PARADIGMAS

Volver DELITOS INFORMATICOS CON LA WEB

Virus
Clasificacion de los Virus
Ciclo de vida del Virus
Funcionamiento del virus
Caballo de Troya
Gusanos
Phishing
Malware
Sasser
Ejemplo
PARADIGMA:
Alumno que no supera a su profesor, ..mal alumno.!!
..y el profesor, peor...!!!
Wilucha
Hoy es moneda corriente escuchar los términos "virus, troyanos, gusanos, espías, etc"; así, estos temidos "bichos virtuales" ya no están a la cabeza de la lista de los más peligrosos, sino que han susrgido nuevas formas de acosar al usuario del ciberespacio.

De manera que, tales virus informáticos que no solo no podrán eliminarse o erradicarse de los sistemas digitales de la red, sino que las tendencias de desarrollar el crimen progresa para incomodar al usuario; lo cual implica la necesidad de que los computadores cada vez requieren y exigen blindaje de protección cada vez más eficiente y eficaz.
Cada vez se dan más ataques víricos, más frecuentes y de consecuencias más graves, debido a la rápida aparición de gran número de redes internas y conexiones de red en las empresas en los últimos tiempos, vinculadas sobre todo a internet e intranets, éstos se ha incrementado espectacularmente.
Cuantos más ficheros se envíen entre sí los usuarios, tanto mayor será el riesgo de que un virus les infecte. Además del aumento de la cantidad de virus capaces de penetrar en la red de una empresa, el crecimiento de la tasa de incidencias se debe al surgimiento de nuevos tipos de virus, como los virus de macro y los de PE, que se extienden a gran velocidad en los documentos que viajan de unos usuarios a otros u ocultos en archivos adjuntos o en mensajes de correo.

Trateremos las principales caracteristicas de los delitos informaticos que mas prescencia tienen en la actualidad, a tal fin, usaremos las siguientes fuentes de información:

cyberterrorism.blogspot.com
www.consumer.es
www.alerta-antivirus.es
www.alegsa.com.ar
www.dw-world.de
www.e-galicia.com
es.wikipedia.org

VIRUS

Definicion
Un virus es un programa o secuencia de instrucciones que un ordenador es capaz de interpretar y ejecutar.
Las posibles vías de transmisión de los virus son: los discos, el cable de una red y el cable telefónico. Normalmente encontramos en estas características especiales y comunes en todos ellos: son muy pequeños, casi nunca incluyen el nombre del autor, ni el registro, ni la fecha. Se reproducen a si mismos y controlan y cambian otros programas Decimos que es un programa parásito porque el programa ataca a los archivos o sector es de "booteo" y se replica a sí mismo para continuar su esparcimiento son programas-rutinas, en un sentido más estricto, capaces de infectar archivos de computadoras, reproduciéndose una y otra vez cuando se accede a dichos archivos, dañando la información existente en la memoria o alguno de los dispositivos de almacenamiento del ordenador
Tienen diferentes finalidades: Algunos sólo 'infectan', otros alteran datos, otros los eliminan, algunos sólo muestran mensajes. Pero el fin último de todos ellos es el mismo: PROPAGARSE el potencial de daño de un virus informático no depende de su complejidad sino del entorno donde actúa”.
Pautas
La definición más simple y completa que hay de los virus corresponde al modelo D. A. S., y se fundamenta en tres características, que se refuerzan y dependen mutuamente. Según ella, un virus es un programa que cumple las siguientes pautas:
• Es dañino. Un virus informático siempre causa daños en el sistema que infecta, pero vale aclarar que el hacer daño no significa que valla a romper algo. El daño puede ser implícito cuando lo que se busca es destruir o alterar información o pueden ser situaciones con efectos negativos para la computadora, como consumo de memoria principal, tiempo de procesador, disminución de la performance.
• Es autorreproductor. A nuestro parecer la característica más importante de este tipo de programas es la de crear copias de sí mismo, cosa que ningún otro programa convencional hace. Imagínense que si todos tuvieran esta capacidad podríamos instalar un procesador de textos y un par de días más tarde tendríamos tres de ellos o más. Consideramos ésta como una característica propia de virus porque los programas convencionales pueden causar daño, aunque sea accidental, sobrescribiendo algunas librerías y pueden estar ocultos a la vista del usuario, por ejemplo: un programita que se encargue de legitimar las copias de software que se instalan.
• Es subrepticio. Esto significa que utilizará varias técnicas para evitar que el usuario se de cuenta de su presencia. La primera medida es tener un tamaño reducido para poder disimularse a primera vista. Puede llegar a manipular el resultado de una petición al sistema operativo de mostrar el tamaño del archivo e incluso todos sus atributos.
Modulos Principales
Asimismo, se pueden distinguir tres módulos principales de un virus informático:
• Módulo de Reproducción
• Módulo de Ataque
• Módulo de Defensa
El módulo de reproducción se encarga de manejar las rutinas de "parasitación" de entidades ejecutables (o archivos de datos, en el caso de los virus macro) a fin de que el virus pueda ejecutarse subrepticiamente. Pudiendo, de esta manera, tomar control del sistema e infectar otras entidades permitiendo se traslade de una computadora a otra a través de algunos de estos archivos.
El módulo de ataque es optativo. En caso de estar presente es el encargado de manejar las rutinas de daño adicional del virus. Por ejemplo, el conocido virus Michelangelo, además de producir los daños que se detallarán más adelante, tiene un módulo de ataque que se activa cuando el reloj de la computadora indica 6 de Marzo. En estas condiciones la rutina actúa sobre la información del disco rígido volviéndola inutilizable]
El módulo de defensa tiene, obviamente, la misión de proteger al virus y, como el de ataque, puede estar o no presente en la estructura. Sus rutinas apuntan a evitar todo aquello que provoque la remoción del virus y retardar, en todo lo posible, su detección
PARADIGMA:
De todas las cosas que se pueden hacer con la computadora...
