BOTS CONVERSACIONALES INTECO-CERT

Transcripción

1 BOTS CONVERSACIONALES INTECO-CERT Mayo 2010

2 El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format). Se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de idioma y orden de lectura adecuado. Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la sección Accesibilidad > Formación > Manuales y Guías de la página Bots conversacionales 2

3 ÍNDICE 1. INTRODUCCIÓN 4 2. QUÉ SON LOS BOTS? 5 3. QUÉ SON LOS BOTS CONVERSACIONALES? Bots conversaciones legítimos Bots conversacionales maliciosos Gusanos que se propagan a través de programas de mensajería instantánea 7 4. CÓMO FUNCIONAN? Obtención de las direcciones de correo de las víctimas Realización de la solicitud de ser agregados Establecimiento de la conversación Lanzamiento del ataque CÓMO EVITARLOS? REFERENCIAS 13 Título de la Guía (campo editable) 3

4 1. INTRODUCCIÓN Al igual que otros medios de comunicación a través de la red, los programas de mensajería instantánea pueden ser utilizados para comprometer la seguridad de la amplia red de usuarios que los utilizan. El siguiente informe técnico trata la amenaza de los bots conversacionales en los programas de mensajería instantánea. Los bots conversacionales son programas informáticos que pueden establecer una conversación a través de estos programas, tratando de ganarse la confianza de su interlocutor para conseguir información confidencial suya, enviarle publicidad no deseada o para instalar programas maliciosos con los que controlar su PC y poder llevar a cabo actividades ilegales como el envío masivo de SPAM, actuar como proxys en botnets con Fast-flux, realizar ataques DDoS, etc. Este informe también describe las medidas que los usuarios pueden tomar para evitar los bots conversacionales. Bots conversacionales 4

5 2. QUÉ SON LOS BOTS? En el mundo de la Seguridad Informática la palabra bot, o robot, se suele utilizar para referirse a los programas informáticos que se hacen pasar por personas en Internet, como por ejemplo, en los siguientes servicios: Juegos en línea. Casinos en línea en juegos de azar con apuestas como el póquer o la ruleta. Redes sociales o programas de mensajería instantánea. Estos programas interactúan con los usuarios de dichos servicios y, como pueden funcionar de manera autónoma e independiente y utilizar la capacidad de cálculo de un ordenador, pueden existir un gran número de ellos realizando una labor que sería muy costosa de llevar a cabo por una persona. Pueden tener un uso legítimo como, por ejemplo, para atender un servicio de ayuda en línea, para adquirir información en un servicio de soporte, etc. Pero también un uso ilegítimo como propagar SPAM y malware en redes sociales o a través de mensajería instantánea, o conseguir ganancias económicas en juegos en línea. Por otra parte, la palabra bot también se utiliza para referirse a un miembro de una botnet o conjunto de equipos infectados controlados remotamente por un atacante. Se puede encontrar más información sobre las botnets en los siguientes enlaces: //Amenazas_silenciosas_en_la_Red_rootkits_y_botne_11 Bots conversacionales 5

6 3. QUÉ SON LOS BOTS CONVERSACIONALES? Los bots conversacionales, también llamados chatbots o chatterbots, son un tipo de bots que simulan ser usuarios de programas de mensajería instantánea: pueden pedir ser agregados como contacto y, posteriormente, mantener una conversación con el usuario que le ha agregado. Tienen su origen en el IRC (Internet Relay Chat). El papel que jugaban en estas redes era el de ciberoperador para la ayuda en tareas básicas de administración y registro de usuarios BOTS CONVERSACIONES LEGÍTIMOS Algunos bots tienen un fin legítimo, con ellos se puede interaccionar simplemente añadiéndoles como contacto y sirven para, entre otras cosas, realizar traducciones o resolver consultas sobre un tema determinado. Se les suele distinguir porque la solicitud de ser agregados no parte de ellos si no del interesado en utilizar sus servicios. Algunos ejemplos de este tipo de bots son: mtbot@hotmail.com: creado por Microsoft. El bot traduce el texto escrito en la conversación. maestro@saman.com.uy: creado por una empresa agroindustrial. El bot ofrece recetas de cocina a partir de los ingredientes que el usuario indica BOTS CONVERSACIONALES MALICIOSOS Por contra, existen bots conversacionales con fines maliciosos a los que se les dota de cierta inteligencia artificial para establecer conversaciones sin delatar su origen virtual. Su objetivo es ganarse la confianza del interlocutor con el fin de realizar alguna de las siguientes acciones: Recopilar información confidencial, como números de la tarjeta de crédito. Instalar programas maliciosos como, por ejemplo, virus. Conseguir imágenes del usuario solicitando que se active la cámara web, para posteriormente extorsionarle. Enviar publicidad no deseada. Bots conversacionales 6

