El mundo de antivirus

martes, 10 de abril de 2018

Una broma popular sobre ciberseguridad dice: para la protección completa, un PC debe ser apagado, luego habrá que meterlo en una cueva y bloquear la entrada. Pero, como hemos comprobado, se puede administrar hasta los equipos apagados en determinadas condiciones – esto permite la tecnología Intel AMT. Y ¿será que el aislamiento completo permitirá salvar un PC?

Los equipos no conectados a la red común y que no tienen conexión a Internet se encuentran con bastante frecuencia. Estos equipos pueden ser usados, por ejemplo, para procesar la información importante.

Si al equipo no llega ninguna información desde fuera (sino se introduce solo desde el teclado o de los dispositivos periféricos que están siempre conectados), es posible infectar, pero en este caso se necesitará algún tipo de “instrument bug”.

Pero en la práctica se intercambia la información de los equipos aislados con la red común normalmente usando los dispositivos extraíbles, por ejemplo, USB.

La última frase hace recordar los virus de la época de MS-DOS, cuando sus autores luchaban por cada byte. Ahora los programas nocivos no simplemente infectan el sistema, sino también requieren el cumplimiento con los requerimientos al sistema.

¿Cómo se realiza la infección y el robo de la información? (o su modificación con otro software de la NSA)? Igual que en caso de programas nocivos similares:

1. Infección primaria – a través de hackeo, phishing o de otra forma.

   La infección inicial se produjo porque el antivirus en la estación de trabajo de un empleado que inició el software nocivo desde un mensaje de phishing que contiene documents.exe, estaba desactivado o usaba las bases de virus obsoletas.

   Cabe destacar que el software antivirus detectaba tanto los adjuntos nocivos iniciales como la actividad de los malintencionados una vez comprometido — antes de robar el dinero. Por ejemplo, se detectaba la actividad sospechosa del software legítimo Ammyy Admin. En algunos casos la infección fue prevenida por el antivirus.

   https://www.drweb-av.es/pravda/issue/?number=235

2. Espera de conexión del dispositivo extraíble al equipo infectado.
3. Infección de este dispositivo.

   La empresa Doctor Web informa sobre el aumento importante del flujo de los nuevos virus para cuya difusión se usan los dispositivos extraíbles (USB Flash Drive, CD/DVD, discos duros externos etc.) Así mismo, se aplican los métodos para confundir el código de scripts al mantener su funcionalidad para el análisis más sofisticado.

   Según la clasificación de Dr.Web, este código nocivo se llama Win32.HLLW.Autoruner.

   hhttps://news.drweb.com/show/?i=178

4. La infección de otros servidores y estaciones de trabajo a través de un dispositivo USB infectado u otro dispositivo extraíble.

Cabe destacar que el proceso de infección depende de muchas cosas no previstas, por ejemplo, si hay prohibición de escritura en el dispositivo extraíble y el arranque desde el mismo. Sin embargo, este modo de infección se usa ampliamente. Lo aplican los troyanos bancarios destinados para penetrar en los cajeros automáticos.

El software espía tiene posibilidades de configuración.

Es interesante que en el ámbito de programas nocivos también se registró un caso de difusión de un software muy poco frecuente para la difusión a través de dispositivos extraíbles – para iOS.