La historia del malware, desde las bromas hasta el sabotaje nuclear

Desde los albores de la informática moderna, el software ha sido tan capaz como los programadores que lo crearon. Sus intenciones se convirtieron en sus capacidades, y eso nos ha traído un mundo de aplicaciones maravillosas y poderosas en una amplia variedad de plataformas y medios. En el camino, también conduce a la creación de software increíblemente malicioso y, en algunos casos, francamente peligroso. Por supuesto, estamos hablando de malware.

Todos nos hemos topado con malware en algún momento. Es posible que te hayan enviado spam durante el apogeo del adware y las ventanas emergentes, que te hayas enfrentado a un desagradable troyano. que intentó robar su identidad, o incluso se enfrentó a un chantaje que paralizó el sistema Secuestro de datos. Hoy en día, millones y millones de programas únicos están diseñados para apuntar a su sistema, sus archivos y su billetera. Si bien todos tienen huellas y trayectorias diferentes, todos tienen sus raíces en comienzos humildes.

Para comprender el malware, hay que volver a la sopa digital primordial que algún día evolucionaría hasta convertirse en los millones de programas nefastos a los que nos enfrentamos hoy. Esta es la historia del malware y de las técnicas utilizadas durante décadas para combatirlo.

Un nacimiento inocente

El mundo moderno enfrenta piratería criminal y de estados nacionales que podría amenazar el modo de vida de todos. Sin embargo, los primeros días del malware estuvieron libres de malicia. En aquel entonces, la intención era ver qué era realmente posible con la informática, no dañar, robar o manipular.

La idea de un virus, o una cadena de código autorreplicante, fue acuñada por primera vez por un visionario de la informática. John Von Neumman. En 1949, postuló el potencial de un “autómata autorreproductor” que sería capaz de transmitir su programación a una nueva versión de sí mismo.

'Soy el Creeper:
Atrápame si puedes.'

El primer caso conocido de un virus informático fue el gusano Creeper, desarrollado por Robert H. Tomás en 1971. La primera versión de Creeper no pudo clonarse a sí misma, pero pudo pasar de un sistema a otro. Luego mostraría el mensaje: "Soy el Creeper: atrápame si puedes".

Si bien parece probable que el primer código autorreplicante y su creador se hayan perdido, la primera instancia registrada de dicho software es el Gusano Creeper, desarrollado por Robert H. Tomás en 1971 en BBN Tecnologías. Creeper se ejecutaba en el sistema operativo TENEX y era impresionantemente sofisticado para su época. A diferencia de muchos de sus sucesores, que requerirían medios físicos para distribuir sus cargas útiles, Creeper pudo moverse entre el PDP-10 de DEC y computadoras mainframe en la versión más temprana de ARPANET, una red progenitora de Internet que el mundo adoptaría más tarde. años. La primera versión de Creeper no pudo clonarse a sí misma, pero pudo pasar de un sistema a otro. Luego mostraría el mensaje "Soy el Creeper: atrápame si puedes".

Posteriormente, un colega de Thomas en BBN Technologies creó una nueva versión de Creeper. Ray Thomlinson – mejor conocido como el inventor del correo electrónico. Se duplicó, lo que llevó a una comprensión temprana del problema que podrían causar tales virus o gusanos. ¿Cómo los controlas una vez que los despides? Al final, Thomlinson creó otro programa llamado Reaper, que se movía por la red y eliminaba cualquier copia de Creeper que encontraba. Thomlinson no lo sabía, pero había creado la primera pieza de software antivirus, iniciando una carrera armamentista entre piratas informáticos y profesionales de la seguridad que continúa hasta el día de hoy.

Creeper, aunque burlón en su mensaje, no fue diseñado para causar problemas al sistema. De hecho, como el propio Thomlinson explicó al historiador de la informática, Georgei Dalakob, “La aplicación creeper no aprovechaba una deficiencia del sistema operativo. El esfuerzo de investigación tenía como objetivo desarrollar mecanismos para llevar aplicaciones a otras máquinas con la intención de mover la aplicación a la computadora más eficiente para su tarea”.

