Los virus informáticos son una pesadilla logística. Pueden borrar su disco duro. Pueden obstruir el tráfico de la red durante horas. Pueden convertir su inocente máquina en un zombi, replicarse y enviar copias a cada contacto de su libreta de direcciones.
Si nunca ha visto a una máquina caer víctima, quizás se pregunte a qué se debe tanto alboroto. La preocupación es válida. Consumer Reports estimó que los virus informáticos contribuyeron a $8.5 mil millones en pérdidas de consumidores sólo en 2008. Son sólo una porción del pastel de amenazas en línea, pero podría decirse que son las más famosas.
La teoría antes del malware
Los virus informáticos existen desde hace décadas. En realidad, el concepto es anterior a la Internet moderna. En 1949, el científico John von Neumann teorizó que los programas autorreplicantes eran posibles. La industria informática apenas tenía una década de existencia. Alguien ya había descubierto cómo meter una llave en los engranajes.
Se necesitaron algunas décadas más para que los programadores conocidos como hackers realmente los construyeran.
Los primeros programas similares a virus se dirigieron a grandes computadoras centrales. Pero la computadora personal lo cambió todo. Llevó la amenaza a la vista del público. Fred Cohen, un estudiante de doctorado, fue el primero en describir como “virus” los programas autorreplicantes diseñados para modificar computadoras. El nombre se quedó.
De los disquetes a las cadenas de correo electrónico
A principios de la década de 1980, los virus dependían del trabajo humano para propagarse. Un hacker guardaría el código en un disquete. Distribuirían el disco. Lo enchufarías. La infección se afianzó.
La transmisión de virus no se convirtió en un problema real hasta que los módems se hicieron comunes. Hoy en día imaginamos que los virus informáticos se propagan a través de Internet. Infectan computadoras a través de mensajes de correo electrónico o enlaces web corruptos. Estas cepas digitales se mueven mucho más rápido que las primeras versiones físicas.
Vamos a ver 10 de los peores virus informáticos que pueden dañar un sistema. Empecemos con el virus Melissa.
10: Melisa
David L. Smith no se limitó a escribir código; Escribió un marcador cultural para los albores de la era de Internet. En la primavera de 1999, diseñó un virus de macro para Microsoft Word que se convertiría en una de las primeras amenazas digitales en captar verdaderamente la imaginación del público. Smith la llamó Melissa, tomando el apodo de una bailarina exótica que conoció en Florida. La elección fue irónica, dado el comportamiento del virus, que tenía mucho menos que ver con el atractivo y más con la replicación agresiva y automatizada.
La mecánica de la infección fue simple pero devastadoramente efectiva. El virus se disfrazó dentro de un mensaje de correo electrónico con el asunto “Aquí está el documento que solicitó, no se lo muestre a nadie más”. Jugó con la curiosidad y el secretismo, dos cosas que las personas son notoriamente malas para proteger en entornos profesionales. Cuando un destinatario abrió el documento adjunto, la macro se activó. No se quedó ahí sentado. Raspó la libreta de direcciones de Outlook de la víctima y envió copias de sí mismo a los cincuenta contactos principales.
El virus Melissa y la respuesta del gobierno
La propagación fue exponencial. En cuestión de días, los administradores de red se ahogaban en el tráfico. El gobierno federal de los Estados Unidos se dio cuenta. Según declaraciones hechas por funcionarios del FBI al Congreso, el virus Melissa causó estragos en las redes gubernamentales y del sector privado. El gran volumen de correos electrónicos infectados provocó que los servidores de correo se atascaran. Algunas empresas se vieron obligadas a suspender por completo sus programas de correo electrónico hasta que se pudiera contener la propagación.
Smith finalmente fue capturado. Las consecuencias legales fueron rápidas y graves. Después de un largo proceso judicial, Smith perdió el caso y recibió una sentencia de 20 meses de cárcel. El tribunal también multó a Smith con 5.000 dólares y le prohibió acceder a redes informáticas sin autorización judicial. Si bien Melissa no paralizó permanentemente Internet global, sirvió como una llamada de atención. Demostró que el código escrito para la productividad de la oficina podía usarse como arma para poner de rodillas la infraestructura corporativa.
Sabores de virus
Para entender por qué Melissa era tan peligrosa, hay que observar cómo se clasifica el malware. La mayoría de la gente utiliza el término “virus” como un término general, pero las distinciones técnicas son importantes para la defensa y la comprensión.
- Virus informático : Este es el término general para los programas que modifican el funcionamiento de una computadora, dañando a menudo archivos o sistemas. Un verdadero virus requiere un programa host para ejecutarse correctamente. Melissa utilizó un documento de Word como anfitrión. No podría existir de forma independiente.
