1 ISAT: Infrestructura de Aplicaciones Telemáticas Seguridad frente a Virus.

Presentación del tema: "1 ISAT: Infrestructura de Aplicaciones Telemáticas Seguridad frente a Virus."— Transcripción de la presentación:

1 1 ISAT: Infrestructura de Aplicaciones Telemáticas Seguridad frente a Virus

2 2 ISAT: Infrestructura de Aplicaciones Telemáticas Índice u Introducción u Virus para PC: Funcionamiento y Características u Política de Seguridad frente a Virus u Varios u Más información

3 3 ISAT: Infrestructura de Aplicaciones Telemáticas Introducción

4 4 Definición (I) u Un virus es un programa que se añade a otros programas (o sobreescriben o reemplazan) para replicarse a sí mismo (con posibles evoluciones) sin el conocimiento del usuario u Algunas variaciones: –No se replican pero realizan acciones no deseadas (Virus Troyano, Caballo de Troya o Trojan Horse) –No están unidos a programas de un ordenador, se replican por la red (Gusano o Worm) –No tienen por qué realizar acciones maliciosas (aunque por lo menos consumen recursos)

5 5 ISAT: Infrestructura de Aplicaciones Telemáticas Definición (y II) u Un antivirus es un programa diseñado para –detectar los virus que pretenden infectar un sistema –localizar la existencia de virus en un sistema infectado –opcionalmente, eliminar automáticamente los virus localizados e intentar recuperar la información alterada por ellos

6 6 ISAT: Infrestructura de Aplicaciones Telemáticas Aspectos negativos de los virus u Se pueden reproducir con más rapidez que con la que se pueden detener u Pueden ser mortales. Por ejemplo un virus que detiene el sistema esperando que se pulse una tecla en un sistema de soporte vital en un hospital u Son incontrolados: los autores de los virus no pueden detener su distribución

7 7 ISAT: Infrestructura de Aplicaciones Telemáticas Colectivos de Riesgo u Los virus se pueden dar en cualquier ordenador de propósito general u Hay varias razones para que predominen en PCs con DOS: –Hay muchos más usuarios de este tipo de sistemas –Existe costumbre de intercambio de software –No tienen control de acceso a memoria –Los que tienen el conocimiento necesario de otros sistemas normalmente se dedican a labores más constructivas –Es más fácil atacar a un sistema más avanzado a través de los agujeros de seguridad que mediante virus

8 8 ISAT: Infrestructura de Aplicaciones Telemáticas Implicaciones legales (I) u Algunos aspectos motivados por virus que pueden ser ilegales: –Acceso no autorizado –Modificación no autorizada –Pérdida de datos –Peligro para la seguridad pública –Apología (dar información sobre la escritura de virus, etc) –Denegación de servicio

9 9 ISAT: Infrestructura de Aplicaciones Telemáticas Implicaciones legales (y II) u Las leyes varían de un lugar a otro, pero si el virus atraviesa las fronteras (muy probable) y existen tratados de extradición puede traer consecuencias legales u Los casos más graves se dan si se infectan sistemas de la administración pública u Para más información: http://www.web2000.com/ribas&rodriguez/LEYES.HTM

10 10 ISAT: Infrestructura de Aplicaciones Telemáticas Virus para UNIX

11 11 ISAT: Infrestructura de Aplicaciones Telemáticas Virus para UNIX u Casi no hay virus que no sean experimentales. El más famoso fue el Internet Worm (gusano) de Morris en Noviembre de 1988 u Se pueden transmitir cuando un usuario ejecuta los programas de otro (trabajo en grupo, supervisión de un jefe, etc). Muy peligroso si el ejecutante tiene muchos privilegios en el sistema u Se suelen utilizar comprobadores de integridad (pero los cambios normalmente no se deben a virus) u Los infectadores de sistema pueden atacar el registro de arranque maestro (MBR) de PCs con UNIX

12 12 ISAT: Infrestructura de Aplicaciones Telemáticas Virus para PC Funcionamiento y Características

13 13 ISAT: Infrestructura de Aplicaciones Telemáticas Tipos: Infectadores de Ficheros u Infectan ejecutables e incluso fuentes u Dos tipos: –De acción directa. Infectan cada vez que se ejecuta el programa infectado. Ejemplo: Vienna –Residentes. Infectan quedándose residentes. Ejemplo: Jerusalem u Funcionamiento: –Normalmente se unen a aplicaciones ejecutables –También pueden estar en algunos ficheros de datos como macros –Es menos usual en ficheros batch, postscript y fuente