Picos y valles

En los años que siguieron a la proliferación y posterior eliminación del virus Creeper de aquellos antiguos sistemas mainframe, aparecieron algunos otros programas maliciosos que replicaron la idea. El virus Rabbit autorreplicante fue creado por un desconocido, pero supuestamente, muy despedido – programador en 1974, y poco después le siguió el virus animales, que tomó la forma de un juego de preguntas.

La creación de malware pasó entonces por una de sus periódicas sequías de desarrollo. Pero todo eso cambió en 1982, cuando apareció Elk Cloner y comenzó a surgir una nueva ola de virus.

"Con la invención de la PC, la gente empezó a escribir virus del sector de arranque que se propagaban en disquetes". Alarmas de zona Skyler King dijo a Digital Trends. "Las personas que pirateaban juegos o los compartían en disquetes [estaban siendo infectadas]".

Elk Cloner fue el primero en utilizar ese vector de ataque, aunque era completamente benigno y no se creía que se hubiera extendido mucho. Su manto fue recogido cuatro años más tarde por el virus Brain. Ese software era técnicamente una medida antipiratería. creado por dos hermanos paquistaníes, aunque tuvo el efecto de inutilizar algunos discos infectados debido a errores de tiempo de espera.

"Esos fueron los primeros virus tal como los consideraríamos", dijo King. "Y estaban propagando de modo que si se colocaba en un disquete, podían copiarlo y difundirlo de esa manera". El cambio en el vector de ataque. fue digno de mención, porque apuntar a un sistema desde un ángulo diferente se convertiría en el sello distintivo del nuevo malware en los años siguientes. seguido.

“Las cosas cambiaron hacia el lado de Unix con el uso generalizado de Internet y las universidades, como el gusano morris en noviembre de 1988”, continuó King. “Eso fue interesante, porque el gusano Morris fue [escrito por] el hijo del jefe de la NSA […] Encontró una falla en dos protocolos que se usaban en Unix. La falla en SMTP, el protocolo de correo que permitía enviar correos electrónicos, [se usó para] propagarlo, y en un día acabó con Internet tal como existía en 1988”.

Se decía que el gusano Morris estaba diseñado originalmente para mapear Internet, pero bombardeaba las computadoras con tráfico y múltiples infecciones podían ralentizarlas. En última instancia, se le atribuye la destrucción de alrededor de 6.000 sistemas. Robert Morris, el creador del gusano, se convirtió en la primera persona juzgada en virtud de la Ley de Abuso y Fraude Informático de 1986. Fue sentenciado a tres años de libertad condicional y una multa de 10.050 dólares. Hoy, Morris es un investigador activo de arquitecturas de redes informáticas. y profesor titular en el MIT.

El gusano Morris se convirtió en la prueba de concepto para una variedad de otros programas maliciosos de ese mismo período, todos los cuales apuntaban a sectores de arranque. Comenzó la siguiente ola en el desarrollo de virus. Muchas variantes de esa idea se recopilaron bajo la etiqueta "Stoned", con entradas notables como Whale, Tequila y el infame miguel angel, que anualmente generaba pánico en las organizaciones con sistemas infectados.

Los últimos días del verano.

Durante las primeras décadas de su existencia, incluso los virus prolíficos y dañinos tenían un diseño relativamente benigno. "Eran simplemente personas que se divertían tratando de conseguir credibilidad callejera en la escena underground para mostrar lo que podían hacer", dijo King a Digital Trends.

Sin embargo, los métodos defensivos todavía estaban muy por detrás de los creadores de virus. Incluso un malware simple como el gusano ILoveYou, que apareció en el año 2000, podría causar daños sin precedentes a los sistemas de todo el mundo.

Malwarebytes‘ El vicepresidente de tecnología, Pedro Bustamante, lo recuerda bien. "Era un script visual básico que era un envío masivo que adjuntaba automáticamente un script, y las [empresas antivirus] no estaban preparadas para hacer mucha detección basada en scripts en aquel entonces", dijo.

