Entradas con la etiqueta ‘Virus’

“A una colectividad se le engaña siempre mejor que a un hombre”. A bote pronto esta afirmación de Pío Baroja puede parecer errónea, pero enseguida cobra sentido si pensamos en el fenómeno de la rumorología, cómo una información falsa puede expandirse con gran fuerza en un colectivo, donde los individuos actúan como cadenas propagando el rumor de forma inconsciente.

El origen de un rumor puede ser intencionado e interesado, de hecho es una de las técnicas bien conocidas para la manipulación de masas de cara a influir en el comportamiento voluntario de los individuos. “Miente, miente, que algo quedará. Una mentira repetida mil veces se convierte en una realidad”, que decía Joseph Goebbels, ministro encargado de la propaganda nazi en tiempos de Hitler. En otras ocasiones el origen de un rumor no es intencionado, pero no por ello deja de ser menos efectivo.

¿Por qué se propaga un rumor?. Probablemente se pueda encontrar mucha literatura sobre la psicología del rumor, si bien una de las causas palpables es la falta de crítica y criterio propio de los individuos a la hora de dar por buena y propia la información que reciben. Hay que analizar y contrastar la noticia, que dirían los periodistas.

Otro aspecto interesante del rumor es que evoluciona y se intensifica al transmitirse. Cada uno de los individuos puede añadir elementos a la información para dotarla de mayor credibilidad de cara a terceros, por lo que el bulo crece con fuerza a medida que se propaga aprovechando las relaciones de confianza entre individuos. Una misma historia puede sonar más o menos convincente dependiendo del grado de confianza que tengas en el transmisor.

¿Pero que tiene todo esto que ver con los antivirus? ¿Vamos a hablar de los mensajes sobre falsos virus que pueden llegar a nuestro buzón y que la gente reenvía? Pues no, vamos a ver como los propios antivirus pueden verse afectados por la rumorología, como partiendo de una información falsa no analizada y contrastada pueden propagar y aumentar un error de forma inconsciente.

En el 2002 se llevó a cabo en España la II Campaña de Seguridad en la Red, encabezada por la Asociación de Internautas con la colaboración de diversas instituciones, desde el Ministerio de Ciencia y Tecnología hasta medios de comunicación. Entre otras actuaciones se facilitó de forma gratuita diverso software de seguridad: Antivirus de Panda, CheckDialer de Hispasec o una pequeña utilidad desarrollada por la propia Asociación de Internautas denominada “AlertVir”. Es esta última la protagonista de nuestra historia.

AlertVir es una especie de “avisador”, tipo cliente RSS para Windows, que muestra información sobre malware de nueva aparición. Un programa tan pequeño como legítimo e inofensivo. Algunas heurísticas de varios motores antivirus empezaron a detectar de forma errónea esta utilidad, es lo que llamamos “falso positivo”:

CAT-QuickHeal: (Suspicious) – DNAScan
Fortinet: PossibleThreat
Norman: W32/Suspicious_U.gen
Sophos: Mal/Packer
Sunbelt: VIPRE.Suspicious

Como puede observarse las primeras detecciones eran muy genéricas, en los nombres dados se hace mención a “sospechoso” ó “posible amenaza”. La clave sin embargo la podemos encontrar en la firma de Sophos que lo identifica como “Mal/Packer”, lo que nos da una pista de porque algunos motores antivirus empezaron a detectarlo. El ejecutable de AlertVir está comprimido con la utilidad “UPack” para hacerlo más pequeño. Algunos creadores de malware también utilizan este tipo de utilidades para ofuscar sus especímenes, por lo que algunos antivirus optaron por el camino más fácil: identificar directamente como sospechoso cualquier software que utilice alguno de estos packers.

