Computacin parsita y seguridad

Nooooo! Mi internet noooo!

Recientemente se han podido leer noticias como estas. En realidad se trata del resultado de la operacin Ghost Click http://www.popsci.com/technology/article/2011-11/fbis-operation-ghost-click-historys-biggest-cyber-takedown-shuts-down-estonian-cyber-ring Una operacin en la que bots se hacen con los DNSs de las mquinas, y que tras ser evitada por el FBI, suplantaron los DNSs pero eventualmente ser desconectado.El troyano se denominaba Zlob http://en.wikipedia.org/wiki/DNSChanger y apareca enmascarado como un cdec de video, esos que siempre van mal. Lo interesante y la leccin de todo esto es que han estado funcionando durante todo este tiempo sin enterarse.

Internet en un minuto

Cada chisme tiene una IP

Las direcciones IP las registran los servidores DNS

Los ordenadores exponen diferentes servicios, cada uno con una direccin.

La mayor parte de los ordenadores estn siempre enchufados, y no aprovechan ms que un porcentaje muy bajo de su capacidad. De hecho, el aumento en capacidad de los ordenadores slo est siendo til para juegos que desperdician cada vez ms ciclos de CPU y procesadores que gastan cada vez ms electricidad. Es como lo que deca Chandler (el de friends) cuando se compr el ordenador nuevo... para juegos y eso.Imagen de BitHead http://www.flickr.com/photos/bithead/276937125/in/photostream/

Computacin parsita

Uso de ciclos sobrantes de los ordenadores (computacin voluntaria)

Si es posible, sin que se entere el propietario Computacin parsita

A finales de los 90 hubo hasta media docena de empresas que vendan ciclos de CPU sobrantes: Popular Power, por ejemplo. Otros intentos son no comerciales: SETI@Home, por ejemplo.Barabsi fue quien introdujo el concepto de computacin sigilosa: usando la comprobacin de CRC de routers y tarjetas de red

En el principio fueron los virus y gusanos

La computacin parsita no naci ayer.

Un virus roba tiempo de CPU, espacio de disco

Y acaba con la paciencia

Los primeros virus fueron en realidad gusanos. Gusanos a travs de la red.

El jinete de la onda de shock

Los gusanos existieron primero en la ficcin que en la realidad.

El primer gusano salvaje fue el gusano de Arpanet.

Robert Morris, 1988

O el Creeper/Reaper

Aos 70, creador desconocido.

El jinete de la onda de shock es de 1979, y el trmino gusano est tomado de la tenia (tapeworm) del libro. Los gusanos lo que tratan es de aprovecharse de la red para propagarse. Son programas que se reproducen y aprovechan la conexin de red para mandarse a s mismos a otro ordenador.Si no los paras, claro, la puedes liar. De hecho, el gusano de Morris se replic ms de la cuenta por un error y tir la Internet de aquella poca (un 10% de los nodos). http://www.computerhistory.org/timeline/?category=net Creeper virus was detected on ARPANET infecting the Tenex operating system. Creeper gained access independently through a modem and copied itself to the remote system where the message, 'I'M THE CREEPER : CATCH ME IF YOU CAN.' was displayed. The Reaper program, itself a virus, was created to delete Creeper, the creators of both programs are unknown.

Gusanos y polillas

Los gusanos, en realidad, se aprovechan de los errores (exploits).

Y en general, el nico recurso que usan es la conectividad.

Sin embargo, los gusanos ya no son lo que eran.

Los gusanos ya no son simplemente formas de explorar la red hechas por un blgaro en su stano, sino verdaderas empresas criminales, y en algunos casos, herramientas de ciberterrorismo, como veremos un poco ms adelante.

Cmo funcionan los gusanos?

Los gusanos se aprovechan de debilidades (errores en la programacin) en los programas a los que llegan

Programas de email, servidores web, sistemas operativos.

Tambin de las debilidades de las personas.Ingeniera social.

