Troyanos: lo que debes saber sobre esta posible "herramienta" de la policía en España
Esta semana conocíamos la propuesta para usar troyanos por parte de la policía española en caso de que fuera necesario para una investigación. Así lo recoge el borrador de anteproyecto de la reforma penal procesal.
En Genbeta, a la reflexión sobre si es para tanto el alboroto por esta propuesta preliminar, añadentodo lo que necesitas saber sobre qué es, para qué sirve y cómo funciona un troyano. Lectura obligada para conocer también cómo podemos protegernos de un troyano.
¿Qué es un troyano, cómo funciona y cómo podemos protegernos?
Ayer se conocía el borrador del Código Procesal Penal, que permite a las fuerzas y cuerpos de seguridad del Estado usar troyanos para acceder a los datos en los equipos investigados.
Pero empecemos desde el principio: ¿qué es realmente un troyano? ¿Qué puede hacer en un ordenador?
Los troyanos son un tipo de malware cuyo principal propósito es dar acceso remoto a un sistema. Igual que el mítico caballo que usaron los griegos para introducirse en Troya sin levantar sospechas, estos programas tratan de pasar lo más desapercibidos que puedan, abriendo una puerta trasera para que un atacante remoto se introduzca en el ordenador.
Los troyanos son un tipo de malware cuyo principal propósito es dar acceso remoto a un sistema. Igual que el mítico caballo que usaron los griegos para introducirse en Troya sin levantar sospechas, estos programas tratan de pasar lo más desapercibidos que puedan, abriendo una puerta trasera para que un atacante remoto se introduzca en el ordenador.
Normalmente, los troyanos hacen más que proporcionar una puerta trasera: registran pulsaciones de teclas y páginas visitadas, transfieren datos del ordenador, lo convierten en parte de una botnet…
Sin embargo, en el caso de los que usaría la policía lo más probable es que sólo proporcionasen un registro de acciones del usuario y un acceso para que se pudiesen explorar los contenidos del ordenador de forma remota.
Por otra parte, decíamos que el troyano trata de pasar desapercibido, así que no sería extraño que viniese acompañado de un rootkit. Este tipo de malware tiene como propósito ocultar procesos que puedan hacer sospechar al usuario.
¿Cómo? Como su nombre indica, los rootkits se instalan en el ordenador con permisos de administrador, superusuario o root. Al tener control completo del sistema pueden ocultar ciertos procesos y archivos, evitar que los antivirus hagan bien su trabajo, saltarse sistemas de cifrado…
Así evitan que detectes que ha habido un compromiso en tu sistema.
Los rootkits pueden instalarse a nivel de sistema operativo (lo más normal), pero pueden llegar a reemplazar partes del núcleo o incluso del arranque del ordenador: de esta forma pueden saltarse cualquier protección que tengas (el rootkit controla todo el ordenador desde el momento en el que arranca) y resultan muy difíciles de detectar y eliminar.
¿Cómo podemos infectarnos?
Una vez que sabemos qué es un troyano, lo siguiente es saber cómo pueden llegar al ordenador. Hay muchísimas formas, veamos algunas.
Puede ser por una vulnerabilidad en un programa que tengas instalado (ejem, Flash, Java, Adobe Reader). Descargas un archivo especialmente preparado para que, al abrirlo, se ejecute un código que instale el rootkit en cuestión (vulnerabilidades por desbordamiento de búfer, en su mayoría).
También puede ser por fallos en el hardware y los controladores. No sería la primera vez que alguien toma control de un ordenador enviando unos paquetes especiales a la antena WiFi, o a la radio Bluetooth. Además, si entran de esta forma conseguirían directamente privilegios de administrador para hacer lo que quieran con el sistema.
No sería la primera vez que infectan a alguien enviando datos a su antena WiFi.
Otra posible puerta: manipulación directa de los archivos que te bajas. Un ataque MITM (Man In The Middle, hombre en el medio), poniendo un software entre tu ordenador y el resto de Internet, modificaría un archivo ejecutable que te bajes inyectando código para instalar un troyano.