Lo que en principio fue un caso más de falso positivo y heurísticas paranoicas ha ido degenerando con el tiempo a medida de que otros antivirus detectaban la utilidad como malware, probablemente llevados a equívoco por alguna de esas primera detecciones. El caso es que ya no se trataba de heurísticas paranoicas basadas en el packer, sino que los motores empezaron a crear una firma específica para detectar a AlertVir identificándolo como malware con nombre propio:

AntiVir: PHISH/FraudTool.AlertVir.A
AhnLab-V3: Win-AppCare/Alertvir.46788
Authentium: W32/Alertvir.A
Comodo: ApplicUnsaf.Win32.FraudTool.AlertVir
eTrust-Vet: Win32/Tarliver.A
F-Prot: W32/Alertvir.A
F-Secure: FraudTool.Win32.AlertVir.a
VBA32: FraudTool.AlertVir.a
ViRobot: Adware.AlertVir.46788

Por las denominaciones antivirus podemos apreciar que en estos casos se trata de una identificación unívoca (AlertVir), no por heurística, y por los prefijos la mayoría lo cataloga como herramienta para llevar a cabo algún tipo de fraude (FraudTool).

¿Cómo es posible que distintos análisis llevados a cabo por laboratorios antivirus independientes lleguen a una misma conclusión errónea?. La respuesta es simple, porque no se han llevado a cabo esos análisis independientes, sino que se han dejado arrastrar e influenciar unos por otros (eufemismos aparte, porque se copian entre ellos).

Con el transcurso del tiempo la bola de nieve ha ido creciendo cual rumor, ya que cada uno de esos motores que identificaron erróneamente a la aplicación hacían más creíble que se trataba de un malware, y el resultado a día de hoy es que, nada más y nada menos, 31 motores antivirus identifican a AlertVir:

a-squared: Win32.SuspectCrc!IK
AntiVir: PHISH/FraudTool.AlertVir.A
Antiy-AVL: FraudTool/Win32.AlertVir.gen
Authentium: W32/Alertvir.A
Avast: Win32:Trojan-gen
AVG: Suspicion: unknown virus
BitDefender: Trojan.Small.AVB
CAT-QuickHeal: FraudTool.AlertVir.a (Not a Virus)
Comodo: Heur.Packed.Unknown
DrWeb: Trojan.Fakealert.380
eSafe: Win32.Trojan
eTrust-Vet: Win32/Tarliver.A
F-Prot: W32/Alertvir.A
F-Secure: Trojan.Small.AVB
Fortinet: PossibleThreat
GData: Trojan.Small.AVB
Ikarus: Win32.SuspectCrc
Jiangmin: TrojanDropper.Agent.aehe
K7AntiVirus: not-a-virus:FraudTool.Win32.AlertVir
Kaspersky: not-a-virus:FraudTool.Win32.AlertVir.a
McAfee-GW-Edition: Phish.FraudTool.AlertVir.A
nProtect: Trojan/W32.Small.46788
PCTools: FraudTool.AlertVir!sd5
Sophos: Sus/ComPack-C
Sunbelt: Trojan.Win32.Packer.Upack0.3.9 (v)
Symantec: Trojan Horse
TheHacker: Aplicacion/AlertVir.a
TrendMicro: TROJ_SMALL.FCY
VBA32: FraudTool.AlertVir.a
ViRobot: Adware.AlertVir.46788
VirusBuster: Packed/Upack

¿Es lícito que los antivirus se copien? Desde mi punto de vista, dado el aluvión de malware que sufrimos hoy día, es necesaria la colaboración entre antivirus. Es materialmente imposible que un solo laboratorio tenga capacidad suficiente para analizar al detalle todos los especímenes que surgen a diario. El caso “AlertVir” es un efecto colateral no deseado, pero en general la colaboración es beneficiosa para todos los antivirus y por ende para la seguridad global.

Para minimizar situaciones similares sí sería deseable establecer mejores controles antes de dar como buena la detección de otro motor, por muy reputado que nos parezca, y siempre evitando la copia de firmas indiscriminadas sin algún tipo de análisis independiente adicional (evitar el plagio sin más). Como con los rumores en el boca a boca, es necesario cierto sentido crítico antes de dar por buena la información que recibimos y hacernos eco de ella.