- Gusano : a diferencia de un virus, un gusano no requiere un programa anfitrión. Es una aplicación independiente que puede replicarse y enviarse directamente a través de redes informáticas. Es más rápido, autosuficiente y, a menudo, más difícil de detener porque no necesita que un usuario abra un archivo.
- Caballo de Troya : Estos programas afirman hacer una cosa pero en realidad hacen otra. Pueden parecer software o juegos legítimos. Una vez instalados, pueden dañar el disco duro de la víctima o crear una puerta trasera, permitiendo que un usuario remoto acceda al sistema informático de la víctima.
Comprender estas diferencias no es sólo académico. Cambia la forma en que protege sus datos. Si sabe que una amenaza es un gusano, se concentra en los puertos de red y los firewalls. Si se trata de un troyano, hay que centrarse en la educación del usuario y la verificación de la fuente.
Virus de la vieja escuela
Antes de Melissa, hubo otras infecciones tempranas. Algunos de los primeros virus que infectaron computadoras personales incluyeron los virus Apple, que atacaron las computadoras Apple II en la década de 1980. Se trataba menos de destrucción masiva y más de experimentación, pero sentaron las bases para todo lo que siguió. La evolución de simples bromas a códigos que destruyen redes como Melissa marcó un cambio de intención. Los actores maliciosos no sólo estaban alardeando; estaban poniendo a prueba los límites de la conectividad.
9: TE AMO
El patrón establecido por Melissa no desapareció. Evolucionó. Unos años más tarde, surgiría otra amenaza transmitida por correo electrónico, una que eclipsaría a Melissa en términos de impacto global. eso
Había pasado exactamente un año desde que el virus Melissa arrasó el panorama digital. La siguiente gran amenaza no provino de los sospechosos habituales. Surgió de Filipinas.
Este no era un macrovirus como Melissa. Era un gusano. Autónomo. Autorreplicante. Llevaba un nombre que se volvería infame: ILOVEYOU.
El mecanismo de entrega era engañosamente simple. Al igual que su predecesor, viajaba por correo electrónico. El asunto era un gancho: “Carta de amor de un admirador secreto”. ¿El apego? CARTA-de-AMOR-PARA-TI.TXT.vbs.
Esa extensión .vbs fue la señal reveladora. Señaló a Visual Basic Scripting, el lenguaje que el creador utilizó para construir el motor de destrucción.
McAfee catalogó posteriormente el alcance total del daño. El gusano no se limitó a copiarse a sí mismo. Enterró copias en varias carpetas del disco duro. Inyectó nuevas entradas en el registro de Windows. Sobrescribió tipos de archivos específicos con su propio código. Se propagó a través de clientes de Internet Relay Chat (IRC), no sólo por correo electrónico.
Y luego estaba la carga útil.
El gusano descargó un archivo llamado WIN-BUGSFIX.EXE. Ejecutó el programa. El nombre implicaba una herramienta de reparación del sistema. En realidad, se trataba de un ladrón de credenciales. Tomó contraseñas y otros datos confidenciales y luego envió el botín por correo electrónico directamente al hacker.
El creador y el costo
¿Quién construyó esto? La mayoría de los ojos apuntaron a Onel de Guzmán, un estudiante filipino.
Las autoridades filipinas lo investigaron por robo. El sistema legal, sin embargo, tenía un vacío. En ese momento, Filipinas no tenía leyes que abordaran específicamente el espionaje o el sabotaje informático. Sin los estatutos adecuados a los que incriminarlo, se retiraron los cargos.
De Guzmán nunca confirmó su papel. Él tampoco lo negó nunca.
El costo financiero fue asombroso. Las estimaciones sitúan los daños en 10 mil millones de dólares a nivel mundial. Sigue siendo uno de los ciberataques más caros de la historia.
La falsa amenaza: los engaños virales
Una vez terminada la fiesta del amor, el mundo digital enfrentó un tipo diferente de ruido. No malware. No gusanos.
Engaños de virus.
Estas no son amenazas reales. No se replican. No corrompen los datos. Son advertencias fabricadas diseñadas para asustar a los usuarios y a los medios de comunicación. El objetivo es la atención. El efecto es fatiga.
Considere la dinámica del “niño que gritó lobo”. Cuando cada correo electrónico afirma ser un virus mortal e imparable, la gente empieza a ignorar las alertas. Al final, cuando llega una amenaza real, las señales de advertencia se descartan como un simple engaño más.
Crea una capa de escepticismo que los piratas informáticos pueden explotar. Si no puedes decir qué es real, eres vulnerable a todo.