...las más inútiles son las más divertidas..!!!
Wilucha
Clasificacion de los Virus
- Tambien se Clasifican en:
  Además hay otros subgrupos de los anteriores grupos:
  • Virus uniformes, que producen una replicación idéntica a sí mismos.
  • Virus cifrados, que cifran parte de su código para que sea más complicado su análisis. A su vez pueden emplear:
  - Cifrado fijo, empleando la misma clave.
  - Cifrado variable, haciendo que cada copia de sí mismo esté cifrada con una clave distinta. De esta forma reducen el tamaño del código fijo empleable para su detección.
  • Virus oligomórficos, que poseen un conjunto reducido de funciones de cifrado y eligen una de ellas aleatoriamente. Requieren distintos patrones para su detección.
  • Virus polimórficos, que en su replicación producen una rutina de cifrado completamente variable, tanto en la fórmula como en la forma del algoritmo. Con polimorfismos fuertes se requiere de emulación, patrones múltiples y otras técnicas antivirus avanzadas.
  • Virus metamórficos, que reconstruyen todo su cuerpo en cada generación, haciendo que varíe por completo. De esta forma se llevan las técnicas avanzadas de detección al límite. Por fortuna, esta categoría es muy rara y sólo se encuentran en laboratorio.
  • Sobrescritura, cuando el virus sobrescribe a los programas infectados con su propio cuerpo.
  • Stealth o silencioso, cuando el virus oculta síntomas de la infección.
  PARADIGMA:
  De todas las cosas que se pueden hacer con la computadora...
  ...las más inútiles son las más divertidas..!!!
  Wilucha
Ciclo de vida de un Virus
- PROCESO DE INFECCION.
  El virus puede estar en cualquier sitio. En ese disquete que nos deja un amigo, en el último archivo descargado de Internet. Dependiendo del tipo de virus el proceso de infección varia sensiblemente.
  Puede que el disco contaminado tenga un virus de archivo en el archivo FICHERO.EXE por ejemplo.
  El usuario introduce el disco en la computadora ( por supuesto no lo escanea con un antivirus o si lo hace es con un antivirus desfasado ) y mira el contenido del disco... unos archivos de texto, unas .dll's, un .ini ... ah, ahí esta, un ejecutable. Vamos a ver que tiene.
  El usuario ejecuta el programa. En ese preciso momento las instrucciones del programa son leídas por el computadora y procesadas, pero también procesa otras instrucciones que no deberían estar ahí.
  El virus comprueba si ya se ha instalado en la memoria. Si ve que todavía no está contaminada pasa a esta y puede que se quede residente en ella. A partir de ese momento todo programa que se ejecute será contaminado.
  El virus ejecutará todos los programas, pero después se copiará a sí mismo y se "pegará" al programa ejecutado "engordándolo" unos cuantos bytes. Para evitar que usuarios avanzados se den cuenta de la infección ocultan esos bytes de más para que parezca que siguen teniendo el mismo tamaño. El virus contaminará rápidamente los archivos de sistema, aquellos que están en uso en ese momento y que son los primeros en ejecutarse al arrancar la computadora.
  Así, cuando el usuario vuelva a arrancar la computadora el virus se volverá a cargar en la memoria cuando se ejecuten los archivos de arranque del sistema contaminados y tomará otra vez el control del mismo, contaminando todos los archivos que se encuentre a su paso.
  Puede que el virus sea también de "Sector de arranque". En ese caso el código del virus se copiará en el primer sector del disco duro que la computadora lee al arrancar. Puede que sobreescriba el sector original o que se quede una copia del mismo para evitar ser detectado.
  Los virus de sector de arranque se aseguran de ser los primeros en entrar en el sistema, pero tienen un claro defecto.
  Si el usuario arranca la computadora con un disquete "limpio" el virus no podrá cargarse en memoria y no tendrá el control.
  Un caso menos probable es que el virus sea de "Tabla de partición". El mecanismo es muy parecido al de los de sector de arranque solo que el truco de arrancar con un disquete limpio no funciona con estos. En el peor de los casos nos encontraremos con un virus multipartita, que contaminará todo lo que pueda, archivos, sector de arranque...
  PARADIGMA:
  De todas las cosas que se pueden hacer con la computadora...
  ...las más inútiles son las más divertidas..!!!
  Wilucha
FUNCIONAMIENTO DEL VIRUS
- Que es lo que hace
  Normalmente este tipo de programas se pega a alguna entidad ejecutable que le facilitará la subida a memoria principal y la posterior ejecución (métodos de infección). Como entidades ejecutables podemos reconocer a los sectores de arranque de los discos de almacenamiento magnéticos, ópticos o magneto-ópticos (MBR, BR), los archivos ejecutables de DOSs (.exe, .com, entre otros), las librerías o módulos de programas (.dll, .lib, .ovl, .bin, .ovr). Los sectores de arranque son fundamentales para garantizar que el virus será cargado cada vez que se encienda la computadora.
  Según la secuencia de booteo de las PCs, el microprocesador tiene seteada de fábrica la dirección de donde puede obtener la primer instrucción a ejecutar. Esta dirección apunta a una celda de la memoria ROM donde se encuentra la subrutina POST (Power On Self Test), encargada de varias verificaciones y de comparar el registro de la memoria CMOS con el hardware instalado (función checksum). En este punto sería imposible que el virus logre cargarse ya que la memoria ROM viene grabada de fábrica y no puede modificarse (hoy en día las memorias Flash-ROM podrían contradecir esto último).
  Luego, el POST pasa el control a otra subrutina de la ROM BIOS llamada “bootstrap ROM” que copia el MBR (Master Boot Record) en memoria RAM. El MBR contiene la información de la tabla de particiones, para conocer las delimitaciones de cada partición, su tamaño y cuál es la partición activa desde donde se cargará el SO. Vemos que en este punto el procesador empieza a ejecutar de la memoria RAM, dando la posibilidad a que un virus tome partida. Hasta acá el SO todavía no fue cargado y en consecuencia tampoco el antivirus. El accionar típico del virus sería copiar el MBR en un sector alternativo y tomar su posición.
