Análisis de noticia

Analizamos la noticia siguiente:
"Tabnabbing; phishing a través de las pestañas del navegador"
Fuente: http://unaaldia.hispasec.com/2010/05/aza-raskin-ha-desvelado-un-nuevo-metodo.html

¿Qué tipo de amenaza de las anteriormente vistas supone el Tabnabbing?

Modificación, interceptación y fabricación

¿Cómo funciona?

Un usuario navega hacia la página del atacante, que es una página equipada con un código JavaScript. La victima cambia de pestaña  y sigue con sus visitas cotidianas a otras páginas. Mientras, la web del atacante cambia por completo gracias al JavaScript menos, evidentemente el dominio. La web simulará una página conocida. La victima, vuelve a la pestaña más tarde, piensa que ha caducado su sesión y vuelve a introducir su login el cual lo recibirá el atacante.

¿Qué tipo de medidas de precaución podemos tomar ante este tipo de amenaza?

Debemos fijarnos en las URLs antes de introducir contraseñas, como siempre. 

Desactivar JavaScript para las páginas poco confiables (Zonas para Internet Explorer o No-Script para Firefox).

Amenazas y ataques

Los ataques e intrusiones de personas no autorizadas a través de las redes públicas y privadas son cada vez más frecuentes.
De forma genérica las amenazas en comunicaciones podemos dividirlas en cuatro grandes grupos:

     a) Interrupción: un bojeto, servicio del sistema o datos en una comunicación se pierden, quedan inutilizables o no disponibles
     b) Interceptación: un elemento no autorizado consigue un acceso a un determinado objeto
     c) Modificación: además de conseguir acceso, consigue modificar el objeto o la destrucción, que inutiliza el objeto afectado.
     d) Fabricación: modificación destinada a conseguir un objeto similar al atacado de forma que sea difícil distinguirlo del objeto original.

Tipos de ataque, representación gráfica:

Como ejemplos prácticos de dichas amenazas, encontramos diversas técnicas de ataques informáticos en redes. Algunos son:

• Ataque de denegación de servicio: también llamado DoS (Deny of Service), es un caso específico de interrupción de servicio. Causa que un servicio o recurso sea inaccesible a los usuarios legítimos, provocando normalmente la pérdida de la conectividad de la red por el consumo del ancho de banda de la red de la víctima o sobrecarga de los recursos del sistema de la víctima. Mediante botnet o redes zombie se pueden llegar a controlar cientos o miles de máquinas para realizar ataques distribuidos de saturación de servidores o DDoS.
• Sniffing, es una técnica de interceptación: consiste en rastrear monitorizando el tráfico de una red.
• Man in the middle: a veces abreviado MitM, es un caso específico de interceptación y modificación de identidad. Un atacante supervisa una comunicación entre dos partes, falsificando las identidades de los extremos y por tanto recibiendo el tráfico en los dos sentidos.
• Spoofing: es una técnica de fabricación, suplantando la identidad o realizando una copia o falsificación, por ejemplo encontramos falsificaciones de IP, MAC, web o mail.
• Pharming: es una técnica de modificación. Mediante la explotación de una vulnerabilidad en el software de los servidores DNS o en el de los equipos de los propios usuarios, permite modificar las tablas DNS redirigiendo un nombre de dominio conocido,, a otra IP distinta, falsificada y probablemente fraudulenta.

Ejercicio 10

Entra en la web www.siteadvisor.com (McAfee) y verifica distintas URL de las que tengas dudas sobre su nivel de seguridad. Haz un listado con el informe de al menos tres URL.

Ejercicio 8

Si deseas utilizar herramienta antimalware de la que desconoces la reputación del fabricante, te recomendamos, antes de instalarla, comprobar la confiabilidad de la aplicación en la lista actualizada de http://www.forosspyware.com/t5.html. Indica al menos cinco programas Rogeware o FakeAVs.

1. ZeroSpyware
2. X-Spyware
3. Windows Functionality Checker
4. AdwareX Eliminator
5. CleanX

Ejercicio 6

Busca información sobre dos ejemplos actuales y reales muy peligrosos de códigos peligrosos maliciosos o malware (troyano, virus, gusanos, PWstealer. etc.), realiza primero una breve definicion y posteriormente analiza y explica: nombre del malware, archivo o método de propagación e infección, mecanismo de reparación manual.

Troyano: NetBus: Este "troyano" o "herramienta de administración remota" fue uno de los más difundidos en Internet, ganó un gran número de usuarios adictos al programa por su sencillez de uso y la rapidez del mismo. El tamaño del servidor (el encargado de permitir el acceso a la máquina con o sin autorización) ahora parece grande en comparación con los troyanos nuevos. Tamaño del servidor: 495 KB aproximadamente.