Así, tú crees que estás instalando, por poner un ejemplo, Chrome, y en realidad estás instalando Chrome con un regalito de parte de tu amigo el hacker.
Y no tenemos que irnos tan lejos. Alguien con acceso físico a tu ordenador puede coger ratón y teclado e instalar el malware sin vulnerabilidades ni complicaciones.
La moraleja es que si quieren ir a por ti, probablemente lo consigan.
Más tarde o más temprano, tu ordenador será vulnerable. Incluso aunque tengas el sistema actualizado al segundo y con un antivirus analizando el sistema continuamente, alguien encontrará una vulnerabilidad que no conozca el fabricante y que podrá aprovechar para introducir su malware especialmente creado para ser indetectable por el antivirus.
Aun así, no es cuestión de poner las cosas fáciles, así que veamos cómo protegernos.
Cómo proteger un sistema frente a un troyano
Agenda de alta seguridad anti-hackers.
No vamos a repetir lo obvio: tener todas las aplicaciones actualizadas, un antivirus bueno, no bajar archivos de sitios que no conozcas… Tampoco que la única forma de estar 100% seguro es no usar ordenadores ni conectarse a Internet.
Estos son los consejos para usuarios normales, pero si de verdad estás preocupado por tu seguridad tenemos algo más original.
Veamos medidas de este tipo, desde las menos intrusivas a las que sean más propias de un verdadero paranoico de la seguridad.
Redes wifi abiertas no, gracias.
Primero de todo: nunca, jamás, en la vida, te conectes a una red WiFi abierta si te preocupa mínimamente la seguridad.
Pueden ver el tráfico no cifrado, cualquiera puede ver qué puertos abiertos tienes en tu ordenador, e incluso podrían entrar con un clic en tus cuentas de servicios que no usen HTTPS.
También puedes asegurarte en tus conexiones a Internet usando HTTPS siempre que sea posible, o conéctate a través de una VPN para evitar ataques MITM. Si descargas algo, verifica que no se haya modificado por el camino calculando su hash y comparando con el que te dan en la página de descarga.
Por supuesto súbelo a sitios como VirusTotal para comprobar que no es un malware. Ah, y aunque no lo parezca, una descarga por BitTorrent es más segura que una descarga directa.
Si está disponible, activa los controles de integridad de los archivos de sistema en tu antivirus. De esta forma, el antivirus chequeará que los archivos de sistema no han cambiado desde la última vez. Si han cambiado y no sabes por qué, mala suerte.
Separar cuentas de usuario y administrador es una medida sencilla y bastante efectiva.
Separar las cuentas de usuario y administradortambién es una medida muy sencilla y efectiva. No me refiero a cosas como el UAC de Windows 8, que te pregunta si un programa quiere hacer cambios en el sistema, o al sudo de Linux. No.
Me refiero a que tengas dos usuarios distintos, uno para administración y otro para tareas de usuarios. Si quieres instalar un programa, sales de la cuenta de usuario y entras en la de administrador, y cuando acabes vuelves a la de usuario.
En Windows y Mac esto implica quitar privilegios de administración de tu cuenta; en Linux, quitar tu usuario del archivo desudoers para que no puedas usar sudo sino que tengas que entrar con otro usuario (su usuario).
Usar programas especializados para detectar posibles intrusiones periódicamente es otra buena práctica. Puedes ir desde lo sencillo, con anti-rootkits como el de Sophos hasta programas más avanzados, como HijackThis o GMER.
Eso sí, ten en cuenta que cuanto más avanzado es el programa más difícil de usar es. En lugar de hacerlo todo automáticamente, estos programas te dan mucha información para que tú puedas decidir qué hacer. Hay que saber muy bien qué significa cada aviso que te da y qué hace cada opción de eliminación.
Otra medida bastante efectiva pero que fastidia mucho el uso del ordenador: poner un firewall en modo estricto. Con eso me refiero a bloquear todas las comunicaciones por defecto, y sólo permitir la conexión por ciertos puertos a las aplicaciones que tú hayas definido explícitamente. Básicamente, navegador, sistema de actualizaciones y poco más.
