Introducción

img:2:right:size=original@

Durante los dos últimos años, los encargados de analizar las tendencias de la actividad malintencionada en Internet en general y del software maligno en particular han observado un cambio significativo. Antes, la comunidad de Internet sufría enormes brotes pandémicos de software malintencionado, que eran objeto de mucha atención por parte de los medios de comunicación. Ya no es así en absoluto. Como se puede observar en la lista "AMENAZAS DE VIRUS ACTUALES" de Norman, que aparece a la derecha, la mayoría de los elementos de esta lista son bastante antiguos. El motivo es que casi no ha aparecido ningún nuevo programa malintencionado que suponga un riesgo mayor de infección para los usuarios que estos programas antiguos aún activos.

En nuestra Información de seguridad, semana 11 de este año comentamos este cambio en la actividad malintencionada centrándonos en el papel que desempeñan los medios de comunicación en el análisis de la situación de amenaza. Esta Información de seguridad adoptará un planteamiento distinto.

¿Supone la existencia de menos programas malintencionados importantes un menor riesgo de infección?

Se podría pensar erróneamente que como los medios de comunicación no prestan atención a las grandes pandemias de virus, como Melissa, LoveLetter, Sobig.F y otros programas malintencionados muy extendidos, el usuario ocasional de Internet está menos expuesto a infecciones por software dañino.
Lamentablemente, la situación es totalmente diferente

Aunque el software malintencionado tiene una menor distribución, esto no es obviamente un factor relevante a la hora de medir la exposición a este tipo de software en general. La cantidad total de programas dañinos “que andan por ahí" es lo que determina el riesgo de exposición. Para determinar si corre menos riesgos que hace unos años, la suma de malware activo es un criterio mucho más significativo que la atención que se presta a programas malintencionados concretos.

Los archivos de detección de virus de Norman pueden ofrecer algún indicio sobre la cantidad de malware diferente que se crea. Los usuarios que llevan tiempo utilizando nuestro software habrán notado un llamativo incremento en el tamaño de los archivos de definición de virus durante los últimos años y meses. Todos los días se añaden más de mil nuevas firmas y no es excepcional que en ocasiones se añadan varios miles. Los productos de otros proveedores de soluciones antivirus han experimentado también el mismo crecimiento en sus archivos de firmas.

El propio número de software dañino creado también dificulta la asignación de nombres precisos a los culpables por parte de las empresas del sector de productos de seguridad y antivirus. La reciente familia de gusanos que Norman ha denominado como Stration es conocida como Email-Worm.Win32.Warezov; W32/Spamta.worm por otros proveedores de antivirus. Evidentemente, esto aumenta aún más la incapacidad de los medios de comunicación y del público en general para determinar con precisión la situación de amenaza.

¿Qué ha sucedido?

Antes de comentar lo que supone este cambio para los proveedores de software de protección y para el uso de Internet, recopilemos los motivos de este cambio en la situación del software malintencionado:

• Los creadores de software dañino ya no son "script kiddies", literalmente “mocosos que juegan con procedimientos de comandos", sino más bien personas u organizaciones implicadas en actividades delictivas y con muchos más recursos a su disposición. La comunidad de Internet experimenta actualmente un cambio de la creación de confusión como fin en sí mismo a las actividades dañinas y malintencionadas con una motivación económica. 
• Existe una convergencia en marcha entre los distintos tipos de malware; virus, gusanos, keyloggers, troyanos, programas espía y publicitarios. A menudo, estos distintos tipos se agrupan en "cócteles de malware" que son difíciles de eliminar cuando infectan un equipo. 
• Los creadores de malware suelen utilizar vulnerabilidades de día cero de los sistemas operativos y aplicaciones. De esta forma, el malware puede existir durante cierto tiempo sin que el proveedor del software vulnerable disponga de ninguna solución o protección. 
• Los programas de malware tienen una vida breve. Sin embargo, las nuevas variantes se crean a una velocidad de vértigo (requieren sus propias firmas de virus). Los creadores utilizan con frecuencia sofisticadas técnicas para "ocultar" el hecho de que una nueva variante está muy relacionada con una anterior, y de esta forma los proveedores de programas antivirus tienen dificultades para detectar una familia concreta de malware de una forma genérica. 
• Los creadores de software malintencionado a menudo crean el malware con un individuo o grupo de empresas como objetivo. Esto significa que el sector de productos antivirus encuentra más dificultades para conocer la existencia de dicho malware y para añadir los archivos de firmas.

Plan de protección

Situación de la mayoría de los usuarios

Esta nueva situación ha supuesto en cierto modo un nuevo reto para el sector de soluciones antivirus. Detectar el nuevo malware y añadir nuevos archivos de firmas para él son tareas mucho más exigentes y laboriosas que nunca.

img:1:right:size=small@

La necesidad de contar con software de protección que dependa menos de técnicas basadas en firmas es fundamental y varios proveedores de productos antivirus han creado sus propias herramientas con vistas a conseguirlo. La tecnología SandBox de Norman, integrada en todos los productos antivirus de Norman, está entre las herramientas de protección proactiva más avanzadas. Podrá encontrar más información sobre la tecnología SandBox aquí (se abre una nueva ventana de explorador).

Los usuarios finales utilizarán también varios tipos de software de protección para estar lo más protegidos posible. (La idea es que si un programa de protección no detecta el malware, otro podría hacerlo.)

Usuarios que pueden ser objetivo de ataques especiales

Como se ha mencionado anteriormente, algunas empresas se han convertido en el blanco frecuente de los ataques. Si dichos ataques se realizan mediante el uso de software malintencionado, resulta muy difícil protegerse ya que la difusión del malware puede ser tan pequeña que no se incluya en los archivos de firmas de los proveedores de productos antivirus.

Algunas de las empresas que podrían estar en la zona de peligro son

• Sector de la banca y los seguros 
• Empresas de alta tecnología que hayan desarrollado tecnología que sea estratégicamente importante para otras empresas u organizaciones de la competencia (o incluso países) 
• Empresas de seguridad de todo tipo.

Estos objetivos potenciales tendrán a menudo su propio arsenal de software de protección, ya sea de desarrollo interno o en forma de proyectos especiales de terceros. Norman ha desarrollado recientemente un conjunto de herramientas particularmente útil para este grupo de empresas: los productos SandBox Malware Analyzer. Podrá obtener más información sobre estos productos aquí (se abre en una nueva ventana de explorador).