  Así, cada vez que se inicie el sistema el virus logrará cargarse antes que el SO y luego, respetando su deseo por permanecer oculto hará ejecutar las instrucciones del MBR. Con la información del MBR sabremos qué partición es la activa y en que sector se encuentra su sector de booteo (boot record o BR). El BR contiene una subrutina que se ocupará de cargar los archivos de arranque del SO.
  Los demás pasos de la carga del SO son irrelevantes, pero es importante recordar que el SO es el último en cargarse en la secuencia de booteo antes de que el usuario pueda introducir comandos en la shell. El antivirus es cargado por los archivos de configuración del SO personalizables por el usuario. Cuando un virus infecta un archivo ejecutable .EXE, por ejemplo, intenta rastrear en el código los puntos de entrada y salida del programa.
  El primer punto señalado es en donde, dentro del archivo, se iniciará la ejecución de instrucciones.
  El segundo punto resulta ser lo opuesto. Cuando un virus localiza ambos puntos escribe su propio código antes de cada uno. Según el tipo de virus, este código cargará el virus en memoria –si es que no lo estaba- y apuntará a esa zona infectada con el virus.
  A partir de ahí el programa virósico determinará cuáles son las acciones a seguir: puede continuar infectando archivos que sean cargados en memoria, ocultarse si es que detecta la presencia de un antivirus o ejecutar el contenido de su módulo de ataque. El virus puede infectar también las copias de los archivos cargados en memoria que están en la unidad de almacenamiento. Así se asegura que ante un eventual apagado de la computadora su código igualmente se encuentra en los archivos de la unidad.
  Es importante comprender que la computadora no estará infectada hasta que ejecutemos algo parasitado previamente con el virus. Veamos un ejemplo sencillo: nosotros bajamos de Internet un archivo comprimido (con la extensión .ZIP según el uso popular) sabiendo que es un programa de prueba que nos gustaría instalar. Lo que no sabemos es que uno de los archivos dentro del .ZIP es un virus informático, y lo peor de todo es que viene adosado al archivo Install.exe. Al momento de descomprimir el contenido, el virus todavía no fue ejecutado (ya que la información dentro del .ZIP no puede ser reconocida como instrucciones por el procesador). Luego identificamos el archivo Install.exe como el necesario para instalar el programa y lo ejecutamos. Recién en este momento el virus se cargará en memoria y pasará a hacer las cosas para lo que fue programado.
  PARADIGMA:
  De todas las cosas que se pueden hacer con la computadora...
  ...las más inútiles son las más divertidas..!!!
  Wilucha
CABALLO DE TROYA
- Propagación de los Caballos de Troya
  Para que un troyano se instale en un PC atacado necesita de la actuación del usuario del PC en cuestión, ya que éste debe ejecutarlo personalmente. La forma habitual es la de enviar el servidor del troyano al PC que se quiere atacar, habitualmente por medio de un e-mail o a través de un intercambio de ficheros vía IRC, ICQ, FTP,... con la intención de que la víctima lo ejecute. Normalmente se utilizan dos formas de engañar al usuario para que ejecute el servidor del troyano en su PC. [Ono]
  La primera consiste en enviar el servidor renombrado y con extensión doble, aprovechando la peculiaridad de los sistemas Windows para ocultar las extensiones conocidas (opción por defecto). Es decir, que si se tiene en el PC un fichero “foto.gif”, el usuario tan sólo verá “foto”. Sin embargo, si el fichero se llamase “foto.gif.gif” (extensión doble) se vería “foto.gif”.
  En este caso la última de las dos es la extensión real del archivo pasando la primera de ellas a formar parte del nombre en sí (archivo de nombre “foto.gif” y extensión “.gif”). [Ono] Volviendo al tema en cuestión, el servidor del troyano se envía al usuario al que se va a atacar como un archivo renombrado y con extensión doble. Por ejemplo, si el servidor del troyano se llamase “servidor.exe”, el atacante lo podría manipular fácilmente para que se llamase ”foto.gif.exe”, en cuyo caso veríamos en nuestro PC tan sólo “foto.gif”. De esta forma, el usuario atacado piensa que el archivo en cuestión es una foto, cuando en realidad es un programa. Ahora solo hay que esperar a que el incauto abra la foto y el troyano se instalará en su PC. Con este método lo que observa el atacado es que le ha sido enviada una foto y que, cuando intenta visualizarla, ésta no se ve. Lo cual es lógico porque el archivo no es en realidad una foto. Este sistema suele venir acompañado de una técnica de ingeniería social que suele diferir poco de este ejemplo resumido:
  1. Bien vía IRC o ICQ, bien vía emilio, se manda el troyano camuflado como un archivo con doble extensión tipo foto.gif, película.avi, sonido.wav, salvapantallas.scr,... etc, pudiendo enviarse, por ejemplo, un archivo fotográfico con cualquier extensión conocida por windows, tal que bmp, jpg, gif, ... Lo mismo sucede con los demás tipos de archivos (sonidos wav, mid, mp3,... vídeos avi, mov, mpg,...). O simplemente se envía un archivo tipo “fotos.zip.exe” resultando que a simple vista aparezca “fotos.zip”.
  2. El que ha recibido el archivo lo ejecuta y observa que el fichero en cuestión no funciona, por lo que pide explicaciones a la persona que se lo ha mandado.
  3. La persona que lo ha enviado se disculpa alegando un error en el envío, en la transmisión, que se ha corrompido el archivo, que se ha comprimido mal,... y lo vuelve a enviar. Esta vez, la foto, película, sonido, salvapantallas,... en cuestión sí que funciona (el atacante envía esta vez el fichero real) por lo que el “pequeño” problema en la ejecución del primer archivo recibido queda en el olvido del atacado.
  La segunda forma de enviar el troyano es más limpia que la primera, ya que el atacado no nota nada raro.
