<strong>al</strong>entes) y volcarlos. LSASS es elproceso que autoriza y maneja todo el tinglado <strong>de</strong> las contraseñas introducidas en Windows. Mantiene unacopia en memoria <strong>de</strong> estas firmas contra las que compara y v<strong>al</strong>ida para ofrecer el token <strong>de</strong> cre<strong>de</strong>nci<strong>al</strong>escorrespondiente. Conectarse a este proceso y volcar los hashes “en vivo” en memoria no es complicadogracias a programas como pwdump, que en sus distintas versiones, permite engancharse <strong>al</strong> proceso ymostrar los hashes <strong>de</strong> todos los usuarios loc<strong>al</strong>es <strong>de</strong>l sistema.Este método mostrará en claro el hash LM y NTLM con el que Microsoft compara todas las contraseñas<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 265
que le introducimos y ahora sí se podrá re<strong>al</strong>izar un sencillo ataque <strong>de</strong> fuerza bruta contra ellos.Volcado <strong>de</strong> los hashes “offline”Si no se tiene acceso <strong>al</strong> proceso en memoria, bien porque el sistema esté apagado, bien porque no sedisfruten <strong>de</strong> los permisos necesarios, existen otros métodos. Como hemos dicho <strong>al</strong> principio, un lugarespeci<strong>al</strong>mente <strong>de</strong>licado en Windows (equiv<strong>al</strong>ente <strong>al</strong> etc/passwd <strong>de</strong> los sistemas basados en UNIX) se ubicaen %systemroot%\system32\config\sam. En todo momento el archivo está manejado y bloqueado por elproceso <strong>de</strong> sistema por lo que no pue<strong>de</strong> ser movido, copiado o accedido mientras el or<strong>de</strong>nador esté enmarcha, ni siquiera por el administrador.Esto no impi<strong>de</strong> re<strong>al</strong>mente que <strong>al</strong>guien pueda hacerse con el archivo. Existen muchas maneras <strong>de</strong> llegar aese fichero sin pasar por Windows. Arrancar en un sistema Linux <strong>al</strong>ojado en otra partición, o cu<strong>al</strong>quierotra forma <strong>de</strong> montar particiones NTFS... (Live Cds, por ejemplo). Otros métodos consisten en buscarotros archivos SAM diseminados por el disco duro. Microsoft guarda una copia <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>l archivoen varios directorios, como por ejemplo en %systemroot%\repair cuando el sistema es inst<strong>al</strong>ado. En estedirectorio se encontrará un archivo SAM <strong>de</strong> menor peso que “el ofici<strong>al</strong>” y con fecha <strong>de</strong> inst<strong>al</strong>ación <strong>de</strong>lsistema. Esta SAM “<strong>de</strong> repuesto” no se modificará y contendrá la primera contraseña que se le indicó aWindows, aunque el usuario haya modificado la clave <strong>de</strong> administrador posteriormente. Este archivo noestá tomado por ningún proceso, se pue<strong>de</strong> leer por cu<strong>al</strong>quiera, por tanto es necesario vigilar especi<strong>al</strong>mentelos permisos NTFS para controlar su acceso.También pue<strong>de</strong> existir una copia <strong>de</strong> la SAM en %systemroot%\winnt\system32\config\sam.bak, quetampoco se encuentra bloqueada por ningún proceso. Por último, si el administrador ha re<strong>al</strong>izado copias<strong>de</strong> <strong>seguridad</strong>, es posible encontrar comprimido un %systemroot%\windows\repair\sam._ que se pue<strong>de</strong>expandir con el comando <strong>de</strong> Microsoft “expand”.<strong>Una</strong> vez que se ha tenido acceso <strong>al</strong> archivo en cuestión, sea con el método que sea, se pue<strong>de</strong> “volcar” suinterior con herramientas como samdump, disponible <strong>de</strong> forma gratuita <strong>de</strong>s<strong>de</strong> hace años. En teoría, <strong>al</strong>volcar este archivo <strong>de</strong>beríamos obtener los hashes LM y NTLM <strong>de</strong> las contraseñas. Pero esto no es así. Apartir <strong>de</strong> Windows 2000, Microsoft utiliza por <strong>de</strong>fecto el sistema adicion<strong>al</strong> <strong>de</strong> cifrado Syskey. Samdumpvolcará una versión a su vez cifrada <strong>de</strong> los verda<strong>de</strong>ros <strong>al</strong>goritmos <strong>de</strong> cifrado <strong>de</strong> Microsoft LM y NTLM.Con Syskey como medida adicion<strong>al</strong> <strong>de</strong> <strong>seguridad</strong> sobre el sistema que <strong>al</strong>macena las contraseñas, Microsoftintrodujo una capa más <strong>de</strong> <strong>seguridad</strong>, un cifrado <strong>de</strong> la SAM que dificulta (no <strong>de</strong>masiado si no se utilizabien) los ataques “offline” <strong>de</strong> fuerza bruta o diccionario sobre este archivo. Syskey estaba <strong>de</strong>stinado aevitar estos ataques (pues cifra sobre cifrado) pero en la práctica, ni Syskey ni los cifrados LM/NTLM hanaportado re<strong>al</strong>mente <strong>seguridad</strong> adicion<strong>al</strong>. Se sigue <strong>de</strong>pendiendo <strong>de</strong> la fort<strong>al</strong>eza <strong>de</strong> la contraseña que elijael usuario.¿Por qué el Syskey no suele aportar re<strong>al</strong>mente <strong>seguridad</strong>? ¿Cómo funcionan re<strong>al</strong>mente los hashes LM/NTLM? Lo estudiaremos en profundidad en un próximo artículo.Sergio <strong>de</strong> los Santos23/04/2008 ¿PayP<strong>al</strong> bloqueará a los navegadores “inseguros”?Se ha escrito mucho sobre esta medida <strong>de</strong>cidida por PayP<strong>al</strong>, sin duda, un peso pesado en Internet y cuyos266<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
movimientos se siguen con lupa. Como suele ocurrir en estos casos, la noticia ha sido en parte confundiday <strong>al</strong> parecer la mayoría <strong>de</strong> los medios no han sabido transmitir re<strong>al</strong>mente la i<strong>de</strong>a <strong>de</strong> PayP<strong>al</strong>. Como <strong>de</strong>costumbre, los medios gener<strong>al</strong>istas han terminado aprovechando para señ<strong>al</strong>ar con el <strong>de</strong>do a los <strong>de</strong> siempre,con el mensaje <strong>de</strong> siempre, y olvidando re<strong>al</strong>mente cuál es el objetivo <strong>de</strong> la compañía.PayP<strong>al</strong> es el sistema <strong>de</strong> pago lí<strong>de</strong>r en Internet. Permite ingresar o recibir dinero en cuentas particulareso ajenas con sólo conocer la dirección <strong>de</strong> correo <strong>de</strong> un usuario <strong>de</strong> PayP<strong>al</strong>. PayP<strong>al</strong> es la compañía, juntocon eBay, que más ataques phishing sufre cada día. Las contraseñas robadas <strong>de</strong> usuarios se cuentan por<strong>de</strong>cenas cada hora. Como medida para p<strong>al</strong>iar este problema, la compañía ha anunciado que bloqueará a los‘navegadores inseguros’ y aquí parece que comienza la confusión. Es importante <strong>de</strong>stacar que la medida<strong>de</strong> PayP<strong>al</strong> está <strong>de</strong>stinada a p<strong>al</strong>iar el phishing, y sus ‘navegadores inseguros’ se mueven exclusivamente eneste contexto <strong>de</strong>l frau<strong>de</strong> online, y no en ningún otro don<strong>de</strong> tengan que ver los problemas <strong>de</strong> <strong>seguridad</strong> olas vulnerabilida<strong>de</strong>s.¿Qué es entonces un navegador inseguro para PayP<strong>al</strong>? La respuesta no tiene nada que ver convulnerabilida<strong>de</strong>s, problemas <strong>de</strong> <strong>seguridad</strong> o nada parecido, aunque muchos han querido llevar la noticia aeste campo. Por un lado, PayP<strong>al</strong> consi<strong>de</strong>ra inseguros a los navegadores antiguos que han <strong>de</strong>jado <strong>de</strong> tenersoporte y que no incorporan tecnología antiphishing (<strong>de</strong>sarrollada en los últimos años). Como simpleejemplo, menciona que todavía es visitada por usuarios que utilizan Internet Explorer 4, y que a estos noles permitirá el acceso. Navegar con Internet Explorer 4 o cu<strong>al</strong>quier otro navegador que no recibe soporteni actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong> <strong>de</strong>s<strong>de</strong> hace años es un completo suicido tecnológico para el sistema quelo utilice. Probablemente, que un usuario <strong>de</strong> IE 4 pique en un phishing <strong>de</strong> PayP<strong>al</strong> o no, es el menor <strong>de</strong> susproblemas.PayP<strong>al</strong> utiliza una an<strong>al</strong>ogía para explicar lo que preten<strong>de</strong>: “Dejar que los usuarios <strong>de</strong> estos navegadoresvisiten la página <strong>de</strong> PayP<strong>al</strong> es como permitir a una factoría <strong>de</strong> coches que los fabrique sin cinturón <strong>de</strong><strong>seguridad</strong>”. Al parecer PayP<strong>al</strong> avisará durante un tiempo a sus visitantes si <strong>de</strong>tectan estos navegadores, yluego los bloqueará.¿Qué otro parámetro utiliza PayP<strong>al</strong> para c<strong>al</strong>ificar <strong>de</strong> inseguro a navegador? Pues que no utilice latecnología Exten<strong>de</strong>d V<strong>al</strong>idation SSL. PayP<strong>al</strong> ha invertido en estos nuevos certificados SSL (que no sonbaratos) y obviamente quiere sacarles provecho. Exten<strong>de</strong>d V<strong>al</strong>idation SSL es una buena i<strong>de</strong>a. Explicado<strong>de</strong> forma sencilla, los certificados que cumplan el Exten<strong>de</strong>d V<strong>al</strong>idation SSL autentican <strong>al</strong> servidor (comolos certificados tradicion<strong>al</strong>es), pero a efectos prácticos permiten que el navegador que visita la página quetiene estos certificados, muestre <strong>de</strong> forma mucho más clara que la página es efectivamente la que se quierevisitar. Sería como si el navegador hiciera por nosotros la operación <strong>de</strong> pulsar sobre el candado cuando nosconectamos por SSL a una página, y verificara la ruta <strong>de</strong> certificación, el domino válido... todo <strong>de</strong> formaautomática y visu<strong>al</strong>. Si el servidor es seguro, se muestra en la barra <strong>de</strong> direcciones un color ver<strong>de</strong>. Unusuario pue<strong>de</strong> así <strong>de</strong> un solo vistazo dar por seguro que el servidor <strong>al</strong> que se está conectando es el correcto,y que no se está usando un certificado válido, pero f<strong>al</strong>so.Por ahora, sólo Internet Explorer 7 soporta <strong>de</strong> serie la correcta interpretación <strong>de</strong> certificados EV SSL.Firefox 2 necesita un plugin y Opera ha dicho que lo implementará. Safari no se ha pronunciado. Quizás,con el tiempo, PayP<strong>al</strong> obligue a los usuarios a utilizar un navegador que soporte EV SSL, pero para entonces(<strong>de</strong>ntro <strong>de</strong> años) probablemente sea <strong>al</strong>go que todos los programas implementen <strong>de</strong> serie.La noticia por tanto, no es tan catastrófica, aunque sí marcará ten<strong>de</strong>ncias. Lo que todavía no se sabere<strong>al</strong>mente, es si esta medida ayudará a p<strong>al</strong>iar el phishing que sufre PayP<strong>al</strong>. A tenor <strong>de</strong>l éxito <strong>de</strong>l que todavíagoza el phishing tradicion<strong>al</strong>, los usuarios han <strong>de</strong>mostrado que no se fijan re<strong>al</strong>mente en los dominios, ni en<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 267
la autenticación SSL a la hora <strong>de</strong> introducir sus cre<strong>de</strong>nci<strong>al</strong>es en cu<strong>al</strong>quier página que se lo solicite.Sergio <strong>de</strong> los Santos16/05/2008 Preguntas frecuentes sobre el problema critptográfico <strong>de</strong> DebianEl problema encontrado en OpenSSL <strong>de</strong> Debian pue<strong>de</strong> ser consi<strong>de</strong>rado, lamentablemente, un verda<strong>de</strong>roacontecimiento criptográfico. La criptografía es una ciencia compleja, y con el ánimo <strong>de</strong> aclarar las gravesy extensas consecuencias <strong>de</strong>l f<strong>al</strong>lo, hemos redactado una serie <strong>de</strong> preguntas frecuentas para intentar, auntratándose <strong>de</strong> un tema tan complejo, arrojar <strong>al</strong>go <strong>de</strong> luz.¿Qué ha pasado exactamente?Alguien (por error) <strong>de</strong>l equipo <strong>de</strong> Debian eliminó una línea <strong>de</strong> código en el paquete OpenSSL <strong>de</strong> Debian queayudaba a generar la entropía <strong>al</strong> c<strong>al</strong>cular el par <strong>de</strong> claves pública y privada. Las claves sólo se c<strong>al</strong>culabantomando como semilla el PID <strong>de</strong>l proceso. Al estar limitado a 32.768 semillas (tantos como PIDs <strong>de</strong>proceso son posibles) para la generación <strong>de</strong> números seudo<strong>al</strong>eatorios, el número <strong>de</strong> claves posibles espequeño. Se han estado generando las mismas claves <strong>de</strong>ntro <strong>de</strong> este número limitado <strong>de</strong> posibilida<strong>de</strong>s<strong>de</strong>s<strong>de</strong> septiembre <strong>de</strong> 2006. Como son pocas y <strong>de</strong> entropía pobre, se pue<strong>de</strong> <strong>de</strong>ducir la clave privada a partir<strong>de</strong> la pública porque el espacio <strong>de</strong> primos es muy pequeño y está prec<strong>al</strong>culado. Ya se han generado listasdisponibles para todos con la clave pública (<strong>de</strong>l espacio a que han quedado limitado <strong>de</strong>spués <strong>de</strong>l f<strong>al</strong>lo) y sucorrespondiente privada. Para los usuarios <strong>de</strong> este OpenSSL <strong>de</strong> Debian sin entropía suficiente, se han rotolas reglas <strong>de</strong> la criptografía asimétrica en la que por ahora confiamos todos y que sustentan las bases <strong>de</strong> la(poca) <strong>seguridad</strong> y confianza que pueda existir en Internet.¿Es tan grave como parece?Es más grave. Mucho más grave. Podríamos consi<strong>de</strong>rar que la criptografía <strong>de</strong> Debian en los últimos dosaños ha sido una pantomima. Y es grave a<strong>de</strong>más porque no se resuelve por completo parcheando. Esano es la solución <strong>de</strong>finitiva. Hay que regenerar claves, revocar las antiguas, certificarlas en el caso <strong>de</strong>SSL, comprobar dón<strong>de</strong> fueron a parar claves generadas con Debian... No es un bug en un programa queeventu<strong>al</strong>mente quedará obsoleto porque todo el mundo estará parcheado. Habrá administradores queno comprueben la <strong>de</strong>bilidad sus claves, servidores SSL que jamás certifiquen <strong>de</strong> nuevo sus claves, clavesperdidas <strong>de</strong> usuarios que <strong>de</strong>jen la puerta abierta a servidores SSH... También es grave porque arrastra a<strong>de</strong>cenas <strong>de</strong> programas y sistemas que se v<strong>al</strong>en <strong>de</strong> claves generadas con OpenSSL. SSL, SSH, OpenVPN,DNSSEC... Alguien lo ha c<strong>al</strong>ificado <strong>de</strong> “apoc<strong>al</strong>ipsis criptográfico”. A<strong>de</strong>más los princip<strong>al</strong>es perjudicados sonlos servidores que precisamente hayan buscado más <strong>seguridad</strong> con la criptografía <strong>de</strong> clave pública, porquecontenían información crítica.El SANS Internet Storm Center ha elevado el nivel <strong>de</strong> <strong>al</strong>erta gener<strong>al</strong> a ‘amarillo’. No ocurre a menudo.¿Cómo ha podido ocurrir?Ha sido todo un <strong>de</strong>safortunado error. Aunque surgirán las teorías conspiratorias porque el código abiertoha estado ahí durante dos años, no ha sido hasta que Luciano Bello se ha dado cuenta que se ha corregidoel f<strong>al</strong>lo y se ha dado la voz <strong>de</strong> <strong>al</strong>arma. Pero el daño ya está hecho. Dos años <strong>de</strong> claves débiles generándoseen cientos <strong>de</strong> miles <strong>de</strong> sistemas. Ha pasado <strong>de</strong>sapercibido porque en gener<strong>al</strong> cu<strong>al</strong>quier programa es268<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
complejo, pero la criptografía lo es aún más. A<strong>de</strong>más, Bruce Schneier dijo <strong>al</strong>go así como ‘Good securitylooks the same as bad security’ (‘La buena <strong>seguridad</strong> se ve igu<strong>al</strong> que la m<strong>al</strong>a’, frase aplicable aún más a lacriptografía).Kurt Roeckx fue quien planteó en un principio borrar líneas que consi<strong>de</strong>raba problemáticas. Existe uncorreo <strong>de</strong> 2006 en una lista pública, en el que Roeckx plantea en una lista <strong>de</strong> OpenSSL qué pasaría si laseliminara. Pregunta si resultaría en una posible pérdida <strong>de</strong> <strong>al</strong>eatoriedad. La respuesta no ofici<strong>al</strong> <strong>de</strong>s<strong>de</strong>OpenSSL es que “no mucho” y que es partidario <strong>de</strong> borrarlas si ayuda en la <strong>de</strong>puración. Y era cierto,esas líneas no suponían problema: el problema es que en Debian se borraron más líneas <strong>de</strong> la cuenta,<strong>de</strong> las habladas en la conversación y para colmo los cambios no se enviaron a OpenSSL para que fueranrevisados.¿Se soluciona parcheando?No. No se trata <strong>de</strong> un f<strong>al</strong>lo <strong>de</strong> <strong>seguridad</strong> <strong>al</strong> uso. Ha existido una fuente <strong>de</strong> claves inseguras que se hanesparcido durante dos años. Hay que comprobar y regenerar claves. El f<strong>al</strong>lo fue anunciado a la vez que elparche, pero hay que tener en cuenta, que las primeras versiones <strong>de</strong> los parches para Debian y Ubuntucontenían regresiones. Han publicado nuevas actu<strong>al</strong>izaciones para los propios parches que es necesarioaplicar también.¿Qué pasa si tengo un servidor web con acceso por HTTPS?Si las claves han sido generadas con la versión <strong>de</strong> OpenSSL con el problema, las consecuencias son que<strong>al</strong>guien se pue<strong>de</strong> hacer pasar por el servidor porque tendrá la privada <strong>de</strong> forma instantánea a partir <strong>de</strong>la pública. A<strong>de</strong>más, cu<strong>al</strong>quiera que haya tenido acceso a una conversación cifrada con el servidor, podríatambién <strong>de</strong>scifrarla. Esto es así porque la clave simétrica que se utiliza para el cifrado ha sido intercambiadacon la ayuda <strong>de</strong> claves asimétricas débiles. Un administrador <strong>de</strong>be a<strong>de</strong>más revocar la clave, generar unanueva, enviarla a la Autoridad Certificadora (que cobra por certificar) e inst<strong>al</strong>arla. La catástrofe hubiesesito tot<strong>al</strong>, si una Autoridad Certficadora, hubiese generado claves y firmado certificados con estas clavesdébiles, pues el problema se exten<strong>de</strong>ría hacia abajo a todos sus clientes, en cuyos certificados ya no sepodría confiar. Al parecer han comprobado que las princip<strong>al</strong>es Autorida<strong>de</strong>s no se ven afectadas.¿Qué pasa con SSH?Los administradores que controlan sus sistemas a través <strong>de</strong> SSH se suelen autenticar a través <strong>de</strong> su claveprivada y el servidor <strong>de</strong> SSH <strong>al</strong>macena la pública correspondiente. Esto es más seguro que usar una solacontraseña simétrica para autenticarse. El servidor cifra una ca<strong>de</strong>na con la clave pública <strong>de</strong>l que preten<strong>de</strong>autenticarse y se la envía, si pue<strong>de</strong> <strong>de</strong>scifrarla le <strong>de</strong>ja pasar. En este caso pue<strong>de</strong> que la clave pública seare<strong>al</strong>mente pública o no. En el primer caso, <strong>de</strong>ducir la privada es instantáneo, y en el segundo caso, si no seconoce la pública, se <strong>de</strong>be hacer un ataque <strong>de</strong> fuerza bruta sobre un espacio <strong>de</strong> claves muy pequeño, <strong>al</strong>goque tarda unos 20 minutos con un or<strong>de</strong>nador <strong>de</strong> hoy día. Se ha creado un exploit para esto.Todos los administradores que permitan a sus usuarios utilizar la clave privada para acce<strong>de</strong>r a sussistemas a través <strong>de</strong> SSH, <strong>de</strong>ben auditar las claves para saber si son <strong>de</strong> las “débiles”. Los administradores<strong>de</strong> SSH también se encuentran ante una tarea concienzuda, peligrosa, (y que <strong>de</strong>ben empren<strong>de</strong>r ya) inclusosi no utilizan Debian, porque pue<strong>de</strong> que sus claves hayan sido generadas en una distribución Debian yexportadas.Los administradores <strong>de</strong> SSH comprobarán, con tot<strong>al</strong> <strong>seguridad</strong>, como los intentos <strong>de</strong> acceso ilegítimo se<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 269
