Cuidado con el virus informático GPCODE

Sigo leyendo en estas últimas horas noticias preocupantes de este virus, el Gpcode.AK que ya llevaba un tiempo por ahí, pero del que se han sacado una nueva versión (AK), aún más potente que puede causar más que fuertes dolores de cabeza. Si tienes tu antivirus actualizado será detectado pero si has sufrido su ataque, aunque lo elemines no podrás recuperar tus archivos. ¿Por qué?

Se trata de un virus que se dedica, una vez "infectado" tu ordenador (y esto puede llegar por un correo-e dudoso, un pendrive, etc,etc,etc) a analizar los archivos de trabajo más normales (Documentos de Word, Excel, fotos, bases de datos) y, ahora viene lo bueno, los cifra con una clave de 1024 bits. Una vez cifrados, les pone la terminación ._CRYPT y elimina el original dejándote un mensajito avisandote de que para recuperar el documento debes pagar una buena suma de dinero. Un secuestro informático en toda regla, vaya!

Los algoritmos de cifrado RSA se utilizan habitualmente en numerosos procesos informáticos. Cuando realizas una conexión con tu Banco, o accedes a tu cuenta de hotmail, se está cifrando la comunicación con claves de 128 bits que a día de hoy son consideradas suficientemente complejas como para que nadie las pueda averiguar o al menos tarde varios días utilizando ordenadores potentes. Pues bien, imagina lo que debe ser intentar romper una clave de 1024 bits, su coste es exponencial lo hace completamente invulnerable al menos por varios cientos de años de cálculo intensivo. Por tanto, una vez cifrados (o como dicen "encriptados") tus archivos, o pagas o sólo verás una serie de caracteres sin sentido en lugar de tus valiosos documentos. Hubiera sido más facil para el creador del virus, borrar los archivos directamente, desde luego.

De momento las empresas antivirus están actualizando los sistemas de detección para evitar la entrada, y mantienen la esperanza de encontrar un fallo en el diseño del programa que permita descifrar los archivos sin necesidad de conocer la susodicha clave. Lo cual no es nada esperanzador, puesto que una vez detectado el fallo, no pasará mucho tiempo hasta que los diseñadores de tan malicioso objeto lo corrijan y propaguen una nueva versión más robusta.

La ciberguerra continúa y por los informes estadísticos compilados por las empresas antivirus, lamentablemente van ganando "los malos". Hasta el punto de que organizaciones internacionales como la Organización para la Cooperación y el Desarrollo Económico (OCDE) se están planteando serias preocupaciones sobre el desarrollo de internet si esto continúa en aumento.

En fin, moraleja evidente: Mantén tu equipo informático actualizado y protegido. Cuidado con lo que se hace respecto a archivos sospechosos, pendrives de procedencia desconocida, y sobre todo: Por favor, haced copias de seguridad de vuestros documentos. La situación lo merece.

Alerta Antivirus: http://alerta-antivirus.inteco.es/virus/detalle_virus.html?cod=7869 ahí se explica con detalle cómo funciona el virus.
Información en VSAntivirus: http://www.vsantivirus.com/troj-gpcode-b.htm
(Ellos dicen que el nivel de peligrosidad es bajo, pero bueno será porque no te destruye la información, aunque si no la puedes leer... pa qué!)

Pendrives USB como fuente de infección de Virus

Me he encontrado esta semana con tres casos de "pendrives" infectados por virus

Con la llegada de Internet quedaron atrás los disquetes como principal vía de infección de virus, debido a la mayor velocidad de propagación que se consigue al estar todo conectado. Pero mira por dónde, con la proliferación de los "pendrives", las memorias de almacenamiento masivo USB, esos potentísimos dispositivos que "pinchamos" inocentemente en los PC que usamos, los de nuestros amigos, en el trabajo, en el cibercafé.... parece ser que están apareciendo virus que aprovechan esa ingenuidad para propagarse.

La mayoría de los pendrives que conozco no tienen interruptor para protegerlos físicamente contra escritura, como los antiguos disquetes de 3 1/2, de esta forma se aseguraba la "higiene" al introducirlos en ordenadores de dudosa confianza. En fin, a partir de ahora hay que tener cuidado.

