Lo que 4 Años en la Web enseñan sobre Malware

Frecuentemente escuchamos que la complejidad de los ataques contra un sistema informático van en aumento. Sin embargo, al pedir más detalles, no siempre escuchamos ejemplos concretos que demuestren el incremento en complejidad de los ataques. Recientemente, Google publicó un reporte técnico que muestra claramente como los ataques han aumentado en complejidad.

El reporte utiliza datos recolectados durante los últimos 4 años por medio de la Infraestructura 'SafeBrowsing', que genera diariamente 3 millones de alertas a más de 400 millones de usuarios que navegan por la web. Los navegadores Mozilla Firefox y Google Chrome utilizan esta infraestructura. 

En el reporte se detalla como los navegadores son utilizados extensamente por los atacantes para instalar malware en computadoras de terceros. Además, cambian constantemente los métodos que utilizan para comprometer las victimas y realizan serios esfuerzos para evadir programas antivirus y otros métodos de detección, que incluso muchos en seguridad informática utilizamos y en los cuales hasta confiamos.

He aquí varios puntos a resaltar y que se mencionan en el reporte:

• Se analizan cuatro métodos para detectar sitios web que están publicando malware: honeypots tipo cliente y emuladores de navegadores, programas antivirus y sistemas de reputación de dominios.  En el reporte se concluye que es necesario utilizar y depender de multiples métodos ya que los atacantes intentan confundir estos métodos de detección.
  
  En la gráfica de abajo se muestra como se puede incrementar la detección de malware utilizando dos metodos: emuladores de navegadores (se muestra bajo el nombre 'Exploit Only' y en color blanco) y honeypots tipo clientes (bajo el nombre 'NewProcess Only' y en color negro). El uso de ambos métodos se muestra en color gris. Como puede apreciarse, se detecta un mayor numero de sitios maliciosos al utilizar ambos métodos. Aunque detectan juntos una larga proporcion de los sitios web analizados, tambien cubren casos diferentes durante otros periodos de tiempo. En otras palabras, al utilizar varios metodos de forma simultanea se disminuye la incertidumbre (sobre si un sitio es malicioso o no) y el numero de falsos negativos (casos que fueron equivocadamente clasificados como benignos).
  

La siguiente gráfica muestra el trabajo de emuladores de navegadores y programas antivirus. Esta gráfica puede confundir, pues muestra un gran porcentaje de los sitios detectados por medio de los programas antivirus (en color negro). Sin embargo, el reporte indica la tendencia de estos programas a generar falsos positivos (casos que fueron equivocadamente clasificados como maliciosos). Esto es conocido en la comunidad debido en parte al uso de programas para empaquetar el malware. Otra razón es que el programa antivirus debe actuar de forma más precavida ya que puede no contar con el tiempo necesario para confirmar si un archivo es malware o no. Recuérdese que en el escenario de detección experimentado por Google, es necesario determinar si el archivo es malware ANTES de que infecte una computadora por medio de un navegador. Esto hace que los programas antivirus sean sobre precavidos y declaren como malware algun archivo del que no están completamente seguros, para disminuir su tiempo de respuesta y aún cuando esto aumente el número de falsos positivos.

Los atacantes cambian rápidamente los vulnerabilidades utilizadas para instalar malware en las computadoras de sus victimas. Esto tiene el objetivo de evadir ser detectados. La gráfica de abajo muestra 24 vulnerabilidades, identificadas cada una por su código CVE, en el eje Y. El eje X muestra el tiempo que son utilizadas, por medio de bloques. En la mayoría de los casos, las vulnerabilidades son utilizadas por espacio que va de semanas a meses. La intensidad del color de cada bloque indica la 'popularidad' de la vulnerabilidad, en un momento determinado y comparado con otras vulnerabilidades utilizadas durante el mismo instante.

Notese por ejemplo la vulnerabilidad CVE-2010-0249 que fue utilizada por un espacio no mayor a seis meses.