Cifrar nuestro sistema protegerá nuestros datos frente a intrusiones. Si ciframos todo el disco (incluyendo el SO), necesitaremos una contraseña para acceder al sistema, pero entonces todos los archivos aparecerán sin cifrar a nuestros ojos (y a los de los programas que se ejecuten en el sistema).
Cifrar sólo ciertas carpetas o archivos es más recomendable si únicamente queréis proteger datos confidenciales (almacén de contraseñas, correos, agenda…). TrueCrypt es de los mejores programas para cifrar vuestro disco o sistema.
Pónselo difícil al atacante: usa sistemas menos conocidos.
También podemos poner las cosas difíciles usando software más minoritario.
No uses Windows o Mac, usa Linux.
Tampoco uses Android o iOS, usa BlackBerry o Windows Phone (aunque si estás preocupado por la seguridad de verdad no sé qué haces con un smartphone). No porque unos sean más seguros que otros, sino porque si usas un sistema menos usado habrá menos herramientas y recursos para atacarlo.
Simple matemática: a menos usuarios, menos interés tiene para los atacantes.
Si además usas otra arquitectura de procesador (ARM para escritorio, por ejemplo) conseguirás con muy alta probabilidad que el malware que te envíen ni se ejecute en tu sistema.
¿Y si uso un móvil/tablet, cómo me protejo?
Con antivirus inútiles y sin sistemas adicionales de protección, los móviles no son seguros.
La seguridad en el móvil o táblet es un asunto muy delicado. Primero, porque hay menos software de protección.
Hay antivirus sólo en Android, pero como si no los hubiera, porque son bastante inútiles: fallan estrepitosamente a la hora de detectar malware que haya sido transformado con técnicas sencillas y conocidas.
Pero ese no es el problema real. Al fin y al cabo, puedes evitar estos virus de móvil si tienes algo de cuidado. Pero frente a otro tipo de vulnerabilidades estamos totalmente vendidos sin sistemas de detección como los que pueda haber en un ordenador normal. Fallos en las aplicaciones, en el propio sistema, a la hora de conectarse a redes WiFi que hayan sido suplantadas (cosa no muy difícil de hacer)…
Lo mejor que puedes hacer es cifrar tus datos en el móvil por si alguna vez se te pierde, pero de cualquiera de las formas asume que los móviles y tablets, de momento y salvo que seas el Pentágono y tengas versiones del sistema mejor protegidas, no son seguros.
En Xataka Android | ¿Troyanos en tu Android? No descuides la seguridad
|
Posted: 04 Jun 2013 11:44 PM PDT
 El revuelo ayer fue sin duda el debate de la noticia de que el Ministro de Justicia está pensando en una ley que permita a los cuerpos de seguridad del estado utilizar troyanos para infectar los equipos, smartphones y tablets de criminales de "presuntos" criminales.
Este texto daría cobertura legal al uso de sistemas como FinFisher o HackingTeam que ya utilizan otros países comoAlemania donde su uso es legal.
Los problemas técnicos de la investigación policial
El proceso actual sigue estando basado en detectar la dirección IP desde la que se está realizando el delito, localizar la persona detrás de esa dirección IP, solicitar una orden judicial e incautar el equipo.
Una vez obtenido el equipo, comenzar un estricto proceso de custodia de evidencias y basar todo en un análisis forense de los datos que se obtienen del terminal.
Esto tiene muchos problemas técnicos en todas las fases, que todos conocemos:
Con el uso de troyanos como FinSpy o Hacking Team para infectar smartphones o tablets, lo que se busca es resolver este problema de raíz desde las redes del país, lo que daría a los cuerpos de seguridad la capacidad de acabar estos problemas de forma más definitiva.
Para ello, también sería necesario contar además con una inversión en exploits - además de trucos de habituales de ingeniería social - y con técnicas de mutación del troyano para evitar la detección de los mismos por medio de los antimalware.
