Guía básica de utilización de medios

Informáticos en forma segura

 Amenazas Actuales

Actualmente existen muchas amenazas a las que los usuarios están expuestos por el
simple hecho de encender su computadora o de conectarnos a una red. A continuación, se
definirán las más comunes y ampliamente difundidas.
Desde hace más de 20 años se conocen los programas llamados Virus Informáticos y
su definición ha variado notablemente con el correr el tiempo.
A diferencia de programas normales, no considerados malware y que son instalados con
el consentimiento del usuario, estas aplicaciones son capaces de realizar acciones dañinas sin
que el usuario lo sepa.
Los primeros virus se reproducían de equipo en equipo utilizando los medios disponibles
en ese momento, que eran los disquetes. Por esta razón, la velocidad de contagio era baja y se
tardaba relativamente bastante tiempo desde que un virus era creando hasta que el mismo
llegaba al usuario.
Luego, cuando las redes se masificaron e Internet llegó a todos los hogares y
organizaciones, la velocidad de propagación de los virus se incrementó pudiendo llegar a ser
inmediata, luego de la creación y difusión del virus.
La clasificación del malware se ha diversificado y crece día a día en donde cada vez es
más común escuchar distintos términos anglosajones que los describen.

Clasificación de Malware
En sus orígenes sólo se identificaba un tipo de malware, el cual recibió el nombre de
virus informático debido a ciertas semejanzas que estos programas tienen con los virus
biológicos.
Estas aplicaciones nacieron como experimentos matemáticos en laboratorios, buscando
alternativas para técnicas de vida artificial, y al principio sólo eran capaces de infectar archivos
del sistema operativo DOS y con una baja tasa de reproducción debido a los métodos que
utilizaban.
Al evolucionar el software y los sistemas operativos, los virus también lo hicieron con
ellos hasta llegar a las formas actuales de malware.
Hoy en día, la clasificación, si bien es más extensa, puede considerarse que es la
siguiente.

Virus Informático (propiamente dicho)

Su origen se puede establecer al observar investigaciones sobre Inteligencia y Vida
Artificial. Estos conceptos fueron desarrollados por John Von Newman hacia 1950, estableciendo
por primera vez la idea de programas auto-replicantes.
Luego de muchas investigaciones, recién en 1983, Fred Cohen y Len Adleman le
asignan el nombre de “virus”, se los define y se hacen los primeros experimentos que funcionan
sobre un sistema Unix.
Su nombre proviene del latín “veneno” y de su semejanza con los virus biológicos ya
citados:
• Ambos utilizan un huésped e inician sus actividades en forma oculta al mismo.
• Ninguno de los dos posee “metabolismo” propio y hacen uso del huésped.
• Ambos tienen como objetivo la reproducción y modifican de alguna forma al
huésped.

Página 2 de 15
 Así, actualmente se considera a un Virus Informático (VI) como un archivo o porción
de código ejecutable capaz de reproducirse, auto-ejecutarse y ocultarse. Es decir, que cumple
con el modelo de ser Dañino, Auto-replicante y Subrepticio (DAS).

Descripción de un virus

Como ya se ha mencionado un VI no es más que un programa que modifica de alguna

forma a otro programa para lograr sus objetivos de reproducción. De manera general, se puede
graficar el siguiente modelo:

Imagen 1-Modelo de Virus

Como puede apreciarse, el usuario ejecuta su “ProgramaBueno.exe” que aloja el virus.

El programa se ejecuta, el virus toma el control por un breve período de tiempo, realiza sus
acciones y devuelve el control al huésped. Como es fácil imaginar, el usuario no se entera de las
acciones realizadas por el virus.
La amplia difusión que alcanzaron principalmente en sistemas Windows (muy utilizado),
llevó que en poco tiempo se pudieran contar por cientos las variedades y la clasificación de los
virus.
Si bien cada virus puede clasificarse en más de una forma y puede utilizar más de una
técnica de infección, para su estudio conviene hacerlo por separado. Así se tiene la siguiente
clasificación:

Virus de programas ejecutables

Los virus que infectaban programas ejecutables (.exe, .com, .dll, .sys, .pif) fueron los
primeros que lograron expansión masiva.1

1
Más información: http://es.wikipedia.org/wiki/Ejecutable

Página 3 de 15
 Estos virus se “adosan” al programa huésped mediante diferentes técnicas. Una vez que
el virus es iniciado por primera vez, queda residente en memoria infectando otros archivos
ejecutables.