El tiempo entre que una nueva vulnerabilidad es ejecutada y cuando es publicada ha ido disminuyendo, dando cada vez menos tiempo a que un administrador utilice métodos manuales para proteger sus sistemas informáticos. La siguiente tabla muestra el número de días entre que se detectó una vulnerabilidad (fue ejecutada) y cuando fue publicada. En los casos en donde se muestra número de días negativos, como la vulnerabilidad CVE-2008-6442 con -242 días, significa que la vulnerabilidad primero fue detectada y luego publicada. En el caso de CVE-2008-6442, esto representa más de ocho meses.

Google ha puesto su infraestructura 'SafeBrowsing' a disposición de cualquiera que desee utilizarla, por medio de un API. Para mayor información, favor consultar el sitio web Google Safe Browsing API.

Para aquellos interesados, el reporte está disponible aquí. Ademas, los autores también han publicado comentarios en su blog. El reporte es una interesante lectura, describiendo el mundo del malware y el reto al que se enfrentan quienes debemos proteger los sistemas informáticos de estos ataques.

Microsoft Security Essentials: Opción gratuita para protección contra malware

Microsoft Security Essentials (MSE) está disponible desde hoy, cortesía de los amigos de Redmond. MSE consiste en un sistema para proteger una computadora personal de malware (por ejemplo: virus, gusanos, rootkits, troyanos, etc.). Permite detectar y remover el código malicioso que intente instalarse en tu computadora y reemplaza las otras ofertas que Microsoft anteriormente ofrecía: Onecare y la instalación estándar de Microsoft Defender que venía en Windows Vista.

MSE es una excelente oportunidad para toda computadora personal que tenemos en casa o cuando hay que administrar un pequeño número de computadoras en la oficina. Las razones? Es gratuito, realiza una labor necesaria para toda computadora conectada al Internet y según reportes iniciales (enlace), lo hace bien. MSE no es para organizaciones con número grande de computadoras ya que no posee la opción de administración centralizada de computadoras que utilizen el software.

Bajar el archivo de instalación es relativamente rápido, dependiendo de tu conexión, ya que tiene un tamaño de 4.28MB (cuando lo baje para mi PC con Vista). La instalación es bastante sencilla, primero revisa que el sistema operativo Windows instalado sea genuino y luego de terminar su instalación, procede inmediatamente a actualizarse (razón por lo cual es bueno tener la computadora conectada al Internet).

En promedio, Microsoft espera publicar diariamente 3 actualizaciones de firmas de malware. Comentarios y reportes en el Internet (enlace) indican que el porcentaje de detecciones alcanzado por MSE es bueno. Estas son muy buenas noticias para usuarios que estén buscando protección contra malware, efectiva y gratuita, para computadoras con sistemas Windows. Muchas personas entonces recibirán positivamente la noticia, yo me incluyo. :)

Vistazo a América Latina con el Microsoft Security Intelligence Report, Volumen 6

Recientemente, Microsoft publicó el sexto volumen de su reporte sobre el estado de la seguridad y que publican semestralmente. Este volumen cubre el periodo de Julio a Diciembre de 2008 y trata básicamente dos grandes áreas de la seguridad: vulnerabilidades en software y malware. Entre los detalles a mencionar sobre el problema de las vulnerabilidades, están:

• El número de vulnerabilidades publicadas bajó 12% en el 2008, en comparación con 2007. De igual manera, el numero de vulnerabilidades de alta severidad también bajó, 16%, con respecto al año anterior.
• El número de vulnerabilidades que son más fáciles de explotar o ejecutar aumentó en el período y representan el 56% de todas las vulnerabilidades reportadas.
• Cerca del 87% de las vulnerabilidades afectan aplicaciones distintas al sistema operativo o el navegador web.
  

La sección sobre malware me pareció muy interesante ya que presenta un panorama sobre la situación en América Latina. A pesar de la naturaleza global que posee el Internet, existen claras diferencias entre los tipos de amenazas que debe enfrentar el usuario en distintas partes del mundo. Y en el reporte de Microsoft, América Latina no es la excepción.