Problemas técnicos habituales que se resuelven con normalidad para hacer que estos ataques y estos troyanos no sean tan facilmente detectables como dicen algunos.
El auténtico debate no es técnico
La pregunta, por tanto, deja de ser técnica y recae más en un debate legal o ético para ver si estas medidas están acorde con lo que los ciudadanos de este país queremos o no queremos.
Según el texto del borrador, se podría utilizar en delitos con condenas de penadas con más de 3 años, donde caen cosas tan severas como la pederastia o cosas como la piratería de música - bajo debate público largo tiempo -, lo que hace que se nos emborrone el debate sobre el uso que se puede dar a estas herramientas.
Por supuesto, el miedo de muchos es que con estos troyanos - como ya sucedió antes con la proliferación de las cámaras de seguridad que graban a los ciudadanos por las calles hace años, o la puesta en marcha del sistema de interceptación legal de las tele comunicaciones SITEL - caiga en malas manos, y acabe siendo nuestro país un estado totalitarista enemigo de Internet y de sus ciudadanos.
Bajo mi punto de vista, si esto está controlado por la justicia, y hay un control férreo de estos sistemas de seguridad - y entre estos sistemas de seguridad incluyo las armas de fuego que se les dan a las personas que velan por nuestra seguridad, las cámaras de vigilancia que se ponen en las ciudades, los sistemas de comunicaciones como SITEL o estos nuevos troyanos - y se usan para que los malos no se vayan de rositas, creo que estaría bien dotar a nuestros protectores de todas las herramientas técnicas posibles y que no estén en inferioridad técnica frente a los delincuentes, que alguna vez viven con total impunidad.
Solo para que veáis con qué impunidad se sienten algunos, aquí os dejo una conversación que puede encontrarse en la Deep Web sin tener que hacer muchas piruetas.
He tapado la foto para que sea lo menos dañino posible, porque creo que con los mensajes es suficiente para que os hagáis una idea.
Creo que lo que deberíamos conocer es más información sobre los controles que se harían de este tipo de tecnologías y limitar mejor su uso y aplicación, para que esto no sea algo arbitrario a cualquier ciudadano.
Saludos Malignos!
 el fin no justifica los medios
Yolanda Ruíz, directora de marketing de ESET España)
Leemos con estupor una noticia publicada en primera página de El País titulada:"La policía podrá usar troyanos para investigar ordenadores y tabletas".
No sé si la has leído, pero si no lo has hecho, te recomiendo que eches un vistazo, porque no tiene desperdicio.
En resumen, y según , "El borrador de anteproyecto de Código Procesal Penal del Ministerio de Justicia _encargado por el departamento que dirige Alberto Ruiz-Gallardón a una comisión de expertos coordinada por su secretario de Estado_ permite a los jueces que autoricen a la policía la instalación de troyanos en los ordenadores de los investigados para obtener la información que contienen o a la que se puede acceder a través de ellos.
El texto prevé el acceso remoto de equipos informáticos _lo que incluye tabletas y teléfonos inteligentes_ para delitos con penas máximas superiores a tres años, para el cibercrimen y para el terrorismo y el crimen organizado siempre que el juez justifique la proporcionalidad de la intervención.
Hasta el momento, solo Alemania ha aprobado una regulación similar, aunque solo para casos de terrorismo, ante la invasión de la intimidad que supone".
Sinceramente, como especialista en seguridad informática, no me sorprende la noticia: es evidente que gobiernos como el de Estados Unidos llevan años espiando, monitorizando, analizando y siguiendo a ciudadanos a través de Internet, sus cuentas de correo y sus perfiles en redes sociales.
Debemos recordar que, al fin y al cabo, Internet se generó como un sistema de comunicación del ejército norteamericano allá por la década de los años 50.
Y en estas teorías de la conspiración siempre se acaba mezclando el romanticismo, la leyenda y alguna traza de verdad.
