Gusanos de Internet: pasado, presente y futuro (II)
[29-12-01]
Las novedades del presente año vienen por parte de la nueva corriente de gusanos que logran infectar sistemas de forma automática, sin necesidad de que el usuario abra o ejecute un archivo, para ello emplea principalmente vulnerabilidades del cliente de correo. Por otro lado, la incorporación de estas técnicas de hacking al mundillo de los virus ha provocado la aparición de especímenes que explotan agujeros de seguridad en los servidores, una vez infectados son utilizados como plataformas de distribución masiva aprovechando su mayor disponibilidad y ancho de banda.
Sin embargo, aun hoy día, no podemos olvidar la generación "Melissa", gusanos muy simples que logran infectar a los clientes gracias a su mejor arma, la ingeniería social (engañar al usuario). Desde el ya mítico y romántico "ILoveYou", a sucedáneos con reclamos más visuales como el "AnnaKournikova" que nos invadió a principios de año, pasando por los típicos gusanos que se hacen pasar por felicitaciones navideñas.
En el 2001, dentro de los gusanos que tienen en la ingeniería social su mejor arma, destaca en el primer puesto "SirCam", al que le bastó con incorporar frases tipo "hola como estas? Te mando este archivo para que me des tu punto de vista", para que muchos usuarios abrieran el gusano y se infectaran. "SirCam" también incorpora la doble extensión en el nombre de archivo, característica común entre los gusanos para intentar ocultar su verdadera extensión y hacerse pasar por formatos inofensivos como gráficos o simple texto.
También merecen mención especial gusanos que, aunque se distribuyen e infectan de forma similar a los anteriores, son mucho más sofisticados y complejos en su diseño e incorporan importantes innovaciones. Ya en 1999 hizo aparición "Babylonia", programado por Vecna del grupo 29A, capaz de autoactualizarse por Internet por medio de "plug-ins". Del mismo autor surgiría a finales del 2000 "Hybris", un gusano al que los usuarios apodaron como el del "enanito" o "Blancanieves" por hacer referencia al cuento del mismo nombre, que ha conseguido mantener un alto número de infecciones durante todo el presente año. Entre las características más sofisticadas de "Hybris" destaca la autoactualización con "plug-ins" cifrados con algoritmo RSA y una llave de 128 bits que recoge de los grupos de noticias de Internet.
Otro gusano que ha hecho furor en el 2001 ha sido "Magistr", que además de incorporar payloads (efectos) muy dañinos, destaca por su capacidad de construir tanto el asunto como el cuerpo del mensaje donde viaja de forma arbitraria recogiendo frases y párrafos entre los documentos que encuentra en los sistemas infectados. Esta característica, además de impedir reconocer la llegada del gusano por los signos más evidentes como puede ser un texto fijo en el asunto del mensaje, provoca un importante efecto de ingeniería social, ya que las frases o párrafos que se incluyen en el e-mail suelen tener en muchas ocasiones relación con la actividad del remitente.
Pero sin duda la novedad de este año ha sido la proliferación de gusanos que aprovechan vulnerabilidades en los sistemas para lograr infectarlos de forma automática, sin necesidad de que el usuario abra o ejecute el archivo que porta el código vírico. No obstante, no debemos olvidar que el primer espécimen que incorporó esta funcionalidad fue "BubbleBoy", un gusano escrito en VBS (Visual Basic Script) por Zulu, capaz de activarse de forma automática con tan sólo leer el mensaje donde se adjuntaba gracias a una vulnerabilidad del cliente de correo Outlook. La noticia en la que se analizaba a "BubbleBoy", el 5 de noviembre de 1999, terminaba con la frase: "BubbleBoy supone el germen de lo que desde Hispasec vaticinamos como una auténtica avalancha de "strains" y demás mutaciones o variantes de este i-worm, que ha marcado un pasado y un futuro, un ayer y un mañana, en el terreno de la virología informática."