  Este sistema consiste en adherir el troyano a un fichero real (hay programillas que hacen esto) de forma que se fundan dos ficheros en uno sólo, pero resultando los dos 100% operativos. El fichero resultante se llamará igual que el archivo que no es el troyano (sería de tontos hacerlo al revés).
  De esta forma cuando el atacado ejecuta el archivo en realidad ejecuta los dos a la vez, pero como el archivo que sirve de “portador” del troyano es completamente funcional, el atacado no nota nada. Ver ejemplo práctico de este sistema. El atacante posee un archivo “sonido.wav” de 200KB y a él le une el “servidor.exe” del troyano de 100KB.
  El resultante es un archivo “sonido.wav” de unos 300KB, que en realidad está formado por los otros dos ficheros anteriores.
  Partiendo del hecho que el archivo “sonido.wav” original es efectivamente un sonido, cuando el atacado ejecute el “archivo.wav” de 300KB, portador de un troyano, se oirá el sonido en cuestión, pero además se instalará el troyano (hecho este del que el atacado no es consciente). [Ono]
  Una variante de este método, cada vez en mayor uso, es la inclusión del troyano en archivos ejecutables de un supuesto desarrollo reciente.
  Se ha puesto de moda en foros, chats, tablones de noticias,... la aparición de sujetos que dicen haber desarrollado recientemente tal o cual programa, que siempre resulta muy apetecible, y pide a los internautas que lo prueben para detectar posibles fallos en su funcionamiento, para lo cual el sujeto en cuestión facilita la adquisición del programa, bien sea enviándolo vía emilio o chat, bien sea a través de una página web. Cuando los usuarios (normalmente un gran número de ellos) se hacen con él y lo prueban, descubren que, o bien el programa no funciona, o bien sus prestaciones son ridículas.
  Este hecho se notifica al desarrollador del programa, que pide perdón y promete mejorar el producto.
  A partir de entonces, ya no se vuelve a saber nada más este sujeto y un gran número de PCs han sido infectados con un troyano (o con un virus). Una “subvariante” de este sistema es la de adherir un troyano a una pequeña aplicación ya existente y completamente funcional, que sea habitualmente muy solicitada por los internautas.
  En este caso, la aplicación original puede perder sus propiedades resultando que a la vista del atacado el programa no funcione. Este es el caso que se ha dado con una herramienta de Micro Trend (desarrolladores del antivirus PC-cillin) especializada en la eliminación del virus Nimda y que fue utilizada por algún desaprensivo para crear una versión gemela que en realidad contenía un troyano.
  Por este motivo, Enlaces de Seguridad se une a la recomendación de las más importantes casas expertas en seguridad de adquirir el software vía internet desde páginas oficiales o, en su defecto, de sitios de reconocido prestigio. Apurando mucho, incluso de personas de confianza, si bien esto no garantiza que la fuente inicial del software haya sido una fuente fiable. [Ono]
  Otro método de envío de un troyano, mucho menos utilizado, consiste en hackear un PC y, por medio de recursos compartidos, meter el troyano en el PC atacado, esperando o bien que en un momento dado dicho archivo sea ejecutado por el usuario infectado o bien instalarlo directamente.
  En el primer caso (activación por parte del infectado) queda a la imaginación del atacante la forma, nombre del archivo y colocación en una u otra carpeta del PC atacado para asegurarse la ejecución del troyano por parte del infectado. Usualmente se prodece a sustituir un fichero ejecutable del PC atacado por el troyano renombrado como aquél, esperando que tarde o temprano el usuario ejecute ese fichero. En este caso, se notaría que esa aplicación (ahora troyano) que tantas veces hemos ejecutado, misteriosamente ha dejado de funcionar.
  Aunque es posible que la sustitución se haya realizado reemplazando el archivo original por otro similar pero con el troyano adherido y, por lo tanto, por un archivo también funcional.
  Esta técnica requiere de bastantes conocimientos informáticos por parte del atacante, del conocimiento de la IP del PC atacado por parte del agresor, del nivel de privilegios que logre alcanzar y de una serie de características en la configuración de dicho PC que la hacen bastante complicada de llevar a cabo si no se es un experto, por lo que es un sistema relativamente poco utilizado, si nos basamos en las estadísticas.
  PARADIGMA:
  De todas las cosas que se pueden hacer con la computadora...
  ...las más inútiles son las más divertidas..!!!
  Wilucha
GUSANOS
- Clasificacion
  Hay dos tipos de Gusanos:
  • Host Computer Worm: son contenidos totalmente en una computadora, se ejecutan y se copian a si mismo vía conexión de una red. Los Host Computer Worm, originalmente terminan cuando hicieron una copia de ellos mismos en otro host. Entonces, solo hay una copia del gusano corriendo en algún lugar de una red. También existen los Host Computer Worm, que hacen una copia de ellos mismos e infectan otras redes, es decir, que cada maquina guarda una copia de este Gusano.
  • Network Worms: consisten en un conjunto de partes (llamadas “segmentos”), cada una corre en una maquina distinta (y seguramente cada una realiza una tarea distinta) y usando la red para distintos propósitos de comunicación.
  Propagar un segmento de una maquina a otra es uno de los propósitos. Los Network Worm tienen un segmento principal que coordina el trabajo de los otros segmentos, llamados también “octopuses”.
  PARADIGMA:
  De todas las cosas que se pueden hacer con la computadora...
  ...las más inútiles son las más divertidas..!!!
  Wilucha
Phishing
- Las recomendaciones para evitar este tipo de estafa son las siguientes:
  1. Evite el SPAM ya que es el principal medio de distribución de cualquier mensaje que intente engañarlo. Para ello puede recurrir a nuestra sección de Spam.