multiplican en estos días.¿A Windows le pasó lo mismo?No. Se <strong>de</strong>mostró que el generador <strong>de</strong> números <strong>al</strong>eatorios <strong>de</strong> Windows era débil, pero la diferencia es quesegún el estudio, había que conocer el estado previo <strong>de</strong>l generador para saber el siguiente cálculo. Estopodría permitir <strong>de</strong>scifrar conversaciones SSL entre dos sistemas. Pero para po<strong>de</strong>r llegar a tener acceso aesa información inici<strong>al</strong> <strong>de</strong> la que se <strong>de</strong>ducirían el resto <strong>de</strong> “estados <strong>de</strong>l <strong>al</strong>goritmo”, un atacante necesitaríapo<strong>de</strong>r tener acceso como administrador en el sistema. Digamos que para po<strong>de</strong>r aprovechar el problema<strong>de</strong>l <strong>al</strong>goritmo y po<strong>de</strong>r <strong>de</strong>scifrar la información, necesitaría tener el tot<strong>al</strong> control <strong>de</strong> la máquina para llegara conocer un estado, con lo que el sistema ya estaría comprometido en sí.ConclusionesLo peor no está ocurriendo ahora. Lo verda<strong>de</strong>ramente grave ha podido ocurrir antes (en los últimos dosaños si <strong>al</strong>guien ha conocido este error y lo hubiese mantenido en secreto) y <strong>de</strong>spués (lo que nos espera amedida que se vaya <strong>de</strong>scubriendo que sistemas importantes ha generado claves débiles).Sergio <strong>de</strong> los Santos20/05/2008 “Hoy goodware, mañana no sé”Habían transcurrido sólo 6 horas <strong>de</strong>s<strong>de</strong> que el responsable <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> la multinacion<strong>al</strong> había enviado<strong>al</strong> laboratorio un ejecutable para su análisis. Lo había encontrado en el portátil <strong>de</strong> un <strong>al</strong>to ejecutivo,durante una auditoría rutinaria. Desconocía el origen <strong>de</strong> aquel binario, no sabía lo que hacía. Cuandomenos le resultaba sospechoso, la fecha <strong>de</strong> inst<strong>al</strong>ación coincidía con una s<strong>al</strong>ida <strong>de</strong>l ejecutivo <strong>al</strong> extranjerodon<strong>de</strong>, según los logs <strong>de</strong>l sistema, había estado conectándose a Internet a través <strong>de</strong> <strong>al</strong> menos dos hotspotspúblicos. “¡M<strong>al</strong>dito WiFi!”. Cuando recibió la llamada <strong>de</strong>l laboratorio se apresuró a preguntar “¿m<strong>al</strong>wareo goodware?”. La respuesta <strong>al</strong> otro lado <strong>de</strong>l teléfono lo <strong>de</strong>jó <strong>al</strong>go <strong>de</strong>sconcertado: “Hoy goodware, mañanano sé”.Y es que cu<strong>al</strong>quiera que acuda a que le re<strong>al</strong>icen un análisis <strong>de</strong> un binario espera un dictamen claro. Obien se trata <strong>de</strong> <strong>al</strong>gún tipo <strong>de</strong> m<strong>al</strong>ware (virus, troyano, spyware, adware, etc.) que lleva a cabo acciones no<strong>de</strong>seadas en el sistema, o bien es goodware y por tanto no <strong>de</strong>bemos temer <strong>de</strong> que re<strong>al</strong>ice ninguna trastada.Al fin y <strong>al</strong> cabo, un profesion<strong>al</strong> pue<strong>de</strong> re<strong>al</strong>izar un análisis en profundidad <strong>de</strong>l código mediante ingenieríainversa y saber exactamente como funciona y qué es lo que hace. ¿O no?Tradicion<strong>al</strong>mente así solía ser. Un virus podía utilizar más o menos capas <strong>de</strong> ofuscación y cifrado, tener máso menos técnicas anti-<strong>de</strong>bugging, podía ser más o menos complicado su análisis, pero <strong>al</strong> fin<strong>al</strong>, uno podíaconocer <strong>al</strong> <strong>de</strong>t<strong>al</strong>le como se comportaba. El virus era autónomo, todo su universo estaba autocontenido en supropio código. Eran otros tiempos, cuando los hombres eran hombres y se programaba en ensamblador.Pero llegó Internet y lo cambió todo. Y no hablamos <strong>de</strong> la distribución masiva ni <strong>de</strong> los gusanos porInternet, ni <strong>de</strong> la explotación <strong>de</strong> vulnerabilida<strong>de</strong>s mientras navegamos para infectar equipos <strong>de</strong> formatransparente, ni <strong>de</strong> la producción masiva <strong>de</strong> troyanos, ni siquiera <strong>de</strong>l polimorfismo en origen a la hora<strong>de</strong> distribuir el m<strong>al</strong>ware, ni <strong>de</strong> las posibilida<strong>de</strong>s <strong>de</strong> actu<strong>al</strong>ización y <strong>de</strong>scarga <strong>de</strong> nuevas variantes, ni lasbotnets, etc. Las reglas han cambiado, y recién comenzamos a sufrir sus consecuencias.270<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
¿Qué ocurre cuando no existe código m<strong>al</strong>icioso en el binario? ¿Qué ocurre si tras un análisis <strong>al</strong> <strong>de</strong>t<strong>al</strong>le<strong>de</strong> la muestra todo parece indicar que es goodware, o <strong>al</strong> menos hay ausencia <strong>de</strong> indicios que apunten aque es m<strong>al</strong>ware? Pues ocurre que pue<strong>de</strong> ser goodware, o no. La clave está en que la lógica <strong>de</strong>l m<strong>al</strong>ware, lainteligencia, se está trasladando a la parte servidor, <strong>al</strong>lí don<strong>de</strong> queda fuera <strong>de</strong>l <strong>al</strong>cance <strong>de</strong> nuestro análisis.¿Cómo?.Imaginemos que un espía profesion<strong>al</strong> es contratado para atacar a un objetivo concreto. En vez <strong>de</strong> diseñarun m<strong>al</strong>ware tradicion<strong>al</strong>, <strong>de</strong>sarrolla una utilidad que, a<strong>de</strong>más <strong>de</strong> re<strong>al</strong>izar su cometido, se conecta a Internetregularmente para comprobar si hay actu<strong>al</strong>izaciones o para llevar a cabo cu<strong>al</strong>quier otra acción comúnhoy día en el software. <strong>Una</strong> vez terminada la cuelga <strong>de</strong> Internet y, a<strong>de</strong>más, la envía a los laboratoriosantivirus para su análisis. Esa muestra es an<strong>al</strong>izada por los laboratorios y cat<strong>al</strong>ogada como goodware ensu colección <strong>de</strong> binarios. Si <strong>al</strong>gún día <strong>al</strong>guien envía <strong>de</strong> nuevo esa muestra, en sus registros ya se encuentraan<strong>al</strong>izada y cat<strong>al</strong>ogada como goodware. Lógico, bastante tienen an<strong>al</strong>izando todo lo que se produce nuevocomo para estar rean<strong>al</strong>izando muestras.La utilidad es pública, ha sido an<strong>al</strong>izada por los laboratorios antivirus y se ha cat<strong>al</strong>ogado como limpia,<strong>de</strong> hecho no contiene ningún código m<strong>al</strong>icioso oculto, a<strong>de</strong>más se la inst<strong>al</strong>an indiscriminadamente losusuarios y tienen una buena experiencia (hace lo previsible). La utilidad se conecta regularmente a unservidor (<strong>de</strong>l espía) en Internet para comprobar si <strong>de</strong>be autoactu<strong>al</strong>izarse, <strong>de</strong>scargando <strong>al</strong>gún parche onueva versión en caso necesario. Todo norm<strong>al</strong>.Pero hay un código que no sabemos que hace, el <strong>de</strong>l servidor controlado por el espía en Internet. Allí tieneun script que recibe las consultas <strong>de</strong> la utilidad preguntando si hay <strong>al</strong>guna actu<strong>al</strong>ización, y una lógica quetodo el mundo <strong>de</strong>sconoce. El servidor <strong>de</strong>volverá o no un aviso <strong>de</strong> que hay una nueva actu<strong>al</strong>ización legítimapero, a<strong>de</strong>más, comprueba si la IP <strong>de</strong>l sistema que está re<strong>al</strong>izando la consulta pertenece <strong>al</strong> rango <strong>de</strong> laempresa objetivo; entonces, sólo entonces y en ese equipo concreto, <strong>de</strong>scargará y ejecutará un código pararobar información sensible.V<strong>al</strong>e, bonita historia <strong>de</strong> espías. El problema es que lejos <strong>de</strong> ser una historia es un enfoque que va enaumento en el m<strong>al</strong>ware actu<strong>al</strong>, y es posible que sólo estemos viendo la punta <strong>de</strong>l iceberg.Por ejemplo, en <strong>Hispasec</strong> estamos especi<strong>al</strong>izados en la <strong>de</strong>tección y análisis <strong>de</strong> troyanos bancarios.Comienza a ser preocupante la aparición <strong>de</strong> familias que no son cat<strong>al</strong>ogadas como “bankers” por losantivirus, porque re<strong>al</strong>mente no contienen código que pudiera hacer pensar que lo son. En todo caso soncat<strong>al</strong>ogadas como spyware, menos peligrosas, ya que su función consiste en enviar las URLs por las quenavegamos a un servidor <strong>de</strong> Internet. La “gracia” está en que ese servidor sólo <strong>de</strong>vuelve un nuevo códigom<strong>al</strong>icioso, o comandos interpretables por el propio m<strong>al</strong>ware, cuando la URL que envía <strong>al</strong> servidor coinci<strong>de</strong>con la dirección <strong>de</strong> la web <strong>de</strong> una entidad bancaria <strong>de</strong>terminada.Estamos en un caso similar <strong>al</strong> <strong>de</strong>l espía profesion<strong>al</strong>, el análisis aislado <strong>de</strong>l código que se inst<strong>al</strong>a en elcliente no pue<strong>de</strong> dar pistas sobre la funcion<strong>al</strong>idad que pue<strong>de</strong> adoptar ese binario. Un evento en concreto,en este caso visitar una URL <strong>de</strong>terminada, es la que hace activar la lógica <strong>de</strong>l servidor web que <strong>de</strong>vuelveun nuevo código o instrucciones <strong>de</strong>sconocidas hasta ese momento. <strong>Una</strong> lógica que pue<strong>de</strong> o no estar activaen el momento en que se an<strong>al</strong>iza la muestra, o incluso que pue<strong>de</strong> tener más <strong>de</strong>pen<strong>de</strong>ncias para activarse<strong>de</strong> forma que previene la <strong>de</strong>tección <strong>de</strong> un análisis puntu<strong>al</strong>.Este traslado <strong>de</strong> la inteligencia <strong>de</strong>l m<strong>al</strong>ware a la parte servidor supone nuevos retos y la necesidad <strong>de</strong> nuevosenfoques. En un momento en que también parte <strong>de</strong> la inteligencia <strong>de</strong> los antivirus se está extern<strong>al</strong>izandoen servicios en Internet, vemos que sigue siendo más importante que nunca tener inteligencia loc<strong>al</strong>, más<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 271
<strong>al</strong>lá <strong>de</strong> las firmas <strong>de</strong> <strong>de</strong>tección, que pueda i<strong>de</strong>ntificar activida<strong>de</strong>s sospechosas en nuestros sistemas. Y esque, <strong>al</strong> fin y <strong>al</strong> cabo, no hay b<strong>al</strong>as <strong>de</strong> plata en esto <strong>de</strong> la <strong>seguridad</strong>, <strong>de</strong>bemos seguir combinando diferentescapas complementarias <strong>de</strong> protección e ir evolucionando con los tiempos. Tenemos “diversión” para rato.Bernardo Quintero27/05/2008 Virus y promiscuidad. Del disquete <strong>al</strong> USBA fin<strong>al</strong>es <strong>de</strong> la década <strong>de</strong> los 80 se empezaron a popularizar los virus <strong>de</strong>l sector <strong>de</strong> arranque, que teníanla particularidad <strong>de</strong> que se propagaban a través <strong>de</strong> disquetes. Si introducías un disquete en un or<strong>de</strong>nadorinfectado el virus se copiaba <strong>al</strong> disquete, y a su vez ese disquete podía infectar cu<strong>al</strong>quier otro or<strong>de</strong>nadordon<strong>de</strong> fuera utilizado. A día <strong>de</strong> hoy vivimos una plaga <strong>de</strong>l mismo perro con otro collar, <strong>al</strong> menos en la partefuncion<strong>al</strong>. Con el disquete en <strong>de</strong>suso, las memorias USB han tomado el relevo como portadoras <strong>de</strong> unanueva generación <strong>de</strong> m<strong>al</strong>ware que aprovechan la “promiscuidad” con la que utilizamos el dispositivo.¿Cuál es el dispositivo que más utilizas en or<strong>de</strong>nadores <strong>de</strong> terceros? Para muchos será la memoria USB, esatan socorrida, que no dudamos en introducirla en cu<strong>al</strong>quier or<strong>de</strong>nador. Para intercambiar documentos,para enseñar las últimas fotos, para llevarnos trabajo a casa, para que nos hagan una copia <strong>de</strong> ese programa,para una presentación, para pasarnos unos MP3,...Tanto entrar y s<strong>al</strong>ir entre or<strong>de</strong>nadores diferentes no ha pasado <strong>de</strong>sapercibido para los creadores <strong>de</strong>m<strong>al</strong>ware, que han visto en este dispositivo el transporte i<strong>de</strong><strong>al</strong> para que sus bichos puedan s<strong>al</strong>tar <strong>de</strong> unor<strong>de</strong>nador a otro. En un tiempo en el que, prácticamente, todo or<strong>de</strong>nador tiene conexión a Internet, ypor tanto las distancias físicas son virtu<strong>al</strong>mente inexistentes, esta nueva corriente nos traslada <strong>de</strong> nuevoa las infecciones <strong>de</strong> principios <strong>de</strong> los 90, basadas en la proximidad y la compartición <strong>de</strong> dispositivos <strong>de</strong><strong>al</strong>macenamiento.<strong>Una</strong> <strong>de</strong> las familias más representativas <strong>de</strong> esta nueva epi<strong>de</strong>mia es <strong>de</strong>nominada por los antivirus como“AutoRun”, con el prefijo <strong>de</strong> “Win32” y/o “Worm”. Como dato concreto, en VirusTot<strong>al</strong> se han recibido 7.742variantes diferentes <strong>de</strong> esta familia (según MD5), sólo en lo que llevamos <strong>de</strong> mes <strong>de</strong> mayo.El diseño <strong>de</strong> estos especímenes, que <strong>de</strong>beríamos cat<strong>al</strong>ogar como “gusanos” en vez <strong>de</strong> “virus” puesto que sereproducen con copias <strong>de</strong> sí mismos pero no pue<strong>de</strong>n infectar a otros ficheros, es re<strong>al</strong>mente simple. Tod<strong>al</strong>a lógica se basa en aprovechar la funcion<strong>al</strong>idad AutoRun <strong>de</strong> Windows que automáticamente interpreta yejecuta el archivo autorun.inf si se lo encuentra en el raíz <strong>de</strong> un medio removible, como un CD, DVD u otrotipo <strong>de</strong> memorias, incluyendo USB.Los creadores <strong>de</strong> m<strong>al</strong>ware están aprovechando esta funcion<strong>al</strong>idad por <strong>de</strong>fecto <strong>de</strong> Windows Explorer. Bastacon introducir una memoria USB en un sistema para que automáticamente se ejecute el autorunf.inf que,típicamente, han diseñado para que lance a su vez un ejecutable con el código <strong>de</strong>l gusano. El gusano seinst<strong>al</strong>a en el sistema e intenta copiar la pareja <strong>de</strong> ficheros, autorun.inf y ejecutable <strong>de</strong>l gusano, en todaslas unida<strong>de</strong>s existentes. Esta forma <strong>de</strong> expandirse un tanto indiscriminada abarca la infección <strong>de</strong> discosduros, unida<strong>de</strong>s <strong>de</strong> red, dispositivos removibles, etc, por lo que este tipo <strong>de</strong> gusanos se pue<strong>de</strong>n encontrarmás <strong>al</strong>lá <strong>de</strong> en las propias memorias USB.Las buenas noticias son que hay formas <strong>de</strong> intentar mitigar este tipo <strong>de</strong> gusanos configurando Windowspara evitar el AutoRun automático, por ejemplo a través <strong>de</strong> la entrada <strong>de</strong>l registro NoDriveTypeAutoRun.Sin embargo se ha <strong>de</strong>tectado que la configuración <strong>de</strong> ese v<strong>al</strong>or no es suficiente en Windows Vista para272<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