14 14 ISAT: Infrestructura de Aplicaciones Telemáticas Tipos: Infectadores de Sistema (Boot-Record) u Se encuentran en ciertas áreas del sistema en discos u Suelen ser residentes u Funcionamiento: –Alteran el sector de arranque de los discos –Ejecutan su propio código (que normalmente infecta el sector de arranque del disco duro) y luego continúa el proceso de arranque u Ejemplos: Brain, Stoned, Empire, Azusa y Michelangelo

15 15 ISAT: Infrestructura de Aplicaciones Telemáticas Tipos: Virus de Macro u Se reproducen a través de ficheros de datos (documentos) que contienen macros (instrucciones ejecutables para realizar tareas repetitivas) u Los más conocidos son los de MS Word, Excel y Ami Pro (en distintas plataformas y S.O.) u Gran parte de su peligrosidad se basa en que es normal el intercambio de documentos de texto y hay antivirus que no examinan los ficheros “.DOC” u Una protección consiste en no abrir el documento con Word, sino con un visor que no ejecute macros, sobre todo los documentos de la red

16 16 ISAT: Infrestructura de Aplicaciones Telemáticas Otros Tipos u Multi-Parte (mezcla de ficheros y sistema) u De Cluster (modifican las tablas de directorio) –No modifican propiamente a los programas –El virus es cargado y ejecutado antes que el programa –Ejemplo: Dir-II u De Kernel (usan determinadas características del kernel del sistema operativo) –Ejemplo: 3APA3A (también es multi-parte)

17 17 ISAT: Infrestructura de Aplicaciones Telemáticas Activación (I) u Se denomina activación de un virus a la ejecución de su código u Un PC se infecta con un virus de sistema si es (re-) arrancado (normalmente por accidente) con un disquete infectado en la disquetera (los disquetes formateados tienen código en el sector de arranque) –Los virus de sistema son los más comunes y normalmente no se reproducen por la red –Se suelen reproducir a través de disquetes de procedencia muy diversa (de demostración, de vendedores, de mantenimiento, etc)

18 18 ISAT: Infrestructura de Aplicaciones Telemáticas Activación (y II) u Un infectador de ficheros contamina a otros ficheros cuando se ejecuta el programa contaminado –Pueden reproducirse a través de la red –Su procedencia puede ser la misma que los infectadores de sistema y también servidores de FTP y BBSs u Los virus Multi-Parte infectan los sectores de arranque y los ficheros

19 19 ISAT: Infrestructura de Aplicaciones Telemáticas Características Funcionales u Cualquiera que sea el sistema que un virus infecte y el tipo a que pertenezca, puede participar de una o varias características que dificulten su detección o lo hagan más virulento. Así, existen virus: polimórficos, furtivos, de cavidad, de túnel, bombas ANSI. de infección rápida, lenta o infrecuente, etc…

20 20 ISAT: Infrestructura de Aplicaciones Telemáticas Características... u Furtivos o sigilosos (Stealth ) –Mientras se están ejecutando ocultan las modificaciones –Se detectan porque mientras se ejecutan están en memoria –Ejemplos: Brain, Number of the Beast y Frodo u Polimórficos o mutantes –Producen versiones modificadas de sí mismos –Son difíciles de detectar con los buscadores de cadenas simples

21 21 ISAT: Infrestructura de Aplicaciones Telemáticas Características... u Infectadores Rápidos –Cuando están activos infectan a los programas que se ejecutan e incluso a los ficheros que simplemente se abren –Muy peligrosos si se ejecuta un buscador o comprobador de integridad estando el virus en memoria –Ejemplos: Dark Avenger y Frodo u Infectadores Lentos –Sólo infectan ficheros cuando son modificados o creados –Difíciles de detectar cuando se confía en los comprobadores de integridad –Ejemplo: Darth Vader

22 22 ISAT: Infrestructura de Aplicaciones Telemáticas Características... u Infectadores ocasionales (sparse) –Infectan sólo algunas veces (por ejemplo cada diez ejecuciones) –Intentan minimizar la probabilidad de ser detectados u Acompañantes (companion) –Se ejecutan en lugar del programa original y luego ejecutan éste. –Una forma de hacerlo es con un fichero “.COM” con el mismo nombre que el original “.EXE” –Los comprobadores de integridad no lo detectan

23 23 ISAT: Infrestructura de Aplicaciones Telemáticas Características... u Blindados –Usan trucos especiales para evitar su detección y la comprensión de su funcionamiento –Ejemplo: Whale u De Cavidad –Sobreescriben parte no usada del programa original, para no incrementar la longitud del mismo –Ejemplo: Lehigh u De Túnel –Llaman directamente a las interrupciones de DOS y de BIOS –No son detectados por los “controladores de actividad” o monitores