Al programador filipino Onel de Guzmán se le suele atribuir la creación del gusano, aunque ha siempre negó haber desarrollado su vector de ataque y sugiere que pudo haber liberado el gusano accidente. Algunos rumores sugieren El verdadero culpable de su creación fue un amigo suyo, Michael Buen, quien engañó a Guzmán para que lo estrenara debido a una rivalidad amorosa. El gusano ILoveYou causó daños por más de 15 mil millones de dólares en todo el mundo.

“Estuvimos encerrados en los laboratorios Panda durante unos tres días”, continuó Bustamante. “La gente no dormía. Ese fue el epicentro de ese movimiento de guiones infantiles en el que cualquiera podía crear un guión y enviarlo por correo masivo y tendría una enorme propagación. Gran número de contagios. Por lo general, eso sólo era posible con un gusano de red avanzado en el pasado”.

King de Zone Alarm enfrentó noches de insomnio similares con otro malware que se propagaba por todo el mundo. creciente Internet durante ese tiempo, citando a empresas como Code Red y SQL Slammer como particularmente problemático.

Mientras que los gusanos y los virus tenían a los expertos en seguridad tirándose de los pelos y los ejecutivos de las empresas asustados por los millones Por miles de millones de dólares en daños que estaban causando, nadie sabía que las guerras de malware apenas estaban comenzando. Estaban a punto de tomar un giro oscuro y peligroso.

ya no es un juego

A medida que creció el uso de Internet, las redes de publicidad comenzaron a ganar dinero en línea y las puntocom ganaron dinero de los inversores. Internet pasó de ser una pequeña comunidad conocida por pocos a una vía de comunicación generalizada y generalizada, y una forma legítima de ganar millones de dólares. El motivo del malware siguió, pasando de la curiosidad a la codicia.

^{El mapa en tiempo real de Kaspersky Cyberthreat muestra los ciberataques que se están produciendo en este momento en todo el mundo.}

“Cuando más personas comenzaron a utilizar Internet y la gente miraba anuncios en línea y las empresas estaban fuera Cuando se ganaba dinero con los clics en anuncios, fue entonces cuando empezó a ver el aumento del adware y el spyware”, King continuado. “Comenzaste a ver virus que se ejecutaban en computadoras individuales y enviaban spam para intentar comprar productos o adware. que usaba fraude de clics que mostraba anuncios de cosas para simular que usted hacía clic en el enlace, para que hicieran dinero."

El crimen organizado pronto se dio cuenta de que los programadores inteligentes podían hacer que las empresas clandestinas establecidas ganaran mucho dinero. Con eso, la escena del malware se volvió varios tonos más oscura. Los kits de malware preempaquetados creados por organizaciones criminales comenzaron a aparecer en línea. Los famosos como MPack se utilizaron en última instancia para infectar todo, desde sistemas domésticos individuales hasta mainframes bancarios. Su nivel de sofisticación y su vínculo con delincuentes del mundo real aumentan los riesgos para los investigadores de seguridad.

"Descubrimos Paquete MP en Panda Security, e hicimos una investigación y un gran artículo que salió en todas las noticias”, explicó Bustamante de Malwarebytes. “Fue entonces cuando empezamos a ver algunas de las bandas que estaban detrás de algunos de estos ataques y malware más modernos. Fue aterrador. La mayoría de los investigadores de Panda dijeron que no querían que su nombre apareciera en el informe”.

Pero el informe se publicó y destacó cuán profundamente se habían vuelto el malware y las bandas criminales organizadas.

“Eran muchas pandillas rusas. Teníamos fotografías de sus reuniones. Era como una empresa”, dijo Bustamante. “Tenían gente haciendo marketing, ejecutivos, reuniones de empresas, concursos para programadores que escribieran el mejor malware, seguimiento de afiliados, tenían de todo. Fue increíble. Estaban ganando más dinero que nosotros”.

Ese dinero se compartió con programadores talentosos, asegurando que las organizaciones atrajeran al mejor talento posible. "Empezamos a ver fotografías de tipos con aspecto de mafiosos de Europa del Este regalando coches lujosos a los programadores y maletas llenas de dinero", dijo.

