Caso actual: el malware DNSChanger Qué pueden hacer ahora los usuarios de ordenadores?

Transcripción

1 Caso actual: el malware DNSChanger Qué pueden hacer ahora los usuarios de ordenadores? Contenido Qué ha ocurrido hasta ahora? 2 Qué va a ocurrir el 8 de marzo de 2012? 2 Cómo puedo probar mi configuración de Internet? 3 En el PC 3 En el router 5 Consejos generales 7 1

2 Qué ha ocurrido hasta ahora? Los medios de comunicación han ofrecido una amplia cobertura del éxito logrado con la denominada Operation Ghost Click, una iniciativa llevada a cabo por el FBI y otras fuerzas de seguridad internacionales por la que fueron encarcelados los cerebros detrás de la red delictiva encargada de la distribución y el control de los ataques mediante el malware DNSChanger. Como resultado de esta acción, el FBI se apoderó de los servidores que alojaban el citado malware, pero también surgió un grave problema ya que, aunque el FBI se hiciera cargo de dichos servidores, no tiene capacidad para desinfectar los ordenadores infectados con el malware DNSChanger. Por lo tanto, resulta esencial en un primer momento eliminar la configuración del DNS no autorizada en los equipos de los usuarios afectados para, de esta forma, garantizar unas conexiones ágiles y correctas a Internet después del 8 de marzo de 2012, cuando el FBI cierre los servidores DNS malintencionados que ahora controla. Para comenzar, debemos dejar claras dos características esenciales del malware DNSChanger : Característica 1: El malware modifica la configuración del DNS en un PC con sistema operativo Windows, incluyendo el archivo hosts y la configuración del DHCP. Como consecuencia del cambio de la configuración del DNS, el usuario no puede acceder al sitio web que desea cuando utiliza el navegador web porque el ataque redirige al usuario a un objetivo predefinido. Característica 2: El malware modifica la configuración del servidor de nombres (DNS) dentro del router. De esta manera, los cambios no se realizan directamente en el PC, sino en el router que conecta, por ejemplo, la red doméstica a Internet. El troyano se encuentra equipado con listas de contraseñas que contienen los códigos de inicio de sesión estándar para la mayoría de routers en el mercado. Este malware puede acceder con facilidad a la interfaz web del router cuando el usuario no haya cambiado nunca la contraseña estándar preestablecida en el dispositivo. De esta manera, los atacantes pueden cambiar la configuración del servidor de nombres del proveedor de servicios de telecomunicaciones para llevar a cabo sus objetivos y controlar cada uno de los intentos del usuario para acceder a un sitio web. Qué va a ocurrir el 8 de marzo de 2012? El FBI cerrará los servidores DNS que ahora controla, por lo que todos los usuarios con ordenadores: a) infectados con el malware DNSChanger distribuido por los delincuentes y que b) no hayan restablecido su configuración de DNS a un estado normal pueden sufrir problemas cuando se conecten a Internet una vez desmantelados los servidores propagadores del malware por parte FBI. 2

3 Cómo puedo probar mi configuración de Internet? En este documento le ofrecemos algunas medidas que pueden realizar los usuarios de ordenadores con sistemas operativos Microsoft Windows (XP, Vista y 7) para comprobar inmediatamente los daños causados por el malware DNSChanger en sus equipos. Si el dispositivo que se prueba forma parte de una red corporativa, debería ponerse antes en contacto con su administrador de sistemas. Antes de comenzar a realizar las pruebas manuales de las configuraciones que describimos a continuación, es recomendable realizar un escaneo completo de todo el equipo con su programa antivirus. Después visite el sitio web para comprobar si su ordenador está infectado. Atención: si la prueba online o las pruebas manuales aquí presentadas muestran que la configuración del DNS es correcta, dicho resultado no significa necesariamente que su ordenador no contenga ningún malware. En cualquier caso, debería analizar periódicamente su PC para prevenir posibles infecciones utilizando un software antivirus completo y actualizado como, por ejemplo, el Data InternetSecurity 2012 con BootCD. En el PC Paso 1: Compruebe el archivo hosts Abra un editor de texto. Si usa Windows Vista o Windows 7 ejecute el editor de texto como administrador. Para ello, haga clic con el botón derecho de ratón en el icono del programa editor de texto para situarse en la opción ejecutar como administrador. Ahora, dentro de este editor de texto, abra el archivo hosts. Puede encontrarlo en C:\Windows\system32\drivers\etc Es posible que tenga que elegir Todos los archivos (*.*) en la esquina inferior derecha del selector de archivos para ver y seleccionar posteriormente el archivo hosts. En Windows XP, el archivo hosts solo contiene una entrada: localhost is connected to El archivo hosts por defecto en Microsoft Windows Vista y Microsoft Windows 7 no contiene ninguna entrada. Nota: todas las líneas que comienzan con un símbolo de hash (#) son líneas de comentarios y, por lo tanto, el sistema (y el usuario) debe ignorarlas. Captura de pantalla 1: Un archivo hosts en Microsoft Windows 7 con varias líneas de comentarios 3

