El desarrollador educa también al usuario

---

Seguramente es una de las noticias más comentadas de los últimos días: el leak masivo de contraseñas de usuarios de correo electrónico. Primero fue Hotmail, advirtiendo Microsoft que la causa no tiene que ver con infiltraciones en sus sistemas, sino con un phishing de tomo y lomo. Después, se ha confirmado que Gmail, Yahoo o AOL han tenido el mismo problema (dos enlaces).

Este ataque de phishing, además de exponer el poco sentido común que tiene la mayoría de los mortales en Internet, también saca (como ya sabíamos) el poco cuidado que tiene la gente con sus contraseñas en todos los sitios de Internet, como puede verse en el análisis de las passwords encontradas realizado por Bogdan Calin en el blog de Acunetix, que deja claro que las contraseñas más utilizadas son bien sencillas: 123456, por poner un ejemplo.

Por ello, expertos de renombre mundial, nos vuelven a recordar que las contraseñas utilizadas por los usuarios no pueden ser demasiado complejas, porque si hay que poner una diferente en cada sitio (como medida de seguridad), pues van a acabar olvidando, así que podría ser mejor tener passwords complejas para los sitios más importantes, llevando las más necesarias escritas en un papel en la cartera.

A mí, que soy un pelo desconfiado para estas cosas, no me parece muy buena idea, la verdad, y prefiero aplicaciones como Keepass para guardar mis passwords y además cambiarlas periódicamente. Llevarlas en papel en la cartera me parece igual que llevar el número PIN de tu tarjeta de crédito en el mismo sitio.

Por otra parte, no creo que la solución pase únicamente por protestar continuamente de la poca educación en seguridad informática que tiene el usuario, e intentar educarlo, sino también en obligarle a que se eduque a sí mismo cuando utilice las aplicaciones web que desarrollamos. Así, si ve en todas las aplicaciones que utiliza que se le indica la fortaleza de su contraseña, quizás se pregunte por qué. Y si se le obliga a que tenga un nivel mínimo, pues más todavía. Cada desarrollador puede aportar su granito de arena, aportando a su aplicación todas las medidas de seguridad que pueda en tema de passwords, ya no sólo en beneficio de la seguridad de su desarrollo, sino en beneficio del usuario. En definitiva: enseñar con el ejemplo.

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Estudio sobre botnets fast-flux

---

En este post hablamos de un estudio sobre redes de botnets que usan técnicas de fast-flux (tamaño, para qué se usan, características para detectarlas, etc) realizado mediante técnicas de data mining sobre resoluciones DNS.

El fast-flux es una técnica que consiste en cambiar periódicamente la resolución DNS de aquellas máquinas que participan en una botnet. Se pretende ocultar cuál es el servidor que aloja un sitio web parte de un phishing, o que sirve malware, colocando una red de máquinas que harán las veces de proxy. Estas máquinas, los bots de la botnet, redirigirán la solicitud que realiza cualquiera al sitio web controlado por el atacante, a los servidores centrales de la botnet.

En Sans Diary nos presentaban hace unos días un estudio realizado por Jose Nazario (véase también su worm blog) y Thorsten Holz, sobre el comportamiento de las redes botnet. Utilizan para ello los datos recogidos por el sistema ATLAS de Arbor Networks. En el estudio, identificaron dominios DNS que pudieran corresponder a redes fast-flux mediante estas técnicas:

• captura y análisis de spam
• listas negras de nombres DNS y análisis de malware
• a mano, es decir, por cualquier otro medio, como pueden ser datos presentados en informes de análisis antimalware

Una vez obtenido un posible dominio, se obtiene un listado de los registros de tipo A, NS, etc que están bajo este dominio, y en base a esos datos es evaluado según una fórmula heurística. Si cumple un determinado criterio de una lista que se nos presenta en el paper, entonces gana un punto para ser considerado un fast-flux. Algunos ejemplos de estos criterios son que los tiempos de TTL de los registros de tipo A sean menores de 15 minutos, o que se encuentren direcciones IP separadas entre sí en un rango superior a 65355.

Se presentan algunas conclusiones interesantes. La difusión del concepto "fast-flux" tiene éxito: los creadores de estas redes han de ir "más lejos" (es un decir) para conseguir un registrador de dominios con el que no haya problemas para trabajar con este tipo de redes. Se usan más dominios de alto nivel que antes, y nos indican cuál es el dominio de alto nivel ("TLD", es decir, si son .com, .net, etc) que utilizan. Otros datos interesantes presentados: cuál es el tiempo de vida medio de un dominio fast-flux (el caso de Storm fue particular), cuál es el tamaño medio, en número de máquinas comprometidas, que tiene una botnet, cuántas de esas máquinas se están usando de forma activa como parte del fast-flux, o el propósito de las redes analizadas, obtenidos relacionando los datos de este estudio con estudios de otros. (No te voy a dar yo los datos: lee el paper ;) ).

