Indice Nuevas vías de infección Del disquete al USB... 3 La consumerización abre nuevas brechas de seguridad... 3 Como se extiende este nuevo tipo de malware... 4 Como lidiar con esta amenaza: Protección Preventiva con Panda USB Vaccine... 7 Confidential Panda 2009 Page 2
Nuevas vías de infección Del disquete al USB Hace mucho tiempo desde que la industria antivirus señalaba el disquette como la fuente principal de infecciones entre varios pcs. En ese tiempo Internet no era mas que un concepto y el disquette era la forma básica de transmitir información de un PC a otro. Los creadores de malware se esmeraban, por tanto, en crear archivos maliciosos que pudieran residir en estos elementos de modo que la infección se transportara de un PC a otro de un modo sencillo. Actualmente los disquettes han dejado paso a los CDs y DVDs e Internet ofrece todo un mundo de posibilidades para compartir información. Aun así, podemos observar un claro sustituto del disquette como herramienta portátil para almacenar y llevar la información. Estos son los dispositivos portables o USBs, que permiten almacenar una gran cantidad de información permitiendo además transportarlos de forma sencilla debido a su cada vez menor tamaño. Tal y como sucedió con los disquettes en su día, no ha hecho falta mucho tiempo para que comience a aparecer malware que aprovecha las ventajas de estos dispositivos para crear infecciones masivas que se distribuyen rápidamente y pasan desapercibidos a los programas de seguridad. La consumerización abre nuevas brechas de seguridad Según diversas consultoras de analistas, la consumerización es el proceso por el cual la tecnología empresarial y de consumo se integran en una sola. La línea que separa los dispositivos personales de los empresariales se difumina, lo que significa que los empleados usan cada vez más aparatos tecnológicos de su vida cotidiana dentro de la empresa. Esto crea un riesgo de seguridad por las posibles fugas de información crítica a través de dispositivos portables no controlados por la misma (mp3, USBs, etc). Como se aprecia en la figura anexa, la consultora Forrester detecta la consumerización de los departamentos de TI, que provoca que sean los usuarios individuales y no los departamentos de TI los que adoptan tecnologías propias para llevar a cabo sus tareas, con lo que la decisión de compra de estos departamentos viene derivado de las tendencias tecnológicas de los empleados (uso de wikis, blogs, etc). A este movimiento Forrester lo llama Populismo tecnológico. A pesar de que el problema de seguridad derivado de este nuevo movimiento sea la fuga de información sensible de una empresa, los dispositivos portables también pueden suponer un vector de entrada para la introducción y propagación de virus, troyanos, keyloggers y otros tipos de malware. De hecho, durante 2009 muchos periódicos se han hecho eco de noticias de este Confidential Panda 2009 Page 3
tipo, como por ejemplo la prohibición del uso de elementos portables en el departamento de defensa de EEUU debido a la distribución del gusano agent.btz por diversas redes críticas del departamento. Por otro lado, los USBs están evolucionando rápidamente. Los nuevos sticks de memoria U3 permiten ejecutar software o diversas aplicaciones directamente desde el USB. La tecnología de U3 está diseñada para aprovechar las ventajas de movilidad que ofrecen los USBs de modo que el usuario pueda almacenar todos sus programas, contraseñas, preferencias etc en él sin preocuparse de que tengan que estar instaladas en el PC. Estos sistemas se auto-activan por lo que pueden ejecutar aplicaciones al ser conectados a un PC, lo que abre una nueva vía de infección adicional a los creadores de malware. Como se extiende este nuevo tipo de malware Hoy en día, una gran mayoría de los PCs usan alguna de las múltiples versiones de sistemas operativos Windows. De hecho, en el gráfico siguiente se muestra la tasa de penetración de cada uno de los distintos sistemas operativos existentes y se ve que Windows posee la gran mayoría del mercado, con un 73% de penetración del Windows XP. Para facilitar la instalación de las diferentes aplicaciones, en 1995 Microsoft lanzó en toda su familia de productos una funcionalidad llamada Autorun, que fue introducida junto con su Windows 95. Esta funcionalidad en su versión básica, permitía que al insertar un CD-ROM correctamente configurado, buscara un archivo de texto en el directorio raíz llamado AUTORUN.INF y siguiera las instrucciones allí definidas para ejecutar un programa. Actualmente este AUTORUN.inf está