Otra área de oportunidad interesante es la colaboración de la industria para la gestión de los falsos positivos. Los errores son inevitables en cualquier actividad, y el determinar si un software es malintencionado o legítimo es una tarea más complicada cada día, no existe un algoritmo perfecto. Si a eso le sumamos que, dada la cantidad de malware, la industria se ha visto obligada de pasar de los analistas humanos a la automatización a la hora de discernir el goodware del malware, el ratio de errores se ha incrementado considerablemente.

Hasta la fecha los errores por falsos positivos se suelen gestionar de forma individual. En el propio caso “AlertVir” hubo al menos dos casas antivirus que rectificaron y eliminaron sus firmas de detección, si bien ese conocimiento no se propagó al resto de laboratorios. En la actualidad existen canales de colaboración para el intercambio de muestras de malware y amenazas en general, sería beneficioso que se establecieran mecanismos similares para corregir errores por ese “exceso de celo”. La industria del desarrollo de software, cada vez más golpeada por los falsos positivos, lo agradecerá.

Fuente: Desconozco la fuente original ya que lo recibi mediante la lista Forum_nt.

GRIPE PORCINA

PREGUNTAS Y RESPUESTAS:

Montar un RAID en nuestra computadora puede resultar de gran utilidad para acelerar la velocidad de la computadora en general o para aumentar la seguridad de los archivos alojados en el disco duro. Dentro del montaje de RAID, encontramos variedad de niveles que varían del 0 al 10.

definición de RAID

La ventaja del RAID 0 es que se aceleran los procesos de lectura y escritura del disco rígido, repartiendo un mismo archivo en partes iguales en dos discos rígidos. Por ejemplo, tenemos un archivo de 20 MB, al momento de ser almacenado en nuestro disco rígido, este se reparte en forma pareja entre los dos discos rígidos, disponiendo 10 megas para cada disco.

En velocidad esto significa que: si un archivo de 20 MB tarda 20 segundos en copiarse en un disco rígido normal, en un RIAD 0 tardará 10 segundos, ya que la información se almacena en forma paralela en los dos discos.

La gran contra del RAID 0 es que, de sufrir la pérdida de un disco (ya sea por fallas físicas del disco o algún virus), se perderá la “mitad” de la información de cada archivo, perdiéndose el archivo completo.

Es importante saber que si vamos a montar un RAID tipo 0 o 1 deberemos contar con dos discos rígidos de igual capacidad, ya que de ser diferentes, desperdiciaríamos capacidad del disco más grande, pues el RAID identifica como raíz o primario al disco mas chico.

Montaje del RAID

El primer paso es saber si nuestra placa base cuenta con conectores SATA para discos rígidos SATA, (casi todas las placas bases actuales cuentan con 2 o mas conectores del tipo SATA), de no contar con ellos en la placa base, podemos adquirir una placa PCI con conectores SATA. También debemos tener dos discos rígidos de igual capacidad. En este caso utilizaremos dos discos de 200 GB SATA.

Una vez que los dos discos se encuentran instalados en nuestro ordenador, deberemos ingresar en la BIOS y habilitar las funciones del RAID en el caso de que estuvieran deshabilitadas. (las funciones de RAID por lo general se hallan ubicadas en “INTEGRATED PERIPHERALS” / “ONCHIP IDE DEVICE”, pero puede variar según el fabricante de la BIOS).

Habilitamos la función “ONCHIP SATA CONTROLLER” en SATA MODE SELECTED seleccionaremos de las tres funciones que nos muestra RAID MODE, y finalmente habilitamos la función SATA RAID ROM. Pulsamos la tecla ESC, para volver al menú principal y salimos salvando los cambios que acabamos de realizar en la BIOS.

Cuando el equipo se inicia nuevamente nos pedirá que presionemos las teclas para ingresar a la configuración del RAID. Una vez ingresados nos mostrará una pantalla donde deberemos seleccionar el tipo de RAID que queremos realizar, en este caso sería la primera opción (RAID 0). Antes de realizar esta selección deberemos cambiar el “STRIPE SIZE”, esto sería algo así como el tamaño de bloque en el cual se guardarán nuestros datos, estos bloques varían desde los 4K y los 64K, lo más recomendable es utilizar entre 16K y 32K.

