Virus
Las principales vulnerabilidades de las computadoras de los usuarios finales son los
ataques de virus, gusanos y troyanos:
Un virus es un software malicioso que se adjunta a otro programa para ejecutar una
función indeseada específica en una computadora.
Un gusano ejecuta código arbitrario e instala copias de sí mismo en la memoria de la
computadora infectada, que luego infecta a otros hosts.
Un troyano es una aplicación escrita para parecerse a otra cosa. Cuando se descarga y
ejecuta un troyano, ataca a la computadora del usuario final desde dentro.
Tradicionalmente, el término virus se refiere a un organismo infeccioso que requiere de
una célula huésped para crecer y multiplicarse. Un estudiande de la Universidad de
California del Sur llamado Frederick Cohen sugirió el término "virus de computadora"
en 1983. Un virus de computadora, al que llamaremos virus en el resto de este curso, es
un programa que puede copiarse a sí mismo e infectar una computadora sin el
conocimiento del usuario.
Un virus es código malicioso que se adjunta a archivos ejecutables o programas
legítimos. La mayoría de los virus requiere una activación de parte del usuario final y
puede permanecer inactivo por largos períodos de tiempo y luego activarse en una fecha
u hora específica. Un virus simple puede instalarse en la primera línea de código en un
archivo ejecutable. Una vez activado, el virus puede buscar en el disco otros ejecutables
para infectar todos los archivos que aún no hayan sido infectados. Los virus pueden ser
inofensivos, pero también
pueden ser destructivos, como aquellos que modifican o eliminan los archivos del disco
rígido. Los virus también pueden ser programados para mutar con el propósito de evitar
su detección.
En años anteriores, los virus generalmente eran diseminados a través de floppy disks y
módems. Hoy en día, la mayoría de los virus se pasan a través de pendrives, CDs,
DVDs, redes compartidas o correo electrónico. Los virus por correo electrónico son
actualmente el tipo más común de virus.
Gusanos
Los gusanos son un tipo de código hostil particularmente peligroso. Se multiplican
explotando vulnerabilidades en las redes independientemente. Los gusanos
generalmente hacen que las redes operen más lentamente.
Mientras que los virus requieren un programa huésped para ejecutarse, los gusanos
pueden ejecutarse solos. No requieren la participación del usuario y pueden diseminarse
muy rápidamente en la red.
Los gusanos son responsables de algunos de los ataques más devastadores de Internet.
Por ejemplo, el SQL Slammer Worm de enero de 2003 hizo que el tráfico global de
Internet fuera más lento como resultado de un ataque de Denegación de Servicio. Más
de 250,000 hosts fueron afectados en los primeros 30 minutos. El gusano explotó una
vulnerabilidad de desbordamiento de buffer en el servidor SQL de Microsoft. Se había
lanzado un parche para esta vulnerabilidad a mediados de 2002, por lo que los
servidores que fueron afectados eran aquellos que no habían descargado la actualización
que contenía el parche. Este es un buen ejemplo de por qué es tan importante que la
política de seguridad de la organización exija actualizaciones y parches oportunos para
los sistemas operativos y aplicaciones.
A pesar de las técnicas de mitigación que han surgido en los últimos años, los gusanos
han continuado en su evolución gracias a Internet, y todavía representan una amenaza.
Aunque los gusanos se han vuelto sofisticados con el tiempo, todavía tienden a estar
basados en la explotación de vulnerabilidades en las aplicaciones de software. La
mayoría de los ataques de gusanos tiene tres componentes principales:
Una vulnerabilidad habilitante - Los gusanos se instalan utilizando un mecanismo de
explotación (adjunto de correo electrónico, archivo ejecutable, troyano) en un sistema
vulnerable.
Sistema de propagación- Luego de acceder a un dispositivo, el gusano se mmultiplica y
localiza nuevos objetivos.
Carga - Cualquier código malicioso que resulta en alguna acción. La mayoría de las
veces esto se usa para crear una puerta trasera en el host infectado.
Los gusanos son programas autocontenidos que atacan a un sistema para explotar una
vulnerabilidad conocida. Luego de una explotación exitosa, el gusano se copia del host
atacante al sistema recientemente explotado y el ciclo vuelve a comenzar.
Al explorar los principales ataques de gusanos y virus de los últimos 20 años se vuelve
evidente que las varias fases de los métodos de ataque empleados por los hackers son en
general similares. Hay cinco fases básicas de ataque, ya sea un virus o un gusano el que
se contagie.
Fase de exploración - Se identifican los objetivos vulnerables. Se buscan computadoras
que puedan ser explotadas. Se usan escaneos de ping de Protocolo de Mensajes de
Control de Internet (Internet Control Message Protocol - ICMP) para hacer mapas de la
red. Luego la aplicación escanea e identifica sistemas operativos y software vulnerable.
Los hackers pueden obtener contraseñas utilizando ingenería social, ataques de
diccionario, ataques de fuera bruta o sniffing de redes.
Fase de penetración - Se transfiere código de explotación al objetivo vulnerable. Se
busca ejecutar el código de explotación a través de un vector de ataque como un
desbordamiento de buffer, vulnerabilidades de ActiveX o Interfaz de Entrada Común
(Common Gateway Interface - CGI) o un virus de correo electrónico.