  2. Tome por regla general rechazar adjuntos y analizarlos aún cuando se esté esperando recibirlos.
  3. Nunca hacer clic en un enlace incluido en un mensaje de correo. Siempre intente ingresar manualmente a cualquier sitio web. Esto se debe tener muy en cuenta cuando es el caso de entidades financieras, o en donde se nos pide información confidencial (como usuario, contraseña, tarjeta, PIN, etc.).
  4. Sepa que su entidad, empresa, organización, etc., sea cual sea, nunca le solicitará datos confidenciales por ningún medio, ni telefónicamente, ni por fax, ni por correo electrónico, ni a través de ningún otro medio existente. Es muy importante remarcar este punto y en caso de recibir un correo de este tipo, ignórelo y/o elimínelo.
  5. Otra forma de saber si realmente se está ingresando al sitio original, es que la dirección web de la página deberá comenzar con https y no http, como es la costumbre. La S final, nos da un alto nivel de confianza que estamos navegando por una página web segura.
  6. Es una buena costumbre verificar el certificado digital al que se accede haciendo doble clic sobre el candado de la barra de estado en parte inferior de su explorador (actualmente algunos navegadores también pueden mostrarlo en la barra de navegación superior).
  7. No responder solicitudes de información que lleguen por e-mail. Cuando las empresas reales necesitan contactarnos tienen otras formas de hacerlo, de las cuales jamás será parte el correo electrónico debido a sus problemas inherentes de seguridad.
  8. Si tiene dudas sobre la legitimidad de un correo, llame por teléfono a la compañía a un número que conozca de antemano... nunca llame a los números que vienen en los mensajes recibidos.
  9. El correo electrónico es muy fácil de interceptar y de que caiga en manos equivocadas, por lo que jamás se debe enviar contraseñas, números de tarjetas de crédito u otro tipo de información sensible a través de este medio.
  10. Resulta recomendable hacerse el hábito de examinar los cargos que se hacen a sus cuentas o tarjetas de crédito para detectar cualquier actividad inusual.
  11. Use antivirus y firewall. Estas aplicaciones no se hacen cargo directamente del problema pero pueden detectar correos con troyanos o conexiones entrantes/salientes no autorizadas o sospechosas.
  12. También es importante, que si usted conoce algún tipo de amenaza como las citadas, las denuncie a la unidad de delitos informáticos de su país.
  PARADIGMA:
  De todas las cosas que se pueden hacer con la computadora...
  ...las más inútiles son las más divertidas..!!!
  Wilucha
Malware

¿Qué es malware?
El malware es un término general que se le ha adjuntado a todo aquel software que perjudica a la computadora. La palabra malware proviene del término en inglés malicious software, y en español es conocido con el nombre de código malicioso
¿Qué software entra en la categoría de malware?
Existen varias clasificaciones de código malicioso entre las que se encuentran:
•Virus.
•Caballos de Troya (troyanos).
•Puertas traseras (backdoors).
•Gusanos de Internet (worms).
•Bots.
•Spyware.
•Adware.
•Varias de estas amenazas de forma combinada, etc.
Si deseas obtener más información sobre cada una de estas amenazas cibernéticas puedes consultar la sección Seguridad Educativa del Portal de Usuario Casero
¿Cómo atacan?
Malware o software de actividades ilegales es una categoría de código malicioso que incluye virus, gusanos y caballos de Troya. El malware destructivo utiliza herramientas de comunicación conocidas para distribuir gusanos que se envían por correo electrónico y mensajes instantáneos, caballos de Troya que provienen de ciertos sitios Web y archivos infectados de virus que se descargan de conexiones P2P. El malware también buscará explotar en silencio las vulnerabilidades existentes en sistemas.
¿Cómo sabe que lo atacan?
• El malware trata de pasar inadvertido, ya sea escondiéndose o simplemente ocultándose en un sistema conocido para el usuario.
¿Qué hacer?
• Sólo abra adjuntos de correos electrónicos o de mensajes instantáneos que provienen de una fuente de confianza y cuando los está esperando.
• Analice los adjuntos de correos electrónicos con Norton Internet Security antes de abrirlos.
• Elimine todos los mensajes no deseados sin abrirlos.
• No haga clic en vínculos Web que envió alguien que no conoce.
• Si alguna persona de su lista de contactos está enviando mensajes, archivos o vínculos a sitios Web extraños, cierre la sesión de mensajería instantánea.
• Analice todos los archivos con una solución de seguridad en Internet antes de enviarlos al sistema.
• Sólo envíe archivos desde una fuente conocida.
• Utilice Norton Internet Security para bloquear toda la comunicación saliente no solicitada.
• Mantenga actualizados los parches de seguridad.
¿Cuales son las maneras en que puedo contraer una infección por malware?
Las formas de contraer una infección son variadas, a continuación te mencionamos las más comunes:
•A través de correo electrónico (al abrir correos electrónicos de remitentes desconocidos sin antes analizarlos con un software antivirus).
•Por medio de redes para compartir software (kazaa, emule, ares, etc.). Cuando navegas en Internet sin actualizaciones instaladas en tu sistema operativo y tus aplicaciones, como por ejemplo tu navegador Web.
•Cuando abres archivos de extraña apariencia sin antes analizarlos con un antivirus.
¿Cómo puedo evitar una infección de malware?
Existen algunas buenas prácticas de seguridad que puedes llevar a cabo para evitar ser infectado por algún código malicioso:
Debes instalar y mantener actualizado un software antivirus.
Software antivirus href="http://www.seguridad.unam.mx/usuario-casero/secciones/antivirus.dsc
Hoy en día un antivirus no es suficiente para mantenerte protegido, por lo que debes también instalar y actualizar un software antispyware. Spyware
http://www.seguridad.unam.mx/usuario-casero/secciones/spyware.dsc
Debes instalar en tu sistema operativo todas las actualizaciones de seguridad.
Métodos y herramientas de actualización http://www.seguridad.unam.mx/usuario-casero/herramientas.dsc
Habilita un firewall personal en tu equipo. Firewall personales http://www.seguridad.unam.mx/usuario-casero/firewall.dsc
SASSER

¿Que es el Sasser?
