Falso mensaje de Correos propaga malware
El uso de mensajes de correo electrónico como vector de ataque para propagar amenazas puede sonar a algo anticuado y poco efectivo. No obstante, sigue siendo una de las puertas de entrada a nuestros sistemas de todo tipo de códigos maliciosos, tanto de forma autónoma como formando parte de un ataque más elaborado y que incluya enlaces maliciosos y el aprovechamiento de vulnerabilidades. En las últimas semanas, sin ir más lejos, hemos visto cómo ha sido usado en repetidas ocasiones para propagar variantes de Zbot o timar a los usuarios haciéndose pasar por una agencia de contactos.
A nuestro laboratorio han llegado diversas muestras del siguiente correo que, haciéndose pasar por la Sociedad Estatal de Correos y Telégrafos, nos invita a pulsar sobre un enlace para acceder a un correo certificado perdido.
Como vemos, el mensaje es breve, directo y sin faltas de ortografía, por lo que, tras un primer análisis superficial, es probable que muchos usuarios se vean tentados de pulsar sobre el enlace proporcionado. Si lo hacemos, lo más probable es que se nos muestre una ventana como la que mostramos a continuación:
En este punto no hace falta fijarse mucho para ver que hay algo sospechoso en el archivo que estamos intentando descargar, y no es otra cosa que su doble extensión. Como en muchos otros casos anteriores, lo que intenta pasar por un inocente pdf es, en realidad, un archivo ejecutable, aunque, en esta ocasión, la técnica de “camuflaje” no es muy discreta que digamos.
Si aun a pesar de esta clara advertencia insistimos en descargar el archivo, lo más seguro es que nuestra solución de seguridad lo bloquee, mostrando una alerta en el proceso. En el caso de las soluciones de Seguridad de ESET, esta amenaza está detectada tal y como observamos en la imagen a continuación:
Como en el laboratorio de ESET en Ontinet.com somos curiosos y la propagación de este malware nos pareció un tanto “artesanal”, decidimos analizarlo un poco más a fondo y, con un editor hexadecimal, encontramos que, muy probablemente, el creador de esta variante se trate de un aprendiz de ciberdelincuente haciendo sus pinitos en este campo, modificando muestras ya existentes y cambiando un poco de código para lanzarlas de nuevo como propias.
Como vemos, la creación o modificación de nuevas amenazas y su posterior propagación están al alcance de casi cualquier usuario con unos conocimientos mínimos, no solo de las grandes mafias del cibercrimen. Si bien es cierto que estas mafias son las que controlan el mayor volumen del malware que se propaga a nivel mundial, aún hay muchos ciberdelincuentes que trabajan por su cuenta o como freelance para estas mismas mafias.
Josep Albors
Los robos de datos se intensifican
Si hay un tema que está últimamente en boca de todos cuando nos referimos a incidentes de seguridad informática, este es, sin duda, el robo de datos de grandes empresas, sin importar el sector de negocio en el que operan. En este mismo blog ya hemos comentado alguno de los casos más sonados, como el robo de datos de los usuarios de la PlayStation Network, pero es tanta la cantidad de incidentes de este tipo que se están produciendo que creemos necesario hacer un resumen y repasar algunos puntos clave.
Sin duda, y aunque las filtraciones de datos no son ninguna novedad, desde el incidente de la PlayStation Network, estos han cobrado un protagonismo inusitado y raro es el día en el que no tengamos información acerca de un nuevo incidente. Algo parecido ocurrió hace unos meses cuando se puso de moda realizar ataques de denegación de servicio contra multitud de webs de empresas, gobiernos o instituciones. Actualmente, el número de empresas que han reconocido un ataque sobre sus sistemas con obtención de datos sensibles es elevado y se espera que este número aumente en las próximas semanas.
Así pues, han habido ataques contra empresas del sector del ocio y del videojuego como la ya mencionada Sony con los ataques sufridos en la PlayStation Network, Qriocity, Sony Online Entertainment, Sony Music y Pictures, Square-Enix, Codemasters y Epic Games, con visos de aumentar esta lista según uno de los últimos tweets del grupo LulzSec (responsable de parte de los ataques más recientes).