Afortunadamente, los casos de contaminación que he tenido oportunidad de analizar, han sido detectados y eliminados por el sistema antivirus en el momento de insertar el dispositivo. Aparte de eso, todos utilizan la misma técnica de contaminación que relato aquí a modo de "detección" casera por vuestra parte:

Si insertamos nuestro impoluto e inocente pendrive en un equipo que está infectado:

• Se crea un fichero AUTORUN.INF en la carpeta raíz del pendrive. Posiblemente con el atributo de "Fichero Oculto"
• Copia un fichero ejecutable (.EXE) también en la raíz o en alguna carpeta, con el código del virus. Éste es llamado por el Autorun en la sentencia "OPEN". Su nombre dependerá del virus en cuestión.
• De esta forma, queda el pendrive "infectado". Si posteriormente "pinchamos" la memoria en un equipo Windows 2000 que tenga activada la "Reproducción automática" de dispositivos extraíbles (como los CD-ROMs) se dispará y ejecutará el virus en cuanto esté disponible la unidad, contaminando el ordenador. Este efecto, en Windows XP es algo diferente, ya que en lugar de autoejecutar el .INF lo que se hace es mostrar una lista de posibles tareas.

##Actualización para Windows 2000 y XP Professional
COMO DESACTIVAR LA REPRODUCCIÓN AUTOMÁTICA EN UNIDADES:

• Inicio -> Ejecutar y teclear gpedit.msc. Aceptar.
• Se abre el Editor de políticas del sistema
• En la ventana Ventana Directiva de grupo ve a Configuración del equipo -> Plantillas administrativas -> Sisitema -> Desactivar reproducción automática.
• Aparecerá una nueva pantalla llamada Propiedades de Desactivar reproducción automática. Marcar la opción Habilitar, colocar el valor Todas las unidades en el menú desplegable, y finalmente Aplicar

####

Otra forma, por si acaso, yo recomendaría para Windows XP Home (obligatorio en W2000 por supuesto), desactivar la reproducción automática en este tipo de unidades. Para hacerlo, la forma de proceder que he encontrado es ésta:

• Abrir la "Administración de equipos" (Está en el Panel de Control, dentro de las Herramientas Administrativas)
• En esta consola, abrir el Administrador de discos (dentro de "Almacenamiento")
• Con un pendrive insertado, tendremos accesible en la parte superior derecha la unidad que le corresponde con su letra.
• Seleccionamos la unidad, y abrimos las "Propiedades", (pinchando con el botón derecho del ratón, seleccionando el menú contextual)
• Deberá salir una ventana de propiedades con la pestaña "Reproducción automática", ahí marcar "Preguntarme siempre que elija una acción".

P.D. Si encuentras el dichoso archivito AUTORUN.INF en tu pendrive, "canea" al propietario del PC donde lo insertaste la última vez, y si fue el tuyo, ya sabes, posiblemente TIENE UN VIRUS!

Recibes llamadas ocultas en el movil?

No sé si te pasa, pero lo he comentado con compañeros y es algo generalizado. Últimamente estamos siendo abordados por un nuevo tipo de ataque, insulto tecnológico o "spam", llámalo como quieras, consistente en unas insistentes llamadas ocultas, ya sea en el teléfono fijo, o en el movil. Cuando las coges cuelgan de forma automática, no hay una voz, no hay una persona, nada. Así hasta que de vez en cuando aparece una amable señorita para vendernos algo. Se trata de una nueva maniobra comercial de dudosos principios éticos y ataque claro a nuestra privacidad. Son sistemas informáticos que realizan llamadas de forma automática para sondeo de clientes y sus horarios de disponibilidad. Si coges la llamada en un determinado horario estás perdido. El sistema registrará que a esa hora estás accesible y serás blanco próximo de llamadas comerciales. He estado buscando por ahí y parece que la defensa legal es bastante difícil. Teniendo en cuenta que los primeros que ganan con todo esto son precísamente los operadores de Telefonía, te ponen todo tipo de trabas para facilitar los números ocultos que están detrás de esas llamadas.

Pero no estamos tan perdidos, desde hace unos meses estoy utilizando una herramienta en el móvil, llamada ADVANCED CALL MANAGER, de la empresa WebGate. No es más que un programa para teléfonos con sistema Symbian (Nokia) y los últimos Sony Ericcson. Se instala como un "servicio de sistema", al igual que en ordenador, de forma que se pone en marcha en cuanto encendemos el teléfono. Su labor es monitorizar las llamadas que recibimos y en base a una serie de criterios que le establecemos, aceptarlas, rechazarlas de forma automática, dar la señal de ocupado,...e incluso dispone de un pequeño contestador automático que podemos preparar a voluntad.