También es cierto que de vez en cuando, solo de vez en cuando, te enteras de que tal cuerpo de seguridad ha solicitado la eliminación de algún tipo de amenaza del fichero de firmas para que esta no sea detectada, pero eso solo de vez en cuando.
Pero una cosa es que se haga en la sombra, de tapadillo, en aras de la seguridad internacional y que no haya confirmación oficial porque realmente supone un delito contra la intimidad personal de los internautas y la vulneración de sus derechos fundamentales, y otra cosa es que quieran elevarlo a categoría de Ley, y que cualquier juez pueda instruir una intrusión en la vida privada de los ciudadanos "por si acaso".
Según este borrador, un juez puede autorizar "a petición razonada" del ministerio público "la utilización de identificación y códigos, así como la instalación de un software, que permitan, de forma remota y telemática, el examen a distancia y sin conocimiento del titular o usuario del contenido de un ordenador".
Veamos qué es "a petición razonada":
- Delitos perpetrados por un grupo u organización criminal, es decir, los relacionados con el crimen organizado y el terrorismo.
- Delitos que se consumen a través de instrumentos informáticos: estafas por Internet, pornografía infantil, grooming (acoso sexual a menores), cyberbullying (acoso en la Red), etc.
Estamos totalmente de acuerdo con la persecución de todo delito informático, con la detención de sus culpables y con la imposición de las penas que correspondan, pero este anteproyecto lleva inherente, bajo mi punto de vista, un claro desconocimiento de cómo funciona realmente la seguridad informática, es una clara intromisión en la intimidad de los usuarios y, por último, puede suponer que paguen justos por pecadores. Y ahora os explico por qué...
1. CÓMO FUNCIONA LA INDUSTRIA DE LA SEGURIDAD INFORMÁTICA: EL FIN NO SIEMPRE JUSTIFICA LOS MEDIOS
No es un misterio para nadie, pero básicamente (para quien no lo conozca) existen cibercriminales que desarrollan códigos maliciosos (virus, gusanos, troyanos, phishing, etc) para conseguir engañar a los usuarios, infectar sus ordenadores y obtener un claro beneficio económico.
Esta "industria" mueve miles de millones en todo el mundo y es una actividad que lamentablemente crece más cada día.
Los fabricantes de antivirus, como nosotros, corremos constantemente detrás de los malos, desarrollando siempre tecnologías de detección para conseguir que usuarios como nosotros estemos protegidos frente al cibercrimen.
Para ello, nuestros departamentos de I+D+i se esfuerzan en desarrollar tecnologías que nos permitan frenar el efecto de códigos maliciosos incluso antes de que nos lleguen muestras y podamos analizarlo en nuestros laboratorios, con un mínimo impacto de falsos positivos o falsas detecciones.
En ESET, cada día detectamos gracias a estas tecnologías más de 250.000 nuevos ejemplares de todo el mundo.
¿Qué queremos decir con esto?
Básicamente que si los cuerpos de seguridad del Estado ahora se van a dedicar a desarrollar troyanos y a enviarlos a los usuarios, probablemente estos serán detectados por los sistemas antivirus, a no ser que quieran hacer algún tipo de pacto con toda la industria internacional de seguridad para que no se detecten.
Y eso, queridos lectores, supondría un dilema ético que va más allá de toda duda: si un troyano lo hace y distribuye un cibercriminal es un delito, y si lo hace la policía... ¿no lo es?
Bajo nuestro punto de vista, un troyano es un troyano, lo haga quien lo haga y lo distribuya quien lo distribuya: lo importante no es el fin que se quiere conseguir, sino el medio.
Y en este caso el medio, un troyano desarrollado para obtener información confidencial del usuario, es un troyano en España, en Israel y en la Atlántida. Creo que es de las pocas cosas sobre las que existe un consenso internacional.
2. ES UNA CLARA AFRENTA A LOS DERECHOS QUE PROTEGEN LA INTIMIDAD DE LOS USUARIOS Y EL SECRETO DE LAS COMUNICACIONES
 Llevo años escribiendo sobre la protección de la privacidad y la intimidad de los usuarios en Internet, ese oscuro limbo donde parecen residir muchas normativas internacionales que protegen* pero a medias.