No obstante, también ha habido ataques contra intereses más importantes, sobre todo en lo que respecta al tema económico. Citibank informó la semana pasada de un acceso no autorizado a los datos de más de 200.000 usuarios de tarjetas de crédito en Estados Unidos. Estos datos incluyen el titular y el número de la cuenta, así como información de contacto que, si bien no puede ser usada para realizar cargos fraudulentos, sí que puede utilizarse para lanzar ataques de phishing orientado, ganándose la confianza de la víctima con datos que, supuestamente, solo el banco debería conocer.
Precisamente, uno de estos ataques de phishing orientados, junto con la vulnerabilidad descubierta en los tokens de autenticación de RSA parece que sirvieron como puerta de entrada para lanzar un ataque de lo más sofisticado contra el Fondo Monetario Internacional. Aunque se ha reconocido el ataque, aún no se sabe a ciencia cierta la magnitud que ha tenido y los datos que pueden haberse filtrado. Recordemos que esta entidad almacena información sensible relativa a los rescates económicos de Grecia, Irlanda y Portugal, además de otra información económica que podría desestabilizar los mercados si se hiciese pública.
Como vemos, este tipo de incidentes afectan a todo tipo de empresas y pueden llegar a revelar datos muy sensibles. No obstante, la gran mayoría de intrusiones son posibles debido a una mala política de seguridad en lo relativo a la protección de este tipo de datos. Desde el laboratorio de ESET en Ontinet.com recordamos que es necesario proteger el acceso a este tipo de información no solo de ataques externos, sino también de posibles filtraciones internas. Asimismo, no solo los equipos críticos merecen nuestra atención. Se han de vigilar y asegurar todos aquellos equipos que puedan acceder a nuestra red para evitar que ejerzan de vector de ataque.
Josep Albors
¿Timos en Internet? Muchos. Y en el Mundo Real… los mismos.
Entre los grandes problemas de la seguridad en Internet, aparte de virus troyanos y demás especies, son especialmente famosos los timos que se envían por correo electrónico. Todos hemos recibido muchas cartas cadena que nos prometen felicidad eterna si reenviamos un mensaje 15 veces, que nos piden que mandemos una tarjeta postal a un niño enfermo de cáncer… Bueno, para algo se inventó en botón “Eliminar”.
Pero ¿cómo podemos evitar que un timador se cuele en nuestro buzón? Generalmente, los sistemas antispam se encargan de ellos, afortunadamente. Y gracias al antivirus, al antispam y el anti espías (si le ponemos un cortafuegos, genial) podemos pensar que no estamos demasiado mal protegidos.
Pero por mucha protección que tengamos, mucha prevención que exista a la hora de manejar Internet, el mundo está lleno de timadores y de estafadores, que van a conseguir sus objetivos gracias a, por ejemplo, la televisión.
En el Blog enchufa2 saben bien de qué hablamos. Un supuesto vidente se permite el lujo de opinar sobre la salud de una chica. ¿No existe un cortafuegos para la televisión? ¿No podemos instalar un sistema antispam para los anuncios? ¿Quién desarrollará un antivirus para determinadas noticias sesgadas y parciales?
El laboratorio de ESET en Ontinet.com confirma que ya existe. Se activa pulsando un botón que apaga la tele. Y, además, se ahorra energía.
Fernando de la Cuadra
Phishing “pirata” a Caja España
Es bastante común encontrar entre los mensajes que llenan nuestra bandeja de entrada alguno que pretenda pasar por una entidad que nos solicita la introducción de los datos de acceso a nuestra cuenta bancaria. Es lo que conocemos como phishing bancario y, a día de hoy, es bastante común que diariamente nos encontramos con casos similares al que vamos a analizar hoy en nuestro blog.
Rebuscando entre los mensajes que hemos recibido hoy en nuestro laboratorio, hemos encontrado este que dice provenir de Caja España y nos avisa de que se detectó un acceso no autorizado a nuestra cuenta. Obviamente, este mensaje es un engaño que trata de convencernos para ejecutar el archivo HTML que adjunta.
Si caemos en la trampa y abrimos el archivo HTML adjunto, aparecerá un formulario con varios campos a rellenar. Estos campos son los necesarios para acceder a nuestra cuenta y poder sustraer dinero de ella. Si observamos el formulario con atención, comprobaremos que incorpora el logo de la entidad bancaria pero, por otra parte, contiene fallos tipográficos como la ausencia de letras con tilde, lo que demuestra que ha sido elaborado por alguien que no dispone de un teclado en español.