Tiene la posibilidad de crear una lista de números a los cuales siempre colgar, o lo contrario, admitir sólo los números que tengamos en la agenda... En fin, todo lo que se nos podría ocurrir a la hora de aceptar una llamada de teléfono. Por supuesto el rechazo a las llamadas sin identificar es de las opciones a activar de primera. Y todo esto lo hace de forma transparente y automática. Las llamadas ocultas son filtradas y pasan al registro de perdidas, sin dar señal ni molestarnos.

Incluso permite que estos modos de filtro puedan activarse sólo a determinadas horas, o detectar la zona en la que estamos de forma, por ejemplo, que en la oficina no bloquee las llamadas, y en casa sí (detección por el código de las antenas de cobertura que nos dan la señal en cada sitio).

En fin, después de probarlo un tiempo puedo decir que de verdad merece la pena. Con este programita sí se puede decir que controlamos quién nos llama, y por el coste que tiene, las funcionalidades que ofrece son muy superiores al servicio que nos podría dar nuestro Operador, si le requerimos este tipo de filtros y por los que siempre nos cobran aparte.

Para descargar la aplicación (versión de prueba): http://advanced-call-manager.softonic.com/movil (no llega a 15 Euros)

Web del fabricante donde se puede ver toda la información: http://webgate.bg/index.html?content=products&rmenu=1&rsmenu=1

******************************************************************

Estoy buscando otra utilidad similar para el teléfono fijo. Claro que necesitaremos un dispositivo que haga esta labor de filtrado puesto que los fijos convencionales no tienen capacidad de programación, será necesario utilizar ese ordenador que tenemos por ahí siempre encendido descargando de la red.

La idea es recuperar los antiguos modems analógicos de 56K que todos usabamos antes de que llegara la magnífica ADSL. Estos módems pueden ser configurados como una especie de FAX en el ordenador, de forma que son capaces de ante la recepción de una llamada, descolgar el teléfono y actuar.

Aún no he encontrado una herramienta que se adapte a un perfil similar al que he comentado con el Advanced Call... aunque a las bravas, será cuestión de recuperar la tabla de códigos HAYES de los modem, y hacerme yo mismo el programita en Visual Basic.... no lo descarto, aunque estoy algo atrofiado en programación, puede ser un buen reto.

Herramientas Anti RootKits. Virus Informaticos IV

En entradas anteriores hablé de los ROOTKITS (http://juanjo-rosado.spaces.live.com/blog/cns!E5CE3A4EC13119C7!723.entry). Un nuevo tipo de amenaza informática de difícil detección y alto nivel de peligrosidad. Aún no han sido aprovechadas ampliamente por los creadores de virus, o simplemente, no sabemos si tenemos uno ya instalado.

Como el asunto puede llegar a ser preocupante, si el equipo informático atacado contiene información crítica para la organización, es necesario tomar medidas preventivas antes de que suceda lo peor. Aquí he encontrado una relación de herramientas de detección y eliminación de rootkits que se están desarrollando últimamente. Algunas son versiones de pruebas, experimentales. Otras son por tiempo limitado. La de Sysinternals y la de Helios, parece, por las pruebas que estoy haciendo, que son interesantes.

http://www.grisoft.com/doc/download-free-anti-rootkit/us/crp/0
http://www.f-secure.com/blacklight/blacklight.html
http://www.microsoft.com/technet/sysinternals/utilities/RootkitRevealer.mspx
http://www.sophos.com/products/free-tools/sophos-anti-rootkit.html
http://helios.miel-labs.com/2007/03/announcing-helios-lite.html
http://www.resplendence.com/hookanalyzer

Aviso: La información que muestran estas herramientas suele ser bastante técnica ya que inspeccionan al más bajo nivel el sistema operativo. Ampliaré este post si obtengo conclusiones interesantes.

Technorati: rootkit virus

Aquí la última canción de September, como siempre, buena música no exenta de poesía en sus letras

Virus Informáticos III

El eclipse, peculiar evento astronómico en el que dos cuerpo celestes se colocan de tal forma que uno se interpone ante el otro y la estrella que ilumina a ambos. De esta forma uno permanece por unos instantes en completa o parcial oscuridad.