7 3.3. GUSANOS QUE SE PROPAGAN A TRAVÉS DE PROGRAMAS DE MENSAJERÍA INSTANTÁNEA Algunos gusanos tienen entre sus funcionalidades la de actuar como un bot conversacional para propagarse o realizar actividades maliciosas a través de las redes de mensajería instantánea. Son muy peligrosos ya que utilizan la cuenta del usuario del ordenador infectado y envían mensajes a sus contactos. Estos contactos tienen más probabilidades de creer en la legitimidad de los mensajes ya que provienen de un conocido. Algunos ejemplos de este tipo de gusanos son: _IE Algunos de estos virus están programados de forma que detectan el idioma del sistema operativo, para utilizarlo posteriormente en las conversaciones que mantendrá al tratar de propagarse mediante un bot conversacional. A continuación se muestra un ejemplo real de código perteneciente a estos gusanos: Figura 1. Muestra de código fuente En la imagen superior se puede ver un extracto de código correspondiente a un gusano que utiliza el MSN para propagarse, en el cual se definen varios arrays de cadenas con diversas frases en varios idiomas. Bots conversacionales 7

8 En la imagen inferior al inicio de la función msnspread se puede ver en la línea 138 como hace uso de la función GetLocaleInfo para obtener información sobre la configuración regional del equipo, más exactamente sobre el idioma local, el cual será apuntado por la variable tempp. Posteriormente, en función de su valor, el puntero masgg apuntará a uno de los arrays de cadenas definidos anteriormente y que coincidirá con el idioma del equipo; de esta forma se podrá propagar dichos mensajes a través de los contactos del usuario infectado. Figura 2. Muestra de código fuente Bots conversacionales 8

9 4. CÓMO FUNCIONAN? La amenaza del bot conversacional se desarrolla en varias fases consecutivas: 1. Obtención de las direcciones de correo de las víctimas. 2. Realización de la solicitud de ser agregados. 3. Establecimiento de la conversación. 4. Lanzamiento del ataque OBTENCIÓN DE LAS DIRECCIONES DE CORREO DE LAS VÍCTIMAS El primer paso que realizan las personas u organizaciones criminales que hay detrás de los bots conversacionales es captar direcciones de correo que se utilizan en los programas de mensajería instantánea para, posteriormente, contactar con ellas. Los métodos de conseguir estas direcciones son muy variados: Generar direcciones aleatorias de correo empleando patrones que constan de nombres de usuario. Muchas de estas direcciones puede que ni siquiera existan pero el objetivo es tratar de conseguir el mayor número posible de cuentas válidas. Comprar listas de direcciones de correo en el mercado negro. Por medio de cadenas de correos electrónicos. Mediante servicios fraudulentos que en su inscripción solicitan la dirección de correo. Utilizando programas que rastrean páginas web en su búsqueda, por ejemplo, por medio de etiquetas html de tipo mailto. Mediante vulnerabilidades en servidores web legítimos que permitan conseguir bases de datos de usuarios. Otra formar que tienen los atacantes de actuar es la distribuir mensajes en redes sociales, IRC, foros, páginas web, etc en los que se trata de convencer de que se añada su dirección de correo electrónico como contacto REALIZACIÓN DE LA SOLICITUD DE SER AGREGADOS En este paso, se programa el bot para que utilice una dirección de correo propia en el servicio de mensajería instantánea, junto con un nombre atractivo que invite a aceptarlo como contacto. Bots conversacionales 9