24 24 ISAT: Infrestructura de Aplicaciones Telemáticas Características... u Instaladores (droppers) –Llevan escondido el virus para instalarlo –Son Caballos de Troya cuya carga es el virus –Si sólo instalan el virus en memoria se llaman inyectores u Bombas ANSI –Son secuencias de caracteres que reprograman el teclado en computadores con controlador de consola ANSI – Una posible reprogramación es convertir la tecla ENTER en “format c:ENTER” –No son demasiado peligrosos –Hay controladores ANSI mejorados que no permiten la reprogramación del teclado

25 25 ISAT: Infrestructura de Aplicaciones Telemáticas Política de Seguridad frente a Virus

26 26 ISAT: Infrestructura de Aplicaciones Telemáticas Contenido PrevenciónDetecciónCorrección

27 27 Prevención u Tareas previas –Preparar disquetes de arranque limpios –Configurar adecuadamente la CMOS –Realizar copias de seguridad frecuentes u Prevención de contagio por disquetes

28 28 ISAT: Infrestructura de Aplicaciones Telemáticas Disquetes de arranque limpios (I) u Tener preparados varios disquetes de arranque “limpios” u Se deben preparar (FORMAT A: /S o SYS A:) en un sistema no infectado –No se puede estar seguro al 100%, pero se puede confiar en un buen antivirus buscador. Se debe ser un poco paranoico y tener especial cuidado en la preparación –Se deben proteger contra escritura inmediatamente

29 29 ISAT: Infrestructura de Aplicaciones Telemáticas Disquetes de arranque limpios (II) u Se deben usar para arrancar en frío el ordenador antes de usar el antivirus (arrancar para cada antivirus) u Se deben tener al menos dos versiones distintas para actualizar en dos saltos

30 30 ISAT: Infrestructura de Aplicaciones Telemáticas Disquetes de arranque limpios (y III) u Deben contener todo lo necesario para no ejecutar nada del disco duro y que el sistema sea usable (drivers, configuración, etc): –Utilidades necesarias para Instalar el S.O. en el disco duro –Software de diagnóstico y reparación de urgencia –Herramientas antivirus –En DOS: FDISK, CHKDSK y/o SCANDISK, FORMAT, SYS, MEM, UNFORMAT, UNDELETE, MSD (de la misma versión que el sistema)

31 31 ISAT: Infrestructura de Aplicaciones Telemáticas Configurar adecuadamente la CMOS u Proteger contra escritura el sector de partición (MBR) y el sector de arranque del disco duro (puede dar falsa alarma al actualizar el S.O.) u Cambiar el orden de arranque de A: C: a C: A: u Comprobar que algún virus no haya configurado la CMOS para que parezca que no hay disquetera (lo hacen para arrancar desde disco duro y luego simular que arranca desde disquete)

32 32 ISAT: Infrestructura de Aplicaciones Telemáticas Realizar copias de seguridad o backup (I) u Algunas consideraciones previas: –¿Qué usuarios dependen de los ficheros del sistema? –¿Cuánto tiempo puede estar el usuario más importante sin poder acceder a estos ficheros? –¿Qué proporción (y cantidad) de ficheros son fijos frente a los que cambian?, ¿Todos los cambios deben ser copiados? –¿Qué tipo de información se guarda en los ficheros que cambian normalmente?

33 33 ISAT: Infrestructura de Aplicaciones Telemáticas Realizar copias de seguridad o backup (II) u Separar las copias de –datos (incluyendo ficheros de configuración) –ejecutables u Realizar copias de los ejecutables después de instalarlos, asegurándose antes que no estén infectados u No realizar copias de ejecutables en medios que contengan copias anteriores en utilización

34 34 ISAT: Infrestructura de Aplicaciones Telemáticas Realizar copias de seguridad o backup (y III) u Realizar distintos conjuntos de copias: –a largo plazo –a corto plazo u Tener todo el software necesario (que no esté infectado) para recuperar las copias de seguridad, que funcione incluso si el disco duro queda totalmente vacío

35 35 ISAT: Infrestructura de Aplicaciones Telemáticas Prevenir el contagio mediante disquetes u Proteger contra escritura (y comprobar que el hardware funciona) u Comprobar con buscadores TODOS los disquetes, sea cual se su procedencia (incluso los precintados) u Algunas posibles políticas a seguir, que pueden requerir el modificar los drivers: –No permitir el acceso a ejecutables en disquetes –Usar un formato no estándar –No permitir el uso de disquetes no desinfectados (el antivirus les pondría una marca especial) –Utilizar PCs sin disquetera

