En
los últimos días, y a modo de reflexión sobre lo ocurrido con el troyano TheFlame, algunas voces se han sumado a
la crítica hacia la industria antivirus,
como responsable de que el troyano pasara desapercibido durante años. Pero no
lo son (en todo caso, no son los únicos). ¿Qué
lecciones se pueden aprender de la detección y análisis de este malware?
Mikko Hypponen entonó
un razonado "mea culpa" en
Wired:
"When we went digging through our archive for related samples of malware, we were surprised to find that we already had samples of Flame, dating back to 2010 and 2011 [...] What this means is that all of us had missed detecting this malware for two years, or more. That´s a spectacular failure for our company, and for the antivirus industry in general."
Y es razonable, por la manera en
la que trabajan las casas antivirus (que no los antivirus en sí). Reciben
alrededor de 100.000 muestras al día.
No todas son malware y, lógicamente, no todas son analizadas a mano. Es
imposible. Simplificando el proceso, las muestran pasan por sistemas
automáticos que intentan clasificarlas. Si alguna resulta claramente malware, pasa sin más
a ser detectada por firma (genérica). Si solo resulta sospechosa, quizás llegue a
un segundo filtro manual. Si aquí se confirma como malware (un proceso que
puede llevarle muchas horas a un analista) se incluye en las firmas, y se
repasan de nuevo las muestras que han llegado para analizarlas con esa nueva firma y
detectar más. Este un proceso costoso,
sin fin, y muy complejo... cuyos volúmenes están incrementando.
Kaspersky
hablaba en Twitter de que, en el último año, el número de muestras "detectadas" diariamente había
pasado de unas 75.000 a
125.000. No sabemos si ese "detectadas"
está bien empleado. De hecho, Jorge Mieres,
de la misma compañía, decía un poco más tarde en Twitter "En los últimos meses ha aumentado un 80% el
número de muestras únicas procesadas por día. 125.000."
En este proceso de
automatización, los antivirus prefieren
pecar por defecto y no caer en detección de falsos positivos. Una muestra
firmada por Microsoft, como TheFlame, no tenía la más mínima posibilidad de pasar
como sospechosa por ningún filtro.
Otra frase de Hypponen llama la
atención:
"Yet we failed to do that with Stuxnet and DuQu and Flame. This makes our customers nervous."
Los antivirus están sometidos a
un gran peso comercial, de imagen, de ventas y beneficios. Deben contentar a
sus clientes. Y la alerta mediática generada les pone nerviosos. Sin embargo,
no se debe perder el foco. Aunque se deban invertir recursos en detectar
muestras extremadamente sofisticadas, es mucho más importante controlar de
forma eficaz la inmensa oleada de malware "común" como las nuevas versiones de Zeus o SpyEye. Quizás no
usen certificados de Microsoft para ocultarse, pero podemos asegurar que sus
índices de infección (y robo real de cuentas bancarias) son infinitamente más
altos. ¿Cómo repartes tus recursos entonces? ¿Es mejor invertir en medicinas
para curarte de una enfermedad mortal detectada en algunos puntos de Irán que
afecta principalmente a una raza característica? ¿O dedicarlos a la lucha contra
las enfermedades comunes? Los clientes de antivirus lo querrán todo...
pero eso sería una evaluación de riesgos muy pobre. Por otro lado, culpar
únicamente a las casas antivirus sería injusto.
Un antivirus no está diseñado
para detectar malware de este calibre, simple y llanamente. Si hacemos una
analogía de guerra, un antivirus sería como un chaleco antibalas. Puede llegar
a proteger del fuego cruzado, de las balas perdidas... Es posible que no se
muestre eficaz con cierto tipo de munición destinada específicamente a
traspasarlo, pero puedes reforzarlo periódicamente y proteger tu cuerpo. Por supuesto,
esto no exime al que lo acarrea de ocultarse en lo posible de la primera línea
de fuego y otros métodos para salvarse. Pero ¿quién te protege de un
francotirador que, apostado estratégicamente en un edificio, apunta a tu cabeza
desde hace días? TheFlame es un francotirador,
con mucha puntería y la mejor arma. Un chaleco antibalas no protege contra
francotiradores.
¿Se tambalea entonces la
confianza en los antivirus? No. No hay que quitarse el chaleco antibalas. Lo
que hay que hacer es mejorarlo y complementarlo. Si se cuestiona algo, que sean
los cimientos de los procesos automatizados y de las políticas de seguridad
aplicadas. Una bofetada que debería
hacernos despertar y replantear incluso aquello que parece que "funciona bien". Porque pueden
existir otros métodos.
Más información:
Why Antivirus Companies Like Mine Failed to
Catch Flame and Stuxnet
Kaspersky
Jorge Mieres
Sergio de los Santos
Twitter: @ssantosv
lo voy a resumir en 2 frases: a) los antivirus són un timpo y M$ pasa las vulnerabilidades a los fabricantes/mercenarios para que puedan desarrollar tanto el virus como su "cura".
ResponderEliminarEste "modelo de negocio" fraudulento que hasta ahora les habia supuesto un chollo a ambos bandos ahora curiosamente se ha vuelto en su cotra que cosas eh? ;)
Eso es una tontería. Que Microsoft pase las vulnerabilidades a los fabricantes/mercenarios para que desarrollen virus es como dispararse en el pie. Tener virus da mala imagen a tu sistema operativo y si Microsoft quisiera que las demás casas de antivirus ganasen dinero vendiendo antivirus no desarrollaría su propio antivirus gratuito.
EliminarYa hay suficientes intereses detrás de los virus (robar cuentas bancarias, spam, las propias casas antivirus) como para que se necesite la colaboración de Microsoft.
El problema para un antivirus es que el sistema windows de microsft es una porqueria,pero el mas usado por los usuarios en el mundo,si fuera mejor no tendriamos tantos problemas con los virus.
ResponderEliminarLos 2 comentarios anteriores son echos por personas que no saben ni donde estan parados. Cuando no sabemos de un tema en particular , es mejor no hacer comentarios sin fundamentos.
ResponderEliminarMuy buen articulo, como siempre.
Personalmente no creo que los AV's deben afrontar solos las críticas por estos incidentes. Los fabricantes de IDS - NIDS no dicen nada al respecto, cuando se entiende que estos productos también estan relacionados a este tema de una u otra manera.
ResponderEliminarBuen artículo pero os recuerdo que como detalle de cortesía periodística se deben traducir las citas hechas en otro idioma.
ResponderEliminarOpenPGP da error (firma no verificada) en esta noticia enviada por correo electrónico.
ResponderEliminarPerdón, esta no es la noticia que da error PGP, es la siguiente "google bouncer".
ResponderEliminarAún a riesgo de ser tachado de radical, mi opinión (muy personal, evidentemente) es que, además de herramientas para mitigar los efectos de todo el malware que nos rodea, donde hace falta hacer un verdadero esfuerzo es en educar a los usuarios.
ResponderEliminarHaciendo uso de las analogías (y de nuevo, perdón si parezco muy radical) como la del artículo referida al chaleco antibalas, yo compararía las infecciones de sistemas con los embarazos no deseados. ¿Existe información sobre cómo evitarlos? Sí. ¿Está a disposición de todo el mundo? Sí. ¿Se siguen produciendo? También.
En el caso del malware la mayoría de usuarios de ordenadores no tiene reparo en abrir mensajes, enlaces y documentos de dudosa procedencia aunque lleguen en inglés y ellos jamás hayan salido de su barrio. "Tengo un antivirus, ya hará su trabajo" deben pensar...
Un saludo a tod@s.