10 A continuación el bot realiza la petición de ser agregado a todas las direcciones obtenidas en el punto anterior, haciéndose pasar por un amigo, envía un mensaje sugerente como pueden ser los siguientes: Hola, cuanto tiempo, como te va? Mira las fotos de mis vacaciones. Jajajaja, que video más bueno!!!!! Este paso no existe en el caso de los bots que corresponden a virus que, mediante alguna técnica fraudulenta, han secuestrado cuentas legítimas de usuarios reales. Por esta razón, es tan dañina esta clase de bots ya que las personas con la que contactan tiene una relación de confianza con ellos establecida anteriormente ESTABLECIMIENTO DE LA CONVERSACIÓN Los bots establecen una conversación con la víctima para ganarse su confianza. La conversación suele ser muy simple y desde el principio está orientada hacia sus intereses. Para replicar a la víctima muchos bots simplemente buscan palabras clave en su contestación y, según estas palabras, generarán una respuesta determinada anteriormente. Por ello, las respuestas suelen ser muy vagas y orientadas hacia sus fines fraudulentos. Por otro lado, ya existen bots más sofisticados con buenas capacidades comunicativas para tratar de engañar al usuario el mayor tiempo posible. Además, algunos poseen cierta capacidad de aprendizaje, los cuales generan respuestas en función de conversaciones mantenidas previamente. Algunos bots no establecen una conversación. En la misma solicitud de ser agregados o en la primera frase incluyen un enlace a un código o página maliciosa junto un mensaje invitando a visitarla LANZAMIENTO DEL ATAQUE Una vez que el bot se ha ganado la confianza de la víctima, le muestra mensajes sugerentes que inviten a visitar una página Web o descargar algún tipo de fichero. Los siguientes son ejemplos de este tipo de mensajes: Aquí está el programa (acompañado de un enlace a un código malicioso) Mira mis fotos (junto con un enlace a una página web que solicita la tarjeta de crédito para comprobar la edad de la víctima) Los bots suelen enmascarar estos enlaces utilizando acortadores de URLs para que el interlocutor no pueda valorar el nombre del dominio original. Bots conversacionales 10

11 5. CÓMO EVITARLOS? Hay que limitar la difusión de la dirección de correo. No sólo para evitar los bots conversacionales, sino, también, para evitar el SPAM. Bloquear las invitaciones sospechosas o de gente que no se conoce. Además, el usuario de estos servicios puede denunciar al proveedor, generalmente mediante un formulario o un correo electrónico, las cuentas que pudieran corresponder a un bot conversacional, para que se revisen y se deshabiliten en casos de fraude. En caso de que se haya aceptado una invitación por error, o por curiosidad, no hay que dar conversación al bot, porque en caso contrario reconocería que la cuenta está activa, y divulgaría la cuenta para otras actividades maliciosas. Muchos de ellos son fácilmente detectables por la falta de coherencia en las respuestas generadas o el idioma empleado. Sospechar de los enlaces a páginas web o a programas que aparezcan en las conversaciones, aunque sean de amigos de confianza, sobre todo, si se tratan de enlaces o archivos que no se han solicitado. Algunos clientes de mensajería instantánea avisan al usuario del peligro de visitar estos enlaces: Figura 3. Ventana de aplicación de mensajería instantánea Utilizar un analizador de URLs para conocer la confiabilidad de los enlaces antes de abrirlos y analizar con un antivirus actualizado los ficheros descargados. Bots conversacionales 11

12 En clientes de mensajería instantánea tales como Pidgin o MSN existen herramientas que ayudan a eliminar o prevenir este tipo de bots. Un ejemplo de ello es el plugin bot-sentry para Pidgin. Con este plugin, si alguien intenta agregarse a una lista de contactos, tendrá que responder a un captcha lógico antes. A continuación se muestra una ventana de configuración de uno de estos complementos: Figura 4. Configuración de un complemento de una aplicación de MI Otro ejemplo de esta clase de complementos es WLM Safe. Se trata de un script para Messenger Plus! Live que permite incorporar una capa más de seguridad al cliente MSN. Una de sus características es avisar al usuario del envío de SPAM por parte de bots. Por otra parte, los proveedores de servicio son conscientes de esta amenaza y toman medidas para evitar su proliferación como: Implantar el uso de captchas. Desactivar las cuentas que, por su comportamiento, pueden pertenecer a un bot; por ejemplo, aquellas que envíen muchas invitaciones en poco tiempo. Bots conversacionales 12

13 6. REFERENCIAS Bots conversacionales 13