36 36 ISAT: Infrestructura de Aplicaciones Telemáticas Contenido PrevenciónDetecciónCorrección

37 37 Detección u Normas básicas –Cómo detectar un virus –Actuaciones tras la detección u Herramientas antivirus –Clasificación –Uso de la herramientas antivirus –Elección de un paquete antivirus

38 38 ISAT: Infrestructura de Aplicaciones Telemáticas Cómo detectar los virus u Los virus intentan reproducirse antes de realizar acciones destructivas (para poder infectar más sistemas) u Algunos posibles síntomas son: –Cambios en tamaño y contenido de ficheros –Cambios en vectores de interrupción –Cambios en sector de arranque –Actividad de disco prolongada –En arranque de Windows mensajes de “32 bit Disk Access cannot be used”

39 39 ISAT: Infrestructura de Aplicaciones Telemáticas Actuaciones tras la detección (I) u Mantener la calma: normalmente el virus no causará más daño, pero una acción irresponsable sí podría hacerlo u Comprobar que no es una falsa alarma (falso positivo). Usar las últimas versiones de distintos paquetes antivirus u NO reformatear el disco duro: normalmente no es necesario y probablemente no destruirá el virus u Avisar inmediatamente al responsable del parque informático

40 40 ISAT: Infrestructura de Aplicaciones Telemáticas Actuaciones tras la detección (y II) u Pautas generales a seguir: –No seguir trabajando en el sistema infectado –Comprobar si otros sistemas del entorno están infectados (si no es posible comprobarlo suponer que sí lo están) –No intercambiar disquetes –Cerrar las sesiones de red de los sistemas infectados (ponerse en contacto con el administrador de red) –Si se es responsable del parque de equipos, informar a todos los usuarios del riesgo. –Comprobar TODOS los disquetes y TODOS los backups

41 41 ISAT: Infrestructura de Aplicaciones Telemáticas Tipos de antivirus (I) u Buscadores (scanners): –Convencionales: programas que buscan patrones de virus conocidos (cadenas de búsqueda) –TSR: son residentes que buscan mientras otros programas se ejecutan –VxD: se ejecutan bajo Windows o Win 95 de forma concurrente –Heurísticos: buscan código sospechoso que pueda descubrir a un virus desconocido

42 42 ISAT: Infrestructura de Aplicaciones Telemáticas Tipos de antivirus (y II) u Monitores de actividad: –Son residentes que controlan el comportamiento de otros programas u Comprobadores de integridad: –Mantienen una base de datos con las características de los programas ejecutables –Algunos utilizan algoritmos de encriptado para evitar que los virus los engañen

43 43 ISAT: Infrestructura de Aplicaciones Telemáticas Utilización puntual de un antivirus u Usar un buscador: –En TODOS los programas y disquetes nuevos (protegerlos antes contra escritura) –Cuando un comprobador de integridad indica una diferencia –Cuando un monitor da una señal de alarma –Cuando se obtenga una nueva versión del buscador u otro buscador distinto

44 44 ISAT: Infrestructura de Aplicaciones Telemáticas Utilización permanente de un antivirus (I) u Cargar en el arranque antivirus residente de tipo buscador o monitor u Si no es demasiado lento, ejecutar un buscador y un comprobador de integridad al arrancar u Los compresores de disco (y también las herramientas de encriptado) normalmente dificultan la labor de los virus (aunque algunos virus simples corrompen los discos)

45 45 ISAT: Infrestructura de Aplicaciones Telemáticas Utilización permanente de un antivirus (y II) u Los sistemas de protección de escritura por software ayudan, pero no son totalmente seguros y no se debe confiar en ellos u Lo mejor sería tener todos los ejecutables en un disco y protegerlo contra escritura por hardware

46 46 ISAT: Infrestructura de Aplicaciones Telemáticas Elección de un antivirus u Usar un antivirus de confianza, bien instalado y actualizado –Tener copia de la documentación –Apropiado al entorno de trabajo (p. ej. Windows) –Puede ser de shareware. Es aconsejable pagar o registrarse ya que: »Anima al autor a mejoralo »Permite pedir soporte técnico en caso de crisis