Sasser es un gusano informático que se propaga a través de internet, explotando la vulnerabilidad LSASS en ordenadores remotos. Esta vulnerabilidad es crítica en los sistemas operativos Windows XP y 2000 que no han sido convenientemente actualizados. Sasser solo se propaga de manera automatica. Sin embargo, también funciona en el resto de sistemas operativos Windows, si el archivo correspondiente al gusano es ejecutado de alguna forma por un usuario malicioso. Sasser provoca el reinicio del ordenador de forma automática cuando infecta estas versiones de Windows.
¿Cómo saber si mi PC está infectado?
El síntoma típico es que el sistema se reinicia cada pocos minutos sin ninguna acción del usuario. En Windows XP, puede mostrarse una ventana con un mensaje muy similar al siguiente:
LSA Shell (Export Version) ha encontrado un problema y debe cerrarse. Sentimos los inconvenientes ocasionados.
En Windows 2000 aparece una ventana casi idéntica a la provocada en Windows XP por el gusano Blaster o Lovsan:
Apagar el sistema
Se está apagando el sistema. Guarde todo trabajo en curso y cierre la sesión. Se perderá cualquier cambio que no haya sido guardado. El apagado ha sido iniciado por NT
AUTORITHY\SYSTEM
Tiempo restante para el apagado: xx:xx:xx
Mensaje
El proceso del sistema
C:\WINNT\system32\lsass.exe terminó de forma inesperada indicando código 0
Windows debe reiniciar ahora.
Además, en la mayoría de los sistemas infectados, el rendimiento del mismo se degrada notoriamente, debido a que el gusano lanza 128 tareas simultáneas.
¿Qué daño puede causar Sasser a mi PC?
Este gusano no provoca ningún daño a los archivos locales de las computadoras infectadas, tampoco borra o cambia datos en las mismas. Sasser afecta el servicio de Internet debido principalmente al excesivo tráfico que genera durante su intento de infección. Como resultado, los canales de transmisión pueden saturarse y el servicio de Internet será lento e intermitente.
Sin embargo, al utilizar un acceso shell y dejar abierto un servidor FTP en la máquina infectada, las posibilidades de que herramientas creadas por piratas informáticos puedan provocar daños impredecibles al sistema infectado son muy grandes.
¿Cuáles versiones de Windows son vulnerables al ataque?
Las siguientes versiones de Windows son vulnerables al ataque del Sasser: Windows 2000 SP2, SP3 y SP4 Windows XP y Microsoft Windows XP Service Pack 1 Windows XP 64-Bit Edition Service Pack 1 Windows XP 64-Bit Edition Version 2003 No son vulnerables: Windows NT Workstation 4.0 Service Pack 6a Windows NT Server 4.0 Service Pack 6a Windows NT Server 4.0 Terminal Server Edition SP6 Windows Server 2003 Windows Server 2003 64-Bit Edition Windows 95, 98, 98 SE y Me
¿Cómo puedo proteger mi computadora de éste gusano?
Usted debe seguir los siguientes pasos para minimizar el riesgo de infección con el Sasser:
a. Actualizar su programa antivirus y no desactivarlo mientras este conectado a Internet.
b. Instalar un cortafuegos personal y bloquear los puertos 445, 5554 y 9996 (cortafuegos como ZoneAlarm y otros, bloquean estos puertos sin necesidad de que usted lo deba indicar, si lo instala como se explica en nuestras páginas http://www.vsantivirus.com/za.htm).
c. Descargar y aplicar los parches recomendados por Microsoft para eliminar la vulnerabilidad LSASS. Recuerde que la descarga y aplicación de los parches de Microsoft son importantes ya que estos evitarán que su computadora sea atacada mediante la vulnerabilidad LSASS.
¿Qué hago si mi computadora ya está infectada por el gusano Sasser?
En este caso usted debe verificar que su antivirus esté actualizado y ejecutar un escaneo completo a todos sus discos.
Ya quité el gusano Sasser pero mi computadora se vuelve a infectar.
Los procedimientos de limpieza, sirven justamente para eso, "limpian" o remueven el gusano del equipo infectado, pero no lo protegen de ataques posteriores. Usted deberá aplicar los parches de Microsoft, y seguir las recomendaciones ya explicadas (antivirus al día, cortafuegos, etc.).
Ya quité el gusano Sasser pero mi computadora se vuelve a infectar.
Este gusano crea un shell (una consola de comandos), que puede permitir el ingreso de casi cualquier tipo de instrucción que comprometa a nuestro sistema. También abre un servidor FTP que permite el acceso a cualquier archivo. Y no hay nada que nos asegure que por borrar al Sasser de nuestro sistema, nos libraremos de la posibilidad de que alguien haya dejado otro regalo en nuestra computadora.
Por otra parte, no hay forma de saber cuántas modificaciones del exploit del que se vale el gusano (en realidad utiliza dos), están dando vueltas por Internet, y cuantas formas maliciosas pueden llegar a crearse a partir de los mismos.
Por ello, detectar una infección con el gusano Sasser, ameritaría no solo la limpieza del sistema infectado, sino la completa reinstalación del mismo (y posterior actualización de los parches e instalación o activación de un cortafuegos), como única forma de asegurarnos contra las posibles consecuencias.
Es una alarma.
La infección con el Sasser debe ser tomada como una señal de alarma. Si ocurre, hay que seguir estos pasos:
a.Borrar el gusano como se indicó antes.
b. Respaldar la información importante (no los programas)
c. Formatear nuestros discos para asegurarnos de que el sistema está limpio realmente, y reinstalar el sistema operativo y todos los programas.
d. MUY IMPORTANTE: instalar el parche correspondiente, y activar un cortafuegos, además de mantener al día nuestros antivirus.