Vulnerabilidades explotadas

La búsqueda de ganancias conduce a malware más sofisticado y nuevos vectores de ataque. El malware Zeus, que apareció en 2006, utilizó ingeniería social básica para engañar a las personas para que hicieran clic en enlaces de correo electrónico. en última instancia, permitir que el creador robe la información de inicio de sesión, los detalles financieros, los códigos PIN y la información de las víctimas. más. Incluso facilitó los ataques llamados "hombre en el navegador", en los que el malware puede solicitar información de seguridad en el momento de iniciar sesión, recopilando aún más información de las víctimas.

Quienes creaban malware también aprendieron que no tenían que utilizar el software ellos mismos y que podían simplemente vendérselo a otros. El kit MPack que Bustamante encontró en Panda Security a mediados de los años 2000 fue un ejemplo perfecto. Se actualizó mes a mes desde su creación inicial y se revendió periódicamente. Incluso el presunto autor de Zeus, Evgeniy Mikhailovich Bogachev, nacido en Rusia, comenzó a vender su malware antes de traspasar el control de la plataforma de malware Zeus a otro programador. Todavía está prófugo hoy. El FBI ofrece recompensa por la información que conduzca al arresto de Bogachev. ofreciendo hasta 3 millones de dólares a cualquiera que pueda ayudar a atraparlo.

Vender malware preempaquetado como lo hizo Bogachev marcó otro cambio en la creación de malware. Ahora que el malware podía utilizarse para ganar dinero y los creadores de virus podían ganar dinero vendiéndolo como herramienta, se volvió más profesional. El malware se diseñó en un producto, comúnmente denominado kit de explotación.

"Realmente se vendió como un negocio", dijo King de Zone Alarm a Digital Trends. "Ellos [ofrecieron] soporte, actualizaciones de software para los últimos exploits, fue bastante sorprendente".

En 2007, cada año se creaba más malware del que había existido en toda la historia del malware, y los ataques masivos a un número cada vez mayor de computadoras impulsaron los negocios. Esto impulsó el surgimiento de redes de bots a gran escala que se ofrecían en alquiler a quienes deseaban realizar ataques de denegación de servicio. Pero sólo se podía engañar a los usuarios finales para que hicieran clic en los enlaces durante un tiempo determinado. A medida que adquirieron más conocimientos, los kits de exploits y sus autores tuvieron que evolucionar nuevamente.

"[Los creadores de malware] tuvieron que encontrar una manera de instalar la amenaza automáticamente", dijo a Digital Trends el director ejecutivo de MalwareBytes, Marcin Kleczynski. "Ahí es donde las técnicas de explotación, la ingeniería social y las macros en Powerpoint y Excel comenzaron a volverse mucho más [sofisticadas]".

Afortunadamente para los autores de malware, los sitios web y el software fuera de línea comenzaron a adoptar los principios de la Web 2.0. La interacción del usuario y la creación de contenido complejo se estaban volviendo mucho más frecuentes. Para adaptarse, los creadores de malware comenzaron a apuntar explorador de Internet, aplicaciones de Office y Adobe Reader, entre muchos otros.

"Cuanto más complejo se vuelve el software, más puede hacer, más ingenieros trabajan en él [...] más propenso a errores es el software y más vulnerabilidades encontrará con el tiempo", dijo Kleczynski. "A medida que el software se vuelve más complejo y surgió la Web 2.0, y Windows siguió evolucionando, se volvió más complejo y más vulnerable al mundo exterior".

En 2010, parecía que el malware sin fines de lucro prácticamente había desaparecido, siendo el lucro la motivación casi exclusiva para crearlo. Resultó que eso estaba mal. El mundo aprendió abruptamente que el crimen organizado no era nada comparado con el malware más peligroso, elaborado en secreto por las naciones.

Guerra digital

El primer ejemplo de una nación que muestra su poder militar en línea fue el Ataque Aurora a Google. El gigante de las búsquedas, que durante mucho tiempo fue una de las entidades digitales más destacadas del mundo, se vio sometido a un ataque sostenido a finales de 2009 por parte de piratas informáticos vinculados al Ejército de Liberación de China. Cuando el resto del mundo se enteró de ello en enero de 2010, marcó un punto de inflexión en lo que los expertos se dieron cuenta de que el malware y sus autores eran capaces de hacer.

