Actualización de Botnets – ¿Dónde diablos está la RB

Poniéndole un alto a los botnets – -navegue con seguridad. 

Actualización de Botnets – ¿Dónde diablos está la RBN?.   

MEJORES PRÁCTICAS.

Poniéndole un alto a los botnets – -navegue con seguridad.  

PANORAMA DE AMENAZAS

Actualización de Botnets – ¿Dónde diablos está la RBN?

Trend Micro reportó a finales del año pasado información sobre la Russian Business Network (RBN), la madre de todos los botnets establecida en Petersburgo, Rusia. La RBN ha estado vinculada durante mucho tiempo con varios crímenes electrónicos, como el envío de spam, ataques distribuidos de negación de servicio (DDoS), phishing, pornografía infantil, robo de identidad y extorsión. El proveedor de hospedaje de código malicioso también ofrece “hospedaje Web a prueba de balas” a otros ciber criminales. Este mes, Trend Micro ofrece una actualización sobre este gran grupo de botnets sofisticadas.

Acto de Desaparición

Después de seguirle la pista a la RBN el año pasado, los investigadores de Trend Micro fueron testigos de un sorprendente desarrollo de tráfico de spam durante la primera semana de noviembre de 2007. La información de la ruta de las direcciones IP de RBN que hospedaban miles de dominios cuestionables vinculados con esquemas fraudulentos desapareció misteriosamente – literalmente de la noche a la mañana. Primero fue increíble que la RBN retirara voluntariamente las direcciones IP en respuesta a la gran publicidad que recibió el año pasado de bloggers y medios de noticias norteamericanos. Las organizaciones de seguridad predijeron que la RBN se había vuelto subterránea en un intento por evitar la detección, pero nadie estaba realmente seguro.

¿Quién Jaló el Enchufe?

La teoría de los investigadores de Trend Micro es que los proveedores de telecomunicaciones más grandes del mundo literalmente le cortaran los pies a la RBN al suspenderle el acceso a Internet. Proveedores como British Telecomm pueden haber actuado agresivamente como parte de una operación para bloquear las botnets internacionales o tal vez el gran tamaño e impacto del botnet Storm motivó que las compañías detuvieran el tráfico de las botnets. Cualquiera que sea la razón, la actividad de la RBN desapareció durante 10 a 15 días.

La Regeneración de la RBN

Mostrando una increíble capacidad de adaptación, la RBN reapareció casi de inmediato. Como una lagartija a la cual le vuelve a crecer la cola, sólo tuvieron que pasar dos semanas para que el spam de la RBN se regenerara – no en San Petersburgo esta vez sino en países como China, Turquía y Taiwán. De acuerdo con Spamhaus, un grupo antispam, el espacio de Internet recientemente comprado en China puede llevar a la RBN, que incrementaría considerablemente su capacidad de hospedaje Web[1]. Hoy, varios meses después, Trend Micro reporta que una vez más se está registrando un alto nivel de spam – con proveedores de servicio Internet más pequeños y la actividad distribuida alrededor del mundo.

De Vuelta al Negocio

Dice el investigador de amenazas de Trend Micro, David Sancho, “Lo que vemos hoy son los mismos chicos malos que contratan ancho de banda en nuevos países o la ausencia de la RBN que creó un vacío que los pequeños jugadores pretenden llenar”. Si bien Trend Micro no está totalmente seguro de que se trata de una nueva actividad de la RBN, la evidencia apoya esta teoría. Sancho explica, “A dos o tres semanas de la supuesta desaparición de la RBN, Iframes (un elemento HTML que permite que los sitios web legítimos que han sido afectados se vinculen con sitios web infectados) que previamente apuntaba a sitios rusos hospedados por RBN estaban apuntando a dominios ubicados en China”.

La RBN puede estar dispersando la actividad de los botnets por varias razones. Como lo explica David Sancho, “La RBN podría estar diversificando las operaciones para ocultarse más fácilmente. Los mismos criminales probablemente estén sentados en las mismas computadoras en Rusia; sin embargo, ahora están comprando servicios de hospedaje en China”. Si bien los expertos en seguridad no coinciden en aspectos de la reciente estrategia de la RBN, pocos creen que el grupo haya cerrado sus puertas. David Sancho dice, “La RBN puede haber cambiado de lugar o haber diversificado su infraestructura back-end pero aún darán mucho de qué hablar. Simplemente hay demasiado dinero que ganar en el ciber crimen”.

1. Brian Krebs, Washington Post, "Russian Business Network: Abajo pero no Fuera" http://blog.washingtonpost.com/securityfix/2007/11/russian_business_network_down.html Noviembre 7, 2007.