Fase de persistencia - Luego de que el ataque haya sido exitosamente lanzado en la
memoria, el código trata de persistir en el sistema víctima. El objetivo es asegurar que el
código atacante esté ejecutándose y disponible al atacante incluso si el sistema se
reinicia. Esto se logra modificando archivos del sistema, efectuando cambios en el
registro e instalando nuevo código.
Fase de propagación - El atacante intenta extender el ataque a otros objetivos buscando
máquinas vecinas vulnerables. Los vectores de propagación incluyen mandar copias del
ataque por correo electrónico a otros sistemas, subir archivos a otros sistemas utilizando
servicios de FTP o de compartición de archivos, conexiones web activas y
transferencias de archivos a través del Internet Relay Chat (IRC).
Fase de paralización - Se hace daño real al sistema. Se pueden borar archivos, el
sistema puede colapsar, se puede robar información y se pueden lanzar ataques
distribuidos de DoS (DDoS).
Las cinco fases básicas de ataque permiten a los expertos de seguridad describir a los
virus y gusanos convenientemente de acuerdo a su mecanismo de implementación
particular para cada fase. Esto facilita la categorización de los virus y los gusanos.
Los virus y los gusanos son dos métodos de ataque. Otro método es el troyano, que
impulsa a los virus o gusanos con el elemento agregado de hacerse pasar por un
programa benigno.
Troyanos
El término troyano proviene de la mitología griega. Los guerreros griegos ofrecieron al
pueblo de Troya (troyanos) un caballo gigante hueco como regalo. Los troyanos
llevaron el caballo gigante adentro de su ciudad amurallada, sin sosechar que éste
contenía muchos guerreros griegos. Durante la noche, cuando la mayoría de los
troyanos dormía, los guerreros salieron del caballo y tomaron la ciudad.
Un troyano, en el mundo de la computación, es malware que realiza operaciones
maliciosas bajo el disfraz de una función deseada. Un virus o gusano puede llevar
consigo un troyano. Los troyanos contienen código malicioso oculto que explota los
privilegios del usuario que lo ejecuta. Los juegos suelen llevar un troyano adjunto.
Cuando el juego se está ejecutando, funciona, pero, en segundo plano, el troyano ha
sido instalado en el sistema del usuario y continúa ejecutándose luego de que el juego
ha sido cerrado.
El concepto de troyano es flexible. Puede causar daño inmediato, proveer acceso remoto
al sistema (una puerta trasera), o llevar a cabo acciones instruídas remotamente, como
"envíame el archivo de la contraseña una vez por semana".
Los troyanos personalizados, como aquellos que tienen un objetivo específico, son
difíciles de detectar.
Los troyanos generalmente se clasifican de acuerdo al daño que causan o la manera en
que violan el sistema:
Troyanos de acceso remoto (permiten el acceso remoto no autorizado)
Troyano de envío de datos (provee al atacante de datos sensibles como contraseñas)
Troyano destructivo (corrompe o elimina archivos)
Troyano proxy (la computadora del usuario funciona como un servidor proxy)
Troyano FTP (abre el puerto 21)
Troyano inhabilitador de software de seguridad (detiene el funcionamiento de
programas antivirus y/o firewalls)
Troyano de denegación de servicio (reduce la velocidad o detiene la actividad en la red)
Mitigación de virus, gusanos y troyanos
La mayoría de las vulnerabilidades descubiertas en el software tienen relación con el
desbordamiento del buffer. Un buffer es un área de la memoria alocada utilizada por los
procesos para almacenar datos temporariamente. Un desbordamiento en el buffer ocurre
cuando un buffer de longitud fija llena su capacidad y un proceso intenta almacenar
datos más allá de ese límite máximo. Esto puede dar por resultado que los datos extra
sobreescriban localizaciones de memoria adyacntes o causen otros comportamientos
inesperados. Los desbordamientos de buffer son generalmente el conducto principal a
través del cual los virus, gusanos y troyanos hacen daño. De hecho, hay informes que
sugieren que un tercio de las vulnerabilidades de software identificadas por el CERT
están relacionadas con desbordamientos de buffer.
Los virus y troyanos tienden a aprovecharse de los desbordamientos de buffer de root
locales. Un desbordamiento de buffer de root es un desbordamiento de buffer que busca
obtener privilegios de root en un sistema. Los desbordamientos de buffer de root locales
requieren que el sistema o usuario final efectúe algún tipo de acción. Un
desbordamiento de buffer de root local se inicia típicamente cuando un usuario abre un
adjunto de un correo electrónico, visita un sitio web o intercambia un archivo a través
de mensajería instantánea.
Los gusanos como SQL Slammer y Code Red explotan los desbordamientos de buffer
de root locales. Los desbordamientos de buffer de root remotos son similares a los
desbordamientos de buffer de root locales, con la diferencia de que no se requiere
intervención de usuario final o sistema.
Los virus, gusanos y troyanos pueden causar serios problemas a las redes y sistemas
finales. Los administradores de red tiene varias maneras de mitigar estos ataques.
Nótese que las técnicas de mitigación generalmente se consideran en la comunidad de
seguridad como contramedidas.
bueno es todos,aunque la info es un poco viejita igual es muy bueno para saber saludos!