El virus I Love You (VBS/Loveletter) era una obra de arte de la ingeniera social: a base de un tema llamativo, lograba que la gente ejecutara el programa.Blaster fue posiblemente uno de los primeros virus, junto con Ramen (para RedHat) que no necesitaba intervencin humana para propagarse: simplemente, un ordenador encendido. Por tanto, era un verdadero gusano.Santy fue uno de los primeros que se buscaba sistemas vulnerables usando Google para buscar nuevos objetivos. Se acab su propagacin cuando Google filtr la bsqueda. Pero no siempre vamos a tener esa suerte.http://en.wikipedia.org/wiki/Notable_computer_viruses_and_wormsVamos a ver alguna terminologa que se suele usar en el mundillo viral.

Diferentes sombreros

White hat o hacking tico: investigadores de seguridad; encuentran vulnerabilidades y se lo comunican a los responsables.

Black hat: los malos.

Grey hat: segn

La imagen es de V&A Steamworks en http://www.flickr.com/photos/32482342@N05/5572297899/in/photostream/

Grey hat: iniciado por lopht http://en.wikipedia.org/wiki/Grey_hat

Al principio de los tiempos

Zero-days o cero das son aquellas vulnerabilidades que no han sido reveladas.

Slo un gusano entre un milln las usa.

Requieren un grado de sofisticacin alto.

http://en.wikipedia.org/wiki/Zero-day_attackImagen de ErikPaterson en http://www.flickr.com/photos/erikpaterson/5290128728/in/photostream/

Phishing y pharming

No todos los problemas de seguridad vienen de gusanos/virus: tambin de comportamiento absurdo.

Phishing: password harvesting Spear phishing: dirigido a una persona en particular.

Pharming: cambio DNS

Imagen de ToastyKen en http://www.flickr.com/photos/toasty/1276202472/in/photostream/

Ataques Dios te salve Mara

Son ataques para averiguar contraseas usando nombres y claves comunes.

Prcticamente cualquier ordenador lo sufre.

Imagen de Ed Yourdon en http://www.flickr.com/photos/yourdon/4077845458/in/photostream/El trmino viene del rugby, son pases en los que lanzas la pelota, cruzas los dedos y dices un Ave Mara.De ah sale la nube dios te salve mara, o Hail Mary Cloud http://linux.slashdot.org/story/09/11/15/1653228/The-Hail-Mary-Cloud-Is-Growing?from=rss

Rootkits y troyanos

Un troyano es un programa que incluye un virus.Clsico: generadores de claves (keygens).

Un rootkit se hace con el control del sistema operativo para esconder su existencia y su actividad.

Imagen de BFS Man en http://www.flickr.com/photos/bfs_man/5688306071/in/photostream/

Cada gusano con su pareja

Las botnets son redes de ordenadores infectadas por un gusano con un fin determinado

Aprovechan la CPU/ancho de banda de ordenadores infectados.

Usa ordenadores zombies o drones.

Eventualmente, todos estos ataques lo que pretenden es hacerse con el control de un ordenador, y esos ordenadores zombies se renen en botnets. Se les llama zombies porque son inconscientes de lo que llevan.Ya el blaster estaba programado para atacar windowsupdate.com en una fecha determinada. Lo que ocurre con las botnets es que son flexibles, y tienen objetivos que pueden variar. Estos ordenadores zombies son simplemente ordenadores infectados por un virus que lleva asociado un troyano. Ese troyano abre una puerta trasera, que permite controlarlo desde fuera.

Cmo funciona una botnet?

La creacin de botnets es una verdadera empresa. Son programas con sus ciclos de desarrollo, prueba, mejora, creacin de diferentes versiones... Pero lo importante es que su uso se ha convertido en una empresa criminal. Los botnet herders, o pastores de la grey de bots, venden sus servicios a spammers y dems gente de mal vivir por un precio. O los ms amigos de trabajar por su cuenta directamente extorsionan a empresarios amenazndoles con un ataque de denegacin de servicio.

Para qu sirve una botnet?

Extorsin

Recoleccin de datos (keyloggers, sniffers).

Ataque de denegacin de servicio por encargo.

Instalacin de software

Spam.

Muchas botnets se usan para enviar spam. Hoy en da, la mayora del spam (entre el 50 y el 80%) procede de ordenadores zombies atrapados en botnets, de hecho. Algunas tambin instalan adware o spyware de algn fabricante que lo solicita. Por ejemplo, el ataque del gusano Mocbot en septiembre, instalaba un programa de DollarRevenue que le report en 24 horas 400 y pico dlares (entre un cntimo y unos 20 por instalacin)En 2004, una serie de botnets atacaron sitios de apuestas online; se peda entre 10 y 50000 dlares para evitar el ataque.