prevenir la ejecución, <strong>de</strong>bido a AutoPlay, otra funcion<strong>al</strong>idad por <strong>de</strong>fecto.Otro método más efectivo consiste en “trucar” Windows para que haga caso omiso <strong>de</strong> los archivos autorun.inf, indicándole que en vez <strong>de</strong> interpretar los comandos que incluya en su interior utilice unos v<strong>al</strong>ores<strong>al</strong>ternativos, en concreto unos v<strong>al</strong>ores no existentes. Por lo que Windows no ejecutará nada.Para ello se <strong>de</strong>be configurar una entrada en el registro <strong>de</strong> Windows. La forma más simple es copiar lassiguientes líneas en el bloc <strong>de</strong> notas y guardarlas con la extensión .REG, por ejemplo noautorun.reg.REGEDIT4[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\IniFileMapping\Autorun.inf]@=”@SYS:DoesNotExist”A continuación hacer doble click en el fichero noautorun.reg, Windows nos preguntará si estamos seguros<strong>de</strong> querer agregar esta información <strong>al</strong> registro, y elegiremos que Sí.Recordar que con esta modificación también evitaremos la ejecución <strong>de</strong> los autorun.inf legítimos, porejemplo esos que hacen que <strong>al</strong> introducir un CD o DVD automáticamente se ejecute un programa. Enesos casos tendremos que hacer doble click en el programa para ejecutarlos. Si bien pensamos que esta“pequeña molestia” compensa si con ello evitamos la infección <strong>de</strong> nuestros sistemas.Bernardo Quintero22/07/2008 Descubiertos los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> la vulnerabilidad en el protocolo DNSDes<strong>de</strong> el 8 <strong>de</strong> julio se está produciendo uno <strong>de</strong> los episodios más curiosos vividos nunca en la red. Sepublicó ese día una actu<strong>al</strong>ización masiva para la mayoría <strong>de</strong> los dispositivos en Internet que utilizan DNS.Se dijo que había sido <strong>de</strong>scubierta una vulnerabilidad que permitía f<strong>al</strong>sificar las respuestas DNS, y portanto redireccionar el tráfico. Casi todos los gran<strong>de</strong>s y pequeños fabricantes y programadores actu<strong>al</strong>izaronsus sistemas y se intentó mantener los <strong>de</strong>t<strong>al</strong>les técnicos <strong>de</strong> la vulnerabilidad ocultos, por la gravedad y elpotenci<strong>al</strong> impacto que podría suponer. Fin<strong>al</strong>mente, dos semanas <strong>de</strong>spués, se conocen los <strong>de</strong>t<strong>al</strong>les.Toda vulnerabilidad es importante y tiene un potenci<strong>al</strong> impacto en la red. Sin embargo, cuando hablamos<strong>de</strong> la resolución <strong>de</strong> nombres y <strong>de</strong> problemas en los servidores DNS, la gravedad se multiplica porque sesupone que los servidores DNS sustentan la red. Dan Kaminsky había <strong>de</strong>scubierto un f<strong>al</strong>lo <strong>de</strong> base en elprotocolo que permitía a cu<strong>al</strong>quiera f<strong>al</strong>sificar las respuestas <strong>de</strong> un servidor. No era problema <strong>de</strong> ningúnfabricante sino <strong>de</strong> casi todos, un f<strong>al</strong>lo <strong>de</strong> diseño <strong>de</strong> un estándar usado en todo Internet. En un importanteesfuerzo <strong>de</strong> coordinación todos los gran<strong>de</strong>s fabricantes están publicado sus actu<strong>al</strong>izaciones <strong>de</strong>s<strong>de</strong> el día 8<strong>de</strong> julio.Pero Dan Kaminsky no daba <strong>de</strong>t<strong>al</strong>les sobre el asunto. Era <strong>de</strong>masiado grave y pensaba que sería irresponsableproporcionar esa información sin dar suficiente tiempo a todos los administradores para actu<strong>al</strong>izar. Delparche no se podía <strong>de</strong>ducir el problema puesto que simplemente añadía <strong>al</strong>eatoriedad y entropía a ciertosv<strong>al</strong>ores que <strong>de</strong>s<strong>de</strong> hace mucho se sabía que no eran la mejor solución para asegurar el protocolo. Es poresto que se apostaba <strong>de</strong>s<strong>de</strong> un principio por que la vulnerabilidad <strong>de</strong> Kaminsky se tratara en re<strong>al</strong>idad <strong>de</strong>una nueva forma más eficaz <strong>de</strong> engañar a los servidores DNS para que <strong>de</strong>n respuestas f<strong>al</strong>sas, gracias a un<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 273
f<strong>al</strong>lo inherente <strong>de</strong>l protocolo (y así ha sido).Kaminsky daría los <strong>de</strong>t<strong>al</strong>les un mes <strong>de</strong>spués, en la conferencia Black Hat <strong>de</strong> agosto. Por una parte, el<strong>de</strong>scubridor estaba siendo responsable (dando tiempo a los administradores) pero tremendamentemediático por otra (creando una expectación exagerada en torno a la conferencia). Todo esto, ayudadopor la <strong>de</strong>sinformación <strong>de</strong> los medios gener<strong>al</strong>istas ha ayudado a que la <strong>de</strong>sconfianza siguiese creciendo.Todos <strong>de</strong>fendían su teoría: <strong>de</strong>s<strong>de</strong> el escéptico hasta el que hablaba <strong>de</strong> la <strong>de</strong>bacle <strong>de</strong> la Red. Sólo un grupo<strong>de</strong> personas concretas conocía los <strong>de</strong>t<strong>al</strong>les técnicos, y tenían instrucciones <strong>de</strong> no revelarlos y <strong>de</strong> evitarlas especulaciones públicas. Kaminsky pretendía así ingenuamente asegurarse que sólo él daría los<strong>de</strong>t<strong>al</strong>les cuando lo tenía planeado, cumpliendo así la segunda parte <strong>de</strong> su plan una vez publicadas lasactu<strong>al</strong>izaciones. Imposible... poco <strong>de</strong>spués las listas estaban llenas <strong>de</strong> comentarios y elucubraciones.Afortunadamente en la <strong>seguridad</strong> informática siempre hay <strong>al</strong>guien que va más <strong>al</strong>lá. Thomas Dullien, elCEO <strong>de</strong> la compañía Zynamics (también conocido como H<strong>al</strong>var Flake) se aventuró a publicar en su blogsu particular visión <strong>de</strong> lo que podía ser el problema <strong>de</strong>scubierto por Kaminsky, sin tener conocimientoprevio <strong>de</strong> los <strong>de</strong>t<strong>al</strong>les. Y no se equivocó en su teoría. La insinuación <strong>de</strong> que estaba en lo cierto vino <strong>de</strong>s<strong>de</strong>varios frentes (entre ellos <strong>de</strong>s<strong>de</strong> un post en Twitter <strong>de</strong>l propio Kaminsky), pero lo confirmó tot<strong>al</strong>mente unaentrada <strong>de</strong>l lunes pasado en el blog <strong>de</strong> Thomas Ptacek, director la compañía Matasano que era <strong>de</strong> los queconocía los <strong>de</strong>t<strong>al</strong>les re<strong>al</strong>es. La entrada estaba firmada por un/a t<strong>al</strong> “ecopeland” <strong>de</strong>l equipo <strong>de</strong> Ptacek. Segúnlinkedin.com existe un/a Erin Ptacek (Copeland), <strong>de</strong>sarrollador/a <strong>de</strong> software en Matasano (¿familiar <strong>de</strong>ldirector?). En el post se daba la razón a Dullien, junto con todo lujo <strong>de</strong> <strong>de</strong>t<strong>al</strong>les sobre el f<strong>al</strong>lo que Dullienhabía ‘re<strong>de</strong>scubierto’. La explicación fue retirada poco <strong>de</strong>spués (actu<strong>al</strong>mente está disponible a través <strong>de</strong>la caché <strong>de</strong> Google). Ptacek se ha disculpado públicamente, probablemente se <strong>de</strong>jó llevar por su ánimo <strong>de</strong>compartir la información. Demasiado tar<strong>de</strong>... ya circula libremente por Internet.Los <strong>de</strong>t<strong>al</strong>les técnicos pue<strong>de</strong>n ser encontrados en el apartado <strong>de</strong> más información. No tardarán en aparecerexploits. Ahora la gravedad <strong>de</strong>l problema se multiplica. Afortunadamente casi todos los fabricantes hanpublicado ya un parche.Aunque se conocía el problema <strong>de</strong>s<strong>de</strong> enero, Kaminsky trabajó intensamente con los gran<strong>de</strong>s fabricantespara mantenerlo en secreto y coordinar la aparición <strong>de</strong> parches un día concreto (que tuvo que coincidir conel día <strong>de</strong> actu<strong>al</strong>ización <strong>de</strong> Microsoft). Esto resulta extremadamente complicado, y hay que reconocer queha <strong>de</strong>bido resultar un trabajo complejo el coordinar y mantener la discreción sobre un tema tan <strong>de</strong>licado.Un esfuerzo elogiable. Sin embargo <strong>de</strong>s<strong>de</strong> que se anunció la existencia <strong>de</strong>l problema, sólo se han necesitadodos semanas para que sea <strong>de</strong>svelado, frustrando el plan <strong>de</strong> Kaminsky <strong>de</strong> aguantar un mes hasta la BlackHat para revelar los <strong>de</strong>t<strong>al</strong>les.Son muchas las mor<strong>al</strong>ejas y conclusiones que se pue<strong>de</strong>n extraer <strong>de</strong> este inci<strong>de</strong>nte. De nuevo el <strong>de</strong>bate sobrela revelación responsable <strong>de</strong> vulnerabilida<strong>de</strong>s, la fuerza <strong>de</strong>l ego <strong>de</strong> muchos investigadores, la <strong>de</strong>mostración<strong>de</strong> que un esfuerzo coordinado para una actu<strong>al</strong>ización masiva ante un problema común es posible... perosobre todo llama la atención la capacidad <strong>de</strong> Thomas Dullien <strong>de</strong> re<strong>de</strong>scubrir un problema que siemprehabría estado ahí, pero que no se había planteado buscar hasta que <strong>al</strong>guien apuntó que existía. Dulliencontaba con las bases (el protocolo DNS sufre <strong>de</strong> problemas inherentes conocidos) sólo había que moverlas piezas para encontrar lo que podía ser el f<strong>al</strong>lo que otro <strong>de</strong>cía ya saber. Y acertó. <strong>Una</strong> <strong>de</strong> las mejoresformas <strong>de</strong> captar el interés <strong>de</strong> un asunto, (aunque siempre haya estado ante nuestras narices y creamosconocerlo) es afirmar que oculta un secreto.Sergio <strong>de</strong> los Santos274<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
30/07/2008 Consejos útiles contra el m<strong>al</strong>ware 2.0 en WindowsLos consejos obsoletos ofrecen una f<strong>al</strong>sa sensación <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> la que se están aprovechando losatacantes. Muchas <strong>de</strong> las informaciones publicadas sobre <strong>seguridad</strong> en gener<strong>al</strong> y sobre m<strong>al</strong>ware enparticular no han sabido renovarse, y se perpetúan coletillas y axiomas que (aunque útiles y necesarios)no se han matizado ni completado correctamente con el tiempo. Son consejos <strong>de</strong> hace años, que no se hanadaptado a una industria (la <strong>de</strong>l m<strong>al</strong>ware) que avanza mucho más rápido <strong>de</strong> lo que podamos imaginar.Vamos a ofrecer <strong>al</strong>gunos consejos útiles contra el m<strong>al</strong>ware... <strong>de</strong> hoy.Administrador no, graciasEl princip<strong>al</strong> consejo para los usuarios <strong>de</strong> sistemas operativos en gener<strong>al</strong> y los <strong>de</strong> Windows en particular esno usar la cuenta <strong>de</strong> administrador. Se <strong>de</strong>be utilizar la cuenta <strong>de</strong> un usuario sin privilegios, sin excusas.Esto es lo que pue<strong>de</strong> llevar a una mayor protección no solo contra el m<strong>al</strong>ware, sino contra posibles <strong>de</strong>spistes<strong>de</strong>l propio usuario. Un “administrador” está precisamente para “administrar”, y son muy pocas veces lasque un usuario utiliza su sistema para re<strong>al</strong>izar modificaciones importantes. La mayor parte <strong>de</strong>l tiempo leecorreo o navega, actividad esta última que conlleva un importante riesgo, sea con el navegador que sea.Esta irresponsable actitud <strong>de</strong> usuario administrador perpetuo está heredada <strong>de</strong> los tiempos <strong>de</strong> Windows9x. No tenía sistema <strong>de</strong> usuarios loc<strong>al</strong> re<strong>al</strong>, ni soportaba NTFS, con lo que no se podían establecer permisospor usuarios. Cuando apareció XP, tras su inst<strong>al</strong>ación Microsoft permitía por fin la creación <strong>de</strong> un usuariodistinto <strong>al</strong> administrador para el uso <strong>de</strong>l sistema. Un gesto que hubiera servido <strong>de</strong> <strong>al</strong>go si este mismousuario no perteneciese por <strong>de</strong>fecto <strong>al</strong> grupo administradores, y por tanto fuese tan po<strong>de</strong>roso como él.A nadie que utilice un sistema operativo que no sea Windows se le ocurre re<strong>al</strong>izar sus activida<strong>de</strong>s cotidianascomo “root” o súperusuario. En Windows, lo extraño es precisamente lo contrario, trabajar con cuentaslimitadas. Este es el verda<strong>de</strong>ro origen <strong>de</strong> la mayor parte <strong>de</strong> los m<strong>al</strong>es, y <strong>de</strong> que el m<strong>al</strong>ware pueda campara sus anchas en un or<strong>de</strong>nador don<strong>de</strong> pue<strong>de</strong> escribir, leer, modificar... puesto que es ejecutado con losmismos permisos <strong>de</strong>l usuario que está usando la máquina.En Windows Vista, Microsoft ha establecido un importante sistema <strong>de</strong> <strong>seguridad</strong> para mitigar esteproblema heredado, rompiendo así una ten<strong>de</strong>ncia muy arraigada y limitando el po<strong>de</strong>r <strong>de</strong>l usuario habitu<strong>al</strong>.Se ha relegando por fin el uso <strong>de</strong>l administrador a un segundo plano. Sin embargo esto ha sido visto pormuchos usuarios como un estorbo, en vez <strong>de</strong> como una importantísima mejora en su <strong>seguridad</strong>.Aunque se presente aquí como panacea, no lo es. Todavía una parte <strong>de</strong>l m<strong>al</strong>ware actu<strong>al</strong> podría seguiractuando. A<strong>de</strong>más, trabajar como usuario raso en XP o 2000 pue<strong>de</strong> llegar a ser incómodo, incluso parausuarios experimentados. Es necesario tener conocimientos sobre permisos, privilegios, NTFS, <strong>de</strong>rechos,herencias, grupos... Por si fuera poco, con ánimo <strong>de</strong> no complicar <strong>al</strong> usuario, Windows XP Home Editionescondía <strong>de</strong>liberadamente la pestaña <strong>de</strong> <strong>seguridad</strong> para po<strong>de</strong>r cambiar los permisos, a no ser que setrabajara en modo a prueba <strong>de</strong> f<strong>al</strong>los.Actu<strong>al</strong>izar el sistemaNo sólo Windows, sino todos los programas que tengamos inst<strong>al</strong>ados <strong>de</strong>ben estar actu<strong>al</strong>izados a laúltima versión <strong>de</strong> su rama. Esto es muy importante, pues una gran parte <strong>de</strong>l m<strong>al</strong>ware hoy en día seaprovecha <strong>de</strong> vulnerabilida<strong>de</strong>s conocidas que ya tienen parche. Muchos usuarios piensan que un Windowsparcheado tendrá problemas “leg<strong>al</strong>es” o que sufrirá f<strong>al</strong>los <strong>de</strong> compatibilidad. Un Windows sin actu<strong>al</strong>izares un Windows contaminado. Pero no sólo el sistema operativo. Todo programa es susceptible <strong>de</strong> sufrirproblemas <strong>de</strong> <strong>seguridad</strong> y <strong>de</strong> que sean aprovechados. Des<strong>de</strong> el reproductor <strong>de</strong> MP3 hasta el lector <strong>de</strong> PDF,se han <strong>de</strong>tectado ataques dirigidos a versiones vulnerables <strong>de</strong> los programas más utilizados para tareas<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 275
comunes. La única solución es no abrir archivos no solicitados tengan el formato que tengan y sobre todo,mantener actu<strong>al</strong>izados los programas que los interpretan.Mantenerse informadoMantenerse informado sobre ten<strong>de</strong>ncias <strong>de</strong> <strong>seguridad</strong>, m<strong>al</strong>ware y estado en gener<strong>al</strong> <strong>de</strong> la <strong>seguridad</strong> enla red. No se pue<strong>de</strong> luchar contra lo que no se conoce. Son muchos los usuarios que <strong>de</strong>sconocen quepue<strong>de</strong>n ser infectados por archivos que no son ejecutables, que es posible ejecutar código arbitrario enel sistema <strong>de</strong> forma transparente con sólo visitar una web, o que el SSL <strong>de</strong>l banco visitado no tiene porqué significar que un sistema no esté troyanizado o que no se trate <strong>de</strong> un phishing. Otros piensan que elhecho <strong>de</strong> que la página <strong>de</strong>l banco aparezca modificada y requiera más casillas <strong>de</strong> la tarjeta <strong>de</strong> coor<strong>de</strong>nadas<strong>de</strong> lo habitu<strong>al</strong>, significa que la <strong>seguridad</strong> ha aumentado...estar informado es primordi<strong>al</strong>. No sólo por locambiante <strong>de</strong> <strong>al</strong>gunas técnicas, sino también porque es necesario seguir <strong>de</strong> cerca ciertas campañas queempren<strong>de</strong>n los atacantes y que suscitan modas y comportamientos sobre los que resulta imprescindibleestar especi<strong>al</strong>mente atento. Existen momentos en los que se perpetran ataques concretos para los quepue<strong>de</strong> que la única solución sea conocerlos y evitarlos hasta que exista parche.Otros consejosEstos tres consejos anteriores son los más importantes. Por <strong>de</strong>sgracia no son los que se dan habitu<strong>al</strong>menteen los medios no especi<strong>al</strong>izados. Ni la tecnología, ni Internet ni los atacantes son los mismos que hacecinco años, por tanto las precauciones no <strong>de</strong>ben ser igu<strong>al</strong>es para siempre. Obviamente es necesario usarherramientas o suites <strong>de</strong> <strong>seguridad</strong> actu<strong>al</strong>izadas (cortafuegos, antispyware...) pero sobre todo, saber cómose usan. Si no se saben manejar, se vuelven inútiles.¿Y el antivirus? Por supuesto. También es imprescindible tener un antivirus actu<strong>al</strong>izado a diario.Sergio <strong>de</strong> los Santos20/10/2008 La comparativa <strong>de</strong>l escánd<strong>al</strong>oSecunia ha publicado una comparativa <strong>de</strong> suites <strong>de</strong> <strong>seguridad</strong> que ha levantado cierta polémica.Especi<strong>al</strong>mente por la metodología escogida: en vez <strong>de</strong> utilizar distintos tipos <strong>de</strong> muestras <strong>de</strong> m<strong>al</strong>ware(como viene siendo lo habitu<strong>al</strong> para comprobar los ratios <strong>de</strong> <strong>de</strong>tección), se han usado exploits creados par<strong>al</strong>a ocasión y páginas web modificadas para aprovechar estos exploits. Las casas antivirus no han s<strong>al</strong>ido muybien paradas, pero en re<strong>al</strong>idad es necesario matizar en extremo las conclusiones <strong>de</strong> esta comparativa.Las condicionesEn tot<strong>al</strong> se han usado 300 exploits (144 archivos m<strong>al</strong>iciosos y 156 páginas web modificadas). Los resultadosdicen que ninguna <strong>de</strong> las suites consiguió el aprobado.De acuerdo con Secunia, las condiciones <strong>de</strong> los tests fueron las siguientes:1- Los archivos m<strong>al</strong>iciosos fueron primero an<strong>al</strong>izados <strong>al</strong> <strong>de</strong>sempaquetar un archivo ZIP, en el que estabancontenidos, para comprobar la eficiencia <strong>de</strong>l escáner <strong>al</strong> acce<strong>de</strong>r en “tiempo re<strong>al</strong>”.276<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