Pero lo más curioso de este caso de phishing es que no se detiene en pedirnos nuestro usuario y contraseña sino que, tal y como hemos visto en otros casos, nos pide también todos los códigos de nuestra tarjeta de coordenadas para poder transferir dinero a otras cuentas. Todo ello adornado con una bonita bandera pirata que debería despertar las alertas del usuario más despistado.
Si hemos sido lo suficientemente ingenuos de rellenar todos los campos con nuestros datos y de pulsar el botón “Enviar solicitud”, los ciberdelincuentes tendrán la llave para acceder a nuestra cuenta y vaciarla sin impunidad.
Como vemos, los casos de phishing como el que hemos comentado son fáciles de detectar si prestamos un poco de atención. Desde el laboratorio de ESET en Ontinet.com recordamos que nuestro banco no nos solicitará nuestros datos de acceso por correo (o teléfono) así que lo más inteligente es eliminar todos los correos de este tipo que recibamos.
Josep Albors
Malware “en la nube”
Últimamente se está hablando mucho de “la nube”. Que si almacenamiento en la nube, gestión en la nube, seguridad en la nube, ofimática en la nube… Parece que si no estás en la nube, no estás en la tierra. ¡Irónico!
Sin embargo, esta explosión de sistemas en la nube no es más que una evolución lógica de lo que hubo hace ya algún tiempo con la llamada “informática distribuida”, en la que las redes de área local significaron empezar a compartir información entre los trabajadores de una empresa, usar impresoras en común, etc.
Aprovechar las posibilidades de una red (sea local o global como Internet) es muy útil, y ya los ciberdelincuentes se dieron cuenta hace mucho tiempo. Antes de que el término “nube” fuera común, ya existían los “bots”, un simple ejemplo de malware en la nube.
Un bot es un pequeño programa que se instala en un ordenador, normalmente sin el permiso ni el conocimiento del usuario afectado. Los bots (viene de la palabra “robot”, y robot viene del checo “robota”, donde significa “trabajo duro”) quedan en los sistemas ocultos, generalmente esperando una orden de su creador o su dueño.
En el momento que el ciberdelincuente que controla el bot decide llevar a cabo alguna acción, envía una orden a todos los ordenadores infectados por el bot, que ejecutan esa orden. ¿Qué órdenes pueden llevar a cabo? Eso ya depende de la imaginación del ciberdelincuente y las posibilidades del bot.
Una tarea básica de un bot suele ser el envío de spam, o lanzar ataques contra un determinado sistema. Teniendo en cuenta que una red de bots puede estar formada por miles o cientos de miles de ordenadores infectados, si cada uno de ellos manda 50 correos electrónicos con spam, el envío es global. Y los usuarios ni se dan cuenta de ello.
Ese mismo trabajo llevado a cabo por un solo ordenador, sería lento y tedioso. Así que los ciberdelincuentes encuentran una gran ventaja en utilizar “la nube” para trabajar mejor. Y no es que lo hayan descubierto ahora, es que son muchos años utilizando la nube para el cibercrimen.
Así pues, la nube no es solo la solución para muchas necesidades de la informática actual, sino que desde hace años los ciberdelincuentes ya lo empezaron a aprovechar. Afortunadamente la solución es mucho más sencilla que toda una nube, y lleva inventada mucho más tiempo: un antivirus, con su correspondiente protección contra ataques, llamada cortafuegos.
Si no queremos ser víctimas de un ataque nuboso, vayamos a las soluciones tradicionales terrenales. Y a disfrutar de Internet.
Fernando de la Cuadra
Gestión de contraseñas
En la sociedad actual nos vemos obligados a recordar multitud de códigos o contraseñas para proteger aquellas cosas que consideramos valiosas. Tenemos un código para bloquear nuestro móvil, otro para la alarma de nuestra casa, varios para las diferentes tarjetas de crédito que usamos y, cómo no, múltiples contraseñas para todos los servicios o aplicaciones informáticas que usamos día a día. No obstante, nuestra memoria es finita y muchas veces nos cuesta recordar tanta información, por lo que tendemos a caer en el conformismo y empezar a reutilizar contraseñas en distintos servicios, lo cual termina siendo una mala decisión.