Uno de los últimos exponentes de esta corriente se ha hecho notar apenas unas semanas, nos referimos a "BadTrans.B", un gusano que explota una vulnerabilidad conocida de Internet Explorer a través de la cual es posible forzar la ejecución automática de un binario adjunto en un mensaje de correo (.EML). Para lograrlo modifica la cabecera MIME que hace referencia al archivo de forma que simula ser un formato confiable. Esto provoca que Internet Explorer lo abra sin preguntar al usuario. Esta vulnerabilidad es heredada por los clientes de correo Outlook y Oulook Express, ya que utilizan el componente de Internet Explorer para visualizar los mensajes HTML.
Otro grupo destacado de gusanos en este año que se acaba son aquellos que explotan vulnerabilidades en los servidores de Internet para lograr infectarlos de forma automática y aprovecharlos como pasarela para buscar nuevos sistemas víctimas. Aunque el mundo Linux se vio afectado por gusanos como "Ramen", la palma en este terreno se la ha llevado el servidor Internet Information Server de Microsoft, cuyas vulnerabilidades ha provocado un gran número de infecciones por parte de gusanos como "Code Red". El más sofisticado en este terreno ha sido "Nimda", que aprovecha vulnerabilidades tanto en clientes (IE) como en servidores (IIS), a la postre el gusano que más quebraderos de cabeza ha provocado. "Nimda" puede atacar a los usuarios de Windows por tres vías diferentes: por correo electrónico, al visitar una página Web o al estar en una red local compartiendo recursos con otro ordenador infectado. Además, tiene una cuarta vía de infección que afecta a los servidores Windows basados en Internet Information Server.
Opina sobre esta noticia:
http://www.hispasec.com/unaaldiacom.asp?id=1160
Más información:
5-11-1999 - ALERTA: "BubbleBoy" siembra el pánico por e-mail
http://www.hispasec.com/unaaldia.asp?id=374
7-12-1999 - ALERTA: "Babylonia", un virus autoactualizable
http://www.hispasec.com/unaaldia.asp?id=406
01-05-2000 - Alerta: VBS.LoveLetter infecta miles de sistemas
http://www.hispasec.com/unaaldia.asp?id=552
17-06-2000 - "LifeStages", un gusano en un presunto fichero TXT
http://www.hispasec.com/unaaldia.asp?id=599
29/11/2000 - "Hybris", un nuevo giro en la historia de los virus
http://www.hispasec.com/unaaldia.asp?id=766
01/12/2000 - "Santa": los gusanos hacen su agosto en Navidad
http://www.hispasec.com/unaaldia.asp?id=768
21/01/2001 - Un gusano muy activo afecta a sistemas Linux de todo el mundo
http://www.hispasec.com/unaaldia.asp?id=819
13/02/2001 - AnnaKournikova: ¿fracaso de la comunidad antivirus?
http://www.hispasec.com/unaaldia.asp?id=842
15/03/2001 - Alerta: Magistr, un virus/gusano sofisticado y muy destructivo
http://www.hispasec.com/unaaldia.asp?id=872
21/03/2001 - Análisis del polifacético y peligroso Magistr
http://www.hispasec.com/unaaldia.asp?id=878
09/05/2001 - Gusano Homepage, ¿vuelven a fallar los antivirus?
http://www.hispasec.com/unaaldia.asp?id=927
18/07/2001 - SirCam, gusano de propagación masiva
http://www.hispasec.com/unaaldia.asp?id=997
28/07/2001 - Alerta sobre una grave amenaza a Internet (Code Red)
http://www.hispasec.com/unaaldia.asp?id=1007
29/07/2001 - Reflexiones sobre SirCam
http://www.hispasec.com/unaaldia.asp?id=1008
06/08/2001 - Análisis del gusano "Code Red II"
http://www.hispasec.com/unaaldia.asp?id=1016
20/09/2001 - W32/Nimda: llegó, vio e infectó
http://www.hispasec.com/unaaldia.asp?id=1061
25/11/2001 - Nueva variante del gusano BadTrans
http://www.hispasec.com/unaaldia.asp?id=1127
27/11/2001 - "BadTrans.B": preguntas y respuestas
http://www.hispasec.com/unaaldia.asp?id=1129
Bernardo Quintero
bernardo@hispasec.com
Artículos de actualidad ...
Archivo de artículos ...
|