2- Posteriormente la carpeta fue escaneada <strong>de</strong> forma manu<strong>al</strong> para asegurarse <strong>de</strong> que fueran procesadostodos los archivos.3- Las páginas web m<strong>al</strong>iciosas fueron an<strong>al</strong>izadas una por una usando Internet Explorer.Solo la suite <strong>de</strong> Norton, <strong>de</strong> las <strong>12</strong> an<strong>al</strong>izadas, pasaba <strong>de</strong>l 20% <strong>de</strong> <strong>de</strong>tección, mientras que el resto no llegaba<strong>al</strong> 3%. Pero esto no significa nada.Las quejasMuchas casas antivirus y empresas <strong>de</strong>l sector no están <strong>de</strong> acuerdo (con razón) con los resultados obtenidos.Utilizan los siguientes argumentos:* Los tests no se re<strong>al</strong>izaron <strong>de</strong> forma completa. Lo i<strong>de</strong><strong>al</strong> hubiera sido tener una máquina en la que estuvieraninst<strong>al</strong>adas tanto la versión vulnerable <strong>de</strong>l software a explotar como la suite <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> Internet. Elpaso siguiente es intentar ejecutar el exploit en ese entorno y esperar a ver si es bloqueado o no.* Los tests se re<strong>al</strong>izaron a <strong>de</strong>manda, es <strong>de</strong>cir, se pasó el escáner sobre los archivos que contenían losexploits, pero no se ejecutaron. La única forma <strong>de</strong> <strong>de</strong>tección posible, en esas circunstancias, es que existauna firma específica en el componente antivirus para <strong>de</strong>tectar los exploits o que sean <strong>de</strong>tectados porheurística.* Se han utilizado exploits <strong>de</strong> laboratorio, especi<strong>al</strong>mente creados para estos tests y diferentes <strong>de</strong> los quepodrían circular por Internet en la actu<strong>al</strong>idad.Por estas y otras razones <strong>al</strong>egan que el test pue<strong>de</strong> ser orientativo únicamente a nivel <strong>de</strong>l escáner, peroen ningún momento se pue<strong>de</strong> juzgar la tot<strong>al</strong>idad <strong>de</strong> la suite por los resultados obtenidos. También se<strong>de</strong>fien<strong>de</strong>n diciendo que, muchas <strong>de</strong> las características anti-exploit incluidas en las suites ni siguiera hanentrado en juego, como son por ejemplo:* Virtu<strong>al</strong>ización y mecanismos <strong>de</strong> protección contra <strong>de</strong>sbordamientos <strong>de</strong> búfer/pila/heap.* Incluso si los exploits fueran ejecutados, un HIPS (sistema <strong>de</strong> prevención <strong>de</strong> intrusiones basado en host),un IDS (sistema <strong>de</strong> <strong>de</strong>tección <strong>de</strong> intrusos) o un firew<strong>al</strong>l podrían servir para bloquearlos.* Tampoco se ha tenido en cuenta el filtrado <strong>de</strong> URLs m<strong>al</strong>iciosas ni <strong>de</strong> exploits <strong>de</strong>l navegador.El CEO <strong>de</strong> AV-Test.org Andreas Marx, también apunta que f<strong>al</strong>ta información técnica sobre cómo seha re<strong>al</strong>izado el test, t<strong>al</strong> como por ejemplo: productos exactos y versiones utilizadas, fecha <strong>de</strong> la últimaactu<strong>al</strong>ización <strong>de</strong> los motores, o bajo qué entorno se han re<strong>al</strong>izado las pruebas sobre las páginas web yHTML.La conclusión <strong>de</strong>l informe, firmada por Thomas Kristensen, el CTO <strong>de</strong> Secunia: “Los resultados muestranque los fabricantes <strong>de</strong> productos <strong>de</strong> <strong>seguridad</strong> no se centran en vulnerabilida<strong>de</strong>s. En vez <strong>de</strong> eso, tienenun enfoque mucho más tradicion<strong>al</strong>, lo que <strong>de</strong>ja a sus clientes expuestos <strong>al</strong> nuevo m<strong>al</strong>ware que explotavulnerabilida<strong>de</strong>s. (...) El área está, más o menos, completamente ignorada por los fabricantes <strong>de</strong> productos<strong>de</strong> <strong>seguridad</strong>”.Esta conclusión, junto con la omisión <strong>de</strong> ciertos <strong>de</strong>t<strong>al</strong>les, no ha sentado nada bien a <strong>al</strong>gunas personas<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 277
influyentes <strong>de</strong>ntro <strong>de</strong>l sector y ha provocado las siguientes reacciones:* Alex Eckelberry <strong>de</strong> Sunbelt Software: “Este test es estúpido y unamaniobra publicitaria inútil”.* Pedro Bustamante <strong>de</strong> Panda Security: “Es como <strong>de</strong>cir que vas a probar el ABS <strong>de</strong> un coche tirándolo porun acantilado <strong>de</strong> 200 metros <strong>de</strong> profundidad. Absurdo, sensacion<strong>al</strong>ista y como mínimo engañoso”.A todo esto, Kristensen se ha <strong>de</strong>fendido, diciendo que: “Las Internet Security Suites son bastante útilespara la mayoría <strong>de</strong> usuarios. (...) Pero es mejor prevenir los ataques parcheando que confiar en otrasmedidas <strong>de</strong> <strong>seguridad</strong> por sí solas”.Nuestras conclusionesEs necesario res<strong>al</strong>tar a<strong>de</strong>más <strong>al</strong>gunos aspectos interesantes que observamos en este informe:* Está re<strong>al</strong>izado <strong>de</strong>s<strong>de</strong> una compañía que ven<strong>de</strong> servicios <strong>de</strong> prevención <strong>de</strong> vulnerabilida<strong>de</strong>s. Por tanto laconclusión extraída le es conveniente <strong>de</strong>s<strong>de</strong> el punto <strong>de</strong> vista comerci<strong>al</strong>. Lo que es peor, está enfocada <strong>de</strong>s<strong>de</strong>todos los aspectos para que así sea. Por ejemplo: los exploits más usados por los atacantes sí suelen ser másreconocidos por las firmas <strong>de</strong> las soluciones antivirus que, obviamente, los creados para la ocasión. Esto noes nada nuevo, pasa exactamente igu<strong>al</strong> con el m<strong>al</strong>ware: <strong>de</strong>s<strong>de</strong> siempre, los virus recién creados ha sido menos<strong>de</strong>tectados por firmas en un principio. Tampoco es difícil crear específicamente troyanos “no <strong>de</strong>tectadospor firmas. Los atacantes lo hacen todos los días. Otra cosa es que sean <strong>de</strong>tectados por comportamientoen el sistema una vez ejecutados, que es el punto fuerte <strong>de</strong> las suites en estos momentos.* Las <strong>al</strong>egaciones <strong>de</strong>s<strong>de</strong> las casas antivirus son legítimas. No es ningún secreto que el mo<strong>de</strong>lo <strong>de</strong> <strong>de</strong>tecciónpor firmas es cada vez “una parte más” <strong>de</strong> los antivirus, y no se pue<strong>de</strong> juzgar a un producto exclusivamentepor la <strong>de</strong>tección estática <strong>de</strong> muestras. Es lo mismo que ocurre con VirusTot<strong>al</strong>. Los resultados obtenidos<strong>al</strong> enviar una muestra son an<strong>al</strong>izados <strong>de</strong> forma estática, por tanto pue<strong>de</strong>n diferir <strong>de</strong> lo que un usuarioobtiene con el antivirus inst<strong>al</strong>ado en su sistema. Las suites, cada vez más, se basan en el comportamiento<strong>de</strong> las muestras para <strong>de</strong>tectar el m<strong>al</strong>ware, a<strong>de</strong>más <strong>de</strong> en las firmas. Es más, hacen una buena labor en esesentido, y no es posible hoy en día ev<strong>al</strong>uar un producto completo sólo por una <strong>de</strong> sus funciones. Si se quiereev<strong>al</strong>uar la c<strong>al</strong>idad y cantidad <strong>de</strong> firmas, se <strong>de</strong>be ser consciente <strong>de</strong> que eso es sólo una parte <strong>de</strong>l producto.* Sí es cierto que el usuario medio suele ser víctima <strong>de</strong>l marketing agresivo <strong>de</strong> las casas antivirus, y creenque la suite les s<strong>al</strong>vará <strong>de</strong> todo m<strong>al</strong>. Slogans como “Protección tot<strong>al</strong>” o “Blindaje <strong>de</strong>l sistema” c<strong>al</strong>an en elusuario que concluye que re<strong>al</strong>mente es lo único que necesita. Por otro lado, este tipo <strong>de</strong> informes como elgenerado por Secunia polarizan la opinión: “¿Acaso, a pesar <strong>de</strong>l dinero invertido en la solución antim<strong>al</strong>ware,no estoy protegido por completo?” o “Las soluciones antim<strong>al</strong>ware no sirven para nada”. Ninguna <strong>de</strong> lasdos posiciones es a<strong>de</strong>cuada. Las soluciones antivirus son imprescindibles, pero es necesario combinarlascon otros métodos <strong>de</strong> prevención como son las actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong> <strong>de</strong> los sistemas y programas,a<strong>de</strong>más <strong>de</strong>l uso <strong>de</strong> cuentas no privilegiadas.Pablo Molina278<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
27/11/2008 El antivirus que lo <strong>de</strong>tecta todoNo es broma, las nuevas estrategias en la <strong>de</strong>tección <strong>de</strong> código m<strong>al</strong>icioso apuntan a ese objetivo que pue<strong>de</strong>sonar utópico. No quiere <strong>de</strong>cir que nos estemos acercando <strong>al</strong> antivirus perfecto, sino que los nuevosenfoques <strong>de</strong> las soluciones <strong>de</strong> <strong>seguridad</strong> intentan i<strong>de</strong>ntificar tanto <strong>al</strong> m<strong>al</strong>ware como a los ficheros legítimos,tratan <strong>de</strong> clasificar todo.Si nuestro or<strong>de</strong>nador fuera una discoteca el antivirus sería el portero, el encargado <strong>de</strong> <strong>de</strong>cidir quién pue<strong>de</strong>pasar y quién no a divertirse en nuestro loc<strong>al</strong>. Dependiendo <strong>de</strong> lo exclusiva que sea nuestra discoteca, ladirección podría haber or<strong>de</strong>nado <strong>al</strong> portero que siguiera una <strong>de</strong> las siguientes estrategias:(1) sólo <strong>de</strong>jar pasar a las personas VIP y conocidas según una lista (lista blanca).(2) no <strong>de</strong>jar pasar a aquellas personas reconocidas como problemáticas (lista negra).Con la estrategia (1) nuestra discoteca sería <strong>de</strong>masiado elitista, ya que no permitiría entrar a gente nuevao <strong>de</strong>sconocida hasta que no hubiera sido dado <strong>de</strong> <strong>al</strong>ta en la lista blanca. Un verda<strong>de</strong>ro incordio y no seríaoperativo. En el caso (2) nuestro loc<strong>al</strong> estaría más animado y evitaríamos a los individuos peligrososreconocidos, que en un principio no eran <strong>de</strong>masiados, así que la dirección <strong>de</strong> la discoteca apostó por estaopción.El <strong>de</strong> los antivirus siempre había sido un mundo <strong>de</strong> listas negras, estrategia número (2), con firmas ypatrones para <strong>de</strong>tectar <strong>al</strong> código m<strong>al</strong>icioso e impedirles que pudieran entrar o ejecutarse en nuestroor<strong>de</strong>nador.Con el tiempo se vio que esa estrategia era insuficiente, ya que había mucho m<strong>al</strong>ware <strong>de</strong> nueva creaciónque no se encontraba en la lista negra (se les colaban muchos in<strong>de</strong>seables). La lista negra requería serconstantemente actu<strong>al</strong>izada y, aun así, no era suficiente. Se apostó por potenciar la heurística, que en elcaso <strong>de</strong> nuestro portero vendría a ser una or<strong>de</strong>n similar a la siguiente:(3) no <strong>de</strong>jar pasar a personas que por sus características te parezcan sospechosas o que pudieran causarproblemasCon la entrada <strong>de</strong> la heurística la discoteca tuvo <strong>al</strong>gunos problemas, el portero sospechó <strong>de</strong> gente VIP yno les <strong>de</strong>jó entrar. Así que la dirección le dijo <strong>al</strong> portero que utilizara también una pequeña lista blancapara reconocer a esas personas y no impedirles su entrada por error. De esta forma el portero comenzó autilizar <strong>al</strong> mismo tiempo las estrategias (1), (2) y (3) <strong>de</strong> forma complementaria.De esta misma forma el uso <strong>de</strong> listas blancas comenzó a ser más popular entre los antivirus, si biensolía limitarse a corregir y prevenir f<strong>al</strong>sos positivos, para no dar por m<strong>al</strong>ware o virus un fichero legítimomuy conocido. Ya sabéis, <strong>de</strong>tectar como m<strong>al</strong>ware el notepad.exe sería como negarle la entrada a nuestradiscoteca a Pilar Rubio. Imperdonable.Pasó el tiempo y la discoteca seguía teniendo inci<strong>de</strong>ntes y problemas <strong>de</strong> <strong>seguridad</strong>. Aun teniendo un<strong>al</strong>ista negra, heurística y lista blanca, seguían colándose muchos in<strong>de</strong>seables <strong>al</strong> loc<strong>al</strong>. La dirección pidió <strong>al</strong>portero que aumentara su nivel <strong>de</strong> heurística, más paranoia a la hora <strong>de</strong> impedir el paso a personas queaparentemente pudieran dar problemas.En el mundo <strong>de</strong> los antivirus hemos visto ese aumento <strong>de</strong> paranoia en heurísticas más agresivas, por<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 279
ejemplo aquellas que <strong>de</strong>tectan como m<strong>al</strong>ware un fichero por el simple hecho <strong>de</strong> estar tratados con un“packer”.Con la nueva heurística más paranoica aumentaron las reclamaciones a la dirección <strong>de</strong> la discoteca. Amuchas personas que no eran tan famosas como para estar en la lista VIP o pequeña lista blanca se lesnegaba la entrada <strong>al</strong> loc<strong>al</strong> por parecer sospechosas a ojos <strong>de</strong>l portero.La discoteca estaba en crisis. Si aumentaba la heurística y paranoia <strong>de</strong>l portero tenían reclamaciones porimpedir la entrada a personas legítimas. Si disminuía la heurística se le colaban <strong>de</strong>masiados in<strong>de</strong>seables.En esa situación se encuentra la industria antivirus actu<strong>al</strong>: una lista negra actu<strong>al</strong>izándose constantemente(hay antivirus que se actu<strong>al</strong>izan varias veces cada hora); una heurística agresiva para <strong>de</strong>tectar nuevosespecímenes que no estén en su lista negra; y una lista blanca más pequeña, y que se actu<strong>al</strong>iza menos, paraevitar meter la pata excesivamente <strong>de</strong>tectando como m<strong>al</strong>ware <strong>al</strong>gún software muy conocido y/o extendido.El resultado es <strong>de</strong> crisis técnica, siguen teniendo muchos problemas como en la discoteca, o bien están<strong>de</strong>tectando como m<strong>al</strong>icioso software legítimo, o bien se les sigue colando en cantidad m<strong>al</strong>ware <strong>de</strong> verdad,o en el peor <strong>de</strong> los casos ambas cosas.<strong>Una</strong> <strong>de</strong> las soluciones podría ser tener una lista blanca muy gran<strong>de</strong> y actu<strong>al</strong>izarla constantemente, como enel caso <strong>de</strong> la lista negra. Eso limitaría el número <strong>de</strong> f<strong>al</strong>sos positivos y las heurísticas podrían concentrarseen aquellos ficheros tot<strong>al</strong>mente <strong>de</strong>sconocidos, que no están ni en la lista negra ni en la lista blanca, y que<strong>de</strong>berían ser un número más reducido.De esta forma un antivirus podría tener un primer dictamen muy rápido dado un fichero: o se encuentraen la lista negra y por tanto es m<strong>al</strong>icioso, o se encuentra en la lista blanca y no necesito an<strong>al</strong>izarlo, o lomarco como <strong>de</strong>sconocido “lista gris” y le aplico una heurística agresiva, o les hago un seguimiento especi<strong>al</strong>(monitorización <strong>de</strong>l comportamiento), o lo paso a cuarentena a la espera <strong>de</strong> un proceso que permita tenerun dictamen más o menos fiable.Esta nueva estrategia requeriría manejar unas listas blancas y negras muy gran<strong>de</strong>s, y actu<strong>al</strong>izarlasconstantemente, para minimizar el número <strong>de</strong> ficheros que podrían caer en la lista gris (<strong>de</strong>sconocidos).Eso se traduce en el consumo <strong>de</strong> un mayor número <strong>de</strong> recursos por parte <strong>de</strong>l antivirus loc<strong>al</strong>: imaginemosque el portero tiene que consultar dos listados <strong>de</strong> millones <strong>de</strong> registros cada vez que <strong>al</strong>guien quiereentrar a nuestro loc<strong>al</strong>. En el PC significaría mayor consumo <strong>de</strong> memoria y CPU, amén <strong>de</strong> una constanteactu<strong>al</strong>ización <strong>de</strong> los ficheros <strong>de</strong> firmas a través <strong>de</strong> Internet.La solución a este problema <strong>de</strong> recursos viene <strong>de</strong> la mano <strong>de</strong> lo que se ha dado por llamar “cloud computing”,tan <strong>de</strong> moda <strong>de</strong>s<strong>de</strong> hace un tiempo, y que no es más que traspasar parte <strong>de</strong>l trabajo a un servidor remotocon una enorme capacidad <strong>de</strong> <strong>al</strong>macenamiento y proceso (lo que se conoce por “la nube”). En vez <strong>de</strong> tenerque consultar unas enormes listas negras y blancas en el or<strong>de</strong>nador loc<strong>al</strong>, con el consiguiente consumo <strong>de</strong>recursos, esa consulta se hace a través <strong>de</strong> Internet a un gran servidor centr<strong>al</strong>izado (un cluster <strong>de</strong> servidores)que <strong>de</strong>vuelve <strong>al</strong> PC el resultado, si ese fichero está en su lista negra o blanca.Con este enfoque el número <strong>de</strong> ficheros <strong>de</strong>sconocidos disminuye y, por tanto, el antivirus loc<strong>al</strong> pue<strong>de</strong>centrarse en ellos con heurísticas o una monitorización <strong>de</strong>l comportamiento con mayor <strong>de</strong>tenimiento paradictaminar si es un código m<strong>al</strong>icioso o no. La otra ventaja es que ese dictamen loc<strong>al</strong> pue<strong>de</strong> traspasarse <strong>al</strong>a nube, a los servidores centr<strong>al</strong>izados, en tiempo re<strong>al</strong>, <strong>de</strong> forma que ese m<strong>al</strong>ware nuevo <strong>de</strong>scubierto enun PC formará parte <strong>de</strong> la lista negra y prevendrá a otros sistemas que re<strong>al</strong>icen a posteriori una consultasobre ese fichero en particular. Incluso, <strong>de</strong>pendiendo <strong>de</strong> la estrategia <strong>de</strong>l antivirus, los ejecutables280<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