El virus Klez
El siguiente capítulo en esta era de pánico digital generalizado involucró a un virus con un nombre que se quedó: Klez.
El virus Klez llegó a finales de 2001 y marcó un cambio en la forma en que operaban las amenazas. No sólo infectó; se propagó con una sofisticación de la que carecía el malware anterior. Las variaciones plagaron las redes durante meses, estableciendo un nuevo estándar de velocidad y sigilo.
El mecanismo central era simple pero devastador. El gusano entró por correo electrónico. Una vez dentro, replicó y utilizó la propia libreta de direcciones de la víctima para enviar copias a los contactos. Pero no fue sólo una molestia. Algunas versiones incluían cargas útiles destructivas que podrían paralizar los sistemas. Mezcló comportamientos. En algunos casos, actuó como un virus tradicional. En otros, se comportaba como un gusano o un caballo de Troya.
¿El aspecto más peligroso? Klez podría desactivar el software antivirus. Incluso se hizo pasar por herramientas de eliminación para engañar a los usuarios y obligarlos a desactivar sus propias defensas.
El arte de la suplantación de identidad
Los piratas informáticos rápidamente refinaron el código. Se dieron cuenta de que simplemente enviar correos electrónicos no era suficiente. Necesitaban superar el escepticismo humano.
Introduzca la suplantación de identidad.
El virus modificó el campo “De”. No se limitó a enviar desde sí mismo. Sacó un nombre aleatorio de la lista de contactos de la víctima y usó esa dirección. El correo electrónico parecía provenir de un amigo, un colega o una entidad conocida.
Esta táctica sirvió para múltiples propósitos. Bloquear al remitente fue inútil. La verdadera fuente estaba oculta. Una víctima no podía simplemente bloquear la dirección en su cliente porque era falsa. El spam podría obstruir una bandeja de entrada rápidamente. Los destinatarios no tenían forma de rastrear el verdadero origen.
El reconocimiento jugó un papel psicológico. Es más probable que las personas abran correos electrónicos de contactos conocidos. Si el campo “De” mostraba un nombre confiable, el destinatario bajó la guardia. Hicieron clic. El gusano se propagó.
Defensa contra la propagación
La protección requiere estrategia. Necesitas un software antivirus. Debes mantenerlo actualizado. Las reglas son estrictas. No instale varias suites. Los programas superpuestos interfieren. Están en conflicto. Ralentizan su sistema. Crean vulnerabilidades.
En 2001 surgieron varias amenazas importantes. El panorama estaba cambiando.
Las herramientas comunes para la defensa incluyeron:
-Avast Antivirus
– AVG Antivirus
– Kaspersky Antivirus
– McAfee VirusScan
– Norton antivirus
Mantener uno de estos activo y actualizado es la base. Nada más. Nada menos.
Más allá de Klez
La web evolucionó. Las amenazas evolucionaron más rápido.
7: Código Rojo y Código Rojo II
La siguiente ola apuntó a los servidores. El foco pasó de los usuarios individuales a la infraestructura. Las implicaciones eran más amplias. El daño fue más profundo.
El verano de 2001 trajo dos amenazas distintas: el Code Red original y su secuela, Code Red II. Ambos apuntaron al mismo defecto. Específicamente, explotaron una vulnerabilidad de desbordamiento de búfer en los sistemas Windows 2000 y Windows NT. Cuando estas máquinas recibieron más datos de los que sus buffers podían manejar, la memoria adyacente se sobrescribió. El resultado fue un colapso o, peor aún, una adquisición.
El ataque a la Casa Blanca y el compromiso del sistema
El primer gusano tenía una agenda clara. Lanzó un ataque distribuido de denegación de servicio (DDoS) contra los servidores web de la Casa Blanca. Las computadoras infectadas en todo el mundo hicieron ping simultáneamente al mismo objetivo. El objetivo era simple: sobrecargar las máquinas hasta que dejaran de responder.
Código Rojo II fue diferente. No sólo colapsó los sistemas. Creó una puerta trasera en el sistema operativo. Esto permitió a usuarios remotos acceder y controlar la máquina comprometida. En términos técnicos, esto es un compromiso a nivel del sistema. El propietario pierde toda autoridad sobre su propio hardware.
Las implicaciones son graves. Un atacante puede acceder a información personal o utilizar la computadora infectada para cometer delitos. La víctima no sólo se enfrenta a una PC averiada. También corren el riesgo de caer bajo sospecha policial por delitos que no cometieron.
