Weblog de JaCkSecurity

A continuación algunas de las citas más importantes de la transcripción de lo dicho por el Ministro de Defensa de Estonia, Jaak Aaviksoo, en Washington (28 Nov. 2007), referente a los ataques DDoS sufridos en su nación en el mes de mayo:

Acerca de la responsabilidad del uso de ciertas armas
It is a complicated question to what extent individual people or computer owners can be held responsible for those attacks. Will I just bring you a small mental exercise. In a war, in a regular war, guns are used as weapons to fight. In cyber attacks, computers are the weapons. We have made rules and regulations so anybody who owns a gun has to keep it from being used against third parties, either by leaving it at home on the table accessible to your children and them using it against their friends or classmates, then it’s clear that we can be held responsible.

Acerca de la velocidad de respuesta
…close cooperation. Even more so, we’re taking into account the very nature of those attacks; they are speed; events happen in milliseconds or even in shorter time periods. They develop over minutes or hours. And so, fast reaction is essential.

[Nota si los zombis en su red están generando una situación de crisis, recurra inmediatamente a nuestro servicio de emergencias y ayuda forense JaCknoHaCk.]

A consecuencia de las noticias reportadas en el boletín #35 del JaCkNews, creimos conveniente enumerar algunos de los problemas mínimos que puede generar una red zombi:

Explicación detallada:

1. Metástasis
Al igual que ciertas enfermedades humanas hacen metástatis, es decir se generalizan en todo el cuerpo, los infecciones zombis también lo hacen. Esto es porque en la mayoría de casos, en el código de amplificación viral basado en gusano existe la orden de explorar en primera instancia la red interna, a fin de penetrar cada máquina disponible. Si la alguna máquina en dicha red es penetrada y está en modo dual-home, la posibilidad de metástasis se duplica, lo que permite al zombi extenderse a otros perímetros internos (redes backend).

2. Escaneos
Luego de la infección interna, la zombi recibe órdenes integradas o nuevas para explorar existan aplicaciones vulnerables.
A causa de ello es altamente probable, que usted reciba una denuncia (vía teléfono o vía correo) de que está realizando ataques o intentos de intrusiones.
Los último, se hace más delicado aún, si la red a la que están escaneando sus zombis es la red de su competencia o algún enemigo militar.

3. Pasarela criminal
Casi en paralelo a lo anterior, su computador -ahora convertido en un zombi- se conectará a su comando central, a fin de recibir órdenes de su nuevo amo (esto en el sin que usted pierda control convencional de su PC). Desde allí, el criminal ordenará diversas operaciones delincuenciales a través de su computador. La posibilidad de ser incriminado por ello es alta, ya que finalmente es usted el dueño de dicho equipo (no importa si es una zombi).

4. Robo de documentos internos
En ocasiones, el criminal podrá tener interés en documentos de su corporación, para lo cual no tiene obstáculo alguno.

5. Violación a la privacidad
La violación de privacidad del usuario que opera la PC, es arruinada casi en la mayoría de casos. Esto se debe a que los zombis son programadas para extraer cada tarjeta de crédito o de débito que el usuario de la PC digite sobre ella.

6. Envío de SPAM
Esto último, no por estar al final significa que es menos frecuente, todo lo contrario. El envío de spam es lo más típico en una PC zombi.
Los criminales subarriendan su PC para el envío de correos no deseados (SPAM). Quizás, porque la industria comercial publicitaria sigue siendo una de las más rentables.
De esta manera, sus PCs se vuelven en motores de correo no deseado, con todo lo que eso significa: problemas con la leyes peruanas (o de otro país), y problemas con la blacklists.

Síntomas
Hasta aquí es muy probable que usted se pregunte cuáles son los síntomas de una PC zombi. En general, estos son variados, y casi siempre “imperceptibles”. Sin embargo, algunos pueden reflejarse -y no se limita- en los siguientes síntomas:
1. No percibe nada en su PC(s).
2. Percibe tráfico irregular al interior de la red, incluso, saturación y caida de equipos de internetworking (routers y switches) internos, si la red es proporcionalmente grande: red /8 , /16, o similar.
3. Mediante red, se observa tráfico de salida hacia los siguientes puertos TCP/UDP: SMTP, SSH, 5900, 1433, 2967, 2968, 45001, de Microsoft, y otras exentricidades más.
4. Observa consultas DNS salientes por un mismo dominio, en una frecuencia irregular.
5. Conexiones HTTP irregulares, que usted no generó manualmente o vía algún software conocido.
6. Recibe una notificación o llamada de su proveedor o uplink más cercano, o de algún centro de investigación de seguridad, o quizás de entidades financieras.

Muestras
Si no sigue las prácticas citadas en el post “least-privilege“, es altamente probable que su red tenga zombis, vea más en “tráfico autómata“.

Solución zombi
Debido a que una zombi tiene demasiadas aristas, restaurar una PC del estado de zombi no es una tarea que cualquiera pueda realizarlo. Usted puede contar con JaCkSecurity para esa labor (el tiempo de solución depende del nivel de daño y la experticia de su personal: JaCknoHaCk).