Software troyanizado infecta ordenadores con Mac/OS
Anteriormente ya avisamos en este mismo blog de la posibilidad de que los creadores de malware diversificaran sus objetivos, pasando de centrarse únicamente en sistemas Windows a infectar otros sistemas operativos. Sabiendo que los creadores de códigos maliciosos tienen como objetivo actual obtener la mayor cantidad de dinero posible, no es de extrañar que amplíen sus horizontes a plataformas como MacOS, que está teniendo un auge considerable.
No es de extrañar pues que intenten aprovechar el eslabón más débil de la seguridad de un sistema, en este caso el usuario. Los ordenadores de Apple incorporan por defecto medidas de seguridad y administración de usuarios superiores a las que incorporan los sistemas de Microsoft, por ejemplo. Pero todas estas medidas de poco sirven si el usuario es engañado para descargar un software como la suite ofimática iWork 09 de forma totalmente gratuita. Ante la posibilidad de obtener este programa sin pagar un céntimo, las medidas de seguridad se relajan hasta puntos insospechados, relajación que los creadores de malware aprovechan para introducir un troyano en el instalador del programa que solicita permisos temporales de root (Administrador del sistema) y así poder instalarse sin problemas.
Una vez en el sistema, el usuario no sospecha nada puesto que la copia descargada es plenamente funcional, pero el “regalo” que incorpora empieza a hacer de las suyas, recopilando información sensible del usuario que será enviada a servidores creados específicamente con ese fin.
La alerta de esta nueva amenaza para MacOS saltó el pasado día 23, tal y como anunciaron, por ejemplo, nuestros compañeros de Hispasec. La fuente original fue Intego, compañía dedicada a proporcionar software de seguridad para este sistema operativo y rápidamente se comprobó como hasta 20.000 usuarios se habían descargado este fichero infectado. Por suerte, Apple reaccionó con rapidez y preparó una herramienta de limpieza de este troyano.
Este escenario, impensable hasta hace poco para los usuarios de Mac, es el pan nuestro de cada día en plataformas Windows. Incluso los usuarios del sistema de Apple son víctimas de falsos antivirus que pueden llegar a infectar su sistema si el usuario resulta engañado. Es bastante probable que durante este año comencemos a ver más movimiento en lo que respecta a códigos maliciosos con objetivo de infectar plataformas MacOS o GNU/Linux a gran escala por lo que la educación, una vez más, resulta fundamental para mantener nuestro sistema operativo a salvo, independientemente de cual sea.
Desde este blog intentaremos proporcionar a nuestros usuarios la información adecuada a nuestros lectores para que estén precavidos ante las nuevas amenazas.
Josep Albors
A vueltas con el Conficker
Una de las amenazas que más repercusión está teniendo actualmente es la detectada por varios antivirus como Conficker, Downadup o Kido. Se trata de un gusano de internet que se aprovecha de una vulnerabilidad crítica corregida por Microsoft el pasado 23 de Octubre (fuera de su ciclo habitual de actualizaciones los segundos martes de cada mes).
Al principio se pensó que está vulnerabilidad supondría un nuevo Blaster pero, gracias a que la mayoría de usuarios actualizaron sus sistemas a tiempo y a la inclusión por defecto del cortafuegos en Windows XP SP2, está amenaza no ha afectado a tantos usuarios como podría haberlo hecho.
La realidad es que, la mayoría de incidencias se están produciendo en entornos corporativos en los que no se han actualizado los sistemas debidamente (o bien han mantenido en espera demasiado tiempo la aplicación de los parches) . También resulta curioso, que, uno de los mayores medios de propagación de esta amenaza sean las unidades removibles (principalmente pendrives).
La manera de evitar infectarse es bastante sencilla y, de hecho, la mayoría de usuarios domésticos no se han visto afectados al haberse actualizado cuando Microsoft publicó el parche que resolvía este fallo de seguridad en su sistemas Windows. Para prevenir está infección recomendamos seguir los siguientes pasos:
- Actualizar nuestros sistemas con el boletín de seguridad de Microsoft MS08-067
- Comprobar que nuestro cortafuegos (sea el de Windows o el de nuestra solución de seguridad) se encuentre activado y debidamente configurado. Cabe destacar que esta infección utiliza el puerto 445 para propagarse a través de las redes por lo que es importante vigilar la actividad de este puerto.
- Disponer de una solución antivirus actualizada ya que estas son capaces de detectar y eliminar este gusano.
Por último, recordar que este tipo de infecciones pueden repetirse si no mantenemos nuestros sistemas (y las aplicaciones que usamos) actualizados por lo que aprovechamos para recordar lo importante que resulta mantenernos al día.
Actualización 21/01: Por si alguno de nuestros lectores necesita limpiar una máquina infectada por Conficker, puede descargar una herramienta de limpieza gratuita elaborada por ESET.
Josep Albors
Resumen navideño
Una vez ya hemos terminado con las festividades navideñas, toca ponernos al día con lo acontecido durante estas fechas. Ha habido un resurgimiento de códigos maliciosos clásicos que han aprovechado el envío de supuestas postales de felicitación para propagarse. Asimismo, durante estas fechas se descubrió un fallo que puede permitir la falsificación de certificados digitales.
A continuación pasamos a comentar estos puntos con más detalle:
Códigos maliciosos aprovechan felicitaciones navideñas para su propagación:
Durante estas fechas navideñas se han mandado millones de correos electrónicos con supuestas felicitaciones navideñas que en realidad albergaban códigos maliciosos. En el mensaje se invitaba al usuario a acceder a una determinada web preparada para infectar a los que la visitaran con un malware del tipo bot. Una vez infectado, el ordenador pasaría a formar parte de una red de ordenadores zombie esperando recibir órdenes de los administradores de esa red.
Usar eventos o fechas señaladas para propagar malware es una técnica usada desde hace años y que popularizó la red Storm (que llegó a tener cientos de miles de ordenadores infectados bajo su control). Es una estrategia que aun sigue siendo rentable a los creadores de malware ya que su coste es muy bajo y el uso de la ingeniería social les asegura un alto número de víctimas.
Fallo en algoritmo de seguridad podría permitir la falsificación de certificados digitales
Recientemente, un grupo de investigadores internacionales descubrió un fallo en el algoritmo MD5 que permitía copiar las credenciales de seguridad digital, permitiendo que un archivo o sitio web malicioso tuviese las mismas credenciales que uno inocuo para el sistema operativo.
Si se llegara a aprovechar este fallo se podrían generar códigos maliciosos con las mismas credenciales que archivos legítimos y que estuviesen incluidos en las listas blancas de aquellos sistemas antivirus que confiasen en esta opción, pasando a través de la protección del sistema sin ningún problema.
Asimismo, se podrían preparar sitios webs falsos, imitando a otros legítimos (por ejemplo, entidades bancarias) en los cuales los usuarios, confiados por ver que el certificado digital es mostrado correctamente, podrían introducir sus datos de acceso. Una vez con estos datos, los creadores de estos webs maliciosos podrían realizar operaciones de banca online u otros servicios sin el consentimiento del usuario.
Aunque el algoritmo MD5 ya llevaba tiempo siendo considerado obsoleto, aun hay muchas empresas creadores de software, entidades bancarias o empresas que se encargan de crear y validar los certificados para otras compañías que confían en él. Tras descubrir este fallo, se recomienda encarecidamente dejar de usar este algoritmo y sustituirlo por otros más seguros
Josep Albors