Constantemente hablamos de funcionalidades, normativas, regulaciones y agujeros de seguridad que atentan contra este derecho fundamental.
Pero una cosa es que por diferencias en legislaciones internacionales el problema exista (principios recogidos en los códigos legislativos de un país que no son de aplicación en otros) y otra cosa muy diferente es que por "sospechas" se pueda violar y dejar desprotegidos a los usuarios.
El acceso a un ordenador implica no solo ver qué información guardamos cada uno de nosotros en el disco duro, sino también tener acceso a las contraseñas de acceso de redes sociales, chats y otros servicios de Internet.
Y puestos a investigar, no seremos tan inocentes de pensar que se va a quedar en echar un vistazo a ver si tenemos vídeos o fotos pornográficos, ¿verdad?
Pues bien, además de constituir un delito contra la intimidad, también constituye un delito contra el secreto de las comunicaciones.
Pero vamos un paso más allá...
Conozco numerosos hogares en los que un ordenador es utilizado por toda la familia, incluyendo a menores. Por lo tanto, este tipo de acciones suponen una intromisión en la vida privada de todos aquellos que utilizan los ordenadores en una residencia familiar.
Pongamos ahora el caso de que se trata de una empresa... Casi peor, porque significaría que tendrían acceso a secretos empresariales y a otra información también delicada y confidencial.
En fin, lo mires por donde lo mires, acabas en el mismo sitio.
3. PAGARÁN JUSTOS POR PECADORES
No, esto no funciona así, porque entre otras cosas, los “malos” no son tontos, y haciéndolo así se pondrían en el punto de mira de cualquier investigación.
Si yo soy cibercriminal y quiero cometer delitos, me creo una red de ordenadores zombis para cometer el delito, que no es ni más ni menos que infectar primero un ordenador de forma que quede a mis órdenes y remotamente cometer mis fechorías a través de este, quedando mi identidad oculta y prácticamente impune.
El usuario que tiene su ordenador “rehén” ni se entera de que este está llevando a cabo acciones maliciosas, siendo sin embargo cómplice de un delito.
Imaginemos el caso práctico de la distribución de pornografía infantil, por ejemplo, punto contemplado en el anteproyecto: el ordenador desde el que estoy escribiendo este post podría ser parte de una red de bots y estar enviando pornografía a diestro y siniestro.
Si fuera parte de una investigación policial, probablemente acabaría yendo a la cárcel o pagando una multa considerable, sin comerlo ni beberlo.
¿Cómo han pensado estos señores discriminar a los verdaderos cibercriminales de meras víctimas?
4. DE TANTO REPETIRLAS, LAS LEYENDAS SE CONVIERTEN EN REALIDAD
No importa los años que lleves dedicándote a la seguridad informática, siempre te encuentras a alguien que te hace la misma pregunta una y otra vez:
“Pero... ¿los fabricantes de antivirus hacen los virus, no?”.
A lo que siempre respondo, una y otra vez: “No, ya hay unos malos que los hacen.
Nosotros bastante tenemos con detectarlos”. E
históricamente siempre he añadido varios ejemplos:
“Es como decir que los bomberos provocan los incendios para tener trabajo o que los policías cometen los crímenes para poder investigar”.
Pues bien, quizá a partir de ahora voy a tener que cambiar los argumentos, porque a efectos comparativos es prácticamente lo mismo.
En conclusión, no dudamos de que el fin sea legítimo y que esté muy bien perseguir a los ciberdelincuentes.
De hecho, aplaudimos cualquier medida que vaya encaminada a la protección de los ciudadanos, pero no estamos de acuerdo con los medios propuestos.
¿Qué será lo próximo?
Nota: Este es un artículo de opinión de Yolanda Ruíz, directora de marketing de ESET España, difundido por la propia compañía y reproducido de forma literal por Portaltic.
EUROPA PRESS
|
No hay comentarios:
Publicar un comentario