Virus residentes en memoria

El objetivo de residir en memoria es tomar el control de las acciones realizadas por el

sistema operativo (y el usuario). Cada vez que se accede a un tipo de archivo que el virus sea
capaz de infectar, procede a hacerlo. Por supuesto, para que el virus logre residir en memoria el
usuario debe, previamente, haber recibido y ejecutado un archivo infectado.

Virus de sector de arranque (ACSO: Anterior Carga del Sistema Operativo)

En los primeros 512 bytes de un disco se encuentra lo que se llama sector de arranque
o sector de booteo. El mismo es capaz de contener código ejecutable y este espacio es
aprovechado por este tipo de virus, ya que permaneciendo en ese sector, se asegura su
ejecución cada vez que se arranca desde el disco infectado.
Estos virus almacenan el sector de booteo original en otro sector del disco de forma tal
que posterior a la ejecución del virus se pueda ejecutar.

Macrovirus

Las aplicaciones de ofimática (Microsoft Office y OpenOffice) tienen la capacidad de

ejecutar macros e incluir lenguajes de programación para realizar algunas funciones. Los virus
de macro se han aprovechado de esa funcionalidad para ejecutar su código.
Su funcionamiento consiste en que si la aplicación abre un archivo infectado, ella (o
parte de ella) se infecta y cada vez que se genera un nuevo documento o se modifique uno,
contendrá el macrovirus.

Virus de correo electrónico

Este tipo de virus tomó relevancia en los últimos años con la supremacía del correo
electrónico como medio de comunicación.
Si bien explotan diferentes técnicas de ingeniería social o vulnerabilidades para su
expansión, la forma de reproducción es siempre la misma:
• Un usuario recibe un correo con un virus.
• Abre el correo y el virus se ejecuta infectando su computadora.
• El virus es capaz de auto-enviarse a los contactos y seguir la cadena de
reproducción.
Actualmente, este tipo de virus es el de mayor propagación por la gran difusión que ha
sabido obtener el correo electrónico. Los métodos utilizados y las distintas técnicas se verán con
profundidad a continuación.

Gusano

Originalmente eran programas que se reproducían constantemente hasta agotar

totalmente los recursos del sistema huésped. Como ejemplo se puede citar al que se considera
el primer gusano de Internet: el gusano de Morris, el cual colapsó ArpaNet (la Internet de los
80).
Actualmente son desarrollados para reproducirse por algún medio de comunicación
como el correo electrónico (el más común), mensajeros o redes P2P. El objetivo de los mismos
es llegar a la mayor cantidad de usuarios posible y lograr distribuir otros tipos de códigos

Página 4 de 15
maliciosos que se mencionarán a continuación. Estos últimos serán los encargados de llevar a
cabo el engaño, robo o estafa.
Otro objetivo muy común de los gusanos es realizar ataques de Denegación de Servicio
Distribuido (DDoS) contra sitios webs específicos o incluso eliminar "virus que son competencia"
para el negocio que se intente realizar.
A continuación se muestra un correo en el cual llega el gusano Bagle, de amplia
repercusión durante los últimos años:

Imagen 2-Correo Virus Bagle

Como puede preciarse, el cuerpo del mensaje contiene “Robert” y luego puede verse que el
archivo adjunto se llama “Margrett.zip”.

Imagen 3-Virus Comprimido

Posteriormente se puede observar el contenido del archivo comprimido: un archivo

ejecutable que es el gusano propiamente dicho.