No exentos de misterio y misticismo, en tiempos remotos siempre se dió una simbología a los eclipses: anuncios de catastrofes, enfado de dioses, malos augurios.... En la actualidad, se aprovecha la extraordinaria situación para la observación de fenómenos que habitualmente son más difíciles de experimentar, como medir las tormentas y radiaciones del Sol eclipsado cuando sólo observamos sus destellos alrededor del contorno de la Luna.

Como si de secretos del Universo a punto de ser desvelados se tratara, esos mágicos instantes atraen nuestra ciega curiosidad. ¿Cuál si no sería el motivo de la temeridad de muchos incautos que quemaron sus retinas intentando ver un eclipse solar sin protección?

=============

Hay muchas situaciones en la vida en la que se produce una paradoja parecida. En el momento que algo negativo u oscuro se interpone entre nosotros y la realidad, nos damos cuenta de pequeños detalles que antes pasabamos por alto, o no les dábamos importancia. Y son precísamente esos detalles los que encierran la esencia de lo precioso.

Merece la pena estar atento sin perder las retinas en el intento.

=============

Eclipse ha sido el VIRUS INFORMATICO que infectó esta mañana nuestros ordenadores servidores. Un susto sin más consecuencias que 30 minutos de paro en la actividad de nuestra delegación. Técnicamente denominado BKDR_VANBOT.BV por el antivirus TRENDMICRO, los datos más significativos de esta aventura han sido:

• Hora de infección: 2:24 AM del 02/03/07.
  
• Procedencia: Desconocida, a través de la red WAN (en ese momento no había actividad en la LAN)
  
• Síntomas: Servicios WINS y DHCP de los nodos del cluster controlador de dominio, detenidos e imposibles de arrancar.
  
• Pistas:
  
  
  
  • Dos claves en el registro HKEY_LOCAL_MACHINE/SOFWARE/MICROSOFT/WINDOWS/CURRENT_VERSION/RUN sospechosas
    
  • Entrada en el sistema a través de un gusano de nombre U.EXE descargado en C:\
    
  • Instalación de puerta trasera, de nombre ECLIPSE.EXE dentro de C:\WINNT\SYSTEM32
  
  
• Motivo de infección:
  
  
  
  • Servidores WINDOWS 2000 SP4, no actualizados a último parche de Windows Update.
    
  • Fichero de firmas del antivirus no actualizado (desfase de 6 horas de retraso respecto al fichero que sí reconocía el virus) .
    
  • Red WAN conectada a sistemas no controlados por nosotros. Necesidad de Firewall más avanzado.
  
  
• Solución:
  
  
  
  • Detener la tarea en ejecución, con la utilidad PROCESS EXPLORER de Sysinternals ya que con el administrador de tareas no lo permite puesto que el virus está activo.
    
  • Opcionalmente, instalación del SPYBOT SEARCH & DESTROY activando el módulo de TEATIMER para bloquear la modificación del registro mientras limpiábamos.
    
  • Borrar o renombrar los ejecutables C:\ U.EXE y C:\WINNT\SYSTEM32\ ECLIPSE.EXE (no deja borrarlos si no habeis detenido la tarea, pero al reiniciar ya no los encontrará si los renombrais).
    
  • Actualizar de inmediato el fichero de firmas del antivirus.
    
  • Eliminar las claves de registro indicadas. (Abrir REGEDIT.EXE, y abrir las ramas de carpetas hasta la mencionada anteriormente).
    
  • Reiniciar el sistema.
    
  • Último análisis con el antivirus a todo el sistema para limpiar restos.
    
  • Aplicar parches de Microsoft para evitar la vulnerabilidad que aprovecha. En este caso específicamente son: LSASS y RPC DCOM.

Virus informáticos II

Leo el resumen de la última conferencia de "BlackHat" sobre técnicas de hackeo de sistemas informáticos y fabricación de virus y me quedo perplejo con las nuevas herramientas de Digital Weaponry (Armamento Digital). La nueva generación de rootkits avanza en el sentido de la virtualización de forma que los antivirus y sistemas de seguridad, firewalls de puesto, etc, tal cual conocemos hoy en día quedan totalmente inútiles.

La virtualización permite ejecutar todo un sistema informático dentro de otro mediante simulación, esto es, por ejemplo, que un PC con Windows pueda ejecutar en una ventana Linux, como si éste fuera el sistema nativo. Hasta ahí es una ventaja tecnológica el que con una misma máquina hardware podamos utilizar diferentes sistemas sin tener que realizar complejas configuraciones. Lo malo viene cuando esta tecnología es aprovechada para simular nuestro propio entorno, de forma que "alguien" (un programa oculto, en lo más profundo del sistema) nos está viendo, controlando, sin darnos cuenta. Los hackers llaman a esto estar en MATRIX, pues nuestro sistema no es real. Así, nuestros antivirus, nuestras contraseñas, todo, es supervisado por el sistema oculto. Nuestro ordenador funciona como si fuera nuestro ordenador, pero en realidad todo es simulado desde un sistema oculto, previo.