El ataque tuvo como objetivo a decenas de Empresas tecnológicas de alto nivel como Adobe., Rackspace y Symantec, y se pensó que era un intento de modificar el código fuente de varios paquetes de software. Informes posteriores sugirieron que se trataba de un Operación de contrainteligencia china para descubrir objetivos de escuchas telefónicas estadounidenses. Sin embargo, a pesar de lo ambicioso e impresionante que fue ese ataque, fue superado apenas unos meses después.

“El gato realmente salió de la bolsa con Stuxnet,”, dijo Bustamante a Digital Trends. “Antes de eso […] se podía ver en ciertos ataques y en cosas como Pakistán, India, Internet siendo talado bajo el mar, [pero] Stuxnet es donde la mierda golpeó al ventilador, y todos empezaron a enloquecer afuera."

Stuxnet fue construido para sabotear el programa nuclear de Irán y funcionó. Incluso ahora, ocho años después de su aparición, los profesionales de la seguridad hablan de Stuxnet con tono de asombro. “Al encadenar varias vulnerabilidades de día cero, se logró un ataque realmente avanzado a instalaciones nucleares específicas. Es asombroso”, dijo Bustamante. "Es el tipo de cosas que sólo verías en una novela".

Kleczynski quedó igualmente impresionado. “[…] si nos fijamos en los exploits que se utilizan para una capacidad ofensiva de ciberseguridad, fue bastante bueno. ¿La [forma en que se desarrolló tras las] computadoras lógicas programables de Siemens? Fue bellamente diseñado para destruir las centrífugas”.

Aunque nadie se atribuyó la responsabilidad de Stuxnet en los años siguientes, la mayoría de los investigadores de seguridad creen que fue el trabajo de un grupo de trabajo combinado de Estados Unidos e Israel. Eso sólo parecía más probable cuando otras revelaciones, como Hackeo del firmware del disco duro de la NSA, mostró el verdadero potencial de los piratas informáticos de los estados nacionales.

El estilo de ataque Stuxnet pronto se convertiría en algo común. Los kits de exploits continuaron siendo un importante vector de ataque en los años siguientes, pero como nos dijo Bustamante en nuestro entrevista, las vulnerabilidades de día cero encadenadas ahora son algo que Malwarebytes y sus contemporáneos ven cada día.

Eso no es todo lo que ven. Hay un nuevo fenómeno cuyos orígenes se remontan casi al comienzo de nuestra historia. Últimamente ha causado innumerables problemas y es posible que los siga causando en el futuro.

Tu dinero o tus archivos

El primer ataque de ransomware ocurrió técnicamente en 1989, con el troyano del SIDA. Enviado a los investigadores del SIDA en un disquete infectado, el malware esperaría a que se iniciara el sistema. 90 veces antes de cifrar archivos y exigir un pago de 189 dólares en efectivo, enviados a una dirección de apartado postal en Panamá.

Aunque ese malware se llamaba troyano en ese momento, la idea de ofuscar archivos por la fuerza, negando a un usuario acceso a su propio sistema y exigir alguna forma de pago para devolverlo a la normalidad, se convirtieron en los componentes clave de Secuestro de datos. Comenzó a resurgir nuevamente a mediados de la década de 2000, pero fue el crecimiento de la criptomoneda anónima Bitcoin eso hizo que el ransomware fuera algo común.

"Si infectas a alguien con ransomware y le pides que deposite en una cuenta bancaria, esa cuenta se cerrará bastante rápido", explicó King de Zone Alarm. “Pero si le pides a alguien que deposite bitcoins en una billetera, los consumidores pagan. Realmente no hay manera de detenerlo”.

Teniendo en cuenta lo difícil que es regular bitcoin en funciones cotidianas con usos legítimos, tiene sentido que evitar que los delincuentes lo aprovechen lo sea aún más. Sobre todo porque la gente paga los rescates. Al igual que con los kits de exploits y la estructura corporativa que los respalda, los desarrolladores de ransomware hacen que sea lo más fácil posible para las víctimas comprar criptomonedas y enviárselas.

Pero en la segunda mitad de la adolescencia del siglo XXI^calle siglo, hemos comenzado a ver una mayor evolución de estas tácticas, ya que una vez más quienes escriben el software malicioso han seguido el dinero.