Troyano

Es un código malicioso que permite el acceso a un sistema ignorando los

procedimientos normales y correctos de autenticación. Es un pequeño programa generalmente
alojado dentro de otra aplicación (un archivo) normal.
En la teoría, un troyano no es virus, ya que no cumple con todas las características de
los mismos, pero debido a que estas amenazas pueden propagarse de igual manera, suele
incluírselos dentro del mismo grupo.

Página 5 de 15
 Su objetivo es pasar inadvertido al usuario e instalarse en el sistema cuando este
ejecuta el archivo "huésped". Luego de instalarse, pueden realizar las más diversas tareas,
ocultas al usuario.
Actualmente se los utiliza para la instalación de otros malwares, como backdoors, y
permitir el acceso al sistema al creador del troyano. Algunos troyanos, los menos, simulan
realizar una función útil al usuario a la vez que también producen una acción dañina.
La similitud con el "caballo de Troya" de los griegos es evidente y debido a esa
característica recibieron su nombre.

Exploits

Es un programa o código que "explota" una vulnerabilidad del sistema o parte de él,
para aprovechar esta deficiencia en beneficio del creador del mismo. Si bien el código que
explota la vulnerabilidad no es un código malicioso en sí mismo, generalmente se lo utiliza para
otros fines como permitir el acceso a un sistema o como parte de otros malwares como gusanos
y troyanos.
Es decir, que actualmente, los exploits son utilizados como “componente” de otro
malware, ya que al explotar vulnerabilidades del sistema permite hacer uso de funciones que no
estarían permitidas en caso normal.
Existen diversos tipos de exploits dependiendo de las vulnerabilidades utilizadas y todos
los días son publicados nuevos, para cualquier sistema y programa existente, pero sólo una
gran minoría son utilizados como parte de otros malwares (aquellos que pueden ser explotados
en forma relativamente sencilla y que pueden lograr gran repercusión).

Rootkits

Originalmente, el término proviene de sistemas Unix y hacía referencia a pequeñas

utilidades y herramientas que permitían acceso como administrador ("root") de esos sistemas.2
La expresión ha evolucionado y actualmente es un conjunto de herramientas utilizadas
en cualquier sistema para conseguir acceder ilícitamente al mismo. Generalmente se los utiliza
para ocultar procesos y programas que permiten acceso al sistema atacado, incluso tomar
control de parte del mismo.
Actualmente, en algunos casos, son utilizados por ciertas empresas para controlar
componentes del sistema y permitir o denegar su utilización. Hay que remarcar que el uso de
estos programas es éticamente incorrecto (o incluso ilegal), ya que se hace sin la autorización
expresa del usuario.

Backdoors

Estos programas son diseñados para abrir una "puerta trasera" en nuestro sistema de
modo tal de permitir al creador del backdoor tener acceso al sistema y hacer lo que desee con
él. El objetivo es lograr una gran cantidad de computadoras infectadas para disponer de ellos
libremente hasta el punto de formar redes como se describen a continuación.

Redes de Bots (zombies)

Los bots son propagados a través de Internet utilizando a un gusano como transporte.
Se realizan envíos masivos de ellos mediante correo electrónico o aprovechando
vulnerabilidades en navegadores.

2
Más información: http://es.wikipedia.org/wiki/Root

Página 6 de 15
 Una vez que se logra una gran cantidad de sistemas infectados, se forman amplias
redes que "trabajan" para el creador del programa. Aquí hay que destacar tres puntos
importantes:
• Este trabajo en red se beneficia del principio de "computación distribuida" que dice
que miles de sistemas funcionando juntos tienen una mayor capacidad de
procesamiento que cualquier sistema aislado.
• El creador del programa puede pertenecer a una red de delincuencia que ha
armado su ataque, y que tienen estos programas trabajando en su beneficio.
• El grupo "propietario de la red" de maquinas zombies puede alquilarle a otros su
red para realizar alguna acción ilegal.
El objetivo de las redes zombies puede ser realizar ataques de DDoS (Denegación de
Servicio Distribuído), distribución de spam, etc.

