Código malicioso (Malware)

Tipos de incidentes 2010 (%)

Programas maliciosos Operan automáticamente  Aunque pueden necesitar actividad inicial del usuario  Ingeniería social Propagación puede ser muy rápida Dificultad  Detección  Contención  Erradicación

Historia Referencias desde 1970  Virus creeper en ARPANET  “I'M THE CREEPER : CATCH ME IF YOU CAN.” Muy populares en los 80s y 90s  DOS y Windows Retomaron fuerza  La red  $

Código malicioso Es un programa o parte de un programa que tiene intención de causar daño o eventos “inesperados”  Ejecutables (compilados)  Scripts (interpretados)  Macros (serie de comandos) Objetivos  Robo de información  Eliminar archivos importantes y/o del sistema  Publicidad invasiva (adware, spyware, spam)

Tipos Virus Gusanos Caballos de troya Bombas lógicas Puertas traseras Conejos Zombies

Virus Latín vīrus = veneno Programas que modifican a otros programas Proceso de infección  Se adhiere a otros programas  Requiere ejecución “A virus is a piece of code that inserts itself into a host, including operating systems, to propagate. It cannot run independently. It requires that its host program be run to activate it” RFC 1135 “A virus is a piece of code that inserts itself into a host, including operating systems, to propagate. It cannot run independently. It requires that its host program be run to activate it” RFC 1135

Proceso de infección If (x) JMP β β

Gusano (Worm) Programas que se tranportan a través de la red Propagación como programas autónomos Propagación muy rápida  Red y autónomos Amenaza significativa  Rapidez si la necesidad de interacción de usuarios Actualmente la línea divisoria entre virus y gusanos se va perdiendo  Hay muchos gusanos con componentes virales

Bombas lógicas Uno de los tipos más viejos Código incrustado en programas legítimos Se activan con condiciones específicas  presencia/ausencia de algún archivo  Fecha/hora particular  Eventos específicos (teclas) Una vez activados normalmente causan daño  Modificación/borrado de archivos o discos

Troyanos Programas que parecen ser tener una función pero tiene otra Son atractivos a ejecutar  Juegos, animaciones, actualizaciones Al ejecutarse realizan alguna tarea adicional  Dan acceso a un atacante Usados para propagar virus, worms o instalar una puerta trasera (backdoor) O simplemente daño

Zombies Programa que toma “posesión” de una computadora conectada a la red Para después usar la computadora víctima en un ataque a un tercero Típicamente usados en ataques DDOS Explota fallas o vulnerabilidades conocidas en los sistemas conectados a la red

Puertas traseras (backdoors) Punto de entrada secreto a un programa (SO) Sirve para evitar los procedimientos usuales de seguridad  login/password, acceso físico, etc. Comúnmente usado por desarrolladores por comodidad y/o velocidad de acceso El problema es cuando se dejan en producción en forma intencional o por descuido Muy difíciles de bloquear

Rootkits Programas clandestinos que usan técnicas que modifican el sistema operativo para que código mailicioso permanezca oculto al usuario  No aparezca en la lista de procesos activos  Sus archivos no puedan ser leidos  Rutinas que eviten su remoción

El más popular Wikipedia

Gusanos famosos

Gusano de Morris Robert T. Morris Jr., Noviembre 1988 Estudiante de postgrado en Cornell Ph. D. de Harvard Primer incidente grave en Internet Infectó aproximadamente 6000 sitios Actualmente profesor en MIT Sobrecargaba las máquinas  Hueco en sendmail  Buffer overflow en finger 1990: Sentenciado a 3 años prueba, 440 horas servicio comunitario y multa de $10,050 Ocasionó la creación de CERT

Code Red El primer gusano moderno  250,000 sitios en 9 horas Julio del 2001 Sigue estando activo Muchas mutaciones Ataca IIS  Microsoft liberó parche a mediados de junio $2.5 mil millones US

Nimda Otro gusano contra IIS Septiembre del 2001 También sigue activo

Saphire/Slammer El gusano más rápido y eficiente Infectó el 90% de las máquinas vulnerables (más de 75,000) en 10 minutos El gusano completo es de 376 bytes Generaba un grupo aleatorio de direcciones IP y se enviaba a esas computadoras Atacaba SQL server Tumbó la capacidad de red de Corea del sur por 12 horas 500,000 servidores en el mundo