<strong>de</strong>sconocidos podrían ser enviados <strong>al</strong> servidor centr<strong>al</strong>izado don<strong>de</strong> podría ser an<strong>al</strong>izado automáticamentecon mayores recursos informáticos o ser trasladado a un an<strong>al</strong>ista humano si el dictamen automático noes concluyente.Esta re<strong>al</strong>imentación constante, entre PCs y servidores centr<strong>al</strong>izados que permite el “cloud computing”,está produciendo listas negras y blancas con millones <strong>de</strong> firmas o registros que serían inviables tener <strong>de</strong>forma loc<strong>al</strong> en un PC, y nos acercan un poco más a la utopía <strong>de</strong>l antivirus que es capaz <strong>de</strong> <strong>de</strong>tectar casitodo.No sería <strong>de</strong> extrañar que a corto o medio plazo, dado un análisis a <strong>de</strong>manda <strong>de</strong> un disco duro, un antiviruspudiera llegar a darnos un log completo (i<strong>de</strong>ntificando todos los ficheros), indicando cu<strong>al</strong>es son benignossegún su lista blanca, cu<strong>al</strong>es son m<strong>al</strong>ware según su lista negra, y aplicando un coeficiente <strong>de</strong> mayor omenor peligrosidad según heurística a los archivos <strong>de</strong>sconocidos.Volviendo a nuestro portero, imaginemos que la discoteca ha contratado un sistema <strong>de</strong> reconocimientofaci<strong>al</strong> que conecta automáticamente a un servidor centr<strong>al</strong>izado que mantiene una gran base <strong>de</strong> datos <strong>de</strong>personas y sus antece<strong>de</strong>ntes. <strong>Una</strong> cámara en la puerta automáticamente va capturando imágenes <strong>de</strong> lascaras <strong>de</strong> las personas que quieren entrar, las envía <strong>al</strong> servidor centr<strong>al</strong>izado don<strong>de</strong> se compara con su base<strong>de</strong> datos, y <strong>de</strong>vuelve <strong>al</strong> portero en tiempo re<strong>al</strong> si es <strong>al</strong>guien <strong>de</strong> confianza, si es <strong>al</strong>guien problemático, o si notiene información <strong>de</strong> esa persona.El portero pue<strong>de</strong> ahora, <strong>de</strong> forma instantánea, permitir o <strong>de</strong>negar la entrada según la respuesta <strong>de</strong>lsistema, y sólo tendrá que utilizar su heurística con unas pocas personas (las que el sistema no reconozca).Al ser pocas personas a las que <strong>de</strong>be aplicar la heurística podrá hacerlo con más <strong>de</strong>tenimiento, <strong>de</strong>s<strong>de</strong>pedir documentación a cachearla, actuaciones que antes no podía re<strong>al</strong>izar <strong>de</strong> forma indiscriminada porun problema <strong>de</strong> volumen y recursos. Si <strong>de</strong>tecta que un <strong>de</strong>sconocido lleva un arma, a<strong>de</strong>más <strong>de</strong> impedirlela entrada <strong>al</strong> loc<strong>al</strong>, se informa automáticamente <strong>al</strong> servidor centr<strong>al</strong>izado que mantiene la base <strong>de</strong> datos,re<strong>al</strong>imentando el sistema.Como el mismo servidor centr<strong>al</strong>izado da servicio a muchas discotecas, el sistema se <strong>al</strong>imenta <strong>de</strong> lainformación y actuaciones individu<strong>al</strong>es <strong>de</strong> muchos porteros en tiempo re<strong>al</strong>. A<strong>de</strong>más recoge informaciónadicion<strong>al</strong> que pue<strong>de</strong> ser útil a la hora <strong>de</strong> correlacionar datos.Visto así esta estrategia parece un avance importante para el mundo <strong>de</strong> lo antivirus, pero no es la panacea.El problema sigue siendo el mismo, dictaminar si un fichero es m<strong>al</strong>icioso o no. Incluso pue<strong>de</strong> que los errores<strong>al</strong> dictaminar sean más graves, si marcamos por error que un archivo es benigno y se cat<strong>al</strong>oga en la listablanca es más que probable que se <strong>de</strong>je actuar a ese código en cu<strong>al</strong>quier or<strong>de</strong>nador loc<strong>al</strong> a sus anchas o,en el mejor <strong>de</strong> los casos, aplicándole análisis heurísticos o <strong>de</strong> comportamiento más relajados en el sistem<strong>al</strong>oc<strong>al</strong>. Imaginemos un <strong>de</strong>lincuente que está marcado como confiable en el sistema <strong>de</strong> reconocimientofaci<strong>al</strong>, entraría a todas las discotecas automáticamente y el portero no se molestaría en prestarle mayoratención.Los servidores centr<strong>al</strong>izados <strong>de</strong>berían tener mecanismos <strong>de</strong> reanálisis y <strong>de</strong>puración <strong>de</strong> sus clasificaciones,para <strong>de</strong>tectar errores tanto <strong>de</strong> m<strong>al</strong>ware que se haya asignado a las listas blancas como <strong>de</strong> software legítimoque han entrado por error en las listas negras. Tarea no sencilla si tenemos en cuenta los volúmenes en losque pue<strong>de</strong>n moverse las colecciones <strong>de</strong> ficheros, lo que implica automatización y por en<strong>de</strong> dictámenes conun margen <strong>de</strong> error no <strong>de</strong>spreciable.Por lo tanto estos nuevos antivirus que tien<strong>de</strong>n a intentar i<strong>de</strong>ntificarlo todo, tanto el m<strong>al</strong>ware como los<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 281
ficheros legítimos, no necesariamente tienen que ser más fiables. <strong>Una</strong> cosa es que lo i<strong>de</strong>ntifiquen todo ocasi todo, otra cosa es que esa i<strong>de</strong>ntificación sea correcta. Lo que si es cierto es que las estrategias basadasen el “cloud computing” suponen un plus importante en la <strong>de</strong>tección <strong>de</strong>l m<strong>al</strong>ware, especi<strong>al</strong>mente conespecímenes muy nuevos, dada la actu<strong>al</strong>ización en tiempo re<strong>al</strong> <strong>de</strong> las bases <strong>de</strong> datos que se consultany la correlación centr<strong>al</strong>izada <strong>de</strong> datos que se pue<strong>de</strong> re<strong>al</strong>izar gracias a la re<strong>al</strong>imentación constante queproducen los antivirus conectados <strong>al</strong> servicio.En <strong>de</strong>finitiva, el “cloud computing” y el uso masivo <strong>de</strong> listas blancas son una capa más a sumar <strong>al</strong> antivirustradicion<strong>al</strong>, pero no <strong>de</strong>berían por si solos convertirse en solución <strong>de</strong> <strong>seguridad</strong>. Sus beneficios se pue<strong>de</strong>nnotar ya en las primeras soluciones antivirus que lo están implantando, sus <strong>de</strong>bilida<strong>de</strong>s tampoco se haránesperar.Bernardo Quintero282<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
Documentación<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 - 283
284<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2008 -
7D93731Capítuloaño 20091111111011001
<strong>12</strong>30768000 – <strong>12</strong>62303999Durante este año...__El 1 <strong>de</strong> enero <strong>de</strong>saparece ofici<strong>al</strong>mente la edición en papel <strong>de</strong>l BOE español(Boletín ofici<strong>al</strong> <strong>de</strong>l Estado) <strong>de</strong>spués <strong>de</strong> publicarse durante 350 años. Queda solo laversión digit<strong>al</strong> con pleno v<strong>al</strong>or jurídico y un ahorro <strong>de</strong> 6 millones <strong>de</strong> euros<strong>al</strong> año. Las visitas a la web <strong>de</strong>l BOE crecen a un ritmo <strong>de</strong>l 20% anu<strong>al</strong>, con una media <strong>de</strong> tresmillones <strong>de</strong> visitas.__La guerra <strong>de</strong> Gaza continúa con el ejército israelí invadiendo por tierra la franja <strong>de</strong> Gaza. Acaban losseis meses <strong>de</strong> <strong>al</strong>to el fuego. Unos días antes, los israelíes usaron las fuerzas aéreas para bombar<strong>de</strong>ar a losp<strong>al</strong>estinos. El 10 <strong>de</strong> febrero se celebrarían las elecciones en Israel.__ Durante enero, la crisis continúa <strong>de</strong>rrumbando (metafóricamente) bancos y gran<strong>de</strong>s entida<strong>de</strong>s. A fin<strong>al</strong>es<strong>de</strong> enero cae el sistema bancario <strong>de</strong> Islandia. El primer ministro Geir Haar<strong>de</strong> dimite y es sustituidopor Jóhanna Sigurðardóttir, <strong>de</strong>clarada abiertamente gay.__Durante febrero se propagan los fuegos en Austr<strong>al</strong>ia, que llegan a matar a 173 personas y herir a500.__El 28 <strong>de</strong> marzo se <strong>de</strong>clara “La hora <strong>de</strong>l planeta”. La WWF anima a todos los ciudadanos,empresas y gobiernos a combatir el cambio climático apagando las luces durante una hora.Así, a las 20:30 CET se apagan las luces <strong>de</strong> cientos <strong>de</strong> lugares públicos en todo el planeta,<strong>de</strong>jando sin iluminación monumentos y edificios emblemáticos.__El 2 <strong>de</strong> abril se reúne <strong>de</strong> nuevo el G-20 para discutir sobre la crisis económica mundi<strong>al</strong>. Secongregan en Londres los responsables financieros <strong>de</strong> los 20 países más relevantes <strong>de</strong>l planeta. Españaacudió a la primera gracias <strong>al</strong> lí<strong>de</strong>r francés Sarkozy, que cedió a José Luis Rodríguez Zapatero una <strong>de</strong> lassillas que le correspondían en la primera reunión en Washinton.__El 7 <strong>de</strong> abril se sentencia a Alberto Fujimori a 25 años <strong>de</strong> prisión por or<strong>de</strong>nar secuestros y asesinatos<strong>de</strong>s<strong>de</strong> sus fuerzas <strong>de</strong> <strong>seguridad</strong>._ El 21 <strong>de</strong> abril la UNESCO lanza la World Digit<strong>al</strong> Library. La Biblioteca Digit<strong>al</strong>Mundi<strong>al</strong> pone a disposición en Internet, <strong>de</strong> manera gratuita y en formato multilingüemateri<strong>al</strong> literario <strong>de</strong> la mayor parte <strong>de</strong> las culturas <strong>de</strong> todo el mundo. Según la propiapágina, los objetivos <strong>de</strong> la Biblioteca Digit<strong>al</strong> Mundi<strong>al</strong> son: Promover el entendimientointernacion<strong>al</strong> e intercultur<strong>al</strong>, ampliar la cantidad y la variedad <strong>de</strong> contenidos cultur<strong>al</strong>es enInternet, facilitar recursos a los educadores, estudiosos y el público en gener<strong>al</strong> y permitira las instituciones asociadas reducir la distancia digit<strong>al</strong> <strong>de</strong>ntro <strong>de</strong> y entre los países.__ El 25 <strong>de</strong> mayo, La República Democrática y Popular <strong>de</strong> Corea (RDPC, Corea <strong>de</strong>l Norte) re<strong>al</strong>iza conéxito un nuevo ensayo nuclear subterráneo en el marco <strong>de</strong> sus “medidas <strong>de</strong>stinadas a reforzar suscapacida<strong>de</strong>s <strong>de</strong> disuasión nuclear”. Toda la comunidad internacion<strong>al</strong> rechaza <strong>de</strong> pleno estas pruebas. Elprimer ensayo nuclear <strong>de</strong>l país en octubre <strong>de</strong> 2006, según el ministerio ruso <strong>de</strong> <strong>de</strong>fensa, era <strong>de</strong> entre 5 y15 kilotones. Se afirma que este es entre 4 y 6 veces superior en potencia.286<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
Gripe A.A comienzos <strong>de</strong> marzo, más <strong>de</strong> la mitad <strong>de</strong> los resi<strong>de</strong>ntes <strong>de</strong> La Gloria, en el Estado <strong>de</strong>Veracruz en México, sufre problemas respiratorios <strong>de</strong>rivados <strong>de</strong> una gripe. El pueblo estáloc<strong>al</strong>izado cerca <strong>de</strong> un inmenso cria<strong>de</strong>ro <strong>de</strong> cerdos que produce anu<strong>al</strong>mente un millón<strong>de</strong> cabezas. Comienza la pan<strong>de</strong>mia <strong>de</strong> lo que fin<strong>al</strong>mente se <strong>de</strong>nominó Gripe A.El nombre ofici<strong>al</strong> es Influenzavirus A <strong>de</strong> origen porcino (subtipo H1N1). Alser <strong>de</strong>scubierta se le <strong>de</strong>nominó gripe porcina aunque no fue el úniconombre que se manejó. La Organización Mundi<strong>al</strong> <strong>de</strong> la S<strong>al</strong>ud Anim<strong>al</strong>propuso “gripe norteamericana”. La Unión Europea quiso llamarla “nuevagripe”. Fin<strong>al</strong>mente el 30 <strong>de</strong> abril <strong>de</strong> 2009 la Organización Mundi<strong>al</strong> <strong>de</strong> laS<strong>al</strong>ud (OMS) <strong>de</strong>ci<strong>de</strong> <strong>de</strong>nominarla gripe A (H1N1), zanjando la cuestióny resultando el nombre mayoritariamente aceptado. Se comienzan a<strong>de</strong>tectar casos <strong>de</strong> infecciones en personas que no han viajado a Méjico,con lo que se concluye que se transmite entre humanos. El número <strong>de</strong> casos aumenta entodo el mundo. Muchos afectados con otras afecciones respiratorios mueren a causa <strong>de</strong>la gripe. Las <strong>al</strong>armas se disparan. El 29 <strong>de</strong> abril, la OMS incrementa el nivel <strong>de</strong> <strong>al</strong>erta porpan<strong>de</strong>mia a 5 indicando que la pan<strong>de</strong>mia es “inminente”. El 11 <strong>de</strong> junio, se <strong>de</strong>clara lafase 6 <strong>de</strong> <strong>al</strong>erta, esto es, pan<strong>de</strong>mia. Esto indica que la gripe se propaga mundi<strong>al</strong>mente<strong>de</strong> forma rápida, no que sea más virulenta. De hecho, se registran en menos <strong>de</strong> dos mesescasos en todos los continentes. Los países compran gran<strong>de</strong>s cantida<strong>de</strong>s <strong>de</strong> vacunas <strong>de</strong>cara a una posible infección masiva con la llegada <strong>de</strong>l otoño.__El 25 <strong>de</strong> junio muere Michael Jackson, icono mundi<strong>al</strong> <strong>de</strong>l pop. Las primerasnoticias sobre su muerte aparecen en Twitter. La red se colapsa buscando informaciónsobre el artista, las páginas <strong>de</strong> información no dan abasto. Youtube muestra todos suví<strong>de</strong>os una y otra vez. Se le homenajea con páginas como www.etern<strong>al</strong>moonw<strong>al</strong>k.com, don<strong>de</strong> cu<strong>al</strong>quier usuario pue<strong>de</strong> colgar ví<strong>de</strong>os haciendo el “moonw<strong>al</strong>k” y sonenca<strong>de</strong>nados. Decenas <strong>de</strong> miles <strong>de</strong> personas participan el en proyecto. Las empresasaprovechan para relanzar su discografía y apenas dos meses <strong>de</strong>spués se estrenauna película document<strong>al</strong> “This is it” sobre su vida. Como suele ser habitu<strong>al</strong>, a laspocas horas aparecen correos con m<strong>al</strong>ware que prometen más información sobre sumuerte.__Explota la crisis política en Honduras. Durante la madrugada <strong>de</strong>l 28 <strong>de</strong> junio, fuerzas armadas <strong>al</strong>mando <strong>de</strong>l teniente coronel Rene Antonio Herpburn Bueso se introducen por la fuerza en la resi<strong>de</strong>nciapresi<strong>de</strong>nci<strong>al</strong> y <strong>de</strong>tienen y exilian <strong>al</strong> presi<strong>de</strong>nte Manuel Zelaya. Toda la comunidad internacion<strong>al</strong> con<strong>de</strong>naenérgicamente el golpe <strong>de</strong> estado. Le siguen multitudinarias manifestaciones a favor <strong>de</strong>l gobierno <strong>de</strong>Roberto Micheletti. Zelaya se recluye en la embajada <strong>de</strong> Brasil en Honduras.__El 5 <strong>de</strong> agosto, la Wikipedia en español <strong>al</strong>canza los 500.000 artículos.__El 16 <strong>de</strong> agosto el jamaicano Usain Bolt bate el récord <strong>de</strong>l mundo <strong>de</strong> los 100 metros lisos conuna marca <strong>de</strong> 9,58 segundos durante el Campeonato Mundi<strong>al</strong> <strong>de</strong> atletismo en Berlín. Des<strong>de</strong> los tiempos<strong>de</strong> Carl Lewis y Ben Johnson a fin<strong>al</strong>es <strong>de</strong> los 80, una carrera <strong>de</strong> velocidad no ofrece tanta expectación.Después <strong>de</strong> 20 años en los que un puñado <strong>de</strong> hombres le robaban, liter<strong>al</strong>mente, centésima a centésima <strong>al</strong>cronómetro, aparece Bolt y baja en dos años 16 centésimas <strong>al</strong> récord inmediatamente anterior.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 - 287
9,79 segundos. Ben Johnson en 1988. Anulado por dopaje.9,86 segundos: Carl Lews en 19919,85 segundos: Leroy Burrel en 19949,84 segundos: Donovan Bailey en 19969,79 segundos: Maurice Green en 19999,78 segundos: Tim Montgomery en 20029,77 segundos: Justin Gatlin en 20069,74 segundos: Asafa Powell en 20079,69 segundos: Usain Bolt en 20089,58 segundos: Usain Bolt en 2009.__A pesar <strong>de</strong> los esfuerzos <strong>de</strong> todos los madrileños por acoger los Juegos Olímpicos <strong>de</strong> 2016, Rio <strong>de</strong>Janeiro se erige como la capit<strong>al</strong> don<strong>de</strong> se re<strong>al</strong>izará el evento. Madrid s<strong>al</strong>e a la c<strong>al</strong>le los días previos a la<strong>de</strong>cisión para apoyar su candidatura.__El 15 <strong>de</strong> septiembre muere Patrick Swayze, a los 56 años.Seguridad Informática__Conficker, también conocido como Downadup, s<strong>al</strong>ta a los medios gener<strong>al</strong>istasactivando <strong>al</strong>armas. Es la última <strong>al</strong>erta sobre m<strong>al</strong>ware masivo. La combinación <strong>de</strong> ciertastécnicas le permite conseguir un buen número <strong>de</strong> infecciones. Conficker juega bien suscartas, haciendo un inteligente uso <strong>de</strong>l Autorun y Autoplay <strong>de</strong> Windows para difundirse. Igu<strong>al</strong>mente,utiliza técnicas avanzadas <strong>de</strong> criptografía e ingeniería soci<strong>al</strong>, y s<strong>al</strong>e a la luz en un momento oportuno:aprovecha una vulnerabilidad en Microsoft Windows muy reciente, y por ello encuentra un gran número<strong>de</strong> sistemas vulnerables en los que expandirse. Igu<strong>al</strong>mente, evoluciona lo suficientemente rápido comopara corregir sus propios errores y mantenerse como uno <strong>de</strong> los ejemplares más infecciosos. Es el primeroen usar un <strong>al</strong>goritmo <strong>de</strong> generación <strong>de</strong> dominios que, por los números usados, impi<strong>de</strong> virtu<strong>al</strong>mente quelos investigadores puedan a<strong>de</strong>lantarse <strong>al</strong> registro <strong>de</strong> dominios “nodriza” y estudiar su comportamiento.Desconcierta a todos porque lo más curioso es que no parece tener un fin concreto más <strong>al</strong>lá <strong>de</strong> su propiaexpansión. Todo ello a pesar <strong>de</strong> una implacable persecución <strong>de</strong> los antivirus que, aunque no tardan en<strong>de</strong>tectarlo, parecen no ser efectivos contra su difusión. Con el tiempo, obligaría a Microsoft a replantearsesu política <strong>de</strong> ejecución automática <strong>de</strong> dispositivos extraíbles, publicando un parche que restringiría laejecución <strong>de</strong> archivos por <strong>de</strong>fecto.__Se <strong>de</strong>tecta en enero m<strong>al</strong>ware oculto en una copia pirata <strong>de</strong> Apple iWork 09 para Mac OS X.Sigue la intención <strong>de</strong> la industria <strong>de</strong>l m<strong>al</strong>ware <strong>de</strong> llegar a los Mac OS X. Apple reacciona tímida y casi <strong>de</strong>forma ridícula, incluyendo un rudimentario antivirus en su versión Snow <strong>de</strong> septiembre <strong>de</strong> ese mismoaño. Tan rudimentario que parece reconocer solo dos familias <strong>de</strong> m<strong>al</strong>ware que suele atacar <strong>al</strong> sistemaoperativo <strong>de</strong> Apple y solo comprueba las <strong>de</strong>scargas por Safari. No limpia el sistema ni nada parecido, soloaconseja <strong>de</strong> la peligrosidad <strong>de</strong>l archivo. Es un movimiento que causaría cierta sorna entre la industriaantivirus. Re<strong>al</strong>mente es un gesto que <strong>de</strong>be v<strong>al</strong>orarse positivamente, pero <strong>de</strong> poca utilidad re<strong>al</strong>.__ En febrero Apple publica uno <strong>de</strong> sus habitu<strong>al</strong>es mega parches para Mac OS X 10, incluyendo a<strong>de</strong>másactu<strong>al</strong>izaciones para Safari bajo Windows y Java para Mac. Corrige 50 vulnerabilida<strong>de</strong>s diferentes.El <strong>de</strong>scubridor <strong>de</strong> una <strong>de</strong> ellas se queja <strong>de</strong> que han tardado más <strong>de</strong> seis meses en publicar una288<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