Keyloggers
Como su nombre lo indica, un keylogger es un programa que registra y graba la
pulsación de teclas y clics para luego enviarla a la persona que lo haya instalado. Actualmente
existen dispositivos de hardware y aplicaciones que realizan estas tareas.
A continuación, puede verse la interfaz de un famoso keylogger llamado Perfect
keylogger y también se ve un dispositivo de grabación. Este último se instala entre el teclado y
la computadora.

Imagen 4-Keylogger físico

Imagen 5 -Keylogger por software

Estas técnicas son muy utilizadas por el malware orientado a robar datos confidenciales
o privados del usuario.

Ransomware

El término sajón ransom se define como la exigencia de pago por la restitución de la

libertad de alguien o de un objeto, lo que en castellano se traduciría como secuestro.
Si a esto se agrega la palabra software se obtiene ransomware, definido como el
secuestro de archivos a cambio de un rescate.

Página 7 de 15
 Recibe este nombre cualquier software dañino generalmente distribuido a través del
spam y que mediante distintas técnicas imposibilita al dueño de un documento acceder al
mismo. El modo más comúnmente utilizado, es cifrar con clave dicho documento y dejar
instrucciones al usuario para obtenerla, posterior al pago del "rescate".

Imagen 6-Ransonware

Spam
El spam es el correo no deseado que llega día a día a la bandeja de entrada. El
objetivo del mismo es ofrecer productos que por lo general no son de interés, pero según las
estadísticas el 4 por ciento del correo no solicitado logra su objetivo y los usuarios terminan
comprando los productos ofrecidos.
El spam tiene un gran "éxito", porque las empresas que publicitan sus productos
pueden hacerlo por un valor muy inferior (hasta 100 veces más barato) al costo de hacer
publicidad de formas tradicionales. Los spammers (personas que envían spam) obtienen sus
ganancias de enviar los correos a todos los usuarios que tienen en sus bases de datos o alquilar
su red de distribución.
Las formas de recolectar correos para alimentar estas bases de datos pueden ser
algunas de las siguientes:
• Cadenas de correos electrónicos (hoax y cadenas).
• Direcciones publicadas en foros, páginas webs, etc.
• Correos formados por la combinación de letras tomadas aleatoriamente. Por
ejemplo enviar emails a aaa@empresa.com, aab@empresa.com,
aac@empresa.com, etc. Es evidente que haciendo todas las combinaciones se
obtendrán direcciones válidas.
Algunos de los perjuicios a los que nos somete el spam son:
• Se da un mal uso al ancho de banda.
• Reduce la productividad.

Página 8 de 15
 • Se “paga” por recibir el spam (pago por el servicio al que se está conectado, se
consume ancho de banda, se pierde tiempo, etc.).
• Es un medio eficiente para hacer fraudes.
• Perdida de mensajes legítimos por la utilización de filtros.
• Los virus son muchas veces creados para hacer de computadoras zombies por
medio de los cuales pasas spam a millones de personas.
A continuación, se puede ver uno de los tantos correos que pueden llegar con diversas
ofertas:

Imagen 7-Mensaje de spam

Hoax
Si bien los hoaxes no son una amenaza propiamente dicha, se los incluye en esta
clasificación, porque suele utilizarse para robar y recolectar direcciones de correos de los
usuarios.
Comenzaron siendo bromas o engaños enviados por correo, y luego se convirtieron en
una verdadera epidemia al ser enviados en forma de cadena que los mismos usuarios se
encargan de seguir, luego de creer el mensaje que los mismos llevan.
Las características que se deben remarcar de un hoax son:
• Son mensajes de correo electrónico engañosos que se distribuyen en cadena.
• Incluyen textos alarmantes sobre virus informáticos, promociones especiales, ayuda
a personas, etc.
• Su principal propósito: engañar a los usuarios y jugarles una broma.
• Otro objetivo: recolectar las casillas de correo a las que se reenvía el mensaje con
copia.
• Encontraron nuevos medios de “reproducción”, además del correo electrónico: la
mensajería instantánea.
• No son realmente problemáticos, pero “colaboran” con otros males de Internet
como el spam.