Windows NT frente a Windows 2000
No todas las máquinas sufrieron por igual. Los sistemas Windows NT eran ciertamente vulnerables. Sin embargo, el impacto fue menos extremo. Los servidores web que ejecutan Windows NT pueden fallar con más frecuencia de lo normal. Pero esa fue en gran medida la magnitud del daño. En comparación con la pérdida total de control que experimentaron los usuarios de Windows 2000, los usuarios de NT salieron relativamente bien librados.
El dilema del parche
Microsoft lanzó parches para solucionar el agujero de seguridad subyacente en ambos sistemas operativos. Una vez parcheados, los gusanos originales ya no podían infectar nuevas máquinas con Windows 2000. Pero había un problema. El parche no eliminó los virus existentes. Las víctimas tuvieron que limpiar sus sistemas ellas mismas.
Qué hacer cuando estás infectado
Descubrir que su computadora está infectada es estresante. La respuesta correcta depende del malware específico. Muchos programas antivirus pueden eliminar virus de un sistema infectado. Pero si el virus ha dañado archivos o datos, es necesario restaurarlos a partir de copias de seguridad.
Es por eso que las copias de seguridad periódicas no son negociables. Para gusanos como Code Red, una simple limpieza no es suficiente. Es recomendable reformatear completamente el disco duro y empezar de nuevo. Algunos gusanos permiten que se cargue otro software malicioso en su máquina. Un barrido antivirus estándar podría pasar por alto esas amenazas secundarias.
6: Nimda
El gusano Nimda: velocidad y gravedad
Si estabas viendo los registros del servidor en 2001, probablemente Nimda te tomó por sorpresa. El nombre no fue aleatorio. Es “admin” escrito al revés, una sutil insinuación de los privilegios del sistema que el gusano buscaba explotar. Según Peter Tippett, entonces director de tecnología de TruSecure, Nimda llegó a Internet y llegó a la cima de los ataques reportados en solo 22 minutos. Eso no es un error tipográfico. Veintidós minutos para convertirse en el virus informático de más rápida propagación de su época.
La mayoría del malware quiere sus datos personales. Nimda quería ancho de banda.
Sus principales objetivos eran los servidores de Internet. Si bien una PC doméstica podría infectarse, el verdadero objetivo del gusano era obstruir el tráfico. Convirtió las máquinas infectadas en nodos zombies, ejecutando efectivamente un ataque de denegación de servicio distribuido (DDoS) por gran volumen. El gusano era una hidra con múltiples cabezas. Se propagó a través de archivos adjuntos de correo electrónico, servidores web vulnerables y unidades de red compartidas. Este enfoque multivectorial significó que no se tocó simplemente a una puerta; Rompió todas las ventanas del edificio.
Una vez dentro, Nimda creó una puerta trasera en el sistema operativo. El nivel de acceso que otorgaba dependía completamente del usuario que lo activaba. Si un usuario estándar con privilegios limitados hacía clic en el archivo equivocado, el atacante obtenía acceso limitado. Si un administrador iniciaba sesión, el atacante tomaba el volante. Control total. Ejecución remota. El gusano consumió recursos del sistema hasta que los sistemas de red colapsaron bajo su peso.
Más allá de la PC: amenazas portátiles
No todo el malware vive en su escritorio. Algunos apuntan a los dispositivos que lleva en su bolsillo o bolso.
A mediados de la década de 2000, el panorama de amenazas giró hacia la portabilidad. CommWarrior apuntó a teléfonos inteligentes que ejecutaban el sistema operativo Symbian y se propagaba a través de Bluetooth y MMS. No se limitó a copiarse a sí mismo; registró datos de usuario y eliminó archivos. Otra amenaza para Symbian, el virus Skulls, fue más visual que destructiva. Reemplazó la pantalla de inicio del teléfono con una imagen de calaveras, convirtiendo un dispositivo de comunicación en una valla publicitaria digital de terror.
Los dispositivos de almacenamiento también se convirtieron en vectores. RavMonE.exe infectó reproductores iPod MP3 producidos entre el 12 de septiembre de 2006 y el 18 de octubre de 2006. El virus se escondió en los archivos de música, esperando saltar a una computadora cuando se sincronizara. Esto no fue teórico. Fox News informó en marzo de 2008 que algunos aparatos electrónicos salían de fábrica con virus preinstalados. No necesitabas descargar nada. Solo necesitaba conectar el dispositivo a su máquina y sincronizarlo.
La línea entre la vulnerabilidad del hardware y del software se difuminó. Un dispositivo barato podría ser un caballo de Troya.
SQL Slammer y la ola de zafiro
La siguiente gran ola de destrucción tuvo como objetivo la columna vertebral de la infraestructura de datos. SQL Slammer, también conocido como Sapphire, no dependía de la interacción del usuario. No era necesario que hicieras clic en un correo electrónico ni insertaras un iPod comprometido.