Fases de un ataque de denegacin de servicio

Primero se ataca un URL.

Luego el ISP

Luego el proveedor de DNS.

Se va yendo hacia arriba en la cadena de proveedores.

Complicado de evitar.

Uno de los ataques

Volviendo a DNSChanger

La imagen debe ser de dominio pblico y est suministrada por el FBI http://www.fbi.gov/news/stories/2011/november/malware_110911

De qu son capaces estas redes de bots?

Hay miles de redes funcionando en cada momento.

Una red puede ser capaz de enviar hasta 22-24 Gigabits por segundo.

Algunas tienen decenas de miles, incluso cientos de miles de ordenadores.

de Internet infectada.

Vale, tengo miedo. Qu hago ahora?

La mayora de las soluciones son legales, no tcnicas.

Atacar el centro de control.

O tomar control del mismo.

Atacar el DNS.

Dejar que se casquen entre ellos.

Schneir habla de un troyano llamazo Spy Eye que ataca a Zeus http://www.schneier.com/blog/archives/2010/02/botnets_attacki.html

Pero las mentes criminales saben ms

Uso de tecnologa P2P:

El gusano Sinit usa un sistema descentralizado para enviar las rdenes.

Uso de Ipv6.Por lo pronto, solo sobre el papel

Encriptacin de comunicacin.

Proteccin de servidores con clave.

Quienes son?

Generalmente, grupos organizados con conocimientos tcnicos.

Russian Business NetworkEstatal o privada?

Ciberataques a Georgia

Referencia: http://en.wikipedia.org/wiki/Russian_Business_Network Comenz como un negocio legtimo, pero eventualmente encontraron fuentes ms lucrativas de negocio. De ellos se origina el programa a partir del cual se desarroll BotNet.Tambin particip en los ciberataques a Georgia: http://rbnexploit.blogspot.com.es/2008/08/rbn-georgia-cyberwarfare.html Algunas noticias en espaol: http://unaaldia.hispasec.com/2007/10/es-la-russian-business-network-el.html La imagen es de http://www.flickr.com/photos/24105644@N03/5123638324/in/photostream/ la Rusia sovitica, claro. Luego se hicieron mayores y ...

No slo informales

Alguien cre Stuxnet para atacar las instalaciones nucleares iranesAtaque especfico para aparatos especficos de la marca Siemens, usados en las centrifugadoras atmicas.

Alguna informacin sobre Stuxnet y cmo lo descifraron: http://www.wired.com/threatlevel/2011/07/how-digital-detectives-deciphered-stuxnet/all/1 Puede haber sido la unidad 8200 (unidad de SigInt del ejrcito israel), la NSA o todos juntos. Lo cierto es que necesita una cantidad de trabajo considerable.

Y en la wikipedia: http://en.wikipedia.org/wiki/StuxnetImagen de http://www.flickr.com/photos/cyberhades/5855418904/in/photostream/ La clebre historia del virus en la impresora iraqu parece que fue una broma de primero de abril http://en.wikipedia.org/wiki/AF/91 pero la historia de una explosin en un pipeline no http://www.economist.com/node/16478792?story_id=16478792&fsrc=rss

Anonymous y LulzSec

Ciberactivismo: apoyar causas polticas a travs de la red.

Uso de ataques de denegacin de servicio mediante un programa denominado LOIC

Sobre lulzsec: http://en.wikipedia.org/wiki/LulzSec

Sobre Anonymous: http://en.wikipedia.org/wiki/Anonymous_%28group%29

A dnde vamos desde aqu?

La computacin parsita est bastante extendida.

Hay sistemas operativos sin virus, como Linux: salos.

Arma de colectivos, mafias y gobiernos: los virus y gusanos no son ninguna broma.

Hemos terminado

Muchas gracias

Experto en bioterrorismo y prevencin epidemiolgicaGranada, 27 de abril de 2012

JJ MereloDepto. Arquitectura y Tecnologa de los ComputadoresU. Granada