Página 9 de 15
 Todos tienen un elemento de distribución: “envía este correo a X personas”.
Como se puede ver en el último punto, los mensajes explotan la Ingeniería Social y
mediante diversas metodologías convencen al usuario que debe enviar el e-mail a cierta
cantidad de personas (generalmente toda la libreta de direcciones).
Es común recibir un mail con cientos de personas copiadas:

Imagen 8-Correo reenviado con direcciones de correo en su cabecera

Como puede apreciarse es muy fácil recolectar direcciones de correo electrónico. Como
ya se mencionó, esta es una técnica muy utilizada por los spammers para hacerse con miles de
potenciales “clientes”.

Scam
El scam (engaño o timo en inglés) también conocido como fraude o estafa a la
Nigeriana (por su origen) o el 419 Scam (por el número de artículo del código penal de Nigeria)
es una mezcla de spam y hoax que persigue un fin delictivo y generalmente están relacionados
a donaciones y comisiones.
Las primeras versiones originales de scam eran enviadas por fax, pero con el
advenimiento del correo electrónico, hoy son enviadas en forma de spam y generalmente tiene
relación a la salida de fondos de algún país. El país donde comenzó esta técnica fue Nigeria, y
esa es la explicación de su nombre.
En el correo se solicitan ciertos datos confidenciales (como cuentas bancarias) con la
promesa de que se traspasarán millones de dólares en concepto de comisiones.
En estos correos es común observar diversas tretas para engañar al usuario y así
ponerlos en contacto con los autores de los mismos.

Página 10 de 15
 A continuación puede verse un ejemplo3:

Imagen 9-Mensaje scam

Phishing
El phishing es un mensaje de correo electrónico que simula ser enviado, comúnmente
por una entidad o institución financiera, e intenta engañar a los destinatarios haciéndoles creer
que el mensaje de correo es legal y proviene de dicha entidad.
El mensaje generalmente informa que se han perdido o se van a perder los datos
personales del usuario, e invita a los destinatarios a ingresar al enlace que figura en el correo
para completar el formulario con la información confidencial que se solicita.
Si el usuario es engañado por dicho mensaje, hará clic en el enlace del correo y de esta
manera, ingresará a una página web falsa, pero idéntica a la original de la institución
correspondiente, y allí facilitará todos los datos personales a los creadores de la amenaza. Es

3
Más información: http://es.wikipedia.org/wiki/Estafa_nigeriana y
http://home.rica.net/alphae/419coal

Página 11 de 15
decir que se duplica una página web para hacer creer al visitante que se encuentra en el sitio
web original, en lugar del falso.
Normalmente, se utiliza con fines delictivos enviando spam e invitando acceder a la
página señuelo. El objetivo del engaño es adquirir información confidencial del usuario.
Como ya se mencionó, esta técnica de engañar al usuario se llama Ingeniería Social y
es muy utilizada en ambientes delictivos relacionados con la tecnología.
El problema del phishing es el daño tangible que puede generar, porque una vez que el
usuario complete los datos correspondientes dentro de la página web falsa, los criminales
tendrán acceso a información sensible, como claves de acceso bancarias, números de tarjetas
de crédito y sus códigos de seguridad, y toda información relacionada, que luego será utilizada
para estafar a la víctima.
La industria del phishing es tal, que incluso actualmente se venden "kits" prearmados
para que cualquiera pueda realizar estafas de este estilo en forma sencilla.