Explotó una vulnerabilidad de desbordamiento del búfer en Microsoft SQL Server. Específicamente, apuntó a las versiones 7.0 y 2000 que no habían aplicado los últimos parches de seguridad. El gusano era diminuto. Sólo 370 bytes. Este pequeño tamaño le permitió caber en un único paquete UDP, lo que lo hizo increíblemente eficiente en la propagación.
Una vez que encontró un servidor vulnerable, escaneó direcciones IP aleatorias en ráfagas. La velocidad era aterradora. El gusano se propagó tan rápidamente que abrumó la infraestructura de red antes de que muchos administradores pudieran siquiera identificar la amenaza. Las principales redes se desmoronaron. Las computadoras de las aerolíneas se apagaron. Los cajeros automáticos de los bancos dejaron de procesar transacciones. La propia Internet se ralentizó.
SQL Slammer demostrado
Eran finales de enero de 2003. Internet parecía frágil. Un nuevo virus de servidor web arrasó la red, aprovechando una falta fundamental de preparación. Los resultados fueron inmediatos y caóticos. La red de cajeros automáticos del Bank of America quedó apagada. El servicio de emergencia 911 de Seattle experimentó cortes importantes. Continental Airlines suspendió vuelos porque fallaron sus sistemas electrónicos de facturación y emisión de boletos.
¿Causa? SQL Slammer, también conocido como Zafiro.
La estimación de daños superó los mil millones de dólares. Esa cifra es asombrosa para 2003. La velocidad del ataque fue el verdadero horror. A los pocos minutos de llegar a su primer servidor, el virus duplicó el número de hosts infectados cada pocos segundos. Al cabo de quince minutos, había comprometido casi la mitad de la infraestructura crítica de servidores de Internet. Fue una carrera contra el tiempo en la que Internet apenas sobrevivió.
Por qué SQL Slammer cambió los paradigmas de seguridad
La lección de Slammer no se trataba sólo de vulnerabilidad. Se trataba de tiempo de respuesta. No puede confiar únicamente en tener los últimos parches o firmas de antivirus. Los piratas informáticos buscan debilidades desconocidas: días cero que aún no se han revelado. Si bien la aplicación de parches sigue siendo esencial, el ataque de Slammer demostró que se necesita un plan de recuperación ante desastres. Debes sobrevivir el momento antes de que llegue la solución.
Este cambio de mentalidad destacó la importancia de la resiliencia sobre la pura prevención. La vulnerabilidad en sí era menos importante que la velocidad con la que se propagaba.
Una cuestión de tiempo: el auge del malware activado por el tiempo
No todos los virus atacan inmediatamente. Algunos están programados para dormir. Ellos esperan. Permanecen inactivos en la máquina de la víctima hasta que una fecha específica activa su carga útil. Esta táctica añadió una capa de guerra psicológica a los ciberataques. Nunca se sabía cuándo se acabaría el tiempo.
La historia ofrece un catálogo sombrío de estas amenazas basadas en el tiempo:
- El virus Jerusalén: Se activa cada viernes 13, corrompiendo los datos del disco duro.
- El virus Miguel Ángel: Desencadenado el 6 de marzo de 1992, coincidiendo con el cumpleaños del artista italiano (nacido el 6 de marzo de 1475).
- El virus de Chernobyl: Lanzado el 26 de abril de 1999, en el 13º aniversario del desastre nuclear.
- El virus Nyxem: Elimina archivos de las computadoras infectadas el tercer día de cada mes.
Estos ejemplos muestran que el malware puede ser paciente. Puede esperar a que bajes la guardia. El sentimiento de impotencia que esto crea es potente. Eres vulnerable. Estás abatido.
Este panorama emocional prepara el escenario para la próxima gran amenaza. Un virus con un nombre que encapsulaba perfectamente esos sentimientos.
4: Mi Perdición
MyDoom, también conocido como Novarg, no solo infectaba máquinas. Instaló una puerta trasera. Esto dio a los atacantes acceso persistente al sistema operativo mucho después de la infección inicial. La cepa original tenía un calendario brutal. Dos factores desencadenantes específicos dictaron su comportamiento.
El primer desencadenante lanzó un ataque de denegación de servicio (DoS) contra los servidores del Grupo SCO el 1 de febrero de 2004. El segundo comando detuvo la propagación del gusano el 12 de febrero de 2004. Aunque la distribución se detuvo, las puertas traseras permanecieron abiertas. Las víctimas seguían siendo vulnerables al control remoto.