Regresar al principio

MEJORES PRÁCTICAS

Poniéndole un alto a los Botnets – navegue con seguridad

Las PCs que han sido convertido en parte de una botnet sin saberlo se conocen comúnmente como “bots”. Esta colección organizada de computadoras zombi le permiten a los criminales cometer fraudes a gran escala y distribuir pornografía, spam, y otro tipo de contenido malicioso. Si bien la mayoría de los usuarios no saben que forman parte de una botnet, Trend Micro les da varios consejos para reducir el riesgo.

Aplicaciones al Rescate

Las aplicaciones Internet de hoy, como los clientes de correo electrónico o navegadores Web, están configuradas con características de seguridad especiales para evitar que los usuarios descarguen código malicioso sin darse cuenta. Por ejemplo, Microsoft Internet Explorer 7.0 incluye un bloqueador de ventanas emergentes, un filtro de phishing y varios niveles de seguridad en Internet. También el software se niega a descargar automáticamente imágenes dentro de correos HTML a menos que lo acepte el usuario. Algunos clientes de correo electrónico evitan que los usuarios den clic en los enlaces incluidos en los mensajes. Esta característica no ocurre de forma predeterminada, por lo que debe ser habilitada.

Siempre Actualizados

Trend Micro sugiere a los usuarios de computadoras instalar consistentemente actualizaciones de seguridad para sistemas operativos y aplicaciones. Por ejemplo, descargar la versión más reciente (7.0) de Internet Explorer ofrece un entorno de navegación más seguro que las versiones anteriores con mejoras importantes en seguridad que ayudan a evitar las intrusiones de software malicioso. También ofrece protección continua contra sitios fraudulentos y una notificación mejorada cuando los usuarios visitan un sitio considerado “seguro”. Usando Microsoft Update en lugar del servicio Windows Update (que sólo actualiza el sistema operativo) asegura que todos los programas de escritorio Windows registrados permanezcan actualizados.

Para los usuarios que se sienten cómodos con Mozilla Firefox, un add-on llamado “NoScript” protege el navegador al permitir que JavaScript, Java y otro contenido corra sólo desde dominios confiables al tiempo de proteger contra ataques de cross-site scripting (XSS). Esto ayuda a evitar la explotación de vulnerabilidades de seguridad sin sacrificar la navegación.

Pulse con Cuidado

El mejor consejo para proteger contra los botnets es evitar dar clic en correos de fuentes desconocidas. Muchos usuarios están acostumbrados a los peligros que acechan detrás de los archivos adjuntos pero no se dan cuenta de que el spam de los botnets a menudo integra enlaces dentro de los correos que iniciarían el código malicioso cuando se dé clic sobre ellos. En la mayoría de los casos, el usuario es llevado a una página Web donde reside el código malicioso. El navegador entonces trata de descargar un archivo ejecutable. En este punto, los usuarios pueden evitar el peligro rehusándose a permitir que se ejecute el archivo. Una vez que corre el ejecutable, el código malicioso entra automáticamente al sistema y convierte la computadora en un robot para el envío de spam. Las primeras versiones del bot Storm también infectó a los usuarios al explotar las vulnerabilidades del navegador. Esto significa que visitar la página infecciosa con un navegador viejo sería suficiente para infectarse.

Confíe en los Profesionales

Las computadoras que son víctimas de los botnets a menudo carecen de firewalls efectivos y otras medidas de seguridad. Para reducir el riesgo de ser parte de una botnet, Trend Micro recomienda a los usuarios instalar software de protección contra amenazas que detenga el spam y los Troyanos (programas destructivos que parecen benignos) que infectan a las PCs y las convierten en robots. Estas amenazas se interceptan mejor “en la nube” antes de que afecten a los sistemas.

La seguridad crítica en la nube incluye servicios de reputación Web, que monitorea sitios Web que utilizan más que software de filtrado de URLs. Al ayudar a proteger contra las amenazas Web antes de que siguiera toquen la red, la reputación Web asigna una nivel de reputación relativa a los dominios, de acuerdo con el número de factores que pudieran indicar un comportamiento sospechoso. Hace esta valoración a través del análisis de comportamiento del código malicioso, y también realiza el análisis de contenido del sitio Web y escaneo para complementar este análisis con una lista de bloques de sitios malos o infectados conocidos.

Además, mover las bases de datos de conocimiento de código malicioso en Internet mantiene un repositorio centralizado de la información de amenazas más actualizada, garantizando que los clientes estén protegidos contra nuevo código malicioso tan pronto como se descubre.

La tecnología efectiva de reputación de correo electrónico puede detener hasta 80 por ciento de las amenazas antes de que lleguen a la red, de acuerdo con la reputación del emisor. Al validar las direcciones IP con una base de reputación y un servicio dinámico que monitorea los patrones de tráfico de Internet y el comportamiento del envío de correo electrónico IP en tiempo real puede detener a los zombis, los botnets y otras nuevas fuentes de spam.