Imagen 10-Mensaje falso (phishing)

Spyware
El Spyware (Spy Software) o software espía es una aplicación que recopila información
sobre una persona u organización con o sin su conocimiento. El objetivo más común es
distribuirlo a empresas publicitarias u otras organizaciones interesadas.
Actualmente es uno de los tipos de malware de mayor difusión, y tiene una elevada
incidencia en la actividad de los profesionales y usuarios hogareños. Las estadísticas
demuestran que hoy en día existen más versiones distintas de spyware que de virus.
La diferencia reside en el hecho de que los virus estuvieron presentes en el mundo
informático durante los últimos veinte años, mientras que el spyware es una amenaza reciente,
de no más de tres o cuatro años de antigüedad.
Inicialmente el spyware nació como un conjunto de aplicaciones incluidas junto al
software gratuito, con el objetivo de obtener información sobre la actividad del usuario en su
computadora, a fin de poder determinar su perfil de navegación e intereses. Esto tiene mucho

Página 12 de 15
valor para las compañías dedicadas al marketing en Internet, ya que gracias a esta información
pueden confeccionar bases de datos que les permiten conocer fehacientemente qué es lo que
puede interesarle a cada usuario o perfil en particular.
Uno de los métodos utilizados son las páginas de Internet que aprovechan las
vulnerabilidades en los navegadores de los usuarios. Cuando un usuario navega por ciertos
sitios web, es posible que un spyware intente instalarse en su equipo, explotando algún agujero
de seguridad.
Además, los spyware incrementaron sus funcionalidades hasta convertirse en algo más
que programas ocultos que procuran obtener información: hoy intentan interactuar con el
usuario a través de barras de herramientas en el navegador o simulando tener alguna
funcionalidad.
Uno de los problemas que genera el spyware, además de la clara invasión a la
privacidad, es la degradación de las redes informáticas, debido a la constante comunicación que
mantienen con sitios no deseados.
Quizás el caso más conocido de Spyware ha sido el del “simpático” mono Bonzi Buddy.

Imagen 11- Empresas que instalan spywares

Adware
El Adware (Advertised Software) es un software que despliega publicidad de distintos
productos o servicios. Estas aplicaciones incluyen código adicional que muestra la publicidad en
ventanas emergentes, o a través de una barra que aparece en la pantalla.

Página 13 de 15
 A continuación se muestra la instalación de una barra que es muy común de ver en los
exploradores de los usuarios: Hotbar, una barra que simula ser “divertidos emoticones”.

Imagen 12-Instalación de Hotbar

En esta imagen puede apreciarse la barra instalada en Internet Explorer.

Imagen 13- Hotbar instalada

Página 14 de 15
 Copyright © 2008 por ESET, LLC y ESET, spol. s.r.o. Todos los derechos reservados.
Las marcas registradas, logos y servicios distintos de ESET, LLC y ESET, spol. s.r.o.,
mencionados en este curso, son marcas registradas de sus respectivos propietarios y no
guardan relación con ESET, LLC y ESET, spol. s.r.o.
© ESET, 2008
Acerca de ESET
Fundada en 1992 y con oficinas centrales en San Diego, California, Estados Unidos,
ESET es una compañía global de soluciones de software de seguridad que provee protección de
última generación contra virus informáticos.
El premiado producto antivirus ESET NOD32, asegura el máximo rendimiento de su red,
detección mediante Heurística Avanzada, y soporte mundial gratuito. Además, ESET lanzó al
mercado su nueva solución unificada ESET Smart Security, la cual incorpora a ESET NOD32 las
funcionalidades de Antispam y Firewall Personal.
ESET NOD32 les da a los clientes corporativos el mayor retorno de la inversión (ROI) de
la industria como resultado de una mayor productividad, bajo tiempo ocupado, y un uso mínimo
de los recursos.
ESET NOD32 logra más premios Virus Bulletin 100% que ningún otro producto antivirus
disponible, detectando consistentemente todos los virus activos (in-the-wild) sin falsos positivos.
El trabajo de ESET con grandes corporaciones como Canon, Dell, Bridgestone y
Microsoft le ha permitido entrar en el Fast 50 de Deloitte Technology por tres años
consecutivos, además de estar entre las 10 empresas de mayor crecimiento en San Diego, de
acuerdo al San Diego FAST 100.
ESET es una compañía privada con oficinas en San Diego (Estados Unidos), Londres
(Reino Unido), Praga (República Checa), Bratislava (Eslovaquia) y Buenos Aires (Argentina).
Para más información, visite www.eset-la.com

Página 15 de 15