El ataque al motor de búsqueda
Más tarde, en 2004, MyDoom volvió a atacar. Esta vez, se centró en empresas de motores de búsqueda. El gusano escaneó los discos duros locales en busca de direcciones de correo electrónico. Luego utilizó esas direcciones para completar consultas de búsqueda. Envió estas solicitudes a motores de búsqueda como Google.
El resultado fue el caos. Las computadoras corruptas inundaron Google con millones de solicitudes de búsqueda automatizadas. El gran volumen de tráfico ralentizó los servicios. En algunos casos, provocó accidentes. Este no era un comportamiento típico de un virus. Convirtió los dispositivos de los usuarios en armas contra la infraestructura.
Sigilo y escala
MyDoom se movió a través del correo electrónico y las redes peer-to-peer. La empresa de seguridad MessageLabs informó que uno de cada doce correos electrónicos llevaba el gusano en su punto máximo. El gusano falsificó las direcciones del remitente. Esto hizo que rastrear el origen fuera casi imposible. Reflejó las tácticas del virus Klez. La suplantación de identidad creó confusión y ralentizó los tiempos de respuesta.
Virus extraños y trucos inofensivos
No todas las amenazas destruyen los datos. Algunos virus simplemente hacen que las computadoras actúen de manera extraña. El virus Ping-Pong creó un gráfico de pelota que rebota. No causó ningún daño real. Era una molestia visual, no una fuerza destructiva.
Muchos “virus” son en realidad programas de broma. Imitan los síntomas de la infección pero no se autorreplican. Es posible que congelen la pantalla o muestren ventanas emergentes extrañas. Estas son aplicaciones inofensivas. Si sospecha que hay una infección, deje que el software antivirus se encargue de ella. No asuma que todo comportamiento extraño es un virus.
La conexión Sasser y Netsky
El próximo capítulo involucra dos amenazas específicas. Comparten un creador común. El gusano Sasser y el virus Netsky surgieron del mismo hacker. Su impacto fue distinto pero igualmente significativo en la evolución del malware.
Los creadores de virus suelen permanecer en las sombras. Elaboran su código, lo publican y desaparecen en el éter digital. Pero ocasionalmente, el rastro se enfría sólo para las autoridades. Los gusanos Sasser y Netsky son una prueba de que no siempre es posible esconderse a simple vista. Los expertos en seguridad rastrearon ambos hasta una sola fuente: un alemán de 17 años llamado Sven Jaschan.
El código contaba la historia. Los gusanos actuaron de manera diferente, claro. Pero las huellas dactilares en el código fuente eran idénticas. La misma lógica. Mismas peculiaridades. Mismas manos.
La brutal simplicidad del gusano Sasser
Sasser no se molestó en la ingeniería social. No era necesario que hicieras clic en un enlace o abrieras un archivo adjunto extraño. Encontró a sus víctimas por la fuerza.
El gusano aprovechó una vulnerabilidad en Microsoft Windows. En concreto, apuntó al servicio LSASS. Una vez dentro, se puso a trabajar. Escaneó direcciones IP aleatorias en busca de otras máquinas vulnerables. Cuando encontró uno, no envió un correo electrónico. Se conectó directamente e indicó al nuevo host que descargara el gusano.
Luego vino el giro. Sasser alteró el sistema operativo de la víctima. Deshabilitó la capacidad de apagar o reiniciar la computadora a través de canales normales. La única forma de detener el caos era reiniciar la máquina. Tire del enchufe. Fue un ataque de denegación de servicio integrado en la estructura misma del sistema operativo infectado.
Motor de spam de correo electrónico de Netsky
Netsky jugó un juego diferente. Se movía a través del correo electrónico y las redes de Windows. Falsificó direcciones de correo electrónico para que los mensajes parecieran legítimos. ¿La carga útil? Un archivo adjunto de exactamente 22.016 bytes de tamaño.
A medida que Netsky se expandía, obstruía las redes. Los sistemas colapsaron bajo el peso del tráfico. Efectivamente lanzó un ataque distribuido de denegación de servicio (DoS) mientras las máquinas luchaban por procesar la avalancha.
En su apogeo, los investigadores de seguridad de Sophos estimaron que Netsky y sus variantes constituían el 25 por ciento de todos los virus informáticos en Internet. Eso no es sólo ruido. Eso es una inundación.
El veredicto
Jaschan enfrentó graves cargos. Pero su edad lo cambió todo. Como tenía menos de 18 años cuando lo arrestaron, los tribunales alemanes no lo juzgaron como a un adulto. Evitó la cárcel. En cambio, recibió un año y nueve meses de libertad condicional.