"Lo que me sorprendió del ransomware es la rapidez con la que pasó de usted y de mí a nuestras empresas", dijo Kleczynski. “Hace uno o dos años éramos nosotros los que nos infectábamos, no Malwarebytes, ni SAP, Oracle, etc. Han visto claramente el dinero y las empresas están dispuestas a pagarlo”.

¿Que sigue?

Para la mayoría de los expertos con los que hablamos, El ransomware sigue siendo la gran amenaza. les preocupa. King, de Zone Alarm, estaba dispuesto a hablar sobre las nuevas protecciones anti-ransomware de su empresa y cómo las empresas debían ser conscientes de lo peligrosa que era la táctica.

Kleczynski lo ve como un modelo enormemente rentable para los creadores de malware, especialmente si se tiene en cuenta el aumento de los dispositivos infectados de Internet de las cosas, que han constituido algunos de los Las botnets más grandes que el mundo haya visto jamás..

^{Timelapse de un ataque DDoS que tuvo lugar en 2015 el día de Navidad.}

Utilizando el sitio web de British Airways como ejemplo, formuló la pregunta retórica de cuánto valdría para esa compañía mantener su sistema de emisión de billetes en línea si se viera amenazada. ¿Estaría una empresa así dispuesta a pagarle a un extorsionador 50.000 dólares si su sitio web dejara de funcionar aunque fuera por unas pocas horas? ¿Pagaría 10.000 dólares ante la mera amenaza de tal acción?

Con el potencial de perder millones en ventas, o incluso miles de millones en valor de mercado si los precios de las acciones reaccionaran ante tal ataque, no es difícil imaginar un mundo en el que eso ocurra con regularidad. Para Kleczynski, esto es simplemente que el viejo mundo finalmente se está poniendo al día con el nuevo. Son las tácticas del crimen organizado de antaño que se aplican al mundo moderno.

“Esto solía ser simplemente extorsión. '¿Le gustaría adquirir algún seguro contra incendios? Sería una pena que algo le pasara a su edificio'”, dijo. “Hoy la pregunta es: '¿Le gustaría adquirir algún seguro contra ransomware?' Sería una pena que su sitio web dejara de funcionar durante 24 horas'”.

Esa participación criminal todavía asusta a Bustamante de MalwareBytes, quien nos dice que la compañía regularmente ve amenazas a sus desarrolladores ocultas en códigos de malware.

Sin embargo, a pesar de lo preocupados que están él y la compañía por su propia seguridad personal, ve la próxima ola como algo más que un simple ransomware. Lo ve como un asalto a nuestra capacidad de percibir el mundo que nos rodea.

"Si me preguntas cuál será la próxima ola, son noticias falsas", dijo. “La publicidad maliciosa ha avanzado […] ahora es clickbait y noticias falsas. Difundir este tipo de noticias es el nombre del juego y será la gran próxima ola”. considerando como Los estados nacionales involucrados parecen haber sido En esa práctica en los últimos años, es difícil imaginar que esté equivocado.

Por muy amenazantes que sean los ataques de malware del crimen organizado, los vigilantes patrocinados por el gobierno y los piratas informáticos militarizados, los más La tranquilidad que puede tener en un momento de incertidumbre como este es que el eslabón más débil de la cadena de seguridad es casi siempre el final. usuario. Ese eres tú..

Da miedo, pero también empodera. Significa que, aunque las personas que crean el malware, los vectores de ataque y la razón misma para crearlo Los virus y troyanos en primer lugar pueden haber cambiado, las mejores formas de mantenerse seguro en línea son las antiguas maneras. Mantenga contraseñas seguras. Parchea tu software. Y tenga cuidado en los enlaces en los que hace clic.

Como nos dijo Malwarebytes Klecyzinski después de nuestra entrevista: "Si no eres paranoico, no vas a sobrevivir".

Recomendaciones de los editores

• Microsoft acaba de ofrecerle una nueva forma de mantenerse a salvo de los virus
• Los piratas informáticos utilizan certificados de Nvidia robados para ocultar malware