Zeus, o cómo desarrollar un troyano indetectable para la mayoría de antivirus
Que confiar toda la seguridad de nuestros equipos a un antivirus es absolutamente inútil es algo que todos sabemos (o deberíamos saber). Que los estudios sobre virus y antivirus propician que cada cual cuente la feria según le ha ido tampoco es una novedad.
Que los antivirus, por desgracia, son cada día menos efectivos, es algo que se viene comprobando desde hace bastante tiempo, y buena culpa de ello la tiene la especialización de la industria del malware.
Considerando todo lo anterior, os enlazo un interesante documento que bien podría poner en jaque a la industria antivirus. Se llama Measuring the in-the-wild effectiveness of Antivirus against Zeus, y como su propio nombre indica, es un estudio en el que se trata de analizar la efectividad de los antivirus a la hora de proteger a los usuarios de Zeus.
La familia Zeus, también conocida como Zbot, WSNPOEM, NTOS y PRG, es una familia de troyanos financieros de alta especialización orientados al robo de credenciales. Como buen pack de crimeware, Zeus viene acompañado de un panel de control PHP y un ejecutable para construir el troyano a medida. Entre las poco honrosas habilidades de Zeus se encuentran la capacidad de interceptación de credenciales en cualquier puerto TCP, incluyendo HTTP y HTTPS, la posiiblidad de ser personalizado en el momento de la compilación, comunicación aunque la máquina infectada esté tras NAT mediante un proxy Socks 4/4a/5, o la generación de capturas de pantalla del escritorio de la máquina infectada, por citar algunos ejemplos.
Zeus incorpora una lista de direcciones que, una vez visitadas por la víctima, disparan el proceso de apropiación ilegítima de las credenciales, enviándolas en tiempo real al servidor de destino. También tiene capacidad para inyectar código HTML, superponiendo falsos formularios de autenticación a los legítimos. Zeus también es el nombre de una red de ordenadores infectados (botnet) que sólo en Estados Unidos cuenta con más de 3,5 millones de máquinas infectadas por esta virulenta familia de troyanos.
Pero lo peor de Zeus es que utiliza algunas técnicas rootkit para evadir la detección de los antivirus, y quizás ese sea el factor que hace que sea extremadamente difícil su tratamiento. En el estudio de Trusteer las cifras hablan por sí mismas: después de analizar 10,000 máquinas infectadas, la principal conclusión es que Zeus acaba infectando el 77% de las máquinas con antivirus actualizados, lo que reduce la tasa neta de efectividad a un 23%. Para más inri, la mayoría de las infecciones detectadas (un 55%) correspondía a equipos con antivirus actualizados.
Que sólo un 23% de los despliegues antivirus consiga frenar un troyano y sus variantes es una cifra que debe hacernos pensar y mucho. Yo, si os sirve de algo, os aliento a que dejéis de pensar en que el antivirus que tenéis instalado es el Santo Grial de la protección, y que empecéis a considerar seriamente realizar una navegación responsable, huyendo del software pirata que hay en las redes de pares, los cracks, los keygens y los ficheros ZIP y/o RAR de la mula con las últimas canciones del Bisbal y compañía.
Sí, ya sabemos que según la legislación y jurisprudencia española descargar música sin ánimo de lucro no es un delito, pero la cantidad de descargas que además de la canción del verano incluyen regalito sorpresa es bastante más elevada de la que podáis pensar. Os recomiendo también que evitéis la tentación de ver cuerpos femeninos/masculinos en poses provocativas en páginas de dudoso origen y contenidos, ya que también son fuente habitual de contaminación. Sé que a alguno le costará trabajo, pero le va en ello su salud financiera :)
Enlaces:
http://www.sahw.com/wp/archivos/2009...-de-antivirus/
http://blog.s21sec.com/2009/09/detectando-un-zeus.html