Es una sentencia indulgente por el daño causado. Pero pone de relieve una brecha en la forma en que manejamos el cibercrimen juvenil. El código estaba maduro. El criminal era un niño.
Las Mac no son seguras
Hemos pasado las últimas secciones hablando de Windows. Es el gran objetivo. El sistema operativo más común. Pero asumir que las computadoras Macintosh son inmunes es un error peligroso.
No lo son.
La siguiente sección revela el primer virus dirigido específicamente a sistemas Mac. No era sólo un puerto. Fue un ataque único.
2: Salto-A/Oompa-A
Sombreros negros y sombreros blancos
La piratería no se trata sólo de código. Se trata de intención.
En el mundo de la tecnología, tomamos prestado de la fantasía. Brujas buenas y brujas malas en Oz. Buenos hackers y malos hackers en la realidad. El término para designar al actor malintencionado es sombrero negro.
Estas son las personas que crean virus. Encuentran vulnerabilidades no para solucionarlas, sino para explotarlas. Cometen crímenes. Comprometen los sistemas para obtener ganancias, caos o atención.
Algunos de ellos asisten a conferencias. La conferencia de Sombrero Negro. Defcon. Se reúnen para discutir su oficio. Hablan de cómo burlaron la seguridad. Cómo utilizaron un exploit de día cero. No lo ocultan por completo. Llevan su identidad como una insignia.
Es un marcado contraste con los sombreros blancos. El
“El virus Leap-A no causa mucho daño a las computadoras, pero demuestra que incluso una computadora Mac puede ser víctima de software malicioso”.
Durante años, la sabiduría predominante en los círculos tecnológicos fue que el jardín amurallado de Apple era seguro. Justin Long en esos famosos anuncios no solo vendía una estética genial; estaba vendiendo la idea de seguridad a través de la oscuridad. Debido a que las Mac ocupaban una porción menor del mercado interno que las PC, los piratas informáticos tenían menos incentivos para perder el tiempo creando cargas útiles para ellas. La lógica era fríamente eficiente: ¿por qué aspirar a diez mil víctimas cuando puedes aspirar a diez millones? La integración vertical de Apple (fabricando tanto el hardware como el sistema operativo) significó que el sistema operativo permaneciera relativamente opaco al mundo exterior. No era una seguridad perfecta, pero era suficiente para mantener a raya la mayoría del malware.
Luego llegó 2006.
Al virus Leap-A (también conocido como Oompa-A) no le importaba la cuota de mercado. Explotó iChat, la aplicación de mensajería instantánea, para difundirse. No fue necesario hackear el kernel. Sólo necesitaba que hicieras clic en un archivo que parecía un JPEG inofensivo pero que en realidad era un ejecutable corrupto. Una vez dentro, escaneó tu lista de contactos y se envió a tus amigos. Fue un desastre. Fue molesto. Pero demostró el punto: si suficientes personas usan Mac, vendrán los piratas informáticos.
Ahora, la conversación ha cambiado. Estamos en el primer puesto de la lista de amenazas informáticas importantes, y no se trata de un caballo de Troya escondido en la descarga de una película pirateada. Es el Gusano de Tormenta, también conocido como Niur o Vobfus.
¿Qué es el gusano tormenta?
El gusano tormenta surgió a principios de 2007, aprovechando una ola de pánico por el virus Y2K y otros temores tecnológicos de alto perfil. Llegó por correo electrónico con un asunto diseñado para provocar ansiedad inmediata. El contenido era vago y a menudo hacía referencia a cuestiones de seguridad o escándalos políticos, pero el archivo adjunto era el verdadero cebo. El nombre del archivo podría haber sido storm.exe o algo similar genérico, pero al hacer clic en él se abrieron las compuertas.
No se trataba simplemente de un virus en el sentido tradicional. Era un gusano. Se propagó automáticamente. No esperó la interacción del usuario después del clic inicial. Utilizaba redes peer-to-peer (P2P) para propagarse, lo que significa que no dependía únicamente de servidores de correo electrónico para pasar de una máquina a otra. Esto hizo que fuera increíblemente difícil detenerlo. No se puede simplemente bloquear una dirección IP o parchear un servidor. Había que cazar nodos infectados individuales.
Cómo funcionó el gusano tormenta
El Storm Worm era sofisticado para su época. Creó múltiples copias de sí mismo en diferentes ubicaciones de su disco duro, lo que hizo que su eliminación fuera casi imposible sin herramientas especializadas. Abrió puertos en su computadora, convirtiendo su máquina en un robot: un soldado zombie en un ejército más grande.