actu<strong>al</strong>ización para un grave problema en Safari, que permitía a un atacante tener acceso a ficherosloc<strong>al</strong>es <strong>de</strong>l sistema a través <strong>de</strong> una página web.__ La ShadowServer Fundation advierte el día 19 <strong>de</strong> febrero <strong>de</strong> una potenci<strong>al</strong> vulnerabilidad en AdobeAcrobat Rea<strong>de</strong>r que podría permitir a un atacante ejecutar código arbitrario. Al <strong>de</strong>scubrirse el problemamientras estaba siendo aprovechado activamente por atacantes, se convierte en un grave 0 day. Adobereconoce fin<strong>al</strong>mente la vulnerabilidad como una nueva amenaza, para la que no existe parche disponible.Tres semanas <strong>de</strong>spués, publican un parche pero no para todas sus versiones mantenidas. En abril Adobeconfirmaría otra grave vulnerabilidad en Adobe Rea<strong>de</strong>r que estaba siendo aprovechada poratacantes para ejecutar código en el sistema (tanto Windows como cu<strong>al</strong>quier otro sistema operativo quelo soporte). En VirusTot<strong>al</strong>.com se <strong>de</strong>tecta claramente la ten<strong>de</strong>ncia <strong>al</strong> <strong>al</strong>za <strong>de</strong> análisis <strong>de</strong> archivos PDF enlas horas en las que se hace público el problema, sin duda motivados por la <strong>al</strong>erta generada en torno a ese0 day. Si la media diaria recibida en VirusTot<strong>al</strong>.com está entre 150 y 200 archivos en formato PDF, el día<strong>de</strong>l anuncio se superan los 500 archivos an<strong>al</strong>izados. En octubre, se repetiría la historia: se encuentra elenésimo 0 day en Adobe Rea<strong>de</strong>r para Windows.__Moxie Marlinspike <strong>de</strong>muestra en una conferencia en la Black Hat cómo eludir la autenticación y elcifrado SSL <strong>de</strong> las páginas supuestamente seguras. El investigador se centra en una inteligentecombinación <strong>de</strong> técnicas que permiten confundir a los usuarios (incluso a los avanzados) sobre si estáno no en la página correcta. Ninguna <strong>de</strong> las técnicas usadas es re<strong>al</strong>mente nueva, pero todas en conjuntoforman una excelente herramienta llamada sslstrip.__En febrero, Microsoft reconoce en una nota ofici<strong>al</strong> que está investigando la existencia <strong>de</strong>una nueva vulnerabilidad en Office Excel que podría permitir la ejecución remota <strong>de</strong> código si unusuario abre un archivo Excel especi<strong>al</strong>mente manipulado. En la entrada titulada “Detection Ad<strong>de</strong>d ForThe New 0-day In Excel” <strong>de</strong>l blog <strong>de</strong> investigación y respuesta ante amenazas <strong>de</strong>l Microsoft M<strong>al</strong>wareProtection Center se aña<strong>de</strong> <strong>al</strong>go <strong>de</strong> información adicion<strong>al</strong>. Se proporciona una pequeña lista con loshashes SHA1 <strong>de</strong> <strong>al</strong>gunos <strong>de</strong> los archivos que contienen el exploit. Haciendo una búsqueda <strong>de</strong> los hashes enVirusTot<strong>al</strong>.com se aprecia que uno <strong>de</strong> los archivos fue enviado y an<strong>al</strong>izado por primera vez en diciembre <strong>de</strong>2008, dato indicativo <strong>de</strong> que una primera versión <strong>de</strong>l exploit podría estar siendo utilizada <strong>de</strong>s<strong>de</strong> entonces.Poco <strong>de</strong>spués Microsoft sufriría otro grave problema <strong>de</strong> <strong>seguridad</strong> en PowerPoint, <strong>de</strong>scubierto mientrasestaba siendo aprovechado por atacantes.__En marzo, Matthew Dempsky se lleva 1.000 dólares por encontrar un pequeño f<strong>al</strong>lo <strong>de</strong> segurida<strong>de</strong>n djbdns. D. J. Bernstein programó a mediados <strong>de</strong> los noventa, qmail y djbdns con la <strong>seguridad</strong> siempreen mente. Precisamente, estaba harto <strong>de</strong> vulnerabilida<strong>de</strong>s en sus homólogos Sendmail y BIND, dos pesospesados <strong>de</strong> Internet que sufrían <strong>de</strong> enormes agujeros <strong>de</strong> <strong>seguridad</strong> cada muy poco tiempo por aquelentonces. Como <strong>al</strong>ternativa, creó estos servidores siguiendo unas premisas muy sencillas en las que sepremiaba por encima <strong>de</strong> todo la <strong>seguridad</strong> y simplicidad. Estaba tan seguro <strong>de</strong> su trabajo que ofreció unarecompensa económica a quien encontrara f<strong>al</strong>los en su software. Hoy en día es habitu<strong>al</strong> que premieneconómicamente a los que encuentran f<strong>al</strong>los <strong>de</strong> <strong>seguridad</strong>, pero por entonces, era una especie <strong>de</strong> osadía.Para Bernstein se convirtió en su garantía <strong>de</strong> <strong>seguridad</strong>. Nunca se pensó que pasarían tantos años hastaque <strong>al</strong>guien pudiese hacerse con el premio.__Rutkowska y su equipo publican el documento técnico “Attacking SMM Memory via Intel CPUCache Poisoning”. System Management Mo<strong>de</strong> (SMM) se refiere a un modo <strong>de</strong> operación más privilegiadoen las arquitecturas x86. El SMM podría consi<strong>de</strong>rarse el Ring -2. SMM se ejecuta en la zona <strong>de</strong> memoriaconocida como SMRAM. Se supone que el controlador <strong>de</strong> memoria solo <strong>de</strong>be permitir <strong>al</strong> firmware (laBIOS) acce<strong>de</strong>r a esa zona <strong>de</strong> memoria. <strong>Una</strong> vez que la BIOS carga en esa parte el SMM, sólo el código<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 - 289
que esté en ese “anillo” <strong>de</strong>bería po<strong>de</strong>r acce<strong>de</strong>r a él. Lo que <strong>de</strong>scubren es cómo acce<strong>de</strong>r a esa zona, bajardos niveles <strong>de</strong>s<strong>de</strong> el Ring 0 (a través <strong>de</strong> un driver en el sistema Windows, o incluso siendo root en Linux)y ejecutar código con los privilegios <strong>de</strong> SMM. Con todo ese po<strong>de</strong>r, una vez más y como ya <strong>de</strong>mostró conBlue Pill, se pue<strong>de</strong> crear un rootkit in<strong>de</strong>tectable. Liter<strong>al</strong>mente, el sistema operativo e incluso los drivers,todo, podría estar bajo el control <strong>de</strong> un atacante y hacer creer una tot<strong>al</strong> “mentira” <strong>al</strong> sistema basada en unaejecución <strong>de</strong> código capaz <strong>de</strong> controlar <strong>al</strong> más bajo nivel el sistema.__Guido Landi hace públicos (sin previo aviso) los <strong>de</strong>t<strong>al</strong>les <strong>de</strong> una vulnerabilidad que permite laejecución <strong>de</strong> código en la nueva versión 3.5 <strong>de</strong> Mozilla Firefox con solo interpretar un archivoXML especi<strong>al</strong>mente manipulado. En principio la prueba <strong>de</strong> concepto publicada hace que el navegador<strong>de</strong>je <strong>de</strong> respon<strong>de</strong>r, pero es posible <strong>de</strong> forma relativamente sencilla modificar el exploit para que permit<strong>al</strong>a ejecución <strong>de</strong> código. El problema afecta a todas las versiones (actu<strong>al</strong> y anteriores) <strong>de</strong>l navegador sobrecu<strong>al</strong>quier sistema operativo. Firefox no tarda en corregirlo.__La universidad <strong>de</strong> Toronto publica un documento <strong>de</strong> investigación sobre GhostNet, una botnetconcebida para un objetivo muy concreto: el espionaje. La población <strong>de</strong> GhostNet es <strong>de</strong> solo 1.295 sistemasinfectados, pero la novedad es el objetivo político que persigue.__En abril se habla en los medios <strong>de</strong> que los m<strong>al</strong>os están pagando hasta 25.000 euros por un mo<strong>de</strong>loantiguo <strong>de</strong> móvil Nokia 1100 (<strong>de</strong> 2003). La razón es que dicen que contiene un error que permitiríainterceptar los SMS, y po<strong>de</strong>r así eludir la <strong>seguridad</strong> <strong>de</strong> los bancos que utilizan este método para v<strong>al</strong>idartransacciones. El tema levanta mucho revuelo pero pronto queda en el olvido.__En mayo se <strong>de</strong>scubre una vulnerabilidad “como las <strong>de</strong> antes” en Internet Information Server,el servidor web <strong>de</strong> Microsoft y, lo peor, aprovechando f<strong>al</strong>los y problemas que parecían pertenecer ya <strong>al</strong>pasado, como <strong>de</strong> otro tiempo. El f<strong>al</strong>lo dispara el número <strong>de</strong> “<strong>de</strong>sfiguraciones” (<strong>de</strong>faces) en servidores webcon IIS. La vulnerabilidad combina elementos que dieron muchos dolores <strong>de</strong> cabeza a Microsoft a fin<strong>al</strong>es<strong>de</strong> los 90. El f<strong>al</strong>lo está en IIS 6.x a la hora <strong>de</strong> procesar peticiones HTTP especi<strong>al</strong>mente manipuladas conla cabecera “Translate:f” y con caracteres Unico<strong>de</strong>. Un atacante podría eludir la autenticación (y subirficheros si lo permiten los permisos) <strong>al</strong> disparar un problema <strong>de</strong> v<strong>al</strong>idación en WebDAV. En IIS 5.x, lavulnerabilidad es más grave. Poco <strong>de</strong>spués se encontraría una nueva vulnerabilidad en el FTP <strong>de</strong> MicrosoftIIS 5 que permitía la ejecución <strong>de</strong> código. M<strong>al</strong> año para IIS, que había conseguido muchos meses <strong>de</strong> relativatranquilidad en cuestión <strong>de</strong> <strong>seguridad</strong>.__A pesar <strong>de</strong> que en la última macro-actu<strong>al</strong>ización <strong>de</strong> Mac OS X corrige 67 vulnerabilida<strong>de</strong>s, Apple <strong>de</strong>jasin solución un grave problema en el JRE (Java Runtime Environment) que pue<strong>de</strong> ser aprovechadopor atacantes para ejecutar código con solo visitar una página web, conocido <strong>de</strong>s<strong>de</strong> agosto <strong>de</strong> 2008.__ Tras la sucesión <strong>de</strong> graves vulnerabilida<strong>de</strong>s, exploits 0 days y críticas vertidas hacía la política <strong>de</strong><strong>seguridad</strong> <strong>de</strong> Adobe, anuncia que en agosto comenzará a aplicar un ciclo <strong>de</strong> publicación <strong>de</strong>actu<strong>al</strong>izaciones <strong>de</strong> <strong>seguridad</strong> igu<strong>al</strong> <strong>al</strong> <strong>de</strong> Microsoft, es <strong>de</strong>cir, los segundos martes <strong>de</strong> cada mes yfuera <strong>de</strong> ese ciclo aquellas que por su importancia o gravedad precisen <strong>de</strong> una actuación inmediata. Se veobligada a sacar parches fuera <strong>de</strong> su ciclo nada más empezar, en mayo y más tar<strong>de</strong> en julio.__Otro 0 day en Microsoft DirectX golpea a Microsoft. Poco <strong>de</strong>spués, <strong>de</strong> nuevo se <strong>de</strong>scubriría otro enMicrosoft Office Web Component.__ Durante el verano, el Consejo Nacion<strong>al</strong> Consultor sobre CyberSeguridad (CNCCS) apoya la iniciativaparlamentaria que propone la creación <strong>de</strong>l Plan Europeo <strong>de</strong> CyberSeguridad en la Red, una organización290<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
privada que tiene, como miembros fundadores, a Panda Security, S21Sec, <strong>Hispasec</strong> Sistemasy Secuware. Poco <strong>de</strong>spués el Senado la aprueba por unanimidad. La misión <strong>de</strong>l CNCCS es poner adisposición <strong>de</strong> las diversas organizaciones que operan en España, gubernament<strong>al</strong>es o no, el conocimientoy experiencia <strong>de</strong> sus miembros en asuntos relacionados con la cyber<strong>seguridad</strong> nacion<strong>al</strong> o glob<strong>al</strong>, con el fin<strong>de</strong> hacer más segura Internet y las re<strong>de</strong>s <strong>de</strong> Información, a la vez quepotenciar la innovación y el crecimiento económico. En septiembrese unirían CNCCS: Cybex, Amper, Telefónica, TBSecurity, BarcelonaDigit<strong>al</strong> Centro Tecnológico, Universidad <strong>de</strong> Deusto LaboratorioS3Lab, Colegio Ofici<strong>al</strong> <strong>de</strong> Ingenieros <strong>de</strong> Telecomunicación (COIT) yAEDEL.__Unos investigadores austr<strong>al</strong>ianos <strong>de</strong>scubren una nueva combinación <strong>de</strong> métodos para provocarcolisiones en el <strong>al</strong>goritmo <strong>de</strong> hash SHA1 <strong>de</strong> forma mucho más rápida. Sólo se necesitarían 2 52intentos. Esto podría resultar en ataques prácticos posibles a este sistema <strong>de</strong> hash. A principios <strong>de</strong> 2005 ungrupo <strong>de</strong> investigadores chinos consiguió reducir el número <strong>de</strong> intentos para acelerar el proceso <strong>de</strong> colisión<strong>de</strong> dos mensajes cu<strong>al</strong>esquiera a 2 69 . Poco <strong>de</strong>spués se avanzó hasta 2 63 . El <strong>de</strong>partamento <strong>de</strong> <strong>al</strong>goritmos ycriptografía <strong>de</strong> la Universidad <strong>de</strong> Macquarie (Austr<strong>al</strong>ia) lo reduce a una complejidad <strong>de</strong> 2 52 .__Adobe reconoce distribuir una versión vulnerable <strong>de</strong> Adobe Rea<strong>de</strong>r <strong>de</strong>s<strong>de</strong> su página ofici<strong>al</strong>.Confiaban en que el usuario actu<strong>al</strong>izase más tar<strong>de</strong>, una vez <strong>de</strong>scargado e inst<strong>al</strong>ado.__Tanto Microsoft como Adobe reconocen solucionar dos f<strong>al</strong>los que se convierten en 0 day,pero que en re<strong>al</strong>idad conocían <strong>de</strong>s<strong>de</strong> 2008. Esto es una práctica habitu<strong>al</strong>, pero el problema eneste caso es que, antes <strong>de</strong> solucionarlos, otros investigadores con no muy buenas intenciones acaban por<strong>de</strong>scubrirlos también y aprovecharlos en beneficio propio. Esto les obliga a sacar un parche con mayorceleridad, aunque llevasen meses con la vulnerabilidad “aparcada”.__A fin<strong>al</strong>es <strong>de</strong> agosto se optimiza el ataque a WPA para reducirlo a un minuto. Se trata <strong>de</strong> unescenario tot<strong>al</strong>mente teórico, casi irre<strong>al</strong>, pero mejora el tiempo <strong>de</strong>l ataque que se <strong>de</strong>scribió el año anteriorsobre WPA, pero que necesitaba <strong>de</strong> unos 15 minutos para po<strong>de</strong>r introducir con éxito pequeños paquetesf<strong>al</strong>sos en el tráfico.__Los servidores <strong>de</strong> la fundación Apache presentan durante <strong>al</strong>gunas horas una escueta páginainformando que se encontraban investigando un inci<strong>de</strong>nte en sus servidores. Aclaran que no se trata<strong>de</strong> un exploit que afectase <strong>al</strong> popular servidor web, producto <strong>de</strong> la propia fundación, sino <strong>de</strong> una llaveSSH comprometida. La llave en cuestión permitía el acceso a una cuenta para efectuar copias <strong>de</strong> resp<strong>al</strong>doautomáticas <strong>de</strong>l sitio web “ApacheCon”, en una máquina situada en un <strong>al</strong>ojamiento externo a la fundación.Esta máquina fue usada para subir archivos a un servidor <strong>de</strong> su infraestructura, <strong>de</strong>nominado minotaur.apache.org, con funciones notables, como proveer <strong>de</strong> cuentas para los “comitters” (cuentas con acceso <strong>de</strong>escritura a los repositorios <strong>de</strong> código) y <strong>de</strong> entrada a los distintos sitiosweb <strong>de</strong> la fundación Apache. Apache gestiona el f<strong>al</strong>lo <strong>de</strong> forma tot<strong>al</strong>mentetransparente, admitiendo errores y aciertos.__En septiembre, Laurent Gaffié <strong>de</strong>tecta un f<strong>al</strong>lo <strong>de</strong> <strong>seguridad</strong> en Windows Vista que podría permitira un atacante provocar un BSOD (pant<strong>al</strong>lazo azul, una <strong>de</strong>negación <strong>de</strong> servicio) con solo enviar <strong>al</strong>gunospaquetes <strong>de</strong> red manipulados a una máquina que tenga activos los servicios <strong>de</strong> compartición <strong>de</strong> archivos(protocolo SMB2). El f<strong>al</strong>lo (incomprensiblemente simple) está en el intérprete <strong>de</strong> las cabeceras SMB,concretamente en el driver srv2.sys. El ataque es tan sencillo que recuerda a los “pings <strong>de</strong> la muerte” quehicieron estragos a fin<strong>al</strong>es <strong>de</strong> los 90 en los sistemas Windows. Poco <strong>de</strong>spués se <strong>de</strong>scubre que la ejecución<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 - 291