Microsoft utiliza un métrico llamado "computadoras limpiadas por millar" (CCM, siglas en inglés para "computer cleaned per mil") para describir la popularidad de computadoras con problemas de malware y poder comparar la situación en distintas partes del mundo. CCM representa el número de computadoras desinfectadas por cada mil ejecuciones de productos anti-malware, como el Microsoft Removal Tool (MSRT). Debido a las capacidades telemétricas que este tipo de software típicamente posee, Microsoft puede reunir la actividad que se reporta desde los distintos lugares en donde se utiliza MSRT. Para dar un ejemplo, el reporte indica que Panamá obtuvo un CCM promedio de 8.9 durante los últimos seis meses del 2008. Esto significa que MSRT eliminó algún malware existente en 8.9 ocasiones por cada mil veces que fue ejecutado, en computadoras localizadas en Panamá.

Entonces, cuál fue la situación en América Latina? Nuestra región presentó un CCM promedio de 9.2, con una desviación estándar de 4.61. Esto representa un valor ligeramente mayor que el promedio mundial de 8.8. La desviación estándar global no fue publicada por Microsoft; la de America Latina la calculé yo, con la observación de que los valores para cada país son promedios [sería interesante ver el comportamiento mes a mes, por país]. Aunque no sabemos cuan representativa es la muestra (principalmente, porcentaje de computadoras con Windows) en cada país, el CCM ayuda a comprender la situación de malware de la región y permite comparaciones básicas entre los países. Adicionalmente, Microsoft ha estado incluyendo este métrico desde el volumen 4 del reporte por lo que también se podrían determinar tendencias en la región y los países [esta podría ser una tarea para futuras entradas en el blog].

He aquí la tabla que presenta la tasa de infección, expresada en CCM, para los países de América Latina:

PAÍS	CCM
Brasil	20.9
México	15.9
Guatemala	13.9
Honduras	12.9
Ecuador	12.6
Nicaragua	11.2
Colombia	10.0
El Salvador	9.6
Panamá	8.9
Costa Rica	8.8
Perú	7.8
Rep. Dominicana	7.1
Bolivia	6.8
Paraguay	6.6
Chile	6.3
Venezuela	5.5
Argentina	4.4
Uruguay	2.9
Puerto Rico	2.5
Promedio	9.2
Desviación Estándar	4.61

En los casos de Argentina, Brasil, Chile, Colombia, México y Venezuela, MSRT reportó al menos un millón de ejecuciones (en promedio) lo que podría sugerir que de alguna manera los respectivos CCM son representativos de la situación en estos países. Aquí simplemente utilizo el argumento de que estos países reportan igual orden de magnitud (millones) para el número de usuarios del Internet (Fuente: CIA, EEUU). Similar situación se presenta para Uruguay, Panamá y El Salvador, pero en menor orden de magnitud (cientos de miles) ya que Microsoft reporta al menos 100,000 ejecuciones mensuales de MSRT en cada uno de estos tres países.

En términos de jugar un rol en el hospedaje para sitios de malware o phishing, América Latina parece ser una región relativamente tranquila... o pacífica? ;) En el hospedaje de sitios de malware sólo Brasil y Argentina reportan actividad a considerar y aún así, están muy por debajo de EEUU, Europa y Asia. Además, países como México, Colombia, Chile y Venezuela aparecen con actividad extremadamente baja (cada país representa menos del .016% de la actividad mundial). Para el resto de la región no hay suficiente información disponible.

En el caso de sitios de phishing, la región se presenta como un área relativamente "amigable". Sólo Argentina y (particularmente) Brasil reportan actividad a considerar. El caso de Brasil es fascinante ya que parece existir toda una industria dedicada al robo de credenciales para banca en línea, utilizando métodos de ingeniería social. Brasil es un claro ejemplo de como los países puede enfrentar distintas amenazas, a pesar de estar todos conectados por medio del Internet.

El reporte termina con un análisis individual a varios países, que incluye México y Brasil. Es posible que estos países son presentados debido a que Microsoft posea suficiente información que considere representativa para cada uno de los casos. El resumen del reporte en español, así como el reporte completo en inglés, están disponibles aquí.