Casos como el reciente robo de datos de los usuarios de PlayStation Network demuestran que, una vez enviamos información a servicios que salen de nuestro control, esta es susceptible de ser robada y comprometer nuestros valiosos datos. Para evitar que personas no autorizadas accedan a nuestros datos se han creado multitud de sistemas, algunos más eficaces (y caros) que otros, pero la mayoría de usuarios y prestadores de servicios sigue confiando en contraseñas por tener un coste muy pequeño y ser fáciles de implementar.
No obstante, una de las malas prácticas que más suele repetirse entre los usuarios es la reutilización de contraseñas en multitud de servicios, lo que supone un importante agujero que permitiría acceder a nuestra información si uno de los servicios en los que usamos la misma contraseña sufre un robo de datos. Hemos visto casos recientes como el de PlayStation Network, donde se obtuvieron los datos de registro de 77 millones de usuarios. Una vez obtenidos, no es muy difícil automatizar un proceso para tratar de acceder, en caso de coincidencia de esos mismos datos, a cuentas de Facebook, Twitter o Gmail entre muchos otros.
Se hace necesario, pues, configurar contraseñas diferentes para cada servicio, pero es en este punto donde nos topamos con la limitación que tenemos para recordar y asociar un número finito. Hasta hace poco era bastante frecuente que los que trabajamos en seguridad aconsejáramos a los usuarios generar contraseñas robustas con frases fáciles de recordar y cambiando después las letras por números o símbolos. Si bien esa técnica es mejor que simplemente usar una palabra o un número, las técnicas de diccionario y fuerza bruta empleadas actualmente hacen que sea cada vez más fácil averiguar contraseñas, gracias, por ejemplo, a la enorme potencia de cómputo que ofrecen las GPU (unidades de procesamiento gráficas o tarjetas gráficas). Esta potencia, unida a su relativo bajo coste, hace que lo que hasta hace poco se consideraba seguro, ahora no lo sea tanto.
¿Siguen siendo entonces las contraseñas una medida de seguridad eficaz? No hay duda de que existen soluciones mejores, como los tokens o los dispositivos biométricos, pero resultan bastante más caros de implementar. Si se busca una solución con buena relación calidad/coste, las contraseñas siguen siendo una buena alternativa, pero siempre aplicando una serie de recomendaciones y buenas prácticas para que sean realmente efectivas. Si hay una característica que no ha cambiado a lo largo del tiempo, es que una contraseña ha de ser larga. No obstante, esta longitud se ha ido incrementando y ahora no nos atreveríamos a considerar mínimamente robusta una contraseña cuya longitud sea inferior a 12 caracteres. Tampoco vale sustituir únicamente letras por números y se han de usar todo tipo de caracteres, letras mayúsculas y minúsculas, evitando que estos sigan patrones fáciles de adivinar (como nuestro nombre), ya que pueden averiguarse y usarse para descifrar contraseñas, por muy complejas que aparenten ser.
Así las cosas, los usuarios nos enfrentamos al desafío múltiple de crear contraseñas robustas, diferentes para cada sitio y que sean fáciles de recordar. Demasiado complicado a simple vista para la mayoría de nosotros. No obstante, existen programas que nos pueden facilitar esta tarea y que permiten almacenar todas nuestras contraseñas usando una única clave maestra para acceder a ellas. Esto nos facilita muchísimo toda su gestión, pero también hace que tengamos un único punto débil, y es que si alguien consigue acceder al gestor de contraseñas, obtendrá acceso a todas las que ahí están almacenadas. Sin embargo, la seguridad y el cifrado que ofrecen la mayoría de estas aplicaciones son lo suficientemente efectivos como para considerarlos una opción muy fiable.
Al respecto de otros sistemas más complejos y caros de implementar, uno de los más extendidos son los tokens de autenticación. Se trata de dispositivos que generan una clave aleatoria cada vez que se necesita acceder a un servicio. Este tipo de dispositivos suelen usarse para proteger datos sensibles en empresas y solo los empleados con permiso de acceso disponen del dispositivo para generar la clave. A pesar de su robustez también han sufrido ataques que han desvelado una parte de la clave privada, por lo que su implementación no debe significar una seguridad absoluta.
Como vemos, la gestión de contraseñas es un campo amplio y que requiere de mucha atención por parte del usuario. Desde el laboratorio de ESET en Ontinet.com, lo que recomendamos es asegurarnos de que se cumple una política de seguridad adecuada para evitar que nuestros datos más valiosos sean accesibles a personas no autorizadas.
Josep Albors
« Artículos Posteriores