incluido en la mayoría de los dispositivos portables para conocer las acciones a realizar sobre cualquier USB o cd/dvd que se inserte en la máquina. El autorun.inf es un archivo de configuración que permite definir qué programa debería ser ejecutado automáticamente cuando se conecta el dispositivo. Sin embargo hoy en día existen varias formas en las que un programa que es especificado en un AUTORUN.INF puede ser ejecutado en un un modo mas o menos transparente para el usuario. Por ejemplo: - Autorun - Autoplay: Se trata de una versión mejorada del AutoRun lanzada con el sistema operativo Windows XP. En vez de que sea el dispositivo externo el que decida que programa ejecutar, se intenta hacer partícipe al usuario de esa decisión mediante un menú de opciones que se lanza al insertar el dispositivo. Del mismo modo que con el Autorun tradicional, es posible incluir como opción el que aparezca la aplicación que se desea ejecutar en el menú. Muchos tipos de malware usan Confidential Panda 2009 Page 4
este sistema para propagarse sustituyendo el programa definido en el Autoplay por lo que no es un medio totalmente seguro para evitar este tipo de infecciones. Con Windows Vista este problema se agrava ya que el usuario puede configurar el AutoPlay de modo que defina que, por defecto, un programa definido en el AUTORUN.inf puede ejecutarse automáticamente. Eso permite a un USB infectado, ejecutarse en el PC del usuario sin conocimiento de este. - Ejecución desde el menú contextual del dispositivo al que se accede mediante el botón derecho del ratón. - Ejecución haciendo doble click sobre el icono de la unidad Esto hace que existan una variedad de formas de invocar un ejecutable que se encuentre en el autorun de cualquier dispositivo externo sin que se de un conocimiento del usuario. Esta funcionalidad permite por tanto a un determinado malware poder infectar un dispositivo externo realizando una copia del ejecutable en el mismo y modificando el archivo AUTORUN.inf de modo que cada vez que un usuario conecte ese USB en otra máquina, Windows ejecute ese archivo malicioso de forma silenciosa y sin que el usuario se de cuenta, por tanto, de que se ha infectado. Conficker - El primer aviso Existen algunos tipos de malware que comienzan a beneficiarse del modo de funcionamiento de los USBs y su modo de interactuar con el SO de Microsoft. Algunos ejemplos son W32/Sality, W32/Virutas y también el conocido Conficker, el cual, además de extenderse aprovechando una vulnerabilidad, lo hace también a través de los USBs. Confidential Panda 2009 Page 5
Figura 1: Seguimiento de Conficker en el blog de PandaLabs En la figura siguiente podemos apreciar la evolución de infecciones por malware de la familia Autorun, esto es, aquel malware que como Conficker, se aprovecha del Autorun para propagarse. Como se puede apreciar, en Abril de 2008 se comienza a ver una tendencia creciente del número de infecciones relativas a este nuevo tipo de malware. Figura 1: Evolución de las infecciones por malware de la familia Autorun Otro ejemplo de un gusano que se propaga por el usb es el llamado AutoKitty.A, que se propaga realizando copias de sí mismo en todas las unidades disponibles del sistema, tanto mapeadas como extraíbles. Además, crea un archivo AUTORUN.INF en el directorio raíz de todas las unidades para conseguir que el gusano se ejecute cada vez que se acceda a alguna de ellas. Confidential Panda 2009 Page 6
Por otro lado, el llamado SillyFD-AA no sólo se auto instala en los sistemas y coloca mensajes en Internet Explorer sino que instala un autorum.inf en cualquier memoria portátil, como USB o disquetes de forma que con conectar un USB infectado en un ordenador la infección está garantizada. Como lidiar con esta amenaza: Protección Preventiva con Panda USB Vaccine Tradicionalmente para paliar este problema la solución mas utilizada ha sido la de incluir una entrada en el registro de Windows de modo que se deshabilite la funcionalidad del AUTORUN en una máquina en concreto. Esto evita que el malware pueda infectar una máquina a través de un USB, a menos que el usuario ejecute directamente el archivo. Estas soluciones sirven para proteger los PCs, pero no consiguen erradicar el problema de las infecciones por dispositivos externos de almacenamiento que siguen infectando a aquellos PCs desprotegidos. Existen varias propuestas para solventar este problema pero la mayoría son fáciles de salvar por parte del malware. Preguntas Frecuentes: Puedo desactivar el Autorun desde Windows para evitar estas infecciones? No hay una forma