Esto lleva a la pregunta más común que los usuarios tienen sobre esta era de malware: ¿por qué Storm Worm fue tan dañino si no destruyó archivos?
La respuesta está en la botnet. Una botnet es una red de computadoras comprometidas controladas por un pirata informático. Storm Worm convirtió su PC en un nodo de esta red. Luego, los piratas informáticos podrían usar su máquina para enviar millones de correos electrónicos no deseados, atacar otros sitios web con ataques de denegación de servicio distribuido (DDoS) o extraer criptomonedas (aunque la criptominería no era tan frecuente entonces como lo es ahora). El daño no fue para sus datos. El daño fue para su ancho de banda, su reputación y su contribución a la empresa criminal de otra persona.
El cambio en las tácticas de malware
El gusano tormenta marcó un punto de inflexión. Antes de esto, los virus solían estar relacionados con la curiosidad o el vandalismo. Después de esto, el malware se centró en la infraestructura. Se trataba de construir una máquina que pudiera alquilarse con fines maliciosos. El **gusano de tormenta
Llegó a finales de 2006. Los investigadores de seguridad lo detectaron entonces, pero el público lo nombró más tarde. El apodo surgió del asunto del correo electrónico: “230 muertos mientras una tormenta azota Europa”. La gente recordó la tragedia. Hicieron clic en el enlace. Consiguieron el gusano.
Los laboratorios antivirus tenían sus propios nombres. Symantec lo denominó Peacomm. McAfee lo llamó Nuwar. La confusión es comprensible. Ya existía un W32.Storm.Worm del año 2001. Ése es un bicho completamente diferente. No los mezcles.
La variante de 2006 es un caballo de Troya. Su trabajo es entregar una carga útil. Esa carga útil cambia. A veces es un registrador de teclas. A veces es otra cosa. Sin embargo, el objetivo es consistente. Convierte tu máquina en un zombie.
Los zombis son robots. Se sientan ahí. Esperan órdenes. Un hacker en una habitación oscura envía una señal. El robot responde. Miles de estos bots forman una red. Eso es una red de bots.
Estas botnets son útiles para el spam. Envían millones de correos electrónicos basura a Internet. Storm Worm ayudó a construir esa infraestructura. Creció el ejército.
¿Cómo entró? Noticias falsas. Ese fue el truco. Los creadores del gusano cambiaban constantemente de táctica. Se montaron en la ola de los acontecimientos actuales.
Mire los Juegos Olímpicos de Beijing 2008. Surgió una nueva versión. El asunto del correo electrónico decía: “Una nueva catástrofe mortal en China” o “El terremoto más mortífero de China”. Se sintió urgente. Se sintió real. El enlace prometía imágenes de vídeo. Historias de noticias. En lugar de eso, descargó el gusano.
La escala fue enorme. En julio de 2007, Postini informó algo sorprendente. Vieron más de 200 millones de correos electrónicos con enlaces al gusano. Ese era solo su sistema de detección. Duró varios días. El ataque fue global.
¿Todos se infectaron? No. No todos los clics condujeron a una descarga. Pero lo hicieron suficientes. Los principales medios de comunicación y blogs de tecnología lo clasificaron entre los peores ataques de la década. Estaba en todas partes.
¿Es difícil de eliminar hoy? En realidad, no. Storm Worm no es el malware más sofisticado que existe. Si mantiene su antivirus actualizado, es manejable. La verdadera defensa es la precaución. Sea escéptico con los correos electrónicos de remitentes desconocidos. Pase el cursor sobre los enlaces. Verifique la URL.
No se trata sólo de virus. El término “malware” abarca más terreno. El software espía es un tipo. Te observa. Registra las pulsaciones de teclas. Roba contraseñas. Se encuentra en segundo plano mientras escribe su inicio de sesión bancario.
El adware es otra categoría. Muestra anuncios. Funciona junto con aplicaciones más grandes, como navegadores web. Algunas versiones son inofensivas. Otros profundizan más. Dan a los anunciantes acceso a datos privados. Tus hábitos de navegación. Tus intereses. Vendido al mejor postor.
Más sobre seguridad
El panorama de amenazas siempre está cambiando. Aparecen nuevas variantes. Los antiguos se actualizan. Storm Worm fue una lección de ingeniería social. Demostró que el miedo y la curiosidad son más fáciles de explotar que las vulnerabilidades técnicas.
¿Recuerdas el gusano tormenta de 2001? Se ha ido. Pero las tácticas persisten. Los titulares cambian. El peligro es el mismo. Mantenga su software actualizado. Manténgase escéptico. Internet es enorme y no todo lo que parece noticia lo es en realidad.