<strong>de</strong> código es posible y se hacen públicos varios exploits.__Cisco y Microsoft publican parche para la vulnerabilidad “Sockstress”, revelada en octubre <strong>de</strong> 2008.Son los primeros <strong>de</strong> una larga lista <strong>de</strong> fabricantes que se ven afectados por esta vulnerabilidad.__<strong>Hispasec</strong> lanza un estudio comparativo: ¿Cuánto tardan los gran<strong>de</strong>s fabricantes <strong>de</strong> software enarreglar una vulnerabilidad? Nos preguntamos cuánto tardan 10 gran<strong>de</strong>s fabricantes en solucionaruna vulnerabilidad cuando no sufren la presión <strong>de</strong> los medios, cuando el f<strong>al</strong>lo es solo conocido por ellosy quien la ha <strong>de</strong>scubierto. Cómo reaccionan ante esta situación “i<strong>de</strong><strong>al</strong>” (<strong>de</strong>s<strong>de</strong> su punto <strong>de</strong> vista), en laque la vulnerabilidad les ha sido comunicada en secreto, y ambas partes acuerdan no hacerlo públicohasta que exista una solución. Algunas <strong>de</strong> las conclusiones <strong>de</strong>l estudio <strong>de</strong> 449 vulnerabilida<strong>de</strong>s son quela media <strong>de</strong> los gran<strong>de</strong>s fabricantes es <strong>de</strong> seis meses para solucionar una vulnerabilidad,in<strong>de</strong>pendientemente <strong>de</strong> su gravedad. Encontramos ejemplos en los que una vulnerabilidad crítica essolucionada un año <strong>de</strong>spués <strong>de</strong> ser <strong>de</strong>scubierta, y otros en los que se tardan apenas unos días. Todos losdatos y el informe completo, están disponibles <strong>de</strong> forma tot<strong>al</strong>mente gratuita y sin necesidad <strong>de</strong> registro<strong>de</strong>s<strong>de</strong>:http://www.hispasec.com/laboratorio/<strong>Hispasec</strong>_Estudio_Vulnerabilida<strong>de</strong>s.pdf__Se celebra con éxito la LaCon 2009, su segunda edición. Charlas entretenidas, interesantes, novedosas...y políticamente incorrectas.__Aparece URLZone, un troyano peculiar que abre nuevas técnicas innovadoras en el mundo<strong>de</strong>l m<strong>al</strong>ware. El troyano es capaz <strong>de</strong> recordar el b<strong>al</strong>ance anterior <strong>de</strong> su víctima, y f<strong>al</strong>searlo en la cuentauna vez ha sido robado. Así, el usuario no percibe que está siendo víctima <strong>de</strong> frau<strong>de</strong>. No pue<strong>de</strong> <strong>de</strong>tectar laf<strong>al</strong>ta <strong>de</strong> dinero en su cuenta a menos que an<strong>al</strong>ice un extracto por <strong>al</strong>gún otro medio que no sea su propioor<strong>de</strong>nador troyanizado, o le sea <strong>de</strong>vuelto <strong>al</strong>gún recibo. A<strong>de</strong>más, cuando URLZone <strong>de</strong>tecta que no está ensu botnet “legítima”, o sea, la red <strong>de</strong> sistemas infectados que reciben ór<strong>de</strong>nes <strong>de</strong> uno o varios sistemascentr<strong>al</strong>es, modifica su comportamiento para eludir a los investigadores. Si es inst<strong>al</strong>ado en un laboratorio, yla red centr<strong>al</strong> no “conoce” a ese sistema, simulará un comportamiento extraño, en el que toda persona quehaya recibido dinero <strong>de</strong> la cuenta <strong>de</strong> la víctima, parecerá que es el mulero <strong>de</strong> turno. De paso, ocultan así lascuentas <strong>de</strong> los muleros re<strong>al</strong>es, y perseguir el dinero se convierte en una tarea todavía más compleja.<strong>Una</strong> <strong>al</strong> día11/02/2009 Por qué el 92% <strong>de</strong> las vulnerabilida<strong>de</strong>s críticas enWindows minimizarían su impacto si no se usase la cuenta <strong>de</strong>administradorBeyondTrust ha emitido un escueto informe en el que afirma que el impacto <strong>de</strong>l 92% <strong>de</strong> las vulnerabilida<strong>de</strong>scríticas en Windows se minimizaría si no se usasen los privilegios <strong>de</strong> administrador. El uso <strong>de</strong> la cuenta<strong>de</strong> administrador, como ya hemos <strong>de</strong>fendido <strong>de</strong>s<strong>de</strong> aquí en otras ocasiones, es uno <strong>de</strong> los más gravesproblemas con los que se enfrenta Microsoft y que el propio Windows ha ayudado a <strong>al</strong>imentar con versiones292<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
anteriores. Veremos contra qué tipo <strong>de</strong> vulnerabilida<strong>de</strong>s protege el principio <strong>de</strong> mínimo privilegio y porqué, en re<strong>al</strong>idad, el informe no <strong>de</strong>scubre nada nuevo: el principio <strong>de</strong> mínimos privilegios es una regla quesiempre ha estado ahí para todos los sistemas operativos... menos para los <strong>de</strong> Microsoft.BeyondTrust ha publicado un estudio pormenorizado <strong>de</strong> todas las vulnerabilida<strong>de</strong>s publicadas porMicrosoft en 2008. Ha concluido que el 92% <strong>de</strong> las vulnerabilida<strong>de</strong>s críticas y el 69% <strong>de</strong> todas (críticas ono) serían menos graves, o tendrían un impacto mucho menor, si fuesen aprovechadas por un atacantepero la víctima no fuese administrador. Cuando un atacante aprovecha una vulnerabilidad <strong>de</strong> ejecución <strong>de</strong>código en un programa que está siendo usado por un administrador, éste código hereda sus permisos y elatacante podrá campar a sus anchas (como el usuario) en el sistema una vez explotado el f<strong>al</strong>lo. En un 92%<strong>de</strong> los casos, según el informe, se hubiese limitado consi<strong>de</strong>rablemente la gravedad <strong>de</strong>l asunto.Des<strong>de</strong> <strong>Hispasec</strong> siempre se ha recomendado evitar la cuenta administrador, es el princip<strong>al</strong> consejo par<strong>al</strong>os usuarios <strong>de</strong> sistemas operativos en gener<strong>al</strong> y los <strong>de</strong> Windows en particular. Esta es la primera capa <strong>de</strong><strong>seguridad</strong> con la que se <strong>de</strong>be proteger un usuario. Un “administrador” está precisamente para “administrar”,y son muy pocas veces las que un usuario utiliza su sistema para re<strong>al</strong>izar modificaciones importantes. Lamayor parte <strong>de</strong>l tiempo lee correo o navega, actividad esta última que conlleva un importante riesgo, seacon el navegador que sea. Esta irresponsable actitud <strong>de</strong> usuario administrador perpetuo está heredada<strong>de</strong> los tiempos <strong>de</strong> Windows 9x. No tenía sistema <strong>de</strong> usuarios loc<strong>al</strong> re<strong>al</strong>, ni soportaba NTFS, con lo queno se podían establecer permisos por usuarios. Con XP, por fin, Microsoft permitía la creación <strong>de</strong> unusuario inici<strong>al</strong> distinto <strong>al</strong> administrador para el uso <strong>de</strong>l sistema, pero lo incluía por <strong>de</strong>fecto <strong>al</strong> grupoadministradores y por tanto no lo protegía ni limitaba en absoluto.El otro 8%El informe no explica por qué el impacto <strong>de</strong> tantas vulnerabilida<strong>de</strong>s es susceptible a la cuenta bajo la quese exploten. ¿Por qué no nos protege <strong>de</strong>l 100% <strong>de</strong> las vulnerabilida<strong>de</strong>s críticas el hecho <strong>de</strong> trabajar comousuario sin privilegios? Pues porque el resto, el 8% <strong>de</strong> vulnerabilida<strong>de</strong>s se pue<strong>de</strong>n clasificar básicamenteen tres:* Las que permiten revelación <strong>de</strong> información. Estas suelen ser in<strong>de</strong>pendientes <strong>de</strong>l usuario bajo el que seexplota la vulnerabilidad.* Las que afectan a servicios <strong>de</strong> sistema que corren siempre bajo cuentas privilegiadas. Los serviciosespeci<strong>al</strong>es <strong>de</strong> sistema corren norm<strong>al</strong>mente bajo la cuenta SYSTEM. Si un atacante aprovecha un f<strong>al</strong>lo enestos servicios <strong>de</strong>s<strong>de</strong> el exterior, no hay nada que el usuario pueda hacer para evitarlo excepto intentarprecisamente que el servicio no esté accesible para cu<strong>al</strong>quiera. Hay que recordar que ya hicieron untrabajo importante <strong>de</strong> limitación <strong>de</strong> cuentas <strong>de</strong> servicio cuando apareció XP. En 2000 todos los serviciostrabajaban con los máximos privilegios. En XP y 2003, no.* Las elevaciones <strong>de</strong> privilegios. Evi<strong>de</strong>ntemente, este tipo <strong>de</strong> vulnerabilida<strong>de</strong>s permiten precisamentes<strong>al</strong>tar <strong>de</strong> una cuenta sin privilegios a otra con mayor capacidad <strong>de</strong> actuación sobre el sistema. Si setrabaja con cuenta limitada, es una <strong>de</strong> las mayores preocupaciones. Si se trabaja como administrador,estas vulnerabilida<strong>de</strong>s no suelen tienen impacto (excepto si logran privilegios <strong>de</strong> SYSTEM, ligeramentesuperiores a los <strong>de</strong>l propio Administrador). Hoy en día, las vulnerabilida<strong>de</strong>s <strong>de</strong> elevación <strong>de</strong> privilegios sonpoco v<strong>al</strong>oradas por los atacantes (en especi<strong>al</strong> los creadores <strong>de</strong> m<strong>al</strong>ware) porque presuponen (y presuponenbien) que su víctima será administrador.¿Windows un 92% más seguro?<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 - 293
Significa que el trabajar con cuentas con privilegios menos elevados ayudaría a que el sistema fuese un92% más seguro? Desgraciadamente no, pero sin duda ayudaría.Trabajar como usuario con pocos privilegios no es la panacea. Trabajar como usuario raso en XP o 2000con cierto software pue<strong>de</strong> llegar a ser incómodo, incluso para usuarios experimentados (y casi siempreesto es responsabilidad <strong>de</strong> los propios programadores, que no suelen tenerlo en cuenta). Es necesario tenerconocimientos sobre permisos, privilegios, NTFS, <strong>de</strong>rechos, herencias, grupos... Por si fuera poco, conánimo <strong>de</strong> no complicar <strong>al</strong> usuario, Windows XP Home Edition escon<strong>de</strong> <strong>de</strong>liberadamente la pestaña <strong>de</strong><strong>seguridad</strong> para po<strong>de</strong>r cambiar los permisos, a no ser que se trabajara en modo a prueba <strong>de</strong> f<strong>al</strong>los. En otrossistemas operativos resulta más sencillo, porque los programadores siempre han supuesto que su usuariono iba a gozar <strong>de</strong> todos los permisos.El problema es, como <strong>de</strong> costumbre, la educación <strong>de</strong>l usuario ante una estructura tan compleja como hoyen día es un sistema operativo. Estamos tan m<strong>al</strong> acostumbrados que si un usuario <strong>de</strong> cu<strong>al</strong>quier sistemaoperativo (distinto a Windows) se convierte en víctima <strong>de</strong>l exploit <strong>de</strong> una vulnerabilidad, y por ello elsistema queda tot<strong>al</strong>mente comprometido, lo primero que preguntamos es si estaba trabajando como root.Si es así, inmediatamente la mayor parte <strong>de</strong> la responsabilidad cae <strong>de</strong>l lado <strong>de</strong>l usuario (abstrayéndonos<strong>de</strong> la responsabilidad <strong>de</strong>l software). Se entien<strong>de</strong> como una especie <strong>de</strong> castigo justo por no conocer y limitarconvenientemente su entorno <strong>de</strong> trabajo, o por <strong>de</strong>spiste. En Windows, si un usuario es víctima <strong>de</strong> unm<strong>al</strong>ware que se le ha colado a través <strong>de</strong>l navegador, y esta víctima trabaja como administrador (lo máshabitu<strong>al</strong>) el problema se achaca directamente <strong>al</strong> sistema operativo o <strong>al</strong> navegador y sus continuos f<strong>al</strong>los. Nosolemos pararnos a pensar en que el usuario, tampoco en este caso, conoce re<strong>al</strong>mente su entorno <strong>de</strong> trabajoo no se le han proporcionado la facilida<strong>de</strong>s para hacerlo, y por eso no lo ha limitado convenientemente.Limitándolo, si bien no se reduciría el número <strong>de</strong> f<strong>al</strong>los, sí se <strong>de</strong>gradará consi<strong>de</strong>rablemente su impacto,como bien recuerda el informe.Sergio <strong>de</strong> los Santos18/03/2009 Antivirus y f<strong>al</strong>sos positivos... un <strong>de</strong>smadreA Fred Cohen se le conoce como el padre <strong>de</strong> los “virus informáticos”, por ser el primero en acuñar estetérmino en la década <strong>de</strong> los 80 para <strong>de</strong>scribir a estos programas. A<strong>de</strong>más <strong>de</strong> bautizarlos y an<strong>al</strong>izarlos,en su estudio “Computer Viruses - Theory and Experiments” llegaba a la conclusión <strong>de</strong> que no existía<strong>al</strong>goritmo que pudiera <strong>de</strong>tectar todos los posibles virus. Cuando ahora se cumplen 25 años <strong>de</strong> su estudiopo<strong>de</strong>mos <strong>de</strong>cir que Cohen tenía razón y que, a<strong>de</strong>más, vamos a peor. V<strong>al</strong>e que no podamos <strong>de</strong>tectar todo elm<strong>al</strong>ware pero, por favor, no <strong>de</strong>tectemos a los que no lo son.A lo largo <strong>de</strong> toda la historia <strong>de</strong>l m<strong>al</strong>ware (los virus tienen menos <strong>de</strong> 30 años, lo que nos quedará aun porver) las conclusiones <strong>de</strong> Cohen han pesado como una losa. A diferencia <strong>de</strong> hace unos años, don<strong>de</strong> todavíaexistía publicidad engañosa con aquello <strong>de</strong> “100% contra virus conocidos y <strong>de</strong>sconocidos”, a día <strong>de</strong> hoyquién más y quién menos no le queda más remedio que escon<strong>de</strong>r sus vergüenzas. Todos asumimos que losantivirus son otra capa <strong>de</strong> <strong>seguridad</strong> que pue<strong>de</strong>n minimizar nuestra ventana <strong>de</strong> amenazas, pero que enúltima instancia siempre estamos expuestos a sufrir una infección.Esa conciencia sobre las limitaciones <strong>de</strong> las soluciones <strong>de</strong> <strong>seguridad</strong> y la exposición <strong>al</strong> riesgo es buena y<strong>de</strong>seable, porque permite educarnos en un uso más profiláctico <strong>de</strong> la informática, aplicando más capas<strong>de</strong> <strong>seguridad</strong> adicion<strong>al</strong>es o simplemente mejorando nuestros hábitos diarios. De modo que es buenoque seamos conscientes <strong>de</strong> que nuestro antivirus sólo nos protege contra el 80% <strong>de</strong> las amenazas que294<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
potenci<strong>al</strong>mente po<strong>de</strong>mos recibir, quién dice 80% pue<strong>de</strong> <strong>de</strong>cir 65%, o 50%... pero bueno, <strong>al</strong> fin y <strong>al</strong> cabo,nos está protegiendo.¿Re<strong>al</strong>mente los porcentajes <strong>de</strong> <strong>de</strong>tección pue<strong>de</strong>n llegar a ser tan bajos? No, según el caso pue<strong>de</strong>n ser aunpeor. En los últimos tiempos existe un problema <strong>de</strong> esc<strong>al</strong>abilidad en la <strong>de</strong>tección <strong>de</strong> m<strong>al</strong>ware, simple yllanamente, los laboratorios antivirus no dan a basto con la producción actu<strong>al</strong> <strong>de</strong> bichos nuevos. Si enfebrero <strong>de</strong> 2004 podíamos leer en el recién estrenado blog <strong>de</strong> F-Secure: “Dos nuevas variantes <strong>de</strong> Baglehan sido avistadas. Otra vez. Parece que tendremos un fin <strong>de</strong> semana ocupado”, ¿qué tendrían que <strong>de</strong>cirhoy en cu<strong>al</strong>quier laboratorio antivirus don<strong>de</strong> se reciben a diario miles <strong>de</strong> nuevas variantes <strong>de</strong> m<strong>al</strong>ware?.Está claro que la opción <strong>de</strong> esc<strong>al</strong>ar el problema aplicando a los métodos <strong>de</strong> análisis tradicion<strong>al</strong>es unaregla <strong>de</strong> tres no es buena, si se han multiplicando por miles los especímenes diarios que pue<strong>de</strong> recibirun laboratorio la solución no es multiplicar por mil los an<strong>al</strong>istas. Entre otras cosas porque el negocio <strong>de</strong>los antivirus <strong>de</strong>jaría <strong>de</strong> ser rentable. Así que ahora se trabaja mucho en la automatización <strong>de</strong> análisis yheurísticas para aumentar los ratios <strong>de</strong> <strong>de</strong>tección. El efecto secundario <strong>de</strong> esta automatización y heurísticasmás agresivas es que los antivirus tienen un mayor número <strong>de</strong> f<strong>al</strong>sos positivos, es <strong>de</strong>cir, se equivocan más<strong>al</strong> <strong>de</strong>tectar como m<strong>al</strong>ware <strong>al</strong>go que en re<strong>al</strong>idad no lo es.Esta problemática, lejos <strong>de</strong> ser una anécdota, es cada vez más preocupante. Ya la hemos tratado en una-<strong>al</strong>díaanteriormente, y vamos a peor. En <strong>Hispasec</strong> recibimos día sí, día también, mensajes <strong>de</strong> <strong>de</strong>sarrolladorespreguntando o quejándose <strong>de</strong> que los antivirus <strong>de</strong> VirusTot<strong>al</strong> están <strong>de</strong>tectando como m<strong>al</strong>ware su softwarelegítimo, con las interferencias y problemas que ello les causa ante sus clientes y su reputación glob<strong>al</strong>.Nosotros mismos hemos sufrido en propias carnes que VTuploa<strong>de</strong>r, la herramienta para enviar ficherosa VirusTot<strong>al</strong>, fuera <strong>de</strong>tectada hace unas semanas, teniendo que solicitar la corrección <strong>de</strong> las firmas a losantivirus implicados.Algo está f<strong>al</strong>lando en los antivirus cuando, incluso, están aumentando los f<strong>al</strong>sos positivos con los propiosficheros legítimos <strong>de</strong> Windows. Se supone que comprobar la no <strong>de</strong>tección <strong>de</strong> componentes <strong>de</strong> Windows<strong>de</strong>be ser la medida más básica <strong>de</strong> control <strong>de</strong> c<strong>al</strong>idad antes <strong>de</strong> publicar una nueva actu<strong>al</strong>ización.Estamos ante una carrera loca por ver quién <strong>de</strong>tecta mayor número y más rápido (<strong>de</strong> lo que sea), y nosestamos olvidando <strong>de</strong> que, ante todo, un antivirus no <strong>de</strong>bería molestar ni interferir (<strong>de</strong>masiado) en elnorm<strong>al</strong> funcionamiento <strong>de</strong> los sistemas y los programas legítimos. Un usuario o una empresa pue<strong>de</strong> llegara enten<strong>de</strong>r que un antivirus no <strong>de</strong>tecte todos los virus <strong>de</strong>l mundo, incluso que se le cuele <strong>al</strong>guno que otro,pero difícilmente podrá aceptar que el antivirus le cuelgue el or<strong>de</strong>nador, borre ejecutables que no <strong>de</strong>be, oimpida la ejecución <strong>de</strong> una aplicación corporativa.No todo v<strong>al</strong>e para <strong>de</strong>tectar más. Estamos perdiendo el foco. Es un <strong>de</strong>smadre.Bernardo Quintero25/03/2009 Routers, mo<strong>de</strong>ms y botnetsDes<strong>de</strong> hace unas semanas DroneBL ha sufrido un ataque distribuido <strong>de</strong> <strong>de</strong>negación <strong>de</strong> servicio proce<strong>de</strong>nte<strong>de</strong> una botnet llamada ‘psyb0t’. Nada nuevo si tenemos en cuenta que DroneBL ofrece un servicio gratuito<strong>de</strong> publicación <strong>de</strong> listas negras <strong>de</strong> IP en tiempo re<strong>al</strong>, lo cu<strong>al</strong> no es precisamente una manera <strong>de</strong> ganarseadmiradores entre las filas <strong>de</strong> creadores <strong>de</strong> m<strong>al</strong>ware, spammers, etc. Lo interesante <strong>de</strong>l asunto se loencontraron cuando recabaron información sobre su atacante.<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 - 295
