El mundo de antivirus

viernes 16 de junio de 2017

Al parecer, en este caso todo está claro: es un hackeo del sitio web y la publicación del software nocivo, o un ataque de tipo «man in the middle», o un empleado enfadado de la empresa. Pero en realidad todo es mucho más interesante. Vamos a verlo en detalle.

Con mucha frecuencia, en la descripción de programas nocivos vemos una frase diciendo que los mismos no funcionan en algunos países. Muchos piensan que se trata de la nobleza de los hackers. Pero no es así.

1. Para beneficiarse de programas nocivos, en primer lugar, es importante la posibilidad de sacar dinero. ¿Cómo y dónde se puede organizar una red de droppers – la gente que voluntariamente saca el dinero robado?
2. Las transferencias del dinero al extranjero normalmente están vigiladas por los organismos y departamentos correspondientes que luchan contra la corrupción y el blanqueo del dinero.
3. La organización de una investigación involucrando varios países es un asunto bastante aburrido y mucho más complicado que una investigación en un solo país.
4. La reducción del listado de los países atacados minimiza la posibilidad de detección de un programa nocivo. Y un listado detallado de los países atacados reducirá aún más la posibilidad de detección y el interés de los medios de comunicación.

Vamos a ver cómo influye el modo de difusión del programa nocivo a la popularidad en los medios de comunicación.

4 veces más infecciones – ¿y por qué no hay pánico en los medios de comunicación? Hay un detalle. WannaCry (Trojan.Encoder.11432) infectaba sobre todo las grandes empresas y los usuarios particulares sin prestar mucha atención a la pequeña empresa. Pero Trojan.Encoder.11526 descrito en esta edición afectó a otras empresas, y por eso el resultado es distinto.

Como vemos, muchos troyanos están destinados para los bancos de un solo país, de cuyos cajeros sacarán el dinero los droppers. Por supuesto, por ejemplo, en Rusia también hay troyanos destinados a usuarios chinos que por lo tanto tienen mucho sentido en este país.

Es muy probable que el éxito del ataque se debe a la selección “correcta” del periodo del mismo. El lanzamiento de la actualización del software ampliamente usado significa la actualización masiva de los usuarios, y por lo tanto, no se nota la actividad de otro programa más. Es muy lógico.

Uno de los problemas de seguridad básicos es la falta de control de eventos en la red local. Como resultado, no se detecta la penetración, y tampoco se detectan los elementos del conjunto nocivo que proporcionan la misma.