Seguridad en el Banco Galicia
El Banco Galicia utiliza una combinación de tecnologías para asegurar la confidencialidad, autenticación e integridad de las operaciones cursadas por Internet. Estas tecnologías se complementan con el fin de brindar un sólido esquema de seguridad

Uso de su Clave Personal
• Asegúrese que nadie conozca su clave personal ya que es la forma de acceso a los productos que usted posee en el Banco.
• No ingrese su clave de acceso en ningún otro dispositivo o medio que no sea:
- Cajero Automático
- Terminal de Autoservicio
- Home Banking Galicia
- Fonobando Galicia
- Compras Electrón en comercios
• Bajo ninguna circunstancia informe su clave a otra persona, aún cuando el que lo solicite se identifique como empleado de Banco Galicia.
• Cambie su clave en forma periódica o si presume que puede estar en conocimiento de otras personas.
• Evite utilizar claves de acceso vinculadas con fechas, números de cuentas, números de documentos, caracteres repetitivos o secuencias lógicas.
• Evite utilizar la misma clave para la tarjeta de débito Galicia 24 Visa Electron y para operar por los canales transaccionales de Banco Galicia: Home Banking Galicia, Fonobanco Galicia y Terminales de Autoservicio.
• No divulgue su clave de acceso, ni la escriba o guarde junto a su tarjeta.
• No ingrese su clave de acceso en presencia de terceros.
Operaciones Cajeros Automáticos
• Antes de introducir la tarjeta en el cajero, le sugerimos chequear que las ranuras de ingreso de la tarjeta y salida de dinero en efectivo no estén obstruídas.
• Le recomendamos no digitar la clave de acceso ante la presencia de otras personas, aún cuando pretendan ayudarlo y nunca le facilite la tarjeta a terceros.
• Si la tarjeta se traba en el cajero no acepte la ayuda de extraños. Si la tarjeta queda retenida en el cajero o ante la pérdida o robo de la misma, realice la denuncia de inmediato al Centro de Servicios Banelco: 4334-5466.
• Es importante no divulgar su clave ni escribirla en la parte posterior de la tarjeta.
Acceso a Home Banking desde lugares públicos
• Para su tranquilidad, al operar con Home Banking desde cyber cafés o locutorios, usted podrá ingresar su clave de seguridad sin necesidad de utilizar el teclado, seleccionando la opción Acceso seguro desde una PC pública", ubicada en la página de acceso a Home Banking.
• El número de documento se seguirá ingresando desde el teclado y la clave deberá completarse seleccionando con el mouse los números que aparecen en pantalla.
Operaciones por Home Banking Galicia
• Cuando usted ingresa a www.e-galicia.com y decide operar a través de Home Banking Galicia o Galicia Office, notará que al clickear los botones de acceso, la página siguiente comienza https: donde la letra "s" indica que usted está operando en un sitio seguro.
• Verifique que en la barra inferior del navegador aparezca un candado cerrado y verifique la dirección de nuestro servidor al ingresar su clave: https://wsec01.bancogalicia.com.ar
• Utilización de cookies: Una cookie es un archivo no ejecutable que contiene datos generados y enviados por el servidor y que se almacena en la PC del usuario para interactuar con el servidor. La utilización de cookies permite a un sitio conocer si un usuario ha accedido anteriormente a su servicio o para personalizar la presencia del sitio de acuerdo al perfil del usuario. En nuestros servicios, únicamente se utilizan las cookies para control de estado de sesiones.
• Bloqueo por clave (password) errónea: El sistema bloqueará el acceso a todo usuario que se exceda en la cantidad habilitada para intentos de ingreso de claves erróneas. Una vez superado dicho límite el usuario deberá realizar el cambio de claves por los canales alternativos que se encuentren vigentes para cada tipo de servicio. Esto evita la posibilidad de ataque mediante el ingreso sucesivo de valores al azar.
• Cambio periódico de claves: Los usuarios del servicio deberán cambiar la clave de acceso cada vez que le sea requerido. Este cambio se requerirá en forma periódica.
• Desconexión por inactividad: El servicio contabiliza el tiempo de conexión por parte de los usuarios. Esto significa que los usuarios que no hayan realizado ningún tipo de actividad en un tiempo prefijado como límite, serán automáticamente desconectados de la sesión corriente. Esta característica de seguridad, evita mantener el servicio activo cuando el usuario olvida desconectarse del mismo. Si el usuario excede el tiempo de conexión considerado seguro para trabajar con una misma sesión, se le requerirá autenticarse nuevamente.
E-mails enviados por Banco Galicia
• Nuestra política de envío de e-mails no incluye la solicitud de ningún tipo de información confidencial (como por ejemplo: claves personales, n° de cuentas, n° de tarjetas de crédito y/o débito, etc.), por lo tanto le recomendamos no enviar dicha información vía e-mail ni tampoco ingresarla en ningún sitio al que usted pueda acceder desde un link disponible dentro de un e-mail.
• No responda e-mails donde le soliciten información personal y claves, en donde le avisan de un supuesto problema en su cuenta o le solicitan actualizar información de sus datos en Banco Galicia. Esta es una nueva técnica denominada "phishing” que tiene como único objetivo obtener su información personal. En su interior el e-mail puede contener el logo del Banco Galicia y otros detalles gráficos que lo hacen parecer real, además generalmente incluyen un formulario para completar sus datos o un link a una página de Internet.
Seguridad en su PC
• También es importante para Banco Galicia la seguridad de su PC, ya que muchas veces ésta es blanco de ataques externos que vulneran su información personal. Por este motivo el Banco Galicia le recomienda tener en cuenta las siguientes herramientas y prácticas para proteger a su PC:
- Firewalls: Es un software que ayuda a evitar ataques externos de hackers e impide el paso de virus y gusanos informáticos que intenten infectar a su computadora a través de Internet.
- Actualizaciones del Sistema Operativo: Ayudan a protejer su computadora de vulnerabilidades, virus, gusanos y otras amenazas conforme estas aparecen.
- Antivirus: Ayuda a protejer a su computadora contra los virus, gusanos, troyanos y otros invasores no deseados, que pueden afectar al correcto funcionamiento de su computadora.