El estudio deja fuera redes double-flux (es el caso en que también los servidores DNS forman parte de una botnet).

Por cierto, echadle un vistazo a las referencias, que están muy bien, destacando el proyecto FluXOR y trabajos relacionados con la detección de redes fast-flux.

Slds!

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por email o por RSS...

Qué jeta le echan los ISPs...

---

El problema ya es viejo, y se conocen casos aquí en España, creo recordar: ISPs que te presentan una página con publicidad y "lo que querrías haber buscado", cuando pones un nombre de dominio que no existe en tu navegador.

Lo leo en esta entrada de Schneier. En este caso, el isp ha sido Earthlink, y hace poco pillaron a otros como Verizon, Time Warner, Comcast y Qwest. Parece ser que en su día quiso hacerlo Verisign (¡no me lo puedo creer!) y se debió llevar un rapapolvo de la ICANN.

La cosa no es sólo que hagan esto, con la excusa de "mejorar la experiencia en Internet de los usuarios", sino que se puede hacer lo mismo con subdominios de sitios que sí existen, como Google o tu banco. Juntando esto con que el sitio web que presenta la paginita de marras no es muy seguro, como nos demuestra Dan Kaminsky (el mismo que descubrió el rootkit de Sony, en 2005) en las conferencias Toorcon, tenemos un problemón... ¡un campo ideal para todo phisher!.

Slds!

Otras fuentes:
wired
the register

"Smishing", "vishing"... virus para móviles

---

No te acostarás sin conocer una palabra más, ¿verdad?. No me ha importado nunca absolutamente nada la seguridad en teléfonos móviles, pero últimamente, en el curro, se ha escuchado algo sobre esto. En particular sobre un virus, el Commwarrior, que en el 2005 ya tocaba los cojones... y sigue.

Casualidades de la vida, he dado con el último informe de PandaLabs sobre tendencias en malware. Tiene un pequeño apartado sobre malware para móviles, en el que nos dicen, básicamente... que no hemos de preocuparnos mucho. Hay poco malware, porque hay bastantes sistemas operativos para móviles, y parecen tener una cuota similar de mercado. Además, porque nadie guarda información confidencial en el móvil. No como en el caso de los PCs, que como predomina Windows, y lo que haya en un PC puede ser valiosísimo, pues han aparecido muchos más bichitos para él.

Lo que me ha llamado la atención son las palabritas que no conocía. El "Smishing" es una variante del phishing para móviles. Te mandan un email, simulando proceder de una entidad bancaria (nada nuevo en la viña del Señor), solicitando que llames a un número de teléfono. Si lo haces, se te solicita que teclees tu número de cuenta y tu código de acceso. Una variante de esto es el "vishing". Es lo mismo, pero todo se hace a través de SMS.

Si teneis interés, echadle un vistazo al informe completo (se lee rápido, no es muy pesado), pues es bastante ilustrativo.

Slds!

Phishing news (2)

---

Justo escribo el anterior post y doy con este en el blog de Panda, en el que nos explican que no todos los phishing buscan atacar a los bancos y cajas. Sus objetivos, en general, son cualquier tipo de cuenta online. Por ejemplo, un phishing buscaba engañar a aquellos que contrataban publicidad con Yahoo, para que "renovaran" su suscripción en una web fraudulenta.

Además, aquí se menciona una conferencia en Seúl, organizada por la AAVAR (Asociation of AntiVirus Asia Researchers) que lanza una idea interesante: los juegos online denominados MMORPG (Massively Multi-player Online Role Playing Game), o sea, los juegos tipo World of Warcraft, también son objeto de ataque por parte de hackers, para ganar dinero ilegalmente. Es sabido que en eBay, por ejemplo, se subastan personajes del juego que ya tienen un cierto nivel, o se cambia dinero real por dinero virtual.

subasta de personajes en eBay

Si quereis escuchar la ponencia, está en el blog de Andy.

Slds!

Phising news

Acabo de ver en esta noticia, que Telefónica alerta del incremento brutal de ataques de tipo "phising". Dice que su servicio antiphising contabilizó los siguientes:
- 2004: 33 casos
- 2005: 291 casos (como multiplicar por ocho los del año anterior)
- 2006: 1040 casos
- 2007: 2151 casos

¿Bastante fuerte, verdad? Ignoro si es cierto que son los mejores en cuanto a sus respuestas, porque eweek no indica de dónde saca esa información ni da una comparativa con los demás.

Recordar, además, casos de phishing a entidades bancarias que hemos tenido hace poco, como los que está sufriendo ahora mismo el Banco Santander, o los que sufrieron (y seguro que aún sufren) otras entidades por gracia de un troyano, que redirige al usuario a una web fraudulenta cuando quiere entrar en su banco... . Hay muchos detalles en la asociación de internautas.

Slds!