El gusano que teje ‘psyb0t’ no tiene como objetivo los or<strong>de</strong>nadores person<strong>al</strong>es o servidores. El binarioni tan siquiera está compilado para la omnipresente arquitectura x86. Su foco <strong>de</strong> infección se encuentraen los routers y mo<strong>de</strong>ms ADSL con Linux y procesador MIPS. El gusano efectúa un barrido por rangos<strong>de</strong> IP escaneando los puertos 22, 23 y el 80, buscando una vulnerabilidad que expone la administraciónremota <strong>de</strong>l dispositivo a través <strong>de</strong> telnet, ssh e interfaz web inclusive con los permisos por <strong>de</strong>fecto. Si laconfiguración ha sido modificada, lo intentará por fuerza bruta.Tras obtener una shell con permisos <strong>de</strong> administrador borra el archivo ‘/var/tmp/udhcpc.env’ que pertenece<strong>al</strong> cliente DHCP y comprueba la existencia <strong>de</strong>l comando wget para efectuar la <strong>de</strong>scarga <strong>de</strong> una réplica <strong>de</strong>lgusano con el mismo nombre y ruta que el archivo borrado. Tras ello inyecta reglas en iptables para cerrarla entrada en los puertos 22, 23 y 80 y así evitar su apertura lícita y reinfección. <strong>Una</strong> vez infectado, el nuevonodo, conecta a un servidor IRC don<strong>de</strong> procesa el topic que contiene instrucciones para los bots.Aunque el primer contacto con esta botnet fue documentado por un t<strong>al</strong> Terry Baume en enero <strong>de</strong> esteaño, parece ser que este es el primer ataque a gran esc<strong>al</strong>a o el inci<strong>de</strong>nte que ha tenido mayor repercusiónmediática hasta el momento. Varios son los factores que no pasaron por <strong>al</strong>to los creadores <strong>de</strong> ‘psyb0t’,un vector fácil, contraseñas por <strong>de</strong>fecto y exposición <strong>de</strong> la administración remota, una presa <strong>de</strong>scuidada,como un olvidado router con el que no se interactúa y se mantiene encendido las 24 horas, y sobre todo elsilencio: ¿Cuándo fue la última vez que monitorizaste el tráfico <strong>de</strong>l router?David García02/04/2009 Éxitos y fracasos <strong>de</strong> ConfickerSi <strong>al</strong>go ha conseguido Conficker, es generar expectación mediática (incluso que le <strong>de</strong>diquemos varias una<strong>al</strong>-día).Alentado por las casas antivirus, que no pasan por su mejor momento en nivel <strong>de</strong> <strong>de</strong>tección glob<strong>al</strong>,Conficker ha servido para recordar <strong>al</strong> mundo que existen todavía amenazas glob<strong>al</strong>es en forma <strong>de</strong> m<strong>al</strong>warecon nombre y apellido. Conficker, cabeza <strong>de</strong> turco frente a otros tipos <strong>de</strong> m<strong>al</strong>ware anónimos y mucho máspeligrosos, ha gozado <strong>de</strong> <strong>al</strong>gunos éxitos rotundos, tanto mediáticos como técnicos que vamos a repasar.Éxitos mediáticos* Poco queda <strong>de</strong>l Conficker origin<strong>al</strong> que apareció en noviembre. Se ha convertido, como todo m<strong>al</strong>ware 2.0que se precie, en una sofisticada red <strong>de</strong> sistemas y servidores, como ocurrió con el Storm Worm. Alguiena quien señ<strong>al</strong>ar con el <strong>de</strong>do y que recuer<strong>de</strong> <strong>al</strong> público (consumidor <strong>de</strong> software) que las casas antivirussiguen ahí. El miedo incita a protegerse.* Conficker se ha centrado, durante mucho tiempo, más en la expansión que en el ataque. Se ha <strong>de</strong>dicadoa recopilar máquinas infectadas sin un fin concreto (<strong>al</strong> menos que conozcamos por ahora). Este pequeñomisterio ha atraído la atención <strong>de</strong> las casas antivirus, y por tanto <strong>de</strong> los medios.* El éxito incluso le ha llegado <strong>de</strong> formas muy retorcidas. La proliferación <strong>de</strong> programas legítimos yespecíficos para <strong>de</strong>sinfectar el sistema ha plagado las primeras búsquedas <strong>de</strong> Google <strong>de</strong> software f<strong>al</strong>so. Esfácil encontrar con cu<strong>al</strong>quier buscador, m<strong>al</strong>ware que dice ser un limpiador <strong>de</strong> Conficker.* Establecer una fecha <strong>de</strong> apoc<strong>al</strong>ipsis ven<strong>de</strong> mucho. Como hicieran el virus Viernes 13, Michelangelo...recuerda viejos tiempos, siempre mejores para las casas antivirus. Se dijo que el 1 <strong>de</strong> abril Conficker seactivaría y colapsaría muchas webs. Nada ha ocurrido, como era <strong>de</strong> esperar. Es imposible que <strong>al</strong>go que296<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
genera tanta expectación cause un gran impacto. La gente tien<strong>de</strong> a prepararse para mitigar el ataque.Cuando <strong>al</strong>go viene por sorpresa, cuando no hay fecha establecida, es cuando el impacto se pue<strong>de</strong> consi<strong>de</strong>rarverda<strong>de</strong>ramente serio.Éxitos técnicos* El mayor éxito <strong>de</strong> expansión <strong>de</strong> Conficker ha sido a través <strong>de</strong> las memorias USB. Pero no solo el hecho <strong>de</strong>adoptar esa estrategia, sino cómo lo ha hecho. Por primera vez, creó un archivo autorun.ini funcion<strong>al</strong> perodisimulado con basura, que conseguía pasar <strong>de</strong>sapercibido. Logró s<strong>al</strong>tarse los métodos básicos <strong>de</strong> bloqueo<strong>de</strong> autoejecución <strong>de</strong> Windows.* Siguiendo con el autorun, pudo disimular su ejecución mostrándose como la exploración <strong>de</strong> carpetas. Esun engaño muy conseguido. El uso <strong>de</strong> contraseñas por <strong>de</strong>fecto también proporcionó numerosas <strong>al</strong>egríasa los atacantes.* Uno <strong>de</strong> los éxitos técnicos más curiosos ha sido el uso <strong>de</strong> miles <strong>de</strong> dominios. El m<strong>al</strong>ware actu<strong>al</strong> suelecontener un <strong>al</strong>goritmo interno para generar dominios <strong>al</strong>eatorios (que probablemente no existen), <strong>de</strong>s<strong>de</strong>don<strong>de</strong> <strong>de</strong>scargarán nuevas funcion<strong>al</strong>ida<strong>de</strong>s. Los atacantes compran los dominios y cuelgan en ellosla actu<strong>al</strong>izaciones para que el m<strong>al</strong>ware s<strong>al</strong>ga a buscarlas cuando los genere internamente. Cuando unlaboratorio consigue <strong>de</strong>scifrar ese <strong>al</strong>goritmo <strong>de</strong> generación, suele a<strong>de</strong>lantarse a los atacantes y registrarellos mismos esos dominios. Así po<strong>de</strong>mos saber, según las visitas que reciba el dominio, el número <strong>de</strong>infectados. Norm<strong>al</strong>mente el m<strong>al</strong>ware genera un número manejable <strong>de</strong> dominios cada día, y los atacantesregistran solo <strong>al</strong>gunos. Aunque se <strong>de</strong>scifró el <strong>al</strong>goritmo <strong>de</strong> generación <strong>de</strong> dominios <strong>de</strong> Conficker, este pasóa generar 50.000 dominios <strong>al</strong>eatorios (<strong>de</strong> 4 a 9 letras) <strong>al</strong> día. Tanto dominio, por supuesto haría quemuchos <strong>de</strong> los generados coincidiesen con dominios ya registrados y legítimos que todos los sistemasinfectados visitarían. Los medios advirtieron que Internet se colapsaría por esta razón el 1 <strong>de</strong> abril.Fracasos técnicos* Pocos. Prácticamente su único problema ha sido la <strong>de</strong>tección. Toda versión conocida <strong>de</strong> Conficker es<strong>de</strong>tectada norm<strong>al</strong>mente por más <strong>de</strong>l 90% <strong>de</strong> los motores que <strong>al</strong>ojamos en VirusTot<strong>al</strong>. Las casas se hanvolcado con él y lo <strong>de</strong>tectan casi unánimemente. Es por eso que Conficker, aunque interesante, pasaautomáticamente a ser una amenaza <strong>de</strong> mucho menos c<strong>al</strong>ibre. ¿Qué hubiera pasado si a pesar <strong>de</strong> todaesa cobertura mediática, los niveles <strong>de</strong> <strong>de</strong>tección fuesen bajos? No es posible esta combinación. Cuantomás se hable <strong>de</strong> un m<strong>al</strong>ware, más <strong>de</strong>tectado es. La pregunta es qué hubiera ocurrido sin esta coberturamediática. La respuesta es que los niveles <strong>de</strong> <strong>de</strong>tección hubieran sido mucho menores, y la infecciónmucho más discreta y mayor. En otras p<strong>al</strong>abras, lo mismo que está ocurriendo ya con el resto <strong>de</strong>l m<strong>al</strong>wareindustri<strong>al</strong>, mucho más abundante, que se crea hoy en día. Los verda<strong>de</strong>ramente peligrosos que no aparecenen titulares.Porque, ¿qué pue<strong>de</strong> resultar más peligroso?, este ejemplar:http://www.virustot<strong>al</strong>.com/an<strong>al</strong>isis/963521ca26f84db93146f0b7891d0f1fo este:http://www.virustot<strong>al</strong>.com/an<strong>al</strong>isis/07cd5b586a82487949ba18d03bdab8c7El primero es un Conficker <strong>de</strong>tectado por el 95% <strong>de</strong> los motores. El segundo es un troyano especi<strong>al</strong>mente<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 - 297
<strong>de</strong>stinado <strong>al</strong> robo <strong>de</strong> contraseñas, que lleva más <strong>de</strong> un mes en nuestra base <strong>de</strong> datos. En ningún momentoha sido <strong>de</strong>tectado por más <strong>de</strong> dos motores.Conficker es peligroso, no cabe duda, es una grave plaga que hay que combatir. Pero no es el único m<strong>al</strong>warecontra el que se <strong>de</strong>be luchar.Sergio <strong>de</strong> los Santos21/06/2009 Protegiéndonos <strong>de</strong> las soluciones <strong>de</strong> <strong>seguridad</strong>Acabo <strong>de</strong> recibir un mensaje <strong>de</strong> una gran consultora, <strong>de</strong> esas que hacen estudios basándose en estadísticastras recopilar la opinión <strong>de</strong> terceros supuestamente expertos. Muy amables, solicitan corrija una errata enuna <strong>de</strong> las respuestas que rellené en su cuestionario. La pregunta pedía que, según mi criterio, enumerarael top 10 <strong>de</strong> amenazas <strong>de</strong> <strong>seguridad</strong> a las que se <strong>de</strong>berían enfrentar las empresas a corto y medio plazo. Larespuesta que suponen una errata es: las soluciones <strong>de</strong> <strong>seguridad</strong>.Supongo que la mayoría estamos <strong>de</strong> acuerdo en que, en casos puntu<strong>al</strong>es, una solución <strong>de</strong> <strong>seguridad</strong> pue<strong>de</strong>introducir nuevas amenazas, bien por m<strong>al</strong> funcionamiento en sus funciones <strong>de</strong> protección, bien por nuevasvulnerabilida<strong>de</strong>s que se <strong>de</strong>rivan <strong>de</strong>l propio producto o servicio <strong>de</strong> <strong>seguridad</strong>. No obstante, incluir esaremota y puntu<strong>al</strong> posibilidad en un top 10 <strong>de</strong> amenazas no es muy acertado. Así que entono el mea culpapor una m<strong>al</strong>a <strong>de</strong>scripción <strong>de</strong> lo que quería <strong>de</strong>cir (tampoco había mucho espacio en el campo <strong>de</strong> texto libre<strong>de</strong>l cuestionario), y les voy a enviar la rectificación: marketing f<strong>al</strong>so en soluciones <strong>de</strong> <strong>seguridad</strong>.En su día me molestaba mucho leer el eslogan <strong>de</strong> “100% <strong>de</strong> protección contra virus”, una herencia <strong>de</strong>aquella molestia se pue<strong>de</strong> encontrar aun hoy día en el aviso que escribí hace 5 años en la web <strong>de</strong> VirusTot<strong>al</strong>:“No existe solución en el mundo que pueda ofrecer un 100% <strong>de</strong> efectividad en el reconocimiento <strong>de</strong> virus ym<strong>al</strong>ware en gener<strong>al</strong>. Si le ofrecen un producto con el 100% <strong>de</strong> efectividad, está siendo víctima <strong>de</strong> publicidadf<strong>al</strong>sa.”. Afortunadamente el marketing <strong>de</strong> los antivirus ha evolucionado y ya nadie se atreve a <strong>de</strong>cir nadaparecido.Sin embargo, en términos gener<strong>al</strong>es, el marketing en las soluciones <strong>de</strong> <strong>seguridad</strong> sigue siendo poco honesto,tanto con el usuario fin<strong>al</strong> como con el cliente corporativo. Un buen momento que tengo para afianzar esasensación es cuando presento los resultados <strong>de</strong> auditorías y test <strong>de</strong> penetración a clientes corporativos.Es entonces cuando escucho frases como: “pero el ven<strong>de</strong>dor nos dijo que este sistema <strong>de</strong> prevención <strong>de</strong>intrusiones evitaba cu<strong>al</strong>quier tipo <strong>de</strong> inyección”, “no pue<strong>de</strong> ser, el portátil tiene un sistema <strong>de</strong> cifrado y nosdijeron que era imposible extraer ninguna información”, etc.Ya sabemos que cu<strong>al</strong>quier solución <strong>de</strong> <strong>seguridad</strong> que nos ofrezcan, u ofrezcamos, no es perfecta. Así que elven<strong>de</strong>r las soluciones <strong>de</strong> <strong>seguridad</strong> exagerando sus virtu<strong>de</strong>s y omitiendo sus <strong>de</strong>bilida<strong>de</strong>s podría enten<strong>de</strong>rsecomo picaresca, parte <strong>de</strong>l juego entre ven<strong>de</strong>dor-comprador. Pero los efectos en re<strong>al</strong>idad son mucho másperniciosos que el <strong>de</strong>l anuncio <strong>de</strong>l <strong>de</strong>tergente que nos asegura que lava más blanco que ninguno, porquepue<strong>de</strong> llegar a crear una f<strong>al</strong>sa sensación <strong>de</strong> <strong>seguridad</strong> en el comprador y las consecuencias pue<strong>de</strong>n ser<strong>de</strong>sastrosas para la empresa.No se trata simplemente <strong>de</strong> que el comprador haya adquirido una solución que no es la mejor <strong>de</strong> su categoría,como ocurre en el caso <strong>de</strong>l <strong>de</strong>tergente, sino que probablemente no le hayan explicado las limitaciones <strong>de</strong>esa tecnología y <strong>de</strong> la que adolece cu<strong>al</strong>quier otro producto <strong>de</strong> la misma categoría. El resultado es que elcomprador no enten<strong>de</strong>rá la necesidad <strong>de</strong> añadir capas adicion<strong>al</strong>es <strong>de</strong> <strong>seguridad</strong> para proteger sus activos,298<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
una verdad que en el mejor <strong>de</strong> los casos <strong>de</strong>scubrirá durante una auditoría o test <strong>de</strong> penetración, y en el peor<strong>de</strong> los escenarios ya sería <strong>de</strong>masiado tar<strong>de</strong>.Mi humil<strong>de</strong> consejo: cuando intenten ven<strong>de</strong>rle una tecnología o solución <strong>de</strong> <strong>seguridad</strong>, <strong>de</strong>sconfíe <strong>de</strong>cu<strong>al</strong>quier presentación que no incluya explícitamente una <strong>de</strong>scripción <strong>de</strong> sus <strong>de</strong>bilida<strong>de</strong>s o limitaciones.Bernardo Quintero<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 - 299
300<strong>Una</strong> <strong>al</strong> día. Once años <strong>de</strong> <strong>seguridad</strong> informática - 2009 -
1998 - 2009<strong>Una</strong> <strong>al</strong> díaOnce años <strong>de</strong> <strong>seguridad</strong> informáticaSergio <strong>de</strong> los SantosDiseño: Alberto GarcíaAnuario ilustrado <strong>de</strong> <strong>seguridad</strong> informática, anécdotas yentrevistas exclusivas... Casi todo lo que ha ocurrido en<strong>seguridad</strong> en los últimos once años, está <strong>de</strong>ntro <strong>de</strong> “<strong>Una</strong> <strong>al</strong>día: 11 años <strong>de</strong> <strong>seguridad</strong> informática”.Para celebrar los once años ininterrumpidos <strong>de</strong>l boletín <strong>Una</strong><strong>al</strong> día, hemos re<strong>al</strong>izado un recorrido por toda una década <strong>de</strong>virus, vulnerabilida<strong>de</strong>s, frau<strong>de</strong>s, <strong>al</strong>ertas, y reflexiones sobrela <strong>seguridad</strong> en Internet. Des<strong>de</strong> una perspectiva amena yentretenida y con un diseño sencillo y directo.Los 11 años <strong>de</strong> <strong>Una</strong> <strong>al</strong> día sirven <strong>de</strong> excusa para un libro queestá compuesto por materi<strong>al</strong> nuevo, revisado y redactado<strong>de</strong>s<strong>de</strong> la perspectiva <strong>de</strong>l tiempo. A<strong>de</strong>más <strong>de</strong> las entrevistasexclusivas y las anécdotas propias <strong>de</strong> <strong>Hispasec</strong>.Incluye entrevistas exclusivas a los personajes relevantes <strong>de</strong>cada momento en el mundo <strong>de</strong> la <strong>seguridad</strong>: Bruce Schneier,Eugene Kaspersky, Cuartango, Mikel Urizarbarrena, JorgeRamió, Johannes Ullrich... A<strong>de</strong>más <strong>de</strong> noticias y anécdotasrelevantes <strong>de</strong> cada año, fuera <strong>de</strong>l ámbito <strong>de</strong> la <strong>seguridad</strong>informática. Por último, se han reproducido <strong>al</strong>gunas <strong>de</strong> lasmejores <strong>Una</strong> <strong>al</strong> día <strong>de</strong> todos los tiempos, las que mejorreflejan el estado <strong>de</strong> la <strong>seguridad</strong> en el momento en el quefueron redactadas.www.hispasec.com
Change language