definida de desactivar el autorun desde Windows. La técnica habitual es realizar modificaciones en el registro o manipular el fichero autorun.inf para que no pueda ser creado por el malware. Problemas de las técnicas de modificación de registro: Requiere un conocimiento por parte del usuario y además hay múltiples técnicas y no todas son igual de eficientes. Nuestra herramienta realiza los ajustes más óptimos para conseguir vacunar el sistema. Problemas de las técnicas de manipulación del autorun.inf. En Internet se pueden encontrar una gran variedad de técnicas para modificar el autorun.inf, desde algunas más sencillas y fácilmente esquivables hasta otras más complejas y para las que se necesita un mayor conocimiento técnico. La técnica utilizada por Panda es la única que ha demostrado hasta el momento que no puede ser desactivada con procedimientos estándar, a excepción del formateo de la unidad. A la hora de frenar este tipo de infecciones y ofrecer al usuario una forma complementaria de proteger su máquina, junto con la protección antivirus instalada, Panda ofrece una herramienta gratuita para evitar este tipo de infecciones en los dispositivos portátiles. Esta herramienta se llama USB Vaccine y su función principal es la de desactivar el Autorun completamente de modo que ningún programa incluido en un USB pueda autoejecutarse de forma automática sin conocimiento del usuario. Además la herramienta ofrece la opción de vacunar el PC evitando que un malware infiltrado en un dispositivo USB, se ejecute automáticamente en el sistema. Confidential Panda 2009 Page 7
Figura 1: Interfaz de la Vacuna USB de Panda Una solución preventiva sencilla y rápida. Cómo funciona Panda USB Vaccine? Los sistemas operativos Windows usan el archivo AUTORUN.INF de los dispositivos portables para conocer qué tipo de acciones hay que realizar cuando estos son conectados al PC. Se trata de un archivo de configuración que normalmente se sitúa en el directorio raíz de los dispositivos portables y que contiene entre otras cosas, la posibilidad de definir un programa que se ejecute automáticamente cuando la unidad sea conectada. La mayor amenaza viene dada cuando esta funcionalidad es usada por los creadores de malware para distribuir una infección a otros PCs cada vez que el usuario conecte el dispositivo en cada uno de ellos. El malware copia automáticamente un ejecutable en el USB y modifica el AUTORUN de modo que cada vez que se inserta o se abre el dispositivo se ejecuta automáticamente el programa indicado en el autorun.inf y el sistema queda infectado. Este proceso se realiza además, de forma transparente para el usuario por lo que no sabe que ha sido infectado. La herramienta gratuita de Panda para vacunar USBs permite a los usuarios: - Vacunar sus PCs de modo que se desactive el Autorun para que ningún programa instalado en un dispositivo externo pueda auto ejecutarse. - Vacunar dispositivos USB para desactivar el AUTORUN.inf evitando asi que las infecciones puedan extenderse a otros PCs mediante estos dispositivos. Además evita que el dispositivo (concretamente el fichero autorun.inf) pueda ser infectado en otros sistemas donde sea insertado y que eventualmente puedan encontrarse infectados. Usos de Panda USB Vaccine en el entorno corporativo El administrador de una red puede distribuir esta herramienta a todos los PCs de forma centralizada y configurar previamente la misma de modo que elija el modo en que se comportará en el PC del usuario. Existen diversas líneas de comando que permiten realizar distintas acciones de forma remota: Confidential Panda 2009 Page 8
USBVaccine [ A B C Z ] [ +system -system ] [ /resident [/hidetray] [/auto] ] [DRIVE UNIT]: Vacunar unidad de disco +SYSTEM : Vacunar PC -SYSTEM : Desvacunar PC /RESIDENT: Lanzar el programa en modo oculto y configurarlo para que de la opción de vacunar cada vez que se introduzca un nuevo dispositivo. /AUTO: Vacuna automáticamente cualquier nuevo dispositivo insertado cuando se usa con el comando /resident. /HIDETRAY: Oculta el icono de la barra de tareas cuando se usa con el comando /resident. Requisitos del sistema La protección del dispositivo funciona en unidades FAT y FAT32. Hay una versión beta que permite proteger unidades NTFS, aunque es experimental en estos momentos. El parámetro para activar la protección en unidades NTFS es: /experimentalntsf Esta herramienta está en modo beta y puede ser descargada directamente desde la web de Panda.: http://www.pandasecurity.com/spain/homeusers/downloads/usbvaccine/?track=91062 Confidential Panda 2009 Page 9