4 Las entradas adicionales en su archivo hosts no precedidas por un símbolo hash - independientemente del sistema operativo que utilice- pueden indicar que el malware ha realizado modificaciones. Usted puede añadir un símbolo hash al principio de cada línea con una entrada adicional para verificar la situación. Reinicie el navegador si fuera necesario y visite el sitio web Paso 2: Compruebe la configuración DHCP Los usuarios de ordenadores con sistema operativo Windows XP necesitan hacer clic en Inicio > Panel de Control > Conexiones de red e Internet > Conectarse a una red, y elegir la conexión activa que estén utilizando para acceder a Internet. Haga clic en la conexión y elija Propiedades. Los usuarios de Windows Vista y Windows 7 deben hacer clic en Inicio> Panel de Control > Red e Internet > Centros de Redes y Recursos Compartidos> Conectarse a una red y elegir la conexión activa que estén utilizando para acceder a Internet. En la opción Cambiar la configuración del Adaptador que aparece a la izquierda de la pantalla, haga clic en la conexión y elija Propiedades. La opción Propiedades abrirá una nueva ventana (ver captura de pantalla 2). Captura de pantalla 2: Propiedades de la conexión LAN activa Elija Protocolo de Internet (TCP/IP) en Windows XP y Protocolo de Internet Versión 4 (TCP/IPv4) en Windows Vista y Windows 7. En cualquier caso, las opciones Obtener una dirección IP automáticamente y Obtener las direcciones del servidor DNS automáticamente deberían estar activadas. Si en este punto encuentra alguna dirección del servidor DNS desconocida, bórrela y active Obtener la dirección del servidor DNS automáticamente. Después de esto, abra el programa de línea de comandos de Windows (Inicio > Todos los Programas > Accesorios >Ejecutar). Los usuarios de Windows Vista tienen que ejecutar este comando como administrador para que funcione la siguiente instrucción. En el cuadro de comandos, escriba ipconfig /flushdns y ejecútelo pulsando la tecla Entrar. Este breve 4

5 comando vacía la memoria caché del DNS del sistema. Reinicie su navegador si es necesario y visite el sitio web Paso 3: Compruebe la configuración del navegador Microsoft Internet Explorer (Versión 9) Haga clic en Herramientas > Opciones de Internet. Luego elija Conexiones. Haga clic en Configuración de LAN y compruebe si uno de los tres cuadros posibles se encuentra marcado. No debería encontrarse marcado ninguno por defecto. Mozilla Firefox (Versión 9) Haga clic en Herramientas > Opciones > y elija la pestaña Avanzada. Luego elija la pestaña Red y Configuración en la sección Conexión. Ahora compruebe si observa alguna entrada en Configuración Manual del Proxy. Por defecto, Ningún Proxy debería estar activado. Google Chrome (Versión 16) Haga clic en Personaliza y configura Google Chrome, elija Opciones y luego Avanzadas. En la sección Red, haga clic en Cambiar la configuración del proxy. Como Google Chrome utilice la configuración de proxy del sistema informático, la configuración de Google Chrome es equivalente a la de Internet Explorer. Captura de pantalla 3: La configuración de proxy del sistema, disponible en IE y en Google Chrome En la ventana recién abierta, haga clic en Configuración de LAN y compruebe si uno de los tres cuadros posibles ha sido marcado. Por defecto, ninguno de ellos debería estar marcado. Después de comprobar la configuración de su navegador, reinícielo si fuera necesario y visite el sitio web En el router Paso 4: Compruebe la configuración de la red del router. Si varios ordenadores en una red local muestran señales de haber sido potencialmente afectados por el malware DNSChanger, acceda a su router a través de la interfaz web. Consulte el manual de su dispositivo para saber cómo acceder al router mediante dicho método. Por defecto, la configuración Obtener una dirección IP automáticamente debería estar activada. Si observa en este punto alguna dirección de servidores DNS, deberá eliminarlas. Reinicie su router. 5

6 A continuación, abra la línea de comandos de Windows (Inicio > Todos los programas > Accesorios > Ejecutar) en cualquier PC de la red local. Los usuarios de Windows Vista tienen que ejecutar este comando como administrador para que funcione la siguiente instrucción. En el cuadro de comandos, escriba ipconfig /flushdns y ejecútelo pulsando la tecla Entrar. Este breve comando vacía la memoria caché del DNS del sistema. Reinicie su navegador si es necesario y visite el sitio web Por motivos de seguridad, debería cambiar inmediatamente la contraseña de su router. Este cambio de contraseña es especialmente importante si nunca ha cambiado la contraseña que viene por defecto de fábrica y también en caso de haber encontrado alguna configuración en su router, ya que podría haber sido realizada por una tercera parte no autorizada. Atención: si la prueba online o las pruebas manuales que aquí se presentan indican que la configuración de su DNS es correcta, no significa necesariamente que su equipo no haya sido infectado por otro tipo malware. En cualquier caso, debería analizar periódicamente su PC para detectar si se encuentra infectado, utilizando para ello un software antivirus completo y actualizado como, por ejemplo, el Data InternetSecurity 2012 con BootCD. Consejos generales Utilice una solución de seguridad completa y manténgala siempre actualizada. Es muy recomendable que incluya cortafuegos, filtro antispam, filtro web y protección en tiempo real. El filtro de spam es una prestación esencial para eliminar los mensajes de correo electrónico no deseados. Mantenga siempre actualizado el sistema operativo, el navegador y resto de software, e instale periódicamente las actualizaciones para eliminar las vulnerabilidades de seguridad existentes. Cambie las contraseñas incluidas por defecto en los dispositivos después de configurar los equipos. Si observa un comportamiento anormal de su PC que le haga sospechar que ha sido infectado por malware, cambie todas las contraseñas que utilice, incluyendo las contraseñas de cuentas de correo electrónico, bancos online, sitios de compra en Internet, redes sociales, mensajería instantáne, etc. 6