- Correo
- Deshabilite la visualización automática de mensajes del programa de correo.
- Borre los mails con asuntos o remitentes extraños.
- Verifique la dirección del remitente, si tiene dudas. pase el cursor del mouse sobre los links del mail. Las direcciones las podrá ver en la barra inferior de la pantalla. Las extensiones: .exe, .scr o .zip pueden ser programas que roben información. No dude eliminar estos mails de su casilla..
Seguridad de la Información intercambiada entre los Clientes y el Banco a través de Internet:
- La seguridad comienza en el propio Browser del Cliente. El Browser es un programa de computación que se ejecuta en las computadoras de clientes y que fue desarrollado por empresas como Microsoft. La función principal del los Browser es permitirnos visitar Web sites y ver las distintas páginas Web dentro de Internet, y a su vez estos cuentan adicionalmente con la capacidad de utilizar técnicas de encripción. El Browser habilitado para operar con el Web Site del Banco Galicia es el Microsoft Internet Explorer 4.0 y versiones posteriores.
- Con el fin de proveer privacidad a la información transmitida entre el Browser del canal Cliente y el Server del Banco, se está utilizando la tecnología SSL (Secure Socket Layer). SSL es un protocolo de comunicación abierto por medio del cual se obtiene un seguro para la transmisión de información haciendo uso de técnicas de encripción. La encripción es un proceso de conversión de información, por el cual se transforma la información a transmitir a una secuencia de datos única e ilegible. De esta forma, el Browser del Cliente encripta la información, y el Web Server del Banco procede a su desencripción.
- Existen distintas técnicas de encripción (simétricas, asimétricas, mixtas, etc.), sin embargo, la efectividad (o el nivel de seguridad de la encripción) tiene relación con la longitud de las claves empleadas en dicho proceso. De esta forma, si uno tiene claves simétricas de 40 bits, existen 240 combinaciones posibles (1.099.511.627.776).
- Los canales SSL utilizados por la aplicación del Banco utilizan claves de 128, es decir existen 2128 combinaciones posibles. De esta forma es 288 veces más segura que el SSL de 40 bits, es decir 309.485.009.821.345.068.724.781.056 veces más seguro.
Seguridad de la Infraestructura de Comunicaciones y de Procesamiento de Datos de Banco Galicia:
Seguridad en Banco Galicia
El Banco Galicia utiliza una combinación de tecnologías para asegurar la confidencialidad, autenticación e integridad de las operaciones cursadas por Internet. Estas tecnologías se complementan con el fin de brindar un sólido esquema de seguridad.
• Seguridad de la Información intercambiada entre los Clientes y el Banco a través de Internet:
- La seguridad comienza en el propio Browser del Cliente. El Browser es un programa de computación que se ejecuta en las computadoras de clientes y que fue desarrollado por empresas como Microsoft. La función principal del los Browser es permitirnos visitar Web sites y ver las distintas páginas Web dentro de Internet, y a su vez estos cuentan adicionalmente con la capacidad de utilizar técnicas de encripción. El Browser habilitado para operar con el Web Site del Banco Galicia es el Microsoft Internet Explorer 4.0 y versiones posteriores.
- Con el fin de proveer privacidad a la información transmitida entre el Browser del canal Cliente y el Server del Banco, se está utilizando la tecnología SSL (Secure Socket Layer). SSL es un protocolo de comunicación abierto por medio del cual se obtiene un seguro para la transmisión de información haciendo uso de técnicas de encripción.
La encripción es un proceso de conversión de información, por el cual se transforma la información a transmitir a una secuencia de datos única e ilegible. De esta forma, el Browser del Cliente encripta la información, y el Web Server del Banco procede a su desencripción.
- Existen distintas técnicas de encripción (simétricas, asimétricas, mixtas, etc.), sin embargo, la efectividad (o el nivel de seguridad de la encripción) tiene relación con la longitud de las claves empleadas en dicho proceso. De esta forma, si uno tiene claves simétricas de 40 bits, existen 240 combinaciones posibles (1.099.511.627.776).
- Los canales SSL utilizados por la aplicación del Banco utilizan claves de 128, es decir existen 2128 combinaciones posibles. De esta forma es 288 veces más segura que el SSL de 40 bits, es decir 309.485.009.821.345.068.724.781.056 veces más seguro.
• Seguridad de la Infraestructura de Comunicaciones y de Procesamiento de Datos de Banco Galicia:
- Banco Galicia y en particular sus centros de cómputos y de comunicaciones cumplen con los más altos estándares internacionales en seguridad física de centros de procesamiento de datos.
- La infraestructura de Comunicaciones y de Procesamiento de Datos del Banco, están diseñadas y preparadas para mantener la operatividad y el servicio las 24 horas los 365 días del año.
- Dichas instalaciones cuentan con sistemas redundantes de servidores, bases de datos, canales de telecomunicaciones, ISP (Internet Service Providers) y energía eléctrica.
- Banco Galicia tiene una barrera perimetral que lo protege de Internet. La misma esta formada por una serie de equipos especiales (routers y firewalls) cuya función es verificar, analizar e inspeccionar las direcciones fuentes y destino de cada uno de los paquetes que es intercambiado entre los equipos del Banco e Internet, denegando el acceso a todos aquellos no autorizados.
- Los firewalls son una combinación de elementos de hardware y software los cuales utilizan distintas técnicas de análisis y reconocimiento de información (filtrado de paquetes, proxies, etc.). Su función es separar la red interna del Banco de la propia Internet con el fin de validar cada uno de los paquetes de datos intercambiados entre ambos.
- La infraestructura de Comunicaciones y de Procesamiento de Datos del Banco está siendo monitoreada en todo momento con el fin de mantener en forma proactiva la operatividad de la misma.
- Adicionalmente se realizan en forma periódica, auditorias independientes con el fin de confirmar los altos estándares utilizados en dichas instalaciones.

Gracias SILVANA