Virus: AVISPA: Escrito en Noviembre de 1993 que en muy poco tiempo se convirtió en epidemia. Infecta archivos .EXE
Al ejecutarse, si no se encontraba ya residente en memoria, intenta infectar los archivos XCOPY, MEM, SETVER y EMM386 para maximizar sus posibilidades de reproducción, ya que estos archivos son de los más frecuentemente utilizados.
Este virus está encriptado siempre con una clave distinta, para dificultar su detección por medio de antivirus eurísticos.

Gusano: NETSKY: El gusano usa el correo electrónico para propagarse a nuevos ordenadores, es fácil reconocerlo ya que viene con el asunto; "Asunto: Auction successful!"
Para ser infectado por este gusano tiene que ejecutar el fichero adjunto si lo realiza le mostrara el siguiente mensaje;
Error
The file could not be opened!
[ OK ]

Pwstaler: Pw-stealer.exe es un proceso que esta registrado como TrojanDropper.Win32.Small.br. Este tipo de ficheros, que terminan convirtiendose normalmente en spyware o virus cuando aterrizan en nuestro PC en muchas ocasiones se diferencian del fichero original que no es una amenaza, porque se localizan en otros directorios y presentan una firma digital diferente.

Adware: Un programa de clase adware es cualquier programa que automáticamente se ejecuta, muestra o baja publicidad web al computador después de instalar el programa o mientras se está utilizando la aplicación. 'Ad' en la palabra 'adware' se refiere a 'advertisement' (anuncios) en inglés.Se han criticado algunos programas adware porque ocasionalmente incluyen código que realiza un seguimiento de información personal del usuario y la pasa a terceras entidades, sin la autorización o el conocimiento del usuario. Esta práctica se conoce como spyware, y ha provocado críticas de los expertos de seguridad y los defensores de la privacidad. Se detectan y eliminan con cualquier herramienta de diagnostico y desinfección anti-adware.

Ejercicio 5

Busca información sobre el archivo autorun.inf que poseen los dispositivos de almacenamiento y como se camufla y opera malware a través de este archivo.

Junto con los ficheros Desktop.ini y thumbs.db para los usuarios de Windows, los Autorun.inf posiblemente sean de los ficheros que más se confunden con virus, no teniendo porqué ser así, ya que originalmente no son ningún virus (aunque en ellos se puedan camuflar), sino todo lo contrario, ficheros necesarios para el sistema operativo. Al contener información de los programas que pueden ejecutarse automáticamente, es claro objetivo de amenazas, mezclándose el malware en el propio código del archivo.

Dentro de la clasificación de malware que hemos visto, que tipo suele ser autorun.inf? Como se propaga? Que aspecto tiene? Es inofensivo? A que tipo de sistemas operativos afecta? Que medidas de seguridad puedes tomar?
No es un malware. Es un archivo del sistema necesario para su ejecución correcta. Puede ser utilizado como método de entrada de malware, peligroso o no, de distintos tamaños y muy variado en cuanto a ejecución. Su único peligro es el ser tan moldeable. Por fortuna solo afecta a sistemas Windows, único SO donde opera.

Que es la desactivación de la ejecución automática? Como se puede realizar?
Según las directrices oficiales de Microsoft los pasos a seguir son los siguientes:



Para que sirve USB Vaccine?
Es una solución gratuita desarrollada por Panda para la limpieza y eliminación de virus que se propagan por las memorias USB.

Ejercicio 4

Investiga acerca de secuestradores del navegador web y de la consola de comandos. Que efectos no deseados tiene sobre el sistema?


En inglés se les conoce como "browser hijackers", cuya traducción literal es "secuestradores del navegador", y son una variante del malware tan antigua como los mismos navegadores. Aunque sus efectos nocivos son limitados, pues no son programas que roben datos ni nos estafen (aunque sí pueden llevarnos a páginas que lo hacen), son muy molestos y en ordenadores antiguos pueden entorpecer de forma grave su funcionamiento. Camuflados en otros programas, se instalan en los navegadores de equipos que funcionan con Windows, nos cambian la página de inicio y nos bombardean con ventanas emergentes de publicidad dudosa, en especial de pornografía. Y en los casos extremos, hasta pueden llegar a falsear las búsquedas que hacemos en Google a su favor. Se pueden eliminar mediante su desinstalización o con programas de terceros.

Los secuestradores de consola de comandos, también conocidos como shell hijacker funcionan del mismo modo que los anteriores, con la excepción de infectar la consola de comandos. Este caso es más peligros, ya que se pueden permitir el cambiar datos internos del equipo sin siquiera darnos cuenta, crear accesos en secreto para futuras invasiones o eliminar/robar archivos personales.