47 47 ISAT: Infrestructura de Aplicaciones Telemáticas Algunos paquetes antivirus u AVP - AntiViral Toolkit Pro u AVTK - Dr. Solomon's AntiVirus ToolKit u CPAV - Central Point AntiVirus u The Doctor u Disinfectant (Mac) u DSAVTK - Dr. Solomon's AntiVirus ToolKit u F-Prot u FindViru(s) - DSAVTK scanner u Gatekeeper (Mac) u Invircible u MSAV - MicroSoft AntiVirus u NAV - Norton AntiVirus u SCAN - ViruScan (de McAfee) u Sweep - Scanner by Sophos u TBAV - Thunderbyte AntiVirus u VET

48 48 ISAT: Infrestructura de Aplicaciones Telemáticas Contenido PrevenciónDetecciónCorrección

49 49 Corrección u Desinfección de ficheros u Desinfección de sistema u Solicitud de ayuda al grupo alt.comp.virus

50 50 ISAT: Infrestructura de Aplicaciones Telemáticas Desinfección de ficheros u Arrancar desde un disquete limpio u Restaurar los ficheros infectados a partir de una buena copia de seguridad u Si no se tiene una buena copia de seguridad usar un programa para desinfectar. Puede dar problemas: –Algunos virus contienen errores –La información original puede que haya sido sobreescrita y sea irrecuperable –A veces no es posible detectar la pérdida de información (aleatoria) ni indicar al usuario qué objetos están corrompidos u Se deben desinfectar TODOS los disquetes

51 51 ISAT: Infrestructura de Aplicaciones Telemáticas Desinfección de sistema (I) u Arrancar desde un disquete limpio u Si el virus es un infectador de sistema, se podría usar temporalmente el ordenador arrancando de disquete limpio u Usar una herramienta antivirus. Puede dar problemas si el sistema hubiera sido infectado por varios virus

52 52 ISAT: Infrestructura de Aplicaciones Telemáticas Desinfección de sistema (II) u Un método (con cierto peligro) para eliminarlo sería: –Arrancar de disquete limpio –Comprobar que la configuración de la memoria es normal (MEM). Comprobar que las particiones son las normales (FDISK) –Intentar ver el contenido de todos los discos duros (DIR) –Si las comprobaciones anteriores no son satisfactorias no seguir adelante, se podría perder información crítica

53 53 ISAT: Infrestructura de Aplicaciones Telemáticas Desinfección de sistema (y III) u Reemplazar el código del registro de arranque maestro (MBR) con FDISK /MBR. Esta operación hace que este método sea peligroso y se pueda perder información (algunos virus encriptan el disco duro y guardan la clave en el MBR) u Reemplazar el sector de arranque de DOS con SYS C: (o lo que sea adecuado para la primera partición y con la misma versión del S.O.). Si se usa compresión de disco se debe hacer en el volumen en que se instaló (normalmente H: o I:)

54 54 ISAT: Infrestructura de Aplicaciones Telemáticas Referencias y Glosario

55 55 ISAT: Infrestructura de Aplicaciones Telemáticas Referencias  Información enlzada en http://trajano.us.es/isat/ –Grupos de News: comp.virus y alt.comp.virus –Listas de distribución: ftp://corsa.ucr.edu/pub/virus-l/virus-l.README –Software antivirus u Libros: –"Robert Slade's Guide to Computer Viruses", Robert Slade, Springer-Verlag, 1994 –"A Short Course on Computer Viruses", 2nd edition, Dr. Fred B.Cohen, Wiley, 1994

56 56 ISAT: Infrestructura de Aplicaciones Telemáticas Glosario (I) u AV - AntiVirus. u BSI - Boot Sector Infector (= BSV - Boot Sector Virus). Infectador del sector de arranque u BIOS - Basic Input Output System. Sistema básico de entrada y salida u CMOS - Memoria usada para guardar información sobre la configuración hardware u DBR - DOS Boot Record. Registro de arranque de DOS u DBS - DOS Boot Sector. Sector de arranque de DOS

57 57 ISAT: Infrestructura de Aplicaciones Telemáticas Glosario (II) u GOAT FILES - Programas simples que sirven para capturar virus y poder estudiarlos. Algunos sinónimos son: BAIT FILES, DECOY FILES y VICTIM FILES u In-the-wild - describe los virus que se han encontrado reproduciéndose en sistemas reales u MBR - Master Boot Record (Partition Sector). Registro de arranque maestro u TSR - Un programa DOS residente en memoria u VX - Aquellos que estudian, intercambian y escriben virus, no necesariamente con intenciones maliciosas

58 58 ISAT: Infrestructura de Aplicaciones Telemáticas Glosario (y III) u VxD - Un programa de Windows que puede ser ejecutado concurrentemente u Zoo - Conjunto de virus usado para comprobaciones