Los rootkits son los métodos de ocultación para conseguir esta virtualización maligna. Aquí os dejo esta presentación sobre una novedosa técnica de rootkit para hackear el nuevo Windows Vista (sucesor de Windows XP). Espectacular.

http://164.106.251.250/docs/bh2006/070_Rutkowska.pdf

Resumiendo lo que ahí dice, la técnica se basa en saltar las protecciones del Windows en lo relativo a la exigencia de la firma de controladores en la capa más básica del núcleo (kernel), a base de reescribir a bajo nivel sobre el archivo de paginación el código ejecutable de esos controladores que han sido descargados allí. [Inciso: La protección por firma de los controladores, se ha mejorado en Windows Vista, en relación a XP, para evitar instalación de virus pero también indirectamente para evitar que los usuarios utilicen software para saltar protecciones de DVDs, juegos pirata, etc.]

Para conseguir que el código de los controladores sea descargado de la memoria principal, simplemente se trata de llenarla hasta obligar al sistema a utilizar el archivo de intercambio. Una vez allí, se localizan los programas que interesan (por ejemplo el controlador del teclado), se reescribe el código con el virus (por ejemplo para interceptar todas las pulsaciones), y se pide a Windows que los vuelva a cargar. De esta forma ya tenemos en lo más profundo del sistema un programita espia.

Es estremecedor, ya que para estar a salvo hay que saber muy mucho lo que se hace y cómo funciona todo. El resto de los mortales, estamos en peligro.

Continuación de "Virus Informáticos I".

################################################################

ACTUALIZACIÓN 26/08/06

Claro que no todo está perdido. También se están desarrollando nuevos detectores como este de Sophos que estoy probando.

http://esp.sophos.com/products/free-tools/sophos-anti-rootkit.html

Ya os contaré....

Technorati: rootkit virus

Virus Informáticos I

Mi primera experiencia con un virus informático se remonta a primeros de 1991, cuando mi ordenador fue "violado" por el famoso FLIP/OMICRON (mira aquí su Descripción). A este virus que barría allí por donde pasaba y campaba a sus anchas en los ordenadores de la Facultad, iluso de mí, creía ser inmune por hacer "buenas prácticas" con mi ordenador. Por aquel entonces el único remedio era destruir toda la información del disco duro (Formateo a bajo nivel). Negándome a asumir semejante derrota, y sobre todo por la rabia que me entró de ver cómo había entrado aquello en la intimidad de mi máquina, me propuse luchar para neutralizar el virus.

Utilicé técnicas ortodoxas y no tan ortodoxas en plan agente Cooper en Twin Peaks, como fue la pista que me dió el chirriante sonido de los cabezales del disco duro (de 30 Megabytes) desplazandose hacia el último sector de la partición mientras arrancaba, cuando lo normal es que el arranque esté al principio. Esto me hizo pensar que allí al fondo había algo, y ¡Bingo! el "Pctools" me mostró que en aquel sector aparecía la firma del tipo que había diseñado semejante maravilla: "Omicron by Psychoblast", y digo maravilla porque diseñar un virus informático por aquel entonces era una auténtica obra de arte, y ésta realmente lo era por su sofisticación.

En fin, me costó unas horas desarrollar un programa para localizar este virus y neutralizarlo. Esto fue algo que siempre recordaré ya que este programita (mataflip/flipkiller), que por supuesto cedí a mis pobres compañeros de estudios, con el mismo problema, fue pronto distribuido gracias al "boca a boca" a toda España. Nunca gané una peseta por aquello, pero sí sé que salvé muchas "vidas" o datos de empresas y por eso estoy muy satisfecho.

Seguiré hablando de virus informáticos, sí, desde entonces mi vida profesional ha estado vinculada de un modo u otro a este tema de la Seguridad. Mientras tanto, os recomiendo encarecidamente que os protejais, no hay escusa para no tener instalado un antivirus. En mi lista de "software gratis" teneis unos cuantos recomendados.

Technorati: Virus Flip Omicron