Esta característica ha supuesto un contratiempo para los antivirus, en
especial para los situados en los servidores de correo, que en principio
no contaban con mecanismos para detectar este tipo de archivos, de forma
que estas muestras llegaban infectadas al buzón de los usuarios.
Este problema ya lo predecíamos en Hispasec el pasado diciembre, bajo el
título “Gusano invisible a filtros y antivirus perimetrales”
(http://www.hispasec.com/unaaldia/1863). A continuación reproducimos un
par de extractos de aquella nota:
“Desde el punto de vista de un
antivirus en el perímetro la detección se produce a través del análisis
del código. Una vez extraído el ejecutable que se encuentra en el ZIP,
se compara su código con una base de datos de firmas de virus (porciones
de código de los virus conocidos). Si existe coincidencia, hemos
encontrado al gusano.
Si además de comprimir, utilizamos funciones de
contraseña y cifrado, podemos obtener un archivo que contiene un
ejecutable que los antivirus no pueden extraer y, por tanto, comprobar
si se trata de un virus o no. Para que el virus sea efectivo debe,
mediante algún tipo de engaño, proporcionar la contraseña al usuario y
convencerlo para que lo descomprima y ejecute”[…].
“Pero, ¿que
ocurre si el gusano es capaz de comprimirse y cifrarse en base a una
contraseña al azar antes de cada autoenvío?. En ese caso tendríamos
envíos de archivos con aspectos externos diferentes, ya que la
contraseña se utiliza como clave para el cifrado simétrico del archivo,
dando como resultado diferentes archivos, con diferentes firmas, según
la contraseña utilizada.
Llegados a este punto tendríamos un archivo
protegido, de forma que los antivirus no pueden examinar su interior, y
que tampoco podrían reconocerlo por su aspecto exterior ya que varía en
cada envío al utilizar diferentes contraseñas.”
Esta técnica ha
sido la utilizada por algunas variantes de Bagle, que llegan al usuario
en un mensaje donde se le facilita una contraseña para que puedan abrir
el archivo ZIP adjunto. Veamos algunos mensajes de ejemplo, algunos más
elaborados como:
Dear user, the management of [dominio del
destinatario] mailing system wants to let you know that, Your e-mail
account has been temporary disabled because of unauthorized access.
Advanced details can be found in attached file.
In order to read the attach
you have to use the following password: 21049.
O tan simples como:
archive password: 38902
Los antivirus
Si tenemos un antivirus instalado en nuestro PC, en estos casos el
problema es menor, ya que en vez de detectar el gusano cuando llega a
nuestro buzón, simplemente lo detectaría más tarde, si engañados por el
mensaje introducimos la contraseña e intentamos acceder al interior del
ZIP. Al extraerlo o ejecutarlo se realiza una copia del ejecutable
original en el disco, momento en el cual nuestro antivirus residente
puede identificarlo sin problemas.
El auténtico problema de esta
técnica se presenta en los antivirus perimetrales, por ejemplo los que
están instalados en el servidor de correo. Cuando el ZIP protegido con
contraseña pasa por el servidor de correo, el motor antivirus no podía
examinar los archivos que esconde en su interior y determinar si están
infectados o no. El resultado es que el archivo ZIP pasa al buzón de los
usuarios, y éstos pueden tener una falsa sensación de seguridad al creer
que su servidor de correo les detecta cualquier tipo de virus o gusano.
En la nota del pasado diciembre, donde comentábamos este tipo de problemas,
también apuntábamos una posible solución en el caso de los ZIP
protegidos con contraseña:
“Si nos basamos en el formato ZIP, que
ya de por si tiene algunas debilidades por diseño en su algoritmo,
existen diversas soluciones para atajar este hipotético gusano en
tránsito, por ejemplo se almacena en el ZIP en texto claro algunos datos
como el nombre, tamaño o CRC del archivo original, que podría permitir
detectarlo de forma rápida si el gusano no utiliza funcionalidades
extras para modificar algunos de sus aspectos más externos.”
Este
método es el utilizado por soluciones antivirus como NOD32, que nos
conste el primero en detectar las variantes de ZIP con contraseñas, o
Panda, que también incorpora este tipo de reconocimiento. Estas
soluciones pueden detectar los ZIP protegidos que Bagle infecta, sin
necesidad de conocer la contraseña.
Más compañías
Otras casas han optado por otro camino, por ejemplo Kaspersky o
BitDefender, que consiste en identificar la contraseña en el cuerpo del
mensaje y utilizarla para poder abrir el ZIP protegido y analizar el
ejecutable de su interior.
Sin entrar en detalles, tampoco se
trata de dar ideas, es bastante obvio que ambos métodos tienen sus
propias debilidades intrínsecas, y que podrían ser también burladas por
futuras variantes de forma fácil. En cualquier caso lo importante es la
capacidad de reacción que algunas casas antivirus están demostrando para
adaptarse a las nuevas amenazas, y exigir al resto de motores antivirus,
que no lo hayan hecho ya, incorporen cuanto antes éstas u otras
soluciones.
Dejando a un lado las soluciones antivirus, otras
medidas que se están mostrando eficaces contra este tipo de gusanos van
desde simples políticas en el tipo de archivos permitidos en el correo
electrónico, filtros por contenidos, o filtros antispam.
Por
último, hacer hincapié una vez más, que si bien los antivirus y filtros
perimetrales representan una capa importante en la protección de una
red, el punto crítico a proteger sigue siendo el PC o la estación de
trabajo, ya que por definición hay formatos o protocolos que no permiten
analizar los contenidos desde el perímetro. Por eso nunca debemos
descuidar el antivirus en nuestro ordenador de trabajo, de manera
independiente a las soluciones de seguridad instaladas en el servidor de
correo o similares.
Los usuarios denunciaban que la compañía los había rastreado incluso cuando usaban el modo privado…
El Instituto Valenciano de Competitividad Empresarial financiará aquellas iniciativas que puedan solucionar incertidumbres científicas o…
Solo en el cuarto trimestre las empresas emergentes del país han levantado 1.500 millones de…
La región tiene 13 scaleups y destaca por sus empresas emergentes de salud y agrotech.
Valencia ha atraído en el primer semestre del año 30 millones de euros de inversión…
El diario estadounidense demanda a las dos compañías tecnológicas por haber usado sus contenidos para…