Una vez realizadas estas selecciones nos aparecerá el siguiente mensaje: “SELECT STRIPE DRIVES”, en este caso nos está pidiendo que seleccionemos sobre qué unidades se montará nuestro RAID. Seleccionamos el primer disco, y luego seleccionamos el segundo disco. Al realizar esta operación es probable que nos aparezca un cartel preguntándonos si queremos borrar el RAID existente, (esto es en caso de que ya tuviésemos un RAID anterior), presionamos Y, y nos aparecerá un nuevo mensaje donde se nos solicita ingresar un nombre para nuestro RAID, presionamos ENTER, y veremos que nuestros 2 discos de 200GB desaparecieron y nos ha aparecido una sola unidad de 400GB. Ya tenemos creado nuestro RAID, presionamos la tecla ESC, para salir de la configuración y se reiniciará nuestro ordenador.

Ahora solo nos resta instalar nuestro sistema operativo y comenzar a almacenar información en nuestro nuevo sistema.

En el caso de querer montar un RAID de NIVEL 2 o superior se deberán utilizar más de 2 discos rígidos.

NOTA: La información aportada en este artículo puede variar de acuerdo al tipo de placa base que utilicemos, y al fabricante de la BIOS, pero el contenido general es muy parecido en casi todos los casos. Y si tomas la iniciativa de armar un RAID 0 en tu computadora por favor no olvides de resguardar la informacion que tengas en la misma.

En un hilo de forocoches en el que se proponían mensajes disparatados para intentar colarlos en el concurso de testimonios de “Si eres legal, eres legal”, el usuario Cunilingüista deja el siguiente mensaje:

“Voy a intentar poner este comentario.

Me lo contaron en el colegio, entre y me baje peliculas, me entraron virus y me tube que cambiar el cpu porque los virus se metieron en el procesador, no os bajeis cosas, son gente que pone cosas malas dentro de los archivos y te roban tus datos, tus fotos, tus roto2 y todo!!!!
Se legal FACILMENTE!!!”

Contra todo pronóstico, el mensaje superó el filtro del moderador y salió publicado como un testimonio más en la web del Ministerio de Cultura. Cunilingüista, animado por haberlo conseguido (fácilmente), abre un hilo nuevo con el entusiasta título de “El Ministerio de Cultura ha puesto mi comentario!!!!” y en el que explica su historia:

“En un post de hace un día o dos, nos metíamos con la nueva campaña de “Si eres legal, eres legal”, pues bien, de cachondeo postee y lo han publicado, ha pasado el filtro, por tanto, propongo que les reventemos la campaña“.

Los usuarios de forocoches empezaron a mandar sus testimonios mientras Cunilingüista les animaba así: “Dejad volar vuestra imaginación, si se creen lo de los virus en el procesador, se ,lo creen todo!!!”

Lo que no esperaba nadie es lo que acaba de suceder.

Hace pocos días, y según las bases del concurso, se reunieron Dª Clara Mapelli Marchena (Subdirectora General de Propiedad Intelectual), Dª Carmen Caro Jaureguialzo (Consejera de la S.G. de Propiedad Intelectual) y Dª. Teresa Perea González (Jefa de Servicio de Régimen Jurídico, de la SG. Propiedad Intelectual) para elegir, de entre los 10 más votados, al ganador del concurso. ¿Y a quién eligieron estas tres señoras como ganador? Sí, a Cunilingüista.

Es decir, al cuerpo de personas que dicen haber asumido la labor de educación pública sobre nuevas tecnologías y propiedad intelectual les resultó creíble -e incluso digno de premio- un testimonio sobre un virus en un procesador que te roba tus fotos. Han premiado (supongo que ahora por poco tiempo) a un tipo que sólo quería evidenciar cuánta tontería e ignorancia se esconde detrás de estas campañas… Y que lo ha conseguido.